Un assureur conserve aujourd’hui des données de contrat confidentielles pendant des années : c’est un enjeu de l’actuariat quantique assurance. Si certains mécanismes de chiffrement deviennent vulnérables, ces informations pourraient être exposées à long terme.
Ce risque ne signifie ni qu’un ordinateur quantique peut vider des réserves, ni que les contrats seront bientôt déchiffrés. Il concerne d’abord la sécurité des données et des échanges dont dépend l’assurance. La menace cryptographique est distincte des usages actuariels possibles de cette technologie. Pour les contrats, la durée de confidentialité attendue compte autant que les protections utilisées aujourd’hui.
Il s’agit donc de comprendre ce qui pourrait changer, sans confondre risques futurs et capacités actuelles. Comment l’informatique quantique traite-t-elle l’information, et quel lien peut-elle avoir avec l’actuariat ?
À retenir
- Des données d’assurance peuvent devoir rester confidentielles pendant des années.
- La menace concerne certains mécanismes de chiffrement, pas tous.
- Les réserves ne disparaissent pas automatiquement sous l’effet d’un ordinateur quantique.
- La préparation porte sur les données, les systèmes et leur sécurité.
- Les calculs quantiques pourraient aussi ouvrir des pistes actuarielles spécialisées.
Que signifie l’actuariat quantique assurance pour les assureurs ?
Un bit classique vaut 0 ou 1, tandis qu’un qubit peut se trouver en superposition de plusieurs états. Cette différence permet d’envisager des calculs spécialisés, mais pas de remplacer tous les ordinateurs. L’informatique quantique et l’informatique classique devraient coexister.
Un qubit est une unité d’information quantique pouvant se trouver dans une superposition de plusieurs états, notamment 0 et 1. L’intrication relie l’état de plusieurs qubits; leurs propriétés deviennent liées, même si chaque qubit ne se lit pas isolément comme un bit ordinaire.
Les ordinateurs quantiques visent des calculs spécialisés; ils ne sont pas destinés à remplacer les ordinateurs classiques.
Qubits, superposition et intrication
La superposition n’équivaut pas à essayer tous les résultats à la fois. Elle décrit un état quantique que des opérations et une mesure exploitent pour certains problèmes. Le résultat observé reste unique, et la conception de l’algorithme détermine ce qu’il est possible d’en tirer.
Les ordinateurs quantiques s’appuient sur des qubits et des opérations particulières. Leur fonctionnement exige un matériel délicat, car les erreurs et les perturbations peuvent dégrader les calculs. Ils ne sont donc pas simplement des ordinateurs classiques plus rapides pour chaque tâche.
Des calculs actuariels aux usages possibles
Cette capacité spécialisée pourrait intéresser la modélisation actuarielle. Des simulations de scénarios complexes, des analyses de risques ou certains problèmes d’optimisation pourraient bénéficier de méthodes quantiques, si le matériel et les algorithmes adaptés existent.
Pour l’instant, ces usages dépendent des capacités techniques disponibles et de la nature du problème. Les ordinateurs classiques restent les outils courants pour traiter les contrats et calculs ordinaires. Il faut maintenant distinguer ces pistes de calcul du risque précis qui touche certains mécanismes de chiffrement.
Comment l’informatique quantique menace-t-elle le chiffrement des assureurs ?
Un fichier de contrat chiffré aujourd’hui peut devoir rester confidentiel au-delà de la durée de vie du système qui le protège. Cette durée rend certains risques pertinents dès maintenant. Un ordinateur quantique suffisamment puissant et tolérant aux erreurs pourrait menacer RSA et ECC avec l’algorithme de Shor.
Shor pourrait factoriser de grands nombres et mettre en danger RSA, ainsi que les systèmes à courbes elliptiques, ou ECC. Cette capacité n’est pas celle des ordinateurs quantiques actuels. Elle ne signifie pas non plus que tout chiffrement serait détruit.
RSA et ECC face à l’algorithme de Shor
Le risque dépend du type de chiffrement employé. Shor vise les mécanismes à clé publique comme RSA et ECC, tandis que Grover concerne la recherche dans des clés utilisées par le chiffrement symétrique.
| Famille | Algorithme quantique concerné | Conséquence à examiner |
|---|---|---|
| RSA | Shor | Risque pour le chiffrement à clé publique |
| ECC | Shor | Risque pour les systèmes à courbes elliptiques |
| Chiffrement symétrique | Grover | Recherche accélérée de manière quadratique |
Grover accélère la recherche de manière quadratique; il ne rend pas automatiquement tout chiffrement symétrique inutilisable. L’évaluation doit donc tenir compte des algorithmes réellement présents dans les systèmes et des données qu’ils protègent.
Les données interceptées aujourd’hui, déchiffrées plus tard
L’attaque « collecter maintenant, déchiffrer plus tard » consiste à conserver des données interceptées pour tenter de les déchiffrer ultérieurement. Un tiers peut viser des échanges chiffrés aujourd’hui, même s’il ne peut pas les lire au moment de leur collecte.
