AI Act au 2 août 2026 : quelles obligations pour un cabinet de courtage qui utilise l'IA ?

Depuis le 2 août 2026, le règlement européen sur l'intelligence artificielle (UE) 2024/1689 — l'AI Act — est devenu sanctionnable pour l'essentiel de ses dispositions transversales : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour un manquement à la transparence ou à la littératie IA, et jusqu'à 35 millions d'euros ou 7 % pour une pratique interdite. Mais la nouvelle qui compte pour un cabinet de courtage est ailleurs : le règlement (UE) 2026/1744, dit « Digital Omnibus IA », adopté le 8 juillet 2026 et entré en vigueur le 27 juillet 2026, a reporté au 2 décembre 2027 les obligations pesant sur les systèmes à haut risque listés à l'annexe III — celles-là mêmes qui devaient s'appliquer le 2 août 2026. Autrement dit : la question que se posent la plupart des courtiers depuis un an (« mon CRM est-il un système à haut risque ? ») n'est pas celle qui vous expose ce trimestre. Ce qui mord aujourd'hui, ce sont trois choses beaucoup plus prosaïques : prévenir vos clients quand ils parlent à une IA, prouver que vos collaborateurs sont formés, et savoir qui répond de quoi entre vous et votre éditeur. Voici la traduction opérationnelle, usage par usage.

Au sommaire :

• Ce qui s'applique vraiment depuis le 2 août 2026 (et ce qui est reporté)
• Mon CRM de courtier est-il un système d'IA à haut risque ?
• Dois-je prévenir le client qu'une IA a rédigé le compte rendu ?
• Qui est responsable si l'IA se trompe : l'éditeur ou le courtier ?
• Quelle clause exiger de votre éditeur de logiciel ?
• La grille d'auto-évaluation en 8 contrôles
• Quelles sanctions, et qui contrôle en France ?

Qu'est-ce qui s'applique vraiment depuis le 2 août 2026 ?

L'AI Act est entré en vigueur le 1^er août 2024 avec une application par paliers. Le calendrier initial prévoyait un grand rendez-vous au 2 août 2026 : transparence, gouvernance, sanctions et systèmes à haut risque. Le Digital Omnibus a coupé la poire en deux : il maintient le volet répressif et décale le volet le plus lourd en ingénierie de conformité.

Deux conséquences pratiques. Le report de l'annexe III ne vous dispense de rien sur les autres blocs : c'est un report de charge d'ingénierie, pas une amnistie. Et l'article 4 devient le premier risque réel des petites structures, précisément parce qu'il n'a coûté aucun effort à personne pendant dix-huit mois.

Le report du haut risque a déplacé le centre de gravité de la conformité IA. En 2025, la question était « suis-je classé haut risque ? ». Depuis le 2 août 2026, c'est « puis-je prouver que mes équipes sont formées et que mes clients sont informés ? ».

Mon CRM de courtier est-il un système d'IA à haut risque ?

Dans la quasi-totalité des cas, non — et pour deux raisons cumulatives.

Première raison : la fonction visée n'est pas la vôtre. L'annexe III, point 5 c), classe à haut risque les systèmes d'IA destinés à l'évaluation des risques et la tarification en assurance vie et santé — le métier de l'actuaire et du souscripteur, exercé par le porteur de risque. Un courtier qui interroge un comparateur, reçoit un tarif calculé chez l'assureur et le restitue au client n'exploite pas ce système : il en consomme la sortie. La qualification pèse sur le fournisseur du moteur tarifaire et sur l'assureur qui le déploie.

Seconde raison : vous êtes déployeur, pas fournisseur. L'AI Act distingue le fournisseur (qui développe et met sur le marché) du déployeur (qui utilise sous sa propre autorité). Un cabinet qui achète une licence est déployeur. Attention au basculement : le déployeur devient juridiquement fournisseur s'il appose sa marque sur le système, s'il en modifie la destination ou s'il y apporte une modification substantielle. Un cabinet qui revendrait sous son nom un agent IA à d'autres courtiers changerait de camp.

