IA Act : ce qui s’applique vraiment à un cabinet de courtage

Mise à jour du 16 septembre 2026 — Le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel du 24 juillet 2026 et entré en vigueur le 27 juillet 2026, a reporté l’application des obligations relatives aux systèmes d’IA à haut risque : au 2 décembre 2027 pour les systèmes de l’annexe III — dont l’évaluation des risques et la tarification en assurance-vie et en assurance maladie — et au 2 août 2028 pour ceux de l’annexe I. Il a aussi remplacé l’article 4 sur la maîtrise de l’IA. Notre version du 3 septembre 2026 écrivait que l’annexe III suivait la date générale du 2 août 2026 et rangeait parmi les lectures fautives les synthèses « qui annoncent que l’assurance basculerait fin 2027 » : c’était déjà faux ce jour-là, trente-huit jours après l’entrée en vigueur du texte modificatif. Nous nous sommes trompés, nous ne l’effaçons pas, et tout ce qui suit est corrigé.

Applicable depuis le 2 août 2026 — sauf le haut risque, reporté au 2 décembre 2027

L’article 113 pose toujours la date générale : le règlement « est applicable à partir du 2 août 2026 ». Ce sont ses exceptions qui ont changé. Le règlement (UE) 2026/1744 a réécrit son troisième alinéa, qui compte désormais quatre points. Le a) maintient les chapitres I et II — dispositions générales et pratiques interdites — « à partir du 2 février 2025 », sauf de nouvelles dispositions de l’article 5 introduites par le texte modificatif, qui « s’appliquent à partir du 2 décembre 2026 » : nous n’en avons pas lu le contenu et ne le résumons donc pas. Le b) n’a pas été touché : le chapitre III section 4, les chapitres V, VII et XII et l’article 78 s’appliquent depuis le 2 août 2025, sanctions comprises, « à l’exception de l’article 101 ». Le c), lui, a été remplacé : « le chapitre III, sections 1, 2 et 3, à l’exception de l’article 6, paragraphe 5, s’applique à partir: i) du 2 décembre 2027 en ce qui concerne les systèmes d’IA classés comme étant à haut risque en vertu de l’article 6, paragraphe 2, et de l’annexe III; et ii) du 2 août 2028 en ce qui concerne les systèmes d’IA classés à haut risque en vertu de l’article 6, paragraphe 1, et de l’annexe I ». Et un point d) a été ajouté : « les articles 102 à 110 sont applicables à partir du 27 juillet 2026 ».

C’est précisément ce que notre version du 3 septembre 2026 n’avait pas vu. Elle écrivait que l’annexe III « suit donc la date générale : le 2 août 2026 », et rangeait parmi les lectures fautives « des synthèses professionnelles qui annoncent que l’assurance basculerait fin 2027 ». Ce raisonnement était juste sous le texte d’origine ; il ne l’était plus depuis le 27 juillet 2026, soit trente-huit jours avant que nous l’écrivions. Ces synthèses avaient raison, nous avions tort. Ce qui en reste vrai : les systèmes de l’assurance relèvent bien de l’article 6, paragraphe 2, qui dispose que « les systèmes d’IA visés à l’annexe III sont considérés comme étant à haut risque », et l’annexe III n’a pas été modifiée par le règlement de 2026. Ce qui a changé, c’est la date : le nouveau point c) de l’article 113 vise nommément les systèmes « classés comme étant à haut risque en vertu de l’article 6, paragraphe 2, et de l’annexe III » pour les renvoyer au 2 décembre 2027.

Le même texte règle le sort des systèmes déjà en service. Il remplace le paragraphe 2 de l’article 111 : le règlement « s’applique aux opérateurs de systèmes d’IA à haut risque […] qui ont été mis sur le marché ou mis en service avant la date d’application du chapitre III visée à l’article 113, uniquement si, à compter de cette date, ces systèmes subissent d’importantes modifications de leurs conceptions ». Savoir si le tarificateur déjà installé dans votre cabinet entre dans ce champ dépend de sa date de mise sur le marché et de ce qu’est une modification importante de conception : le texte ne le dit pas, et nous ne le tranchons pas à sa place.

