Les assureurs demandent aux régulateurs de pouvoir ajouter des exclusions spécifiques à l’IA dans leurs polices, tandis que de nouveaux produits d’assurance apparaissent pour combler ce vide de couverture. Avant de souscrire à ces polices dédiées à l’IA, il est utile d’en comprendre précisément le contenu.
Des systèmes d’IA multi-agents complexes ont désormais accès aux boîtes de réception, aux identifiants de connexion, aux dossiers clients et aux systèmes de paiement d’une entreprise. Les outils de collaboration fondés sur l’IA disposent d’un libre accès aux appareils des employés, et les services informatiques peinent à suivre tous les fournisseurs d’IA, dont les politiques de partage de données diffèrent et peuvent avoir une incidence sur la conformité. Tout cela crée, selon la source, une imprévisibilité qui ne correspond pas au profil de risque de tous les assureurs.
Aux Etats-Unis, AIG, Great American, WR Berkley et d’autres grandes compagnies travaillent déjà avec les régulateurs pour ajouter des exclusions liées à l’IA à leurs polices. Selon la source, 80 % des commissaires d’État aux assurances ont déjà accédé à ces demandes, notamment en Floride, dans le Connecticut et dans le Maryland.
Des start-up veulent couvrir les risques liés à l’IA
Un petit groupe de start-up et d’assureurs spécialisés prend le contre-pied de cette tendance. La start-up Klaimee, soutenue par Y Combinator, a levé 5,5 millions de dollars lors d’un tour de table d’amorçage en juillet, afin d’auditer les agents IA autonomes et de leur offrir une couverture de responsabilité civile spécifique. HSB, filiale de Munich Re basée dans le Connecticut, commercialise pour sa part depuis mars une assurance responsabilité civile IA destinée aux petites et moyennes entreprises.
Il existe pourtant des divergences entre ce que les prestataires annoncent et ce que couvrent réellement leurs polices. ZDNET s’est donc entretenu avec des experts en gestion des risques pour déterminer si l’une de ces polices vaut la peine d’être souscrite.
Le terme « assurance IA » recouvre des garanties différentes
Milad Morgan, fondateur de la société de courtage en assurance SaaS Atlas Risk Partners, constate que les entreprises passent souvent à côté des nuances concernant ce qui est réellement assuré. L’« assurance IA » peut prendre en charge les pertes subies par l’entreprise elle-même, l’indemniser contre les réclamations de tiers, ou la couvrir lorsqu’un modèle n’atteint pas son seuil de performance. « Ces conditions de déclenchement ne sont pas interchangeables », explique M. Morgan à ZDNET. « Demandez le libellé exact de la police et examinez-le en fonction d’un sinistre spécifique. »
Par exemple, la police aiSure de Munich Re indemnise les entreprises lorsqu’un fournisseur ou un système d’IA ne répond pas aux attentes minimales de performance. HSB propose des polices distinctes couvrant les frais de défense, de règlement et de jugement liés aux dommages corporels et matériels impliquant des systèmes ou appareils contrôlés par l’IA. Klaimee, de son côté, évalue les agents autonomes au cas par cas et émet des polices en conséquence.
« La plupart des acheteurs partent du principe qu’ils bénéficient des trois », a ajouté Brandon Pinzon, cofondateur du cabinet de conseil en risques cybernétiques Firetower Risk Solutions. Mais en réalité, ce n’est presque jamais le cas. M. Pinzon souligne qu’il est essentiel de bien comprendre contre quoi votre assureur vous protège.
Des données rares, des contrats qui changent
Jane Veeder, vice-présidente des solutions chez CYGNVS, plateforme de réponse aux crises cybernétiques, explique que les souscripteurs ne disposent pas encore de suffisamment de données historiques pour évaluer en profondeur les risques liés à l’IA. « La souscription traditionnelle s’appuie fortement sur l’utilisation de données passées pour prédire les pertes futures », dit-elle. Or la technologie évolue si vite que les modèles prédictifs ne peuvent pas suivre, si bien que « les données sur les pertes d’hier ne constituent pas nécessairement un indicateur fiable de l’exposition de demain ». Les souscripteurs s’appuient donc sur des « indicateurs », comme le niveau de supervision humaine ou la qualité des tests.
Steven Schwartz, cofondateur de Firetower Risk Solutions, semble partager cet avis : « Il n’existe pas d’historique actuariel des sinistres pour les systèmes agentiques. » Mark Walters, directeur général d’Alliance Risk, indique de son côté à ZDNET : « Je n’ai pas vu suffisamment de sinistres publics et jugés concernant l’IA en tant que telle pour affirmer que ces produits ont fait leurs preuves. »
Si la confiance ne motive pas les décisions d’achat, Walters et Pinzon estiment que la demande s’explique par l’inquiétude des dirigeants et par les nouvelles clauses figurant dans les contrats B2B. « Les équipes de sécurité et juridiques des entreprises intègrent désormais dans les contrats avec les fournisseurs des exigences spécifiques en matière d’indemnisation et d’assurance liées à l’IA », a expliqué M. Pinzon. Par conséquent, les fournisseurs se rendent compte que leurs polices actuelles ne les couvrent pas contre l’ensemble de ces nouveaux risques.
L’ISO a approuvé trois nouveaux formulaires d’exclusion relatifs à l’IA générative, qui permettent aux assureurs de se dégager plus facilement de leur responsabilité lorsque des systèmes d’IA causent un préjudice. Plusieurs assureurs joignent désormais ces formulaires au renouvellement des polices, sans informer correctement les clients des implications en matière de responsabilité. Dans l’Union européenne, le RGPD et la loi sur l’IA (AI Act) protègent la vie privée des consommateurs, mais ne couvrent pas la responsabilité civile des entreprises.
Product offers are temporarily unavailable.