La qualification dépend de la fonction effectivement exercée par le système, pas de son nom commercial. Un module baptisé « scoring intelligent » qui se contente de trier des relances n'est pas un système à haut risque ; un outil baptisé « assistant » qui calcule une surprime santé sur données médicales peut l'être.

Voici comment se répartissent les sept usages que l'on rencontre réellement dans un cabinet.

Cas fréquent : l'achat de leads. Un cabinet qui acquiert des contacts sur une marketplace comme Olead puis les priorise avec un module de scoring reste en risque minimal ; la vigilance porte sur le RGPD, pas sur l'annexe III. Même logique en assurance emprunteur, où le tarif est calculé chez l'assureur et non dans votre outil.

Dois-je prévenir le client qu'une IA a rédigé le compte rendu de RDV ?

Au titre de l'article 50, non dans le cas général. L'obligation d'information vise les systèmes qui interagissent directement avec des personnes physiques : chatbot, assistant conversationnel, agent vocal. Un compte rendu généré après coup, à usage interne, n'est pas une interaction. Il ne relève pas non plus de la divulgation des contenus manipulés, qui vise les images, sons et vidéos réalistes ainsi que les textes publiés destinés à informer le public sur des sujets d'intérêt général. Une fiche de conseil archivée dans votre CRM n'est ni l'un ni l'autre.

Au titre du RGPD et de la DDA, oui — et bien au-delà. Trois obligations se cumulent et sont, elles, parfaitement opposables :

• Enregistrement de l'entretien : si le compte rendu vient d'un enregistrement audio, l'information préalable et le consentement sont requis à chaque rendez-vous, avec traçabilité.
• Information sur le traitement : finalité, base légale, destinataires, durée de conservation, sous-traitants — y compris l'éditeur du service de transcription.
• Validation humaine : le compte rendu qui documente votre conseil doit être relu et assumé par le conseiller. Une déclaration d'adéquation non relue reste votre déclaration.

En pratique, les cabinets qui gèrent cela proprement ne bricolent pas une mention orale : ils insèrent une case à cocher bloquante dans l'outil, avant le démarrage de l'enregistrement, et conservent l'horodatage. C'est le seul format qui survit à un contrôle, parce qu'il produit une preuve au lieu d'une intention — c'est tout l'enjeu de la piste d'audit opposable attendue par l'ACPR.

Qui est responsable en cas d'erreur : l'éditeur ou le courtier ?

Sur le plan de l'AI Act, les obligations sont réparties : le fournisseur répond de la conformité du système (documentation technique, notice, marquage des contenus générés) ; le déployeur répond de l'usage conforme (respect de la notice, surveillance humaine, formation des utilisateurs, information des personnes concernées).

Sur le plan de la distribution d'assurance, en revanche, il n'y a pas de partage. La DDA fait peser le devoir de conseil sur le distributeur, sans exception liée à l'outil. Une recommandation erronée signée et remise au client engage le courtier devant l'ACPR et devant le juge, quel que soit le logiciel qui l'a pré-rédigée. L'IA déplace la charge de travail, pas la charge de responsabilité.

Aucun contrat de licence ne peut transférer à un éditeur une responsabilité que la DDA attribue au distributeur. Ce que le contrat peut faire, c'est organiser un recours en garantie — ce qui n'est pas la même chose, et suppose une clause écrite.

Cette asymétrie a une conséquence directe : plus votre outil documente automatiquement le conseil, moins vous êtes exposé — l'inverse exact de l'intuition « moins j'écris, moins je m'expose ». Le manquement au devoir de conseil figure de longue date parmi les premiers motifs de sanction relevés par l'ACPR dans le courtage — voir notre article sur la conformité DDA et les contrôles ACPR.

Quelle clause exiger de votre éditeur de logiciel ?

