Chatbot et agent IA pour le recueil des besoins client : quelles obligations ACPR et DDA s’imposent au courtier en assurance ?

L’essor des chatbots et des agents conversationnels basés sur l’intelligence artificielle transforme profondément la relation client dans le secteur de l’assurance. De plus en plus de courtiers envisagent ou déploient déjà ces outils pour automatiser le recueil des exigences et des besoins du client, première étape obligatoire du conseil au titre de la Directive sur la Distribution d’Assurances (DDA). Pourtant, cette automatisation soulève des questions réglementaires précises et exigeantes : l’ACPR (Autorité de Contrôle Prudentiel et de Résolution) considère que le recours à un outil numérique ne dispense en aucun cas l’intermédiaire en assurance de ses obligations légales de conseil, de traçabilité et de responsabilité. Cet article fait le point exhaustif sur les obligations DDA et ACPR applicables au courtier qui utilise un chatbot ou un agent IA pour le recueil des besoins client.

Le cadre juridique DDA applicable au recueil des exigences et besoins du client

La Directive DDA 2016/97/UE, transposée en droit français aux articles L521-1 et suivants du Code des assurances, impose à tout intermédiaire en assurance de recueillir, avant la conclusion de tout contrat, les exigences et les besoins du client, ainsi que les raisons qui motivent le conseil fourni. Cette obligation s’applique quelle que soit la forme du recueil : entretien physique, téléphonique, formulaire web ou, désormais, conversation avec un chatbot ou un agent IA. La loi ne distingue pas selon le canal utilisé ; elle impose un résultat : un conseil adapté, documenté et traçable.

Le devoir de conseil implique que l’outil utilisé permette d’identifier la situation personnelle du client (patrimoine, revenus, situation familiale, couvertures existantes), ses objectifs et sa tolérance au risque. Un chatbot qui se contenterait de collecter des données brutes sans les analyser au regard des produits proposés ne satisferait pas aux exigences de la DDA. L’ACPR a clairement indiqué, dans ses lignes directrices sur la distribution en ligne, que la qualité du conseil ne peut être sacrifiée à la rapidité ou à l’automatisation du parcours client. Le courtier reste personnellement responsable de la conformité du processus de recueil, même s’il délègue l’interaction à une machine.

Il convient de distinguer deux niveaux d’obligation selon la complexité du produit distribué. Pour les produits simples relevant du niveau d’information de base, le recueil peut être allégé mais doit néanmoins exister. Pour les produits d’assurance-vie, les contrats de capitalisation ou tout produit comportant une composante d’investissement (PRIIP), le niveau d’exigence est sensiblement plus élevé et impose une analyse approfondie de l’adéquation entre les besoins relevés et le produit recommandé.

Les obligations spécifiques de traçabilité et de documentation imposées par l’ACPR

L’une des exigences les plus critiques lors du déploiement d’un chatbot ou d’un agent IA dans le processus de distribution est la traçabilité complète des échanges. L’ACPR exige que le courtier soit en mesure de produire, en cas de contrôle ou de litige, l’intégralité des interactions ayant conduit à la formulation d’un conseil. Cela signifie que les logs de conversation, les données collectées, les inférences réalisées par l’IA et les recommandations formulées doivent être conservés dans des conditions garantissant leur intégrité, leur horodatage et leur non-altération.

L’article L521-2 du Code des assurances impose la remise d’un document écrit précisant les exigences et besoins exprimés par le preneur d’assurance ainsi que les raisons motivant le conseil. Lorsque ce document est généré automatiquement par un agent IA, il doit respecter les mêmes standards de fond qu’un document rédigé par un conseiller humain. Il ne peut se limiter à une liste de cases cochées : il doit refléter une analyse personnalisée. L’ACPR peut sanctionner un courtier dont le système automatisé produirait des documents de conseil stéréotypés, non différenciés selon les profils clients.

La conservation des données doit être conforme aux dispositions du RGPD (Règlement Général sur la Protection des Données) et aux exigences du Code des assurances, généralement fixées à une durée minimale de cinq ans après la fin du contrat. Le système IA doit donc s’intégrer dans une architecture informatique garantissant la durabilité et la sécurité des archives. Le courtier doit également être en mesure de restituer ces données en cas de demande de l’ACPR lors d’un contrôle sur place ou sur pièces. Pour mieux comprendre les enjeux liés aux sanctions potentielles en cas de défaillance, vous pouvez consulter notre article sur les sanctions disciplinaires ACPR applicables aux intermédiaires en assurance.

