Les droits des personnes exposées aux systèmes d’intelligence artificielle. Réclamation, droit à l’explication, signalement des violations et action représentative

1Le chapitre IX du règlement sur l’intelligence artificielle est consacré à la surveillance après commercialisation et au contrôle de l’application du texte. Sa section 4 porte un intitulé qui détonne dans une législation d’harmonisation technique : « Voies de recours ». Elle comporte trois articles. L’article 85 ouvre un droit d’introduire une réclamation auprès d’une autorité de surveillance du marché. L’article 86 ouvre un droit à l’explication des décisions individuelles. L’article 87 se réduit à une phrase rendant applicable la directive sur la protection des lanceurs d’alerte. Un quatrième texte, situé ailleurs — l’article 110, dans les dispositions finales —, ajoute le règlement à la liste des actes dont la violation ouvre l’action représentative.

2Ces quatre dispositions forment l’ensemble de ce que le règlement accorde en propre à la personne qui subit un système d’intelligence artificielle. Elles sont brèves : réunies, elles n’excèdent pas une page du Journal officiel. Leur brièveté n’est pas en soi un grief — une législation de produit n’a pas vocation à écrire un code de procédure. Mais elle appelle un examen précis de ce qui a été écrit, de ce qui a été retiré en cours de procédure législative, et de ce que produit l’articulation de ces textes avec ceux dont ils s’inspirent.

1. La personne exposée, destinataire d’un texte qui ne la définit pas

Une notion employée, jamais définie

3L’article 3 du règlement énumère les définitions applicables : soixante-huit points en 2024, auxquels la révision de 2026 a ajouté les points 14 bis et 14 ter. Le fournisseur y est défini, le déployeur aussi, comme le mandataire, l’importateur, le distributeur, l’opérateur, le système, le modèle, la mise sur le marché, la destination, l’incident grave et le risque systémique. Aucun de ces soixante-dix points ne définit la personne exposée au système. Un contrôle négatif conduit sur l’article 3 dans sa version consolidée ne relève aucune occurrence de l’expression employée par l’article 86^[3].

4L’absence de définition n’empêche pas l’emploi. L’expression apparaît dix fois dans le dispositif français, et l’une de ces occurrences est structurante : l’article 2, paragraphe 1, point g), soumet au règlement les personnes concernées « qui sont situées dans l’Union ». C’est l’un des chefs de rattachement territorial du texte : un fournisseur établi hors de l’Union relève du règlement dès lors que la sortie du système est utilisée à l’égard d’une personne située dans l’Union. La notion la moins définie du texte en commande ainsi l’un des champs d’application les plus larges^[4].

Une collision terminologique qui n’existe qu’en français

5La difficulté est plus sérieuse qu’un défaut de définition, car elle tient à la traduction. La version anglaise du règlement emploie deux expressions distinctes : affected person, huit fois, et data subject, deux fois. La version française les rend toutes deux par « personne concernée », dix fois. Or « personne concernée » est, en français, le terme technique du règlement général sur la protection des données : son article 4, point 1, désigne ainsi la personne physique identifiée ou identifiable à laquelle se rapporte une donnée à caractère personnel^[5].

6La collision n’est pas théorique : elle se vérifie article par article. Les deux occurrences anglaises de data subject figurent à l’article 59, qui régit le traitement de données à caractère personnel dans les bacs à sable réglementaires ; elles y désignent bien la personne dont les données sont traitées, et le texte français les rend par « personnes concernées ». L’article 86 emploie exactement le même mot français pour désigner tout autre chose : la personne qui subit une décision, qu’elle ait ou non fait l’objet d’un traitement de données^[6].

Ce dont la personne exposée est créancière

7Hors de la section 4, la personne exposée n’est titulaire que de deux créances. La première est l’information : l’article 26, paragraphe 11, oblige le déployeur d’un système de l’annexe III qui prend des décisions ou facilite des prises de décision concernant des personnes physiques à informer celles-ci qu’elles y sont soumises. La seconde est la transparence de l’article 50, qui vise l’interaction avec un système et le marquage des contenus générés. Ces deux dispositifs relèvent d’autres articles de la présente rubrique^[7].

8Un troisième dispositif la concerne au premier chef sans lui être communiqué. L’analyse d’impact sur les droits fondamentaux, que l’article 27 impose à certains déployeurs, porte précisément sur les catégories de personnes susceptibles d’être affectées et sur les risques de préjudice qu’elles encourent. Ses résultats ne leur sont pas remis : le déployeur « en notifie les résultats à l’autorité de surveillance du marché »^[8]. Le document qui décrit le risque pesant sur une personne est adressé au régulateur, non à elle.

