Banque et assurance : préparer l'IT à l'IA à haut risque

Intelligence artificielle · 5 min

L'AI Act classe certains systèmes de crédit et d'assurance comme IA à haut risque. Découvrez comment préparer l'IT aux exigences en matière de données, de journalisation et de supervision humaine.

Banque et assurance : préparer l'IT à l'IA à haut risque

TL;DR

L'AI Act classe comme à haut risque certains systèmes d'évaluation de la solvabilité des personnes physiques ainsi que d'évaluation des risques et de tarification en assurance vie et santé.
Après les modifications de l'AI Omnibus, les règles spécifiques applicables à ces systèmes s'appliquent à partir du 2 décembre 2027, sans préjudice des autres obligations déjà applicables.
La classification doit tenir compte de la finalité de chaque système, des exceptions prévues et de la possibilité de réaliser un profilage de personnes physiques.
Les responsabilités varient entre les fournisseurs et les entités qui utilisent les systèmes ; les contrats doivent refléter cette distinction.
La journalisation, la gouvernance des données, la supervision humaine et l'analyse d'impact sur les droits fondamentaux exigent une préparation technique et organisationnelle.

Le calendrier a changé, mais le périmètre est défini

Dans la banque et l'assurance, l'intelligence artificielle soutient déjà des décisions qui affectent directement des personnes physiques, de l'octroi de crédit à l'évaluation des risques en assurance. Le Règlement (UE) 2024/1689, connu sous le nom d'AI Act, classe certaines utilisations comme systèmes d'IA à haut risque, notamment l'évaluation de la solvabilité ou le scoring de crédit des personnes physiques, ainsi que l'évaluation des risques et la tarification en assurance vie et santé. Avec les modifications introduites par l'AI Omnibus, en vigueur depuis le 27 juillet 2026, les exigences spécifiques applicables aux systèmes à haut risque visés à l'annexe III s'appliquent à partir du 2 décembre 2027. Ce report ne supprime pas la nécessité de se préparer et n'écarte pas d'autres dispositions du règlement déjà applicables. Pour les équipes IT, l'enjeu est d'identifier les systèmes concernés et de s'assurer que l'architecture, les données, les journaux et les mécanismes de supervision permettent de satisfaire aux obligations pertinentes.

Délimiter le périmètre évite un travail inutile

La première étape consiste à inventorier les systèmes d'IA et à les classer selon la finalité pour laquelle ils ont été conçus et sont utilisés. L'annexe III, point 5, de l'AI Act couvre certains systèmes d'évaluation de la solvabilité des personnes physiques, mais n'inclut pas, au titre de cette disposition, l'évaluation du crédit des entreprises. Elle exclut également les systèmes destinés à la détection de la fraude financière. En assurance, la classification prévue au point 5, c), vise spécifiquement l'évaluation des risques et la tarification en assurance vie et santé ; les autres branches, comme l'automobile ou le multirisque, ne sont pas couvertes par ce point du seul fait qu'elles recourent à l'IA. Il existe toutefois d'autres dispositions à considérer, ainsi que des exceptions limitées à l'article 6, paragraphe 3, pour certaines tâches qui n'influencent pas de manière significative la décision. Lorsque le système réalise un profilage de personnes physiques, cette exception ne s'applique pas. Chaque classification doit être motivée et documentée.

Le rôle de chaque entité détermine les obligations

L'AI Act distingue les fournisseurs, responsables du développement ou de la mise à disposition de systèmes d'IA sous leur nom ou leur marque, des déployeurs, qui utilisent ces systèmes sous leur autorité. Une banque qui développe en interne un système de scoring de crédit pour son propre usage peut assumer des obligations de fournisseur. En revanche, un assureur qui acquiert une solution auprès d'un tiers agira, en règle générale, en tant que déployeur, sans préjudice d'autres responsabilités pouvant en découler. Les fournisseurs doivent satisfaire à des exigences telles que la gestion des risques, la gouvernance des données, la documentation technique, l'évaluation de la conformité et les mécanismes de journalisation. Les entités qui utilisent les systèmes doivent garantir une utilisation conforme aux instructions, une supervision humaine adéquate, une surveillance et la conservation des journaux placés sous leur contrôle, dans les conditions applicables. Pour les équipes achats et IT, cela impose des contrats clairs sur la documentation, l'accès aux éléments de preuve, les mises à jour, les incidents et les responsabilités de chaque partie.

Journaux, données et supervision humaine : des exigences d'architecture

Les systèmes d'IA à haut risque doivent disposer de capacités d'enregistrement automatique des événements permettant de suivre leur fonctionnement et de contribuer à l'identification des risques. L'article 12 pose ce principe, tandis que l'article 26 prévoit des obligations de conservation des journaux placés sous le contrôle de l'entité qui utilise le système, avec des règles spécifiques pour les établissements financiers et sans préjudice de la législation applicable en matière de protection des données. En pratique, il est important de définir quels événements sont enregistrés, qui peut y accéder et comment ils sont protégés. La traçabilité peut également bénéficier de l'identification des versions des modèles, des modifications significatives et des sources de données, en fonction de la finalité et des risques du système. La supervision humaine requiert elle aussi des conditions techniques : fournir des informations compréhensibles sur les résultats, permettre l'intervention de personnes compétentes et aider à identifier les erreurs ou les résultats inattendus. Ces mécanismes doivent être prévus dès la conception de l'architecture, et non ajoutés en fin de projet.

La gouvernance existante du secteur est un point de départ

Les banques et les assureurs disposent déjà de structures de gestion des risques, de contrôle interne, de conformité et d'audit issues de la réglementation financière. L'AI Act reconnaît cette réalité et permet que certaines obligations soient satisfaites au moyen des mécanismes de gouvernance sectorielle existants, dans les conditions prévues aux articles 17 et 26. Toutefois, cette articulation ne dispense pas des autres exigences applicables. Pour les systèmes d'évaluation de la solvabilité des personnes physiques et d'évaluation des risques et de tarification en assurance vie et santé classés à haut risque, l'article 27 exige en outre une analyse d'impact sur les droits fondamentaux avant la première utilisation, dans les conditions prévues. Cette analyse doit prendre en compte les personnes concernées, les risques, la supervision humaine et les mesures d'atténuation, et peut s'appuyer sur des éléments d'analyses d'impact relatives à la protection des données déjà réalisées. L'équipe IT doit collaborer avec les fonctions risques, conformité et protection des données, en fournissant des éléments de preuve sur le fonctionnement et les contrôles des systèmes.

Se préparer avec méthode, sans présumer de certitudes

L'échéance du 2 décembre 2027 doit être mise à profit pour organiser la préparation par phases. Le travail peut débuter par l'inventaire et la classification des systèmes, suivis de l'identification des rôles contractuels, de l'évaluation des capacités de journalisation et de supervision humaine, et de l'intégration des exigences dans les structures de gouvernance existantes. Il importe également de revoir les contrats avec les fournisseurs, les politiques d'accès, la protection des données ainsi que les procédures de surveillance et de réponse aux incidents. Les systèmes déjà mis sur le marché ou mis en service avant la date d'application doivent être évalués à la lumière des règles transitoires de l'article 111, en évitant de supposer qu'ils sont tous automatiquement soumis au même régime. Les lignes directrices de la Commission européenne continueront d'étayer l'interprétation et l'application du règlement. Pour les équipes IT, l'objectif doit être d'arriver à l'échéance avec des responsabilités définies, une documentation organisée et des mécanismes de contrôle vérifiables, sans dépendre de corrections de dernière minute.