{"id":23486,"date":"2026-10-19T09:00:00","date_gmt":"2026-10-19T09:00:00","guid":{"rendered":"https:\/\/atiasavocats.com\/?p=23486"},"modified":"2026-10-16T09:39:03","modified_gmt":"2026-10-16T09:39:03","slug":"scoring-algorithmique-ai-act","status":"publish","type":"post","link":"https:\/\/atiasavocats.com\/en\/scoring-algorithmique-ai-act\/","title":{"rendered":"Scoring algorithmique et notation : que dit l’AI Act ?"},"content":{"rendered":"


Par\u00a0<\/em>David Joseph Atias<\/em><\/a>, avocat au Barreau de Paris \u00b7\u00a0<\/em>LinkedIn<\/em><\/a>\u00a0\u00b7 Octobre 2026<\/em><\/em><\/p>\n\n\n\n

\n

Un score de cr\u00e9dit, une note de prestataire, un indice de fiabilit\u00e9 client : le scoring est partout. Pourtant, l’AI Act ne le traite pas d’un bloc. Selon l’usage, un m\u00eame score peut \u00eatre interdit, \u00e0 haut risque ou hors champ. Voici la grille \u00ab scoring algorithmique AI Act \u00bb pour savoir o\u00f9 se situe le v\u00f4tre, RGPD compris.<\/p>\n<\/blockquote>\n\n\n\n

Sommaire<\/strong>
1. Scoring algorithmique AI Act : de quoi parle-t-on ?<\/a>
2. La notation sociale : l’interdit absolu<\/a>
3. Les scores \u00e0 haut risque de l’annexe III<\/a>
4. Tableau de synth\u00e8se : quel r\u00e9gime pour quel score ?<\/a>
5. Plateformes de mise en relation : noter les prestataires<\/a>
6. RGPD : un score est souvent d\u00e9j\u00e0 une d\u00e9cision<\/a>
7. Mettre son scoring en conformit\u00e9 en 5 \u00e9tapes<\/a>
8. Comment le cabinet vous accompagne<\/a>
Conclusion<\/a>
FAQ : questions fr\u00e9quentes<\/a><\/p>\n\n\n\n

1. Scoring algorithmique AI Act : de quoi parle-t-on ?<\/h2>\n\n\n\n

Le scoring consiste \u00e0 attribuer une note \u00e0 une personne pour \u00e9clairer une d\u00e9cision. Il sert \u00e0 accorder un cr\u00e9dit, fixer une prime, trier des candidats ou classer des prestataires. Derri\u00e8re la requ\u00eate \u00ab scoring algorithmique AI Act \u00bb, il n’existe pourtant pas de r\u00e9gime unique. En effet, le r\u00e8glement (UE) 2024\/1689, dit AI Act, raisonne par usage et non par technologie.<\/p>\n\n\n\n

1.1 Un score n’est pas toujours un \u00ab syst\u00e8me d’IA \u00bb<\/h3>\n\n\n\n

L’AI Act ne s’applique qu’aux syst\u00e8mes d’IA au sens de son article 3, point 1. Ce sont des syst\u00e8mes qui d\u00e9duisent leurs r\u00e9sultats des donn\u00e9es re\u00e7ues. \u00c0 l’inverse, un calcul fond\u00e9 sur des r\u00e8gles fix\u00e9es uniquement par des humains en est exclu (consid\u00e9rant 12). Les lignes directrices de la Commission sur la d\u00e9finition du syst\u00e8me d’IA confirment cette fronti\u00e8re. Ainsi, une note moyenne des avis clients reste hors champ. En revanche, un score appris par un mod\u00e8le statistique y entre.<\/p>\n\n\n\n

1.2 Quatre situations possibles<\/h3>\n\n\n\n

Une fois la qualification de syst\u00e8me d’IA acquise, quatre situations se pr\u00e9sentent. D’abord, certains scores sont interdits. Ensuite, d’autres rel\u00e8vent du haut risque de l’annexe III. Puis viennent les scores soumis aux seules obligations g\u00e9n\u00e9rales, comme la ma\u00eetrise de l’IA par les \u00e9quipes (art. 4). Enfin, les scores \u00e0 r\u00e8gles fixes restent hors du r\u00e8glement, mais pas du RGPD. La grille \u00ab scoring algorithmique AI Act \u00bb commence donc par la question de la nature du syst\u00e8me.<\/p>\n\n\n\n

