83 %. C’est la part de marché des éditeurs américains dans le cloud et le SaaS en Europe. Un chiffre vertigineux, qui résume à lui seul l’ampleur de la dépendance technologique dans laquelle se trouve la France et l’ensemble du continent européen.

Pourtant, des alternatives existent. Des entreprises françaises innovent, recrutent, exportent. Alors pourquoi l’État lui-même continue-t-il d’acheter massivement américain, au mépris des doctrines qu’il a lui-même édictées ? Pourquoi ce décalage persistant entre les discours sur la souveraineté numérique et la réalité des contrats signés ?

C’est à ces questions que répond Michel Paulin, président du Comité Stratégique de Filière Logiciel et Solutions Numériques de Confiance, dans un entretien sans détour à Silicon.

Sa conviction : inutile d’attendre une grande loi ou un plan de subventions supplémentaire. Rediriger seulement 5 % de la commande vers l’écosystème national suffirait à créer 10 000 emplois et à rapatrier un milliard d’euros dans les caisses de l’État.

—————————

Extrait de l’interview d Michel Paulin, Président du Comité Stratégique de Filière Logiciels et Solutions Numériques de Confiance.

Silicon – Quelle est la genèse du Comité Stratégique de Filière logiciel et solutions numériques de confiance, officiellement lancé en avril 2025 ?
Michel Paulin – Il n’y avait pas de filière dans le domaine. En septembre 2022, le ministre de l’industrie et des finances de l’époque ( Bruno Le Maire, NDLR) a annoncé la création d’une filière et m’a demandé de faire le précadrage. De septembre 2022 à avril 2025, nous avons consulté près de 600 à 800 entreprises qui ont répondu à des questionnaires et à des sollicitations. On a discuté avec l’État pour définir un contrat de filière qui a été signé en avril 2025. L’objectif de ce contrat, c’est très simple : définir quelles sont les mesures que l’on peut prendre avec l’ensemble des parties prenantes, clients, État, collectivités locales, mais aussi activités périphériques, pour faire en sorte que la filière française puisse grossir, grandir, se développer.

Quel est son périmètre ?
Michel Paulin – Ce périmètre a été décidé par l’État. Il couvre quatre domaines : éditeur de logiciels, domaine du cloud, domaine du quantique, et l’intelligence artificielle en tant que producteur, éditeur de modèles, éditeur d’agents ou de solutions de cette nature.

«La filière se porte bien mais elle fait face à des défis énormes »

Comment se porte cette filière aujourd’hui ?
Michel Paulin – C’est une filière qui va plutôt bien : 25 milliards € de chiffre d’affaires, une croissance souvent très proche des deux chiffres sur ces 5-6 dernières années, et environ 10 000 emplois nets créés chaque année pour plus de 100 000 personnes employées. Quand on se compare à d’autres filières industrielles qui souffrent aujourd’hui en France et en Europe, c’est une filière qui se tient bien. En revanche, il faut mettre les pieds sur la table : elle est face à des défis énormes.

Le premier défi, c’est la taille. Une dizaine d’entreprises aux États-Unis sont à elles seules plus grandes que toute la filière française. Il n’y a que 4 sociétés en France qui dépassent le milliard de chiffre d’affaires, Dassault Systèmes, OVHcloud et quelques pépites de quelques centaines de millions. Mistral espère peut-être dépasser le milliard.

Le deuxième défi, c’est l’accès aux fonds propres. Pour investir en R&D, dans l’IA, les infrastructures, l’innovation, il faut de gros fonds propres. Rester dans le giron européen avec des levées supérieures à 100, 200 ou 300 millions, c’est difficile. Dans le quantique, les trois dernières levées américaines vont de 600 millions à un milliard de dollars, principalement par des fonds anglo-saxons. Lever un milliard en restant européen aujourd’hui, c’est impossible.

Le troisième défi, c’est les compétences. On ne forme pas assez d’ingénieurs, on n’attire pas assez de femmes dans la filière. Aujourd’hui, 22 % des postes techniques sont occupés par des femmes, contre 40 % en Inde ou au Maroc. Ça commence à l’école primaire : il faut mettre en avant la science pour former plus de monde.

« Dire « il n’y a pas d’offre « est une insulte à la
filière »

Face aux menaces de Donald Trump et la fin des « cadeaux aux alliés », faut-il porter les trois dossiers en même temps ou prioriser le financement et la commande publique ?Michel Paulin -Dans le cadre du contrat de filière, on a défini cinq priorités : l’offre, la commande, l’innovation, la formation, et la protection des données sensibles. Et aussi, parce que le marché est mondial, comment aider les entreprises françaises à exporter et à aller à l’international.

La raison principale du retard par rapport aux filières coréenne, israélienne ou canadienne, c’est la commande publique et la commande privée, qui est le driver essentiel. Les parts de marché de l’État dans le software acheté auprès de la filière française sont très faibles ; dans certains domaines, on est quasiment à 5 ou 10 %. Je salue l’initiative du gouvernement qui dit qu’il faut réfléchir vers les filières nationales, parce que la situation est catastrophique.

Comment expliquer ce décalage entre la capacité de production de l’écosystème français et la réalité de la commande publique ? Les administrations sont-elles en décalage par rapport aux doctrines de l’État ?
Michel Paulin – Il y a beaucoup de facteurs. Et je ne devrais pas réserver ça uniquement à la commande publique : il faut aussi mettre les grands groupes face à leurs responsabilités. On ne peut pas parler de risque de vassalisation sans agir. On a vu récemment qu’on a coupé les services bancaires d’un juge français aux États-Unis ; ce n’est plus de la science-fiction, c’est une réalité.

Dans le cloud et le SaaS, les éditeurs américains ont 83 % de parts de marché en Europe, c’est un excellent rapport du Cigref qui l’indique. Les acheteurs ont parfois le « syndrome IBM » des années 80 : on choisit le dominant par habitude pour ne pas prendre de risques. En Europe, on est très forts pour ne pas avoir de préférence, on n’a pas de  » American Buy Act « . Les critères qui favorisent le produit local ont longtemps été tabous.

Il y a aussi des acteurs dominants qui abusent de leur position : la Cour des comptes et les autorités de la concurrence le disent. Une dizaine d’instructions sont en cours sur des pratiques de cloud qui augmentent les tarifs sans justification : 5 à 10 % de hausse par an, et une verticalisation des solutions pour lier encore plus les clients à leur logique.

« Une stratégie multi-cloud pourrait très bien consister à choisir un opérateur américain et un opérateur français ou européen.»

Patrick Pouyanné, PDG de TotalEnergies, a déclaré qu’il aimerait acheter français ou européen, mais qu’il n’y a pas d’offre. Que lui répondez-vous ?
Michel Paulin – Ce narratif construit par ceux qui veulent garder le monopole de fait est très puissant. Dire « il n’y a pas d’offre » est une insulte à la filière. Est-ce qu’on a des ingénieurs qui ne sont pas capables de faire des produits ? Est-ce que Mistral n’est pas au niveau ? Dans tous les domaines, il y a des alternatives. Faisons-leur confiance.

Quand on fait une stratégie multi-cloud avec trois acteurs américains, ça correspond à quoi ? Une dépendance totale, technologique, financière et légale. Une stratégie multi-cloud pourrait très bien consister à choisir un opérateur américain et un opérateur français ou européen sur les domaines où ils sont bons. Ces opérateurs font quand même de l’ordre du milliard, ce ne sont pas des boîtes en dehors des clous.

Sur la virtualisation, il y a eu le scandale VMware-Broadcom, qui impose à ses clients des augmentations de prix fois trois, fois cinq. Il existe des alternatives en Europe : Proxmox côté allemand, Vates en France. Quand vous êtes face au renouvellement d’une licence avec une multiplication par trois ou quatre du tarif, pourquoi ne pas tester ?

Dans la cyber, une société me disait que dans un appel d’offre sur deux, ils ne sont même pas interrogés. Quand on dit « il n’y a pas d’alternative », faisons des appels d’offres et donnons la chance à tout le monde. Le Health Data Hub : pas d’appel d’offre. Le ministère de la Santé disait « les acteurs ne répondent pas aux besoins ». Quel est le cahier des charges ? Quel est l’appel d’offre ? Il n’y en a pas. C’est un narratif non factuel, construit pour justifier que l’on ne sollicite même pas ces offres. Elles existent, faisons-leur confiance.

« Pour le « Cloud au Centre » : on annonce la doctrine, et puis on ne fait que des exceptions.»

Comment expliquer que des directives politiques comme « Cloud au Centre »  ne soient pas suivies d’effet par les administrations, voire par l’Assemblée nationale elle-même ?

Michel Paulin – Moi je ne peux pas l’expliquer. C’est une question à poser aux décideurs publics. Une des demandes que nous avons, c’est : au lieu de rajouter des régulations, en Europe on adore en rajouter, appliquons avec courage et rigueur celles qui existent. Le DMA : qu’est-ce qu’on commence par faire ? Des exceptions. Le cloud a même été exclu du DMA.
Pour le « Cloud au Centre » : on annonce la doctrine, et puis on ne fait que des exceptions. Ça ne sert à rien de faire une doctrine si on ne l’applique pas.

Le RGPD ne devrait pas accepter des exceptions non plus. Mais le RGPD est compliqué parce que ces acteurs sont pilotés depuis l’Irlande, et l’Irlande n’est pas très zélée pour faire respecter le droit européen sur la protection des données. Il y a des biais et des cas de RGPD enfreints.

Il faut avoir le courage de dire : arrêtons de rajouter des réglementations, des certifications, des labels dans tous les sens ; il y en a trop. En revanche, concentrons-nous pour faire respecter celles qui existent. De même, plutôt que de subventionner dans tous les sens, subventionnons l’innovation et achetons européen. Sur les domaines de l’IA, des infrastructures, du quantique, de la recherche fondamentale, du hardware avec les nouveaux modèles de GPU.
Oui il faut aider à l’innovation avec un partenariat public-privé fort entre le CEA, l’INRIA et le CNRS. Mais le principal levier, c’est la commande, parce que c’est ce qui fait grossir la filière et c’est la seule garantie d’une souveraineté.

Y a-t-il des engagements concrets ? Faut-il passer par la loi, des obligations dans les appels d’offres, un fléchage contraignant ? Êtes-vous optimiste ?
Michel Paulin – Je rêverais d’une loi qui permette de résoudre tous ces problèmes. Mais la préférence européenne d’achat est aujourd’hui interdite par la loi européenne : on n’a pas le droit de le faire. Alors que les Américains le font, les Chinois le font, les Coréens le font. On est les seuls à croire que c’est une distorsion de la concurrence. C’est incroyable.

