Réponse rapide
Un agent IA qui relance des prospects en assurance est autorisé s'il respecte deux textes. L'IA Act, qui impose depuis le 2 août 2026 d'informer clairement la personne qu'elle parle à une intelligence artificielle (article 50). Et le RGPD, qui exige une base légale valable, une information transparente et une décision finale prise par un humain. Aucun des deux ne classe la relance commerciale parmi les usages à haut risque.
Ce que change vraiment le 2 août 2026
Une obligation, et elle est simple à énoncer : la personne doit savoir qu'elle parle à une machine. L'article 50 du règlement (UE) 2024/1689 impose que les systèmes d'IA destinés à interagir directement avec des personnes physiques soient conçus de telle sorte que ces personnes soient informées qu'elles interagissent avec une intelligence artificielle — au plus tard lors de la première interaction, sauf si cela est évident pour une personne raisonnablement avisée.
Deux précisions qui changent la lecture qu'on en fait habituellement.
Cette obligation n'a pas été reportée. Le paquet Digital Omnibus a repoussé au 2 décembre 2027 l'application des obligations relatives aux systèmes à haut risque de l'annexe III. L'article 50 n'était pas concerné : ses obligations de transparence s'appliquent depuis la date prévue, et les autorités nationales de surveillance peuvent les faire respecter depuis. La Commission a publié ses lignes directrices sur ces obligations le 20 juillet 2026.
Elle pèse d'abord sur le fournisseur du système, c'est-à-dire sur votre prestataire, qui doit concevoir l'agent pour que l'annonce soit faite. Ce n'est pas une case à cocher que vous ajoutez après coup dans vos conditions générales : c'est une propriété du produit que vous achetez.
Bon à savoir
Les sanctions relèvent de l'article 99. Le non-respect de l'article 50 entre dans le paragraphe 4 : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les pratiques interdites de l'article 5 relèvent d'un plafond supérieur, 35 millions ou 7 %. Une nuance souvent mal reprise : pour les PME, y compris les jeunes entreprises, le paragraphe 6 retient au contraire le montant le moins élevé des deux.
Votre agent de relance est-il un système « à haut risque » ?
Non, et c'est le malentendu le plus coûteux du moment.
L'annexe III du règlement classe à haut risque les systèmes destinés à l'évaluation des risques et à la tarification en assurance vie et santé à l'égard des personnes physiques. Le critère retenu est la finalité prévue du système, pas la technologie employée.
Un agent qui envoie un message, pose des questions de qualification et propose un créneau de rendez-vous ne tarifie rien et n'évalue aucun risque assurantiel. Il prépare le travail d'un conseiller humain. Rien de plus.
La frontière se déplace le jour où vous demandez à l'outil de trier des prospects selon leur profil de risque, d'écarter automatiquement certains dossiers ou d'ajuster une proposition tarifaire. Là, vous changez de catégorie — et de régime. Si vous envisagez cet usage, posez la question à votre prestataire avant de signer, pas après.
Sur quelle base légale relancer un prospect qui a demandé un devis
C'est la vraie question RGPD, et elle est antérieure à l'IA.
La règle applicable à la prospection par voie électronique auprès de particuliers est le consentement préalable : libre, spécifique, éclairé, univoque, matérialisé par une action positive — une case à cocher dédiée et non pré-cochée. Deux tempéraments existent : la prospection vers des professionnels peut reposer sur l'intérêt légitime lorsqu'elle concerne leur secteur d'activité, et la prospection d'un client existant est possible sans consentement préalable pour des produits ou services similaires.
Le cas qui vous intéresse est plus simple qu'il n'y paraît. Un prospect qui a rempli un formulaire de devis a fourni ses coordonnées pour être rappelé. Le point à vérifier n'est donc pas l'existence du consentement, mais sa portée : couvre-t-il le canal que vous allez utiliser, et votre fournisseur de leads vous a-t-il transmis la preuve de ce recueil ?
Deux réflexes valent mieux qu'un audit juridique complet :
- Exigez la preuve de collecte de votre fournisseur de leads — date, heure, formulaire, mentions affichées, canaux couverts. Un fournisseur qui ne peut pas la produire vous transmet un risque en même temps qu'un contact.
- Vérifiez que la mention couvre le canal messagerie, et pas seulement le téléphone et l'e-mail. C'est la limite la plus fréquente des formulaires anciens.
Chaque sollicitation doit par ailleurs permettre d'identifier l'organisme émetteur et de refuser simplement de nouvelles sollicitations. Sur une conversation, cela se traduit par une phrase, pas par un lien de désinscription en pied de page.
