Getting your Trinity Audio player ready...

En 2017, l'attaque du rançongiciel NotPetya a contraint le secteur des assurances à s'attaquer de front au « cyberrisque silencieux », ce qui a entraîné une expansion rapide du marché de la cyberassurance. Près d'une décennie plus tard, la question de la responsabilité en matière d'IA se trouve à un tournant similaire.

L'IA transforme la façon dont nous faisons des affaires, mais avec cette évolution rapide, il y a une vague croissante de conséquences réelles. Alors que les organisations intègrent de plus en plus l'IA dans leurs opérations, la question de la responsabilité devient de plus en plus pressante. Qui est responsable en cas de défaillance de l'IA? Comment les entreprises peuvent-elles se prémunir contre les conséquences des incidents liés à l'IA et comment leurs assurances réagiront-elles?

Dans la plupart des cas, les polices d'assurance ne précisent toujours pas comment elles traiteraient les dommages causés par l'IA. La réputation du secteur dépend de sa capacité à innover rapidement pour combler les lacunes en matière de couverture et éviter les litiges liés aux réclamations.

Dans cet article, nous examinons l'évolution du cadre juridique en matière de responsabilité liée à l'IA, les répercussions financières, juridiques et en termes de réputation auxquelles les entreprises pourraient être confrontées, ainsi que la manière dont le secteur des assurances est susceptible de réagir face à des scénarios de réclamations réels ou potentiels.

Principaux points à retenir

  • La plupart des polices d'assurance ne font aucune mention de l'IA : elles ne couvrent ni n'excluent explicitement les risques liés à l'IA, ce qui expose les entreprises à des lacunes dans leur couverture d'assurance.
  • Un professionnel de l'assurance sur cinq interrogé déclare que ses assurés ont déjà subi des dommages liés à l'IA.
  • Les risques liés à l'IA couvrent plusieurs catégories d'activités, notamment la responsabilité civile liée à la cybersécurité, la responsabilité liée aux produits, la responsabilité liée aux pratiques en matière d'emploi et la responsabilité civile professionnelle.
  • L'expérience du secteur de l'assurance face aux « cyberrisques silencieux » offre un modèle éprouvé pour gérer les nouveaux risques liés à la responsabilité civile en matière d'IA.
  • Un marché dédié à l'assurance responsabilité civile liée à l'IA commence à se développer, et selon les prévisions, il pourrait atteindre 4,8 milliards de dollars d'ici 2032.

Selon l'étude de Gallagher sur l'adoption de l'IA, les entreprises continuent de faire des progrès significatifs dans l'intégration de l'IA au sein de leurs activités : 86 % d'entre elles constatant déjà un impact positif sur leur chiffre d'affaires. Mais cette opportunité s'accompagne de changements en matière d'exposition. La transformation numérique engendre des risques nouveaux et émergents que les polices d'assurance traditionnelles ne sont guère en mesure de couvrir de manière adéquate.

Une étude menée auprès de plus de 1 000 chefs d'entreprise a révélé que les erreurs, la désinformation et les idées fausses constituent un sujet de préoccupation majeur. Les risques juridiques et de réputation occupent également une place importante, suivis par les violations de la protection des données et de la vie privée, ainsi que par une vulnérabilité accrue aux cyberattaques et à la fraude.

Depuis le lancement de l'IA générative en novembre 2022, le nombre d'incidents liés à l'IA impliquant des pertes financières directes de plus d'un million de dollars a augmenté régulièrement.1 Selon le Suivi des incidents liés à l'IA du Massachusetts Institute of Technology (MIT), qui catégorise les données tirées de la base de données des incidents liés à l'IA, la grande majorité de ces incidents sont attribuables à des acteurs malveillants.2 Cependant, le risque de pertes dues à une mauvaise utilisation ou à des erreurs d'IA augmente également.

