La carte réglementaire que tout assureur doit connaître

Un même modèle de souscription entraîné dans l'Ohio, déployé en Californie et vendu en France peut être à la fois légal, restreint et high-risk. Même modèle, trois réalités réglementaires. Ce n'est pas une hypothèse d'école : c'est la condition d'exploitation de tout assureur qui fait tourner de l'IA sur plusieurs juridictions en 2026.

Cette leçon cartographie les trois couches réglementaires qui comptent le plus pour l'IA en assurance : l'EU AI Act, les orientations de la NAIC aux États-Unis, et les règles des commissaires d'assurance des États. Puis elle détaille ce que ce patchwork implique concrètement quand vous déployez un modèle unique partout.

Pourquoi l'assurance fait l'objet d'un traitement à part

La régulation de l'IA répartit généralement les modèles par niveaux de risque. Les modèles de tarification et de gestion de sinistres sont classés high-risk presque partout, pour une raison structurelle : ils allouent l'accès à un produit (la couverturecouvertureLe nombre de personnes uniques exposées à votre message sur une période donnée. Contrairement aux impressions, le reach compte chaque personne une seule fois, quel que soit le nombre d'expositions.Voir la définition complète →) et un prix, à partir de données personnelles, à grande échelle. En cas d'erreur, vous obtenez une tarification discriminatoire, des refus de sinistres injustifiés ou l'exclusion systémique de groupes protégés. Les régulateurs traitent cela comme ils traitent le credit scoring et les algorithmes de recrutement.

Cela dit, « high-risk » ne veut pas dire les mêmes obligations partout. Cela veut dire trois régimes de conformité différents, avec trois mécaniques différentes.

Couche 1 : l'EU AI Act

L'EU AI Act (règlement (UE) 2024/1689), première loi complète sur l'IA émanant d'un grand régulateur, est entré en vigueur en août 2024 avec des obligations qui s'échelonnent jusqu'en 2027. Il classe les systèmes d'IA par niveau de risque : inacceptable (interdit), high-risk (fortement encadré), risque limité (obligations de transparence) et risque minimal (largement non régulé).

La tarification et la souscription en assurance vie et santé sont explicitement désignées comme high-risk à l'annexe III. La tarification dommages (property and casualty) n'est pas automatiquement couverte par la même formulation de l'annexe, mais les outils d'automatisation des sinistres et de détection de fraude peuvent tout de même être qualifiés s'ils franchissent le seuil de « risque significatif pour la santé, la sécurité ou les droits fondamentaux ».

Le statut high-risk au titre de l'EU AI Act déclenche des obligations concrètes :

• Un système de gestion des risques maintenu sur tout le cycle de vie du modèle, pas seulement au lancement.
• Gouvernance des données : les données d'entraînement doivent être pertinentes, représentatives et contrôlées quant aux biais.
• Documentation technique et journalisation automatique pour la traçabilité.
• Supervision humaine intégrée au déploiement, pas ajoutée après coup.
• Évaluation de conformité avant mise sur le marché, dans un esprit proche du marquage CE des produits physiques.

Les sanctions sont lourdes : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les violations les plus graves (pratiques interdites), le montant le plus élevé étant retenu. Le texte intégral et le calendrier d'entrée en application figurent sur la page AI Act de la Commission européenne.

Couche 2 : les model bulletins de la NAIC aux États-Unis

Les États-Unis n'ont pas d'AI Act fédéral. À la place, la NAIC (National Association of Insurance Commissioners, l'organisme de normalisation qui coordonne les régulateurs d'assurance des 50 États) publie des model bulletins : des textes types que les États peuvent adopter, adapter ou ignorer.

Le document clé est le Model Bulletin on the Use of Artificial Intelligence Systems by Insurers de la NAIC, publié en 2023. Il ne crcrLe pourcentage de visiteurs ou de prospects qui réalisent une action attendue (achat, inscription, formulaire de contact), calculé en divisant les conversions par le nombre total d'opportunités.Voir la définition complète →ée pas de droit nouveau. Il précise que les lois existantes sur les pratiques commerciales déloyales et les exigences de dépôt des tarifs et des formulaires s'appliquent déjà aux décisions pilotées par l'IA. Début 2026, plus de 20 États ont adopté une version de ce bulletin, selon la page de suivi de la NAIC.

Le bulletin attend des assureurs qu'ils :

• Maintiennent un programme de gouvernance de l'IA écrit, avec une responsabilité au niveau du conseil ou de la direction générale.
• Documentent l'usage prévu d'un modèle, ses entrées et ses limites avant déploiement.
• Réalisent des tests de biais sur les résultats, pas seulement sur les entrées, un modèle pouvant être neutre en apparence et produire malgré tout un impact disparate.
• Soient en mesure d'expliquer les décisions défavorables (un sinistre refusé, une hausse tarifaire) à un régulateur qui le demande.

C'est une approche par principes, pas prescriptive. Il n'y a pas de checklist technique figée comme l'évaluation de conformité européenne. Le dispositif repose sur l'auto-attestation des assureurs et l'audit a posteriori des régulateurs.

Couche 3 : les règles des commissaires d'assurance des États

C'est là que la fragmentation devient réelle. L'assurance est régulée État par État aux États-Unis (il n'existe pas de régulateur fédéral de l'assurance équivalent à un superviseur prudentiel bancaire). Chaque commissaire peut aller plus loin que le bulletin de la NAIC.

