Plutôt que des tables imbriquées et du CSS inline, utilisons MJML*.
ManoMano a fait ce choix pour générer des e-mails responsive. Le contexte : un projet de modernisation du système assurant l’envoi de ces messages.
Auparavant, il y avait un monolithe en PHP. Désormais, il y a une plate-forme Node.js/Kotlin.
L’ancien service était basé sur des bibliothèques obsolètes, d’autant plus difficiles à mettre à jour que l’expertise PHP s’était progressivement perdue en interne. Il était par ailleurs étroitement lié à des services tels que RabbitMQ, donc impossible à maintenir de manière indépendante. Des années de correctifs avaient plus globalement alourdi la codebase, compliquant les changements et les rendant plus risqués. L’écriture des templates en Twig et en HTML brut posait de plus des problèmes de compatibilité en fonction des clients de messagerie.
Une approche configuration over code
Le service d’origine était déclenché par des appels API ou par des événements RabbitMQ. Avant d’envoyer un e-mail, il fallait l’enrichir en récupérant des éléments sur plusieurs services externes. Des dépendances qui tendaient à fragiliser l’ensemble.
Pour favoriser le décommisionnement, ManoMano a isolé cette logique en un composant email-merger. Ses requêtes sont centralisées sur la nouvelle plate-forme aux côtés des requêtes « modernes » – qui ne passent plus par le monolithe – par un service Kotlin (email-sender). Celui-ci suit une approche configuration over code : toute la configuration est gérée via le back-end central, sans avoir à écrire de code.
La passerelle réceptionnant les requêtes s’appuie sur PostgreSQL pour le stockage d’état et de configuration. Elle transmet les événements à un nœud de travail qui récupère un template et fait la liaison avec le service SMTP. Le bus de messagerie RabbitMQ a été remplacé par du Kafka, pour l’élasticité, la résilience et le retry intégré.
Une séparation plus claire des responsabilités
Le fournisseur de templates (email-templates) est écrit en Node.js. Il évite aux développeurs front-end d’avoir à évoluer dans un environnement PHP. La bibliothèque react-mjml leur permet de créer des templates comme ils créent des composants React.
Épargner aux développeurs React le travail en environnement PHP a déchargé l’équipe back-end de nombre de requêtes. Dans le même temps, la centralisation des templates assure une plus grande cohérence des e-mails. Et les responsabilités sont plus claires : le back n’est plus impliqué dans les changements visuels, le front ne l’est plus dans la logique de delivery.
Mi-novembre 2025, ManoMano avait migré environ 80 % de son trafic mail sur la nouvele plate-forme. Dont ses communications les plus critiques (confirmations de commandes, notifications d’envois, réinitialisations de mots de passe).
* Mailjet Markup Language, publié en source ouverte (licence MIT) en 2016 par Mailjet. Ce langage déclaratif est transpilé en HTML responsive.
Un an après l’avoir supprimé, Dell revient sur sa décision et relance XPS, le segment haut de gamme de ses ordinateurs portables et un pilier historique de sa stratégie produits.
L’annonce, faite au CES 2026 de Las Vegas, marque un revirement assumé de la part de Jeff Clarke, directeur des opérations du groupe texan, qui reconnaît que l’entreprise s’était « un peu égarée » dans le pilotage de son activité PC.
Un aveu d’erreur et un retour aux fondamentaux
« Nous n’avons pas écouté nos clients. Vous aviez raison sur le branding », a déclaré Jeff Clarke lors d’un point presse à Las Vegas. Celui qui a repris l’an dernier la supervision directe de la division PC, a évoqué une année difficile marquée par « des tarifs douaniers, la promesse non tenue de l’IA » et « l’une des transitions de processeurs les plus lentes de [sa] carrière ».
Cette autocritique s’ajoute aux retours négatifs du marché, lorsque le constructeurs avait remplacé la marque XPS par les appellations Dell Pro et Dell Pro Max, une nomenclature jugée trop proche de celle d’Apple et mal accueillie par le public comme par les partenaires.
Le groupe justifie aujourd’hui ce revirement par la nécessité de clarifier son offre : les modèles Dell visent désormais le segment grand public et professionnel intermédiaire, XPS reprend son positionnement premium, et Alienware demeure consacré au gaming.
Des machines plus fines et mieux optimisées
Les deux premiers modèles relancés, les XPS 14 et XPS 16, figurent parmi les ordinateurs les plus fins jamais produits par Dell, avec une épaisseur de 14,6 mm et un poids respectif de 1,36 kg et 1,63 kg. Leurs châssis en aluminium, leurs bordures d’écran réduites et leur design minimaliste les placent en concurrence directe avec les MacBook Air 13 et 15 pouces d’Apple.
Les deux machines embarquent les nouveaux processeurs Intel Core Ultra Series 3, dotés de graphiques Intel Arc, censés offrir jusqu’à 78 % de performances IA supérieures et une autonomie pouvant atteindre 27 heures dans certaines configurations. Dell affirme également avoir repensé son système de refroidissement pour le rendre plus silencieux, plus fin et plus économe en énergie.
Les XPS 14 et 16 sont disponibles dès cette semaine aux États-Unis et au Canada, à partir de 2000 $. Un XPS 13 de moins de 13 mm d’épaisseur sera présenté plus tard dans l’année.
Un marché du PC sous tension
Le choix de relancer XPS s’inscrit dans un contexte de reprise incertaine du marché mondial du PC. Selon les estimations d’IDC, les ventes devraient progresser de 3 à 5 % cette année, après deux années de contraction.
Mais Dell, comme ses concurrents HP et Lenovo, reste confronté à des coûts de production accrus – notamment à cause de la hausse du prix des mémoires – et à une demande encore freinée par l’attentisme des entreprises.
Jeff Clarke a reconnu que l’intelligence artificielle n’a pas encore généré le cycle de renouvellement espéré, malgré la mise en avant des fonctions d’assistance et de traitement local intégrées aux nouveaux processeurs.
Avec le retour de la gamme XPS, née dans les années 1990, Dell espère ainsi regagner des parts de marché dans le segment premium.
Le déploiement instantané, c’est pratique, mais rarement indispensable.
Cloudflare contextualise ainsi sa décision d’appliquer aux changements de configuration le même processus de contrôle que pour le code.
Lors de mises à jour logicielles, chaque version binaire a plusieurs étapes de validation à franchir. Toute équipe possédant un service doit définir un plan de déploiement, des indicateurs de réussite/échec et les actions à entreprendre en cas de problème. Un système automatisé exécute ce plan et déclenche si nécessaire une restauration, en alertant éventuellement l’équipe.
Ce mécanisme sera également appliqué aux changements de configuration d’ici à fin mars sur toute la prod, nous promet-on.
En toile de fond, les deux pannes importantes survenues le 18 novembre et le 5 décembre 2025. L’un et l’autre furent déclenchées par un changement de configuration (dans le classificateur de bots pour la première ; dans un outil de sécurité pour la seconde).
Isoler les défaillances
Cloudflare a un autre engagement d’ici à fin mars : réviser les contrats d’interface entre chaque produit et service critique, pour mieux anticiper et isoler les défaillances.
L’incident de novembre est un exemple en la matière. Deux interfaces-clés auraient pu être gérées différemment, estime Cloudflare. D’une part, celle qui lisait le fichier de configuration (il aurait dû exister un ensemble de valeur par défaut validées permettant au trafic de continuer à circuler). De l’autre, celle située entre le logiciel central et le module de gestion des bots (en cas de défaillance de ce dernier, le trafic n’aurait pas dû être bloqué par défaut).
Éliminer – ou contourner – les dépendances circulaires
Cloudflare entend aussi supprimer les dépendances circulaires, ou tout du moins permettre de les « contourner » rapidement en cas d’incident. Exemple : lors de l’incident de novembre, l’indisponibilité de Turnstile (alternative aux CAPTCHA) a empêché les clients d’accéder au tableau de bord à moins qu’ils eussent une session active ou un jeton d’API.
En parallèle, il est question de faire évoluer les procédures internes de type break glass (élévations temporaires de privilèges) pour avoir accès aux bons outils le plus rapidement possible.
Un « code orange » pour la deuxième fois
Pour mettre en place ce plan de résilience, Cloudflare a décrété un « code orange ». Cette procédure permet de réorienter la plupart des ressources techniques vers la résolution d’un incident. Elle a été mise en œuvre une fois par le passé. C’était fin 2023, après une panne de courant dans un des principaux datacenters de Cloudflare (PDX01, dans l’Oregon), hébergeant le plan de contrôle de nombreux services. Le déclencheur : des opérations de maintenance réalisées par l’exploitant du réseau électrique et qui avaient entraîné un défaut de terre dans l’installation.
Disposer d’une « généalogie » des modèles d’IA ouverts favoriserait-il l’exercice des droits RGPD ?
La CNIL en fait le pari. Elle expérimente en tout cas un tel outil. Fondé sur les données de la plate-forme Hugging Face, il permet de visualiser l’ascendance et la descendance des modèles. En ligne de mire, les personnes concernées par la mémorisation de leurs informations personnelles… et par le risque de ruissellement de ces informations entre les modèles.
La base de données sous-jacente est en accès libre. Mise à jour quotidiennement, elle contient des éléments fournis la plupart du temps de manière déclarative par les entités qui publient les modèles – et les datasets. On en retrouve déjà le contenu à plusieurs niveaux de l’explorateur Hugging Face, dont des arborescences sur les pages des modèles.
Deux visualisations et un mode « expert »
Sur ce socle (plus exactement sur la base de données telle qu’elle était au 1er septembre 2025), la CNIL a structuré un graphe de connaissances. Elle y distingue cinq types d’entités : modèles, datasets, personnes, organisations et utilisateurs (qui sont soit une personne, soit une organisation).
L’outil n’affiche pas immédiatement le graphe. Il fournit d’abord quelques indicateurs à propos du modèle recherché (sa date de publication et la tâche qu’il remplit, ainsi que le nombre de téléchargements, de citations et de mentions « j’aime »), puis présente les parents et les enfants importants, en priorisant ceux qui ont le plus de citations, puis de téléchargements.
Un mode « recherche experte » permet de filtrer le graphe (types de nœuds, types de relations) et de le télécharger.
Hugging Face invité à permettre une meilleure identification des responsables de publication
On est censé pouvoir trouver un modèle en recherchant son nom ou l’identifiant de son repo. Dans la pratique, seule cette dernière option apparaît produire des résultats. La saisie semi-automatique accuse une certaine latence (plusieurs secondes) et des erreurs surviennent parfois.
La CNIL envisage une fonctionnalité d’envoi automatisé de requête à tous les modèles suspectés. L’analyse de leurs réponses permettrait théoriquement de déterminer lesquels régurgitent des données personnelles.
Un formulaire pourrait ensuite permettre de contacter les auteurs des modèles problématiques. Une évolution de la plate-forme Hugging Face pourrait toutefois être nécessaire pour une meilleure identification des responsables de publication, suggère la commission…
L’industrie des semi-conducteurs a franchi une étape historique avec l’annonce de la technologie 2nm (dite N2). Pour atteindre une telle finesse de gravure, TSMC a dû opérer un changement radical de paradigme en abandonnant l’architecture FinFET au profit des transistors à feuilles nanométriques, ou GAAFET (Gate-All-Around).
Cette innovation permet d’entourer le canal de conduction sur ses quatre faces, offrant un contrôle électrique quasi parfait là où les structures précédentes commençaient à laisser fuiter de l’énergie. Selon TSMC, les bénéfices sont massifs : à performance égale, une puce 2 nm consomme environ 30 % d’énergie en moins que son prédécesseur en 3 nm. Cette efficacité thermique libère une « marge de manœuvre » précieuse qui transforme radicalement les capacités de l’intelligence artificielle embarquée (Edge AI).
L’IA « on-device » : la fin de la dépendance au Cloud ?
Jusqu’à présent, l’IA sur smartphone était limitée par la chaleur et la mémoire. Les modèles les plus puissants nécessitaient des serveurs distants, posant des problèmes de latence et de confidentialité. Le passage au 2 nm change la donne. Grâce à l’augmentation de la densité des transistors, les ingénieurs peuvent désormais intégrer des unités de traitement neuronal (NPU) capables de gérer des modèles de langage de plus de 10 milliards de paramètres directement sur l’appareil.
Cette autonomie de calcul apporte des bénéfices immédiats. La confidentialité devient totale puisque les données ne quittent plus le téléphone, et la réactivité devient instantanée pour la traduction en temps réel ou la retouche vidéo complexe. Surtout, cela permet l’éclosion de véritables « agents d’IA » autonomes, capables de comprendre le contexte de l’utilisateur en continu sans transformer l’appareil en radiateur de poche ni vider la batterie en quelques heures.
Mais cette révolution a un prix. Les capacités de production pour 2026 sont déjà saturées, Apple ayant préempté la majeure partie des lignes de production pour ses futurs processeurs, laissant Nvidia et AMD se disputer les quotas restants pour le secteur des serveurs.
Le coût de production d’un seul wafer de 2 nm est désormais estimé à 30 000 dollars, une barrière financière qui renforce la domination de TSMC et des acteurs les plus riches de la tech.
De la robotique à l’Angström
L’impact du 2 nm dépassera largement le cadre du smartphone. Cette capacité de traiter des algorithmes de vision par ordinateur avec une consommation minimale est le chaînon manquant pour la robotique légère, les drones autonomes et les lunettes de réalité augmentée.
Alors que le 2 nm entame son cycle de vie, TSMC prépare déjà l’étape suivante pour 2027 : l’ère de l’Angström avec le procédé A16. En introduisant l’alimentation par l’arrière de la puce, cette future génération promet de repousser encore plus loin les frontières de l’infiniment petit, confirmant que la course à la puissance ne fait que commencer.
« La politique de la DGFiP en matière de contrôle n’a jamais eu pour priorité de reposer sur la conciliation. »
Amélie de Montchalin, ministre de l’Action et des Comptes publics, a cru bon de le signaler en réponse aux observations de la Cour des comptes.
