Combien d'indemnisations sont refusées chaque année en France parce qu'un algorithme l'a proposé ? Personne ne le sait. Aucune donnée publique ne documente le phénomène, et la prémisse la plus répandue sur le sujet - "l'IA refuse des remboursements" - n'est pas un fait mesuré : c'est une intuition plausible, appuyée sur des cas étrangers et sur la généralisation du traitement automatisé.
Ce qui est solide, en revanche, c'est le cadre juridique déjà applicable, la position d'un superviseur qui n'en est qu'au stade de la méthode, et la progression continue des litiges portés devant la Médiation de l'assurance. La question utile n'est donc pas "l'IA refuse-t-elle ?", mais "qu'est-ce qu'un assureur a le droit d'automatiser, et que pouvez-vous exiger quand la lettre de refus arrive".
Un tri assisté n'est pas une décision automatique
Dans l'immense majorité des dossiers, l'IA ne décide pas : elle classe, elle priorise, elle signale. Un modèle repère les sinistres à fort enjeu, les incohérences entre le constat et les pièces, les suspicions de fraude ; un gestionnaire tranche et signe. Ce tri assisté est licite, et le RGPD ne s'y oppose pas : l'article 22 ne vise que les décisions "fondées exclusivement sur un traitement automatisé" qui produisent des effets juridiques ou affectent la personne de manière significative.
La nuance qui compte tient à l'humain de façade. Les lignes directrices européennes sur les décisions automatisées excluent qu'une intervention de pure forme - un tampon apposé sur un refus déjà calculé - fasse sortir le traitement du champ de l'article 22. Autrement dit, si le gestionnaire valide en trois secondes une proposition de refus sortie d'un score, on reste dans une décision automatisée, avec les droits qui vont avec. Cette appréciation est factuelle : elle dépend de ce que fait réellement l'agent, pas de l'organigramme.
Quand l'article 22 s'applique, le régime est celui d'une interdiction de principe, assortie d'exceptions : nécessité pour la conclusion ou l'exécution du contrat - l'assureur invoquera presque toujours celle-ci -, consentement explicite, ou autorisation légale. L'exception ne suffit pas : elle ouvre un droit à une intervention humaine, à présenter ses observations et à contester la décision. C'est un levier procédural, pas une protection de fond. Et c'est le seul levier de ce genre : aucun texte ne fixe de quota de refus ni ne hiérarchise les motifs légitimes de rejet d'un sinistre.
L'AI Act protège surtout l'assurance vie et santé
Le règlement européen sur l'IA (UE) 2024/1689 est entré en vigueur le 1er août 2024, avec une application échelonnée. Son annexe III classe comme systèmes à haut risque les IA utilisées pour "l'évaluation des risques et la tarification" en assurance vie et en assurance santé. Deux conséquences, contre-intuitives l'une et l'autre.
D'abord, un algorithme qui trie des dossiers de sinistres automobile ou habitation n'est pas, de ce seul fait, un système à haut risque. La gestion de sinistres en non-vie échappe à la classification, alors que c'est précisément là que se joue le mécontentement des assurés. Ensuite, la classification ne porte pas sur la décision de refus mais sur la prédiction du risque et la fixation du prix : le refus d'indemnisation n'est pas dans la liste.
Le statut "haut risque" impose une gestion des risques, une gouvernance des données, une journalisation, une supervision humaine effective, de la transparence et une documentation technique. Il n'interdit pas de refuser. Et son calendrier a glissé : la mise en application des obligations pour les systèmes de l'annexe III, initialement prévue en août 2026, est désormais fixée au 2 décembre 2027. Selon le projet gouvernemental, l'ACPR serait l'autorité de surveillance de marché du règlement pour la banque et l'assurance. D'ici là, l'AI Act n'offre aucun recours direct à un assuré qui conteste un refus.
L'ACPR n'a pas encore fixé de règle
Le superviseur français a publié le 1er juillet 2026 un document de réflexion sur l'équité algorithmique, soumis à consultation jusqu'au 30 septembre, dont la synthèse des réponses est attendue pour la fin de l'année. Quatre chantiers structurent son programme : performance et robustesse, explicabilité, équité, cybersécurité. Le premier document public est consacré à l'équité, et l'ACPR précise lui-même qu'il n'est pas exhaustif et n'exprime pas une position officielle. Autrement dit : rien d'obligatoire pour l'instant.
Trois enseignements en ressortent, qui vous concernent directement.
Le premier est qu'il n'existe pas de définition technique d'un algorithme équitable. L'ACPR distingue trois familles de métriques - indépendance (mêmes taux d'acceptation entre groupes), séparation (mêmes taux d'erreur), suffisance (même valeur prédictive à score donné) - et rappelle qu'elles sont mathématiquement incompatibles dès que les taux de sinistralité diffèrent entre groupes, ce qui est la situation normale en assurance. Choisir une métrique, c'est donc arbitrer entre des conceptions de la justice, pas régler un paramètre. Ce choix doit être justifié et documenté.
Le deuxième est que retirer une variable sensible ne retire pas son effet. Code postal, type de véhicule, parcours professionnel, historique de navigation ou mode de paiement peuvent reconstituer, par corrélation, une origine, un état de santé ou une position sociale. Le contrôle de conformité qui consistait à répondre "nous n'utilisons pas ce critère" est structurellement faible, et le superviseur le signale explicitement.
