IA Act en banque et assurance : le guide 2026 du scoring de crédit et de la tarification à haut risque

Votre moteur de scoring de crédit et vos modèles de tarification en assurance-vie et santé figurent noir sur blanc parmi les systèmes d'IA « à haut risque » de l'AI Act. Le paquet Digital Omnibus a repoussé l'entrée en application de ces obligations au 2 décembre 2027 — et beaucoup de directions en ont conclu qu'elles avaient deux ans de répit.

C'est une erreur d'analyse. Dans la banque et l'assurance, l'IA de décision est déjà tenue par le RGPD, par DORA, par Solvabilité II et par la supervision de l'ACPR, qui soumet en ce moment même à consultation publique un document de réflexion sur l'équité algorithmique. Ce guide relie ces trois corps de règles, montre ce qui s'applique aujourd'hui et ce qui bascule en 2027, et donne la méthode pour rendre vos systèmes auditables avant que l'échéance — et le contrôle — n'arrivent.

Pourquoi la banque-assurance est en première ligne

L'AI Act classe les systèmes d'IA par niveau de risque. Deux catégories de l'annexe III visent directement le cœur de métier financier.

Point 5 b) : les systèmes destinés à évaluer la solvabilité des personnes physiques ou à établir leur note de crédit — le credit scoring — à l'exception de ceux utilisés pour détecter la fraude financière.

Point 5 c) : les systèmes destinés à l'évaluation des risques et à la tarification en assurance-vie et en assurance santé à l'égard des personnes physiques.

Un système classé haut risque déclenche les obligations du chapitre III : gestion des risques (art. 9), gouvernance des données et des biais (art. 10), documentation technique (art. 11), journalisation (art. 12), transparence (art. 13), supervision humaine (art. 14), exactitude et robustesse (art. 15). S'y ajoutent, côté déployeur (art. 26), l'usage conforme à la notice, la surveillance du fonctionnement, la conservation des journaux, et parfois une analyse d'impact sur les droits fondamentaux (art. 27).

Point crucial : une banque ou un assureur est le plus souvent déployeur — il utilise un moteur acheté ou co-construit — parfois fournisseur, s'il développe et met sur le marché son propre système. Les deux qualités emportent des obligations distinctes, et la conformité du fournisseur n'exonère pas le déployeur.

Ce que le Digital Omnibus a réellement changé

Le règlement (UE) 2026/1744 a reporté l'entrée en application des obligations « haut risque » : pour les systèmes autonomes de l'annexe III — dont le scoring et la tarification — du 2 août 2026 au 2 décembre 2027 ; pour l'IA intégrée à des produits déjà régulés, au 2 août 2028.

Ce report est inconditionnel. Mais il est étroit. Restent applicables dès maintenant, sans report :

• les pratiques interdites (art. 5), en vigueur depuis février 2025 ;
• les obligations de transparence (art. 50) ;
• la maîtrise de l'IA (art. 4), en vigueur depuis février 2025 ;
• la gouvernance et le régime de sanctions (art. 99 : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial) ;
• les obligations relatives aux modèles d'IA à usage général.

Le report déplace la date d'un bloc d'obligations. Il ne crée pas de zone franche.

Le triptyque que personne ne relie

La spécificité de la banque-assurance, c'est que trois régulateurs surveillent déjà l'IA de décision, chacun sous son angle. C'est ce faisceau qui rend le « répit 2027 » illusoire.

Le RGPD et l'arrêt SCHUFA : le scoring est déjà une décision automatisée

Le 7 décembre 2023, la Cour de justice de l'Union européenne a tranché dans l'affaire SCHUFA (C-634/21) : l'établissement automatisé d'un score de probabilité relatif à la capacité d'une personne à rembourser un crédit constitue une décision individuelle automatisée au sens de l'article 22 du RGPD, dès lors qu'un tiers fonde de manière déterminante sa décision sur ce score. La Cour a précisé que l'article 22 pose une interdiction de principe que le responsable de traitement doit respecter de sa propre initiative, sans attendre une réclamation.

Conséquences immédiates, indépendantes de tout calendrier AI Act :

• le scoring purement automatisé, sans intervention humaine réelle, est en principe interdit hors des exceptions de l'article 22 §2, et sous garanties ;
• une validation humaine « tampon » — un agent qui approuve sans réexaminer — ne suffit pas : la supervision doit être effective, documentée, avec pouvoir réel de s'écarter du score ;
• la personne a droit à une information utile sur la logique du traitement et à contester la décision.

Cet arrêt anticipe presque mot pour mot l'exigence de supervision humaine de l'article 14 de l'AI Act. Un établissement qui prépare SCHUFA prépare l'AI Act — et inversement.