Cette dernière s’est intéressée à la lutte contre la fraude fiscale. Elle en dresse un bilan « mitigé […] après une décennie de transformations » : les sanctions ne sont ni plus fréquentes, ni plus sévères.
Le SI du contrôle fiscal, plombé par ses silos
Les sages de la rue Cambon réitèrent un constat formulé à plusieurs reprises ces dernières années : le SI du contrôle fiscal est conçu en silos, avec des applications spécialisées par impôt ou par tâche, anciennes, peu ergonomiques et dépourvues d’interopérabilité. Le manque d’interconnexion fait obstacle à l’exploitation des outils de data mining, effective depuis 2016.
Sur Iliad (application centrale des services chargés de la gestion fiscale), les données manquent de précision quant aux motifs ayant provoqué des contrôles. De plus, elles n’indiquent pas la part de ceux ayant débouché sur un dossier en règle, sur une erreur ou sur une fraude assortie d’une action de rectification.
Sur Alpage (pilotage et statistiques), les données sont saisies manuellement et a posteriori ; ce qui peut engendrer des erreurs ou des imprécisions. Par ailleurs, les « codes thésaurus » correspondant à des motifs de rectification sont absents dans 5 à 10 % des contrôles enregistrés, rendant moins fiable et plus fastidieuse la mesure de leur efficacité.
Pilat, un outil unifié… en projet depuis 2018
En 2018, la DGFiP avait lancé le projet Pilat, censé aboutir à un outil unifié de pilotage et d’analyse de la chaîne du contrôle fiscal. La mise en service était prévue pour 2022, mais l’initiative a pris du retard. En parallèle, son coût prévisionnel a plus que triplé entre 2017 et 2024 (de 36 à 123,5 M€).
En l’absence d’un tel outil, les priorités diffèrent d’une direction locale à une autre, note la Cour des comptes. Toutes ne recherchent pas forcément l’objectif répressif. Certaines n’exploitent pas la potentielle récidive d’un contribuable déjà sancitonné par une pénalité exclusive de bonne foi à hauteur de 40 % dans les 6 années qui précèdent.
Le data mining, beaucoup de contrôles, peu de recettes
En 2023, la DGFiP a réalisé ses premières études évaluant l’efficacité du data mining.
Le taux de pertinence des listes ainsi établies varie en fonction des impôts. Pour l’IR, par exemple, 65 % des dossiers signalés par l’algo ont fait l’objet d’un rehaussement effectif.
Le taux est particulièrement élevé pour les listes relatives au report erroné de réductions d’impôt dans le cadre du dispositif Pinel* (93 %) ou portant sur les réductions et crédits d’impôt (80 %). Il ne l’est pas autant pour, entre autres, les droits de mutation à titre gratuit, du fait d’une intégration peu aboutie des informations communiquées par les notaires.
L’objectif de réaliser 50 % des contrôles sur la base des listes issues du data mining a été atteint en 2022 s’agissant des professionnels. On en est à environ 40 % pour les particuliers. Pour autant, les dossiers ouverts en conséquence ont un poids réduit dans les recettes : 13,8 % des droits et pénalités mis en recouvrement en 2023, alors qu’ils ont représenté 44 % des contrôles cette année-là.
Plusieurs facteurs peuvent être avancés, reconnaît la Cour des comptes. En particulier, ne sont considérés comme issus du data mining que les dossiers non ouverts au préalable par un agent du fisc. Autre élément, qu’a d’ailleurs souligné Amélie de Montchalin : les contrôles concernés portent a priori sur des enjeux moins importants que les contrôles sur place (en moyenne, 3473 € mis en recouvrement, contre 16 676 €).
Il est, plus globalement, impossible de mesurer la contribution du data mining à l’évolution du rendement moyen par agent, vu les autres évolutions stratégiques intervenues sur la période étudiée (ciblage des contrôles, développement des échanges d’informations).
Les SI du ministère de la Justice compliquent le suivi de la répression pénale
Jusqu’en 2018, l’autorité judiciaire n’était saisie des affaires de fraude par le fisc qu’à la discrétion de ce dernier.
Une réforme a mis fin à ce principe dit « verrou de Bercy ». Notamment afin de prévenir le soupçon qu’une autorité politique intervienne pour empêcher la transmission de dossiers d’importance.
L’autorité judiciaire est désormais saisie chaque année d’environ 800 M€ d’impôts éludés, pour un montant moyen par dossier de l’ordre de 400 k€. Cependant, les SI centralisés du ministère de la Justice ne permettent pas de suivre le traitement pénal de ces dossiers en fonction des montants considérés. Ce qui limite nettement l’appréciation de la répression pénale.
Le montant du préjudice signalé n’est effectivement pas retracé dans ces SI. Si une information à un niveau agrégé existe, elle ne l’est qu’au sein de chaque parquet.
* Réduction d’impôt sur le revenu à l’occasion d’un investissement locatif sous réserve de s’engager à louer le logement nu en tant que résidence principale pour au moins 6 ans.
Une licence vous manque… et aucune autre ne peut être assignée.
Michelin s’est trouvé dans cette situation avec les logiciels Microsoft. En toile de fond, la mise en place d’un nouveau processus d’attribution des licences, basé sur des groupes Active Directory.
À l’origine, un système d’attribution directe
Lorsque l’entreprise avait adopté Office 365 il y a une dizaine d’années, l’attribution était directe, via le centre d’administration ou via des scripts PowerShell. Elle reposait sur des bundles de licences correspondant à des profils de travailleurs.
Pour stocker ces profils, il fut décidé d’exploiter les attributs d’extension d’Active Directory – sinon utilisés notamment pour la synchronisation de boîtes Exchange locales. Ces attributs étaient synchronisés vers Azure Active Directory.
Le script principal, exécuté sur site de manière périodique, détectait les nouveaux utilisateurs, lisait les attributs associés et assignait les licences correspondantes.
Dans le cadre des recrutements, les attributs étaient définis par les systèmes RH, dans AD (initialement de façon indirecte, en passant par l’annuaire interne). Dans les autres cas (freelances, mobilité interne, comptes spécifiques…), ils l’étaient via un portail de provisionnement interne.
Ce système présentait des limites. Parmi elles, la complexification progressive du script principal (ajout/modification de profils, altération de la logique métier sous-jacente). Par ailleurs, ce dernier étant planifié et non orienté événements, il existait toujours un décalage vis-à-vis des outils amont, amplifié par l’intervalle de synchronisation de 30 minutes d’AAD Connect.
Cette approche n’empêchait plus globalement pas les admins d’attribuer n’importe quelle licence à un utilisateur, au-delà ce celles dont il était censé bénéficier.
L’approche basée sur les groupes, concrétisée en deux temps
Dans ce contexte, Michelin a entrepris de basculer vers une approche basée sur les groupes, à l’échelle de son locataire (aujourd’hui quelque 120 000 sièges). Il en faisait déjà usage pour quelques services comme Copilot.
L’idée initiale était de créer un groupe dynamique dans AAD pour chaque profil. Le groupe « Knowledge Worker », par exemple, serait défini par la formule (user.extensionAttribute13 – eq « Knowledge Worker »). Chaque groupe se verrait ensuite assigner les licences correspondant au profil. L’ensemble pourrait alors remplacer progressivement les licences assignées directement.
Quelques jours après la mise en production, il fut constaté que l’absence d’un type de licence suffisait à bloquer l’attribution des autres au sein d’un groupe. Un problème non identifié lors des tests… et non documenté, à la connaissance de Michelin.
L’approche « un groupe par profil » fut par conséquent abandonnée, au profit d’un système plus modulaire associant un groupe à chaque combinaison « profil(s) + type de licence ».
Chaque groupe comprend donc une licence et l’ensemble des profils censés en bénéficier. Par exemple, GP-AAD-USR-LICENSE-E1_SDFA, qui associe les profils « Standard » (SD) et « Functional Account » (FA) à la licence Office 365 E1.
Dix profils ont été définis :
Profils
Licences
Production Machine
Microsoft 365 F1
EMS E3
Defender for Endpoint P2
Production Worker
Microsoft 365 F3
Defender for Endpoint P2
Light Knowledge Worker
Office 365 E1
EMS E3
Defender for Endpoint P2
SharePoint Online Plan 2
Office 365 DLP
Windows 10/11 Enterprise E3
Audioconférence Teams
Standard
Office 365 E1
Functional Account
Office 365 E1
Knowledge Worker
Microsoft 365 E3
Defender for Endpoint P2
Audioconférence Teams
E3 Subsidiary
Office 365 E3
E1 Subsidiary
Office 365 E1
VDI External Application
EMS E3
Windows 10/11 Enterprise E3
VDI External Desktop
EMS E3
Windows 10/11 Enterprise E3
Defender for Endpoint P2
L’ensemble est en production depuis quelques mois. Reste à traiter certains cas problématiques comme les comptes cloud-only.
L’IT est aujourd’hui un actif clé d’une entreprise et une démarche de Due Diligence en vue d’une fusion/acquisition implique d’expertiser ses comptes, son organisation, ses équipes, mais aussi d’évaluer la qualité de ses infrastructures informatiques logicielles et matérielles. C’est ce que l’on appelle l’IT Due Diligence.
Cette évaluation doit commencer par une cartographie du système d’information de l’entreprise cible. Il faut référencer et documenter l’ensemble de son patrimoine informatique, depuis l’infrastructure avec les matériels et équipements en production, ses réseaux, ses systèmes de cybersécurité, ainsi que l’ensemble des applications (maisons, SaaS) utilisées par l’entreprise. Pour mener à bien cette tâche fastidieuse, une Data Room doit être mise en place et la DSI de l’entreprise cible doit être capable de fournir toute la documentation nécessaire sur ces process et politiques de sécurité en vigueur. Toutes les ressources déployées en interne doivent être dument cataloguées, de même que les ressources Cloud. L’objectif est bien évidemment d’évaluer la dette technique de l’entreprise cible, identifier ses équipements et logiciels obsolètes qui vont s’avérer extrêmement coûteux à migrer ou simplement à faire cohabiter avec le SI de l’acquéreur.
Une analyse détaillée du SI de l’entreprise cible est indispensable
Cette phase peut être extrêmement complexe et chronophage lorsque la cible est un grand groupe qui a lui-même connu plusieurs fusions et acquisitions. A chaque opération de ce type, le SI devient plus complexe, avec de nouvelles applications, d’autres opérateurs de communications, d’autres fournisseurs Cloud. Chacune d’elles vient ajouter un peu plus de complexité et va, in fine, ajouter des délais et des coûts d’intégration supplémentaires pour l’acquéreur. De cet état des lieux doit émerger un plan d’action détaillé que les équipes d’intégration vont pouvoir mener dès la signature.
Une attention toute particulière doit être portée aux aspects réseau et sécurité comme l’explique Hakim Belhouchi, Solution Specialist SASE chez Tata Communications : « L’intégration de systèmes hétérogènes n’est jamais facile, mais les technologies modernes nous permettent de les réaliser de manière beaucoup plus simple que par le passé. Du point de vue réseau, il était auparavant excessivement complexe de connecter deux réseaux MPLS ensemble. Cela avait de lourds impacts sur les plans d’adressage, énormément de recouvrements à traiter. »
Faire appel à des consultants aguerris à ce type de projets
Le volet cybersécurité reste un sujet de premier plan. Les attaquants privilégient de plus en plus les attaques sur la supply chain informatique. Une attaque sur une nouvelle filiale potentiellement moins sécurisée peut leur donner un accès à l’informatique de la cible réelle. Comme l’explique Hakim Belhouchi, les solutions modernes viennent grandement faciliter le travail des ingénieurs qui vont mener l’intégration du nouveau SI. « Avec les réseaux SD-WAN, il est beaucoup plus simple de connecter 2 réseaux entre eux, même si ceux-ci appartiennent à des opérateurs différents. De même, les architectures de sécurité SASE (Secure Access Service Edge) et en particulier la mise en œuvre d’une solution de ZTNA (Zero Trust Network Access) permet aujourd’hui d’accorder un accès facile et rapide aux ressources en toute sécurité. »
Faire appel à des équipes de consultants et d’ingénieurs aguerris sur ce type de projet peut faire gagner énormément de temps en phase de fusion des SI.
Les 5 grandes phases d’une IT Due Diligence
Cadrage et préparation
Définition des objectifs,
Mise en place de la gouvernance.
Mise en place d’une Data Room
Cartographie du SI,
Travail collaboratif avec la DSI de l’entreprise cible.
Analyse détaillée du SI
Inventaire des assets, estimation précise de la dette technique,
Evaluation des risques liés à la sécurité, à la continuité d’activité, à la dépendance à des tiers.
Rédaction des scénarios d’intégration et chiffrage
Statuer pour chaque ressource sur sa substitution avec une application existante, une migration ou un arrêt.
La techno est prête, ne manquent plus que des SoC compatibles : officiellement, on en est là avec l’accélération hardware pour BitLocker.
Cette fonctionnalité est intégrée dans Windows 11 25H2 (déployé depuis octobre) et 24H2 (avec la mise à jour de septembre). D’une part, elle décharge le CPU des opérations cryptographiques en les confiant à un moteur annexe dédié. De l’autre, elle permet, sur le même principe que les HSM, de générer, d’encapsuler et d’utiliser les clés de chiffrement en bloc dans une enclave matérielle – ce qui réduit leur exposition en RAM.
Des SoC Intel pour commencer
Les premières puces à prendre en charge l’accélération matérielle pour BitLocker sont les Core Ultra Series 3 (Panther Lake), qu’Intel devrait lancer au CES (5-9 janvier).
L’algorithme XTS-AES-256 sera utilisé par défaut. Sur les configurations compatibles, si un utilisateur ou un script spécifie un algo ou une taille de clé non géré, BitLocker basculera vers l’implémentation logicielle. Microsoft entend modifier ce comportement au printemps en augmentant automatiquement la taille de clé si nécessaire.
