Mis à jour : février 2026 · ~14 min de lecture
Votre demande de prêt immobilier a été refusée en quelques secondes, sans qu’aucun conseiller n’ait regardé votre dossier. Le coupable : un score de solvabilité calculé automatiquement par un algorithme. Ce scénario, de plus en plus fréquent avec la généralisation du credit scoring automatisé, n’est pas une fatalité juridique.
L’article 22 du RGPD vous donne des armes concrètes. Depuis l’arrêt fondateur de la CJUE du 7 décembre 2023 (affaire C-634/21, SCHUFA Holding), le cadre juridique s’est considérablement renforcé : le simple calcul d’un score de crédit par un algorithme constitue désormais une décision individuelle automatisée soumise aux règles les plus protectrices du droit européen. Et en France, la CNIL vient de soumettre à consultation un projet de référentiel sur l’octroi de crédit qui redéfinit les obligations des banques en matière de transparence algorithmique.
👤
Vos données
Revenus, charges, historique, FICP
→
🤖
Scoring algorithmique
Modèle automatisé, sans regard humain
→
❌
Refus instantané
Aucune explication, aucun recours apparent
Comment fonctionne un refus de crédit algorithmique
Cet article détaille vos droits, les obligations des établissements bancaires, les recours disponibles et les changements à venir avec l’AI Act. Le tout avec des démarches concrètes que vous pouvez engager dès aujourd’hui.
Le cadre juridique
Le RGPD pose un principe clair : vous n’avez pas à subir un algorithme
L’article 22 du RGPD établit un droit fondamental : toute personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, lorsque cette décision produit des effets juridiques ou l’affecte de manière significative.
Un refus de crédit décidé intégralement par un algorithme — sans qu’un être humain n’examine réellement le dossier — tombe en plein dans le champ de cette interdiction. Comme le précise la CNIL sur sa page dédiée aux droits des personnes, cette protection s’applique dès qu’une décision automatisée « entrave l’accès à un service » ou « désavantage financièrement » la personne concernée.
Le RGPD prévoit toutefois trois exceptions où la décision automatisée reste permise :
| Exception |
Condition |
Crédit ? |
| Nécessité contractuelle | La décision est nécessaire à la conclusion ou l'exécution d'un contrat | Base la plus invoquée |
| Autorisation légale | Le droit national autorise la décision automatisée avec des garanties | Sous conditions strictes |
| Consentement explicite | La personne a donné son consentement explicite | Rarement utilisé |
🚨
Piège juridique
Même quand une exception s'applique, la banque doit obligatoirement mettre en œuvre des garanties spécifiques (article 22, paragraphe 3). Ces garanties ne sont pas optionnelles — elles incluent le droit de contester, d'exprimer son point de vue et d'obtenir un réexamen humain.
L’arrêt qui a tout changé : SCHUFA devant la CJUE
L’arrêt C-634/21 du 7 décembre 2023 a bouleversé la donne. Pour la première fois, la Cour de justice de l’Union européenne a interprété directement l’article 22 du RGPD dans le contexte du credit scoring.
Les faits : la société allemande SCHUFA, équivalent d’une agence de notation de crédit, calculait automatiquement des scores de solvabilité transmis aux banques. Un consommateur s’est vu refuser un crédit sur la base de ce score. Il a demandé à connaître les données utilisées et la logique du calcul. SCHUFA a refusé, invoquant le secret des affaires et arguant qu’elle ne prenait pas de « décision » — c’était la banque qui décidait.
Arrêt CJUE C-634/21
1
Le score est une décision
La notion doit être interprétée largement — le score lui-même constitue une décision, pas un simple acte préparatoire.
2
Le calcul est un profilage
Le calcul algorithmique du score répond à la définition du profilage (article 4 du RGPD).
3
Les effets sont significatifs
Lorsque le score est insuffisant, le refus de crédit par la banque est « presque systématique ».
