Un système d'IA qui détecte la fraude aux sinistres habitation et automobile n'est, en principe, pas à haut risque au sens de l'AI Act. L'Annexe III vise, en assurance, l'évaluation du risque et la tarification en assurance vie et santé (point 5(c)), pas la lutte contre la fraude aux sinistres. Le RGPD, les interdictions de l'Art. 5 et l'Art. 4 s'appliquent en revanche, et la réponse change si l'outil sert aussi à évaluer le risque ou à tarifer en assurance vie ou santé.
L'essentiel en 30 secondes
- Un système de détection de fraude aux sinistres multirisques habitation et automobile ne figure pas à l'Annexe III. Le point 5(c) vise l'assurance vie et santé, et le projet de lignes directrices de la Commission écarte l'assurance automobile et habitation de ce point.
- La réponse change si le système, ou l'une de ses fonctions, évalue le risque ou fixe la prime en assurance vie ou santé : le point 5(c) ne prévoit pas d'exception pour la fraude. Modifier la finalité d'un système pour qu'il devienne à haut risque fait de l'assureur un fournisseur (Art. 25(1)(c)).
- Même hors haut risque : maîtrise de l'IA (Art. 4), interdictions de l'Art. 5 (scoring social, évaluation du risque d'infraction fondée uniquement sur le profilage) et RGPD (Art. 6, 22 et 35).
- Art. 22 du RGPD : un refus d'indemnisation fondé exclusivement sur un traitement automatisé n'est admis qu'avec des garanties : intervention humaine, expression du point de vue de l'assuré, contestation.
- Obligations des systèmes à haut risque de l'Annexe III, quand elles s'appliquent : 2 décembre 2027 (règlement (UE) 2026/1744).
- Sanctions : 35 M€ ou 7 % du CA mondial pour les pratiques interdites, 15 M€ ou 3 % pour les obligations des opérateurs et la transparence. RGPD : 20 M€ ou 4 %.
1. Contexte du cas pratique
Ce cas pratique est fictif. Prenons une compagnie d'assurance française, AssurExemple, 150 salariés, 80 M€ de primes annuelles. Elle commercialise des contrats multirisques habitation et automobile, mais ni assurance vie ni assurance santé. Depuis 2024, AssurExemple exploite un système d'IA qui analyse automatiquement les dossiers de sinistres pour signaler les cas suspects de fraude.
Le système traite :
- Données d'identité des assurés (nom, adresse, date de naissance).
- Historique des sinistres déclarés et indemnisations versées.
- Données financières (RIB, comportement de paiement).
- Métadonnées des pièces justificatives transmises (photos, factures).
L'objectif opérationnel est double : réduire la sinistralité frauduleuse et accélérer le règlement des dossiers légitimes. L'enjeu réglementaire l'est tout autant. Ce cas illustre la rencontre entre l'AI Act et le RGPD, et montre qu'un système qui influence l'indemnisation n'est pas pour autant à haut risque.
Le guide AI Act pour les PME françaises expose le cadre général. Ce cas pratique descend au niveau opérationnel d'un cas sectoriel précis.
2. Classification réglementaire : un système hors Annexe III
L'Article 6 du Règlement (UE) 2024/1689 définit les systèmes d'IA à haut risque selon deux voies : ceux relevant des produits couverts par l'annexe I, et ceux listés à l'annexe III.
L'Annexe III, point 5 (accès aux services privés et publics essentiels) comporte quatre cas d'usage : (a) l'évaluation de l'éligibilité à des prestations publiques essentielles, par des autorités publiques ou pour leur compte ; (b) l'évaluation de la solvabilité et le score de crédit, à l'exception de la détection de la fraude financière ; (c) l'évaluation du risque et la tarification en assurance vie et santé ; (d) les appels d'urgence et le tri des secours. Aucun ne vise la détection de la fraude aux sinistres des assurances de dommages. Le projet de lignes directrices de la Commission sur la classification des systèmes à haut risque (19 mai 2026, soumis à consultation) précise que les autres assurances, comme l'assurance automobile ou habitation, ne sont pas couvertes par le point 5(c).