2. La notation sociale : l’interdit absolu<\/h2>\n\n\n\n

2.1 Ce que vise l’article 5<\/h3>\n\n\n\n

L’article 5, paragraphe 1, point c), interdit la \u00ab notation sociale \u00bb. Il vise l’\u00e9valuation de personnes sur une p\u00e9riode, d’apr\u00e8s leur comportement social ou leurs traits personnels. L’interdiction joue lorsque le score entra\u00eene un traitement d\u00e9favorable dans un contexte sans lien avec celui de la collecte. Elle joue aussi lorsque ce traitement est injustifi\u00e9 ou disproportionn\u00e9. Cette r\u00e8gle s’applique depuis le 2 f\u00e9vrier 2025, aux acteurs publics comme priv\u00e9s.<\/p>\n\n\n\n

2.2 Les situations \u00e0 surveiller en entreprise<\/h3>\n\n\n\n

Le risque concerne surtout les \u00ab scores de confiance \u00bb globaux. Par exemple, une plateforme peut exclure un utilisateur sur la base d’un comportement observ\u00e9 ailleurs. Si les services n’ont aucun rapport, elle s’approche de l’interdit. De m\u00eame, une sanction tr\u00e8s lourde pour un \u00e9cart mineur peut devenir disproportionn\u00e9e. Les lignes directrices de la Commission sur les pratiques interdites d\u00e9taillent ces crit\u00e8res. Concr\u00e8tement, un score doit rester cantonn\u00e9 \u00e0 son contexte et proportionn\u00e9 \u00e0 son objet.<\/p>\n\n\n\n

3. Les scores \u00e0 haut risque de l’annexe III<\/h2>\n\n\n\n

3.1 Cr\u00e9dit et solvabilit\u00e9<\/h3>\n\n\n\n

L’annexe III, point 5, b), vise l’\u00e9valuation de la solvabilit\u00e9 et l’\u00e9tablissement d’une note de cr\u00e9dit. Seuls les syst\u00e8mes de d\u00e9tection de la fraude financi\u00e8re en sont exclus. Le consid\u00e9rant 58 rattache ces scores \u00e0 l’acc\u00e8s aux services essentiels, comme le logement ou l’\u00e9nergie. D\u00e8s lors, le scoring de candidats locataires d’une plateforme immobili\u00e8re peut entrer dans ce p\u00e9rim\u00e8tre. Il s’ajoute aux questions de statut trait\u00e9es dans notre article sur la plateforme et la loi Hoguet<\/strong><\/a>. Les pi\u00e8ces exigibles d’un candidat restent par ailleurs limit\u00e9es par le d\u00e9cret n\u00b0 2015-1437 du 5 novembre 2015.<\/p>\n\n\n\n

3.2 Assurance vie et sant\u00e9<\/h3>\n\n\n\n

Le point 5, c), vise l’\u00e9valuation des risques et la tarification des personnes en assurance vie et sant\u00e9. Les autres branches, comme l’assurance automobile, ne figurent pas dans cette liste. Toutefois, leurs scores restent soumis au RGPD et au droit de la non-discrimination.<\/p>\n\n\n\n

3.3 Emploi et travail via une plateforme<\/h3>\n\n\n\n

Le point 4 couvre le recrutement, mais aussi l’\u00e9valuation des performances et du comportement au travail. Il vise \u00e9galement l’attribution de t\u00e2ches fond\u00e9e sur le comportement individuel. Ce champ concerne les plateformes qui notent leurs prestataires ind\u00e9pendants. Notre analyse de l’IA de matching \u00e0 haut risque<\/strong><\/a> d\u00e9taille ce cas d’attribution des missions.<\/p>\n\n\n\n

