Droit de la consommation : équité du crédit et obligations d'information

En décembre 2023, le CFPB (Consumer Financial Protection Bureau) a condamné un prêteur fintech à plus de 18 millions de dollars d'amendes et de remboursements parce que son application enfouissait les conditions de prêt derrière des écrans confus et que son service client dissuadait les clients de contester des erreurs. Rien dans le produit n'était illégal. Le problème tenait entièrement à la façon dont il était présenté et géré. C'est la leçon centrale du droit de la consommation appliqué à la fintech : le produit peut être légal et l'exécution peut quand même vous faire fermer boutique.

Cette leçon couvre les trois piliers que toute fintech de prêt, de BNPL (Buy Now, Pay Later) ou adjacente au crcrLe pourcentage de visiteurs ou de prospects qui réalisent une action attendue (achat, inscription, formulaire de contact), calculé en divisant les conversions par le nombre total d'opportunités.Voir la définition complète →édit doit respecter : les obligations d'information TILA, les obligations d'équité du crédit ECOA et les standards UDAAP. Ensemble, ils constituent le socle de conformité pour quiconque accorde ou facilite du crédit à la consommation aux États-Unis.

TILA : ce que vous devez dire à l'emprunteur

Le Truth in Lending Act (TILA), mis en œuvre par la Regulation Z, est une loi d'information, pas une loi de tarification. Elle ne plafonne pas les taux d'intérêt. Elle impose aux prêteurs d'énoncer les conditions de crédit de manière standardisée et comparable, pour que les consommateurs puissent comparer.

Les informations essentielles au titre du TILA incluent :

• APR (Annual Percentage Rate) : le coût du crédit exprimé en taux annuel, incluant certains frais, et pas seulement le taux d'intérêt affiché.
• Finance charge : le coût total du crédit en dollars sur la durée du prêt.
• Échéancier de paiement : montant et calendrier de chaque échéance.
• Total des paiements : ce que le consommateur paie au total s'il suit l'échéancier.

Pour le BNPL en particulier, les obligations d'information sont une question réglementaire ouverte. Les produits classiques « pay in 4 » se sont souvent situés dans une zone grise parce qu'ils étaient structurés pour éviter les finance charges et donc échapper à l'application complète de la Regulation Z. La règle interprétative du CFPB de 2024 a poussé les acteurs du BNPL vers des obligations d'information et de traitement des litiges proches de celles des cartes de crédit, en traitant de nombreux prêts BNPL comme du crédit renouvelable au sens de la Regulation Z. Les fintechs qui proposent ces produits intègrent désormais généralement des écrans d'information de type TILA dans leurs parcours de checkout, même là où la qualification juridique reste contestée.

Point pratique de conformité : les informations doivent être « clear and conspicuous », une formule réglementaire à part entière. Un avertissement en corps 5 sous un gros bouton vert « Pay Later » est le schémamaUtiliser un logiciel pour automatiser les tâches et campagnes marketing répétitives, afin de personnaliser à grande échelle sur des canaux comme l'email, le web et le social.Voir la définition complète → de violation type que les régulateurs recherchent.

ECOA : tester l'équité du crédit, pas seulement l'intention

L'Equal Credit Opportunity Act (ECOA), mis en œuvre par la Regulation B, interdit la discrimination en matière de crédit fondée sur la race, la couleur, la religion, l'origine nationale, le sexe, la situation matrimoniale, l'âge ou la perception de revenus d'aide sociale.

Le concept clé ici est le disparate impact : une pratique de prêt peut violer l'ECOA même sans intention discriminatoire, si elle produit des résultats discriminatoires et n'est pas justifiée par une nécessité commerciale. Cela compte énormément pour les fintechs qui utilisent des modèles d'underwriting en machine learning.

Exemple : un modèle de crédit entraîné sur des données historiques de remboursement peut apprendre à pénaliser les demandeurs de certains codes postaux parce que ces codes postaux corrèlent avec des défauts passés, mais le code postal corrèle aussi avec la race du fait des schémas de ségrégation résidentielle. Le modèle ne « voit » jamais la race, et pourtant le résultat reproduit la discrimination. Les régulateurs (le CFPB, la Federal Trade Commission et les régulateurs bancaires prudentiels comme l'OCC) ont explicitement déclaré que « c'est l'algorithme qui l'a fait » n'est pas une défense.

Les fintechs gèrent en général le risque ECOA via :

• Fair lending testing : analyse statistique comparant les taux d'approbation et la tarification entre classes protégées (par proxy, puisque les prêteurs ne peuvent généralement pas collecter légalement des données raciales pour le crédit non hypothécaire).
• Adverse action notices : une notification légalement obligatoire indiquant à un demandeur refusé les motifs précis du refus. « Votre score algorithmique était trop bas » ne suffit pas ; les motifs doivent être spécifiques et actionnables (par exemple « historique de crédit insuffisant », « ratio dette/revenu trop élevé »).
• Documentation des modèles : conserver la trace des variables utilisées, pour qu'un régulateur puisse auditer si une variable sert de proxy de discrimination.