Au-delà de la sécurité, le mécanisme est censé améliorer les performances. En particulier sur les disques NVMe, qui atteignent désormais des débits tels que l’empreinte CPU des opérations cryptographiques peut devenir perceptible.
Dans ses propres tests – évidemment effectués en « configuration idéale » -, Microsoft a plus que doublé les débits en lecture et en écriture en activant l’accélération matérielle pour BitLocker. Il affirme également avoir économisé, en moyenne, 70 % de cycles CPU.
Butterfly Effect bat désormais pavillon américain.
La start-up vient en tout cas de se vendre à Meta ; possiblement pour plus de 2 Md$.
Fondée en 2022, elle avait d’abord développé un « assistant tout-en-un » permettant d’exploiter divers LLM à travers leurs API.
Le produit, nommé Monica AI, existe toujours. Mais il n’est plus la vitrine depuis le lancement de Manus. C’était début mars 2025, quelques semaines après l’électrochoc DeepSeek.
Une start-up chinoise devenue licorne singapourienne
Comme DeepSeek, Butterfly Effect est né en Chine. Il a cependant fini par en délocaliser son siège social, mi-2025. Le déclencheur : un tour de table de 75 M$ emmené par le fonds américain Benchmark… et l’enquête consécutivement conduite par le Trésor sous le régime des investissements à l’étranger.
De ce tour de table, Butterfly Effect était ressorti valorisé à environ 500 M$. L’entreprise est maintenant basée à Singapour. Elle continuera à opérer sur place jusqu’à nouvel ordre, nous affirme-t-on. Même si du point de vue organisationnel, le cœur de l’équipe sera intégré à Meta AI.
Le seuil des 100 M$ de revenu annuel récurrent avait officiellement été franchi mi-décembre. La société comptait alors une centaine d’employés, entre Singapour, Tokyo et San Francisco. Il était question d’ouvrir « bientôt » un bureau à Paris.
Du back-end à l’optimisation SEO, Manus en bâtisseur de sites web full-stack
Entre autres chiffres, Butterfly Effect annonce avoir créé, depuis le lancement de Manus, quelque 83 millions d’« ordinateurs virtuels ». L’entreprise se réfère là à sa technologie de navigateur cloud, intégrée dans l’interface de discussion. Elle y a récemment ajouté une extension (Chrome/Edge) qui permet à l’IA de travailler dans le navigateur local.
Autre brique ajoutée ces dernières semaines : un constructeur de sites web full stack – avec back-end, authentification, base de données, achat/connexion de noms de domaines, optimisation SEO (génération d’une version HTML statique spécifiquement pour les robots) et analytique. Elle fait partie des fonctionnalités réservées aux forfaits payants : Basic (20 $/mois), Plus (40 $/mois), Pro (200 $/mois), Team (à partir de 40 $/siège) et Enterprise.
Certifiée SOC 2 Type I et II, l’offre est pour le moment hébergée aux États-Unis (région AWS en Virginie). Elle met à contribution des modèles d’Anthropic, de Google, d’OpenAI. Elle dépend aussi de Cloudflare (réseau), de HCaptcha (sécurité), d’Intercom (support), de Revenue Cat (paiement), de Stripe (facturation) et de Twilio (notifications SMS).
Les jalons d’un écosystème… jusqu’en France
Outre ses partenariats académiques et son offre de crédits pour les start-up, Butterfly Effect a un programme d’ambassadeurs. Deux d’entre eux se trouvent en France : Niels Rolland (cofondateur et CEO de Paatch, communauté d’AI builders) en Pāvels Baskakovs (ancien de Deloitte et Chainalysis).
Depuis peu existe aussi la Manus Academy. Cette plate-forme de formation à l’usage de l’IA est actuellement en accès anticipé, en anglais, japonais et portugais. Elle s’inscrit dans le prolongement du Build Club, projet que Butterfly Effect porte aux côtés d’acteurs comme OpenAI, Crew AI, Leonardo AI, Groq, LangFlow et Vercel.
La « recherche étendue » est disponible depuis plus longtemps, mais son déploiement sur l’ensemble des forfaits payants n’est pas finalisé. Elle est l’une des marques de fabrique de Manus : plutôt que d’étendre la fenêtre de contexte, on instancie autant d’agents que nécessaire et on les exécute en parallèle.
Une multimodalité couleur Google
Arrivée en mai, la génération d’images repose aujourd’hui sur GPT Image 1 (OpenAI) et sur Nano Banana Pro (Google), au sein d’une espace de travail (« vue design ») qui y associe un agent de recherche et un éditeur interactif. Nano Banana Pro est aussi à la base du générateur de diapositives, réservé aux forfaits payants.
Manus sait générer des vidéos depuis juin, en particulier à l’appui du modèle Veo 3 de Google. En parallèle, il a été doté d’un système de planification de tâches. Et, par après, d’une organisation en projets.
Mi-novembre, Butterfly Effect avait promis que Manus serait disponible dans le cadre de l’offre Microsoft Agent 365.
Le mode chat est accessible à tous les utilisateurs. En mode agent, on ne peut utiliser, sur la version gratuite, que l’architecture dite Manus Lite.
> VMware exclut l’UE de la marche forcée vers VCF
VMware franchit un nouveau cap dans le resserrement de son offre autour de VCF, mais fait – jusqu’à nouvel ordre – une exception pour l’UE.
> Panne Cloudflare : ce qui s’est passé dans le système anti-bots
La panne chez Cloudflare a été déclenchée par une erreur de configuration dans une base de données alimentant le système de gestion des bots. A lire ici
Data & IA
> L’Agentic AI Foundation veut imposer les standards de l’IA autonome
OpenAI, Anthropic et Block s’allient au sein de l’Agentic AI Foundation (AAIF), pour éviter la fragmentation d’un marché stratégique. Plusieurs poids lourds de l’IT participent à l’initiative. A lire ici
> Stratégie IA : la France en tête du peloton européen…mais loin du compte
Le rapport de la Cour des comptes révèle les failles d’une stratégie nationale sur IA, ambitieuse mais sous-financée. A lire ici
> AI Safety Index 2025 : un bilan inquiétant de la sécurité de l’IA
Le Future of Life Institute tire la sonnette d’alarme : aucune des huit grandes entreprises d’IA évaluées n’obtient une note satisfaisante en matière de sécurité. A lire ici
Cybersécurité
> Comment le Shadow AI fait exploser le risque de fuite de données
Si les grandes entreprises ont cadré les usages de l’IA générative, le risque de voir leurs collaborateurs développer des pratiques de Shadow AI en utilisant des modèles américains ou chinois est bien réel. A lire ici
> Quand un rapport de l’ANSSI révélait les défaillances cyber du Louvre
Les défaillances du dispositif de cybersécurité du Louvre, pourtant signalées depuis près de dix ans, n’ont jamais été pleinement corrigées. A lire ici
Business
> Pourquoi OpenAI décrète l’« alerte rouge » face à Google Bousculée par les dernières avancées de Google et d’Anthropic, OpenAI suspend ses projets annexes pour sauver le soldat ChatGPT. A lire ici
> Les pétrodollars à l’assaut de l’IA
Les géants pétroliers et les fonds souverains du Golfe accélèrent leurs investissements dans l’intelligence artificielle pour peser sur l’ordre technologique mondial. A lire ici
> Ce que le nouveau statut d’OpenAI change dans sa relation avec Microsoft
Avec sa transformation en « public benefit corporation », OpenAI rebat les cartes de son partenariat stratégique avec Microsoft. A lire ici
Alphabet, maison mère de Google, vient d’annoncer l’acquisition d’Intersect pour 4,75 milliards $ en cash, auxquels s’ajoute la reprise de la dette existante. Cette opération représente l’une de ses transactions les plus importantes et marque un tournant dans sa stratégie de développement de centres de données dédiés à l’IA.
L’enjeu est de taille : permettre à Google d’accéder à davantage d’électricité pour ses infrastructures, alors que le réseau électrique américain, vieillissant, peine à absorber une demande énergétique qui explose pour la première fois depuis des décennies. L’IA constitue le principal moteur de cette croissance fulgurante.
« Intersect nous aidera à accroître nos capacités, à opérer avec plus d’agilité dans la construction de nouvelles centrales électriques en phase avec la nouvelle charge des centres de données, et à repenser les solutions énergétiques pour stimuler l’innovation et le leadership des États-Unis » déclare Sundar Pichai, directeur général de Google et d’Alphabet.
Un portefeuille énergétique impressionnant
Aux termes de cet accord, Alphabet achète les projets énergétiques et de centres de données d’Intersect, qu’ils soient en développement ou en construction. L’entreprise possède 15 milliards $ d’actifs en exploitation ou en construction.
Elle exploite actuellement environ 7,5 gigawatts de capacité solaire et de stockage, et prévoit de développer 8 gigawatts supplémentaires. Pour référence, un gigawatt équivaut approximativement à la production d’un réacteur nucléaire et peut alimenter environ 750 000 foyers. L’essentiel de cette capacité est concentré au Texas.
Son PDG, Sheldon Kimber, avait d’ailleurs surnommé le Texas le « Disneyland de l’énergie » en raison de ses abondantes ressources éoliennes et solaires. Parmi ses projets phares dans cet État figure « Quantum », un système de stockage d’énergie propre construit directement à côté d’un campus de centres de données pour Google.
L’opération s’inscrit dans une stratégie plus large d’Alphabet dans le secteur énergétique. Google, en partenariat avec TPG Rise Climate, avait déjà soutenu Intersect lors d’une levée de fonds de plus de 800 millions $ en décembre 2024.
Une structure d’acquisition sur mesure
Dans le cadre de cet accord, Alphabet acquiert la plateforme de développement et les effectifs d’Intersect, y compris les actifs en développement déjà sous contrat avec Google. Intersect conservera sa propre marque et restera dirigée par Sheldon Kimber.
Les actifs opérationnels existants de la société au Texas, ainsi que ses actifs opérationnels et en développement en Californie, ne seront pas inclus dans l’acquisition et continueront de fonctionner comme une entreprise indépendante, soutenue par ses investisseurs actuels. TPG Rise Climate conservera une participation dans ces actifs.
Intersect explorera également un éventail de technologies émergentes pour accroître et diversifier l’approvisionnement énergétique, tout en soutenant les investissements de Google dans ses centres de données américains.
« En acquérant un développeur et pas seulement un contrat d’achat d’électricité, Google s’offre la flexibilité nécessaire pour construire où et quand il le souhaite » estime Ben Hertz-Shargel, analyste du cabinet Wood Mackenzie cité par Bloomberg.
C’est une fin d’année sous tension pour les infrastructures numériques de La Poste. Le groupe a officialisé ce lundi être victime d’une attaque par déni de service rendant ses services numériques inaccessibles.
Cette offensive intervient durant la semaine des fêtes de Noël, une période charnière où l’opérateur gère un volume massif d’activité, avec environ 180 millions de colis triés et distribués sur les deux derniers mois de l’année.
Impacts sur les services postaux et bancaires
Si l’attaque rend les portails web indisponibles, La Poste précise que la distribution des colis et des courriers reste « assurée à ce stade », bien que perturbée.
Du côté de La Banque Postale, l’accès à la banque en ligne et à l’application mobile a été interrompu tôt dans la matinée. Le groupe se veut toutefois rassurant sur deux points critiques :
Données clients : Aucun impact n’est à déplorer sur l’intégrité ou la confidentialité des données.
Continuité des transactions : Les paiements par carte bancaire sur les terminaux en magasin, les virements via la solution Wero, ainsi que les retraits d’espèces aux distributeurs restent fonctionnels. Les paiements en ligne demeurent possibles grâce à l’authentification par SMS.
BPCE également touché par un dysfonctionnement
La Poste n’est pas le seul acteur financier à avoir rencontré des difficultés ce lundi matin. Le groupe BPCE (Banque Populaire et Caisse d’Épargne) a également fait état d’un
« dysfonctionnement » ayant affecté ses services.
Toutefois, selon un porte-parole de BPCE, la situation a été plus rapidement maîtrisée : « c’était temporaire, cela est rentré dans l’ordre ». Si les applications mobiles du groupe refonctionnent normalement, le retour à la normale pour les sites internet s’effectue de manière progressive.
Pour La Poste, la priorité reste le rétablissement complet de ses interfaces numériques afin de ne pas fragiliser davantage la chaîne logistique en cette période de flux records.
L’IA générative (GenAI) entre dans une phase où l’expérimentation cède la place à l’intégration concrète. En effet, les organisations commencent à considérer ces modèles comme des composants opérationnels à part entière plutôt que comme de simples assistants autonomes. L’attention se porte désormais sur leur comportement une fois intégrés dans des environnements où la performance, la protection de l’information et la cohérence dans la durée sont déterminantes.
Alors cette transition s’accélère, le défi central devient la définition d’une approche architecturale capable de garantir un usage fiable à grande échelle, tout en maîtrisant les coûts à long terme et la continuité opérationnelle.
L’architecture comme socle structurel de la fiabilité de l’IA générative
Les systèmes d’entreprise imposent des contraintes qui conditionnent la manière dont l’IA générative peut être intégrée. Dans ce cadre, les grands modèles de langage (LLM) publics offrent une mise à l’échelle rapide et un accès à de vastes capacités linguistiques, sans exiger d’infrastructure dédiée. Leur principal atout tient à leur flexibilité, plutôt qu’à une maîtrise fine des usages. À l’inverse, les modèles privés s’inscrivent dans une logique architecturale différente, avec des environnements construits autour de données propriétaires, de périmètres d’accès définis et de modalités d’intégration pilotées directement par l’organisation.
Cette distinction demeure structurante, car l’alignement architectural détermine si l’IA générative reste cantonnée à des usages exploratoires ou si elle s’insère dans des processus où la précision, la prévisibilité et la traçabilité sont indispensables. Une fois cet alignement établi, le rôle du modèle se clarifie, ce qui permet de définir des stratégies de déploiement compatibles à la fois avec les exigences opérationnelles et les cadres réglementaires.
