Les enjeux réglementaires liés à l’essor de l’intelligence artificielle dans le secteur de l’assurance

En 2025, près de deux tiers des assureurs européens recouraient à l’IA générative, tandis que trois quarts des assureurs français consacrent déjà un budget dédié à l’agentique^[1]. Cette dynamique s’accompagne d’une transformation en profondeur du secteur de l’assurance sur l’ensemble des activités, telles que la tarification, la gestion des sinistres ou encore la lutte contre la fraude.

L’essor de l’IA, s’il constitue un levier de transformation et de performance, s’accompagne de nouveaux enjeux et risques, à la fois juridiques, réglementaires et opérationnels. A titre d’exemple, le recours à ces technologies soulève des questions structurantes en matière de maîtrise des biais algorithmiques, de protection des données à caractère personnel, de gouvernance et de traçabilité des systèmes IA, de segmentation des risques ou encore de gestion des sous-traitants.

Conscient de ces enjeux, le législateur européen a adopté le règlement (UE) du 13 juin 2024 relatif à l’IA dit « IA Act », entré progressivement en vigueur à compter 1^er août 2024^[2]. Ce texte s’applique en complément des réglementations déjà applicables au secteur de l’assurance (telles que Solvabilité II, DORA, DDA, RGPD).

Le règlement repose sur une approche fondée sur le risque et est structuré autour d’une classification des systèmes d’IA (caractérisés notamment par leur automaticité, leur autonomie et leur capacité d’inférence – générer des sorties à partir d’entrées – et d’influence sur les environnements) en quatre catégories : risque inacceptable, haut risque, risque limité et risque faible.

L’IA Act régit principalement les systèmes d’IA à haut risque, ce qui inclut, en matière d’assurance, ceux utilisés pour l’évaluation des risques et la tarification des contrats d’assurance-vie et d’assurance maladie. Le règlement définit ainsi les obligations et les responsabilités incombant aux fournisseurs – ceux qui développent le système et le mettent sur le marché sous leur propre marque – et aux déployeurs – ceux qui utilisent le système.

L’entrée en application de ces obligations, prévue le 2 août 2026, devrait, selon l’accord provisoire conclu entre le Parlement et le Conseil dans le cadre de l’examen de la proposition « Digital Omnibus », être reportée au 2 décembre 2027.

Plus largement, Digital Omnibus traduit la volonté du législateur de concilier le développement des usages de l’IA avec la maîtrise des risques qu’ils induisent. Cet objectif se heurte toutefois au décalage entre l’évolution rapide des technologies et le rythme d’adaptation du cadre normatif.

Ceci étant dit, se pose la question de l’articulation du cadre réglementaire « IA Act » avec les réglementations sectorielles dont relève l’assurance.

Relevons à titre liminaire que l’usage de l’IA doit être analysé et mis en conformité à l’aune de chacune de ces réglementations, et non uniquement au regard de l’IA Act – l’EIOPA a d’ailleurs déjà publié à plusieurs reprises sur le sujet^[3].

En pratique, on observe une convergence des exigences, en particulier avec Solvabilité II et DORA, autour de principes communs (approche par les risques, gouvernance, dispositif de résilience, supervision humaine, gestion des incidents). D’ailleurs, l’IA Act exonère les entités régulées de certaines obligations, dont la mise en œuvre d’autres dispositifs réglementaires vaut respect de celles-ci.

Aussi, le principal enjeu pour les acteurs du secteur réside davantage dans l’application et l’adaptation du cadre réglementaire global (sectoriel et horizontal) à l’IA, lequel doit évoluer face aux spécificités propres à cette technologie.

Concrètement, cette adaptation se traduit d’abord, en matière de gouvernance, par la nécessité d’identifier et de cartographier les systèmes d’IA selon leur niveau de risque. Certains acteurs ont déjà initié ce travail mais la détermination des critères de distinction entre les différents systèmes reste délicate. A titre d’illustration, l’EIOPA a récemment fait état des difficultés de définir certaines techniques de tarification au regard des notions de l’IA Act, et a plaidé pour une exclusion a minima du champ d’application des systèmes d’IA à haut risque pour les modèles linéaires généralisés^[4].   

Les enjeux se manifestent également en matière de distribution, où le recours à des outils d’IA (notamment les chatbots) soulève des interrogations quant au respect des interdictions de pratiques manipulatoires et à la garantie d’un conseil approprié ainsi qu’en matière de non-discrimination, les biais algorithmiques demeurant difficiles à éliminer.

S’agissant du recours à des tiers, l’articulation des régimes de responsabilité appelle une attention particulière. En effet, si Solvabilité II maintient une responsabilité pleine de l’assureur en cas d’externalisation, l’AI Act distingue les obligations et donc les responsabilités selon les rôles de fournisseur et de déployeur. Aussi, en cas d’incident survenant dans le cadre de l’usage de l’IA par un sous-traitant, l’assureur pourrait-il être considéré comme responsable alors qu’il n’est ni fournisseur, ni même déployeur (sauf à en retenir une acception très large) du système d’IA dont provient l’incident ?

Enfin, l’évaluation granulaire des portefeuilles permise par l’IA pourrait conduire à une hypersegmentation du marché, ce qui remettrait en cause le principe de mutualisation des risques et conduirait à l’exclusion de l’accès à l’assurance de certaines personnes ou entreprises. Or, à date, aucune réglementation ne permet de remédier à ce risque.

^{[1] « Generative AI Market Survey: Outlook, Use Cases and Risk Management », EIOPA, 2 février 2026 - « L’IA Générative en assurance : de la promesse à la performance », Wavestone, 25 mars 2026}

^{[2] Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle et modifiant les règlements (CE) n° 300/2008, (UE) n° 167/2013, (UE) n° 168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828 (règlement sur l’intelligence artificielle)}

^{[3] « Opinion on AI Governance and Risk Management », EIOPA-BoS-25-60, 6 août 2025 - « 3rd Report on the application of the Insurance Distribution Directive (IDD) », EIOPA-BoS-26-077, 30 mars 2026}

^{[4] « Letter to EU Institutions on AI Act and EU Insurance legislation proposal for clarifying application of the Ai Act », EIOPA-26/323, 13 avril 2026}