AI Act pour courtiers en assurance : comment se conformer aux obligations pour les systèmes d'aide à la sélection de produit

L'essentiel en 30 secondes

• L'AI Act classe à haut risque les systèmes d'IA destinés à évaluer les risques et à fixer les tarifs pour des personnes physiques en assurance vie et santé (Annexe III, point 5 c).
• Un outil de sélection de produit n'est à haut risque que s'il entre dans ce périmètre. Un fournisseur peut établir qu'un système de l'Annexe III ne l'est pas (Art. 6(3)), sauf profilage de personnes physiques.
• Ces obligations s'appliquent à partir du 2 décembre 2027, selon le règlement (UE) 2026/1744 (« Omnibus IA »). Le RGPD s'applique déjà.
• Le déployeur réalise une analyse d'impact sur les droits fondamentaux (FRIA, Art. 27) avant le premier déploiement, assure la supervision humaine et conserve les journaux au moins six mois (Art. 26).
• Le fournisseur enregistre le système dans la base de données de l'UE (Art. 49 et 71). Un courtier qui édite son propre outil est fournisseur.
• Amendes (Art. 99) : 15 M€ ou 3 % du chiffre d'affaires mondial pour les obligations des fournisseurs et des déployeurs, 35 M€ ou 7 % pour les pratiques interdites. Pour une PME, c'est le plus bas des deux montants.

Un courtier en assurance est concerné par l'AI Act s'il utilise ou édite un outil d'IA. Le haut risque vise les systèmes qui évaluent les risques et fixent les tarifs en assurance vie et santé (Annexe III, point 5 c) : le déployeur doit alors réaliser une analyse d'impact sur les droits fondamentaux (FRIA, Art. 27) et assurer une supervision humaine. Ces obligations s'appliquent à partir du 2 décembre 2027 ; le RGPD s'applique déjà, notamment pour les données de santé et les décisions automatisées (Art. 9 et 22).

1. Introduction : l'AI Act et son impact sur les courtiers en assurance

Le Règlement (UE) 2024/1689, dit AI Act, est entré en vigueur le 1er août 2024. Ses dispositions s'appliquent par paliers jusqu'au 2 août 2028 (calendrier révisé par le règlement (UE) 2026/1744 (« Omnibus IA »)).

Les courtiers en assurance utilisent des outils numériques pour comparer, recommander ou tarifer des produits : multi-comparateurs, scoring de profil client, moteurs de recommandation. Ces outils relèvent du règlement s'ils constituent des systèmes d'IA. Seuls ceux qui évaluent les risques ou fixent les tarifs en assurance vie et santé sont à haut risque.

Pourquoi cela vous concerne directement. L'Annexe III, point 5(c), du Règlement (UE) 2024/1689 vise expressément les systèmes d'IA destinés à être utilisés pour l'évaluation des risques et la tarification en matière d'assurance-vie et d'assurance-maladie. Un outil de sélection de produit qui s'appuie sur ces évaluations peut entrer dans le périmètre haut risque.

Pour une PME de courtage, le sujet devient concret à l'approche du 2 décembre 2027, date d'application des obligations de l'Annexe III. Le guide général de l'AI Act pour les PME françaises présente le cadre d'ensemble, et la page AI Act par secteur d'activité situe l'assurance parmi les autres secteurs.

2. Les obligations de l'AI Act pour les courtiers utilisant des systèmes d'aide à la sélection de produit

2.1. Qualification : fournisseur ou déployeur ?

L'Article 3 du Règlement distingue deux rôles principaux.

Rôle	Définition (Art. 3)	Cas typique chez un courtier
Fournisseur	Personne qui développe ou fait développer un système d'IA et le met sur le marché sous son nom	Courtier qui édite son propre moteur de recommandation
Déployeur	Personne qui utilise un système d'IA sous sa propre autorité	Courtier qui intègre une solution SaaS tierce

La distinction est centrale. Les obligations diffèrent en intensité, mais aucune des deux qualifications n'est exemptée.

2.2. Classification haut risque

L'Annexe III, point 5(c), cible les systèmes utilisés pour l'évaluation des risques et la tarification à l'égard de personnes physiques en assurance vie et santé. Un outil d'aide à la sélection de produit qui repose, même partiellement, sur ces évaluations peut relever du haut risque. La page sur les systèmes à haut risque de l'Annexe III détaille les huit domaines.

