La modélisation des risques spatiaux

I.Le paradoxe d'un risque que l'on ne sait pas modéliser

Une infrastructure devenue critique

L'économie spatiale connaît une expansion sans précédent. Le nombre de lancements orbitaux dépasse désormais deux cents par an, les constellations en orbite basse se déploient par milliers de satellites, et des pans entiers de l'activité humaine, des communications à la navigation en passant par l'observation de la Terre, dépendent d'actifs placés à quelques centaines de kilomètres au-dessus de nos têtes. Dans ce contexte, l'assurance devrait jouer un rôle de premier plan, comme elle le fait pour toute infrastructure critique. Or c'est l'inverse que l'on observe. Sur environ treize mille satellites actifs, à peine trois cents sont réellement assurés, et la plupart des pertes liées à une collision sont expressément exclues des polices¹. Le marché des primes spatiales demeure modeste, de l'ordre de six cents millions de dollars par an, pour des actifs en orbite dont la valeur se chiffre en dizaines de milliards².

Un marché spécialisé et fragile

Ce marché présente en outre une fragilité structurelle, car il repose sur un cercle restreint d'assureurs disposant de l'expertise technique requise, parmi lesquels quelques grands noms comme AXA XL, Munich Re, Swiss Re, Hiscox et Global Aerospace². Cette concentration de l'offre rend le marché vulnérable, puisque le retrait de quelques acteurs suffit à assécher la capacité disponible. La sinistralité y est par nature heurtée, faite d'années calmes interrompues par des pertes totales d'une grande sévérité, un satellite détruit représentant souvent des centaines de millions de dollars. Cette combinaison d'une fréquence faible et d'une sévérité extrême, ajoutée à la petitesse du portefeuille, produit une volatilité que les assureurs peinent à lisser, et explique en partie leur prudence à l'égard d'un risque qu'ils savent par expérience capable de basculer brutalement.

La modélisation, et non le péril, comme verrou

Ce paradoxe appelle une explication, et elle ne tient pas à la dangerosité de l'espace. Le véritable verrou de l'assurabilité spatiale n'est pas l'ampleur du risque, mais l'impossibilité de le modéliser de manière fiable. Là où le risque ne peut être quantifié, l'assureur se retire, relève ses primes ou exclut la garantie, faute de pouvoir tarifer ce qu'il ne sait pas estimer¹. L'espace illustre ainsi une vérité plus générale de la discipline, à savoir que la frontière de l'assurabilité coïncide avec la frontière de la modélisation. Un risque n'est assurable que dans la mesure où il est mesurable, et c'est précisément la mesure qui fait défaut en orbite. Comprendre l'assurance spatiale suppose donc d'examiner non le danger lui-même, mais les raisons pour lesquelles ce danger échappe aux instruments de l'actuaire.

II.La rareté des données et l'héritage géostationnaire

Trop peu d'événements pour une loi des grands nombres

La première difficulté est celle de la rareté des données. L'assurance repose sur l'observation d'un grand nombre d'événements semblables, qui permet d'estimer la fréquence et la sévérité des sinistres. Le domaine spatial offre exactement le contraire, un petit nombre d'actifs très hétérogènes, des sinistres rares mais d'une sévérité extrême, et un historique trop court et trop instable pour fonder une statistique robuste. Chaque satellite est en outre largement unique, par sa mission, son orbite et sa technologie, ce qui interdit de traiter le portefeuille comme une population homogène. La loi des grands nombres, socle de toute tarification, ne dispose ici ni du nombre ni de l'homogénéité dont elle a besoin, et l'actuaire se trouve contraint d'extrapoler à partir de quelques dizaines de cas ce qu'il estimerait ailleurs sur des millions.