« Lorsque vous considérez combien d'organisations comptent sur les plateformes d'IA pour fournir des services et des produits essentiels à leurs propres clients, cela crée un potentiel d'augmentation de la fréquence et de la gravité des réclamations », déclare John Farley, directeur général de la pratique de la Cyberresponsabilité chez Gallagher. « Vous n'avez qu'à consulter le Suivi des incidents liés à l'IA du MIT pour voir si des incidents liés à l'IA se produisent déjà, et nous savons également que les réclamations sont là. »

À mesure que les risques évoluent, on se demande comment les produits d'assurance traditionnels réagiraient face aux menaces liées à l'IA.

Les libellés des polices d'assurance n'ont pas été conçus pour couvrir la responsabilité liée à l'IA, mais en l'absence d'exclusions directes ou de couverture expresse, beaucoup restent muets sur la question. L'expérience acquise par le secteur en matière de réclamations liées à la cyberresponsabilité constitue un guide essentiel pour mieux se préparer à la prochaine génération de risques liés aux technologies.

“
Lorsque vous considérez combien d'organisations comptent sur les plateformes d'IA pour fournir des services et des produits essentiels à leurs propres clients, cela crée un potentiel d'augmentation de la fréquence et de la gravité des réclamations.
John Farley, directeur général, Cyberresponsabilité, Gallagher

Réclamations de responsabilité en matière d'IA : ce que nous avons appris des professionnels de l'assurance

Pour la première fois en 2026, l'enquête de Gallagher sur l'adoption de l'IA a exploré les perceptions du secteur de l'assurance des risques liés à l'IA. Elle a révélé que pour un cinquième des répondants, les assurés avaient subi des pertes économiques ou fait des réclamations d'assurance en raison des risques liés à l'IA. Un peu plus de la moitié des répondants ayant subi des pertes ont été entièrement couverts, tandis que 44 % étaient partiellement couverts et 3 % n'étaient pas assurés.

« Il peut être difficile d'attribuer des pertes directement à l'IA, plutôt que de faire partie d'un problème plus important qui a généré la réclamation », observe Paige Cheasley, chef de pratique de la technologie nationale, Canada, Gallagher. « On débat actuellement beaucoup de la nécessité d'adopter des formulations plus claires dans les polices d'assurance pour traiter la question des risques liés à l'« IA silencieuse », mais nous pensons que les assureurs attendront de voir comment évoluent les réclamations liées à l'IA avant d'introduire des exclusions. »

Elle prévoit que le déploiement de l'IA entraînera des expositions supplémentaires sur le marché de la cyberassurance, ainsi que l'augmentation des réclamations sur les marchés de la responsabilité en matière de pratiques d'emploi, de l'indemnisation professionnelle et des administrateurs et dirigeants (Directors and Officers , D&O).

Qu'est-ce que l'« IA silencieuse »?

  • Selon Gallagher Re, l'expansion du déploiement de systèmes d'IA tiers crée une catégorie croissante de risques non assurés.
  • Les expositions à l'« IA silencieuse » englobent les risques associés à l'IA que les polices d'assurance ne couvrent pas explicitement ou n'excluent pas.
  • Tout comme cela s'est produit avec les risques « silencieux » liés au cyberespace sur les marchés traditionnels de l'assurance dommages, l'IA « silencieuse » pourrait exposer les assurés à des lacunes de couverture face aux risques liés à l'IA et accroître le risque d'accumulation pour les assureurs.
  • La dépendance de l'écosystème de l'IA à un petit nombre de fournisseurs de modèles rend les expositions systémiques silencieuses à l'IA plus probables.

Comment les scénarios de responsabilité liés à l'IA pourraient-ils avoir un impact sur le secteur des assurances?

Le rapport Perspectives du marché de la cyberassurance 2026 de Gallagher fait référence à plus de 200 affaires judiciaires en cours liées à l'IA et à l'apprentissage automatique, dont les litiges portent sur des questions telles que les biais dans les données, la responsabilité en matière de protection de la vie privée, la discrimination et les risques réglementaires. Ces questions concernent un large éventail de couvertures de responsabilité, notamment la cyber-responsabilité, la responsabilité civile liée aux pratiques d'emploi (Employment Practices Liability, EPL), la responsabilité en matière de produits et les erreurs et omissions (Errors and Omissions, E&O).

