Accueil › Blog › Droit à l'explication d'une décision automatisée

Le droit de savoir pourquoi une IA t'a refusé quelque chose

Publié le 27 octobre 2026 · par Amine, AI business analyst en CAC 40 · 8 min de lecture

Un prêt refusé sans que personne ne t'explique pourquoi. Un compte bloqué du jour au lendemain. Une candidature écartée avant qu'un être humain ne l'ait seulement regardée. Quand c'est une machine qui tranche, la plupart des gens baissent les bras, parce qu'ils ignorent qu'ils ont le droit de demander des comptes. Ce droit existe. Il est écrit noir sur blanc dans deux textes européens, et il vient tout juste de se renforcer.

Quand une machine décide à ta place, la loi pose un principe simple

Le point de départ tient en une phrase, et elle n'est pas intuitive : par principe, une machine n'a pas le droit de décider seule de ton sort.

L'article 22 du RGPD pose qu'une personne a le droit de ne pas être soumise à une décision fondée exclusivement sur un traitement automatisé — y compris le profilage — lorsque cette décision produit des effets juridiques à son égard ou l'affecte de manière significative. La CNIL définit la décision entièrement automatisée comme une décision prise « sans qu'aucun être humain n'intervienne dans le processus ». Un refus de crédit calculé par un algorithme sans intervention humaine, c'est exactement ça. Un compte de chauffeur désactivé par un logiciel, c'est encore ça.

Il y a trois exceptions, et elles sont importantes pour comprendre le reste. Une décision automatisée reste possible quand elle est nécessaire à un contrat que tu as conclu, quand elle est autorisée par la loi, ou quand tu as donné ton consentement explicite. Mais même dans ces cas, l'organisme n'a pas carte blanche : il doit prévoir des garanties pour limiter le risque d'arbitraire. C'est là que ton droit à l'explication se loge.

Et l'explication, tu y as vraiment droit ?

Ici, il faut être précis, parce que c'est l'endroit où beaucoup de contenus racontent n'importe quoi. Le RGPD ne contient pas, mot pour mot, un « droit à l'explication » autonome. Ce qu'il contient, c'est un faisceau de droits qui, mis bout à bout, produisent le même résultat.

D'abord, l'information. Au moment où tes données sont collectées, et à tout moment sur ta demande, l'organisme doit t'informer de l'existence d'une décision automatisée, de la logique sous-jacente, et de l'importance et des conséquences prévues pour toi. Ensuite, l'accès : l'article 15 t'ouvre un droit d'obtenir une « information utile concernant la logique sous-jacente » du traitement. Enfin, la contestation : l'article 22 te donne le droit d'obtenir une intervention humaine, d'exprimer ton point de vue et de contester la décision.

La nuance à retenir, et elle change tout dans la pratique : tu as droit à la logique, pas à la recette. L'organisme doit t'expliquer, dans des termes que tu peux comprendre, quels critères ont été utilisés, comment ils ont pesé, et comment ils ont abouti à la décision qui te concerne. Il n'a pas à te livrer le code source, ni les pondérations exactes du modèle. C'est une explication significative, pas un transfert de secret industriel. Et c'est déjà beaucoup plus que ce que la plupart des gens osent demander.

Ce que l'AI Act change depuis le 2 août 2026

Le RGPD a dix ans de jurisprudence derrière lui. Mais il ne couvre qu'une partie du terrain : les décisions prises sur la base de tes données personnelles. L'AI Act, lui, arrive avec une arme supplémentaire, et elle est entrée en vigueur il y a moins de trois mois.

L'article 86 du règlement européen 2024/1689 crée un droit à l'explication des décisions individuelles. Concrètement : toute personne visée par une décision prise sur la base d'un système d'IA à haut risque, et qui l'affecte significativement, a le droit d'obtenir du responsable du déploiement « des explications claires et significatives sur le rôle du système d'IA dans la procédure de prise de décision et sur les principaux éléments de la décision prise ».

