IA et courtage en 2026 : ce qu’un cabinet peut automatiser, et ce que le droit lui interdit de déléguer
En résumé
- Le règlement européen sur l'IA s'applique par étapes : maîtrise de l'IA et pratiques interdites depuis le 2 février 2025, obligations de transparence depuis le 2 août 2026, exigences sur les systèmes à haut risque de l'annexe III à compter du 2 décembre 2027.
- En France, c'est l'ACPR qui a été désignée autorité de surveillance du marché pour les systèmes d'IA à haut risque du secteur financier : pas de nouvel interlocuteur pour un courtier.
- Sont visés au titre du haut risque l'évaluation de la solvabilité des personnes physiques et l'évaluation des risques et la tarification en assurance-vie et en assurance maladie — pas la rédaction d'un compte-rendu ni la préparation d'une relance.
- Deux verrous ne bougent jamais, quel que soit l'outil : l'article 22 du RGPD sur les décisions exclusivement automatisées, et le devoir de conseil, qui engage le distributeur et non son logiciel.
- La seule obligation IA déjà exigible d'un cabinet aujourd'hui est celle de l'article 4 du règlement : garantir un niveau suffisant de maîtrise de l'IA chez les personnes qui l'utilisent.
La plupart des contenus sur « l'IA dans le courtage » oscillent entre la promesse et l'inquiétude. Les deux passent à côté de la seule question opérationnelle : dans un cabinet, quelles tâches supportent une automatisation, et lesquelles restent des décisions humaines ? La réponse n'est pas une affaire d'opinion, elle est écrite dans trois textes.
Le calendrier réel, étape par étape
Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024, mais ses dispositions s'appliquent selon un calendrier échelonné. Pour un cabinet, seules trois échéances comptent.
| Depuis | Ce qui s'applique | Portée pour un cabinet |
|---|---|---|
| 2 février 2025 | Pratiques interdites et obligation de maîtrise de l'IA | Immédiate : concerne toute personne du cabinet qui utilise un outil d'IA |
| 2 août 2026 | Obligations de transparence | Signaler les contenus générés ou manipulés par une IA |
| 2 décembre 2027 | Exigences applicables aux systèmes à haut risque de l'annexe III | Différée : concerne surtout les concepteurs de ces systèmes, et les cabinets qui les déploient |
L'ordre des échéances est contre-intuitif : ce qui est déjà exigible est l'obligation la moins commentée, et ce qui fait la une — le régime du haut risque — n'entrera en application que fin 2027.
Votre régulateur IA, c'est l'ACPR
C'est le point le plus utile et le moins connu. L'ACPR indique avoir été désignée autorité de surveillance du marché pour les systèmes d'IA à haut risque relevant du secteur financier, et précise qu'elle est également susceptible d'examiner d'autres systèmes d'IA utilisés par les organismes soumis à son contrôle, dans le cadre de ses missions de supervision habituelles.
Deux conséquences pratiques :
- Un cabinet n'aura pas à composer avec une nouvelle autorité : l'IA rejoint le périmètre d'un contrôle qui existe déjà.
- Un usage d'IA mal documenté ne sera pas un dossier séparé : il apparaîtra dans le même rapport de contrôle que le reste, à côté du recueil des exigences et besoins et de la motivation du conseil.
L'ACPR organise par ailleurs des réunions de Place sur le sujet, dont les supports sont publiés — c'est la source à suivre pour le secteur, plus utile que les commentaires généralistes sur le règlement.
Ce qui est « haut risque », et ce qui ne l'est pas
L'annexe III du règlement vise, pour le secteur financier, l'évaluation de la solvabilité des personnes physiques et l'évaluation des risques et la tarification en assurance-vie et en assurance maladie. C'est cette catégorie qui déclenchera, au 2 décembre 2027, les exigences les plus lourdes.
Ce périmètre est étroit, et il ne recouvre pas la majorité des usages d'un cabinet de courtage. Rédiger un compte-rendu de rendez-vous, préparer un courrier, trier une boîte de réception, extraire des données d'un tableau de garanties, préparer une relance : rien de tout cela ne relève de l'évaluation des risques ni de la tarification.
La ligne de partage n'est pas « l'IA touche-t-elle à l'assurance ? » mais « l'IA participe-t-elle à décider du risque ou du prix pour une personne physique ? ».
