Chaque obligation réglementaire, justifiées à partir de vos dossiers.
Chaque règle que votre autorité de contrôle applique à l'IA en assurance est reliée aux dossiers scellés qui y répondent. Un auditeur peut remonter le fil depuis l'article jusqu'à la décision, aux pièces sur lesquelles elle s'appuie et à la personne qui l'a signée.
Certaines règles s'appliquent déjà. Les suivantes ont une échéance.
Le règlement DORA s'applique déjà aux assureurs. Les règles révisées de Solvabilité II et les règles du Règlement sur l'IA relatives aux systèmes à haut risque suivent. La preuve exigée par chacun de ces textes est la même : qui a décidé, sur quelle base et selon quelle règle.
avant l'entrée en application des règles du règlement européen sur l'IA (AI Act) relatives aux systèmes d'IA à haut risque pour l'évaluation des risques et la tarification en assurance vie et santé, le 2 décembre 2027.
Le règlement DORA s'applique déjà aux assureurs aujourd'hui, et Solvabilité II ainsi que la DDA exigent la même chose : des preuves. HONESTAS conserve ces preuves dès le premier sinistre.
Choisissez une date sur la frise. Le compteur affiche le temps restant avant l'entrée en application d'une règle, puis le nombre de jours écoulés depuis celle-ci.
Dates d'application du Règlement sur l'IA telles que modifiées par le règlement (UE) 2026/1744, dit « Digital Omnibus », publié au Journal officiel le 24 juillet 2026. Révision de Solvabilité II : directive (UE) 2025/2, applicable à compter du 30 janvier 2027. Ceci ne constitue pas un conseil juridique.
Ce qu'exige chaque règle, et le dossier qui y répond.
Un même dossier scellé peut répondre simultanément à plusieurs exigences réglementaires. Ci-dessous, chaque obligation est présentée en termes simples, suivie des éléments qu'HONESTAS conserve pour y répondre.
Règlement sur l'IA de l'UE · Règlement (UE) 2024/1689
- Gestion des risquesArticle 9Un système de gestion des risques pour chaque système d'IA à haut risque, mis en œuvre et réexaminé pendant toute la durée d'utilisation du système.Preuve apportéeExécutions de validation, conclusions du modèle challenger et alertes de dérive, chacune conservée avec la version du modèle testée.
- EnregistrementArticle 12Les systèmes d'IA à haut risque doivent enregistrer automatiquement les événements tout au long de leur cycle de vie, afin que leur fonctionnement puisse être tracé.Preuve apportéeLe dossier de décision scellé : données d'entrée, versions des règles et des modèles, chaque argument, la signature et un horodatage externe.
- Transparence à l'égard des déployeursArticle 13Les personnes qui utilisent le système doivent être en mesure d'en comprendre les résultats et de l'utiliser correctement.Preuve apportéeChaque réponse de l'IA indique les éléments pris en compte et ceux qui ont été écartés. Chaque bouton d'IA affiche le modèle et la version qu'il exécute.
- Contrôle humainArticle 14Des personnes physiques doivent pouvoir contrôler le système, en comprendre les limites, décider de ne pas utiliser ses résultats et l'arrêter.Preuve apportéeUn président de séance désigné dans chaque salle de décision, un rôle de contradicteur, un second modèle pouvant bloquer la décision et un signataire identifié.
- Obligations des déployeursArticle 26Confier le contrôle humain à des personnes disposant des compétences, de la formation et de l'autorité nécessaires, assurer le suivi du système, conserver ses journaux pendant au moins six mois et informer les personnes concernées.Preuve apportéeDes signataires dont les pouvoirs sont vérifiés avant signature, des journaux conservés dans le référentiel pendant la durée que vous fixez et des courriers mentionnant l'assistance de l'IA.
