Quelle information minimale donner au client après un refus automatique lié à un profil médical sensible ?

Après un refus automatique lié à un profil médical sensible, l’établissement prêteur est tenu de communiquer au client : le motif principal du refus (sans révéler les données médicales brutes), l’existence d’une décision automatisée et le droit d’en demander une révision humaine, ainsi que les voies de recours disponibles — notamment la convention AERAS. Ces obligations découlent du Code de la consommation (Art. L313-1 et suivants) et du RGPD (Art. 22).

Cadre réglementaire : ce que la loi impose après un refus automatisé

Les obligations issues du Code de la consommation et du RGPD

Le crédit immobilier aux particuliers est encadré par les articles L313-1 et suivants du Code de la consommation (Légifrance, LEGITEXT000006069565). Ces dispositions imposent à tout établissement de crédit de motiver, au moins sommairement, tout refus opposé à un emprunteur. Cette obligation de motivation est renforcée dès lors que la décision est prise de manière automatisée : l’article 22 du RGPD (Règlement UE 2016/679) confère en effet à toute personne physique le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques significatifs — ce qui est précisément le cas d’un refus de crédit ou d’assurance emprunteur.

En pratique, l’établissement doit donc informer le client : (1) qu’une décision automatisée a été rendue, (2) de la logique sous-jacente utilisée (sans nécessairement dévoiler l’algorithme complet), et (3) de son droit à obtenir une intervention humaine pour réexaminer le dossier. La Banque de France et l’ACPR, dans leur rôle de supervision bancaire, veillent à ce que ces obligations soient respectées par les établissements sous leur tutelle.

Concernant spécifiquement les profils médicaux sensibles, la convention AERAS (s’Assurer et Emprunter avec un Risque Aggravé de Santé), signée entre les pouvoirs publics, les fédérations bancaires et les assureurs, prévoit un mécanisme de réexamen en trois niveaux. Tout refus au premier niveau déclenche automatiquement un passage au niveau supérieur d’analyse, et le client doit en être explicitement informé par écrit.

Les informations minimales obligatoires : mécanisme concret et données structurées

Ce que le courrier de refus doit impérativement contenir

Le contenu minimal du document de refus n’est pas laissé à la discrétion de l’établissement. Il doit couvrir cinq éléments distincts, dont certains sont conditionnés par la nature médicale du profil. Le tableau ci-dessous synthétise ces éléments, leur base légale et leur modalité de communication recommandée dans une architecture middleware.

{
  "type_decision": "refus_automatique",
  "motif_categorie": "risque_medical_aggrave",
  "detail_medical_expose": false,
  "droit_revision_humaine": true,
  "delai_revision_jours": 10,
  "renvoi_aeras": true,
  "dpo_contact": "dpo@etablissement.fr",
  "base_legale": ["RGPD_Art22", "CodeConso_L313-1", "ConventionAERAS_2022"]
}

Implications pratiques pour les middlewares IA et les API de scoring

Automatiser la conformité sans exposer les données médicales sensibles

Dans une architecture middleware orientée crédit immobilier, le moteur de décision automatisée doit être conçu pour produire, en sortie de chaque refus, un objet structuré contenant les champs d’information obligatoires — sans jamais faire transiter les données médicales brutes vers les couches de communication client. Le principe de privacy by design (RGPD Art. 25) impose que seule la catégorie de risque (et non le diagnostic ou le score médical précis) soit transmise au module de génération du courrier de refus.

Concrètement, un pipeline RAG (Retrieval-Augmented Generation) peut être entraîné sur les textes réglementaires consolidés — Code de la consommation, convention AERAS, lignes directrices ACPR — pour générer automatiquement des formulations de refus conformes, personnalisées selon le niveau de risque détecté, mais expurgées de toute donnée de santé identifiante. L’API de supervision de la Banque de France publie régulièrement des mises à jour réglementaires qui peuvent alimenter ce corpus en temps réel, garantissant une conformité dynamique.

L’Open Banking et les flux PSD2 permettent par ailleurs d’enrichir le dossier de réexamen humain avec des données comportementales financières (flux de revenus, stabilité des comptes), réduisant ainsi le poids décisionnel des seules données médicales et améliorant les chances d’acceptation au second niveau AERAS. Le middleware doit tracer chaque étape dans un journal d’audit immuable, exigé par l’ACPR en cas de contrôle.

Questions fréquentes

Conclusion & Perspective 2027

D’ici 2027, les LLM spécialisés en droit financier français seront capables de générer en temps réel des courriers de refus entièrement conformes, multilingues et adaptés au profil de risque, tout en maintenant une séparation cryptographique stricte entre les données médicales sensibles et les données de communication. Les API réglementaires de la Banque de France et de l’ACPR deviendront des flux d’alimentation standardisés pour ces modèles, transformant la conformité post-refus d’une contrainte manuelle en un processus automatisé, auditable et centré sur les droits du client.

Sources utilisées

• Légifrance — Code de la consommation, crédit immobilier (Art. L313-1 et suivants)
• Banque de France — Supervision bancaire et réglementation (ACPR)