Exclusions IA en RC Pro : les consultants pris entre l'AI Act et le retrait des assureurs

Quatre jours séparent deux mouvements qui vont dans des directions opposées. Le 2 août 2026, l'article 50 du règlement européen sur l'intelligence artificielle est devenu opposable : tout professionnel qui déploie un agent conversationnel, produit des contenus synthétiques ou diffuse des images générées doit désormais le signaler. Au même moment, les assureurs retirent méthodiquement le risque IA de leurs contrats de responsabilité civile professionnelle. Les consultants qui vivent de l'intelligence artificielle se retrouvent donc soumis à une obligation de conformité renforcée, mais avec une couverture qui se rétracte.

Ce que l'article 50 impose depuis le 2 août

Le texte européen distingue deux qualités : le fournisseur, qui développe un système d'IA et le met sur le marché sous son propre nom, et le déployeur, qui l'utilise sous son autorité dans un cadre professionnel. Un consultant indépendant qui bâtit un agent conversationnel pour un client bascule fréquemment dans la première catégorie sans en avoir conscience.

Les obligations se répartissent en quatre blocs. Les systèmes conçus pour interagir directement avec des personnes physiques doivent les informer qu'elles s'adressent à une machine, sauf lorsque cela relève de l'évidence pour une personne « normalement informée et raisonnablement attentive et avisée ». Les contenus audio, image, vidéo ou texte générés artificiellement doivent porter un marquage lisible par machine. Les systèmes de reconnaissance des émotions ou de catégorisation biométrique imposent d'informer les personnes exposées. Enfin, les hypertrucages doivent être étiquetés, avec une dérogation pour les usages artistiques, créatifs ou satiriques.

Une exemption mérite l'attention des cabinets de conseil : l'obligation de divulgation tombe lorsque le contenu généré « a fait l'objet d'un processus de contrôle humain ou éditorial » et qu'une personne assume la responsabilité éditoriale de la publication. La supervision humaine documentée n'est donc pas seulement une bonne pratique, elle constitue une cause d'exonération inscrite dans le texte.

Le régime de sanction figure à l'article 99, paragraphe 4, point g : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Des dispositions plus favorables s'appliquent aux petites et moyennes entreprises.

Le calendrier a bougé, mais pas dans le sens attendu

Le 2 août 2026 devait initialement marquer l'entrée en application des règles sur les systèmes à haut risque. L'accord dit Digital Omnibus, obtenu politiquement le 6 mai 2026 et confirmé par le Conseil le 13 mai, a repoussé cette échéance. Les systèmes autonomes relevant de l'annexe III basculent au 2 décembre 2027, ceux intégrés à des produits réglementés au titre de l'annexe I au 2 août 2028.

La transparence de l'article 50, elle, n'a pas été décalée. Seul le marquage lisible par machine des systèmes déjà commercialisés avant le 2 août bénéficie d'un sursis jusqu'au 2 décembre 2026. Le calendrier a donc allégé la contrainte lourde et maintenu la contrainte immédiate.

En France, l'Autorité de contrôle prudentiel et de résolution (ACPR) doit être désignée autorité de surveillance du marché pour la banque et l'assurance. Son programme de travail 2026 place la préparation de cette supervision parmi ses axes prioritaires.

La fin du « silent AI »

Pendant des années, le risque lié à l'intelligence artificielle habitait les contrats sans y figurer : ni garanti explicitement, ni exclu. Cette zone grise a un nom dans la profession, le « silent AI », et elle se referme.

Le 1er janvier 2026, trois avenants standardisés élaborés par l'organisme américain ISO, filiale de Verisk, sont entrés en vigueur. Le formulaire CG 40 47, intitulé « Exclusion, intelligence artificielle générative », retire la garantie pour les dommages corporels, les dommages matériels et les atteintes à la personne ou à la réputation dès lors qu'ils découlent d'une IA générative. Le CG 40 48 se limite au volet atteintes personnelles et publicitaires. Le CG 35 08 vise la garantie produits livrés.