Votre cabinet est un déployeur, pas un fournisseur

Le règlement distingue le fournisseur, qui conçoit et met un système sur le marché, du déployeur, défini à l’article 3 comme la personne « utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel ». Un cabinet qui se sert d’un logiciel doté d’IA, d’un tarificateur d’assureur ou d’un assistant de rédaction est déployeur.

La distinction n’est pas cosmétique : elle détermine qui doit quoi. Mais elle n’est pas définitive. L’article 25 prévoit qu’un déployeur devient fournisseur s’il commercialise le système sous son propre nom, s’il y apporte une modification substantielle, ou s’il en modifie la destination de telle manière que le système devient à haut risque. Un cabinet qui détournerait un assistant généraliste vers de la sélection médicale changerait de camp — et hériterait des obligations lourdes.

L’obligation que presque personne ne mentionne : la maîtrise de l’IA

L’article 4 a été remplacé par le règlement (UE) 2026/1744. Dans sa rédaction en vigueur depuis le 27 juillet 2026 : « Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés […] ». Le texte ajoute une phrase qui n’existait pas : « Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. » L’ancienne formule — prendre des mesures « pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA » —, que notre version du 3 septembre citait comme le droit en vigueur, ne figure plus dans le règlement.

Deux points méritent l’attention. L’article 4 appartient au chapitre I : il s’applique depuis le 2 février 2025, soit dix-neuf mois, et le report de décembre 2027 ne le concerne pas — le nouveau point a) de l’article 113 laisse les chapitres I et II au 2 février 2025. Et il ne se limite pas aux systèmes à haut risque : il vise l’usage de l’IA en général. Un cabinet dont les collaborateurs se servent d’un assistant de rédaction ou d’un classement automatique est concerné, même si aucun de ces usages n’est à haut risque.

La maîtrise de l’IA n’est pas la simple formation : le règlement la définit comme les compétences, les connaissances et la compréhension permettant un déploiement éclairé et une conscience des risques. Il ne fixe ni durée, ni programme, ni attestation, et demande des mesures proportionnées. Pour un cabinet, cela ressemble à ce qui se fait déjà pour les quinze heures annuelles de la directive sur la distribution d’assurances : savoir quels outils sont utilisés, par qui, ce qu’ils peuvent produire de faux, et à quel moment un humain doit trancher. Le texte de 2026 déplace une part de l’effort vers les institutions : « La Commission et les États membres soutiennent et facilitent les efforts déployés par les fournisseurs et les déployeurs de systèmes d’IA, en particulier les PME », et la Commission « publie des exemples pratiques sur la manière de respecter cette obligation sur la plateforme d’information unique visée à l’article 62, paragraphe 3, point b) ».

Le haut risque en assurance : un seul point, deux activités

Annexe III, point 5 c) : « systèmes d’IA destinés à être utilisés pour l’évaluation des risques et la tarification en ce qui concerne les personnes physiques en matière d’assurance-vie et d’assurance maladie ».

Le texte limite expressément aux branches vie et maladie : l’automobile et l’habitation n’y figurent pas. En revanche, il ne dit rien de la forme du contrat — lire cette exclusion comme couvrant les contrats collectifs serait une interprétation, pas une lecture. Ce qui compte, c’est que la tarification évalue des personnes physiques. En pratique, pour un courtier français, cela vise surtout les moteurs de sélection médicale : santé individuelle, prévoyance et assurance emprunteur.

Le point voisin, 5 b), vise l’évaluation de la solvabilité et la note de crédit des personnes physiques, hors détection de fraude. Il n’est pas propre à l’assurance mais il concerne les mêmes déployeurs, et le règlement les traite ensemble.