- Tarification en assurance vie et santéAnnexe III, point 5 c)L'IA utilisée pour l'évaluation des risques et la tarification concernant les personnes physiques en matière d'assurance vie et d'assurance maladie est classée à haut risque. Les règles correspondantes s'appliquent à compter du 2 décembre 2027.Preuve apportéeChaque décision de souscription et de tarification en vie et santé est orientée vers une salle de décision et scellée, dès le premier devis.
Contrôle prudentiel de l'assurance
- Solvabilité II · système de gouvernanceDirective 2009/138/CE · Articles 41 à 49Des responsabilités claires, une gestion des risques, un contrôle interne et des politiques écrites, les fonctions sous-traitées restant sous la maîtrise de l'assureur.Preuve apportéeDes limites de pouvoirs gérées sous forme d'actes versionnés, un double regard sur chacune de leurs modifications et l'historique des pouvoirs détenus par chacun au jour le jour.
- Solvabilité II · validation des modèlesDirective 2009/138/CE · Article 124Un cycle régulier de validation des modèles internes, vérifiant les résultats et les principales hypothèses.Preuve apportéeDes campagnes de validation reproductibles à l'identique, scellées avec les versions des données, du code et des modèles utilisées.
- Directive sur la distribution d'assurances (DDA)Directive (UE) 2016/97 · Articles 17, 20, 25Agir de manière honnête, impartiale et professionnelle au mieux des intérêts du client, répondre à ses exigences et à ses besoins, et assurer la gouvernance de chaque produit pour son marché cible.Preuve apportéeChaque devis conserve les documents présentés au client avant le paiement. Chaque produit conserve l'ensemble des versions approuvées de ses conditions contractuelles.
- Avis de l’EIOPA sur l’IAGouvernance et gestion des risques liés à l'IA · 6 août 2025Comment Solvabilité II et la DDA s'appliquent aux systèmes d'IA qui ne sont pas à haut risque : gouvernance, données, conservation des documents, équité, explicabilité, contrôle humain et cybersécurité.Preuve apportéeLe même dossier scellé pour chaque décision impliquant l'IA, qu'elle soit à haut risque ou non.
- DORARèglement (UE) 2022/2554 · depuis le 17 janvier 2025Gérer le risque lié aux TIC, notifier les incidents majeurs, tenir un registre des prestataires tiers de services TIC et disposer de plans de sortie pour ceux qui soutiennent des fonctions critiques ou importantes.Preuve apportéeNos informations pour votre registre, la chronologie des incidents depuis la première alerte et un export complet dans un format ouvert.
- Lloyd'sPrincipe 4, gestion des sinistres · validation MS14Un règlement des sinistres rapide et équitable avec une surveillance effective des sinistres en gestion déléguée, et des modèles internes validés de manière indépendante au moins une fois par an.Preuve apportéeDes décisions d'indemnisation scellées que le managing agent peut examiner, des décisions des coverholders et des TPA accessibles au porteur de risques, ainsi que des campagnes de validation rejouables.
Les assurés et leurs données
- RGPD · décisions individuelles automatiséesRèglement (EU) 2016/679 · Articles 22 et 15(1)(h)Chacun a le droit de ne pas faire l’objet d’une décision prise uniquement par une machine qui l’affecte de manière significative, et peut demander des informations utiles sur la logique sous-jacente. Dans l’affaire C-203/22, le 27 février 2025, la Cour de justice a jugé que cela implique d’expliquer la procédure et les principes effectivement appliqués.Preuve apportéeAucun refus n’est prononcé par un modèle seul. Une personne nommée signe, et le dossier indique en termes clairs quelles données ont été utilisées et comment.
- Central Bank of IrelandConsumer Protection Code · S.I. 80 et 81 de 2025Depuis le 24 mars 2026 : agir au mieux des intérêts des clients, fournir des informations claires en langage simple, rendre les canaux numériques faciles à utiliser et accompagner les clients en situation de vulnérabilité.Preuve apportéeChaque courrier client est vérifié pour sa clarté et son niveau de lecture avant envoi, avec une trace de ce qui a été dit à chaque client.
