Action guidée et IA : ce que la réglementation attend des courtiers, et pourquoi ça va tout simplifier

Réponse directe : une « action guidée » est une manière d’utiliser l’intelligence artificielle dans un cabinet de courtage où l’IA prépare et propose, mais où rien ne part chez un client, un assureur ou un outil métier sans qu’un collaborateur ait vu exactement ce qui allait être fait et l’ait validé. Chaque étape laisse une trace : ce qui a été proposé, sur quelles pièces, ce qui a été montré, qui a validé, ce qui a été exécuté et avec quel résultat. C’est précisément ce que la réglementation se met à attendre des distributeurs qui utilisent l’IA : le devoir de conseil prouvé dossier par dossier, une supervision humaine réelle et des traces vérifiables.

Comme la facture électronique pour les comptables, ce n’est pas d’abord une contrainte de plus : c’est l’occasion de remplacer des preuves éparpillées (un mail ici, une note là, un souvenir ailleurs) par une trace produite automatiquement, au fil du travail. Les cabinets qui s’y mettent tôt ne font pas plus de conformité ; ils en font moins à la main. Cet article présente les huit critères d’une action guidée, ce que disent les textes et leur calendrier, et une méthode pour commencer.

Pourquoi la question se pose maintenant

L’IA est déjà dans les cabinets : rédaction de courriers, tri des mails, préparation de devis, relances. L’Autorité de contrôle prudentiel et de résolution (ACPR) a mené en 2025 une enquête sur l’adoption de l’IA auprès de 35 organismes d’assurance et 9 établissements bancaires, et s’est dotée en 2026 d’une direction dédiée à l’innovation et aux risques technologiques, dont un service chargé de la surveillance de l’usage des nouvelles technologies, au titre notamment de DORA et de la réglementation sur l’IA. Le superviseur se prépare.

Pour un courtier, le sujet n’est pas d’abord celui des grands modèles ou des algorithmes de tarification des compagnies. C’est une question très concrète : le jour où un client conteste un conseil, où une compagnie audite votre distribution ou où l’ACPR contrôle des dossiers, saurez-vous montrer ce que l’outil a proposé, ce que votre collaborateur a vu et validé, et ce qui a réellement été envoyé ?

Ce que disent les textes, et quand

Le devoir de conseil : dès aujourd’hui

L’article L. 521-4 du Code des assurances impose de préciser par écrit les exigences et besoins du client et de motiver le conseil. La recommandation ACPR 2024-R-03, applicable depuis le 31 décembre 2025, insiste, dans son périmètre, sur la conservation et l’accessibilité des informations recueillies et sur la preuve de la remise du conseil et de ses motifs. Qu’un outil d’IA ait aidé à préparer le dossier ne change rien à cette obligation : il faut pouvoir reconstituer le raisonnement et ce qui a été remis au client. Notre guide sur la traçabilité du devoir de conseil détaille la chaîne de preuve correspondante.

L’avis de l’EIOPA : la grille de lecture des superviseurs

En août 2025, l’autorité européenne des assurances (EIOPA) a publié un avis adressé aux superviseurs nationaux sur la gouvernance et la gestion des risques de l’IA dans l’assurance. Il explique comment lire les textes existants, notamment la directive sur la distribution d’assurances (DDA) et Solvabilité II, quand un acteur utilise l’IA : gouvernance proportionnée au risque, qualité des données, traçabilité et conservation des enregistrements, explicabilité, supervision humaine. Il vise les usages qui ne relèvent pas du « haut risque » de l’AI Act, c’est-à-dire la grande majorité des usages d’un cabinet de courtage.

L’AI Act : une obligation déjà en vigueur, d’autres en 2027

• Maîtrise de l’IA (article 4) : depuis février 2025, les entreprises qui déploient des systèmes d’IA doivent prendre des mesures pour développer la maîtrise de l’IA de leur personnel. Le règlement dit « omnibus IA » (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026) en a fait une obligation de moyens, sans la supprimer : ne rien faire reste un manquement.
• Systèmes à haut risque : l’évaluation des risques et la tarification en assurance vie et santé, ou l’évaluation de la solvabilité des personnes, sont classées à haut risque. Leurs obligations (journalisation, supervision humaine, information) s’appliqueront à partir du 2 décembre 2027, après le report décidé par l’omnibus. Elles concernent d’abord les compagnies et les établissements de crédit, mais un courtier qui utilise de tels outils pour le compte de ses clients a intérêt à savoir ce qu’ils tracent.
• Le superviseur : le projet de loi d’adaptation au droit européen (DDADUE), adopté par le Sénat en février 2026, prévoit de confier à l’ACPR la surveillance des systèmes d’IA à haut risque du secteur financier.