L’obligation la plus lourde, et la plus oubliée : l’analyse d’impact

C’est ici que la plupart des synthèses s’arrêtent, à tort. L’article 27 dispose qu’avant le déploiement d’un système à haut risque de l’article 6, paragraphe 2, les organismes publics et « les déployeurs de systèmes d’IA à haut risque visés à l’annexe III, points 5), b) et c), effectuent une analyse de l’impact sur les droits fondamentaux que l’utilisation de ce système peut produire ». Cet article figure à la section 3 du chapitre III : c’est donc l’une des obligations que le nouveau point c) de l’article 113 renvoie au 2 décembre 2027 pour les systèmes de l’annexe III. Elle n’a pas été supprimée : elle a une nouvelle date.

Autrement dit : le courtier qui met en service un outil de tarification santé ou emprunteur relevant du point 5 c) devra, avant la première utilisation, produire cette analyse — puis en notifier les résultats à l’autorité de surveillance du marché au moyen du modèle prévu par le règlement. L’obligation pèse sur vous et non sur le fournisseur — mais l’article 27, paragraphe 2, permet expressément au déployeur, « dans des cas similaires », de « s’appuyer sur des analyses d’impact sur les droits fondamentaux effectuées précédemment ou sur des analyses d’impact existantes réalisées par le fournisseur ». Pour un cabinet de trois personnes, c’est la différence entre une analyse à écrire de zéro et une analyse à reprendre : réclamez-la. Et si vous avez déjà réalisé une analyse d’impact relative à la protection des données au titre de l’article 35 du RGPD — fréquent en santé — le paragraphe 4, réécrit par le règlement (UE) 2026/1744, prévoit désormais que le déployeur peut, lorsqu’il procède à l’analyse d’impact sur les droits fondamentaux, « inclure des renvois aux sections pertinentes de cette analyse d’impact relative à la protection des données ou en intégrer les parties pertinentes dans l’analyse d’impact relative aux droits fondamentaux » ; notre version du 3 septembre citait l’ancienne rédaction, selon laquelle l’analyse de l’IA Act « complète » celle du RGPD. Un considérant du règlement de 2024 vise d’ailleurs explicitement « des entités bancaires ou d’assurance » à ce titre.

Le texte de 2026 retouche un outil qui existait déjà. Le paragraphe 5 de l’article 27, lui aussi remplacé, reprend le modèle de questionnaire que le règlement de 2024 confiait déjà au Bureau de l’IA (« Le Bureau de l’IA élabore un modèle de questionnaire, y compris au moyen d’un outil automatisé, afin d’aider les déployeurs à se conformer de manière simplifiée aux obligations qui leur incombent en vertu du présent article. ») et y ajoute une phrase : « Ce modèle donne, le cas échéant, aux déployeurs la possibilité d’inclure des renvois aux sections pertinentes de l’analyse d’impact relative à la protection des données ou d’inclure des parties pertinentes de celle-ci dans l’analyse d’impact relative aux droits fondamentaux, conformément au paragraphe 4. » Pour un cabinet de quelques personnes, la différence entre une page blanche et un questionnaire n’est pas mince — mais ce questionnaire est promis depuis 2024, pas depuis 2026. Nous n’avons pas cherché si ce modèle est déjà publié : nous n’affirmons donc rien sur sa disponibilité.

S’y ajoutent les obligations de déployeur de l’article 26 : utiliser le système conformément à sa notice, confier le contrôle humain à des personnes disposant des compétences, de la formation et de l’autorité nécessaires, veiller à ce que les données d’entrée soient pertinentes et suffisamment représentatives, surveiller le fonctionnement du système, conserver les journaux générés automatiquement pendant au moins six mois, informer les représentants des travailleurs et les travailleurs concernés avant une mise en service sur le lieu de travail, et — point souvent ignoré — informer les personnes physiques concernées qu’une décision les visant s’appuie sur un système d’IA à haut risque. Le règlement (UE) 2026/1744 n’a pas modifié cet article ; comme l’article 27, il appartient à la section 3 du chapitre III et suit donc la date du 2 décembre 2027 pour les systèmes de l’annexe III.

