Le 1er juillet 2026, l’Autorité de contrôle prudentiel et de résolution (ACPR) a publié un document de réflexion et ouvert une consultation publique sur l’équité algorithmique dans le secteur financier. Les contributions sont attendues jusqu’au 30 septembre 2026. Le sujet concerne directement les sociétés qui utilisent un modèle pour évaluer la solvabilité, fixer un tarif d’assurance, détecter une fraude, sélectionner un client ou orienter une décision commerciale. Il concerne aussi leurs dirigeants, leurs conseils d’administration, leurs prestataires informatiques et leurs investisseurs.

Cette publication ne crée pas, à elle seule, une nouvelle obligation générale et l’ACPR précise qu’elle n’exprime pas encore une position officielle. Elle constitue toutefois un signal de supervision important. Le règlement européen sur l’intelligence artificielle est devenu applicable le 2 août 2026, avec des dates particulières selon les catégories de systèmes. Dans le même temps, les règles de responsabilité, de protection des données, de non-discrimination et de contrôle interne continuent de s’appliquer. Une société ne peut donc pas attendre une future recommandation pour documenter un modèle déjà utilisé.

La question pratique est simple : que doit faire une société lorsqu’un algorithme produit un score, un refus, un tarif ou une alerte susceptible de traiter différemment des personnes ? Il faut identifier la décision, vérifier la base légale du traitement, mesurer les écarts entre groupes, organiser une intervention humaine réelle et conserver les éléments permettant de répondre à une contestation. La gouvernance doit ensuite répartir clairement les responsabilités entre la société, ses dirigeants et ses fournisseurs.

I. Équité algorithmique dans la banque et l’assurance : quelles obligations pour la société ?

A. Pourquoi la consultation ACPR du 1er juillet 2026 change la gouvernance des modèles de crédit et d’assurance

La consultation lancée par l’ACPR s’inscrit dans une actualité réglementaire très précise. L’autorité indique que son document de réflexion examine les règles de droit, les méthodes de la data science, les métriques d’équité et les pratiques de contrôle des biais. Elle invite les acteurs du secteur financier à contribuer avant le 30 septembre 2026. Il s’agit donc d’une occasion de faire remonter des difficultés concrètes, mais aussi d’un moment utile pour vérifier les dossiers de conformité déjà constitués.

Le premier point à comprendre est la différence entre une décision fondée sur un risque économique légitime et une discrimination. Une banque peut différencier ses conditions selon la capacité de remboursement, les garanties ou la structure du financement. Un assureur peut tenir compte de la fréquence et de la gravité prévisibles d’un risque lorsque la loi et le contrat l’autorisent. Le modèle devient contestable lorsque des caractéristiques personnelles protégées, des variables qui les reconstituent indirectement, ou des données dépourvues de justification pertinente conduisent à écarter un groupe ou à lui appliquer un traitement défavorable.

Un score peut produire un biais sans intégrer directement le sexe, l’origine, l’âge ou le lieu de résidence. Une variable géographique peut servir de substitut à l’origine sociale. Le type de contrat de travail peut refléter une situation de handicap ou de maternité. L’historique de paiement peut traduire des événements économiques qui ne mesurent pas la solvabilité actuelle. La difficulté juridique ne réside donc pas uniquement dans la liste des colonnes du fichier. Elle porte sur le fonctionnement réel du système, les corrélations utilisées, la finalité poursuivie et les effets observés sur les personnes concernées.

Le règlement (UE) 2024/1689 doit être lu avec les règles françaises existantes. Son article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures pour garantir un niveau suffisant de maîtrise de l’intelligence artificielle chez les personnes qui font fonctionner les systèmes pour leur compte. Le texte vise la connaissance technique, l’expérience, la formation et le contexte d’utilisation. Cette obligation n’est pas satisfaite par une présentation commerciale du fournisseur. La société doit être en mesure de démontrer que les équipes qui achètent, paramètrent, contrôlent et utilisent le modèle savent reconnaître ses limites.

