Une stratégie IA dans une mutuelle de 800 personnes tient en dix semaines si l'on part des métiers et non de la technologie : c'est ce qui a permis à un groupe mutualiste de passer de « tout le monde parle d'IA » à 24 cas d'usage priorisés et 6 pilotes lancés. Ce qui fait la différence, c'est une grille de priorisation avec un axe réglementaire et un propriétaire nommé par cas d'usage. Voici la démarche, les cas écartés et ce qu'on referait autrement. Le client reste anonyme, les chiffres sont ceux du cas client publié.
Par quoi commence une stratégie IA dans une mutuelle ?
Par une question posée à la direction générale, pas par un inventaire d'outils : sur quoi investir en premier, avec quel retour attendu, et comment embarquer 800 collaborateurs dont le métier repose sur la proximité avec l'adhérent. La conviction existait déjà au comité de direction. Ce qui manquait, c'était le cadrage.
Le contexte n'a rien d'exotique : des adhérents qui comparent leur mutuelle à une néobanque, des processus de gestion restés manuels. D'après Eurostat (décembre 2025), 20 % des entreprises européennes de 10 salariés et plus utilisaient l'IA en 2025, contre 13,5 % un an plus tôt.
Le cadrage a fixé le périmètre (les directions concernées, pas le groupe entier), le calendrier (dix semaines, restitution finale au comité de direction) et une règle de décision qui a évité bien des débats stériles : aucun cas d'usage ne serait retenu sans un responsable métier prêt à le porter.
Comment identifier des cas d'usage IA avec les métiers plutôt que depuis le siège ?
Par des ateliers de trois heures, direction par direction, où l'on cartographie d'abord les irritants avant de parler d'IA. Quatre directions ont été couvertes : la relation adhérent, la gestion des sinistres, la conformité et les ressources humaines. Chaque atelier réunissait un manager, deux ou trois gestionnaires et quelqu'un de la DSI.
Le format compte. Quand on demande « où l'IA pourrait-elle vous aider ? », on obtient des réponses lues dans la presse. Quand on demande « quelle tâche vous fait perdre une demi-journée par semaine ? », on obtient des cas d'usage : tri des courriels d'adhérents avec pièces jointes, ressaisie de décomptes, recherche dans les conventions collectives. Rien de spectaculaire, mais du volume mesurable.
Vingt-quatre cas d'usage sont sortis de ces ateliers, chacun décrit sur une fiche d'une page : processus touché, volume annuel, donnée nécessaire, gain attendu en heures ou en délai, et le nom de la personne qui l'a proposé. Un cas porté par un gestionnaire des prestations se défend tout seul en comité de direction. Un cas venu d'une présentation de cabinet, non.
Un diagnostic de maturité a tourné en parallèle sur quatre dimensions : données, outils, compétences, culture. Les trois premières se mesurent, la quatrième se constate en atelier et fixe souvent le rythme réaliste. L'article sur la construction d'une feuille de route IA en entreprise détaille la méthode de diagnostic.
Quelle grille de priorisation pour passer de 24 cas d'usage à 6 pilotes ?
Une grille à trois axes notés de 1 à 5 : la valeur (heures rendues, délai de traitement, satisfaction adhérent), la faisabilité (donnée disponible, intégration au système de gestion, compétences internes) et le risque réglementaire. Ce troisième axe, les grilles génériques l'oublient, et dans une mutuelle il élimine à lui seul une bonne part des idées.
Le risque réglementaire a été noté avec le responsable conformité et le DPO, pas par le consultant seul. Trois questions par cas d'usage : la donnée contient-elle des informations couvertes par le secret médical ? Le système prend-il ou prépare-t-il une décision qui affecte l'accès d'une personne à une garantie ? Le cas relève-t-il de l'annexe III du règlement européen sur l'IA ?
Six cas d'usage cumulaient valeur forte, faisabilité correcte et risque faible : chatbot adhérent de premier niveau, traitement des sinistres simples avec validation humaine, détection de fraude en aide à l'instruction, personnalisation des offres sur données déclaratives, assistance à la rédaction réglementaire, optimisation des plannings. Ce sont les six pilotes. Les dix-huit autres ont été datés dans la feuille de route avec une condition de déclenchement, le plus souvent un socle de données à construire d'abord.
Quels cas d'usage IA une mutuelle doit-elle écarter, et pourquoi ?
Deux familles ont été écartées d'emblée : la décision d'indemnisation entièrement automatique et le scoring individuel des adhérents à la souscription. Non pas faute de faisabilité, mais parce que le coût de conformité y dépasse le gain à l'horizon des 18 mois de la feuille de route.
Le premier point d'appui est le règlement européen sur l'IA. Son annexe III, point 5, classe à haut risque les systèmes d'IA destinés à l'évaluation des risques et à la tarification en assurance-vie et en assurance-maladie, au même titre que le scoring de crédit. Les obligations associées (gestion des risques, documentation, supervision humaine) s'appliqueront à partir du 2 décembre 2027 : le règlement (UE) 2026/1744 du 8 juillet 2026 a repoussé de seize mois l'échéance initiale du 2 août 2026. Un report, pas une annulation : un scoring lancé en 2026 devra être conforme fin 2027. Un scoring d'adhérents à la souscription tombe dedans. Une aide à l'instruction qui laisse la décision au gestionnaire, non.
