Scoring de crédit et décisions automatisées

Pendant des années, l’analyse réglementaire d’un modèle de scoring se limitait à la protection des données. Aujourd’hui, trois régimes se superposent sur la même décision — accorder ou refuser un crédit à une personne — et chacun regarde autre chose :

• La directive (UE) 2023/2225, la CCD2, regarde le résultat pour le consommateur : quels droits il a lorsque la décision l’affecte, quelles données ne peuvent pas être utilisées et ce qui doit être évalué.
• Le règlement (UE) 2024/1689, le règlement sur l’IA, regarde le système : comment il a été construit, avec quelles données il a été entraîné, comment il est documenté et qui le supervise.
• Le RGPD regarde le traitement : la base juridique, l’information de la personne concernée et les limites aux décisions fondées exclusivement sur un traitement automatisé.

Concrètement, un projet qui n’a travaillé que l’un des trois fronts présente presque certainement des lacunes sur les deux autres. Et la lacune la plus courante est toujours la même : le modèle fonctionne, mais il ne peut pas être expliqué. On peut très bien prédire et pourtant être incapable de dire à un client, en des termes qu’il comprend, pourquoi on lui a refusé un crédit, ou de démontrer à un superviseur comment le modèle a été construit.

Il faut en outre retenir une idée qui structure tout le reste. Aucun des trois textes n’interdit d’automatiser. Ils exigent que l’automatisation soit réversible, explicable et supervisée. Un modèle qui décide seul, sans possibilité de réexamen humain et sans capacité d’expliquer son résultat, n’est pas un modèle efficace : c’est un modèle non conforme.

Les trois droits se lisent vite et se mettent en place lentement, car chacun touche une couche différente du système. Le droit à l’intervention humaine est organisationnel : il exige des personnes, de la formation et une définition claire de la limite de leur pouvoir d’écarter le modèle. Le droit à l’explication est technique : il oblige le modèle à produire des motifs, pas seulement un chiffre, ce qui conditionne en pratique les architectures viables. Et le droit au réexamen est procédural : il faut recueillir ce que le client invoque, consigner qu’il a été pris en compte et motiver la nouvelle décision.

Le deuxième est celui qui oblige le plus de projets à se repenser. Un modèle très précis mais opaque — un ensemble profond, par exemple — peut devenir inutilisable, non pas à cause de sa performance, mais parce que son résultat ne peut pas être traduit en une explication pertinente. C’est un choix d’architecture qu’il faut faire dès la conception, pas à la première réclamation.

Un lien est à garder à l’esprit : la directive sur les services financiers à distance prévoit en parallèle le droit d’obtenir une intervention humaine en phase précontractuelle lorsque des outils automatisés sont utilisés. Ce sont deux textes distincts qui visent le même point — avant de contracter et au moment de décider de l’octroi — de sorte que le circuit d’escalade doit couvrir les deux moments.

La CCD2 délimite les informations qui peuvent fonder l’évaluation de la solvabilité et exclut expressément deux sources qui apparaissaient jusqu’ici dans les modèles alternatifs de scoring :

• Les catégories particulières de données du RGPD, avec mention expresse des données de santé.
• Les données provenant des réseaux sociaux.

La première interdiction est cohérente avec le régime général de protection des données et surprend peu. La seconde est celle qui change les projets : pendant des années, l’utilisation de signaux de comportement numérique et d’empreinte sociale a été présentée comme la voie pour accorder du crédit aux profils sans historique. Cette voie se ferme pour l’évaluation de la solvabilité en crédit à la consommation.

Mais la conséquence qui exige vraiment un travail technique est autre, et elle n’est pas écrite : les variables de substitution. Un modèle peut ne pas utiliser de données de santé et pourtant intégrer des variables qui les prédisent avec une forte corrélation — schémas de dépenses en pharmacie, type de commerce, fréquence de certaines catégories d’achats. Formellement, la donnée interdite n’est pas utilisée ; matériellement, elle entre bien dans la décision. Épurer un modèle de ces substituts n’est pas une revue documentaire : c’est un exercice statistique à mener sur les variables réelles et à documenter.

Cette analyse sert d’ailleurs deux fois. C’est ce qu’exige la CCD2 en matière de données et c’est aussi, pour l’essentiel, ce que demande le règlement sur l’IA au titre de la gouvernance des données pour les systèmes à haut risque. Mieux vaut la faire une seule fois et l’utiliser pour les deux dossiers.

La classification ne se discute pas : l’évaluation de la solvabilité des personnes physiques figure expressément à l’annexe III, dans la catégorie de l’accès aux services essentiels. Un prêteur qui utilise un système d’intelligence artificielle pour décider des octrois exploite un système à haut risque, avec tout ce que cela entraîne.

