Le règlement « Omnibus IA » a décalé au 2 décembre 2027 les obligations des systèmes d'IA à haut risque, dont la tarification en assurance vie et santé. Ce report ne change ni le fond des exigences ni l'attention du superviseur. Pour un assureur ou un groupe de protection sociale, ces 14 mois suffisent à se mettre en conformité, à condition de commencer par l'inventaire.
Qu'est-ce que l'Omnibus change, et qu'est-ce qu'il ne change pas ?
L'Omnibus IA ne réécrit pas l'AI Act : il en décale le calendrier et en allège certaines modalités. Les exigences applicables aux systèmes à haut risque restent les mêmes.
| Échéance | Ce qui s'applique | Pour un assureur |
|---|---|---|
| 2 février 2025 | Pratiques interdites ; maîtrise de l'IA (article 4) | L'Omnibus assouplit l'article 4 : il faut désormais « favoriser » la maîtrise de l'IA par le personnel, et non plus la « garantir ». L'effort de formation reste attendu. |
| 2 août 2025 | Modèles d'IA à usage général | Obligations portées surtout par les fournisseurs de modèles ; l'assureur les utilise. |
| 2 août 2026 | Transparence (article 50) | Un assuré qui échange avec un chatbot ou un voicebot doit le savoir. Une période transitoire est prévue pour le marquage des contenus générés par des systèmes déjà sur le marché. |
| 2 décembre 2027 | Systèmes à haut risque de l'annexe III | Tarification et évaluation des risques en assurance vie et santé. |
| 2 août 2028 | Systèmes à haut risque de l'annexe I (produits réglementés) | Peu concerné. |
Le point décisif est ailleurs. La proposition initiale de la Commission prévoyait un report conditionné à la disponibilité des normes harmonisées. Le texte adopté fixe une date ferme. Il n'y aura pas de second report par défaut.
Quels systèmes sont concernés dans un organisme santé et prévoyance ?
L'annexe III, point 5 c), vise les systèmes d'IA destinés à l'évaluation des risques et à la tarification des personnes physiques en assurance vie et en assurance maladie. Trois situations se dessinent.
Clairement concernés. Les modèles qui tarifient ou sélectionnent un assuré individuel en santé ou en vie, dès lors qu'ils relèvent de la définition d'un système d'IA.
Zones grises, à instruire dès maintenant. Trois situations ne sont pas tranchées par le texte. À notre lecture, elles doivent être traitées comme incertaines tant que le superviseur ne s'est pas prononcé :
- La prévoyance : le décès relève logiquement de l'assurance vie, mais l'incapacité et l'invalidité ne sont nommées ni par le règlement, ni par l'ACPR, ni par l'EIOPA.
- Les contrats collectifs : la tarification se fait souvent au niveau de l'entreprise cliente, alors que le texte vise les personnes physiques.
- Les modèles statistiques classiques : un GLM de tarification n'est pas automatiquement un « système d'IA » au sens du règlement.
Ces questions relèvent du juridique et de la conformité. Les laisser ouvertes jusqu'en 2027 revient à découvrir son périmètre au moment où il faudrait déjà être prêt.
Hors du haut risque, mais pas hors du radar. Le considérant 58 de l'AI Act exclut du haut risque les systèmes de détection de la fraude prévus par le droit de l'Union, et l'ACPR retient la même lecture. Les assistants d'IA générative de gestion ne sont pas non plus à haut risque. Pour tous ces systèmes, l'avis de l'EIOPA d'août 2025 fixe une attente de gouvernance proportionnée : données, documentation, explicabilité, surveillance humaine, robustesse.
Qu'est-ce que l'assureur devra démontrer ?
Tout dépend de son rôle. Un assureur qui utilise un modèle acquis auprès d'un éditeur est déployeur. S'il développe son modèle, il en devient fournisseur, avec des obligations nettement plus lourdes.
| Rôle | Obligations principales |
|---|---|
| Déployeur | Utiliser le système conformément à sa notice ; confier la surveillance humaine à des personnes compétentes ; surveiller le fonctionnement et suspendre l'usage en cas de risque ; conserver les journaux au moins six mois ; informer les personnes concernées (article 26). Réaliser une analyse d'impact sur les droits fondamentaux, explicitement exigée pour la tarification vie et santé et articulable avec l'analyse d'impact RGPD (article 27). Pouvoir expliquer à un assuré le rôle du système dans une décision qui le concerne (article 86). |
| Fournisseur | En plus : système de gestion des risques, gouvernance des données d'entraînement, documentation technique, journalisation, surveillance humaine intégrée à la conception, exactitude et robustesse, système de gestion de la qualité, évaluation de la conformité et enregistrement dans la base de l'Union (articles 9 à 17, 43 et 49). |
Les organismes financiers ne partent pas d'une page blanche. Le règlement reconnaît leur gouvernance sectorielle : pour eux, le système de gestion de la qualité est réputé en place grâce aux règles de gouvernance interne existantes. Trois exceptions demeurent : la gestion des risques propres au système d'IA, la surveillance après la mise sur le marché et le signalement des incidents graves. Ce sont précisément les briques qui manquent le plus souvent.
Les sanctions sont dimensionnées pour être dissuasives : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour un manquement aux obligations des opérateurs.
