L’IA en banque et assurance n’est plus réservée aux laboratoires d’innovation. Elle intervient désormais dans l’analyse documentaire, la relation client, la détection de fraude, l’évaluation des risques ou encore la gestion des opérations informatiques.
Cette évolution répond à des objectifs concrets : traiter plus rapidement des volumes importants d’informations, améliorer la qualité de service, automatiser certaines tâches répétitives et aider les collaborateurs à prendre des décisions. La Banque de France cite notamment l’évaluation du risque de crédit, la tarification en assurance et l’estimation de la volatilité des actifs parmi les applications de l’intelligence artificielle dans le secteur financier.
Cependant, les performances d’un système d’IA dépendent directement des données auxquelles il accède. Or, les banques et les assurances manipulent des informations particulièrement confidentielles : identité des clients, transactions, revenus, patrimoine, contrats, justificatifs, sinistres ou données de santé.
L’enjeu n’est donc pas de choisir entre innovation et sécurité. Il consiste à construire un cadre permettant d’utiliser l’IA tout en conservant la maîtrise des données, des infrastructures, des décisions et des prestataires.
L’intelligence artificielle peut intervenir sur une grande partie de la chaîne de valeur bancaire et assurantielle. Tous les cas d’usage ne présentent toutefois pas le même niveau de risque.
Les assistants conversationnels peuvent répondre aux questions courantes, orienter les demandes et aider les conseillers à retrouver une information dans une base documentaire. L’IA générative peut également préparer la synthèse d’un échange ou proposer un premier brouillon de réponse.
Elle doit cependant rester un outil d’assistance. La CNIL rappelle qu’une conversation avec un chatbot ne peut pas, à elle seule et sans garanties appropriées, conduire à une décision importante telle qu’un refus de crédit ou l’application d’un tarif défavorable.
Les modèles d’apprentissage automatique peuvent analyser des transactions, identifier des comportements inhabituels et prioriser les alertes à examiner par les équipes spécialisées.
Dans la banque, ces capacités peuvent compléter les dispositifs de lutte contre la fraude et de lutte contre le blanchiment et le financement du terrorisme. Dans l’assurance, elles peuvent contribuer à repérer des incohérences dans les déclarations ou les pièces justificatives.
Les banques et les assureurs reçoivent de nombreux documents : contrats, formulaires, pièces d’identité, justificatifs de revenus, constats, factures ou rapports d’expertise.
L’IA peut extraire des informations, classer les documents, contrôler leur complétude et préparer une synthèse. Ces usages peuvent réduire les opérations manuelles, à condition que les résultats soient vérifiés et que l’accès aux documents soit strictement encadré.
L’IA peut soutenir le scoring de crédit, la souscription, la tarification ou l’analyse de sinistres. L’EIOPA identifie notamment la tarification, la souscription, la gestion des sinistres et la détection de fraude parmi les usages de l’IA dans l’assurance.
Ces applications sont aussi parmi les plus sensibles. Une erreur, un biais ou une décision insuffisamment explicable peut avoir des conséquences directes sur l’accès d’une personne à un financement, à une couverture ou à une indemnisation.
L’IA peut enfin aider les équipes informatiques à analyser des incidents, rechercher des événements dans les journaux techniques, documenter une procédure ou détecter des anomalies.
Elle ne remplace pas les outils de supervision, les contrôles de sécurité ou les équipes opérationnelles. Elle peut néanmoins accélérer leurs investigations lorsqu’elle est intégrée dans un environnement maîtrisé.
Toutes les données financières ne sont pas des « données sensibles » au sens strict de l’article 9 du RGPD. Elles restent néanmoins des données personnelles et confidentielles dont la divulgation peut entraîner des conséquences importantes.
Les données de paiement peuvent, par exemple, révéler les activités, les habitudes et certains comportements d’une personne. Une base bancaire ou assurantielle peut également réunir :
• des informations d’identité et de contact ;
• des coordonnées bancaires et des historiques de transaction ;
• des données relatives aux revenus, au patrimoine ou à l’endettement ;
• des documents utilisés pour la connaissance client et les contrôles réglementaires ;
• des échanges avec les conseillers et les services de gestion ;
• des données de sinistres, de localisation ou de comportement ;
• des informations médicales dans certains contrats d’assurance.
Les données de santé constituent une catégorie particulière de données personnelles bénéficiant d’une protection renforcée au titre du RGPD. Leur définition est large et peut couvrir une maladie, un handicap, un traitement, des antécédents ou toute information révélant l’état de santé d’une personne.
La sensibilité ne dépend donc pas uniquement de la nature d’une donnée isolée. Le rapprochement de plusieurs informations peut permettre de reconstituer une situation personnelle très précise.