Le rapport indique que les assureurs commenceront de plus en plus à proposer des couvertures de responsabilité civile basées sur l'IA cette année, mais mentionne que les négociations se poursuivent quant à la définition du terme « préjudice » dans ces nouvelles options de couverture.

  • Farley distingue deux grandes catégories de risques liés à l'IA en fonction de la cause du préjudice :
    • Les cybercriminels qui utilisent l'IA comme arme (par exemple, les deepfakes, l'ingénierie sociale ciblée)
    • L'IA ne fonctionne pas comme prévu (par exemple, biais des données, dérive du modèle, empoisonnement des données).

    Les cyberassureurs confirment généralement la couverture pour la première catégorie. Mais cette deuxième catégorie peut déborder sur des branches non liées au cyber.

    Par ailleurs, les systèmes d'IA qui sous-tendent ces risques se répartissent globalement en deux catégories :

    • Les systèmes d'IA générative désignent les grands modèles linguistiques, les robots conversationnels et les plateformes de génération de contenu Ces risques surviennent généralement lors de l'utilisation du système d'IA, plutôt que pendant son développement ou son apprentissage, et peuvent entraîner des responsabilités civiles en raison de la production de contenus préjudiciables, plutôt que de failles de sécurité.
    • L'IA non générative, telle que les systèmes traditionnels basés sur l'apprentissage automatique utilisés pour l'évaluation de la solvabilité, les algorithmes de recrutement, le diagnostic médical et les véhicules autonomes, peut engager la responsabilité de ses concepteurs en cas de défaillance ou entraîner des conséquences néfastes. Ces défaillances résultent généralement de problèmes liés à la conception du système, aux données d'entraînement ou à des changements progressifs de performances, plutôt que d'une manipulation externe.

    Exposition à la perte de biens basée sur l'IA

    D'après les recherches menées par Gallagher, les principaux secteurs d'activité pour lesquels le secteur de l'assurance prévoit des pertes liées aux risques liés à l'IA sont la responsabilité civile liée à la cybersécurité, la responsabilité civile liée aux produits, la responsabilité civile liée à l'emploi et la responsabilité civile professionnelle, y compris la responsabilité civile des dirigeants et des administrateurs et les erreurs et omissions.

    Il est à noter que l'assurance de biens figure en bas de cette liste. Cependant, l'expérience acquise par le secteur de l'assurance en matière de risques liés à la cybersécurité suggère que cette perception pourrait être en décalage avec la réalité.

    Les cyberincidents étaient autrefois considérés comme des sinistres relevant uniquement de la responsabilité civile numérique, jusqu'à ce que des attaques démontrent qu'ils pouvaient causer des dommages matériels importants, ce qui a incité le secteur à définir des clauses de couverture spécifiques.

    Dans le domaine de l'IA, le secteur constate que le même lien entre la responsabilité civile et l'exposition aux risques liés aux biens se manifeste. Par exemple, un robot d'entrepôt piloté par l'IA et fonctionnant avec un algorithme de calcul d'itinéraire défaillant pourrait endommager les rayonnages ou provoquer un incendie. Ou encore, un véhicule autonome géré par l'IA pourrait percuter un bâtiment.

    Selon Martha Bane, vice-présidente directrice régionale et directrice générale du pôle Assurance immobilière chez Gallagher, les polices d'assurance immobilière ne font actuellement guère mention de l'IA en tant que facteur déclencheur, et selon les définitions en vigueur, les dommages causés par l'IA ne seraient pas considérés comme des pertes liées à la cybersécurité. Par conséquent, de tels scénarios seraient probablement considérés aujourd'hui comme des dommages matériels et seraient donc couverts.

    Selon Mme Bane, si les assureurs commencent à intégrer explicitement l'IA dans les exclusions ou les limitations de couverture des biens, il conviendra d'examiner attentivement ces dispositions afin d'évaluer l'intention de la couverture et d'éviter ainsi toute lacune potentielle en matière de protection. Il existe toutefois une grande incertitude quant à l'imputation probable des pertes liées à l'IA, qui dépendrait du cas d'utilisation de l'IA, de la nature de l'incident et des termes de la police d'assurance concernée.

