Les trois autorités européennes de supervision financière ont pris une position rare : soutenir publiquement une alerte du Comité européen du risque systémique (ESRB) sur les cyberrisques liés à l'intelligence artificielle. Une annonce qui concerne directement les entreprises françaises et leur assurance professionnelle, à l'heure où la cybermenace progresse plus vite que la préparation des TPE-PME. Explications.
Ce que dit l'alerte de l'EIOPA et de l'ESRB
Dans un communiqué conjoint, l'EIOPA (l'autorité européenne de supervision des assurances), aux côtés de l'EBA et de l'ESMA, indique accueillir et soutenir l'alerte publiée par le Comité européen du risque systémique (ESRB) sur les risques cyber posés par les modèles d'intelligence artificielle les plus avancés. L'ESRB précise sa cible dans son propre communiqué : ces « frontier AI models » désignent des modèles d'IA avancés capables d'affecter significativement la manière dont des cyberattaques peuvent être menées ou contrées.
Le niveau d'alerte n'est pas anodin : le Conseil général de l'ESRB a relevé son évaluation du risque cyber systémique au niveau « sévère », contre « élevé » lors de son évaluation précédente. Selon l'ESRB, ces outils d'IA donneraient un avantage aux acteurs malveillants pour découvrir des vulnérabilités et exécuter des cyberattaques plus rapides, plus larges et plus sophistiquées qu'auparavant. L'ESRB pointe également un facteur structurel de vulnérabilité : la forte concentration des principaux fournisseurs d'IA en dehors de l'Union européenne, source de dépendance stratégique et de risque géopolitique pour le continent.
Sur cette base, les autorités européennes de supervision formulent deux recommandations concrètes : elles appellent les entités financières à adapter leurs capacités de cybersécurité, et invitent les autorités de contrôle nationales à intégrer ces évolutions dans leurs activités de supervision. L'ESRB, de son côté, insiste sur la nécessité d'une réponse collective associant fournisseurs d'IA, éditeurs de logiciels, entreprises de sécurité, institutions financières et autorités nationales et européennes — une note technique détaillée a été publiée en complément sur le site de l'ESRB.
Comprendre le risque cyber « systémique » lié à l'IA
Cette alerte s'inscrit dans un cadre réglementaire déjà en vigueur : le règlement européen sur la résilience opérationnelle numérique, dit DORA. Son texte pose un principe général, disponible sur EUR-Lex : les entités financières devraient disposer de capacités globales permettant une gestion solide et efficace du risque lié aux TIC. Ce règlement s'applique à partir du 17 janvier 2025 pour la plupart des dispositions concernant la gestion du risque lié aux TIC. C'est précisément dans ce cadre que les autorités européennes de supervision demandent aux entités financières d'agir, en identifiant et en atténuant ces risques conformément aux exigences de ce règlement.
Ce cadre impose déjà aux entités financières de déclarer leurs incidents numériques majeurs aux autorités de supervision, une remontée d'informations qui doit permettre, avec le recul, de mesurer précisément la part que représentent les incidents d'origine cyber par rapport aux autres pannes ou dysfonctionnements informatiques. Ces déclarations montrent que le risque cyber n'est qu'une composante du risque numérique global, mais une composante que les autorités jugent en forte évolution avec la diffusion de l'IA générative.
⚠️ Ce que l'alerte ne dit pas
Ni l'EIOPA ni l'ESRB ne chiffrent, à ce stade, un coût économique global des cyberattaques assistées par IA, ni une évolution mesurée des primes d'assurance cyber liée à cette alerte. Il s'agit d'un signal de vigilance réglementaire et d'une invitation à l'action, pas d'une évaluation chiffrée du risque financier pour les entreprises.
Le contexte : la cybermenace vue depuis la France
En France, cette alerte européenne fait écho à une réalité déjà documentée par les autorités et organismes publics. Le Groupement d'intérêt public Cybermalveillance.gouv.fr constate une nette dégradation du climat de menace pour les petites structures : 43% [des TPE-PME victimes] ont déclaré que ces attaques étaient liées à l'hameçonnage (contre 24% en 2024), et à l'échelle de tous les publics confondus, l'hameçonnage progresse de 70%, restant la première cybermenace tous publics confondus. Plus préoccupant encore pour les entreprises, les fraudes au virement, en constante augmentation pour tous les publics depuis des années, s'intensifient (+170%), tandis que les demandes d'assistance liées aux violations de données ont augmenté de 107%. Au total, Cybermalveillance.gouv.fr indique avoir assisté plus de 500 000 victimes en 2025, en hausse de 20% par rapport à 2024.
Or la préparation des petites structures reste très inégale. D'un côté, 44% [des TPE-PME] se pensent fortement exposées [aux cyberrisques], en hausse de 6 points par rapport à 2024, et 16% des entreprises interrogées déclarent avoir été victimes d'un ou plusieurs incidents [de cybersécurité] au cours des 12 derniers mois. De l'autre, le budget consacré à la protection reste limité : trois quarts des TPE-PME investissent moins de 2 000 € par an [en cybersécurité], même si 15% prévoient de faire évoluer ce budget à la hausse, soit 5 points de plus [qu'en 2024]. Un décalage se dessine aussi dans la perception : 58% des TPE-PME pensent bénéficier d'un bon ou très bon niveau de protection face aux cyberattaques, un chiffre à mettre en regard du niveau d'investissement réel.