Bon à savoir
Un formulaire ancien qui ne mentionne que « par téléphone ou par e-mail » ne couvre pas la messagerie. Ce n'est pas un obstacle définitif : cela signifie que la mise à jour du formulaire fait partie du chantier de déploiement, au même titre que l'intégration au CRM. Le sujet rejoint celui de la fin du démarchage téléphonique, qui impose depuis le 11 août 2026 un consentement traçable pour l'appel.
Qui est responsable de quoi entre votre cabinet et votre prestataire
La répartition n'est pas négociable, et elle est plutôt à votre avantage sur les points techniques.
| Sujet | Qui porte l'obligation |
|---|---|
| Finalité du traitement, base légale, preuve du consentement | Vous, responsable de traitement |
| Conception de l'agent, annonce IA à la première interaction | Le prestataire, fournisseur au sens de l'IA Act |
| Sécurité, hébergement, durées de conservation, sous-traitance | Le prestataire, sur instructions et sous contrat |
| Réponse aux demandes d'accès, de rectification ou d'opposition | Vous, avec l'assistance contractuelle du prestataire |
| Décision commerciale finale (tarif, acceptation, refus) | Vous, par un conseiller humain |
Un point mérite votre attention au moment de la signature : la propriété du compte de messagerie professionnel. Chez Qencia, le compte WhatsApp Business reste la propriété du client ; nous opérons par délégation. La conséquence est concrète — vos conversations, votre numéro et votre historique restent les vôtres, et une fin de contrat ne vous prive pas de votre canal. Posez la question à tout prestataire que vous évaluez : la réponse en dit long. Le sujet est détaillé dans notre guide sur la création d'un compte WhatsApp Business API.
Sur l'hébergement et la chaîne de sous-traitance, notre politique est publiée en clair : voir la page sécurité de l'information.
Décision, souscription et devoir de conseil
L'article 22 du RGPD encadre les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant la personne de manière significative. Refuser un dossier, appliquer une surprime, exclure une garantie : ce sont des décisions de cette nature, et elles ne peuvent pas être prises par une machine seule sans garanties spécifiques.
C'est la raison pour laquelle un agent de relance bien conçu s'arrête toujours au même endroit : il n'arbitre jamais sur le risque. Il engage la conversation, qualifie, et débouche sur l'une des deux issues qui n'engagent aucune décision assurantielle — un rendez-vous posé dans l'agenda d'un conseiller, ou la transmission d'un lien de souscription vers un contrat que le prospect a lui-même sollicité, sans modification d'aucune de ses conditions.
Cette seconde issue mérite qu'on s'y arrête, parce que c'est là qu'on nous pose le plus de questions. Un lien transmis n'est pas une décision automatisée au sens de l'article 22 : la décision de souscrire appartient au prospect, et la souscription elle-même se déroule dans le parcours du distributeur, avec ses propres documents précontractuels. L'agent ne tarifie pas, n'accepte pas, ne refuse pas.
Le vrai point de vigilance n'est pas dans le RGPD, il est dans le Code des assurances
L'article L521-1 du Code des assurances impose au distributeur, avant la conclusion de tout contrat et par écrit, de préciser les exigences et les besoins du souscripteur sur la base des informations obtenues de lui, de fournir une information objective sur le produit, de conseiller un contrat cohérent avec ces besoins et de motiver ce conseil.
Cette obligation pèse sur le distributeur — votre cabinet — et non sur l'outil. Elle ne disparaît pas parce qu'un lien a été transmis dans une conversation.
La réponse tient dans la chronologie, et c'est ainsi que nous opérons : le devoir de conseil est formalisé par écrit et adressé au prospect par e-mail avant que l'agent n'intervienne. Quand la conversation s'ouvre, le conseil est déjà délivré, daté et tracé. L'agent ne travaille jamais sur un contrat dont le conseil resterait à faire — il relance sur un dossier déjà conseillé, et le lien qu'il transmet renvoie à ce contrat-là, sans en modifier aucune condition.
C'est cette antériorité qui fait la différence. Un agent qui pousserait un lien de souscription vers un produit dont le prospect n'a jamais reçu le conseil écrit ferait porter à votre cabinet un manquement à l'article L521-1 — pas au prestataire. L'agent transmet, il ne conseille pas.
Si vous évaluez un prestataire qui propose de la souscription en conversation, c'est la question à poser en premier : à quel moment le devoir de conseil est-il formalisé, par qui, et sous quelle forme ? Une réponse floue sur ce point vaut disqualification, parce que c'est vous, et pas le prestataire, que l'ACPR interrogera.
