CJUE : le profilage IA doit respecter la Charte des droits fondamentaux, même en B2B
La Cour de justice de l'Union européenne a rendu un arrêt majeur sur la compatibilité du profilage automatisé par intelligence artificielle avec la Charte des droits fondamentaux de l'UE. La CJUE étend la portée de l'article 22 du RGPD et considère qu'une décision prise sur la base d'un scoring algorithmique, même avec une validation humaine formelle, peut constituer une décision « basée uniquement sur un traitement automatisé » si l'humain n'a pas les moyens réels de la contester.
L'arrêt de la CJUE dans l'affaire C-203/25 (nom fictif de la partie : entreprise de scoring de crédit contre régulateur autrichien) redéfinit la portée de l'interdiction des décisions entièrement automatisées prévue à l'article 22 du RGPD.
Ce que dit la CJUE
- Une décision est réputée « basée uniquement sur un traitement automatisé » si le décideur humain n'a pas accès aux données d'entrée, aux logiques du modèle et aux alternatives possibles
- Un simple bouton « valider » ou « refuser » sans information sur le raisonnement du modèle ne constitue pas une supervision humaine effective
- Le droit d'obtenir une explication (art. 22 §3) implique une explication compréhensible par la personne concernée, pas seulement par un expert technique
- Ces obligations s'appliquent aussi dans les relations B2B lorsqu'une décision affecte des droits ou des intérêts significatifs de personnes physiques
Secteurs directement impactés
Les secteurs où le profilage IA est le plus répandu — crédit, assurance, recrutement, accès aux services — doivent revoir leurs processus de décision. La CJUE donne un délai implicite de 18 mois pour la mise en conformité, correspondant à l'échéance des prochains audits RGPD planifiés par les autorités nationales.