Questionnaire d'assurance cyber : que répondre sur l'IA

Le renouvellement arrive avec son questionnaire, ou le courtier vous en envoie un premier pour souscrire. Entre-temps, une partie de l’équipe s’est mise à l’IA générative. Le contrat lui-même, garanties et exclusions, a sa propre page sur l’assurance cyber des PME. Ici, on parle du formulaire que vous signez.

Ce formulaire devient la base du contrat. Une réponse fausse sur vos outils pèse le jour du sinistre, pas le jour de la signature. Si vous n’avez encore aucune règle écrite sur l’IA, le modèle de charte IA vous évitera de répondre dans le vide.

Questions sur l’intelligence artificielle dans le questionnaire de souscription : où elles se cachent

Le 16 septembre 2026, nous avons ouvert quatre questionnaires cyber français librement téléchargeables, un d’assureur, un de Gan diffusé par un courtier et deux de courtiers, et cherché « intelligence artificielle », « IA » et « ChatGPT ». Aucune occurrence. Le questionnaire Hiscox, relu le 8 novembre 2026, n’en contient toujours pas.

Ce silence ne vous dispense de rien. Un compte d’IA générative est un service en ligne auquel vos salariés se connectent à distance, et vers lequel partent des documents. Ce qu’il advient de ces documents dépend de l’offre, comme le montrent les réglages de confidentialité de ChatGPT.

Avec Copilot, la question de l’accès à distance vise le compte Microsoft 365, et les quatre Copilot n’ont pas les mêmes règles. Dans le tableau, la ligne surlignée est celle que je vérifierais en premier : c’est la plus facile à cocher de travers.

Obligation de déclaration (article L113-2) : répondre à ce qui est demandé

L’article L113-2 du Code des assurances oblige l’assuré à « répondre exactement aux questions posées par l’assureur, notamment dans le formulaire de déclaration du risque ». Le texte vise les questions posées. Il ne vous demande pas de dresser l’inventaire de tout ce qui pourrait intéresser l’assureur.

Deux erreurs opposées guettent. La première consiste à cocher vite, sans compter les comptes d’IA ouverts à titre personnel pour le travail. La seconde, à noircir la marge de commentaires défensifs que personne n’a demandés. Celle-là m’agace : chaque phrase ajoutée est une déclaration de plus, donc une occasion de plus d’être inexact.

Avant de répondre, il faut savoir ce qui sort. Notre guide sur ChatGPT et les données de clients au regard du RGPD aide à faire cet état des lieux sans y passer la semaine.

Fausse déclaration : nullité (L113-8) ou réduction proportionnelle (L113-9)

Si l’assureur prouve une fausse déclaration intentionnelle qui change l’objet du risque ou en diminue l’opinion, l’article L113-8 rend le contrat nul. Même si l’élément caché n’a joué aucun rôle dans le sinistre. Les primes payées restent acquises à l’assureur.

Quand la mauvaise foi n’est pas établie, l’article L113-9 prend le relais. Découverte avant tout sinistre, l’inexactitude mène à une hausse de prime acceptée par l’assuré ou à une résiliation, dix jours après une lettre recommandée. Découverte après, elle réduit l’indemnité en proportion des primes.

Votre courtier remplit parfois le questionnaire à votre place. Le formulaire Hiscox le prévoit : vous déclarez exacts les renseignements, de votre main « ou de celle de [votre] mandataire ». En signant, vous faites vôtres ses réponses. Relisez ce qu’il a coché, d’autant que les courtiers traitent eux-mêmes beaucoup de données de clients.

Question précise : ce que la jurisprudence exige de l’assureur

L’assureur ne peut pas tout reprocher. La Médiation de l’assurance rappelle que, selon la jurisprudence de la Cour de cassation, la fausse déclaration ne peut être opposée qu’à condition de démontrer une réponse erronée à une question précise.

Dans un dossier d’assurance emprunteur publié par la Médiation, des déclarations de santé pré-imprimées, sans place pour des réserves, n’ont pas permis d’établir l’intention : la nullité a été écartée. Bonne nouvelle pour l’assuré. Mauvaise idée d’en faire une stratégie : une question floue vous protège moins d’un litige qu’elle ne le déplace.

La précision joue aussi pour vous. Plus la question est nette, plus votre réponse doit l’être, et plus elle se défend. Les pièces qui la soutiennent, mieux vaut les nettoyer avant envoi : un texte masqué dans un Word reste dans le fichier.

MFA, sauvegardes, données envoyées : rédiger ses réponses sur l’IA

Si votre questionnaire de renouvellement pose une question directe sur l’IA générative, restez factuel : quels outils, quels comptes, quelles données autorisées, quelle règle écrite. La CNIL recommande justement une liste d’usages autorisés et interdits, par exemple « ne pas fournir de données personnelles au système ».