Le règlement distingue ensuite plusieurs catégories de systèmes. L’annexe III vise notamment les systèmes destinés à évaluer la solvabilité de personnes physiques ou à établir une note de crédit, sauf ceux exclusivement utilisés pour détecter une fraude financière, ainsi que les systèmes utilisés pour l’évaluation des risques et la tarification des personnes physiques en matière d’assurance-vie et d’assurance-maladie. La qualification doit être réalisée à partir de la finalité concrète du système, et non d’une simple étiquette commerciale comme « outil d’aide à la décision ».

Cette qualification entraîne des conséquences de gouvernance. Lorsque le système relève du haut risque, la société doit pouvoir démontrer le rôle de l’utilisateur, les instructions données au système, la surveillance humaine, les incidents et les modifications importantes. Lorsque le système n’entre pas dans le haut risque, le droit commun ne disparaît pas pour autant. Les obligations de loyauté, de sécurité, de transparence, de protection des données et de non-discrimination demeurent applicables. Un système qualifié de faible risque par son fournisseur ne devient pas licite par cette seule mention.

Le droit français fournit déjà un cadre utilisable par les organes sociaux. Pour une société anonyme, le premier alinéa de l’article L. 225-35 du Code de commerce prévoit que le conseil d’administration « détermine les orientations de l’activité de la société et veille à leur mise en oeuvre », tout en se saisissant des questions qui intéressent sa bonne marche. Le déploiement d’un modèle qui influence l’accès au crédit, le prix d’un produit ou la sélection de clients touche directement à cette mission lorsqu’il crée un risque juridique, financier ou réputationnel significatif.

Dans une société par actions simplifiée, les statuts organisent la direction, mais l’absence de conseil d’administration ne signifie pas l’absence de contrôle. Le président représente la société à l’égard des tiers en application de l’article L. 227-6 du Code de commerce. Le texte dispose que « le président est investi des pouvoirs les plus étendus pour agir en toute circonstance au nom de la société dans la limite de l’objet social ». La décision d’adopter un système d’IA, de sous-traiter le scoring ou de maintenir un modèle après un incident doit être rattachée à une délégation identifiable et à une information suffisante des associés lorsque le risque le justifie.

Dans une SARL, l’article L. 223-18 du Code de commerce rappelle que « la société à responsabilité limitée est gérée par une ou plusieurs personnes physiques » et attribue au gérant des pouvoirs étendus dans les rapports avec les tiers. La petite entreprise qui utilise un service de scoring en ligne n’est donc pas dispensée d’analyse. Elle doit savoir quelles données sont transmises, quel fournisseur reçoit les demandes, comment les décisions sont contrôlées et quelle réponse peut être fournie à la personne qui conteste un refus.

Pour les établissements de crédit et les sociétés de financement, l’article L. 511-41 du Code monétaire et financier impose des normes de gestion destinées à garantir la liquidité, la solvabilité et l’équilibre de la structure financière. Le modèle algorithmique qui évalue une contrepartie ou concentre un portefeuille entre dans le dispositif de maîtrise des risques. L’article L. 511-41-1-B du même code demande aux établissements de mettre en place des dispositifs, stratégies et procédures soumis à un contrôle interne régulier pour « détecter, mesurer et gérer les risques » liés à leurs activités. Une dérive statistique, une donnée mal qualifiée ou une règle opaque peut donc devenir un sujet prudentiel, même sans plainte individuelle.

Les prestataires de services d’investissement disposent également d’un cadre d’organisation spécifique. L’article L. 533-10 du Code monétaire et financier impose notamment aux sociétés de gestion de mettre en place des règles et procédures permettant de garantir le respect des dispositions qui leur sont applicables. Les contrôles doivent être décrits, appliqués et conservés de façon suffisamment précise pour permettre à l’autorité compétente de vérifier la réalité du dispositif. Un manuel général sur l’intelligence artificielle ne remplacera donc pas la preuve d’un test réalisé sur le modèle utilisé.

