Article rédigé en mai 2026 à destination des freelances IT, consultants indépendants, développeurs et architectes en portage. Les références juridiques renvoient aux textes en vigueur à la date de publication.

Un freelance IT signe un bon de commande, accède au SI du client, livre du code. La mission paraît standard. La responsabilité ne l'est jamais.

Un bug livré en production, une fuite de données, un retard contractuel. Trois scénarios banals. L'addition se chiffre vite en dizaines voire centaines de milliers d'euros.

L'assurance d'un freelance IT repose sur trois piliers. La RC Pro IT engage la responsabilité face aux clients. La garantie cyber couvre les frais propres après incident. La défense-recours prend en charge les contentieux. Cet article détaille les garanties, les six facteurs de prime et la frontière entre profils standards et dossiers complexes.

Quelles assurances pour un freelance IT ou consultant : obligations légales et garanties recommandées

Aucune loi française n'impose une RC Pro universelle au freelance IT. Mais l'obligation contractuelle suffit. Les grands donneurs d'ordre exigent couramment une attestation RC Pro avant signature : ESN, banques, mutuelles, secteur public, éditeurs SaaS B2B.

Plusieurs cadres légaux s'appliquent selon le secteur. L'article 32 du RGPD impose au sous-traitant les mesures techniques et organisationnelles appropriées de sécurité. La directive NIS2 (UE) 2022/2555 étend les obligations de cybersécurité aux opérateurs essentiels et à leurs sous-traitants. La loi de programmation militaire (LPM) encadre les prestations sur SI sensibles de la défense. Pour la santé, l'hébergement des données patient relève de la certification HDS.

Trois statuts coexistent. L'auto-entreprise sous 83 600 € de chiffre d'affaires HT en prestation de services (seuil applicable en 2026 selon entreprendre.service-public.gouv.fr). L'EI ou la SASU au-delà. Le portage salarial convertit les honoraires en salaire. Chaque statut déclenche une mécanique d'assurance distincte.

Au-delà des obligations, quatre garanties méritent d'être systématiquement incluses. La RC Pro IT avec extension dommages immatériels consécutifs. La garantie cyber couvrant les frais propres après incident. La défense-recours pour les contentieux clients. La protection juridique pour les litiges fournisseurs et URSSAF.

Les 5 risques principaux du métier

Le freelance IT cumule des expositions techniques et contractuelles. Cinq risques structurent la sinistralité.

Bug code ou livrable défectueux. Commit fautif en production, migration mal préparée, script de déploiement qui efface la prod. Le coût dépend de la durée d'interruption et des pertes subies par le client.

Violation de données personnelles. Endpoint non sécurisé, fuite via repo Git public, laptop non chiffré volé. Le sous-traitant engage sa responsabilité au sens de l'article 28 du RGPD. Sanction CNIL possible jusqu'à 10 millions d'euros ou 2 % du CA mondial.

Retard de livraison engageant pénalités. Les contrats grands comptes intègrent souvent des pénalités de retard calculées par période de retard, en pourcentage du prix de la mission : sur une mission longue, quelques semaines de retard peuvent peser lourd.

Atteinte à la propriété intellectuelle. Dépendance sous licence GPL incompatible avec l'usage commercial du client, code copié sans crédit, modèle IA entraîné sur données non libres.

Atteinte à la réputation. Manquement déontologique sur conseil M&A, divulgation involontaire d'informations confidentielles. Risque rare mais coûteux.

Garanties à intégrer absolument dans le contrat

Cinq extensions sont non négociables pour un freelance IT correctement assuré.

La RC Pro IT couvre les dommages matériels et immatériels consécutifs causés au donneur d'ordre. Plafond minimum recommandé : 1 500 000 € par sinistre pour un développeur web. 2 000 000 à 3 000 000 € pour un architecte logiciel ou un consultant senior. L'extension dommages immatériels non consécutifs reste un point dur de négociation.

La garantie cyber couvre les frais propres après incident : forensic, notification CNIL sous 72 heures, communication aux personnes concernées, gestion de crise. Son plafond se choisit selon le volume et la sensibilité des données traitées.

La défense-recours prend en charge les honoraires d'avocat en cas de contestation client. Vérifiez son seuil d'intervention et son plafond annuel.

La protection juridique élargit le champ aux litiges fournisseurs, URSSAF et baux.