Un test de proxy simplifié, souvent codé en Python lors d'une revue de conformité, ressemble à ceci :

import pandas as pd

# taux d'approbation par groupe proxy de classe protégée (ex. proxy racial fondé sur nom-code postal, méthodologie BISG du CFPB)
approval_by_group = df.groupby("proxy_group")["approved"].mean()

disparity_ratio = approval_by_group.min() / approval_by_group.max()
# des ratios inférieurs à ~0,80 déclenchent souvent un examen fair lending plus poussé (la « four-fifths rule », ligne directrice issue de l'EEOC
# également reprise de manière informelle dans l'analyse fair lending)
print(disparity_ratio)

C'est une heuristique de détection, pas une conclusion juridique. Les vrais examens fair lending impliquent des analyses de régression contrôlant les facteurs de crédit légitimes.

UDAAP : la catégorie fourre-tout qui attrape le plus d'entreprises

UDAAP signifie Unfair, Deceptive, or Abusive Acts or Practices, et c'est le standard le plus fréquemment invoqué dans les consent orders visant des fintechs. Il découle de la Section 5 du FTC Act et des Sections 1031 et 1036 du Dodd-Frank Act (qui a créé le CFPB).

UDAAP n'exige pas la violation d'une règle d'information précise. Il pose une question plus large : la pratique a-t-elle porté préjudice aux consommateurs d'une manière déloyale, trompeuse, ou en exploitant leur incompréhension ou un rapport de force inégal ?

Les trois volets, en bref :

• Unfair : cause un préjudice substantiel, que le consommateur ne peut raisonnablement éviter et qui n'est pas compensé par des bénéfices (par exemple, rendre l'annulation d'un abonnement bien plus difficile que la souscription).
• Deceptive : une représentation, une omission ou une pratique susceptible d'induire en erreur un consommateur raisonnable, et déterminante dans sa décision.
• Abusive : tire un avantage déraisonnable de l'incompréhension du consommateur ou de son incapacité à protéger ses propres intérêts.

Lire un vrai consent order

Les consent orders du CFPB sont publics et constituent l'une des meilleures ressources gratuites de formation à la conformité : consumerfinance.gov/enforcement/actions. Un ordre type nomme le type de violation, décrit la conduite précise et liste la sanction (amendes, restitution, et souvent un compliance monitor).

Un schéma courant dans les ordres visant le BNPL et le prêt fintech : une entreprise fait de la publicité « no fees », mais les consommateurs qui manquent une échéance subissent des frais de retard non clairement divulgués à la souscription. Cela est poursuivi à la fois comme un manquement d'information TILA et comme une tromperie UDAAP, parce que les régulateurs empilent souvent les fondements juridiques sur une même conduite.

Pourquoi les fintechs se font prendre plus que les banques (jusqu'ici)

Les banques traditionnelles disposent de décennies d'infrastructure de conformité : revue juridique de chaque écran marketing, comités de gouvernance des modèles fair lending, workflows d'adverse action établis. Beaucoup de fintechs développent d'abord le produit et construisent la fonction conformité après la croissance, en particulier celles qui opèrent selon un modèle de « bank-fintech partnership » où une banque agréée émet techniquement le prêt tandis que la fintech gère la couche technologique et marketing.

Cette structure de partenariat est devenue un point de tension réglementaire. Les régulateurs ont signalé, par leurs guidances et leurs actions, que l'externalisation de l'origination vers une banque partenaire n'externalise pas la responsabilité UDAAP ou fair lending. La banque comme la fintech peuvent être examinées et tenues responsables, et les régulateurs bancaires (l'OCC, la FDIC et la Federal Reserve) exigent de plus en plus que les banques partenaires supervisent activement le marketing et l'underwriting de leurs partenaires fintech, et pas seulement les valident pour la forme.

🎬 [VIDÉO : « What is UDAAP? Unfair, Deceptive, or Abusive Acts and Practices Explained » - youtube.com - un parcours concis des trois volets UDAAP avec des exemples réels d'enforcement, utile pour les non-juristes]

Points clés

• TILA/Regulation Z régit l'information, pas la tarification ; les fintechs doivent indiquer clairement l'APR, les finance charges et les échéanciers, et les produits BNPL sont de plus en plus intégrés à ce cadre par les guidances du CFPB.
• ECOA/Regulation B interdit les résultats de crédit discriminatoires même sans intention ; l'underwriting algorithmique doit être testé pour le disparate impact à l'aide de variables proxy, puisque les données de classe protégée ne peuvent généralement pas être collectées directement.
• UDAAP est le standard le plus large et le plus fréquemment invoqué dans l'enforcement fintech ; il couvre les pratiques déloyales, trompeuses ou abusives, même lorsque aucune règle d'information précise n'a techniquement été enfreinte.
• Lire de vrais consent orders du CFPB est l'un des moyens les plus rapides d'apprendre ce que les régulateurs considèrent en pratique comme une violation, puisqu'ils décrivent des conduites réelles, des sanctions réelles et des montants réels.
• Dans les bank-fintech partnerships, la responsabilité de conformité ne se transfère pas hors de la fintech ; les deux parties sont de plus en plus examinées conjointement, donc « la banque gère la conformité » n'est pas une hypothèse sûre en 2026.