Le rôle institutionnel de l’ACPR doit enfin être distingué de celui de la société. L’article L. 612-1 du Code monétaire et financier s’inscrit dans le chapitre consacré aux missions et au champ d’application de l’Autorité. Selon la présentation du projet DDADUE mentionnée par l’ACPR, celle-ci pourrait être désignée autorité de surveillance du marché pour les usages financiers à haut risque, avec de nouvelles missions à compter du 2 décembre 2027. Cette désignation projetée ne retire pas aux entreprises la responsabilité de leurs décisions actuelles et ne transforme pas la consultation en règlement obligatoire.

La bonne méthode consiste à dresser une cartographie complète avant toute discussion sur les pourcentages de biais. La société doit établir un registre comprenant au moins :

• le nom du système, son fournisseur, sa version et son emplacement technique ;
• la décision ou la recommandation produite : acceptation, refus, prix, plafond, classement, alerte ou orientation vers un conseiller ;
• les catégories de personnes concernées et les données d’entrée réellement utilisées ;
• la personne qui valide la décision finale et la possibilité concrète de la modifier ;
• les indicateurs de performance, les tests de robustesse, les seuils d’alerte et la fréquence de réévaluation ;
• les contrats, sous-traitants, transferts de données et modalités de conservation des journaux.

Cette cartographie doit distinguer l’erreur technique du risque juridique. Un modèle peut être statistiquement performant tout en créant un effet interdit. Il peut aussi être juridiquement admissible dans un usage et dangereux dans un autre. Un outil conçu pour repérer une opération frauduleuse ne doit pas être réutilisé automatiquement pour refuser une relation commerciale. De même, une variable utile à la tarification d’un risque d’assurance peut être inadaptée à la décision d’embauche d’un collaborateur.

B. Qui répond des biais : conseil, dirigeant, DPO, fournisseur et prestataire ?

La société reste le premier point de contact lorsque le système est utilisé sous son nom. Le contrat conclu avec un éditeur ou une plateforme n’efface pas le lien entre la décision et l’entreprise qui la prend. Une clause indiquant que le fournisseur est seul responsable de l’algorithme ne permet pas de répondre à une demande de justification d’un client. Elle ne dispense pas non plus la société de contrôler les données, les paramètres et les effets du service sur sa clientèle.

La responsabilité doit être organisée à quatre niveaux. Le premier est celui de l’organe social ou du dirigeant qui autorise le projet, son budget et son périmètre. Le deuxième est celui de la direction opérationnelle qui fixe les règles d’usage et les seuils de décision. Le troisième est celui des fonctions de contrôle : conformité, risques, sécurité, protection des données et audit interne. Le quatrième est celui du fournisseur, qui doit communiquer la documentation, les limites connues, les incidents, les changements de version et les éléments nécessaires à la supervision.

Cette répartition n’a de valeur que si elle figure dans des documents datés. Un procès-verbal du conseil ou une décision du président doit expliquer le besoin métier, les risques identifiés, les mesures de prévention et les conditions de réexamen. Les équipes doivent pouvoir démontrer qu’elles ont reçu une formation adaptée. Le registre des incidents doit mentionner les erreurs, les réclamations, les exceptions et les décisions prises après intervention humaine. Sans cette traçabilité, la société s’expose à une difficulté de preuve même si le modèle a finalement produit un résultat correct.

Le contrat avec le fournisseur doit être relu en fonction du risque et non seulement du prix. Il doit préciser la finalité, les données autorisées, l’hébergement, les sous-traitants, les droits d’audit, le délai de notification d’un incident, la restitution des journaux, les changements de modèle et la suspension du service. La société doit pouvoir demander une analyse en cas de résultat incohérent ou de signal de discrimination. Elle doit aussi prévoir une solution de continuité si le prestataire cesse son activité ou modifie son modèle sans préavis.