2. Une section intitulée « Voies de recours » qui n’en ouvre aucune

9Un lecteur qui ouvre la section 4 du chapitre IX en attend ce que son intitulé annonce : les actions ouvertes à qui se prétend lésé, la juridiction compétente, le délai. Il n’y trouve rien de tel. L’article 85 ouvre une réclamation administrative ; l’article 86 crée un droit substantiel dont il ne dit pas comment il se sanctionne ; l’article 87 renvoie à un autre texte. Aucune des trois dispositions n’organise un recours devant un juge.

Ce que le Parlement européen avait écrit

10L’intitulé s’explique par la genèse. La proposition de la Commission du 21 avril 2021 ne comportait ni réclamation, ni droit à l’explication, ni chapitre consacré aux recours : un contrôle négatif conduit sur son texte français ne relève aucune occurrence de l’expression « voies de recours »^[9]. C’est le Parlement européen qui a inséré la matière, par les amendements qu’il a adoptés le 14 juin 2023 : l’amendement 627 crée un chapitre nouveau intitulé « Recours », et les amendements 628 à 632 y logent cinq articles^[10].

11Le premier de ces articles, numéroté 68 bis, ouvrait un droit d’introduire une réclamation auprès d’une autorité de contrôle nationale. Son paragraphe 2 disposait : « L’autorité de contrôle nationale auprès de laquelle la réclamation a été introduite informe l’auteur de la réclamation de l’état d’avancement et de l’issue de la réclamation, y compris de la possibilité d’un recours juridictionnel en vertu de l’article 78. »^[11] La phrase est la reprise, mot pour mot ou presque, de l’article 77, paragraphe 2, du règlement général sur la protection des données^[12]. Elle ne figure pas dans le texte adopté.

12Le deuxième, numéroté 68 ter, était intitulé « Droit à un recours juridictionnel effectif contre une autorité de contrôle nationale ». Il ouvrait un recours contre les décisions de l’autorité, et un recours contre son silence : était habilitée à saisir le juge toute personne à l’égard de laquelle l’autorité « omet de traiter une réclamation ou d’informer la personne concernée dans un délai de trois mois, de l’état d’avancement ou de l’issue de la réclamation ». Il désignait la juridiction compétente — celle de l’État membre où l’autorité est établie — et réglait le cas où une décision de la Commission avait précédé celle de l’autorité^[13]. C’est, là encore, la transposition d’une disposition du règlement général sur la protection des données, son article 78^[14]. L’article 68 ter a disparu en entier : le texte adopté n’en conserve pas une ligne.

Le recours juridictionnel, laissé hors du texte

13Il ne faut pas tirer de ces suppressions une conclusion excessive. Le règlement est directement applicable ; sa violation est invocable devant les juridictions nationales, qui sont tenues d’assurer la protection juridictionnelle effective garantie par l’article 47 de la Charte des droits fondamentaux de l’Union européenne. Un système déployé en méconnaissance du règlement peut fonder, selon les droits nationaux, une action en responsabilité, une action en nullité, une contestation devant le juge du travail, du contrat, de l’administration ou du fond.

14Le considérant 170 dit exactement cela, et il le dit comme une prémisse : « Le droit de l’Union et le droit national prévoient déjà des voies de recours effectives pour les personnes physiques et morales qui subissent une atteinte à leurs droits et libertés en raison de l’utilisation de systèmes d’IA. »^[15] La phrase est un constat, non une règle. Elle explique pourquoi le législateur a jugé inutile d’écrire ce que le Parlement avait écrit ; elle ne crée ni règle de compétence, ni délai, ni qualité pour agir, ni régime probatoire.

15La conséquence est que la contestation d’une violation du règlement suivra, dans chaque État membre, le régime procédural de l’action qui lui sert de véhicule. Le règlement, qui harmonise minutieusement les obligations techniques du fournisseur, laisse entièrement au droit national la question de savoir qui peut s’en prévaloir, contre qui, dans quel délai et avec quelles conséquences. Une législation d’harmonisation produit ici une hétérogénéité procédurale complète.

3. La réclamation de l’article 85 : une qualité pour agir sans procédure

La règle

16L’article 85 tient en deux alinéas. Le premier dispose : « Sans préjudice d’autres recours administratifs ou judiciaires, toute personne physique ou morale ayant des motifs de considérer qu’il y a eu violation des dispositions du présent règlement peut déposer des réclamations auprès de l’autorité de surveillance du marché concernée. » Le second ajoute que, conformément au règlement relatif à la surveillance du marché, « ces réclamations sont prises en compte aux fins de l’exercice des activités de surveillance du marché, et sont traitées conformément aux procédures spécifiques établies en conséquence par les autorités de surveillance du marché »^[16].