Cela dit, il ne faut pas tomber dans l’attentisme en attendant la prochaine loi. Il y a plein de choses à faire concrètement dès maintenant. Je donne un chiffre : 83 % du SaaS et du cloud sont monopolisés par quelques acteurs. Si on fléchait 5 % de ces commandes vers la filière, ce n’est pas un choc systémique mais c’est 10 % de croissance pour la filière française, 10 000 emplois créés, et 1 milliard de taxes et cotisations sociales qui reviennent dans les caisses de l’État au lieu de partir en évasion fiscale légale en Irlande ou aux États-Unis.

Et l’enjeu géopolitique est réel. Les Américains ont voulu taxer les Chinois. Les Chinois ont regardé tout le stack et ont dit : « les terres rares, on ne vous les donne plus ». Comme par hasard, les taxes ont disparu. La vassalisation économique n’est pas un fantasme, c’est une réalité. 5 %, ça change tout.

The post Michel Paulin, CSF Logiciels et Numérique de Confiance – « 5 % de commandes en plus, c’est 10 % de croissance pour la filière » appeared first on Silicon.fr.

Tous les clients ARTESCA bénéficient désormais d’une « garantie cyber » de 100 000 $.

Jérôme Lecat, président-fondateur de Scality, présente les choses ainsi, en anglais dans le texte.

En pratique, cette garantie ne s’applique pas à tous les clients. Elle concerne les titulaires de licences commerciales – matérielles, perpétuelles ou à durée indéterminée – d’une capacité de stockage d’au moins 50 To.

Scality s’engage à verser les 100 000 $ en question (ou l’équivalent dans d’autres devises) si survient un « incident cybernétique admissible ». En l’occurrence, « le cryptage ou la suppression démontrable de données résidant sur un volume de stockage géré par le logiciel, conséquence directe et unique d’une cyberattaque externe non autorisée ».

Les exfiltrations de données sont exclues. L’incident ne doit par ailleurs pas découler, en tout ou partie :

• De la compromission des identifiants d’accès stockés, transmis ou gérés en dehors du logiciel
• D’identifiants d’accès obtenus par des tiers via l’ingénierie sociale, le phishing, des logiciels malveillants ou le vol
• Des actes malveillants et répréhensibles commis par des utilisateurs autorisés
• D’une des responsabilités d’indemnisation du client

Coopération, maintenance, conformité…

Pour prétendre à une indemnisation, il faut utiliser la dernière version majeure d’ARTESCA (actuellement, la 4.1), « en stricte conformité avec la documentation […] et les directives de sécurité ». Et avoir installé l’ensemble des mises à jour / mises à niveau (dernière release en date : 4.1.3) et des correctifs dans les 30 jours suivant leur mise à disposition.

Quant aux données, elles doivent avoir été stockées dans des compartiments avec Object Lock (immuabilité) activé en mode conformité (aucun utilisateur, y compris root, ne peut les modifier ou les supprimer). Et être, au moment de l’incident, dans une période de conservation active.

La garantie constitue une pénalité forfaitaire unique. Son paiement est le seul recours en cas d’incident admissible (le client ne peut réclamer aucun autre dommage). Il n’interviendra qu’à condition que le client ait notifié l’incident par écrit dans les 48 heures suivant sa découverte. Et qu’il ait par la suite « coopéré pleinement » en fournissant les informations et les accès demandés.

Illustration générée par IA

The post Comment fonctionne la nouvelle « garantie ransomware » de Scality appeared first on Silicon.fr.

Pas facile de suivre l’évolution du cadre réglementaire, de sorte qu’il a fallu modulariser les formations.

IDEMIA Public Security en a témoigné en tant que signataire du Pacte sur l’IA.

Depuis septembre 2024, la Commission européenne promeut ce dispositif censé aider à préparer la mise en conformité avec l’AI Act. Les échanges qu’elle a organisés dans ce cadre ont notamment guidé l’élaboration de l’omnibus numérique. Ils ont aussi contribué à alimenter un « répertoire des pratiques d’alphabétisation en matière d’IA ».

Toile de fond à ce répertoire : l’article 4 de l’AI Act. Entré en application en février 2025, il impose aux fournisseurs et aux déployeurs de systèmes d’IA de garantir un « niveau suffisant de maîtrise de l’IA » pour leur personnel. Ainsi que pour quiconque s’occupe du fonctionnant de ces systèmes pour leur compte.

La première version publique de ce répertoire (janvier 2025) réunissait des retours d’expérience d’une quinzaine d’organisations. Aux dernières nouvelles, on en est à 40. Dont deux pour la France : Criteo et, donc, IDEMIA Public Security.

Criteo, entre bootcamps et « cafés IA »

Pour tous les employés qui exploitent l’IA dans leur travail au quotidien, Criteo a mis en place des cours en ligne destinés à l’acquisition des bases et d’un vocabulaire commun. Il y a associé des ambassadeurs aux RH, au juridique, aux achats, aux marketing et à l’IT. Il organise par ailleurs des événéments, dont des « cafés IA » et des webinaires (par exemple sur l’utilisation de Copilot dans Office).

Les personnels techniques ont, de longue date, accès à des bootcamps, mis au goût de l’IA. Suivies sur la base du volontariat, les leçons sont données par des employés qui développent des systèmes d’IA internes ou qui mènent des recherches sur des sujets importants pour Criteo. La première semaine permet – en présentiel à Paris ou bien à distance – de se familiariser avec la stack IA de lamaison et d’appréhender un usage responsable. Les trois suivantes, de réaliser un projet individuel sur un cas d’usage interne, avec supervision par un chercheur et un ingé.

IDEMIA juge la formation en ligne « plus difficile et moins efficace »

Au-delà de ses sessions « Tech Talk » et « Meet the Experts », ses partenariats académiques et sa contribution aux évaluations NIST, IDEMIA Public Security insiste sur la formation de ses clients.
Pour les systèmes non classés à haut risque, la formation est en ligne, en anglais. Le contenu est adapté au niveau d’expertise.
Pour ceux qui entrent dans la catégorie « à haut risque », l’objectif est de former 100 % des clients en personne avant déploiement.

IDEMIA Public Security reconnaît qu’il est délicat de gérer le turnover, des deux côtés. Il considère globalement qu’il est plus difficile et moins efficace de former en ligne, « en particulier pour les systèmes d’IA à haut risque ». S’y ajoute le sujet du maintien des contenus à jour. Il a été décidé de les segmenter afin de pouvoir actualiser des sections spécifiques.

230 adhérents volontaires

Le « répertoire d’alphabétisation » est un des livrables les plus visibles du Pacte sur l’IA. Parmi ses 120 premiers signataires, annoncés en septembre 2024, il y avait une quinzaine d’organisations françaises. Dont Amadeus, Cegid, Dassault Systèmes, Docaposte, Lefebvre Sarrut, Mirakl, Orange, OVHcloud et Sopra Steria. Depuis, 365Talents, l’AFNOR, Capgemini et Groupe Rocher, entre autres, ont rejoint la boucle. Laquelle comprend désormais environ 230 signataires. Près de deux tiers sont européens ; un quart, étatsuniens. La majorité (63 %) sont à la fois fournisseurs et déployeurs. 37 % évoluent dans le logiciel ; 19 %, dans les services IT ; 13 % dans le cloud et/ou les télécoms.

L’adhésion reste volontaire et non contraignante. Elle suppose toujours trois grands engagements :

• Définir une stratégie de gouvernance de l’IA
• Cartographier les systèmes susceptibles d’être classés à haut risque
• Promouvoir la sensibilisation du personnel et plus globalement des parties impliquées

D’autres engagements sont adoptables « à la carte », en fonction de la position occupée dans la chaîne de valeur de l’IA. Par exemple :

• Identifier les risques pour la santé, la sûreté et les droits fondamentaux
• Implémenter une journalisation cohérente vis-à-vis des finalités
• Donner la possibilité d’étiqueter les contenus générés

7 webinaires sous la bannière du Pacte pour l’IA

L’autre catégorie de livrables « visibles » comprend les 7 webinaires que le Bureau de l’IA a organisés jusque-là. Tous sont disponibles en replay.

Le premier (novembre 2024) a exploré les objectifs de l’AI Act, son approche basée sur les risques et les mécanismes de gouvernance qu’il instaure.

Le suivant (décembre 2024) s’est focalisé sur les dispositions qui entreraient en application en février 2025. Ainsi que sur la régulation des modèles d’IA à usage général, qui seraient quant à eux encadrés à partir d’août 2025.

Le troisième webinaire (février 2025) avait abordé les exigences de « maîtrise de l’IA » inscrites à l’article 4. Et le répertoire associé.

En avril 2025, les deux sujets principaux furent les pratiques interdites et la définition des systèmes d’IA. Sur ce dernier point, l’UE venait de publier des lignes directrices.

Des bacs à sable aux gigafactories

Le 5^e webinaire, tenu en mai 2025, avait englobé divers dispositifs. Parmi eux, les (giga-)usines d’IA, l’initiative InvestAI et la stratégie pour l’union des données.
Il fut aussi question de la stratégie pour l’application de l’IA, que la Commission européenne adopterait en octobre. Elle se déploie sur trois axes : mise en place d’initiatives phares sectorielles, résolution de défis transversaux et mécanisme de gouvernance unique.

Parmi les initiatives phares, l’UE entend porter, pour les soins de santé, des centres européens de dépistage avancés. Pour la mobilité, une initiative Autonomous Drive Ambition Cities dans le cadre de bancs d’essai transfrontaliers. Pour la culture, des microstudios spécialisés dans la production virtuelle assistée par IA.
Les « défis transversaux » couvrent, dans les grandes lignes, l’attractivité de l’IA pour les PME, la formation d’une main-d’œuvre adaptée et la garantie d’une confiance dans le marché européen.
L’aspect gouvernance unique doit reposer sur la transformation de l’Alliance européenne pour l’IA en forum de coordination.

Lors du 6^e webinaire (septembre 2025), il fut à nouveau question des modèles d’IA à usage général. Et du code de bonnes pratiques associé (publié en juillet).

Le dernier webinaire en date (novembre 2025) a traité des dispositifs d’innovation pour les PME. Essentiellement, les bacs à sable réglementaires, les installations sectorielles d’essai et d’expérimentation, la plate-forme unique d’information sur l’AI Act et les pôles européens d’innovation numérique.