Une clause d’indemnisation ne suffit pas. Elle peut faciliter le recours contractuel, mais elle ne répare pas un refus de crédit donné à tort, une hausse de tarif injustifiée ou une rupture de relation avec un client. Les dommages peuvent comprendre une perte de chance, des frais supplémentaires, une atteinte commerciale ou une atteinte aux droits fondamentaux. Le contrat doit donc être accompagné d’un processus interne permettant de bloquer ou de réexaminer une décision douteuse.

La protection des données forme un second axe de contrôle. La société doit déterminer si elle est responsable du traitement, sous-traitante, responsable conjoint ou simple destinataire. Elle doit documenter la base juridique, l’information des personnes, la durée de conservation, la minimisation des données et la sécurité. Lorsque le traitement présente un risque élevé, une analyse d’impact relative à la protection des données peut être nécessaire. Le recours à une intelligence artificielle ne crée pas une exception aux principes de finalité et de proportionnalité.

La décision de la Cour de justice de l’Union européenne du 7 décembre 2023, affaire C-634/21, SCHUFA Holding (Scoring), doit être connue des sociétés qui utilisent un score de solvabilité. La Cour a examiné la situation dans laquelle une société d’informations commerciales calcule une probabilité de capacité de paiement et où ses clients, notamment des banques, s’appuient sur cette valeur. Le communiqué officiel résume la portée de l’arrêt ainsi : « le scoring n’est autorisé que sous certaines conditions ». La société ne peut pas présenter le score comme une simple information neutre lorsque celui-ci détermine en pratique le résultat.

Le règlement général sur la protection des données doit être articulé avec cette jurisprudence. Son article 22 encadre les décisions fondées exclusivement sur un traitement automatisé et prévoit des garanties lorsque la décision produit des effets juridiques ou affecte significativement la personne. La possibilité d’une intervention humaine doit être réelle, c’est-à-dire exercée par une personne compétente qui peut examiner les éléments du dossier, s’écarter de la recommandation et expliquer cette décision. Un bouton « validation manuelle » activé sans lecture du dossier ne suffit pas.

La transparence ne signifie pas nécessairement la remise du code source. Elle suppose une information compréhensible sur les catégories de données, la logique générale, les conséquences possibles, la voie de contestation et l’identité du service qui répond. Une personne qui reçoit un refus doit savoir si celui-ci provient d’une règle légale, d’un seuil de risque, d’une information absente ou d’un score externe. Le responsable du traitement doit également être capable de rechercher la version du modèle et les données utilisées au moment de la décision.

Le règlement sur l’intelligence artificielle ajoute un droit spécifique dans certains cas. Son article 86 prévoit, pour une décision prise par un déployeur sur la base des sorties d’un système d’IA à haut risque mentionné à l’annexe III et produisant des effets juridiques ou des conséquences négatives similaires, un droit à des explications claires et pertinentes sur le rôle du système et les principaux éléments de la décision. La société doit donc préparer un circuit de réponse qui ne se contente pas de renvoyer vers une notice technique.

La non-discrimination peut également apparaître dans la gestion des salariés de la société. L’article L. 1132-1 du Code du travail interdit qu’une personne soit écartée d’un recrutement ou qu’un salarié fasse l’objet d’une mesure discriminatoire, notamment en raison de l’origine, du sexe, de l’âge, du handicap, du lieu de résidence ou de l’état de santé. Un outil de tri des candidatures, d’évaluation des performances ou de distribution d’actions doit donc être audité séparément du modèle bancaire. Le même fournisseur peut créer des risques distincts selon les usages.

Le dirigeant doit enfin mesurer son exposition personnelle. La société répond en principe des fautes commises dans son intérêt ou par ses organes, mais une faute intentionnelle d’une particulière gravité peut engager la responsabilité du dirigeant lorsqu’elle est incompatible avec l’exercice de ses fonctions. Dans son arrêt du 19 janvier 2022, pourvoi n° 20-14.010, la chambre commerciale de la Cour de cassation rappelle ce cadre de la responsabilité personnelle du dirigeant. Une décision consciente de maintenir un modèle après un signal documenté, de supprimer les journaux ou de contourner un contrôle ne doit pas être confondue avec une simple erreur de paramétrage.

