La menace de l'IA : Deepfakes, identités synthétiques et fraude automatisée
Chapitre 3
Alors que les assureurs jonglent avec les cycles budgétaires, les projets d’amélioration de la qualité des données et la gestion du changement organisationnel, les fraudeurs utilisent déjà l'IA comme une arme. Ils ne s’attardent pas à des cadres de gouvernance ni à des projets pilotes. Ils mettent en œuvre des strategèmes, et l'écart entre le niveau de préparation de l'industrie et la sophistication des outils déployés contre elle se creuse.
Le passage de la fraude opportuniste à la fraude pilotée par l'IA est un changement structurel plutôt qu'une évolution progressive. Les outils dont disposent désormais les fraudeurs ne se contentent pas d’accélérer ou d’étendre les strategèmes existants ; ils rendent possibles des stratagèmes entièrement nouveaux. Parmi ceux-ci figurent les identités synthétiques inédites, les preuves falsifiées (deepfake) indiscernables de la réalité et les agents autonomes capables d'exécuter des opérations de fraude complexes dans de multiples environnements numériques sans intervention humaine constante. Comprendre la nature réelle, non pas comme un scénario futur mais comme une réalité présente et en constante accélération, est essentiel pour comprendre le déficit de préparation mis en lumière dans cette section.
Comment les fraudeurs vont instrumentaliser l'IA
Interrogés sur les risques d’instrumentalisation de l'IA, les expertsont identifié quatre vecteurs principaux. La génération de documents ou d'identités synthétiques (76 %) arrive en tête, représentant une attaque directe contre les processus de vérification des réclamations que la plupart des assureurs effectuent encore manuellement ou via des contrôles basés sur des règles conçues avant l’avènement des falsifications par IA. Vient ensuite la création de preuves falsifiées deepfake (71 %), incluant des images, des enregistrements audio et des vidéo fabriqués avec une fidélité suffisante pour passer inaperçus. L'automatisation à grande échelle de la fraude de demandes d’assurances (44 %) et la coordination de réseaux de fraude organisés (33 %) complètent le tableau.
L’association d'identités synthétiques et de preuves falsifiées (deepfake ) est particulièrement dangereuse, car ces deux techniques exploitent la même vulnérabilité sous des angles différents. Les identités synthétiques crééent une identité factice dès la souscription, donnant naissance à un assuré inexistant. À l’inverse, les preuves falsifiées (deepfake) fabriquent de faux justificatifs au moment de la réclamation, documentant un incident qui n'a jamais eu lieu. Une opération organisée combinant ces deux techniques peut construire une réclamation frauduleuse de bout en bout, sans laisser de traces écrites. Une police d’assurance pourrait être souscrite par une personne fictive, pour un incident imaginaire et documentée par des preuves générées artificiellement plutôt que par des enregistrements.
La seule contre-mesure fiable est la détection par IA, et le constat de l’état actuel de l'industrie dans ce domaine est préoccupant. Seules quelques organisations ont pleinement déployé l’IA ou l’apprentissage automatique pour la détection des fraudes, ce qui souligne l'asymétrie flagrante entre les capacités des attaquants et le niveau de préparation des défenseurs.
76%
71%
44%
33%
Génération de documents ou d'identifiants synthétiques
Création de preuves falsifiées deepfake (images, audio, vidéo)
Automatisation de la fraude de demande à grande échelle
Coordination des réseaux organisés de fraude
Le fossé des deepfakes : connaître la menace et ne pas agir
Le décalage entre la menace perçue et la réponse opérationnelle mise en évidence par cette étude est l'une des conclusions les plus importantes de l'ensemble des données analysées. Cinquante-huit pour cent des professionnels s'attendent à ce que les deepfakes deviennent l'outil dominant de fraude à court terme, mais seulement 20 % considèrent la vérification des documents et des médias comme une priorité opérationnelle essentielle. Si 40 % la jugent important, « important » et « essentiel » ne sont pas synonymes sur le plan opérationnel. De plus, 9 % indiquent que la vérification des médias n'est pas utilisée du tout.
Cet écart ne résulte pas de l'ignorance, mais plutôt d'un manque de ressources et une inertie organisationnelle, les les mêmes facteurs qui freinent l'adoption de l'IA. Les professionnels savent que les deepfakes arrivent, et beaucoup savent que la vérification des médias est la solution technique. Cependant, savoir et prioriser sont deux choses différentes. Dans un contexte de contraintes budgétaires et de demandes concurrentes, les tâches « très importantes » sont régulièrement réléguées au second plan par rapport aux tâches « critiques ». Le problème est que cette erreur de classification sera de plus en plus difficile à corriger à mesure que la qualité des deepfakes s'améliorers et que l'accessibilité s'étendra.
Chaque processus de gestion de réclamations, quel que soit le secteur d'activité et du premier avis de perte au règlement final, doit intégrer systémiquement la vérification de l'authenticité des médias et des documents. La technologie permettant un déploiement à grande échelle existe déjà. Il est urgent de l’utiliser avant que les deepfakes ne deviennent indiscernables des preuves légitimes, mais cette opportunité ne durera pas.
20%
40%
31%
9%
Critique
Très important
Assez important
Non utilisé
Le déficit de préparation face à l'IA Agentique
Les données relatives à la préparation face à l'IA agentique sont les plus révélatrices et les plus importantes de toute cette étude. 78 % des répondants estiment que l'IA agentique est quelque peu ou très susceptible d'influencer la fraude à l'assurance au cours des deux prochaines années. Ce constat, quasi unanime parmi les professionnels de première ligne témoigne d’une menace imminente. Pourtant, seulement 2 % se sentent très bien préparés à s’en défendre.
Il est important de bien comprendre les chiffres. Selon les estimations des experts, la fraude par IA agentique ne se généralisera que dans deux ans environ. 38 % des personnes interrogées se situent actuellement au seuil de « peu préparés », voire en dessous. Même « un peu préparé » est une position précaire face à une menace dont les implications ne sont peut-être pas encore pleinement comprises.
L'IA agentique se distingue fondamentalement des technologies antifraude précédentes. Les outils antifraude de générations précédentes, même les plus sophistiqués, nécessitent une intervention humaine à chaque étape. Un fraudeur pouvait certes utiliser un logiciel pour générer un faux document, mais lui incombait encore de décider du moment et du lieu de sa soumission. Les systèmes d'IA agentique, quant à eux, peuvent planifier, agir et s'adapter de manière autonome dans de multiples environnements numériques, sans intervention humaine à chaque étape. Ils peuvent identifier des cibles, fabriquer de fausses preuves, gérer les procédures de soumission, surveiller les réponses et adapter leur approche en fonction des leçons apprises, sans qu'un opérateur humain ne guide chacune de leurs actions. Il ne s’agit pas d’une version plus rapide des techniques de fraude existantes, mais une menace d’une autre nature, quiexige une réponse à la hauteur de son ampleur.
2%
29%
29%
31%
7%
Très bien préparé
Un peu préparé
Neutre
Pas très préparé
Pas du tout préparé
Point clé
La menace n'est pas théorique et son échéance est proche. Les experts eux-mêmes estiment que le point d'inflexion de l'IA agentique est de deux ans, voir moins, et pourtant, seulement 2 % d’entre deux se sentent très bien préparés. Les techniques de deepfake et d'identité synthétique qui alimenteront cette menace sont déjà utilisées aujourd'hui. La simple prise de conscience, sans réponse opérationnelle, ne constitue pas une défense. Il est encore possible de mettre en place une défense, mais cette occasion ne durera pas.
