IA pour les assureurs, avec les contrôles qu’une revue d’externalisation examine
Standard Compute est la passerelle IA qui permet aux entreprises d’assurance et de réassurance de mettre Claude, GPT et des modèles open source au service de la gestion des sinistres, de la souscription et de la relation client, avec les contrôles qu’une revue DORA et d’externalisation selon Solvabilité II examine. Via une seule API, chaque étape va au modèle le moins cher capable de la réaliser.
Avec la règle Europe et la conservation zéro activées, les données des assurés, y compris les données de santé, sont traitées en Europe, ne sont conservées par aucun fournisseur, ne servent jamais à l’entraînement et ne passent que par les fournisseurs que vous approuvez, avec un enregistrement de chaque requête pendant 12 mois.
Créer un compte entrepriseou écrivez à contact@standardcompute.com
L’essentiel
- Que demande le Code des assurances lorsqu’un assureur externalise ?
- L’article L354-3 dispose que l’entreprise d’assurance conserve l’entière responsabilité du respect de ses obligations lorsqu’elle externalise des fonctions ou des activités. L’externalisation d’activités importantes ou critiques ne doit pas accroître indûment le risque opérationnel ni compromettre un service continu et satisfaisant aux assurés, et l’ACPR en est informée préalablement et en temps utile. L’article R354-7 précise ce qui rend une activité importante ou critique, par exemple la difficulté de remplacer le prestataire.
- Le prestataire doit-il respecter la même confidentialité que l’assureur ?
- Oui. L’article 274 du règlement délégué (UE) 2015/35 exige que le prestataire soit soumis aux mêmes dispositions de sécurité et de confidentialité des informations relatives à l’assureur et à ses assurés que l’assureur lui-même. Le DPA que vous signez dans le tableau de bord exclut tout entraînement sur vos données et toute conservation de vos contenus. Avec la conservation zéro activée, chaque requête va uniquement vers des endpoints d’inférence qui s’engagent à ne garder aucune copie.
- La tarification en assurance vie et santé relève-t-elle du haut risque au sens de l’AI Act ?
- L’annexe III, point 5 c), vise les systèmes d’IA destinés à l’évaluation des risques et à la tarification concernant des personnes physiques en assurance vie et santé. L’ACPR est l’autorité de surveillance du marché pour ces systèmes dans le secteur financier, et ces obligations s’appliquent à partir du 2 décembre 2027. La qualification dépend de l’usage prévu par l’assureur, en tant que déployeur (article 26). Avec une clé par application et des modèles approuvés par clé, une application de tarification reste séparée de l’usage courant des équipes.
Vos exigences et les contrôles correspondants
Ce que la fonction gestion des risques et le délégué à la protection des données d’un assureur vérifient avant que des données d’assurés n’atteignent un modèle d’IA, et le contrôle qui répond à chaque point.
| Ce que les textes demandent | Comment Standard Compute y répond |
|---|---|
| Un prestataire soumis à la même confidentialité que l’assureur (règlement délégué 2015/35, art. 274, § 3, f) | Activez la conservation zéro des données et chaque requête est acheminée uniquement vers des endpoints d’inférence qui s’engagent à ne garder aucune copie de vos données. Nous traitons les prompts en mémoire et ne les écrivons jamais sur disque ni dans des journaux. |
| Des conditions de sous-externalisation connues (art. 274, § 4, k) | Signez le DPA dans le tableau de bord en quelques minutes : aucun entraînement sur vos données, aucune conservation de vos contenus, notification des violations sous 72 heures. Chaque sous-traitant ultérieur est publié, avec un préavis de 14 jours avant tout ajout. |
| Les lieux de traitement indiqués au contrat et au registre d’informations (DORA, art. 28 et 30) | Définissez une règle Europe pour l’entreprise, une équipe ou une seule clé. Chaque requête, y compris les relances et les basculements, est servie uniquement par des endpoints d’inférence européens approuvés, et une requête qu’aucun endpoint européen ne peut servir est refusée avant l’envoi du prompt. Les données de compte et d’usage sont stockées à Francfort, et la passerelle UE fonctionne en Finlande. Les enregistrements de requêtes ne contiennent que des métadonnées (modèle, fournisseur, tokens, coût et statut), jamais les prompts ni les réponses. |