Tableau : qualification du système AssurExemple
| Critère AI Act | Application au cas AssurExemple | Conséquence |
|---|---|---|
| Annexe I — produits régulés | Le système n'est pas un composant de sécurité d'un produit | Sans objet |
| Annexe III, point 5(a) | Assureur privé, pas d'usage par ou pour une autorité publique | Sans objet |
| Annexe III, point 5(b) | Pas d'évaluation de solvabilité ni de score de crédit | Sans objet |
| Annexe III, point 5(c) | Détection de fraude aux sinistres habitation et automobile, sans tarification ni évaluation du risque en assurance vie ou santé | Hors champ |
| Art. 3(1) — définition d'un système d'IA | Algorithme déduisant des sorties à partir d'entrées | Inclus dans la définition, mais pas à haut risque |
| Art. 5 — pratiques interdites | Pas de scoring social, pas d'évaluation du risque d'infraction fondée uniquement sur le profilage | Interdictions applicables, à vérifier |
La conséquence est nette : le système d'AssurExemple n'est pas à haut risque par la voie de l'Annexe III. L'effet du score sur la décision d'indemnisation n'est pas un critère de classement, car l'Annexe III liste des usages précis. Seule la Commission peut la modifier, par acte délégué (Art. 7). À l'inverse, le scoring de crédit est à haut risque : voir le cas pratique du scoring de crédit d'une banque régionale.
Quand la réponse change
- Le système évalue le risque ou fixe la prime en assurance vie ou santé (point 5(c)). Ce point ne prévoit pas d'exception pour la fraude. Selon le projet de lignes directrices, un système de risque ou de tarification vie ou santé reste à haut risque même s'il comporte une fonction antifraude. Seule une fonction antifraude qui constitue un système distinct sort du champ.
- La finalité du système est modifiée. Un assureur qui modifie la finalité d'un système non classé à haut risque, de sorte qu'il le devienne, est considéré comme fournisseur d'un système à haut risque (Art. 25(1)(c)).
3. Ce qui s'applique malgré tout au système antifraude
Hors haut risque, AssurExemple n'est soumise ni aux exigences des Art. 8 à 15 ni aux obligations du déployeur de l'Art. 26. D'autres règles continuent de s'appliquer à son système, dans l'AI Act comme dans le RGPD.
Tableau : règles applicables au système antifraude
| Texte | Ce qu'il impose | Application à AssurExemple |
|---|---|---|
| AI Act, Art. 4 | Prendre des mesures pour favoriser la maîtrise de l'IA des personnes qui utilisent des systèmes d'IA | Sensibiliser les gestionnaires sinistres et les équipes antifraude |
| AI Act, Art. 5 | Interdire notamment le scoring social (5(1)(c)) et l'évaluation du risque d'infraction fondée uniquement sur le profilage ou les traits de personnalité (5(1)(d)) | Vérifier la pertinence des données et la place de l'analyse humaine |
| RGPD, Art. 6 | Base légale du traitement ; la prévention de la fraude strictement nécessaire est un intérêt légitime (considérant 47) | Intérêt légitime, avec mise en balance documentée |
| RGPD, Art. 22 | Pas de décision exclusivement automatisée à effet significatif sans garanties | Intervention humaine avant tout refus d'indemnisation |
| RGPD, Art. 35 | Analyse d'impact (AIPD) pour les traitements à risque élevé | AIPD, en s'appuyant sur la liste de la CNIL |
| AI Act, Art. 50 | Transparence pour les agents conversationnels et les contenus générés | Seulement si un tel outil est ajouté au dispositif |
Le droit n'interdit pas la détection de fraude. Selon les lignes directrices de la Commission sur les pratiques interdites, la prévention et la détection de la fraude font partie des pratiques d'évaluation légitimes. Elles ne sont pas interdites en soi lorsqu'elles reposent sur des données pertinentes (comportement transactionnel, métadonnées, historique) et que le traitement défavorable est justifié et proportionné. À l'inverse, les lignes directrices citent comme scoring social interdit le cas d'un assureur qui utilise des informations de dépenses obtenues auprès d'une banque, sans lien avec l'éligibilité à l'assurance vie, pour fixer la prime. Pour AssurExemple, les données financières (RIB, comportement de paiement) ne servent que si elles sont pertinentes pour détecter la fraude au sinistre.
