Exclusions IA en assurance : le risque que vous portez seul
· 6 min de lecture · Gouvernance IA
Depuis le début de 2026, les assureurs nord-américains retirent l'intelligence artificielle des polices de responsabilité civile. Ce que ces exclusions changent pour les entreprises québécoises, et ce que l'AMF exige désormais des institutions financières.
Une exclusion d'intelligence artificielle (IA) est une clause qui retire d'une police d'assurance les réclamations découlant de l'usage d'un système d'IA. Depuis le début de 2026, ces clauses apparaissent dans les polices de responsabilité civile générale nord-américaines, sous forme d'endossements normalisés diffusés par l'Insurance Services Office (ISO), filiale de Verisk. En juillet 2026, une entreprise peut donc être couverte contre une cyberattaque, mais pas contre une décision erronée de son propre modèle.
Le déplacement est discret parce qu'il se joue au renouvellement, pas à la signature d'un nouveau contrat. Jusqu'en 2025, les polices commerciales ne mentionnaient pas l'IA : les réclamations tombaient dans une zone grise que le marché appelle le « silent AI », une couverture implicite jamais tarifée. Selon Bloomberg Law, AIG, W.R. Berkley et Great American figurent parmi les assureurs ayant soumis aux régulateurs d'État américains des exclusions visant l'IA, en responsabilité civile comme en responsabilité des dirigeants (D&O) et en erreurs et omissions (E&O).
Qu'est-ce qu'un endossement d'exclusion IA ?
L'ISO a introduit au début de 2026 deux endossements types pour les polices de responsabilité civile générale (CGL). Le CG 40 47 exclut l'ensemble des réclamations découlant des sorties d'une IA générative. Le CG 40 48 restreint l'exclusion au volet B des polices CGL, soit les préjudices personnels et publicitaires, ce qui vise en pratique la diffamation, l'atteinte à la vie privée et les usages non autorisés de contenus.
La conséquence est directe : le risque résiduel reste dans l'entreprise. Elle répond d'un modèle qu'elle n'a pas construit, entraîné sur des données qu'elle n'a pas choisies, sans transfert possible vers l'assureur si l'endossement s'applique.
Quels risques d'IA restent non assurés en 2026 ?
Le livre blanc « Smart Systems, Blind Spots: Rethinking Insurance for the AI Era » du réassureur Gallagher Re, relayé au Canada par le Portail de l'assurance le 30 mars 2026, recense les expositions mal couvertes par les polices existantes : défaillances algorithmiques, discrimination produite par un système automatisé, dégradation progressive des modèles, risques liés à la chaîne d'approvisionnement des données, hallucinations et atteintes à la propriété intellectuelle.
La distinction structurante est la suivante : l'assurance cyber couvre l'IA comme vecteur d'attaque, par exemple un hypertrucage utilisé pour une fraude au président, mais pas l'IA comme source de responsabilité, par exemple un modèle de tarification qui défavorise une catégorie de clients. Le décalage se creuse : selon Statistique Canada, 12 % des entreprises canadiennes ont utilisé l'IA pour produire des biens ou des services entre la mi-2024 et la mi-2025, une proportion attendue à 14,5 % à la mi-2026.
Les 5 vérifications à faire avant votre prochain renouvellement
- Repérer l'endossement. Demander au courtier si un endossement d'exclusion IA figure au renouvellement 2026, et sous quelle référence. Une exclusion ajoutée ne change ni la prime affichée ni la page couverture de la police.
- Séparer cyber et responsabilité. Vérifier ligne par ligne ce que couvre la police cyber (attaque assistée par IA) et ce que couvre la responsabilité civile (dommage causé par une sortie de modèle). Les deux ne se recoupent pas.
- Cartographier les systèmes d'IA. Sans inventaire à jour des modèles utilisés, de leurs fournisseurs et de leurs usages, aucune souscription précise n'est possible. Un diagnostic de maturité IA fournit cette base d'inventaire.
- Lire les indemnisations du fournisseur. Les engagements contractuels des fournisseurs de modèles comportent des plafonds et des conditions d'exclusion, détaillés dans l'analyse des risques de droits d'auteur liés aux modèles génératifs.
- Explorer les marchés spécialisés. Des polices autonomes dédiées au risque IA existent, portées par le Lloyd's et des réassureurs, mais elles restent rares et distribuées par des canaux que beaucoup de courtiers commerciaux n'utilisent pas encore.
Que demande l'AMF aux institutions financières québécoises ?
L'Autorité des marchés financiers (AMF) a publié le 7 avril 2026 sa ligne directrice sur l'utilisation de l'intelligence artificielle, après une consultation publique tenue à l'automne 2025. Elle s'applique aux assureurs autorisés, aux coopératives de services financiers, aux sociétés de fiducie et aux institutions de dépôt autorisées exerçant au Québec, et prend effet le 1er mai 2027. Il s'agit du premier cadre établi par un régulateur financier provincial canadien sur l'usage de l'IA.
Deux attentes structurent le texte. D'abord, un membre de la haute direction doit être imputable de l'ensemble des systèmes d'IA de l'institution. Ensuite, ces systèmes doivent être consignés dans un registre centralisé, avec une cote de risque révisée périodiquement qui module les activités d'approbation et de surveillance.
L'effet dépasse le secteur financier : le registre exigé par l'AMF correspond à ce qu'un assureur demandera pour tarifer un risque IA. Une entreprise non réglementée qui construit le même inventaire améliore sa gouvernance et sa position de négociation à l'assurance.
Questions fréquentes
Mon assurance responsabilité civile couvre-t-elle les erreurs de mon IA ?
Pas nécessairement en 2026. Si la police comporte un endossement d'exclusion IA de type CG 40 47, les réclamations découlant des sorties d'une IA générative sont retirées de la couverture. La vérification doit porter sur le libellé exact du renouvellement, car la modification n'apparaît pas sur la page couverture.
L'assurance cyber couvre-t-elle les incidents liés à l'IA ?
Partiellement. Elle répond généralement quand l'IA sert d'outil d'attaque, par exemple un hypertrucage utilisé pour une fraude ou une intrusion assistée par un modèle. Elle ne répond généralement pas quand l'IA de l'entreprise cause elle-même un dommage, par exemple une décision automatisée discriminatoire ou une hallucination diffusée à des clients.
La ligne directrice de l'AMF s'applique-t-elle à toutes les entreprises ?
Non. Elle vise les assureurs autorisés, les coopératives de services financiers, les sociétés de fiducie et les institutions de dépôt autorisées au Québec, à compter du 1er mai 2027. Les autres organisations restent soumises à la Loi 25, dont les obligations sur les décisions automatisées s'appliquent déjà.
Existe-t-il une assurance dédiée au risque IA ?
Oui, mais le marché reste étroit. Quelques polices autonomes couvrant la responsabilité algorithmique sont portées par le Lloyd's et des réassureurs, puis distribuées par des canaux de lignes excédentaires auxquels un courtier commercial généraliste n'a pas systématiquement accès.
Sources
Voir tous les articles