Rien de tout cela n'est une limite technique que l'on subit. C'est la ligne qui sépare un outil déployable d'un outil qui vous expose.
Six questions à poser à votre prestataire avant de signer
À reprendre telles quelles, dans un e-mail :
- Votre agent annonce-t-il explicitement qu'il est une IA, dès le premier message ?
- Où sont hébergées les données de conversation, et pendant combien de temps sont-elles conservées ?
- À qui appartient le compte WhatsApp Business : à vous, ou à nous ?
- Nous fournissez-vous un contrat de sous-traitance conforme à l'article 28 du RGPD ?
- Comment une demande de suppression ou d'opposition est-elle traitée, et en combien de temps ?
- L'agent prend-il une décision commerciale, ou transmet-il systématiquement à un conseiller ?
Un prestataire qui hésite sur trois de ces six questions n'est pas prêt pour un déploiement en assurance.
Ce que la conformité ne règle pas
Une nuance, pour finir, parce qu'un article qui promet la tranquillité sans limite n'est pas crédible.
Ces six points sécurisent le déploiement. Ils ne règlent ni la qualité de vos données, ni la pertinence de vos scénarios de conversation, ni le fait qu'un prospect mal ciblé restera un prospect mal ciblé. La conformité est une condition d'entrée. Elle n'a jamais converti personne.
Questions fréquentes
Un chatbot doit-il dire qu'il est une IA ?
Oui. Depuis le 2 août 2026, l'article 50 du règlement (UE) 2024/1689 impose que les personnes soient informées qu'elles interagissent avec un système d'intelligence artificielle, au plus tard lors de la première interaction, sauf si cela est évident. L'obligation pèse d'abord sur le fournisseur, qui doit concevoir le système ainsi.
Peut-on relancer un prospect assurance par WhatsApp sans son consentement ?
Pour un particulier, la prospection électronique suppose un consentement préalable, sauf s'il s'agit d'un client existant et de produits ou services similaires. Un prospect ayant demandé un devis a fourni ses coordonnées pour être recontacté : le point à vérifier n'est pas l'existence du consentement, mais sa portée — la mention de collecte couvre-t-elle le canal messagerie ?
Un agent IA de relance est-il un système à haut risque ?
Non. L'annexe III vise l'évaluation des risques et la tarification en assurance vie et santé à l'égard des personnes physiques. Un agent qui qualifie un prospect et fixe un rendez-vous, sans tarifer ni trier selon le risque, ne relève pas de cette catégorie. La finalité prévue du système est le critère.
Quelles sanctions en cas de non-respect ?
Le non-respect de l'article 50 relève du paragraphe 4 de l'article 99 : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les pratiques interdites de l'article 5 relèvent de 35 millions ou 7 %. Pour les PME, y compris les jeunes entreprises, c'est le montant le moins élevé qui s'applique.
Faut-il réaliser une analyse d'impact avant de déployer ?
La CNIL la recommande fortement pour les systèmes d'IA, en particulier en cas de collecte massive, de données sensibles ou de croisement de fichiers. Pour un agent de relance travaillant sur des données de contact déjà détenues, elle relève du réflexe de bonne gestion plus que de l'obligation systématique.
L'agent peut-il refuser un dossier ou appliquer une surprime ?
Non, pas seul. L'article 22 du RGPD encadre les décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant la personne de manière significative. Ces décisions doivent rester à un conseiller humain.
Sources & données. Obligations de transparence et périmètre : règlement (UE) 2024/1689 sur l'intelligence artificielle, article 50, applicable depuis le 2 août 2026 ; lignes directrices de la Commission européenne publiées le 20 juillet 2026 ; annexe III pour la qualification des systèmes à haut risque. Sanctions : article 99, paragraphes 3, 4 et 6 (consulté le 29 août 2026). Report des obligations relatives aux systèmes à haut risque de l'annexe III au 2 décembre 2027 : paquet Digital Omnibus — l'article 50 n'est pas concerné par ce report. Prospection par voie électronique, décision automatisée et sous-traitance : RGPD, articles 22 et 28 ; devoir de conseil du distributeur : article L521-1 du Code des assurances ; et recommandations de la CNIL sur la prospection commerciale et sur le développement des systèmes d'IA. Démarchage téléphonique : loi n° 2025-594 du 30 juin 2025 et décret n° 2026-662 du 23 juillet 2026. Cet article expose une lecture des textes applicables à un cas d'usage précis ; il ne constitue pas un conseil juridique et ne dispense pas d'une analyse propre à votre situation.