La fraude à l'assurance pouvant constituer une infraction pénale, l'Art. 5(1)(d) appelle une vigilance. Il interdit, y compris à une entité privée, d'évaluer le risque qu'une personne commette une infraction pénale en se fondant uniquement sur son profilage ou sur ses traits de personnalité. Un score qui s'appuie sur des faits objectifs et vérifiables liés au dossier, avec une revue humaine, ne repose pas uniquement sur le profilage.
4. Mise en œuvre concrète : feuille de route AssurExemple
La conformité ne se décrète pas. Elle se construit par étapes contractuelles et opérationnelles.
- Cartographier tous les systèmes d'IA en production et en projet, avec leur qualification AI Act (Annexe I, Annexe III, Art. 5, Art. 50).
- Documenter la qualification du système antifraude : finalité prévue, raisons pour lesquelles il est hors Annexe III, revue à chaque changement de finalité (Art. 25(1)(c)).
- Auditer les données et les performances : pertinence des données au regard de la fraude, performances par segment, taux de faux positifs.
- Conduire l'AIPD avec le DPO (Art. 35 du RGPD), en s'appuyant sur les ressources de la CNIL. Voir l'article FRIA et AIPD : différences et complémentarité en cas de déploiement d'un système de l'Annexe III.
- Organiser l'intervention humaine avant tout refus d'indemnisation ou toute résiliation fondés sur une alerte.
- Sensibiliser les gestionnaires sinistres à la lecture des alertes, à leurs limites et au risque de confiance excessive (Art. 4).
- Mettre en place un canal de recours pour les assurés contestant une décision.
- Suivre chaque année la performance et la dérive du modèle.
Tableau : calendrier indicatif
| Échéance | Action |
|---|---|
| 2 février 2025 | Interdictions de l'Art. 5 et mesures de maîtrise de l'IA (Art. 4) applicables : vérifier l'absence de pratiques prohibées |
| 2 août 2026 | Transparence (Art. 50) applicable : concerne les agents conversationnels ou les contenus générés éventuels |
| 2 décembre 2027 | Obligations haut risque de l'Annexe III : applicables à un système d'évaluation du risque ou de tarification en assurance vie ou santé, pas au système antifraude |
| 2 août 2028 | Extension aux systèmes haut risque liés à des produits régulés |
Vos documents IA, personnalisés et prêts aujourd'hui
Charte d'usage de l'IA, politique IA, registre des outils, analyses de risques et d'impact, procédures : le pack regulia les réunit, personnalisés selon votre entreprise et vos outils, à jour du règlement (UE) 2026/1744. 29 € jusqu'au 31 octobre, puis 99 €.
Créer mon pack — 29 €5. Gestion des données personnelles : articulation RGPD
L'AI Act s'applique sans préjudice du RGPD : le droit de l'Union sur la protection des données personnelles s'applique aux données traitées dans le cadre des droits et obligations du règlement (Art. 2(7)). AssurExemple doit donc traiter les deux couches simultanément.
5.1 Base légale du traitement
Pour la détection de fraude, l'intérêt légitime (Art. 6(1)(f) du RGPD) est une base envisageable, sous réserve d'une mise en balance documentée. Le considérant 47 du RGPD indique que le traitement de données strictement nécessaire à la prévention de la fraude constitue un intérêt légitime du responsable du traitement. La mise en balance reste nécessaire : elle examine la proportionnalité du traitement et les attentes raisonnables des assurés.