Le RGPD : la décision automatisée

L’article 22 du RGPD encadre les décisions fondées exclusivement sur un traitement automatisé qui affectent significativement une personne : la personne a droit à une intervention humaine. Pouvoir prouver que l’humain est réellement intervenu, et pas seulement qu’un bouton a été cliqué, devient un enjeu dès qu’un outil propose une décision.

Les huit critères d’une action guidée

Ces critères décrivent une façon de travailler, pas un logiciel. Ils s’appliquent aussi bien à un outil du marché qu’à un usage interne. Ils ne garantissent pas la conformité d’un dossier, mais ils produisent les preuves que les textes ci-dessus demandent.

1. Un catalogue fermé d’actions. L’IA ne peut proposer que des actions que le cabinet a définies à l’avance (« relancer un client pour une pièce manquante », « préparer une demande de devis »), avec les outils autorisés pour chacune. Elle n’invente pas d’action et n’utilise pas d’outil non prévu.
2. Des sources et des preuves attachées. Chaque proposition cite les éléments du dossier sur lesquels elle s’appuie : le mail du client, la pièce reçue, la fiche du contrat. Une proposition sans source n’est pas présentée.
3. Un niveau de risque déclaré. Chaque type d’action porte un niveau de risque, qui détermine le niveau de validation : une note interne ne se valide pas comme un envoi à un assuré ou une saisie chez une compagnie.
4. L’IA propose, l’humain décide. Aucune action ayant un effet à l’extérieur (envoi, saisie, dépôt de document) n’est exécutée sans validation explicite d’un collaborateur habilité. Sans validation, l’outil reste en lecture seule.
5. Un aperçu exact avant l’action. Le collaborateur voit ce qui partira réellement : destinataires, objet, texte, pièces jointes. C’est cet aperçu qu’il approuve, pas un résumé.
6. L’action exécutée est l’action approuvée. Le contenu validé est figé par une empreinte numérique. Si quoi que ce soit change entre la validation et l’envoi, même une virgule ou une pièce jointe, une nouvelle validation est exigée.
7. Un recontrôle avant d’exécuter, et une exécution unique. Juste avant l’action, l’outil vérifie que l’autorisation tient toujours (le collaborateur est toujours habilité, le dossier n’a pas changé). Une action validée ne part qu’une fois ; en cas de doute sur un envoi, on vérifie avant de recommencer, pour ne pas écrire deux fois au client.
8. Une trace vérifiable par un tiers. Pour chaque action : qui ou quoi a proposé, sur quelles sources, ce qui a été montré, qui a validé et quand, ce qui a été exécuté et le résultat observé. Cette trace est conservée et exportable dans un format ouvert, qu’un auditeur, une compagnie ou un contrôleur peut vérifier sans dépendre de l’éditeur de l’outil.

Grille : ce que chaque critère vous permet de montrer

Les articles 12, 14 et 26 de l’AI Act ne s’imposent qu’aux systèmes à haut risque, à partir de décembre 2027. Ils sont cités ici comme repères : ce sont les exigences vers lesquelles convergent les attentes des superviseurs pour tous les usages, de façon proportionnée.

Le parallèle avec la facture électronique

Depuis le 1er septembre 2026, toutes les entreprises doivent pouvoir recevoir des factures électroniques, et les grandes entreprises et ETI les émettre ; les PME et micro-entreprises émettront à partir du 1er septembre 2027. Pour les cabinets comptables, la réforme a d’abord ressemblé à une obligation de plus. Ceux qui l’ont anticipée y ont vu autre chose : une facture qui arrive en données structurées, par une plateforme agréée, ne se ressaisit plus, se rapproche automatiquement et se retrouve en un clic.

L’action guidée suit la même logique. Aujourd’hui, la preuve d’un échange avec un client se reconstitue souvent à la main, au moment où on en a besoin : on fouille la messagerie, on cherche la bonne version de la pièce, on interroge le collaborateur qui a traité le dossier. Avec une action guidée, la preuve est produite pendant le travail, par l’outil, au format attendu. Le jour du contrôle, de l’audit compagnie ou de la réclamation, il n’y a rien à reconstituer.