Des modèles hérités d'un autre espace

À cette pénurie s'ajoute un héritage encombrant. Les cadres actuariels du secteur ont été forgés au temps des grands satellites géostationnaires, des objets coûteux, peu nombreux et placés sur des orbites hautes et dégagées, pour lesquels le principal risque était l'échec au lancement. Ces modèles reposent sur des distributions de probabilité par actif isolé et sur l'idée que l'essentiel du danger se concentre dans les premières minutes du vol³. Or le nouvel espace, celui des méga-constellations en orbite basse, contredit chacune de ces hypothèses, puisqu'il met en jeu des milliers d'objets bon marché, fortement concentrés sur des couloirs encombrés, dont le risque dominant n'est plus le lancement mais la collision en orbite. La croissance des primes n'a pas été accompagnée d'une refonte correspondante des modèles, de sorte que le marché tarife un risque nouveau avec des outils conçus pour l'ancien.

Ce décalage n'est pas qu'une question de raffinement technique, il touche à la validité même des extrapolations. Lorsque l'on tarife un parc de milliers de petits satellites à durée de vie courte à partir d'un historique constitué de quelques dizaines de gros satellites longue durée, on transpose des fréquences et des sévérités observées dans un régime vers un régime entièrement différent. Or rien ne garantit que les enseignements de l'ancien monde demeurent valables dans le nouveau, où la promiscuité orbitale, le renouvellement rapide des flottes et la standardisation des engins créent des dynamiques inédites. L'actuaire spatial est ainsi confronté à un problème redoutable, celui de devoir tarifer un avenir qui ne ressemble pas à son passé, et pour lequel les données accumulées risquent d'être moins un guide qu'un mirage.

III.L'angle mort, un environnement en partie invisible

Le danger que l'on ne voit pas

La deuxième difficulté est plus fondamentale encore, car elle touche à l'observation même du danger. Modéliser un risque suppose au minimum de pouvoir observer les éléments qui le composent, or l'environnement orbital n'est que partiellement visible. Selon le rapport de l'Agence spatiale européenne, on dénombre environ cinquante-quatre mille objets de plus de dix centimètres en orbite, dont seuls quarante-trois mille environ sont effectivement suivis, mais aussi près de 1,2 million de fragments compris entre un et dix centimètres, et plus de cent quarante millions d'objets inférieurs au centimètre, tous indétectables par les systèmes de surveillance actuels⁵. Le problème est que ces fragments invisibles sont parfaitement létaux, car ils circulent à une vitesse relative moyenne d'environ vingt-huit mille kilomètres par heure, suffisante pour détruire un satellite à l'impact⁶.

Modéliser une population que l'on ignore

Cette invisibilité partielle vicie la modélisation à sa racine. L'assureur doit estimer la probabilité qu'un satellite rencontre un débris dangereux, mais il ne connaît qu'une fraction de la population de ces débris, celle des gros objets suivis. La part la plus nombreuse, et largement aussi destructrice, demeure hors de portée des capteurs et n'entre dans les modèles que par inférence statistique, c'est-à-dire par hypothèse. La densité réelle du danger en un point donné de l'orbite est ainsi inconnue, et la probabilité de collision calculée n'est qu'une approximation reposant sur une population estimée plutôt qu'observée. On demande à l'actuaire de tarifer la rencontre avec une menace dont l'essentiel lui est invisible, exercice qui relève moins de la mesure que de la conjecture éclairée.

IV.La non-linéarité et la corrélation, le spectre de Kessler

Un danger qui s'auto-alimente

La troisième difficulté brise une hypothèse cardinale de l'assurance, celle de l'indépendance des sinistres. Dès 1978, les scientifiques Donald Kessler et Burton Cour-Palais ont décrit un scénario où une collision en orbite engendre un nuage de débris, lequel provoque de nouvelles collisions, dans une réaction en chaîne qui s'auto-entretient⁷. La caractéristique redoutable de ce syndrome de Kessler est sa non-linéarité, car le nombre de collisions n'augmente pas proportionnellement au nombre d'objets, mais de façon exponentielle au-delà d'un certain seuil de densité. Un tel emballement pourrait rendre inopérants environ 20 % des satellites en orbite basse dans les six mois suivant son déclenchement, et transformer durablement certaines orbites en zones inexploitables. Le danger spatial n'est donc pas un aléa stable que l'on observe une fois pour toutes, mais un processus dynamique susceptible de basculer.

