Le signal à surveiller n'est ni Deloitte ni son enquête : c'est le marché de l'assurance

Ce dossier confronte le diagnostic de Deloitte sur l’IA technologie d’abord à son propre incident australien. Les deux sources ont un point commun gênant : Deloitte a un intérêt commercial des deux côtés du débat, comme cabinet qui vend le remède au problème qu’il diagnostique et comme cabinet qui a lui-même vécu l’incident.

Depuis janvier 2026, Verisk met à disposition des assureurs deux clauses type, CG 40 47 et CG 40 48, qui excluent des polices de responsabilité civile générale les sinistres liés à un contenu généré par IA ; en parallèle, plusieurs assureurs (Berkley, AIG, Great American, Hamilton, Philadelphia Indemnity) ont déjà déposé leurs propres exclusions IA sur des lignes voisines de responsabilité des dirigeants et de responsabilité professionnelle.
Un marché de l’assurance qui commence à surtarifer ou exclure un risque n’a d’intérêt commercial ni à confirmer ni à minorer le diagnostic de Deloitte : il réagit à sa propre exposition aux sinistres, pas à la crédibilité d’un cabinet de conseil.
Cette apparition de clauses type peut justifier de considérer le marché de la RC pro comme un baromètre à suivre dans la durée, plutôt que de trancher le débat Deloitte sur la seule base de son enquête ou de son incident.

Un langage d’exclusion qui existe depuis janvier 2026, pas une hypothèse

Ce que les données établissent. Verisk, l’organisme qui fournit à la majorité des assureurs américains leurs formulaires type via ISO Core Lines Services, a mis à disposition des porteurs de risque, à compter du 1er janvier 2026, deux nouveaux formulaires d’exclusion de l’IA générative, CG 40 47 et CG 40 48 [1]. Le premier exclut les dommages corporels, matériels et de publicité liés à un contenu généré par IA sous les deux volets de couverture d’une police de responsabilité civile générale ; le second se limite au second volet [1]. Plusieurs sources spécialisées en assurance confirment, indépendamment de Verisk, l’adoption de ces formulaires par une demi-douzaine d’assureurs dans les semaines qui ont suivi leur publication, et un intérêt jugé croissant pour ce type de clause à mesure que le risque devient plus visible [2][3]. Berkley a de son côté déposé une exclusion IA « absolue » sur ses lignes de responsabilité des dirigeants, d’erreurs et omissions et de responsabilité fiduciaire ; AIG, Great American, Hamilton et Philadelphia Indemnity ont fait de même sur des lignes comparables [3]. Une étude Gallagher citée par la même source recense une hausse de 978 % des poursuites liées à l’IA entre 2021 et 2025 [3].

Ces formulaires Verisk ciblent en premier lieu la responsabilité civile générale, pas spécifiquement la responsabilité civile professionnelle des cabinets de conseil. Mon interprétation. Le langage qu’ils introduisent, une exclusion déclenchée par tout sinistre « découlant de » l’IA générative, est cependant le même type de clause que plusieurs assureurs déploient déjà, à travers des formulaires propriétaires distincts, sur les lignes voisines de responsabilité des dirigeants et d’erreurs et omissions : la RC pro spécifique aux cabinets de conseil n’a pas encore, à la date de publication de cet article, de formulaire type nommément recensé équivalent aux CG 40 47/48, mais le mouvement est déjà engagé sur des lignes structurellement proches.

Pourquoi ce marché est le signal le plus neutre disponible

Ce que les données établissent. Un précédent déjà documenté existe : l’assurance cyber est née, dans les années 1990 et 2000, d’un segment marginal de l’assurance des erreurs et omissions technologiques, avant de devenir une ligne de produit autonome au fil des vagues successives de violations de données, la loi californienne de notification de 2003, puis les brèches Target, Sony et JPMorgan Chase entre 2013 et 2014 [4]. Le nombre d’assureurs proposant un produit cyber autonome est passé à plus de cinquante dans les années 2010, une trajectoire qui a suivi, plutôt que précédé, l’accumulation de sinistres documentés [4].

==Un assureur n’a aucune raison de gonfler ou de minorer le risque de contenu IA non vérifié pour défendre ou attaquer la réputation d’un cabinet de conseil : il ne fait que répondre à ses propres sinistres et à sa propre sinistralité anticipée.== Extrapolation prudente. Si les clauses d’exclusion ou les surprimes spécifiques au contenu IA venaient, dans les prochains trimestres, à s’étendre nommément aux lignes de RC pro des cabinets de conseil, avec la même trajectoire que l’assurance cyber avant elle, ce serait une preuve de marché plus robuste que l’enquête ou l’incident de Deloitte pour trancher si le problème est systémique à la profession ou isolé à un cas.

Mes réserves

Les clauses recensées à ce jour portent principalement sur la responsabilité civile générale et sur des lignes voisines de responsabilité des dirigeants ou d’erreurs et omissions, pas encore sur une ligne de RC pro nommément dédiée aux cabinets de conseil : l’extension à cette ligne précise, bien que documentée comme en cours par plusieurs sources spécialisées, n’est pas encore un fait accompli et mesurable au moment de la rédaction. L’analogie avec l’assurance cyber est structurelle, pas une preuve que l’assurance IA suivra le même calendrier ni la même ampleur : le risque cyber portait sur des sinistres déjà chiffrables (coûts de notification, amendes), quand le risque de contenu IA non vérifié reste, à ce stade, plus diffus à mesurer pour un souscripteur. Cette même analogie limite la portée du signal dans l’autre sens : l’assurance cyber a mis plus d’une décennie à devenir une ligne autonome après la loi californienne de 2003. L’absence, aujourd’hui, d’une clause RC pro nommément dédiée aux cabinets de conseil ne permet donc pas de conclure que le risque de contenu IA non vérifié est mineur, seulement que le marché n’a pas encore eu le temps d’y répondre par ce canal précis.

L’implication concrète : un dirigeant de cabinet de conseil ou un DSI cliente gagne à poser, lors du prochain renouvellement de la police RC pro, une question précise à son assureur ou courtier : une clause ou une surprime liée au contenu généré par IA est-elle déjà appliquée sur des lignes voisines (responsabilité des dirigeants, erreurs et omissions) du même portefeuille, et à quelle échéance une extension à la RC pro des cabinets de conseil est-elle envisagée.

Écart au Standard Probans

Je publie cet article sous mon propre seuil de qualité interne. Les trois critères que je considère non négociables, l’exactitude factuelle, la qualité des sources, l’originalité de l’angle, sont respectés. Ce qui manque tient à deux dimensions secondaires, que je nomme ci-dessous plutôt que de les corriger artificiellement.

Qualité des sources. Les cinq assureurs que je cite (Berkley, AIG, Great American, Hamilton, Philadelphia Indemnity) et la statistique Gallagher (+978 % de poursuites liées à l’IA entre 2021 et 2025) reposent sur une seule source secondaire, Claims Journal, sans que j’aie pu remonter à un dépôt de formulaire primaire ou à l’étude Gallagher elle-même.

Insight original. Le rapprochement que je fais entre le marché de l’assurance et le débat Deloitte est une synthèse propre, mais reste un rapprochement narratif : il ne se cristallise pas encore en objet intellectuel propriétaire citable indépendamment de la marque (pas de seuil de déclenchement daté, pas de baromètre formalisé).

Retour au dossier IA technologie d’abord en entreprise · Lire la Décision possible du dossier.