Une ouverture plus large que celle du modèle

17La qualité pour réclamer est, dans le règlement sur l’intelligence artificielle, plus largement ouverte que dans le texte dont il s’inspire, et elle l’est sur trois points. Le règlement général sur la protection des données réserve la réclamation à « toute personne concernée », c’est-à-dire à une personne physique, et à la condition qu’elle considère que le traitement « la concernant » est illicite^[17]. L’article 85 vise « toute personne physique ou morale », n’exige pas que le réclamant soit affecté, et n’exige pas davantage que la violation alléguée le touche : il suffit d’avoir « des motifs de considérer qu’il y a eu violation des dispositions du présent règlement ».

18Une association, un concurrent, un syndicat, un chercheur, une autorité étrangère peuvent ainsi réclamer sans démontrer le moindre intérêt personnel. C’est, en substance, une action populaire administrative, et elle est plus largement ouverte que celle du texte qui lui sert de modèle.

19Il serait tentant d’y voir une faveur. La genèse invite à la prudence. Le Parlement européen avait retenu l’inverse : son article 68 bis réservait la réclamation aux personnes physiques et aux « groupes de personnes physiques », et exigeait qu’elles considèrent « que le système d’IA les concernant viole le présent règlement »^[18]. Le texte adopté a donc simultanément élargi la qualité pour agir et supprimé les garanties de traitement. Les deux mouvements se comprennent ensemble : une réclamation qui n’ouvre aucun droit procédural peut être ouverte à tous sans conséquence pour l’administration qui la reçoit.

Un traitement renvoyé à ceux qui le décident

20Le second alinéa mérite une lecture littérale. Les réclamations ne sont pas instruites : elles sont « prises en compte aux fins de l’exercice des activités de surveillance du marché ». La formule décrit une fonction d’alimentation du renseignement administratif, non une obligation d’examen individuel. Et le régime de leur traitement est renvoyé aux « procédures spécifiques établies en conséquence par les autorités de surveillance du marché » — c’est-à-dire aux procédures que définissent elles-mêmes les autorités destinataires.

21Le renvoi au règlement relatif à la surveillance du marché mérite d’être suivi jusqu’à son terme, car il ne conduit pas où l’on pourrait croire. Un contrôle négatif conduit sur le texte français intégral de ce règlement ne relève qu’une seule occurrence du mot « plainte », à son article 11, paragraphe 7, qui oblige les autorités de surveillance du marché à mettre en place « des procédures concernant les suites à donner aux plaintes ou aux rapports sur des aspects liés aux risques ou à la non-conformité »^[19]. L’obligation porte sur l’existence d’une procédure, non sur son contenu : aucun délai, aucun accusé de réception, aucune information du plaignant n’y figurent. Le renvoi de l’article 85 conduit donc à une obligation d’organisation, et à elle seule.

22Le règlement ne fixe donc, pour la réclamation qu’il crée, aucun accusé de réception, aucun délai d’examen, aucune obligation de motiver un classement, aucune obligation d’informer le réclamant de la suite donnée, et aucune voie de contestation de l’inaction. Ces silences ne sont pas des lacunes de rédaction : chacune de ces garanties figurait dans le texte voté par le Parlement européen quinze mois avant l’adoption.

23La même économie se retrouve, à l’identique, dans la seule autre réclamation que le règlement organise : celle que l’article 89, paragraphe 2, réserve aux fournisseurs en aval devant la Commission, et qui ne comporte davantage ni délai ni obligation de réponse. Ce dispositif relève de l’article consacré au contrôle des modèles et aux sanctions ; il suffit ici d’observer que le règlement traite de la même façon le professionnel qui dénonce son cocontractant et la personne qui dénonce le système auquel elle est soumise.

4. À qui s’adresser : le destinataire introuvable et le guichet de la Commission

24Un droit de réclamation suppose une adresse. L’article 85 désigne « l’autorité de surveillance du marché concernée », sans dire comment on l’identifie. L’architecture des autorités relève de l’article consacré à la surveillance du marché ; il faut seulement rappeler ici qu’elle est plurielle : chaque État membre désigne une ou plusieurs autorités et, en cas de pluralité, un point de contact unique ; le Contrôleur européen de la protection des données est compétent pour les institutions de l’Union ; et le Bureau de l’IA est seul compétent pour une classe de systèmes définie par l’article 75.