📌
Bon à savoir
La CJUE a expressément rejeté l'argument du « contournement ». Si seule la décision finale de la banque pouvait être qualifiée de décision automatisée, l'article 22 perdrait toute effectivité car la banque ne dispose généralement pas des informations nécessaires pour répondre aux demandes d'explication.
Vos droits concrets
Que pouvez-vous réellement exiger face à un refus algorithmique ?
Lorsqu’une décision automatisée est prise à votre encontre, l’article 22 combiné aux articles 13 et 15 du RGPD vous confère quatre droits fondamentaux.
Être informé qu'une décision automatisée a été prise. Mention claire dans la politique de confidentialité et au moment du refus.
Connaître la logique et les critères utilisés. Description de la procédure, des données prises en compte et de leur pondération.
Contester la décision et exprimer son point de vue. La banque doit proposer une procédure accessible et effective.
Demander le réexamen par un être humain — un vrai réexamen, pas une simple validation automatique du score.
Le droit à l’explication ne signifie pas que la banque doit vous livrer l’intégralité de son algorithme. Comme l’a précisé la CJUE dans l’affaire SCHUFA, le responsable du traitement doit fournir des informations « suffisamment détaillées pour permettre à la personne de comprendre quelles données personnelles ont été utilisées ». En cas de conflit avec le secret des affaires, ces informations doivent au minimum être communiquées à l’autorité de contrôle ou au juge.
Le projet de référentiel de la CNIL sur l’octroi de crédit (soumis à consultation jusqu’au 18 juillet 2025) va plus loin : il recommande que les personnes soient informées de leur score obtenu ainsi que des notes minimales et maximales pour obtenir le crédit, afin qu’elles puissent comprendre où elles se situent.
En France, l’octroi de crédit repose sur un processus de scoring qui combine généralement plusieurs éléments. Contrairement à l’Allemagne où des sociétés tierces comme SCHUFA dominent, le scoring français est principalement réalisé en interne par les établissements de crédit.
Consultation du FICP
Fichier national des incidents de remboursement (Banque de France). Vérification obligatoire.
Analyse financière
Revenus, charges, taux d'endettement, historique bancaire, stabilité de l'emploi.
Modèle de scoring
Application d'un algorithme — souvent partiellement ou totalement automatisé, parfois avec de l'IA.
Comme le souligne la CNIL dans son projet de référentiel, « l’évaluation de la capacité de remboursement du demandeur (le scoring) est souvent partiellement ou totalement automatisée et implique, dans certains cas, l’usage de systèmes d’intelligence artificielle ».
💡
En pratique
La
CNIL rappelle qu'il n'existe pas de « droit au crédit » en France. L'établissement financier est libre de refuser un prêt en vertu de la liberté contractuelle (article 1101 du code civil). Mais cette liberté ne le dispense pas de respecter vos droits en matière de données personnelles et de décisions automatisées.
Agir
La feuille de route pour contester un refus
Face à un refus de crédit que vous estimez injustifié ou opaque, voici la marche à suivre, par ordre de priorité.
Étape 1
Droit d'accès auprès de la banque
Courrier recommandé au DPO invoquant les articles 15 et 22 du RGPD. Demandez la confirmation d'une décision automatisée, votre score, les seuils d'acceptation, les critères utilisés et un réexamen humain. Délai de réponse : 1 mois.
Étape 2
Plainte à la CNIL
Si la banque ne répond pas ou fournit une réponse insatisfaisante,
adressez une plainte à la CNIL. Elle peut vérifier la conformité et engager des mesures correctrices.
Étape 3
Médiateur bancaire
Parallèlement à la voie RGPD, saisissez gratuitement le médiateur bancaire de l'établissement concerné. Réexamen amiable du dossier, sans frais.
Étape 4
Recours juridictionnel
L'
article 79 du RGPD ouvre un droit de recours devant les tribunaux. La charge de la preuve repose largement sur le responsable du traitement.
