Gouvernance de l'IA en cabinet de courtage : ce qu'attend le superviseur

Sommaire

1. Une opinion, pas un règlement : ce que ce statut change
2. Le raisonnement en deux temps : évaluer, puis calibrer
3. Six principes, six décisions à écrire
4. Le fournisseur ne porte pas votre responsabilité
5. Un registre des usages d'IA tient sur une page
6. Questions fréquentes

Le règlement européen sur l'IA fixe des obligations. Il ne dit pas au dirigeant d'un cabinet de courtage ce que son autorité de contrôle regardera le jour où elle s'intéressera à l'outil qui rédige ses brouillons de réponse. Cette partie-là, c'est l'EIOPA qui l'a écrite : l'Autorité européenne des assurances et des pensions professionnelles a publié le 6 août 2025 une opinion sur la gouvernance et la gestion des risques de l'intelligence artificielle, adressée aux superviseurs nationaux — l'ACPR en France, la FSMA en Belgique, le Commissariat aux assurances au Luxembourg.

Le document n'a pas fait de bruit dans les cabinets, et c'est dommage : il est plus proche du quotidien d'un courtier que le règlement lui-même. Il ne parle pas de conformité produit, il parle de qui décide, de ce qu'on écrit et de ce qu'on vérifie. Voici ce qu'un cabinet de trois à cinquante personnes peut en retenir sans monter une direction des risques.

Une opinion, pas un règlement : ce que ce statut change

Une opinion de l'EIOPA s'adresse aux autorités nationales, pas directement aux entreprises. Elle ne crée pas d'obligation nouvelle : elle explique comment les textes existants — Solvabilité II, la directive sur la distribution d'assurances, DORA et le RGPD — s'appliquent aux systèmes d'IA qui ne sont ni interdits ni classés à haut risque par le règlement (UE) 2024/1689. Pour un cabinet de courtage, c'est exactement la zone concernée : un assistant qui propose un brouillon, un classificateur qui trie les messages entrants, un résumé automatique de conversation.

Le périmètre couvre explicitement les intermédiaires, et pas seulement les compagnies. La conséquence pratique tient en une phrase : votre superviseur dispose désormais d'une grille de lecture publique. Ce que le cabinet ne pourra pas montrer — qui valide, sur quelles données, avec quelle traçabilité — sera lu comme une absence de gouvernance, pas comme une simplicité assumée. Le calendrier et les obligations du règlement lui-même sont détaillés dans notre article sur ce que l'AI Act change pour un cabinet de courtage ; l'opinion s'y ajoute, elle ne s'y substitue pas.

Le raisonnement en deux temps : évaluer, puis calibrer

L'opinion tient dans une mécanique simple, et c'est sa qualité : on évalue d'abord le risque du cas d'usage, on choisit ensuite des mesures proportionnées. Les critères d'évaluation retenus sont le volume et la sensibilité des données traitées, le degré d'autonomie du système, la portée — combien de clients sont touchés — et l'impact possible sur les personnes. Un cabinet n'a donc pas à traiter de la même façon un résumé de conversation lu par un seul gestionnaire et un message parti seul vers plusieurs centaines d'assurés.

Traduite en cas d'usage réels, la grille ressemble à ceci. Les niveaux sont indicatifs : c'est au cabinet de les fixer d'après ce qu'il fait réellement, puis de les revoir quand l'usage change.

Cas d'usage	Autonomie	Portée client	Mesure proportionnée
Résumé ou classement d'un message entrant, à usage interne	Aucune : rien ne part	Nulle	Contrôle par sondage des classements, correction manuelle possible
Brouillon de réponse soumis au gestionnaire	Faible : un humain envoie	Un client à la fois	Consigne écrite de relecture, interdiction d'envoyer un brouillon non lu
Réponse automatique sous règles, hors horaires	Élevée : le message part seul	Un client à la fois, en volume	Périmètre fermé, escalade humaine obligatoire au moindre doute, revue des envois
Score d'attrition qui déclenche une action commerciale	Moyenne : il oriente une décision	Un segment entier	Vérifier que le score n'écarte pas des clients d'un profil donné, garder la main sur la liste
Ciblage d'une campagne à partir de critères produits par l'IA	Moyenne	Tout le portefeuille visé	Validation humaine de l'audience avant lancement, motif du ciblage écrit

Six principes, six décisions à écrire

L'opinion structure ses attentes autour de principes que l'on retrouve, sous des noms voisins, dans tous les textes de gouvernance de l'IA. L'exercice utile n'est pas de les commenter, c'est de transformer chacun en une décision datée et signée.

1. Équité et éthique — écrire ce que l'IA n'a pas le droit de faire dans le cabinet : proposer une garantie, avancer un tarif, trancher une prise en charge, écarter un client. Ces interdits valent aussi pour un brouillon relu trop vite.
2. Gouvernance des données — savoir quelles données entrent dans l'outil. Historique de conversation, données de santé, pièces d'identité : chaque catégorie doit être assumée ou exclue, pas subie. Le raisonnement complet figure dans notre checklist RGPD avant de brancher une IA sur les conversations clients.
3. Documentation et tenue de registres — conserver la trace de ce que l'IA a produit et de ce qui a été envoyé. Dans un CRM WhatsApp, cela signifie que le message envoyé, son auteur et l'heure restent dans la conversation, et que les journaux d'audit ne sont pas purgés au bout d'un mois.
4. Transparence et explicabilité — être capable d'expliquer, à un client comme à un contrôleur, pourquoi un message a été envoyé. Une explication « le modèle l'a jugé pertinent » n'en est pas une ; « ce client entrait dans le segment des contrats arrivant à échéance sous trente jours » en est une.
5. Supervision humaine — nommer les personnes, pas les fonctions abstraites. Qui relit, qui peut couper l'automatisme, qui est prévenu quand un client s'énerve. Le partage des rôles est développé dans notre article sur l'IA en cabinet de courtage : qui valide quoi.
6. Exactitude, robustesse et cybersécurité — vérifier que l'outil reste juste dans le temps, et pas seulement le jour de la démonstration. Un contrôle trimestriel sur un échantillon de conversations suffit à repérer une dérive, à condition qu'il soit écrit quelque part et effectivement fait.

