Les qubits logiques rendent pour la première fois les ordinateurs quantiques exploitables par les assureurs, ce qui permet d’élaborer des modèles de solvabilité plus fiables, de fixer des tarifs plus précis et de détecter plus tôt les fraudes. Cependant, cette même technologie compromet le chiffrement sur lequel reposent aujourd’hui les systèmes centraux, les interfaces et les données clients. La FINMA attend donc une feuille de route pour une cryptographie résistante à l’attaque quantique d’ici mi-2027. Thomas Schubert explique pourquoi cette exigence servira de tremplin pour l’avantage concurrentiel de demain.
Bienvenue dans un voyage à la découverte du monde de demain. Les ordinateurs quantiques — ou plutôt, les qubits logiques.
L’informatique quantique transforme le secteur de l’assurance de deux manières. Les ordinateurs quantiques dotés de mécanismes de correction d’erreurs permettront d’accélérer la modélisation de la solvabilité, la fixation des tarifs et la détection des fraudes. Cette même technologie rend caduque le chiffrement asymétrique largement utilisé aujourd’hui.
La FINMA recommande donc aux assureurs suisses d’élaborer, au plus tard d’ici mi-2027, une feuille de route PQR pour un chiffrement résistant à l’informatique quantique. La première étape consiste à réaliser un inventaire cryptographique.
L’opportunité réside dans la correction d’erreurs ; cette exigence est d’ores et déjà en vigueur.
Dans le secteur de l’assurance, l’informatique quantique est généralement abordée sous l’angle des capacités de calcul. Cette vision est trop restrictive. Pour la direction générale et le conseil d’administration, deux questions se posent, chacune avec un horizon temporel différent.
Le premier est l’opportunité. Les algorithmes quantiques, tels que l’estimation d’amplitude quantique, promettent un gain de vitesse quadratique par rapport aux méthodes classiques de Monte Carlo dans le cadre des simulations stochastiques. Cela s’applique aux calculs de solvabilité dans le cadre du Swiss Solvency Test (SST) et de Solvabilité II. Cet avantage nécessite un matériel tolérant aux pannes.
Le deuxième point concerne l’obligation. Un ordinateur quantique capable d’effectuer des opérations cryptographiques peut venir à bout du RSA (un algorithme de chiffrement) et des courbes elliptiques, qui constituent la base du protocole TLS, des VPN, des signatures numériques et des connexions API. Cette obligation ne dépend pas de la disponibilité du matériel, car les données sont déjà interceptées aujourd’hui et seront déchiffrées ultérieurement.
Ceux qui combinent ces deux aspects transforment une simple obligation de conformité en un levier réglementaire: l’inventaire cryptographique attendu par les autorités de régulation constitue précisément la base de données et de gouvernance dont tout projet quantique productif a besoin.
Les qubits logiques marquent un tournant
Les processeurs quantiques actuels fonctionnent avec des qubits physiques, qui sont sujets aux erreurs. Un qubit logique regroupe plusieurs qubits physiques et corrige en permanence leurs erreurs. Ce n’est qu’avec un nombre suffisant de qubits logiques et de longues séquences de calcul sans erreur que les avantages théoriques peuvent être mis en pratique.
Pour les assureurs, les qubits logiques impliquent trois changements.
- Modélisation des fonds propres. Les calculs SST et Solvabilité II impliquant 100 000 trajectoires stochastiques ou plus peuvent désormais être effectués avec moins d’approximations et d’estimations. Il en résulte des exigences de fonds propres plus précises et une plus grande marge de manœuvre pour les analyses de sensibilité.
- Optimisation. Les structures de portefeuille et de réassurance soumises à de nombreuses contraintes peuvent désormais être modélisées mathématiquement, alors qu’aujourd’hui, des hypothèses simplificatrices sont nécessaires.
- Cryptographie. Ce sont ces mêmes machines de correction d’erreurs qui rendent possibles les attaques contre les systèmes de chiffrement actuels. Les estimations des ressources nécessaires ont été divisées par plus de 200 depuis 2019. Chaque nouvelle publication scientifique nous rapproche un peu plus de notre objectif.