Ce scénario concerne surtout les informations dont la confidentialité doit durer longtemps, par exemple certaines données personnelles ou contractuelles. Le NIST normalise des standards de cryptographie post-quantique (PQC), conçus pour résister à des attaques quantiques. La menace peut ainsi atteindre les calculs et les réserves par les systèmes qui les soutiennent.
Pourquoi les réserves d’assurance sont-elles exposées à cette menace ?
Un calcul de réserves s’appuie sur des données de sinistres et des hypothèses de fréquence et de coût. Ces éléments servent à estimer les engagements futurs à couvrir. Une faille de chiffrement ne supprime pas directement les réserves, mais peut fragiliser les informations et les systèmes qui les étayent.
Les actuaires utilisent ces données pour produire une analyse du risque et des calculs de modélisation. Si une personne non autorisée accède aux informations, leur confidentialité est touchée. Si des données sont modifiées ou rendues indisponibles, leur intégrité ou leur disponibilité peut aussi être en cause.
Une donnée altérée peut fausser une hypothèse ou rendre un résultat difficile à interpréter. Une équipe doit alors vérifier les données et reprendre certains calculs; la confiance dans les résultats peut en souffrir. Cela ne veut pas dire qu’une attaque entraîne automatiquement une perte financière.
Les réserves d’assurance représentent des engagements futurs, estimés à partir d’informations et de méthodes actuarielles. L’informatique quantique ne modifie pas ces engagements à elle seule. Les effets indirects dépendent d’une atteinte aux données, aux outils ou à la fiabilité de l’analyse.
Le sujet dépasse donc le calcul actuariel. Les contrats, les informations conservées et les opérations quotidiennes peuvent également être concernés, selon les systèmes touchés et leur rôle dans l’activité.
Quels effets sur les données, les contrats et les opérations ?
Lors d’une interruption de service, un gestionnaire peut perdre l’accès à l’outil qui traite les contrats. Dans ce cas, certaines tâches attendent le rétablissement de l’application. Une interruption d’accès ne signifie pas automatiquement que les données sont perdues ou corrompues.
Un assureur peut héberger ses applications et ses données dans le cloud. Si une application devient inaccessible, les équipes peuvent avoir du mal à consulter un dossier, suivre une demande ou enregistrer une opération. Le processus métier ralentit, même si les données restent intactes.
Il faut distinguer trois enjeux. La confidentialité concerne les accès non autorisés; l’accès concerne la disponibilité des outils; l’intégrité indique si l’information est exacte et complète. Une protection affaiblie peut accroître le risque d’intrusion sans prouver qu’une intrusion a eu lieu.
Les centres de données disposent d’infrastructures de continuité et de secours. Une panne ne provoque donc pas automatiquement la perte ou la corruption des informations. Les entreprises doivent néanmoins considérer les effets d’une indisponibilité, notamment sur les contrats et le service rendu aux assurés.
Une baisse temporaire de la sécurité des sites utilisateurs peut aussi faciliter un accès non autorisé. La cryptographie ne remplace pas les contrôles d’accès, les sauvegardes ou la surveillance des systèmes. Pour approfondir le rôle de la traçabilité et des contrats intelligents, la blockchain dans la sécurisation de l’assurance constitue un sujet complémentaire, distinct du risque quantique.
Ces effets possibles appellent une réponse technique et organisationnelle. Les assureurs doivent aussi situer leurs responsabilités réglementaires, sans attribuer aux textes une exigence qu’ils ne formulent pas.
Comment préparer la migration vers la cryptographie post-quantique ?
La première étape consiste à inventorier les dépendances cryptographiques, plutôt qu’à acheter un ordinateur quantique. Cette cartographie montre où les algorithmes protègent les systèmes et les données. Une transition efficace commence par savoir ce qui est utilisé, et où.
Les équipes peuvent avancer par étapes, en tenant compte des données à protéger longtemps et des liens avec les fournisseurs. Une migration ne se réduit pas à installer un nouvel outil; elle demande des essais et une gouvernance suivie.
Cartographier les algorithmes et planifier la transition
- Inventorier les algorithmes et les certificats utilisés par les systèmes.
- Repérer les données qui doivent rester confidentielles longtemps.
- Prioriser les systèmes les plus exposés et les plus sensibles.
- Tester les solutions post-quantiques et la crypto-agilité.
- Organiser la gouvernance et le suivi des fournisseurs.
La crypto-agilité désigne la capacité à remplacer des algorithmes sans reconstruire tout le système. Les tests permettent d’évaluer la compatibilité, les performances et les effets sur les applications. Les fournisseurs comptent aussi, car leurs services peuvent intégrer des mécanismes cryptographiques invisibles pour l’assureur.
