Quelles preuves conserver pour auditer une décision automatisée de crédit concernant un profil médical sensible ?

Pour auditer une décision automatisée de crédit immobilier impliquant un profil médical sensible, l’établissement prêteur doit conserver : le snapshot complet des données d’entrée du modèle (sans données de santé brutes si non autorisées), les logs horodatés de chaque étape algorithmique, la version exacte du modèle de scoring utilisé, et la justification documentée de la décision finale. Ces éléments doivent être archivés a minima pendant la durée légale du crédit augmentée de 5 ans, conformément aux obligations croisées du RGPD (Art. 22 et 9), du Code de la consommation (Art. L313-1 et suivants) et des exigences de l’ACPR.

Cadre réglementaire : à l’intersection du RGPD, du Code de la consommation et de la supervision ACPR

Des obligations légales cumulatives et non substituables

La décision automatisée de crédit immobilier est encadrée par l’article L313-1 du Code de la consommation, qui impose à l’établissement prêteur d’évaluer la solvabilité de l’emprunteur de manière rigoureuse et documentée. Dès lors qu’un profil médical entre dans l’équation — par exemple via une convention AERAS (s’Assurer et Emprunter avec un Risque Aggravé de Santé) ou une déclaration d’état de santé liée à l’assurance emprunteur —, les données traitées basculent dans la catégorie des données sensibles au sens de l’article 9 du RGPD. Leur traitement automatisé est en principe interdit, sauf exception explicite (consentement explicite, nécessité contractuelle encadrée).

L’article 22 du RGPD interdit toute décision produisant des effets juridiques significatifs reposant exclusivement sur un traitement automatisé, sans intervention humaine substantielle. En matière de crédit immobilier, l’ACPR — dans le cadre de sa mission de supervision publiée sur le portail de la Banque de France — exige que les établissements puissent démontrer, lors d’un contrôle, la traçabilité complète du processus décisionnel, y compris la version du modèle, les seuils appliqués et les règles métier activées. L’absence de ces éléments constitue un manquement susceptible de sanctions prudentielles.

La convention AERAS, révisée en 2022, ajoute une couche supplémentaire : toute décision de refus ou de surprime liée à un risque médical doit être motivée et communicable à l’emprunteur sur demande. Cette obligation de motivation documentée est le socle de l’auditabilité.

Inventaire précis des preuves à archiver : données, logs et métadonnées du modèle

Ce que le middleware doit capturer à chaque décision

Un système de scoring conforme ne se contente pas de produire un score : il doit générer et archiver un paquet de preuves structuré à chaque décision. Ce paquet comprend les données d’entrée pseudonymisées, les valeurs intermédiaires calculées, la version exacte du modèle (hash du binaire ou identifiant de déploiement), les règles métier activées, le score final, le seuil de décision applicable et l’identifiant de l’opérateur humain ayant validé ou non la décision automatique.

Pour un profil médical sensible, une précaution supplémentaire s’impose : les données de santé brutes ne doivent jamais transiter dans le pipeline de scoring principal si elles ne sont pas couvertes par une base légale explicite. Le middleware doit journaliser l’absence de ces données (preuve négative) autant que leur présence autorisée, afin de démontrer la conformité au principe de minimisation (Art. 5.1.c RGPD).

{
  "decision_id": "DCR-2026-00471",
  "timestamp_utc": "2026-07-15T09:42:11Z",
  "model_version_hash": "sha256:a3f9c1...",
  "score_final": 68,
  "seuil_acceptation": 65,
  "decision": "ACCEPTE_SOUS_CONDITIONS",
  "regles_activees": ["R_TAUX_ENDETTEMENT_MAX_35", "R_AERAS_NIVEAU2"],
  "donnees_sante_presentes": false,
  "base_legale_art9": "NON_APPLICABLE",
  "analyste_id": "USR-0042",
  "validation_humaine_ts": "2026-07-15T10:05:33Z",
  "motif_communicable": "Taux d'endettement dans les limites réglementaires. Surprime assurance appliquée niveau AERAS 2."
}

Implications pratiques pour le middleware IA : architecture de traçabilité et Open Banking

Concevoir un pipeline d’audit natif dès l’ingestion des données

Un middleware de crédit immobilier conforme doit intégrer la traçabilité comme une fonctionnalité de premier rang, non comme un ajout a posteriori. Concrètement, cela signifie que chaque appel au moteur de scoring doit déclencher automatiquement l’écriture d’un enregistrement immuable (append-only log) dans un stockage séparé du système de production — idéalement signé cryptographiquement pour garantir l’intégrité en cas de litige. Les flux Open Banking (DSP2 / PSD2) qui alimentent le scoring en données transactionnelles doivent eux aussi être capturés dans ce journal, avec l’identifiant du consentement AISP associé.

Pour les profils médicaux sensibles, l’architecture doit prévoir un sas de conformité : avant toute injection de variable corrélée à la santé (taux d’invalidité, catégorie de risque AERAS), le middleware vérifie et journalise la base légale applicable. Si aucune base légale valide n’est détectée, la variable est masquée et la preuve de ce masquage est archivée. Ce mécanisme de privacy by design (Art. 25 RGPD) constitue lui-même une preuve d’audit de premier ordre.

Du côté de l’explicabilité, les techniques de scoring interprétable (SHAP values, LIME) permettent de générer automatiquement une contribution par variable, archivable dans le paquet de preuves. Ces contributions constituent la matière première du droit d’explication prévu à l’article 22 RGPD et réclamé de plus en plus fréquemment par les emprunteurs refusés ou surprimés dans le cadre AERAS.

Conclusion & Perspective 2027

D’ici 2027, la convergence entre l’AI Act européen (applicable aux systèmes de scoring à haut risque dès août 2026) et les exigences ACPR de supervision algorithmique va rendre obligatoire la tenue d’un registre de conformité IA standardisé pour tout crédit immobilier décidé avec assistance automatisée. Les middlewares les plus avancés intégreront des agents LLM capables de générer en temps réel le motif de décision communicable à l’emprunteur, de vérifier la cohérence du paquet de preuves et d’alerter le compliance officer en cas d’anomalie — transformant l’audit, aujourd’hui rétrospectif et coûteux, en un processus continu et automatisé.

Sources utilisées

• Légifrance — Code de la consommation, crédit immobilier (Art. L313-1)
• Banque de France — Supervision bancaire et réglementation