AI Act du 2 août 2026 : quelles obligations et quelle assurance pour votre entreprise ?

L'Artificial Intelligence Act (règlement UE 2024/1689), entré en vigueur le 1er août 2024, devient pleinement applicable le 2 août 2026. C'est le premier cadre réglementaire mondial sur l'intelligence artificielle. Pour les entreprises françaises qui utilisent ou déploient des outils d'IA, l'échéance approche et les implications en matière d'assurance sont concrètes.

Quatre niveaux de risque, quatre régimes

Le règlement classe les systèmes d'IA en quatre niveaux de risque :

• Risque inacceptable : notation sociale, manipulation comportementale subliminale, identification biométrique en temps réel dans l'espace public, exploitation de vulnérabilités. Interdits depuis le 2 février 2025.
• Risque élevé : 8 domaines listés à l'annexe III, dont RH, accès aux services essentiels (crédit, assurance), éducation, justice.
• Risque limité : chatbots, deepfakes, reconnaissance émotionnelle. Obligations de transparence.
• Risque minimal : filtres antispam, jeux. Libres.

Les obligations « haut risque » applicables au 2 août 2026

À partir de cette date, toute entreprise utilisant un système d'IA à haut risque doit :

• Constituer la documentation technique du système.
• Mettre en place un système de gestion des risques.
• Assurer la traçabilité des données d'entraînement.
• Garantir une surveillance humaine effective des décisions automatisées.
• Apposer le marquage CE et enregistrer le système dans la base européenne.
• Notifier les incidents graves à l'autorité de surveillance.

Les fournisseurs (éditeurs), déployeurs (utilisateurs professionnels), importateurs et distributeurs sont chacun soumis à des obligations spécifiques selon leur position dans la chaîne de valeur. En France, l'autorité de surveillance désignée est principalement la CNIL, en lien avec l'ARCEP et la DGCCRF selon les secteurs.

Trois lignes d'assurance directement impactées

RC Professionnelle

Un algorithme de recrutement biaisé, un scoring crédit défaillant, une recommandation médicale erronée ou un chatbot diffusant une information fausse peuvent engager la responsabilité civile de l'entreprise utilisatrice. Les contrats RC Pro classiques ne couvrent pas systématiquement les dommages causés par les décisions algorithmiques ; certains assureurs introduisent en 2026 des exclusions spécifiques sauf souscription d'une extension dédiée.

Cyberassurance

Les modèles d'IA constituent de nouvelles cibles : prompt injection, empoisonnement de données d'entraînement, exfiltration de modèles, jailbreak. Les contrats doivent intégrer ces typologies.

RGPD et données personnelles

La plupart des systèmes d'IA traitent des données personnelles, ce qui rend la garantie atteinte aux données personnelles indispensable.

Barème de sanctions

Le montant le plus élevé est retenu. Les PME bénéficient d'un plafonnement proportionné au plus bas des deux montants.

Six chantiers à boucler avant le 2 août 2026

• Cartographier l'usage de l'IA (RH, marketing, finance, support, sécurité).
• Classer chaque système selon les 4 niveaux de risque.
• Désigner un référent IA et constituer la documentation technique pour les systèmes haut risque.
• Informer utilisateurs et salariés concernés.
• Mettre à jour les contrats fournisseurs IA (responsabilités fournisseur/déployeur).
• Auditer les contrats d'assurance et négocier les extensions « algorithmic liability ».

Ineos Courtage accompagne les entreprises dans l'audit de leurs contrats d'assurance face aux nouveaux risques IA et négocie l'inclusion de garanties spécifiques (algorithmic liability, AI bias, model security, data poisoning) auprès des assureurs spécialisés.