Les assureurs traditionnels excluent progressivement l'IA de leurs contrats, tandis qu'une nouvelle génération de souscripteurs s'empresse de combler ce vide.
Les points clés à retenir sur les assurances et l'IA
Tout cela crée une imprévisibilité qui ne correspond pas au profil de risque de tous les assureurs. En effet, aux Etats-Unis, AIG, Great American, WR Berkley, ainsi que d’autres grandes compagnies d’assurance, travaillent déjà avec les régulateurs américains pour ajouter des exclusions liées à l’IA à leurs polices.
De plus, 80 % des commissaires d’État aux assurances aux Etats-Unis ont déjà accédé à leurs demandes, notamment dans des États comme la Floride, le Connecticut et le Maryland.
Dans le même temps, un petit groupe de start-ups prometteuses et d’assureurs spécialisés prend le contre-pied de cette tendance. Par exemple, une start-up soutenue par Y Combinator, baptisée Klaimee, a levé 5,5 millions de dollars lors d’un tour de table d’amorçage en juillet afin d’auditer les agents IA autonomes et de leur offrir une couverture de responsabilité civile spécifique.
HSB, une filiale de Munich Re basée dans le Connecticut, commercialise depuis mars une assurance responsabilité civile IA destinée aux petites et moyennes entreprises.
Il existe pourtant des divergences entre ce que les prestataires annoncent et ce que couvrent réellement leurs polices. ZDNET s’est entretenu avec des experts en gestion des risques qui aident les entreprises à s’y retrouver afin de déterminer si l’une de ces polices vaut réellement la peine d’être souscrite.
Milad Morgan, fondateur d’une société de courtage en assurance SaaS appelée Atlas Risk Partners, a déclaré que les entreprises passaient souvent à côté des nuances concernant ce qui est réellement assuré. L’« assurance IA » peut offrir l’une des garanties suivantes :
« Ces conditions de déclenchement ne sont pas interchangeables », explique M. Morgan à ZDNET. « Demandez le libellé exact de la police et examinez-le en fonction d’un sinistre spécifique. »
Par exemple, la police aiSure de Munich Re indemnise les entreprises lorsqu’un fournisseur ou un système d’IA ne répond pas aux attentes minimales de performance. Par ailleurs, HSB, une filiale de Munich Re, propose des polices distinctes qui couvrent les frais de défense, de règlement et de jugement liés aux dommages corporels et matériels impliquant des systèmes ou appareils contrôlés par l’IA.
La plateforme d’assurance Klaimee, soutenue par YC, adopte une approche plus personnalisée : elle évalue les agents autonomes au cas par cas et émet des polices en conséquence.
« La plupart des acheteurs partent du principe qu’ils bénéficient des trois », a ajouté Brandon Pinzon, cofondateur du cabinet de conseil en risques cybernétiques Firetower Risk Solutions. Mais en réalité, ce n’est presque jamais le cas. Alors que les systèmes d’IA offensifs gagnent en vitesse, en volume, en sophistication et en dangerosité, M. Pinzon souligne qu’il est essentiel de bien comprendre contre quoi votre assureur vous protège.
Jane Veeder, vice-présidente des solutions chez CYGNVS, une plateforme de réponse aux crises cybernétiques, explique que les souscripteurs ne disposent aujourd’hui pas de suffisamment de données historiques pour évaluer de manière approfondie les risques commerciaux liés à l’IA. « La souscription traditionnelle s’appuie fortement sur l’utilisation de données passées pour prédire les pertes futures », dit-elle.
Mais avec l’IA, la technologie évolue si rapidement qu’il est impossible pour les modèles prédictifs de suivre le rythme. « Les données sur les pertes d’hier ne constituent pas nécessairement un indicateur fiable de l’exposition de demain. » En conséquence, les souscripteurs d’assurance s’appuient fortement sur des « indicateurs » — des sources de données indirectes telles que le type de flux de travail et de décisions automatisés, le niveau de supervision humaine, la qualité des tests et les contrôles mis en place en cas de défaillance.