Illustration générée par IA

The post Pacte sur l’IA : un « répertoire d’alphabétisation » comme principal livrable appeared first on Silicon.fr.

Des drones iraniens ont frappé délibérément cette semaine les data centers d’AWS aux Émirats arabes unis et à Bahreïn. Selon le Financial Times (FT), c’est la première fois qu’une opération militaire prend pour cible les infrastructures d’une entreprise technologique américaine de premier plan.

L’agence Fars News, proche des Gardiens de la révolution islamique, a revendiqué ce jeudi des frappes contre des installations d’Amazon et de Microsoft dans la région. Si Microsoft a démenti tout incident opérationnel, AWS a confirmé que deux de ses sites aux Émirats avaient été « directement touchés » par des drones, mettant hors service deux de ses trois zones de disponibilité régionales.

Un data center en Bahreïn a également été atteint lors d’une attaque à proximité. AWS a conseillé à ses clients de migrer leurs données vers d’autres régions, reconnaissant que « l’environnement opérationnel au Moyen-Orient reste imprévisible ».

Des cibles difficiles à défendre

Les data centers présentent des caractéristiques qui en font des cibles vulnérables : des groupes électrogènes diesel, des turbines à gaz, et surtout d’imposants systèmes de refroidissement. « Ce sont des installations tentaculaires, et si vous mettez hors service les refroidisseurs, vous pouvez les mettre entièrement hors ligne », explique au FT Sam Winter-Levy, chercheur à la Carnegie Endowment for International Peace.

Matt Pearl, du think-tank américain CSIS, résume la logique de ces offensvives : « Les Iraniens voient les data centers comme une composante du conflit. C’est une façon d’avoir un impact réel dans la région. »

L’eldorado de l’IA du Golfe remis en question ?

Les conséquences de ces frappes dépassent largement le cadre militaire. Le Golfe avait misé sur son image de havre de stabilité pour attirer des investissements colossaux dans l’intelligence artificielle. L’Arabie saoudite, via son entité Humain, et les Émirats arabes unis, via G42, ont engagé des milliards aux côtés de Nvidia, Amazon et Microsoft pour construire de vastes clusters de data centers.

Abu Dhabi accueille également l’un des gigantesques projets « Stargate «  d’OpenAI. Le mois dernier encore, Microsoft annonçait l’ouverture prochaine d’un nouveau centre Azure en Arabie saoudite.

« Ces frappes pourraient fondamentalement changer le calcul de risque pour les investisseurs privés, les assureurs et les entreprises technologiques elles-mêmes », avertit Jessica Brandt, du Council on Foreign Relations. « Le Golfe s’était vendu comme une alternative sûre à d’autres marchés. Cet argument vient de perdre de sa force. »

Un avertissement mondial

Au-delà des capitaux, c’est le recrutement de personnel d’ingénierie et de construction qui pourrait pâtir du nouveau climat d’insécurité, selon un vétéran américain de l’industrie tech installé dans la région, cité par le FT. Il compare le projet « Stargate » aux usines de fabrication de puces d’Intel en Israël, protégées par l’armée et entourées de défenses anti-aériennes : « Il faut intégrer la protection dès le départ, c’est incontournable pour un projet de cette envergure. »

Reste que l’attaque soulève une question qui dépasse le seul Moyen-Orient. « C’est un avant-goût de ce qui va venir, et ces types d’attaques ne se limiteront pas à cette région », prévient Winter-Levy. À l’heure où les infrastructures numériques deviennent le nerf de la guerre économique et technologique mondiale, leur protection physique s’impose désormais comme un enjeu de souveraineté à part entière.

Ilustration générée par l’IA

The post Guerre en Iran : les datacenters américains dans le viseur appeared first on Silicon.fr.

Dans une nouvelle analyse consacrée à l’évolution des opérations du groupe APT36 (également connu sous le nom de Transparent Tribe), Bitdefender documente l’émergence d’un modèle de développement de malwares assisté par l’IA que ses chercheurs qualifient de « vibeware ».

L’intelligence artificielle n’a pas encore produit le cyberattaquant omniscient que certains redoutaient. Ce qu’elle produit, en revanche, est peut-être plus insidieux : une chaîne de production automatisée de logiciels malveillants médiocres, jetables, et suffisamment nombreux pour saturer les défenses.

Un nouveau modèle industriel de la menace

Le vibeware désigne une approche du développement de malwares pilotée par l’IA qui privilégie la quantité sur la qualité. L’idée n’est pas de concevoir une cyberattaque brillante, mais d’en produire des dizaines, chaque jour, de manière automatisée.

Des groupes comme APT36, groupe de cybercriminels pakistanais bien documenté, seraient désormais capables de maintenir une cadence d’un nouveau variant de malware par jour. Ce rythme industriel permet de « saturer » la télémétrie défensive standard. Chaque nouveau binaire nécessite une analyse, chaque nouvelle signature doit être établie. Les équipes de sécurité se retrouvent à courir après un flot continu de menaces mineures, au risque de manquer l’essentiel.

Les chercheurs ont qualifié cette stratégie de DDoD pour Distributed Denial of Detection, ou déni de détection distribué. Par analogie avec les attaques DDoS classiques qui submergent un serveur par le volume de requêtes, le DDoD submerge les capacités d’analyse et de détection des équipes cyber avec un flux constant de codes renouvelés. L’objectif n’est pas de surpasser les défenses par le génie technique, mais d’épuiser les défenseurs.

Des langages exotiques pour réinitialiser les détections

L’un des leviers techniques les plus efficaces du vibeware réside dans le recours à des langages de programmation inhabituels. Les moteurs de détection sont, pour la plupart, optimisés pour analyser du code écrit en C++, C# ou .NET. Les attaquants l’ont bien compris.

Grâce aux LLM, il est désormais possible de porter la logique d’un malware existant vers un langage de niche sans disposer d’une expertise préalable. Les langages favorisés par APT36 incluent notamment :

• Nim : représentant moins de 0,1 % de l’indice TIOBE, ce langage compile en C ou C++ mais utilise un moteur d’exécution unique. Les scanners de sécurité le classent souvent comme « inconnu » plutôt que « malveillant ». Il est utilisé comme enveloppe (wrapper) furtive pour masquer des charges utiles plus anciennes.
• Zig : utilisé pour des outils comme ZigShell ou ZigLoader, ce langage offre des performances élevées tout en échappant aux signatures comportementales des solutions EDR.
• Crystal : également trop rare pour disposer de signatures établies dans de nombreux outils de détection de terminaux.

À ces langages de niche s’ajoutent Rust et Go, plus connus mais appréciés pour leur stabilité mémoire lors de tâches intensives comme l’exfiltration massive de données.

L’effet stratégique est double : réinitialisation de la détection ( chaque nouveau langage oblige les outils de sécurité à repartir de zéro) et accessibilité simplifiée par l’IA, qui permet à des attaquants sans expertise spécifique de générer du code fonctionnel dans ces langages.

Living Off Trusted Services : se cacher dans le trafic légitime

Le vibeware excelle également dans l’exploitation des services cloud légitimes pour ses canaux de commande et de contrôle. Cette technique, désignée sous le terme de Living Off Trusted Services (LOTS), consiste à utiliser des plateformes comme Google Sheets, Discord, Slack ou Supabase comme infrastructure C2.

L’exemple le plus documenté est SheetCreep, un malware écrit en C# qui transforme une feuille de calcul Google Drive en véritable tableau de bord d’administration. Son fonctionnement est précis :

• Le malware interroge régulièrement une feuille de calcul spécifique pour y récupérer des instructions.
• Les commandes sont encodées en Base64 puis chiffrées via un algorithme DES (mode ECB).
• Les résultats d’exécution sont renvoyés dans les cellules du tableur via l’API Google Drive.
• L’infrastructure est organisée en onglets dédiés : unenc_requests, unenc_outputs, unenc_heartbeats, unenc_systems.

D’autres outils de la flotte APT36 s’appuient sur Discord (CrystalShell), Slack (ZigShell), Firebase et Supabase pour la gestion des sessions et le stockage des données volées, ou encore sur Microsoft Graph API via l’infostealer MailCreep.
Azure Front Door est également utilisé pour masquer les communications malveillantes dans du trafic HTTPS légitime.

L’IA joue ici un rôle d’accélérateur décisif : ces plateformes disposent de documentations publiques abondantes et de SDK bien référencés dans les données d’entraînement des LLM. Générer du code d’intégration stable pour Google Sheets ou Discord est devenu trivial, même pour un attaquant sans compétence technique approfondie.

Les limites du vibeware

Il serait inexact de présenter le vibeware comme une rupture technologique car le code généré par l’IA est souvent dérivé, incohérent, et sujet à des erreurs logiques critiques.

Plusieurs cas documentés illustrent ces failles :

• Des binaires déployés avec l’URL du serveur C2 laissée en « placeholder » (modèle vide), rendant l’exfiltration de données impossible.
• Des composants qui s’effondrent dès que la logique atteint un niveau de complexité modéré.
• Dans le cas de CrystalShell, l’absence de protocole de communication entre les bots aurait généré des « broadcast storms » inutiles, et la commande de statut réinitialisait la métrique qu’elle était censée mesurer.
• Des outils incapables de supprimer leurs propres fichiers temporaires après exécution, facilitant l’analyse forensique post-attaque.

Cette fragilité structurelle explique pourquoi les groupes comme APT36 continuent d’utiliser des frameworks classiques et éprouvés (Cobalt Strike ou Havoc) comme filet de sécurité. Les outils « vibe-coded » ne sont pas encore assez fiables pour porter seuls la responsabilité d’une opération critique.

Par nature, les LLM sont entraînés sur des dépôts publics comme GitHub : ils réorganisent des patterns existants sans inventer de nouvelles méthodologies d’attaque. Ils manquent de véritable compréhension du contexte de sécurité.

Comment se défendre : passer du statique au comportemental

Face au vibeware, une défense basée sur les signatures est structurellement inadaptée. Les recommandations convergent vers une approche dynamique et comportementale.

> Prioriser l’analyse comportementale. L’injection de processus ou le process hollowing restent des constantes, quel que soit le langage utilisé. Les solutions EDR/XDR doivent surveiller ces comportements plutôt que les signatures de binaires. La surveillance des répertoires d’écriture utilisateur (%APPDATA%, %TEMP%) et le scan régulier de la mémoire complètent ce dispositif.

> Auditer les services cloud. Les connexions persistantes vers Discord, Slack ou Google Sheets provenant de binaires non vérifiés doivent être traitées comme des indicateurs de compromission potentiels. Un monitoring strict de ces plateformes s’impose dans les environnements sensibles.