Intégrer la confidentialité dans la structure du système
Dès lors que l’IA générative interagit avec des informations sensibles, la protection des données devient une exigence structurelle et non un simple ajustement de surface. L’exposition d’informations confidentielles ou la perte de contrôle sur leur circulation rappelle la situation, évoquée par analogie, où des données de carte bancaire seraient notées sur papier avant une transaction, ce qui suscite immédiatement des doutes sur la fiabilité du processus chargé de les traiter.
Les déploiements privés répondent largement à cette problématique en maintenant les traitements au sein des frontières de l’entreprise, ce qui préserve la souveraineté des données et limite les flux inutiles. Lorsque des échanges s’avèrent nécessaires, des intégrations via des interfaces de programmation (API) sécurisées et des mécanismes de réplication contrôlée permettent d’assurer le chiffrement, de faire respecter les règles d’autorisation et de ne partager que les données strictement nécessaires à la tâche.
Cette approche fait de la confidentialité une propriété intrinsèque de l’architecture et crée les conditions pour un comportement cohérent de l’IA générative dans des environnements réglementés ou à forts enjeux. L’intégration s’inscrit alors dans les mêmes standards opérationnels que le reste de l’infrastructure de l’entreprise, qu’il s’agisse de la protection de la vie privée, du contrôle des accès ou de la traçabilité, sans dépendre de politiques externes sur lesquelles l’organisation dispose d’une influence limitée.
Une stratégie opérationnelle guidée par l’alignement des cas d’usage
Une fois les contraintes architecturales posées, la stratégie opérationnelle détermine la manière dont l’IA générative est mobilisée. Les modèles publics sont particulièrement adaptés à des usages larges tels que la génération de contenus, la synthèse, l’aide à la traduction ou les premières phases d’analyse, dans lesquelles des bases de connaissances étendues et des modèles généralistes accélèrent la production de résultats.
Lorsque les exigences se précisent, de nouveaux critères orientent le choix du modèle. Les modèles privés trouvent leur place dans des environnements marqués par des impératifs de traçabilité, une forte spécialisation métier ou une supervision réglementaire stricte. Ils permettent de maintenir une chaîne de responsabilité fiable autour de l’information et s’intègrent plus naturellement aux systèmes d’entreprise existants, fondés sur des journaux d’audit et une gestion contrôlée de la lignée des données.
À mesure que les usages se structurent, le Process Prompt Engineering s’impose comme un élément clé. Les interactions évoluent vers des instructions formalisées et intentionnelles, conçues pour s’aligner sur la logique métier et les exigences de conformité. L’IA générative cesse alors d’être une interface conversationnelle pour devenir une étape gouvernée au sein de workflows automatisés.
La structure de coûts comme facteur stratégique de long terme
La question des coûts s’impose dès que les usages montent en charge. Les modèles publics réduisent les barrières initiales, bien que leurs coûts récurrents, liés notamment à l’utilisation des API, aux sorties de données ou à la dépendance à des systèmes externes, puissent croître sensiblement dans le temps. Les modèles privés impliquent un investissement initial plus élevé, tandis que la concentration des traitements dans des environnements internes limite les dépendances externes et stabilise la planification financière sur le long terme.
Cette structure devient encore plus favorable lorsqu’elle s’articule avec des briques d’entreprise telles que des couches d’API sécurisées, des moteurs d’orchestration ou des plateformes d’intelligence des données. Ces ensembles facilitent des déploiements sur site ou hybrides tout en conservant un haut niveau de maîtrise de l’information et de cohérence de l’infrastructure. Dans ce contexte, le coût ne se mesure plus uniquement en termes financiers, mais s’apprécie au regard du niveau de contrôle, de la résilience et de la capacité d’évolution dans le temps.
Progressivement, le coût se transforme ainsi d’une contrainte en un paramètre stratégique, garantissant que l’IA générative puisse s’étendre sans fragiliser les opérations ni générer des schémas de dépenses imprévisibles.
Lorsque coûts, architecture et choix opérationnels interagissent, le rôle de l’IA générative se stabilise. L’architecture fixe le degré de contrôle et de confidentialité, la stratégie opérationnelle aligne les tâches avec le type de modèle approprié, et la structure de coûts assure la soutenabilité de ces décisions dans la durée. L’ensemble façonne un modèle de déploiement capable de fonctionner de manière fiable à grande échelle, en s’intégrant aux systèmes d’entreprise de façon prévisible et cohérente.
Dans cette configuration, l’IA générative quitte progressivement le registre de l’expérimentation pour devenir une capacité gouvernée, intégrée à l’environnement informationnel global.
*Par Michael Curry est President, Data Modernization Business Unit chez Rocket Software
Bouygues Telecom nomme Georgina Lopez au poste de directrice des systèmes d’information (DSI). Dans le cadre de ses nouvelles fonctions, elle aura pour mission de garantir une qualité de service du système d’information conforme aux attentes des clients internes et externes, d’accompagner les évolutions du SI nécessaires au succès de l’opérateur sur son marché, et d’améliorer en continu la performance et l’agilité des systèmes, notamment grâce à des architectures et méthodes innovantes et à l’exploitation du potentiel de l’intelligence artificielle.
Titulaire d’un diplôme d’ingénieur, Georgina Lopez a rejoint Bouygues Telecom en 1999. Elle y a occupé plusieurs postes managériaux au sein des directions techniques, des systèmes d’information, du réseau et de l’entreprise. En 2022, elle est nommée responsable de la Direction Produits et Services, en charge des solutions de connectivité et de télévision pour les clients Grand Public. À ce poste, elle pilote notamment le lancement de la nouvelle Bbox WiFi 7 début 2025.
Engagée de longue date en faveur de la diversité et de l’inclusion, Georgina Lopez est présidente depuis 2020 du réseau féminin Bouygt’elles. Cette initiative vise à renforcer la représentativité des femmes au sein des instances de management de Bouygues Telecom et dans les filières techniques, en cohérence avec les valeurs portées par l’entreprise.
Le 9 décembre dernier, à Paris, NetMedia Group a inauguré la première édition des IAWARDS. À travers une dizaine de catégories, ce nouvel événement a mis en lumière des initiatives démontrant de façon tangible l’impact de l’intelligence artificielle dans les métiers, avec une attention particulière portée aux fonctions achats et supply chain.
Imaginés comme un rendez-vous de valorisation et d’analyse des usages, les IAWARDS ont rassemblé l’écosystème IA et business autour d’un objectif commun : récompenser des projets déjà déployés au sein des organisations, capables de prouver leur valeur opérationnelle et leurs résultats concrets.
Soutenus par les 11 marques médias de NetMedia Group, dont Décision Achats, les prix ont embrassé un large éventail de fonctions, allant de l’e-commerce au marketing, en passant par la finance, l’IT, la relation client ou encore la performance commerciale.
𝐋𝐞𝐬 𝐈𝐀𝐖𝐀𝐑𝐃𝐒 𝐛𝐲 𝐍𝐄𝐓𝐌𝐄𝐃𝐈𝐀 𝐆𝐑𝐎𝐔𝐏, 𝐜’𝐞𝐬𝐭 : 𝐋𝐞𝐬 𝐦𝐞𝐢𝐥𝐥𝐞𝐮𝐫𝐞𝐬 𝐢𝐧𝐢𝐭𝐢𝐚𝐭𝐢𝐯𝐞𝐬 𝐈𝐀 𝐝𝐚𝐧𝐬 𝟕 𝐬𝐞𝐜𝐭𝐞𝐮𝐫𝐬 𝐜𝐥é𝐬 : marketing, e-commerce, finance, achats, relation client, IT, performance commerciale. 𝐔𝐧 𝐣𝐮𝐫𝐲 𝐝’𝐞𝐱𝐩𝐞𝐫𝐭𝐬 pour sélectionner les leaders qui font bouger les lignes. 𝐔𝐧𝐞 𝐬𝐨𝐢𝐫é𝐞 𝐩𝐨𝐮𝐫 𝐜é𝐥é𝐛𝐫𝐞𝐫 𝐥’𝐢𝐧𝐧𝐨𝐯𝐚𝐭𝐢𝐨𝐧… et celles et ceux qui la portent.
Composé de dirigeants, d’experts métiers et de professionnels de terrain, le jury a notamment salué la capacité des candidats à franchir le cap de l’expérimentation pour ancrer durablement l’intelligence artificielle au cœur des processus, au service de la performance, de l’efficacité opérationnelle et de la création de valeur.
Félicitations aux lauréats de cette première édition !
Marketing : performance & stratégie prédictive par l’IA
Or – MV Group
Argent – Actionable & OUIGO
Bronze – ADROI
E-commerce : Stratégie Data & IA appliquée au e-commerce
Or – Actionable & Carrefour
Argent – Botmind
Au nom de la compétitivité, une « révolution en matière de simplification » se prépare.
Les institutions de l’UE l’avaient promis en novembre 2024, à l’issue du Sommet de la communauté politique européenne. Elles s’étaient engagées à « réduire drastiquement les charges administratives, réglementaires et de déclaration, en particulier pour les PME ».
La Commission européenne a repris ces éléments dans son programme de travail pour 2025. Annoncé le 11 février, il comporte des objectifs chiffrés : d’ici à la fin du mandat en 2029, réduire le « fardeau administratif » de 25 % (et de 35 % pour les PME).
Deux semaines plus tard étaient présentés deux trains de mesures, dits omnibus. L’un assouplit les exigences de reporting extra-financier, notamment en réduisant le champ d’application de la directive CSRD (informations en matière de durabilité) et en reportant l’entrée en application de certaines de ses dispositions. L’autre applique la même logique aux règlements InvestEU et EFSI, dans le but de stimuler les investissements stratégiques.
L’omnibus numérique apporte des changements à l’AI Act. Il prévoit notamment de décaler l’entrée en application des règles relatives au système d’intelligence artificielle classés à haut risque. L’échéance, initialement fixée à août 2026, pourra être repoussée de 16 mois maximum, le temps de mettre des outils de soutien à disposition des entreprises.
L’AI Act serait aussi modifier pour étendre aux small caps certaines simplifications accordées aux PME qui développent ou utilisent des systèmes d’IA. Notamment en matière de documentation technique. Par small cap, il faut entendre les organisations comptant moins de 750 salariés et ne dépassant pas 150 M€ de CA annuel ou 129 M€ de total de bilan. Une catégorie créée à l’échelle de l’UE par un autre paquet omnibus.
Toujours au chapitre AI Act, l’accès aux bacs à sable réglementaires (environnements de tests contrôlés) est élargi. Davantage de tests en conditions réelles seront par ailleurs effectués, dans des secteurs comme l’automobile.
Allégements autour d’un « nouveau Data Act »
L’omnibus numérique abroge plusieurs textes dont il fusionne certaines dispositions au sein du Data Act :
Data Governance Act (règlement 2022/868)
Directive Open Data (2019/1024)
Règlement sur la libre circulation des données à caractère non personnel au sein de l’UE (2018/1807, dit FFDR)
Le « nouveau Data Act » apporte, entre autres, des facilités pour les PME qui fournissent des services de traitement de données. Plus précisément, un régime plus « léger » pour les services « personnalisés » (non commercialisés sur étagère et qui ne fonctionneraient pas sans une adaptation préalable aux besoins de l’utilisateur).
Des facilités sont également octroyées aux fournisseurs de services d’intermédiation de données. Ils n’ont pas l’obligation de notifier les autorités compétentes, ni d’opérer une séparation juridique vis-à-vis d’autres services (une séparation fonctionnelle suffit).
L’omnibus supprime aussi, dans le Data Act, les exigences pour les smart contracts qui exécutent des accords de partage de données (contrôle de l’accès, archivage, résilation en toute sécurité…). Il fournit par ailleurs un motif supplémentaire pour refuser de communiquer des données relatives à des produits connectés au nom du secret des affaires. En plus du risque de préjudice économique grave, il devient possible d’invoquer le risque élevé d’acquisition ou d’usage par des pays tiers qui ne garantissent pas un niveau de protection des données équivalent à celui de l’UE.
PME et small caps sont de plus exemptées des règles sur le changement de fournisseur cloud, excepté celles relatives à la fin des frais de sortie.
Le RGPD assoupli jusqu’à la définition des données personnelles
L’omnibus numérique apporte aussi des modifications au RGPD… qui change jusqu’à la définition des données personnelles.
Celles-ci ne le sont plus pour toute entité qui ne peut pas réidentifier la personne concernée à l’aide de moyens raisonnables. Cela reste vrai même si un destinataire ultérieur a les moyens de réaliser cette identification.
Le périmètre des « données de santé » se réduit aussi. Ne sont plus considérées comme telles que celles qui révèlent « directement » des infos sur l’état de santé d’une personne. De même, n’est plus interdit que le traitement de données personnelles révélant « directement » l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, etc.
L’omnibus numérique introduit une dérogation supplémentaire à l’interdiction de traiter des catégories particulières de données personnelles. Elle touche au développement et à l’exploitation de systèmes d’IA. Elle complète, entre autres, l’obtention d’un consentement explicite et la nécessité pour la sauvegarde des intérêts vitaux de la personne concernée.
Des contraintes en moins sur l’information des personnes concernées et des autorités
Les règles relatives aux cookies sont modernisées. L’idée est que les utilisateurs puissent définir leurs préférences « en un clic » pour une durée de 6 mois ou via les paramètres de leur navigateur ou OS. En parallèle, certaines fonctions basiques des sites web, comme le comptage du nombre de visiteurs, ne nécessitent plus de consentement.
Autres exigences allégées : celles relatives à l’information des personnes concernées. Elles ne s’appliquent plus dès lors que les collectes sont effectuées dans le cadre d’une relation « claire et délimitée » par un responsable de traitement exerçant une activité « non intensive en données ». Ce sous réserve que la personne connaisse déjà les finalités et la base du traitement.
Quant à l’obligation de notifier l’autorité référente en cas de violation de données, elle devient limitée aux incidents qui engendrent un risque élevé pour les droits et libertés des personnes concernées. Le délai est porté de 72 à 96 heures.