La technologie qui accélère le modèle de solvabilité contourne le cryptage qui protège ce modèle.
Voici un aperçu des avancées récentes en matière de recherche quantique.
| Étape importante | Sommaire | Statut |
| Quantinuum Helios (novembre 2025) | 98 qubits physiques, 48 qubits logiques à correction d’erreurs avec un rapport de codage de 2:1 | Disponible dans le commerce, selon le fabricant |
| IBM Starling (Feuille de route) | 200 qubits logiques, 100 millions d’opérations quantiques | Prévu pour 2029 |
| IBM Blue Jay (Feuille de route) | 2 000 qubits logiques, 1 milliard d’opérations | Prévu pour succéder à Starling |
| Gidney, Google Quantum AI (mai 2025) | RSA-2048 avec moins d’un million de qubits physiques bruités en moins d’une semaine | Estimation des ressources |
| Iceberg Quantum (février 2026) | RSA-2048 avec moins de 100 000 qubits physiques | Simulation ; non validé sur matériel |
L’autorité de régulation a fait part de ses attentes
En Suisse, la FINMA a publié ses attentes concernant l’informatique quantique dans la circulaire de surveillance n° 05/2026 du 9 juillet 2026. Entre novembre 2025 et janvier 2026, 60 établissements — parmi lesquels des banques, des assureurs, des gestionnaires de placements collectifs et des infrastructures de marché — ont été interrogés. Plus des deux tiers d’entre elles s’attendent à ce que les risques liés à l’informatique quantique deviennent directement pertinents d’ici sept ans. 72 % n’ont encore prévu ni mis en œuvre aucune mesure concrète.
La FINMA énumère six mesures : stratégie et feuille de route, analyse des risques propres à chaque établissement, inventaire des cryptomonnaies, protection des données critiques contre les attaques de type « harvest now, decrypt later », recours à des prestataires de services externes et « crypto-agilité ».
La feuille de route devrait être disponible au plus tard à la mi-2027. La communication n’établit aucune nouvelle règle. Elle s’appuie sur les exigences existantes, neutres sur le plan technologique, en matière de gouvernance et de gestion des risques. La responsabilité de l’externalisation incombe toujours à l’établissement (FINMA-RS 2018/3).
La loi sur la résilience opérationnelle numérique (DORA) est en vigueur dans l’Union européenne depuis janvier 2025. Le règlement délégué (UE) 2024/1774 prévoit, à son article 6, une directive sur le chiffrement comportant des dispositions visant à actualiser la cryptographie à la lumière des progrès réalisés en matière de cryptanalyse. Le considérant 9 mentionne explicitement les menaces que représentent les avancées de l’informatique quantique. L’article 7 impose la mise en place d’un registre de tous les certificats.
La feuille de route de l’UE publiée par le groupe de coopération NIS en juin 2025 s’adresse donc aux États membres de l’UE. Elle préconise la protection des systèmes fondamentaux d’ici fin 2026, des applications à haut risque d’ici fin 2030 et des applications à risque moyen d’ici fin 2035.
Le tableau présente une vue d’ensemble des instruments destinés à encadrer l’utilisation de l’informatique quantique.
| Instrument | Niveau | Caractère contraignant | Date limite |
| Bulletin de surveillance de la FINMA n° 05/2026 | Suisse | Attentes réglementaires | Feuille de route jusqu’à mi-2027 |
| Directives FINMA 2018/3 : Externalisation | Suisse | Caractère contraignant pour les entités soumises à surveillance | En effet |
| Art. 8 de la DSG, Sécurité des données | Suisse | Droit | En effet |
| DORA, conformément au règlement délégué (UE) 2024/1774 | L’UE | Règlement | Depuis le 17 janvier 2025 |
| Feuille de route de l’UE sur les PQC (Groupe de coopération NIS) | États membres de l’UE | Recommandation coordonnée | 2026, 2030, 2035 |
| Loi européenne sur l’IA, «à haut risque» au sens de l’annexe III | L’UE | Règlement | Le 2 décembre 2027, conformément à l’accord politique conclu en mai 2026 |
| Loi européenne sur la technologie quantique (prévue pour le troisième trimestre 2027) | L’UE | Annonce d’un projet de loi | Un projet est prévu pour 2026, axé sur la recherche, l’industrie et la chaîne d’approvisionnement |
Il n’est pas prévu d’adopter en Suisse une loi traitant spécifiquement de la finance quantique. La FINMA intègre cette question dans le cadre de sa surveillance courante.