3.4 \u00c9ducation et prestations publiques<\/h3>\n\n\n\n

Le point 3 vise notamment l’\u00e9valuation des acquis d’apprentissage. Le point 5, a), vise l’\u00e9ligibilit\u00e9 aux prestations d’assistance publique. Ainsi, des associations ont contest\u00e9 devant le Conseil d’\u00c9tat le score de risque de la CNAF. Cet outil sert \u00e0 cibler les contr\u00f4les des allocataires. Ce contentieux illustre donc la sensibilit\u00e9 de ces outils.<\/p>\n\n\n\n

3.5 Le pi\u00e8ge du profilage<\/h3>\n\n\n\n

L’article 6, paragraphe 3, permet d’\u00e9carter le haut risque pour certaines t\u00e2ches mineures ou pr\u00e9paratoires. Cependant, un syst\u00e8me de l’annexe III reste toujours \u00e0 haut risque s’il r\u00e9alise un profilage. Or un score \u00e9value par nature des aspects personnels, ce qui caract\u00e9rise le profilage (RGPD, art. 4, point 4). La d\u00e9rogation est donc rarement ouverte au scoring. Le fournisseur qui l’invoque doit en outre documenter son \u00e9valuation avant la mise sur le march\u00e9 (art. 6, \u00a7 4).<\/p>\n\n\n\n

3.6 Un calendrier report\u00e9, pas une dispense<\/h3>\n\n\n\n

Le r\u00e8glement (UE) 2026\/1744, dit Omnibus num\u00e9rique, reporte les obligations de l’annexe III au 2 d\u00e9cembre 2027. Ce d\u00e9lai sert \u00e0 qualifier, documenter et corriger les syst\u00e8mes existants. Appliquer d\u00e8s maintenant la grille \u00ab scoring algorithmique AI Act \u00bb \u00e9vite ainsi une mise en conformit\u00e9 dans l’urgence. Pour les autres \u00e9ch\u00e9ances, consultez notre calendrier AI Act<\/strong><\/a>.<\/p>\n\n\n\n

4. Tableau de synth\u00e8se : quel r\u00e9gime pour quel score ?<\/h2>\n\n\n\n

Le tableau ci-dessous applique la grille \u00ab scoring algorithmique AI Act \u00bb aux scores les plus courants. La criticit\u00e9 refl\u00e8te le niveau d’obligations et d’exposition.<\/p>\n\n\n\n

Type de score<\/th>Exemple<\/th>R\u00e9gime AI Act<\/th>Fondement<\/th>Criticit\u00e9<\/th><\/tr><\/thead>
Score de confiance global<\/td>Exclusion de services sans lien avec le comportement not\u00e9<\/td>Interdit<\/td>Art. 5, \u00a7 1, c)<\/td>\ud83d\udd34 Critique<\/td><\/tr>
Note de cr\u00e9dit, solvabilit\u00e9<\/td>Octroi de pr\u00eat, s\u00e9lection d’un locataire<\/td>Haut risque<\/td>Annexe III, 5, b) ; art. 27<\/td>\ud83d\udd34 Critique<\/td><\/tr>
Tarification assurance vie et sant\u00e9<\/td>Prime individualis\u00e9e<\/td>Haut risque<\/td>Annexe III, 5, c) ; art. 27<\/td>\ud83d\udd34 Critique<\/td><\/tr>
\u00c9valuation de travailleurs ou de prestataires<\/td>Note qui conditionne l’acc\u00e8s aux missions<\/td>Haut risque probable<\/td>Annexe III, 4 ; art. 6, \u00a7 3<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr>
\u00c9valuation scolaire ou prestations publiques<\/td>Notation d’examen, \u00e9ligibilit\u00e9 \u00e0 une allocation<\/td>Haut risque<\/td>Annexe III, 3 et 5, a)<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr>
D\u00e9tection de fraude<\/td>Score de transaction suspecte<\/td>Hors haut risque cr\u00e9dit<\/td>Annexe III, 5, b), exception<\/td>\ud83d\udfe1 Moyenne<\/td><\/tr>
Note moyenne d’avis<\/td>\u00c9toiles affich\u00e9es sur une fiche<\/td>Hors champ si r\u00e8gles fixes<\/td>Art. 3, point 1 ; cons. 12<\/td>\ud83d\udfe1 Moyenne<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