Ces six décisions tiennent sur deux pages. Elles valent plus qu'une politique de trente pages recopiée d'un modèle trouvé en ligne, parce qu'elles décrivent le cabinet tel qu'il fonctionne.

Le fournisseur ne porte pas votre responsabilité

C'est le point de l'opinion que les cabinets sous-estiment le plus : l'entreprise reste responsable des systèmes d'IA qu'elle utilise, quelle que soit la manière dont ils ont été développés. Acheter une solution ne déplace pas la responsabilité vers l'éditeur ; cela crée une relation de sous-traitance qu'il faut documenter et surveiller.

Trois questions suffisent à mesurer le sérieux d'un fournisseur. Où sont hébergées les données et qui y accède. Quel modèle est utilisé, et l'éditeur prévient-il quand il en change. Que se passe-t-il quand le système se trompe : y a-t-il un mode dégradé, une alerte, un moyen de couper l'automatisme sans arrêter le reste. Un éditeur qui répond « c'est de l'IA, on ne peut pas savoir » vous laisse porter seul un risque dont vous répondrez. Sur le choix entre un automate qui répond seul et un assistant supervisé, le comparatif chatbot ou IA supervisée pose les deux modèles côte à côte.

Un registre des usages d'IA tient sur une page

Rien n'oblige un cabinet de courtage à tenir un registre nommé ainsi. Mais la tenue de registres est l'un des principes de l'opinion, et un tableau unique répond à la fois à cette attente, à l'obligation de maîtrise de l'IA du règlement européen et aux questions du délégué à la protection des données. Six colonnes suffisent.

1. Le cas d'usage, décrit en une phrase compréhensible par un gestionnaire.
2. Les données qui entrent : quelles catégories, sur quelle profondeur d'historique.
3. Ce que le système produit : un classement, un texte, un score, un envoi.
4. Le degré d'autonomie : suggestion, envoi après validation, envoi automatique.
5. La personne responsable, nommément, et son suppléant.
6. La date de la dernière revue et le résultat du dernier contrôle par sondage.

Dans ORIS, ces lignes se remplissent vite parce que les usages sont cloisonnés : la classification des messages entrants et le score de risque alimentent la vue Opportunities & Risks, les brouillons remontent au gestionnaire avant envoi, la réponse automatique n'existe que sous des règles définies par le cabinet, avec escalade humaine sur les échanges tendus, et les envois partent de templates approuvés par Meta vers des clients ayant donné leur accord. L'export CSV et les journaux d'audit fournissent la matière du contrôle par sondage. Ce que l'outil ne fera pas à votre place : écrire vos interdits et désigner les responsables. Si vous voulez voir à quoi ressemble ce cloisonnement dans une interface réelle, demandez une démonstration.

Questions fréquentes

L'opinion de l'EIOPA est-elle contraignante pour mon cabinet ?

Non, pas directement : elle est adressée aux autorités nationales de contrôle et interprète des textes existants plutôt qu'elle n'en crée. En pratique, elle décrit ce que votre superviseur estime devoir trouver chez un distributeur qui utilise l'IA, ce qui en fait une grille d'auto-évaluation très concrète, même pour une structure de dix personnes.

Un cabinet de dix personnes doit-il vraiment formaliser tout cela ?

La proportionnalité est au cœur du document : les mesures se calibrent sur le risque réel, pas sur un modèle unique. Un cabinet qui se sert de l'IA pour proposer des brouillons relus avant envoi n'a pas besoin d'un comité des risques ; il a besoin de deux pages écrites, d'un responsable nommé et d'un contrôle périodique tracé.

Faut-il prévenir le client qu'il échange avec une IA ?

Dès qu'un client peut interagir avec un système d'IA sans s'en rendre compte, l'information s'impose au titre des obligations de transparence du règlement européen. Une phrase claire au premier message automatique, avec la possibilité d'atteindre un humain, remplit cette fonction ; les modalités et le calendrier sont traités dans notre article consacré à l'AI Act.

Mon prestataire est-il responsable si l'IA se trompe devant un client ?

Vis-à-vis du client et du superviseur, c'est le cabinet qui répond de ce qu'il envoie. L'opinion rappelle que l'utilisateur reste responsable des systèmes qu'il emploie, indépendamment de la manière dont ils ont été développés. Le contrat avec l'éditeur organise les recours entre professionnels ; il n'efface pas votre devoir de conseil.

Comment vérifier qu'un outil reste exact dans le temps ?

En reprenant chaque trimestre un échantillon de conversations traitées avec l'IA et en comparant ce qui a été proposé à ce qu'un gestionnaire aurait écrit. Notez les écarts, leur nature et ce que vous avez changé : c'est cette trace, plus que le pourcentage, qui montre qu'un dispositif de surveillance existe.