Il n’existe pas de jurisprudence ; la responsabilité s’applique
Il n’existe aucune décision de justice concernant les risques quantiques ou la cryptographie post-quantique, ni en Suisse ni dans l’Union européenne. La responsabilité est régie par la réglementation en vigueur.
En vertu de l’article 716a du Code suisse des obligations (CO), la gestion générale constitue une obligation non délégable du conseil d’administration.
L’article 754 du Code suisse des obligations (CO) régit sa responsabilité. L’article 8 de la loi suisse sur la protection des données (LPD) exige une sécurité des données adaptée au risque. L’article 61, lettre c), de la LPD prévoit une amende pouvant aller jusqu’à 250 000 CHF à l’encontre de la personne responsable en cas de non-respect délibéré des exigences minimales.
La circulaire de surveillance modifie le niveau d’exigence en matière de diligence. À partir de mi-2027, il sera difficile de justifier l’absence de feuille de route.
Les modèles de prise de décision fondés sur l’informatique quantique sont également soumis à des exigences en matière d’explicabilité : l’article 21 de la DSG relatif à la prise de décision individuelle automatisée et la circulaire de surveillance n° 08/2024 de la FINMA sur la gouvernance de l’IA. Pour les entreprises de l’UE, la loi sur l’IA s’applique également ; celle-ci classe l’évaluation des risques et la tarification dans le domaine de l’assurance vie et santé parmi les activités à haut risque.
La conformité devient un défi architectural
| Tâche | Action | Responsabilité |
| Assurer la transparence | Inventaire cryptographique : algorithmes, clés, certificats, flux de données, interfaces partenaires | Directeur des systèmes d’information (DSI) chargé de la gestion des risques |
| Hiérarchisation des risques | Classez les données par durée de conservation, en accordant la priorité aux données à long terme issues des dossiers médicaux et de santé | Protection des données en collaboration avec les unités opérationnelles |
| Intégrer la stratégie | Feuille de route PQC, approuvée par le conseil d’administration, avec des étapes clés | Direction générale, Conseil d’administration |
| Impliquer les partenaires | Intégrer les exigences en matière de migration dans les contrats, les cycles de mise en production et les accords de niveau de service (SLA) conclus avec les prestataires de services | Passation de marchés en collaboration avec le service juridique |
| Garantir la flexibilité | Cryptoagilité : méthodes interchangeables sans restructuration du système ; normes NIST FIPS 203 et 204 | Architecture informatique |
| Maîtrise des modèles | Validation et piste d’audit pour les modèles assistés par la technologie quantique, vérification hybride-classique | Science actuarielle, conformité |
| Vérification de l’efficacité | Tests et exercices de simulation d’attaques (red teaming) avec des scénarios quantiques, rapports au conseil d’administration | Audit interne |
Le tableau montre pourquoi cette question ne peut être résolue au sein d’un seul silo. Le service juridique se concentre sur le contrat, le service informatique sur l’algorithme, le service des risques sur la catégorie de données et la direction sur le budget. Dans ce contexte, briser les silos signifie disposer d’un inventaire unique, d’une feuille de route unique et d’un point de responsabilité unique.
Le marché de l’assurance connaît actuellement une réorganisation
À court terme, la souscription d’assurances cyber évolue. La « crypto-agilité » et la protection des données à longue durée de vie deviennent des facteurs de risque. Les assureurs qui maîtrisent leur propre migration sont mieux à même d’évaluer ces mêmes enjeux pour leurs clients, avec davantage de crédibilité.
À moyen terme, la concurrence portera sur les modèles. Ceux qui utiliseront des ordinateurs quantiques à correction d’erreurs pour calculer le capital avec plus de précision mobiliseront moins de fonds propres. Ceux qui détecteront plus tôt les fraudes et les réseaux de fraude réduiront leur taux de sinistralité. L’avantage reviendra à ceux dont les données seront prêtes dès que le matériel le sera.
