Comment prouver qu'un humain a pris la décision ? L'article 22 du RGPD et l'IA

RGPD et IADernière mise à jour 11 octobre 20266 min de lecture

En bref

Si une décision produit des effets juridiques pour une personne ou l'affecte de manière significative de façon similaire – par exemple le refus d'un emploi –, elle ne peut pas être fondée exclusivement sur un traitement automatisé (article 22 du RGPD). Un humain disposant de la compétence et de l'autorité nécessaires doit réellement examiner le dossier et pouvoir s'écarter de la recommandation de l'IA. Conservez qui a décidé, quand, sur quelle base et pourquoi. À partir du 2 décembre 2027, l'AI Act exige en outre un contrôle humain pour l'IA à haut risque, comme le recrutement.

Quand l'article 22 s'applique-t-il ?

L'article 22 du RGPD vise les décisions fondées exclusivement sur un traitement automatisé et qui produisent des effets juridiques ou des effets similaires significatifs pour la personne. Le refus d'un emploi, un licenciement ou une décision de rémunération en sont des exemples typiques. Le RGPD cite lui-même le recrutement en ligne sans intervention humaine.

Si vous laissez l'IA écarter des candidats sans qu'un humain examine réellement le dossier, vous tombez sous l'article 22. Si l'IA recommande et qu'un humain décide, ce n'est pas le cas – à condition que l'humain examine vraiment le dossier.

Qu'est-ce qu'un examen humain réel ?

Il ne suffit pas qu'un humain signe ce que l'IA a décidé. Les lignes directrices des autorités européennes de protection des données insistent sur trois points :

La personne a l'autorité pour modifier la décision.
La personne a la compétence pour évaluer le dossier.
La personne examine toutes les informations pertinentes – pas seulement la conclusion de l'IA.

C'est pourquoi GoalCube Human Decision affiche les faits du dossier à côté de la recommandation de l'IA, un dossier à la fois, et l'humain peut approuver, choisir une autre décision ou demander plus d'informations. Essayez :

GoalCube Human DecisionDonnées fictives

Dossier 1 sur 3Poste: Contrôleur de gestion (H/F)

Les faits du dossier

Sophie Laurent

Poste actuel: Contrôleuse de gestion senior
Expérience: 12 ans
CV: Sophie Laurent a 12 ans d'expérience en budget et reporting mensuel chez Bois du Rhône SAS. Elle a déployé un nouvel ERP et encadre une équipe de trois personnes. Contact : sophie.laurent@exemple.fr.

Recommandation de l’IA

Convoquer en entretien

Justification: 12 ans d'expérience en budget et reporting, a déployé un ERP et vient de l'industrie.

Journal d’audit

Les décisions sont enregistrées ici avec l’heure et un horodatage.

Candidats fictifs. Dans GoalCube, la décision exige aussi une passkey, et le journal reçoit un horodatage indépendant.

Qu'exige l'AI Act ?

L'IA utilisée pour le recrutement et pour les décisions sur la relation de travail est à haut risque selon l'AI Act (annexe III, point 4). Après l'omnibus numérique, les règles s'appliquent à partir du 2 décembre 2027. Les entreprises qui utilisent une telle IA doivent notamment :

confier le contrôle humain à des personnes disposant des compétences, de la formation et de l'autorité nécessaires (article 26)
informer les représentants du personnel et les salariés concernés avant de mettre l'IA en service sur le lieu de travail (article 26)
pouvoir fournir une explication à la personne concernée par une décision (article 86)

Le système d'IA doit en outre être conçu pour que des humains puissent le surveiller et restent conscients du risque de faire trop confiance à l'IA (article 14).

Que devez-vous pouvoir montrer ?