Elle demande aussi de savoir dans quelle mesure le prestataire peut réutiliser les données fournies. C’est la ligne que je ne laisserais jamais en blanc. Chez Google, par exemple, des réviseurs humains peuvent lire certaines conversations Gemini, et mieux vaut le savoir avant de répondre.

Ne citez pas le guide de l’ANSSI sur l’IA générative comme référentiel appliqué. Publié le 29 avril 2024, il traite l’architecture d’un système d’IA et exclut expressément de son périmètre la vie privée et la protection des données personnelles.

Pour les sauvegardes, ne mélangez pas tout. La question porte sur vos données et vos systèmes ; l’historique stocké chez l’éditeur n’en fait pas partie. Avant de joindre la charte, videz ses propriétés : un fichier enregistré garde le nom de son auteur.

Même méthode face au questionnaire sécurité d’un client. S’il s’agit d’une mairie, ses exigences viennent du marché public, et ce qu’une collectivité exige d’un prestataire sur l’IA va souvent plus loin que l’assureur.

Le banc de questions sur l’IA : le texte à recopier

Dix entrées, chacune avec sa réponse et sa pièce. Chaque question est reprise telle qu’elle figure dans le formulaire cité, sans reformulation, puisque c’est la formulation exacte qui fixe ce que vous devez déclarer. Les crochets se remplissent ; toute phrase qui ne décrit pas votre situation se supprime.

BANC DE QUESTIONS SUR L'IA
Questionnaire d'assurance cyber et questionnaire sécurité client
[Nom de la structure], version [numéro] du [date]

1. « Si pertinent, avez-vous recours à la vérification en deux
   étapes pour gérer les accès à distance (par exemple, Gsuite
   ou Office 365) ? » (Hiscox CyberClear)
   Réponse : Oui pour [messagerie, Microsoft 365]. Comptes
   d'IA : [oui sur les [n] comptes] / [non sur [n], activation
   le [date]].
   À joindre : la liste des comptes.

2. « Quelles sont les fonctions informatiques externalisées ?
   Nom du fournisseur de service. » (Gan Cyber Risques)
   Réponse : [liste existante]. S'y ajoute [nom du service
   d'IA], [n] comptes professionnels, pour [rédaction,
   synthèse].
   À joindre : la liste des outils autorisés.

3. « Vous utilisez un service de cloud computing ou Software
   as a service ? » (Gan Cyber Risques)
   Réponse : Oui. [Liste.] Y compris [nom du service d'IA].
   Le prestataire [réutilise / ne réutilise pas] les contenus
   pour entraîner ses modèles, selon [référence de l'offre].
   À joindre : la page de l'offre souscrite.

4. « Vos données et systèmes font-elles l'objet d'une
   sauvegarde hebdomadaire testée et débranchée [...] ? »
   (extrait, Hiscox CyberClear)
   Réponse : [Oui / Non], pour nos systèmes. L'historique
   conservé chez l'éditeur d'IA n'en fait pas partie.
   À joindre : le dernier test de restauration.

5. « Une charte informatique est rédigée et est annexée au
   règlement intérieur de l'entreprise. » (Yes Assurances)
   Réponse : Oui, version du [date]. Elle interdit de saisir
   dans un outil d'IA des données personnelles de clients non
   remplacées.
   À joindre : la charte, propriétés du fichier vidées.

6. « L'ensemble du personnel reçoit une formation ou une
   sensibilisation aux cyber-risques. » (Yes Assurances)
   Réponse : Oui. Dernière séance le [date], [n] personnes sur
   [n], volet IA générative compris.
   À joindre : la feuille d'émargement.

7. « L'entreprise externalise le stockage de ses applications
   ou de ses données auprès d'une société spécialisée
   (datacenter, hébergeur de données, cloud...). »
   (Yes Assurances)
   Réponse : [Oui / Non]. Les contenus soumis à [nom du service
   d'IA] [sont / ne sont pas] conservés par le prestataire.
   À joindre : l'extrait de contrat.

8. « Avez-vous connaissance d'événements ou circonstances
   pouvant donner lieu à la mise en jeu de la garantie ? »
   (Hiscox CyberClear)
   Réponse : [Non] / [Oui : le [date], un dossier client collé
   par erreur dans un assistant d'IA ; mesures prises.]
   À joindre : la fiche d'incident interne.

9. « Avez-vous un délégué à la protection des données (DPD)
   ou un responsable de la sécurité de l'information ? »
   (Hyalin Pro Cyber)
   Réponse : [Oui / Non]. [Fonction] tient la liste des outils
   d'IA autorisés.
   À joindre : l'article de la charte qui le désigne.