Ce que le référentiel CNIL va changer pour les banques
La consultation publique lancée par la CNIL en mai 2025, élaborée dans le cadre du « club conformité » Banque, apporte des clarifications majeures pour les établissements de crédit français. Même si ce référentiel n’a pas valeur contraignante, il constitue la norme de référence que la CNIL utilisera lors de ses contrôles.
| Obligation |
Détail |
| Information préalable | Informer le demandeur, dès la réception de sa demande, qu'il pourra solliciter un réexamen en cas de rejet |
| Transparence du score | Communiquer le score obtenu, les notes min/max, et les critères principaux |
| Intervention humaine effective | Garantir un véritable réexamen humain, pas une simple validation automatique du score |
| Motifs de refus | Informer lorsque le refus résulte de la consultation du FICP, du FCC ou d'un fichier interne |
| Minimisation des données | Limiter la collecte aux données strictement nécessaires à l'évaluation de solvabilité |
| Durée de conservation | Encadrer strictement la conservation des données de scoring |
🚨
Piège juridique
Le projet de référentiel précise que la base légale de l'exception contractuelle (article 22.2.a du RGPD) ne suffit pas à elle seule. La banque doit être « en capacité de faire la démonstration » que le traitement automatisé est réellement nécessaire à la conclusion du contrat de crédit, au regard notamment des obligations précontractuelles imposées par les articles L. 312-16 et L. 313-16 du code de la consommation.
Anticiper
Le credit scoring classé « haut risque » par l’AI Act
Le cadre juridique se renforce encore avec le règlement européen sur l’intelligence artificielle (AI Act), entré en vigueur le 1er août 2024. Les systèmes de scoring de crédit sont explicitement classés « haut risque » dans l’Annexe III, point 5(b) du règlement.
Le texte vise précisément les « systèmes d’IA destinés à être utilisés pour évaluer la solvabilité des personnes physiques ou établir leur note de crédit, à l’exception des systèmes d’IA utilisés à des fins de détection de fraudes financières ».
Comme le détaille l’ACPR (Banque de France), les obligations qui s’appliqueront à partir du 2 août 2026 sont parmi les plus exigeantes :
| Obligation AI Act |
Article |
Impact pour le scoring |
| Gestion des risques | Art. 9 | Identifier et atténuer les biais algorithmiques tout au long du cycle de vie |
| Gouvernance des données | Art. 10 | Garantir la qualité, la représentativité et l'absence de biais des données |
| Documentation technique | Art. 11 | Documenter l'architecture, les performances et les limites du modèle |
| Traçabilité | Art. 12 | Enregistrement automatique de chaque décision pour audit |
| Transparence | Art. 13 | Information claire des utilisateurs sur le fonctionnement du système |
| Supervision humaine | Art. 14 | Garantir une capacité effective d'intervention humaine |
| Exactitude et robustesse | Art. 15 | Tests de performance, résistance aux attaques adverses |
📌
Bon à savoir
L'AI Act interdit par ailleurs le scoring social par les autorités publiques (article 5). Pour le secteur privé, le scoring de crédit reste autorisé mais strictement encadré. La distinction est nette : le scoring de crédit évalue la solvabilité pour un crédit spécifique, tandis que le scoring social attribue une note générale influençant l'accès à divers droits.
Pourquoi les deux cadres se cumulent — et pourquoi ça change tout
Un point que beaucoup négligent : le RGPD et l’AI Act ne se substituent pas l’un à l’autre. Ils se cumulent. Un système de scoring de crédit fondé sur l’IA devra respecter simultanément les deux cadres réglementaires.
RGPD — applicable maintenant
Approche : protection des données personnelles
Explication : logique du traitement, données utilisées
Humain : droit individuel de demander un réexamen
Sanction : 20 M€ ou 4 % du CA mondial
Autorité : CNIL
AI Act — applicable août 2026
Approche : sécurité et fiabilité du système IA
Explication : documentation technique, performances
Humain : supervision intégrée au système dès la conception
Sanction : 35 M€ ou 7 % du CA (pratiques interdites)
Autorité : ACPR + autorité de surveillance du marché
⚠️
Attention
Les
sanctions de l'AI Act pour les systèmes à haut risque peuvent atteindre
15 millions d'euros ou 3 % du chiffre d'affaires mondial. Pour les pratiques interdites (scoring social), elles montent à 35 millions d'euros ou 7 % du CA.
