IA, risques et conformité dans l’assurance : créer de la valeur avec des usages maîtrisés

L’AI Act, le RGPD, DORA, Solvabilité II, la DDA, PRIIPs, FIDA, les dispositifs LCB-FT portés par l’ACPR et Tracfin, ainsi que la CSRD imposent aux assureurs de renforcer leurs capacités de traitement documentaire, de traçabilité, de contrôle, de reporting et de gouvernance. [1][2][3]

Cette dynamique s’inscrit dans un environnement marqué par la digitalisation des parcours, l’évolution des attentes clients, l’augmentation des volumes de données exploitables et la montée en puissance de l’automatisation. Dans ce contexte, l’intelligence artificielle devient autant un sujet d’organisation qu’un sujet technologique. Elle se situe au croisement de plusieurs enjeux : complexification réglementaire, évolution vers des contrôles plus continus, exigences accrues de traçabilité, qualité des données, sécurité et transformation digitale.

Les enseignements du rapport AMF 2026 sur l’usage de l’IA dans la finance, analysés par Forvis Mazars, confirment cette tendance : les acteurs financiers accélèrent leurs réflexions autour de l’IA, notamment sur les usages internes et génératifs, tout en identifiant des enjeux majeurs de gouvernance, de sécurité des données, de dépendance technologique et de maîtrise des risques. [4]

Pour les assureurs, la question devient opérationnelle : dans quels processus l’IA peut-elle créer une valeur réelle, mesurable et gouvernable, tout en restant compatible avec les exigences de contrôle d’un secteur fortement régulé ?

À ce stade, la plupart des acteurs semblent engagés dans des travaux de cadrage, d’identification des cas d’usage et de structuration de leurs dispositifs.

Les fonctions risques et conformité occupent une place particulière dans le cadre des projets IA : elles sécurisent le cadre d’usage de l’IA dans l’organisation et explorent, en parallèle, leurs propres leviers de valeur.

Intégrer l’IA : un projet d’entreprise

L’IA crée de la valeur lorsqu’elle est adossée à un processus métier identifié, à des données fiables, à un circuit de validation encadré et à un dispositif de contrôle documenté. Cette approche rejoint les analyses de Forvis Mazars sur les agents IA : lorsque les systèmes interagissent avec plusieurs outils, déclenchent des actions ou s’insèrent dans des chaînes de traitement, la conformité doit intégrer une supervision continue des usages, des données, des actions et des contrôles humains. [5]

Cette logique est structurante pour les fonctions risques et conformité, qui occupent une position duale. Elles participent à l’encadrement des usages IA de l’organisation — politiques internes, règles d’usage, contrôle des données, supervision humaine, analyse des risques, conformité réglementaire — tout en figurant parmi les fonctions susceptibles d’en bénéficier rapidement, compte tenu des volumes documentaires traités, des attentes de traçabilité et de la pression sur les délais d’analyse.

Cette position explique pourquoi les projets IA doivent être abordés comme des projets d’entreprise. Ils mobilisent les métiers, les fonctions de contrôle, les équipes data, la DSI, la sécurité, les directions juridiques et les responsables de gouvernance. L’IA appliquée aux risques et à la conformité suppose donc un cadrage transversal : identifier les bons processus, qualifier les données, définir les responsabilités, sécuriser les accès, formaliser les livrables attendus, maintenir une supervision humaine et organiser la traçabilité.

L’émergence de l’IA agentique renforce cette exigence. Contrairement à un assistant conversationnel classique, un agent IA peut coordonner plusieurs tâches : lire une pièce, vérifier une information, déclencher une notification, interagir avec un outil métier ou proposer une action. Dans l’assurance, cette capacité peut accélérer certains processus, mais elle suppose de définir strictement les rôles, les habilitations, les contrôles et les règles de validation. Comme pour un collaborateur, l’agent IA doit respecter une séparation des tâches, des droits d’accès limités et une validation humaine sur les décisions sensibles.

Avant l’industrialisation, une étape clé : cadrer les usages et les risques

Une fois le cadre du projet défini, l’enjeu consiste à passer d’une ambition générale autour de l’IA à une sélection pragmatique de cas d’usage réellement activables. Cette étape est décisive : elle permet de distinguer les usages à forte valeur, pouvant être testés rapidement, de ceux qui nécessitent un niveau de maturité plus élevé en matière de données, de gouvernance ou de contrôle.