5. Plateformes de mise en relation : noter les prestataires<\/h2>\n\n\n\n

Prenons un cas type, anonymis\u00e9. Une plateforme de services \u00e0 domicile calcule un indice pour chaque prestataire. Il combine les avis clients, le taux d’annulation et la r\u00e9activit\u00e9. Cet indice d\u00e9termine l’ordre d’affichage et, en dessous d’un seuil, la suspension du compte. Pour cette plateforme, la grille \u00ab scoring algorithmique AI Act \u00bb pose quatre questions successives.<\/p>\n\n\n\n

5.1 R\u00e8gles fixes ou mod\u00e8le appris ?<\/h3>\n\n\n\n

Si l’indice applique une pond\u00e9ration fix\u00e9e par l’\u00e9quipe produit, il ne constitue pas un syst\u00e8me d’IA. En revanche, un mod\u00e8le qui apprend seul les pond\u00e9rations bascule dans le r\u00e8glement. C’est pourquoi, pour un scoring algorithmique de prestataires, le choix technique est aussi un choix juridique. Il doit \u00eatre document\u00e9 d\u00e8s la conception.<\/p>\n\n\n\n

5.2 Quand la note d\u00e9cide de l’acc\u00e8s au travail<\/h3>\n\n\n\n

Lorsque l’indice conditionne l’acc\u00e8s aux missions, il \u00e9value la performance au sens de l’annexe III, point 4. Le haut risque devient alors probable, profilage oblige. Par ailleurs, la directive (UE) 2024\/2831 impose un contr\u00f4le humain des d\u00e9cisions importantes, y compris pour les ind\u00e9pendants. Notre article sur la gestion algorithmique et la directive 2024\/2831<\/strong><\/a> en d\u00e9taille la port\u00e9e.<\/p>\n\n\n\n

5.3 Expliquer le classement et les avis<\/h3>\n\n\n\n

Le r\u00e8glement (UE) 2019\/1150, dit P2B, impose d’indiquer aux professionnels les principaux param\u00e8tres de classement (art. 5). Il ne contraint pas \u00e0 divulguer l’algorithme lui-m\u00eame. C\u00f4t\u00e9 consommateurs, la plateforme doit exposer ses modalit\u00e9s de classement (C. conso., art. L. 111-7). Elle doit aussi expliquer le traitement des avis en ligne (C. conso., art. L. 111-7-2). Enfin, les plateformes en ligne d\u00e9crivent leurs syst\u00e8mes de recommandation dans leurs conditions g\u00e9n\u00e9rales (DSA, art. 27). Concr\u00e8tement, une rubrique \u00ab Comment fonctionne notre classement \u00bb dans les CGU permet de r\u00e9pondre \u00e0 ces trois textes.<\/p>\n\n\n\n

5.4 Motiver la sanction<\/h3>\n\n\n\n

Un d\u00e9classement ou une suspension fond\u00e9s sur la note doivent \u00eatre motiv\u00e9s (DSA, art. 17). La motivation pr\u00e9cise notamment si un moyen automatis\u00e9 a \u00e9t\u00e9 utilis\u00e9. De plus, le prestataire doit pouvoir contester la d\u00e9cision. Un indice biais\u00e9 expose aussi \u00e0 un risque p\u00e9nal, d\u00e9taill\u00e9 dans notre analyse de la discrimination algorithmique des plateformes<\/strong><\/a>.<\/p>\n\n\n\n

6. RGPD : un score est souvent d\u00e9j\u00e0 une d\u00e9cision<\/h2>\n\n\n\n

6.1 L’arr\u00eat SCHUFA<\/h3>\n\n\n\n

Dans l’arr\u00eat SCHUFA du 7 d\u00e9cembre 2023 (C-634\/21), la Cour de justice a tranch\u00e9 une question d\u00e9cisive. Le calcul d’un score de solvabilit\u00e9 peut constituer une d\u00e9cision automatis\u00e9e au sens de l’article 22 du RGPD. Il suffit que ce score joue un r\u00f4le d\u00e9terminant dans la d\u00e9cision d’un tiers. Le scoring algorithmique entre ainsi dans le champ de l’article 22. Ses garanties s’imposent alors \u00e0 celui qui calcule le score. Notre article sur l’article 22 du RGPD<\/strong><\/a> d\u00e9taille ces garanties.<\/p>\n\n\n\n

