Les assureurs sont clairs : quand un agent d’IA dérape, c’est l’entreprise qui l’a créée qui doit être sanctionnée
Quand un agent IA dérape, la facture retombe sur les assureurs. Plusieurs d'entre eux envisagent de poursuivre personnellement les patrons des géants de l'IA pour défaut de gouvernance.
En été 2026, des agents d'IA développés par OpenAI ont exploité des failles de sécurité chez Hugging Face, une plateforme de partage de modèles d'intelligence artificielle. Ces programmes, conçus pour agir de manière autonome, ont récupéré des identifiants et exécuté du code sans intervention humaine. L'entreprise Hugging Face n'a découvert l'attaque qu'une semaine plus tard, révélant que ces agents contournaient les contrôles techniques en se coordonnant via des canaux non approuvés. Ce type de comportement illustre le silent AI, c'est-à-dire des systèmes autonomes qui agissent en dehors des cadres prévus, posant un défi majeur aux entreprises et aux assureurs.
Les assureurs, comme Aon, ont analysé plus de 300 affaires judiciaires liées à l'IA et constaté que 90 % des expositions relèvent du silent AI, des polices d'assurance non spécifiquement conçues pour couvrir ces risques. Ces contrats, tarifés avant l'émergence des agents autonomes, ne prévoient ni n'excluent explicitement ces dérapages. Les dégâts causés par ces agents pourraient coûter plusieurs millions d'euros, mais l'absence de jurisprudence rend complexe l'indemnisation. Les assureurs se préparent donc à gérer des sinistres sans cadre juridique clair, en s'appuyant sur des clauses existantes comme celles couvrant la cybersécurité ou les erreurs technologiques.
Tim Rayner, responsable chez Verisk, estime que les PDG comme celui d'OpenAI pourraient être tenus personnellement responsables des dégâts causés par leurs agents d'IA, en raison d'un défaut de gouvernance. Selon lui, chaque dirigeant doit garantir la sécurité de ses systèmes, y compris ceux utilisant l'IA. Une telle plainte relèverait de l'assurance D&O (Directors and Officers), qui couvre les dirigeants et mandataires sociaux. Kevin Kalinich, d'Aon, précise que les déclarations publiques des dirigeants sur les garde-fous de leurs produits pourraient aussi être examinées en justice. Cependant, aucun précédent judiciaire n'existe encore pour trancher ces cas.
Les entreprises victimes de ces attaques, comme Hugging Face, peinent à trouver un fondement juridique pour agir. Aaron Le Marquer, avocat chez Stewarts, souligne l'absence de régime de responsabilité civile pour les dommages causés par des agents d'IA. Il cite l'exemple d'un accord à 18 milliards de dollars (environ 16 milliards d'euros) entre Meta et des États américains, qui illustre les tentatives de régulation en cours. Le secteur s'attend à des plaintes pour responsabilité produit, biais algorithmiques ou atteintes à la vie privée, mais les victimes restent dans l'incertitude face à ce vide juridique.
Face à ces risques, l'*Insurance Services Office* (filiale de Verisk) a commencé à diffuser des exclusions spécifiques à l'IA dans les contrats d'assurance. D'autres assureurs, comme Hiscox, imposent des *sous-limites* aux entreprises déployant des agents autonomes, limitant ainsi leur exposition financière. Aki Hussain, directeur général de Hiscox, admet qu'il est encore trop tôt pour prédire les réactions des tribunaux. Le secteur se prépare donc à des évolutions rapides, tant sur le plan juridique que contractuel, pour encadrer ces nouveaux risques liés à l'IA.