En pratique, les assureurs commencent par recenser les irritants opérationnels, identifier les tâches répétitives ou documentaires, qualifier les corpus documentaires ou référentiels disponibles, évaluer la sensibilité des données, puis déterminer si l’IA peut réellement améliorer le processus ciblé. C’est à partir de cette analyse que l’arbitrage entre LLM généraliste [6], solution juridique spécialisée, RegTech [7] prend du sens.

La maturité du marché doit être appréciée avec prudence : même chez les acteurs avancés, les usages réellement industrialisés restent sélectifs. Les démarches les plus pertinentes commencent par des cas d’usage maîtrisables, mesurables et compatibles avec les exigences de contrôle.

Quels cas d’usage émergent chez les fonctions risques et conformité ?

Les premiers cas d’usage à valeur se concentrent sur les activités documentaires, préparatoires, analytiques et de pilotage. Ils accélèrent les travaux de premier niveau tout en maintenant une validation humaine forte. Le périmètre dépasse la conformité au sens strict : il couvre également les fonctions risques, contrôle interne, finance, conformité, finance durable et pilotage.

La veille réglementaire augmentée constitue un premier terrain d’application. L’IA peut accélérer le tri, la synthèse et la qualification initiale de publications issues de sources telles que l’ACPR, l’EIOPA, base juridique de l’Union européenne, l’EBA ou la CNIL. Elle peut générer des alertes priorisées, produire une synthèse des textes sources et aider à rattacher les impacts aux processus, politiques ou matrices risques / contrôles concernés.

Les exemples cités concernent notamment la gouvernance des modèles IA, le reporting ORSA, les exigences DORA relatives à la résilience opérationnelle, ainsi que les processus liés à Solvabilité II.

La valeur apportée est double : réduire le temps consacré à la collecte et améliorer la traçabilité des analyses en reliant les alertes à des sources, des processus et des contrôles existants. Les limites portent principalement sur la qualité du paramétrage, l’intégration avec les outils GRC [8] existants et la validation humaine des impacts critiques.

L’analyse d’impact et la gap analysis constituent un deuxième cas d’usage structurant. Lors d’un projet de mise en conformité, l’IA peut comparer un texte réglementaire aux procédures existantes, faire émerger des écarts, structurer les premières analyses d’impact et proposer des pistes de mise à jour documentaire. Ces usages conviennent aux réglementations nécessitant des déclinaisons opérationnelles : pour exemple DORA, DDA, Solvabilité II, PRIIPs ou exigences LCB-FT.

Le pilotage et la gouvernance représentent un troisième champ d’application. L’IA peut agréger des rapports hétérogènes, produire des synthèses homogènes pour les comités, rattacher les constats à leurs sources, documenter les plans d’action et faciliter les restitutions aux instances. La valeur tient à la capacité à transformer des informations dispersées en livrables structurés, plus rapidement exploitables par les instances de pilotage.

Le contrôle interne constitue une déclinaison opérationnelle naturelle des enjeux de risques liés à l’IA. Il intervient à la fois comme utilisateur potentiel de ces outils — pour préparer, documenter ou consolider les contrôles — et comme dispositif de maîtrise des risques associés aux usages IA. Les usages identifiés incluent l’analyse accélérée de documents, l’aide à la rédaction de risques, contrôles et synthèses, la préparation de campagnes de contrôle, l’échantillonnage, la génération de checklists, la synthèse des écarts et la veille réglementaire assistée.

Ces usages doivent être positionnés comme des leviers d’appui aux contrôles : ils améliorent la préparation, la consolidation et la restitution, tout en laissant à l’expert la validation des constats, des conclusions et des plans d’actions.

La LCB-FT illustre un cas d’usage sensible. L’IA peut renforcer certains segments du processus : structuration des justifications, préparation de notes de revue, comparaison entre documentation interne et exigences applicables, synthèse des alertes, restitution de résultats de criblage ou aide à la priorisation des dossiers. Les usages de scoring ou de surveillance AML appellent une vigilance renforcée, car ils peuvent avoir un impact direct sur les décisions, les clients et la traçabilité attendue.

