Un tour d'horizon du marché américain de l'assurance RC pro et cyber face à l'IA, et ce qu'il signifie pour les éditeurs SaaS et startups IA de ce côté-ci de l'Atlantique.
Depuis le début de l'année 2026, le marché de l'assurance américain vit une bascule discrète mais structurante. Pendant des années, l'intelligence artificielle générative s'est retrouvée couverte (ou pas) par accident dans les contrats d'assurance cyber. Une police d'assurance de responsabilité civile professionnelle (RC pro) ou une police d'assurance cyber classique, rédigée avant l'explosion des LLM, ne mentionnait tout simplement pas l'IA. Ni pour l'exclure, ni pour l'inclure. Ce vide s'appelle le « silent AI », et il touche aujourd'hui à sa fin.
Pour un courtier en assurance cyber comme Cyber Cover, ce mouvement mérite qu'on s'y attarde : le marché français et européen suit historiquement les mêmes trajectoires que le marché américain, avec quelques mois ou années de décalage. Ce qui se passe aujourd'hui à New York ou à Chicago sur les polices RC pro et cyber des sociétés tech est probablement ce qui se discutera demain dans les couloirs en France.
Silent AI : le point de bascule pour l'assurance cyber face à l'intelligence artificielle
États-Unis : la fin programmée du « silent AI »
Le précédent du « silent cyber »
Le terme n'est pas nouveau dans son principe. Avant que le cyber ne devienne une ligne d'assurance à part entière, les sinistres liés aux failles informatiques étaient réglés, ou contestés, au titre de polices généralistes qui n'avaient jamais été conçues pour ça. Il a fallu près d'une décennie, entre le milieu des années 2010 et le début des années 2020, pour que les assureurs ferment ce vide juridique : d'abord par des exclusions explicites dans les polices classiques, puis par l'émergence d'un marché cyber autonome, aujourd'hui pesé en dizaines de milliards de dollars de primes dans le monde.
C'est très exactement le même scénario qui se rejoue avec l'intelligence artificielle, sauf que le calendrier est comprimé : là où le cyber avait mis environ dix ans à sortir de l'ombre, plusieurs experts du secteur estiment que l'IA fait le même chemin en 18 à 24 mois.
Le déclencheur réglementaire : les formulaires ISO de janvier 2026
Le point de bascule concret a un nom et une date. Le 1er janvier 2026, l'ISO (Insurance Services Office), l'organisme qui rédige les formulaires standardisés utilisés par une grande partie du marché américain de l'assurance dommages, a mis en circulation trois nouveaux avenants d'exclusion pour l'IA générative dans les polices de responsabilité civile générale (CGL) : CG 40 47, CG 40 48 et CG 35 08. Ces textes donnent aux assureurs un langage juridique prêt à l'emploi pour exclure explicitement les sinistres liés à l'IA générative de leurs contrats.
Il faut être précis sur ce que ça signifie : le dépôt de ces formulaires donne aux assureurs le droit de les utiliser, pas l'obligation. Certains y voient déjà un signal fort. D'autres, dans un marché de la RC pro plutôt « soft » (favorable à l'acheteur, avec beaucoup de capacité disponible), hésitent à ajouter de la friction commerciale en limitant leur offre, au risque de perdre des clients face à des concurrents moins restrictifs.
Source : Fenwick : The End of 'Silent AI'? Emerging AI Exclusions, Coverage Fragmentation
Une fragmentation plus qu'une clarification
Le cabinet d'avocats américain Fenwick, qui suit ce dossier de près pour ses clients technologiques, insiste sur un point important : le résultat de ce mouvement n'est pas une clarification du marché, mais une fragmentation. Le risque IA est traité différemment selon qu'on regarde une police cyber, une police Tech E&O (RC pro technologique), une police D&O (responsabilité des dirigeants). Chaque ligne d'assurance restreint sa couverture IA de façon indépendante, ce qui crée des « trous » dans la tour d'assurance globale d'une entreprise : un sinistre lié à l'IA peut tomber entre deux polices, chacune renvoyant la responsabilité vers l'autre.