5.2 Droits des assurés concernés
L'Article 22 du RGPD reconnaît à toute personne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou l'affectant significativement. Le refus automatique d'indemnisation tombe dans ce champ.
Pour respecter ce droit, AssurExemple doit :
- Garantir une intervention humaine réelle avant tout refus définitif fondé sur une alerte.
- Informer l'assuré de l'existence du traitement algorithmique.
- Permettre à l'assuré d'exprimer son point de vue et de contester la décision.
- Communiquer « des informations utiles concernant la logique sous-jacente » au traitement (Art. 15(1)(h) RGPD).
5.3 Minimisation et durée de conservation
Le RGPD impose la minimisation des données (Art. 5(1)(c)) et la limitation de leur conservation (Art. 5(1)(e)). Le DPO fixe les durées dans le registre des traitements, selon la finalité et les obligations légales applicables.
| Catégorie de données | Finalité | Point d'attention |
|---|---|---|
| Données d'identité | Gestion du contrat | Limiter aux données nécessaires |
| Historique des sinistres | Détection de fraude | Pertinence et proportionnalité de la période prise en compte |
| Journaux de décision de l'IA | Traçabilité et contrôle des alertes | Durée fixée avec le DPO ; la conservation d'au moins six mois de l'Art. 26(6) ne vaut que pour les systèmes à haut risque |
| Données financières (RIB, comportement de paiement) | Recouvrement et antifraude | Utiliser seulement les données pertinentes pour la fraude au sinistre |
Le glossaire définit AIPD, FRIA, déployeur et fournisseur.
6. Supervision humaine, sensibilisation et responsabilités
L'Art. 14 du règlement (UE) 2024/1689 impose une supervision humaine effective des systèmes à haut risque. Le système antifraude d'AssurExemple n'y est pas soumis, mais l'Art. 22 du RGPD impose une intervention humaine réelle avant un refus automatique, et l'Art. 14(4) fournit une grille utile : comprendre les capacités et les limites du système, rester conscient du biais d'automatisation, interpréter correctement la sortie, pouvoir l'écarter. Le gestionnaire sinistre doit comprendre l'alerte, pouvoir la mettre de côté et tracer sa décision finale.
6.1 Niveaux de supervision
Ces trois niveaux forment une grille d'organisation interne : l'AI Act ne les définit pas.
| Niveau | Description | Application AssurExemple |
|---|---|---|
| Human-in-the-loop | Validation humaine systématique avant action | Refus d'indemnisation |
| Human-on-the-loop | Surveillance en continu, intervention possible | Priorisation des dossiers |
| Human-in-command | Capacité d'arrêt et de neutralisation | Coupure du système en cas de dérive |
6.2 Sensibilisation des équipes
L'Art. 4 demande de prendre des mesures pour favoriser la maîtrise de l'IA des personnes qui utilisent des systèmes d'IA pour le compte de l'organisation. Les mesures se différencient selon les rôles :
- Gestionnaires sinistres : interprétation des scores, biais possibles, droit de contestation.
- DPO : articulation RGPD/AI Act, conduite de l'AIPD.
- RSSI : sécurité du système et des données (Art. 32 du RGPD).
- Direction juridique : qualification et responsabilité.
- Direction générale : reporting et arbitrages stratégiques.
6.3 Répartition des responsabilités
| Fonction | Rôle dans la conformité AI Act |
|---|---|
| Direction générale | Validation de la politique IA et de la note de qualification |
| DPO | AIPD, droits des personnes, registre |
| IA Lead / Data | Documentation du système, suivi des performances |
| RSSI | Cybersécurité, intégrité du modèle |
| Juridique | Contrats fournisseurs, conformité globale |
| Métier | Supervision humaine au quotidien |
7. Sanctions et risques associés
L'Article 99 du Règlement (UE) 2024/1689 organise un régime de sanctions en trois paliers, calé sur la nature du manquement.
