IA Act : ce qui s’applique vraiment à un cabinet de courtage

Applicable depuis le 2 août 2026, pas dans deux ans

L’article 113 est explicite : le règlement « est applicable à partir du 2 août 2026 ». Il prévoit trois exceptions. Les chapitres I et II — dispositions générales et pratiques interdites — s’appliquent depuis le 2 février 2025. Le chapitre III section 4, les chapitres V, VII et XII et l’article 78 s’appliquent depuis le 2 août 2025 ; le chapitre XII, ce sont les sanctions, qui sont donc en vigueur depuis plus d’un an. Enfin l’article 6, paragraphe 1, et les obligations correspondantes attendent le 2 août 2027.

Cette dernière exception est souvent mal lue, y compris dans des synthèses professionnelles qui annoncent que l’assurance basculerait fin 2027. L’article 6, paragraphe 1, vise les systèmes d’IA qui sont composants de sécurité d’un produit déjà réglementé, ou qui constituent eux-mêmes un tel produit. Les systèmes de l’assurance relèvent du paragraphe 2, qui dispose que « les systèmes d’IA visés à l’annexe III sont considérés comme étant à haut risque » — et l’annexe III s’intitule littéralement « Systèmes d’IA à haut risque visés à l’article 6, paragraphe 2 ». Elle suit donc la date générale : le 2 août 2026.

Votre cabinet est un déployeur, pas un fournisseur

Le règlement distingue le fournisseur, qui conçoit et met un système sur le marché, du déployeur, défini à l’article 3 comme la personne « utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel ». Un cabinet qui se sert d’un logiciel doté d’IA, d’un tarificateur d’assureur ou d’un assistant de rédaction est déployeur.

La distinction n’est pas cosmétique : elle détermine qui doit quoi. Mais elle n’est pas définitive. L’article 25 prévoit qu’un déployeur devient fournisseur s’il commercialise le système sous son propre nom, s’il y apporte une modification substantielle, ou s’il en modifie la destination de telle manière que le système devient à haut risque. Un cabinet qui détournerait un assistant généraliste vers de la sélection médicale changerait de camp — et hériterait des obligations lourdes.

L’obligation que presque personne ne mentionne : la maîtrise de l’IA

L’article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures « pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA » pour leur personnel et pour les personnes qui utilisent ces systèmes pour leur compte, en tenant compte de leurs connaissances techniques, de leur expérience, de leur formation et du contexte d’utilisation.

Deux points méritent l’attention. L’article 4 est le dernier article du chapitre I : il s’applique donc depuis le 2 février 2025, soit dix-neuf mois. Et il ne se limite pas aux systèmes à haut risque — il vise l’usage de l’IA en général. Un cabinet dont les collaborateurs se servent d’un assistant de rédaction ou d’un classement automatique est concerné, même si aucun de ces usages n’est à haut risque.

La maîtrise de l’IA n’est pas la simple formation : le règlement la définit comme les compétences, les connaissances et la compréhension permettant un déploiement éclairé et une conscience des risques. Il ne fixe ni durée, ni programme, ni attestation, et demande des mesures proportionnées. Pour un cabinet, cela ressemble à ce qui se fait déjà pour les quinze heures annuelles de la directive sur la distribution d’assurances : savoir quels outils sont utilisés, par qui, ce qu’ils peuvent produire de faux, et à quel moment un humain doit trancher.

Le haut risque en assurance : un seul point, deux activités

Annexe III, point 5 c) : « systèmes d’IA destinés à être utilisés pour l’évaluation des risques et la tarification en ce qui concerne les personnes physiques en matière d’assurance-vie et d’assurance maladie ».

Le texte limite expressément aux branches vie et maladie : l’automobile et l’habitation n’y figurent pas. En revanche, il ne dit rien de la forme du contrat — lire cette exclusion comme couvrant les contrats collectifs serait une interprétation, pas une lecture. Ce qui compte, c’est que la tarification évalue des personnes physiques. En pratique, pour un courtier français, cela vise surtout les moteurs de sélection médicale : santé individuelle, prévoyance et assurance emprunteur.

Le point voisin, 5 b), vise l’évaluation de la solvabilité et la note de crédit des personnes physiques, hors détection de fraude. Il n’est pas propre à l’assurance mais il concerne les mêmes déployeurs, et le règlement les traite ensemble.

L’obligation la plus lourde, et la plus oubliée : l’analyse d’impact

C’est ici que la plupart des synthèses s’arrêtent, à tort. L’article 27 dispose qu’avant le déploiement d’un système à haut risque de l’article 6, paragraphe 2, les organismes publics et « les déployeurs de systèmes d’IA à haut risque visés à l’annexe III, points 5), b) et c), effectuent une analyse de l’impact sur les droits fondamentaux que l’utilisation de ce système peut produire ».