L’abandon de la directive sur la responsabilité en matière d’IA…
Parallèlement à ces dispositifs, la Commission européenne a abandonné ses travaux sur certains textes. Parmi eux, une directive sur la responsabilité en matière d’IA. Motif : pas d’accord prévisible entre les colégislateurs de l’UE.
Il s’agissait de garantir aux victimes de dommages causés par l’IA une protection équivalente à celle des victimes de dommages causés par d’autres produits de manière générale. En toile de fond, des règles nationales jugées non adaptées au traitement des actions en responsabilité pour de tels dommages. En particulier sur la charge de la preuve. Autre constat : les stratégies IA de plusieurs États membres montraient une volonté d’élaborer des mesures dans le domaine… au risque d’une fragmentation qui augmenterait les coûts pour les entreprises exerçant dans l’ensemble de l’Union.
La directive devait s’appliquer aux actions civiles fondées sur une faute extracontractuelle pour des dommages causés par un système d’IA classé « à haut risque ». Elle avait pour principaux effets d’habiliter les juridictions nationales à ordonner la divulgation d’éléments de preuve et d’établir une présomption de lien de causalité. L’approche d’harmonisation était dite minimale, de sorte qu’on pourrait toujours invoquer les règles plus favorables du droit national.
… et du règlement ePrivacy
Un autre texte a été mis sur la touche : le règlement ePrivacy. Là aussi par manque de perspective d’accord entre législateurs. Mais également parce que son contenu apparaissait « obsolète au vu de la législation récente ».
Le règlement était resté à l’état de projet depuis 2017. L’objectif était initialement de le faire entrer en application parallèment au RGPD (soit le 25 mai 2018). Il aurait remplacé une directive de 2002, révisée pour la dernière fois en 2009, et également dite ePrivacy – ou « vie privée et communications électroniques ». D’un côté, pour encadrer plus strictement l’usage des métadonnées et des cookies. De l’autre, pour élargir son champ aux services de communication « par contournement » (OTT, over-the-top).
Le « nouvel ePrivacy » devait englober davantage de techniques de suivi du comportement en ligne. Et remédier à la « formulation confuse » de certaines dispositions de la directive. L’une touchait au consentement dans le cadre du suivi en ligne. Les modifications proposées avaient entraîné une levée de boucliers d’éditeurs de presse et de représentants du numérique et des télécoms.
Une disposition nouvelle aurait obligé les fournisseurs de logiciels et de matériels associés à des services de communication à proposer, dans les paramètres de configuration, la possibilité de refuser les cookies tiers. Une autre aurait imposé de présenter un code ou un indicatif spécifique montrant le caractère commercial d’appels téléphoniques.
AI Act : une entrée en application (très) progressive
Le RGPD est en application depuis le 25 mai 2018. Le Data Act, depuis le 12 septembre 2025. Concernant l’AI Act, une première salve de dispositions sont applicables depuis février. Une bonne partie ont pour effet d’exclure du champ du règlement certains systèmes et usage. Par exemple :
Systèmes d’IA utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale
Systèmes ou modèles d’IA spécifiquement développés et mis en service uniquement à des fins de R&D scientifique
Systèmes d’IA publiés sous licence ouverte, tant qu’ils ne sont pas mis sur le marché ou mis en service en tant que système à haut risque ou relevant d’usages que l’AI Act interdit
Parmi ces usages interdits, il y a la techniques subliminales ou délibérément trompeuses, la « notation sociale » et l’exploitation de vulnérabilités dues à l’âge, au handicap ou à la situation sociale ou économique. Pour aider à leur interprétation, la Commission européenne a publié des lignes directrices.
Des pressions face aux règles applicables à ChatGPT & Cie
Une deuxième série de mesures de l’AI Act est entrée en application au mois d’août. Parmi elles, les obligations faites aux fournisseurs de modèles d’IA à usage général – ChatGPT, Gemini, Claude, etc.
En amont, l’association EU AI Champions, qui regroupe une soixantaine d’entreprises européennes, avait demandé un moratoire de 2 ans sur l’application des principales obligations. Motif : la complexité du texte et l’absence de lignes directrices opérationnelles. Parmi les signataires, Arthur Mensch (Mistral AI), Éléonore Crespo (Pigment), Alexandre Bompard (Carrefour), Jean-Laurent Bonnafé (BNP Paribas), Bernard Charlès (Dassault Systèmes), Guillaume Faury (Airbus) et Patrick Pouyanné (TotalEnergies).
L’association professionnelle CCIA Europe, représentant de grandes entreprises technologiques internationales, avait également appelé à un report, soulignant le risque de freiner l’innovation et la compétitivité.
La France avait adopté une position intermédiaire. Clara Chappaz, ministre déléguée au numérique, avait souhaité que la mise en œuvre du règlement ne soit pas ralentie, mais qu’un délai de grâce soit accordé pour la mise en conformité.
La présidence polonaise du Conseil de l’UE, comme le Premier ministre suédois, avait porté une demande formelle de report.
Le débat se porte sur la révision du DMA
Entre juillet et septembre 2025, la Commission européenne a organisé une consultation publique. Cela préfigure la première évaluation du DMA (une démarche à boucler au plus tard le 3 mai 2026 et qui pourrait mener à des modifications).
Le règlement s’applique actuellement à une vingtaine de « services de plate-forme essentiels » dont les exploitants sont nommés « contrôleurs d’accès » (gatekeepers). Il est censé garantir la contestabilité et l’équité des marchés dans le secteur numérique de l’UE, à travers des règles touchant notamment à l’exploitation de données, à l’interopérabilité et aux relations contractuelles avec les entreprises utilisatrices des services en question.
Dans le contexte de pression sur la Commission européenne, la Chambre de commerce de République tchèque s’est inscrite dans la lignée du rapport Draghi pour réclamer des allégements du DMA.
L’Open Cloud Coalition (alliance de fournisseurs essentiellement britanniques) a suivi. Elle estime que le DMA n’est pas adapté au cloud, mieux couvert par les règles antitrust standards ; en tout cas pour le IaaS et le PaaS, dont le fonctionnement n’implique pas réellement d’intermédiaires entre des utilisateurs et des fournisseurs de services.
Du SIEM à la RPA, de l’UCaaS à l’iPaaS, il existe au moins un axe d’évolution commun : la diffusion des technologies d’IA.
Nous en avons fait un des angles d’une brève revue des tendances du marché IT en 2025. En nous intéressant, en parallèle, à trois autres aspects :
La « platformisation » et ses effets (stratégies mono/multifournisseur, lock-in, chevauchements de produits)
Le décalage entre offre et demande
L’évolution des tarifications
Les éléments suivants sont issus de notre traitement du Magic Quadrant au long de l’année, sur une quarantaine de segments. Il s’agit donc d’instantanés ; basés, pour les plus anciens, sur des évaluations qui remontent à 2024. Nous avons circonscrit le périmètre d’analyse aux fournisseurs considérés comme leaders sur les marchés concernés.
1. L’IA, élément plus ou moins perturbateur
Une voie structurante pour le SIEM
Parmi les dynamiques qui structurent le marché du SIEM, il y a une opposition. Entre, d’un côté, les fournisseurs qui poussent la combinaison avec d’autres parties de la stack de sécurité pour réduire la complexité. Et de l’autre, ceux qui prônent un usage stratégique de l’augmentation des workflows, notamment à renfort d’IA.
Sur ce marché, Gartner salue l’usage de l’IA chez Exabeam pour la priorisation des cas ; chez Microsoft pour la corrélation. Il note aussi la capacité de Google à la diffuser sur un large spectre de workflows.
Un enrichissement pour la sécurité des e-mails
Sur ce marché, les modèles de langage contribuent, entre autres, à l’évolution des simulations de phishing, à l’extension du support linguistique de moteurs d’analyse et à la détection des mauvais destinataires.
Une recomposition du paysage concurrentiel sur la gestion du travail collaboratif
À mesure que l’IA les gagne, les solutions de gestion du travail collaboratif entrent en concurrence avec des applications traditionnellement classées dans d’autres segments de marché. Par exemple, la gestion de projets, les intranets, les outils de développement et les suites bureautiques cloud. Le phénomène est notamment porté par la multiplication des « accélérateurs de cas d’usage ». En quelque sorte, des kits de démarrage associant modèles de données, workflows et configurations prêtes à l’emploi. Une proposition de valeur qui réduit, tout du moins sur le papier, le besoin en applications spécialisées.
Sur ce marché, Gartner salue l’approche d’Airtable associant chatbot global et agents embarqués au sein des applications. Il apprécie aussi l’architecture Work Graph d’Asana, entre le modèle de données qui la porte et les agents IA qui y sont greffés.
Une diffusion rapide dans la gestion des actifs numériques
La GenAI se généralise pour la création et la manipulation de contenus, ainsi que leur adaptation aux canaux de diffusion. Elle ajoute cependant à la complexité des tarifications.
Sur ce marché, Gartner salue l’intégration de l’IA dans les workflows de création chez Adobe. Il apprécie aussi sa mise en œuvre par Aprimo (recherche sémantique, métadonnées prédictives et révision automatisée du contenu). Comme par Bynder (capacité de création et de mise en œuvre d’agents IA qui, combinés à l’API, favorisent la création de contenus par d’autres métiers que le marketing), Orange Logic (automatisation agentique, recherche conversationnelle) et Storyteq (conception d’agents sans code).
Une composante pas encore fondamentale dans l’UCaaS
L’IA est un levier de différenciation pour les offreurs, en premier lieu sur l’administration et la maintenance. Elle apparaît toutefois rarement fondamentale dans les décisions d’achat. Sauf pour des cas spécifiques impliquant des métiers en contact avec la clientèle.
Sur ce marché, Gartner salue les investissements de Cisco dans l’IA. Il apprécie aussi le socle « robuste » proposé chez Microsoft – bien qu’il soit focalisé sur la partie réunions – et la fonctionnalité de « réceptionniste virtuel » de RingCentral.
Un développement embryonnaire du génératif dans la protection des terminaux
Sur ce marché, les principaux fournisseurs ont globalement peu innové au niveau du cœur fonctionnel. La R&D s’est concentrée sur les produits adjacents, l’intégration de solutions tierces… et le volet IA. Y compris générative, même si son usage demeure embryonnaire, essentiellement pour l’assistance administrative (résumé d’incidents, découverte de documentation, traduction code-texte et vice versa). Il reste par ailleurs du chemin à parcourir pour ce qui est d’intégrer les assistants IA avec des produits tiers.
Une boussole commerciale pour la RPA sous le prisme agentique
La RPA se dilue au sein de plates-formes englobant des technologies comme l’iPaaS, l’IDP (Intelligent Document Processing) et le développement low code. La tendance n’est pas nouvelle, mais elle prend un autre visage avec l’automatisation agentique. Les principaux offreurs ont presque tous développé des fonctionnalités qui relèvent de ce domaine. Ils n’hésitent pas à les intégrer dans leurs propositions commerciales, quand bien même le client ne les a pas sollicitées.
Sur ce marché, Gartner salue la brique computer vision de SS&C Blue Prism. Mais note que ses offres GenAI sont moins « versatiles » que chez la concurrence, en ce qu’elles se focalisent sur la modalité texte. Le cabinet américain appelle aussi à la vigilance concernant l’impact que le focus sur l’automatisation agentique pourrait avoir sur le « cœur RPA » chez Automation Anywhere et UiPath.
Le génératif, désormais une commodité sur le DEX et l’iPaaS
Sur le marché du DEX (gestion de l’expérience employé numérique), la GenAI s’est répandue, en tout cas pour la recommandation de remédiations, l’ébauche de campagnes à destination des employés et la fourniture d’interfaces en langage naturel aux admins. Omnissa a droit à une mention pour son assistant Omni AI.
Sur le marché de l’iPaaS, Gartner considère maintenant l’IA comme une fonctionnalité standard, que ce soit pour la création d’intégrations, la génération de documentation ou l’exploitation des solutions. Il salue son intégration rapide chez Workato, sa connexion avec l’écosystème Azure chez Microsoft et son utilisation chez SAP en renfort d’une approche « composable » et orientée événements.
Du conversationnel pour la data quality
Gartner focalise désormais son analyse sur les solutions « augmentées ». En d’autres termes, enrichies à base d’algorithmes. Principalement à l’appui de techniques d’apprentissage supervisé, tout du moins pour les cas d’usage où les entités et leurs relations sont bien cernées (analyse des graphes et des métadonnées, par exemple).
Sur la partie GenAI, la tendance est à l’ajout de capacités « de type ChatGPT ». Souvent à renfort de versions spécifiques de l’offre OpenAI (Azure OpenAI, modèles sur Vertex AI…) pour des raisons de sécurité. Il arrive que les fournisseurs développent leurs propres interfaces avec les LLM pour traduire entrées et sorties.
La prise en charge des données structurées s’est développée avec le RAG en point de mire. Les offreurs ont pris le pas, pêle-même, en s’associant à des hyperscalers, en exploitant des LLM ouverts, en personnalisant des LLM commerciaux, voire en développant les leurs.
Sur ce marché, Gartner salue la brique CLAIR AI Copilot d’Informatica et l’assistant qu’Ataccama a intégré dans sa plate-forme de data management.
Les plates-formes DSML, entre prédictif et génératif
Dans l’univers des plates-formes DSML (data science & machine learning), la tendance est à cibler des profils d’utilisateurs alignés sur des BU et des domaines fonctionnels. AutoML reste, dans ce cadre, une composante essentielle. Mais il est désormais complété par des assistants GenAI. En toile de fond, des opportunités de différenciation pour les vendeurs, dans la manière dont ils combinent prédictif et génératif.
Sur ce marché, Gartner apprécie l’offre SageMaker Unified Studio d’AWS et sa brique « IA responsable » Bedrock Guardrails (vérification par raisonnement automatisé), mais note que son catalogue de modèles de fondation n’a pas encore une influence déterminante auprès des acheteurs. Databricks est salué pour sa vision d’un écosystème agentique, adapté en particulier à la finance et à la gestion de réputation. Dataiku l’est pour son initiative LLM Mesh, par ce qu’elle apporte en matière de gouvernance. DataRobot l’est pour son repositionnement vers un écosystème agentique d’applications métier, avec cependant un point d’interrogation quant à l’adhésion des éditeurs partenaires à ce pivot.