> Compliquer la phase post-intrusion. Les opérations de piratage proprement dites restent manuelles. Réduire la surface d’attaque pour introduire de la friction lors du mouvement latéral, filtrer rigoureusement les fichiers LNK, ZIP ou ISO reçus par email, et maintenir les navigateurs à jour pour bénéficier de mécanismes comme l’App-Bound Encryption (ABE) sont autant de mesures qui forcent l’attaquant à utiliser des méthodes plus lourdes et donc plus détectables.

> S’appuyer sur des SOC ou MDR matures. Compte tenu de la cadence de production des variants (parfois un par jour), seule une surveillance 24/7 permet de distinguer le « bruit » généré par le vibeware des véritables intrusions critiques.

Le vibeware n’est pas l’avènement du cyberattaquant surhumain. C’est l’industrialisation du cyber-médiocre. Et c’est précisément pour cette raison qu’il mérite une attention soutenue.

*Image : © DR
*L’analyse des chercheurs de Bitdefender a révélé la présence récurrente du pseudonyme  « Nightmare  » sur plusieurs systèmes. Ce personnage semble jouer un rôle central dans le développement des malwares assistéw par l’IA

The post Vibeware : quand l’IA industrialise la cybercriminalité médiocre appeared first on Silicon.fr.

Dans la tech française, le taux de féminisation s’élève à 17 %.

Dans la perspective de la Journée internationale des droits des femmes, les acteurs de l’IT sont nombreux à reprendre cette statistique. Moins à la sourcer.

Elle semble tirée d’un des volets de l’enquête Gender Scan, que réalise Global Contact, un cabinet parisien d’études et de conseil. Plus précisément de l’édition 2022. Les 17 % en question valent pour l’année 2020.

En fonction des acteurs de l’IT, la formulation varie. Ippon Technologies annonce que les femmes représentent environ 17 % des effectifs de la tech en France. Tandis qu’Acer affirme que 17 % des postes techniques dans l’IT sont occupés par des femmes.
Le premier ajoute que dans ce même secteur, les femmes occupent 10 % des postes à responsabilité. Le second, que seules 3 % des lycéennes choisissent la spécialité numérique et sciences informatiques.

L’IA, ou les deux côtés de la médaille

Chez Tanium, on rappelle qu’à l’échelle mondiale, dans le domaine des technologies, 14 % des cadres supérieurs sont des femmes. On souligne aussi l’opportunité que l’IA présente pour « égaliser les chances » en contribuant à réduire l’épuisement professionnel… y compris pour les femmes qui reprennent le travail. « L’avantage pour les femmes viendra des organisations qui utiliseront l’IA pour renforcer la filière de leadership et non pour la réduire », ajoute Melissa Bischoping, directrice de recherche en sécurité.

iCIMS, éditeur de logiciels RH, voit dans l’IA un « levier puissant » pour objectiver certaines décisions de recrutement, harmoniser les critères et limiter les biais humains.

Il y a deux ans, en marge de la Journée internationale des droits des femmes, l’UNESCO avait elle aussi exprimé des espoirs quant à l’IA. Plus précisément au sujet des LLM open source. Qui, par leur ouverture, pouvaient favoriser l’atténuation des biais embarqués.

Car des biais, il y en avait. Des tests sur GPT-2, Llama 2 et GPT-3.5 avaient révélé, entre autres, une propension à produire des stéréotypes de genre. Par exemple en y associant certains concepts (à « femme », « famille », « enfants » et « mariage » ; à « homme », « entreprise », « cadre », « salaire », « carrière »…). Ou certains emplois (« chauffeur », « enseignant », « jardinier », « employé de banque » pour les hommes ; « serveuse », « intendante », « mannequin », « prostituée » pour les femmes).

« Même de légers préjugés sexistes dans le contenu [généré] peuvent amplifier de manière significative les inégalités dans le monde réel », avait commenté Audrey Azoulay, alors directrice générale de l’UNESCO.

Du freelancing aux perceptions sociétales, une « trajectoire positive »

Ces inégalités se renforcent d’autant plus qu’elles sont visibles, postule Cynthia Overby, directrice des solutions de sécurité informatique chez Rocket Software. Des postes de direction aux conférenciers qui interviennent lors d’événements tech majeurs, le manque de diversité en façade « renforce la perception que l’industrie des technologies n’accueillera pas ceux qui ne correspondent pas à cette image », estime-t-elle.

« Dans les années 80, les femmes étaient beaucoup plus représentées dans les métiers de l’IT, explique LeHibou (plate-forme de freelancing IT). Un basculement s’est produit pendant cette décennie, quand l’informatique est devenue un produit grand public », constate-t-elle.
En 2023, 14 % de ses freelances furent des femmes. Minoritaires, donc, mais sur une « trajectoire positive » (elles étaient 9 % en 2018). Leurs principales fonctions : chef de projet MOA, product owner, consultante AMOA, chef de projet IA et business analyst. Trois de ces métiers ont affiché, en 2023, un taux journalier moyen équivalent à celui des hommes. Mais alors que ces derniers privilégiaient la rémunération, leurs homologues féminines citaient le choix des missions et la quête d’un meilleur équilibre pro/perso comme leurs principales sources de motivation pour faire du freelancing.

La même année, Ironhack (formation au numérique) avait lui aussi évoqué une forme de trajectoire positive. En comparant deux enquêtes sur le panel BuzzPress France, il avait notamment relevé que :

• 63 % des Français déclaraient que les femmes pouvaient être aussi douées que les hommes dans les métiers liés au numérique (+ 4 points par rapport à 2022)
• 32 % ne considéraient pas que les femmes n’étaient pas élevées ou éduquées pour s’intéresser à ces métiers (+ 6 points)
• 49 % seraient prêts à inciter leur fille à choisir un métier dans la tech (+ 7 points)

Au-delà de la diversité, garantir l’inclusion

« Dans un environnement technique, la mixité apporte des regards différents et contribue à un meilleur équilibre collectif », assure Laetitia Martzolff, HR Business Partner chez DEEP France (ex-DIGORA).

Stephanie Aceves, directrice product management chez Tanium, va plus loin. Elle appelle à porter attention aux « qualités uniques » des femmes : « capacité à diriger avec intuition, à résoudre les problèmes avec une vision large et à créer une communauté au sein des équipes ». Au-delà du recrutement diversifié, il faut garantir l’inclusion, ajoute-t-elle. Or, pour un même rôle, on attend plus d’une femme. Souvent, en particulier, qu’elles prennent en main le sujet de la féminisation lorsqu’elles sont seules dans leur équipe.

Dans certains contextes, les femmes doivent encore démontrer leur compétence avec une intensité supérieure, confirme Céline Delaugère. Cette exigence souvent implicite se manifeste dans l’accès au financement, à la visibilité médiatique ou aux postes de décision, résume la fondatrice de MyDataMachine. Elle poursuit : parler de droits des femmes implique de regarder concrètement leurs accès à l’IA, à la data et aux infrastructures numériques, en ce qu’elles façonnent nos sociétés (modèles économiques, usages culturels, équilibres de pouvoir). Et d’appeler à ne plus analyser les parcours féminins à travers des catégories restrictives : scientifique ou créative, technique ou artistique, rationnelle ou sensible… Cette lecture binaire ne correspond plus à la réalité de trajectoires hybrides.

Brevets STEM : le taux de féminisation aussi sous les 20 %

D’après l’Office européen des brevets, dans les STEM, 16,7 % des inventeurs mentionnés dans les demandes de dépôt de brevet en France entre 2018 et 2022 étaient des femmes. Soit à peu près autant que sur la période 2013-2017 (16,4 %). Le Val-de-Marne se distingue. Le taux (25,4 %) y est parmi les plus élevés chez les régions européennes à forte densité d’innovation.

En mathématiques et informatique, l’Institut Mines-Télécoms arrive en tête des établissements d’enseignement supérieur pour le taux de femmes dans les demandes de dépôt de brevet pendant le doctorat (10 %). L’Université Paris Sciences et Lettres domine pour les dépôts ultérieurs (8 %).

Sur l’ensemble des dépôts à l’INPI entre 2021 et 2023, 14 % des inventeurs français étaient des femmes. Le taux atteignait 16 % dans les établissements publics et les entreprises détenues par l’État. Contre 11 % dans les grandes entreprises et 9 % dans les PME. Il avoisinait 30 % dans le secteur de la chimie.

Illustration générée par IA

The post Femmes et numérique : malgré les biais, l’IA donne espoir appeared first on Silicon.fr.

C’est une première dans l’histoire industrielle américaine : une entreprise nationale se voit infliger le même traitement que l’équipementier chinois Huawei.

Ce jeudi, le secrétaire à la Défense Pete Hegseth a désigné officiellement Anthropic comme un « risque pour la chaîne d’approvisionnement » de l’armée américaine. La décision est immédiatement effective : les 200 millions $ de contrats militaires sont désormais obsolètes.

Les conséquences financières restent, pour l’heure, plus limitées que certains l’avaient redouté. La désignation ne s’applique qu’aux usages de Claude dans le cadre direct de contrats passés avec le Pentagone. Microsoft, partenaire important d’Anthropic, a déjà indiqué que ses juristes avaient étudié le texte et conclu que Claude était utilisable dans ses produits commerciaux  (M365, GitHub, Azure AI Foundry)  pour tous les clients non liés à des contrats de défense. Amazon, investisseur majeur dans Anthropic, n’a pas encore réagi officiellement.

Fin du contrat avec Palantir

En revanche, la rupture avec Palantir est immédiate. La plateforme Maven Smart System, que l’armée américaine déploie notamment pour ses opérations en Iran, et qui s’appuie sur des flux construits avec Claude, devra trouver un substitut. Le Trésor et la General Services Administration ont annoncé leur intention de couper tout lien commercial avec Anthropic, en application d’une directive directe de Donald Trump exigeant d’expurger ses solutions de l’ensemble des contrats fédéraux.

Anthropic a annoncé qu’elle contesterait la décision en justice, estimant que la loi  (dite 10 USC 3252) exige du secrétaire à la Guerre de recourir aux « moyens les moins restrictifs nécessaires » pour protéger sa chaîne d’approvisionnement. En attendant le verdict des tribunaux, la scale-up assure qu’elle continuera à fournir ses modèles à l’armée américaine « au coût nominal », et avec le soutien de ses ingénieurs, aussi longtemps que ce sera légalement possible.