Le principe de contrôle humain et la responsabilité du courtier dans le parcours IA

L’un des enjeux centraux de l’utilisation d’un agent IA en distribution d’assurance est la question du contrôle humain. L’ACPR, dans ses positions et dans le cadre des travaux conjoints avec l’Autorité Européenne des Assurances et des Pensions Professionnelles (EIOPA), insiste sur la nécessité de prévoir des mécanismes de supervision humaine dans tout processus automatisé de conseil. Le règlement européen sur l’IA (AI Act), entré en vigueur en 2024, classe les systèmes d’IA utilisés pour évaluer la solvabilité ou formuler des recommandations financières dans les catégories à risque élevé, impliquant des obligations renforcées de surveillance, d’audit et de documentation.

Concrètement, le courtier doit définir dans ses procédures internes les cas dans lesquels l’intervention d’un conseiller humain est obligatoire : situations de vulnérabilité du client détectée par le chatbot, demandes complexes, incohérences dans les réponses, produits à fort enjeu financier. L’outil IA ne peut jamais être l’unique point de contact pour la finalisation d’un conseil engageant. Le principe dit de « human in the loop » doit être formalisé dans la politique de distribution du cabinet. Cette exigence rejoint les obligations générales de gouvernance des produits prévues par la DDA, qui imposent au distributeur de s’assurer que les produits sont distribués de manière adaptée au marché cible défini par le concepteur.

La responsabilité du courtier en cas de manquement ne peut être transférée à l’éditeur du logiciel IA. L’intermédiaire en assurance immatriculé à l’ORIAS reste l’unique responsable légal du processus de distribution vis-à-vis de l’ACPR et du client. Il doit donc procéder à des audits réguliers du fonctionnement de l’outil IA, vérifier que les recommandations générées sont conformes aux obligations DDA, et documenter ces contrôles. Cette approche s’apparente à la supervision que doit exercer un courtier sur ses mandataires IAS 2, comme nous l’analysons dans notre article dédié aux obligations de supervision des mandataires IAS 2 salariés.

Tableau comparatif des obligations selon la catégorie IAS du distributeur utilisant un agent IA

Ce tableau illustre que quelle que soit la catégorie d’immatriculation, aucun intermédiaire ne peut s’exonérer des obligations DDA sous prétexte que le recueil est automatisé. La différence réside dans la chaîne de responsabilité : le courtier IAS 1 qui confie un mandat à un IAS 3 utilisant un chatbot reste responsable de la conformité du processus, comme l’analyse notre article sur le mandat de gestion confié à un mandataire IAS 3.

Les obligations de formation continue DDA face à l’intégration de l’IA

Le déploiement d’un chatbot ou d’un agent IA dans le parcours de distribution ne modifie pas les obligations de formation continue DDA de 15 heures par année civile, imposées par l’position de l’ACPR sur la formation DDA. Ces heures restent dues pour toutes les personnes physiques qui participent à la distribution, y compris celles qui supervisent ou paramètrent les outils IA utilisés dans le processus de conseil. L’ACPR considère que la maîtrise des outils numériques de distribution fait partie intégrante des compétences professionnelles attendues d’un intermédiaire.

Plus précisément, les personnes chargées de superviser les recommandations générées par l’IA, de valider les parcours clients automatisés ou d’intervenir en cas d’escalade doivent disposer d’une connaissance approfondie des produits distribués et des règles DDA. Un courtier qui déploierait un chatbot sans s’assurer que ses collaborateurs superviseurs ont suivi leur formation annuelle s’exposerait à une double sanction : pour défaut de formation et pour insuffisance du dispositif de contrôle. Les formations disponibles sur academieconformite.fr permettent de satisfaire à ces obligations tout en intégrant les nouvelles dimensions liées à la distribution digitale.

Il est également important de noter que la formation DDA doit couvrir les branches d’assurance effectivement distribuées. Un courtier utilisant un chatbot pour distribuer à la fois des produits IARD, santé et vie doit s’assurer que ses heures de formation couvrent chacune de ces branches, conformément aux exigences de l’ACPR. La maîtrise de la réglementation applicable à chaque branche est un prérequis indispensable pour concevoir un parcours IA conforme.

Les points de vigilance pratiques pour un déploiement conforme d’un agent IA

Au-delà des obligations théoriques, le courtier qui envisage de déployer un chatbot ou un agent IA pour le recueil des besoins doit mettre en place un ensemble de mesures pratiques. La conformité DDA dans un contexte d’IA se construit en amont, dès la phase de conception du système, et non en aval lors d’un contrôle.