Les dirigeants doivent également tenir compte de la responsabilité civile de la société. L’article 1240 du Code civil prévoit que « tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». La faute peut résulter d’une donnée inexacte, d’un défaut de contrôle, d’une absence d’information ou d’une décision prise malgré un indicateur de biais. Le dommage et le lien causal devront être établis, mais une traçabilité lacunaire rend la défense beaucoup plus difficile.

Lorsqu’un modèle est intégré à un contrat avec un client, l’article 1103 du Code civil rappelle que « les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits ». L’article 1104 du même code impose que les contrats soient négociés, formés et exécutés de bonne foi. La société ne devrait donc pas promettre une évaluation individualisée tout en laissant un modèle standard décider sans contrôle. Elle doit vérifier que la prestation réellement fournie correspond aux engagements contractuels et aux informations données au client.

La consultation ACPR fournit une fenêtre de travail utile : chaque société peut vérifier ses contrats, ses notices, ses politiques de validation, ses tests et ses procès-verbaux. Une contribution à la consultation peut être envoyée lorsqu’un obstacle pratique est identifié, par exemple l’impossibilité d’obtenir des statistiques par groupe auprès d’un fournisseur ou la difficulté de traiter une contestation sans révéler un secret d’affaires. La consultation n’est pas un substitut au contrôle ; elle est un moyen de documenter les questions que le secteur doit résoudre.

II. Que faire avant le 30 septembre 2026 en cas de score ou de décision automatisée ?

A. Quelles preuves réunir pour contester un refus ou un tarif calculé par une IA ?

La première action consiste à identifier la décision exacte. Un client ne doit pas seulement écrire qu’un algorithme l’a défavorisé. Il doit préciser la date du refus, le produit concerné, le montant demandé, le tarif proposé, les documents fournis, les échanges avec l’entreprise et les conséquences subies. Une entreprise qui conteste la décision d’un prestataire doit conserver les mêmes éléments : version du modèle, entrée transmise, sortie reçue, intervention d’un salarié, règle appliquée et résultat final.

Le dossier doit séparer quatre niveaux de preuve. Le premier est factuel : courriels, contrats, captures d’écran, notifications, relevés, simulations et justificatifs. Le deuxième est technique : identifiant de la demande, journaux, paramètres, version du système, seuil de décision et éventuel code d’erreur. Le troisième est comparatif : offres adressées à des profils comparables, écarts de taux ou de plafond, délais de réponse et motifs communiqués. Le quatrième est juridique : texte applicable, information reçue, demande d’explication, réponse de la société et préjudice.

La demande doit être adressée au bon interlocuteur. Pour un crédit, il peut s’agir du service réclamation de l’établissement, de la direction conformité ou du délégué à la protection des données selon la question posée. Pour une assurance, il faut distinguer la contestation de la garantie, celle du tarif et celle du traitement des données. Pour un service d’investissement, le client peut également rechercher le dispositif de réclamation prévu par l’établissement et les coordonnées de l’autorité compétente. Une demande générale envoyée à une adresse commerciale risque de ne pas déclencher le bon circuit.

Le courrier doit demander la confirmation de l’existence d’une décision automatisée ou d’un profilage, les catégories de données utilisées, la logique générale du traitement, la place du score dans la décision finale, l’identité du responsable du traitement et la possibilité d’un réexamen humain. Il faut demander la conservation des données et des journaux relatifs à la décision. Une société doit répondre de façon intelligible sans divulguer automatiquement ses secrets d’affaires ni le code source complet. Le refus de communiquer toute information, sans explication du périmètre protégé, peut aggraver le litige.

La mesure du biais doit être adaptée au cas. Comparer uniquement les taux de refus peut être trompeur si les populations présentent des profils de risque différents. Il faut examiner la qualité des données, la définition du groupe de comparaison, les faux positifs, les faux négatifs, les seuils et les effets du modèle dans le temps. Une société doit documenter la métrique choisie et expliquer pourquoi elle est pertinente. L’absence d’un indicateur unique d’équité ne justifie pas l’absence de test ; elle impose une analyse combinant la performance et les droits affectés.