La couverture matériel nomade indemnise le laptop, le téléphone et les accessoires en cas de vol, perte ou casse, dans la limite du plafond prévu. Sans elle, le vol du laptop reste à la charge du freelance.

Tarification : les 6 facteurs qui jouent

La prime annuelle d'une RC Pro IT freelance varie fortement selon le profil. Six facteurs expliquent l'essentiel des écarts entre devis.

Chiffre d'affaires HT déclaré. Premier déterminant : la prime progresse avec le chiffre d'affaires, et les chiffres d'affaires élevés relèvent d'une étude individualisée.

TJM moyen pratiqué. Un consultant junior ne déclenche pas le même barème qu'un architecte senior : au-delà d'un certain TJM, les compagnies basculent sur des grilles dédiées, avec des plafonds plus élevés.

Secteurs des clients. Coefficient sur la prime de base : les secteurs régulés (banque, assurance, santé sous HDS, défense sous LPM) pèsent davantage qu'une clientèle privée non régulée.

Antécédents sinistres. Plusieurs années sans sinistre jouent en faveur d'une bonification ; un sinistre RC Pro indemnisé récemment relève la prime.

Plafond souscrit. Chaque palier de plafond supplémentaire se paie par une surprime.

Franchise. Relever la franchise allège la prime, mais laisse les petits sinistres à la charge du freelance.

Profils standards vs profils atypiques dans ce secteur

La frontière entre profil souscriptible en ligne et dossier sur-mesure est imposée par les compagnies.

Le profil standard correspond au freelance classique : TJM et chiffre d'affaires courants, missions web/SaaS standards, clients privés non régulés. Pas de mission défense, pas d'HDS, pas d'infogérance H24. Aucun sinistre majeur récent. Ce profil relève en général d'une tarification standard.

Le profil complexe regroupe les dossiers refusés ou tarifés à un niveau dissuasif. Architecte sur projet bancaire PCI-DSS, consultant IA sur données de santé HDS, prestataire LPM en défense, conseil M&A avec recommandations financières, infogérance H24 avec SLA contractuel à 99,95 %, réseau de sous-traitants offshore piloté par le freelance. Les seuils qui font basculer un dossier d'une catégorie à l'autre varient d'un assureur à l'autre.

Tutassûr est un courtier grossiste en assurance, qui travaille avec des courtiers partenaires immatriculés à l'ORIAS. Deux voies coexistent : l'extranet pour les profils standards, l'étude au cas par cas par l'équipe de souscription pour les dossiers complexes ou aggravés.

Devis en ligne pour profils standards

Pour un freelance IT classique, le devis s'établit en ligne. Les informations à préparer recoupent les facteurs de tarification : identité et statut juridique, description de l'activité, secteurs clients, CA HT et TJM moyen, antécédents sinistres sur cinq ans, garanties et plafonds souhaités.

L'attestation nominative est à transmettre au donneur d'ordre avant le démarrage de la mission.

L'éligibilité à une tarification standard dépend des critères fixés par chaque assureur : chiffre d'affaires, TJM, sinistralité récente, absence de mission sensible (banque cœur, HDS, LPM, M&A conseil financier).

Votre freelance IT / consultant mérite la bonne couverture

Tutassur conçoit RC Pro IT, cyber, défense-recours et vous met en relation avec un courtier partenaire immatriculé ORIAS ou notre agence directe à Grenoble.

Tutassur conçoit les produits et oriente vers un réseau de courtiers partenaires immatriculés ORIAS pour la souscription.

Demander un devis freelance IT / consultantParler à un conseiller

Demandez un chiffrage avec et sans chaque option : extension cyber, défense-recours et matériel nomade.

Étude sur-mesure pour profils complexes

Pour les dossiers atypiques, l'équipe de souscription de Tutassûr étudie le risque au cas par cas, à partir d'un dossier complet fourni par le courtier. Aucune acceptation n'est acquise d'avance.

Exemple illustratif (fictif) : un architecte logiciel intervient sur une plateforme de paiement PCI-DSS d'une banque et essuie des refus en tarification standard. Isoler la mission bancaire dans un avenant dédié et demander un plafond en rapport avec la clause d'assurance du contrat-cadre donne au souscripteur les éléments pour apprécier le risque.

Le dossier à réunir comprend sept pièces : statuts ou Kbis, CV technique et certifications (AWS, Azure, ISO 27001, habilitation défense le cas échéant), liste des missions sur trois ans avec secteurs et montants, contrats-cadres en cours, bilans des deux derniers exercices, historique des sinistres sur cinq ans, attestation de formation continue.