Deux obligations méritent qu’on s’y arrête, car ce sont les plus souvent mal comprises. La supervision humaine ne se satisfait pas d’un bouton d’annulation que personne n’utilise : la norme exige une conception permettant une supervision effective, ce qui suppose que la personne qui supervise comprenne le résultat, dispose du temps matériel pour l’apprécier et ait réellement la capacité de s’en écarter. Et la conservation des journaux n’est pas le log de l’application : ce sont les traces qui permettent de reconstituer pourquoi le système a décidé ce qu’il a décidé, dans une opération précise, plusieurs mois après.

La bonne nouvelle est qu’il y a un recoupement avec ce que la CCD2 exige déjà. Le circuit d’intervention humaine prévu par la directive sur le crédit correspond en grande partie à la supervision humaine prévue par le règlement sur l’IA ; et la traçabilité qui permet d’expliquer un refus est celle qui permet de conserver les journaux. Les concevoir séparément duplique le travail. Si vous travaillez déjà sur le règlement sur l’IA par ailleurs, il convient de le croiser avec l’analyse du règlement sur l’IA.

L’article 22 du RGPD reconnaît à la personne concernée le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques la concernant ou l’affecte de manière significative de façon similaire. Refuser un crédit entre pleinement dans ce cas, et c’est pourquoi la plupart des établissements ont déjà pris position sur cette question.

Ce qui change, c’est que cette position doit être réexaminée à la lumière des deux autres textes, car le niveau d’exigence a monté. Beaucoup de modèles s’appuyaient sur l’idée que la décision n’était pas « exclusivement » automatisée parce qu’il existait un réexamen humain purement nominal. La CCD2 et le règlement sur l’IA durcissent cette lecture sous deux angles : la première reconnaît un droit exprès à l’intervention humaine, à l’explication et au réexamen ; le second exige que la supervision humaine soit effective dès la conception. Un réexamen purement formel ne soutient plus l’argument.

Résultat : les trois textes convergent vers le même livrable pratique, et il vaut mieux le construire une seule fois : un dossier de décision par opération indiquant quelles données sont entrées, quel résultat le système a produit, qui l’a réexaminé, ce que le client a invoqué le cas échéant et comment la décision finale a été motivée. Ce dossier est à la fois la preuve de la conformité au RGPD, la preuve de l’intervention humaine exigée par la CCD2 et le journal que demande le règlement sur l’IA.

Deux mentions de ce tableau méritent l’attention, car ce sont elles qui génèrent le plus de travail. La première est « la prise en compte adéquate des obligations actuelles » : il ne suffit pas de connaître les revenus, il faut intégrer la charge financière que le client supporte déjà. Cela oblige à déterminer d’où vient cette donnée — consultation de fichiers, informations fournies, agrégation de comptes — et à documenter ce choix.

La seconde est « de façon adaptée au volume des opérations ». C’est une clause de proportionnalité, à lire dans les deux sens. Pour un petit prêteur, elle signifie qu’on n’exigera pas de lui la machinerie d’un grand établissement. Pour un grand, c’est exactement l’inverse : le niveau attendu croît avec le volume, de sorte qu’une procédure artisanale cesse d’être défendable à partir d’une certaine taille. La proportionnalité n’est pas toujours un allègement.

Imaginez la scène, car c’est celle qu’il faut résoudre : un client dont le crédit a été refusé appelle et demande pourquoi. La réponse « il n’a pas passé notre système d’évaluation » ne suffit plus. La directive reconnaît le droit à une explication pertinente et compréhensible, et ces deux adjectifs ont un contenu.

Pertinente signifie que l’explication doit porter sur les facteurs qui ont effectivement pesé dans cette décision précise, et non sur une description générique du modèle. Compréhensible signifie qu’elle doit être dans le langage du client, pas dans celui de l’équipe risques : parler de « percentile de la variable d’ancienneté professionnelle » n’explique rien.

Cela suppose trois éléments à construire avant de recevoir la première demande :

• Une capacité technique d’attribution. Le système doit pouvoir dire quels facteurs ont fait pencher la décision dans cette opération, et non en moyenne. Cela conditionne l’architecture du modèle.
• Un catalogue de motifs en langage clair. Des traductions rédigées à l’avance et validées de chaque facteur en une phrase qu’un consommateur comprend, pour que l’explication ne dépende pas de la personne qui répond à l’appel.
• Un circuit d’observations et de réexamen. Où entre ce que le client apporte, qui l’apprécie et comment la nouvelle décision est motivée.

Il faut en outre veiller à une limite : expliquer n’est pas révéler le modèle. Il y a un équilibre entre le droit du consommateur de comprendre la décision et l’intérêt légitime de l’établissement de ne pas exposer son système d’évaluation à la rétro-ingénierie ni à la fraude. Cet équilibre se règle dans la conception du catalogue de motifs — assez concrets pour être utiles, assez agrégés pour ne pas constituer un mode d’emploi pour tromper le modèle — et il convient de le justifier par écrit.