Nos clients sont perspicaces et curieux en matière d'IA, en particulier de l'IA générative et agentique. Ils nous demandent régulièrement comment Marsh gère les risques amplifiés par son utilisation, à quoi ressemble une bonne gouvernance et, s'agissant de leurs propres opérations, si leurs programmes d'assurance répondront.
Ce livre blanc propose des éclairages sur notre approche de la cybersécurité activée par l'IA et sur ce que, selon nous, les clients devraient envisager dès maintenant et à mesure que ces capacités évolueront à court terme. Nous offrons également des considérations à court terme pour la gouvernance et l'assurance dans notre rôle de conseillers en risques.
Spécifiquement pour la cybersécurité, notre perspective s'ancre actuellement sur les réalités suivantes :
Sur le plan fondamental, nous proposons les points d'ancrage suivants pour la planification et l'action :
Marsh utilise l'IA pour permettre à nos professionnels de la cybersécurité d'agir plus rapidement et d'opérer à plus grande échelle; toutefois, la responsabilité et le contrôle restent entièrement du ressort humain. Dans nos propres opérations de sécurité, des capacités activées par l'IA soutiennent l'analyse de grands volumes de données de sécurité, identifient des motifs et des anomalies, priorisent les problèmes, accélèrent les enquêtes, améliorent la chasse aux menaces et aident notre équipe à préparer et à répondre aux incidents.
Du point de vue de la chasse aux menaces, nous utilisons l'IA pour renforcer et étendre les efforts existants et traquer des menaces qui seraient autrement trop coûteuses en ressources à investiguer. L'IA effectue la collecte initiale de données et le tri sur un volume croissant d'indicateurs de compromission, faisant remonter des anomalies pour qu'un chasseur de menaces les valide. Cela nous permet de mener davantage de recherches sans sacrifier la rigueur, et de concentrer le temps des analystes en accélérant les investigations nécessaires pour distinguer l'activité de base des véritables anomalies.
Concernant notre utilisation de l'IA agentique, nous estimons que le concept de zéro confiance doit s'étendre aux agents. Il n'y a pas de place pour l'ambiguïté du langage naturel, puisque les systèmes agentiques sont conçus pour atteindre des résultats et des objectifs précis — les permissions, les chemins d'exécution, la segmentation, la journalisation et l'observabilité ne sont pas négociables. Les conséquences involontaires d'une mauvaise interprétation par des agents de leur mission pourraient entraîner des violations ou des perturbations importantes.
Les systèmes probabilistes nécessitent des paramètres et des contrôles déterministes du point de vue de la sécurité et de l'opérationnel.
En fin de compte, l'utilisation de l'IA renforce l'importance de la défense en profondeur, de la sécurité des identités, de la protection des données, de la segmentation, de la journalisation, du contrôle des applications, du déploiement de correctifs, de la planification de scénarios et des exercices sur table de réponse aux incidents. Elle rend également les faiblesses dans ces domaines plus lourdes de conséquences.
Le défi que nos clients nous exposent régulièrement est le volume même, l'absence de clarté perçue et les exigences concurrentes qu'ils doivent trier alors qu'ils tentent de comprendre à quoi ressemblent les « meilleures pratiques ».
Une gouvernance d'entreprise efficace doit inclure l'utilisation de l'IA par l'organisation, et non l'inverse.
Il existe une variété de cadres et de normes en matière d'IA, notamment le NIST AI RMF, l'ISO 42001, le SAIF de Google, ainsi que d'importantes normes juridiques, comme le EU AI Act. De nombreux textes législatifs et règlements sectoriels sont déjà en vigueur — ou à l'étude — et s'appliquent à l'utilisation de l'IA par une entreprise.
Une des raisons contribuant à ce sentiment d'être submergé semble être la responsabilité interne fragmentée et le manque de spécificité quant à la manière précise dont l'IA est utilisée au sein d'une organisation.
Mettre en place un comité de supervision interfonctionnel, rédiger une politique formelle sur l'IA (y compris une politique d'utilisation acceptable pour les collègues), déterminer ce qui doit être mesuré (lié à vos cas d'utilisation), élargir les processus d'audit existants pour y inclure l'examen de l'utilisation de l'IA, et faire rapport au conseil d'administration.
Distinguer les usages commerciaux internes et externes, les décisions RH, la dépendance aux infrastructures critiques et les applications réglementées, par exemple les soins de santé et les applications entreprise‑à‑entreprise par rapport à entreprise‑à‑gouvernement, ou les applications et/ou interactions entreprise‑à‑consommateur.
Utilisez‑vous des modèles commerciaux prêts à l'emploi, des déploiements open source ou un développement propriétaire? Y a‑t‑il du scraping de données? Quelles sont les dispositions d'indemnisation prévues par vos fournisseurs?
Déterminez où il est approprié d'imposer des exigences d'humain dans la boucle, des obligations de formation des employés et une revue des processus avant l'activation de décisions commerciales ou d'interactions avec les clients.
Établissez la provenance des données d'entraînement et des prompts, la conformité aux exigences de licence, l'obtention du consentement des clients, les clauses de non‑garantie et les limitations de responsabilité pour les résultats d'IA vendus commercialement.
Les clients demandent systématiquement — ma police comporte‑t‑elle une exclusion pour l'IA?
La position de Marsh sur les exclusions liées à l'IA
Nous ne pouvons pas appuyer des exclusions larges ou absolues concernant l'IA, ou l'IA générative, qui créeraient des lacunes de protection pour nos clients.