Le deuxième est l'ACPR, qui indique (page mise à jour en septembre 2025) qu'elle se verra confier le rôle d'autorité de surveillance du marché pour l'application du règlement dans le secteur financier français. Le contrôleur prudentiel habituel de la mutuelle contrôlera donc aussi ses systèmes d'IA.
Le troisième est la CNIL sur le secret médical. Dès novembre 2022, après des centaines de plaintes visant une cinquantaine de complémentaires santé, elle rappelait que ces organismes ne doivent traiter que les données nécessaires à leurs prestations et que leur dérogation au secret médical est « soit très implicite, soit inexistante » dans les textes (communiqué CNIL). Tout cas d'usage qui aurait fait transiter des codes d'actes ou des prescriptions dans un modèle a été écarté ou reformulé sur des données de gestion non médicales. Le chatbot adhérent n'explique pas un remboursement : il oriente vers un gestionnaire.
Notre avis : dans une mutuelle, la première année d'IA se joue sur l'assistance aux gestionnaires, pas sur la décision. Le retour sur investissement y est mesurable, alors que le ROI d'un système à haut risque doit intégrer l'audit, la documentation et le suivi post-déploiement. L'article sur l'automatisation de la gestion des sinistres par l'IA détaille ce que l'on peut automatiser avec validation humaine.
Quelle gouvernance fait tenir une feuille de route IA au-delà de trois mois ?
Un comité IA bimensuel, un propriétaire nommé par cas d'usage, et trois indicateurs par pilote décidés avant le lancement. Sans cette instance, une feuille de route à 18 mois se périme en trois : les pilotes s'éternisent faute de décision et le catalogue devient un inventaire que plus personne ne rouvre.
Le comité réunit le directeur de la transformation, qui préside, le responsable conformité, le DPO, la DSI et les propriétaires des pilotes en cours. Il tranche sur des faits : poursuivre, réorienter, arrêter. Le propriétaire d'un cas d'usage est un responsable métier, jamais un informaticien ni un consultant. C'est lui qui présente les indicateurs et lui qui porte l'arrêt si le pilote ne tient pas ses promesses.
Le volet protection des données a été outillé avec les recommandations que la CNIL a finalisées en juillet 2025 sur le développement des systèmes d'IA, dont sa liste de vérification « Que faut-il vérifier ? ». Chaque fiche pilote comporte une section données revue par le DPO avant le lancement. Pour la suite, le pilier sur l'IA dans les services financiers et le contrôle de gestion traite de l'industrialisation une fois les pilotes validés.
Combien de temps prend une stratégie IA et qu'est-ce qu'on livre à chaque phase ?
Dix semaines, trois phases, une décision à la fin de chacune.
| Phase | Livrable | Décision prise |
|---|---|---|
| Cadrage et diagnostic de maturité | Périmètre, calendrier, règle de décision, diagnostic sur quatre dimensions (données, outils, compétences, culture) | Périmètre validé par le comité de direction |
| Identification et priorisation par direction | 24 fiches cas d'usage ; grille valeur, faisabilité, risque réglementaire ; 6 pilotes retenus, 18 cas datés, cas écartés motivés | Six pilotes arbitrés, budget par pilote |
| Feuille de route et gouvernance | Feuille de route 18 mois, modèle de gouvernance, fiches projets pilotes, propriétaires nommés | Stratégie validée au CODIR, présentée aux managers |
Le rythme a tenu grâce aux comités de pilotage tous les quinze jours et aux restitutions intermédiaires au comité de direction. Une direction qui découvre la liste des pilotes à la semaine 10 la conteste ; celle qui l'a vue se construire l'a déjà adoptée.
Que referait-on autrement sur cette mission ?
Trois choses. D'abord, faire entrer le responsable conformité dès le cadrage et non aux ateliers de priorisation : plusieurs idées ont été travaillées en atelier alors qu'une lecture de l'annexe III les aurait écartées en dix minutes. Ensuite, chiffrer le socle de données avant de dater les dix-huit cas d'usage restants. Plusieurs conditions de déclenchement dépendent d'un référentiel adhérents unifié dont personne n'avait estimé le coût. Enfin, prévoir dès la mission un budget de formation pour les 800 collaborateurs. On avait mesuré la culture dans le diagnostic ; on n'avait pas planifié ce qu'on ferait du résultat.
Ce qu'on ne changerait pas : six pilotes plutôt qu'un. Un pilote unique concentre tout le risque, et s'il rate, c'est l'IA qui est jugée. Six chantiers sur quatre directions donnent des résultats contrastés, ce dont un comité de direction a besoin pour arbitrer. Sur la conformité continue, l'article sur l'automatisation et la conformité de l'IA dans les services financiers complète ce retour d'expérience.
JUWA conduit ce type de cadrage pour les acteurs de l'assurance et de la protection sociale : diagnostic de maturité, ateliers par direction, grille de priorisation avec un axe réglementaire noté avec le DPO, feuille de route à 18 mois et gouvernance installée avant notre départ. Les pilotes passent ensuite en production en 4 à 8 semaines, avec validation humaine sous seuil de confiance et hébergement en France quand la donnée l'exige. Pour cadrer une démarche comparable, le point d'entrée est notre cabinet IA pour la banque, l'assurance et les mutuelles.
