Journalisation obligatoire pour l'IA en assurance sous l'EU AI Act

Le règlement européen sur l'IA (Règlement 2024/1689) est entré en vigueur le 1er août 2024. Pour les entreprises d'assurance utilisant l'IA dans le traitement des sinistres, la souscription ou la détection de fraude, les dispositions relatives aux systèmes à haut risque s'appliquent à partir d'août 2026. Cette échéance n'est plus un horizon lointain — c'est le futur immédiat, et le travail de préparation requis est substantiel.

Ce n'est pas un règlement qui peut se traiter avec un document de politique et un exercice de cases à cocher. Le texte impose des exigences techniques spécifiques : architectures de journalisation obligatoires, capacités de supervision humaine, standards de documentation technique, exigences de gouvernance des données et obligations de suivi post-commercialisation.

Aperçu et calendrier

Le règlement adopte une approche fondée sur le risque : la plupart des systèmes d'IA font face à des obligations minimales, mais les systèmes classés « à haut risque » font face à des exigences étendues avant le déploiement et tout au long de leur vie opérationnelle.

• Pratiques d'IA interdites — bannies depuis février 2025
• Modèles d'IA à usage général — obligations applicables depuis août 2025
• Systèmes d'IA à haut risque — exigences applicables à partir d'août 2026
• Certaines obligations de sécurité produit — à partir d'août 2027

Pourquoi l'IA en assurance est probablement à haut risque

L'Annexe III du règlement liste les catégories de systèmes automatiquement classés à haut risque. La catégorie qui s'applique le plus directement à l'assurance est explicite : les systèmes d'IA utilisés pour déterminer l'éligibilité et les montants des prestations, services ou produits — y compris l'assurance.

• Systèmes de triage automatisé des sinistres
• Systèmes de détection de fraude par IA
• Systèmes de traitement documentaire qui alimentent les décisions de couverture
• Outils de provisionnement automatisés
• Systèmes d'IA de souscription qui évaluent le risque et influencent la tarification

L'approche prudente : classer tout système d'IA qui influence les décisions de sinistres ou de souscription comme à haut risque et assurer la conformité en conséquence, plutôt que d'essayer d'argumenter qu'un système sort de l'Annexe III et de découvrir ensuite que le régulateur n'est pas d'accord.

Article 12 : les exigences de journalisation en détail

L'Article 12 exige que les systèmes d'IA à haut risque génèrent automatiquement des journaux capturant, au minimum :

• Les données d'entrée fournies au système d'IA
• La sortie du système d'IA — quelle décision, recommandation, score ou classification a été produite
• Les dates et heures d'opération
• Les données de référence pertinentes utilisées
• Toute anomalie ou information identifiée comme pertinente par le fournisseur

Là où un examinateur humain intervient dans une décision assistée par IA — annulant une recommandation, envoyant un dossier pour examen supplémentaire, ou modifiant une sortie générée par IA — cette intervention doit être journalisée. Le journal doit capturer ce que l'humain a examiné, ce que l'IA avait recommandé, et ce que l'humain a décidé.

La plateforme de piste d'audit Regure est conçue pour capturer le journal complet des décisions de sinistres assistées par IA dans un format satisfaisant les exigences de l'Article 12.

Article 14 : la supervision humaine en pratique

L'Article 14 exige que les systèmes d'IA à haut risque soient conçus et exploités de manière à permettre à des personnes physiques d'exercer une supervision effective pendant l'opération. La distinction porte sur la supervision authentique versus le simple tamponnage.

Pour les opérations sinistres, cela crée des exigences spécifiques : les gestionnaires examinant les recommandations d'IA doivent avoir reçu une formation sur le fonctionnement du système, ses limites connues et ses biais ; le système doit présenter ses sorties avec un contexte suffisant pour une évaluation authentique ; le workflow doit rendre l'annulation véritablement facile ; les décisions d'annulation doivent être journalisées avec leur base.

Suivi des biais et implications opérationnelles

Le règlement exige que les systèmes soient testés pour la précision et la fiabilité avant déploiement et surveillés pour les biais pendant toute leur vie opérationnelle. Pour l'IA en assurance, la surveillance des biais a des dimensions à la fois réglementaires et commerciales : une IA sinistres qui produit systématiquement des règlements inférieurs pour certains groupes crée une responsabilité sous l'EU AI Act, l'Equality Act britannique et les exigences Consumer Duty.

Outils d'IA tiers et responsabilité partagée

De nombreux assureurs ne construisent pas leurs propres systèmes d'IA — ils utilisent des produits fournisseurs. L'EU AI Act ne permet pas de déléguer entièrement les obligations de conformité aux fournisseurs dans ces cas. En tant que déployeur, un assureur est responsable : de garantir l'utilisation conforme aux instructions ; d'implémenter les mesures de supervision humaine ; de maintenir les journaux exigés par l'Article 12 ; d'informer le fournisseur des incidents graves.

Voir la plateforme d'automatisation des sinistres et la page souveraineté UE.