Erreurs fréquentes à éviter dans le devis

Cinq erreurs reviennent dans les dossiers mal préparés.

Sous-déclarer le CA HT prévisionnel. Beaucoup déclarent le CA N-1 plutôt que le prévisionnel N. En cas de sinistre, l'article L. 113-9 du Code des assurances permet à l'assureur, si l'omission ou l'inexactitude est constatée après sinistre, de réduire l'indemnité en proportion des primes payées par rapport à celles qui auraient été dues. Mieux vaut déclarer haut et régulariser à la baisse en fin d'exercice.

Omettre les secteurs sensibles. Mission ponctuelle en banque, santé ou défense pratiquée dans l'année doit être déclarée à la souscription. Sans déclaration, le sinistre n'est pas couvert au titre de l'aggravation non déclarée (article L. 113-2 alinéa 3).

Ignorer l'extension cyber. Le socle RC Pro IT ne couvre pas les frais propres après incident. Une fuite sans extension cyber laisse les frais d'investigation, de notification et de gestion de crise à la charge du freelance.

Refuser la défense-recours. L'économie de prime est faible au regard des honoraires d'avocat sur un contentieux client.

Ne pas mettre à jour le contrat après évolution. Changement de statut, basculement vers des missions sensibles, embauche d'un salarié : chaque changement doit être déclaré sous 15 jours par lettre recommandée.

Pour anticiper ces points, consulter le guide MRP TPE. Pour les textes légaux, Légifrance référence le Code des assurances. La CNIL publie des fiches pratiques RGPD pour les sous-traitants. L'ANSSI référence les guides cybersécurité applicables aux prestataires sensibles.

Foire aux questions

Les sept questions ci-dessus répondent aux interrogations fréquentes des freelances IT et consultants : bug en production, plafond exigé, fuite RGPD, statut juridique, portage salarial, projets régulés et vol du laptop. Chaque réponse est calibrée sur les pratiques du marché courtier en 2026.

Questions fréquentes

Bug dans le code en production qui coûte 50 000 € au client : la RC Pro IT est-elle engagée ?

Oui, sous réserve d'une rédaction contractuelle correcte. La RC Pro IT couvre les dommages immatériels consécutifs à une faute professionnelle au sens de l'article 1231-1 du Code civil. Un bug livré en production qui provoque une interruption de service, une perte de chiffre d'affaires ou une corruption de données chez le donneur d'ordre entre dans le périmètre. Le freelance déclare le sinistre sous 5 jours ouvrés conformément à l'article L. 113-2 du Code des assurances. L'assureur expertise la chaîne causale : commit fautif, absence de tests unitaires, défaut de relecture. L'indemnisation joue dans la limite du plafond contractuel par sinistre. Trois exclusions classiques : faute intentionnelle, non-respect d'un cahier des charges écrit signé, dépassement de périmètre de mission. La conservation du contrat de prestation, des comptes rendus et du repo Git versionné fait la différence en expertise.

Donneur d'ordre exige attestation RC Pro avant signature : quel plafond demander ?

Le plafond dépend du secteur du donneur d'ordre. Pour une ESN ou un éditeur SaaS classique, 1 500 000 € par sinistre constitue un premier repère. Pour une mission directe en banque, assurance ou santé, le seuil exigé est en général plus élevé : c'est la clause d'assurance du contrat qui fait foi. Les grands comptes intègrent une clause d'assurance dans le contrat-cadre fournisseur. Elle précise le plafond minimum, l'étendue de la couverture (RC Pro IT + cyber + données personnelles) et la franchise maximale acceptée. Le freelance fournit une attestation nominative à jour, datée de moins de 30 jours, mentionnant l'année d'exercice en cours. Sans cette attestation, la signature du bon de commande est bloquée. Anticiper la souscription avant la prospection commerciale évite de perdre une mission.

Fuite de données personnelles côté freelance : cyber ou RC Pro IT ?

