AI Act et assurance vie, santé : systèmes à haut risque

Le règlement européen sur l'intelligence artificielle (souvent appelé AI Act) range certains usages de l'IA dans la catégorie « haut risque », avec des obligations renforcées. L'assurance vie et l'assurance maladie y figurent pour un usage précis : évaluer les risques et fixer les tarifs des personnes. Un courtier ou un agent général qui utilise un assistant d'IA pour résumer des documents est, en règle générale, loin de ce cas. Cette page explique où passe la frontière, selon la page de l'ACPR consacrée au règlement et le point de la CNIL. Ce n'est pas un avis juridique.

Le calendrier, d'après les pages officielles

Le règlement (UE) 2024/1689 est entré en vigueur le 01/08/2024, avec une application échelonnée. La CNIL (version amendée) en donne les étapes :

L'ACPR précise de son côté que pour les systèmes à haut risque du secteur financier, les règles seront applicables à compter du 02/12/2027.

Ce qui est à haut risque en assurance

La page de l'ACPR cite les systèmes d'IA utilisés pour l'évaluation des risques et la tarification en assurance vie et en assurance maladie, et l'évaluation de la solvabilité des personnes physiques. Le critère est l'usage : un outil qui note le risque d'une personne ou fixe son prix entre dans la catégorie ; un outil qui met en forme un compte rendu de rendez-vous n'y est pas cité.

Qui porte les obligations ? Le règlement distingue le fournisseur du système et celui qui l'utilise. L'ACPR et la CNIL ne détaillent pas, dans les pages lues, les obligations de chacun : ne les supposez pas. Si un assureur partenaire vous met à disposition un outil de tarification, demandez-lui par écrit comment il se conforme au règlement et ce qu'il attend de vous.

Le rôle de l'ACPR

L'ACPR est désignée autorité de surveillance du marché pour les systèmes d'IA à haut risque du secteur financier en France. Dans le cadre de sa supervision habituelle, elle peut aussi examiner d'autres systèmes d'IA utilisés par les organismes qu'elle contrôle. Pour un cabinet, cela veut dire que le sujet peut apparaître dans un contrôle : voir ce que l'ACPR contrôle.

L'articulation avec le RGPD

La CNIL indique que le règlement sur l'IA ne remplace pas le RGPD : il vise à le compléter. Le RGPD s'applique à tout traitement de données personnelles, que le système soit ou non soumis au règlement sur l'IA. Pour la santé, voir données de santé et IA.

Que faire concrètement dans un cabinet

1. Faire l'inventaire des outils d'IA utilisés : à quoi servent-ils, qui les a fournis, quelles données y entrent.
2. Classer l'usage : résumé de documents et rédaction de brouillons d'un côté ; scoring, tarification ou sélection de risque de l'autre. Seul le second correspond aux exemples d'assurance vie et maladie cités par l'ACPR ; en cas de doute, demandez un avis juridique.
3. Demander à chaque éditeur sa position sur le règlement et ses engagements de transparence.
4. Garder la décision humaine sur tout ce qui touche la personne : acceptation, tarif, refus.
5. Se tenir informé : l'ACPR organise des réunions de Place sur le sujet, avec réplays.

Ce qu'on ne peut pas affirmer ici

Les pages lues ne décrivent pas les obligations des utilisateurs de systèmes à haut risque, ni les sanctions, ni les mesures de formation du personnel. Pour ces points, il faut lire le règlement lui-même, ou interroger un juriste.

Pour un panorama pour les dirigeants de petites entreprises, voir le site général Savoir IA. Pour la frontière entre l'outil et le conseil, voir les limites de l'IA en assurance.