Le troisième est méthodologique : le contrôle portera sur la distribution des décisions produites, pas sur la liste des variables d'entrée. La question posée à un assureur ne sera plus "utilisez-vous tel critère" mais "montrez ce que votre modèle produit, et pourquoi vous avez choisi cette définition de l'équité".
Il faut y ajouter l'économie du sujet, que l'ACPR pose sans détour. L'assurance repose sur la différenciation du risque : un tarif unique mutualise, un tarif différencié fait payer chacun selon son profil. Toute contrainte d'équité déplace un coût, vers les autres assurés, vers l'assureur ou vers la marge. Le document parle de concilier la différenciation tarifaire "nécessaire à la soutenabilité économique" avec la prévention des traitements injustes. Ce n'est pas une précaution de rédaction : c'est le problème central du métier, et il n'a pas de solution technique.
Symétriquement, l'automatisation produit des gains réels qu'il serait malhonnête d'ignorer : instruction plus rapide des dossiers simples, détection des réseaux de fraude qui pèsent sur les cotisations de tous. Dans un marché où les complémentaires santé ont augmenté leurs tarifs d'environ 25 % en trois ans selon l'UFC-Que Choisir, la pression sur les coûts de gestion est réelle. Le débat n'est pas "IA ou humain" mais "quelles décisions peuvent être déléguées, avec quelle traçabilité et quel droit de regard".
Ce que vous pouvez demander, concrètement
Quelques réflexes, dans l'ordre.
Lisez la lettre de refus à la lettre. Une exclusion de garantie doit être formelle et limitée au sens de l'article L. 113-1 du code des assurances, et c'est à l'assureur de démontrer qu'elle s'applique. Une clause vague, un motif général, et la contestation est ouverte avant même de parler d'algorithme. En assurance automobile, l'assureur doit par ailleurs présenter une offre d'indemnisation dans un délai maximal de trois mois (article L. 211-9).
Demandez par écrit si la décision a été prise exclusivement par un traitement automatisé, et réclamez les informations utiles sur la logique sous-jacente : c'est un droit d'accès (article 15 du RGPD). Posez la question de façon fermée, pour obtenir une réponse fermée. Une réponse écrite vaut mieux qu'un appel au centre de gestion.
Si la réponse est oui, exigez une intervention humaine, présentez vos observations et contestez formellement la décision (article 22, paragraphe 3). L'assureur doit pouvoir vous dire quel fait et quelle clause fondent le refus.
Passez ensuite par la réclamation écrite, puis, après deux mois sans solution satisfaisante, par la Médiation de l'assurance, gratuite (article L. 612-1 du code de la consommation). Elle est très sollicitée : près de 47 000 saisines reçues en 2025, en hausse de 28 % sur un an, environ 21 000 jugées recevables et plus de 14 000 litiges résolus, selon son rapport d'activité. La solution qu'elle propose n'a pas de force obligatoire, mais elle pèse. Un assureur peut même être sanctionné pour avoir refusé le processus lui-même, comme l'a illustré la condamnation de la MAIF.
Enfin, la CNIL si l'on ne vous répond pas sur l'automatisation, et le tribunal si l'enjeu le justifie. Le médiateur relève lui-même que la rédaction et la présentation des contrats restent perfectibles : une part importante des litiges ne vient pas de l'algorithme mais d'une clause mal écrite.
L'explication est l'angle mort
L'ACPR distingue deux volets dans l'explicabilité : la production des explications et leur réception. Une bonne explication est adaptée à son destinataire, et le superviseur avertit qu'une explication peut induire en erreur. Un tableau d'importance des variables, utile à un auditeur, n'explique rien à un assuré.
Le test est simple : la lettre précise-t-elle quel fait, quelle clause et quel raisonnement conduisent au refus ? Si non, le problème est déjà là, avec ou sans IA. Un document de réflexion sur l'explicabilité est attendu au quatrième trimestre 2026 ou au premier trimestre 2027. Pour un assuré, ce texte comptera plus que n'importe quel titre sur des refus automatisés.
Le risque le plus probable n'est pas le robot qui dit non
Une décision de refus entièrement automatisée est juridiquement risquée et commercialement coûteuse. Les usages les plus probables de l'IA se situent en amont : souscription, tarification, priorisation des dossiers, demandes de pièces complémentaires, scoring de fraude, résiliation. Le dommage observable ressemble moins à un "non" sec qu'à une friction : un dossier qui traîne, une pièce réclamée trois fois, une prime qui devient insoutenable au renouvellement.
S'y ajoute une asymétrie de preuve. Démontrer qu'une décision était "exclusivement" automatisée suppose d'accéder au modèle et aux journaux, que seul l'assureur détient. C'est précisément ce que vise le chantier d'explicabilité de l'ACPR, et c'est pourquoi il faut le suivre de près.
Reste une question de méthode. Les lectures de conformité du secteur retiennent que le superviseur n'admet pas le blocage automatique d'un dossier au seul motif d'un score de fraude. Si cette lecture se confirme dans la doctrine à venir, elle vaudra mieux qu'un taux de refus : une règle opposable, vérifiable dossier par dossier.
D'ici la synthèse de la consultation à la fin 2026 et la prise de fonction de l'ACPR comme superviseur de l'IA fin 2027, vos appuis sont le RGPD, l'article L. 113-1 et la médiation. La première question à poser n'est pas technique, et elle tient en une phrase à écrire noir sur blanc : cette décision a-t-elle été prise par un humain ?