Le secret des affaires doit être traité comme une question de périmètre, pas comme un refus global. Une réponse peut communiquer la finalité, les catégories de données, le poids général des critères, les motifs individuels utiles et les modalités de contestation tout en protégeant les paramètres sensibles. Le client ou son avocat peut demander une communication sous confidentialité, une expertise, une conservation des pièces ou une mesure d’instruction si la preuve ne peut pas être obtenue autrement.

En matière de crédit, le refus d’un établissement n’est pas automatiquement fautif : un banquier conserve une marge d’appréciation sur l’octroi d’un financement, sous réserve des règles qui lui sont applicables et de l’interdiction des discriminations. La contestation devient plus solide lorsque le motif annoncé est contradictoire, lorsque le score utilise une donnée sans rapport avec le risque ou lorsque des situations comparables reçoivent des réponses incohérentes. Les échanges précontractuels, les simulations enregistrées et les documents remis sont souvent plus utiles que des affirmations générales sur l’algorithme.

En assurance, le demandeur doit isoler le risque réellement tarifé. Une surprime peut être liée à une donnée de sinistralité, à une zone d’exposition ou à une caractéristique du bien assuré. Elle ne peut pas être justifiée par une formule qui reconstitue une caractéristique protégée sans rapport pertinent avec le risque. Le dossier doit comporter la proposition initiale, la fiche d’information, le questionnaire, les exclusions, les conditions de révision et les échanges ayant précédé le refus ou la modification du tarif.

Si le modèle concerne une décision d’embauche ou de gestion du personnel, le salarié ou le candidat doit conserver l’offre, les critères annoncés, les résultats d’évaluation et tout élément de comparaison. L’article L. 1132-1 du Code du travail protège contre les mesures discriminatoires directes ou indirectes. L’employeur devra pouvoir produire des éléments objectifs étrangers à toute discrimination lorsque les faits présentés rendent celle-ci plausible. Le traitement algorithmique ne modifie pas la répartition de la preuve.

La demande de réexamen doit prévoir une issue concrète. Il peut s’agir d’une nouvelle analyse par un conseiller, de la correction d’une donnée, de la suspension d’un prélèvement, de la proposition d’un tarif différent, de la suppression d’un profil erroné ou de l’indemnisation d’un dommage. Une réponse qui répète le résultat du score sans examiner les pièces ne constitue pas une intervention humaine substantielle.

Les délais dépendent du fondement choisi et de la nature du litige. Il faut agir rapidement pour éviter la perte d’un financement, l’expiration d’une offre, la résiliation d’une police ou la réalisation d’un dommage. La société qui reçoit une demande doit enregistrer la date, accuser réception, préserver les éléments techniques et donner un délai réaliste de réponse. Le demandeur doit éviter de multiplier les sollicitations contradictoires et conserver la preuve de chaque envoi.

B. Quelle procédure lancer à Paris et en Île-de-France pour protéger la société ou le client ?

À Paris et en Île-de-France, la stratégie dépend de la qualité de la personne qui agit, du siège de la société, du lieu du dommage et de l’urgence. Un client peut commencer par la réclamation interne et la demande d’accès aux informations. Une société peut agir contre son prestataire, répondre à une mise en demeure ou préparer une défense à la suite d’un contrôle. Dans les deux cas, le dossier doit préciser ce qui est demandé : explication, correction, suspension, communication de pièces, expertise, indemnisation ou cessation d’une pratique.

La mise en demeure doit rester technique et juridiquement ciblée. Elle peut rappeler la décision contestée, les données inexactes, l’absence d’intervention humaine, l’incohérence entre deux profils ou le défaut d’information. Elle peut demander que la société conserve les journaux et qu’elle suspende temporairement l’utilisation d’un critère. Une demande trop large, qui réclame le modèle complet sans expliquer le litige, permet plus facilement une réponse dilatoire.

