Décision automatisée : l'IA peut-elle trancher seule ?

Un logiciel sait trier des candidatures, noter un risque de crédit, ajuster un prix ou signaler un salarié « peu performant ». La question n’est plus de savoir s’il en est capable, mais si une décision automatisée de ce type peut se passer d’une personne qui la valide.

Les deux camps qui s’opposent ont chacun un argument solide, et le droit a déjà commencé à trancher, en Europe comme en Californie. Pour une PME qui automatise ses ressources humaines ou ses prix, l’enjeu est très concret : savoir quelles décisions laisser au logiciel, et lesquelles faire valider par quelqu’un.

En bref

• Depuis 2018, le RGPD donne le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, sauf exceptions encadrées.
• Pour le recrutement, la gestion du personnel et le crédit, les obligations propres aux systèmes à haut risque du règlement européen sur l’IA s’appliqueront à partir du 2 décembre 2027.
• En Californie, une loi signée le 30 septembre 2026 interdit de sanctionner ou de licencier sur la seule foi d’un système automatisé, à partir du 1er juillet 2027.
• Pour une PME, la démarche commence par l’inventaire des décisions automatiques, puis par une validation tracée de celles qui touchent une personne.

Position 1 : l’algorithme est plus juste qu’un humain pressé

Les défenseurs de la décision automatisée ont de bons arguments. Un humain fatigué ou pressé ne juge pas deux dossiers identiques de la même façon. Un système applique les mêmes critères à tout le monde, à toute heure, sans favoritisme ni sympathie. Il peut traiter des milliers de demandes de crédit en quelques secondes, là où une équipe mettrait des semaines, et il laisse une trace de chaque critère utilisé.

Ils ajoutent que les biais humains sont rarement documentés, alors que ceux d’un algorithme se mesurent : on peut tester un modèle sur des milliers de cas fictifs et corriger ce qui dérape, ce qu’on ne fait jamais avec un recruteur.

Position 2 : une décision qui touche une vie doit pouvoir être expliquée

En face, l’argument tient en une phrase : un salarié licencié ou un client à qui l’on refuse un crédit doit pouvoir comprendre pourquoi et contester la décision devant quelqu’un qui peut la changer. Un modèle de langage ne sait pas toujours expliquer ce qui l’a conduit à une réponse, et un système entraîné sur des décisions passées reproduit les biais de ces décisions, avec l’apparence de la neutralité.

Ce camp souligne aussi un risque de dilution : quand « c’est le système qui a décidé », plus personne ne se sent responsable. Le manager pressé de la position 1 a au moins un nom.

Ce que dit déjà le droit

En Europe, depuis 2018. L’article 22 du règlement général sur la protection des données dispose que la personne concernée « a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire ». Le texte prévoit trois exceptions : la décision est nécessaire à la conclusion ou à l’exécution d’un contrat, elle est autorisée par le droit de l’Union ou d’un État membre, ou elle repose sur le consentement explicite de la personne. Pour le contrat et le consentement, l’entreprise doit garantir au minimum le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision ; quand c’est la loi qui autorise, elle doit elle-même prévoir des mesures appropriées.

Le règlement européen sur l’IA. L’annexe III du règlement sur l’IA classe parmi les systèmes à haut risque ceux qui servent au recrutement et à la sélection des candidats, ceux qui prennent des décisions sur la promotion ou le licenciement, ceux qui suivent et évaluent les performances des salariés, et ceux qui évaluent la solvabilité ou établissent la note de crédit des personnes, la détection des fraudes financières mise à part. Les exigences et les obligations propres à ces systèmes s’appliqueront à partir du 2 décembre 2027 : le règlement (UE) 2026/1744 du 8 juillet 2026 a repoussé cette échéance, fixée à l’origine au 2 août 2026. Un employeur qui utilise l’un de ces systèmes devra alors informer les représentants du personnel et les salariés concernés avant de le mettre en service (article 26). Le texte prévoit aussi, à son article 86, un droit pour la personne visée par une décision d’obtenir « des explications claires et pertinentes sur le rôle du système d’IA dans la procédure décisionnelle et sur les principaux éléments de la décision prise ».

En Californie, une loi de septembre 2026. Le gouverneur a signé le 30 septembre 2026 le « No Robo Bosses Act », ainsi baptisé par son auteur, et le texte officiel de la loi SB 947 prévoit qu’elle s’applique à partir du 1er juillet 2027. Elle interdit à un employeur de s’appuyer uniquement sur un système de décision automatisé pour sanctionner ou licencier un salarié. Quand l’employeur s’appuie principalement sur un tel système, une personne doit corroborer la décision à partir des données utilisées ou d’autres éléments, comme les évaluations ou le dossier du salarié ; si elle n’y parvient pas, la sortie du système ne peut pas servir. Le salarié reçoit aussi, au moment où la décision lui est annoncée, une notification écrite qui précise que le système l’a principalement fondée et qu’une personne l’a vérifiée.

