Décision automatisée en KYC : où s'arrête l'évaluation, où commence la décision ?

En bref : le 21 août 2026, l'autorité néerlandaise de protection des données a infligé 825 millions d'euros d'amende à Uber pour avoir désactivé des comptes de chauffeurs sur la base de décisions automatisées, sans intervention humaine réelle. L'article 22 du RGPD encadre les décisions entièrement automatisées produisant des effets significatifs sur une personne, et la CJUE a jugé fin 2023 qu'un score peut constituer en lui-même une telle décision. Pour les équipes KYC, LCB-FT et due diligence, la question n'est plus de savoir s'il faut automatiser, mais où placer la frontière entre automatiser l'évaluation du risque et automatiser la décision sur une personne. La réponse tient en 4 conditions qui font qu'une intervention humaine est réelle, et non un simple clic de validation.

‍

L'affaire Uber : ce qui s'est réellement passé

‍

Entre 2018 et 2022, Uber a désactivé des comptes de chauffeurs sur la base de systèmes automatisés, notamment en cas de suspicion de fraude ou d'évaluations trop basses. Couper l'accès à l'application, c'est couper l'accès aux revenus : l'effet sur la personne est significatif, au sens le plus concret du terme.

‍

Le 21 août 2026, l'Autoriteit Persoonsgegevens, l'autorité néerlandaise de protection des données, a prononcé une amende de 825 millions d'euros, la deuxième plus élevée de l'histoire du RGPD. Le grief central n'est pas l'usage d'algorithmes en soi : c'est l'absence d'intervention humaine suffisante. Les revues censées encadrer ces désactivations ont été jugées formelles, sans examen réel des dossiers. Uber conteste la décision et a annoncé un appel : l'affaire n'est donc pas définitivement jugée, mais le signal envoyé aux entreprises est déjà très clair.

‍

Ce signal dépasse largement les plateformes de VTC. Toute organisation qui score des personnes et déclenche des actions sur cette base est concernée par la même question de gouvernance.

‍

Ce que dit l'article 22 du RGPD, et ce que la CJUE en a fait

‍

L'article 22 du RGPD pose un principe : une personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques la concernant ou l'affecte de manière significative de façon similaire. Refuser un crédit, refuser une entrée en relation, résilier un accès à un service : ces effets entrent typiquement dans le champ.

‍

L'arrêt SCHUFA de la Cour de justice de l'Union européenne (7 décembre 2023, affaire C-634/21) a considérablement durci la lecture de ce texte. La Cour a jugé que l'établissement automatisé d'un score de solvabilité peut constituer en lui-même une décision individuelle automatisée, dès lors que le destinataire du score s'y fie de manière déterminante. Autrement dit : si votre organisation suit quasi systématiquement le score d'un prestataire, la décision automatisée n'est pas prise au moment où vous cliquez, elle est prise au moment où le score tombe. Déléguer le calcul ne délocalise pas la responsabilité.

‍

L'article 22 prévoit des exceptions : la décision nécessaire à la conclusion d'un contrat, la décision autorisée par le droit de l'Union ou d'un État membre, et le consentement explicite. Mais aucune de ces exceptions ne supprime les garanties : information de la personne, droit d'obtenir une intervention humaine, droit d'exprimer son point de vue et de contester la décision.

‍

Le KYC et la due diligence ne sont pas hors-jeu

‍

Le réflexe naturel des équipes conformité est de penser que leurs traitements échappent au sujet, parce qu'ils sont imposés par la loi. C'est en partie vrai, et c'est précisément là que la nuance compte.

Les obligations de vigilance LCB-FT reposent sur le droit de l'Union et le droit national : un dispositif KYC peut donc s'appuyer sur l'exception de l'article 22. L'évaluation des tiers au titre de Sapin II répond de même à une obligation légale de l'entreprise. Mais une base légale pour évaluer n'est pas un blanc-seing pour rejeter automatiquement. 3 situations méritent un examen honnête de vos processus :

‍

• Le rejet automatique à l'entrée en relation. Un moteur de scoring analyse identité, signaux de risque et listes de sanctions, le score dépasse un seuil, et la relation est refusée sans qu'aucun analyste n'ait ouvert le dossier. L'évaluation était obligatoire ; le rejet sans revue, lui, relève d'un choix d'organisation.
• La due diligence fournisseur qui écarte un tiers sur score. Un auto-entrepreneur analysé automatiquement (bénéficiaires effectifs, sanctions, presse négative) se voit refuser un référencement sur la seule foi d'un score élevé. L'effet sur son activité est significatif, et la personne physique derrière la micro-entreprise est bien une personne concernée.
• Le score externe suivi aveuglément. Depuis SCHUFA, s'abriter derrière "c'est le score du prestataire" ne fonctionne plus si ce score est déterminant dans votre décision.

