À l’heure où l’intelligence artificielle s’impose dans les mécanismes de décision bancaire, la CNIL a mis en consultation publique un projet de référentiel sur l’évaluation de la solvabilité, établissant un cadre contraignant pour les établissements de crédit. L’enjeu : sécuriser l’usage des données personnelles dans l’octroi automatisé de crédit, en plaçant l’analyse d’impact (AIPD) au centre de la conformité.
L’AIPD, pilier de la régulation algorithmique
Toute utilisation d’un système de scoring automatisé — notamment fondé sur l’IA — doit faire l’objet d’une AIPD préalable. Ce document doit démontrer la pertinence des données collectées, l’absence de biais discriminants, la capacité à expliquer les décisions automatisées et l’existence d’un recours humain efficace, afin que l’algorithme ne devienne ni un juge opaque ni une source d’exclusion sociale.
Finalité, données et droit à l’oubli bancaire
La seule finalité admise est l’évaluation de la capacité de remboursement ; toute réutilisation commerciale ou comportementale est proscrite sauf base légale distincte. Seules les données strictement nécessaires peuvent être traitées (revenus, charges, logement, situation familiale, incidents de paiement passés), dans le respect de durées de conservation précises : six mois pour un dossier de rejet de crédit ou une défaillance régularisée, cinq ans pour une défaillance non régularisée — afin d’éviter les effets de liste noire indéfinie. Le fondement juridique repose sur l’article 6.1.b du RGPD (mesures précontractuelles) ; la consultation du FICP est obligatoire, celle du FCC facultative.
Décision automatisée sous contrôle humain et sécurité
Les décisions fondées exclusivement sur des algorithmes doivent être explicables et contestables, avec un recours humain permettant une réévaluation équitable. La CNIL recommande même des simulateurs interactifs pour tester l’impact des données sur le score. Le référentiel impose enfin un haut niveau de sécurité (chiffrement, authentification forte, restriction des accès, clauses précises avec les sous-traitants) et rappelle les délais en cas de fuite (72 heures pour alerter la CNIL). L’évaluation de la solvabilité devient ainsi un champ de responsabilité juridique et éthique, l’AIPD en étant l’instrument central.
Source : CNIL — Projet de référentiel sur l’octroi de crédit.