Ces avenants restent optionnels : chaque assureur décide de les intégrer ou non. Joe Lam, vice-président responsabilité civile chez Verisk et coauteur des textes, résume la position du marché : « Everyone acknowledges that this is new technology that is going to create or introduce new exposures. »

Plusieurs porteurs de risque sont allés plus loin que le standard. W. R. Berkley a introduit une exclusion qualifiée d'absolue sur ses branches mandataires sociaux, responsabilité professionnelle et responsabilité fiduciaire, en retenant une définition très large : « tout système automatisé qui, pour des objectifs explicites ou implicites, déduit à partir des données qu'il reçoit la manière de générer des résultats tels que des prédictions, des contenus, des recommandations ou des décisions ». Hamilton Insurance Group écarte les réclamations « fondées sur, découlant de ou impliquant de quelque manière » des outils d'IA générative nommément désignés.

Alana McMullin, associée du cabinet Lathrop GPM et spécialiste des contentieux d'assurance, observe « un changement majeur dans le traitement des risques liés à l'IA par le secteur de l'assurance ». Le mouvement avait été enclenché à l'automne 2025, lorsque le Financial Times avait révélé que AIG, W. R. Berkley et Great American avaient déposé auprès des régulateurs américains des demandes visant à écarter le risque IA. AIG avait alors précisé n'avoir « aucun projet de les mettre en œuvre à ce stade ».

Le contentieux qui justifie le repli

Les assureurs s'appuient sur une trajectoire chiffrée. Le rapport « Smart Systems, Blind Spots », publié le 25 mars 2026 par Gallagher Re avec le concours du MIT et de Testudo Global, recense une progression de 978 % des contentieux liés à l'IA générative aux États-Unis entre 2021 et 2025. Plus de 700 procédures cumulées ont été engagées entre 2020 et 2025, avec une accélération marquée : la hausse annuelle atteint 137 % entre 2024 et 2025, contre 59 % l'année précédente.

La ventilation par nature de réclamation éclaire l'exposition réelle : contrefaçon de brevet dans 11,9 % des cas, contrefaçon de droit d'auteur dans 11,2 %, atteintes aux personnes liées à la vie privée et au détournement de données personnelles dans 10,2 %.

Interrogées dans le cadre de la même étude, 1 250 entreprises hiérarchisent leurs craintes : 57 % citent les erreurs, la désinformation et les hallucinations, 56 % les risques juridiques et de réputation, 55 % les manquements à la protection des données.

Deux affaires reviennent systématiquement dans les mémoires déposés par les assureurs. Wolf River Electric a assigné Google en réclamant au moins 110 millions de dollars, reprochant à un résumé généré automatiquement d'avoir diffusé des affirmations fausses. Air Canada a été condamnée à honorer une réduction tarifaire inventée par son agent conversationnel.

La position française diverge

Le marché hexagonal ne suit pas la même pente. La neuvième cartographie prospective des risques publiée le 29 janvier 2026 par France Assureurs, construite à partir des réponses de 186 dirigeants et experts issus de 35 sociétés d'assurance et de réassurance, place l'intelligence artificielle en septième position des risques du secteur, contre la neuvième un an plus tôt. Le cyber conserve la première place pour la neuvième année consécutive.

Le même document désigne pourtant l'IA comme la première opportunité du secteur, avec un score jamais atteint dans ce classement : le deuxième enjeu, les équilibres démographiques, plafonne à environ un quart de son niveau. Florence Lustman, présidente de France Assureurs, souligne que « les risques se rapprochent, s'accumulent et s'intensifient ».

Cette double lecture, menace qui monte et relais de croissance assumé, distingue la profession française de ses homologues américains, qui tranchent par l'exclusion. La conséquence pratique pour un consultant reste toutefois identique : la garantie ne se présume plus, elle se vérifie ligne à ligne au renouvellement.

Ce que le droit français fait peser sur le consultant

Aucun texte n'autorise un prestataire à transférer sa responsabilité vers l'outil qu'il emploie. L'article 1231-1 du Code civil condamne le débiteur au paiement de dommages et intérêts en cas d'inexécution ou de retard, sauf à démontrer que l'exécution a été empêchée par la force majeure. Un modèle statistique qui produit une réponse erronée ne relève évidemment pas de la force majeure.