Les dégâts d’une note interne

La crise a pris une dimension politique supplémentaire avec la fuite d’une note interne de Dario Amodei, publiée par le site The Information.

Rédigé le jour où Donald Trump avait ordonné l’exclusion d’Anthropic des systèmes fédéraux et où OpenAI avait annoncé in extremis un accord avec le Pentagone, le mémo accusait le gouvernement de sanctionner Anthropic faute d’ « éloges de style dictateur » envers le Président.

Le PDG a fait son mea culpa : « C’était une journée difficile pour la société, et je m’excuse du ton de ce message. Il ne reflète pas mes vues réfléchies. » Il a aussi précisé qu’Anthropic n’était pas à l’origine de la fuite.

Image : © DR

The post IA militaire : Anthropic officiellement interdit de Pentagone  appeared first on Silicon.fr.

Dans un an, il n’y aura plus de Quip au catalogue de Salesforce.

Les abonnements resteront actifs jusqu’à échéance, mais ne pourront pas être renouvelés après le 1^er mars 2027.

Salesforce ouvre grand la porte à Slack et à Agentforce Sales. Il explique avoir décidé d’y « réimaginer les principaux cas d’usage de Quip ». Il en mentionne quatre : planification de compte, notes de réunion, documentation d’aide, rédaction collaborative.

Pour les clients concernés, une procédure en trois temps s’enclenchera au terme de l’abonnement :

• Passage en lecture seule pour 90 jours ;
• blocage des logins pour 30 jours ;
• suppression des données, généralement sous 30 jours.

La transition ne sera pas automatique. Salesforce fournira cependant de quoi convertir des documents Quip en canevas Slack et exporter d’autres types de contenus vers des applications tierces. Il promet aussi des outils de gestion du changement.

Live Data, Live Apps… Quip, un « canevas unifié » avant Slack

Quip est le fruit d’une acquisition. Salesforce s’en était emparé à l’été 2016, pour 750 M$. Il s’agissait alors d’une application de productivité combinant les aspects communication et collaboration. Un de ses créateurs n’était autre que Bret Taylor, ancien CTO de Facebook… et futur COO, puis co-CEO de Salesforce.

La première passerelle avait été établie au niveau du SSO (connexion à Quip avec un compte Salesforce). La fonctionnalité Live Data avait suivi début 2017. Elle permit d’intégrer, dans les documents et les feuilles de calcul Quip, des données issues de Salesforce et mises à jour « en temps réel ». En parallèle, un composant Lightning fut mis à disposition pour pouvoir, dans Salesforce, rechercher, consulter et créer du contenu Quip.

Fin 2017 étaient arrivées les Live Apps. Elles permirent d’effectuer, dans Quip, des actions sur des objets issus de Salesforce (enregistrements, calendriers et kanbans pour commencer) et de services tiers (Atlassian, DocuSign, Lucidchart, New Relic…). En combinaison avec Live Data, elles concrétisaient le principe du « canevas unifié », que Salesforce promouvrait aussi plus tard avec Slack.

Et vint – l’éphémère – Salesforce Anywhere

Ces jonctions effectuées, la marque Quip for Salesforce était née début 2019. Rapidement devenue Quip for Customer 360, elle donnait accès à Quip dans les offres Sales Cloud et Service Cloud, grâce au composant Lightning en question. Au deux types de contenus initialement pris en charge – traitement de texte et du tableur – s’étaient ajoutés les diapositives (intégrées à Quip en 2018) et les salons de discussion.

Toujours en 2019, Salesforce avait établi une connexion avec Process Builder et Flow Builder. Il s’agissait d’automatiser la création de documents à partir des données du CRM. L’année suivante, Quip devenait capable de créer des slides embarquant des dashboards Einstein Analytics. Amazon, Autodesk, Cisco, DHL, HPE, Qantas et Ticketmaster faisaient alors partie de la clientèle.

Mi-2020, Quip s’était retrouvé intégré dans le package Salesforce Anywhere. La marque, adoptée en réaction au « phénomène télétravail », reprenait le coeur Customer 360. Elle y associait, entre autres, les technologies héritées d’un rachat bouclé quelques mois plus tôt : Vlocity, qui avait développé des CRM « verticaux » sur Salesforce. Elle reposait surtout sur une application mobile et de bureau – alors en bêta – censée centraliser l’expérience de travail autour des workflows Salesforce. En particulier grâce à une brique chat et visio alimentée par Amazon Chime et par une intégration avec Zoom. Quip y avait sa place en tant que couche collaborative. Tanium était aussi dans la boucle pour aider à « passer à l’échelle » le support IT.

Salesforce Anywhere allait assez rapidement disparaître des radars. Et la marque Quip, réapparaître en conséquence, en septembre 2021. Quelques semaines plus tôt, Salesforce avait bouclé l’acquisition de Slack.

Illustration générée par IA

The post Salesforce éteint Quip : la suite sur Slack et Agentforce appeared first on Silicon.fr.

Meta a annoncé ce 5 mars qu’elle autoriserait les assistants d’intelligence artificielle concurrents à accéder à WhatsApp pendant douze mois, dans le but d’éviter une possible injonction d’urgence de la part des régulateurs antitrust européens.

La décision fait suite aux plaintes de rivaux qui s’étaient vu fermer l’accès à la messagerie instantanée.

La Commission européenne avait menacé le mois dernier de prendre des mesures provisoires pour prévenir tout préjudice grave et irréparable causé aux concurrents de Meta, après que cette dernière leur avait barré l’accès à WhatsApp. Une démarche similaire à celle déjà entreprise par l’autorité de la concurrence italienne en décembre.

Meta a informé la Commission qu’elle permettrait désormais aux chatbots rivaux d’accéder à WhatsApp moyennant une redevance, via l’API WhatsApp Business.

« Pour les douze prochains mois, nous allons prendre en charge les chatbots d’IA généralistes utilisant l’API WhatsApp Business en Europe, en réponse au processus réglementaire de la Commission européenne », a déclaré un porte-parole de Meta, ajoutant que cette mesure « supprime la nécessité de toute intervention immédiate ».

La Commission reste prudente sur l’efficacté de la mesure

La Commission a indiqué qu’elle analysait comment les modifications annoncées pourraient influer sur l’examen de ses mesures provisoires, ainsi que sur son enquête antitrust plus large.

Meta avait jusqu’ici justifié la restriction en faisant valoir que la multiplication des chatbots sur ses plateformes surchargeait ses systèmes, et qu’il existait d’autres canaux pour les fournisseurs d’IA comme les boutiques d’applications, les moteurs de recherche, la messagerie électronique ou les systèmes d’exploitation.

L’entreprise avait par ailleurs déjà autorisé les IA rivales sur WhatsApp en Italie en janvier, sous injonction du régulateur local, dont l’enquête se poursuit. La mesure s’appliquera également au Brésil, après qu’un tribunal a rétabli mercredi une injonction de l’autorité brésilienne de la concurrence, suspendue par une autre instance en janvier.

Mais la concession de Meta est loin de faire l’unanimité. The Interaction Company, société californienne éditrice de l’assistant Poke.com et plaignante auprès des régulateurs européen et italien, a exhorté Bruxelles à maintenir ses mesures d’urgence.

Son PDG Marvin von Hagen estime que « ce que Meta présente comme un respect de bonne foi est en réalité le contraire », l’entreprise introduisant selon lui « une tarification vexatoire pour les fournisseurs d’IA qui rend l’opération sur WhatsApp tout aussi impossible que l’interdiction pure et simple ». Il a également écarté la solution italienne : « Elle remplace simplement une restriction anticoncurrentielle par une autre. »

The post Meta entrouvre WhatsApp aux IA rivales pour un an, et contre rémunération appeared first on Silicon.fr.

Pasqal, la start-up spécialisée dans les ordinateurs quantiques à atomes neutres, née en 2019 dans le sillage des travaux du Prix Nobel Alain Aspect, vient d’annoncer une levée de fonds d’au moins 340 millions €. Une somme qui la propulse d’un coup dans la cour des grandes licornes mondiales du secteur quantique.

Le montage est aussi ingénieux que la technologie qu’il finance. Le tour se décompose en deux volets d’environ 170 millions € chacun : d’un côté, une levée privée classique ; de l’autre, un financement convertible adossé à une fusion avec Bleichroeder Acquisition Corp. II, un SPAC américain coté. Au total, depuis sa création, Pasqal aura levé près de 600 millions €, un chiffre qui résume l’ampleur des ambitions.

Une valorisation à 2 milliards $

La transaction valorise Pasqal à 2 milliards $, faisant de la start-up de Palaiseau l’une des rares « licornes quantiques » au monde. Une marche franchie au pas de charge, qui s’explique autant par la maturité technologique de son offre ( des processeurs quantiques accessibles sur site ou via le cloud) que par son carnet de clients impressionnant : CMA CGM, OVHcloud, Thales, IBM, NVIDIA, Sumitomo.

Le tour d’investisseurs rassemble un plateau d’acteurs industriels et financiers qui reflète la dimension internationale prise par Pasqal : Parkway, Quanta Computer, LG Electronics, Temasek, l’European Innovation Council Fund, Saudi Aramco Entrepreneurship Ventures ou encore ISAI figurent parmi les nouveaux entrants, aux côtés de Bpifrance, fidèle au capital depuis 2021.

Nasdaq d’abord, Euronext ensuite

La stratégie boursière est doublement ambitieuse. Pasqal prévoit une première introduction au Nasdaq en 2026, via la fusion avec le SPAC Bleichroeder, avant de préparer une cotation sur Euronext Paris entre 2026 et 2027. Ce double ancrage vise à capter la liquidité des marchés américains, incontournables pour une deeptech qui se bat à armes égales avec des géants comme IBM Quantum ou IonQ, tout en maintenant une base actionnariale et décisionnelle en Europe.

L’opération, soumise aux approbations réglementaires habituelles et au dépôt d’un Form F-4 auprès de la SEC, n’est pas sans risques. Le marché des SPACs a connu ses turbulences ces dernières années, et la concurrence dans la course au quantique industriel s’intensifie. Pasqal mise sur la singularité de son approche — les atomes neutres — pour se différencier face aux architectures à base d’ions piégés ou de qubits supraconducteurs.

L’Essonne, QG mondial du quantique

Malgré l’envergure américaine de l’opération, Pasqal entend investir la majeure partie des fonds en France, et plus précisément à Palaiseau, dans l’Essonne, où est déjà implanté son site principal.