Le Colorado en est l'exemple le plus tranché. En vertu de sa loi Algorithms and Predictive Models (SB21-169) et des règlements de la Colorado Division of Insurance, les assureurs vie utilisant des données consommateurs externes et des algorithmes doivent tester activement la discrimination injuste envers les classes protégées, selon une méthodologie de test quantitative spécifique sur laquelle l'État a lui-même publié des orientations (voir les règles de gouvernance IA/ML du Colorado DOI).

Le Department of Insurance de Californie applique de son côté ses propres règles sur les pratiques déloyales en gestion de sinistres aux refus algorithmiques, et a engagé des actions lorsque des outils automatisés ont servi à refuser des volumes de sinistres sans examen individualisé.

Le DFS de l'État de New York (Department of Financial Services) a publié sa propre circular letter sur l'usage de données externes et de l'IA en souscription, exigeant des assureurs qu'ils justifient que toute variable corrélée à une classe protégée n'en est pas un proxy.

Un seul déploiement américain peut donc affronter : des obligations générales de gouvernance de type bulletin NAIC, l'obligation de tests de biais quantitatifs du Colorado, la justification de discrimination par proxy de New York, et l'examen spécifique aux sinistres de la Californie, le tout pour un même modèle, selon le lieu de résidence de l'assuré.

Ce que cela implique pour un modèle multi-juridictionnel

Supposons que vous construisiez un modèle de triage de sinistres et souhaitiez le faire tourner en Allemagne, au Colorado et au Texas.

Conséquence pratique : vous ne pouvez pas construire un dossier de conformité unique et le copier-coller. Il vous faut une couche de gouvernance socle (documentation, supervision humaine, monitoring des biais) qui satisfasse le régime le plus strict, plus des modules propres à chaque juridiction par-dessus : le dossier d'évaluation de conformité européen pour l'Allemagne, le protocole de test spécifique du Colorado pour les risques du Colorado, une documentation générale de raisonnabilité pour le Texas.

Une façon simplifiée de suivre cela en pratique :

model_deployment_matrix = {
    "claims_triage_v3": {
        "EU": {"tier": "high-risk", "requires": ["conformity_assessment", "logging", "human_oversight"]},
        "CO": {"tier": "high-risk", "requires": ["quantitative_bias_test", "annual_filing"]},
        "TX": {"tier": "standard", "requires": ["unfair_practices_review"]},
    }
}

Aussi simple que cela paraisse, c'est l'ossature d'un vrai système de gouvernance : un registre des obligations par modèle et par juridiction, que les équipes conformité et model risk consultent toutes deux avant chaque mise en production.

Les garde-fousgarde-fousRègles et contrôles qui maintiennent un système d'IA dans des limites sûres, légales et conformes à la marque, en bloquant les sorties et actions hors cadre.Voir la définition complète → qui fonctionnent dans les trois régimes

Quelle que soit la juridiction, quatre contrôles reviennent dans tout framework sérieux de gouvernance de l'IA en assurance :

1. Tests de biais sur les résultats avant déploiement. Testez les décisions réelles du modèle (accord/refus, niveaux tarifaires) sur les proxys de classes protégées (code postal, scores d'assurance basés sur le crédit), pas seulement le fait que des attributs protégés aient été fournis en entrée.
2. Explicabilité au niveau de la décision individuelle. Les régulateurs des trois régimes attendent que vous expliquiez *pourquoi* tel assuré a reçu tel prix ou tel refus, pas seulement la précision agrégée du modèle.
3. Human-in-the-loop pour les décisions défavorables. Un refus de sinistre entièrement automatisé sans revue humaine est un signal d'alerte partout : les règles de supervision humaine de l'EU AI Act, les attentes de gouvernance de la NAIC et les doctrines des États sur les pratiques déloyales convergent toutes ici.
4. Monitoring continu, pas validation ponctuelle. Les modèles dérivent. Les données changent. Les trois régimes attendent un suivi permanent après le lancement, pas un certificat unique au go-live.

Points clés à retenir

• L'EU AI Act qualifie nommément la tarification en assurance vie et santé de high-risk, ce qui déclenche évaluation de conformité avant mise sur le marché, journalisation et supervision humaine obligatoire, avec des sanctions allant jusqu'à 7 % du chiffre d'affaires mondial.
• Les États-Unis n'ont pas d'AI Act fédéral ; le model bulletin de la NAIC fixe des attentes par principes (programme de gouvernance, tests de biais) que les États adoptent de façon inégale, plus de 20 États début 2026.
• Les règles des États américains peuvent être bien plus prescriptives que le socle NAIC : le Colorado impose des tests quantitatifs de discrimination pour les algorithmes d'assurance vie, tandis que d'autres États s'appuient sur l'application générale du droit des pratiques déloyales.
• Un modèle déployé sur plusieurs juridictions exige une couche de gouvernance socle calée sur la norme applicable la plus stricte, plus des modules de conformité propres à chaque juridiction, pas un dossier de conformité uniforme unique.
• Quatre garde-fous tiennent dans tous les régimes : tests de biais au niveau des résultats, explicabilité des décisions individuelles, revue humaine des décisions défavorables et monitoring continu après lancement.