La qualité des données constitue enfin un prérequis transversal et un cas d’usage à part entière. Les usages portent notamment sur la détection et la correction automatique des doublons ou incohérences dans les bases clients, ainsi que la fiabilisation des inputs modèles avec alertes automatiques en cas d’anomalies. La qualité, la granularité, la complétude, l’actualisation et la documentation des données conditionnent directement la fiabilité des modèles. Une donnée incomplète, obsolète, mal qualifiée ou insuffisamment gouvernée réduit la pertinence des outputs et augmente le risque de décisions erronées ou difficilement justifiables.

Les cas d’usage à plus forte valeur sont ceux qui améliorent la qualification des impacts, la documentation des analyses, l’exécution des contrôles et le pilotage des plans d’actions.

Quelle valeur attendre et comment la mesurer ?

Après avoir identifié les cas d’usage pertinents, l’enjeu consiste à objectiver leur contribution réelle. La valeur de l’IA ne doit pas être appréciée de manière générale, mais au regard du processus qu’elle améliore, du niveau de contrôle requis et des gains effectivement observables. Les études disponibles convergent vers des gains significatifs sur les tâches de synthèse, de comparaison documentaire, de structuration d’analyses et de préparation de livrables, tout en soulignant que leur ampleur varie selon le métier, la qualité du corpus, l’outil utilisé et son intégration dans les processus. [9][10][11]

La mesure de la valeur doit donc être construite au cas par cas. Concernant la veille réglementaire, l’indicateur utile peut être le délai entre la publication d’un texte et la qualification de ses impacts. Sur une analyse de conformité, il peut s’agir du temps de préparation d’une note, du niveau de complétude de la première version, du nombre de retours avant validation ou de la capacité à rattacher chaque conclusion à une source. Pour le contrôle interne, les indicateurs peuvent porter sur le temps de préparation des contrôles, la qualité de consolidation des résultats ou la rapidité de production des supports de restitution.

La mesure de valeur doit également intégrer des gains qualitatifs : amélioration de la traçabilité, homogénéité des analyses, priorisation des alertes, qualité des livrables de gouvernance et documentation des plans d’action. Cette approche rejoint les constats de l’Institut Montaigne, qui souligne que la valeur créée par l’IA dépend moins de l’outil lui-même que de la qualité de son intégration dans les processus, les données et l’organisation. [12] Elle rejoint aussi les enseignements de l’AMF sur les usages IA dans la finance : l’adoption de l’IA s’accompagne d’enjeux de dépendance technologique, de gouvernance et de maîtrise des risques, ce qui impose d’apprécier les projets au-delà de leur seul potentiel de productivité.

Un cas d’usage IA crée de la valeur lorsqu’il améliore un processus mesurable, traçable et maîtrisé.

Quels risques intégrer dès la conception ?

L’augmentation des usages IA doit s’inscrire dans un cadre strict intégrant protection des données, traçabilité, contrôle humain, sécurité et validation continue. Les risques de mise en œuvre peuvent être regroupés en quatre familles.

La première concerne les risques réglementaires. Une mauvaise qualification des cas d’usage, une documentation insuffisante ou l’absence de supervision humaine peuvent conduire à une non-conformité au regard de l’AI Act, du RGPD, de DORA ou des obligations sectorielles qui peuvent être lourdement sanctionnées [13]. Sous l’AI Act, certains usages liés à l’évaluation des risques et à la tarification de personnes physiques dans les assurances vie et maladie peuvent relever des systèmes à haut risque. En outre, un déployeur qui modifie substantiellement un système peut être requalifié en fournisseur, avec des obligations renforcées de documentation et d’enregistrement. [14][15][16]

La deuxième concerne les risques technologiques et cyber : fuite de données, manipulation des instructions données au modèle, altération des données utilisées par le système, dépendance aux fournisseurs cloud, difficulté d’audit des solutions externes et continuité de service. Ces risques doivent être intégrés dans les cadres DORA, les exigences contractuelles, les plans de continuité et les dispositifs de gestion des tiers IA.

La troisième concerne les risques de gouvernance et d’organisation : absence de gouvernance transverse, Shadow AI [17], excès de confiance dans les productions IA ou transformation rapide des métiers sans accompagnement. Les dispositifs de maîtrise reposent sur une gouvernance claire, l’acculturation des équipes, l’encadrement des usages métiers et l’intégration de l’IA dans le cadre global de gestion des risques.