Le consultant est en principe tenu d'une obligation de moyens : il s'engage à mettre en œuvre les diligences appropriées, pas à garantir un résultat. Le client qui invoque un manquement doit établir que tout n'a pas été mis en œuvre pour l'éviter. C'est précisément sur ce terrain que la traçabilité devient déterminante. Un cabinet capable de produire l'historique de ses vérifications, la trace de ses relectures et la documentation de ses arbitrages se défend. Celui qui a livré une production non relue se retrouve exposé, et potentiellement qualifié en faute lourde, cause classique de déchéance de garantie.

Trois scénarios reviennent chez les praticiens : l'analyse de marché erronée remise par un consultant en stratégie, le code livré avec une faille de sécurité par un développeur assisté par IA, et le contenu diffamatoire ou contrefaisant produit par un créateur. Dans les trois cas, le préjudice est financier, immédiat, et parfaitement chiffrable par le client. Souscrire une assurance de responsabilité civile professionnelle dédiée aux consultants en intelligence artificielle suppose donc de vérifier que la déclaration d'activité mentionne explicitement le recours à ces outils, faute de quoi l'assureur pourra opposer une inexactitude de déclaration.

Une offre affirmative encore étroite

Face au retrait des porteurs traditionnels, une poignée d'acteurs propose une couverture qui nomme l'IA comme risque garanti plutôt que comme exclusion.

• Munich Re commercialise depuis 2018 le programme aiSure, une garantie de performance qui se déclenche au franchissement d'un seuil prédéfini, sans exiger la démonstration d'une faute. En mars 2026, Mosaic Insurance s'est associée au réassureur pour distribuer une capacité allant jusqu'à 15 millions de dollars auprès des développeurs et éditeurs.
• Armilla, adossée à Chaucer et Axis Capital, souscrit au Lloyd's une couverture des hallucinations, de la dérive de modèle et des manquements réglementaires pouvant atteindre 25 millions de dollars. En février 2026, la structure Vanguard AI a été lancée avec Chaucer pour articuler une garantie cyber et responsabilité technologique avec une police IA autonome, assortie de règles d'imputation prédéfinies pour les sinistres mixtes.

Ces solutions s'adressent en priorité aux concepteurs de modèles. Le rapport de Gallagher Re relève que les simples utilisateurs d'outils tiers restent les moins bien traités : les conditions contractuelles standard des éditeurs plafonnent fréquemment leur responsabilité à douze mois d'honoraires et n'offrent aucune garantie de performance. La charge du résultat retombe donc sur l'organisation qui déploie, alors même qu'elle n'a aucune visibilité sur le fonctionnement interne du modèle. C'est exactement la situation d'un consultant indépendant.

Points de vigilance au prochain renouvellement

Quatre vérifications s'imposent avant la prochaine échéance annuelle.

• Rechercher dans les conditions générales et particulières toute mention d'intelligence artificielle, de technologies émergentes ou de systèmes automatisés, en distinguant une exclusion d'une simple sous limite.
• Confronter la déclaration d'activité déposée chez l'assureur à la réalité des prestations livrées, y compris les outils employés en sous traitance.
• Formaliser un protocole de relecture humaine et en conserver la trace, à la fois pour l'exemption prévue par l'article 50 et pour la défense en responsabilité.
• Chiffrer l'écart entre le plafond de garantie souscrit et l'exposition contractuelle réelle vis à vis des clients les plus importants.

Ce qu'il faut surveiller

La première vague de renouvellements postérieurs à l'entrée en vigueur des avenants ISO livrera la mesure du phénomène. Le taux d'adoption réel reste inconnu tant que les échéances annuelles n'ont pas été traitées, et la profession française n'a publié à ce jour aucune statistique d'application de ces clauses sur le marché national.

Deux échéances structurent les prochains mois : le 2 décembre 2026 pour le marquage des systèmes déjà déployés, puis le 2 décembre 2027 pour les obligations relatives aux systèmes à haut risque. Entre les deux, la jurisprudence commencera à préciser la portée de la formule « découlant de », qui commande le déclenchement des exclusions. Les juridictions américaines refusent déjà d'en faire une application mécanique lorsque le dommage aurait pu survenir indépendamment du fait exclu. Cette question, transposée au droit français des assurances, décidera de la valeur réelle des garanties souscrites aujourd'hui.