Décision automatisée et RGPD : 5 garde-fous pour les PME

Une décision automatisée produit un résultat sans intervention humaine décisive. Lorsqu’elle bloque un accès, refuse un dossier ou affecte fortement une personne, le RGPD impose d’examiner sa licéité, l’information fournie, la possibilité de contester et la réalité du contrôle humain.

Un logiciel bloque un compte, refuse une demande ou écarte automatiquement un dossier. Sur le papier, le processus paraît rapide et cohérent. Pour la personne concernée, l’effet peut être brutal : plus d’accès au service, plus de revenu, parfois sans interlocuteur capable d’expliquer ou de corriger la décision.

La sanction de près de 825 millions d’euros annoncée le 24 août 2026 contre Uber rappelle une règle simple : automatiser une décision sensible ne dispense ni d’informer, ni de prévoir une intervention humaine réelle. Voici comment repérer les risques avant de déployer ce type de traitement dans une TPE ou une PME.

Pourquoi la sanction contre Uber concerne aussi les PME

Le 24 août 2026, la CNIL a relayé la décision de l’autorité néerlandaise de protection des données, prise en coopération avec elle : Uber B.V. et Uber Technologies Inc. ont été sanctionnées à hauteur de 824 990 000 euros. Le dossier faisait suite à une plainte collective déposée en 2020 par la Ligue des droits de l’Homme au nom de plus de 170 chauffeurs.

Le point central n’est pas la taille d’Uber, mais l’effet de la décision. Des comptes de chauffeurs ont été désactivés temporairement ou définitivement pour suspicion de fraude ou note insuffisante, sans intervention humaine. Les personnes bloquées ne pouvaient alors plus accepter de courses ni percevoir de revenus par l’intermédiaire de la plateforme.

Une PME peut rencontrer le même risque à une autre échelle. Un outil peut écarter automatiquement une candidature, suspendre un client, refuser une réservation ou interrompre une prestation. Dès qu’une décision repose uniquement sur un traitement automatisé et produit un effet juridique ou une conséquence comparable, l’article 22 du RGPD doit être examiné.

Reconnaître une décision automatisée à effet important

Un traitement n’entre pas automatiquement dans le champ de l’article 22 parce qu’un logiciel calcule un score. La question décisive est double : la décision finale repose-t-elle uniquement sur ce traitement, et produit-elle un effet juridique ou affecte-t-elle significativement la personne ? Un simple outil d’aide, réellement examiné par un humain, n’est pas la même chose qu’un verdict automatique.

Trois questions à poser avant le déploiement

Commencez par suivre le parcours complet, pas seulement la promesse commerciale du logiciel. Que se passe-t-il lorsque le score dépasse un seuil ? Une personne contrôle-t-elle le dossier avant l’action ? La conséquence touche-t-elle l’accès à un emploi, à un service, à un contrat, à un paiement ou à une source de revenu ?

Prévoir une intervention humaine qui puisse changer la décision

Ajouter une validation de façade ne suffit pas. La personne chargée de la revue doit disposer du temps, des informations et de l’autorité nécessaires pour réexaminer le dossier. Elle doit comprendre les données utilisées, considérer les explications de l’intéressé et pouvoir modifier ou annuler le résultat produit par le système.

Concrètement, évitez la case cochée en série par un opérateur qui n’a accès qu’au score final. Donnez-lui les éléments utiles : données d’entrée, règle appliquée, signaux ayant déclenché l’alerte, limites connues et historique du dossier. Prévoyez aussi une procédure claire pour les situations urgentes, par exemple lorsqu’un blocage interrompt immédiatement l’activité d’un professionnel.

Informer et permettre une contestation simple

Une personne ne devrait pas découvrir après coup qu’un algorithme a décidé pour elle. Lorsque les règles du RGPD sur la décision automatisée s’appliquent, l’information doit permettre de comprendre l’existence du traitement, sa logique générale, son importance et les conséquences envisagées. Il ne s’agit pas de publier le code source, mais de rendre le mécanisme intelligible.

Le recours doit être visible et praticable. Indiquez un canal de contact, le délai de réponse, les pièces qui peuvent être fournies et l’identité de l’équipe responsable. Évitez de renvoyer la personne vers le même système qui a produit le blocage. La contestation doit déclencher un véritable réexamen humain.

Une réponse utile explique les principaux motifs, les informations prises en compte et la suite possible. Cette clarté réduit les incompréhensions, facilite la correction des erreurs et donne aussi à l’entreprise des retours précieux sur les défauts de son processus.

Documenter les règles, les données et les erreurs

Un dispositif maîtrisé laisse des traces exploitables : finalité, base juridique, données utilisées, règles de décision, seuils, personnes habilitées, contrôles, incidents et corrections. Cette documentation aide à démontrer la conformité, mais surtout à repérer les décisions incohérentes avant qu’elles ne touchent trop de personnes.

Suivez des indicateurs concrets : nombre de décisions automatiques, taux de recours, proportion de décisions modifiées après revue, motifs d’erreur et délais de traitement. Une hausse des contestations ou des annulations humaines peut révéler une donnée obsolète, un seuil mal réglé ou une règle devenue inadaptée.

Vérifiez enfin les données d’entraînement ou de paramétrage lorsqu’un modèle prédictif intervient. Leur qualité, leur actualité et leur pertinence conditionnent le résultat. Un prestataire peut fournir l’outil ; l’entreprise qui l’utilise doit néanmoins comprendre son rôle, ses responsabilités et les garanties contractuelles attendues.

Les cinq actions à lancer avant d’automatiser

1. Décrire la décision de bout en bout : données, score, seuil, action déclenchée et conséquence.
2. Vérifier le cadre juridique : notamment l’article 22 du RGPD, ses exceptions et les garanties associées.
3. Installer une revue humaine effective : avec des compétences, des informations et un pouvoir de correction.
4. Rendre le recours accessible : interlocuteur identifiable, délai annoncé et réponse motivée.
5. Tester et mesurer : erreurs, contestations, décisions renversées et impacts sur les personnes.

Si votre entreprise utilise déjà un score ou une règle automatique pour accepter, refuser, bloquer ou résilier, commencez par une revue ciblée de ce parcours. Une heure passée à suivre un cas réel de bout en bout permet souvent d’identifier le point où l’humain a disparu.

Sources

• CNIL — Décisions automatisées : sanction de près de 825 millions d’euros à l’encontre d’Uber, 24 août 2026
• CNIL — Profilage et décision entièrement automatisée
• CNIL — RGPD, article 22

Les trois réponses à retenir