Et si le client demande des comptes ?

L’article 86 crée un droit à l’explication des décisions individuelles, et il vise le déployeur : toute personne faisant l’objet d’une décision prise par un déployeur sur la base des sorties d’un système à haut risque de l’annexe III, qui produit des effets juridiques ou l’affecte significativement de façon similaire « d’une manière qu’elle considère comme ayant des conséquences négatives sur sa santé, sa sécurité ou ses droits fondamentaux », « a le droit d’obtenir du déployeur des explications claires et pertinentes sur le rôle du système d’IA dans la procédure décisionnelle et sur les principaux éléments de la décision prise ».

C’est une obligation distincte de celle d’informer la personne qu’un système est utilisé. Un client refusé ou surtarifé en emprunteur peut demander au cabinet ce que l’outil a joué dans la décision — et le cabinet doit pouvoir répondre. L’article 86 n’a pas été modifié par le règlement (UE) 2026/1744, et le chapitre IX qui le porte n’est visé par aucun des reports de l’article 113 : il est applicable depuis le 2 août 2026. À noter, sans en tirer de conclusion : ce droit se déclenche sur une décision prise à partir des sorties d’un système à haut risque de l’annexe III, alors que les obligations qui pèsent sur ces systèmes ne s’appliqueront qu’à partir du 2 décembre 2027. Le texte ne dit pas comment les deux dates s’articulent ; nous le signalons comme une lecture à suivre, pas comme une règle. Une réserve, enfin : le paragraphe 3 précise que cet article « ne s’applique que dans la mesure où le droit visé au paragraphe 1 n’est pas prévu par ailleurs dans le droit de l’Union » — là où le règlement général sur la protection des données ouvre déjà un droit équivalent sur les décisions automatisées, c’est lui qui joue.

Peut-être une bonne nouvelle : l’alignement sur les services financiers

Un considérant du règlement indique que le même régime devrait s’appliquer aux intermédiaires d’assurance relevant de la directive (UE) 2016/97 qu’aux établissements financiers. Le dispositif, lui, ne vise que les établissements financiers soumis à des exigences de gouvernance prévues par la législation de l’Union sur les services financiers : que votre cabinet entre dans cette catégorie est une question de qualification que le règlement ne tranche pas. Si c’est le cas, l’allègement est réel. L’article 26 prévoit que le respect des règles de gouvernance interne prévues par la législation sur les services financiers vaut respect de l’obligation de surveillance, et que les journaux sont tenus dans le cadre de la documentation déjà conservée à ce titre. Et l’article 74 désigne, pour ces établissements, l’autorité nationale de surveillance financière comme autorité de surveillance du marché au titre de l’IA Act. Le règlement pose le principe sans nommer l’autorité : elle est déterminée par le droit de chaque État membre.

Ce qui n’est pas à haut risque au regard du point 5 c)

Au regard du seul point 5 c), les usages courants d’un cabinet n’y figurent pas : lecture et classement d’une pièce reçue, pré-remplissage d’un formulaire de tarification à partir d’un profil saisi une fois, préparation d’un brouillon de courrier ou de trame de conseil, rapprochement d’un bordereau de commissions, rédaction de contenus.

Mais le raisonnement « ce n’est pas dans la liste, donc ce n’est pas concerné » est trop court, et le règlement le dit lui-même. L’article 6, paragraphe 3, prévoit qu’un système visé à l’annexe III n’est pas à haut risque « lorsqu’il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques, y compris en n’ayant pas d’incidence significative sur le résultat de la prise de décision ». Cette dérogation ne joue que si l’une de quatre conditions est en outre remplie, dont l’exécution d’une tâche procédurale étroite ou d’une tâche préparatoire. Et le texte ajoute qu’un tel système « est toujours considéré comme étant à haut risque lorsqu’il effectue un profilage de personnes physiques ». Un pré-remplissage de tarification santé n’échappe donc au haut risque ni parce qu’il est absent de la liste, ni du seul fait qu’il est préparatoire : encore faut-il qu’il n’oriente pas significativement le résultat, et qu’il ne profile pas. Le paragraphe 4 ajoute que le fournisseur qui retient cette qualification doit documenter son évaluation.

