Les opérateurs s'appuient sur des systèmes automatisés pour influencer les résultats des consommateurs, mais alors que les cadres de gouvernance de l'IA tendent à s'harmoniser, ceux qui ne disposent pas de contrôles intégrés à l'échelle de l'entreprise accumulent un retard réglementaire que les autorités de régulation s'apprêtent à sanctionner.
Évolution des capacités de l'IA : le perfectionnement des compétences est passé de la formulation de prompts conversationnels à l'ingénierie stratégique du contexte
Le secteur de l'assurance est devenu celui qui recourt le plus à l'intelligence artificielle aux États-Unis selon le critère le plus important : la fréquence des décisions automatisées qui concernent chaque consommateur.
Chaque processus de souscription, moteur de tarification, modèle d’acheminement des sinistres et système de détection des fraudes fonctionne à grande échelle, produisant des résultats qui déterminent si les consommateurs bénéficient d’une couverture, à quel prix et à quelles conditions. Or, les programmes de gestion des risques qui régissent ces décisions n’ont pas suivi le rythme, ce qui fait que les assureurs sont de plus en plus confrontés à des enjeux majeurs à l’échelle de l’entreprise, alors que les échéances réglementaires en matière de conformité à l’IA approchent à grands pas.
Jusqu’à récemment, la gouvernance de l’IA dans le secteur de l’assurance relevait d’un débat sur la gestion des risques entre les équipes chargées de la conformité et les services juridiques, mais ce n’est plus le cas aujourd’hui.
Trois cadres réglementaires distincts répondent désormais à la question de la gouvernance pour le compte des opérateurs, et la plupart d'entre eux ne sont prêts pour aucun d'entre eux.
Trois calendriers réglementaires régissent la mise en conformité en matière d'IA
Le compte à rebours de la première horloge a commencé.
La réglementation californienne relative aux technologies de prise de décision automatisée (ADMT), qui fait partie du cadre global de l'État en matière de protection de la vie privée, entreront en vigueur le 1er janvier 2027. En vertu de l'ADMT, les organisations, y compris les compagnies d'assurance, doivent garantir aux consommateurs un droit de refus, un examen humain approfondi et des évaluations des risques documentées pour tout système automatisé ayant une influence significative sur les décisions importantes des consommateurs.
Pour les assureurs, ces règles s'appliquent à l'ensemble des segments des branches d'assurance des particuliers et des entreprises. Elles s'appliquent également aux moteurs de règles et aux modèles de notation, et pas uniquement aux systèmes d'apprentissage automatique. Il est important de noter qu'elles s'accompagnent d'obligations d'application assorties de véritables sanctions réglementaires. L’Agence californienne de protection de la vie privée (CalPrivacy), qui détient le pouvoir de contrôle, peut infliger des amendes pouvant aller jusqu’à $7 500 par infraction, calculées par consommateur. CalPrivacy a déjà démontré qu’elle préférait infliger des sanctions plutôt que de se contenter d’avertissements, comme en témoigne le nombre croissant de mesures coercitives prises, dont les montants vont de plusieurs centaines de milliers à plusieurs dizaines de millions de dollars.
La deuxième horloge sonne plus tôt. Bulletin de l'Association nationale des commissaires d'assurance consacré aux modèles d'IA, maintenant adoptée par 25 États, impose aux transporteurs de mettre en place un programme écrit de gouvernance de l'IA couvrant le développement, l'acquisition, les essais, le suivi et la supervision des systèmes d'IA. Le premier cycle de contrôles sur le terrain débutera au quatrième trimestre, avant même que l'application de l'ADMT ne commence.
La troisième sonnerie a déjà retenti. La circulaire n° 7 du Département des services financiers de New York (NYDFS), publiée en 2024, impose aux opérateurs exerçant leurs activités à New York de disposer d'un programme écrit de gouvernance en matière d'IA, dont la responsabilité incombe au conseil d'administration. Les opérateurs exerçant leurs activités à New York sans disposer d'un tel programme se trouvent d'ores et déjà en situation de non-conformité.
