10 % des assureurs surperforment leurs pairs de 21 % grâce à l'IA. Ce n'est pas une question de technologie.

L'AMF place d'abord la responsabilité au sommet de la gouvernance. Le conseil d'administration doit comprendre les enjeux liés aux systèmes d'intelligence artificielle (SIA), être informé régulièrement des tendances, risques et changements qui les concernent, et exercer une surveillance efficace. Dans cette logique, l'AMF exige aussi qu'un membre de la haute direction soit imputable pour l'ensemble des SIA de l'institution. Pas le directeur des TI, pas le chef de la science des données, un membre de la haute direction au sens de la gouvernance d'entreprise.

Cette exigence n'est pas anodine. Elle signifie que :

• Les décisions relatives aux SIA relèvent du même niveau d'autorité que les décisions stratégiques, financières et de conformité.
• Le conseil d'administration doit être informé régulièrement des tendances, risques et changements liés aux SIA.
• La compétence collective du conseil doit être suffisante pour comprendre les risques encourus, particulièrement lorsque l'institution utilise des SIA pour des activités critiques.

En d'autres termes, l'IA n'est plus un sujet qu'on peut déléguer à une équipe technique. C'est un sujet de gouvernance, de surveillance et de leadership.

Le dernier World Property and Casualty Insurance Report 2026 de Capgemini confirme ce constat à l'échelle mondiale. Les chiffres sont révélateurs :

Cette asymétrie explique pourquoi la plupart des programmes IA restent bloqués en phase pilote. On investit dans les outils sans transformer l'organisation. La technologie crée la capacité; c'est le change management qui détermine si cette capacité se traduit en performance.

Le problème n'est pas technologique. Il est organisationnel.

L'AMF s'inscrit dans un mouvement réglementaire mondial. Des cadres comme le NIST AI RMF, l'EU AI Act, les publications de l'IAIS sur la supervision de l'IA, l'énoncé SS1/23 de la Bank of England et le Model Bulletin de la NAIC convergent tous vers la même idée : l'IA doit être gouvernée sur l'ensemble de son cycle de vie, selon une logique fondée sur les risques, avec des exigences de transparence, de supervision humaine, de robustesse et de maîtrise des dépendances tierces.

Le NIST AI RMF propose une approche structurée pour identifier, évaluer, gérer et atténuer les risques liés à l'IA tout au long de son cycle de vie, à travers quatre fonctions : Gouverner, cartographier, mesurer, gérer.

L'EU AI Act impose, pour les systèmes d'IA à haut risque, un système de gestion des risques documenté, continu et itératif, ainsi que des exigences en matière de surveillance humaine, de transparence, de données, de robustesse et de cybersécurité.

L'IAIS positionne l'IA dans la continuité du cadre prudentiel existant, tandis que la Bank of England, à travers SS1/23, intègre explicitement les risques propres à l'IA et à l'apprentissage machine dans une discipline plus large de gestion du risque de modèle.

La NAIC rappelle que les décisions appuyées par des systèmes d'IA doivent demeurer conformes aux lois applicables, notamment en matière de discrimination injuste et de pratiques commerciales déloyales.

L'AMF privilégie une approche par principe, fondée sur les risques et harmonisée avec ces cadres internationaux, tout en l'adaptant aux caractéristiques des institutions qu'elle encadre. Elle ne crée pas un régime isolé ou techno-centré. Elle traduit en attentes concrètes un phénomène qui, dans bien des organisations, demeure encore fragmenté entre innovation, TI, science des données, conformité et gestion des risques. L’AMF inclut l’IA au sein disciplines existantes (gouvernance, risque, conformité, protection de la clientèle).

L'AMF va plus loin que plusieurs cadres de référence sur trois points.

1. 1. Une imputabilité explicite au niveau de la direction

Le conseil doit être informé régulièrement des tendances, risques et changements liés aux SIA. La haute direction doit désigner un responsable imputable pour l'ensemble du portefeuille IA. Ce niveau de clarté organisationnelle est plus concret que la plupart des approches générales fondées sur des principes.

1. 2. Une gouvernance outillée

L'AMF ne s'arrête pas à des intentions. Elle demande :

• Un répertoire centralisé de tous les SIA dont le risque est jugé non négligeable
• Une cote de risque attribuée à chaque SIA
• Une modulation de la validation, de la documentation, de l'approbation et de la surveillance selon le niveau de risque

On est ici très proche d'un modèle opératoire prudentiel, pas seulement d'un cadre éthique.

1. 3. Un lien explicite avec le risque lié aux tiers

La Ligne directrice sur la gestion du risque lié aux tiers, publiée simultanément, rappelle que les tiers peuvent amplifier les risques existants, créer de nouveaux risques et affecter la résilience opérationnelle en raison de la concentration, de la sous-traitance et de l'opacité de la chaîne d'approvisionnement.

Le point essentiel : l'institution demeure ultimement responsable des activités confiées à un tiers. Consommer un modèle, une plateforme ou une solution IA tierce ne transfère ni le risque, ni la responsabilité. Cela déplace le risque, mais l'imputabilité reste à l'interne.

1. Assurance de personnes : souscription ou tarification appuyée par l'IA

Un assureur vie utilise un SIA pour appuyer la souscription ou la tarification en assurance invalidité ou en assurance santé.