Sur le plan institutionnel, cette vigilance renforcée se traduit aussi par une coopération accrue entre autorités françaises. L'ANSSI, l'ACPR et la Banque de France ont signé un accord de coopération sur la cyber-résilience dont le premier axe porte explicitement sur les incidents de sécurité d'origine cyber et cybermenaces, les deux autres portant sur les contrôles et l'assistance mutuelle [et] la gestion de crise cyber.
Ce que ça change pour votre entreprise
Pour une entreprise, en particulier une TPE ou une PME, cette alerte européenne n'impose pas d'obligation nouvelle immédiate, mais elle doit inciter à revérifier deux éléments concrets. D'abord, le périmètre exact de votre contrat d'assurance cyber : les garanties couvrent-elles la fraude au virement, les violations de données, l'interruption d'activité liée à une attaque par rançongiciel ? Ensuite, un point souvent méconnu de l'indemnisation cyber en France : le code des assurances, modifié par la loi Lopmi de 2023, prévoit que [le versement d'une indemnisation cyber] est subordonné au dépôt d'une plainte de la victime auprès des autorités compétentes au plus tard soixante-douze heures après la connaissance de l'atteinte par la victime. Cette obligation, à la différence des règles applicables aux particuliers, s'applique uniquement aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle — un délai court qu'il vaut mieux anticiper dans sa procédure interne de gestion de crise, avant même la survenue d'un incident.
Plus largement, la vigilance porte aussi sur les partenaires technologiques de l'entreprise : outils d'IA générative utilisés en interne, prestataires cloud, chaîne de sous-traitance numérique. C'est précisément ce que vise le règlement DORA pour le secteur financier et assurantiel, et ce que les autorités françaises cherchent à structurer via la gestion des sinistres et la déclaration d'incidents. Pour les dirigeants de TPE-PME, l'enjeu reste avant tout budgétaire et organisationnel : sensibiliser les équipes à l'hameçonnage (première source de sinistres), documenter une procédure de réaction sous 72 heures, et vérifier régulièrement le niveau de couverture responsabilité civile professionnelle associé aux risques numériques.
Questions fréquentes
L'ESRB définit les frontier AI models comme des modèles d'intelligence artificielle avancés capables d'affecter matériellement les opérations cyber offensives ou défensives, c'est-à-dire des systèmes suffisamment puissants pour changer significativement la façon dont des cyberattaques peuvent être menées ou contrées.
DORA (Digital Operational Resilience Act) est un règlement européen qui impose aux entités financières, y compris les compagnies d'assurance, de disposer de capacités globales de gestion du risque lié aux technologies de l'information et de la communication. Il s'applique à partir du 17 janvier 2025 pour la plupart des dispositions concernant la gestion du risque lié aux TIC.
Oui, pour les personnes morales et les professionnels : le code des assurances subordonne le versement d'une indemnisation au titre d'un contrat d'assurance cyber au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'atteinte. Cette règle, issue de la loi Lopmi, ne s'applique pas aux particuliers.
Selon l'ESRB, les modèles d'IA de pointe donnent un avantage aux acteurs malveillants en leur permettant de découvrir des vulnérabilités et d'exécuter des cyberattaques plus rapides, plus larges et plus sophistiquées qu'auparavant. C'est ce changement d'échelle qui a conduit l'ESRB à relever son niveau d'alerte, désormais qualifié de « sévère » contre « élevé » précédemment.
Les données de Cybermalveillance.gouv.fr montrent un décalage : 58% des TPE-PME pensent bénéficier d'un bon ou très bon niveau de protection face aux cyberattaques, alors que trois quarts des TPE-PME investissent moins de 2 000 € par an [en cybersécurité] et que 16% des entreprises interrogées déclarent avoir été victimes d'un ou plusieurs incidents [de cybersécurité] au cours des 12 derniers mois.
Selon Cybermalveillance.gouv.fr, l'hameçonnage progresse de 70%, restant la première cybermenace tous publics confondus, suivi par la progression marquée des fraudes au virement, en constante augmentation pour tous les publics depuis des années, [qui] s'intensifient (+170%) et des demandes d'assistance liées aux violations de données [qui] ont augmenté de 107%. Ce sont ces trois familles d'incidents qu'une entreprise doit prioriser dans sa sensibilisation interne et la vérification de son contrat d'assurance.
Sources officielles
- EIOPA — communiqué de presse (07/2026)
- ESRB (Comité européen du risque systémique) — communiqué de presse (07/2026)
- EIOPA / ESAs — premier rapport annuel sur les incidents TIC majeurs DORA (06/2026)
- Cybermalveillance.gouv.fr — étude sur la maturité cyber des TPE-PME 2025
- Cybermalveillance.gouv.fr — rapport d'activité 2025
- Légifrance — Code des assurances, indemnisation des cyberattaques (loi Lopmi)
- EUR-Lex — Règlement (UE) 2022/2554 (DORA)
- ANSSI (cyber.gouv.fr) — accord de coopération ANSSI-ACPR-Banque de France (07/2026)