Steven Schwartz, également cofondateur de Firetower Risk Solutions, semble partager cet avis. « Il n’existe pas d’historique actuariel des sinistres pour les systèmes agentiques », a-t-il déclaré. Veeder et Schwartz ont tous deux comparé l’approche actuelle de la souscription à celle pratiquée aux débuts de la cyberassurance, lorsque tout le monde cherchait encore à déterminer le niveau d’exposition auquel les organisations seraient confrontées.
Une récente étude IBM estime que seuls 24 % des projets d’IA en entreprise intègrent un volet sécurité, alors même que 82 % des dirigeants interrogés s’accordent à dire que la sécurité est essentielle à la mise en œuvre de l’IA. Par ailleurs, la start-up d’assurance spécialisée dans l’IA Testudo affirme que les litiges liés à l’IA ont augmenté de 137 % par rapport à l’année dernière, selon ses propres données.
Pourtant, les rares assureurs proposant une couverture dédiée à l’IA révèlent un écart de départ. « Je n’ai pas vu suffisamment de sinistres publics et jugés concernant l’IA en tant que telle pour affirmer que ces produits ont fait leurs preuves », dit à ZDNET Mark Walters, directeur général d’Alliance Risk.
À l’instar de Veeder, il estime qu’il n’y a pas suffisamment de données de marché accessibles au public pour affirmer que ces polices sont réellement efficaces face à des crises concrètes. En l’absence de données suffisantes sur les taux de règlement des sinistres et l’exposition au risque de responsabilité civile des entreprises, la confiance des professionnels du secteur reste limitée.
Mais si la confiance ne motive pas les décisions d’achat, qu’est-ce qui les motive alors ? Walters et Pinzon estiment tous deux qu’il s’agit d’une combinaison entre l’inquiétude des dirigeants et les nouvelles clauses juridiques relatives aux achats figurant dans les contrats B2B.
«Les équipes de sécurité et juridiques des entreprises intègrent désormais dans les contrats avec les fournisseurs des exigences spécifiques en matière d’indemnisation et d’assurance liées à l’IA », a expliqué M. Pinzon. Par conséquent, les fournisseurs se rendent compte que leurs polices d’assurance actuelles ne les couvrent pas contre l’ensemble de ces nouveaux risques.
Outre la pression du secteur et la panique au sein des conseils d’administration, les entreprises sont également poussées à agir par l’évolution des exigences de conformité. L’ISO a approuvé trois nouveaux formulaires d’exclusion relatifs à l’IA générative qui permettent aux assureurs de se dégager plus facilement de leur responsabilité lorsque des systèmes d’IA causent un préjudice.
Plusieurs assureurs joignent désormais ces formulaires d’exclusion lors du renouvellement des polices sans informer correctement les clients des implications qui en découlent en matière de responsabilité.
« Une fois que la couverture tacite est explicitement supprimée, les acheteurs se mettent en quête d’une couverture explicite », a expliqué M. Pinzon.
Par ailleurs, dans l’Union européenne, le RGPD et la loi sur l’IA (AI Act) protègent la vie privée des consommateurs, mais ne couvrent pas la responsabilité civile des entreprises.
Le ZDNET Morning le brief de l'actu tech pour les pros tous les matins à 9h00. Transformation numérique, IA, matériel, logiciels,… ne passez pas à côté de ce qui fait la Une du secteur.
Mustafa Suleyman, PDG de Microsoft AI, juge « imprudent » de créer une IA consciente. Si des signes de conscience émergeaient à l’entraînement, il demande d’arrêter le développement de l’IA jusqu’à pouvoir les supprimer.
OpenAI, Google, Microsoft et Anthropic soutiennent un signal commun dans le fichier robots.txt pour refuser l’entraînement des IA sur le contenu d’un site. Ce projet de norme, non contraignant, sera appliqué à des dates variables.
L'Etat impose l'assurtech Alan pour gérer la complémentaire santé des 360 000 agents et ayants droit de la Sécurité sociale. Ce contrat suscite l'opposition des syndicats, inquiets de l'hébergement des données de santé sur le cloud américain AWS.