Attention : l’annexe III vise aussi votre cabinet comme employeur

L’annexe III n’est pas organisée par secteur. Plusieurs points s’appliquent à n’importe quelle entreprise, cabinet de courtage compris :

• Point 4 a) : les systèmes destinés au recrutement ou à la sélection, « en particulier pour publier des offres d’emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats ». Un agent qui trie la boîte générale du cabinet et y rencontre des candidatures spontanées entre dans ce champ.
• Point 4 b) : les systèmes destinés à prendre des décisions influant sur les conditions des relations professionnelles, la promotion ou le licenciement, à attribuer des tâches sur la base de traits de personnalité, ou à suivre et évaluer les performances et le comportement des personnes au travail.
• Point 5 b) : l’évaluation de la solvabilité et la note de crédit des personnes physiques.
• Et une pratique purement interdite, article 5 : inférer les émotions d’une personne sur le lieu de travail, sauf raisons médicales ou de sécurité — ce qui vise l’analyse de sentiment sur les enregistrements d’appels.

Les sanctions vous concernent, avec un plafond adapté aux PME

Le régime est fixé par chaque État membre (article 99), avec l’exigence de sanctions effectives, proportionnées et dissuasives. Le règlement (UE) 2026/1744 a remplacé son paragraphe 1, qui dispose désormais : « Lorsqu’ils imposent des sanctions, les États membres tiennent compte des intérêts des PME, y compris les jeunes pousses, et des petites entreprises à moyenne capitalisation, ainsi que de leur viabilité économique. » La prise en compte des PME existait déjà ; les petites entreprises à moyenne capitalisation sont nouvelles. Il serait faux de croire que les amendes ne visent que des usages étrangers au courtage : l’article 99, paragraphe 4, nomme expressément les obligations des déployeurs au titre de l’article 26 et les obligations de transparence de l’article 50, à hauteur de 15 millions d’euros ou 3 % du chiffre d’affaires mondial. Pour une PME, le paragraphe 6 retient le plus faible des deux chiffres. Les 35 millions et 7 % que l’on voit circuler visent, eux, les pratiques interdites du chapitre II. Ces montants sont ceux du règlement de 2024 : le texte de 2026 modifie l’article 99 au-delà de son paragraphe 1, et nous n’avons lu que ce paragraphe.

Et le chat de votre site ?

L’article 50, paragraphe 1, impose que les systèmes destinés à interagir directement avec des personnes physiques soient conçus de manière qu’elles sachent qu’elles s’adressent à une IA, « sauf si cela ressort clairement du point de vue d’une personne physique normalement informée et raisonnablement attentive et avisée, compte tenu des circonstances et du contexte d’utilisation ».

Attention à qui porte cette obligation : elle s’adresse aux fournisseurs, pas aux déployeurs. Un cabinet qui installe sur son site un assistant conversationnel édité par un tiers n’en est pas directement débiteur — c’est à l’éditeur d’avoir conçu l’outil ainsi. Ce que le cabinet peut faire, et devrait faire, c’est l’exiger de son prestataire. Et se rappeler l’article 25 : faire développer un chat mis en service sous son propre nom ferait basculer le cabinet du côté fournisseur. Rien de tout cela n’a été reporté : les paragraphes 1 à 4 de l’article 50 n’ont pas été modifiés et s’appliquent depuis le 2 août 2026. Le texte de 2026 ajoute seulement une transition, à l’article 111, paragraphe 4 : « Les fournisseurs de systèmes d’IA, y compris les systèmes d’IA à usage général, qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte, qui ont été mis sur le marché avant le 2 août 2026 prennent les mesures nécessaires pour se conformer à l’article 50, paragraphe 2, d’ici au 2 décembre 2026. » Elle vise l’éditeur de l’outil, jamais le cabinet qui l’utilise.

