Règlement sur l'IA : obligations, échéances et ce qui change pour l'assurance

Fiche réglementaire · à jour au 1er novembre 2026 · par cybercoverinsurance

Le règlement (UE) 2024/1689, dit règlement sur l'IA, est la première loi générale sur l'intelligence artificielle. Il est en vigueur depuis le 1er août 2024 et s'applique par étapes jusqu'en 2028 (Gibson Dunn). Il classe les systèmes d'intelligence artificielle selon le risque et fixe des obligations différentes pour ceux qui les développent et ceux qui les utilisent.

Pour ceux qui assument le risque, le règlement sur l'IA compte pour trois raisons. En Italie, sa violation fait présumer le lien de causalité dans une action en réparation. Il concerne directement les assureurs, car les systèmes de tarification des contrats vie et santé sont à haut risque. Et il crée des obligations vérifiables à intégrer au questionnaire de souscription.

Dans le texte, « article » désigne une règle contraignante ; « considérant » désigne les paragraphes introductifs qui expliquent comment la lire.

Qui est concerné

Le règlement sur l'IA distingue surtout deux rôles :

• fournisseur : celui qui développe un système d'intelligence artificielle et le met sur le marché sous son propre nom ;
• déployeur : celui qui utilise un système d'intelligence artificielle dans son activité professionnelle, par exemple une entreprise qui utilise un logiciel de recrutement ou un assureur qui utilise un modèle de tarification.

Il s'applique aussi aux fournisseurs hors de l'Union lorsque leurs systèmes sont utilisés en Europe. Les fournisseurs de modèles d'intelligence artificielle à usage général, les grands modèles sur lesquels d'autres systèmes sont construits, ont leurs propres obligations.

Les quatre classes de risque

Pratiques interdites

Depuis le 2 février 2025, certains usages jugés inacceptables sont interdits (article 5), notamment la notation sociale des personnes, la manipulation exploitant des vulnérabilités et la reconnaissance des émotions sur le lieu de travail et à l'école. À partir du 2 décembre 2026 s'ajoute l'interdiction des systèmes qui génèrent des images intimes non consenties ou des contenus pédopornographiques (FPF).

Systèmes à haut risque

Il en existe deux types. Ceux de l'annexe III sont listés par domaine d'usage : recrutement et gestion du personnel, évaluation de la solvabilité, accès aux services essentiels, éducation, justice, migration. Parmi eux figurent les systèmes utilisés pour l'évaluation des risques et la tarification en assurance vie et santé (EIOPA). Ceux de l'annexe I sont des composants de sécurité de produits déjà réglementés, comme les dispositifs médicaux, les machines et les véhicules.

Le fournisseur doit gérer les risques, garantir la qualité des données, établir la documentation technique, journaliser le fonctionnement et réussir une évaluation de la conformité. Le déployeur doit utiliser le système conformément à la notice, confier son contrôle à des personnes compétentes, le surveiller et conserver les journaux (article 26).

Transparence

Depuis le 2 août 2026, quiconque utilise des systèmes qui interagissent avec des personnes, comme un assistant virtuel, doit indiquer qu'il s'agit d'intelligence artificielle ; les contenus générés ou manipulés, y compris les deepfakes, doivent être signalés (article 50) (Gibson Dunn).

Risque minimal

Les autres systèmes n'ont pas d'obligations spécifiques. Fournisseurs et déployeurs doivent toutefois soutenir la maîtrise de l'intelligence artificielle par leur personnel (article 4), une obligation atténuée par les modifications de 2026 (FPF).

Les échéances

Le règlement (UE) 2026/1744, publié au Journal officiel de l'UE le 24 juillet 2026, a déplacé certaines dates (FPF, Orrick) :

• 2 février 2025 : pratiques interdites et maîtrise de l'IA ;
• 2 août 2025 : modèles à usage général et régime des sanctions ;
• 2 août 2026 : obligations de transparence de l'article 50 ;
• 2 décembre 2027 : systèmes à haut risque de l'annexe III, y compris la tarification vie et santé (auparavant le 2 août 2026) ;
• 2 août 2028 : systèmes à haut risque de l'annexe I (auparavant le 2 août 2027).