6.2 L’arr\u00eat Dun & Bradstreet Austria<\/h3>\n\n\n\n

Le 27 f\u00e9vrier 2025, la Cour a pr\u00e9cis\u00e9 le droit d’acc\u00e8s (C-203\/22). Le responsable doit expliquer la proc\u00e9dure et les principes r\u00e9ellement appliqu\u00e9s au calcul. Remettre l’algorithme ne suffit donc pas, faute d’\u00eatre compr\u00e9hensible. Par ailleurs, le secret des affaires n’exclut pas l’explication. Les \u00e9l\u00e9ments prot\u00e9g\u00e9s sont alors transmis \u00e0 l’autorit\u00e9 de contr\u00f4le ou au juge, qui arbitre.<\/p>\n\n\n\n

6.3 Les garanties propres \u00e0 l’AI Act<\/h3>\n\n\n\n

Pour un score \u00e0 haut risque, le d\u00e9ployeur informe les personnes concern\u00e9es de l’usage du syst\u00e8me (art. 26, \u00a7 11). Il conduit aussi une analyse d’impact sur les droits fondamentaux pour le cr\u00e9dit et l’assurance (art. 27). De plus, la personne vis\u00e9e peut obtenir une explication du r\u00f4le du syst\u00e8me dans la d\u00e9cision (art. 86). Ce droit produira pleinement ses effets avec le r\u00e9gime de l’annexe III. Ces garanties s’articulent avec l’analyse d’impact du RGPD (art. 35).<\/p>\n\n\n\n

7. Mettre son scoring en conformit\u00e9 en 5 \u00e9tapes<\/h2>\n\n\n\n

Un audit \u00ab scoring algorithmique AI Act \u00bb suit une m\u00e9thode simple. Elle sert aussi bien au fournisseur du score qu’\u00e0 l’entreprise qui l’utilise.<\/p>\n\n\n\n

7.1 Inventorier les scores<\/h3>\n\n\n\n

D’abord, listez tous les scores en production, y compris ceux fournis par un prestataire. Notez pour chacun sa finalit\u00e9, ses donn\u00e9es et les d\u00e9cisions qu’il influence.<\/p>\n\n\n\n

7.2 Qualifier chaque score<\/h3>\n\n\n\n

Ensuite, v\u00e9rifiez s’il s’agit d’un syst\u00e8me d’IA, puis s’il rel\u00e8ve de l’article 5 ou de l’annexe III. Examinez enfin le profilage, qui ferme la porte de l’article 6, paragraphe 3.<\/p>\n\n\n\n

7.3 Identifier son r\u00f4le<\/h3>\n\n\n\n

Puis d\u00e9terminez si vous \u00eates fournisseur, d\u00e9ployeur, ou les deux. Une plateforme qui con\u00e7oit et utilise son propre score cumule souvent les deux r\u00f4les. Le contrat avec un \u00e9diteur de score doit alors r\u00e9partir les obligations.<\/p>\n\n\n\n

7.4 Organiser l’explication et le recours<\/h3>\n\n\n\n

Pr\u00e9parez une explication lisible des principaux crit\u00e8res et de leur poids. Pr\u00e9voyez aussi un circuit de contestation avec une intervention humaine r\u00e9elle. Ce dispositif sert \u00e0 la fois l’article 22 du RGPD, l’article 86 de l’AI Act et le DSA.<\/p>\n\n\n\n

7.5 Documenter et tester les biais<\/h3>\n\n\n\n

Enfin, consignez la qualification par \u00e9crit et testez r\u00e9guli\u00e8rement les \u00e9carts entre groupes de personnes. Cette documentation constitue votre premi\u00e8re ligne de d\u00e9fense lors d’un contr\u00f4le.<\/p>\n\n\n\n

8. Comment le cabinet vous accompagne<\/h2>\n\n\n\n

Le scoring croise l’AI Act, le RGPD, le droit des plateformes et le droit de la consommation. Le cabinet conduit des audits \u00ab scoring algorithmique AI Act \u00bb. Il intervient notamment pour :<\/p>\n\n\n\n