Ces programmes de conformité partagent des exigences communes en matière d'infrastructure : une trace documentée des décisions automatisées, une mise en correspondance des modèles et de la norme data, des mécanismes de protection des droits des consommateurs, des éléments probants relatifs à l'évaluation des risques, des programmes de surveillance des fournisseurs et des politiques de gouvernance écrites. Les opérateurs qui considèrent chaque cadre réglementaire comme une obligation de conformité isolée génèrent des coûts redondants dans leurs opérations et créent des lacunes structurelles dans leur gouvernance, ce qui augmente fortement le risque de devoir procéder à des remaniements coûteux à mesure que de nouveaux États rejoignent le mouvement.
Le champ d'application est plus large que ce que la plupart des opérateurs ont défini
L'idée fausse la plus dangereuse en matière de gouvernance de l'IA dans le secteur de l'assurance est de croire que ces cadres s'appliquent uniquement à l'IA et à l'apprentissage automatique. Ce n'est pas le cas.
Tout système automatisé qui influence de manière significative une décision importante prise par un consommateur relève de l'ADMT. Cela inclurait, par exemple, un moteur de règles développé il y a 15 ans s’il influe sur la tarification, les conditions d’éligibilité ou les décisions en matière de couverture. Sont également inclus les modèles d’évaluation des risques de fraude et les processus de traitement des demandes d’indemnisation, ainsi qu’une multitude de prises de décision essentielles à l’échelle de l’entreprise. Ce qui importe, ce n’est pas la technologie en soi, mais le fait que la décision ait ou non un impact significatif sur la vie des consommateurs.
Le cadre de la NAIC étend encore cette exigence, en couvrant non seulement les systèmes, mais aussi les fournisseurs et les relations data qui les sous-tendent. Le NYDFS va encore plus loin : les assureurs doivent réguler à la fois leurs modèles internes et les data externes utilisés pour alimenter ces modèles. Pour les assureurs IARD proposant des programmes d’assurance basés sur l’utilisation, s’appuyant sur la télématique et des données comportementales data provenant de tiers, cela revêt une importance considérable. Le cadre s’applique à la chaîne d’approvisionnement data, et pas seulement au système de décision.
Les assureurs qui ont mené ce travail à bien constatent systématiquement davantage de risques en matière de conformité qu’ils ne l’avaient prévu : des moteurs de règles hérités, antérieurs à tout programme officiel d’IA, des modèles tiers intégrés dans les plateformes centrales, ainsi que des flux de travail qui orientent les décisions concernant les clients depuis des années sans avoir jamais été officiellement classés comme des systèmes décisionnels.
La plupart d'entre vous n'ont pas fait cet exercice, et c'est justement ce que les examinateurs viennent vérifier.
La tendance en matière de législation régionale ne montre aucun signe de ralentissement
La loi SB 21-169 du Colorado, en vigueur depuis 2023, impose aux assureurs vie de documenter les mesures de protection en matière d'équité algorithmique et de déposer des attestations annuelles auprès du commissaire d'État aux assurances. À l'époque, le secteur de l'assurance considérait qu'il s'agissait d'une obligation spécifique au Colorado. Ce n'était pas le cas. C'était une tendance générale.
Le cadre ADMT de la Californie a étendu cette même logique aux décisions automatisées dans tous les secteurs de l'assurance, en couvrant les droits des consommateurs, l'explicabilité et la responsabilité. L'État de New York applique des exigences comparables depuis début 2024. L'Illinois, le Maryland et le Connecticut mettent actuellement en place des cadres analogues. Le bulletin de la NAIC a été diffusé dans 25 États et continue de s'étendre.
L'idée fausse la plus dangereuse dans gouvernance de l'IA dans le secteur de l'assurance C'est que ces cadres ne concernent que l'IA et l'apprentissage automatique. Les opérateurs qui ont considéré chaque évolution comme un événement isolé ont mis en place des programmes ponctuels, État par État. Ceux qui ont su identifier cette tendance élaborent quant à eux des programmes intégrés, conçus pour s'adapter aux nouvelles exigences à mesure que d'autres États adoptent ces mesures, sans avoir à tout refaire à chaque fois. La différence ne réside pas seulement dans le coût, mais aussi dans la rapidité concurrentielle. Lorsqu’un nouvel État prend des mesures, un opérateur n’a qu’à effectuer quelques ajustements, tandis que les autres doivent repartir de zéro.
