Le règlement européen sur l’intelligence artificielle entre pleinement en application depuis le 2 août 2026. Contrairement à une lecture hâtive du récent Digital Omnibus, le texte européen ne reporte pas l’ensemble du calendrier pour la banque et l’assurance : seules les obligations propres aux systèmes d’IA « à haut risque », dont la tarification en assurance vie et santé, basculent en 2027, voire 2028.
À RETENIR :
- 2 août 2026 : entrée en application générale du règlement IA, dont les obligations de transparence (article 50)
- 2 décembre 2027 : obligations « haut risque » pour les systèmes autonomes, dont la tarification en assurance vie et santé
- 2 août 2028 : obligations « haut risque » pour les systèmes intégrés à des produits de l’annexe I
Ce qui s’applique sans report depuis le 2 août 2026
L’IA Act n’est pas reporté pour la banque et l’assurance dans son ensemble : seules les obligations pesant sur les systèmes d’IA à haut risque basculent, au 2 décembre 2027 pour les systèmes autonomes et au 2 août 2028 pour ceux intégrés à des produits réglementés. La date d’application générale du règlement reste fixée au 2 août 2026. Source : Haas Avocats, article du 30 juillet 2026
Le Digital Omnibus, entré en vigueur le 27 juillet 2026, modifie le calendrier du règlement (UE) 2024/1689 sur l’intelligence artificielle, mais ne touche pas à sa date d’application générale.
Depuis le 2 août, les obligations de transparence de l’article 50 deviennent exigibles : information des personnes lorsqu’elles interagissent avec un système d’IA, identification des contenus de synthèse, signalement des hypertrucages. Un assureur exploitant un assistant conversationnel est directement concerné. Le dispositif de surveillance du marché devient lui aussi pleinement opérationnel à cette date.
Une nuance mérite d’être notée : les systèmes déjà commercialisés avant le 2 août 2026 bénéficient d’un délai supplémentaire, jusqu’au 2 décembre 2026, pour le seul marquage technique lisible par machine, une mesure ciblée qui ne constitue pas un report général de l’article 50.
Le report ciblé des obligations « haut risque »
Ce que reporte le Digital Omnibus, ce sont les obligations applicables aux systèmes d’IA à haut risque de l’annexe III : gestion des risques, gouvernance des données, documentation technique, contrôle humain, évaluation de la conformité. Les systèmes autonomes relevant de cette annexe basculeront au 2 décembre 2027 ; ceux intégrés à des produits déjà réglementés par l’annexe I suivront au 2 août 2028. Le contenu de ces obligations reste identique : seul le calendrier se desserre.
Deux cas d’usage assurantiels directement visés
L’annexe III cible deux usages financiers précis. D’une part, l’évaluation de la solvabilité et le scoring de crédit, à l’exception des outils de détection de fraude. D’autre part, et c’est ce qui concerne directement les assureurs, les systèmes destinés à l’évaluation des risques et à la tarification en assurance vie et assurance maladie.
Selon le projet de lignes directrices de la Commission européenne soumis à consultation le 19 mai 2026, cette qualification couvrirait largement le fait de proposer, refuser ou modifier des garanties, exclusions et franchises, l’assurance emprunteur et la dépendance étant notamment concernées. La finalité prévue du système serait le seul critère retenu, l’intervention d’un opérateur humain restant sans incidence sur la qualification.
Un assureur qui développe son propre moteur de tarification en assume le régime de fournisseur, celui qui déploie une solution acquise relève des obligations de déployeur. Sur ces deux cas d’usage, une obligation supplémentaire s’impose : une analyse d’impact sur les droits fondamentaux, prévue par l’article 27, devra être réalisée avant toute première utilisation.
L’ACPR en position de superviser l’IA du secteur financier
Le règlement confie la surveillance des systèmes d’IA à haut risque utilisés par les établissements financiers à leur autorité de supervision sectorielle habituelle. En France, l’ACPR se prépare à cette éventuelle désignation, portée par le projet de loi DDADUE encore soumis au Parlement. Elle a déjà engagé, avec la Place, des travaux méthodologiques autour de quatre axes : performance et robustesse, explicabilité, équité, cybersécurité et protection de la vie privée — un document de réflexion sur l’équité algorithmique restant en consultation jusqu’au 30 septembre 2026.
Trois chantiers à engager sans attendre les normes harmonisées
L’absence des normes harmonisées du CEN-CENELEC, encore attendues, explique en grande partie ce report. Elle ne dispense toutefois pas les organismes d’assurance d’avancer sur trois chantiers :
- Cartographier leurs systèmes d’IA en précisant leur finalité et leur rôle (fournisseur ou déployeur)
- Fixer une gouvernance et une politique d’usage documentée
- Sécuriser leurs contrats avec les fournisseurs de modèles, notamment sur l’accès à la documentation, les engagements de mise en conformité et le traitement des mises à jour substantielles.