    Risques de réclamations liés à l'IA

    En ce qui concerne la responsabilité liée aux produits, le Suivi des incidents liés à l'IA du MIT indique, par exemple, que des incidents impliquant des véhicules autonomes en collision avec d'autres véhicules ou des piétons se produisent régulièrement. La manière dont la couverture de la responsabilité du fait des produits s'appliquerait dans un tel scénario dépend de la définition du système d'IA et de la question de savoir s'il est considéré comme le produit au sens des clauses de la police, de la juridiction applicable et des exclusions spécifiques.

    Dans le domaine de la responsabilité civile des employeurs, des réclamations pourraient découler d'incidents dans lesquels, par exemple, un outil d'IA utilisé pour présélectionner les candidatures ferait preuve d'une forme de discrimination, ou dans lesquels l'IA aurait remplacé certains postes. Ainsi, une entreprise technologique a été contrainte de supprimer un programme de présélection des CV après qu'il s'est avéré discriminatoire à l'égard des femmes.3

    Parallèlement, sur le marché de l'assurance responsabilité civile professionnelle, des inquiétudes existent quant aux réclamations pour faute professionnelle médicale pouvant découler de l'utilisation d'outils d'IA pour diagnostiquer des problèmes de santé. Les incidents liés à l'IA pourraient également donner lieu à des accusations selon lesquelles les conseils d'administration et les dirigeants de l'entreprise n'auraient pas fait preuve de la diligence requise avant l'octroi de la licence et la mise en œuvre, ce qui pourrait avoir des répercussions sur la couverture de la responsabilité civile des dirigeants.

    Selon M. Farley, la falsification délibérée des données d'entraînement initiales de l'IA avant son déploiement est un risque que les assureurs surveillent de près. « Il existe de nombreuses questions relatives à la couverture d'assurance liées à la falsification des données, et nous constatons déjà que certains assureurs prennent en charge ce risque. »

    L'utilisation de l'IA peut également entraîner d'autres sources de pertes financières. La couverture en cas d'interruption d'activité est un enjeu majeur en matière d'assurance pour les utilisateurs en aval des plateformes d'IA, par exemple. Le retrait d'un modèle d'IA majeur en raison d'erreurs nécessitant un réentraînement pourrait entraîner des pertes en chaîne pour des milliers d'entreprises qui s'appuient sur cette plateforme.

    Pour M. Farley, ce type de perte est similaire à une perte de chaîne d'approvisionnement numérique ou à une panne de plateforme infonuagique. « Comme pour les fournisseurs de services en nuage, l'IA pourrait être considérée comme un risque systémique important. Lorsque certaines plateformes en nuage ont connu une brève panne l'année dernière, leurs clients n'ont rien pu faire d'autre que d'attendre qu'elles soient de nouveau opérationnelles quelques heures plus tard », explique-t-il.

    Détermination de la responsabilité en matière de risques liés à l'IA : À qui incombe la responsabilité?

    Testudo, un assureur spécialisé dans l'IA, recense depuis 2020 le nombre cumulé de poursuites judiciaires liées à l'IA générative aux États-Unis. Il a constaté une forte accélération du nombre de litiges, ce qui laisse penser que les risques juridiques augmentent plus rapidement que la capacité d'adaptation des cadres réglementaires et de l'écosystème de l'assurance.

    La question de la responsabilité et de la propriété des modèles d'IA fera l'objet d'une attention croissante, les parties à un litige cherchant à déterminer la responsabilité des pertes imputables à l'utilisation de l'IA dans un contexte où les règles et réglementations sont en constante évolution. Mais c'est aux tribunaux qu'il reviendra en fin de compte de déterminer si la responsabilité incombe au développeur ou à l'utilisateur d'un outil d'IA.

    Même au sein des organisations, la question de savoir à qui incombe la responsabilité du risque prête à confusion. Les personnes interrogées par Gallagher sont majoritairement d'avis que le service informatique est le service chargé de gérer les menaces liées à l'IA, suivi par la direction générale et la fonction de gestion des risques de l'organisation.

