Les lignes directrices de l'EIOPA sur la gouvernance de l'IA

L'Autorité européenne des assurances et des pensions professionnelles (EIOPA) a abordé pour la première fois la gouvernance de l'IA dans un rapport de juin 2021 émanant de son groupe consultatif d'experts sur l'éthique numérique, qui énonçait six principes de gouvernance de l'IA. L'EIOPA a ensuite publié, le 6 août 2025, un avis formel sur la gouvernance de l'IA et la gestion des risques (EIOPA-BoS-25-360), adressé aux superviseurs nationaux. Cet avis suit une approche fondée sur le risque et proportionnée et n'introduit pas de nouvelles exigences légales ; il précise la manière dont la législation existante du secteur de l'assurance (Solvabilité II, DDA) s'applique aux systèmes d'IA.

Les lignes directrices de l'EIOPA couvrent six domaines clés : les données et la gouvernance des données (qualité, représentativité, évaluation des biais dans les données d'entraînement) ; la transparence des modèles (explicabilité des décisions de l'IA vis-à-vis des preneurs d'assurance et des superviseurs) ; la gouvernance de l'IA et la gestion des risques (responsabilité du conseil d'administration, risque lié à l'IA en tant que catégorie de risque opérationnel) ; la supervision humaine (supervision réelle des décisions de l'IA, en particulier pour les décisions de souscription et de sinistres à conséquences importantes) ; la non-discrimination (surveillance de la discrimination par variables de substitution et des biais démographiques) ; et l'audit (examen indépendant des systèmes d'IA).

Les superviseurs nationaux des États membres de l'UE sont censés appliquer les lignes directrices de l'EIOPA en tant qu'attentes prudentielles, ce qui signifie que les assureurs doivent les traiter, en pratique, comme des exigences réglementaires, même s'il s'agit formellement d'orientations de supervision et non d'un droit contraignant.

Solvabilité II et le risque de modèle lié à l'IA

Le système d'exigences de gouvernance de Solvabilité II, y compris l'ORSA (évaluation interne des risques et de la solvabilité), impose aux assureurs d'identifier et de gérer tous les risques significatifs, y compris ceux découlant de leurs modèles d'activité. Le risque de modèle lié à l'IA, c'est-à-dire le risque que les modèles d'IA produisent des résultats incorrects, soient utilisés en dehors de leur périmètre validé, ou défaillent d'une manière affectant la situation financière ou la conduite de l'assureur, relève désormais explicitement du périmètre de la gouvernance des risques de Solvabilité II.

En pratique, cela signifie que : les modèles d'IA utilisés pour la tarification, la souscription et le provisionnement doivent être répertoriés dans l'inventaire des modèles de l'assureur ; les défaillances significatives des modèles d'IA doivent être signalées dans l'ORSA ; et la fonction de gestion des risques doit disposer d'une visibilité sur le risque de modèle lié à l'IA au même titre que sur le risque de modèle actuariel traditionnel. Pour les assureurs vie utilisant l'IA dans la modélisation de la mortalité, de la morbidité ou de la persistance, le recoupement avec les obligations professionnelles actuarielles revêt une importance particulière.

L'AI Act européen : l'assurance en tant qu'IA à haut risque

L'annexe III de l'AI Act européen répertorie comme IA à haut risque les systèmes d'IA utilisés pour la souscription et la tarification en assurance vie et santé, en particulier l'IA qui évalue la solvabilité des personnes physiques ou établit leur score de crédit (ce qui inclut le scoring du risque d'assurance), ainsi que l'IA utilisée pour évaluer l'accès des personnes à des services essentiels. Cette classification déclenche, à compter d'août 2027, l'ensemble complet des obligations de l'AI Act applicables à l'IA à haut risque : évaluation de la conformité, documentation technique, exigences de gouvernance des données, conception de la supervision humaine, exigences de précision et de robustesse, et enregistrement dans la base de données européenne sur l'IA.

Pour les assureurs de l'UE recourant à la souscription pilotée par l'IA, il s'agit d'une exigence de conformité considérable. La documentation technique, à elle seule, requiert une explication détaillée de la conception du système d'IA, des données d'entraînement utilisées, des tests réalisés, des limites et des procédures de surveillance continue. L'évaluation de la conformité peut nécessiter l'intervention d'un organisme notifié selon la classification du risque du système.

La discrimination par variables de substitution : la préoccupation prioritaire de l'EIOPA

L'EIOPA a spécifiquement identifié la discrimination par variables de substitution comme une préoccupation prudentielle prioritaire concernant l'IA en assurance. Cette forme de discrimination survient lorsqu'un modèle d'IA utilise des variables techniquement neutres, code postal, profession, niveau d'études, activité sur les réseaux sociaux, mais fortement corrélées à des caractéristiques protégées telles que la race, l'origine ethnique, la religion ou le statut de handicap, produisant ainsi des résultats discriminatoires sans utiliser directement ces caractéristiques protégées comme données d'entrée.

L'assurance est particulièrement exposée à la discrimination par variables de substitution, car de nombreuses variables de souscription traditionnelles sont corrélées à des caractéristiques démographiques. Les modèles d'IA, capables de détecter dans les données des corrélations que des humains pourraient ne pas remarquer, peuvent amplifier ces effets. L'EIOPA attend des assureurs qu'ils mènent des audits de biais allant au-delà du simple test de discrimination directe, afin d'évaluer la discrimination indirecte : quels effets indirects les variables du modèle ont-elles sur les groupes démographiques ?

Pour aller plus loin : texte intégral de l'AI Act européen

Lectures complémentaires

Pour aller plus loin : texte intégral de l'AI Act européen