Un système de l'Annexe III peut échapper au haut risque s'il ne présente pas de risque important pour la santé, la sécurité ou les droits fondamentaux, par exemple s'il accomplit une tâche procédurale étroite ou une tâche préparatoire (Art. 6(3)). Cette dérogation ne joue pas lorsque le système réalise du profilage de personnes physiques. Le fournisseur qui l'invoque documente son analyse avant la mise sur le marché (Art. 6(4)).

2.3. Obligations pour les fournisseurs (Art. 9 à 17)

• Système de gestion des risques documenté (Art. 9)
• Gouvernance des données d'entraînement (Art. 10)
• Documentation technique complète (Art. 11 et Annexe IV)
• Journalisation automatique (Art. 12)
• Transparence envers les déployeurs (Art. 13)
• Surveillance humaine intégrée (Art. 14)
• Niveau adéquat d'exactitude, robustesse et cybersécurité (Art. 15)
• Évaluation de la conformité et marquage CE (Art. 43)

2.4. Obligations pour les déployeurs (Art. 26 et 27)

• Utiliser le système conformément à la notice
• Assurer la supervision humaine par des personnes formées
• Conserver les journaux générés, sous leur contrôle, pendant au moins six mois (Art. 26(6))
• Informer les personnes physiques qu'elles font l'objet de l'utilisation du système lorsqu'il aide à prendre une décision les concernant (Art. 26(11))
• Réaliser l'analyse d'impact sur les droits fondamentaux (FRIA) prévue à l'Article 27

2.5. Information du client et CNIL

Le RGPD reste pleinement applicable aux outils des courtiers : base légale, information des personnes, droits d'accès et d'opposition. Les données de santé relèvent des catégories particulières de l'Article 9 du RGPD. L'Article 22 encadre les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques ou affectent la personne de manière significative. Une AIPD est exigée lorsque le traitement présente un risque élevé (Art. 35) ; l'article sur le chevauchement entre RGPD et AI Act en détaille l'articulation. La CNIL publie des fiches pratiques sur l'IA et le RGPD. Un incident grave est signalé au fournisseur par le déployeur (Art. 26(5)) et aux autorités par le fournisseur (Art. 73) ; une violation de données personnelles suit l'Article 33 du RGPD.

3. Les risques et sanctions en cas de non-conformité

L'Article 99 du Règlement (UE) 2024/1689 fixe le régime des amendes administratives.

Manquement	Plafond	Base de calcul (le plus élevé des deux)
Pratiques interdites (Art. 5)	35 M€	7 % du CA mondial annuel
Manquement aux obligations haut risque	15 M€	3 % du CA mondial annuel
Information inexacte aux autorités	7,5 M€	1 % du CA mondial annuel

Pour les PME et start-ups, l'Article 99(6) prévoit que le montant le plus faible des deux s'applique — disposition protectrice qui ne supprime pas l'exposition financière.

À cela s'ajoutent les mesures de l'autorité de surveillance du marché : exiger des mesures correctives, le retrait ou le rappel du système (Article 79).

Le détail du régime de sanctions figure dans le guide sanctions AI Act et amendes applicables aux PME.

4. Étapes pour se conformer : analyse, mise en œuvre et documentation

Étape 1 — Cartographier les systèmes d'IA

Recensez chaque outil qui constitue un système d'IA au sens de l'Article 3(1) : un système automatisé conçu pour fonctionner avec différents niveaux d'autonomie, qui déduit des entrées reçues comment générer des sorties (prédictions, recommandations, décisions). Pour chaque outil, documentez, par exemple dans un registre des systèmes d'IA :

1. Sa finalité métier
2. Son éditeur (fournisseur au sens AI Act)
3. Les données d'entrée et de sortie
4. Le rôle dans la décision finale du client
5. Le caractère automatisé ou non de la recommandation

Étape 2 — Réaliser l'analyse d'impact (FRIA)

L'Article 27 sur l'analyse d'impact sur les droits fondamentaux impose au déployeur d'un système de l'Annexe III, point 5 c, une FRIA avant le premier déploiement. Les résultats sont notifiés à l'autorité de surveillance du marché. Elle comprend :

• La description des processus dans lesquels le système sera utilisé
• La durée et la fréquence d'utilisation
• Les catégories de personnes susceptibles d'être affectées
• Les risques spécifiques de préjudice
• Les mesures de supervision humaine
• Les mesures à prendre en cas de matérialisation des risques

La FRIA complète l'AIPD (analyse d'impact relative à la protection des données) prévue à l'article 35 du RGPD lorsque certaines obligations sont déjà couvertes par celle-ci (Art. 27(4)). Elle ne la remplace pas.