Les deux peuvent intervenir, mais les périmètres diffèrent. La RC Pro IT couvre la responsabilité civile face au donneur d'ordre : recours du client final, pénalités contractuelles, dommages immatériels. La garantie cyber couvre les frais propres du freelance après incident : forensic, notification CNIL sous 72 heures (article 33 RGPD), communication aux personnes concernées (article 34 RGPD), gestion de crise. L'article 32 RGPD impose au freelance les mesures techniques et organisationnelles appropriées. Une fuite consécutive à un manquement (absence de chiffrement, mot de passe faible, ordinateur non verrouillé) engage la responsabilité du sous-traitant au sens de l'article 28 RGPD. La sanction CNIL peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les manquements à l'article 32. La cyber rembourse les frais de défense et de notification, pas les amendes administratives lorsque le caractère intentionnel ou la négligence grave est retenu.

Auto-entrepreneur, SASU ou portage : différence sur la souscription RC Pro ?

Le statut juridique change la mécanique mais pas la nécessité. En auto-entreprise, la RC Pro est souscrite au nom de la personne physique, avec son numéro SIRET. En SASU, le contrat est nominatif à la société avec extension au dirigeant. Le plafond demandé par les grands comptes étant souvent plus élevé, la prime l'est aussi. Le bilan annuel sert de référence pour l'ajustement de prime. En portage salarial, la société de portage couvre le consultant porté via son contrat-cadre. Cette couverture suffit pour les missions standards. Pour les projets sensibles (banque, défense, santé), certaines sociétés de portage exigent une RC Pro nominative complémentaire. Le freelance vérifie le plafond, l'étendue géographique et la durée de garantie subséquente (5 ans minimum recommandés) du contrat porteur.

Portage salarial : suis-je déjà couvert par la société de portage ?

Partiellement. Le contrat-cadre de la société de portage inclut une RC Pro collective pour ses consultants portés, avec un plafond qui varie d'une société de portage à l'autre. Trois limites doivent être vérifiées. Premièrement, l'étendue géographique : missions hors UE souvent exclues sans avenant. Deuxièmement, la garantie subséquente : durée pendant laquelle le consultant reste couvert après la fin du contrat de portage, généralement 5 ans. Troisièmement, le périmètre des secteurs critiques : certaines polices excluent défense, santé HDS et banque réglementée. Pour ces missions, le consultant souscrit une RC Pro nominative complémentaire, à sa charge ou refacturée au client final. La société de portage délivre une attestation à chaque ordre de mission. Le consultant la transmet au donneur d'ordre avant le démarrage.

Projet banque, santé ou défense : surprime ou contrat dédié ?

Les deux scénarios coexistent selon la criticité. Pour une mission ponctuelle en banque ou santé sur du non-critique (intranet, projet RH, dashboard interne), une surprime sur la prime de base suffit. Le contrat standard reste applicable avec extension secteurs régulés. Pour une mission cœur de métier (PCI-DSS sur infrastructure de paiement, HDS pour hébergement données de santé, projet LPM en défense), un contrat dédié est nécessaire. Les compagnies spécialisées du marché (par exemple Hiscox, Beazley, AIG ou Markel) tarifient au cas par cas, avec des plafonds et des franchises plus élevés, et une étude plus longue qu'en tarification standard. Le secret défense impose en plus une habilitation Confidentiel Défense ou Secret Défense. Le freelance fournit alors son attestation d'habilitation au souscripteur. Sans elle, aucun contrat n'est mobilisable sur projets LPM.

Vol du laptop avec code client et données sur le disque : quelle garantie ?

Trois garanties s'articulent. Le vol du matériel relève de l'assurance multirisque pro ou de l'extension matériel nomade : indemnisation en valeur de remplacement, dans la limite du plafond prévu. La garantie cyber couvre les frais d'investigation, de notification CNIL et de communication aux personnes concernées si des données personnelles sont exposées. La RC Pro IT couvre les recours du donneur d'ordre pour fuite du code source ou des données client (préjudice commercial, atteinte à l'image, pénalités contractuelles). Trois conditions techniques sont fréquemment exigées pour déclencher la cyber : chiffrement intégral du disque (BitLocker, FileVault, LUKS), mot de passe fort sur la session, sauvegarde chiffrée hors site récente. Sans ces mesures, l'assureur peut invoquer un manquement à l'article 32 RGPD et réduire l'indemnité. Le freelance porte plainte sans attendre, déclare le vol à l'assureur dans le délai prévu au contrat (au moins deux jours ouvrés pour un vol, article L. 113-2 du Code des assurances), et notifie la CNIL sous 72 heures si des données personnelles sont concernées.

SM

À propos de l'auteur

Service marketing

Tutassûr