Conformité
Décisions de crédit automatisées en Suisse : ce que la loi exige réellement des plateformes IA et comment vérifier la conformité sans être juriste
Le cadre légal applicable aux décisions automatisées en Suisse
La Suisse dispose d'une législation sur la protection des données qui encadre les décisions entièrement automatisées. La révision de la loi fédérale sur la protection des données — en vigueur depuis 2023 — introduit des dispositions spécifiques sur le droit à l'explication pour les décisions automatisées qui produisent des effets juridiques ou affectent de façon significative la personne concernée. Une décision de crédit entre clairement dans cette catégorie. Les institutions financières qui utilisent des systèmes de décision automatisée doivent donc être en mesure de fournir une explication compréhensible sur demande, de permettre une révision humaine, et de documenter le fonctionnement de leur système de façon à permettre un audit. Ces exigences ne sont pas optionnelles — elles sont inscrites dans la loi et peuvent faire l'objet de sanctions en cas de non-respect. Ce que j'observe dans mes analyses, c'est que de nombreuses plateformes affirment leur conformité sans pouvoir en apporter la preuve documentaire.
Le droit à l'explication pour l'emprunteur
Toute personne faisant l'objet d'une décision de crédit entièrement automatisée a le droit de demander une explication sur les principaux facteurs qui ont conduit à cette décision. Cette explication doit être compréhensible — ce qui signifie qu'une liste de codes techniques ou de valeurs numériques brutes ne suffit pas. La plateforme doit être capable de traduire les sorties de son modèle en langage courant. Ce droit est activable sur demande et doit être traité dans un délai raisonnable.
La révision humaine comme filet de sécurité
La loi prévoit également le droit à une révision humaine pour les décisions automatisées significatives. Cela signifie que l'institution ne peut pas se contenter d'une décision algorithmique finale sans prévoir un mécanisme de recours humain. Ce mécanisme doit être réel et accessible — pas seulement mentionné dans les conditions générales sans procédure concrète. J'ai constaté que certaines plateformes proposent une révision humaine théorique qui nécessite en pratique des démarches si complexes qu'elles découragent toute contestation.
La documentation du système pour les auditeurs
Les institutions doivent maintenir une documentation suffisante sur leur système de décision automatisée pour permettre à une autorité de contrôle de vérifier sa conformité. Cette documentation doit couvrir les données utilisées, la logique du modèle, les mesures d'équité appliquées et les résultats des audits internes. En pratique, cela signifie que les plateformes qui ne produisent pas de documentation structurée exposent leurs clients institutionnels à un risque réglementaire direct.
Les sanctions en cas de non-conformité
Le non-respect des dispositions sur les décisions automatisées peut entraîner des sanctions administratives et, dans certains cas, des responsabilités civiles. L'institution cliente — pas seulement le fournisseur de la plateforme — peut être tenue responsable si elle a déployé un système non conforme. C'est pourquoi la diligence raisonnable lors du choix d'une plateforme est une obligation, pas une option. Je recommande toujours de demander une attestation de conformité documentée avant tout déploiement.
Comment vérifier la conformité d'une plateforme sans être juriste
Vous n'avez pas besoin d'un diplôme en droit pour vérifier si une plateforme de crédit IA est sérieuse sur la conformité. Il vous faut des questions précises et la patience d'insister jusqu'à obtenir des réponses documentées plutôt que des déclarations d'intention. J'ai développé une liste de vérifications pratiques que j'applique systématiquement. Elles sont toutes basées sur des éléments concrets que vous pouvez demander et évaluer sans expertise juridique spécialisée. La règle principale est simple : si un fournisseur ne peut pas vous montrer un document, c'est qu'il n'en a probablement pas.
Demander la documentation de conformité
La première vérification est simple : demandez au fournisseur de vous fournir sa documentation de conformité à la loi fédérale sur la protection des données concernant les décisions automatisées. Un fournisseur conforme dispose de ce document et peut le partager. S'il vous répond avec des généralités sur la protection des données sans vous remettre un document précis, c'est un signal d'alarme. La documentation doit couvrir spécifiquement les décisions automatisées, pas la protection des données en général.