    Du point de vue de la gouvernance, les conseils d'administration s'efforcent de mieux comprendre l'impact de l'essor de l'IA sur l'entreprise, son personnel et ses obligations. Le poste de directeur de l'IA se généralise, parallèlement à la mise en place de politiques et de procédures visant à gérer les risques potentiels liés aux plateformes tierces.

    La complexité de l'attribution des risques

    Responsabilité partagée : les systèmes d'IA impliquent souvent plusieurs parties prenantes, y compris les développeurs, les fabricants et les utilisateurs. Il est donc difficile de déterminer clairement qui est responsable en cas de problème.
    Le problème de la boîte noire : de nombreux modèles d'IA sont des boîtes noires impénétrables. Le manque de transparence peut compliquer la détermination de la responsabilité.

    Nouveaux produits, exclusions et avenants : Comment les assureurs réagissent-ils?

    Les recherches menées par Gallagher révèlent que les acteurs du secteur de l'assurance interrogés s'inquiètent du fait que la plupart des polices d'assurance ne traitent pas explicitement des risques liés à l'IA, leurs clauses étant soit essentiellement de nature réactive, soit rédigées comme si elles s'adressaient à un monde pré-IA.

    La plupart des répondants du secteur des assurances ont fait part de leurs inquiétudes concernant le manque de clarté des formulations relatives à la couverture des préjudices liés à l'IA, ce qui pourrait exposer les assureurs à des litiges longs et coûteux.

    Les risques liés à l'IA semblent être regroupés dans un libellé général de la technologie plutôt que d'être traités directement.

    Cette étude montre également que les compagnies d'assurance prévoient la mise en place de nouvelles politiques pour les risques liés à l'IA, ainsi que des avenants spécialisés et des clauses spécifiques à l'IA. On s'attend également à ce que les exclusions liées à l'IA se généralisent, notamment à mesure que l'historique des préjudices s'étoffe.

    Un nombre encore restreint, mais en augmentation d'assureurs spécialisés dans la cyberassurance adaptent leurs produits à ces nouveaux risques, en proposant notamment des avenants couvrant la responsabilité civile professionnelle liée à l'IA, la responsabilité civile liée aux produits, la responsabilité civile envers les tiers et les risques liés à la contamination des données, entre autres.

    Pour les sceptiques, un revirement général du marché en faveur d'une couverture plus complète des risques liés à l'IA semble peu probable tant qu'il n'y aura pas une augmentation significative du nombre de réclamations citant l'IA comme cause directe ou une augmentation des litiges liés à des préjudices liés à l'IA.

    Forts de notre expérience face aux défis posés par le « cyberrisque silencieux », nous avons élaboré un guide pratique pour faire face aux nouveaux risques liés à la responsabilité en matière d'IA et pour créer des opportunités et apporter de la clarté dans ce processus. Certains assureurs et réassureurs élaborent déjà des cadres permettant de surveiller l'exposition de l'ensemble de leur portefeuille aux principales plateformes d'IA, d'évaluer la menace systémique découlant des vulnérabilités inhérentes et d'ajuster leur capacité en conséquence.

    Ces évolutions reflètent non seulement l'intérêt des acheteurs d'assurances pour des produits qui comblent les lacunes cachées en matière de couverture de l'IA, mais aussi la nécessité de suivre et de s'adapter à l'impact de l'IA sur les branches d'activité existantes. Pour le secteur, cela offre l'occasion de proposer des solutions innovantes face aux risques émergents et de démontrer qu'il est à la pointe des mutations technologiques rapides. Un marché autonome d'assurance responsabilité civile en matière d'IA commence à se développer, avec des prévisions qu'il pourrait atteindre 4,8 milliards de dollars d'ici 2032.4

    Tout comme ils l'ont fait avec le « cyberrisque silencieux », les assureurs prennent des mesures pour protéger leur bilan contre une éventuelle flambée des réclamations dans les catégories où les polices n'ont pas été souscrites ou conçues en tenant compte des risques liés à l'IA. La nouvelle selon laquelle trois assureurs auraient demandé l'autorisation des autorités de régulation pour exclure les pertes liées à l'intelligence artificielle de leurs polices d'assurance responsabilité civile professionnelle et de responsabilité civile générale commerciale donne une idée de la tendance qui se dessine dans certains secteurs d'activité.