Lorsque l’urgence est caractérisée, une procédure de référé peut être envisagée pour obtenir une mesure provisoire, une communication ou une expertise dans les conditions prévues par les règles de procédure applicables. La mesure doit être proportionnée et fondée sur des éléments précis : risque de décision répétée, préjudice imminent, suppression annoncée des données, rupture de contrat ou impossibilité de comprendre le résultat sans intervention judiciaire. L’objectif n’est pas de demander au juge de reconstruire tout le système à partir d’une intuition, mais de faire préserver et examiner les preuves utiles.

Au fond, plusieurs responsabilités peuvent être discutées. La société peut répondre d’un manquement contractuel, d’une faute dans la conception ou le contrôle du traitement, d’une violation d’une obligation d’information ou d’une discrimination. Le fournisseur peut être recherché lorsqu’il a livré un outil non conforme aux spécifications, dissimulé une limitation importante, modifié le modèle sans information ou refusé de fournir les éléments nécessaires au contrôle. Le dirigeant peut être mis en cause personnellement dans des circonstances exceptionnelles, distinctes de la seule décision sociale.

Le principe de bonne foi de l’article 1104 du Code civil joue un rôle concret dans les échanges. Une société qui annonce un contrôle humain doit l’organiser. Un fournisseur qui promet une traçabilité doit conserver les journaux convenus. Un client qui reçoit une explication doit pouvoir comprendre si elle correspond réellement à la décision prise. Les documents commerciaux, le contrat, les conditions générales et les procédures internes seront comparés aux faits.

Pour préparer un dossier à Paris ou en Île-de-France, il faut réunir au minimum :

• la décision initiale et toutes ses versions, avec date et heure ;
• les conditions contractuelles et la notice d’information remise à la personne ;
• la demande d’accès ou de réexamen et la réponse reçue ;
• les données corrigées, les justificatifs et les éléments de comparaison ;
• les documents du fournisseur décrivant la finalité, les limites, les tests et les changements de version ;
• les procès-verbaux, délégations, analyses de risque et comptes rendus de contrôle pour une société ;
• le calcul du dommage : surcoût, perte de chance, refus de financement, perte de clientèle ou atteinte à la réputation.

Le conseil ou le dirigeant doit également décider s’il faut déclarer un incident, informer le régulateur, saisir la CNIL, répondre à une réclamation ou ouvrir une procédure interne. Ces démarches ne se confondent pas. Une plainte relative aux données ne remplace pas une action contractuelle. Une contribution à la consultation ACPR ne règle pas le cas individuel d’un client. Une procédure judiciaire ne dispense pas de corriger immédiatement un modèle manifestement défaillant.

La société qui souhaite contribuer à la consultation du 30 septembre 2026 peut structurer son retour autour de situations vérifiables. Elle peut décrire la difficulté de définir les groupes de comparaison, d’obtenir des données historiques fiables, de mesurer les effets indirects d’une variable ou de concilier l’équité avec la détection de fraude. Elle doit préserver les informations confidentielles et éviter de transmettre des données personnelles non nécessaires. Une contribution utile explique le problème, la mesure déjà tentée, le résultat observé et la solution recherchée.

La question des opérations sur le capital et des investisseurs ne doit pas être oubliée. Une acquisition d’une société financière ou d’un prestataire d’IA peut conduire à reprendre un modèle, ses données et ses contentieux. La due diligence doit examiner les audits de biais, les réclamations, les contrats d’éditeur, les autorisations de réutilisation des données, les incidents de sécurité et les engagements pris auprès des autorités. Les garanties d’actif et de passif doivent identifier le risque algorithmique lorsque celui-ci peut affecter les clients, les salariés ou la valeur de l’entreprise.