Vérifier l'existence d'un processus de révision humaine
Demandez à voir concrètement comment fonctionne le processus de révision humaine. Qui est impliqué ? Quel est le délai de traitement ? Quels critères guident la révision ? La réponse doit être un processus documenté, pas une promesse verbale. J'ai rencontré des plateformes dont la révision humaine consistait en pratique à envoyer un email à une adresse générique sans accusé de réception ni délai garanti. Ce n'est pas une révision humaine — c'est une fiction de conformité.
Tester la lisibilité des explications produites
Demandez un exemple d'explication générée pour une décision de refus. Lisez-la. Comprenez-vous les raisons sans formation technique ? Les facteurs sont-ils nommés en langage courant ? L'explication indique-t-elle ce que l'emprunteur pourrait faire pour améliorer sa situation ? Si l'explication est une liste de codes internes ou de valeurs numériques sans contexte, elle ne satisfait pas l'exigence légale de compréhensibilité. C'est un test simple que tout évaluateur peut réaliser en quelques minutes.
Vérifier la fréquence des audits de modèle
Un modèle de crédit qui n'est pas audité régulièrement peut dériver et produire des décisions incohérentes ou discriminatoires sans que personne ne s'en aperçoive. Demandez la fréquence des audits, qui les réalise, et si un rapport d'audit récent peut être partagé. Les audits annuels sont un minimum — les plateformes sérieuses auditent plus fréquemment, surtout après des changements dans les données d'entrée ou dans la population de demandeurs.
Les points de vigilance spécifiques à la Suisse
La Suisse n'est pas membre de l'Union européenne, ce qui signifie que le RGPD ne s'applique pas directement. Cependant, la nouvelle loi fédérale sur la protection des données s'en inspire largement et produit des effets similaires pour les décisions automatisées. Il existe néanmoins des spécificités suisses que les plateformes opérant sur ce marché doivent connaître et traiter explicitement dans leur documentation de conformité.
La loi fédérale sur la protection des données révisée
La révision de la loi fédérale sur la protection des données, entrée en vigueur en septembre 2023, introduit des dispositions spécifiques sur les décisions automatisées. Elle prévoit le droit de la personne concernée à demander une intervention humaine, à exprimer son point de vue, et à contester la décision. Ces droits sont directement applicables aux décisions de crédit automatisées et les institutions qui les ignorent s'exposent à des recours légaux.
Les obligations de notification à l'autorité de surveillance
En Suisse, certaines violations liées aux décisions automatisées doivent être notifiées au Préposé fédéral à la protection des données et à la transparence. Les institutions doivent être en mesure d'identifier ces situations et de les traiter dans les délais légaux. Les plateformes qui ne disposent pas d'un système de détection et de notification des violations ne permettent pas à leurs clients d'honorer cette obligation.
La spécificité du secteur financier suisse
Le secteur financier suisse est soumis à une surveillance supplémentaire de la FINMA, l'autorité fédérale de surveillance des marchés financiers. Bien que la FINMA n'ait pas encore publié de circulaire spécifique sur l'IA explicable en crédit, ses attentes générales en matière de gestion des risques opérationnels s'appliquent aux systèmes algorithmiques. Les institutions doivent donc anticiper une évolution réglementaire et choisir des plateformes capables de s'adapter à de nouvelles exigences.
Les transferts de données transfrontaliers
De nombreuses plateformes IA traitent les données dans des centres de données situés hors de Suisse. La loi fédérale sur la protection des données encadre strictement ces transferts et exige des garanties contractuelles équivalentes au niveau de protection suisse. Les institutions qui utilisent des plateformes hébergées à l'étranger doivent vérifier que ces garanties sont en place et documentées, sous peine d'exposer leurs clients à un risque de violation de données transfrontalière.