L’état des listes

25Deux listes devaient rendre cette architecture lisible. La première est celle des points de contact uniques, que l’article 70, paragraphe 2, impose de notifier et que la Commission publie. À la date de vérification, la page qui la porte renseigne huit États membres sur vingt-sept — Chypre, l’Espagne, l’Irlande, l’Italie, la Lettonie, la Lituanie, le Luxembourg, la Slovénie —, dont trois assortis d’un astérisque signalant que la désignation attend encore son adoption définitive. La France n’y figure pas. La dernière mise à jour affichée est le 26 septembre 2025^[20].

26La seconde est celle des autorités de protection des droits fondamentaux, que l’article 77, paragraphe 2, imposait à chaque État membre d’identifier et de rendre publique au plus tard le 2 novembre 2024. La liste consolidée n’existe pas : la page que la Commission présente comme telle ne comporte, dans son corps, aucun tableau et aucun nom. Ce constat a été établi et daté dans l’article consacré à la surveillance du marché. Des États membres ont, isolément, publié la leur ; ce qui manque est l’agrégation que la Commission annonce^[21].

27Ces deux carences n’ont pas la même portée pour la personne exposée. La seconde la prive d’un interlocuteur spécialisé dans les droits fondamentaux, alors que c’est à ce titre que le règlement l’a instituée. La première la prive, dans dix-neuf États membres, de l’adresse même à laquelle la réclamation de l’article 85 doit être déposée.

Le guichet européen, et ce qu’il exclut

28La Commission a ouvert, à l’échelon de l’Union, un outil de réclamation fondé sur l’article 85. La page qui le présente, dont la dernière mise à jour affichée est le 31 juillet 2026, énonce que l’outil permet aux personnes physiques et morales de déposer des réclamations auprès du Bureau de l’IA au sujet d’infractions alléguées commises par des fournisseurs ou des déployeurs, et que toutes les réclamations doivent relever du champ de l’article 85 et concerner des systèmes relevant de la compétence exclusive du Bureau de l’IA^[22].

29Cette limite est juridiquement correcte : le Bureau de l’IA n’est « l’autorité de surveillance du marché concernée » que pour la classe de systèmes définie par l’article 75, paragraphe 1 — les systèmes fondés sur un modèle à usage général du même fournisseur ou de la même entreprise, avec quatre exceptions, et les systèmes qui constituent une très grande plateforme en ligne ou un très grand moteur de recherche en ligne, ou qui y sont intégrés^[23]. Le guichet européen ne couvre donc pas les domaines de l’annexe III où la personne exposée est le plus souvent en cause : l’emploi, l’éducation, les prestations sociales, la répression, la migration, la justice.

30La situation qui en résulte se décrit simplement. À l’échelon de l’Union, la personne exposée dispose d’un guichet identifié, fonctionnel et multilingue, pour une classe étroite de systèmes. À l’échelon national, qui couvre tout le reste, elle dispose d’un droit dont l’adresse n’est publiée que dans huit États membres.

5. Le droit à l’explication : un champ étroit, un objet incertain

La règle

31L’article 86, paragraphe 1, ouvre à « toute personne concernée faisant l’objet d’une décision prise par un déployeur sur la base des sorties d’un système d’IA à haut risque mentionné à l’annexe III, à l’exception des systèmes énumérés au point 2 de ladite annexe », et lorsque cette décision « produit des effets juridiques ou affecte significativement cette personne de façon similaire d’une manière qu’elle considère comme ayant des conséquences négatives sur sa santé, sa sécurité ou ses droits fondamentaux », le droit « d’obtenir du déployeur des explications claires et pertinentes sur le rôle du système d’IA dans la procédure décisionnelle et sur les principaux éléments de la décision prise »^[24].

32Le champ est doublement borné. Il ne couvre que les systèmes de l’annexe III, à l’exclusion de ceux de l’annexe I — les composants de sécurité de produits réglementés, où il n’y a le plus souvent aucune décision individuelle. Et il exclut, au sein de l’annexe III, le point 2, relatif aux infrastructures critiques : l’exclusion se comprend d’elle-même, un système qui régule le trafic routier ou la fourniture d’électricité ne prend pas de décision individuelle^[25].

Première difficulté : le degré d’automatisation exigé

33Trois formules décrivent le même phénomène — une décision prise avec le concours d’une machine — et elles ne disent pas la même chose. Le règlement général sur la protection des données vise la décision « fondée exclusivement sur un traitement automatisé »^[26]. Le considérant 171 du règlement sur l’intelligence artificielle vise la décision « principalement fondée sur les sorties de certains systèmes d’IA à haut risque ». L’article 86 vise la décision prise « sur la base des sorties » d’un tel système.

