Assurance embarquée (embedded insurance) via API sur plateforme e-commerce : obligations DDA, ACPR et ORIAS de l’intermédiaire en assurance en 2025

L’embedded insurance — ou assurance embarquée — désigne la distribution d’un contrat d’assurance intégrée de façon transparente dans le parcours d’achat d’un produit ou service tiers, via une API connectée à une plateforme e-commerce. L’utilisateur souscrit une garantie (bris d’écran, annulation de voyage, protection achat) sans jamais quitter l’interface marchande. Ce modèle, en pleine expansion en 2025, soulève une question juridique fondamentale : quelles obligations réglementaires pèsent sur l’intermédiaire en assurance qui opère en coulisses via cette architecture technique ? La réponse engage simultanément le cadre de la Directive sur la Distribution d’Assurances (DDA), le contrôle de l’ACPR et les règles d’immatriculation à l’ORIAS.

Qu’est-ce que l’assurance embarquée via API ? Définition et enjeux réglementaires

Dans un modèle d’assurance embarquée, le contrat d’assurance est proposé au consommateur comme une option native du tunnel d’achat, sans qu’un acte de démarchage explicite soit perceptible. Techniquement, une API relie en temps réel le système d’information de la plateforme marchande au back-end de l’assureur ou de l’intermédiaire, transmettant les données du produit, du prix, du profil client et générant une attestation instantanée. Ce flux automatisé ne supprime en rien les obligations légales : il les déplace et les complexifie.

Sur le plan juridique, toute personne qui, à titre habituel, propose ou présente des contrats d’assurance, exerce une activité d’intermédiation en assurance au sens de l’article L511-1 du Code des assurances. Le canal numérique — fût-il une simple redirection API — ne constitue pas une exemption. L’ACPR a confirmé cette position dans ses orientations de supervision : l’automatisation du parcours de souscription ne fait pas disparaître l’intermédiaire ; elle l’invisibilise aux yeux du consommateur, mais le rend d’autant plus responsable vis-à-vis du régulateur.

Il convient de distinguer deux configurations courantes : (1) la plateforme e-commerce agit comme intermédiaire d’assurance à titre accessoire (IAS 3) en proposant directement l’assurance liée à son activité principale ; (2) la plateforme intègre via API le service d’un courtier (IAS 1) ou d’un mandataire (IAS 2) tiers qui conserve la responsabilité de la distribution. Dans les deux cas, une immatriculation ORIAS est obligatoire pour l’entité qui distribue effectivement le contrat.

Immatriculation ORIAS et catégorie IAS applicable à la distribution via API

Le registre ORIAS classe les intermédiaires en quatre catégories principales : COA (courtier en assurances), AGA/AOA (agent général / agent d’assurances), MIA (mandataire d’intermédiaire en assurances) et MIIA (mandataire d’intermédiaire en assurances à titre accessoire). La plateforme e-commerce qui intègre un module d’assurance dans son tunnel de vente peut relever de la catégorie MIIA si l’assurance est accessoire à sa prestation principale et si elle agit pour le compte d’un intermédiaire mandant dûment immatriculé. Dans ce cas, elle doit elle-même être immatriculée à l’ORIAS dans cette catégorie.

En revanche, si la plateforme pilote elle-même le parcours de conseil, sélectionne les garanties proposées et perçoit une rémunération liée à la distribution (commission sur prime), elle ne peut pas se contenter d’une simple mention MIIA : elle devra démontrer qu’elle dispose de la capacité professionnelle IAS adéquate — soit IAS 1 pour un courtier, soit IAS 2 pour un mandataire lié à un ou plusieurs assureurs. Cette distinction est structurante car elle conditionne les exigences de fonds propres, la responsabilité civile professionnelle obligatoire et les garanties financières.

Le non-respect de cette obligation d’immatriculation est constitutif d’une infraction pénale au titre de l’article L513-1 du Code des assurances et peut entraîner la radiation ORIAS pour les entités déjà immatriculées, comme le rappelle notre analyse sur les conséquences réelles d’une radiation ORIAS pour défaut de RC professionnelle ou de garantie financière. L’ACPR dispose d’un pouvoir de contrôle sur pièces et sur place pour vérifier la conformité de ces architectures distribuées.