La ligne de partage n'est donc pas "conformité ou pas conformité". Elle est : vos seuils orientent-ils les dossiers vers le bon niveau de traitement, ou prononcent-ils eux-mêmes le refus ?

‍

L'AI Act ajoute une seconde couche

‍

Le RGPD n'est plus le seul texte à poser la question. Le règlement européen sur l'intelligence artificielle classe l'évaluation de la solvabilité des personnes physiques parmi les systèmes à haut risque, avec des exigences de transparence, de documentation et de supervision humaine effective. Le texte est explicite sur un point qui rejoint l'affaire Uber : la supervision doit permettre à un humain de comprendre les capacités et les limites du système, de rester conscient du biais d'automatisation, et d'intervenir ou d'interrompre le système. Une supervision qui se limite à entériner les sorties de la machine ne répond pas à cette définition. Pour le détail des obligations et du calendrier, voyez notre décryptage de l'AI Act appliqué au scoring, à l'identité et à la fraude.

‍

Human in the loop : les 4 conditions d'une intervention réelle

‍

C'est le cœur du sujet, et le point sur lequel l'affaire Uber, les lignes directrices européennes sur les décisions automatisées et l'AI Act convergent : une intervention humaine n'est réelle que si elle est significative, exercée par une personne ayant l'autorité et la compétence pour changer la décision. Concrètement, cela suppose 4 conditions.

‍

• Comprendre le résultat. L'analyste doit savoir pourquoi le score est ce qu'il est : quels signaux ont pesé, dans quel sens, avec quelle force. Un score opaque rend l'intervention humaine formelle par construction : on ne peut pas contester ce qu'on ne peut pas expliquer. C'est exactement ce que garantit une IA explicable, qui restitue ses motifs décision par décision.
• Disposer des informations pour le remettre en cause. Voir le score ne suffit pas : il faut accéder aux données sous-jacentes, à leur source et à leur fraîcheur, pour pouvoir repérer une erreur ou un contexte que le modèle ignore.
• Avoir le temps d'exercer un jugement. Si l'organisation cible un volume de dossiers par analyste incompatible avec une revue réelle des cas signalés, l'intervention humaine existe sur l'organigramme, pas dans les faits. C'est un paramètre de charge de travail, donc un choix de direction.
• Avoir le pouvoir de décider autrement. L'analyste doit pouvoir prendre une décision différente du score, dans les deux sens, et cette décision doit être tracée avec son motif. Si le système ne le permet pas, ou si personne ne le fait jamais, la revue humaine est un tampon.

‍

Ces 4 conditions ont une conséquence pratique : le "human in the loop" ne se décrète pas dans une politique interne, il se démontre dans l'outillage et dans les chiffres. Un régulateur qui audite votre dispositif ne lira pas votre procédure, il regardera la part de décisions où vos analystes ont repris la main, vos temps de revue et la traçabilité de vos décisions.

‍

Ce que cela change dans le choix et le paramétrage de vos outils

‍

Automatiser l'analyse reste indispensable : personne ne reviendra à la vérification manuelle de chaque dossier, et ce n'est souhaitable ni pour la détection de la fraude ni pour l'expérience des clients légitimes. Le sujet est de configurer l'automatisation pour qu'elle évalue vite et bien, et que la décision sur les cas à effet significatif reste gouvernée. 4 critères concrets, à poser dès l'appel d'offres :

