IA et conformité dans l'assurance : un cadre de décision

Dès qu'on parle d'intelligence artificielle en assurance, deux réflexes s'affrontent. L'enthousiasme — « l'IA va tout automatiser » — et la crainte — « la réglementation va tout interdire ». Les deux sont paresseux. La réalité demande un cadre de décision, pas un slogan. Je vous propose le mien, construit en déployant de l'IA dans un environnement réellement régulé.

La première question n'est pas « que peut faire l'IA ? » mais « qui décide ? ». En conformité, certaines décisions peuvent être préparées par une machine ; aucune décision engageante ne devrait être prise par elle seule. Cette frontière n'est pas technique, elle est de responsabilité. Le courtier reste comptable de son devoir de conseil au titre de la directive sur la distribution d'assurances (DDA). Une IA peut rassembler les éléments, signaler une incohérence, proposer une formulation. Elle ne peut pas porter la responsabilité du conseil. Garder cette ligne claire, c'est ce qui distingue un outil utile d'un risque déguisé.

Prenons les quatre terrains que nous fréquentons. La LCB-FT, d'abord : l'IA y excelle pour la vigilance de premier niveau — repérer un faisceau d'indices, prioriser les dossiers à examiner, documenter les contrôles. Mais le déclenchement d'une déclaration de soupçon relève d'un jugement humain qui engage le cabinet. L'automatisation doit éclairer la vigilance, jamais la remplacer.

La DDA, ensuite. Le recueil des besoins, la traçabilité du conseil, la production des documents réglementaires sont des tâches répétitives où l'IA fait gagner un temps réel et réduit les oublis. Générer une trame de devoir de conseil à partir des données déjà saisies dans le CRM, c'est du temps rendu au courtier sans rien retirer à sa responsabilité.

Le RGPD impose une discipline que beaucoup découvrent en déployant de l'IA : minimisation des données, finalité explicite, capacité d'explication. Une IA qui ingère tout « au cas où » est un problème de conformité avant d'être une prouesse technique. Nous concevons nos traitements pour qu'ils n'utilisent que ce qui est nécessaire, et pour qu'on puisse toujours dire pourquoi une donnée est là.

L'IA Act, enfin, donne le cadre le plus structurant pour les années qui viennent. Les systèmes d'IA utilisés pour l'évaluation des risques et la tarification en assurance vie et santé sont classés à haut risque. Cela emporte des obligations concrètes : transparence, documentation technique, supervision humaine, capacité à expliquer une décision défavorable. Le calendrier a été assoupli — l'application des obligations « haut risque » a été repoussée vers la fin 2027 — mais ce délai n'est pas un répit, c'est une fenêtre pour se préparer sérieusement plutôt que dans l'urgence.

De tout cela, je tire une règle simple que nous nous appliquons : une fonction d'IA n'entre en production que si l'on peut répondre à trois questions. Qui reste responsable de la décision ? Peut-on expliquer ce que le système a fait ? N'utilise-t-il que les données strictement nécessaires ? Tant qu'une de ces réponses manque, la fonction attend.

Ce cadre n'est pas un frein. C'est précisément ce qui rend l'IA déployable dans un métier où la confiance et la responsabilité ne sont pas négociables. La conformité ne tue pas l'innovation produit : elle l'oblige à être sérieuse. Et dans l'assurance, le sérieux est un avantage concurrentiel.