Glossaire · RGPD article 22

Décision individuelle automatisée

Définition

Décision produisant des effets juridiques ou affectant significativement une personne, fondée exclusivement sur un traitement automatisé. L’article 22 du RGPD la restreint fortement et ouvre un droit à l’intervention humaine.

Pourquoi c’est important

Le tri automatisé de CV en est l’illustration la plus fréquente en RH — et le piège est bien identifié : une « validation humaine » qui se contente d’entériner le score de la machine n’est pas une intervention humaine au sens du RGPD. Il faut une supervision qui puisse réellement contredire l’algorithme. C’est l’un des points que la CNIL vérifie lors de ses contrôles recrutement.

Exemple concret

Un rejet automatique de candidature en dessous d’un seuil de score, sans qu’un recruteur puisse le contredire ni même consulter le dossier écarté. À l’inverse, un recruteur qui reçoit une liste priorisée, consulte les dossiers et peut remonter un profil mal noté reste dans le cadre.

Le test SCHUFA

Depuis l’arrêt de la CJUE du 7 décembre 2023 (C-634/21), une validation humaine purement formelle ne fait pas sortir du champ : si la personne suit systématiquement la recommandation sans jugement propre, la décision reste automatisée. Un score transmis à un tiers peut lui-même constituer la décision.

Profilage ou décision ?

Le profilage évalue des aspects personnels ; il devient décision automatisée lorsqu’il débouche, sans intervention humaine réelle, sur un effet juridique ou significatif. Voir le comparatif.

Pas seulement l’IA

L’article 22 vise le traitement automatisé, pas l’intelligence artificielle. Une règle métier codée en dur, un ancien arbre de décision y entrent au même titre qu’un modèle entraîné.

Lien avec SiyadAI

SiyadAI recense les systèmes d’IA réellement utilisés, y compris ceux que personne n’a déclarés, et en tient un registre vivant — le point de départ de toute qualification. Le journal recommandation / décision, lui, vit dans l’application qui décide : c’est elle qu’il faut instrumenter.

Votre système relève-t-il de l’article 22 ?

Faire le test

Explorer les autres piliers

Registre des usages IA

L’inventaire opposable de tous vos systèmes d’IA.

Gouvernance de l’IA

Rôles, comité IA, méthode — le cadre de contrôle.

Shadow AI

Détecter les usages d’IA non déclarés.

AIPD & IA

Analyse d’impact RGPD (art. 35) des systèmes d’IA.

Sécurité des IA génératives

OWASP, ANSSI : protéger copilotes et agents.