Scoring algorithmique et notation : que dit l’AI Act ?

Par David Joseph Atias, avocat au Barreau de Paris · LinkedIn · Octobre 2026

Un score de crédit, une note de prestataire, un indice de fiabilité client : le scoring est partout. Pourtant, l’AI Act ne le traite pas d’un bloc. Selon l’usage, un même score peut être interdit, à haut risque ou hors champ. Voici la grille « scoring algorithmique AI Act » pour savoir où se situe le vôtre, RGPD compris.

Sommaire
1. Scoring algorithmique AI Act : de quoi parle-t-on ?
2. La notation sociale : l’interdit absolu
3. Les scores à haut risque de l’annexe III
4. Tableau de synthèse : quel régime pour quel score ?
5. Plateformes de mise en relation : noter les prestataires
6. RGPD : un score est souvent déjà une décision
7. Mettre son scoring en conformité en 5 étapes
8. Comment le cabinet vous accompagne
Conclusion
FAQ : questions fréquentes

1. Scoring algorithmique AI Act : de quoi parle-t-on ?

Le scoring consiste à attribuer une note à une personne pour éclairer une décision. Il sert à accorder un crédit, fixer une prime, trier des candidats ou classer des prestataires. Derrière la requête « scoring algorithmique AI Act », il n’existe pourtant pas de régime unique. En effet, le règlement (UE) 2024/1689, dit AI Act, raisonne par usage et non par technologie.

1.1 Un score n’est pas toujours un « système d’IA »

L’AI Act ne s’applique qu’aux systèmes d’IA au sens de son article 3, point 1. Ce sont des systèmes qui déduisent leurs résultats des données reçues. À l’inverse, un calcul fondé sur des règles fixées uniquement par des humains en est exclu (considérant 12). Les lignes directrices de la Commission sur la définition du système d’IA confirment cette frontière. Ainsi, une note moyenne des avis clients reste hors champ. En revanche, un score appris par un modèle statistique y entre.

1.2 Quatre situations possibles

Une fois la qualification de système d’IA acquise, quatre situations se présentent. D’abord, certains scores sont interdits. Ensuite, d’autres relèvent du haut risque de l’annexe III. Puis viennent les scores soumis aux seules obligations générales, comme la maîtrise de l’IA par les équipes (art. 4). Enfin, les scores à règles fixes restent hors du règlement, mais pas du RGPD. La grille « scoring algorithmique AI Act » commence donc par la question de la nature du système.

2. La notation sociale : l’interdit absolu

2.1 Ce que vise l’article 5

L’article 5, paragraphe 1, point c), interdit la « notation sociale ». Il vise l’évaluation de personnes sur une période, d’après leur comportement social ou leurs traits personnels. L’interdiction joue lorsque le score entraîne un traitement défavorable dans un contexte sans lien avec celui de la collecte. Elle joue aussi lorsque ce traitement est injustifié ou disproportionné. Cette règle s’applique depuis le 2 février 2025, aux acteurs publics comme privés.

2.2 Les situations à surveiller en entreprise

Le risque concerne surtout les « scores de confiance » globaux. Par exemple, une plateforme peut exclure un utilisateur sur la base d’un comportement observé ailleurs. Si les services n’ont aucun rapport, elle s’approche de l’interdit. De même, une sanction très lourde pour un écart mineur peut devenir disproportionnée. Les lignes directrices de la Commission sur les pratiques interdites détaillent ces critères. Concrètement, un score doit rester cantonné à son contexte et proportionné à son objet.

3. Les scores à haut risque de l’annexe III

3.1 Crédit et solvabilité

L’annexe III, point 5, b), vise l’évaluation de la solvabilité et l’établissement d’une note de crédit. Seuls les systèmes de détection de la fraude financière en sont exclus. Le considérant 58 rattache ces scores à l’accès aux services essentiels, comme le logement ou l’énergie. Dès lors, le scoring de candidats locataires d’une plateforme immobilière peut entrer dans ce périmètre. Il s’ajoute aux questions de statut traitées dans notre article sur la plateforme et la loi Hoguet. Les pièces exigibles d’un candidat restent par ailleurs limitées par le décret n° 2015-1437 du 5 novembre 2015.

3.2 Assurance vie et santé

Le point 5, c), vise l’évaluation des risques et la tarification des personnes en assurance vie et santé. Les autres branches, comme l’assurance automobile, ne figurent pas dans cette liste. Toutefois, leurs scores restent soumis au RGPD et au droit de la non-discrimination.

3.3 Emploi et travail via une plateforme

Le point 4 couvre le recrutement, mais aussi l’évaluation des performances et du comportement au travail. Il vise également l’attribution de tâches fondée sur le comportement individuel. Ce champ concerne les plateformes qui notent leurs prestataires indépendants. Notre analyse de l’IA de matching à haut risque détaille ce cas d’attribution des missions.

