Le paysage réglementaire de l'IA dans l'assurance au Royaume-Uni

Les assureurs britanniques qui déploient l'IA sont soumis à des obligations émanant de plusieurs régulateurs agissant en parallèle. La Financial Conduct Authority (FCA) est le principal régulateur de la conduite, la Consumer Duty constituant le cadre global. La Prudential Regulation Authority (PRA) applique des attentes prudentielles, notamment en matière de gestion du risque de modèle. L'Information Commissioner's Office (ICO) fait appliquer le UK GDPR. Et le Financial Ombudsman Service (FOS) peut arbitrer les litiges relatifs aux décisions d'assurance pilotées par l'IA, ce qui crée une pression de gouvernance indirecte via le risque de réclamation.

La Consumer Duty de la FCA et l'IA en assurance

La Consumer Duty, entrée en vigueur en juillet 2023, exige des entreprises qu'elles agissent pour produire de bons résultats pour les clients particuliers dans quatre domaines : les produits et services, le prix et la valeur, la compréhension du client et le support au client. Chacun de ces domaines a des implications directes pour l'usage de l'IA en assurance.

Prix et valeur : les modèles de tarification par IA doivent refléter de manière démontrable le risque réel et la valeur reçue. Une IA qui facture systématiquement aux clients plus que la juste valeur de l'assurance, que ce soit par des pénalités tarifaires liées à la fidélité, une discrimination par proxy ou des ajustements algorithmiques opaques, crée une exposition au titre de la Consumer Duty. Les entreprises doivent être en mesure de démontrer à la FCA, données et analyses à l'appui, que les résultats tarifaires sont conformes à l'exigence de juste valeur.

Compréhension du client : les communications générées par l'IA, les avis de renouvellement automatisés, les décisions de sinistres, les explications de souscription, doivent satisfaire à l'exigence de la Consumer Duty consistant à permettre aux clients de prendre des décisions éclairées. Des explications génériques du type « souscription algorithmique » ne satisfont pas à cette exigence. Les clients doivent comprendre quels facteurs ont influencé leur prime ou la décision relative à leur sinistre.

Support au client : les chatbots IA et le traitement automatisé des sinistres ne doivent pas créer d'obstacles empêchant les clients d'obtenir les résultats auxquels ils ont droit. Les rejets de sinistres automatisés doivent pouvoir faire l'objet d'un réexamen humain, et le parcours d'escalade doit être facilement accessible.

Les pratiques tarifaires en assurance générale de la FCA (General Insurance Pricing Practices)

Les règles de la FCA sur les pratiques tarifaires (PS21/5), en vigueur depuis janvier 2022, ont constitué une réponse réglementaire directe au problème de la pénalité de fidélité en assurance, où la tarification algorithmique facturait systématiquement aux clients existants plus qu'à des clients nouveaux équivalents pour le même risque. Ces règles exigent que les prix de renouvellement ne soient pas supérieurs au prix équivalent proposé à un nouveau client pour le même produit et le même profil de risque.

Pour les modèles de tarification par IA, cela crée une exigence de gouvernance spécifique : le modèle doit être testé et surveillé afin de garantir qu'il ne produit pas de prix de renouvellement systématiquement supérieurs aux prix proposés aux nouveaux clients. Les entreprises doivent pouvoir démontrer, données à l'appui, que leur modèle de tarification par IA est conforme, ce qui suppose de maintenir l'infrastructure de données et la surveillance nécessaires pour détecter et corriger les écarts de tarification.

La gestion du risque de modèle de la PRA

Les principales attentes de la PRA en matière de gestion du risque de modèle figurent dans sa déclaration de supervision SS1/23, qui s'applique formellement aux banques, aux sociétés de crédit immobilier (building societies) et aux entreprises d'investissement désignées par la PRA disposant d'une autorisation de modèle interne, et non aux assureurs. La SS3/17 est une déclaration de supervision distincte, consacrée au traitement au titre de Solvabilité II des actifs illiquides et non notés, sans lien avec l'IA ou l'apprentissage automatique, elle ne doit donc pas être invoquée pour les attentes de gouvernance de l'IA. La PRA ne dispose pas encore d'une déclaration de supervision propre aux assureurs consacrée à l'IA, mais ses priorités de supervision de l'assurance pour 2026, publiées en janvier 2026, désignent l'IA comme un nouveau domaine d'attention et signalent des risques liés à la qualité des données, à la dépendance envers des tiers et à l'exposition cyber. En pratique, les assureurs qui utilisent l'IA et l'apprentissage automatique dans la souscription, la tarification et le provisionnement doivent s'attendre à ce que les superviseurs recherchent une discipline de gestion du risque de modèle conforme aux principes de la SS1/23 : validation indépendante avant le déploiement, documentation des limites et hypothèses du modèle, surveillance par rapport à des seuils définis, et revalidation après toute modification substantielle du modèle.

Pour les modèles actuariels comportant des composantes d'IA, le Chief Actuary ou le titulaire de la fonction actuarielle (Actuarial Function Holder) est personnellement responsable, en vertu de l'Actuaries' Code et des règles de la PRA, des résultats produits par les modèles de tarification et de provisionnement assistés par IA. Cette responsabilité ne peut pas être déléguée à l'IA, il doit comprendre suffisamment bien la méthodologie et les limites du modèle pour assumer la responsabilité professionnelle de ses résultats.

L'ICO et le UK GDPR

Toutes les données personnelles traitées par l'IA en assurance, y compris les données de télématique, l'historique des sinistres, les informations de santé et les données comportementales utilisées dans la tarification, sont soumises au UK GDPR. Les données de catégorie spéciale (informations de santé, données génétiques utilisées dans la souscription d'assurance vie et santé) sont soumises aux obligations les plus strictes du UK GDPR et nécessitent un consentement explicite ou un autre fondement au titre de l'article 9(2). Les décisions de souscription automatisées ayant des effets juridiques ou des effets significatifs similaires sur les personnes concernées relevaient de l'article 22 du UK GDPR jusqu'à ce que le Data (Use and Access) Act 2025 le remplace, avec effet au 5 février 2026, par les nouveaux articles 22A à 22D. Les assureurs qui prennent des décisions automatisées significatives en matière de souscription ou de sinistres doivent désormais fournir des garanties comprenant une information sur la décision, la possibilité de présenter des observations, l'accès à une intervention humaine et la possibilité de contester la décision.

Pour aller plus loin : lignes directrices de l'ICO sur l'IA

Lectures complémentaires

Pour aller plus loin : lignes directrices de l'ICO sur l'IA