Tableau : régime des sanctions AI Act
| Manquement | Plafond financier | Article AI Act |
|---|---|---|
| Pratiques d'IA interdites (Art. 5) | 35 M€ ou 7 % du CA mondial | Art. 99(3) |
| Manquements aux obligations des opérateurs (fournisseurs, déployeurs de systèmes à haut risque) et à la transparence | 15 M€ ou 3 % du CA mondial | Art. 99(4) |
| Information inexacte, incomplète ou trompeuse aux autorités | 7,5 M€ ou 1 % du CA mondial | Art. 99(5) |
Pour une grande entreprise, le montant le plus élevé est retenu. Pour une PME ou une start-up, c'est le montant le plus bas des deux, à chaque palier (Art. 99(6)). Une petite entreprise de taille intermédiaire bénéficie du même principe pour les deux paliers inférieurs, mais pas pour les pratiques interdites (Art. 99(6a)).
Ces paliers sanctionnent des obligations qui ne pèsent pas sur un système hors Annexe III. Pour le système antifraude d'AssurExemple, le risque AI Act porte sur les pratiques interdites et, le cas échéant, sur la transparence. Le RGPD reste le principal risque, avec des amendes pouvant atteindre 20 M€ ou 4 % du chiffre d'affaires mondial (Art. 83). La catégorie d'AssurExemple (PME, petite entreprise de taille intermédiaire ou autre) détermine le plafond applicable. Voir la page Sanctions AI Act pour une PME : amendes et calcul.
Risques non financiers
- Réputationnel : une décision algorithmique perçue comme discriminante expose l'assureur à une controverse publique.
- Contractuel : le contrat avec l'éditeur du système répartit les rôles et les responsabilités.
- Non-discrimination : une discrimination avérée dans l'accès à un service engage d'autres responsabilités que celles de l'AI Act, notamment pénales.
8. Recommandations pour les PME du secteur assurance
Pour une structure de 150 salariés, une démarche par étapes permet de hiérarchiser les chantiers selon le niveau de risque, plutôt que de lancer une mise en conformité d'ensemble sans priorités.
8.1 Priorisation des chantiers
- Cartographie des systèmes d'IA existants et prévus.
- Qualification AI Act et identification des systèmes à haut risque (évaluation du risque et tarification en assurance vie et santé, le cas échéant).
- AIPD pour les systèmes prioritaires, et FRIA si un système de l'Annexe III, point 5(b) ou 5(c), est déployé.
- Documentation interne du système : finalité, données, performances, limites.
- Mise en place de la supervision humaine opérationnelle.
- Sensibilisation transverse (Art. 4).
- Intégration d'ISO/IEC 42001:2023 comme cadre de management, si l'organisation le souhaite.
- Audits annuels internes.
8.2 Quel cadre normatif ?
| Norme | Apport pour AssurExemple |
|---|---|
| ISO/IEC 42001:2023 | Système de management de l'IA (AIMS) |
| ISO/IEC 23894:2023 | Gestion du risque appliquée à l'IA |
| ISO/IEC 27001:2022 | Sécurité de l'information, base RSSI |
ISO/IEC 42001 est une norme volontaire de système de management de l'IA : elle n'est pas harmonisée et ne confère aucune présomption de conformité. Selon la FAQ de la Commission européenne sur la normalisation, ses objectifs et ses définitions ne sont pas alignés sur le système de gestion de la qualité exigé par l'AI Act. Voir l'article ISO 42001 et AI Act : différences et correspondances.
8.3 Outils gratuits à mobiliser
- Les fiches pratiques de la CNIL sur l'IA couvrent notamment la base légale, l'AIPD et les droits des personnes.
- L'AI Act Service Desk de la Commission européenne propose un outil de vérification (Compliance Checker), une foire aux questions et un formulaire de questions.
- Le projet de lignes directrices de la Commission sur la classification des systèmes à haut risque donne des exemples pour l'assurance (point 5(c)).