Pour les clients, cela se traduira par une tarification plus personnalisée et moins de faux positifs dans le dépistage des fraudes, tout en bénéficiant du droit à des décisions transparentes.
Le courtier passe du statut d’intermédiaire à celui de décideur
Les courtiers sont directement connectés aux systèmes centraux des assureurs via des interfaces et gèrent eux-mêmes d’importantes bases de données clients. Pour l’assureur, chacune de ces interfaces fait partie de son inventaire cryptographique. Les questions relatives au chiffrement, aux certificats et aux plans de migration sont donc transmises aux courtiers.
Cela représente une opportunité. Un courtier capable d’évaluer le « niveau de préparation en matière de quantique » de ses entreprises clientes fournit aux assureurs de meilleurs profils de risque et offre à ses clients une meilleure couverture. Il ne se contente plus de vendre une couverture ; il vend une expertise.
Pour les assureurs, le processus se déroule en trois étapes
| Niveau | Horizon temporel | Application |
| Aujourd’hui | Phase NISQ, qubits sujets aux erreurs | Projets pilotes et méthodes hybrides : optimisation de portefeuille, analyse de graphes pour les réseaux de fraude, développement d’expertise. Aucun avantage avéré en termes de production. |
| À partir de 2028 environ | Premiers systèmes tolérants aux pannes comportant des centaines de qubits logiques | Modèles stochastiques de capital, constitution de provisions, optimisation des structures de réassurance |
| Par la suite | Des milliers de qubits logiques | Apprentissage automatique quantique dans la souscription et la gestion des sinistres, modèles de risques climatiques à haute résolution |
L’avantage quantique commence par des tests de base
Des discussions sont actuellement en cours concernant le développement d’un système de détection des fraudes basé sur la technologie quantique, baptisé Q-Fraud. La première étape de ce processus n’est pas liée à la technologie quantique. Elle consiste en un examen approfondi des données, des réseaux et de la gouvernance. Quelles sont les données disponibles, quelle est leur qualité, par quels canaux circulent-elles, qui en est responsable, et avec quelle rapidité et quelle fiabilité ces données peuvent-elles être analysées plus efficacement ?
C’est cette double approche que ce sujet exige. D’un côté, on examine les fondamentaux. De l’autre, on construit le modèle à partir de ceux-ci.
Quiconque établit l’inventaire cryptographique pour la FINMA pose ces mêmes bases. L’exigence de 2027 constitue la rampe de lancement pour l’avance de 2030.
Aperçu des questions et réponses
- Existe-t-il une jurisprudence relative à l’informatique quantique ? Non. La responsabilité est régie par l’article 716a CO, l’article 754 CO et l’article 8 de la LPD.
- Quel cadre de gouvernance est déjà en place ? La circulaire de surveillance FINMA n° 05/2026, la note d’orientation FINMA 2018/3, l’article 8 de la LPD; pour les entreprises de l’UE, le règlement DORA et le règlement délégué 2024/1774.
- Quels sont les projets de la Suisse et de l’UE ? La Suisse ne prévoit pas de loi spécifique. L’UE a annoncé une « Quantum Act » axée sur la recherche, l’industrie et les chaînes d’approvisionnement, et a adopté une feuille de route sur la cryptographie quantique post-quantique (PQC) à l’intention des États membres.
- D’ici quand ? FINMA: feuille de route d’ici mi-2027. UE: applications à haut risque d’ici fin 2030, applications à risque moyen d’ici fin 2035.
- En quoi les qubits logiques font-ils la différence ? Ils rendent les avantages quantiques dans les modèles de capital et l’optimisation exploitables dans la pratique, tout en permettant de contourner les systèmes de chiffrement actuels.
Une question reste sans réponse, et l’inventaire n’y apporte pas de réponse : lesquelles de vos données devront encore être gardées confidentielles en 2040 ?
TRANSFORMER LA RÉGLEMENTATION EN VALEUR !
Thomas Schubert, M. #DeedsCountMore
Voir également : L’angle mort des acquisitions : comment l’absence de GRC complique la vie
Recherche :
Sponsors :