34L’écart entre le considérant et l’article n’est pas un artefact de traduction : il se vérifie dans les deux langues. La version anglaise du considérant 171 écrit based mainly upon the output ; celle de l’article 86 écrit on the basis of the output^[27]. Le préambule pose donc une condition — la prédominance de la sortie du système dans la décision — que le dispositif ne pose pas.

35La divergence est lourde de conséquences pratiques, car c’est elle qui commande le sort de l’hypothèse la plus fréquente : celle où un agent humain décide, mais décide au vu d’un score, d’un classement ou d’une recommandation produits par le système. Lue à la lettre, la disposition couvre cette hypothèse : la décision est bien prise « sur la base » de la sortie. Lue à la lumière du considérant, elle ne la couvre que si la sortie a été déterminante.

36La lecture littérale doit être préférée, et pour une raison tirée de l’économie du règlement lui-même. Le texte impose, à son article 14, un contrôle humain effectif sur les systèmes à haut risque. Retenir la lecture restrictive du considérant reviendrait à faire dépendre le droit à l’explication de l’inexécution d’une autre obligation du même règlement : plus le déployeur respecterait son devoir de contrôle humain, moins la personne aurait droit à une explication. Une interprétation qui récompense le manquement doit être écartée.

Deuxième difficulté : l’objet de l’explication

37L’article 86 exige des explications « claires et pertinentes » sur deux objets : le rôle du système dans la procédure décisionnelle, et les principaux éléments de la décision prise. Le premier objet est intelligible : il s’agit de dire quelle place la machine a tenue. Le second l’est moins : « les principaux éléments de la décision » peut désigner aussi bien les motifs retenus que les données prises en compte ou les variables du modèle.

38La genèse dissipe l’ambiguïté sur le sens de l’évolution, à défaut de la dissiper sur le sens du texte. Le Parlement européen avait écrit : une explication « du rôle du système d’IA dans la procédure décisionnelle, des principaux paramètres de la décision prise et des données d’entrée concernées », le tout par référence à l’article 13, paragraphe 1^[28]. Le texte adopté a remplacé les « paramètres » par des « éléments », supprimé les données d’entrée, et supprimé le renvoi à l’article 13. Ce qui a disparu est précisément ce qui rendait l’explication vérifiable : les variables et les entrées sont contrôlables, les éléments ne le sont pas.

Ce que le droit voisin apporte

39Aucune juridiction n’a encore interprété l’article 86, ni aucune autre disposition du règlement. La Cour de justice de l’Union européenne a en revanche interprété, à deux reprises et à propos du règlement général sur la protection des données, une obligation d’explication très proche. La transposition doit rester prudente : les deux textes n’ont ni le même champ, ni le même débiteur, ni la même finalité. Elle n’en est pas moins éclairante, car le second arrêt porte sur la question même que l’article 86 laisse ouverte — que doit contenir une explication.

40Par un arrêt du 27 février 2025, la Cour a jugé que la personne concernée peut exiger du responsable du traitement qu’il lui explique, « au moyen d’informations pertinentes et d’une façon concise, transparente, compréhensible et aisément accessible, la procédure et les principes concrètement appliqués » pour exploiter ses données par la voie automatisée aux fins d’en obtenir un résultat déterminé^[29]. Elle a précisé que la divulgation de l’algorithme complet n’est pas exigée, mais que « la complexité des opérations à réaliser » ne saurait libérer le responsable « de son devoir d’explication », et elle a indiqué qu’une explication contrefactuelle — informer la personne de la mesure dans laquelle une variation de ses données aurait conduit à un résultat différent — pourrait être jugée suffisamment transparente et intelligible.

41Le même arrêt règle la question du secret d’affaires, sur laquelle l’article 86 est muet. Lorsque le responsable estime que les informations à fournir comportent des secrets d’affaires ou des données de tiers, il ne peut opposer un refus : il est tenu de communiquer ces informations « à l’autorité de contrôle ou à la juridiction compétentes, auxquelles il incombe de pondérer les droits et les intérêts en cause ». La confidentialité ne fonde pas une exception ; elle déplace l’arbitrage vers un tiers impartial.

42Le règlement sur l’intelligence artificielle n’organise rien de tel entre le déployeur et la personne. Son article 78 impose bien une obligation de confidentialité protégeant notamment les secrets d’affaires et le code source, mais il pèse sur la Commission, les autorités de surveillance du marché, les organismes notifiés et toute personne associée à l’application du règlement^[30]. Il régit la discrétion du contrôleur, non le conflit entre l’explication due et le secret invoqué.

