Les risques liés à l’IA que les courtiers d’assurance doivent aider leurs clients à comprendre

L’IA élargit la surface d’attaque numérique des PME et des ménages

L’adoption de l’IA progresse rapidement, mais rarement avec le même niveau d’encadrement et de gouvernance que les systèmes traditionnels. 

Selon KPMG Canada, 81 % des entreprises canadiennes ayant subi une fraude au cours de la dernière année ont été ciblées par une attaque facilitée par l’IA, et sept sur dix ont été visées plus d’une fois. 

Les petites entreprises intègrent l’IA dans leurs activités de marketing, leur service à la clientèle et leurs opérations sans toujours comprendre comment les données sont traitées ni comment certaines décisions sont automatisées. Les particuliers interagissent avec l’IA à travers les applications financières, les plateformes de messagerie et divers outils numériques du quotidien. 

Chacun de ces points de contact élargit la surface d’attaque numérique, créant de nouvelles « portes d’entrée » que les cybercriminels peuvent exploiter. 

De nombreux clients ignorent où l’IA est utilisée ou intégrée dans leur entreprise ou leur foyer, ce qui complique l’évaluation de leur exposition aux risques. 

Principaux risques liés à l’IA pour les petites entreprises

Les données du Bureau d’assurance du Canada (BAC) révèlent que 73 % des petites entreprises canadiennes ont déjà subi un incident de cybersécurité, alors que moins de la moitié estiment réellement être exposées à ce type de risque. 

Les pertes liées à l’IA prennent souvent la forme d’incidents déjà connus, mais déclenchés de nouvelles façons. 

Propriété intellectuelle et responsabilité liée au contenu 

Les entreprises utilisent l’IA générative pour créer du contenu marketing, des propositions commerciales et des communications. 

Lorsque ce contenu enfreint les droits associés à une œuvre existante, la responsabilité incombe généralement à l’entreprise, et non au fournisseur de l’outil d’IA. 

Ce risque augmente à mesure que les organisations s’appuient sur du contenu généré par l’IA sans vérifier son origine ni les droits de propriété intellectuelle qui s’y rattachent. 

Erreurs, hallucinations et responsabilité de l’entreprise 

Les outils d’IA peuvent produire des réponses inexactes ou trompeuses. 

Lorsqu’ils sont utilisés dans les interactions avec les clients ou dans la prise de décisions, ces résultats erronés peuvent entraîner des pertes financières ou engager la responsabilité de l’entreprise. 

Ces incidents ne découlent pas d’une défaillance technologique, mais plutôt de la confiance accordée à un contenu erroné, une situation qui n’est pas toujours clairement couverte par les polices traditionnelles. 

Biais algorithmiques et discrimination 

Les systèmes d’IA peuvent reproduire les biais présents dans leurs données d’entraînement. 

Lorsqu’ils sont utilisés pour l’embauche, l’évaluation de candidats ou l’octroi de crédit, ils peuvent exposer les entreprises à des plaintes pour discrimination ainsi qu’à une surveillance réglementaire accrue. 

Souvent, les organisations ne comprennent pas entièrement comment les décisions sont prises par ces systèmes. 

Protection des renseignements personnels et utilisation de l’IA 

Les employés utilisent de plus en plus des outils d’IA pour traiter l’information et peuvent saisir des données sensibles dans des plateformes publiques sans comprendre comment ces renseignements sont stockés ou réutilisés. 

Cette pratique peut entraîner des atteintes à la vie privée, des violations contractuelles et des problèmes de conformité réglementaire. 

Les fraudes d’ingénierie sociale évoluent avec l’IA 

L’IA transforme également la manière dont les cyberattaques sont menées. 

Le changement le plus important réside dans la façon dont les fraudeurs ciblent désormais les personnes plutôt que les systèmes, en exploitant les relations de confiance. 

Fraude par hypertrucage (« deepfake ») et clonage vocal 

L’IA peut reproduire une voix à partir de très peu de matériel audio. 

Cette technologie est utilisée pour usurper l’identité de dirigeants, demander des paiements urgents et contourner les contrôles internes. 

