Le scoring social par intelligence artificielle est l'une des pratiques que le règlement européen sur l'IA (AI Act, règlement (UE) 2024/1689) interdit purement et simplement, quel que soit le niveau de risque du système. Contrairement à une idée répandue, cette interdiction ne se limite pas aux autorités publiques : le texte de l'article 5 ne comporte aucune restriction en ce sens, et le considérant qui l'accompagne vise explicitement les acteurs privés. L'interdiction est applicable depuis le 2 février 2025.
Ce que dit exactement l'article 5, paragraphe 1, point c)
Le règlement interdit, à son article 5, paragraphe 1, point c) :
« la mise sur le marché, la mise en service ou l'utilisation de systèmes d'IA pour l'évaluation ou la classification de personnes physiques ou de groupes de personnes au cours d'une période donnée en fonction de leur comportement social ou de caractéristiques personnelles ou de personnalité connues, déduites ou prédites, la note sociale conduisant à l'une ou l'autre des situations suivantes, ou aux deux :
i) le traitement préjudiciable ou défavorable de certaines personnes physiques ou de groupes de personnes dans des contextes sociaux dissociés du contexte dans lequel les données ont été générées ou collectées à l'origine ;
ii) le traitement préjudiciable ou défavorable de certaines personnes ou de groupes de personnes, qui est injustifié ou disproportionné par rapport à leur comportement social ou à la gravité de celui-ci. »
À la différence d'autres pratiques interdites du même article 5 — comme l'identification biométrique à distance en temps réel à des fins répressives, qui elle vise expressément des autorités —, le point c) ne contient aucune mention d'« autorités publiques ». Le champ d'application n'est donc pas restreint par le texte opératoire lui-même.
Une interdiction qui vise les acteurs publics ET privés
Le considérant 31 du règlement lève toute ambiguïté sur ce point. Il précise que « les systèmes d'IA permettant la notation sociale des personnes physiques par des acteurs publics ou privés peuvent conduire à des résultats discriminatoires et à l'exclusion de certains groupes ». Le même considérant précise que l'interdiction vise les systèmes dont la note sociale conduit à un traitement préjudiciable dans un contexte social dissocié de celui où les données ont été collectées, ou à un traitement disproportionné ou injustifié au regard du comportement évalué.
L'article 5 figure au chapitre II du règlement, applicable depuis le 2 février 2025 (article 113). L'interdiction du scoring social s'applique donc, depuis cette date, à toute organisation — administration ou entreprise — qui mettrait sur le marché, mettrait en service ou utiliserait un tel système en Europe, indépendamment de son statut public ou privé.
Ce qui n'est pas du scoring social interdit
L'article 5, paragraphe 1, point c) ne proscrit pas toute forme d'évaluation ou de notation des personnes. Le texte pose deux conditions cumulatives : la note doit résulter d'une évaluation du comportement social ou de caractéristiques de la personne, et elle doit produire un traitement préjudiciable soit hors du contexte d'origine des données, soit disproportionné par rapport au comportement évalué. Un système de notation qui reste dans le contexte pour lequel les données ont été collectées, et dont les effets restent proportionnés, ne remplit pas ces conditions — quitte à rester soumis à d'autres textes, en particulier le RGPD, ou à d'autres obligations de l'AI Act selon le niveau de risque du système.
C'est le cas, en général, de pratiques de notation qui restent cantonnées à leur périmètre d'origine :
- le scoring de crédit, qui évalue un comportement financier pour une décision financière ;
- les dispositifs de détection de fraude, qui analysent des données transactionnelles pour une finalité antifraude ;
- la notation client contextuelle (fidélité, avis), qui reste rattachée au service concerné.
Le règlement ne dresse toutefois aucune liste positive de pratiques autorisées : chaque système doit être apprécié au regard des deux critères du texte — rupture de contexte et disproportion —, et non par simple analogie avec un secteur d'activité. Un système qui détournerait des données sans lien avec sa finalité déclarée pour en tirer des conséquences disproportionnées pourrait, selon les faits, entrer dans le champ de l'interdiction. Cette qualification relève d'une analyse au cas par cas que cet article n'a pas vocation à trancher pour un système donné.
