Le 13 août 2025, le Comité de l’Innovation, de la Cybersécurité et de la Technologie (H) de l’Association nationale des commissaires aux assurances des États-Unis (NAIC) s’est réuni lors de la réunion nationale d’été 2025 à Minneapolis, dans le Minnesota. Cette rencontre a traité de plusieurs sujets :
Adoption des rapports des groupes de travail
Le Comité H a reçu des rapports sur les activités récentes de ses groupes de travail, y compris, entre autres, le Groupe de travail sur la Cybersécurité (H), le Groupe de travail sur les données et modèles de tiers, ainsi que le Groupe de travail sur les Big Data et l’Intelligence Artificielle (H).
Groupe de travail sur la Cybersécurité (H)
Le Groupe de travail sur la Cybersécurité (H) a rapporté avoir tenu une réunion le 17 juin 2025, où il a écouté une présentation du Département des services financiers de l’État de New York concernant la récente modification de sa régulation en matière de cybersécurité, sur laquelle repose essentiellement le Modèle de loi sur la sécurité des données d’assurance (IDSM) de la NAIC. Pour plus de détails, consultez notre Mise à jour juridique, “Le NYDFS annonce une modification de la régulation sur la cybersécurité.”
Le groupe s’est réuni à nouveau le 15 juillet 2025, où il a présenté un projet de guide sur la conformité et l’application en lien avec l’IDSM. Ce guide est destiné aux régulateurs pour réaliser une évaluation de conformité à l’IDSM et une analyse des lacunes. Cette initiative fait suite à un renvoi du Forum des régulateurs financiers en ce qui concerne la conformité réglementaire pour l’IDSM. La discussion a continué lors de la réunion du 11 août, au terme de laquelle le groupe a soumis un projet révisé pour une période de commentaires de 30 jours, se terminant le 13 septembre 2025.
Le groupe a également abordé les prochaines étapes concernant le Projet de Portail de notification d’événements de cybersécurité, visant à créer un portail centralisé pour que les régulateurs reçoivent des notifications d’événements de cybersécurité. Ce portail a pour but de remédier aux inefficacités et aux délais causés par les rapports fragmentés entre les États. Cependant, le projet est encore en cours, car certains aspects de la procédure de reporting et le calendrier de notification nécessitent des recherches juridiques. Lors de la réunion, les régulateurs ont exprimé un intérêt à s’entretenir avec des experts juridiques pour mieux comprendre les pratiques de notification au regard de la loi.
Une présentation des membres de la NAIC a également eu lieu concernant les modifications apportées à l’annexe de déclaration annuelle en matière de Cybersécurité et de Vol d’identité pour 2024. Cette annexe a été révisée pour éliminer les rapports relatifs au vol d’identité et nécessite désormais une répartition en trois catégories pour le reporting des polices de cybersécurité : Couverture principale, Couverture excédentaire et Couverture additionnelle. Ce changement vise à accroître la transparence quant à la manière dont les couvertures sont écrites, stratifiées et distribuées entre les différents types de polices. Bien que cela crée une image plus claire pour les régulateurs concernant la structuration de l’assurance cybersécurité, cela complexifie l’analyse des données relatives à ces polices.
Groupe de travail sur les données et modèles de tiers
Le Groupe de travail sur les données et modèles de tiers s’est réuni le 13 août 2025 et a poursuivi ses discussions sur la définition du terme “fournisseur tiers.” Auparavant, le groupe avait sollicité des définitions proposées de “fournisseur de données tiers” et de “fournisseur de modèles tiers” à utiliser dans le cadre réglementaire supervisant l’utilisation des données et modèles tiers. En élaborant ces nouvelles définitions, le groupe vise à faciliter l’accès à l’information concernant les données et modèles tiers utilisés par les assureurs, notamment en déterminant les types de données potentiellement non utilisables et en identifiant d’éventuelles pratiques discriminatoires.
Les régulateurs ont noté qu’il leur est impossible d’obtenir des informations concernant les données et modèles tiers utilisés par les assureurs si ces derniers ne détiennent pas lesdites informations, ce qui complique leur capacité à évaluer l’utilisation des données et modèles par les assureurs. Dans cette optique, le groupe s’attache à définir le périmètre de tout cadre réglementaire, en s’interrogeant sur les types d’organisations à considérer comme “tiers,” et sur la possibilité de restreindre l’objet des efforts de supervision à des opérations spécifiques d’assureurs. Le groupe prévoit de préparer et de soumettre des définitions préliminaires pour consultation.
Groupe de travail sur les Big Data et l’Intelligence Artificielle (H)
Pour plus d’informations, consultez notre Mise à jour juridique, “Points saillants de la réunion nationale d’été 2025 du NAIC des États-Unis : Groupe de travail sur les Big Data et l’Intelligence Artificielle (H).”
Présentations sur l’IA
Outre une présentation illustrant l’utilisation centrée sur l’humain de l’IA, fournie par un producteur d’outils d’IA générative destinés aux souscripteurs, le Comité H a également entendu une présentation sur l’élaboration d’un cadre de gouvernance de l’IA par l’Association internationale des actuaires (IAA). L’objectif de ce cadre est de fournir aux actuaires une formation sur l’utilisation responsable de l’IA et sur la sensibilisation aux risques à gérer lors de la conception, du développement, de la mise en œuvre et de l’utilisation des systèmes d’IA. Ce cadre prône la gouvernance et la supervision tout au long du cycle de vie d’un modèle d’IA, de la conception à la surveillance continue après sa mise en œuvre, selon dix composantes clés : Rôles et responsabilités, Conseil d’administration, Comités et politiques, Fonctions clés, Présence d’un propriétaire de modèle, Évaluation des risques associés aux modèles, Processus de gouvernance et de gestion des risques, Validation indépendante, Supervision des fournisseurs tiers et Supervision humaine.
Pour découvrir d’autres mises à jour de la réunion nationale d’été 2025 du NAIC des États-Unis, visitez notre page des points saillants de la réunion.
Bon à savoir
- La cybersécurité est devenue un enjeu central pour les entreprises d’assurance.
- Les régulateurs travaillent sur des cadres réglementaires clairs concernant l’utilisation des données et modèles tiers.
- La gouvernance de l’IA doit intégrer une supervision continue pour être efficace.
La montée en puissance de la cybersécurité et des technologies émergentes dans le secteur des assurances soulève des interrogations essentielles : quelles seront les implications pour les assureurs et leurs clients ? Alors que la réglementation évolue, un dialogue ouvert sur les meilleures pratiques et la protection des données devient indispensable.