DORA : la résilience et la chaîne de sous-traitance

Le règlement sur la résilience opérationnelle numérique (DORA, (UE) 2022/2554) s'applique aux entités financières depuis le 17 janvier 2025. Un moteur de scoring ou de tarification reposant sur un fournisseur d'IA ou un cloud tiers entre dans le registre des prestataires TIC : cartographie des dépendances, clauses contractuelles obligatoires, tests de résilience, notification des incidents majeurs. L'IA n'est pas hors du champ de DORA — elle en est une brique critique.

Solvabilité II et la supervision ACPR

Côté assurance, Solvabilité II impose déjà un système de gouvernance, une fonction de gestion des risques et le principe de la « personne prudente » — cadre dans lequel s'inscrit tout modèle de tarification piloté par IA.

L'ACPR travaille sur la gouvernance des algorithmes depuis 2019 : explicabilité, auditabilité, gestion des biais. Elle a été désignée autorité de surveillance du marché au titre du règlement (UE) 2024/1689 pour les cas d'usage à haut risque liés aux services financiers, et exercera ces responsabilités à compter du 2 décembre 2027, en coopération avec les autres autorités nationales et européennes compétentes.

Surtout, elle a soumis à consultation publique jusqu'au 30 septembre 2026 un document de réflexion sur l'équité algorithmique dans le secteur financier, ouvert aux assureurs, banques, fintechs, insurtechs, associations de consommateurs et experts académiques.

L'équité algorithmique désigne les principes et méthodes visant à prévenir les inégalités injustifiées, notamment celles liées à des caractéristiques personnelles sensibles. L'enjeu propre à la finance est clairement posé : concilier la différenciation tarifaire selon le niveau de risque — condition de soutenabilité économique des modèles — avec la prévention d'un traitement inéquitable ou discriminatoire. Un point que l'ACPR souligne mérite l'attention des directions actuarielles : un système d'IA avancé peut reconstruire une caractéristique personnelle même lorsqu'elle est exclue du modèle.

Traduction pour un dirigeant : la doctrine du superviseur se construit maintenant, et les établissements qui structurent leur gouvernance IA aujourd'hui parlent déjà la langue qui sera contrôlée demain.

Reporté n'est pas libre

Ce qui, pour une banque ou un assureur, ne dépend pas du 2 décembre 2027 :

Et ce qui bascule au 2 décembre 2027 : le bloc « haut risque » de l'AI Act — articles 9 à 15, obligations de déployeur (art. 26), éventuelle analyse d'impact sur les droits fondamentaux (art. 27).

Deux ans, ce n'est pas long pour cartographier tous les modèles, documenter les données d'entraînement, instrumenter la journalisation et prouver une supervision humaine effective sur des chaînes de décision souvent externalisées.

La méthode en sept étapes

1 — Inventorier. Recenser tous les systèmes d'IA qui touchent une décision client : octroi et tarification de crédit, scoring d'appétence, tarification vie et santé, résiliation, détection de fraude (exclue du haut risque mais à tracer), robo-advisory, LCB-FT. Sans inventaire, aucune classification ni preuve n'est possible.

2 — Classifier. Pour chaque système, trancher : haut risque annexe III, pratique interdite, ou transparence ? Distinguer le rôle — fournisseur ou déployeur. Documenter la justification : c'est la première chose qu'un contrôleur demande.

3 — Qualifier la décision automatisée. Le système décide-t-il « seul » au sens de SCHUFA ? Si oui : base légale de l'article 22 §2, garanties, intervention humaine réelle, information de la personne, droit de contestation. Réaliser ou mettre à jour l'AIPD.

4 — Instaurer une supervision humaine effective. Définir qui peut s'écarter du score, avec quels critères, quelle formation, quelle trace. Bannir la validation « tampon ». Mesurer le taux de dérogation : un taux nul est un signal d'alerte d'automatisation déguisée.

5 — Tracer et journaliser. Décisions, versions de modèles, données d'entrée, surcharges humaines. Intégrer les prestataires IA et cloud au registre des prestataires TIC et aux clauses contractuelles.

6 — Documenter les données et les biais. Qualité, représentativité, tests d'équité sur variables sensibles et proxys, explicabilité des sorties. C'est exactement le vocabulaire de la consultation de l'ACPR.

7 — Gouverner et prouver. Rattacher le tout à un comité IA relié aux fonctions risques et conformité, produire un registre vivant et un dossier de preuve mobilisable à tout moment — pour l'AI Act comme pour l'ACPR, la CNIL et le contrôle interne.

Qui fait quoi

• Directeur des risques / conformité : pilote la classification, le dispositif de contrôle et le dossier de preuve.
• RSSI : sécurité, journalisation, résilience DORA, gestion des tiers.
• DPO : articles 22 et 35 du RGPD, information des personnes, articulation avec SCHUFA.
• Directeur actuariat / tarification : gouvernance des modèles, tests de biais, explicabilité.
• Direction de la donnée : qualité des données, documentation technique, versioning.
• Direction générale : arbitrages, budget, responsabilité ultime — l'article 99 vise l'entité.

