Qu'est-ce que l'IA change au risque, du point de vue de l’assureur ?
Christophe Madec : La technologie n'est pas un risque en soi : ce sont les cas d'usage qui modifient la perception des risques. Dans certains cas, l'IA améliore le risque, comme pour certains usages médicaux ou le contrôle qualité dans l'industrie. Dans d'autres, elle l'aggrave, en particulier lorsqu'elle délivre des conseils ou communique des informations… et commet des erreurs.
Etienne Busnel : L'IA exécute les tests et les actions à une vitesse inatteignable pour un humain. Là où un hacker mettra plusieurs jours à obtenir un résultat, une IA aura eu le temps de tester quasiment toutes les failles possibles. Autre différence notable : l'écart entre l'intention humaine et l'exécution de la machine. Dans l'incident Hugging Face, une IA « pacifique » a mené de son propre chef des actions illicites pour parvenir à l'objectif qu'on lui avait assigné. Un humain s'en serait tenu aux règles de l'exercice.
Christophe Madec : Comme internet en son temps, l'IA infuse tous les systèmes d'information, des actes ordinaires de gestion jusqu'aux process industriels. Chaque cas d'usage doit réinterroger l'appréciation des risques induits. Les conclusions s'inscriront dans un schéma classique de gestion des risques : la prévention et le transfert à l'assurance, en responsabilité civile, dommages aux biens ou cyber. Ce qui change, c'est l'échelle des risques : avec l'IA, le risque ne repose plus seulement sur un évènement isolé, mais également sur une défaillance intrinsèque systématique.
L'IA dilue-t-elle la responsabilité de l'entreprise ?
Etienne Busnel : Qu'il s'agisse d'un collaborateur ou d'un agent IA, la responsabilité reste celle de l'entreprise. Elle pourrait chercher à se retourner contre l'éditeur ou l'intégrateur de sa solution, mais ce sont alors les contrats passés entre les différents acteurs qui doivent prévoir ces cas de figure. L'évolution du cadre réglementaire et juridique ne manquera pas de clarifier les obligations de chacun. L'AI Act, entré en vigueur le 1er août 2024, en est une première illustration : c'est le premier cadre juridique complet au monde régissant l'intelligence artificielle.
Une entreprise est-elle déjà assurée contre les erreurs de son IA ?
Christophe Madec : L'IA s'invite dans tous les domaines de risques, de l'automobile – avec la voiture connectée – à la responsabilité civile, en passant par les dommages aux biens, le cyber et la fraude. Les risques induits par l'utilisation d'une IA ne sont aujourd'hui pas exclus des polices d'assurance sur le marché français.
Etienne Busnel : L'IA d'un assuré fait partie de son système d'information. Ses erreurs peuvent être couvertes sous l'angle du « bug » dans le contrat cyber, ou directement par les contrats dommages aux biens ou responsabilité civile. Une cyberattaque provoquée par une IA fait quant à elle en principe partie des scénarios classiquement pris en charge par une police cyber. Depuis cette année, certains assureurs ont pris le parti de formuler une couverture positive pour l'IA, en la mentionnant explicitement dans le contrat.
Comment mesurer votre niveau d'exposition cyber ?
Bessé a développé une méthode spécifique articulée autour de 4 axes :
- Appréciation du niveau de risque de l'entreprise
- Identification et évaluation des conséquences d'un sinistre Cyber
- Définition d'une solution d'assurance sur mesure
- Anticipation de la gestion de crise
- Menée en collaboration étroite avec les fonctions clefs de l'entreprise, cette approche transverse vous permet d'être pleinement impliqué dans le processus d'analyse pour construire avec Bessé une solution assurantielle parfaitement adaptée à vos besoins et vos attentes.
Doit-on s'attendre à des exclusions ?
Christophe Madec : Aux États-Unis, pays du contentieux par excellence, certains assureurs commencent à introduire des exclusions d'IA étendues dans les renouvellements des polices cyber, erreurs et omissions ou responsabilité civile générale. En responsabilité civile, sont par exemple exclues les réclamations issues de « systèmes de prise de décision autonomes », de « sorties génératives » ou de « processus algorithmiques ».
Les entreprises s'interrogent-elles sur leur couverture ?
Christophe Madec : Pas encore, car ces risques ne sont pas exclus de leurs contrats. Avec la multiplication des cas d'usage, elles seront forcément amenées à se pencher sur l'attribution des responsabilités. Les questionnaires d'assurance vont progressivement s'enrichir de questions propres à l'IA. Les garanties cyber, responsabilité civile professionnelle, voire responsabilité civile des mandataires sociaux, sont pour l'instant les plus concernées.
Les dirigeants mesurent-ils leur exposition personnelle ?
Etienne Busnel : Les dirigeants doivent prendre la mesure des risques inhérents au déploiement de l'IA dans leur organisation et s'assurer qu'ils sont bien pris en compte. À défaut, ils exposent leur responsabilité personnelle, et donc l'assurance responsabilité civile des mandataires sociaux.
Dans ce contexte, quel rôle pour le courtier en assurances ?
Christophe Madec : Dès lors que l'IA est intégrée aux activités d'une entreprise, l'approche de ses risques est à reconsidérer dans son ensemble. Nous allons devoir explorer de nouveaux scénarios et cartographier les risques de nos clients, pour l'entreprise comme pour les tiers. Tout l'enjeu est de s'assurer de l'adéquation de leurs couvertures d'assurance aux expositions générées par l'IA.
Des interrogations sur votre couverture assurantielle ou votre exposition aux risques cyber ? Nos experts sont à votre écoute.
Directeur clientèle cyber
Expert technique cyber