Un cabinet n'a ni le temps ni les moyens d'auditer un modèle. Il a en revanche un levier contractuel, à activer au renouvellement de licence. Cinq points à faire écrire :

1. Qualification des rôles : l'éditeur se déclare fournisseur au sens du règlement (UE) 2024/1689 et vous reconnaît la qualité de déployeur. Sans cette ligne, la répartition des obligations reste implicite — donc contestable.
2. Notice et documentation : engagement de fournir et de maintenir à jour la notice prévue par le règlement, incluant les limites connues du système et les cas d'usage déconseillés.
3. Données et entraînement : non-réutilisation de vos données clients pour l'entraînement de modèles, hébergement dans l'Union, liste des sous-traitants ultérieurs et préavis en cas de changement.
4. Transparence article 50 : marquage lisible par machine des contenus générés, et fourniture des mentions à afficher si l'outil comporte un chatbot ou un agent vocal.
5. Trajectoire 2 décembre 2027 : engagement de mise en conformité à l'annexe III si une fonction du produit venait à y basculer, avec réversibilité et export intégral de vos données en cas de défaut.

Ce dernier point est le plus négligé et le plus utile : il vous protège d'un éditeur qui, faute de pouvoir se conformer d'ici décembre 2027, désactiverait une fonction dont votre process dépend.

Votre grille d'auto-évaluation en 8 contrôles

À passer une fois, à archiver, à ressortir en cas de contrôle. Chaque ligne se répond par oui, non ou sans objet — et chaque « non » se traite en moins d'une journée.

1. Inventaire : ai-je la liste écrite de tous les outils comportant une fonction IA utilisés dans le cabinet, y compris les usages individuels des collaborateurs ?
2. Classement : pour chacun, ai-je noté la catégorie (risque minimal, transparence, haut risque) et la fonction effective — pas le nom commercial ?
3. Rôle : suis-je déployeur pour chacun ? Y a-t-il un outil sur lequel j'appose ma marque ou dont j'ai détourné la destination ?
4. Littératie (art. 4) : ai-je une preuve datée que chaque collaborateur exposé a été sensibilisé, proportionnellement à son usage ?
5. Transparence (art. 50) : chaque point de contact conversationnel automatisé annonce-t-il qu'il est une IA dès la première interaction ?
6. Consentement et RGPD : enregistrement et transcription sont-ils couverts par une information préalable tracée et un registre de traitement à jour ?
7. Surveillance humaine : existe-t-il une règle écrite imposant la relecture de tout document produit par IA qui documente le conseil ou engage le cabinet ?
8. Contractuel : les cinq clauses ci-dessus figurent-elles dans un avenant signé avec mon éditeur principal ?

Ce que vous inscrivez au registre : l'inventaire (1), le classement (2), les preuves de formation (4) et les mentions d'information affichées (5). C'est le socle qu'un contrôleur demandera avant toute discussion technique.

Quelles sanctions, et qui contrôle en France ?

Le plafond retenu est le montant le plus élevé des deux — sauf pour les PME, pour lesquelles c'est le montant le plus faible qui s'applique. Un cabinet réalisant 800 000 € de commissions ne risque donc pas 15 millions d'euros, mais un pourcentage de son chiffre d'affaires appliqué avec proportionnalité. Le risque réel n'est pas le plafond médiatique : c'est la conjonction d'une sanction administrative et d'une remise en cause du devoir de conseil.

Côté autorités, la France a choisi une gouvernance éclatée plutôt qu'un guichet unique : la CNIL joue le rôle d'autorité de référence et de coordination, avec une quinzaine d'autorités sectorielles autour d'elle. Pour le courtage, l'interlocuteur reste l'ACPR, autorité de surveillance banque-assurance, aux côtés de la DGCCRF et de l'Arcom. Conséquence concrète : un manquement IA dans un cabinet a toutes les chances d'être découvert non lors d'un contrôle « IA », mais lors d'un contrôle DDA de routine.

Sources

• Règlement (UE) 2024/1689 du 13 juin 2024 sur l'intelligence artificielle (AI Act) — EUR-Lex, 2024 : articles 4, 5, 25, 50, 99 et annexe III.
• Règlement (UE) 2026/1744 du 8 juillet 2026 modifiant le règlement (UE) 2024/1689 (« Digital Omnibus IA ») — JOUE, publié le 24 juillet 2026, en vigueur le 27 juillet 2026.
• Règlement européen sur l'IA (AI Act) — ACPR, Banque de France, 2026.
• Intelligence artificielle — dossier et recommandations — CNIL, 2026.
• Cadre réglementaire de l'IA — Commission européenne, 2026.

À propos de l'auteur