Si un candidat, un salarié ou une autorité de contrôle vous interroge, vous devez pouvoir répondre :

Question	Ce que vous devez avoir conservé
Qui a décidé ?	Le nom ou la fonction, et une connexion sécurisée, par exemple une passkey
Quand ?	La date et l'heure, idéalement avec un horodatage indépendant
Sur quelle base ?	Les faits du dossier et la recommandation motivée de l'IA
Pourquoi ?	La décision de l'humain et sa motivation
A-t-elle pu être modifiée après coup ?	Un journal qu'on ne peut pas modifier sans que cela se voie

Comment faire

Repérez les situations où l'IA aide à décider sur des personnes.Typiquement le recrutement, la promotion, le licenciement, la rémunération, la répartition du travail et les refus dans les dossiers clients.
Laissez l'IA recommander – pas décider.L'IA peut préparer le dossier et donner une recommandation motivée. La décision revient à un humain.
Désignez qui décide.La personne doit connaître le domaine et avoir le droit de s'écarter de la recommandation de l'IA. Un clic automatique sur « approuver » ne suffit pas.
Affichez les faits à côté de la recommandation, un dossier à la fois.Celui qui décide doit voir les éléments du dossier – pas seulement la conclusion de l'IA – et avoir le temps d'examiner chaque dossier.
Enregistrez la décision pour qu'elle ne puisse pas être modifiée après coup.Qui, quand, ce que l'IA a recommandé, ce que l'humain a décidé et pourquoi. Un horodatage indépendant renforce la preuve.
Informez les personnes concernées.La personne a le droit de savoir que l'IA intervient, d'obtenir qu'un humain examine son dossier et de contester la décision.

Ce que dit la loi

Article 22 du RGPD – décision individuelle automatisée: Le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, produisant des effets juridiques ou affectant la personne de manière significative de façon similaire. Les exceptions exigent notamment le droit d'obtenir une intervention humaine et de contester la décision.
Considérant 71 du RGPD: Cite justement le recrutement en ligne sans intervention humaine comme exemple.
Articles 13, 14 et 15 du RGPD: La personne doit être informée des décisions automatisées et recevoir des informations utiles sur la logique sous-jacente.
Annexe III, point 4, du RIA – emploi: L'IA utilisée pour le recrutement et la sélection, et pour les décisions sur la relation de travail, est à haut risque. Les règles s'appliquent à partir du 2 décembre 2027 après l'omnibus numérique.
Articles 14 et 26 du RIA – contrôle humain: L'IA à haut risque doit pouvoir être surveillée par des humains, et l'entreprise doit confier le contrôle à des personnes disposant des compétences, de la formation et de l'autorité nécessaires. Les salariés doivent être informés avant la mise en service de l'IA sur le lieu de travail.
Article 86 du RIA – droit à l'explication: La personne concernée par une décision fondée sur une IA à haut risque peut obtenir une explication claire du rôle de l'IA et des principaux éléments de la décision.

Questions et réponses

Suffit-il qu'un responsable clique sur « approuver » ?

Non, pas si l'approbation est en pratique une formalité. Selon les lignes directrices des autorités européennes de protection des données, l'intervention humaine doit être réelle : la personne doit avoir l'autorité et la compétence pour modifier la décision, et examiner toutes les informations pertinentes.

Cela vaut-il aussi pour les petites entreprises ?

Oui. L'article 22 du RGPD s'applique quelle que soit la taille de l'entreprise, et il s'applique déjà aujourd'hui. Les règles de l'AI Act sur l'IA à haut risque s'appliquent à partir du 2 décembre 2027.

Un score calculé par l'IA est-il une décision, même si un humain signe ?

Il peut l'être. Dans l'arrêt SCHUFA (C-634/21) de 2023, la Cour de justice de l'UE a jugé qu'un score calculé automatiquement peut constituer en soi une décision s'il joue un rôle déterminant dans le résultat final.

Faut-il conserver la recommandation de l'IA ?

C'est une bonne idée. Vous pouvez ainsi montrer que l'humain a examiné le dossier – même quand il était d'accord avec l'IA – et expliquer la décision si la personne le demande.

Et si l'humain n'est pas d'accord avec l'IA ?

Il décide autrement et écrit pourquoi. C'est justement ce qui montre que l'examen est réel. L'IA ne doit jamais modifier la décision humaine après coup.

Sources

Rédigé par La rédaction GoalCube. Dernière mise à jour 11 octobre 2026. GoalCube vous aide à respecter l’AI Act et le RGPD. Ce n’est pas un conseil juridique.

Soyez parmi les premiers.

Le lancement est prévu en novembre 2026. Inscrivez-vous : nous vous contacterons dès que vous pourrez commencer.