Personne ne sait comment assurer l’IA

🎙️ Écouter cet article en version podcast.

Bourdes automatiques. On le sait, les systèmes d’IA font parfois des erreurs qui coûtent cher. Le mois dernier, un concessionnaire BMW a dû honorer l’achat d’une voiture d’occasion négociée par son chatbot à un prix environ 30 % trop élevé. En 2022, Air Canada avait déjà dû payer plus de 500 euros à un client après une bourde de son chatbot.

Instagram. Les outils d’IA, parce qu’ils fonctionnent de manière aléatoire, sont très difficiles à auditer et leurs gardes-fous sont rarement efficaces. Parfois, leurs erreurs s'enchaînent. En mai dernier, des criminels ont utilisé une faille dans un chatbot de Meta pour voler plus de 20 000 comptes Instagram.

Loi des grands nombres. L’assurance ne fonctionne que si les sinistres sont indépendants les uns des autres. C’est la loi des grands nombres : un assureur ne sait pas qui va subir un sinistre sur une période donnée, mais ses analystes sont capables de prédire avec précision combien de sinistres vont survenir.

Empoisonnement. Avec l’IA, cette condition fondamentale disparaît. D’une part parce que les vulnérabilités sont impossibles à estimer. Il suffit d’une faille catastrophique dans un système, comme le montre l’exemple d’Instagram, pour engendrer des milliers de sinistres. D’autre part, les fournisseurs de services d’IA sont très peu nombreux et ils partagent tous plus ou moins les mêmes techniques et les mêmes jeux de données d’entraînement. Des universitaires ont par exemple montré qu’il suffisait parfois d’un commentaire sur la plateforme Reddit, très prisée des modèles de langage, pour influencer les résultats de Gemini, le chatbot de Google.

Risque systémique. Arthur Charpentier, professeur à l’université du Québec à Montréal et spécialiste des mathématiques de l’assurance, résume ainsi le problème : « l’opacité structurelle [des systèmes d’IA générative], leur comportement non déterministe, leur dépendance à quelques fournisseurs globaux et l’absence de cloisonnement entre leurs usages créent un système dont les défaillances locales deviennent immédiatement systémiques. »

Régulateurs. Les ouragans, les accidents nucléaires et les inondations provoquent aussi des dégâts massifs et simultanés. La loi prévoit dans ces cas-là des solutions ad-hoc. Rien de tel pour l’IA. J’ai demandé aux régulateurs comment ils voyaient le problème. En France, l’Autorité de Contrôle Prudentiel n’a pas souhaité faire de commentaire. La Banque Nationale de Belgique assure suivre « minutieusement » ces évolutions technologiques, mais refuse d’en dire plus.

No idea what I’m doing. La FINMA suisse, elle, a publié l’année dernière les résultats d’une enquête menée auprès des assureurs helvétiques. Malgré le langage policé, l’impréparation du secteur saute aux yeux. Extraits : « La FINMA a constaté que les assujettis [se focalisent peu] sur les risques liés aux modèles [d’IA] tels que le manque de robustesse et d’exactitude, les biais ou le manque de stabilité et d’explicabilité. » Ou encore : « La FINMA a constaté que les résultats ne sont souvent pas compris, expliqués ou reproduits et qu’ils ne peuvent donc pas être évalués de manière critique. » Un dernier : « La FINMA a constaté des faiblesses chez certains assujettis concernant le choix des indicateurs de performance, les tests et la surveillance courante. »

« Pas de solution ». Barbara Van Speybroeck, directrice de la communication d’Assuralia, l’association des assureurs belges, m’a confirmé que l’assurabilité des risques IA n’était « pas évidente. » L’opacité des systèmes d’IA empêche d’estimer précisément les risques et de les assurer à leur juste prix. « Aujourd’hui, nous ne voyons pas de solution à ce problème, » conclue-t-elle.

Couverture à trous. À court terme, les assurances ne vont pas s’effondrer, m’a dit Arthur Charpentier. Mais l’indemnisation des sinistres pourrait devenir beaucoup plus longue et conflictuelle. Difficile en effet d’identifier précisément les responsabilités quand un chatbot part en vrille. Est-ce la faute de l’entreprise éditrice du modèle de langage ? De celle qui a généré le code informatique du site web ? Sans documentation précise, les contentieux vont s’éterniser. À plus long terme, les assureurs comprendront mieux ce qu’ils peuvent assurer, m’a-t-il dit. Certains ont déjà commencé à exclure les risques IA de leur couverture. Charge aux assuré·es de bien lire les contrats pour éviter les mauvaises surprises.