Le débiteur qui ne détient pas l’information

43Le second apport de la jurisprudence est plus dérangeant. Par un arrêt du 7 décembre 2023, la Cour a jugé que l’établissement automatisé, par une société d’informations commerciales, d’une valeur de probabilité relative à la solvabilité d’une personne constitue lui-même une décision individuelle automatisée « lorsque dépend de manière déterminante de cette valeur de probabilité le fait qu’une tierce partie, à laquelle ladite valeur de probabilité est communiquée, établisse, exécute ou mette fin à une relation contractuelle avec cette personne »^[31].

44Le motif de cette solution intéresse directement l’article 86. La Cour a relevé que, dans une configuration à trois acteurs, une lecture restrictive créerait « un risque de contournement » et « une lacune dans la protection juridique », parce que la personne ne pourrait obtenir aucune explication d’aucun des deux : pas de celui qui calcule, qui ne décide pas ; pas de celui qui décide, car « cette tierce partie ne serait pas en mesure de fournir ces informations spécifiques car elle n’en dispose généralement pas ».

45Or la chaîne du règlement sur l’intelligence artificielle est exactement une chaîne à trois acteurs : le fournisseur conçoit le système, le déployeur l’emploie, la personne subit la décision. Et l’article 86 impute la dette d’explication au deuxième — c’est-à-dire, selon l’analyse de la Cour, à celui qui ne dispose généralement pas de l’information. Ce que le déployeur reçoit du fournisseur est la notice d’utilisation de l’article 13, dont le destinataire est un professionnel et dont l’objet est l’usage conforme du système, non la reconstitution d’une décision individuelle^[32].

46Le règlement ne comble pas cet écart. Il n’ouvre au déployeur aucune action récursoire en information contre le fournisseur au bénéfice de la personne, et n’assortit l’article 86 d’aucune obligation correspondante dans le chapitre des obligations du fournisseur. Le débiteur de l’explication devra donc, en pratique, expliquer avec ce que la notice lui a dit.

6. La clause du paragraphe 3, qui a changé de signe

47Le paragraphe 3 de l’article 86 est la disposition la plus courte de la section et la plus lourde de conséquences : « Le présent article ne s’applique que dans la mesure où le droit visé au paragraphe 1 n’est pas prévu par ailleurs dans le droit de l’Union. »^[33] Le droit à l’explication du règlement sur l’intelligence artificielle est donc résiduel : il ne joue que là où le droit de l’Union n’en ouvre pas déjà un.

48Ce n’était pas la solution du Parlement européen. Le troisième paragraphe de son article 68 quater disposait : « Le présent article s’applique sans préjudice des articles 13, 14, 15 et 22 du règlement 2016/679. »^[34] Une clause de cumul est devenue une clause d’éviction. La modification tient en quelques mots ; elle inverse le rapport entre les deux textes.

Ce que la subsidiarité laisse subsister

49Le domaine résiduel de l’article 86 se dessine par soustraction, et il est moins étroit qu’il n’y paraît. Le règlement général sur la protection des données n’ouvre un droit d’accès aux « informations utiles concernant la logique sous-jacente » que dans les cas de prise de décision automatisée visés à son article 22^[35], lequel suppose une décision « fondée exclusivement » sur un traitement automatisé. Dès qu’un être humain intervient réellement dans la décision, l’article 22 cesse de s’appliquer, et avec lui le droit à l’explication qu’il commande.

50C’est précisément le champ que couvre l’article 86, dont la lettre n’exige aucune exclusivité. Le résultat est cohérent, et il mérite d’être relevé au crédit du texte : en imposant le contrôle humain des systèmes à haut risque, le règlement fait sortir la plupart des décisions du champ de l’article 22 du règlement général sur la protection des données ; l’article 86 vient couvrir l’espace que le règlement a lui-même dégagé. Les deux textes se complètent au lieu de se superposer.

51Cette cohérence n’efface pas deux difficultés. La première tient à l’écart de contenu entre les deux régimes. Là où le règlement général sur la protection des données s’applique, la personne obtient bien davantage qu’une explication : elle obtient le droit d’exiger une intervention humaine, d’exprimer son point de vue et de contester la décision^[36]. L’article 86 ne comporte aucun de ces trois droits. La subsidiarité est, sur ce point, sans inconvénient — c’est le texte le plus protecteur qui l’emporte. Mais dans le domaine résiduel qui revient à l’article 86, celui des décisions à participation humaine, la personne n’obtient rien d’autre qu’une explication : ni intervention, ni observations, ni contestation. Le règlement laisse ainsi sans garantie procédurale l’hypothèse même que son exigence de contrôle humain a fait naître.

