Autriche : le Parlement autorise les décisions administratives entièrement automatisées

13/10/26

Le 8 octobre 2026, le Bundesrat autrichien a laissé passer la réforme de la loi générale sur la procédure administrative (AVG), adoptée par le Nationalrat le 23 septembre. Le texte permet aux autorités de rendre des décisions écrites entièrement automatisées, sans validation humaine au cas par cas. Pour un DPO, c'est un cas d'école rare : une loi nationale qui organise l'exception de l'article 22 du RGPD.

Ce que le Parlement autrichien a adopté

Le projet du gouvernement (539 d.B.), déposé le 17 juin 2026, a été adopté sans modification par la commission constitutionnelle du Nationalrat le 16 septembre, puis en plénière le 23 septembre, avec les voix de l'ÖVP, du SPÖ et des NEOS, contre celles du FPÖ et des Verts. Le 8 octobre, le Bundesrat a voté de ne pas y faire opposition, avec la même majorité. Le Parlement présente la réforme comme la base juridique de l'usage de l'IA dans les procédures administratives, mais le texte lui-même ne nomme pas l'IA : il parle de décisions « entièrement automatisées ». Il entre en vigueur à l'issue du jour de sa publication au journal officiel fédéral.

Jusqu'ici, l'AVG exigeait qu'une décision soit approuvée par un humain. Le nouveau § 18a lève cette exigence pour les matières désignées par voie réglementaire, par l'autorité suprême compétente ou, à défaut, par l'autorité elle-même. La réforme crée aussi des procédures sans demande préalable et le dépôt de demandes par agent conversationnel.

Les garde-fous écrits dans la loi

Matières adaptées : la matière doit se prêter à l'automatisation au regard des faits, des questions de droit et de l'état de la technique. Selon le secrétaire d'État Alexander Pröll, sont visées des décisions de masse, comme les avis de redevances ou les aides générales, et non les permis de construire individuels.
Données sensibles : si la décision repose sur des données de l'article 9 du RGPD, leur traitement doit être licite au titre du consentement explicite (art. 9.2 a) ou d'un motif d'intérêt public important (art. 9.2 g).
Maîtrise du système : traçabilité technique suffisante, phase de test documentée avant la mise en service, possibilité pour l'autorité d'intervenir dans le traitement, contrôles continus de légalité.
Transparence : la décision indique qu'elle est entièrement automatisée, et l'autorité publie en ligne les matières concernées ainsi que les informations exigées par l'article 13.2 f du RGPD. Seules les procédures ouvertes après cette publication peuvent être automatisées.
Recours : la personne peut former opposition dans les deux semaines. La décision tombe alors, et la nouvelle décision ne peut pas être automatisée. L'autorité peut aussi annuler ou modifier d'office une décision automatisée dans les deux mois.

Pourquoi c'est important

L'article 22 du RGPD interdit en principe une décision fondée exclusivement sur un traitement automatisé et produisant des effets juridiques, sauf notamment lorsqu'elle est autorisée par le droit d'un État membre prévoyant des mesures appropriées. Le § 18a est précisément ce type de loi, et ses garde-fous en dessinent la lecture autrichienne. Le sujet est déjà contentieux, comme l'a montré la sanction de 824,99 millions d'euros infligée à Uber par l'autorité néerlandaise.

La critique reste vive. Au Nationalrat, le député vert Süleyman Zorba a regretté que ce soit l'autorité, et non le Parlement, qui décide où l'automatisation s'applique, et que la responsabilité en cas d'erreur reste ouverte. L'association epicenter.works, membre d'EDRi, avait adressé début septembre une lettre ouverte à la commission, en pointant les hallucinations, l'opacité et les biais des modèles de langage. Côté AI Act, un système d'IA utilisé par une autorité pour évaluer l'éligibilité à des prestations d'aide publique essentielles relève des usages à haut risque de l'annexe III, point 5 a), et appelle l'analyse d'impact sur les droits fondamentaux de l'article 27 (voir les lignes directrices de la Commission sur l'annexe III).

Ce que ça change pour les organisations

Recenser vos décisions automatisées à effet juridique ou significatif, et rattacher chacune à l'une des trois exceptions de l'article 22.2 (voir notre guide sur le profilage et le RGPD).
Vérifier que l'information des personnes couvre l'existence de la décision automatisée et la logique sous-jacente (art. 13.2 f et 14.2 g).
Documenter les tests avant mise en production et les contrôles en continu : c'est ce que la loi autrichienne exige des administrations, et ce qu'une autorité de contrôle demandera.
Prévoir une voie de contestation qui débouche sur un réexamen humain réel.

Ce que Leto en pense

Le texte autrichien a le mérite d'écrire noir sur blanc ce que l'article 22 laisse implicite : test documenté, contrôle continu, mention sur la décision, recours qui rend la main à un humain. C'est une bonne grille pour tout responsable de traitement. Son point faible est le choix des matières, laissé au règlement : la conformité se jouera dans ces textes d'application. Pour tenir un registre de vos décisions automatisées et de leurs garde-fous, l'équipe Leto peut vous montrer comment.

Sources

Restez connecté(e).

Téléchargez notre application mobile de veille RGPD, Intelligence Artificielle et Cybersécurité.
100% gratuite.

Je télécharge

Discutons ensemble - et voyons comment Leto peut vous simplifier votre quotidien

Demander une démo