Pourquoi l'IA rend la fraude à l'assurance plus difficile à détecter

La nouvelle économie de la fraude à l'assurance

Commençons par les chiffres. La fraude à l'assurance en Belgique est estimée entre 400 et 800 millions d'euros par an, soit jusqu'à environ un dixième de l'ensemble des indemnisations versées en assurance non-vie. Pourtant, en 2024, Assuralia et ses membres n'en ont détecté que 147,5 millions, sur 7 169 dossiers. Placez ces deux chiffres côte à côte, car c'est l'écart entre eux qui raconte la véritable histoire. La majeure partie de la fraude n'est jamais détectée. Elle est estimée, déduite, supposée. Et les outils que l'IA générative a placés entre les mains des fraudeurs sont faits pour élargir précisément cet écart. Voilà la fraude à l'assurance dopée à l'IA en pratique : non pas un nouveau délit, mais un délit ancien rendu bon marché, rapide et convaincant.

Jusqu'à récemment, la fraude était difficile à commettre, et cette difficulté protégeait les assureurs autant que leurs contrôles. Pour simuler un sinistre de façon crédible, il fallait du temps, de véritables compétences et le sang-froid de falsifier des preuves suffisamment bonnes pour tromper un gestionnaire de sinistres expérimenté. La plupart des gens n'en étaient pas capables, ou ne voulaient pas prendre le risque. Le nombre de faux sinistres restait donc faible.

L'IA générative efface cette difficulté. Le rapport 2025 d'Europol sur la criminalité grave et organisée avertit que l'IA remodèle en profondeur la criminalité organisée, automatisant et étendant les opérations criminelles et les rendant plus difficiles à détecter, avec une fraude en ligne de plus en plus pilotée par l'IA. Des techniques qui exigeaient autrefois un spécialiste n'exigent plus qu'une consigne, et c'est ce qui fait passer la fraude à l'assurance dopée à l'IA d'un acte rare et artisanal à un problème de volume.

Les quatre basculements les plus importants

Les quatre basculements interviennent chacun à une étape différente du cycle de vie du client et du sinistre :

• Preuves de sinistre générées par l'IA. Photographies de dégâts sur une voiture jamais accidentée ou d'une habitation jamais inondée, vidéo d'un événement qui n'a jamais eu lieu, audio d'un témoin qui n'existe pas. Le Threat Landscape 2025 de l'ENISA relève que les voix clonées et les vidéos fabriquées sont désormais des caractéristiques courantes de l'usurpation d'identité et de la fraude, et non des cas limites exotiques. Pour un gestionnaire qui évalue un sinistre auto ou habitation, les pièces justificatives sont précisément ce qui est aujourd'hui le plus facile à falsifier.
• Identités synthétiques sur le contrat. Des identités entièrement fabriquées mais cohérentes entre elles qui souscrivent une police, la conservent discrètement, puis déclarent un sinistre. Comme le preneur d'assurance n'a jamais été une personne réelle, il n'y a aucun individu véritable derrière la déclaration sur lequel les contrôles habituels pourraient buter.
• Documents justificatifs fabriqués. Devis de réparation, certificats médicaux, références de procès-verbaux et factures générés à la demande, correctement formatés, et dépourvus des maladresses révélatrices que les contrôles documentaires manuels ont été conçus pour repérer.
• Automatisation et passage à l'échelle. Le même effort qui produisait autrefois un sinistre gonflé en produit désormais des centaines, chacun légèrement différent, et beaucoup calibrés délibérément sous le seuil de valeur qui déclencherait une revue manuelle.

Le fil conducteur est simple. L'IA fait s'effondrer le coût par tentative, de sorte que le volume et la qualité augmentent en même temps. C'est cette combinaison qui rend la fraude à l'assurance dopée à l'IA si difficile à contenir.

Pourquoi la fraude dopée à l'IA fait tomber l'ancien mode opératoire

La plupart des dispositifs de détection de la fraude à l'assurance présents sur le marché ont été conçus pour une fraude à vitesse humaine et de qualité humaine. La fraude dopée à l'IA n'est ni l'une ni l'autre. Les alertes basées sur des règles cherchent les schémas que laissent les fraudeurs négligents. Les contrôles documentaires statiques cherchent les artefacts d'une falsification bâclée. Les documents synthétiques et les deepfakes sont conçus pour n'avoir ni les uns ni les autres.