La différence ne réside pas seulement dans le coût, mais aussi dans la rapidité de traitement.
Ce que signifie « prêt au déploiement »
L'objectif de la gouvernance de l'IA dans le secteur de l'assurance ne réside pas dans la conformité pour elle-même. Il s'agit de pouvoir déployer à grande échelle des capacités de prise de décision automatisée, avec la certitude que ces capacités peuvent être expliquées, justifiées et ajustées lorsque les autorités de régulation, les consommateurs ou la conjoncture économique l'exigent. Les assureurs qui mettent en place cette infrastructure dès aujourd’hui ne se contentent pas de gérer leur exposition réglementaire. Ils jettent les bases opérationnelles d’un avantage concurrentiel sur un marché où l’IA occupe une place prépondérante.
Voici ce dont cette infrastructure a besoin :
- Un registre documenté de chaque décision automatisée classés selon les critères de champ d'application de l'ADMT, de la NAIC et du NYDFS. Il ne s'agit pas uniquement des systèmes d'IA, mais également des moteurs de règles, des modèles de notation et des outils de profilage.
- Une présentation complète du processus data qui a conduit à ces décisions, y compris des sources externes et les contributions de fournisseurs tiers.
- Des informations destinées aux consommateurs et des procédures de désinscription qui fonctionnent concrètement, non pas en tant que déclarations d'orientation, mais en tant que mécanismes qui influencent les résultats des décisions.
- Processus de vérification humaine dans lesquels les vérificateurs disposent d'un véritable pouvoir de décision et de consigner leur raisonnement de manière à ce que les autorités de régulation puissent y avoir accès.
- Évaluations formelles des risques pour chaque système de prise de décision importante : des preuves documentées attestant que l'opérateur a évalué, compris et maîtrise les risques liés à ses systèmes automatisés.
Il ne s'agit en rien d'une théorie nouvelle en matière de gouvernance. Les autorités de régulation de nombreuses juridictions l'ont déjà inscrite dans la loi. Les assureurs seront évalués à l'aune de ces principes lorsque les inspecteurs se présenteront.
Le délai pour la construction touche à sa fin
Le cycle d'examens de la NAIC débute cet automne.
L'application de la loi ADMT prendra effet le 1er janvier. Ces deux éléments ne sont pas loin d’être une réalité et nécessitent une coordination interfonctionnelle entre les services data, technique, juridique, de souscription et de gestion des sinistres. Les assureurs qui aborderont le second semestre 2026 sans programme AIS écrit, sans évaluation de l’état de préparation à l’ADMT et sans cadre de gouvernance de l’IA conforme aux exigences du NYDFS ne se préparent pas à un contrôle : ils se trouvent déjà en pleine procédure de contrôle.
La bonne nouvelle, c'est que l'infrastructure requise pour ces trois cadres présente des éléments communs. Un programme intégré, développé une seule fois et conçu pour répondre simultanément aux exigences de l’ADMT, de la NAIC et du NYDFS, est moins coûteux et permet d’instaurer une gouvernance plus solide qu’un ensemble de trois axes de travail parallèles en matière de conformité. Les assureurs qui le mettent en place dès maintenant bénéficieront d’avantages structurels en termes de préparation aux contrôles, de rapidité de déploiement et de gestion des relations avec les autorités de régulation, que leurs concurrents, qui s’y mettront plus tard, ne pourront pas reproduire rapidement.
Les transporteurs qui attendent un moment plus propice pour se lancer se trompent dans leur calendrier.
Les décisions automatisées sont en cours d'exécution. Les cadres réglementaires sont en vigueur. Chaque mois passé sans programme de gouvernance de l'IA constitue une dette réglementaire, et le calendrier de recouvrement est fixé.