L’entreprise annonce vouloir doubler ses capacités de production en 24 mois et recruter 50 personnes supplémentaires sur 18 mois, soit une hausse des effectifs d’environ 20 % pour atteindre plus de 325 collaborateurs. La R&D sera également renforcée, avec un objectif affiché : disposer d’un ordinateur quantique tolérant aux pannes avant la fin de la décennie.

Un message politique autant qu’industriel, qui s’inscrit dans la logique du plan quantique national et des ambitions de souveraineté technologique européenne. Le futur ensemble issu de la fusion avec Bleichroeder restera d’ailleurs une entité de droit français, présidée par un ressortissant hexagonal, et Bpifrance conservera son siège au conseil d’administration.

Un test grandeur nature pour la deeptech européenne

La trajectoire de Pasqal sera scrutée bien au-delà du seul secteur quantique. Pour l’ensemble de l’écosystème deeptech européen, cette double cotation représente un test inédit : celui de la capacité d’un champion continental à lever des capitaux à l’échelle des exigences technologiques du moment, sans sacrifier son ancrage et ses valeurs.

Si l’opération réussit, elle démontrera qu’il est possible de rivaliser avec les poids lourds américains et asiatiques depuis Palaiseau et que le quantique européen n’est plus seulement une promesse de laboratoire. La balle est désormais dans le camp des marchés.

Photo : © DR

The post Pasqal lève 340 millions € et vise le Nasdaq appeared first on Silicon.fr.

Mi-janvier, la nouvelle tombait : fin 2025, Société Générale avait décommissionné SoGPT. Après plus d’un an d’exploitation, un constat s’était imposé : ce GPT interne n’avait pas pu suivre la cadence des principales solutions du marché.

Le groupe français n’était pas à l’origine de cette annonce. Il ne l’a cependant pas démentie. Son P-DG s’en est même expliqué début février. Son postulat : puisque entre opportunités et menaces, les choses ne sont « pas encore totalement claires », il convient d’utiliser les meilleurs outils disponibles.

En interne, trois grandes typologies d’usages IA « fonctionnent », a-t-il ajouté. Premièrement, le résumé et la traduction de texte. Deuxièmement, l’extraction de données « plus ou moins structurées ». Troisièmement, les tâches informatiques, à commencer par le codage. Pour tous ces aspects, Société Générale préfère recourir à une technologie externe qui a « prouvé sa fiabilité » et sa « capacité à favoriser l’adoption ».

Cette techno, c’est Copilot, de Microsoft. Elle n’est pas, et de loin, une nouvelle venue dans la boîte à outils de Société Générale. Le groupe l’avait déployée en parallèle de son GPT interne. Sa directrice de l’innovation l’évoquait déjà en septembre 2023. Elle dénombrait alors quelque 600 cas d’usage de l’IA « classique », générant environ 340 M€ de valeur.

Un an plus tard, à l’occasion de la conférence Everyday AI Paris, l’intéressée avait mentionné SoGPT. Elle recensait alors 650 « cas d’usage data », dont plus de la moitié impliquant de l’IA. Le volet génératif était abordé sous le prisme « 4C » : client, contenu, concision et code. L’objectif était de dégager une valeur globale de 500 M€ à l’horizon 2025.

SocGen AI, une entité pour porter des développements internes « lorsque pertinent »

Pour industrialiser les solutions d’IA, Société Générale a créé, en mars 2025, une entité transversale : SocGen AI. Sa présidente est Laura Mather, COO du groupe. Son DG Nicolas Méric est un ancien de DreamQuark et de Linedata, fournisseurs de solutions data/IA pour le secteur financier.

L’AG de mai 2025 avait été l’occasion de revenir sur SocGen AI. Et, notamment, de promettre une ouverture aux expertises externes. Société Générale précisait alors avoir une stratégie de fournisseurs diversifiés… et opter pour des développements internes « lorsque pertinent ».

En septembre 2025, le groupe avait porté plainte auprès de l’Organisation mondiale de la propriété intellectuelle. Sa cible : une petite entreprise britannique qui avait déposé, trois ans plus tôt, le nom de domaine socgen.ai. Il avait obtenu raison en invoquant le dépôt de la marque SOCGEN au niveau européen en 1998 puis international en 2001.

Fin novembre, des offres d’emploi mentionnaient encore SoGPT. Par exemple, pour un poste de stagiaire à Monaco. Une des missions consistait en l’accompagnement des métiers par le déploiement et le support de SoGPT… ainsi que de Copilot.

Début décembre, un média indien publiait une interview de la DRH pour la zone Asie-Pacifique. Était évoqué, en particulier, l’usage de l’IA au sein du LMS (système de gestion de la formation) et de la marketplace interne de talents. SoGPT l’était aussi, comme Copilot. L’un et l’autre aident à l’interprétation des textes de loi, expliquait la DRH. Elle parlait aussi du recours à Copilot pour synthétiser les enquêtes de satisfaction employés.

Illustration © GoodPics – Adobe Stock

The post Du GPT interne à Copilot, une bascule pas si radicale pour Société Générale appeared first on Silicon.fr.

La CANUT ,  la Centrale d’Achat du Numérique et des Télécoms dédiée aux collectivités et aux bailleurs sociaux, a sélectionné Cloud Temple comme l’un des deux titulaires du Lot 1 de son accord-cadre stratégique Cloud et Hébergement, notifié en février 2026 pour une durée de quatre ans.

Ce lot porte sur la fourniture, l’intégration et la gestion de services d’infrastructure cloud de confiance, à destination des collectivités territoriales, bailleurs sociaux et établissements publics adhérents.

Une position renforcée sur le marché public

Cet accord-cadre intervient dans un contexte de menaces croissantes sur les infrastructures publiques et d’exigences accrues en matière de protection des données citoyennes.
Cloud Temple se distingue en étant le seul titulaire du marché à détenir la qualification SecNumCloud délivrée par l’ANSSI, en plus de ses certifications HDS et ISO 27001. Ses services managés, certifiés HDS et en cours de qualification PAMS par l’ANSSI, sont également accessibles via le Lot 1.

Une offre d’IA souveraine incluse

Le périmètre du Lot 1 comprend aussi l’offre LLMaaS de Cloud Temple, qui donne accès à des modèles de langage dont l’inférence s’appuie sur une infrastructure qualifiée SecNumCloud, hébergée en France. Les données traitées restent strictement confidentielles et ne sont ni exploitées ni conservées après traitement.

The post Cloud Temple retenu par la CANUT pour son cloud souverain appeared first on Silicon.fr.

Cinq fois le mot « souveraineté » dans un même post : sur le blog d’Alibaba Cloud, c’est inhabituel, pour ne pas dire quasi inédit.

Ce post, publié début février, dresse un « bilan annuel » de l’offre de cloud privé Apsara Stack. Dans la pratique, il s’agit d’une plaquette commerciale. Elle a, donc, la particularité de comporter de nombreuses références à la notion de « souveraineté ». Avec des exemples. Parmi eux, le Sénégal. Sur place se dérouleront, du 31 octobre au 13 novembre 2026, les Jeux olympiques de la jeunesse. Les principaux SI sous-jacents doivent être migrés chez Alibaba Cloud, nous explique-t-on. Apsara Stack portera des « applications critiques » à l’image de la billetterie et de la gestion du parcours de la flamme. Il est surtout censé contribuer, par après, à la mise en place d’une « infrastructure cloud nationale souveraine »…

Alibaba Cloud donne un autre exemple : celui de l’Algérie, qui s’est appuyée sur ses services pour déployer une « infrastructure cloud souveraine pour les services publics ».

Alibaba Cloud mise sur les partenariats telcos

Pour trouver trace d’un autre emploi du mot « souveraineté » sur le blog principal de l’entreprise chinoise, il faut remonter à septembre 2025. Elle avait félicité un client et un partenaire intégrateur malaisiens qui venaient de remporter des prix d’innovation décernés par une association représentative du secteur IT.

La notion de souveraineté apparaît épisodiquement sur d’autres canaux de com d’Alibaba Cloud. Illustration sur Facebook en novembre 2025, dans le cadre d’un forum gouvernemental en Arabie saoudite. L’entreprise avait organisé un atelier à ce sujet avec Atos.

Quelques mois plus tôt, son directeur secteur public avait appelé les pays émergents à investir dans le « cloud souverain ». Il avait évoqué les alliances montées dans cette perspective avec des opérateurs télécoms. Et en avait mentionné une : en Afrique du Sud, avec BCX, qui assure une « exploitation indépendante » du cloud.

Alibaba Cloud avait fait son entrée sur le marché sud-africain grâce à ce partenariat. C’était en 2022. Promettant d’accompagner le développement de compétences locales, il a mis sur pied , avec BCX, une Alibaba Cloud Academy.

Des certifications européennes… surtout en Allemagne

Dans son trust center, Alibaba Cloud détaille sa conformité à diverses réglementations nationales… mais exclusivement sur la plaque Asie (+ Australie). Toutefois, parmi les certifications dont il dispose, certaines ont été délivrées en Europe. Notamment C5 (le « SecNumCloud allemand »), obtenu pour la première fois en 2020. L’Allemagne lui a aussi attribué l’AIC4 (AI Cloud Service Compliance Criteria Catalog), qui évalue la sécurité des services d’IA. Sur place, il en a également obtenu une de la part de l’industrie automobile : TISAX (Trusted Information Security Assessment Exchange).

En Europe, Alibaba Cloud détient par ailleurs la certification EU CoC. Elle est censée témoigner du respect des obligations de l’article 28 du RGPD, relatif aux sous-traitants.

Illustration générée par IA

The post Alibaba Cloud se fait plus explicite sur la souveraineté appeared first on Silicon.fr.

Ne dites plus GAGSI, mais MAGNum.

Ce changement « marque le passage d’une vision centrée sur le SI à une approche globale du numérique », assure le Cigref.

L’association est à l’origine de ce document, élaboré avec deux pairs : l’AFAI-ISACA (Association française de l’audit et du conseil informatique ; aujourd’hui ISACA France) et l’IFACI (Institut français de l’audit et du contrôle internes).

L’intégration d’un modèle de maturité

La version initiale fut publiée en 2011. Une première mise à jour intervint en 2019, toujours sous le nom de GAGSI (guide d’audit de la gouvernance des SI). Elle avait notamment ajouté la culture de l’innovation et la gestion des données comme vecteurs d’analyse.

Le Cigref et ses pairs viennent d’en sortir une nouvelle révision. Elle aussi ajoute un axe d’analyse : la RSE. Surtout, donc, elle se focalise sur la notion de « numérique ». Et positionne les bonnes pratiques de gouvernance au niveau de l’ensemble de l’organisation – plus seulement de la DSI. D’où l’acronyme MagNUM, pour « modèle de maturité et d’audit de la gouvernance numérique ».