Obligations DDA applicables à l’embedded insurance : devoir de conseil et information précontractuelle

La Directive sur la Distribution d’Assurances 2016/97/UE, transposée en droit français aux articles L520-1 et suivants du Code des assurances, impose à tout distributeur — quel que soit son canal — de recueillir les besoins et exigences du client avant toute souscription. Dans un parcours embarqué automatisé via API, cette obligation ne peut pas être réduite à une case à cocher. L’intermédiaire doit s’assurer que le parcours numérique collecte réellement des informations pertinentes sur le profil, la situation et les attentes du souscripteur, et que la garantie proposée y correspond objectivement.

La fiche d’information standardisée IPID (Insurance Product Information Document) doit être remise au client avant la conclusion du contrat, dans un format lisible et accessible — ce qui implique, dans un parcours API, que le document soit affiché ou téléchargeable avant la validation du paiement, et non après. L’ACPR considère que tout système qui retarde ou dissimule la remise de l’IPID constitue un manquement au devoir d’information précontractuelle, exposant l’intermédiaire à des sanctions administratives. La question du recueil des besoins soulève également des enjeux RGPD analysés dans notre article sur les obligations RGPD du recueil des besoins client imposé par la DDA.

Le devoir de conseil impose en outre à l’intermédiaire de justifier que le produit recommandé correspond aux besoins identifiés. Dans un modèle embarqué, où le contrat est souvent unique et non comparé, l’intermédiaire devra veiller à ce que le parcours numérique ne s’apparente pas à une simple vente poussée. Les règles de gouvernance produit (POG) — issues de l’article 25 de la Directive DDA — obligent le distributeur à vérifier que le marché cible défini par le concepteur correspond bien à la clientèle effectivement atteinte par le tunnel e-commerce.

Contrôle ACPR et obligations de traçabilité dans un dispositif API

L’ACPR, autorité de supervision des intermédiaires en assurance en France, exerce un contrôle croissant sur les dispositifs de distribution numérique. Dans le cadre de l’embedded insurance via API, plusieurs points de vigilance sont systématiquement vérifiés lors d’un contrôle : la traçabilité des flux d’information précontractuelle, la preuve de remise de l’IPID, les logs de consentement du client, ainsi que la chaîne contractuelle entre la plateforme, l’intermédiaire et l’assureur porteur du risque.

L’intermédiaire doit conserver pendant deux ans minimum les preuves de chaque interaction de conseil, conformément aux obligations d’archivage DDA. Dans un environnement API, cela suppose une architecture de journalisation des événements (event logging) permettant de reconstituer, pour chaque souscription, quel contenu informatif a été affiché, à quel moment, et si le client a eu la possibilité de poser des questions. Ces exigences d’archivage et de traçabilité du devoir de conseil DDA sont précisément détaillées sur notre page dédiée aux durées de conservation et preuves exigées par l’ACPR.

Par ailleurs, l’ACPR attend de l’intermédiaire qu’il dispose d’un dispositif de contrôle interne adapté à son mode de distribution. Pour un opérateur d’embedded insurance, cela implique notamment : des procédures de contrôle de la qualité du conseil automatisé, un dispositif de gestion des réclamations accessible et visible depuis la plateforme partenaire, ainsi qu’une procédure de révision périodique de l’adéquation du produit à son marché cible. L’article L612-1 du Code monétaire et financier donne à l’ACPR le pouvoir de mettre en demeure, de sanctionner financièrement ou de retirer l’autorisation d’exercer tout intermédiaire en infraction.

La formation DDA 15 heures : une obligation qui s’applique aussi aux intervenants de l’embedded insurance

L’une des obligations souvent sous-estimées dans les modèles d’assurance embarquée est celle de la formation continue DDA. Aux termes de l’article R512-9 du Code des assurances, toute personne physique qui participe à la distribution d’assurances — y compris dans un cadre numérique automatisé — doit suivre 15 heures de formation par an. Cette obligation s’applique aux collaborateurs de l’intermédiaire qui configurent, supervisent et maintiennent le dispositif API de distribution, dès lors qu’ils exercent une activité de distribution au sens de la DDA.