Les sanctions

L'article 99 prévoit trois niveaux : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites ; jusqu'à 15 millions ou 3 % pour les autres obligations ; jusqu'à 7,5 millions ou 1 % pour des informations inexactes fournies aux autorités. Pour les PME, le montant le plus bas des deux s'applique.

En Italie

La loi n° 132 du 23 septembre 2025, en vigueur depuis le 10 octobre 2025, accompagne le règlement sur l'IA (Cleary Gottlieb) :

• l'Agence nationale pour la cybersécurité (ACN) est l'autorité de surveillance du marché, avec des pouvoirs d'inspection et de sanction ; l'Agence pour l'Italie numérique (AgID) supervise les organismes d'évaluation de la conformité ; la Banca d'Italia, la Consob et l'IVASS restent compétentes pour leurs secteurs ;
• les professionnels ne peuvent utiliser l'intelligence artificielle qu'en appui et doivent en informer leur client (article 13) ;
• diffuser des deepfakes causant un préjudice injuste est une infraction pénale (article 612-quater du Code pénal), punie d'un à cinq ans d'emprisonnement.

Le décret législatif n° 160 du 9 septembre 2026, en vigueur depuis le 30 septembre 2026, complète le dispositif (PG Legal, Lavorosì) :

• en cas de violation des obligations du règlement sur l'IA, le lien de causalité avec le dommage est présumé, sauf preuve contraire (article 18) ;
• la conformité au règlement sur l'IA, même certifiée, n'exclut pas à elle seule la responsabilité (article 19) ;
• la victime peut demander au responsable s'il dispose d'une police de responsabilité civile et agir directement contre l'assureur (article 20) ;
• l'omission des mesures de sécurité ou du contrôle humain sur les systèmes à haut risque devient une infraction pénale (article 437-bis du Code pénal) et engage la responsabilité de la personne morale au titre du décret législatif 231/2001.

Ce qui change pour les polices

RC et RC professionnelle. En Italie, la violation du règlement sur l'IA fait présumer le lien de causalité et la victime peut agir directement contre l'assureur. Les obligations du déployeur, comme le contrôle humain et la conservation des journaux, deviennent la ligne de défense de l'assuré, donc de l'assureur. Le sujet est approfondi dans l'analyse de la responsabilité civile liée à l'intelligence artificielle.

Sanctions. Les plafonds du règlement sur l'IA dépassent ceux de NIS2. Comme pour les autres textes, la garantie des sanctions administratives « dans la mesure où la loi le permet » ne va pas de soi.

D&O et responsabilité de la personne morale. La nouvelle infraction de l'article 437-bis et la responsabilité de la personne morale au titre du décret législatif 231/2001 font entrer la gouvernance de l'intelligence artificielle dans le champ de la D&O et des programmes de conformité.

Cyber. Le règlement sur l'IA exige des systèmes à haut risque un niveau de cybersécurité approprié. Une attaque qui altère un modèle, comme l'empoisonnement des données d'entraînement, est à la fois un incident cyber et une possible violation du règlement sur l'IA.

Les assureurs comme déployeurs. À partir du 2 décembre 2027, les modèles de tarification et d'évaluation des risques en assurance vie et santé sont des systèmes à haut risque. Pour les branches non-vie, y compris le cyber, le règlement sur l'IA ne les classe pas à haut risque, mais l'IVASS et l'EIOPA attendent tout de même gouvernance, équité et explicabilité des modèles utilisés.

Impact pour les assureursÉlevé

Le règlement sur l'IA fixe des obligations vérifiables pour ceux qui développent et utilisent l'intelligence artificielle, et en Italie leur violation fait présumer le lien de causalité dans une action en réparation.

Sources

• Gibson Dunn, accord sur l'Omnibus IA
• FPF, le calendrier du règlement sur l'IA après l'Omnibus
• Orrick, Omnibus numérique et règlement sur l'IA
• EIOPA, avis sur la gouvernance et la gestion des risques de l'IA
• Cleary Gottlieb, la loi italienne sur l'intelligence artificielle
• PG Legal, le décret législatif 160/2026 et le marché de l'assurance
• Lavorosì, décret législatif n° 160 du 9 septembre 2026