Autre point de vigilance signalé par Fenwick : cette érosion de couverture se fait souvent en silence, via des définitions resserrées ou des formulations révisées, plutôt que par une exclusion unique et visible en première page. Un examen superficiel de la police, qui se contenterait de vérifier l'absence d'un article intitulé « exclusion IA », peut donc passer à côté du problème.
France : un calendrier réglementaire différent, un risque déjà bien réel
Le marché français de l'assurance cyber n'a pas, à ce jour, d'équivalent direct aux formulaires ISO CG 40 47 et CG 40 48 : la standardisation des exclusions IA n'existe pas encore sous cette forme chez nous, et le calendrier réglementaire diffère forcément de celui des États-Unis. Mais le sujet n'est plus théorique pour autant. De plus en plus d'entreprises françaises intègrent l'IA dans leurs outils, leurs processus internes ou leurs produits, souvent plus vite que leurs contrats d'assurance cybersécurité n'évoluent pour en tenir compte. Beaucoup d'entre elles utilisent aujourd'hui l'IA au quotidien sans savoir précisément si une attaque ou un incident impliquant cette IA serait couvert par leur police actuelle.
Ce vide sur le risque IA ne doit pas masquer un autre mouvement réglementaire, bien réel celui-là : la transposition de la directive européenne NIS2 en droit français, portée par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, attendue en 2026. Elle va multiplier par une trentaine le nombre d'entités françaises soumises à des obligations de gestion du risque cyber et de notification d'incidents à l'ANSSI. Plusieurs assureurs commencent d'ores et déjà à intégrer le niveau de conformité NIS2 comme critère de souscription. Pour une entreprise tech, la question de la couverture IA et celle de la conformité NIS2 sont donc appelées à se recouper de plus en plus étroitement.
Assurance cyber et RC pro face au risque IA : qui exclut, qui couvre, qui hésite ?
États-Unis : exclusions, sous-limites et débat en coulisses
Des exclusions « absolues » chez plusieurs grands assureurs
Plusieurs grands assureurs américains, dont Berkley, Chubb ou Travelers, ont déjà introduit ou obtenu l'autorisation d'introduire des exclusions spécifiques liées à certains risques d'IA. Le marché reste toutefois partagé, certains préférant développer des garanties dédiées plutôt que d'exclure ces risques.
Un traitement différent côté assurance cyber pure
Le tableau est différent sur les polices cyber au sens strict. Selon des informations rapportées par le Financial Times, des assureurs comme Beazley ou QBE n’excluent pas le risque IA : ils introduisent plutôt des sous-limites, de l'ordre de 10 % de la limite totale de la police, sur des sinistres précis liés à l'IA. QBE cible par exemple le « LLM jacking » (le détournement d'un modèle de langage d'entreprise pour en contourner l’usage), tandis que Beazley travaille sur des restrictions ciblant les sanctions réglementaires liées à un usage fautif de l'IA.
Cette approche, plus mesurée qu'une exclusion pure, traduit une réalité opérationnelle : un assureur cyber a plus de mal à séparer proprement « attaque classique » et « incident lié à l'IA » qu'un assureur RC pro ne peut isoler une « faute professionnelle liée à l'IA ».
Pourquoi certains assureurs résistent à l'exclusion pure
Tout le marché n'est pas aligné sur la même stratégie, et c'est peut-être le point le plus intéressant pour comprendre où va la situation. Selon des sources citées par le média spécialisé Insurance Insider, plusieurs (ré)assureurs américains n'utilisent pas activement, à ce jour, les exclusions qu'ils ont pourtant déposées auprès des régulateurs. Le dépôt d'un formulaire d'exclusion donne un droit d'usage, pas une obligation, et dans un marché de la RC pro toujours en phase de ramollissement (plus de capacité que de demande), restreindre son offre reste commercialement risqué.