Étape 3 — Mettre en œuvre les mesures techniques et organisationnelles

Domaine	Mesure attendue	Référence
Gouvernance	Désignation d'un responsable IA interne	ISO/IEC 42001:2023 §5.3
Qualité des données	Procédure de validation des jeux d'entraînement	Art. 10 AI Act
Supervision humaine	Procédure documentée et personnel formé	Art. 14 AI Act
Journalisation	Conservation des logs 6 mois minimum	Art. 19 et 26(6) AI Act
Cybersécurité	Mesures alignées sur ISO/IEC 27001:2022	Art. 15 AI Act
Gestion des risques	Cartographie continue, revue annuelle	ISO/IEC 23894:2023

Étape 4 — Documenter et former

La preuve documentaire est centrale. Préparez :

• La notice d'utilisation fournie par l'éditeur (déployeur) ou rédigée en interne (fournisseur)
• La politique d'usage interne validée par la direction, par exemple sur la base d'un modèle de charte d'utilisation de l'IA
• Les mesures pour favoriser la maîtrise de l'IA des collaborateurs concernés (Article 4) : sensibilisation, règles d'usage, formation adaptée aux rôles
• Le registre des incidents et le processus d'alerte (Article 73)
• Le tableau de bord de monitoring des performances

Les mesures de l'Article 4 sont applicables depuis le 2 février 2025. Elles visent le personnel et les personnes qui utilisent des systèmes d'IA pour le compte du fournisseur ou du déployeur. L'obligation n'exige pas de garantir un niveau donné pour chaque personne.

5. Bonnes pratiques pour les courtiers en assurance

5.1. Sélectionner des fournisseurs conformes

Avant d'intégrer une solution SaaS de recommandation, exigez de l'éditeur :

• La déclaration UE de conformité (Annexe V) si la solution est haut risque
• La notice d'utilisation prévue à l'Article 13
• Les informations sur les jeux de données d'entraînement (Article 10)
• Le marquage CE (Article 48)
• La preuve de l'enregistrement dans la base de données de l'UE (Articles 49 et 71)

5.2. Garantir la traçabilité

Chaque recommandation présentée à un client doit pouvoir être reconstituée a posteriori. Cela passe par :

• L'horodatage des recommandations
• La conservation des données d'entrée non personnelles ou pseudonymisées
• La conservation du résultat de l'algorithme
• L'identification du collaborateur ayant supervisé la recommandation

5.3. Articuler avec la DDA et le devoir de conseil

La Directive (UE) 2016/97 sur la distribution d'assurance (DDA) impose déjà un devoir de conseil personnalisé. Le cas pratique d'une IA de détection de fraude dans une compagnie d'assurance illustre un autre usage du secteur. L'AI Act ne dispense d'aucune de ces obligations. Un courtier qui s'appuierait aveuglément sur une recommandation algorithmique pourrait manquer à son devoir de conseil, indépendamment de l'AI Act.

5.4. Gérer les incidents

Le fournisseur doit notifier les incidents graves aux autorités de surveillance du marché au plus tard 15 jours après en avoir eu connaissance (2 jours en cas d'infraction généralisée, 10 jours en cas de décès) (Article 73). Le déployeur informe immédiatement le fournisseur (Article 26(5)). Préparez en amont :

• Le canal de signalement interne
• La grille de qualification de l'incident
• Le modèle de notification à l'autorité

6. Outils et ressources pour la conformité

Ressource	Émetteur	Usage principal
Fiches pratiques IA	CNIL	Application du RGPD au développement des systèmes d'IA
AI Act Service Desk	Commission européenne	Point d'entrée pour les questions sur le règlement
Texte officiel	EUR-Lex (eli/reg/2024/1689)	Référence juridique
Règlement (UE) 2026/1744	EUR-Lex (eli/reg/2026/1744)	Modifications du calendrier (Omnibus IA)
ISO/IEC 42001:2023	ISO	Système de management de l'IA (certifiable, sans présomption de conformité)
ISO/IEC 23894:2023	ISO	Gestion des risques liés à l'IA

La page Sources liste les références citables.

7. Les questions fréquentes (FAQ)

Quelles sont les obligations spécifiques pour les courtiers en assurance utilisant des systèmes d'aide à la sélection de produit ?

