Modèles, IA et données sensibles : la nouvelle responsabilité de l'actuaire

Pendant des décennies, l'actuaire a travaillé avec des modèles linéaires généralisés (GLM) : transparents, interprétables, dont chaque coefficient pouvait être justifié devant un client ou un régulateur. L'arrivée du machine learning — gradient boosting, forêts aléatoires, réseaux de neurones — a bouleversé la donne. Ces modèles gagnent en pouvoir prédictif ce qu'ils perdent en lisibilité.

Le risque actuariel n'est plus seulement de se tromper de chiffre. Il devient de ne pas pouvoir expliquer pourquoi un assuré se voit appliquer une surprime, ou pourquoi un segment de clientèle est tarifé différemment. Cette opacité, tolérable dans un POC interne, devient une faille juridique dès qu'elle touche une décision opposable à une personne.

L'actuaire qui livre un modèle performant mais inexplicable transfère à son client un risque réglementaire qu'il n'a pas forcément identifié — et dont il pourra être tenu responsable au titre de son devoir de conseil.

Un modèle apprend sur des données historiques. Si ces données portent la trace de discriminations passées ou de variables corrélées à un critère prohibé, le modèle les reproduit, voire les amplifie. C'est le biais algorithmique, et son caractère involontaire ne l'exonère pas.

En assurance, certaines variables sont prohibées ou strictement encadrées (le sexe en tarification depuis l'arrêt Test-Achats, les données génétiques, l'origine). Le danger des modèles complexes est qu'ils peuvent reconstituer une variable interdite à partir de proxys apparemment neutres : un code postal, un type de véhicule, un historique de navigation peuvent devenir des substituts statistiques d'un critère protégé.

L'actuaire ne peut plus se réfugier derrière « je n'ai pas utilisé la variable interdite ». Il doit prouver que son modèle ne la reconstitue pas indirectement.

Tester l'équité du modèle (fairness testing), documenter les variables, auditer les corrélations indésirables : ces diligences ne sont plus des bonnes pratiques optionnelles, elles deviennent la frontière entre un travail défendable et une faute caractérisée.

Deux corpus réglementaires encadrent désormais le travail de l'actuaire sur les données :

• Le RGPD : les données de santé, de sinistralité fine, de comportement sont des données personnelles, souvent sensibles. L'actuaire qui les traite est concerné par les principes de minimisation, de finalité, et par l'encadrement des décisions automatisées (article 22) qui ouvre un droit à explication et à intervention humaine.
• L'AI Act européen : il classe certains usages de l'IA en assurance — notamment l'évaluation du risque et la tarification en assurance-vie et santé — parmi les systèmes à haut risque, soumis à des exigences de documentation, de gestion des risques, de gouvernance des données et de surveillance humaine.

Concrètement, un actuaire qui conçoit un modèle de tarification santé entre dans le périmètre des systèmes à haut risque. Les obligations de transparence, de journalisation et de robustesse ne pèsent plus seulement sur l'assureur : elles remontent vers le concepteur du modèle. Manquer à ces exigences expose à la fois à une mise en cause contractuelle par le client et à un risque de sanction sur le terrain de la donnée.

On associe rarement l'actuaire à un risque cyber. C'est une erreur. L'actuaire manipule des bases massives de données sensibles : triangles de sinistralité nominatifs, historiques de santé, fichiers de portefeuille entiers transmis par les clients. Ces données transitent par son poste, ses environnements de calcul, parfois des notebooks dans le cloud.

Trois scénarios concrets :

1. Fuite de données : un export de portefeuille mal sécurisé exposé, et c'est une violation de données personnelles à notifier à la CNIL sous 72 heures, avec mise en cause possible de votre responsabilité.
2. Rançongiciel : vos modèles et jeux de données chiffrés par une attaque, paralysant vos missions en cours et celles de vos clients.
3. Compromission d'un livrable : un modèle altéré ou un rapport falsifié, dont les conséquences se propagent au système de tarification du client.

Ces scénarios relèvent d'une garantie cyber dédiée, qui couvre les frais de notification, de restauration et de gestion de crise. Elle complète la RC Professionnelle : l'une couvre la faute de modélisation, l'autre l'atteinte aux données. Les deux ensemble forment le socle réaliste de l'actuaire moderne.

Un point souvent sous-estimé : livrer un modèle performant ne suffit pas à satisfaire votre devoir de conseil. L'actuaire a l'obligation d'éclairer son client sur ce que le modèle peut faire — et surtout sur ce qu'il ne peut pas faire.

Un modèle entraîné sur des données 2018-2023 n'a aucune connaissance d'un choc structurel survenu après. Un modèle calibré sur un portefeuille français ne se transpose pas à un marché étranger sans réentraînement. Un modèle de fréquence n'est pas un modèle de coût. Ces limites paraissent évidentes au modélisateur, mais elles ne le sont pas pour le client qui exploite le résultat.

Le silence sur ces limites est un terrain de mise en cause redoutable : si le client utilise votre modèle hors de son domaine de validité et subit un préjudice, il vous reprochera de ne pas l'avoir averti. La parade est simple mais doit être systématique :

1. Joindre à chaque livrable une notice de domaine de validité : période d'apprentissage, périmètre, hypothèses, usages déconseillés.
2. Prévoir une clause de réentraînement ou de revue périodique, car un modèle qui n'est pas surveillé dérive (model drift).
3. Tracer les avertissements donnés, par écrit, pour prouver que le conseil a bien été délivré.

Avertir des limites ne dévalorise pas votre travail : cela le professionnalise et, surtout, cela déplace la responsabilité d'un mauvais usage vers celui qui l'a décidé malgré l'avertissement.

Face à cette exposition élargie, quelques réflexes structurent une pratique défendable :

• Documenter l'explicabilité : pour tout modèle opaque, joindre des outils d'interprétation (importance des variables, explications locales) et savoir justifier toute décision défavorable.
• Auditer les biais : tester l'équité du modèle sur les segments sensibles et tracer les variables susceptibles de servir de proxy à un critère prohibé.
• Cartographier les données : savoir d'où elles viennent, sous quelle base légale vous les traitez, combien de temps vous les conservez.
• Sécuriser l'environnement de calcul : chiffrement, accès restreints, gestion des copies de portefeuille, en particulier dans le cloud.
• Aligner vos garanties : vérifier que votre RC Pro couvre les préjudices immatériels et qu'une garantie cyber prend le relais sur l'atteinte aux données.

L'actuaire des années 2020 n'est plus seulement un mathématicien du risque : il est aussi le gardien de la défendabilité de ses modèles. C'est cette double casquette que son assurance doit refléter.