Un souscripteur senior basé au Royaume-Uni, cité par Insurance Insider, pointe une limite technique aux formulaires actuels : ils visent surtout les chatbots et l'IA générative « classique ». Ils ne couvrent en revanche pas efficacement les agents IA autonomes, pourtant la catégorie de déploiement qui croît le plus vite en 2026, et celle qui a posé les questions d'attribution de responsabilité les plus délicates, dans des affaires comme celle du chatbot d'Air Canada.
Tristan Fletcher, dirigeant de la société ChAI, résume le dilemme : l'IA est aujourd'hui tellement intégrée dans les opérations d'une entreprise que l'exclure proprement d'une police revient, dans bien des cas, à exclure une part significative de l'activité elle-même.
L'article souligne enfin un risque stratégique pour les assureurs qui choisiraient la voie de l'exclusion pure : céder du terrain face à des concurrents qui, eux, construisent une offre affirmative (une couverture IA explicitement accordée plutôt que niée), et qui pourraient s'imposer comme les acteurs de référence sur ce segment à mesure que la demande des entreprises augmente.
Source : Insurance Insider : Is the market headed towards a second silent cyber problem with AI?
France : pas d'équivalent aux formulaires ISO, mais une exposition qui grandit
C'est précisément là que se situe le risque : le risque cyber lié à l'IA est croissant, les cas d'usage se multiplient, mais la couverture d'assurance cyber, elle, n'a pas toujours suivi. Une entreprise peut ainsi se retrouver en première ligne face à une attaque cyber impliquant de l'IA, vol de données d'entraînement, détournement d'un agent IA, faille dans un outil tiers basé sur un modèle de langage, sans certitude que son assurance cyber couvre ce type de sinistre. À l'image de ce qui s'est produit avec le « silent cyber » il y a une dizaine d'années, les assureurs présents sur le marché français de l'assurance cyber vont devoir se positionner rapidement : soit en clarifiant explicitement ce qui est couvert au titre du risque IA, soit en développant une offre affirmative dédiée à l'assurance cyber risques liés à l'intelligence artificielle.
Sinistres cyber liés à l'IA : des dossiers concrets, une vigilance à adopter
États-Unis : quatre dossiers qui structurent déjà le marché
Ce qui distingue 2026 des années précédentes, c'est que le risque IA n'est plus un sujet purement hypothétique pour les souscripteurs. Un travail d'enquête mené auprès de six assureurs américains recense désormais quatre dossiers qui structurent concrètement la façon dont le marché évalue et tarife le risque IA, dont trois portent directement sur un usage de l'intelligence artificielle :
- Bartz v. Anthropic : un litige sur la provenance des données d'entraînement, résolu par un accord d'environ 1,5 milliard de dollars entre Anthropic et un collectif d'auteurs.
- Moffatt v. Air Canada : l'affaire, désormais emblématique, d'un chatbot ayant fourni une information erronée à un client, avec la question de savoir qui, de la compagnie ou de l'outil, porte la responsabilité de la promesse tenue.
- Mobley v. Workday : un dossier centré sur un système de recrutement piloté par IA accusé de discrimination algorithmique.
- L'incident cyber Hasbro du premier trimestre 2026 : un cas qui n'est pas à proprement parler lié à l'IA, mais qui chiffre concrètement ce que coûte un sinistre cyber pour une entreprise cotée : l'entreprise a annoncé à ses investisseurs environ 20 millions de dollars de coûts de remédiation, et entre 40 et 60 millions de dollars de revenus décalés, sans certitude sur la part de ces montants qui sera finalement couverte par l'assurance.
Ce dernier point mérite d'être souligné pour des lecteurs français : même lorsqu'une entreprise dispose d'une police en vigueur au moment du sinistre, la question de ce qui sera effectivement remboursé se règle contre des clauses en pleine réécriture. Autrement dit, la couverture n'est jamais automatique : elle s'apprécie contrat par contrat, au moment du sinistre.