Et les prix ? Un prix affiché pour tous n’est pas, en règle générale, une décision individuelle au sens du RGPD. Un prix personnalisé, calculé pour une personne à partir de son profil, s’en rapproche davantage et relève aussi du droit de la consommation. C’est la zone la moins tranchée des trois.

Ce que nous en pensons

Nous pensons que les deux positions ont raison sur un point chacune. L’algorithme est souvent plus cohérent qu’un humain, et c’est un vrai argument pour s’en servir. Mais la cohérence n’est pas la justice : un système peut être parfaitement cohérent dans l’erreur, sur des milliers de dossiers à la fois. Et une décision qu’on ne peut ni expliquer ni contester devant quelqu’un n’est pas acceptable quand elle touche un emploi ou un crédit.

La règle que nous défendons tient en une ligne : une personne valide tout ce qui engage l’entreprise envers quelqu’un ou qui touche à de l’argent. Le système prépare, trie, signale, propose ; une personne identifiée décide et peut dire pourquoi. Notre propre agent de saisie de dépenses, en production depuis juillet 2026, suit ce schéma : photo du ticket, extraction, validation humaine, puis écriture dans le système comptable. Les tâches internes sans enjeu pour une personne peuvent, elles, passer en automatique, avec une revue par échantillon.

Ce qui nous ferait changer d’avis : des systèmes capables d’expliquer chaque décision de façon vérifiable, audités par un tiers indépendant, et une voie de recours effective vers un humain. Nous n’en sommes pas là pour les modèles de langage.

Ce que ça change concrètement pour une entreprise

1. Inventorier les décisions automatisées. Listez ce que vos outils décident déjà seuls : relances, blocages de compte, notation de prospects dans le CRM, tri de candidatures, remises accordées. L’exercice peut faire apparaître des décisions automatiques que personne n’avait formalisées.

2. Classer par enjeu. Une note de priorité sur un prospect n’a pas le même poids qu’un refus de crédit ou une alerte de performance sur un salarié. Ce qui affecte significativement une personne passe par une validation humaine.

3. Garder la trace de la validation. Qui a validé, sur quels éléments, à quelle date. Dans un CRM bien tenu, c’est un champ et un historique, pas un chantier. Notre rubrique CRM et données clients aborde le choix de l’outil et la reprise des données existantes.

4. Prévoir l’explication et le recours. Pour chaque décision sensible, préparez la réponse à la question « pourquoi ? » et un moyen simple de la contester. C’est ce que le RGPD demande déjà, et ce que le règlement sur l’IA prévoit pour les usages à haut risque. Notre guide AI Act et RGPD pour une PME détaille ce que ces usages imposent à l’entreprise qui les déploie.

5. Informer avant de déployer. Si un outil touche à la gestion du personnel, prévenez les représentants et les salariés concernés avant sa mise en service, et formez les managers qui l’utilisent à en repérer les erreurs. Les automatisations qui suppriment des tâches posent aussi la question de l’apprentissage des juniors, que nous abordons dans notre analyse sur l’IA et le premier emploi des jeunes.

Par où commencer

Le droit n’interdit pas d’automatiser : il refuse qu’une machine tranche seule ce qui pèse sur la vie d’une personne. La première étape est donc l’inventaire décrit plus haut, puis un champ de validation et un historique dans l’outil où ces décisions se prennent, souvent le CRM. Si le vôtre ne permet pas de dire qui a validé quoi, notre mise en place d’un CRM paramétré dans votre vocabulaire couvre ce paramétrage et la reprise de vos données existantes. Pour choisir ce qu’on automatise en premier, voyez la rubrique Automatisation et bots.

Questions fréquentes

Peut-on utiliser une IA pour trier des candidatures ?

Oui, mais le règlement européen sur l’IA classe le recrutement parmi les usages à haut risque, avec des obligations qui s’appliqueront à partir du 2 décembre 2027. Depuis 2018, le RGPD donne en outre au candidat le droit de ne pas être écarté sur la seule base d’un traitement automatisé, sauf exceptions encadrées. En pratique, l’outil peut classer les dossiers, mais une personne devrait les relire et décider.

Un refus de crédit décidé par un algorithme est-il légal ?

Il peut l’être. Le RGPD admet une décision entièrement automatisée lorsqu’elle est nécessaire à un contrat, autorisée par la loi ou fondée sur un consentement explicite. Pour le contrat ou le consentement, la personne garde au minimum le droit d’obtenir une intervention humaine, de donner son point de vue et de contester ; si c’est la loi qui l’autorise, cette loi doit prévoir ses propres garanties. Le règlement sur l’IA classe aussi la notation de crédit à haut risque.

Qu’est-ce qu’une décision automatisée au sens du RGPD ?

C’est une décision prise sur le seul fondement d’un traitement automatisé, profilage compris, qui produit des effets juridiques pour une personne ou l’affecte de manière significative de façon similaire. Le considérant 71 du RGPD en donne deux exemples : le rejet automatique d’une demande de crédit en ligne et des pratiques de recrutement en ligne sans aucune intervention humaine. L’entreprise qui y recourt doit en informer la personne, avec des informations utiles sur la logique sous-jacente.