Dans le DEM, attention au marketing de l’IA
Dans beaucoup de solutions de DEM (gestion de l’expérience numérique ; pas seulement pour les employés, ce qui différencie ce marché du DEX), il existe un décalage entre les capacités promises et celles réellement apportées.
Gartner apprécie les briques Davis AI et Davis CoPilot de Dynatrace. Il salue aussi Datadog (pour la détection d’anomalies et la fourniture de résumés après corrélation) et New Relic (dépannage, résumé de sessions, provisionnement de tests synthétiques).
Un coup de pouce pour les infrastructures LAN
Sur ce marché, l’évolution de l’offre est portée par de nouvelles approches d’approvisionnement, sur fond de basculement vers des réseaux « autonomes », à l’appui de technologies regroupées sous la bannière IA. Parmi ces nouvelles approches, le NaaS, encore peu adopté, mais qui se structure par l’émergence de modèles de consommation basés sur la surface occupée (square footage) ou sur des incréments par utilisateur.
Gartner salue l’usage de l’IA par HPE pour la collecte et le traitement de la télémétrie ; par Juniper à travers les jumeaux numériques ; par Huawei pour le même motif, ainsi que pour l’optimisation du provisionnement et de l’UX.
Des d’usage distingués sur la data…
Entre autres capacités notables sur l’intégration de données sont celles de :
Ab Initio (compréhension des données, création de pipelines, interactions en langage naturel)
Denodo (description et étiquetage automatiques des données sensibles ; réponse aux questions des métiers à l’appui d’un modèle de raisonnement)
Google (agent de data engineering pour BigQuery)
IBM (gestion des données non structurées avec les modèles Granite)
Informatica (gestion de pipelines avec CLAIRE GPT)
Informatica est également distingué sur la gouvernance des données, avec son plug-in CLAIRE AI axé sur l’automatisation des tâches côté tech.
Sur la gouvernance des communications électroniques, bon point pour Arctera mêle détection automatique de la langue et transcription, analyse de sentiment, recherche et labels prédictifs.
Au niveau des intranets, l’IA se diffuse chez LumApps, tant pour les gestionnaires de contenus que les utilisateurs finaux. Et chez Simpplr, notamment pour la gouvernance (utilisation de NVIDIA NeMo Guardrails et de Langfuse).
… l’infra
Sur la gestion du SaaS, Torii est salué pour le traitement des contrats, l’enrichissement des profils d’applications et la conception d’automatisations. Zluri, pour l’analyse de l’activité des utilisateurs, le dimensionnement des licences… et aussi le traitement des contrats.
En matière de gestion d’API, bon point pour Kong (génération d’API, de spécifications et de serveurs MCP).
Sont mentionnés sur l’observabilité :
Dynatrace : découverte des environnements et des causes racines
Elastic : catalogue de modèles, capacités de personnalisation, assistant avec RAG
New Relic : bibliothèque d’agents et API d’intégration standardisée
Sur le PaaS, Gartner souligne les connexions que les principaux hyperscalers ont établies avec leurs écosystèmes IA : Bedrock et SageMaker chez AWS, Azure AI Foundry chez Microsoft, Gemini et Vertex AI chez Google, Model Studio et Platform for AI chez Alibaba Cloud. Il note aussi que Salesforce a aligné Heroku sur sa stratégie IA, le rendant ainsi susceptible de mieux toucher les métiers.
AWS et Google ont un avantage sur le cloud public d’infrastructure, par la maîtrise qu’ils ont sur leurs piles respectives, à commencer par les puces.
Sur le stockage d’entreprise, HPE et Huawei sont cités pour leur usage de l’IA. Le premier, sur l’optimisation des ressources et l’observabilité. Le second, sur l’atténuation des risques et l’isolation plus rapide des erreurs.
HCLSoftware est mentionné sur le SOAP (orchestration de services) pour les capacités qu’il apporte en matière d’optimisation des workloads et de gestion de la plate-forme.
AWS l’est sur le DaaS, pour l’assistance au dépannage et à la gestion des ressources.
… et la sécurité
Sur le PAM (gestion des accès à privilèges), bons points pour CyberArk (résumé de sessions, détection d’anomalies au niveau des secrets, recommandation de règles) et Delinea (automatisation des décisions d’accès dans les environnements cloud).
Dans le domaine des pare-feu réseau, Fortinet a intégré de l’IA jusque sur ses appliances physiques pour l’analyse des événements de sécurité. Palo Alto Networks en a aussi intégré… et l’a surtout sécurisée. Dans le même ordre d’idée, Netskope a étendu la couverture de son SASE aux agents IA.
En matière de sauvegarde, Veeam se distingue sur le scan inline ; Rubrik, sur la détection d’anomalies ; Druva, sur l’aide au dépannage et au reporting.
2. La « platformisation » et ses effets
Dans la nomenclature de Gartner, plusieurs analyses de marchés ont vu leur terminologie évoluer en 2025 pour englober la notion de plate-forme. Il n’est, par exemple, plus question de solutions de sauvegarde/restauration, mais de « plates-formes de sauvegarde et de protection des données ». Le reflet d’une « complexification des patrimoines data », pour résumer la position du cabinet américain. Même si dans la pratique, les critères fonctionnels pris en considération pour évaluer les fournisseurs n’ont pas significativement changé (il faut tout de même désormais gérer les environnements multicloud).
Dans la même logique, le marché des « services d’IA pour les développeurs » a laissé place à celui des « plates-formes de développement d’applications IA ». Quant au stockage d’entreprise, les technologies bloc, fichier et objet font désormais l’objet d’une analyse unifiée.
Gartner n’a pas attendu 2025 pour accoler le terme à son analyse des solutions de process mining, mais il note cette année une tendance croissante à les inclure dans des plates-formes d’automatisation. Cette tendance reste au contraire émergente pour la gouvernance des données : historiquement axées sur le data management (exécution des politiques de gouvernance) plus que sur la data stewardship (mise en place de ces politiques), les outils manquent encore de liant.
La notion de plate-forme participe d’une autre opposition qui structure le marché du SIEM. Certains fournisseurs en jouent la carte, intégrant leur solution dans des offres plus large avec un modèle de licence adapté. D’autres axent plutôt leur discours sur les capacités d’ingestion à grande échelle.
Les stratégies multifournisseurs gardent leur place
Plates-formes ou pas, l’approche monofournisseur ne domine pas sur certains marchés. Parmi eux, la gestion des API. L’approvisionnement chez de multiples offreurs y est devenu standard. Il s’est développé en parallèle des architectures fédérées, qui peuvent atténuer le risque de fragmentation.
Sur le SASE, l’offre monofournisseur s’est étoffée, mais le sourcing des briques réseau et sécurité s’effectue encore majoritairement à part.
Pour ce qui est du DSML, la décentralisation des activités de data science ne favorise pas le travail avec une seule solution – des passerelles se sont de surcroît créées entre fournisseurs.
L’évolution du marché de la sécurité des e-mails rend aussi opportunes que nécessaires les stratégies multifournisseurs. Cela s’explique notamment par la difficulté à mesurer l’efficacité des détections. Il apparaît d’autant plus adéquat de combiner les offres que les chevauchements entre elles se multiplient, favorisant la négociation de remises. À ce sujet, la distinction entre SEG (Secure Email Gateway) et ICES (Integrated Cloud Email Security) commence à s’estomper. La plupart des fournisseurs de SEG proposent désormais des options de déploiement par API, tandis que les ICES sont, de plus en plus, enrichis pour effectuer du pre-delivery, soit via les enregistrements MX, soit par modification des règles de flux de messagerie.
Le PaaS reste quant à lui peu propice au multicloud. La mise en œuvre d’une telle stratégie semble en tout cas délicate vu la nette séparation des solutions portées sur le front vis-à-vis de celles axées sur le back.
Des marchés propices au lock-in
Dans le domaine du PaaS, les risques de lock-in n’arrangent pas les choses. Ils existent chez AWS avec Lambda (nécessité de retravailler les applications avant de les déplacer) et chez Microsoft avec Azure Functions (même constat). Un effet de verrouillage apparaît aussi chez Google : le niveau d’intégration de son portefeuille rend les workloads plus « normatifs » que chez la concurrence. Une approche qu’on peut juger restrictive lorsqu’on a l’habitude de construire avec plusieurs services cloud.
Sur l’intégration de données, les « trois grands » du cloud ont développé des offres autocentrées. AWS propose un catalogue de connecteurs limité vers d’autres destinations que son écosystème. L’offre est plus fournie côté sources, mais la configuration manque souvent de souplesse. Les produits de Microsoft sont efficaces surtout pour qui est déjà dans Azure ou Fabric. Google conçoit et vend les siens essentiellement pour un usage dans son écosystème.
Dans l’observabilité, le niveau d’intégration chez Datadog peut dissuader de changer de fournisseur, autant par coût que par complexité.
Dans la gestion des accès, le bundling d’Entra ID avec d’autres services Microsoft le rend moins cher que les solutions concurrentes, mais entraîne des risques de verrouillage.
Sur les plates-formes de gestion des conteneurs, AWS propose un haut niveau d’intégration avec le reste de ses services d’infrastructure et de gestion, mais le support du multicloud est limité. Chez Huawei, c’est le matériel qui peut poser problème, faute de toujours suivre les standards de l’industrie (en tête de liste, ses accélérateurs IA ; une alternative aux GPU NVIDIA qui peut poser des problèmes de compatibilité). On peut aussi considérer que Red Hat présente un certain risque de lock-in, du fait que la brique qui apporte de l’interopérabilité – Advanced Cluster Management – n’est pas incluse dans tous les abonnements.
Quand les offres se chevauchent
En plus du risque de verrouillage, les solutions PaaS tendent à se chevaucher chez certains fournisseurs. C’est le cas chez AWS, entre App Runner, Fargate et Lambda. Comme chez Microsoft, entre Azure Container Apps et Azure Kubernetes Service.
Même tendance dans les bases de données cloud. Chez Alibaba Cloud, cela vaut pour les AnalyticDB et Hologres (analytique) comme pour DMS et DataWorks (intégrations de données). Chez IBM, pour les produits Db2 Warehouse, Neterra et watsonx.data sur la dimension entrepôt de données. Chez Google, entre les solutions pour Postgre (Cloud SQL, AlloyDB, Spanner). Chez Microsoft, entre Azure Synapse, Azure Databricks et Microsot Fabric.
On est face au même phénomène sur la gestion du travail collaboratif avec Atlassian (entre Trello et Jira), la gestion des actifs avec Adobe (manque de clarté sur quels produits dédier à quels usages) et les infrastructures LAN avec HPE (multiplicité des offres NaaS entre channel et utilisateurs finaux). Sur l’iPaaS, Oracle a un grand nombre d’offres, ce qui en complique l’adoption. Quant à Salesforce, il a fait de MuleSoft son « cœur iPaaS », mais diffuse de plus en plus de services d’intégration sous sa propre marque, au risque d’engendrer de la confusion.
3. Quand l’offre ne suit pas la demande
Sur le FinOps, la demande – couverture du PaaS et du SaaS, des workloads IA, des environnements sur site… – progresse plus vite que la capacité de beaucoup de fournisseurs à y répondre.
Dans les intranets, malgré la tendance des super-apps, couvrir les frontline workers reste délicat pour les principaux fournisseurs. Ils sont par ailleurs peu à avoir des solutions verticales voire à déployer un effort commercial dans ce sens.
Sur les plates-formes de développement d’applications IA, les offreurs ne parviennent pas à répondre à l’ensemble des besoins sectoriels (des modèles spécialisés aux templates d’applications).
Les solutions de gestion du SaaS n’apparaissent pas comme un choix évident pour qui a déjà du SAM (gestion des actifs logiciels). Et le marché est peu mature : vu le manque de garanties sur la viabilité de nombreux offreurs, on négociera des contrats de 2 ans maximum.
Le marché des assistants de codage n’est pas tant immature que volatil. En témoignent l’affaire Windsurf (pressenti pour se vendre à OpenAI, mais finalement repris par Cognition, Google récupérant l’équipe dirigeante) et la controverse Cursor (augmentation des prix après une hausse du coût de la « matière première », en l’occurrence les modèles d’Anthropic).
Sur ce même marché, GitLab a tendance à centre son message sur l’aspect « IA pour le DevOps » plutôt que sur le cœur fonctionnel, au risque de perdre en notoriété auprès des développeurs.
Les stratégies marketing ont du mal à toucher ce même public sur la gestion des API, alors même qu’il représente une part croissante des utilisateurs de ces solutions.
Le marketing est un point faible chez la plupart des principaux fournisseurs de plates-formes de développement low code. Chez Microsoft, la communication autour d’Azure, Microsoft 365 et Dynamics 365 fait de l’ombre à celle autour de Power Apps. Chez Oracle, APEX est moins marketé que les autres offres et la proposition de valeur n’est pas claire pour qui n’est pas déjà dans l’écosystème. OutSystems a quant à lui du mal à communiquer la valeur de sa solution dans les environnements complexes ; Salesforce, à démontrer les capacités autonomes de sa plate-forme. Creatio a une notoriété limitée, comme Retool, qui manque par ailleurs de visibilité auprès des analystes et des médias du secteur. PegaSystems reste perçu comme un fournisseur de solutions d’automatisation, tandis que l’offre de ServiceNow demeure vue comme orientée vers les services IT.
Dans certains cas, c’est la demande qui ne suit pas l’offre. Par exemple sur les infrastructures LAN, reflétant un allongement des cycles de vie, corollaire de la pression économique. Malgré le développement du modèle managé (allant de la notification d’incidents à la codétection de menaces), le NDR reste un marché de niche : les acheteurs sont des grandes entreprises qui ont structuré un programme de sécurité.
