Comparatif · Banque & assurance
IA de décision : ce qui s’applique déjà, ce qui bascule en 2027
Le scoring de crédit et la tarification en assurance-vie et santé sont à haut risque au titre de l’annexe III. Le Digital Omnibus en a reporté les obligations au 2 décembre 2027 — mais trois régimes surveillent déjà l’IA de décision, et aucun n’a été décalé.
Comparatif 1 — Exigible aujourd’hui, ou en 2027 ?
| Obligation | Base | Statut | Qui est concerné |
|---|---|---|---|
| Décision automatisée / scoring | RGPD art. 22 + arrêt SCHUFA | En vigueur, d’office | Crédit, souscription |
| Analyse d’impact (AIPD) | RGPD art. 35 | En vigueur | Scoring et tarification à grande échelle |
| Résilience et prestataires TIC | DORA | En vigueur depuis le 17 janvier 2025 | Tout modèle hébergé ou externalisé |
| Gouvernance des modèles | Solvabilité II | En vigueur | Assureurs |
| Pratiques interdites | AI Act art. 5 | En vigueur depuis février 2025 | Tous |
| Transparence | AI Act art. 50 | En vigueur | Interaction client avec une IA |
| Maîtrise de l’IA | AI Act art. 4 | En vigueur depuis février 2025 | Équipes risques, conformité, métier |
| Gouvernance et sanctions | AI Act art. 99 | En vigueur — jusqu’à 35 M€ ou 7 % | L’entité |
| Gestion des risques, données, journalisation, supervision, robustesse | AI Act art. 9 à 15 | 2 décembre 2027 | Scoring (5 b), assurance vie et santé (5 c) |
| Obligations de déployeur | AI Act art. 26 | 2 décembre 2027 | Banques et assureurs déployeurs |
| Analyse d’impact sur les droits fondamentaux | AI Act art. 27 | 2 décembre 2027 | Déployeurs concernés |
À retenir. Huit des onze lignes sont exigibles aujourd’hui. Le report ne déplace que le bloc « haut risque » de l’AI Act — il ne crée aucune zone franche.
Comparatif 2 — Le triptyque sur un moteur de scoring
| Dimension | AI Act (haut risque) | RGPD | Prudentiel — ACPR, DORA, Solvabilité II |
|---|---|---|---|
| Question centrale | Le système est-il sûr, documenté, supervisé ? | La personne est-elle protégée face à la décision automatisée ? | Le risque et la résilience sont-ils maîtrisés ? |
| Ce qui déclenche | Classement annexe III 5 b ou 5 c | Décision automatisée (art. 22) | Activité régulée et prestataires TIC |
| Obligation phare | Supervision humaine (art. 14), traçabilité (art. 12) | Interdiction de principe, garanties, information | Registre des prestataires TIC, gouvernance des modèles |
| Échéance | 2 décembre 2027 | Immédiate | Immédiate — DORA depuis janvier 2025 |
| Preuve attendue | Documentation technique, journaux | AIPD, information, trace d’intervention humaine | Registre TIC, tests, explicabilité |
| Autorité | ACPR, à compter du 2 décembre 2027 | CNIL | ACPR |
À retenir. Trois régimes, trois questions différentes sur le même moteur — mais une seule matière : inventaire, classification, supervision, traçabilité, données et biais. Un dossier bien fait répond aux trois d’un même geste.
Combien de modèles de décision tournent chez vous ?
Explorer la démoÀ lire aussi : Guide IA Act banque & assurance · Checklist scoring & tarification · Glossaire scoring de crédit
Explorer les autres piliers
Registre des usages IA
L’inventaire opposable de tous vos systèmes d’IA.
Gouvernance de l’IA
Rôles, comité IA, méthode — le cadre de contrôle.
Shadow AI
Détecter les usages d’IA non déclarés.
AIPD & IA
Analyse d’impact RGPD (art. 35) des systèmes d’IA.
Sécurité des IA génératives
OWASP, ANSSI : protéger copilotes et agents.