Des pertes qui ne sont plus indépendantes

C'est ce basculement qui ruine la modélisation classique. Un événement de type Kessler ne produit pas des pertes indépendantes, dispersées dans le temps et l'espace, mais un sinistre unique et corrélé frappant simultanément des milliers d'actifs⁹. Selon une modélisation de l'OCDE, un tel scénario pourrait infliger 191 milliards de dollars de pertes immédiates et peser à long terme près de 2 % du produit intérieur brut mondial, invalidant d'un coup des milliers de polices en orbite et excédant la capacité de réassurance disponible⁸. La corrélation spatiale rejoint ici exactement le problème déjà rencontré pour les pandémies, à savoir qu'un risque qui frappe tout le portefeuille en même temps détruit la diversification dont vit l'assurance. Les assureurs commencent à élaborer des modèles propres aux constellations, intégrant ces événements corrélés, mais l'exercice demeure balbutiant face à un phénomène dont nul ne connaît précisément le seuil de déclenchement.

V.La réflexivité du risque spatial

Le risque que l'activité assurée fabrique elle-même

La quatrième difficulté est sans doute la plus déroutante, car elle tient à la réflexivité du risque spatial. Dans la plupart des branches, le danger est extérieur et indépendant de l'activité assurée, un ouragan ne se renforce pas parce qu'on assure davantage de maisons. En orbite, au contraire, c'est l'activité elle-même qui fabrique le danger, puisque chaque lancement, chaque satellite et chaque débris abandonné augmentent la densité orbitale et donc la probabilité de collision future. L'environnement de risque se dégrade à mesure que se développe l'activité que l'assureur couvre, et un modèle calibré sur l'orbite de l'an dernier sous-estime déjà celle de cette année. Le modèle doit alors prédire l'évolution d'un système dont l'assuré, et l'assureur à travers lui, sont partie prenante, ce qui introduit une boucle de rétroaction étrangère à l'actuariat traditionnel.

La concentration des méga-constellations

Cette réflexivité est amplifiée par la concentration extrême de l'activité entre quelques mains. La constellation Starlink dépassait six mille satellites opérationnels au début de 2025, avec des demandes portant sur un déploiement pouvant atteindre quarante-deux mille engins, tandis qu'Amazon Kuiper a vu approuver ses 3 236 premiers satellites et qu'OneWeb, désormais sous l'égide d'Eutelsat, vise une flotte de plusieurs centaines d'unités¹⁰. Cette concentration crée un risque d'accumulation inédit, car un opérateur unique peut représenter à lui seul une exposition colossale, et un même incident peut affecter un grand nombre d'actifs partageant la même orbite et la même architecture. La fragmentation de l'étage de fusée Longue Marche 6A en 2024 et les retombées de débris observées au sol ont rappelé que ces objets, loin d'être abstraits, se brisent, se dispersent et retombent. Modéliser un parc aussi concentré suppose d'abandonner l'hypothèse d'actifs indépendants pour penser en termes de défaillances de système, exercice pour lequel les données manquent presque entièrement.

L'inconnue politique et juridique

À cette réflexivité physique s'ajoute une indétermination politique et juridique qui aggrave encore l'incertitude. Plusieurs puissances ont conduit des essais d'armes antisatellites, la Russie en 2021, l'Inde en 2019, la Chine en 2007 et les États-Unis dès 1985, dont chacun a généré des nuages de débris et démontré une capacité de destruction délibérée difficile à modéliser, et le plus souvent exclue des polices au titre du risque de guerre¹¹. Par ailleurs, il n'existe aucun traité international contraignant définissant la responsabilité ni l'imputation de la faute en cas de collision impliquant plusieurs opérateurs. L'assureur de responsabilité civile spatiale doit donc tarifer une exposition dont le régime juridique est lui-même indéterminé, ce qui ajoute à l'incertitude physique une incertitude normative, et rend la modélisation du risque de responsabilité plus conjecturale encore que celle du risque de dommage.