Qu'attend le superviseur ?
L'ACPR se prépare à superviser. L'AI Act confie la surveillance des systèmes à haut risque du secteur financier à l'autorité de supervision financière nationale. En France, la désignation de l'ACPR passe par le projet de loi d'adaptation au droit de l'Union (DDADUE), adopté par le Sénat en février 2026 et en cours d'examen à l'Assemblée nationale au 30 septembre 2026.
L'équité sera le premier terrain. La consultation de l'ACPR sur l'équité algorithmique, ouverte le 1er juillet et close le 30 septembre 2026, porte précisément sur le crédit et la tarification vie et santé. Son document de réflexion pose les questions que les directions techniques devront trancher :
- quelle métrique d'équité retenir, et pourquoi : parité des résultats, parité des erreurs ou parité des valeurs prédictives ;
- comment détecter les variables qui servent d'indicateurs indirects d'un critère protégé ;
- comment mesurer un biais sans collecter de données sensibles au sens du RGPD ;
- comment concilier la segmentation tarifaire avec la mutualisation, au cœur du métier de l'assurance de personnes.
La synthèse est annoncée d'ici la fin de 2026. Elle donnera la grille de lecture du superviseur, bien avant l'échéance réglementaire.
Comment utiliser les 14 mois qui restent ?
| Période | Chantier | Livrables |
|---|---|---|
| T4 2026 | Inventorier et qualifier | Registre de tous les systèmes d'IA en production et en projet ; qualification haut risque ou non ; rôle de fournisseur ou de déployeur ; arbitrage des zones grises par le juridique et la conformité. |
| T1 2027 | Mesurer les écarts | Écart entre l'existant et les exigences, système par système ; plan de remédiation chiffré ; exigences contractuelles à faire porter par les éditeurs. |
| T2 et T3 2027 | Outiller l'équité et la surveillance humaine | Métriques d'équité choisies et justifiées ; tests de biais ; analyses d'impact ; procédure d'explication aux assurés ; rôles de surveillance nommés. |
| T3 et T4 2027 | Industrialiser et éprouver | Exigences intégrées au cycle de vie des modèles ; revue par la deuxième ligne de défense ; exercice à blanc sur un système, comme en contrôle. |
Notre retour d'expérience tient en une phrase : un modèle ne se documente pas après coup, il se documente pendant qu'on le construit. Dans un groupe de protection sociale, nous avons contribué à décliner la gouvernance des systèmes d'IA en neuf procédures, du choix du modèle à la mesure des performances, puis traversé 18 mois de contrôle CNIL : 60 documents remis et un audit sur site. Un contrôle se prépare pendant la construction du modèle, pas à réception du courrier du régulateur.
Checklist : dix questions à poser à votre comité de direction
- Disposons-nous d'un registre à jour de nos systèmes d'IA, en production et en projet ?
- Lesquels relèvent de l'annexe III, point 5 c), et qui a tranché les cas limites ?
- Pour chacun, sommes-nous fournisseur ou déployeur ?
- Nos contrats avec les éditeurs couvrent-ils la notice, les journaux et la documentation ?
- Quelle métrique d'équité retenons-nous, et savons-nous justifier ce choix ?
- Savons-nous mesurer un biais sans collecter de données sensibles ?
- Qui exerce la surveillance humaine, avec quelle compétence et quel pouvoir de suspendre ?
- Savons-nous expliquer à un assuré le rôle du modèle dans son tarif ?
- Nos analyses d'impact RGPD peuvent-elles servir de base à l'analyse d'impact sur les droits fondamentaux ?
- Serions-nous capables de répondre demain à un contrôle sur un seul de ces systèmes ?
Questions fréquentes
Le report au 2 décembre 2027 peut-il encore glisser ?
Le règlement fixe une date ferme, sans condition liée aux normes. Un nouveau report exigerait un nouveau texte européen.
La détection de la fraude est-elle concernée par l'AI Act ?
Elle n'est pas classée à haut risque. Elle reste soumise au RGPD, aux obligations de transparence le cas échéant et aux attentes de gouvernance de l'EIOPA.
Un modèle de tarification acheté à un éditeur nous exonère-t-il ?
Non. L'assureur reste déployeur : surveillance humaine, journaux, information des assurés, analyse d'impact et explication des décisions lui incombent.
Sources
- Règlement (UE) 2026/1744 du 8 juillet 2026 (« Omnibus IA »), Journal officiel du 24 juillet 2026 (nouvel onglet)
- Règlement (UE) 2024/1689 sur l'intelligence artificielle : articles 4, 17, 26, 27, 50, 74, 86, 99, 113, annexe III et considérant 58
- ACPR, communiqué de lancement de la consultation sur l'équité algorithmique (1er juillet 2026) (nouvel onglet) et document de réflexion (nouvel onglet)
- ACPR, réunion de place sur l'IA (1er juillet 2026) (nouvel onglet)
- EIOPA, avis sur la gouvernance et la gestion des risques de l'IA (EIOPA-BoS-25-360, 6 août 2025) (nouvel onglet)
- Sénat, dossier législatif du projet de loi DDADUE (nouvel onglet)
Cet article présente une analyse de conseil et ne constitue pas un avis juridique.