Ce que ça change, concrètement, lundi matin

• Faites l’inventaire : quels outils dotés d’IA sont réellement utilisés dans le cabinet, par qui, pour quoi.
• Isolez ceux qui touchent à l’évaluation du risque ou à la tarification de personnes physiques en vie, santé, prévoyance ou emprunteur : ce sont eux qui déclencheront l’analyse d’impact de l’article 27, avant la mise en service. Elle sera exigible à partir du 2 décembre 2027 : de quoi la préparer, pas de quoi l’oublier.
• Regardez aussi le cabinet comme employeur : tri de candidatures, évaluation des collaborateurs, analyse d’appels. C’est là que se cachent les cas de l’annexe III qu’on n’attend pas — même date de bascule, le 2 décembre 2027 ; l’interdiction de l’article 5 sur l’inférence des émotions au travail, elle, s’applique depuis le 2 février 2025.
• Traitez la maîtrise de l’IA comme un sujet de formation, au même titre que les quinze heures annuelles : qui sait s’en servir, qui sait quand ne pas s’y fier. Rien n’a été reporté de ce côté-là — l’article 4 s’applique depuis le 2 février 2025, dans sa nouvelle rédaction depuis le 27 juillet 2026.
• Pour un outil de tarification fourni par un tiers, réclamez la notice d’utilisation : elle conditionne vos obligations de déployeur, et vous en aurez besoin pour votre analyse d’impact.
• Vérifiez auprès de l’éditeur de votre assistant conversationnel qu’il respecte l’article 50.

Aucun logiciel ne rend conforme à lui seul, pas plus pour l’IA Act que pour le devoir de conseil. Ce qu’un outil peut faire, c’est conserver la trace de qui a validé quoi et quand — les six mois de journaux de l’article 26 en sont l’illustration la plus directe — et laisser la décision à l’humain qui en répond.

Transparence : ACTUAL DATA est éditée par un cabinet de courtage et propose des agents qui classent des documents, préparent des devis, rédigent des brouillons et produisent des contenus. Ces usages font partie de ceux que cet article situe hors du point 5 c) de l’annexe III. Nous le signalons pour que vous lisiez cette analyse en connaissance de cause, et nous vous invitons à la confronter au texte, dont les références sont ci-dessous.

Sources : règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024, publié au Journal officiel de l’Union européenne du 12 juillet 2024 — articles 3, 4, 5, 6, 25, 26, 27, 50, 74, 86, 99 et 113, et annexe III, points 4 et 5, consultés le 3 septembre 2026. Règlement (UE) 2026/1744 du Parlement européen et du Conseil du 8 juillet 2026 « modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230 en ce qui concerne la simplification de la mise en œuvre des règles harmonisées concernant l’intelligence artificielle (train de mesures omnibus numérique sur l’IA) », Journal officiel série L du 24 juillet 2026, entré en vigueur le 27 juillet 2026 : lu sur EUR-Lex le 16 septembre 2026 — en-tête, considérants 1, 8, 38, 39 et 40, et les points du dispositif qui modifient les articles 4, 6, 27, 50, 99, 111 et 113 ainsi que les annexes I, VIII et XIV. Ce règlement modifie d’autres articles que ceux-là : ce que nous n’avons pas lu, nous ne l’affirmons pas. Commission européenne, « AI Omnibus enters into force », digital-strategy.ec.europa.eu, publié le 27 juillet 2026, dernière mise à jour le 31 juillet 2026, consulté le 16 septembre 2026 : « High-risk AI systems in Annex III: Rules apply starting 2 December 2027 ». Directive (UE) 2016/97 sur la distribution d’assurances pour les quinze heures de formation annuelle, et règlement (UE) 2016/679 (RGPD) pour l’analyse d’impact et les décisions automatisées. Cet article présente le texte applicable ; il ne constitue pas une consultation juridique sur votre situation.