Formation IA et cybersécurité en cabinet d'assurance : règlement européen, fraude au RIB, incident cyber

La leçon 4.4.1 classe les usages en quatre familles : le résumé et la mise en forme, la rédaction d'un courriel ou d'un rapport de conseil, la pré-qualification des demandes entrantes, et l'interaction directe avec le client par un agent conversationnel. Le résumé se relit ; l'agent conversationnel parle en votre nom sans relecture.

La règle qui tranche le reste : l'outil produit, le professionnel signe. L'intelligence artificielle n'est immatriculée nulle part, et un rapport de conseil rédigé par une machine puis envoyé sans relecture engage la même responsabilité qu'un rapport écrit à la main. Un agent conversationnel informe sur des éléments généraux ; il ne qualifie pas une garantie sur un contrat précis.

Le risque le plus immédiat est ailleurs : un collaborateur qui colle un contrat entier, avec un nom et une donnée de santé, dans un outil grand public réalise un transfert de données sans base légale. La leçon propose une charte d'usage d'une page, signée par chaque collaborateur : outils autorisés, usages interdits, données qui ne sortent jamais, règle de relecture.

Le règlement (UE) 2024/1689 classe les usages et gradue les obligations : pratiques interdites, systèmes à haut risque soumis à un régime lourd, systèmes soumis à une simple obligation de transparence, comme les agents conversationnels, et tout le reste. Parmi les usages à haut risque, deux touchent la distribution : l'évaluation de la solvabilité des personnes physiques, et l'évaluation des risques et la tarification en assurance vie et en assurance santé.

Il distingue aussi les rôles. Le fournisseur porte l'essentiel de la charge ; le cabinet qui utilise un outil sous sa propre autorité est déployeur, avec des obligations plus légères mais réelles : suivre la notice, confier le contrôle humain à des personnes compétentes, surveiller le fonctionnement, conserver les journaux. L'obligation de maîtrise de l'IA, un niveau suffisant de compétence du personnel, s'applique depuis le 2 février 2025.

Le calendrier a été modifié par le règlement (UE) 2026/1744 du 8 juillet 2026 : les exigences des systèmes à haut risque s'appliquent à partir du 2 décembre 2027 ou du 2 août 2028 selon leur fondement. Le premier livrable reste factuel : un registre des outils d'IA du cabinet, une ligne par outil, avec la finalité, les données traitées, le rôle du cabinet et le niveau de risque retenu.

Une personne qui échange avec un système d'IA doit en être informée, sauf si c'est évident (article 50 du règlement) : une mention claire à l'ouverture de l'agent conversationnel, un nom qui ne trompe pas, une sortie vers un humain visible. L'exception ne couvre pas un agent qui porte un prénom humain.

La supervision humaine se démontre par quatre éléments : qui supervise, sur quoi, avec quelle possibilité réelle d'écarter la proposition de l'outil, et quelle trace des corrections. L'article 22 du RGPD ajoute le droit de ne pas faire l'objet d'une décision entièrement automatisée qui affecte la personne de manière significative. Trois documents en découlent : le document d'entrée en relation, le registre des traitements et les contrats avec les éditeurs.

Trois portes concentrent les attaques observées : la messagerie, les accès distants et extranets d'assureurs, les prestataires. Six mesures traitent l'essentiel : authentification à plusieurs facteurs, un compte nommé par personne, coupure de tous les accès le jour d'un départ, sauvegardes testées dont une copie déconnectée, mises à jour, séparation des droits. Le règlement DORA exclut de son champ direct les intermédiaires d'assurance qui sont des microentreprises ou des petites et moyennes entreprises (article 2, paragraphe 3, du règlement (UE) 2022/2554), ce qui ne dispense pas des exigences contractuelles des assureurs.

La fraude au changement de RIB repose sur le contexte, pas sur la technique : l'attaquant a lu vos échanges. Trois signaux reviennent : l'urgence, le changement de canal, un compte récemment ouvert. La règle tient en une phrase : un changement de coordonnées bancaires ne se valide jamais par le canal qui l'a demandé, mais par un appel au numéro déjà connu, noté au dossier avec la date, l'heure et l'interlocuteur.

Deux délais démarrent ensemble. La plainte, déposée au plus tard soixante-douze heures après la connaissance de l'atteinte, conditionne le versement de l'indemnisation au titre d'un contrat cyber (article L. 12-10-1 du code des assurances, pour les professionnels). La notification de la violation de données à l'autorité de contrôle intervient dans les meilleurs délais et si possible dans les soixante-douze heures, sauf absence de risque pour les personnes (article 33 du RGPD), et toute violation se documente.

Le plan de continuité vit hors du système qu'il secourt, sur papier ou sur un téléphone : qui décide, les activités à maintenir, le mode dégradé, les délais de reprise. Et le premier réflexe coûteux est de redémarrer avant analyse, ce qui détruit les traces dont la plainte et l'assureur auront besoin.