Intelligence artificielle et cybersécurité au cabinet d'assurance

Le règlement classe les systèmes d'intelligence artificielle par niveau de risque, des usages interdits aux usages à risque limité, en passant par une catégorie à haut risque qui porte l'essentiel des obligations.

Les obligations attachées varient en conséquence : documentation, gestion des risques, qualité des données, information des personnes, supervision humaine.

Le classement se fait par usage et non par outil. Le même modèle de langage peut relever d'un niveau ou d'un autre selon ce qu'on lui fait faire, ce qui rend l'inventaire des usages du cabinet plus utile qu'une liste de logiciels.

Un client qui échange avec un agent conversationnel doit savoir qu'il n'a pas une personne en face de lui. C'est une exigence de transparence, et c'est aussi ce qui évite qu'une réponse automatique soit prise pour un conseil.

La supervision humaine n'est pas une relecture de principe. Elle suppose que quelqu'un puisse comprendre ce que l'outil a produit, le corriger et, le cas échéant, l'écarter.

L'articulation avec le règlement général sur la protection des données ferme le sujet. Confier des données clients à un outil, c'est un traitement, avec sa base légale, son inscription au registre, et le contrat de sous-traitance qui va avec.

Le scénario est toujours le même : un courriel qui paraît venir d'un client ou d'un partenaire annonce un changement de coordonnées bancaires, et le virement suivant part sur le mauvais compte.

La parade est simple et elle est procédurale, non technique : tout changement de coordonnées bancaires se vérifie par un canal différent de celui par lequel il est arrivé, et auprès d'un contact connu à l'avance.

Le reste relève de l'hygiène numérique : mots de passe distincts, double authentification sur les accès sensibles, droits d'accès retirés au départ d'un collaborateur, sauvegardes testées. Réagir à un incident se prépare avant l'incident, avec un plan de continuité et la notification à prévoir.