L'AI Act est un code de sécurité, non un régime de responsabilité. Le retrait de la directive dédiée en fait pourtant, par défaut, la clé de voûte de la responsabilité de l'intelligence artificielle, et la conformité au règlement devient la nouvelle frontière de l'assurabilité.
Le règlement européen sur l'intelligence artificielle, dit AI Act, formellement le règlement (UE) 2024/1689, entré en vigueur le 1er août 2024, est le premier corpus juridique au monde à encadrer l'intelligence artificielle de manière générale1. Son architecture repose sur une pyramide de risques. Au sommet, quelques usages jugés inacceptables sont purement interdits. En dessous, les systèmes dits à haut risque sont soumis à un ensemble d'obligations contraignantes. Plus bas encore, les systèmes à risque limité ne supportent que des obligations de transparence, et la grande masse des usages à risque minimal échappe à toute exigence spécifique. Tout l'enjeu réglementaire se concentre sur la catégorie intermédiaire, celle du haut risque, qui constitue le cœur du dispositif.
Les deux extrêmes de la pyramide méritent une mention, car ils en éclairent la logique. Au sommet, le règlement bannit purement et simplement quelques usages jugés contraires aux valeurs de l'Union, parmi lesquels la notation sociale généralisée des citoyens, les techniques de manipulation exploitant les vulnérabilités des personnes, ou encore certains usages de reconnaissance des émotions sur le lieu de travail et dans l'enseignement. Ces interdictions, applicables depuis février 2025, ne tolèrent aucune mise en conformité, l'usage lui-même étant prohibé. À l'opposé, l'immense majorité des applications, des filtres anti-spam aux moteurs de recommandation, relève du risque minimal et n'est soumise à aucune obligation spécifique. Entre ces deux bornes, la transparence imposée aux systèmes à risque limité, tels que les agents conversationnels ou les contenus générés artificiellement, vise simplement à ce que l'utilisateur sache qu'il interagit avec une machine. Cette graduation révèle l'intention du législateur, concentrer la contrainte là où l'enjeu pour les droits des personnes est le plus fort.
Un système accède au statut de haut risque par deux voies distinctes. La première, prévue à l'annexe I, vise l'intelligence artificielle intégrée comme composant de sécurité dans des produits déjà réglementés par le droit européen, tels que les dispositifs médicaux ou les machines. La seconde, prévue à l'annexe III, vise des usages autonomes répartis en huit domaines sensibles, parmi lesquels l'identification biométrique, les infrastructures critiques, l'emploi, l'accès aux services essentiels, la justice et le maintien de l'ordre2. Pour ces systèmes, le règlement impose un arsenal d'obligations couvrant la gestion des risques, la gouvernance des données, la documentation technique, la journalisation, la transparence, la supervision humaine, ainsi que l'exactitude, la robustesse et la cybersécurité, le tout validé par une procédure d'évaluation de la conformité et un enregistrement dans une base européenne3.
Il faut saisir d'emblée la nature exacte de ce texte, car elle commande toute l'analyse qui suit. L'AI Act est une réglementation d'accès au marché et de sécurité des produits. Il dit comment concevoir et déployer licitement un système d'intelligence artificielle, il ne dit pas qui paie lorsque ce système cause un dommage. Le règlement n'institue aucun droit à réparation au profit des victimes, et ses sanctions, qui peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, sont des amendes administratives versées à la puissance publique, non des indemnités versées aux personnes lésées1. La question de la responsabilité civile, c'est-à-dire de la réparation du dommage entre l'auteur et la victime, relève d'autres instruments, et c'est précisément là que se loge le problème.
Avant d'examiner ce problème, il faut mesurer combien le secteur de l'assurance est directement concerné. L'annexe III range explicitement parmi les systèmes à haut risque, à son point 5, les intelligences artificielles destinées à l'évaluation du risque et à la tarification en matière d'assurance vie et santé à l'égard des personnes physiques2. Tout assureur recourant à l'intelligence artificielle pour souscrire ou tarifer ses contrats vie ou santé déploie donc un système à haut risque au sens du règlement, et se trouve soumis à l'intégralité des obligations correspondantes. L'assurance dommages n'est pas nommée explicitement et demeure une zone grise, mais le signal est clair, le législateur a placé le moteur tarifaire de l'assureur sous surveillance réglementaire directe.