Nous ne pouvons pas non plus nous appuyer sur les relecteurs humains pour combler l'écart. Une méta-analyse 2024 de 56 études sur la détection des deepfakes a établi que les personnes atteignent en moyenne environ 55 % d'exactitude, à peine mieux qu'un tirage au sort. Les preuves qu'un gestionnaire de sinistres est formé à croire, une photo nette, un document concordant, une voix familière, sont précisément ce que la technologie contrefait aujourd'hui le mieux.

La seconde faiblesse est structurelle. Les signaux de fraude sont cloisonnés. L'entrée en relation voit une chose, les sinistres une autre, l'équipe anti-blanchiment une troisième, et aucune ne voit l'ensemble. Une identité synthétique qui serait évidente si son comportement à l'entrée en relation, son historique de sinistres et ses schémas de paiement étaient lus ensemble passe sans encombre lorsque chacun est lu séparément. Rien d'étonnant à ce qu'Insurance Europe estime que la fraude détectée et non détectée représentent ensemble environ un dixième de l'ensemble des dépenses de sinistres en Europe.

Des contrôles isolés à l'orchestration

Si la fraude à l'assurance dopée à l'IA est un problème de cycle de vie, elle ne peut pas être résolue par un cycle de vie de contrôles déconnectés. La fraude ne respecte pas la frontière entre l'entrée en relation et la gestion des sinistres, la défense ne peut donc pas la respecter davantage.

C'est le basculement qu'exige la fraude dopée à l'IA : s'éloigner des outils isolés qui notent chacun une seule étape, pour aller vers une analyse orchestrée de la fraude qui relie les signaux d'identité, de comportement et de transaction sur toute la relation client. Un deepfake peut faire échouer un contrôle. Il est bien plus difficile de maintenir une identité fabriquée cohérente à travers chaque contrôle, dans le temps, pendant qu'une image de risque unique est assemblée à partir de tous.

À quoi ressemble aujourd'hui un bon dispositif

Pour les équipes conformité qui repensent leurs défenses face à la fraude à l'assurance dopée à l'IA, quatre principes séparent les programmes qui tiendront de ceux qui ne tiendront pas :

• Traiter l'authenticité des documents comme un signal, pas comme une case à cocher. La question n'est plus de savoir si un document est présent et bien formé, mais s'il est réel, et ce jugement doit être continu.
• Relier les signaux d'identité tout au long du cycle de vie. La valeur ne réside pas dans une vérification isolée mais dans le fait qu'une identité reste cohérente depuis l'entrée en relation jusqu'à chaque interaction ultérieure.
• Passer du risque ponctuel au risque continu. Une identité synthétique qui semblait propre à l'entrée en relation peut ne se révéler que des mois plus tard. Le risque doit être réévalué à mesure que le comportement s'accumule, et non figé au premier contrôle.
• Concentrer le jugement humain là où il compte. Les personnes sont mauvaises pour repérer les deepfakes mais fortes sur le contexte, l'intention et les cas limites. Le rôle de l'automatisation est d'acheminer les dossiers réellement ambigus vers une revue experte, pas de la remplacer.

Le courant réglementaire va dans le même sens

Rien de tout cela ne se produit dans le vide. La direction de la réglementation européenne, du paquet AML jusqu'à des attentes prudentielles croissantes, pointe exactement vers cette posture : une surveillance continue, connectée, à l'échelle du cycle de vie, plutôt que des contrôles périodiques et formels. La pression pour moderniser les défenses contre la fraude à l'assurance dopée à l'IA et la pression pour répondre aux attentes réglementaires sont, de plus en plus, la même pression.

L'écart entre ce qui est estimé et ce qui est réellement détecté a toujours été inconfortable. À une époque où la fraude à l'assurance dopée à l'IA peut être générée à grande échelle et avec qualité, il cesse d'être une statistique opérationnelle pour devenir un risque de niveau conseil d'administration. Les assureurs qui le combleront seront ceux qui auront cessé de traiter la fraude comme une série de contrôles pour commencer à la traiter comme une image unique et connectée.