L'AMF attend que l'institution puisse :

• Justifier l'usage du SIA et documenter les données utilisées
• Évaluer les risques de biais, de discrimination, d'opacité ou d'atteinte à la vie privée
• Prévoir validation, surveillance et, au besoin, intervention humaine
• Expliquer clairement et simplement toute décision ayant une incidence sur le client

Ces attentes ne relèvent pas de la TI. Elles relèvent de la ligne d'affaires qui utilise le SIA, avec l'appui de fonctions de risque et de conformité.

1.  
2. Assurance de dommages : triage de réclamations via un fournisseur tiers

Un assureur dommages utilise un outil tiers d'IA pour classer automatiquement les réclamations auto ou habitation et fournir une estimation initiale.

L'enjeu dépasse la performance du modèle. L'AMF attend une gestion complète du risque lié aux tiers :

• Évaluation de la criticité et du niveau de risque de l'entente
• Diligence raisonnable sur le fournisseur
• Clauses contractuelles couvrant la gouvernance des données, la continuité des activités et les stratégies de sortie
• Suivi continu de la performance et des incidents
• Gestion des sous-traitants du fournisseur

L'institution ne peut pas se contenter de valider que l'outil fonctionne. Elle doit démontrer qu'elle gouverne la relation d'affaires — et qu'elle peut reprendre le contrôle si nécessaire.

Le rapport Capgemini identifie environ 10 % d'assureurs,  qu'il appelle « intelligence trailblazers»,  qui surperforment leurs pairs :

• +21 % de croissance des revenus sur trois ans
• +51 % de valorisation boursière sur la même période

Ce qui les distingue n'est pas le niveau de dépense, mais la posture stratégique :

Les trailblazers alignent simultanément stratégie et talent, technologie, et adoption organisationnelle. Ils ne déploient pas plus d'IA,  ils gouvernent autrement.

1. Pouvons-nous produire en moins de 48 heures la liste complète des SIA en production dans notre organisation ?
2. Chaque SIA a-t-il un responsable nommé, une cote de risque et un dossier de validation ?
3. Notre conseil d'administration a-t-il reçu un breffage sur l'IA dans les 12 derniers mois ?
4. Pour les SIA fournis par des tiers, avons-nous une stratégie de sortie testée ?
5. Si un client conteste demain une décision prise avec l'aide d'un SIA, pouvons-nous l'expliquer clairement et simplement ?

Si vous avez répondu « non » ou « je ne sais pas » à plus de deux questions, votre dispositif de gouvernance IA présente des lacunes au regard des attentes de l'AMF.

La posture de GFT en matière d'IA responsable s'inscrit dans la même logique que les attentes de l'AMF. Dans son engagement public sur l'IA responsable, GFT énonce que les systèmes d'intelligence artificielle doivent être conçus pour être équitables, explicables et sécuritaires,  trois piliers qui correspondent directement aux principes de transparence, d'explicabilité et de robustesse exigés par la ligne directrice québécoise.

Pour les assureurs du Québec, GFT offre une combinaison distinctive :

• Une expertise sectorielle profonde : GFT accompagne des institutions financières et des assureurs à l'échelle mondiale depuis plus de 35 ans, avec une compréhension fine des enjeux prudentiels, réglementaires et opérationnels propres au secteur.
• Une approche gouvernance-first : Plutôt que de partir de la technologie, GFT structure ses interventions autour des cadres de gouvernance et de gestion des risques — exactement ce que l'AMF attend.
• Des pratiques intégrées de privacy-by-design et de gouvernance IA : Ces pratiques sont documentées dans les lignes directrices internes de GFT et intégrées aux plateformes et outils utilisés dans les mandats clients.
• Une présence locale au Canada : GFT dispose d'équipes capables d'accompagner les institutions québécoises dans leur contexte réglementaire et linguistique spécifique.

L'enjeu pour les assureurs n'est pas de trouver un fournisseur de technologie IA. C'est de trouver un partenaire capable d'aider la haute direction et les lignes d'affaires à bâtir un dispositif de gouvernance crédible, et ce, avant l'entrée en vigueur de la ligne directrice.

• Risque réglementaire : Manquement aux attentes de l'AMF lors d'une inspection prudentielle
• Risque réputationnel : Décision IA discriminatoire rendue publique sans capacité à l'expliquer
• Risque opérationnel : Défaillance d'un fournisseur IA tiers sans stratégie de sortie testée
• Risque concurrentiel : Écart de croissance de 21 % entre les leaders IA et le reste de l'industrie

Le 1er mai 2027 n'est pas une date de mise en conformité administrative. C'est le moment où l'écart entre les institutions préparées et les autres deviendra visible,  pour le régulateur, pour les clients et pour les marchés.

L'IA n'est plus un sujet qu'on peut confiner aux équipes technologiques. L'AMF l'a inscrite dans le périmètre prudentiel, au même titre que la gestion des risques de modèle et la gestion des tiers.

Trois actions concrètes à mettre à l'agenda du prochain comité de direction :

1. Demander un inventaire exhaustif des SIA en production et en développement
2. Désigner formellement le membre de la haute direction imputable
3. Évaluer l'écart entre votre dispositif actuel et les attentes de l'AMF, en priorisant les SIA à risque élevé

Vous travaillez actuellement sur la gouvernance IA de votre organisation ? Je serais curieux d'échanger sur les approches qui fonctionnent, et celles qui patinent. N'hésitez pas à commenter ou à me contacter directement.

Les organisations qui réussissent ne sont pas celles qui déploient le plus d'IA. Ce sont celles qui la gouvernent depuis les affaires.