4. Quelques éléments de prix
Tarification plus élevée que la moyenne
Marchés
Fournisseurs
Commentaires
Bases de données
Oracle
SIEM
Exabeam, Gurucul, Microsoft
Avec Gurucul, il peut être difficile de prouver la valeur de fonctionnalités « avancées ».
Pour Microsoft, c’est surtout lorsqu’on ingère des données depuis des sources externes.
Infrastructures hybrides
Nutanix
Intégration de données
AWS, IBM
Chez IBM, le modèle fondé sur des unités de ressources y contribue.
Plates-formes de conteneurs
Red Hat
Difficile de justifier les coûts pour des déploiements qui n’exigent pas de fonctionnalités avancées.
Gestion des accès
Ping Identity
Notamment pour les accès employés et partenaires.
Gestion du SaaS
BetterCloud, Torii
Le niveau Enterprise chez Torii est une des offres les plus onéreuses du marché.
Sécurité applicative
Black Duck, HCLSoftware
Black Duck peut se révéler coûteux pour les organisations de moins de 1000 employés qui ne recherchent que du SCA ou du SAST.
Le coût chez HCLSoftware est potentiellement prohibitif pour les petites équipes.
Gestion des API
MuleSoft
Protection des terminaux
CrowdStrike, Palo Alto Networks, SentinelOne
Chez Palo Alto Networks, les coûts sont élevés malgré la compétitivité du programme de migration depuis les solutions concurrentes.
SASE
Cato Networks, Palo Alto Networks
Sauvegarde
Cohesity
Prix élevé lors des négociations initiales.
DEX
Nextthink, Riverbed
Le bundle complet coûte plus cher que la plupart des autres outils DEX. Manque d’un ticket d’entrée à bas prix.
Gouvernance des données
IBM
Gouvernance des communications
Global Relay, Mimecast, Proofpoint
Chez Global Relay, facturation des extractions au Go pendant la durée des contrats et à un prix négocié une fois arrivé à terme.
Frais d’exportation en fin de contrat chez Mimecast.
Chez Proofpoint, coûts potentiels du modèle axé sur la conservation.
PAM
BeyondTrust, CyberArk, Delinea
Globalement au-dessus du marché chez BeyondTrust, même si la partie SaaS fait exception sur plusieurs scénarios.
Toujours pas de remises sur engagement multiannuel chez CyberArk.
Au-dessus de la moyenne chez Delinea pour les organisations de plus de 1000 employés.
Pare-feu réseau
Palo Alto Networks
TCO « relativement élevé »
Les hausses de prix sont une tendance généralisée dans la gouvernance des communications électroniques. Le phénomène est plus sporadique sur d’autres marchés. Quelques exemples :
Sécurité des e-mails : Proofpoint (augmentation ces derniers temps)
UCaaS : RingCentral (au renouvellement)
RPA : UiPath (hausses annuelles fréquentes)
Certains fournisseurs se révèlent, au contraire, particulièrement compétitifs :
Microsoft sur la RPA (« souvent 30 à 50 % moins cher ») et l’UCaaS
Atlassian sur la gestion du travail collaboratif
SUSE sur les plates-formes de conteneurs
Delinea sur le PAM (pour les organisations de moins de 1000 employés)
Fortinet sur les infrastructures LAN (tant sur site qu’en cloud)
Flexera et Zluri sur la gestion du SaaS, l’un et l’autre ayant par ailleurs une politique de ristournes flexible
Le prix devient un argument d’adoption du DaaS : il est désormais compétitif en termes de coûts par rapport à des ordinateurs portables, en particulier lorsqu’on lui associe des clients légers.
Tarification complexe
Marchés
Fournisseurs
Commentaires
Bases de données cloud
AWS, Databricks, Google
Chez AWS, pas de tarification unifiée entre services.
Chez Google, l’enrichissement fonctionnel a tendance à aller de pair avec une complexification de la tarification.
Intégration de données
Oracle
Manque de transparence.
Gestion des accès
Okta
Bien étudier la tarification associant bundles et options « à la carte ».
Gestion des actifs numériques
Aprimo, Bynder, Storyteq
Chez Aprimo, le module complémentaire pour la GenAI peut rendre les coûts moins prévisibles avec son modèle à la consommation.
Avec Bynder, bien évaluer la structure de sa bibliothèque de contenus pour choisir entre la facturation au nombre d’assets ou au volume de stockage.
Chez Storyteq, beaucoup d’intégrations avec des systèmes externes sont facturées à la connexion ; les coûts peuvent vite enfler.
Gestion du travail collaboratif
monday.com
Les « accélérateurs » sectoriels (CRM, développement logiciel, service management…) ont une tarification spécifique.
Sécurité applicative
Black Duck, Checkmarx, OpenText
Packaging des offres difficile à comprendre chez Checkmarx, jusqu’aux options de support.
Chez OpenText, la complexité est liée autant à la diversité des options de déploiement qu’à l’ancienneté du fournisseur sur ce marché.
Intranets
Unily
Manque de transparence.
UCaaS
Cisco
Compliqué à comprendre et à négocier pour le mid-market.
Pare-feu réseau
Palo Alto Networks
Accords de licence et de support qui manquent de clarté.
SASE
Cato Networks, Fortinet, Netskope
Chez Fortinet, le pricing à 2 niveaux pour les points de présence peut susciter de la confusion.
Observabilité
Dynatrace, Elastic, New Relic, Splunk
Chez Dynatrace, l’abonnement DPS comprend beaucoup d’éléments non présents dans les contrats précédents, ce qui complique la compréhension des coûts.
Chez Elastic, les coûts sont durs à estimer, surtout à mesure que croissent les volumes de données.
Chez New Relic, le modèle à la consommation – basé sur le nombre d’utilisateurs et le volume ingéré – peut entraîner des coûts plus élevés que prévu.
Chez Splunk, coût global difficile à contrôler, notamment dans le cas d’une utilisation de Splunk Cloud en jonction avec la brique IT Service Intelligence.
RPA
Microsoft
Interprétations contradictoires du licensing jusqu’aux équipes commerciales.
DEX
Nextthink
Options à la carte complexes à comprendre.
DEM
Catchpoint
Pas de tarification publique.
Data quality
Informatica
Usage à prévoir sur un an (pas de report de crédits).
Process mining
Celonis, IBM, UiPath
Chez Celnis, métriques « changeantes » et manque de clarté sur la mise à l’échelle.
Complexe chez IBM, notamment sur la version on-prem.
Gouvernance des données
IBM, Informatica
Chez Informatica, usage à prévoir sur un an (pas de report de crédits).
Assistants de codage
Amazon, Cognition, GitHub, Google
Chez Amazon, le modèle économique peut compliquer la planification des coûts.
Chez Cognition, attention à la transition du modèle par siège vers une tarification à l’usage.
Chez GitHub, la multiplication des SKU et l’interaction avec les abonnements GitHub Enterprise contribuent à une forme d’opacité. Pas évident de s’y retrouver avec les conditions contractuelles de Microsoft dans le cadre des offres cross-platform.
Chez Google, manque de transparence, en particulier sur les remises.
Plates-formes de développement d’apps low code
Mendix, Microsoft, ServiceNow
Chez ServiceNow, le modèle à l’usage peut entraîner des dépenses imprévues.
NDR
Darktrace, ExtraHop
Chez Darktrace comme chez ExtraHop, tarification complexifiée par la tendance au bundling.
iPaaS
Microsoft, SAP
Chez Microsoft, manque de cohésion des outils sur le plan tarifaire.
Dans l’observabilité, la demande de coûts lisibles est « à son comble » à l’heure où les modèles de tarification par hôte laissent place à des formules à la consommation – ou, de plus en plus, à des approches hybrides.
Tarification peu flexible
Marchés
Fournisseurs
Commentaires
DaaS
Citrix
Le regroupement de licences pose un risque de sous-utilisation de produits. Manque de flexibilité contractuelle (difficulté à négocier sur moins de 3 ans pour les clients qui sont en direct).
PaaS
Salesforce
Le prix fixe par dyno Heroku limite la marge d’optimisation pour les microservices complexes.
Gestion des accès
IBM
Tendance à contractualiser sur le long terme – ce qui limite la flexibilité tant du point de vue des tarifs que de la mise à l’échelle.
FinOps
IBM
Protection des terminaux
Microsoft
Bundles souvent sous-utilisés.
Observabilité
Datadog
Flexibilité limitée entre lignes de produits.
RPA
UiPath
Tendance au bundling forcé.
Infrastructures LAN
Huawei, Juniper
Pas de modèles opex chez Huawei.
Pas de facturation à l’usage pour le NaaS chez Juniper.
Quelques fournisseurs se distinguent au contraire par la flexibilité de leur tarification :
Informatica sur l’iPaaS
Microsoft sur le DSML
Google sur les plates-formes de développement d’applications IA
Datadog sur le DEM (découplage de l’ingestion et de l’indexation de sessions, ce qui permet une conservation sélective)
SS&C Blue Prism sur la RPA (par exemple avec l’inclusion des sessions concurrentes sur certaines offres)
Fortinet sur les pare-feu réseau (flexibilité du système de licence à points)
Attention aux modules complémentaires
Marchés
Fournisseurs
Commentaires
Gestion du SaaS
Zluri
Le choix de la localisation des données a un coût (qui dépend en particulier de la taille de l’entreprise et du volume de données).
Gestion des actifs numériques
Adobe
L’accès à des fonctionnalités avancées (rendu temps réel, expériences 3D…) nécessite un add-on.
UCaaS
Zoom
Tendance à inclure, au renouvellement, des fonctionnalités non nécessaires.
RPA
Automation Anywhere, UiPath
Chez l’un et l’autre, tendance à l’ajout de capacités agentiques non sollicitées dans les propositions de renouvellement.
Gouvernance des données
Collibra
Observabilité et data quality nécessitent un module complémentaire.
Plates-formes de développement d’apps low code
Appian, ServiceNow
Chez Appian, beaucoup de fonctionnalités accessibles seulement à des niveaux de prix avancés.
Chez ServiceNow, prévision des coûts complexifiée par les multiples niveaux de modules et d’add-on.
Date de publication du dernier Magic Quadrant pour les marchés ici évoqués (et lien vers le traitement que nous en avons fait) :
Odile Duthil – Directrice de la cybersécurité du groupe Caisse des Dépôts et Présidente du Clusif
Pourquoi elle ? La trajectoire 2025 d’Odile Duthil illustre la reconnaissance de son parcours dans l’écosystème cyber français. Directrice cybersécurité du Groupe Caisse des Dépôts, elle est membre du comité éditorial des Assises. En avril dernier, elle accède à la présidence du Clusif, la plus ancienne association française de RSSI et de promotion de la cybersécurité reconnue comme établissement d’utilité publique par l’Etat. Elle est aussi élue » Femme Cyber Dirigeante » de l’année par le Cercle des Femmes de la CyberSécurité (CEFCYS).
À la Caisse des Dépôts, Odile Duthil pilote la stratégie de cybersécurité dans un contexte de transformation numérique soutenue du secteur public et parapublic. Son action s’inscrit dans la sécurisation des données sensibles, des services numériques et des infrastructures critiques au cœur des politiques publiques et de l’investissement de long terme.
Fabrice Bru – Fabrice Bru, directeur cybersécurité et architecture de la STIME – Groupement Les Mousquetaire et Président du Cesin
Pourquoi lui ? Au sein des Mousquetaires, Fabrice Bru poursuit ses chantiers stratégiques : développement sécurisé via la « Dev Factory », intégration de l’intelligence artificielle dans les processus de sécurité, et renforcement du patch management. Sa vision : faire de la cybersécurité un levier de confiance et de résilience, particulièrement crucial dans le secteur du retail face aux attaques ciblées.
Après sept années comme administrateur, il est élu Président du Club des Experts en Sécurité de l’Information et du Numérique (CESIN) et ses 1200 CISO adhérents qui occupe une place central au sein de l’écosystème cyber français. Dans ce rôle, il est élu au conseil d’administration du Campus Cyber.
A lire : Fabrice Bru est le nouveau Président du Cesin
Michel Paulin – Président du Comité Stratégique de Filière « logiciels et solutions numériques de confiance
Pourquoi lui ? En tant que président du Comité Stratégique de Filière (CSF) « logiciels et solutions numériques de confiance », Michel Paulin a piloté la concertation qui a abouti à la signature du premier contrat de filière pour la période 2025‑2028. Ce contrat formalise les engagements réciproques de l’État et des industriels pour renforcer l’autonomie stratégique numérique de la France.
Sous son impulsion, la filière a défini cinq projets structurants, dont l’accélération d’offres de bout en bout dans le triptyque cloud‑data‑IA et l’amélioration de l’interopérabilité entre infrastructures, logiciels data, IA, cybersécurité et applications métiers. Ces axes visent à proposer des alternatives européennes crédibles face aux acteurs internationaux dominant
Pourquoi lui ? Archi légitime dans la figure du « patron de l’IA made in France », Arthur Mensch porte la voix d’une technologie souveraine, performante et ouverte, défiant les géants américains sur les benchmarks d’entreprise. Guest star de tous les évènements IA et des voyages présidentiels, il est aussi très efficace pour transformer le show en business avec les grands groupes français ( CMA CGM, TotalEnergies, Orange,…), le lancement d’une offre d’infrastructure avec Nvidia et les investisseurs qui se pressent à ses tours de tables.
Celui qui pilote la plus grosse scale-up européenne du secteur avec une valorisation qui frôle les 12 milliards € sait aussi montrer un visage « BtoC » et user de pédagogie au journal de France 2 ou chez Quotidien.
Thomas Wolf – Co-fondateur et Chief Science Officer de Hugging Face
Pourquoi lui ? Moins visible. que son pair de Mistral AI, Thomas Wolf n’en est pas moins une figure de l’IA chez les « techs » de tous poils, des développeurs aux ingénieurs. Il pilote les efforts scientifiques et open source de Hugging Face, autour des bibliothèques Transformers, Datasets et des outils mis à disposition de la communauté mondiale de l’IA.