3.4 Éducation et prestations publiques

Le point 3 vise notamment l’évaluation des acquis d’apprentissage. Le point 5, a), vise l’éligibilité aux prestations d’assistance publique. Ainsi, des associations ont contesté devant le Conseil d’État le score de risque de la CNAF. Cet outil sert à cibler les contrôles des allocataires. Ce contentieux illustre donc la sensibilité de ces outils.

3.5 Le piège du profilage

L’article 6, paragraphe 3, permet d’écarter le haut risque pour certaines tâches mineures ou préparatoires. Cependant, un système de l’annexe III reste toujours à haut risque s’il réalise un profilage. Or un score évalue par nature des aspects personnels, ce qui caractérise le profilage (RGPD, art. 4, point 4). La dérogation est donc rarement ouverte au scoring. Le fournisseur qui l’invoque doit en outre documenter son évaluation avant la mise sur le marché (art. 6, § 4).

3.6 Un calendrier reporté, pas une dispense

Le règlement (UE) 2026/1744, dit Omnibus numérique, reporte les obligations de l’annexe III au 2 décembre 2027. Ce délai sert à qualifier, documenter et corriger les systèmes existants. Appliquer dès maintenant la grille « scoring algorithmique AI Act » évite ainsi une mise en conformité dans l’urgence. Pour les autres échéances, consultez notre calendrier AI Act.

4. Tableau de synthèse : quel régime pour quel score ?

Le tableau ci-dessous applique la grille « scoring algorithmique AI Act » aux scores les plus courants. La criticité reflète le niveau d’obligations et d’exposition.

5. Plateformes de mise en relation : noter les prestataires

Prenons un cas type, anonymisé. Une plateforme de services à domicile calcule un indice pour chaque prestataire. Il combine les avis clients, le taux d’annulation et la réactivité. Cet indice détermine l’ordre d’affichage et, en dessous d’un seuil, la suspension du compte. Pour cette plateforme, la grille « scoring algorithmique AI Act » pose quatre questions successives.

5.1 Règles fixes ou modèle appris ?

Si l’indice applique une pondération fixée par l’équipe produit, il ne constitue pas un système d’IA. En revanche, un modèle qui apprend seul les pondérations bascule dans le règlement. C’est pourquoi, pour un scoring algorithmique de prestataires, le choix technique est aussi un choix juridique. Il doit être documenté dès la conception.

5.2 Quand la note décide de l’accès au travail

Lorsque l’indice conditionne l’accès aux missions, il évalue la performance au sens de l’annexe III, point 4. Le haut risque devient alors probable, profilage oblige. Par ailleurs, la directive (UE) 2024/2831 impose un contrôle humain des décisions importantes, y compris pour les indépendants. Notre article sur la gestion algorithmique et la directive 2024/2831 en détaille la portée.

5.3 Expliquer le classement et les avis

Le règlement (UE) 2019/1150, dit P2B, impose d’indiquer aux professionnels les principaux paramètres de classement (art. 5). Il ne contraint pas à divulguer l’algorithme lui-même. Côté consommateurs, la plateforme doit exposer ses modalités de classement (C. conso., art. L. 111-7). Elle doit aussi expliquer le traitement des avis en ligne (C. conso., art. L. 111-7-2). Enfin, les plateformes en ligne décrivent leurs systèmes de recommandation dans leurs conditions générales (DSA, art. 27). Concrètement, une rubrique « Comment fonctionne notre classement » dans les CGU permet de répondre à ces trois textes.

5.4 Motiver la sanction

Un déclassement ou une suspension fondés sur la note doivent être motivés (DSA, art. 17). La motivation précise notamment si un moyen automatisé a été utilisé. De plus, le prestataire doit pouvoir contester la décision. Un indice biaisé expose aussi à un risque pénal, détaillé dans notre analyse de la discrimination algorithmique des plateformes.

6. RGPD : un score est souvent déjà une décision

6.1 L’arrêt SCHUFA

Dans l’arrêt SCHUFA du 7 décembre 2023 (C-634/21), la Cour de justice a tranché une question décisive. Le calcul d’un score de solvabilité peut constituer une décision automatisée au sens de l’article 22 du RGPD. Il suffit que ce score joue un rôle déterminant dans la décision d’un tiers. Le scoring algorithmique entre ainsi dans le champ de l’article 22. Ses garanties s’imposent alors à celui qui calcule le score. Notre article sur l’article 22 du RGPD détaille ces garanties.

6.2 L’arrêt Dun & Bradstreet Austria

Le 27 février 2025, la Cour a précisé le droit d’accès (C-203/22). Le responsable doit expliquer la procédure et les principes réellement appliqués au calcul. Remettre l’algorithme ne suffit donc pas, faute d’être compréhensible. Par ailleurs, le secret des affaires n’exclut pas l’explication. Les éléments protégés sont alors transmis à l’autorité de contrôle ou au juge, qui arbitre.