La grille, tâche par tâche
| Tâche du cabinet | Ce que l'outil peut faire | Ce qui doit rester humain | Pourquoi |
|---|---|---|---|
| Compte-rendu de rendez-vous | Transcrire, structurer, proposer une synthèse | La relecture et la validation avant classement au dossier | La pièce fait foi au dossier : elle engage le cabinet, pas l'outil |
| Recueil des exigences et besoins | Pré-remplir à partir de l'échange | La vérification du contenu avec le client | Le recueil est une obligation du distributeur (art. L. 521-4 c. assurances) |
| Motivation du conseil | Proposer une formulation | Le choix du produit et la justification | Le conseil est un acte du distributeur, pas une sortie de modèle |
| Tarification, sélection médicale, acceptation du risque | Rien sans encadrement | La décision, intégralement | Annexe III : haut risque en vie et santé, régime applicable au 2 décembre 2027 |
| Refus ou résiliation affectant un client | Rien seul | La décision et sa motivation | Art. 22 du RGPD : décision exclusivement automatisée |
| Relance, priorisation, détection d'échéances | Proposer une liste et un ordre | L'arbitrage commercial | Aucun enjeu réglementaire propre : automatisation la plus sûre |
| Contenus publiés par le cabinet | Rédiger un premier jet | La validation et le marquage éventuel | Obligation de transparence applicable depuis le 2 août 2026 |
La lecture de ce tableau tient en une phrase : plus une tâche produit une pièce opposable ou une décision affectant le client, moins elle supporte l'automatisation sans revue humaine. À l'inverse, tout ce qui relève de la préparation, du tri et de la mise en forme est aujourd'hui le terrain le plus sûr — et, accessoirement, celui où le temps gagné est le plus immédiat.
Les deux verrous qui ne bougent pas
L'article 22 du RGPD. Une personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire. Un refus d'adhésion, une majoration ou une résiliation décidés sans intervention humaine réelle entrent dans ce champ. L'intervention humaine doit être effective, pas formelle : quelqu'un doit pouvoir modifier la décision.
Le devoir de conseil. Le code des assurances impose au distributeur de recueillir les exigences et besoins du client et de motiver le conseil fourni. Cette obligation pèse sur une personne immatriculée, responsable devant l'ACPR. Un outil peut préparer la formulation ; il ne peut pas endosser le conseil. C'est d'ailleurs ce type de manquement — recueil non effectué, motivation absente — que les décisions de sanction retiennent le plus souvent, comme le montre notre article sur le contrôle ACPR d'un cabinet.
Par où commencer, concrètement
L'obligation de l'article 4 du règlement — garantir un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent ces systèmes — est applicable depuis le 2 février 2025. C'est la seule qui soit déjà exigible d'un cabinet, et c'est aussi la moins coûteuse à satisfaire :
- Recenser les outils réellement utilisés, y compris ceux qu'un collaborateur a adoptés seul. L'inventaire est le préalable de tout le reste, et il réserve généralement des surprises.
- Écrire une note d'une page : ce qui peut être soumis à un outil, ce qui ne le doit jamais (données de santé, pièces d'identité, éléments couverts par le secret professionnel), et qui valide quoi avant classement au dossier.
- Tracer la validation humaine sur les pièces qui finissent au dossier. C'est ce qui distingue, en contrôle, un cabinet outillé d'un cabinet qui a délégué son conseil.
- Former les utilisateurs, même brièvement, et en conserver la trace — c'est littéralement l'objet de l'article 4.
Rien dans cette liste ne demande d'attendre décembre 2027. Et rien n'y demande non plus de renoncer à l'automatisation : la marge de manœuvre réelle d'un cabinet, sur la préparation et la mise en forme, est large et immédiatement disponible.
Questions fréquentes
L'IA est-elle autorisée dans un cabinet de courtage en 2026 ?
Oui, sans autorisation préalable. Le règlement européen sur l'IA n'interdit que des pratiques limitativement énumérées et encadre plus strictement une catégorie de systèmes dits à haut risque. Pour un cabinet, la préparation de comptes-rendus, la mise en forme de documents, le tri et la priorisation ne relèvent pas du haut risque et sont utilisables aujourd'hui, sous réserve des obligations de transparence et de protection des données.
Quelles échéances de l'AI Act concernent un courtier ?
Trois. Les pratiques interdites et l'obligation de maîtrise de l'IA s'appliquent depuis le 2 février 2025. Les obligations de transparence sur les contenus générés ou manipulés par une IA s'appliquent depuis le 2 août 2026. Les exigences relatives aux systèmes à haut risque de l'annexe III s'appliqueront à compter du 2 décembre 2027, selon le calendrier rappelé par l'ACPR.
Quelle autorité contrôle l'usage de l'IA chez un intermédiaire d'assurance ?
L'ACPR indique avoir été désignée autorité de surveillance du marché pour les systèmes d'IA à haut risque relevant du secteur financier, et précise qu'elle peut également examiner d'autres systèmes d'IA utilisés par les organismes qu'elle contrôle. Pour un cabinet, l'usage de l'IA s'examinera donc dans le cadre du contrôle qui existe déjà, sans interlocuteur supplémentaire.
Une IA peut-elle rédiger la motivation du conseil à la place du courtier ?
Elle peut proposer une formulation, pas endosser le conseil. Le code des assurances impose au distributeur de recueillir les exigences et besoins du client et de motiver sa recommandation ; cette obligation pèse sur une personne immatriculée, responsable devant l'ACPR. La pièce versée au dossier doit donc être relue et validée, et cette validation gagne à être tracée.
Qu'est-ce que l'obligation de maîtrise de l'IA de l'article 4 ?
C'est l'obligation de garantir un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent ces systèmes pour le compte de l'organisation. Elle est applicable depuis le 2 février 2025 et constitue, pour un cabinet, la première obligation IA réellement exigible. Elle se satisfait par un inventaire des outils utilisés, une note d'usage interne et une formation dont on conserve la trace.