Phase 1 : Cartographier les usages critiques et les dépendances

Fournir une vision claire

L’objectif est de fournir une vision claire, partagée et actionnable des risques assurantiels liés à l’usage de l’IA dans une organisation (publique ou privée), en identifiant :

Les usages critiques de l’IA (internes ou externalisés), en particulier ceux automatisant la prise de décision, la production, la relation client, la sécurité ou la gouvernance.
Les points de vulnérabilité technique, juridique, géopolitique ou éthique liés à ces usages.
Les interdépendances systémiques (fournisseurs de modèles, infrastructures cloud, API externes, IA tierces, biais des données, dépendance réglementaire…).
La maturité de l’organisation en termes de sécurité, traçabilité, auditabilité et conformité des IA utilisées.
Les zones à couvrir en priorité, par l’un des 5 axes assurantiels :
🔐 cybersécurité | ⚖️ responsabilité algorithmique (E&O) | 🏛️ gouvernance (D&O) | 🎓 accompagnement | 🏅 label/assurance affirmative.

🎯 But final : poser les fondations d’une politique assurantielle structurée, combinant prévention, sélection des garanties, et confiance.

Livrables attendus

Livrables de la Phase 1

Nom du Livrable	Contenu détaillé
Cartographie des usages IA critiques	Identifier les IA utilisées dans les fonctions sensibles de l’entreprise (RH, cybersécurité, finance, production, relation client, etc.). Classer ces IA par typologie (IA générative, copilote, décisionnelle, jumeau numérique, autonome…). Évaluer leur criticité selon plusieurs axes : confidentialité, continuité métier, sécurité publique, exposition aux biais ou au RGPD, impact image, safety.
Matrice des dépendances IA	Recenser toutes les dépendances techniques et humaines associées aux IA : fournisseurs de modèles, APIs critiques, hébergeurs cloud, acteurs tiers, bibliothèques open source, jeux de données externes. Identifier les points de concentration ou de vulnérabilité pouvant générer un risque systémique.
Analyse des 5 risques universels de détournement IA	Étudier les principaux scénarios de menace (accaparement élitiste, hacking, deepfake, sabotage interne, biais amplifiés par AGI) à partir de cas concrets et anticipations sectorielles. Qualifier le niveau d’occurrence et l’impact estimé selon chaque scénario.
Positionnement des garanties existantes et manquantes	Cartographier les garanties actuellement souscrites (cyber, RC, E&O, D&O, patrimoine immatériel…) et identifier les angles morts assurantiels. Relier chaque garantie aux 5 axes assurantiels : responsabilité, continuité, intégrité cognitive, sécurité des données, relation éthique.
Feuille de route pour couverture assurantielle différenciée	Construire une trajectoire assurantielle selon le degré d’autonomie de chaque IA ou son rôle dans l’organisation. Intégrer des critères de maturité, de criticité et de régulation. Décliner par type de risque : sabotage, perte de savoir-faire, dérive algorithmique, exposition RGPD, dépendance à un tiers.

Rôles et Acteurs

Acteurs de la Phase 1

Acteur	Rôle principal
Courtier	Chef d’orchestre de la cartographie. Il anime les ateliers, structure les livrables et oriente la lecture assurantielle selon les risques identifiés.
AMOA	Partenaire interne ou externe du client, il facilite l’accès aux données métier, modélise les usages, formalise les dépendances et les vulnérabilités des systèmes IA.
Assureur	Intervient en aval pour challenger la cartographie, affiner les périmètres assurables, signaler les exclusions contractuelles et les conditions spécifiques de garantie.
DSI / CISO / RSSI	Identifient les IA intégrées dans les systèmes d’information, cartographient les interconnexions techniques et analysent les vulnérabilités de sécurité associées.
Direction juridique & conformité	Recense les risques réglementaires associés aux IA (AI Act, RGPD, NIS2…), anticipe les responsabilités et cadre les obligations de conformité.
RH & direction générale	Évaluent les usages internes des IA copilotes, leurs impacts sur l’organisation, la formation des collaborateurs et la gouvernance globale.
Product owners / Métiers	Apportent une vision terrain sur l’autonomie réelle des IA dans les processus métiers, leur capacité à agir, décider ou influer sans supervision constante.
Délégué à la protection des données (DPO)	Analyse les risques associés aux données personnelles ou sensibles traitées ou mémorisées par les IA.
Partenaires externes (cloud, IA providers, intégrateurs, startups IA, juristes spécialisés)	Apportent un éclairage technique, juridique ou sectoriel sur les technologies déployées, les dépendances critiques ou les clauses contractuelles clés.

Mesure du succès

Indicateurs de réussite de la Phase 1

Dimension évaluée	Indicateur de succès	Critère de validation
Vision stratégique partagée	Une cartographie claire, validée et compréhensible par l’ensemble des parties prenantes (métier, IT, juridique, direction générale).	Document validé par au moins 3 directions (ex : DSI, juridique, DG). Utilisé comme base dans une réunion de pilotage assurantiel.
Exhaustivité des usages identifiés	Taux de couverture des IA critiques dans les processus clés (décision, production, relation client, sécurité, gouvernance).	≥ 90 % des processus identifiés comme “critiques” audités et reliés à une IA cartographiée.
Identification des vulnérabilités	Nombre de points de dépendance ou de fragilité clairement documentés (techniques, réglementaires, éthiques, géopolitiques).	≥ 1 dépendance critique identifiée par typologie d’IA majeure utilisée. Recommandations formulées.
Lecture assurantielle activable	Alignement des risques identifiés avec les 5 axes assurantiels (🔐 Cyber, ⚖️ E&O, 🏛️ D&O, 🎓 Accompagnement, 🏅 Label).	Chaque usage IA critique est positionné sur au moins un axe de garantie, avec statut (couverte / partiellement / non couverte).
Plan de couverture différenciée proposé	Existence d’une feuille de route assurantielle classant les IA selon leur autonomie, criticité et maturité.	Document livré intégrant priorités de couverture, suggestions de clauses, et scénarios d’évolution.
Engagement des parties prenantes	Participation effective aux ateliers / interviews / validation des livrables.	≥ 80 % des parties prenantes-clés ont été consultées et/ou ont validé les livrables.