    « Les assureurs envisagent sérieusement d'inclure un langage plus clair concernant les risques liés à l'IA dans toute une série de polices d'assurance afin d'éviter de couvrir ces risques par inadvertance. Cependant, ces libellés pourraient s'avérer difficiles à établir étant donné que l'IA évolue constamment », déclare Paige Cheasley, chef de pratique nationale en Technologie pour le Canada chez Gallagher au Canada.

    « Des clauses d'exclusion concernant les risques liés à l'IA pourraient être ajoutées dans des branches telles que l'assurance responsabilité civile professionnelle », poursuit-elle. « Les assureurs seront sans doute réticents à être les premiers à introduire de telles exclusions et préféreront peut-être attendre de voir quel type de réclamations seront déposées. »

    Dans le domaine de l'assurance responsabilité civile générale des entreprises, cependant, cette formulation est déjà d'usage. Aux États-Unis, l'ISO (l'organisme de normalisation au sein de Verisk dont les modèles de politiques sont largement adoptés sur le marché de l'assurance dommages) a déposé des clauses d'exclusion relatives à l'IA générative applicables dans plusieurs États pour les polices de responsabilité civile générale des entreprises, en prévoyant que des dispositions similaires pourraient, à terme, être étendues à d'autres branches d'assurance non liées à la cybercriminalité.

    Dépôts multiétats ISO/Verisk 2025 : Principales exclusions de l'IA générative

    L'exclusion CG 40 47 exclut la couverture pour les blessures corporelles, les dommages matériels et/ou les blessures personnelles et publicitaires découlant des résultats de GenAI.
    L'exclusion CG 40 48 exclut la couverture pour les préjudices personnels et les préjudices imputables à la publicité liés à GenAI, mais préserve la couverture potentielle en cas de préjudice corporel ou de dommages matériels dans des scénarios limités.
    L'exclusion CG 35 08 exclut la couverture en vertu de la section I pour les blessures corporelles ou les dommages matériels découlant de GenAI.

    Du côté de la demande, les demandes de renseignements affluent déjà, les acheteurs d'assurances prenant conscience des risques croissants liés à l'IA et cherchant à obtenir une couverture plus complète. « Malgré les incertitudes actuelles concernant la capacité totale du marché, la demande des clients pour cette couverture ne cesse de croître. Nous prévoyons que la responsabilité liée à l'IA deviendra un secteur d'activité à part entière, susceptible d'occuper une place prépondérante sur le marché mondial », déclare Freddie Scarratt, directeur adjoint du département InsurTech chez Gallagher Re.

    Il incombe au secteur des assurances de revoir la formulation des polices existantes et de l'affiner, de manière à ce que les scénarios liés à l'IA soient explicitement pris en compte, soit par une couverture expresse, soit par des exclusions claires.

    En attendant, les entreprises peuvent discuter avec leurs courtiers des stratégies d'atténuation des risques et des solutions d'assurance. Ces demandes permettront d'y voir plus clair alors que le marché se prépare à relever le défi de l'IA silencieuse. Malgré les défis que présente l'IA, la longue tradition de l'industrie en matière d'adaptation aux risques émergents offre une vérité rassurante : l'assurance continuera d'évoluer pour protéger les gens et les entreprises, tout comme elle l'a fait pendant d'autres périodes de changement technologique.

    Publié en mai 2026

    Sources

    1« AI Incident Tracker: High Severity Incidents, » MIT AI Risk Initiative, consulté le 20 mars 2026.

    2« AI Incident Database, » AI Incident Database, consulté le 20 mars 2026.

    3Dastin, Jeffrey. « Insight — Amazon Scraps Secret AI Recruiting Tool That Showed Bias against Women », Reuters, 11 octobre 2018.

    4« AI Insurance Could Be a $4.8B Market by 2032, » Deloitte Insights, 4 août 2025.

    5Recamara, Josh. « Major Insurers Seek Approval to Limit Liability for AI-related Claims — rapport. » Insurance Business, 24 novembre 2025.