La quatrième concerne les risques opérationnels. Des données incomplètes, biaisées ou insuffisamment représentatives, des modèles instables, des hallucinations ou une dérive de performance dans le temps peuvent produire des résultats erronés ou insuffisamment justifiés. Dans les usages à portée juridique ou réglementaire, ce risque appelle une vigilance particulière, la vérification humaine demeurant personnelle, effective et non délégable comme le rappelle les juridictions françaises. [18]

Un usage IA maîtrisé combine qualification du cas d’usage, données fiables, supervision humaine, traçabilité et contrôle continu.

Quels outils pour quels usages ?

Le choix d’un outil dépend du cas d’usage, du niveau de risque, de l’exigence de traçabilité et du degré d’intégration attendu. Les LLM généralistes sont adaptés à la synthèse, à la structuration et à la productivité documentaire. Les solutions juridiques spécialisées apportent davantage de valeur lorsque la fiabilité des sources et la qualité de citation sont centrales. Les RegTech deviennent pertinentes lorsque l’enjeu porte sur le pilotage continu d’un dispositif de conformité : veille structurée, cartographie des obligations, suivi des plans d’actions, documentation de la preuve et restitution aux instances.

Cette grille éclaire les arbitrages d’outillage, sans remplacer des tests réalisés sur les données et processus propres à chaque organisation. [19]

Comment avancer de manière progressive et maîtrisée ?

Pour capter la valeur de l’IA tout en maîtrisant les risques, cinq idées clés ressortent : contrôle humain systématique sur les décisions critiques, architecture sécurisée fondée sur un corpus maîtrisé, fermé, qualifié et mis à jour ; souveraineté et réversibilité des données, charte interne d’usage de l’IA, contrôle continu.

La mise en place d’une politique interne d’usage de l’IA constitue un socle de gouvernance : elle précise les usages autorisés, les données mobilisables, les outils approuvés, les obligations de contrôle humain et les responsabilités associées. Les plans de contrôle doivent par ailleurs intégrer la gestion des risques liés à l’IA (ex : tests ciblés sur les hallucinations, la répétabilité, la qualité des refus, les accès aux données, les incidents, les mises à jour et les plans de restauration).

Un projet global lié à l’IA peut commencer par l’inventaire des usages, la qualification des risques, la formalisation d’une gouvernance minimale, le choix d’un cas d’usage ciblé, le test sur corpus réel et la mesure des gains obtenus avant extension.

Conclusion – Une phase charnière pour les fonctions risques et conformité

L’intelligence artificielle met en lumière des enjeux organisationnels et des processus transverses.
Les fonctions risques et conformité jouent un rôle central dans cette transformation : elles encadrent les usages de l’IA et explorent de premiers leviers de valeur pour leurs propres activités.
Nous sommes ainsi dans une phase de réflexion stratégique qui pose les bases d’une conformité augmentée, maîtrisée et créatrice de valeur.

Sources

[1] Parlement européen et Conseil de l’Union européenne, Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle (AI Act) : https://artificialintelligenceact.eu/fr/ ; Voir aussi Forvis Mazars, « AI Act : quel impact pour les déployeurs ? » : https://www.forvismazars.com/fr/fr/insights/publications-et-evenements/avis-d-experts/article-ia-act-quel-impact-pour-les-deployeurs

[2] Journal officiel de l’Union européenne, Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA) :
https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32022R2554 ; EIOPA, page dédiée DORA : https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en

[3] Les références aux exigences RGPD, DDA, PRIIPs, FIDA, LCB-FT, Solvabilité II, CSRD et IFRS 17 visent à illustrer les principales contraintes de mise en œuvre auxquelles sont confrontés les assureurs, sous l’angle de l’organisation, de la documentation, du contrôle, du reporting et de la gouvernance.