Ce qui compte, c'est le périmètre. Les systèmes à haut risque, ce sont notamment ceux utilisés pour le recrutement, la gestion des travailleurs, l'éducation, et l'accès aux services essentiels comme le crédit ou les prestations sociales. Autrement dit : les refus qui te font le plus mal dans la vie réelle sont précisément ceux où ce droit s'applique. Et la différence avec le RGPD est nette : là où le RGPD te donne des droits sur tes données, l'article 86 te donne un droit directement sur la décision elle-même.

L'affaire Uber : 825 millions pour des comptes bloqués par une machine

Un droit n'existe vraiment que quand quelqu'un l'a fait payer. Le 21 août 2026, l'autorité néerlandaise de protection des données, en coopération avec la CNIL, a infligé à Uber une amende de 824 990 000 euros pour des décisions individuelles automatisées.

Les faits sont parlants. Des chauffeurs de la plateforme voyaient leur compte désactivé — temporairement en cas de suspicion de fraude, temporairement ou définitivement en cas de note basse attribuée par les clients — sans qu'aucun humain n'intervienne dans la décision. Or, pour un chauffeur VTC, un compte bloqué, ce n'est pas un détail : c'est l'impossibilité de travailler et de générer un revenu. C'est exactement ce que le RGPD appelle une décision qui « affecte de manière significative » une personne.

La leçon dépasse Uber. Elle porte sur un réflexe très répandu chez les entreprises : croire qu'un humain « quelque part dans le circuit » suffit à échapper à l'article 22. Les autorités l'ont dit clairement : si l'intervention humaine n'est pas réelle, si personne ne réexamine effectivement la situation, alors la décision reste « exclusivement automatisée » aux yeux de la loi. Ce n'était pas la première sanction d'Uber sur ce dossier — l'entreprise avait déjà été condamnée en 2023 et 2024 pour d'autres manquements. Mais c'est la première à mettre un prix, très élevé, sur le droit des individus à ne pas être tranchés par une machine.

Comment exercer ton droit, concrètement

Tout ce qui précède ne vaut que si tu t'en sers. Voici la marche à suivre, sans jargon, dans l'ordre.

Première étape : identifier. Pose-toi une question simple : est-ce qu'un humain a réellement regardé mon dossier, ou est-ce qu'un système a rendu une décision tout seul ? Si tu as reçu un refus instantané, automatique, sans interlocuteur, il y a de bonnes chances que tu sois dans le champ de l'article 22.

Deuxième étape : écrire. Adresse un message écrit à l'organisme — idéalement à son délégué à la protection des données, que toute structure sérieuse doit mentionner dans sa politique de confidentialité. Cite l'article 22 du RGPD, et l'article 86 de l'AI Act si un système à haut risque est en cause. Demande précisément trois choses : la logique sous-jacente de la décision, l'intervention d'un humain pour réexaminer ta situation, et la contestation de la décision.

Troisième étape : saisir la CNIL. Si l'organisme ne répond pas, répond de façon évasive, ou refuse l'intervention humaine, tu peux déposer une plainte auprès de la CNIL. C'est elle qui instruit, et c'est elle qui sanctionne. L'affaire Uber a commencé en 2020 par une plainte collective de plus de 170 chauffeurs portée par une association — elle s'est terminée six ans plus tard par une amende de 825 millions.

Ce qu'il faut retenir, c'est que ce droit n'est pas une vue de l'esprit. Il s'appuie sur deux règlements européens, une autorité qui sanctionne, et une jurisprudence qui s'accumule. La seule chose qui manque, la plupart du temps, c'est la personne qui sait qu'elle peut demander.

Questions fréquentes

Écrit par Amine Lounnas

AI business analyst depuis cinq ans dans des grands groupes du CAC 40 — banque, assurance, énergie. Certifié DPO et CIPP/E. Mon métier consiste à identifier quelles tâches une entreprise peut automatiser ; ce site retourne cette méthode vers les salariés.

Qui écrit ici, et comment →