Les investisseurs et associés peuvent aussi demander des informations sur un outil qui engage durablement la société. Le conseil doit savoir quelles décisions sont déléguées à un prestataire, quel contrôle subsiste, quels coûts sont prévisibles et quel plan d’arrêt existe. Dans une SAS, les statuts et les décisions des associés peuvent organiser la validation des investissements technologiques sensibles. Dans une SA, l’information des administrateurs doit permettre un contrôle effectif des risques. L’objectif n’est pas de transformer chaque conseil en comité de data science, mais de ne pas décider à l’aveugle.

Une société qui découvre un biais doit éviter deux réactions opposées. Elle ne doit pas supprimer immédiatement toutes les données sans préserver la preuve, car cette destruction peut empêcher de comprendre l’origine du problème. Elle ne doit pas non plus poursuivre automatiquement les décisions contestées au motif qu’un fournisseur garantit la performance moyenne du modèle. La réponse proportionnée peut combiner la suspension d’un critère, une validation humaine renforcée, une nouvelle analyse indépendante, l’information des personnes touchées et la correction des dossiers déjà traités.

Le contrôle doit ensuite être répété. Un modèle peut changer après une mise à jour, un changement de fournisseur, une modification de portefeuille ou une évolution des comportements des clients. Les indicateurs doivent être suivis par période et par segment pertinent. Les alertes doivent déclencher une décision enregistrée : poursuite, correction, recalibrage ou arrêt. L’entreprise doit conserver une version lisible de la politique adoptée afin que le futur dirigeant, l’auditeur, le juge ou l’autorité puisse comprendre le raisonnement suivi.

Les entreprises parisiennes peuvent enfin articuler la gestion du risque algorithmique avec leur gouvernance générale : comité des risques, contrôle interne, conformité, cybersécurité, protection des données, ressources humaines et gestion des fournisseurs. Les entreprises de l’Île-de-France qui travaillent avec des banques, assureurs, fintechs ou courtiers doivent vérifier les responsabilités de chaque acteur dans la chaîne. Une société qui fournit une donnée ou un modèle à un établissement financier doit savoir si elle est fournisseur, sous-traitante ou simple prestataire technique au regard de l’usage final.

Cette démarche protège aussi la société contre une contestation infondée. Un dossier complet peut montrer qu’une différence de traitement repose sur une variable pertinente, qu’un contrôle humain a examiné le cas, que les données ont été corrigées et que le même critère est appliqué de façon cohérente. L’équité algorithmique ne signifie pas que toutes les personnes doivent recevoir la même décision. Elle signifie que la différence doit reposer sur une justification légitime, proportionnée, documentée et contrôlable.

Conclusion

La consultation ACPR sur l’équité algorithmique donne aux sociétés financières et à leurs partenaires une échéance concrète : le 30 septembre 2026. Elle ne crée pas encore une règle autonome et l’ACPR présente son document comme une réflexion. Elle confirme néanmoins la direction prise par les autorités : une décision automatisée doit être comprise, surveillée, contestable et rattachée à une responsabilité identifiée.

Avant cette date, une société doit cartographier ses systèmes, qualifier leurs usages, vérifier les données et les biais, sécuriser ses contrats, organiser une intervention humaine réelle et préserver les journaux. Le conseil, le président ou le gérant doit recevoir une information adaptée au risque. Le client, le salarié ou le candidat doit obtenir une réponse utile lorsqu’un score ou un modèle a influencé sa situation. En cas de litige, la preuve de la décision, de la procédure et du contrôle est aussi importante que la performance statistique du modèle.

Une société confrontée à une contestation doit donc agir sur deux fronts : examiner immédiatement le dossier individuel et corriger le dispositif général lorsqu’un risque systémique apparaît. À Paris comme en Île-de-France, la préparation d’une réclamation, d’une mise en demeure, d’une expertise ou d’une procédure exige de réunir les éléments techniques et juridiques sans attendre la disparition des données.

Envoyez vos pièces. Recevez une stratégie.

Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.

Appeler maintenant →Écrire au cabinet

Première analyse offerte

Réponse personnelle sous 24 h

100 % confidentiel

Jusqu’à 1 Go de pièces