[4] Forvis Mazars, « Flash BankNews | L’usage de l’IA par les acteurs des marchés financiers – enseignements clés du rapport AMF 2026 » :
https://www.forvismazars.com/fr/fr/insights/publications-et-evenements/newsletters/flash-banknews/usage-ia-dans-la-finance-rapport-amf-2026

[5] Forvis Mazars, « Agents IA : la fin de la conformité ex ante ? » : https://www.forvismazars.com/fr/fr/insights/le-blog/agents-ia-la-fin-de-la-conformite-ex-ante

[6] Un LLM, ou Large Language Model, est un modèle d’intelligence artificielle conçu pour comprendre, générer et manipuler du langage humain à grande échelle.

[7] La RegTech (Regulatory Technology) désigne l’ensemble des technologies (notamment basées sur l’IA, le big data et l’automatisation) utilisées pour aider les entreprises à respecter les réglementations de manière plus efficace, rapide et moins coûteuse.

[8] Les outils GRC (Governance, Risk & Compliance) sont des plateformes permettant de centraliser la cartographie des risques, le suivi des obligations réglementaires, les plans de contrôle, les plans d’action, les incidents, les preuves de conformité et les reportings destinés aux instances de gouvernance.

[9] Thomson Reuters Institute, Future of Professionals Report : https://www.thomsonreuters.com/en-us/posts/legal/future-of-professionals-report/ ; Voir aussi Thomson Reuters, communiqué sur l’implémentation de l’IA : https://www.thomsonreuters.com/en/press-releases/2026/june/ai-is-ready-but-firms-are-not-how-falling-behind-on-ai-implementation-is-costing-clients-and-talent

[10] McKinsey & Company, The economic potential of generative AI: The next productivity frontier : https://www.mckinsey.com/capabilities/mckinsey-digital/our-insights/the-economic-potential-of-generative-ai-the-next-productivity-frontier

[11] Center for Audit Quality (CAQ), travaux sur les usages de l’IA générative dans l’audit : https://www.thecaq.org/

[12] Institut Montaigne, « IA en entreprise : le guide d’une intégration maîtrisée » : https://www.institutmontaigne.org/publications/ia-en-entreprise-le-guide-dune-integration-maitrisee

[13] A titre d’exemple, la CNIL a sanctionné Clearview AI à hauteur de 20 millions d’euros pour traitement illicite de données personnelles, non-respect des droits des personnes et défaut de coopération, puis a liquidé en 2023 une astreinte de 5,2 millions d’euros pour absence de mise en conformité.

[14] EU AI Act, Annexe III – systèmes d’IA à haut risque, section 5(c) : https://artificialintelligenceact.eu/annex/3/

[15] EU AI Act, Article 25 – responsabilités le long de la chaîne de valeur : https://artificialintelligenceact.eu/fr/article/25/

[16] EU AI Act, Annexe VIII – informations à fournir lors de l’enregistrement des systèmes d’IA à haut risque : https://artificialintelligenceact.eu/fr/annex/8/

[17] Le terme Shadow AI (ou « IA fantôme ») désigne l’usage non contrôlé, non autorisé ou non supervisé d’outils d’intelligence artificielle par des collaborateurs au sein d’une organisation.

[18] Sur les hallucinations et la responsabilité non délégable, voir notamment Le Monde Informatique, « Les hallucinations de l’IA arrivent dans les juridictions françaises » : https://www.lemondeinformatique.fr/actualites/lire-les-hallucinations-de-l-ia-arrivent-dans-les-juridictions-francaises-99126.html ; Village de la Justice, « Les hallucinations d’intelligence artificielle devant les juridictions françaises » :
https://www.village-justice.com/articles/les-hallucinations-intelligence-artificielle-devant-les-juridictions-francaises%2C56337.html

[19] Méthode et sources de la grille. Cette grille est une analyse qualitative d’orientation, et non un test technique exhaustif. Elle compare l’adéquation de grandes familles d’outils aux principaux cas d’usage risques et conformité, selon la fiabilité des sources, la traçabilité, le pilotage, l’intégration et les contraintes de sécurité. Les appréciations reposent sur la documentation publique des éditeurs, des comparatifs sectoriels et une lecture métier des besoins des assureurs. Elles doivent être confirmées par des tests propres à chaque entreprise selon leurs outils, usages, objectifs et bases de données.

Contributeurs : 

• Joachim Pyszel , Manager CONSULTING - FSI ASSURANCE
• Aline Schmitz ,  Senior Manager - FSI ASSURANCE 
• Carlos Murillo , Consultant - FSI ASSURANCE