Assurance cyber : la clause IA de 2026 que personne ne lit

Votre contrat cyber a peut-être changé sans que vous l'ayez signé. Depuis le 1er janvier 2026, les assureurs ajoutent des clauses qui excluent — ou conditionnent — la prise en charge des sinistres liés à l'intelligence artificielle : attaque orchestrée par une IA, fraude par deepfake, erreur d'un agent autonome. Le mouvement est parti des États-Unis, il arrive en France par la réassurance, et il vise directement les PME qui ont déployé de l'IA sans relire leur police. Voici ce qui bouge, et ce qu'il faut vérifier avant votre prochain renouvellement.

« Silent AI » : la zone grise que les assureurs ferment en 2026

Jusqu'à fin 2025, la plupart des contrats ne disaient rien de l'IA. Ni couverte, ni exclue : les juristes appellent ça le silent AI. En cas de litige, tout se réglait au cas par cas, ce que les assureurs détestent. La réponse du marché est arrivée en bloc au 1er janvier 2026 avec trois nouveaux endossements ISO/Verisk sur la responsabilité civile générale : CG 40 47, CG 40 48 et CG 35 08. Le premier retire les dommages corporels, matériels et le préjudice personnel « découlant de l'IA générative » ; les deux autres déclinent l'exclusion sur des garanties plus ciblées.

Ces formulaires convertissent le silence en exclusion écrite. Et ce n'est qu'un début : mi-juillet 2026, Verisk a annoncé étudier de nouvelles exclusions visant l'IA agentique — les agents qui agissent seuls. Sur les lignes dirigeants, un assureur majeur, W.R. Berkley, est allé plus loin en introduisant une exclusion IA dite « absolue » couvrant la D&O (responsabilité des dirigeants), l'E&O (erreurs et omissions) et la responsabilité fiduciaire.

Pourquoi ça vous concerne, même en France ? Parce que les grandes tables de réassurance qui portent le risque cyber européen s'alignent sur ces standards. Quand un réassureur exclut l'IA en amont, l'assureur qui vous vend la police en aval finit par répercuter la clause. Le calendrier américain de janvier 2026 devient votre calendrier de renouvellement 2026-2027.

Deepfake et fraude au président : l'exclusion qui vise les PME

C'est le point le plus concret pour un dirigeant. La fraude au président — un faux ordre de virement au nom du patron — a changé de nature avec l'IA. Le pirate n'imite plus un style d'e-mail : il clone la voix en visio, reproduit le visage en visioconférence. En 2023, ce type de fraude coûtait en moyenne 150 000 € à une PME. Les acteurs de la détection chiffrent aujourd'hui les attaques « augmentées » par IA jusqu'à 2,5 M€ de perte moyenne sur les cibles les plus exposées — un chiffre issu de vendeurs d'outils, donc à prendre comme un ordre de grandeur, pas comme une statistique officielle.

Face à cette explosion, beaucoup d'assureurs ont modifié leur garantie « fraude » depuis janvier 2026. La règle qui s'installe : le deepfake est exclu, ou frappé d'une franchise très majorée, si l'entreprise ne dispose pas de « moyens de vérification biométrique ou procédurale renforcée ». Traduction : sans procédure de double validation des virements, un virement soutiré par une fausse visio de votre dirigeant peut ne pas être indemnisé.

Nous avions détaillé la mécanique de l'attaque dans notre guide sur la fraude au président par clonage vocal. Le sujet ici est différent : ce n'est plus « comment éviter l'attaque », c'est « qui paie quand elle réussit ». Et la réponse, en 2026, dépend de trois lignes écrites en petit dans vos conditions générales.

Assurance cyber en France : ce que couvre encore un contrat en 2026

Avant de parler d'exclusions, rappelons le socle. Une police cyber standard prend en charge deux blocs : les pertes propres (restauration des systèmes, interruption d'activité, négociation de rançon, gestion de crise) et la responsabilité envers les tiers (un client dont les données ont fuité par votre faute). S'y ajoute le volet RGPD : coûts de notification, frais juridiques, accompagnement CNIL.

Le décalage entre le risque et la couverture reste énorme. En France, 40 % des cyberattaques visent des PME, mais seules 18 % sont assurées. Le coût moyen d'un incident va de 50 000 à 250 000 €, et 60 % des PME touchées ne s'en relèvent pas dans les 18 mois. Un contrat cyber n'est pas un luxe : c'est souvent ce qui distingue une année difficile d'un dépôt de bilan.

Attention toutefois aux exclusions classiques, qui existaient bien avant l'IA : failles non corrigées alors qu'un correctif était disponible depuis plus de 90 jours, actes de cyberguerre étatique, négligence grave sur l'hygiène de sécurité de base, sinistres antérieurs à la souscription. L'exclusion IA vient s'empiler sur ces motifs de refus déjà bien rodés.