52La seconde difficulté est de méthode, et le texte ne la résout pas. La clause vise « le droit visé au paragraphe 1 », sans dire s’il faut apprécier son existence disposition par disposition ou situation par situation, ni à quel degré d’équivalence. Un droit d’accès plus étroit dans son objet mais ouvert dans la même situation évince-t-il l’article 86, ou seulement dans la mesure de ce qu’il couvre ? Le règlement ne le dit pas, et l’enjeu n’est pas mince : il commande le sort du texte dans toutes les hypothèses mixtes.

L’exception du paragraphe 2, et la garantie qu’elle a perdue

53Le paragraphe 2 écarte le droit à l’explication pour les systèmes « pour lesquels des exceptions ou des restrictions à l’obligation prévue audit paragraphe découlent du droit de l’Union ou du droit national dans le respect du droit de l’Union »^[37]. Le Parlement européen avait assorti la même exception d’une condition : les restrictions devaient respecter « l’essence des libertés et droits fondamentaux » et constituer « une mesure nécessaire et proportionnée dans une société démocratique »^[38].

54Il faut mesurer exactement la portée de cette suppression, et ne pas la surestimer. La formule retirée est celle de l’article 52, paragraphe 1, de la Charte des droits fondamentaux de l’Union européenne, qui s’impose de toute manière à toute limitation d’un droit garanti par elle : la garantie subsiste donc en droit. Ce qui a disparu est son énoncé. Or l’énoncé avait une fonction propre : il adressait au législateur national, destinataire immédiat de la clause, un standard exprès et opposable, au lieu de le renvoyer à une norme de rang supérieur qu’il lui appartient d’appliquer de lui-même.

7. Ce que le signalement donne et que la réclamation refuse

55L’article 87 dispose que la directive sur la protection des personnes qui signalent des violations du droit de l’Union « s’applique aux signalements de violations du présent règlement et à la protection des personnes signalant ces violations ». Le régime qui en résulte est traité dans l’article consacré à la surveillance du marché. Un seul point retient ici l’attention : la comparaison des garanties offertes au signaleur et de celles offertes au réclamant.

56La directive de 2019 ne protège pas quiconque signale. Elle s’applique aux auteurs de signalement « qui ont obtenu des informations sur des violations dans un contexte professionnel » : travailleurs, indépendants, actionnaires, membres des organes d’administration, de direction ou de surveillance, bénévoles et stagiaires, ainsi que les personnes travaillant sous la supervision de contractants, de sous-traitants et de fournisseurs. Elle couvre aussi les relations de travail achevées et celles qui n’ont pas commencé, lorsque l’information a été obtenue lors du recrutement^[39]. La personne exposée au système, qui n’a avec l’opérateur aucun lien professionnel, en est exclue par définition.

57En revanche, celui qu’elle protège obtient exactement ce que la réclamation de l’article 85 ne donne pas. Les autorités compétentes désignées au titre de la directive doivent accuser réception du signalement « dans un délai de sept jours », assurer un suivi diligent, fournir un retour d’informations « dans un délai raisonnable n’excédant pas trois mois, ou six mois dans des cas dûment justifiés », et communiquer à l’auteur du signalement le résultat final des enquêtes déclenchées^[40].

58Le contraste se retrouve dans les deux guichets que la Commission a ouverts. L’outil de signalement, réservé aux personnes professionnellement liées aux fournisseurs ou déployeurs relevant de la compétence du Bureau de l’IA, est anonyme et comporte une boîte de réception sécurisée permettant à son auteur de rester informé de l’avancement de son signalement et de répondre à des questions complémentaires sans se découvrir. L’outil de réclamation n’est pas anonyme et ne promet aucun suivi^[41]. Le canal anonyme est celui qui informe ; le canal nominatif est celui qui se tait.

8. L’action représentative, bornée au consommateur

59Le règlement ouvre une dernière voie, et il l’ouvre hors du chapitre IX. Son article 110 ajoute à l’annexe I de la directive relative aux actions représentatives un point 68 visant le règlement lui-même^[42]. La conséquence est substantielle : les entités qualifiées désignées par les États membres peuvent intenter, pour une violation du règlement sur l’intelligence artificielle, des actions représentatives tendant à la cessation comme à la réparation.