Le premier risque apparaît lorsqu’un collaborateur copie une information confidentielle dans un outil qui n’a pas été validé par l’entreprise. Cette pratique, souvent qualifiée de « shadow IA », peut concerner un contrat, un dossier client, un relevé d’incident ou un extrait de base de données.
En l’absence de garanties contractuelles et techniques suffisantes, l’organisation peut perdre la maîtrise de la conservation des requêtes, de leur éventuelle réutilisation, de la localisation des traitements, des sous-traitants impliqués ou des modalités de suppression.
D’autres risques doivent être anticipés :
La CNIL souligne que certains modèles peuvent mémoriser des données d’entraînement. Des attaques par reconstruction ou par inférence peuvent alors conduire à la divulgation d’informations utilisées pendant le développement du système.
Un modèle peut produire une réponse inexacte ou s’appuyer sur des corrélations qui défavorisent certains profils. Dans un processus de crédit ou d’assurance, la qualité des données, l’absence de biais discriminatoires, la stabilité du modèle et son explicabilité doivent être évaluées tout au long de son cycle de vie.
Les modèles, leurs interfaces et leurs bases de connaissances créent de nouvelles surfaces d’attaque. Un attaquant peut chercher à manipuler les données, détourner les instructions données au modèle ou exploiter une interface insuffisamment protégée.
L’ANSSI recommande ainsi une approche de sécurité couvrant toutes les étapes, depuis la conception et l’entraînement jusqu’au déploiement et à l’utilisation en production.
Une banque ou un assureur doit également examiner la réversibilité, la portabilité des données, la continuité du service, les droits d’audit et la dépendance technologique. La criticité du fournisseur ne disparaît pas parce qu’un service est accessible simplement depuis une interface web.
Le déploiement d’une IA dans le secteur financier doit être analysé au regard de plusieurs textes.
Le RGPD s’applique dès lors que des données personnelles sont traitées. Il impose notamment de définir une finalité, de limiter les données collectées, d’informer les personnes, de fixer des durées de conservation et de mettre en œuvre des mesures de sécurité adaptées.
Une analyse d’impact sur la protection des données, ou AIPD, doit être réalisée lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.
L’article 22 du RGPD encadre par ailleurs les décisions entièrement automatisées produisant un effet juridique ou affectant significativement une personne. Celle-ci doit notamment pouvoir être informée, contester la décision et demander l’intervention d’un être humain dans les situations concernées.
L’AI Act est entré en vigueur le 1er août 2024 et ses dispositions s’appliquent progressivement. Dans le secteur financier, certains systèmes utilisés pour évaluer la solvabilité des personnes physiques ou pour évaluer les risques et fixer les tarifs en assurance-vie et en assurance maladie sont classés parmi les systèmes à haut risque.
Selon la page de référence de l’ACPR mise à jour le 2 juillet 2026, les règles concernant ces systèmes financiers à haut risque doivent s’appliquer à compter du 2 décembre 2027. L’ACPR a été désignée comme autorité française de surveillance du marché pour les systèmes à haut risque relevant du secteur financier.
Applicable depuis le 17 janvier 2025, DORA renforce la résilience opérationnelle numérique des entités financières. Ses principales exigences concernent la gestion du risque informatique, le signalement des incidents, les tests de résilience et la gestion des risques liés aux prestataires de services numériques.
Un fournisseur d’IA ou de cloud doit donc être intégré à la gouvernance des risques de tiers, notamment lorsque son service soutient une fonction critique ou importante.
L’organisation doit identifier les outils déjà utilisés, les métiers concernés, les données accessibles et les décisions susceptibles d’être influencées.
Cette cartographie permet de distinguer un assistant rédactionnel sans données personnelles d’un modèle intervenant dans l’analyse d’un dossier de crédit ou d’un sinistre.
Chaque projet peut être évalué selon plusieurs critères : sensibilité des données, impact sur les personnes, criticité opérationnelle, niveau d’automatisation, exposition à Internet et dépendance à un tiers.
Les premiers pilotes peuvent porter sur des données fictives, synthétiques, anonymisées ou déjà publiques.
La minimisation doit rester le principe directeur. Il convient de supprimer les champs inutiles, de pseudonymiser les identifiants et de masquer les informations confidentielles avant tout traitement.
La CNIL recommande notamment le recours à des données fictives ou synthétiques lorsque les données réelles ne sont pas nécessaires, ainsi que le chiffrement des sauvegardes et des communications.
Selon le niveau de risque, l’organisation peut privilégier une instance dédiée, un environnement privé ou une architecture hébergée dans une infrastructure qu’elle maîtrise davantage.