En ce moment de transformation, créer de telles lacunes dans les programmes d'assurance serait un pas en arrière et limiterait le progrès. Cela augmenterait l'incertitude quant à la couverture et les litiges sur la question de savoir si l'IA a été impliquée à un quelconque point de la chaîne causale d'une réclamation.
Nous reconnaissons que lorsqu'émergent de nouvelles expositions liées aux IA agentiques et à la prise de décision autonome, ou lorsque se produisent des concentrations et accumulations d'exposition autour de grands modèles de langage centraux, les assureurs, les courtiers et les clients devront résoudre efficacement la question de la meilleure façon d'attribuer, de gérer et de transférer ces risques.
Marsh s'efforcera toujours de trouver des solutions claires et sur mesure aux expositions de ses clients. Ce faisant, nous réaffirmerons le mandat de l'industrie de l'assurance de gérer les risques évolutifs et de soutenir la croissance économique.
Nonobstant ce qui précède, l'ISO et quelques assureurs ont élaboré un libellé d'exclusion applicable aux polices de responsabilité civile générale commerciales et à certains produits des lignes financières. Bien que plusieurs articles se soient prononcés sur leur utilisation, nous n'avons pas observé de schéma d'application large des exclusions liées à l'IA.
En revanche, les produits erreurs et omissions (E&O) cyber et technologie ont introduit des avenants visant à clarifier et/ou à améliorer la couverture liée à l'utilisation de l'IA.
De plus, de nouveaux produits sont introduits qui reposent sur des concepts d'assurance existants, tels que :
Typiquement, les produits DIC exigent qu'une police sous-jacente invoque une exclusion. Il convient de prêter attention au moment où la police DIC se déclenche, par exemple lors du refus définitif de la réclamation (ce qui pourrait prendre un temps considérable), ou à un autre acte mesurable ou à un moment précis.
Toute absence d'alignement entre les termes, les conditions, les déclencheurs de couverture et les définitions des polices peut accroître l'ambiguïté et ajouter de la complexité lorsqu'on cherche à obtenir une indemnisation en vertu d'une police DIC.
Les polices de responsabilité contractuelle sont généralement sur mesure et destinées à des cas d'utilisation spécifiques. Pour ce type de rédaction manuscrite, la clarté de l'intention est impérative afin qu'il y ait un consentement mutuel.
L'analyse de scénarios permet d'éclairer les éventuelles lacunes de couverture et l'impact des amendements, ce qui aidera à déterminer si un nouveau produit est nécessaire.
Enfin, tenez compte des diverses exclusions de votre portefeuille actuel de polices d'assurance. L'absence d'une exclusion relative à l'IA ne signifie pas automatiquement qu'une demande d'indemnisation impliquant l'utilisation de l'IA est couverte. Dans de nombreux cas, l'IA n'est que la technologie à partir de laquelle les préjudices se manifestent. Il est impératif de comprendre quels préjudices peuvent résulter d'un usage précis de l'IA, comme la violation du droit d'auteur, les dommages corporels ou un événement cyber alimenté par l'IA. On peut alors circonscrire les produits potentiellement concernés, examiner les déclencheurs de garantie, les définitions, les conditions et les exclusions pertinentes. Par exemple, les assureurs appliquent des exclusions “cyber” dans de nombreuses branches d'assurance, et ils peuvent exclure un sinistre qui serait autrement couvert lorsqu'un “système informatique” contribue à la causalité.
Il reste que les clients conservent des options, que le marché demeure robuste et que Marsh continuera d'être un ardent défenseur des intérêts de ses clients.
Nous prévoyons que l'activité cyber activée par l'IA devienne plus autonome, persistante et intégrée sur le plan opérationnel. Nous observons déjà des exemples de campagnes offensives enchaînant reconnaissance, découverte et exposition de vulnérabilités, sélection d'outils et exploits exploitables avec moins d'intervention humaine au cours du processus (bien que celle-ci reste encore largement nécessaire).
L'impact à court terme devrait rester inégal, les capacités progressant plus rapidement que la capacité de nombreuses organisations à gouverner, détecter et remédier. Cela dit, les cibles exploitables restent limitées par l'engagement humain, l'activité, le coût de la criminalité et d'autres obstacles concrets.
Vous pourriez envisager quatre priorités clés:
Les conseils d'administration et les cadres devraient également s'attendre à un examen plus poussé de l'exposition aux tiers, de l'architecture d'identité, de la capacité de remédiation et des preuves globales de résilience de l'entreprise.
En matière de couverture, on observe des signes et des indices d'une réaction réflexe du marché par l'usage de formulations exclusionnaires, et certains acteurs semblent probablement temporiser, attendant que le marché évolue — nous croyons sans équivoque que toute action laissant nos clients sans protection est inacceptable, et nous prenons des mesures pour empêcher que ce récit de marché ne se concrétise.
Alors que nous vivons dans un monde d'incertitudes liées à l'IA en constante évolution et que son utilisation se transforme et s'étend, vous pouvez compter sur Marsh pour être votre conseiller en risques résolu. Nous nous engageons à vous tenir informés et à vous aider à comprendre, mesurer, gérer et répondre aux risques qui importent le plus pour votre organisation, votre réussite et votre résilience.
Global CISO & CTO, Marsh
Chef mondial de la cybersécurité, Marsh Risque
