(...) plusieurs grands assureurs (AIG, Great American ou encore WR Berkley) cherchent à introduire des exclusions explicites pour les risques liés à l’intelligence artificielle, notamment concernant les usages d’agents et de modèles de langage. Les motifs avancés sont limpides : les pertes potentielles liées à l’IA pourraient atteindre des montants de plusieurs centaines de millions, voire davantage. Mais surtout, le danger ne réside pas tant dans l’ampleur d’un sinistre isolé que dans la possibilité de pertes corrélées, massives, simultanées, impossibles à mutualiser. (...)
L’enjeu porte bien moins sur la gravité d’un incident donné que sur la simultanéité de milliers d’incidents identiques. Autrement dit, nous avons affaire à la définition même d’un risque systémique. Pour le comprendre, il est utile de replacer ce phénomène dans le cadre plus large des systèmes complexes, des accidents dans les organisations à haute fiabilité, et des mécanismes de risque systémique tels qu’ils sont étudiés depuis plusieurs décennies dans la finance et l’assurance. (...)
L’IA comme réseau interconnecté : un terrain idéal pour la contagion
La littérature sur le risque systémique enseigne que ce n’est pas la taille absolue des institutions qui détermine leur vulnérabilité, mais la structure de leurs interconnexions. (...)
Une erreur locale peut se transformer en catastrophe globale dès lors qu’elle atteint le « cluster vulnérable » du réseau. Les simulations qu’il présente montrent que plus un réseau est interconnecté, plus une erreur peut s’y propager rapidement. Un changement minime de connectivité ou de capitalisation peut faire basculer l’ensemble du système d’un état stable à un état critique, une véritable « phase transition ». (...)
Dans ce cadre, l’IA générative présente toutes les caractéristiques d’un système hautement propice à la contagion. Lorsqu’un fournisseur d’IA déploie une mise à jour défectueuse, commet une erreur dans les poids d’un modèle ou subit une vulnérabilité de cybersécurité, ce ne sont pas des utilisateurs isolés qui sont affectés mais des milliers, car ils partagent les mêmes infrastructures. Chaque client ne dépend pas seulement de son propre usage, mais de l’intégrité d’un modèle global, dont la moindre modification reproduit instantanément un comportement identique chez tous ses utilisateurs. C’est exactement le type de contagion fulgurante que les assureurs redoutent aujourd’hui : une propagation non pas lente et progressive, mais immédiate, simultanée, homogène.
Pourquoi l’assurance redoute les pertes corrélées
L’assurabilité repose historiquement sur une condition essentielle : la loi des grands nombres. (...)
Les événements doivent être indépendants, ou suffisamment hétérogènes, pour que les pertes se compensent statistiquement. Or les cyber-risques ne respectent déjà pas cette condition (...)
IA, cybersécurité et “accidents normaux” : quand la complexité rend l’erreur inévitable
Clearfield et Tilcsik, dans Meltdown, montrent que dans les systèmes complexes, les défaillances ne sont pas des anomalies : elles sont inévitables. Les surprises émergent des interactions multiples, et de petites erreurs peuvent rapidement s’amplifier lorsqu’elles circulent dans des réseaux étroitement couplés. Leur thèse correspond exactement à ce que redoutent les assureurs : l’erreur d’un modèle autonome n’est pas une bourde humaine isolée, mais un mécanisme systémique susceptible de se répliquer partout (...)
La concentration de dépendances technologiques entre quelques acteurs amplifie encore cette dynamique. Lorsqu’un modèle est utilisé dans des contextes juridiques, médicaux, financiers, industriels, une erreur qui y apparaît peut contaminer simultanément tous ces domaines. De ce point de vue, l’IA est déjà moins un outil qu’un écosystème interconnecté, un véritable système complexe au sens fort.
les risques assurés doivent eux-mêmes rester indépendants. Avec l’IA, cette hypothèse s’effondre. Pour la première fois, un risque assuré (cyber, erreurs et omissions, dommages causés par des systèmes logiciels) devient structurellement interconnecté. Un seul fournisseur, un seul modèle, une seule mise à jour ou une seule vulnérabilité peuvent provoquer des milliers de sinistres simultanés. L’interconnexion n’est plus une propriété du marché de l’assurance : elle est une propriété du risque lui-même. (...)
Pourquoi l’IA crée un risque systémique inédit pour l’assurance (...)
AI Liability : un angle mort juridique dans un marché asymétrique
À ces risques opérationnels s’ajoute un dernier élément : la responsabilité juridique. L’« AI liability », c’est-à-dire la question de savoir qui est responsable lorsque l’IA cause un dommage, est aujourd’hui l’un des sujets les moins traités, et les plus explosifs. (...)
Dans la pratique, les contrats proposés par les fournisseurs d’IA incluent des limitations drastiques de responsabilité, des exclusions de garantie de performance et des clauses transférant quasi intégralement le risque à l’utilisateur. Comme la demande est quasi inélastique (il n’existe souvent pas d’alternative crédible aux grands modèles), les fournisseurs peuvent imposer unilatéralement leurs termes, créant une asymétrie contractuelle majeure. Cette asymétrie devient critique dans les secteurs régulés, où les entreprises sont tenues de maîtriser leurs modèles : banques, assureurs, hôpitaux doivent respecter des obligations strictes de gestion du risque opérationnel ou du risque modèle, alors même que les modèles auxquels ils recourent sont opaques, externalisés et non audités. Les révélations de The Tesla Files montrent que même des entreprises très technologiques peuvent perdre le contrôle de leurs propres systèmes, rendant certaines obligations réglementaires inapplicables en pratique. Le secteur financier se retrouve ainsi dans une contradiction profonde : juridiquement responsable d’outils dont il ne maîtrise ni la conception, ni les données d’entraînement, ni la gouvernance, ni le comportement, il ne peut ni contester les erreurs des fournisseurs, ni obtenir réparation lorsqu’un modèle commet une faute. Cette situation crée un triple gouffre : un gouffre réglementaire, puisque les entreprises ne peuvent satisfaire leurs obligations ; un gouffre contractuel, puisque toute la responsabilité repose sur l’utilisateur ; et un gouffre assurantiel, puisque les assureurs se retirent progressivement de ce champ. Le résultat est un risque systémique juridique, caractérisé par une responsabilité diffuse, une dépendance concentrée et une allocation du risque profondément inefficiente.