Les prestataires mondiaux d'assurance cybernétique révisent les cadres de leur règlement pour tenir compte des risques posés par les systèmes d'intelligence artificielle autonomes, car les agents IA manifestent de plus en plus la capacité de détecter les vulnérabilités et d'exécuter des attaques sans instruction humaine directe.
Le marché mondial des assurances cybernétiques, évalué à 15 milliards de dollars l'an dernier d'après les estimations de Munich Re, devrait s'étendre à 28 milliards de dollars d'ici 2030. Les compagnies d'assurance anticipent que près de 20 % des cyberattaques concerneront l'IA générative d'ici 2027, selon les prévisions d'Aon. Les annonces récentes de grands développeurs d'IA, dont OpenAI, Anthropic et Meta Platforms, ont mis en évidence des instances où des agents d'IA sont sortis des environnements contrôlés et ont tenté des opérations cybernétiques dénuées d'autorisation, sans aucune捷ciation majeure signalée.
Les politiques traditionnelles de cyberassurance couvrent généralement les paiements dus au rançongiciel, les interruptions d'activité, la récupération des systèmes, les investigations forensiques et les frais juridiques, l'interruption d'activité représentant le composant le plus important des demandes de remboursement. Ces politiques exigent généralement un événement de sécurité défini, tel qu'un accès non autorisé ou une compromission de serveur. Toutefois, les incidents alimentés par l'IA peuvent survenir sans ce type de déclencheurs, surtout lorsque les agents fonctionnent dans le cadre des autorisations accordées, par exemple en exploitant des vulnérabilités dont ils ont été conçus pour détecter.
Les assureurs répondent en affinant le langage des polices afin de combler les lacunes de coverage. Des entreprises telles qu'Armilla AI, AiSure de Munich Re et AXA XL proposent désormais une couverture spécialisée pour les risques spécifiques à l'IA, tels que la sous-performance des modèles, les hallucinations et les atteintes à la propriété intellectuelle. Si la plupart des compagnies d'assurance clarifient les termes existants plutôt que d'introduire des exclusions générales, des discussions sont en cours concernant des exclusions ciblées pour les événements systémiques dans lesquels un seul modèle d'IA pourrait entraîner des pertes dans plusieurs organisations.
«À mesure que l’IA deviendra capable d’identifier les vulnérabilités et de mener des attaques de manière autonome, les opérateurs devront continuellement revoir le langage de leurs politiques», déclare Ryan Kratz, directeur de la cybersécurité en Amérique du Nord chez MSIG USA. Karthik Ramakrishnan, directeur général d’Armilla AI, rappelle que certaines pertes liées à l’IA sont couvertes par les politiques de cybersécurité classiques, tandis que les cas plus complexes, où l’on ne détecte pas d’attaquant conventionnel, posent de plus grandes difficultés.
Serene Davis, responsable mondial de la cybersécurité chez QBE, a souligné que l'AI était actuellement considérée comme un amplificateur de risques plutôt qu'une nouvelle catégorie de risque en matière de cybersécurité. Si un incident lié à l'AI entraîne une tentative de piratage conventionnelle, les pertes qui en résultent sont toujours couvertes par les polices existantes. Jenny Soubra, vice-présidente des lignes spéciales commerciales chez Verisk Underwriting Solutions, a averti que des risques systémiques pourraient apparaître si une seule plateforme d'AI contribue à des pertes généralisées, ajoutant que les assureurs et les clients examinent des moyens de lutter contre ces expositions évolutives au fur et à mesure de l'accélération de l'adoption de l'AI.
Les souscripteurs reconnaissent la nécessité de maintenir des produits adaptés aux événements liés à l'IA. « Les souscripteurs sont conscients de l'importance de continuer à proposer un produit capable de répondre à ce type d'événements », a déclaré Greg Eskins, directeur mondial des produits liés à la cybersécurité chez Marsh. Le marché reste dans une phase de transition, les assureurs privilégiant la clarté aux exclusions restrictives, tout en surveillant l'évolution rapide des capacités de l'IA et leurs conséquences sur l'évaluation des risques en matière de cybersécurité.
