Le paysage réglementaire de l'IA dans l'assurance au Royaume-Uni

Les assureurs britanniques qui déploient l'IA sont soumis à des obligations émanant de plusieurs régulateurs agissant en parallèle. La Financial Conduct Authority (FCA) est le principal régulateur de la conduite, la Consumer Duty constituant le cadre global. La Prudential Regulation Authority (PRA) applique des attentes prudentielles, notamment en matière de gestion du risque de modèle. L'Information Commissioner's Office (ICO) fait appliquer le UK GDPR. Et le Financial Ombudsman Service (FOS) peut arbitrer les litiges relatifs aux décisions d'assurance pilotées par l'IA, ce qui crée une pression de gouvernance indirecte via le risque de réclamation.

La Consumer Duty de la FCA et l'IA en assurance

La Consumer Duty, entrée en vigueur en juillet 2023, exige des entreprises qu'elles agissent pour produire de bons résultats pour les clients particuliers dans quatre domaines : les produits et services, le prix et la valeur, la compréhension du client et le support au client. Chacun de ces domaines a des implications directes pour l'usage de l'IA en assurance.

Prix et valeur : les modèles de tarification par IA doivent refléter de manière démontrable le risque réel et la valeur reçue. Une IA qui facture systématiquement aux clients plus que la juste valeur de l'assurance, que ce soit par des pénalités tarifaires liées à la fidélité, une discrimination par proxy ou des ajustements algorithmiques opaques, crée une exposition au titre de la Consumer Duty. Les entreprises doivent être en mesure de démontrer à la FCA, données et analyses à l'appui, que les résultats tarifaires sont conformes à l'exigence de juste valeur.

Compréhension du client : les communications générées par l'IA, les avis de renouvellement automatisés, les décisions de sinistres, les explications de souscription, doivent satisfaire à l'exigence de la Consumer Duty consistant à permettre aux clients de prendre des décisions éclairées. Des explications génériques du type « souscription algorithmique » ne satisfont pas à cette exigence. Les clients doivent comprendre quels facteurs ont influencé leur prime ou la décision relative à leur sinistre.

Support au client : les chatbots IA et le traitement automatisé des sinistres ne doivent pas créer d'obstacles empêchant les clients d'obtenir les résultats auxquels ils ont droit. Les rejets de sinistres automatisés doivent pouvoir faire l'objet d'un réexamen humain, et le parcours d'escalade doit être facilement accessible.

Les pratiques tarifaires en assurance générale de la FCA (General Insurance Pricing Practices)

Les règles de la FCA sur les pratiques tarifaires, en vigueur depuis janvier 2022, ont constitué une réponse réglementaire directe au problème de la pénalité de fidélité en assurance, où la tarification algorithmique facturait systématiquement aux clients existants plus qu'à des clients nouveaux équivalents pour le même risque. Ces règles exigent que les prix de renouvellement ne soient pas supérieurs au prix équivalent proposé à un nouveau client pour le même produit et le même profil de risque.

Pour les modèles de tarification par IA, cela crée une exigence de gouvernance spécifique : le modèle doit être testé et surveillé afin de garantir qu'il ne produit pas de prix de renouvellement systématiquement supérieurs aux prix proposés aux nouveaux clients. Les entreprises doivent pouvoir démontrer, données à l'appui, que leur modèle de tarification par IA est conforme, ce qui suppose de maintenir l'infrastructure de données et la surveillance nécessaires pour détecter et corriger les écarts de tarification.

La gestion du risque de modèle de la PRA

La PRA applique des attentes de gestion du risque de modèle tirées de sa déclaration de supervision SS1/23 relative aux principes de gestion du risque de modèle pour les banques, ainsi que des attentes analogues pour les assureurs au titre de sa déclaration de supervision SS3/17 sur l'IA et l'apprentissage automatique. Exigences fondamentales : les modèles d'IA utilisés pour la souscription, la tarification et le provisionnement doivent être validés de manière indépendante avant leur déploiement ; les limites et hypothèses du modèle doivent être documentées ; la performance doit être surveillée par rapport à des seuils définis ; et toute modification substantielle du modèle exige une revalidation.

Pour les modèles actuariels comportant des composantes d'IA, l'Institute and Faculty of Actuaries (IFoA) a publié des lignes directrices sur les responsabilités du Chief Actuary et de l'actuaire responsable concernant les modèles de tarification et de provisionnement assistés par IA. L'actuaire responsable ne peut pas déléguer à l'IA la responsabilité des résultats du modèle, il doit comprendre suffisamment bien la méthodologie et les limites du modèle pour assumer la responsabilité professionnelle de ses résultats.

L'ICO et le UK GDPR

Toutes les données personnelles traitées par l'IA en assurance, y compris les données de télématique, l'historique des sinistres, les informations de santé et les données comportementales utilisées dans la tarification, sont soumises au UK GDPR. Les données de catégorie spéciale (informations de santé, données génétiques utilisées dans la souscription d'assurance vie et santé) sont soumises aux obligations les plus strictes du UK GDPR et nécessitent un consentement explicite ou un autre fondement au titre de l'article 9(2). Les décisions de souscription automatisées ayant des effets juridiques ou des effets significatifs similaires sur les personnes concernées engagent les droits de l'article 22 à un réexamen humain et à une explication.

Pour aller plus loin : lignes directrices de l'ICO sur l'IA

Lectures complémentaires

Pour aller plus loin : lignes directrices de l'ICO sur l'IA