Autrement dit : le courtier qui met en service un outil de tarification santé ou emprunteur relevant du point 5 c) doit, avant la première utilisation, produire cette analyse — puis en notifier les résultats à l’autorité de surveillance du marché au moyen du modèle prévu par le règlement. L’obligation pèse sur vous et non sur le fournisseur — mais l’article 27, paragraphe 2, permet expressément au déployeur, « dans des cas similaires », de « s’appuyer sur des analyses d’impact sur les droits fondamentaux effectuées précédemment ou sur des analyses d’impact existantes réalisées par le fournisseur ». Pour un cabinet de trois personnes, c’est la différence entre une analyse à écrire de zéro et une analyse à reprendre : réclamez-la. Et si vous avez déjà réalisé une analyse d’impact relative à la protection des données au titre de l’article 35 du RGPD — fréquent en santé — le paragraphe 4 prévoit que l’analyse de l’IA Act la « complète » au lieu de la refaire. Un considérant du règlement vise d’ailleurs explicitement « des entités bancaires ou d’assurance » à ce titre.

S’y ajoutent les obligations de déployeur de l’article 26 : utiliser le système conformément à sa notice, confier le contrôle humain à des personnes disposant des compétences, de la formation et de l’autorité nécessaires, veiller à ce que les données d’entrée soient pertinentes et suffisamment représentatives, surveiller le fonctionnement du système, conserver les journaux générés automatiquement pendant au moins six mois, informer les représentants des travailleurs et les travailleurs concernés avant une mise en service sur le lieu de travail, et — point souvent ignoré — informer les personnes physiques concernées qu’une décision les visant s’appuie sur un système d’IA à haut risque.

Et si le client demande des comptes ?

L’article 86 crée un droit à l’explication des décisions individuelles, et il vise le déployeur : toute personne faisant l’objet d’une décision prise par un déployeur sur la base des sorties d’un système à haut risque de l’annexe III, qui produit des effets juridiques ou l’affecte significativement de façon similaire « d’une manière qu’elle considère comme ayant des conséquences négatives sur sa santé, sa sécurité ou ses droits fondamentaux », « a le droit d’obtenir du déployeur des explications claires et pertinentes sur le rôle du système d’IA dans la procédure décisionnelle et sur les principaux éléments de la décision prise ».

C’est une obligation distincte de celle d’informer la personne qu’un système est utilisé. Un client refusé ou surtarifé en emprunteur peut demander au cabinet ce que l’outil a joué dans la décision — et le cabinet doit pouvoir répondre. Le chapitre IX, qui porte cet article, n’est pas visé par les reports de l’article 113 : il est applicable depuis le 2 août 2026. Une réserve toutefois : le paragraphe 3 précise que cet article « ne s’applique que dans la mesure où le droit visé au paragraphe 1 n’est pas prévu par ailleurs dans le droit de l’Union » — là où le règlement général sur la protection des données ouvre déjà un droit équivalent sur les décisions automatisées, c’est lui qui joue.

Peut-être une bonne nouvelle : l’alignement sur les services financiers

Un considérant du règlement indique que le même régime devrait s’appliquer aux intermédiaires d’assurance relevant de la directive (UE) 2016/97 qu’aux établissements financiers. Le dispositif, lui, ne vise que les établissements financiers soumis à des exigences de gouvernance prévues par la législation de l’Union sur les services financiers : que votre cabinet entre dans cette catégorie est une question de qualification que le règlement ne tranche pas. Si c’est le cas, l’allègement est réel. L’article 26 prévoit que le respect des règles de gouvernance interne prévues par la législation sur les services financiers vaut respect de l’obligation de surveillance, et que les journaux sont tenus dans le cadre de la documentation déjà conservée à ce titre. Et l’article 74 désigne, pour ces établissements, l’autorité nationale de surveillance financière comme autorité de surveillance du marché au titre de l’IA Act. Le règlement pose le principe sans nommer l’autorité : elle est déterminée par le droit de chaque État membre.

Ce qui n’est pas à haut risque au regard du point 5 c)

Au regard du seul point 5 c), les usages courants d’un cabinet n’y figurent pas : lecture et classement d’une pièce reçue, pré-remplissage d’un formulaire de tarification à partir d’un profil saisi une fois, préparation d’un brouillon de courrier ou de trame de conseil, rapprochement d’un bordereau de commissions, rédaction de contenus.

Mais le raisonnement « ce n’est pas dans la liste, donc ce n’est pas concerné » est trop court, et le règlement le dit lui-même. L’article 6, paragraphe 3, prévoit qu’un système visé à l’annexe III n’est pas à haut risque « lorsqu’il ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques, y compris en n’ayant pas d’incidence significative sur le résultat de la prise de décision ». Cette dérogation ne joue que si l’une de quatre conditions est en outre remplie, dont l’exécution d’une tâche procédurale étroite ou d’une tâche préparatoire. Et le texte ajoute qu’un tel système « est toujours considéré comme étant à haut risque lorsqu’il effectue un profilage de personnes physiques ». Un pré-remplissage de tarification santé n’échappe donc au haut risque ni parce qu’il est absent de la liste, ni du seul fait qu’il est préparatoire : encore faut-il qu’il n’oriente pas significativement le résultat, et qu’il ne profile pas. Le paragraphe 4 ajoute que le fournisseur qui retient cette qualification doit documenter son évaluation.