• L'explicabilité native. Le score restitue-t-il ses motifs pour chaque décision, dans un langage exploitable par un analyste, ou faut-il croire la machine sur parole ?
• L'architecture de seuils. L'outil permet-il de distinguer validation fluide des cas sains, revue humaine des cas ambigus, et blocage des seuls cas où la loi l'impose (sanctions, par exemple) ? Un système qui ne connaît que "accepté ou rejeté" vous pousse mécaniquement vers la décision automatisée.
• La reprise en main tracée. L'analyste peut-il prendre une décision différente du score, avec motif obligatoire, horodatage et conservation dans le dossier ? C'est la preuve matérielle de votre intervention humaine.
• La piste d'audit complète. En cas de contrôle ou de contestation par la personne concernée, pouvez-vous produire l'intégralité de la décision : données consultées, version du modèle, signaux pesants, intervention humaine éventuelle ? Ces exigences rejoignent celles que nous détaillons dans notre guide pour choisir une solution KYC, et elles deviendront structurantes à mesure que AML6 harmonise les contrôles à l'échelle européenne.

‍

En conclusion

‍

L'amende Uber ne condamne pas l'automatisation : elle condamne l'automatisation sans gouvernance. Entre un outil qui évalue et un système qui décide, la frontière ne passe pas par la technologie, elle passe par l'organisation : des seuils qui orientent au lieu de trancher, des analystes qui comprennent ce qu'ils valident, le temps et le pouvoir de décider autrement, et la trace de tout cela. Les textes convergent, du RGPD à l'AI Act en passant par la jurisprudence SCHUFA : l'évaluation peut être automatique, la décision sur une personne doit rester gouvernée. Les organisations qui l'intègrent maintenant dans le choix de leurs outils transforment une exposition réglementaire en avantage : des décisions plus rapides ET défendables. Pour voir ce que donne un scoring explicable où l'analyste garde le dernier mot, testé sur vos propres cas, planifiez une démo.

‍

FAQ

‍

Qu'est-ce qu'une décision entièrement automatisée au sens du RGPD ?

C'est une décision prise sans intervention humaine significative, qui produit des effets juridiques sur une personne ou l'affecte de manière similaire : refus de crédit, refus d'entrée en relation, désactivation d'un compte. L'article 22 du RGPD pose un droit de ne pas y être soumis, sauf exceptions (contrat, autorisation légale, consentement explicite), toujours assorties de garanties.

‍

Un scoring KYC relève-t-il de l'article 22 ?

Pas automatiquement : la qualification dépend de la nature du traitement, de la personne concernée et des effets de la décision. Les obligations LCB-FT offrent une base légale à l'évaluation. Mais si le score déclenche un refus sans revue humaine réelle, ou si un score externe est suivi de manière déterminante (jurisprudence SCHUFA), le dispositif se rapproche de la décision entièrement automatisée et de ses obligations.

‍

Qu'est-ce qu'une intervention humaine réelle ?

Une intervention exercée par une personne qui comprend le résultat (motifs du score), dispose des informations pour le contester, a le temps d'examiner le dossier et le pouvoir de prendre une décision différente, tracée avec son motif. Un clic de validation sur un écran "risque élevé, rejet" ne remplit aucune de ces conditions.

‍

Que change l'AI Act par rapport au RGPD sur ce sujet ?

Le RGPD protège la personne contre la décision automatisée ; l'AI Act encadre le système lui-même. Pour les usages à haut risque comme l'évaluation de solvabilité des personnes physiques, il impose transparence, documentation technique et supervision humaine effective, avec une attention explicite au biais d'automatisation. Les deux textes se cumulent.

‍

Peut-on refuser automatiquement un client en conformité ?

‍

Le blocage automatique se défend le mieux là où la loi l'impose directement, comme une correspondance confirmée sur une liste de sanctions. Pour le reste, la pratique robuste consiste à automatiser l'orientation des dossiers (validation fluide, revue renforcée) et à réserver le refus des cas ambigus à une décision humaine documentée.

‍

Sources : Autoriteit Persoonsgegevens, sanction du 21 août 2026 (825 M€, décision frappée d'appel) ; CJUE, 7 décembre 2023, SCHUFA Holding, C-634/21 ; RGPD, article 22 ; lignes directrices du CEPD relatives à la prise de décision individuelle automatisée (WP251) ; règlement (UE) 2024/1689 (AI Act), annexe III et article 14.

‍