Conformité du secteur de l’assurance : RGPD, AI Act, DORA & NIS2

Pourquoi le secteur « Assurance » est concerné

L’assurance manipule des données personnelles à grande échelle et, pour de nombreuses branches, des données de santé : questionnaires de souscription en prévoyance et emprunteur, données de sinistres, informations médicales. Ces données relèvent de la catégorie sensible du RGPD, dont le traitement est interdit sauf exception strictement encadrée.

L’IA est au cœur du métier : tarification actuarielle, souscription automatisée, détection de fraude, gestion des sinistres. L’AI Act classe expressément l’évaluation des risques et la tarification en assurance vie et santé, à l’égard des personnes physiques, parmi les usages à haut risque — avec les obligations les plus lourdes. La détection de fraude en est exclue à ce titre, mais reste soumise au RGPD.

Comme entité financière, l’assureur relève de DORA pour sa résilience opérationnelle numérique. NIS2, qui vise aussi le secteur financier, s’applique de façon résiduelle : DORA, texte sectoriel, prévaut pour la gestion du risque TIC et la notification des incidents.

DORA — la résilience opérationnelle de l’assureur

Les entreprises d’assurance et de réassurance sont des entités financières pleinement soumises à DORA depuis le 17 janvier 2025 : gestion des risques TIC, gestion et notification des incidents, tests de résilience, gestion des prestataires TIC tiers via un registre d’information, et partage d’informations.

Un principe de proportionnalité module les obligations selon la taille et le profil de risque.

Obligations clés

• Cadre de gestion des risques TIC piloté par la direction.
• Classification et notification des incidents TIC majeurs.
• Programme de tests de résilience.
• Registre d’information et encadrement contractuel des prestataires TIC.

AI Act — tarification vie et santé à haut risque

L’évaluation des risques et la tarification en assurance vie et santé, appliquées à des personnes physiques, sont classées à haut risque par l’AI Act. Les systèmes concernés supportent des obligations lourdes : gestion des risques, qualité et représentativité des données, maîtrise des biais, supervision humaine, documentation.

La détection de fraude est exclue de ce classement au même titre, mais reste soumise au RGPD ; les usages internes ou conversationnels relèvent de régimes plus légers.

Obligations clés

• Classer les systèmes (tarification vie/santé = haut risque).
• Qualité des données et maîtrise des biais.
• Supervision humaine et information des assurés.
• Documentation technique et évaluation de conformité.

RGPD — données de santé et profilage

L’assureur est responsable de traitement pour des données souvent sensibles : santé en emprunteur, prévoyance et complémentaire santé. Il doit identifier une exception au traitement des données de santé, encadrer le profilage et les décisions automatisées, et maîtriser durées de conservation et sécurité.

Certaines pratiques (questionnaire médical) sont par ailleurs encadrées par des règles sectorielles nationales.

Obligations clés

• Exception légale pour le traitement des données de santé.
• Encadrement du profilage et des décisions automatisées.
• Durées de conservation adaptées (sinistres, contrats).
• Sécurité et traçabilité de niveau élevé.

NIS2 — secteur financier, articulé avec DORA

Le secteur financier, dont l’assurance, entre dans le champ de NIS2. Mais pour la gestion du risque TIC et la notification des incidents, DORA prévaut comme réglementation sectorielle. NIS2 conserve une portée résiduelle ; l’enjeu est d’articuler les deux sans dupliquer les dispositifs.

Obligations clés

• Comprendre l’articulation NIS2 / DORA (DORA prévaut pour le TIC).
• Cohérence des mesures de sécurité avec DORA.
• Coordination des notifications d’incident.

Vue comparée des réglementations

Comment ces réglementations s’articulent

Deux articulations structurent la conformité d’un assureur. D’abord NIS2 / DORA : DORA, texte sectoriel, prévaut pour la gestion du risque TIC et la notification des incidents des entités financières ; l’assureur structure donc sa résilience autour de DORA et n’applique NIS2 que de façon résiduelle.

Ensuite RGPD / AI Act, particulièrement marqué dans l’assurance : la tarification vie et santé combine des données personnelles sensibles (santé) — donc une exception RGPD, une information et un encadrement du profilage — et un système à haut risque au sens de l’AI Act (qualité des données, maîtrise des biais, supervision, documentation). Les deux régimes doivent être traités conjointement, sous peine de laisser un risque de discrimination non maîtrisé.

Calendrier d’application

• 1DORA. Applicable depuis le 17 janvier 2025.
• 2RGPD. En vigueur ; vigilance sur les données de santé et le profilage.
• 3AI Act. haut risque : Obligations principales à partir du 2 août 2026 pour la tarification vie/santé.
• 4NIS2. Application résiduelle, DORA prévalant pour le risque TIC.

Sanctions encourues

Les régimes se cumulent : RGPD jusqu’à 20 M€ ou 4 % du CA mondial, AI Act jusqu’à 35 M€ ou 7 %. DORA relève d’un régime prudentiel (pouvoirs de surveillance et de sanction des autorités, astreintes pour les prestataires critiques). NIS2 prévoit jusqu’à 10 M€ ou 2 %, mais son application est résiduelle dans l’assurance.

Le risque spécifique du secteur tient aux données de santé et à la tarification : un biais dans un modèle de tarification peut constituer à la fois un manquement AI Act, une atteinte au RGPD et une pratique discriminatoire.

Feuille de route de mise en conformité

• 1Structurer la résilience autour de DORA. Bâtir le cadre de gestion des risques TIC, la classification des incidents et le registre des prestataires, en articulant NIS2 de façon résiduelle.
• 2Maîtriser l’IA à haut risque. Identifier les systèmes de tarification vie/santé et déployer gestion des risques, qualité des données, maîtrise des biais, supervision et documentation.
• 3Sécuriser les données de santé. Encadrer l’exception RGPD, l’hébergement, le profilage et la conservation pour les données de santé.
• 4Traiter conjointement RGPD et AI Act. Articuler information, profilage et exigences haut risque sur la tarification et la souscription.
• 5Piloter au niveau direction. Faire porter résilience et conformité par la direction, conformément aux exigences prudentielles.

Comment Data Comply One accompagne le secteur

Data Comply One couvre RGPD, AI Act, NIS2 et DORA sur une plateforme unique, avec DPO et RSSI externalisés — l’ensemble du spectre réglementaire de l’assurance. L’approche intégrée facilite l’articulation NIS2 / DORA et le traitement conjoint du cumul RGPD / AI Act sur la tarification.

DCO propose des modèles adaptés aux entités financières et aux données de santé (registre des prestataires TIC, procédures d’incident, AIPD santé, documentation AI Act pour la tarification).

Questions fréquentes