Les assureurs demandent désormais une gouvernance IA documentée, comprenant notamment une supervision humaine, une traçabilité des données et des procédures de contrôle.
Source : EPC Group : Silent AI Is Dead: What Six Carriers Told Me About Your 2026 Renewal
Le regard de Cyber Cover
Ce type de dossier remonte déjà dans nos échanges avec les entreprises tech que nous accompagnons chez Cyber Cover. La question n'est plus de savoir si un incident impliquant l'IA peut survenir, mais si la police en place répond présent le jour où il survient. C'est précisément ce que nous vérifions, garantie par garantie, lors de chaque audit de police d’assurance.
France : une couverture qui ne doit jamais être présumée
Aucun dossier français comparable à Bartz v. Anthropic ou Moffatt v. Air Canada n'a, à ce jour, fait l'objet d'une médiatisation équivalente. Mais l'absence de jurisprudence ne doit pas être confondue avec l'absence de risque : une entreprise française peut se retrouver en première ligne face à une attaque cyber impliquant de l'IA, vol de données d'entraînement, détournement d'un agent IA, faille dans un outil tiers basé sur un modèle de langage, sans certitude que son assurance cyber couvre ce type de sinistre. La couverture ne doit jamais être présumée : elle s'apprécie contrat par contrat.
Ce que ça change concrètement pour une entreprise tech
États-Unis : surcoût de prime et confusion RC pro / IA
Un surcoût de prime déjà mesurable
Au-delà du débat réglementaire, l'impact se traduit très concrètement dans les factures. Selon des données de souscription et des points de repère de courtiers compilés par SeedPod Cyber, les entreprises technologiques et les éditeurs SaaS paient aujourd'hui entre 40 % et 88 % de plus que la moyenne nationale des PME américaines pour leur couverture cyber, en raison de la sensibilité de leurs données, de leur exposition contractuelle vis-à-vis de leurs clients, et de la fréquence des sinistres dans cette catégorie.
Ce même travail souligne que la variable qui pèse le plus sur le tarif, après le chiffre d'affaires, reste la posture de sécurité de l'entreprise et la clarté de ses clauses contractuelles de limitation de responsabilité. Les sociétés capables de documenter des contrôles précis paient sensiblement moins cher que des concurrents de taille identique qui ne le font pas.
Pour les produits qui intègrent de l'IA ou du machine learning, les souscripteurs veulent désormais voir une documentation précise sur quatre points :
- l'origine et la qualité des données d'entraînement ;
- les processus de validation et de test des modèles ;
- les tests de biais et leur traçabilité ;
- les capacités d'explicabilité pour les sorties à fort enjeu.
Les entreprises qui peuvent démontrer une gouvernance structurée obtiennent des conditions nettement meilleures que celles qui ne le peuvent pas.
Source : SeedPod Cyber : Insurance for Tech Companies: Cyber, Tech E&O, and What Underwriters Actually Require
RC pro classique vs couverture IA : la confusion fréquente
Un point de pédagogie revient souvent dans les échanges avec les souscripteurs américains, et il est probablement tout aussi mal compris côté français : une police de RC pro technologique (Tech E&O) « générique » couvre en priorité les bugs dans du code écrit par des humains. Elle exclut fréquemment, de façon implicite ou explicite, les erreurs générées par un modèle d'IA, à moins que l'entreprise n'ait négocié un avenant spécifique, souvent désigné comme un « AI and Algorithmic Liability Endorsement ». Autrement dit, une entreprise qui pense être couverte parce qu'elle a souscrit une RC pro technologique classique peut avoir une désagréable surprise le jour où un client lui reproche une réponse erronée générée par son assistant IA.