- La page sources regulia consolide les références utiles aux PME françaises.
Passez des obligations aux documents
Un manquement à la transparence peut coûter jusqu'à 3 % du chiffre d'affaires (Art. 99). Documentez vos mesures en une dizaine de minutes : charte, politique IA, registre, analyses de risques et procédures, livrés par e-mail en Word, Excel et PDF. 29 € jusqu'au 31 octobre, puis 99 €, satisfait ou remboursé 30 jours.
Créer mon pack — 29 €FAQ
Un système d'IA de détection de fraude en assurance est-il à haut risque ?
En principe, non, pour la fraude aux sinistres des assurances de dommages (habitation, automobile). L'Annexe III, point 5(c), ne vise que l'évaluation du risque et la tarification en assurance vie et santé, et le projet de lignes directrices de la Commission écarte l'assurance automobile et habitation de ce point. Le système reste soumis à l'Art. 4, aux interdictions de l'Art. 5 et au RGPD.
Comment gérer les droits des assurés concernés par une décision automatisée ?
L'Art. 22 du RGPD reconnaît le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant la personne de manière significative. Pour un refus d'indemnisation, AssurExemple prévoit une intervention humaine réelle, informe l'assuré de l'existence du traitement, lui permet d'exprimer son point de vue et de contester la décision (Art. 22(3)), et lui communique des informations utiles sur la logique sous-jacente (Art. 15(1)(h)).
Quand un outil d'IA d'assurance devient-il à haut risque ?
Un système de l'Annexe III est à haut risque (Art. 6(2)). En assurance, le point 5(c) vise l'évaluation du risque et la tarification en assurance vie et santé, sans exception pour la fraude : un tel système reste à haut risque même s'il comporte une fonction antifraude, sauf si cette fonction constitue un système distinct (projet de lignes directrices de la Commission). Un assureur qui modifie la finalité d'un système non classé à haut risque pour qu'il le devienne est considéré comme fournisseur d'un système à haut risque (Art. 25(1)(c)). La Commission peut aussi modifier l'Annexe III (Art. 7).
Quel est le délai pour se conformer à l'AI Act pour ce type de système ?
Les obligations des systèmes à haut risque de l'Annexe III s'appliquent à compter du 2 décembre 2027 (règlement (UE) 2026/1744) ; un système déjà en service avant cette date n'est concerné que s'il subit ensuite des modifications importantes de sa conception (Art. 111(2)). Le système antifraude d'AssurExemple, hors Annexe III, n'a pas d'échéance de ce type : les interdictions de l'Art. 5 et l'Art. 4 s'appliquent depuis le 2 février 2025, et le RGPD s'applique déjà. Le calendrier de l'AI Act récapitule les échéances.
Quelles ressources gratuites sont disponibles pour les PME ?
Les sources gratuites incluent les fiches pratiques de la CNIL sur l'IA, l'AI Act Service Desk de la Commission européenne et le texte consolidé de l'AI Act. Sur regulia, le guide AI Act pour les PME françaises et la page Sanctions AI Act pour une PME complètent ce cas pratique.
Sources officielles
- Règlement (UE) 2024/1689 — texte consolidé
- Règlement (UE) 2024/1689 — version consolidée au 27 juillet 2026 — EUR-Lex
- Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
- Règlement (UE) 2016/679 (RGPD) — EUR-Lex
- CNIL — Fiches pratiques IA
- CNIL — Analyse d'impact relative à la protection des données (AIPD)
- AI Act Service Desk — Commission européenne
- Commission européenne — Projet de lignes directrices sur la classification des systèmes à haut risque (19 mai 2026)
- Commission européenne — Lignes directrices sur les pratiques d'IA interdites
- Commission européenne — FAQ sur la normalisation de l'AI Act
- ISO/IEC 42001:2023 — Système de management de l'intelligence artificielle
- ISO/IEC 23894:2023 — Gestion des risques liés à l'IA
- ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l'information
Disclaimer — Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.