| Les données de santé des assurés ne servent pas à entraîner des modèles (RGPD, art. 9) | Standard Compute n’entraîne jamais de modèle sur vos prompts ni sur les réponses. Avec une règle de région ou la conservation zéro activée, chaque requête va uniquement vers des fournisseurs qui s’engagent à ne pas l’utiliser pour l’entraînement. |
| Le risque de concentration et le choix des fournisseurs maîtrisés (DORA, art. 29) | Choisissez précisément quels fournisseurs d’inférence peuvent traiter vos données, pour l’entreprise, une équipe ou une clé. Les niveaux inférieurs peuvent seulement restreindre la liste, aucun nouveau fournisseur n’y entre sans l’approbation d’un administrateur, et les basculements ne la contournent jamais. |
| La tarification vie et santé séparée de l’usage courant (AI Act, annexe III, 5 c, et art. 26) | Décidez quels modèles chaque clé peut utiliser, pour que chaque application et chaque personne dispose exactement des modèles que vous approuvez. GLM, DeepSeek et MiniMax tournent chez des fournisseurs européens pour les espaces de travail restreints à l’Europe. |
| Un accès géré depuis l’annuaire de l’entreprise | Connectez Microsoft Entra ID ou tout fournisseur d’identité SAML. Toute personne de votre domaine vérifié rejoint automatiquement l’entreprise, et l’accès à Claude Desktop et Claude Code suit vos groupes Entra via SCIM. |
| Une piste d’audit pour l’audit interne et la fonction actuarielle | Chaque modification d’un administrateur est enregistrée avec les valeurs avant et après. Exportez un enregistrement de chaque requête indiquant le modèle, le fournisseur qui l’a servie et la règle de région appliquée, conservé 12 mois. |
| Un service continu et satisfaisant aux assurés (Solvabilité II, art. 49) | Si un fournisseur tombe en panne, la requête est basculée automatiquement vers un autre fournisseur approuvé du même modèle, sans sortir de vos règles de région et de fournisseurs. Enterprise inclut un SLA de disponibilité mensuelle de 99,9 % avec avoirs de service. |
| La maîtrise des coûts par application et par personne | Chaque personne et chaque application reçoit un budget mensuel fixe qui n’est jamais dépassé, avec des plafonds de dépenses par clé et pour toute l’entreprise. |
Mise en place en un après-midi
Créer le compte entreprise
Invitez vos collègues par e-mail, répartissez-les en équipes et donnez à chaque personne et à chaque application sa propre clé.
Définir la règle Europe et la conservation zéro
Définissez les deux pour toute l’entreprise. Les équipes et les clés en héritent et ne peuvent jamais les désactiver.
Connecter Microsoft Entra ID
Vos collaborateurs se connectent avec leur compte professionnel et utilisent Claude Desktop et Claude Code avec leur compte Microsoft via notre passerelle UE.
Approuver fournisseurs et modèles, puis signer le DPA
Choisissez les fournisseurs d’inférence et les modèles que chaque clé peut utiliser, fixez les budgets et signez le DPA dans le tableau de bord.
Les textes de référence
Les textes que les fonctions risques, conformité et actuarielle consultent d’abord, avec un lien vers la version officielle. Ils servent de base à votre propre analyse et ne constituent pas un avis juridique.
Liens vérifiés le 9 novembre 2026.
Questions de la DSI, de la sécurité et des achats
- Existe-t-il un enregistrement par requête pour l’audit interne ?
- Oui. Exportez un enregistrement de chaque requête indiquant le modèle, le fournisseur qui l’a servie et la règle de région appliquée, conservé 12 mois. Ces enregistrements ne contiennent que des métadonnées, jamais les prompts ni les réponses.
- Publiez-vous vos sous-traitants ultérieurs ?
- Oui. Nous publions chaque sous-traitant ultérieur avec sa finalité, ses données et sa localisation, et vous prévenons 14 jours avant d’en ajouter un nouveau.
- Les gestionnaires sinistres peuvent-ils utiliser Claude Desktop et Claude Code avec leur compte Microsoft ?
- Oui. Vos collaborateurs se connectent à Claude Desktop et Claude Code avec leur compte professionnel Microsoft, via notre passerelle UE, sans clé d’API à distribuer. L’accès suit vos groupes Microsoft Entra grâce au provisionnement SCIM.
- Qui est Standard Compute ?
- Standard Compute AS est une société norvégienne (n° d’organisation 938 498 806) basée à Oslo. Notre DPA est régi par le droit norvégien.
À lire ensuite
Autres secteurs
Créez le compte entreprise, définissez la règle Europe et la conservation zéro, et vos équipes peuvent commencer le jour même.