Thomas Wolf défend une stratégie centrée sur des modèles plus petits, capables de fonctionner localement sur les appareils des utilisateurs plutôt que sur des infrastructures géantes et fermées. Il met aussi l’accent sur la rencontre entre IA et robotique, à travers des projets open source destinés à standardiser les politiques de contrôle et à rendre les outils robotiques plus accessibles
Guillaume Rincé – Chief Technology Officer du groupe MAIF
Pourquoi lui ? En 2025, Guillaume Rincé, continue de piloter une transformation technologique profonde au sein de l’un des acteurs majeurs de l’assurance mutualiste en France. Sa vision dépasse les approches traditionnelles des systèmes d’information : sous sa direction, le groupe fonctionne comme un éditeur de logiciels à part entière. Depuis plusieurs années, la mutuelle a recruté des centaines de développeurs et organisé ses équipes en tribus pluridisciplinaires – intégrant développeurs, ingénieurs, designers et analystes – selon les domaines métiers (sinistres, canaux digitaux, etc.). Cette organisation matricielle vise à responsabiliser les équipes, accélérer les livraisons et favoriser l’innovation continuelle.
Face aux défis de l’IA générative, Guillaume Rincé adopte une stratégie raisonnée : expérimenter des cas d’usage à forte valeur ajoutée (assistance en langage naturel pour sinistres, soutien à la digital workplace) tout en veillant à la qualité des données et à l’accompagnement du changement.
Philippe Latombe – Député, rapporteur de la mission Souveraineté Numérique
Pourquoi lui ? Député de la première circonscription de la Vendée ( Les Démocrates) depuis trois mandats et secrétaire de la commission des Lois, Philippe Latombe s’est imposé comme l’une des figures du Palais Bourbon sur les enjeux du numérique. Il préside la Commission spéciale chargée d’examiner le projet de loi sur la résilience des infrastructures critiques et le renforcement de la cybersécurité ( NIS2) qui attend toujours d’être votée.
Rapporteur de la mission « Bâtir et promouvoir une souveraineté numérique nationale et européenne », il a fait du « Cloud Souverain » un de ses dossiers de prédilection et défend une régulation de l’IA centrée sur la souveraineté numérique, la maîtrise des infrastructures (cloud, calcul, supercalculateurs) et le soutien prioritaire à des acteurs européens.
Yves Caseau – Chief Digital & Information Officer du Groupe Michelin
Pourquoi lui ? En 2025, Yves Caseau a poursuivi la transformation numérique de Michelin en affirmant une vision où le logiciel devient un actif stratégique de la performance industrielle. Son action s’est concentrée sur le renforcement des plateformes digitales du groupe, en particulier autour de la data, du cloud hybride et de l’intelligence artificielle, afin de soutenir l’innovation produit, l’excellence opérationnelle et le développement de nouveaux services. Yves Caseau porte également une vision forte de la souveraineté technologique et du développement des compétences internes. Son leadership s’incarne aussi sur LinkedIn une DSI capable de concilier innovation, fiabilité et création de valeur durable.
Clara Chappaz – Ambassadrice pour le numérique et l’intelligence artificielle
Pourquoi elle ? Pas facile d’exercer des responsabilités dans des gouvernements en sursis, sans expérience politique et sans réseau autre que celui de la French Tech. Commencé sous Michel Barnier en qualité de Secrétaire d’État chargée de l’Intelligence Artificielle et du Numérique, son parcours se poursuit avec François Bayrou et une montée en grade au rang de Ministre déléguée jusqu’à octobre 2025.
On retiendra de son action la double ambition de renforcer l’écosystème de l’intelligence artificielle et d’ancrer la souveraineté numérique de la France. Notamment, le lancement du plan national “Osez l’IA” en juillet 2025, conçu pour encourager l’adoption de l’intelligence artificielle par les entreprises françaises, notamment les PME et les TPE encore à la traîne dans l’intégration de ces technologies.
À l’approche de 2026, la cybersécurité entre dans une phase de rupture. Entre disparition progressive du crypto-ransomware, montée en puissance de l’IA autonome et pression réglementaire accrue, les organisations devront faire face à des menaces plus rapides, plus intelligentes et plus difficiles à anticiper. Voici les tendances majeures qui façonneront l’année à venir.
Le crypto-ransomware voué à disparaître
En 2026, le crypto-ransomware va disparaître progressivement, les cybercriminels abandonnant le chiffrement pour se concentrer sur le vol de données et l’extorsion. Les organisations ont nettement amélioré leurs capacités de sauvegarde et de restauration, ce qui leur permet désormais de se remettre d’une attaque de crypto-ransomware sans avoir à payer les rançons exigées.
Les cybercriminels préfèrent donc voler les données, menacer de les divulguer et même signaler les victimes aux régulateurs ou aux assureurs pour renforcer la pression. Le chiffrement ne rapporte plus : la véritable arme devient désormais l’exposition.
Les obligations de reporting du CRA encouragent enfin les principes de « Secure by Design »
En 2026, le Cyber Resilience Act (CRA) de l’Union européenne deviendra la force motrice qui poussera l’adoption généralisée des principes de sécurité intégrée dès la conception des produits. Avec une première phase d’application prévue pour septembre prochain, les éditeurs souhaitant vendre dans l’UE devront déclarer toute vulnérabilité exploitée activement ou tout incident de sécurité dans un délai de 24 heures – la contrainte de reporting la plus exigeante à ce jour.
Le déploiement initial du CRA risque d’être complexe, notamment car il est difficile pour les entreprises de détecter elles-mêmes les vulnérabilités dans leurs produits. Mais le CRA aura en revanche un impact fort à long terme en devenant un incitatif durable pour intégrer la sécurité dès les premières étapes de développement. Par ailleurs, les réglementations mondiales qui se superposent mettront en lumière des contradictions et des cadres divergents, forçant les organisations à naviguer dans un écosystème de conformité de plus en plus complexe.
Première faille de sécurité réalisée de bout en bout par une IA autonome
En 2025, nous prévoyions que les outils IA multimodaux seraient capables d’exécuter chaque étape de la « kill chain » d’un attaquant — ce qui s’est confirmé. En 2026, l’IA ne se contentera plus d’assister les cybercriminels : elle attaquera seule.
Du renseignement initial au scan de vulnérabilités, en passant par les mouvements latéraux et l’exfiltration de données, ces systèmes autonomes seront capables d’orchestrer une compromission complète à la vitesse machine.
Ce premier incident entièrement exécuté par l’IA sonnera comme une alerte pour les défenseurs ayant sous-estimé la vitesse à laquelle les IA génératives évoluent d’outils à véritables opérateurs. Les mêmes technologies qui permettent aux entreprises d’automatiser leurs workflows de sécurité sont désormais utilisées pour les surpasser. Les organisations devront combattre le feu par le feu : seules des solutions de défense basées sur l’IA, capables de détecter, analyser et réagir aussi vite que les IA adverses, pourront tenir le rythme.
Le déclin des VPN traditionnels favorisera l’essor du Zero Trust Network Architecture (ZTNA)
Les VPN traditionnels et outils d’accès à distance sont parmi les cibles préférées des attaquants, notamment à cause de la perte, du vol ou de la réutilisation des identifiants et du manque récurrent de MFA.
La sécurité technique d’un VPN importe peu : si un attaquant peut se connecter en se faisant passer pour un utilisateur légitime, il accède par défaut à l’ensemble des ressources internes.
Au moins un tiers des compromissions en 2026 sera lié à des faiblesses ou erreurs de configuration des outils d’accès distant et VPN hérités. Les acteurs malveillants ciblent activement les ports d’accès VPN depuis deux ans, en volant des identifiants ou en exploitant des vulnérabilités propres à certains produits.
Conséquence : 2026 sera également l’année où les PME commenceront à adopter massivement les solutions ZTNA, qui éliminent la nécessité d’exposer un port VPN potentiellement vulnérable sur Internet. Le fournisseur ZTNA prend en charge la sécurisation du service via sa plateforme cloud, et l’accès n’est plus global : chaque groupe d’utilisateurs n’obtient que l’accès strictement nécessaire aux ressources internes dont il a besoin, limitant ainsi l’impact potentiel en cas de compromission.
L’expertise en IA devient incontournable pour les professionnels de la cybersécurité
Nous sommes à l’aube d’une nouvelle ère où l’attaque et la défense se joueront sur un terrain dominé par l’IA. Les attaquants testent déjà des outils automatisés, adaptatifs et auto-apprenants ; les défenseurs incapables d’égaler ce niveau de vitesse et de précision seront dépassés avant même de comprendre qu’ils sont ciblés.
Pour survivre, les experts en sécurité devront aller au-delà d’une simple compréhension de l’IA et viser la maîtrise de ses capacités, l’utiliser pour automatiser la détection et la réponse, tout en anticipant les nouvelles vulnérabilités qu’elle crée. D’ici l’an prochain, la maîtrise de l’IA ne sera plus un atout, mais un prérequis : les recruteurs chercheront désormais des profils capables de démontrer des applications concrètes de l’IA dans la défense cyber.
En 2026, la cybersécurité entre dans un cycle où les anciennes certitudes ne tiennent plus. La disparition progressive du crypto-ransomware, la montée de l’IA autonome, la pression réglementaire et l’adoption massive du Zero Trust redéfinissent l’équilibre entre attaque et défense.
Les organisations n’auront plus le luxe d’attendre : seules celles capables d’intégrer l’IA, d’anticiper les nouvelles obligations et de repenser leurs architectures pourront conserver une longueur d’avance. L’année à venir ne sera pas seulement un tournant technologique, mais un test de résilience pour l’ensemble de l’écosystème numérique.
*Marc Laliberté est directeur des opérations cybersécurité de WatchGuard Technologies
Connexion
Pourquoi elle ? La trajectoire 2025 d’Odile Duthil illustre la reconnaissance de son parcours dans l’écosystème cyber français. Directrice cybersécurité du Groupe Caisse des Dépôts, elle est membre du comité éditorial des Assises. En avril dernier, elle accède à la présidence du Clusif, la plus ancienne association française de RSSI et de promotion de la cybersécurité reconnue comme établissement d’utilité publique par l’Etat. Elle est aussi élue » Femme Cyber Dirigeante » de l’année par le Cercle des Femmes de la CyberSécurité (CEFCYS).
Pourquoi lui ? Au sein des Mousquetaires, Fabrice Bru poursuit ses chantiers stratégiques : développement sécurisé via la « Dev Factory », intégration de l’intelligence artificielle dans les processus de sécurité, et renforcement du patch management. Sa vision : faire de la cybersécurité un levier de confiance et de résilience, particulièrement crucial dans le secteur du retail face aux attaques ciblées.
Pourquoi lui ? En tant que président du Comité Stratégique de Filière (CSF) « logiciels et solutions numériques de confiance », Michel Paulin a piloté la concertation qui a abouti à la signature du premier contrat de filière pour la période 2025‑2028. Ce contrat formalise les engagements réciproques de l’État et des industriels pour renforcer l’autonomie stratégique numérique de la France.
Pourquoi lui ? Archi légitime dans la figure du « patron de l’IA made in France », Arthur Mensch porte la voix d’une technologie souveraine, performante et ouverte, défiant les géants américains sur les benchmarks d’entreprise. Guest star de tous les évènements IA et des voyages présidentiels, il est aussi très efficace pour transformer le show en business avec les grands groupes français ( CMA CGM, TotalEnergies, Orange,…), le lancement d’une offre d’infrastructure avec Nvidia et les investisseurs qui se pressent à ses tours de tables.
Pourquoi lui ? Moins visible. que son pair de Mistral AI, Thomas Wolf n’en est pas moins une figure de l’IA chez les « techs » de tous poils, des développeurs aux ingénieurs. Il pilote les efforts scientifiques et open source de Hugging Face, autour des bibliothèques Transformers, Datasets et des outils mis à disposition de la communauté mondiale de l’IA.
Pourquoi lui ? En 2025, Guillaume Rincé, continue de piloter une transformation technologique profonde au sein de l’un des acteurs majeurs de l’assurance mutualiste en France. Sa vision dépasse les approches traditionnelles des systèmes d’information : sous sa direction, le groupe fonctionne comme un éditeur de logiciels à part entière. Depuis plusieurs années, la mutuelle a recruté des centaines de développeurs et organisé ses équipes en tribus pluridisciplinaires – intégrant développeurs, ingénieurs, designers et analystes – selon les domaines métiers (sinistres, canaux digitaux, etc.). Cette organisation matricielle vise à responsabiliser les équipes, accélérer les livraisons et favoriser l’innovation continuelle.
Pourquoi lui ? Député de la première circonscription de la Vendée ( Les Démocrates) depuis trois mandats et secrétaire de la commission des Lois, Philippe Latombe s’est imposé comme l’une des figures du Palais Bourbon sur les enjeux du numérique. Il préside la Commission spéciale chargée d’examiner le projet de loi sur la résilience des infrastructures critiques et le renforcement de la cybersécurité ( NIS2) qui attend toujours d’être votée.
Pourquoi lui ? En 2025, Yves Caseau a poursuivi la transformation numérique de Michelin en affirmant une vision où le logiciel devient un actif stratégique de la performance industrielle. Son action s’est concentrée sur le renforcement des plateformes digitales du groupe, en particulier autour de la data, du cloud hybride et de l’intelligence artificielle, afin de soutenir l’innovation produit, l’excellence opérationnelle et le développement de nouveaux services. Yves Caseau porte également une vision forte de la souveraineté technologique et du développement des compétences internes. Son leadership s’incarne aussi sur LinkedIn une DSI capable de concilier innovation, fiabilité et création de valeur durable.
Pourquoi elle ? Pas facile d’exercer des responsabilités dans des gouvernements en sursis, sans expérience politique et sans réseau autre que celui de la French Tech. Commencé sous Michel Barnier en qualité de Secrétaire d’État chargée de l’Intelligence Artificielle et du Numérique, son parcours se poursuit avec François Bayrou et une montée en grade au rang de Ministre déléguée jusqu’à octobre 2025.