10. Vos salariés saisissent-ils des données de clients dans un
    service d'IA générative ? (formulation type, si votre
    questionnaire la pose)
    Réponse : [Non : notre charte du [date] l'interdit sans
    remplacement préalable] / [Oui : le service, le compte,
    les données].
    À joindre : la charte et la liste des outils.

Plusieurs crochets se remplissent d’eux-mêmes si vous tenez déjà la liste d’outils prévue par notre modèle de charte IA. Les entrées que votre formulaire ne pose pas ne se déclarent pas spontanément : l’article L113-2 vise les questions posées.

Renouvellement : déclarer un nouvel usage de l’IA en cours de contrat

L’article L113-2 impose de déclarer, dans les quinze jours, les circonstances nouvelles qui aggravent le risque ou en créent un nouveau, et rendent vos réponses « inexactes ou caduques ». Par lettre recommandée ou envoi recommandé électronique : un courriel au courtier ne respecte pas cette forme.

Mieux vaut un recommandé de cinq lignes qu’une découverte par l’expert après sinistre. Et si le nouvel usage s’accompagne d’une fuite vers un outil, la notification à la CNIL a ses propres 72 heures.

Litige sur une fausse déclaration : la Médiation de l’assurance

L’assureur refuse un sinistre en invoquant une réponse inexacte ? Commencez par une réclamation écrite à son service client, en citant la question exacte et votre réponse. Tout part de là, y compris la discussion sur la précision de la question. Je joindrais le questionnaire signé lui-même, page de déclaration comprise.

La Médiation de l’assurance peut être saisie gratuitement après cette réclamation, si la réponse ne vous satisfait pas ou au bout de deux mois sans réponse. Sa charte vise « tout consommateur, assuré ou bénéficiaire » : pour un contrat d’entreprise, vérifiez dans vos conditions générales quel médiateur est désigné.

Une ligne sur l’autre condition qui coûte des indemnités : après une cyberattaque, la plainte sous 72 heures de l’article L12-10-1 est détaillée sur notre page consacrée au contrat.

Avant d’envoyer le questionnaire cyber : les données qui partent vers l’IA

Une réponse exacte décrit ce qui se passe. Elle ne réduit pas le risque. Ce qui le réduit, c’est que les noms, NIR et IBAN de vos clients n’atteignent jamais l’outil d’IA. Votre réponse sur les « données personnelles fournies au système » devient alors simple à écrire, et vraie.

C’est la tâche de Nonimo : remplacer sur votre poste les données de clients par des étiquettes avant l’envoi à une IA, pour que la case du questionnaire décrive une règle tenue plutôt qu’une intention. Collez ci-dessous un extrait de dossier pour voir ce qui partirait tel quel.

Pour une structure entière, la page organisations explique comment le remplacement se déploie sur tous les postes.

Si vous remplissez ces questionnaires pour plusieurs clients, la page partenaires décrit notre façon de travailler avec les cabinets.

Face à un refus de garantie déjà notifié, faites relire la question litigieuse et votre réponse par un avocat.

Sources

• Code des assurances, article L113-2 (Légifrance) : répondre exactement aux questions posées ; circonstances nouvelles déclarées sous quinze jours, par recommandé.
• Code des assurances, article L113-8 (Légifrance) : nullité pour fausse déclaration intentionnelle, primes acquises. L’article L113-9 (réduction proportionnelle) se consulte au même endroit.
• Médiation de l’assurance, « La sincérité et l’exactitude des déclarations sont appréciées selon les questions posées » : exigence d’une question précise ; déclarations pré-imprimées sans réserve possible.
• Médiation de l’assurance, charte du Médiateur : saisine gratuite par le consommateur, réclamation écrite préalable, délai de deux mois.
• Hiscox, questionnaire de souscription Assurance Cyber, simplifié U50 : vérification en deux étapes, sauvegarde, données sensibles, enquête CNIL, circonstances connues, rappel de L113-8 et L113-9.
• Gan Cyber Risques sur mesure, questionnaire diffusé par BLG Assurances : fonctions informatiques externalisées et nom du fournisseur, cloud et SaaS.
• Yes Assurances, formulaire de déclaration de risque Cyber Secure : charte informatique annexée au règlement intérieur, sensibilisation du personnel, stockage externalisé.
• Hyalin, questionnaire Pro Cyber, version 06_2020 : délégué à la protection des données ou responsable de la sécurité de l’information.
• CNIL, « Comment déployer une IA générative ? », 18 juillet 2024 : liste d’usages autorisés et interdits, réutilisation des données par le prestataire.
• ANSSI, Recommandations de sécurité pour un système d’IA générative, 29 avril 2024 : guide d’architecture, qui exclut la protection des données personnelles de son périmètre.

Consulté le 8 novembre 2026.