Les demandes paraissent authentiques, ce qui rend leur détection beaucoup plus difficile. 

Hameçonnage alimenté par l’IA 

Les messages d’hameçonnage sont aujourd’hui beaucoup plus personnalisés et convaincants. 

Un sondage de TD réalisé en 2026 a révélé que trois Canadiens sur quatre se sentent davantage vulnérables à la fraude alimentée par l’IA, tandis que 82 % estiment que les fraudessont de plus en plus difficiles à détecter. 

L’IA permet aux attaquants d’imiter le ton, le contexte et le moment approprié, éliminant ainsi plusieurs des indices qui permettaient auparavant de reconnaître les tentativesd’hameçonnage. 

Ces attaques reposent avant tout sur la confiance et le sentiment d’urgence, et non sur la sophistication technique. 

Où apparaissent les lacunes de couverture 

Les incidents liés à l’IA ne déclenchent pas toujours les protections d’assurance traditionnelles. 

Pourquoi? Parce qu’ils n’impliquent pas nécessairement une intrusion informatique ou un accès non autorisé à un système. 

Les pertes peuvent plutôt découler de : 

• gestes posés volontairement à la suite d’une tromperie; 
• résultats incorrects générés par l’IA; 
• mauvaise utilisation des données au moyen d’outils d’IA. 

Par exemple : 

• un paiement effectué après un appel utilisant un hypertrucage vocal; 
• une responsabilité découlant de réponses erronées fournies par un agent conversationnel; 
• des réclamations en propriété intellectuelle liées à du contenu généré par l’IA. 

Ces pertes sont bien réelles, mais elles peuvent se retrouver dans des zones grises de couverture. 

Les clients présument souvent être protégés jusqu’au moment où une réclamation démontre le contraire. 

Selon KPMG Canada, seulement 26 % des dirigeants d’entreprise canadiens disposent d’un plan d’intervention testé pour faire face aux attaques alimentées par l’IA, telles que les hypertrucages et le clonage vocal, alors que 94 % se disent préoccupés par ces risques. 

Pourquoi les clients ont besoin de polices d’assurance cyber adaptées à l’IA 

À mesure que l’IA transforme la façon dont les pertes surviennent, il devient essentiel que la structure des polices évolue également. 

Les polices comme Cyberboxx® Business sont conçues comme des solutions intégrées d’assurance et de protection cyber, combinant une couverture complète, des services préventifspermanents et une intervention d’experts disponible 24 heures sur 24, 7 jours sur 7. 

La protection comprend notamment : 

• l’ingénierie sociale et la fraude financière; 
• les atteintes à la confidentialité, les violations de données et l’exposition de renseignements sensibles; 
• les rançongiciels et le cyberchantage, y compris les attaques fondées sur le chiffrement ou les menaces; 
• les interruptions des activités; 
• les incidents impliquant des fournisseurs infonuagiques et des tiers à travers toute la chaîne d’approvisionnement. 

La solution inclut également les services permanents Cyberboxx Assist®, conçus pour aider à prévenir et anticiper les cybermenaces alimentées par l’IA, notamment : 

• la gestion de la surface d’attaque afin d’identifier les vulnérabilités; 
• la surveillance du dark web afin de repérer les identifiants exposés; 
• la surveillance du crédit pour détecter les risques financiers; 
• l’accès à des experts en cybersécurité pour obtenir des conseils et une assistance. 

Ces services contribuent à détecter les risques rapidement et à réduire les probabilités qu’un incident se transforme en perte importante. 

Pourquoi BOXX couvre chaque sinistre pendant toute la durée de la police 

Chaque police Cyberboxx® Business comprend également la structure First Party Each and Every Loss de BOXX, qui rétablit les limites de garantie après chaque cyberincident distinct pendant toute la durée de la police. 

Cet élément est particulièrement important puisque les attaques alimentées par l’IA ne sont souvent pas des événements isolés. 

Une entreprise peut subir plusieurs pertes à partir d’un même incident ou être ciblée de nouveau pendant sa période de rétablissement. 