• Cartographie des risques de non-conformité : identifier les étapes du parcours IA susceptibles de ne pas satisfaire aux exigences DDA (questions trop génériques, absence d’analyse d’adéquation, recommandation non motivée).
• Rédaction d’une politique de distribution digitale : document interne formalisant le rôle du chatbot, les cas d’escalade humaine obligatoire, les modalités de supervision et les procédures de contrôle périodique.
• Validation juridique des scripts conversationnels : chaque scénario de dialogue doit être validé par un juriste spécialisé en droit des assurances pour s’assurer que les questions posées couvrent l’ensemble des éléments requis par l’article L521-2 du Code des assurances.
• Tests réguliers du système : l’outil IA doit faire l’objet de tests de conformité périodiques, en simulant différents profils clients, et les résultats doivent être documentés et archivés.
• Information préalable du client : le client doit être clairement informé qu’il interagit avec un système automatisé et doit avoir la possibilité de demander à tout moment à être mis en relation avec un conseiller humain, conformément aux droits reconnus par le RGPD et aux principes de transparence de la DDA.
• Clause contractuelle avec l’éditeur IA : le contrat avec le fournisseur de la solution IA doit préciser les obligations de ce dernier en matière de sécurité des données, de mises à jour réglementaires et de responsabilité en cas de dysfonctionnement.
• Registre des incidents : tenir un journal des cas où le chatbot a produit des recommandations inadaptées ou des erreurs, avec les mesures correctives prises.

La communication commerciale liée à un service de conseil automatisé est également soumise aux règles DDA et aux recommandations de l’ACPR sur la publicité. Un courtier qui mettrait en avant son chatbot IA comme outil de conseil doit veiller à ne pas induire le client en erreur sur la nature du service rendu. Pour approfondir ce point, notre analyse sur les obligations DDA liées à la publicité en ligne du courtier offre un éclairage complémentaire utile.

Enfin, le courtier doit anticiper l’évolution du cadre réglementaire. L’article 17 de la Directive DDA 2016/97/UE imposant l’honnêteté, l’équité et le professionnalisme dans l’intérêt du client sera de plus en plus interprété à la lumière des textes spécifiques à l’IA. Les courtiers qui auront documenté et maîtrisé leur processus dès aujourd’hui seront mieux armés pour faire face aux futures exigences réglementaires.

Questions fréquentes

Un chatbot peut-il légalement remplacer un conseiller humain pour le recueil des besoins DDA ?

Non, un chatbot ou un agent IA ne peut pas légalement remplacer intégralement un conseiller humain pour le recueil des besoins au titre de la DDA. Il peut assister et automatiser une partie du processus, mais le courtier reste personnellement responsable de la qualité et de la conformité du conseil. L’ACPR exige qu’un mécanisme de supervision humaine soit prévu, notamment pour les situations complexes, les produits à fort enjeu ou les clients en situation de vulnérabilité. Le document de conseil final doit refléter une analyse personnalisée et ne peut se limiter à une synthèse automatisée non vérifiée.

Quelles sanctions l’ACPR peut-elle prononcer en cas de défaillance du dispositif IA ?

L’ACPR dispose d’un large spectre de sanctions. En cas de défaillance du dispositif IA conduisant à des manquements aux obligations DDA, le courtier s’expose à des sanctions disciplinaires allant de l’avertissement au retrait d’agrément, en passant par des amendes pouvant atteindre plusieurs millions d’euros. L’ACPR peut également prononcer une interdiction temporaire d’exercice. Ces sanctions sont susceptibles d’être publiées, ce qui affecte la réputation du cabinet. La responsabilité civile du courtier vis-à-vis des clients mal conseillés peut également être engagée sur le fondement du droit commun.

La formation DDA de 15 heures couvre-t-elle les compétences liées à l’utilisation de l’IA en distribution ?

La formation DDA de 15 heures annuelles obligatoire couvre les compétences professionnelles nécessaires à la distribution d’assurances, y compris les aspects liés aux outils numériques et aux nouvelles méthodes de distribution. Les organismes de formation agréés, comme academieconformite.fr, proposent des modules intégrant les enjeux de la digitalisation du conseil et les obligations réglementaires associées. La maîtrise des outils IA utilisés dans le processus de distribution est considérée par l’ACPR comme une composante des compétences professionnelles attendues. Il est donc recommandé que les formations annuelles incluent des modules spécifiques sur la distribution digitale et l’IA.

Le RGPD s’applique-t-il aux données collectées par un chatbot en assurance ?

Oui, le RGPD s’applique pleinement aux données collectées par un chatbot ou un agent IA dans le cadre du recueil des besoins client en assurance. Le courtier est qualifié de responsable de traitement et doit notamment : informer le client sur le traitement de ses données, obtenir son consentement pour les traitements qui le requièrent, garantir la sécurité des données, respecter les durées de conservation légales (minimum 5 ans après fin de contrat en assurance) et être en mesure de répondre aux demandes d’accès, de rectification ou d’effacement. Le sous-traitant éditeur de la solution IA doit être lié par un contrat conforme à l’article 28 du RGPD.