Page mise à jour le
La réponse courte
Quand un système d'IA contribue à une décision concernant une personne, trois textes peuvent exiger que cette décision soit racontable. L'article 22 du RGPD encadre la décision individuelle fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques ou affecte significativement : en principe interdite, sauf exceptions, avec intervention humaine, expression du point de vue, contestation. L'article 86 de l'AI Act, pour certains systèmes à haut risque d'annexe III, donnera à la personne un droit d'obtenir du déployeur des explications claires sur le rôle du système et les principaux éléments de la décision — applicable avec le chapitre III, donc au 2 décembre 2027 pour l'annexe III. L'article 26, paragraphe 6, imposera de conserver les journaux au moins six mois. En 2026, le RGPD et le bon sens suffisent déjà à imposer des traces.
Ce que « exclusivement automatisé » veut dire, concrètement
La CNIL, dans le guide du recrutement, considère qu'écarter ou reléguer une candidature à un second rang non contrôlé par un humain peut constituer une décision exclusivement automatisée. Un humain qui clique « OK » sur une liste de deux cents noms sans les lire n'est pas une intervention humaine au sens de l'article 22 : c'est un tampon. L'intervention doit être réelle, par quelqu'un qui a l'autorité et l'information pour dire non. C'est le même raisonnement que l'article 26, paragraphe 2, de l'AI Act reprendra pour le haut risque, et que l'article sur l'humain dans la boucle, sur ce site, détaille comme méthode. L'auditabilité commence là : si personne ne peut dire pourquoi cette candidature est sortie, ce n'est pas un recrutement, c'est un tirage.
Ce qu'il faut journaliser pour pouvoir expliquer
Pas le modèle entier. L'identité du système et sa version. La finalité de la passe. Les données d'entrée réellement utilisées (ou leur empreinte, si on ne peut les garder). La sortie. L'identité de l'humain qui a validé, modifié ou rejeté, avec l'horodatage. Le cas échéant, le motif saisi. C'est suffisant pour reconstituer une décision, et c'est déjà trop pour être collé dans un tableur oublié. La durée : le RGPD impose de ne pas garder plus longtemps que nécessaire ; l'AI Act, pour le haut risque, imposera au moins six mois pour les journaux automatiques. Ces deux bornes se parlent : six mois comme plancher opérationnel pour un usage sensible, plus si un délai de recours ou de conservation RH l'exige, documenté. Sans ces traces, l'article 86, le jour venu, sera impossible à tenir, et l'article 22 l'est déjà.
Expliquer n'est pas livrer le modèle
L'article 86 parle d'explications « claires et pertinentes » sur le rôle du système et les « principaux éléments » de la décision. Pas d'un dump de poids, pas d'une thèse. Pour une PME, cela ressemble à : ce système a classé, sur tels critères déclarés, telle candidature a été écartée, telle personne a relu, tel recours existe. Les limites de performance, les biais connus, ce que le système ne fait pas, appartiennent à la notice du fournisseur (article 13). Si cette notice n'existe pas, vous ne pourrez pas expliquer. C'est un critère d'achat, pas un exercice de communication. Halluciner une justification a posteriori, parce que le journal est vide, est pire que d'avouer qu'on ne sait pas : c'est une fausse preuve.
Ce qui n'est pas auditable, et qu'il ne faut pas automatiser
Un modèle dont le fournisseur refuse toute trace d'entrée-sortie. Un usage où l'humain n'a ni le temps ni l'autorité de dire non. Un profilage dont on ne peut pas lister les sources. Ces cas ne se « rendent » pas auditables par un prestataire d'après-coup. Ils se refusent, ou se bornent à une aide à la décision strictement préparatoire, avec relecture réelle. L'article 6, paragraphe 3, de l'AI Act décrit d'ailleurs des tâches préparatoires qui, hors profilage, peuvent sortir du haut risque. Préparatoire veut dire : un humain fait encore le travail d'évaluation. Si ce n'est plus vrai, ce n'est plus préparatoire, et l'auditabilité redevient obligatoire — au titre du RGPD dès aujourd'hui.