Cette inclusion place l'assureur dans une situation à deux faces, presque sans équivalent. D'un côté, il est porteur de risque, appelé à couvrir l'exposition de ses clients aux dommages causés par leurs propres systèmes d'intelligence artificielle, et donc à tarifer un risque nouveau. De l'autre, il est lui-même régulé, ses propres outils de tarification relevant du haut risque, avec les exigences de gouvernance des données, de non-discrimination et de supervision humaine que cela implique. Le régulateur de l'intelligence artificielle régule ainsi le cœur même du métier d'assureur, la fabrication du prix. Cette double position fait écho aux débats sur l'équité actuarielle et la non-discrimination, déjà éprouvés en assurance, et prolonge la logique de gouvernance prudentielle analysée à propos de Solvabilité II dans cette série12.
L'AI Act n'a jamais été conçu pour fonctionner seul. Le législateur européen l'avait pensé comme la première pièce d'un couple, la seconde étant une directive spécifique sur la responsabilité en matière d'intelligence artificielle, proposée dès septembre 2022. Là où le règlement fixait les obligations de sécurité en amont, cette directive devait organiser la réparation en aval, en allégeant la charge de la preuve qui pèse sur la victime d'un dommage causé par une intelligence artificielle, notamment par une présomption réfragable de causalité et par un droit d'accès aux éléments de preuve détenus par le concepteur4. L'idée était de compenser l'opacité technique de ces systèmes, qui rend presque impossible pour un profane de démontrer le lien entre une défaillance algorithmique et son préjudice.
Ce second volet ne verra pas le jour. En février 2025, dans son programme de travail annuel, la Commission européenne a retiré sa proposition de directive sur la responsabilité en intelligence artificielle, invoquant l'absence d'accord prévisible et la priorité donnée à la simplification et à la compétitivité, dans le sillage des préoccupations exprimées par le rapport Draghi4. La conséquence est directe. Faute d'harmonisation européenne, la responsabilité pour faute en matière d'intelligence artificielle retombe sur les droits nationaux de la responsabilité civile, chacun avec ses propres règles, et la charge de prouver le dommage, le manquement, le lien de causalité et la faute repose à nouveau, pour l'essentiel, sur la victime. Le couple imaginé par le législateur est ainsi rompu, laissant un régime de sécurité maximaliste et harmonisé reposer sur un paysage de responsabilité fragmenté.
Le retrait de la directive dédiée ne laisse pas la victime sans recours, car un autre instrument a connu un sort inverse. La directive révisée sur la responsabilité du fait des produits défectueux, la directive (UE) 2024/2853, adoptée en octobre 2024 et que les États membres doivent transposer avant le 9 décembre 2026, modernise en profondeur un cadre hérité de 19855. Sa nouveauté décisive est d'inclure désormais explicitement les logiciels et les systèmes d'intelligence artificielle dans la notion de produit, et de traiter les fournisseurs de tels systèmes comme des fabricants. Le dommage causé par une intelligence artificielle défectueuse relève donc de la responsabilité sans faute, où la victime n'a pas à démontrer la négligence du fabricant, mais seulement le défaut du produit, le dommage subi et le lien de causalité entre les deux.
Pour tenir compte de l'opacité des systèmes complexes, la directive révisée introduit des présomptions de défectuosité ou de causalité dans les cas où la preuve serait excessivement difficile, ainsi qu'une obligation pour le fabricant de divulguer les éléments pertinents lorsque la victime rend sa demande plausible5. Elle prend également en compte le fait qu'un logiciel évolue après sa mise sur le marché, par mises à jour ou par apprentissage. Son périmètre reste cependant strictement délimité. Elle couvre les dommages corporels, les dommages aux biens et la destruction de données, mais elle exclut le préjudice purement économique, le dommage moral et, surtout, les atteintes aux droits fondamentaux comme la discrimination algorithmique. Ces angles morts, considérables au regard des risques propres à l'intelligence artificielle, retombent sur les droits nationaux, accentuant la fragmentation.
