ZOOM-Face à la défaillance des agents IA, les assureurs spécialisés dans la cybersécurité adaptent leurs polices

information fournie par Reuters •27/08/2026 à 14:21

Ajouter Boursorama à vos sources

((Traduction automatisée par Reuters à l'aide de l'apprentissage automatique et de l'IA générative, veuillez vous référer à l'avertissement suivant: https://bit.ly/rtrsauto)) (Répétition, texte inchangé)

* Les agents IA soulèvent de nouvelles questions en matière de couverture pour les assureurs

* Les compagnies d’assurance se demandent si les agents IA correspondent aux définitions traditionnelles des polices d’assurance

* Beaucoup clarifient leurs polices cyber existantes à mesure que l’utilisation de l’IA autonome se généralise

par Anhata Rooprai et Manya Saini

Les assureurs cyber ont passé des années à définir ce qui constitue un piratage informatique et dans quels cas la couverture doit intervenir, mais l’émergence rapide des agents IA soulève de nouvelles questions, obligeant les assureurs à revoir leurs polices. Les principaux développeurs d’IA, OpenAI, Anthropic et Meta Platforms META.O , ont récemment révélé que leurs agents IA s’étaient comportés de manière inattendue , s’échappant d’environnements de test contrôlés et menant des cyberattaques contre des entreprises sans instruction humaine directe. Bien que ces incidents n’aient pas causé de dommages signalés, ils ont mis en évidence l’évolution rapide des risques cybernétiques auxquels sont confrontées les entreprises et les assureurs.

Après avoir reçu une instruction initiale, les systèmes d’IA autonomes peuvent prendre des décisions de manière indépendante. Des assureurs, notamment MSIG 8725.T , QBE QBE.AX et Beazley

BEZG.L , sont en train de revoir leurs polices cyber traditionnelles et d’adapter leur libellé pour tenir compte des risques émergents posés par ces systèmes qui assument des tâches de plus en plus autonomes, selon huit dirigeants de grandes entreprises et des analystes.

Les entreprises sont confrontées à des questions telles que celle de savoir si les systèmes d’IA autonomes correspondent aux définitions traditionnelles d’un cyberattaquant dans les polices d’assurance, et qui assume la responsabilité des actions générées par l’IA qui entraînent un sinistre, ont déclaré des analystes et des experts.

Le marché mondial de l’assurance cyber s’élevait à près de 15 milliards de dollars l’année dernière et devrait atteindre environ 28 milliards de dollars d’ici 2030, selon les estimations de Munich Re dans son dernier rapport. Aon AON.N a déclaré en début d’année que près de 20% des cyberattaques impliqueraient une IA générative d’ici 2027, selon ses prévisions.

“À mesure que l’IA deviendra capable d’identifier les vulnérabilités et de mener des attaques de manière autonome, les assureurs devront revoir en permanence la formulation de leurs polices”, a déclaré Ryan Kratz, responsable du secteur cyber pour l’Amérique du Nord chez MSIG USA, assureur spécialisé dans les biens et les risques divers.

DÉFINITION DES SINISTRES LIÉS À L’IA

Plusieurs entreprises, notamment Armilla AI, AiSure (filiale de Munich Re) et AXA XL, proposent des couvertures ciblées contre les risques spécifiques à l’IA, tels que la sous-performance des modèles, les “hallucinations” (lorsque l’IA génère des résultats faux ou trompeurs) et les violations de la propriété intellectuelle.

Mais les polices cyber traditionnelles sont conçues pour avoir une portée plus large, couvrant les sinistres découlant d’une série d’incidents, tels que les paiements de rançons, les pertes d’exploitation, la remise en état des systèmes, les enquêtes judiciaires et les frais juridiques. Les pertes d’exploitation constituent généralement la composante la plus importante d’une demande d’indemnisation.

La plupart des polices prévoient un événement de sécurité spécifique à l’origine du sinistre, tel qu’un accès non autorisé par un salarié qui vole des données de l’entreprise ou une attaque contre un serveur provoquant la panne d’un système. Les agents d’IA, en revanche, peuvent causer des pertes sans déclencher d’événement de sécurité traditionnel, en particulier lorsqu’ils utilisent un accès aux systèmes qui leur a été délibérément accordé.

“Certaines pertes causées par des agents d’IA relèveront sans aucun doute des polices de cyberassurance”, a déclaré à Reuters Karthik Ramakrishnan, directeur général et fondateur d’Armilla AI. “Les cas les plus complexes sont ceux où il n’y a pas d’attaquant conventionnel et où il n’y a potentiellement pas d’utilisation non autorisée d’identifiants.”

Une entreprise pourrait, par exemple, accorder à un agent d’IA l’accès à son réseau afin de corriger des failles de sécurité. L’agent pourrait alors exploiter de son propre chef une faille, se déplacer au sein des systèmes de l’entreprise et exposer des données sensibles. Cela pourrait entraîner un sinistre, sans qu’il y ait eu de pirate informatique classique ni, potentiellement, d’accès non autorisé au départ.

Compte tenu du nombre relativement limité de données historiques sur les sinistres liés à l’IA, et du fait que le secteur de l’IA tente encore de comprendre les capacités des modèles autonomes, ces risques sont difficiles à évaluer financièrement.

“Ils en sont encore à découvrir leur potentiel, leur fonctionnement et les types de contrôles de sécurité qu’ils doivent mettre en place pour les maîtriser”, a déclaré Sasha Romanosky, chercheuse senior en politiques publiques chez RAND, spécialisée notamment dans la cybersécurité et l’assurance.

ENCADRER LES RISQUES LIÉS À L’IA

Dans l’ensemble, les assureurs s’attachent à clarifier la manière dont les dispositions existantes des polices s’appliquent lorsque l’IA est en jeu, plutôt que d’ajouter des exclusions. “Les souscripteurs reconnaissent qu’il est important de continuer à proposer un produit qui réponde à ce type d’événements”, a déclaré Greg Eskins, responsable mondial des produits cyber chez le courtier en assurance Marsh.

L’assureur QBE, par exemple, a renforcé la protection contre certains risques émergents liés à l’IA. Si un événement lié à l’IA entraîne un incident cyber classique, les pertes qui en résultent continuent d’être couvertes par une police cyber, a déclaré dans un communiqué Serene Davis, responsable mondiale de la cyberprotection chez QBE. “L’IA est considérée comme un amplificateur de risques, et non comme un risque cyber fondamentalement nouveau”, a-t-elle ajouté.

Un porte-parole de la société britannique Beazley a indiqué que les entreprises souhaitent que les risques liés à l’IA soient inclus dans des polices cyber globales. “À mesure que de nouveaux risques liés à l’IA apparaissent, nous développons de nouvelles couvertures.”

Pourtant, certains dirigeants ont indiqué que des exclusions ciblées faisaient l’objet de discussions dans certains segments du secteur. L’un des axes prioritaires concerne les événements systémiques potentiels, dans lesquels un seul modèle ou une seule plateforme d’IA pourrait entraîner simultanément des pertes pour de nombreuses organisations, a expliqué Jenny Soubra, vice-présidente des branches commerciales spécialisées chez Verisk Underwriting Solutions.

Un autre concerne la responsabilité civile dans les cas où un agent d’IA — agissant conformément à sa programmation — prendrait de manière autonome une décision coûteuse. Certains assureurs pourraient classer cela comme un événement non lié à la cybersécurité.

“Le marché est encore en pleine évolution, mais nous nous attendons à ce que les organisations et les assureurs continuent d’explorer des moyens de gérer les risques liés à l’IA à mesure que son adoption s’accélère”, a ajouté Mme Soubra.