AI Act vs Assurance : l'EIOPA veut éviter le chaos réglementaire

Focus — AI Act vs Solvabilité II/DDA : l'EIOPA veut éviter le chaos réglementaire pour les assureurs

Le 14 mai 2024, l'Autorité européenne des assurances et des pensions professionnelles (EIOPA) a pris une initiative décisive en adressant une lettre aux institutions de l'Union européenne. L'objet de cette intervention : alerter sur les risques de chevauchement et d'incohérence réglementaire entre le tout nouvel AI Act et les révisions en cours de la législation sectorielle de l'assurance, à savoir la directive Solvabilité II et la Directive sur la Distribution d'Assurances (DDA).

Face à l'adoption rapide de l'intelligence artificielle dans le secteur, l'EIOPA craint que les assureurs, réassureurs et intermédiaires ne se retrouvent pris au piège d'une double contrainte, devant se conformer à la fois à un cadre horizontal et à des règles sectorielles potentiellement contradictoires. L'enjeu principal est donc d'établir une sécurité juridique claire et un cadre de surveillance cohérent pour l'utilisation de l'IA dans l'assurance.

💡 Sujet/Concept clé : de quoi parle-t-on ?

Nous sommes au cœur de l'articulation complexe entre une réglementation horizontale, l'AI Act, qui s'applique à tous les secteurs, et des réglementations verticales, Solvabilité II et la DDA, spécifiques au monde de l'assurance. L'AI Act instaure un cadre basé sur les risques, classifiant certains systèmes d'IA utilisés dans l'assurance comme étant à 'haut risque', notamment ceux dédiés à l'évaluation des risques et à la tarification pour les assurances vie et santé.

Historiquement, le secteur de l'assurance est déjà très encadré. Solvabilité II, depuis 2016, impose un cadre prudentiel robuste (le fameux Pilier 2) qui exige des assureurs une gouvernance solide et un système de gestion de tous les risques, y compris opérationnels, liés à l'utilisation de nouvelles technologies. De son côté, la DDA encadre la conduite des affaires et la protection des consommateurs, imposant aux distributeurs d'agir de manière honnête, juste et dans le meilleur intérêt du client. Le conflit naît du fait que les exigences de gouvernance, de gestion des risques et de transparence de l'AI Act pour les systèmes à haut risque recoupent largement les obligations déjà existantes sous Solvabilité II et la DDA.

La base légale et réglementaire

Le Règlement (UE) 2024/1689, ou AI Act, structure ses exigences selon une pyramide de risques. Pour les systèmes d'IA jugés à 'haut risque', listés dans son Annexe III, il impose des obligations strictes : mise en place d'un système de gestion de la qualité, documentation technique exhaustive, transparence envers les utilisateurs, supervision humaine effective, et un haut niveau de robustesse et de cybersécurité. Le non-respect peut entraîner des sanctions financières très lourdes, pouvant atteindre 35 millions d'euros ou 7% du chiffre d'affaires annuel mondial.

En parallèle, la Directive Solvabilité II (2009/138/CE) impose via son article 41 un 'système de gouvernance' efficace qui doit garantir une gestion saine et prudente de l'entreprise. L'article 44 exige un système de gestion des risques couvrant l'ensemble des menaces auxquelles l'assureur est exposé. Ces dispositions, bien que non spécifiques à l'IA, s'appliquent de facto à son usage et sont supervisées par les autorités de contrôle nationales, comme l'ACPR en France.

Enfin, la Directive sur la Distribution d'Assurances (UE) 2016/97, notamment son article 17, établit le principe fondamental de protection des intérêts du client. L'utilisation d'un algorithme de tarification ou de conseil qui serait opaque ou discriminatoire contreviendrait directement à l'esprit et à la lettre de cette directive. La superposition de ces trois textes crée une zone grise : qui supervise quoi, et quelle règle prévaut en cas de conflit ?

L'arbitrage de l'EIOPA : une proposition de lex specialis

La lettre de l'EIOPA n'est pas une demande d'exemption pour le secteur de l'assurance, mais une proposition pragmatique pour clarifier les règles du jeu. Le timing est crucial : l'AI Act est adopté, mais les discussions en trilogue pour la révision de Solvabilité II et de la DDA sont en cours. C'est donc une fenêtre d'opportunité unique pour intégrer des amendements ciblés et éviter une fragmentation de la surveillance.

Le cœur de la proposition de l'EIOPA repose sur le principe de lex specialis derogat legi generali (la loi spéciale déroge à la loi générale). Concrètement, l'autorité suggère d'amender les projets de révision de Solvabilité II et de la DDA pour y stipuler que les exigences de gouvernance et de gestion des risques de l'AI Act pour les systèmes à haut risque sont réputées satisfaites si l'assureur se conforme aux exigences (renforcées) de la réglementation sectorielle.

Cette approche permettrait de maintenir l'autorité de contrôle prudentiel (l'ACPR, par exemple) comme principal superviseur pour les assureurs sur le sujet de l'IA. Cet acteur connaît le secteur, ses modèles économiques et ses risques spécifiques. Cela éviterait une situation où un assureur devrait rendre des comptes à la fois à son superviseur habituel et à une nouvelle autorité de surveillance du marché désignée pour l'AI Act, ce qui générerait une complexité administrative et des coûts de conformité inutiles. L'objectif est d'intégrer les principes de l'AI Act dans le cadre de surveillance existant, et non de créer un silo de conformité supplémentaire.

Ce que ça change opérationnellement (Plan d'action)

Même si la proposition de l'EIOPA n'est pas encore loi, elle donne une direction claire. Les Compliance Officers doivent anticiper et agir dès maintenant.

1. Cartographier les usages de l'IA : Lancez sans attendre un recensement exhaustif de tous les systèmes d'IA en production ou en projet. Concentrez-vous sur les cas d'usage critiques (tarification, souscription, gestion des sinistres, lutte anti-fraude) et pré-évaluez leur classification de risque au sens de l'AI Act.

2. Adapter le cadre de gouvernance : Revoyez votre politique de gouvernance des données et des modèles pour y intégrer explicitement les exigences de l'AI Act. Assurez-vous que les responsabilités (qui valide le modèle, qui monitore ses biais, qui gère la documentation) sont clairement définies et attribuées.

3. Renforcer la gestion du risque de modèle : Le 'Model Risk Management' doit évoluer. Il ne s'agit plus seulement de valider la performance statistique, mais aussi d'évaluer et de maîtriser les risques éthiques (biais, discrimination) et de robustesse (résilience aux cyberattaques, aux données aberrantes).

4. Préparer la documentation pour la supervision : Commencez à structurer la documentation technique requise par l'AI Act pour chaque système identifié comme potentiellement à haut risque. Cette documentation doit être prête à être présentée au superviseur et démontrer la conformité du système.

5. Former les instances dirigeantes et les métiers : Organisez des sessions de formation pour le Conseil d'Administration, le Comité Exécutif et les équipes métiers. Ils doivent comprendre les enjeux stratégiques et les risques de responsabilité liés à l'IA pour pouvoir exercer une surveillance efficace.

6. Mettre à jour la cartographie des risques : Intégrez le 'risque d'IA' comme une catégorie à part entière dans votre cartographie des risques opérationnels, avec des scénarios de stress spécifiques (ex: dérive d'un algorithme, décision discriminatoire à grande échelle, contestation juridique).

Sources :

• 📎 EIOPA — Letter to EU institutions on AI Act and EU Insurance legislation proposal for clarifying application of the AI Act