Comment expliquer automatiquement un refus de prêt immobilier sans violer le RGPD pour un profil médical sensible ?

Expliquer automatiquement un refus de prêt immobilier pour un profil médical sensible exige de dissocier le motif communiqué à l’emprunteur des données de santé sous-jacentes utilisées dans le scoring. Le RGPD (art. 9 et 22) interdit toute décision entièrement automatisée fondée sur des données de santé sans consentement explicite, et impose un droit à l’explication. La solution technique consiste à générer une explication en langage naturel à partir de variables proxy agrégées, sans jamais exposer la donnée brute sensible.

Cadre réglementaire : RGPD, données de santé et droit à l’explication dans le crédit immobilier

Ce que la loi impose aux établissements prêteurs

Le crédit immobilier aux particuliers est encadré en France par les articles L313-1 et suivants du Code de la consommation (Légifrance, LEGITEXT000006069565). Ces dispositions obligent le prêteur à motiver tout refus de crédit dès lors que celui-ci repose sur une consultation du fichier FICP ou d’un système de score automatisé. Parallèlement, le RGPD (Règlement UE 2016/679) classe les données relatives à la santé comme données « de catégorie particulière » (art. 9), dont le traitement est en principe interdit sauf exceptions strictes : consentement explicite, nécessité médicale, ou intérêt public encadré.

L’article 22 du RGPD ajoute une couche critique : toute décision produisant un effet juridique significatif sur une personne — comme un refus de prêt — ne peut être entièrement automatisée sans que l’individu bénéficie d’un droit d’intervention humaine, de contestation, et d’explication. La CNIL a précisé que cette explication doit être « significative », c’est-à-dire intelligible pour un non-spécialiste, sans pour autant révéler les paramètres internes du modèle ni les données brutes sensibles. L’ACPR, bras armé de la Banque de France pour la supervision bancaire, contrôle la conformité de ces pratiques et peut sanctionner les établissements dont les systèmes de scoring ne respectent pas ce double impératif de transparence et de protection (Banque de France, supervision bancaire).

Le risque juridique est donc double : communiquer trop peu expose l’établissement à une violation du droit à l’explication ; communiquer trop — en mentionnant explicitement un état de santé, une pathologie ou un historique médical — constitue une violation de l’art. 9 RGPD, passible d’une amende pouvant atteindre 4 % du chiffre d’affaires mondial annuel.

Mécanisme concret : architecture d’explication sans fuite de données sensibles

La technique du proxy agrégé : dissocier la cause de l’explication

La solution architecturale repose sur un principe de data abstraction layer : les données médicales (arrêts de travail, invalidité, pathologie déclarée à l’assureur) alimentent le moteur de scoring en amont, mais ne transitent jamais vers le module de génération d’explication. Ce dernier ne reçoit que des variables proxy agrégées — par exemple « stabilité des revenus : faible », « couverture assurance emprunteur : partielle » — qui sont elles-mêmes le résultat d’un calcul opéré sur les données sensibles, sans les exposer. Un LLM (Large Language Model) de type RAG (Retrieval-Augmented Generation) peut ensuite formuler une explication en langage naturel à partir de ces seules variables proxy.

{
  "request_id": "PRET-2026-00471",
  "decision": "refus",
  "motifs_proxy": [
    { "code": "ASSURANCE_PARTIELLE", "libelle": "Couverture assurance emprunteur insuffisante" },
    { "code": "STABILITE_REVENUS_FAIBLE", "libelle": "Variabilité des revenus sur 24 mois" },
    { "code": "TAUX_EFFORT_DEPASSE", "libelle": "Taux d'effort supérieur à 35 % (Art. L313-1 C. conso.)" }
  ],
  "donnees_sensibles_exposees": false,
  "droit_reexamen_humain": true,
  "convention_AERAS_eligible": true
}

Implications pratiques : middleware IA, Open Banking et gouvernance des données sensibles

Intégrer l’explicabilité RGPD-safe dans un pipeline de décision automatisé

Dans une architecture middleware moderne, le pipeline de décision crédit se décompose en trois couches étanches. La couche ingestion collecte les données brutes (revenus Open Banking, données assureur, éventuelles données médicales avec consentement AERAS). La couche scoring produit un vecteur de décision incluant les variables sensibles, mais ce vecteur reste confiné dans un environnement sécurisé (enclave chiffrée, accès restreint). La couche explication ne reçoit que les variables proxy agrégées et les codes motifs normalisés, qu’un LLM transforme en texte intelligible pour l’emprunteur. Ce cloisonnement garantit que ni le conseiller front-office, ni l’emprunteur, ni les logs applicatifs n’exposent de données de santé.

L’ACPR, dans ses orientations de supervision publiées par la Banque de France, insiste sur la nécessité d’une piste d’audit complète : chaque décision automatisée doit être traçable, réversible par un humain qualifié, et documentée dans un registre de traitement conforme à l’art. 30 RGPD. Pour les profils relevant de la convention AERAS (s’Assurer et Emprunter avec un Risque Aggravé de Santé), le middleware doit en outre déclencher automatiquement une alerte vers un réexamen humain spécialisé, sans que ce déclenchement lui-même ne révèle la pathologie à l’opérateur non habilité.

Sur le plan de l’Open Banking, les flux PSD2/DSP2 permettent d’enrichir le scoring en revenus réels sans passer par des déclarations médicales directes. Un emprunteur dont les revenus sont impactés par une maladie chronique sera caractérisé par ses flux bancaires (irrégularité, baisse ponctuelle) plutôt que par sa pathologie — ce qui réduit structurellement la nécessité de traiter des données de santé au sens strict, et donc le risque RGPD art. 9.

Questions fréquentes

Conclusion & Perspective 2027

D’ici 2027, les pipelines RAG spécialisés en crédit immobilier intégreront nativement des modules d’explicabilité différentielle (differential privacy explainers) capables de certifier mathématiquement qu’aucune donnée sensible n’a « fui » dans le texte généré — une garantie auditables par l’ACPR via API. Les LLMs fine-tunés sur la réglementation française (RGPD, Code de la consommation, convention AERAS) produiront des lettres de refus personnalisées, juridiquement conformes et compréhensibles, en moins de 200 millisecondes, tout en maintenant un droit de recours humain systématique pour les profils médicaux sensibles. La convergence entre Open Banking, IA explicable et supervision algorithmique fera de la transparence du refus non plus une contrainte, mais un avantage concurrentiel pour les établissements les plus avancés.

Sources utilisées

• Légifrance — Code de la consommation, crédit immobilier (Art. L313-1)
• Banque de France — Supervision bancaire et réglementation