Cas pratique : une banque de détail face à son moteur de scoring

Prenons un établissement de crédit à la consommation qui utilise un moteur de scoring fourni par un éditeur tiers, complété d'un modèle interne d'appétence. En apparence, tout va bien : les décisions sont « validées » par un conseiller.

En creusant, la direction des risques découvre trois angles morts.

La validation tampon. Le taux de dérogation des conseillers au score est proche de zéro : dans les faits, ils suivent l'algorithme. Au sens de l'arrêt SCHUFA, la décision est donc exclusivement automatisée et tombe sous l'article 22 du RGPD — obligation immédiate, sans lien avec 2027.

La documentation absente. Personne ne détient la documentation technique du moteur tiers, ni la description des données d'entraînement. Or, en tant que déployeur, l'établissement devra prouver l'usage conforme et la surveillance du système ; en tant que responsable de traitement, il doit déjà pouvoir informer la personne sur la logique du traitement.

La dépendance invisible. Le moteur tourne via une API hébergée hors du système d'information. Cette dépendance critique n'est pas au registre des prestataires TIC, alors que DORA l'exige depuis janvier 2025.

Le plan de remédiation ne commence pas par un audit juridique mais par un inventaire : cartographier le moteur tiers, le modèle interne, leurs données, leurs dépendances et leurs points de décision. Puis instaurer une supervision humaine réelle, réclamer la documentation au fournisseur par avenant contractuel, intégrer l'API au registre DORA, et documenter les tests de biais. À l'arrivée, un seul dossier répond au RGPD, à DORA et prépare l'échéance de 2027 — au lieu de trois chantiers menés en silo dans l'urgence.

Les cinq pièges les plus fréquents

Confondre report et exemption. Le report ne suspend ni le RGPD, ni DORA, ni Solvabilité II, ni les articles 5, 50 et 4 de l'AI Act. Le raisonnement « on a deux ans » conduit à découvrir, fin 2027, qu'on ne rétro-documente pas des décisions passées.

La supervision humaine de façade. Un conseiller qui approuve sans pouvoir réel de s'écarter du score ne déautomatise rien. Le signal objectif est le taux de dérogation.

Ignorer le rôle de fournisseur. Un groupe qui développe un modèle interne et le diffuse à ses filiales devient fournisseur au sens de l'AI Act — une qualité souvent négligée au profit du seul rôle de déployeur.

Traiter l'IA hors du périmètre DORA. Les moteurs de décision externalisés sont des prestations TIC critiques. Les exclure du registre crée une non-conformité déjà exigible.

Négliger la fenêtre ACPR. La consultation se ferme le 30 septembre 2026. Ne pas y participer, c'est laisser d'autres définir le vocabulaire sur lequel on sera audité.

Le prérequis que tout le monde sous-estime

Aucune de ces obligations n'est tenable sans un inventaire à jour des systèmes d'IA de décision et de leurs dépendances. Beaucoup d'établissements découvrent, en creusant, des modèles de scoring achetés par une filiale, des briques IA embarquées dans un logiciel de tarification, ou un fournisseur de score tiers dont personne ne détient la documentation.

C'est là que se joue la conformité réelle : non pas dans la lecture des textes, mais dans la visibilité sur son propre parc.

Conclusion

Le 2 décembre 2027 n'est pas un moratoire : c'est un délai de mise en conformité pour un secteur déjà surveillé par trois autres régimes. Les établissements qui traitent le scoring et la tarification comme des systèmes à documenter, superviser et prouver — dès 2026 — répondront d'un même geste au RGPD, à DORA, à Solvabilité II, à l'ACPR et à l'AI Act.

Les autres découvriront, fin 2027, qu'on ne rétro-documente pas deux ans de décisions automatisées en quelques semaines. La conformité IA en banque-assurance ne commence pas par un texte : elle commence par un inventaire.

Contenu informatif, ne constitue pas un conseil juridique. La couche datée — clôture de la consultation ACPR le 30 septembre 2026, entrée en fonction de l'ACPR comme autorité de surveillance du marché le 2 décembre 2027, applicabilité de l'annexe III à cette même date — doit être revérifiée à chaque évolution. La couche méthode — triptyque, sept étapes, classification annexe III — reste valable indépendamment.

Pour aller plus loin

• Le triptyque IA en banque-assurance : trois cadres, une seule gouvernance
• Le scoring de crédit est-il un système à haut risque au sens de l'AI Act ?
• Décision automatisée — la qualification RGPD que l'arrêt SCHUFA a tranchée
• Système à haut risque (annexe III)
• Les checklists de mise en conformité