Pour l'assureur, ce paysage juridique crée une exposition que les contrats existants n'avaient pas anticipée. Les sinistres propres à l'intelligence artificielle, qu'il s'agisse d'hallucinations d'un modèle de langage, de biais algorithmiques ou de dérive d'un modèle au fil du temps, échappent souvent au champ des polices classiques, conçues pour un monde où l'erreur était humaine. Le phénomène est massif, les contentieux liés à l'intelligence artificielle générative ayant augmenté de 978 % aux États-Unis entre 2021 et 2025 selon un travail conjoint de Gallagher Re et du Massachusetts Institute of Technology6. La sinistralité associée présente un profil redoutable, de faible fréquence mais de très forte sévérité, avec un risque d'accumulation lorsqu'une seule défaillance de modèle se propage à des milliers d'utilisateurs simultanément, configuration déjà rencontrée dans cette série à propos des incidents systémiques10.
Ce profil pose un problème redoutable de capacité. Une défaillance touchant un modèle largement diffusé, par exemple un système de fondation utilisé par des milliers d'entreprises, pourrait déclencher une vague de sinistres corrélés que la mutualisation classique ne saurait absorber, à l'image de l'accumulation cyber. Les réassureurs abordent donc ce risque avec prudence, conscients que l'absence d'historique interdit une tarification actuarielle robuste et impose une approche largement qualitative, fondée sur l'évaluation de la gouvernance et de la qualité du modèle plutôt que sur une distribution statistique de pertes11. Cette indétermination rapproche le risque de l'intelligence artificielle des risques climatique et cyber, où le verrou de l'assurabilité n'est pas l'existence du danger mais l'impossibilité d'en mesurer la queue de distribution.
Le marché de l'assurance réagit selon un schéma que les lecteurs de cette série reconnaîtront, celui qui avait marqué le cyber silencieux. Dans un premier temps, le risque d'intelligence artificielle se loge implicitement dans des polices qui ne l'ont pas tarifé, exposition non affirmée que les assureurs cherchent désormais à clarifier. Des fournisseurs de modèles de clauses ont diffusé en 2026 des exclusions standardisées permettant d'écarter l'intelligence artificielle générative des garanties de responsabilité civile et professionnelle, et plusieurs grands assureurs ont commencé à exclure explicitement ce risque7. Dans un second temps émergent des couvertures affirmatives dédiées. Le marché de Lloyd's a vu naître dès avril 2025 une première police de responsabilité IA assortie d'une validation continue du modèle, suivie de produits comparables couvrant jusqu'à plusieurs dizaines de millions de dollars, tandis que des assureurs établis ajustent leurs garanties par avenants8. La bascule du silencieux vers l'affirmatif, déjà observée pour le cyber, structure ainsi le marché naissant de l'assurance de l'intelligence artificielle.
De cet entrelacs se dégage une conséquence pratique majeure pour l'assureur. Puisque la conformité à l'AI Act tend à devenir la norme de diligence dont dépendra la responsabilité, elle devient aussi le critère naturel de la souscription. Le respect des obligations du règlement, gestion documentée des risques, traçabilité, supervision humaine, qualité des données, tend ainsi à s'imposer non comme un simple facteur de tarification mais comme une condition préalable de la couverture, à l'image de ce que la directive NIS2 a produit pour le cyber7. L'assureur externalise vers le régulateur une partie de son travail de sélection, en s'appuyant sur un référentiel légal opposable pour distinguer les risques souscriptibles de ceux qui ne le sont pas. La conformité réglementaire et la garantie d'assurance se trouvent une fois encore enchevêtrées.