Des travaux antérieurs avaient ouvert la voie à cette approche. Ils avaient permis de classer les « bonnes pratiques » de chaque vecteur par niveaux de maturité.
Le MAGNum reprend ce système. Mais de façon plus fine, en l’appliquant à tous les critères composant chacune des bonnes pratiques. Les niveaux dépendent de l’effort de mise en place. Le Cigref et C^ie y associent un outil de mesure, la notation consolidée devant permettre d’obtenir un « radar de maturité ».

Parallèlement à l’ajout de la RSE, l’axe « risques » s’enrichit de bonnes pratiques de conformité et met davantage d’accent sur la cybersécurité. L’IA se diffuse de surcroît dans tous les vecteurs, à commencer par celui relatif à la data.

Les lignes bougent, leur contenu aussi

Du GAGSI au MAGNum, les évolutions structurelles sont nombreuses. Le premier axe (« Stratégie ») est une bonne illustration, entre précision, fusion, division et ajout de critères.

La première bonne pratique – participation du DSI à l’élaboration de la stratégie de l’entreprise – demeure. Mais le critère de communication des résultats de la veille technologique est scindé en deux, correspondant à la mise en place du dispositif de veille et au partage des résultats.
En « version MAGNum », cette même bonne pratique a des critères supplémentaires. D’une part, décliner le plan stratégique de l’organisation sous forme de feuille de route numérique. De l’autre, assurer que les sujets de transformation numérique bénéficient d’un sponsoring au plus haut niveau de l’organisation.

Des ajouts, il y en a aussi sur la bonne pratique consistant à intégrer, dans le volet numérique du plan stratégique, les cibles métiers et technologiques ainsi que la planification des ressources nécessaires à leur atteinte. Apparaît notamment un critère appelant à décrire les paliers d’évolution vers les objectifs. En parallèle, le MAGNum fusionne le critère relatif à la stratégie de sourcing dans celui qui invite à préciser les ressources nécessaires.

Pour trouver des critères que le MAGNum précise, on peut aller voir sur la partie communication du volet numérique. La nouveauté : une exigence d’adapter cette com aux publics cibles. Autre exemple de précision : l’instance de pilotage stratégique du SI mise en place pour valider ce même volet et en effectuer le suivi. Elle le sera typiquement au niveau de la DG… mais pourra, le cas échéant, être assurée par la direction de la BU concernée.

Innovation : penser aux dispositifs de repriorisation

Les mêmes types de modifications structurelles se retrouvent sur le deuxième axe (« Innovation »). Témoin la bonne pratique relative à l’encadrement des efforts par une politique et une gouvernance adaptées. Il n’y est plus question d’une instance en charge de l’effort d’innovation, mais d’une structuration des activités, déclinable « de différentes façons plus ou moins formelles ». Le MAGNum mentionne, à ce sujet, le rapprochement entre DSI et marketing stratégique. L’ensemble n’était pas absent du GAGSI, mais figurait dans une autre bonne pratique.

Avec la disparition du critère d’existence de ladite instance, les suggestions de responsabilités associées glissent dans un autre critère (définition claire des rôles et responsabilités dans la politique d’innovation).

Du GAGSI au MAGNum, la notion de PMO (Product Management Office, censé faciliter l’innovation par les technologies émergents) disparaît aussi (elle perdure toutefois sur l’axe « Portefeuille de projets »). Tandis que la bonne pratique relative à la communication et à la performance est divisée en deux, pour couvrir séparément chacun de ces aspects.

La bonne pratique sur le traitement agile des initiatives d’innovation ne change quasiment pas. Si ce n’est qu’y apparaît la notion de dispositifs de repriorisation, dans une logique de souplesse budgétaire.

Une plus grande surface pour la protection cyber et la conformité

Le GAGSI dédiait une bonne pratique à l’identification et à la documentation des contrôles dans les applications. Avec le MAGNum, elle disparaît… pour se retrouver intégrée dans une autre, nouvelle, relative à la protection des données.

La conformité a donc désormais sa bonne pratique spécifique. Laquelle englobe, entre autres, élaboration d’une charte, compliance by design, documentation des écarts et reporting.
Même remarque pour la protection contre les cyberattaques (identification d’une fonction RSSI, définition d’une PSSI, formation et sensibilisation, tests et certifications par tiers, etc.). Et pour la protection des infrastructures numériques (redondance, politique de sauvegarde, processus de gestion de l’obsolescence et des vulnérabilités…).

Sur la partie « identification et évaluation des risques », le GAGSI avait un sous-critère SOC. Le MAGNum n’en a pas, même s’il inclut l’identification des menaces suffisamment importantes. À la place, il appelle les organisations à prendre en compte les risques impactant leur écosystème. Ainsi que l’influence de leurs propres évolutions internes.

Pour ce qui est du cadre de gestion des risques, le MAGNum mentionne, au contraire du GAGSI, l’aspect certifications professionnelles. Il précise par ailleurs la nécessité d’intégrer les risques tiers dans la cartographie. Et cite davantage de référentiels pour l’inventaire de risques (ISO 31000, EBIOS RM, COSO ERM, NIST CSF, OCTAVE et MEHARI rejoignent Risk IT Framework, COBIT et ISO 27005).

IT for green et accessibilité numérique, nouveautés dans la version 2026

L’axe RSE est plus synthétique que les précédents. Il comprend 5 bonnes pratiques :

• Gouvernance
  Sponsorship de la DG en matière de numérique responsable, intégration de la politique RSE de l’organisation dans la stratégie numérique, instance de pilotage du numérique responsable…
• Programme de sensibilisation et de formation
  Référents numérique responsable dans les BU, intégration de cette dimension dans les compétences recherchées pour les candidatures IT…
• Écoconception numérique
  Pilotage dédié de la performance écologique du SI, actions dédiées à l’accessibilité numérique, accompagnement des métiers à l’élaboration de solutions IT for green…
• Politique d’achats numériques responsables
  Critères RSE explicites dans les cahiers des charges, préférence pour le matériel labellisé ou certifié RSE, challenger les fournisseurs sur la fin de vie des équipements…
• La filière numérique pilote se contribution à la RSE de l’organisation

La data pour l’IA… et l’inverse

Sur la partie data, le GACSI s’articulait en cinq bonnes pratiques. Dans les grandes lignes, gestion, valorisation, sécurisation, réglementation et éthique.

Le MAGNum divise l’aspect gestion en deux bonnes pratiques. Au sein de la première, il combine les aspects cartographie et analyse de la chaîne de valeur. Dans la deuxième, il fusionne des critères de maintien d’un référentiel et d’un dictionnaire de données ainsi que de contrôle de la data quality. Il y ajoute une mention de l’IA, en tant qu’elle est utilisable pour « rendre le processus [de gestion] plus efficace ».

Une bonne pratique reste dédiée à la valorisation. Avec deux précisions. D’un, les initiatives peuvent concerner tant les données structurées que non structurées. De deux, la mesure de leur efficacité doit englober l’usage de moteurs d’IA (RAG, par exemple).

La bonne pratique « sécurisation » demeure, mais sans le critère d’intégration de la dimension data dans les PCA/PRA.

Reflet du nouvel axe RSE et du complément conformité, la réglementation et l’éthique ne font plus l’objet de bonnes pratiques dédiées. L’IA, au contraire, a désormais la sienne, entre politique d’utilisation, critères spécifiques dans le processus de décision relatifs aux investissements, actions de promotion, valorisation des compétences et feuille de route pour le passage à l’échelle.

Illustration générée par IA

The post De la gouvernance des SI à celle du numérique : comment le Cigref a révisé son guide d’audit appeared first on Silicon.fr.

C’est une rupture historique pour Apple qui a dévoilé le MacBook Neo.

Ce portable affiché à partir de 599 $ est soit 400 $ de moins que le MacBook Air, son entrée de gamme habituelle à 1 099 $. Pour atteindre ce positionnement tarifaire inédit, Apple a fait un choix technique radical : équiper le MacBook Neo d’une puce A18 Pro, le même processeur que celui embarqué dans les iPhone 16 Pro lancés en 2024.

Une puce iPhone dans un Mac

C’est une première dans l’histoire du Mac car jamais encore Apple n’avait utilisé une puce de smartphone dans un ordinateur portable. La machine, dispose d’un processeur six cœurs, d’un GPU cinq cœurs et de 8 gigaoctets de mémoire vive unifiée. Pas de configurations alternatives : les spécifications sont fixes.

L’écran de 13 pouces, le châssis en aluminium, le clavier complet, le trackpad, la caméra FaceTime 1080p et le Wi-Fi 6E font partie de la dotation standard. L’autonomie annoncée est de 16 heures, contre 18 heures pour le MacBook Air M5. L’ensemble qui pèse 2,7 livres (environ 1,2 kg) est disponible en quatre couleurs. Le tout tourne sous macOS, le même système d’exploitation que les Mac haut de gamme, avec une compatibilité totale avec les applications iPhone et Mac.

La version de base intègre 256 gigaoctets de stockage. Une version à 699 $ double la capacité et ajoute Touch ID. Les acheteurs dans le secteur éducatif bénéficient d’une remise de 100 $ sur chaque modèle, ramenant le prix d’entrée à 499 $ Quatre coloris sont au programme : citrus, silver, indigo et blush. Les précommandes sont ouvertes depuis mercredi, avec des livraisons attendues à partir du 11 mars.

Chromebooks et PC Windows dans le viseur

La cible est clairement identifiée : les utilisateurs de Chromebooks propulsés par Google et les PC Windows d’entrée de gamme, un segment où Microsoft peine à imposer ses appareils équipés de puces ARM malgré leurs promesses en matière d’autonomie. Apple vise aussi les étudiants, les primo-acheteurs et les entreprises en quête d’un point d’entrée abordable dans l’écosystème Mac.

« La vraie question n’est pas de savoir si Apple peut vendre un MacBook à ce prix, ce sera l’un des Mac les plus vendus de l’histoire si la marque tient ses promesses , mais comment elle parvient à équilibrer coût, performance et positionnement premium tout en préservant l’expérience qui définit le Mac », analyse Francisco Jeronimo, vice-président en charge des appareils clients chez IDC cité par Reuters.