Et comme pour la facture électronique, des formats ouverts apparaissent pour que ces traces soient lisibles par tous, sans dépendre d’un éditeur. Le Decision Provenance Standard, par exemple, est un format public qui décrit comment exporter une décision et l’action qui en découle de façon vérifiable par un tiers, avec des outils de vérification ouverts.

Ce que cela simplifie au quotidien

• Un contrôle ou un audit compagnie : vous exportez les dossiers demandés avec leur trace, au lieu de les reconstituer.
• Une réclamation client : vous montrez ce qui a été proposé, vu, validé et envoyé, et quand.
• La reprise d’un dossier : un collaborateur qui arrive comprend ce qui a été fait et pourquoi, sans dépendre de la mémoire de celui qui est parti.
• La formation à l’IA : le catalogue d’actions et les validations documentent concrètement comment le cabinet encadre ses outils, ce qui sert aussi l’obligation de maîtrise de l’IA.
• La sérénité des équipes : un collaborateur sait qu’aucun message ne partira à sa place, et qu’il ne valide que ce qu’il a vu.

Par où commencer

1. Listez vos usages actuels de l’IA, y compris informels (un collaborateur qui rédige ses relances avec un assistant en ligne est un usage).
2. Choisissez un usage à faible risque et fréquent, par exemple la relance pour pièce manquante, et décrivez-le comme une action : sources, aperçu, validation, envoi.
3. Passez-le à la grille ci-dessus et notez les critères non couverts.
4. Interrogez vos outils : votre CRM, votre messagerie ou votre outil d’IA conservent-ils ce qui a été montré et validé ? Peut-on l’exporter ?
5. Formalisez la règle dans votre procédure interne et formez les collaborateurs : c’est aussi la preuve des mesures prises au titre de la maîtrise de l’IA.

Questions fréquentes

Mon cabinet est-il concerné par l’AI Act ?

Oui pour l’obligation de maîtrise de l’IA dès qu’il déploie un système d’IA, sous la forme d’une obligation de moyens. Les obligations lourdes du « haut risque » visent surtout la tarification et l’évaluation des risques en assurance vie et santé et l’évaluation de solvabilité, et s’appliqueront à partir de décembre 2027. Les usages courants d’un cabinet (courriers, relances, préparation de dossiers) n’en relèvent généralement pas, mais restent soumis au devoir de conseil et au RGPD.

Une validation par clic suffit-elle ?

Le clic prouve qu’une personne a validé ; il ne prouve pas ce qu’elle a vu. L’intérêt de l’aperçu exact et de l’empreinte du contenu validé est de relier la validation à ce qui est réellement parti.

Faut-il un logiciel dédié ?

Non. Les critères peuvent être appliqués avec des outils existants et une procédure écrite. Un outil conçu pour l’action guidée produit simplement les traces automatiquement, au lieu de les demander au collaborateur.

Est-ce une garantie de conformité ?

Non. Aucune méthode ni aucun outil ne garantit la conformité d’un dossier. L’action guidée fournit des preuves organisées ; leur suffisance s’apprécie au regard des produits distribués, des procédures du cabinet et, le cas échéant, d’un conseil juridique.

Sources

• Code des assurances, article L. 521-4 (devoir de conseil), sur Légifrance.
• ACPR, recommandation 2024-R-03 sur le recueil des informations et le devoir de conseil.
• ACPR, page « Règlement européen sur l’IA (AI Act) ».
• ACPR, rapport annuel 2025 (enquête sur l’adoption de l’IA, création de la direction de l’innovation, des données et des risques technologiques).
• EIOPA, Opinion on Artificial Intelligence governance and risk management, 6 août 2025.
• Règlement (UE) 2024/1689 sur l’intelligence artificielle, et règlement (UE) 2026/1744 (« omnibus IA »).
• Règlement (UE) 2016/679 (RGPD), article 22.
• Calendrier de la facturation électronique : impots.gouv.fr, « Je passe à la facturation électronique ».
• Decision Provenance Standard : decisionprovenancestandard.org.

Cet article présente une méthode d’organisation. Il ne constitue pas un conseil juridique ; les références réglementaires sont à vérifier au regard de la situation de chaque cabinet.