Cette articulation laisse subsister une frontière nette entre ce qui se transfère et ce qui ne se transfère pas. Comme pour les sanctions de NIS2, les amendes administratives de l'AI Act sont, par principe d'ordre public dans de nombreuses juridictions, largement inassurables, car garantir une sanction en neutraliserait l'effet dissuasif. Ce qui demeure assurable est la responsabilité civile, c'est-à-dire la réparation du dommage causé aux tiers, dont les contours restent toutefois incertains et non uniformes faute d'harmonisation. À cette incertitude de fond s'ajoute une incertitude de calendrier, l'accord politique du 7 mai 2026 sur un omnibus numérique ayant reporté l'application des obligations de haut risque de l'annexe III à décembre 2027 et celles de l'annexe I à août 2028, et ouvert la possibilité d'écarter les exigences du règlement là où des règles sectorielles couvrent déjà le même terrain9. Ce délai donne du temps, il ne résout pas l'asymétrie de fond.
Une question de politique publique commence d'ailleurs à émerger de ce déséquilibre, celle de savoir s'il faudrait rendre obligatoire l'assurance de responsabilité des concepteurs d'intelligence artificielle, à l'image de ce qui existe pour l'automobile ou la responsabilité médicale. Les partisans y voient le moyen de garantir l'indemnisation effective des victimes face à des acteurs parfois insolvables, et de discipliner le marché par l'exigence assurantielle. Les opposants redoutent qu'une telle obligation ne freine l'innovation et ne consolide la position des grands acteurs capables d'en supporter le coût. Aucune juridiction n'a pour l'heure franchi ce pas, mais le seul fait que le débat s'ouvre confirme que l'assurance est appelée à jouer un rôle central dans l'architecture de responsabilité que le retrait de la directive dédiée a laissée incomplète, qu'elle agisse par le marché ou par la contrainte légale.
Au terme de cette analyse, l'AI Act apparaît sous un jour paradoxal. Conçu comme un code de sécurité dépourvu de tout mécanisme d'indemnisation, il est devenu, par le retrait de l'instrument qui devait le compléter, la clé de voûte du régime de responsabilité de l'intelligence artificielle. Ses obligations définissent la diligence attendue, la directive produits en tire la notion de défaut, les droits nationaux en tirent la notion de faute, et l'assurance en fait la condition de la garantie. La véritable question des prochaines années n'est donc pas de savoir si la responsabilité de l'intelligence artificielle existe, elle existe déjà, mais de savoir comment tarifer une exposition dont la substance est fixée par un code de sécurité harmonisé tandis que sa sanction reste confiée à des juridictions nationales fragmentées. Tant que cette asymétrie persistera, entre une sécurité unifiée et une responsabilité éclatée, l'assurance de l'intelligence artificielle restera une discipline de l'incertitude, où la conformité au règlement constitue le seul socle stable, et la nouvelle frontière de l'assurabilité, celle où se décidera le partage entre ce que le marché saura porter et ce que la collectivité devra reprendre à sa charge.
NIS2 ne mentionne pas une seule fois l'assurance, et ne régule pas directement les assureurs. Pourtant, en relevant le socle de cybersécurité de quinze à vingt mille entités françaises et en rendant les dirigeants personnellement responsables, cette directive redessine en profondeur le risque que les assureurs souscrivent.
Solvabilité II repose sur deux postulats hérités de l'actuariat classique, la possibilité de diversifier des risques faiblement corrélés et celle d'en estimer la distribution à partir de données historiques. Le risque cyber contredit l'un et l'autre.
Le marché des Insurance-Linked Securities représente une révolution silencieuse de la finance mondiale : pour la première fois, le risque de catastrophe naturelle quitte le bilan des assureurs pour rejoindre les portefeuilles des fonds de pension et des investisseurs institutionnels.
Une entreprise moyenne reçoit une lettre de son plus gros client, une clause exigeant la preuve de sa conformité à NIS2 sous quatre-vingt-dix jours, sinon le contrat s'arrête. Son dirigeant n'a jamais entendu parler de NIS2. Et il a tort de ne pas s'en inquiéter.
Un dirigeant prend une décision, une fusion, un lancement, une restructuration. Elle échoue, les actionnaires perdent de l'argent et le poursuivent, lui, personnellement. Sa maison, son épargne sont en jeu. Et pourtant il dort tranquille, car il existe une assurance qui le couvre contre les conséquences de son propre jugement.