La structure First Party Each and Every Loss protège les clients contre plusieurs cyberincidents pendant toute la durée de la police. 

Lorsqu’un incident survient, l’équipe BOXX Hackbusters® intervient immédiatement afin de contenir la menace, d’en déterminer la cause et de guider le client dans son rétablissement. 

Une intervention rapide peut réduire considérablement l’impact global d’un événement. 

En fait, l’équipe Hackbusters empêche plus de 80 % des incidents de se transformer en réclamations d’assurance. 

Le rôle des assurances Tech E&O de nouvelle génération dans la gestion des risques liés à l’IA 

Pour les entreprises technologiques et les organisations qui utilisent ou développent des solutions d’IA, l’exposition aux risques dépasse largement le cadre de la cybersécurité. 

C’est ici qu’une couverture moderne Erreurs et omissions technologiques (Tech E&O) devient essentielle. 

Tech E&O by BOXX est intégrée à Cyberboxx® Business, combinant couverture de responsabilité professionnelle et protection cyber. 

Elle a été conçue pour répondre notamment à : 

• les erreurs liées à l’intelligence artificielle et aux grands modèles de langage (LLM); 
• les problèmes de qualité, d’intégrité ou de mauvaise utilisation des données; 
• les réclamations liées à la discrimination technologique; 
• les défaillances logicielles ou de services. 

À mesure que davantage d’entreprises développent ou utilisent des outils d’IA, cette protection gagne en importance. 

Conseils pratiques à transmettre aux clients pour réduire les risques liés à l’IA 

Les risques associés à l’IA ne peuvent être gérés uniquement par l’assurance. 

Les clients ont également besoin de lignes directrices claires concernant l’utilisation quotidienne de ces outils. 

Les courtiers peuvent apporter une valeur immédiate en mettant l’accent sur plusieurs éléments clés. 

Établir des règles claires concernant l’utilisation de l’IA 

Les entreprises devraient mettre en place des politiques encadrant l’utilisation des outils d’IA, particulièrement lorsqu’il s’agit de données sensibles. 

L’utilisation de plateformes publiques pour traiter des renseignements confidentiels devrait être limitée ou interdite. 

Comprendre les fournisseurs d’IA tiers 

Les clients doivent savoir comment les plateformes d’IA traitent les données, quels droits elles conservent et où se situe la responsabilité légale, surtout lorsqu’elles participent à des interactions avec les clients ou à la prise de décisions. 

Former les employés à reconnaître les fraudes alimentées par l’IA 

Selon le BAC, moins de la moitié des PME canadiennes ont mis en place des formations ou des politiques permettant aux employés de reconnaître les fraudes générées par l’IA. 

Les employés devraient être informés des risques liés : 

• aux fraudes par clonage vocal; 
• aux hypertrucages; 
• aux courriels d’hameçonnage hautement personnalisés; 
• aux demandes inhabituelles de paiements ou d’identifiants. 

Renforcer les procédures de vérification des transactions financières 

Encouragez les clients à instaurer une validation supplémentaire pour les demandes de paiement, les changements de coordonnées bancaires ou les instructions financières urgentes. 

Cette simple mesure peut prévenir de nombreuses fraudes. 

Réviser la couverture en fonction de l’évolution des risques 

Les clients devraient comprendre précisément ce que couvre leur police, où se situent les lacunes potentielles et comment les protections cyber et de responsabilité professionnellefonctionnent ensemble. 

Où les courtiers apportent une réelle valeur dans un contexte de cyberrisques alimentés par l’IA 

L’IA transforme la façon dont les pertes surviennent, mais de nombreux clients adoptent ces outils sans comprendre pleinement les risques qui les accompagnent. 

Pour renforcer leur rôle-conseil, les courtiers doivent comprendre où l’IA crée des expositions et où les protections existantes peuvent être insuffisantes. 

Des solutions comme Cyberboxx® Business, soutenues par Cyberboxx Assist® et Hackbusters®, permettent aux courtiers de combler les lacunes de couverture liées à l’IA et d’offrir des protections qui reflètent la réalité des pertes numériques d’aujourd’hui.