6.3 Les garanties propres à l’AI Act

Pour un score à haut risque, le déployeur informe les personnes concernées de l’usage du système (art. 26, § 11). Il conduit aussi une analyse d’impact sur les droits fondamentaux pour le crédit et l’assurance (art. 27). De plus, la personne visée peut obtenir une explication du rôle du système dans la décision (art. 86). Ce droit produira pleinement ses effets avec le régime de l’annexe III. Ces garanties s’articulent avec l’analyse d’impact du RGPD (art. 35).

7. Mettre son scoring en conformité en 5 étapes

Un audit « scoring algorithmique AI Act » suit une méthode simple. Elle sert aussi bien au fournisseur du score qu’à l’entreprise qui l’utilise.

7.1 Inventorier les scores

D’abord, listez tous les scores en production, y compris ceux fournis par un prestataire. Notez pour chacun sa finalité, ses données et les décisions qu’il influence.

7.2 Qualifier chaque score

Ensuite, vérifiez s’il s’agit d’un système d’IA, puis s’il relève de l’article 5 ou de l’annexe III. Examinez enfin le profilage, qui ferme la porte de l’article 6, paragraphe 3.

7.3 Identifier son rôle

Puis déterminez si vous êtes fournisseur, déployeur, ou les deux. Une plateforme qui conçoit et utilise son propre score cumule souvent les deux rôles. Le contrat avec un éditeur de score doit alors répartir les obligations.

7.4 Organiser l’explication et le recours

Préparez une explication lisible des principaux critères et de leur poids. Prévoyez aussi un circuit de contestation avec une intervention humaine réelle. Ce dispositif sert à la fois l’article 22 du RGPD, l’article 86 de l’AI Act et le DSA.

7.5 Documenter et tester les biais

Enfin, consignez la qualification par écrit et testez régulièrement les écarts entre groupes de personnes. Cette documentation constitue votre première ligne de défense lors d’un contrôle.

8. Comment le cabinet vous accompagne

Le scoring croise l’AI Act, le RGPD, le droit des plateformes et le droit de la consommation. Le cabinet conduit des audits « scoring algorithmique AI Act ». Il intervient notamment pour :

• Qualifier vos scores au regard de l’article 5 et de l’annexe III.
• Rédiger la note de qualification et la documentation de l’article 6.
• Préparer l’explication des critères et la procédure de contestation.
• Mettre à jour vos CGU : classement, avis, sanctions et recours.
• Négocier les contrats avec les éditeurs de solutions de scoring.

Pour le cadre général, consultez notre guide des obligations AI Act des entreprises. Découvrez aussi nos services en protection des données.

Conclusion

Le scoring algorithmique n’est ni interdit ni libre par principe : tout dépend de son usage. La notation sociale est proscrite depuis février 2025. Le crédit, l’assurance, l’emploi et le travail via une plateforme relèvent du haut risque à compter du 2 décembre 2027. Entre-temps, le RGPD impose déjà explication et recours. Qualifier vos scores dès maintenant permet donc de corriger sans urgence ni rupture de service.

Votre plateforme note ses utilisateurs ou ses prestataires ? Contactez le cabinet via le formulaire de contact.

FAQ : questions fréquentes

Le scoring algorithmique est-il interdit par l’AI Act ?

Non, sauf la notation sociale visée à l’article 5, interdite depuis le 2 février 2025. Les autres scores sont soit à haut risque, soit soumis aux obligations générales, soit hors champ.

Une note de prestataire sur une plateforme est-elle à haut risque ?

Elle peut l’être si elle est calculée par un système d’IA et conditionne l’accès aux missions (annexe III, point 4). Une simple moyenne d’avis, fondée sur des règles fixes, reste en revanche hors du règlement.

Le scoring de crédit relève-t-il de l’AI Act ?

Oui. L’évaluation de la solvabilité des personnes physiques est à haut risque (annexe III, point 5, b). Le déployeur doit notamment conduire une analyse d’impact sur les droits fondamentaux (art. 27).

Faut-il dévoiler son algorithme de scoring ?

Non. Il faut expliquer les principaux critères et la logique appliquée de manière compréhensible (CJUE, C-203/22). Les éléments couverts par le secret des affaires peuvent être soumis à l’autorité ou au juge.

Quand les obligations sur le scoring à haut risque s’appliquent-elles ?

À compter du 2 décembre 2027, depuis le report décidé par le règlement (UE) 2026/1744. L’interdiction de la notation sociale et le RGPD s’appliquent déjà.

Contact : david@atiasavocats.com | LinkedIn: David Joseph Atias | https://www.atiasavocats.com | 42 rue de la Clef, 75005 Paris

Atias Avocats : AI Act, RGPD, plateformes et marketplaces, contrats IT.