60Cette disposition vient elle aussi du Parlement européen, dont l’amendement 631 insérait un article 68 quinquies rédigé dans les mêmes termes, sous un numéro de point différent^[43]. C’est, de toutes les propositions parlementaires en matière de recours, la seule qui ait été reprise sans modification de fond.

La limite tient au champ de la directive

61L’inscription à l’annexe I ne suffit pas à ouvrir l’action à tous. La directive s’applique aux actions représentatives intentées en raison d’infractions « qui portent atteinte ou risquent de porter atteinte aux intérêts collectifs des consommateurs », et elle définit le consommateur comme « toute personne physique qui agit à des fins qui n’entrent pas dans le cadre de son activité commerciale, industrielle, artisanale ou libérale »^[44]. L’action collective ouverte par l’article 110 est donc bornée aux hypothèses où la personne exposée agit comme consommateur.

62Rapportée à l’annexe III, cette limite se laisse cartographier. Relèvent du droit de la consommation l’évaluation de la solvabilité et l’établissement d’une note de crédit, ainsi que l’évaluation des risques et la tarification en matière d’assurance-vie et d’assurance maladie : ce sont les points 5, b) et c)^[45]. Les autres domaines y échappent. Le candidat à un emploi et le salarié dont la promotion ou le licenciement est en cause relèvent du point 4 ; l’élève et le candidat à une formation, du point 3 ; le bénéficiaire de prestations d’aide sociale, du point 5, a) ; la personne soumise à une mesure répressive, du point 6 ; le demandeur d’asile et l’étranger, du point 7 ; le justiciable, du point 8. Aucun d’eux n’agit comme consommateur.

63Le résultat mérite d’être énoncé sans détour : l’action collective couvre le champ où la personne est un client, non celui où elle est administrée, jugée, employée ou instruite. Or c’est dans le second que le règlement a placé les risques qu’il tient pour les plus élevés — c’est la raison même pour laquelle ces usages figurent à l’annexe III.

64Une dernière comparaison éclaire ce choix. Le règlement général sur la protection des données permet aux États membres d’ouvrir à des organismes à but non lucratif le droit d’introduire une réclamation et d’exercer les recours « indépendamment de tout mandat confié par une personne concernée »^[46]. Le règlement sur l’intelligence artificielle ne comporte aucune disposition de ce type. Rien n’interdit, il est vrai, aux États membres de prévoir des actions collectives nationales, ni aux associations d’agir sur mandat individuel selon leur droit commun ; mais le règlement ne l’organise pas, et l’article 85 leur suffit largement, puisqu’il les admet à réclamer sans mandat ni intérêt.

9. Ce que l’ensemble produit

65Les quatre dispositions examinées convergent vers une même économie. L’analyse d’impact sur les droits fondamentaux est notifiée à l’autorité de surveillance du marché. L’incident grave lui est signalé. Les réclamations de l’article 85 sont « prises en compte aux fins de l’exercice des activités de surveillance du marché ». Dans les trois cas, l’information qui concerne la personne exposée circule vers le régulateur, et ne revient pas vers elle.

66Le règlement traite ainsi la personne exposée moins comme un sujet de droit procédural que comme une source d’information pour le contrôle administratif. Ce n’est pas une critique de principe : la protection par la police administrative est un mode de protection légitime, et souvent plus efficace que l’action individuelle, dont on sait qu’elle est rarement exercée. Le grief est ailleurs. Il porte sur l’écart entre ce que la section 4 annonce et ce qu’elle contient, et sur le fait que cet écart résulte de suppressions successives, non d’une abstention initiale.

67Le seul droit substantiel que le texte accorde en propre — l’explication des décisions individuelles — cumule trois faiblesses. Il est résiduel par construction, puisqu’il s’efface devant tout droit équivalent du droit de l’Union. Il est dû par celui qui, selon l’analyse de la Cour de justice, ne dispose généralement pas de l’information nécessaire pour le servir. Et son objet a été privé, en cours de procédure législative, des deux éléments qui le rendaient vérifiable.

68Une comparaison finale mesure le chemin parcouru. Le règlement emprunte au règlement général sur la protection des données sa technique — la réclamation devant une autorité, le droit à l’explication, la subsidiarité, la représentation —, mais il n’en retient aucune des garanties procédurales. Il emprunte à la directive sur les lanceurs d’alerte un régime complet de délais et de retours, mais il le réserve à qui dispose d’un lien professionnel avec l’opérateur. Il emprunte à la directive sur les actions représentatives un mécanisme collectif, mais il en hérite la borne du consommateur. Trois emprunts, trois amputations — et, dans les trois cas, ce qui manque figurait au texte que le Parlement européen avait voté.