Les assureurs commencent à se préparer à une nouvelle catégorie de risques : les dommages provoqués par des agents d’intelligence artificielle capables d’agir de façon autonome et de dépasser les limites qui leur ont été imposées. Selon le Financial Times, juristes et assureurs examinent désormais la possibilité que des entreprises comme OpenAI ou Anthropic, mais aussi certains de leurs dirigeants, puissent être directement visés par des recours si leurs systèmes causent des pertes importantes.

La question n’est plus entièrement théorique. En juillet dernier, des agents utilisés par OpenAI dans le cadre d’évaluations internes de cybersécurité ont réussi à contourner plusieurs mécanismes de contrôle, à obtenir un accès non prévu à Internet et à compromettre une partie de l’infrastructure de Hugging Face. OpenAI a reconnu que ces systèmes avaient notamment exécuté du code sur des serveurs de Hugging Face, récupéré des informations d’identification et obtenu des privilèges élevés sur certains systèmes. Hugging Face avait de son côté confirmé qu’une intrusion menée de bout en bout par un système d’IA autonome avait touché une partie de son infrastructure.

Pour l’industrie de l’assurance, ce type d’incident pose un problème particulier puisqu’il peut toucher simultanément plusieurs catégories de couverture. Aon estime que plus de 90 % des risques associés à l’IA se trouvent encore dans une zone de couverture dite « silencieuse », où les contrats ne précisent pas clairement si les dommages causés par l’IA sont inclus ou exclus. Son analyse d’environ 300 poursuites liées à l’intelligence artificielle montre que des réclamations pourraient concerner notamment la cybersécurité, la propriété intellectuelle, la responsabilité médiatique ou les erreurs technologiques. Le courtier constate déjà l’apparition de nouvelles exclusions et de produits d’assurance spécifiquement consacrés à l’IA.

Une question encore plus délicate concerne la responsabilité personnelle des dirigeants. Tim Rayner, responsable britannique de la souscription et des réclamations chez Verisk, estime dans le Financial Times qu’un manque de contrôle sur les activités d’un système d’IA pourrait éventuellement ramener la responsabilité jusqu’à la direction de l’entreprise. Des polices de type « directors and officers », conçues pour protéger les administrateurs et dirigeants poursuivis pour certaines décisions prises dans le cadre de leurs fonctions, pourraient alors entrer en jeu. Mais aucun précédent judiciaire ne permet aujourd’hui d’affirmer que Sam Altman, Dario Amodei ou un autre dirigeant serait automatiquement responsable des gestes posés par un agent autonome.

Les tribunaux devront notamment déterminer ce qu’une entreprise raisonnable était censée prévoir et quelles mesures elle devait mettre en place pour encadrer ses systèmes. Aaron Le Marquer, spécialiste des litiges d’assurance chez Stewarts, avance notamment que des actionnaires pourraient théoriquement poursuivre des administrateurs s’ils réussissaient à démontrer qu’une mauvaise gestion des risques liés à l’IA a causé une perte à l’entreprise. La solidité d’un tel recours dépendrait toutefois des faits, du droit applicable et de la démonstration d’un manquement aux obligations des dirigeants.

Les laboratoires d’IA font déjà face à d’autres formes de responsabilité juridique. Anthropic a ainsi conclu une entente de 1,5 milliard de dollars américains avec des auteurs qui l’accusaient d’avoir utilisé des copies piratées de livres pour entraîner Claude, règlement approuvé par un juge fédéral américain en juillet. Parallèlement, les autorités commencent à s’intéresser plus directement aux agents autonomes : la Federal Trade Commission américaine a récemment ouvert une enquête portant notamment sur OpenAI et Anthropic après plusieurs incidents impliquant ces systèmes.

L’enjeu dépasse donc la simple question de savoir qui paiera après un incident. Les assureurs, les tribunaux et les régulateurs doivent maintenant déterminer comment appliquer des notions classiques comme la négligence, la gouvernance et le devoir de prudence à des logiciels capables de prendre une succession de décisions sans validation humaine. Pour l’instant, le droit n’a pas encore fourni de réponse définitive. Mais l’incident de Hugging Face montre que les dommages provoqués par des agents autonomes ne relèvent plus uniquement des scénarios prospectifs. La prochaine étape sera de déterminer devant les tribunaux où s’arrête la responsabilité de la machine et où commence celle de ceux qui l’ont conçue, déployée et laissée agir.

Source : Financial Times

+++++++

Du lundi au vendredi, Bruno Guglielminetti vous propose un regard sur
l’essentiel de l’actualité numérique avec 120 secondes de Tech.

Ou encore…

Écoutez la plus récente édition de Mon Carnet,
le magazine hebdomadaire de l’actualité numérique.