Combien coûte une assurance cyber pour une PME en France ?

Les fourchettes 2026 observées sur le marché :

• Micro-entreprise : 500 à 1 500 €/an pour 100 000 à 250 000 € de couverture.
• Petite PME : 1 500 à 4 000 €/an pour 250 000 € à 1 M€ de couverture.
• PME standard : 4 000 à 12 000 €/an pour 1 à 3 M€ de couverture.

Bonne nouvelle : déployer l'authentification multifacteur (MFA), tester ses sauvegardes chiffrées et documenter un plan de réponse à incident peut réduire la prime de 15 à 35 %. Ces mêmes mesures sont désormais souvent exigées à la souscription — pas d'MFA sur les accès distants, pas de contrat.

Le contre-exemple Dattak : quand l'IA reste dans le droit commun

Tout le marché ne durcit pas dans le même sens, et c'est la nuance la plus importante de ce dossier. Certains assureurs choisissent la couverture affirmative plutôt que l'exclusion. En France, Dattak a révisé ses conditions générales mi-juillet 2026 dans le sens inverse : franchise abaissée à 500 €, plafond porté à 20 M€, délai de carence ramené à 10 heures pour l'interruption d'activité.

Surtout, l'assureur a intégré l'IA dans le droit commun de la garantie cyber au lieu de l'exclure. Formulation reprise dans ses conditions : une attaque orchestrée par IA relève d'une intrusion classique, un système d'IA compromis est un composant du système d'information comme un autre, et une attaque autonome pilotée par une IA sans opérateur humain reste couverte. La cyberfraude élargie prend en charge les virements soutirés par deepfake, e-mail ou visioconférence usurpant l'identité du dirigeant.

La leçon n'est pas « Dattak est meilleur que Verisk ». C'est que le marché se scinde en deux doctrines opposées — exclusion sur les lignes responsabilité américaines, réintégration affirmative sur certaines cyber françaises — et que le seul document qui compte est le vôtre. Deux PME du même secteur peuvent avoir un traitement radicalement différent d'un même sinistre IA selon l'assureur signé.

Rester couvert : les conditions que les assureurs exigent désormais

Que vous soyez chez un assureur qui exclut ou qui couvre, les mesures qui vous protègent — et qui font baisser la prime — sont les mêmes :

• MFA sur tous les accès distants : c'est devenu un prérequis de souscription, pas une option.
• Sauvegardes 3-2-1 testées : trois copies, deux supports, une hors site, et une restauration réellement vérifiée.
• Double validation des virements : contre-appel sur un numéro connu, validation à quatre yeux au-delà d'un seuil, voire un « mot de passe de détresse » convenu à l'avance entre dirigeants — coût nul, efficacité redoutable contre un deepfake.
• Plan de réponse à incident documenté : qui appelle qui, dans quel ordre, avec quels prestataires.
• Correctifs sous 90 jours : au-delà, l'exclusion « faille non corrigée » s'applique, IA ou pas.

Comment vérifier si votre contrat exclut l'IA

Un contrat cyber fait 30 à 60 pages, et la clause qui compte tient en trois lignes. Ouvrez le PDF de vos conditions générales et cherchez les termes exacts : « intelligence artificielle », « IA générative », « generative AI », « deepfake », « silent », « endossement », « exclusion ». Repérez si ces mots apparaissent dans une section « exclusions » ou dans une section « garanties ». C'est toute la différence.

Pour aller vite sur un document long, un assistant IA fait le tri en quelques minutes : chargez le PDF de votre police dans Claude et demandez-lui de lister toutes les clauses mentionnant l'IA, le deepfake ou une franchise majorée, avec le numéro de page. Vous obtenez en une passe la cartographie de vos angles morts, à confronter ensuite avec votre courtier.

Sur la question voisine de « qui est responsable quand l'IA se trompe », nous avions posé le cadre juridique dans notre guide quand votre IA se trompe, qui paie la facture. L'assurance est l'autre moitié de la réponse : le droit dit qui est responsable, le contrat dit qui rembourse.

Ce qu'il faut retenir

Le silent AI se termine, et il se termine dans les deux sens. Sur les lignes de responsabilité (RC Pro, D&O, E&O), la tendance est à l'exclusion écrite depuis janvier 2026. Sur certaines polices cyber, notamment françaises, l'IA reste couverte, parfois mieux qu'avant. Entre les deux, un dirigeant qui n'a pas relu son contrat depuis 2024 navigue à l'aveugle. Si votre PME utilise de l'IA, expose ses dirigeants à un risque de deepfake, ou déploie des agents autonomes, la seule action qui compte cet été est de sortir vos conditions générales, de traquer le mot « IA » et d'appeler votre courtier avant l'échéance. Ça ne coûte rien. L'ignorer peut coûter un sinistre non indemnisé à six chiffres.