Évaluer le risque santé par IA : le cadre légal en clair

Évaluer le risque santé ou le risque vie d'un assuré avec une IA place ce système dans le haut risque au sens de l'EU AI Act, tout en manipulant des données de santé au sens le plus strict du RGPD : deux régimes qui se cumulent, auxquels s'ajoute l'interdiction de discriminer. La bonne nouvelle, c'est que ces trois cadres se traitent avec une seule méthode. Je vous la déroule en quatre étapes, pour transformer un usage exposé en un dispositif défendable face à un assuré comme face à un contrôle.

Le problème : trois régimes sur un seul traitement

Une IA qui estime la probabilité qu'un assuré tombe malade, décède ou déclare un sinistre lourd touche au cœur de trois réglementations en même temps. Beaucoup d'assureurs en traitent une seule, souvent le RGPD, et découvrent trop tard que les deux autres les exposent tout autant. Le tableau ci-dessous montre pourquoi un seul cas d'usage suffit à déclencher les trois.

Autrement dit, la question n'est pas « lequel de ces cadres s'applique », mais « comment les tenir tous les trois sans construire trois chantiers séparés ». C'est là qu'une méthode ordonnée fait toute la différence.

La méthode en quatre étapes

Cette séquence part de la qualification de votre usage et remonte jusqu'à la preuve que vous pourrez présenter. Chaque étape produit un livrable qui sert la suivante.

Étape 1 : qualifier précisément ce que fait votre IA

Tout commence par une distinction que l'on néglige souvent. Votre IA décide-t-elleseule d'un tarif ou d'un refus, aide-t-elleun souscripteur qui tranche, ou produit-elle une simple statistique agrégée sans effet individuel ? Plus l'IA pèse sur une décision qui affecte une personne, plus les obligations sont lourdes. Une tarification ou une sélection médicale automatisée bascule presque toujours en haut risque. Pour situer votre cas sans surestimer ni sous-estimer, appuyez-vous sur la méthode décrite dans ce guide de classification du haut risque.

Étape 2 : cadrer la donnée de santé avant tout traitement

La donnée de santé est une donnée sensible : son traitement est en principe interdit, sauf exception prévue par le RGPD (consentement explicite, exécution du contrat d'assurance, intérêt public). Trois réflexes s'imposent :

• Sécuriser la base légale.Identifiez précisément l'exception qui vous autorise à traiter la donnée, et gardez-en la trace.
• Minimiser. Ne collectez que les données réellement utiles au calcul du risque. Un modèle qui ingère tout est un modèle qui vous expose à tout.
• Réaliser une analyse d'impact (AIPD).Elle est obligatoire dès qu'un traitement à grande échelle de données sensibles ou un profilage à effet significatif est en jeu. C'est aussi votre première preuve de diligence.

Étape 3 : placer l'humain et rendre la décision explicable

Sur un usage à haut risque, l'IA ne doit jamais être le dernier mot sans recours. Vous devez pouvoir insérer une supervision humaine réelle et, surtout, expliquer chaque décision défavorable. Un assuré refusé ou surtarifé a le droit de comprendre pourquoi. Une réponse du type « c'est l'algorithme » ne tient ni devant lui, ni devant un régulateur. La logique est la même que pour un refus de crédit motivé, détaillée dans notre article sur la tarification par IA en assurance.

Étape 4 : documenter et journaliser

La conformité ne se déclare pas, elle se prouve. Pour chaque système d'IA d'évaluation du risque santé, constituez un dossier vivant : à quoi il sert, sur quelles données il s'appuie, comment il décide, qui le supervise, quels risques il présente et comment vous les maîtrisez. Ajoutez-y la journalisation des décisions, qui vous permettra de rejouer un cas contesté. C'est ce dossier, et non vos bonnes intentions, qui fera la différence le jour d'un contrôle.

Le résultat : un dispositif défendable

Au terme de ces quatre étapes, vous n'avez plus une IA « qui marche mais qu'on ne peut pas expliquer », mais un système qualifié, cadré, supervisé et documenté. Vous savez répondre à un assuré mécontent, à un contrôle du régulateur et à votre propre direction des risques avec les mêmes pièces. Les trois régimes ne sont plus trois chantiers, mais une seule chaîne d'artefacts.

Questions fréquentes

Toute IA qui touche à la santé est-elle en haut risque ?

Non. C'est l'usagequi compte, pas le thème. Une IA qui évalue le risque vie ou santé d'un assuré, et qui pèse sur sa souscription ou son tarif, est très généralement en haut risque. Une simple statistique agrégée sans effet sur une personne identifiée l'est beaucoup moins.

Le consentement de l'assuré suffit-il à tout régler ?

Non. Le consentement peut sécuriser une base légale RGPD, mais il ne vous dispense ni de la supervision humaine, ni de l'explicabilité, ni de la documentation exigées par l'AI Act, ni de l'interdiction de discriminer. Les trois régimes se cumulent, ils ne se remplacent pas.

Puis-je utiliser un modèle d'IA d'un fournisseur externe ?

Oui, mais vous restez responsable de l'usage que vous en faites. Exigez de votre fournisseur la documentation, la traçabilité et les garanties de non-discrimination, et vérifiez que l'hébergement des données de santé respecte vos obligations. Le fournisseur ne porte pas votre conformité à votre place.

Par où commencer si je n'ai encore rien formalisé ?

Par les étapes 1 et 2 : qualifier chaque usage d'IA et cadrer la donnée de santé. En quelques jours, vous savez lesquels de vos systèmes sont réellement exposés et par quoi commencer. C'est exactement le point de départ d'un audit. Pour le panorama réglementaire d'ensemble, voyez aussi ce que l'EU AI Act exige de votre entreprise.

C'est précisément l'objet de mon audit Sécurité & Conformité IA: adapté aux enjeux de l'assurance, il cartographie vos usages d'IA, qualifie leur niveau de risque et vous remet une feuille de route pour évaluer le risque santé sans vous exposer. Pour en parler, un premier échange de trente minutes suffit à situer votre cas.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Chaque situation mérite une analyse au cas par cas.