- FCA Consumer DutyPrincipe 12 · PRIN 2A · depuis le 31 juillet 2023Assurer de bons résultats pour les clients particuliers : produits et services, prix et valeur, compréhension du client et assistance au client.Preuve apportéeUn motif scellé derrière chaque décision de tarification et de sinistre, les termes exacts vus par le client et l’assistance reçue lors de chaque appel.
La certification reste entre vous et votre auditeur. HONESTAS conserve les preuves ; il ne vous certifie pas. Ceci n’est pas un conseil juridique.
Une autorité de contrôle interroge une décision. Vous répondez en quatre étapes.
La règle, la décision et la preuve sont liées au moment où la décision est prise, et non reconstituées lorsqu’on pose la question.
La règle
Chaque règle à laquelle vous répondez est conservée sous forme d’élément versionné, avec sa date d’application et les politiques internes qui la mettent en œuvre.
La décision
Chaque décision scellée mentionne les règles, les libellés contractuels, les barèmes de tarification et les pouvoirs de souscription ou de règlement sous lesquels elle a été prise, dans leur version en vigueur.
Les pièces
L’enregistrement contient chaque donnée d’entrée, sa source et son ancienneté, et indique clairement ce qui manquait au moment de la décision.
L’accès en lecture
Votre auditeur ou votre autorité de contrôle dispose d’un accès en lecture exactement sur ces dossiers, ou d’un Passeport de Décision vérifiable sans compte.
À propos des règles.
HONESTAS nous rend-il conformes ?
Aucun produit ne le peut. HONESTAS conserve les preuves exigées par chaque règle, à mesure que les décisions sont prises, afin que votre équipe conformité, votre auditeur et votre autorité de contrôle puissent se forger leur propre opinion. La certification reste entre vous et votre auditeur.
Lesquels de nos cas d’usage sont à haut risque selon le règlement sur l’IA ?
L’annexe III, point 5(c), couvre l’IA utilisée pour l’évaluation des risques et la tarification des personnes physiques en assurance vie et santé. Les autres usages, comme les sinistres auto ou la souscription en risques d’entreprise, relèvent de l’avis de l’EIOPA et de vos obligations existantes sous Solvabilité II et la DDA. HONESTAS conserve le même enregistrement pour les deux : un changement de classification ne modifie donc pas vos preuves.
Qu’a changé l’Omnibus numérique ?
Le règlement (EU) 2026/1744 a reporté la date d’application des règles du règlement sur l’IA relatives aux systèmes à haut risque de l’annexe III du 2 août 2026 au 2 décembre 2027. Il n’a pas supprimé les obligations liées à ces usages. Les enregistrements conservés dès aujourd’hui couvriront déjà la période sur laquelle portera le contrôle d’un superviseur.
Les règles du Royaume-Uni et du Lloyd's s’appliquent-elles aussi ?
Si vous souscrivez des risques au Royaume-Uni, le Consumer Duty de la FCA s’applique aux clients particuliers, et le Lloyd's fixe ses propres principes pour les agents de gestion (managing agents). HONESTAS conserve un enregistrement unique et le rattache à chaque régime auquel vous répondez.
Combien de temps les dossiers sont-ils conservés ?
Aussi longtemps que vous le définissez, par type d’enregistrement. Le règlement sur l’IA demande aux déployeurs de conserver les journaux pendant au moins six mois ; les dossiers de sinistres et de souscription sont généralement conservés bien plus longtemps. Une mesure de conservation légale bloque toute suppression jusqu’à sa levée, avec une trace des deux opérations.
Cette page constitue-t-elle un conseil juridique ?
Non. Il s’agit de notre lecture directe des textes, accompagnée des références pour que vos propres conseils puissent les vérifier.
Aller plus loin
Apportez la règle qui vous préoccupe le plus.
Dites-nous sur quel article votre autorité de contrôle vous a interrogé la dernière fois. Nous vous montrerons les enregistrements qui y répondent.