IA Générative : l'EIOPA sonde le secteur de l'assurance

Focus — IA Générative : L'EIOPA cartographie les risques et opportunités pour l'assurance

L'Autorité européenne des assurances et des pensions professionnelles (EIOPA) a publié, le 12 juin 2024, sa première enquête de marché sur l'utilisation de l'Intelligence Artificielle (IA) générative. Ce rapport très attendu dresse un premier état des lieux de l'adoption de cette technologie par les entreprises d'assurance et les fonds de pension au sein de l'Espace Économique Européen.

L'enquête met en lumière un secteur à la fois fasciné par le potentiel d'efficience et d'innovation de l'IA générative, mais également conscient des risques opérationnels, éthiques et de conformité qu'elle engendre. L'enjeu principal est désormais de réussir à encadrer son déploiement par une gouvernance robuste et une gestion des risques proactive, avant que le régulateur ne durcisse sa position.

💡 Sujet/Concept clé : de quoi parle-t-on ?

L'IA générative, popularisée par des modèles comme GPT-4, se distingue de l'IA traditionnelle par sa capacité à créer du contenu nouveau et original (texte, code, images) à partir de données existantes. Contrairement aux modèles prédictifs classiques qui classifient ou prédisent, les grands modèles de langage (LLM) sur lesquels elle repose génèrent des réponses complexes, simulant une compréhension du langage naturel.

Le périmètre de l'enquête de l'EIOPA couvre l'ensemble du secteur de l'assurance (vie, non-vie, réassurance) et des fonds de pension (IORPs). Les cas d'usage potentiels sont vastes : de l'automatisation de la souscription et de la gestion des sinistres à la création de contenus marketing personnalisés, en passant par l'amélioration des interactions clients via des chatbots avancés ou l'assistance aux développeurs pour la génération de code. La technologie est encore en phase d'expérimentation, mais son potentiel de transformation des processus métiers est immense.

La base légale et réglementaire

Le déploiement de l'IA générative ne se fait pas dans un vide juridique. Plusieurs textes majeurs forment un cadre de conformité de plus en plus contraignant. Le plus structurant est l'AI Act, qui adopte une approche basée sur les risques. De nombreux cas d'usage dans l'assurance, notamment pour la tarification, l'évaluation du risque ou la souscription, pourraient être qualifiés de 'systèmes à haut risque', imposant des obligations strictes en matière de gouvernance des données, de gestion des risques, de documentation technique, de transparence et de supervision humaine.

Par ailleurs, le règlement DORA (Digital Operational Resilience Act) s'applique pleinement. L'IA générative, souvent fournie par des tiers (hyperscalers), constitue un service TIC dont la résilience doit être maîtrisée. Les entreprises devront intégrer ce risque dans leur cadre de gestion des risques TIC, renforcer leur due diligence sur les fournisseurs et s'assurer de la traçabilité et de la sécurité des flux de données. Enfin, le RGPD reste un pilier central : l'utilisation de données personnelles pour entraîner ou interroger ces modèles impose des Analyses d'Impact sur la Protection des Données (AIPD), une base légale solide et une transparence accrue vis-à-vis des personnes concernées, sans oublier le risque de génération de données personnelles inexactes ('hallucinations').

Analyse de l'enquête EIOPA : entre potentiel et vigilance accrue

L'enquête de l'EIOPA révèle que si l'enthousiasme est palpable, l'adoption reste prudente. La majorité des acteurs en sont au stade de l'expérimentation (PoC - Proof of Concept), principalement sur des cas d'usage internes à faible risque : résumé de documents, aide à la rédaction de rapports, génération de code informatique. Les déploiements sur des processus cœur de métier ou en contact direct avec les clients restent marginaux, signe d'une certaine frilosité face aux incertitudes réglementaires et aux risques inhérents.

Les bénéfices les plus cités sont sans surprise les gains d'efficacité et la réduction des coûts. Cependant, les risques identifiés sont nombreux et significatifs. En tête de liste figurent la protection des données et la cybersécurité, suivis de près par la performance et la fiabilité des modèles (le risque d' 'hallucination' ou de réponses erronées). Le risque de biais algorithmique, pouvant conduire à des décisions discriminatoires en matière de tarification ou d'indemnisation, est également une préoccupation majeure, tout comme le manque de transparence et d'explicabilité des modèles ('boîte noire').

À travers cette publication, l'EIOPA envoie un signal clair au marché : l'innovation est encouragée, mais elle doit être responsable et maîtrisée. Ce rapport n'est pas une fin en soi, mais une étape de collecte d'informations qui servira de base aux futures orientations prudentielles et aux actions de supervision. L'autorité insiste sur la nécessité d'une gouvernance forte et d'une supervision humaine effective pour tout déploiement, rappelant que la responsabilité finale incombe toujours à l'entreprise, et non à l'algorithme.

Ce que ça change opérationnellement (Plan d'action)

Pour les Compliance et Risk Officers, cette publication est un appel à l'action. Voici un plan en 6 étapes pour structurer la démarche :

• 1. Mettre à jour la cartographie des risques : Intégrer une catégorie de risques spécifique à l'IA (biais, confidentialité, performance du modèle, dépendance aux tiers, éthique). Évaluez leur impact potentiel sur les risques opérationnels, de conformité et de réputation, et intégrez-les dans l'ORSA.
• 2. Établir une gouvernance dédiée à l'IA : Mettre en place un comité de gouvernance de l'IA transverse (IT, Métiers, Risques, Conformité, Juridique). Rédiger et diffuser une charte ou une politique d'utilisation de l'IA définissant les principes éthiques, les cas d'usage autorisés/interdits et le processus de validation de tout nouvel outil.
• 3. Renforcer la Due Diligence des fournisseurs (TPRM) : Pour tout outil d'IA générative externe, la due diligence doit être exhaustive. Analysez la conformité à l'AI Act et à DORA, les clauses contractuelles de responsabilité, la localisation des données, les mesures de sécurité, et les garanties sur la gestion des biais.
• 4. Systématiser les Analyses d'Impact (AIPD & Éthique) : Avant tout déploiement, réalisez une Analyse d'Impact relative à la Protection des Données (AIPD) si des données personnelles sont traitées. Doublez-la d'une analyse d'impact sur l'éthique pour évaluer les risques de discrimination et d'équité.
• 5. Former et acculturer les équipes : Déployer des modules de formation obligatoires pour tous les collaborateurs sur les risques et les bonnes pratiques liés à l'IA générative. Insistez sur l'interdiction d'utiliser des données sensibles ou confidentielles de l'entreprise dans les outils d'IA publics.
• 6. Adapter les plans de contrôle et d'audit : Définir des points de contrôle de second niveau pour vérifier l'application de la politique IA. Le plan d'audit interne doit intégrer des missions spécifiques sur la gouvernance de l'IA, la gestion du risque de modèle et la conformité des cas d'usage déployés.

Sources :

• 📎 EIOPA — Generative AI Market Survey: Outlook, Use Cases and Risk Management