Source : Bridges : Best Cyber Insurance for B2B SaaS & AI Startups (2026)
France : trois enseignements transposables dès aujourd'hui
Trois enseignements semblent transposables dès aujourd'hui pour une entreprise tech ou un « décideur assurance cyber » en France :
- Ne pas présumer d'une couverture silencieuse. Une police RC pro ou d'assurance cyber qui ne mentionne pas l'IA ne l'exclut pas nécessairement, mais ne la couvre pas non plus de façon garantie. Le sujet mérite d'être posé explicitement au moment du renouvellement.
- La documentation de gouvernance IA devient un actif pour l'assurance cyber. Les entreprises américaines qui obtiennent les meilleures conditions tarifaires sont celles qui peuvent démontrer des contrôles précis (traçabilité des données, tests de biais, supervision humaine), pas seulement celles qui ont le budget le plus élevé.
- Les agents IA autonomes sont le prochain point aveugle du risque cyber. Les formulaires d'exclusion actuels, calibrés sur les chatbots et l'IA générative « classique », ne traitent pas clairement le cas des agents capables d'agir de façon autonome, un segment que le marché américain identifie déjà comme sa prochaine zone de friction pour l'assurance cyber.
C'est là tout l'intérêt de passer par un courtier spécialisé en cyber assurance comme Cyber Cover : identifier précisément où se situent les trous de couverture dans un contrat existant, comparer les offres des assureurs qui commencent à se positionner sur le risque IA, et négocier un contrat d'assurance cyber réellement adapté à l'usage de l'IA par l'entreprise, plutôt que de découvrir, au moment d'un sinistre, que la police souscrite ne couvrait pas ce risque. Un courtier spécialisé permet aussi de défendre les intérêts de l'entreprise à tout moment, y compris lors de la déclaration et de la gestion d'un sinistre, là où un contrat mal négocié peut se retourner contre l'assuré au pire moment.
Questions fréquentes sur l'assurance cyber et l'intelligence artificielle
Qu'est-ce que le « silent AI » en assurance ?
C'est l'équivalent, pour l'intelligence artificielle, du « silent cyber » qu'a connu le marché il y a une dizaine d'années : des polices RC pro ou cyber rédigées avant l'essor de l'IA générative, qui ne la mentionnent ni pour l'exclure ni pour la couvrir explicitement. Le sinistre survient, mais la couverture reste incertaine.
Une police RC pro classique couvre-t-elle un sinistre lié à l'IA ?
Pas nécessairement. Une police RC pro technologique (Tech E&O) « générique » couvre en priorité les bugs dans du code écrit par des humains, et exclut souvent, de façon implicite ou explicite, les sorties générées par un modèle d'IA, sauf avenant spécifique négocié avec l'assureur.
Les entreprises françaises sont-elles concernées par les exclusions IA américaines ?
Pas directement : il n'existe pas, à ce jour, d'équivalent français aux formulaires ISO CG 40 47 et CG 40 48. Mais le marché français suit historiquement les mêmes trajectoires que le marché américain avec un décalage de quelques mois à quelques années, et le risque cyber lié à l'IA, lui, est déjà bien réel en France.
Comment savoir si mon contrat d'assurance cyber couvre le risque IA ?
Le sujet mérite d'être posé explicitement à l'assureur ou au courtier au moment du renouvellement, plutôt que présumer. L'absence de mention de l'IA dans une police ne signifie ni qu'elle est exclue, ni qu'elle est couverte : la réponse s'apprécie contrat par contrat.
Qu'est-ce qu'un « AI and Algorithmic Liability Endorsement » ?
C'est un avenant spécifique que certaines entreprises technologiques américaines négocient pour étendre leur police RC pro technologique (Tech E&O) aux réclamations liées aux sorties générées par un modèle d'IA, un risque qu'une police Tech E&O générique ne couvre pas toujours par défaut.
Sources : Fenwick, EPC Group, Insurance Insider, SeedPod Cyber, Bridges.
Cet article synthétise et reformule des analyses publiées sur le marché américain de l'assurance ; il ne constitue pas un conseil juridique ou assurantiel.