VI.Modéliser l'immodélisable, ou se retirer

Entre nouveaux modèles et exclusions

Face à un risque ainsi pauvre en données, partiellement invisible, non linéaire, corrélé et réflexif, le marché oscille entre deux réponses. La première consiste à raffiner les modèles, en développant des cadres propres aux constellations, en intégrant les données de suivi des débris, et en conditionnant la garantie au respect de mesures d'atténuation, protocoles d'évitement de collision et plans de désorbitation en fin de vie. La seconde, plus défensive, consiste à se retirer du risque que l'on ne sait pas modéliser, par l'exclusion ou la restriction de capacité. Les signes de ce retrait sont nets, puisque la crise de souscription de 2018 et 2019 avait déjà vu certains assureurs quitter l'orbite basse, et que les exclusions relatives à la collision avec des débris se sont depuis étendues jusqu'à concerner une part importante des polices, tandis que la capacité et la participation des réassureurs reculaient⁴.

La part systémique appelle l'action collective

Demeure la part la plus lourde du risque, celle du scénario de Kessler, qui paraît hors de portée de toute solution purement assurantielle. Un sinistre corrélé à l'échelle de l'orbite excède par nature la capacité du marché et rejoint la catégorie des risques systémiques que cette série a déjà rencontrés pour la pandémie et la guerre, ceux dont la mutualisation privée est impossible et qui appellent une réponse collective. Cette réponse passe moins par l'indemnisation que par la prévention, c'est-à-dire par le retrait actif des débris et la limitation de leur production, à l'image des modèles qui estiment nécessaire de retirer chaque année cinq à dix gros objets pour stabiliser l'orbite basse, pour un coût de l'ordre de plusieurs centaines de millions de dollars, et des objectifs publics de zéro débris à l'horizon 2030¹². La modélisation du risque spatial conduit ainsi à une conclusion qui dépasse l'assurance, à savoir que la préservation de l'orbite comme bien commun relève d'une gouvernance collective avant de relever d'un contrat.

L'assurance s'arrête où s'arrête le modèle

Au terme de cette analyse, le risque spatial apparaît comme le cas d'école d'une vérité que cette série n'a cessé de croiser, à savoir que l'on n'assure que ce que l'on sait modéliser, et que l'on ne modélise que ce que l'on sait observer et estimer. L'espace réunit, en un seul objet, toutes les pathologies de la modélisation, la rareté des données, l'invisibilité du danger, la non-linéarité, la corrélation et la réflexivité, ce qui en fait le laboratoire le plus exigeant de l'assurabilité contemporaine. Sa conquête assurantielle ne dépendra pas de la hardiesse des souscripteurs, mais des progrès de la connaissance, du suivi des débris à la modélisation des cascades, car c'est la capacité à mesurer qui ouvrira, ou fermera, la capacité à couvrir. La frontière de l'assurance spatiale passe par les modèles.

Cette primauté de la connaissance sur la capacité ouvre néanmoins une perspective constructive. Si l'assurabilité de l'orbite dépend de la qualité de l'observation et de la modélisation, alors l'investissement dans le suivi des débris, dans le partage des données entre opérateurs et dans la recherche sur les cascades conditionne l'existence même d'un marché viable. L'assureur a ainsi un intérêt direct à financer et à exiger la transparence des données orbitales, car chaque progrès de la mesure recule la frontière de l'inassurable. L'assurance spatiale pourrait alors cesser d'être une simple spectatrice du risque pour en devenir un acteur de la réduction, en conditionnant sa garantie à des comportements vertueux et en récompensant les opérateurs les plus diligents, dans une logique de prévention déjà rencontrée ailleurs dans cette série. Le ciel ne deviendra assurable qu'à mesure qu'il deviendra lisible.