Attention : l’annexe III vise aussi votre cabinet comme employeur

L’annexe III n’est pas organisée par secteur. Plusieurs points s’appliquent à n’importe quelle entreprise, cabinet de courtage compris :

• Point 4 a) : les systèmes destinés au recrutement ou à la sélection, « en particulier pour publier des offres d’emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats ». Un agent qui trie la boîte générale du cabinet et y rencontre des candidatures spontanées entre dans ce champ.
• Point 4 b) : les systèmes destinés à prendre des décisions influant sur les conditions des relations professionnelles, la promotion ou le licenciement, à attribuer des tâches sur la base de traits de personnalité, ou à suivre et évaluer les performances et le comportement des personnes au travail.
• Point 5 b) : l’évaluation de la solvabilité et la note de crédit des personnes physiques.
• Et une pratique purement interdite, article 5 : inférer les émotions d’une personne sur le lieu de travail, sauf raisons médicales ou de sécurité — ce qui vise l’analyse de sentiment sur les enregistrements d’appels.

Les sanctions vous concernent, avec un plafond adapté aux PME

Le régime est fixé par chaque État membre (article 99), avec l’exigence de sanctions effectives, proportionnées et dissuasives qui « tiennent compte des intérêts des PME, y compris les jeunes pousses, et de leur viabilité économique ». Il serait faux de croire que les amendes ne visent que des usages étrangers au courtage : l’article 99, paragraphe 4, nomme expressément les obligations des déployeurs au titre de l’article 26 et les obligations de transparence de l’article 50, à hauteur de 15 millions d’euros ou 3 % du chiffre d’affaires mondial. Pour une PME, le paragraphe 6 retient le plus faible des deux chiffres. Les 35 millions et 7 % que l’on voit circuler visent, eux, les pratiques interdites du chapitre II.

Et le chat de votre site ?

L’article 50, paragraphe 1, impose que les systèmes destinés à interagir directement avec des personnes physiques soient conçus de manière qu’elles sachent qu’elles s’adressent à une IA, « sauf si cela ressort clairement du point de vue d’une personne physique normalement informée et raisonnablement attentive et avisée, compte tenu des circonstances et du contexte d’utilisation ».

Attention à qui porte cette obligation : elle s’adresse aux fournisseurs, pas aux déployeurs. Un cabinet qui installe sur son site un assistant conversationnel édité par un tiers n’en est pas directement débiteur — c’est à l’éditeur d’avoir conçu l’outil ainsi. Ce que le cabinet peut faire, et devrait faire, c’est l’exiger de son prestataire. Et se rappeler l’article 25 : faire développer un chat mis en service sous son propre nom ferait basculer le cabinet du côté fournisseur.

Ce que ça change, concrètement, lundi matin

• Faites l’inventaire : quels outils dotés d’IA sont réellement utilisés dans le cabinet, par qui, pour quoi.
• Isolez ceux qui touchent à l’évaluation du risque ou à la tarification de personnes physiques en vie, santé, prévoyance ou emprunteur : ce sont eux qui déclenchent l’analyse d’impact de l’article 27, avant la mise en service.
• Regardez aussi le cabinet comme employeur : tri de candidatures, évaluation des collaborateurs, analyse d’appels. C’est là que se cachent les cas de l’annexe III qu’on n’attend pas.
• Traitez la maîtrise de l’IA comme un sujet de formation, au même titre que les quinze heures annuelles : qui sait s’en servir, qui sait quand ne pas s’y fier.
• Pour un outil de tarification fourni par un tiers, réclamez la notice d’utilisation : elle conditionne vos obligations de déployeur, et vous en aurez besoin pour votre analyse d’impact.
• Vérifiez auprès de l’éditeur de votre assistant conversationnel qu’il respecte l’article 50.

Aucun logiciel ne rend conforme à lui seul, pas plus pour l’IA Act que pour le devoir de conseil. Ce qu’un outil peut faire, c’est conserver la trace de qui a validé quoi et quand — les six mois de journaux de l’article 26 en sont l’illustration la plus directe — et laisser la décision à l’humain qui en répond.

Transparence : ACTUAL DATA est éditée par un cabinet de courtage et propose des agents qui classent des documents, préparent des devis, rédigent des brouillons et produisent des contenus. Ces usages font partie de ceux que cet article situe hors du point 5 c) de l’annexe III. Nous le signalons pour que vous lisiez cette analyse en connaissance de cause, et nous vous invitons à la confronter au texte, dont les références sont ci-dessous.

Sources : règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024, publié au Journal officiel de l’Union européenne du 12 juillet 2024. Articles 3, 4, 5, 6, 25, 26, 27, 50, 74, 86, 99 et 113, et annexe III, points 4 et 5. Directive (UE) 2016/97 sur la distribution d’assurances pour les quinze heures de formation annuelle, et règlement (UE) 2016/679 (RGPD) pour l’analyse d’impact et les décisions automatisées. Textes consultés le 3 septembre 2026. Cet article présente le texte applicable ; il ne constitue pas une consultation juridique sur votre situation.