Ce que le droit à l’explication ne vous donnera pas
Le droit à l’explication n’est pas absolu. Plusieurs limites pratiques méritent d’être identifiées.
Le secret des affaires
Les banques peuvent refuser de divulguer les détails de leurs algorithmes de scoring au motif qu’ils constituent des secrets commerciaux. L’arrêt SCHUFA a nuancé cet argument : si le responsable du traitement invoque le secret des affaires, il doit néanmoins fournir les informations à l’autorité de contrôle ou à la juridiction compétente, qui pourront vérifier la conformité.
Le problème de la « boîte noire »
La complexité technique des modèles de machine learning pose un défi structurel. Dans le cas de réseaux neuronaux profonds, même les concepteurs du modèle peuvent avoir des difficultés à expliquer précisément pourquoi un score donné a été attribué.
Les limites de la CNIL
La CNIL n’est pas compétente pour apprécier le bien-fondé commercial d’un refus de crédit. Son rôle se limite à vérifier le respect des règles de protection des données. Si votre score est bas parce que vos revenus sont objectivement insuffisants, aucun recours RGPD ne changera cette réalité économique.
💡
En pratique
Si vous estimez être victime d'une discrimination (fondée sur l'origine, le genre, le lieu de résidence, etc.) dans le calcul de votre score, c'est un autre fondement juridique qui s'applique — le droit anti-discrimination. Vous pouvez saisir le Défenseur des droits en parallèle de vos démarches RGPD.
Se préparer
Sept réflexes à adopter avant et après un refus
1
Demandez si un scoring a été utilisé
Avant toute demande de crédit, interrogez votre banque. L'article 13 du RGPD impose une information proactive.
2
Vérifiez votre inscription au FICP
Une inscription erronée est la cause la plus fréquente de refus inexpliqués. Demande directe auprès de la Banque de France.
Courrier recommandé au DPO, en citant les articles 15 et 22 du RGPD. Conservez une trace de toutes vos démarches.
4
Exigez un réexamen humain
Ne vous contentez pas d'une réponse type. Insistez pour qu'une personne physique réexamine votre dossier (article 22.3).
Le droit de rectification (article 16 RGPD) corrige toute donnée erronée. Des données périmées faussent le calcul.
6
Multipliez les établissements
Chaque banque utilise ses propres modèles de scoring. Un refus chez l'un ne préjuge pas de la réponse d'un autre.
En cas de contentieux, vous devrez démontrer vos démarches. Gardez copies des échanges, captures d'écran et accusés de réception.
Les échéances à retenir
25 mai 2018
Entrée en vigueur du RGPD — article 22 applicable, droits sur les décisions automatisées.
7 décembre 2023
Arrêt CJUE SCHUFA Holding (C-634/21) — le credit scoring est une décision individuelle automatisée au sens du RGPD.
1er août 2024
Entrée en vigueur de l'AI Act — début du calendrier d'application progressif.
2 février 2025
Scoring social par les autorités publiques interdit (AI Act).
18 juillet 2025
Clôture de la consultation CNIL sur le référentiel octroi de crédit.
Automne 2025
Adoption prévue du référentiel CNIL — version finale applicable au scoring en France.
2 août 2026
Obligations systèmes haut risque (AI Act) — le scoring de crédit IA soumis à l'ensemble des obligations du Titre III.
La pression réglementaire sur les algorithmes de crédit n’a jamais été aussi forte. Avec l’arrêt SCHUFA, le référentiel CNIL et l’échéance d’août 2026 de l’AI Act, les banques qui continuent à traiter les refus algorithmiques comme une boîte noire s’exposent à un risque juridique croissant. Pour les emprunteurs, le message est clair : les outils existent, les droits sont réels, et les contester n’est plus un parcours du combattant réservé aux juristes. C’est un droit fondamental que le cadre européen rend enfin opérationnel.
Sources principales