Le considérant 31 le confirme d'ailleurs dans sa dernière phrase : « cette interdiction ne devrait pas avoir d'incidence sur les évaluations licites des personnes physiques qui sont pratiquées dans un but précis, dans le respect du droit de l'Union et du droit national ». Autrement dit, ce n'est pas l'existence d'une évaluation ou d'une note qui pose problème en soi, mais le fait qu'elle serve, hors de son contexte d'origine ou de façon disproportionnée, à pénaliser une personne. Le même considérant rappelle par ailleurs pourquoi le législateur a choisi d'interdire ces pratiques plutôt que de les classer à risque élevé : elles « peuvent porter atteinte au droit à la dignité et à la non-discrimination et sont contraires aux valeurs d'égalité et de justice », quel que soit l'acteur qui les met en œuvre.
| Critère de l'article 5, §1, c) | Ce que cela signifie concrètement |
|---|---|
| Évaluation du comportement social ou de caractéristiques de la personne | Condition nécessaire mais non suffisante à elle seule |
| Traitement hors du contexte de collecte des données | Premier critère alternatif déclenchant l'interdiction |
| Traitement disproportionné ou injustifié au regard du comportement | Second critère alternatif déclenchant l'interdiction |
| Acteur public ou privé | Sans incidence : les deux sont visés (considérant 31) |
Sanctions et autorités compétentes en France
Le non-respect de l'interdiction des pratiques visées à l'article 5 est la violation la plus sévèrement sanctionnée du règlement : l'article 99, paragraphe 3, prévoit une amende administrative pouvant atteindre 35 000 000 EUR ou, pour une entreprise, jusqu'à 7 % de son chiffre d'affaires annuel mondial total réalisé au cours de l'exercice précédent, le montant le plus élevé étant retenu.
En France, la DGCCRF est l'autorité coordinatrice de la surveillance du marché pour l'AI Act, tandis que la CNIL conserve ses compétences propres, notamment sur les traitements de données personnelles qu'impliquent souvent ces systèmes.
FAQ : scoring social IA
Conclusion
L'interdiction du scoring social par l'AI Act ne fait pas de distinction entre acteurs publics et acteurs privés : c'est la nature de la pratique — évaluation du comportement social conduisant à un traitement hors contexte ou disproportionné — qui déclenche l'interdiction, et non le statut de celui qui la met en œuvre. Toute organisation qui envisage un système de notation des personnes a intérêt à vérifier, au cas par cas, s'il reste dans le contexte des données collectées et proportionné au comportement évalué, plutôt que de se croire hors champ au seul motif qu'elle est une entreprise privée.
Questions fréquentes
Oui. Le texte de l'article 5, paragraphe 1, point c) ne restreint pas l'interdiction aux autorités publiques, et le considérant 31 vise explicitement les « acteurs publics ou privés ». Ce qui déclenche l'interdiction, c'est la nature de la pratique — une note sociale menant à un traitement hors contexte ou disproportionné —, pas le statut de l'organisation qui l'exploite.
Cela dépend des critères du texte, pas du seul fait que l'acteur est privé. Une notation qui reste dans le contexte du service (évaluer une prestation pour de futures mises en relation sur ce même service) et dont les effets restent proportionnés à ce qui est noté ne remplit pas, a priori, les deux critères cumulatifs de l'article 5. Une analyse au cas par cas reste nécessaire pour chaque système.
Non. L'interdiction s'applique à la mise sur le marché, la mise en service ou l'utilisation d'un tel système dans l'Union, quelle que soit son origine géographique et quel que soit le statut public ou privé de l'entité qui le met en œuvre.
Depuis le 2 février 2025. L'article 5, qui figure au chapitre II de l'AI Act, fait partie des dispositions applicables dès cette date en vertu de l'article 113 du règlement, avant l'essentiel des autres obligations du texte.