Fraude à l'assurance et IA : questions fréquentes

Qu'est-ce que la fraude à l'assurance dopée à l'IA ?

Ce n'est pas une nouvelle catégorie de sinistre. C'est la fraude familière, sinistres mis en scène, pertes gonflées ou inventées et fausses identités, désormais commise avec l'IA générative. En pratique, cela signifie des photos de dégâts générées par l'IA, de la vidéo deepfake ou de l'audio cloné, des documents justificatifs fabriqués, et des identités synthétiques utilisées pour souscrire des polices et déclarer ensuite un sinistre.

Pourquoi est-elle plus difficile à détecter que la fraude traditionnelle ?

Parce que l'IA supprime les défauts sur lesquels la détection s'est toujours appuyée. Les alertes basées sur des règles et les contrôles documentaires manuels ont été conçus pour repérer les artefacts d'une falsification humaine et précipitée, et les preuves générées par l'IA n'en présentent pas. La recherche montre que les personnes repèrent les deepfakes à peine mieux qu'un tirage au sort, et la même fraude s'étend souvent sur l'entrée en relation, le contrat et le sinistre, de sorte que chaque signal paraît propre lorsqu'il est isolé.

Comment les assureurs peuvent-ils détecter la fraude générée par l'IA ?

Aucun contrôle isolé ne suffit. L'approche la plus fiable relie les signaux d'identité, de comportement et de transaction sur tout le cycle de vie du client plutôt que de noter chaque étape séparément, de sorte qu'une identité fabriquée qui survit à un contrôle échoue tout de même face à l'image d'ensemble.

L'AI Act et l'AMLR changent-ils la manière dont les assureurs traitent la fraude ?

Moins que ne le pensent la plupart des équipes, et dans des directions opposées. L'AI Act laisse délibérément la détection de la fraude de côté : le considérant 58 indique que les systèmes d'IA utilisés pour détecter la fraude dans l'offre de services financiers ne doivent pas être considérés comme à haut risque, de sorte que les modèles de détection eux-mêmes se situent hors du régime de l'annexe III. L'assurance vie et santé fait exception, car l'évaluation des risques et la tarification pour ces branches sont classées à haut risque, et le Digital Omnibus, en vigueur depuis le 27 juillet 2026, a repoussé cette échéance d'août 2026 au 2 décembre 2027. Ce qui s'applique bien à partir du 2 août 2026, sans modification par l'Omnibus, c'est l'article 50 : les systèmes génératifs doivent marquer leurs sorties comme générées artificiellement dans un format lisible par machine, et les déployeurs de deepfakes doivent les signaler. Cela aide moins qu'il n'y paraît, puisque les personnes qui fabriquent des preuves de sinistre sont précisément celles qui ne s'y conformeront pas.

L'AMLR est là où l'obligation mord réellement. Il remodèle la vigilance à l'égard de la clientèle vers une surveillance continue et connectée plutôt que des contrôles périodiques et formels, ce qui est aussi ce qu'exige la défense contre la fraude à l'ère de l'IA. L'AI Act encadre la manière dont les assureurs peuvent construire leur détection. L'AMLR détermine si cette détection est suffisante.

Où la fraude dopée à l'IA commence-t-elle dans le parcours client ?

Souvent tout au début. Les identités synthétiques sont construites pour passer le KYC et l'entrée en relation, puis conservées discrètement avant qu'un sinistre soit déclaré, et c'est pourquoi les contrôles d'identité à l'entrée en relation et la surveillance plus tard dans la relation ne peuvent pas être traités comme des problèmes distincts.

Harmoney orchestre l'ensemble du cycle de vie de la relation avec la contrepartie, de l'onboarding au monitoring continu, dans un flux unique et auditable. Supervision humaine, traçabilité complète, contrôle permanent. Vous souhaitez voir comment cela fonctionne pour vos processus LCB-FT et d'évaluation des risques ? Contactez-nous ou explorez la plateforme Harmoney, ou restez informé via notre newsletter ⬇️.