Situer les obligations et les initiatives en France et en Europe
DORA s’applique depuis janvier 2025 et demande aux entités financières d’identifier, d’évaluer et de gérer les risques liés aux technologies émergentes. Le règlement ne cite pas explicitement l’informatique quantique. NIS 2 impose aussi des mesures de gestion des risques aux entités concernées, sans nommer explicitement cette menace.
| Cadre | Portée utile pour la préparation | Point à retenir |
|---|---|---|
| DORA | Gestion des risques technologiques des entités financières | Applicable depuis janvier 2025; ne nomme pas le quantique |
| NIS 2 | Mesures de gestion des risques pour les entités concernées | Ne cite pas explicitement la menace quantique |
| Recommandations de l’ANSSI | Feuille de route de migration vers la cryptographie post-quantique | Recommandation publiée depuis la fin de 2023 |
L’ANSSI recommande depuis la fin de 2023 d’élaborer une feuille de route de migration vers la cryptographie post-quantique. Le Plan Quantique Français prévoit 1,8 milliard d’euros d’investissements d’ici 2030, pour soutenir la recherche et le développement dans ce domaine.
En novembre 2024, 18 États membres de l’Union européenne ont signé une déclaration commune sur la sécurisation des infrastructures critiques face au risque quantique. SPARTA, PROMETHEUS et OPENQKD soutiennent des travaux européens liés à la cryptographie post-quantique et aux communications quantiques.
Aux États-Unis, l’Executive Order 14028 et la NSM-10 encadrent la migration des agences fédérales vers la cryptographie post-quantique. Ces initiatives ne signifient pas que chaque règle impose une migration quantique explicite aux assureurs. Une transition de sécurité engagée peut aussi préparer l’adoption prudente des bénéfices possibles de cette technologie.
Quelles applications quantiques peuvent servir l’actuariat ?
Un portefeuille d’assurance peut devoir intégrer plusieurs scénarios et contraintes dans un même modèle. Pour certains problèmes, l’informatique quantique pourrait offrir de nouvelles méthodes de calcul. Elle ne garantit pas une meilleure précision actuarielle dans tous les cas.
Modéliser les risques et optimiser les portefeuilles
Les pistes de recherche concernent des problèmes spécialisés, où le nombre de combinaisons peut devenir difficile à gérer. Quatre domaines illustrent ces applications possibles, sans constituer des bénéfices déjà démontrés pour tous les assureurs.
- Simulation de scénarios de sinistres et comparaison de leurs effets.
- Optimisation de portefeuilles et de décisions soumises à plusieurs contraintes.
- Analyse de grands ensembles de données pour évaluer les risques.
- Capteurs quantiques pour mieux détecter des variations environnementales ou guider la navigation des véhicules.
Certains calculs quantiques pourraient accélérer des problèmes précis de modélisation ou d’optimisation. Le gain dépend du problème, des données et des performances du matériel. Une méthode plus rapide ne produit pas forcément une estimation plus juste; les hypothèses restent déterminantes.
Exploiter de nouvelles données sans surestimer la technologie
Les capteurs quantiques forment une piste différente du calcul actuariel. Ils pourraient mesurer certaines variations avec une grande sensibilité, puis fournir des données utiles à l’évaluation de risques environnementaux ou à la navigation.
Les ordinateurs classiques garderont leur place; les ordinateurs quantiques devraient les compléter pour des tâches ciblées. Les équipes pourraient accéder à certains outils par le cloud, sans posséder directement une machine. Cette option ne dispense pas d’évaluer la qualité des résultats et la protection des données.
Les usages émergents s’inscrivent dans un paysage technologique plus large, où l’analyse prédictive et le cloud servent déjà certaines activités d’assurance. La technologie dans l’assurance aide à situer ces évolutions sans les confondre avec une capacité quantique immédiate.
Les opportunités dépendront de cas d’usage pertinents, de données adaptées et d’une technologie suffisamment fiable. Une promesse de calcul ne suffit pas : il faut établir qu’elle répond à un besoin actuariel concret.
Les ordinateurs quantiques pourraient accélérer certains problèmes spécialisés, mais ils ne garantissent pas une meilleure précision actuarielle dans tous les cas.
Conclusion
La menace quantique est réelle et mérite d’être anticipée, mais une capacité de déchiffrement de RSA ou d’ECC n’est pas à présenter comme déjà acquise. Le premier enjeu concerne la durée de protection du chiffrement; les effets sur les réserves restent indirects.
Ces effets passent par les données, les applications et la fiabilité des calculs qui soutiennent les engagements futurs. Cette distinction évite deux erreurs : minimiser les risques à long terme ou imaginer une disparition automatique des réserves.
La prochaine étape peut être très concrète : lancer une cartographie des usages cryptographiques et repérer les informations qui doivent rester confidentielles longtemps. Ce travail donne une base pour piloter progressivement la sécurité et préparer une transition adaptée aux systèmes concernés.