À vérifier chez vous
Ce que vous pouvez contrôler vous-même
Des points vérifiables sans expertise juridique. Si l'un d'eux coince, c'est celui-là qu'il faut apporter à votre conseil.
- Pour chaque usage : décision, aide à la décision, ou simple rédaction ? Le mot change les textes applicables.
- Si une personne peut être écartée, notée, tarifée : journal + humain réel + voie de recours.
- Exiger du fournisseur ce que l'article 13 mettra dans la notice (limites, journaux, contrôle humain).
- Fixer une durée de conservation des traces, et un responsable de leur lisibilité.
- Ne pas « expliquer » après coup ce que le journal ne contient pas.
Sources
Chaque affirmation de cette page renvoie au texte qui fait foi. En cas d'écart entre cette page et la source, c'est la source qui a raison.
- EUR-Lex — règlement (UE) 2016/679 (RGPD) (nouvel onglet)
Articles 5, 6 (base légale), 9, 13-14, 22, 24, 28 (sous-traitant), 32, 35 (AIPD), chapitre V (transferts).
- EUR-Lex — règlement (UE) 2024/1689 consolidé (CELEX 02024R1689-20260727) (nouvel onglet)
Seul texte de l'AI Act à citer depuis le 27 juillet 2026. Article 113 (calendrier), articles 4, 5, 6, 25, 26, 27, 50, 99, annexes I et III.
- CNIL — guide du recrutement (nouvel onglet)
Janvier 2023. Décision exclusivement automatisée quand des candidatures sont écartées sans contrôle humain réel.
- CNIL — réaliser une analyse d'impact si nécessaire (IA) (nouvel onglet)
Fiche du 8 avril 2024. Profilage ou décision automatisée : AIPD toujours requise. Correctif dans les deux sens sur la règle des deux critères.
- CNIL — contrôles prioritaires 2026 (nouvel onglet)
Le recrutement (systèmes de décision automatisée, information des candidats, durées de conservation) est un thème prioritaire 2026.
Vos questions
L'article 86 s'applique-t-il déjà ?
Non. Il est au chapitre III, et suit le calendrier du haut risque : 2 décembre 2027 pour l'annexe III. Il ne vise pas tous les systèmes, et pas l'annexe III point 2 (infrastructures critiques). Il vise les personnes faisant l'objet d'une décision prise par un déployeur sur la base des sorties d'un système à haut risque, avec effets juridiques ou affectation significative. En 2026, c'est l'article 22 du RGPD, l'information des articles 13 et 14, et, le cas échéant, l'AIPD, qui tiennent déjà une bonne partie de cette exigence. Attendre 2027 pour commencer à journaliser, sur un tri de CV, est une mauvaise lecture des deux textes.
Dois-je pouvoir « ouvrir la boîte noire » du modèle ?
Le règlement ne vous impose pas, comme déployeur, d'accéder aux poids. Il vous impose, le moment venu, d'utiliser le système conformément à la notice, de surveiller, de journaliser, d'expliquer le rôle du système dans la décision. Si la notice est muette sur les limites et sur les journaux, vous ne pouvez pas. Le levier est contractuel et d'achat, pas reverse-engineering. Pour un modèle que vous opérez vous-même, vous avez plus de prise, et plus de charges. Ni l'un ni l'autre ne se décide le jour de la réclamation.
Une relecture par échantillon suffit-elle ?
Pour un usage réversible et peu engageant, un échantillon bien tiré apprend plus qu'une validation de toutes les lignes, qui devient un tampon. Pour une décision qui écarte une personne, non : l'article 22 attend une intervention humaine sur la décision, pas une statistique. Mélanger les deux régimes est l'erreur de conception la plus fréquente. L'échantillon mesure la qualité. L'intervention humaine, elle, porte sur le cas. L'auditabilité des deux n'est pas la même : l'une est un journal de contrôle, l'autre est un dossier de décision.
Une idée en tête ?
Réservez un rendez-vous ou écrivez-nous — réponse sous 24 h.