Le contrat doit préciser la localisation des données, leur durée de conservation, les sous-traitants, les conditions de réutilisation, les mesures de chiffrement, les journaux disponibles, les droits d’audit et les modalités de sortie.
L’humain ne doit pas simplement valider automatiquement la proposition du modèle. Il doit disposer du temps, des informations et de l’autorité nécessaires pour la comprendre, la corriger ou la rejeter.
Cette supervision est particulièrement importante pour les décisions qui affectent l’octroi d’un crédit, une tarification, une souscription ou une indemnisation.
Avant la mise en production, il est nécessaire de tester la précision, la robustesse, la sécurité, les biais et les scénarios d’usage détourné.
Après le déploiement, l’organisation doit suivre les dérives du modèle, les incidents, les changements de version, les accès et les résultats anormaux. La documentation doit permettre de relier une décision à une version du modèle, à des données et à des règles de validation.
Une charte seule ne suffit pas. Les collaborateurs doivent savoir quelles données peuvent être utilisées, quels outils sont autorisés, comment vérifier une réponse et à qui signaler un incident.
La formation à l’IA doit associer les métiers, la DSI, le RSSI, le DPO, la conformité, les équipes juridiques et les fonctions de contrôle.
Une IA responsable ne repose pas uniquement sur le choix d’un modèle. Elle dépend d’un ensemble cohérent de responsabilités, de contrôles et d’infrastructures.
La gouvernance définit les cas d’usage autorisés, les propriétaires des risques et les étapes de validation. La cybersécurité protège les données, les identités, les interfaces et les composants techniques. Le cloud fournit les capacités d’hébergement et de traitement, tout en soulevant des questions de localisation, de dépendance et de réversibilité.
Un cloud privé ou localisé en France ne garantit donc pas, à lui seul, la conformité. Il doit être complété par des contrôles d’accès, du chiffrement, une journalisation, une supervision, des sauvegardes, des tests de continuité et une gouvernance des prestataires.
Le déploiement d’une IA sécurisée nécessite de coordonner des compétences métiers, réglementaires, cloud et cyber. Tenexa présente plusieurs expertises pouvant contribuer à cette démarche, selon le périmètre du projet.
Ses activités de gouvernance, risques et conformité comprennent notamment l’audit, l’analyse des risques, l’accompagnement réglementaire et la structuration de la gouvernance cyber. Sa démarche de cybersécurité couvre la prévention, la détection, la réponse aux incidents et la conformité.
Pour les projets nécessitant une maîtrise renforcée de l’hébergement, Tenexa propose également le cloud privé français Horizon, présenté comme conçu et managé par ses équipes, avec des infrastructures situées en France. La page de service mentionne des prestations d’audit, de migration sécurisée, de cloud privé managé et d’hybridation.
Enfin, la page consacrée aux solutions IT pour les banques, les finances et les assurances mentionne notamment l’accompagnement DORA, les infrastructures et clouds managés, la supervision, les services de production applicative et les dispositifs de cybersécurité.
Cette combinaison permet d’aborder un projet d’IA non comme un outil isolé, mais comme un nouveau composant du système d’information, avec ses données, ses dépendances, ses risques et ses obligations.
L’IA en banque et assurance peut améliorer la relation client, fluidifier les opérations, renforcer la détection de fraude et faciliter l’analyse de volumes importants d’informations.
Mais ces bénéfices ne peuvent être durables que si les données restent maîtrisées. Cartographier les usages, sélectionner une architecture adaptée, encadrer les fournisseurs, tester les modèles, conserver une supervision humaine et former les équipes sont les conditions d’une innovation responsable.
La sécurité ne doit pas intervenir après le pilote. Elle doit faire partie du projet dès sa conception.
Sources utilisées
• Commission européenne — Cadre réglementaire européen sur l’intelligence artificielle.
• ACPR — Règlement européen sur l’IA et calendrier applicable au secteur financier.
• ACPR — Digital Operational Resilience Act, ou DORA.
• ACPR — Gouvernance et évaluation des algorithmes d’IA dans le secteur financier.
• CNIL — Sécurité du développement des systèmes d’intelligence artificielle.
• CNIL — Analyse d’impact relative à la protection des données.
• CNIL — Profilage, décisions automatisées et droit à l’intervention humaine.
• CNIL — Données de paiement et protection de la vie privée.
• CNIL — Définition et protection des données de santé.
• ANSSI — Recommandations de sécurité pour un système d’IA générative.
• ANSSI — Approche par les risques cyber pour développer une IA de confiance.
• EIOPA — Gouvernance et gestion des risques liés à l’IA dans l’assurance.