Dans le contexte de l’embedded insurance, une question pratique se pose : les équipes techniques (développeurs, intégrateurs API) sont-elles soumises à cette obligation ? La réponse dépend de leur rôle réel. Si leur intervention se limite à la maintenance technique du connecteur sans aucune intervention dans la définition du parcours de conseil ou dans la sélection du produit, ils peuvent être exonérés. En revanche, dès qu’un collaborateur participe à la conception du tunnel de souscription, à la définition des règles de tarification affichées ou au paramétrage des questions de recueil des besoins, il entre dans le périmètre de la distribution et doit suivre la formation DDA obligatoire. La question de la gouvernance produit (POG) est également centrale dans ce dispositif, comme l’explique notre article sur les obligations POG pour l’intermédiaire en assurance.

Les organismes de formation doivent être référencés ou reconnus par l’ACPR pour que les heures soient valablement comptabilisées. Il est impératif de vérifier la conformité de l’organisme choisi avant toute inscription, sous peine de ne pas pouvoir justifier du respect de l’obligation lors d’un contrôle. Selon le registre officiel ORIAS, toute personne physique soumise à la DDA doit être en mesure de produire ses attestations de formation à tout moment.

Questions fréquentes

Une plateforme e-commerce qui intègre une assurance via API doit-elle s’immatriculer à l’ORIAS ?

Oui, dans la quasi-totalité des cas. Toute plateforme qui présente, propose ou aide à conclure un contrat d’assurance dans son tunnel de vente exerce une activité d’intermédiation en assurance au sens de l’article L511-1 du Code des assurances. Elle doit être immatriculée à l’ORIAS dans la catégorie correspondant à son rôle réel : MIIA si l’assurance est strictement accessoire et qu’elle agit pour le compte d’un intermédiaire mandant, ou MIA/COA si elle pilote le conseil et la distribution. L’absence d’immatriculation expose la plateforme et ses dirigeants à des sanctions pénales et administratives.

Le devoir de conseil DDA s’applique-t-il à un parcours de souscription 100 % automatisé ?

Oui, sans aucune exception. La Directive DDA 2016/97/UE et les articles L520-1 et suivants du Code des assurances ne prévoient pas d’exemption pour les parcours numériques automatisés. L’intermédiaire doit démontrer que son dispositif API collecte effectivement les besoins et exigences du client, remet l’IPID avant la souscription et conserve les preuves de ces étapes. Un parcours « one-click » sans recueil d’information constitue un manquement caractérisé au devoir de conseil, sanctionnable par l’ACPR. La Directive DDA 2016/97/UE publiée sur Eur-Lex précise explicitement ces obligations pour tous les canaux de distribution.

Quelles sanctions l’ACPR peut-elle prononcer contre un intermédiaire distribuant de l’assurance embarquée hors conformité ?

L’ACPR dispose d’un arsenal de sanctions graduées : mise en demeure, injonction de se conformer, publication d’un avertissement ou d’un blâme, suspension temporaire d’activité, retrait d’agrément ou radiation de l’ORIAS, et amendes administratives pouvant atteindre 100 millions d’euros ou 10 % du chiffre d’affaires annuel pour les manquements les plus graves, conformément à l’article L612-39 du Code monétaire et financier sur Légifrance. Dans le domaine de l’embedded insurance, les contrôles portent prioritairement sur la traçabilité du conseil, la remise de l’IPID et la conformité de la chaîne d’intermédiation.

La formation DDA 15 heures annuelle est-elle obligatoire pour les opérateurs d’une solution d’assurance embarquée ?

Oui, pour toutes les personnes physiques qui participent à la distribution — même dans un modèle API automatisé. Les collaborateurs qui configurent le parcours de souscription, définissent les règles de conseil ou supervisent la conformité du dispositif sont soumis à l’obligation de 15 heures de formation continue par an au titre de la DDA. Les équipes purement techniques sans intervention dans le conseil peuvent en être exonérées. academieconformite.fr propose des parcours DDA en ligne adaptés aux professionnels de la distribution numérique, permettant de satisfaire cette obligation tout en approfondissant les spécificités de l’assurance embarquée et des nouveaux modèles de distribution digitaux.