Les courtiers déployant un système à haut risque de l'Annexe III, point 5 c, doivent réaliser une analyse d'impact sur les droits fondamentaux (Article 27 du Règlement (UE) 2024/1689), conserver les journaux au moins six mois, assurer une supervision humaine effective et informer les personnes concernées qu'une décision s'appuie sur un système d'IA. S'ils sont également fournisseurs, ils doivent constituer la documentation technique de l'Annexe IV, réaliser l'évaluation de conformité et apposer le marquage CE.

Comment identifier si mon système est concerné par l'AI Act ?

Vérifiez d'abord la qualification de système d'IA au sens de l'Article 3(1) : le système doit fonctionner avec une certaine autonomie et générer des sorties (recommandations, scores, prédictions) influençant un environnement. Vérifiez ensuite l'usage : si le système contribue à l'évaluation des risques ou à la tarification d'un produit d'assurance vie ou santé destiné à une personne physique, il relève de l'Annexe III, point 5(c). En cas de doute, l'AI Act Service Desk de la Commission européenne est un point d'entrée pour poser une question.

Comment réaliser l'analyse d'impact sur les droits fondamentaux (FRIA) ?

L'analyse d'impact sur les droits fondamentaux (FRIA) prévue à l'Article 27 suit quatre temps : (1) description du contexte d'utilisation, des catégories de personnes affectées et de la durée d'usage ; (2) identification des risques spécifiques de préjudice et de discrimination ; (3) définition des mesures de supervision humaine et des mesures correctives ; (4) documentation formelle et notification des résultats à l'autorité de surveillance du marché. La FRIA complète l'AIPD (article 35 du RGPD) sans la remplacer.

Quelles sanctions peuvent être encourues en cas de non-conformité avec l'AI Act ?

L'Article 99 prévoit trois paliers d'amendes : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites de l'Article 5 ; jusqu'à 15 M€ ou 3 % pour les manquements aux obligations des fournisseurs et des déployeurs ; jusqu'à 7,5 M€ ou 1 % pour la fourniture d'informations inexactes aux autorités. Pour les PME, le montant le plus faible des deux plafonds s'applique (Art. 99(6)). S'ajoutent les mesures de l'autorité de surveillance du marché, comme le retrait ou le rappel du système.

Où trouver des ressources pour m'aider à me conformer à l'AI Act ?

Trois ressources publiques sont utiles : les fiches pratiques IA de la CNIL, le texte officiel sur EUR-Lex (eli/reg/2024/1689) et l'AI Act Service Desk de la Commission européenne. Pour les outils méthodologiques, ISO/IEC 42001:2023 fournit un cadre certifiable de management de l'IA, qui ne donne pas de présomption de conformité. ISO/IEC 23894:2023 traite de la gestion des risques. regulia propose aux PME un pack de documents de conformité personnalisé par questionnaire.

8. Conclusion : se préparer à l'avenir de l'IA en assurance

Pour les courtiers en assurance, l'AI Act n'est pas une contrainte ponctuelle. C'est un cadre durable qui structure la relation entre l'algorithme, le conseiller et le client. Les obligations clés à retenir : qualifier le système, documenter la chaîne d'utilisation, réaliser la FRIA, garantir la supervision humaine, informer le client.

Se préparer en amont réduit le risque. En France, le schéma présenté par le Gouvernement en septembre 2025 prévoit l'ACPR pour les systèmes de l'Annexe III, point 5 (solvabilité, crédit, assurance vie et santé), lorsque l'opérateur relève de sa compétence ; il est soumis à un projet de loi, dont l'état est à vérifier. Les obligations de l'Annexe III s'appliquent à partir du 2 décembre 2027, date d'application de ce régime (reportée par le règlement (UE) 2026/1744 (« Omnibus IA »)).

Cartographier les systèmes, former les équipes et documenter les procédures avant cette date évite de devoir suspendre un outil en urgence.

Sources officielles

• Règlement (UE) 2024/1689 — texte officiel EUR-Lex
• Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
• Texte annoté du règlement — artificialintelligenceact.eu
• Commission européenne — AI Act Service Desk
• CNIL — Fiches pratiques IA
• ISO/IEC 42001:2023 — Information technology — Artificial intelligence — Management system
• ISO/IEC 23894:2023 — Information technology — Artificial intelligence — Guidance on risk management
• ISO/IEC 27001:2022 — Information security management systems — Requirements
• Direction générale des Entreprises — « Les autorités compétentes pour la mise en œuvre du règlement européen sur l'intelligence artificielle » (9 septembre 2025)

---

Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.