John Ternus, le directeur de l’ingénierie matérielle d’Apple, a résumé l’ambition dans un communiqué : le MacBook Neo a été « conçu de fond en comble pour être plus accessible au plus grand nombre. »

Une offensive sur l’entrée de gamme

Le lancement du MacBook Neo s’inscrit dans une séquence dense pour Apple. Cette semaine, la firme a également dévoilé l’iPhone 17e à 599 $, avec davantage de stockage en configuration de base, et renouvelé ses MacBook Air et MacBook Pro avec les nouvelles puces M5 et des configurations de série étendues en mémoire. Autant de mouvements qui témoignent d’une stratégie d’ensemble : défendre les parts de marché d’Apple dans un contexte de PC en demi-teinte et de smartphone sous pression.

Car la conjoncture est complexe. Les marchés PC et smartphone restent très sensibles aux prix après plusieurs trimestres de demande erratique, et les fabricants naviguent en eaux troubles face à la flambée du coût des composants mémoire.

Le MacBook Neo, livré avec seulement 8 gigaoctets de RAM, moitié moins que le MacBook M4 et même en retrait par rapport aux 12 gigaoctets de l’iPhone 17 Pro , illustre les compromis imposés par cette pénurie mondiale de mémoire.

Reste à savoir si le pari sera tenu. Apple a déjà tâté du segment en commercialisant un MacBook Air à 699 $ chez Walmart avec une puce M1, mais c’était sur un modèle en fin de vie. Avec le MacBook Neo, c’est une machine inédite, conçue pour ce prix, qui entre en scène.

Image : © Apple

The post Apple casse les prix avec le MacBook Neo à 599 dollars appeared first on Silicon.fr.

Disponible depuis le 3 mars 2026,Du GAGSI au MAGNum : une évolution structurelle

Changement de braquet pour la gouvernance du numérique :  le MAGNum (Modèle de maturité et d’audit de la gouvernance du numérique) 2026 prend la suite du Guide d’Audit de la Gouvernance du Système d’Information (GAGSI 2019), dont il dépasse largement le périmètre initial.

Là où le GAGSI se contentait d’identifier des bonnes pratiques, le MAGNum mesure désormais, de façon structurée et comparable, le niveau de maturité numérique global d’une organisation sur une échelle de 1 à 5.

Du GAGSI au MAGNum : une évolution structurelle

Le MAGNum (Modèle de maturité et d’audit de la gouvernance du numérique) est le fruit d’un travail collégial mené par une soixantaine d’experts issus des trois associations (auditeurs, DSI, architectes de systèmes d’information, consultants)  réunis au sein d’ateliers thématiques couvrant la stratégie, l’architecture, les données, les risques, l’IA, la cybersécurité, la RSE ou encore la gestion de projets.

Cette montée en ambition s’accompagne d’une refonte thématique pour intégrer les enjeux devenus incontournables depuis la dernière édition : intelligence artificielle, RSE, cybersécurité renforcée, conformité réglementaire et agilité organisationnelle.

« Le travail mené en commun en 2022-2023, qui a permis de clarifier les évolutions de la gouvernance du numérique, nous a convaincus de la nécessité de mettre à jour l’édition 2019. En intégrant le référentiel de mesure de la maturité de la gouvernance développé par ISACA France, nous avons rapproché de manière cohérente l’exercice d’audit et l’évaluation de la maturité », explique Véronique Beaupère, conseil en stratégie et gouvernance des systèmes d’information et administratrice d’ISACA France, qui a codirigé les travaux.

13 vecteurs de gouvernance pour couvrir l’ensemble du numérique

Le modèle s’articule autour de 13 vecteurs clés : Stratégie, Innovation, Risques & Conformité, RSE, Données & IA, Architecture, Portefeuille de projets, Projets, Ressources humaines, Prestataires & fournisseurs, Services, Budget & performance, et Marketing & communication. Pour chacun, le MAGNum présente les enjeux et les menaces, et décrit des bonnes pratiques déclinées en critères d’évaluation.

Le modèle se distingue par l’ajout d’un 13ème vecteur dédié à la RSE, ainsi que par l’intégration systématique de l’IA dans tous les vecteurs, en particulier celui des données.Pour chacun des 13 vecteurs clés  le MAGNum présente les enjeux et les menaces, et décrit des bonnes pratiques déclinées en critères d’évaluation.

L’outil intègre une grille de maturité assortie d’une restitution visuelle sous forme de radar, permettant de prioriser les actions, de mesurer les progrès dans le temps et de comparer différentes entités  (entreprises, filiales, business units). Le fichier Excel associé permet de noter le niveau de respect des exigences, de calculer automatiquement la maturité par vecteur et de générer ce radar à destination du management.

Un langage commun entre DG, DSI, métiers et auditeurs

L’un des objectifs affichés du MAGNum est de réconcilier des populations qui, souvent, ne parlent pas le même langage. En proposant un vocabulaire partagé entre les décideurs (DG, DSI, directions métiers), les auditeurs et les opérationnels, le modèle entend aligner gouvernance du numérique et stratégie d’entreprise.

Pour Djilali Kies, pilote du projet pour le Cigref, « nos trois associations, chacune par leurs travaux parallèles, ont acquis la conviction que la maîtrise de la gouvernance du numérique n’est aujourd’hui plus négociable pour les entreprises, c’est devenu un impératif. Nous avons donc décidé de regrouper nos efforts, avec pour objectif d’aller au-delà du guide d’audit et de produire cette fois plutôt un manuel de maturité, un référentiel de bonnes pratiques, un outil qui intègre déjà toutes les évolutions que l’on connaît à date du monde du numérique. »

Du côté des auditeurs internes, Guillaume Cuisset, associé KPMG et membre du Groupe Professionnel « Systèmes d’Information » de l‘IFACI, souligne l’apport concret pour leur pratique : « Maîtriser les questions de gouvernance du numérique est devenu un enjeu très important pour une direction d’audit interne. Ce nouveau modèle de maturité permet à l’auditeur interne de mieux comprendre le fonctionnement de la DSI, d’identifier les causes profondes des dysfonctionnements et de formuler des recommandations plus ciblées. C’est un outil qui va lui permettre de discuter, selon un même champ lexical, avec son DSI, son directeur du numérique, tout en s’appuyant sur un référentiel de bonnes pratiques qui est partagé par les deux métiers, puisqu’il aura été construit collégialement entre nos trois associations. »

Un outil conçu pour les équipes terrain

Le MAGNum repose sur trois principes fondateurs : le pragmatisme (les critères sont issus des retours de terrain des contributeurs), la lisibilité (un vocabulaire accessible à l’IT, aux métiers et aux fonctions support) et la facilité d’usage (des outils simples, y compris pour les non-spécialistes).

In fine, le modèle se positionne à la fois comme un outil de pilotage de la transformation numérique, un support d’objectivation des priorités d’investissement, un référentiel commun de dialogue entre DG, métiers, DSI, conformité et audit, et un moyen d’auto-évaluation régulière de la gouvernance du numérique.

Le MAGNum 2026 est disponible en téléchargement libre (version française) sur l’espace membres d’ISACA France : https://engage.isaca.org/parischapter/espacemembres/publications/publications343

*Les 13 vecteurs clés sont  : Stratégie, Innovation, Risques & Conformité, RSE, Données & IA, Architecture, Portefeuille de projets, Projets, Ressources humaines, Prestataires & fournisseurs, Services, Budget & performance, et Marketing & communication.

 

The post Gouvernance du numérique : le MAGNum 2026 remplace le GAGSI appeared first on Silicon.fr.

BYOD, IA, réseaux sociaux professionnels, logiciels à usage industriel… Les derniers « flashs ingérence » de la DGSI ont souvent fait la part belle au numérique.

Le service de renseignement avait institué ce format en 2012. Il y présente brièvement des cas réels d’ingérence économique et y associe des préconisations. Le dernier en date (février 2026) évoque les risques de captation d’informations lors de déplacements à l’étranger.

Deepfakes, shadow AI… et due diligence sans vigilance

Le « flash ingérence » précédent (décembre 2025) est consacré à l’usage de l’IA dans le monde professionnel.

L’un des cas présentés est une tentative d’escroquerie par deepfake. Elle a visé le responsable d’un site industriel d’un groupe français. L’intéressé a reçu un appel visio. Son interlocuteur avait l’apparence physique et la voix du dirigeant du groupe. Il n’a cependant pas accédé à la demande qui lui a été faite de transférer des fonds dans le cadre d’un prétendu projet d’acquisition.

Les deux autres cas présentés touchent respectivement à l’usage d’IA sans autorisation et sans vérification. Le premier implique la traduction régulière de documents confidentiels à l’aide d’un outil « grand public » développé par une société étrangère, sans aval de la hiérarchie. Le second concerne le recours à un autre outil d’origine étrangère, pour de la due diligence. La société utilisatrice a systématiquement orienté ses décisions en fonction du retour fait par l’outil, sans contrôle complémentaire.

Des approches indésirables sur les réseaux sociaux professionnels

Le « flash ingérence » précédent (novembre 2025) est dédié aux approches malveillantes sur les réseaux sociaux professionnels.

La DGSI y expose le cas d’une start-up en difficulté financière évoluant dans un secteur sensible. Son dirigeant est approché par un prétendu cabinet de conseil étranger qui déclare opérer en qualité d’intermédiaire pour un fonds d’investissement. Convaincu, il lui dévoile des informations, dont un projet de conception d’un nouveau produit. Le service juridique de la start-up finit toutefois par détecter la supercherie. Ni le cabinet ni le fonds n’avait d’existence légale. Et on n’en trouvait trace dans aucune base de données de leurs pays d’origine déclarés.

Autre fausse promesse de financement : celle qui a ciblé le responsable d’un centre de recherche. Elle provenait du soi-disant chargé de com d’une célébrité internationale. Elle était d’autant plus crédible que cette célébrité avait récemment effectué des actions de soutien dans le domaine d’activité du centre – actions largement relayées sur les réseaux sociaux. La discussion n’est pas allée plus loin lorsque l’individu a demandé le règlement préalable d’une taxe locale de plusieurs milliers d’euros.

Le troisième cas exposé est celui de salariés piégés par un faux profil. L’escroc s’est d’abord fait passer pour un comptable interne, sans succès (le dirigeant avait repéré la supercherie). Il a eu plus de réussite quelques mois plus tard. Avec un autre faux profil, il est parvenu à engager des discussions avec des salariés. Dont un qui lui a révélé des infos stratégiques relatives au calendrier de développement de certaines activités de l’entreprise et à l’état de ses progrès technologiques.

Les points faibles des logiciels industriels

En octobre, il y avait eu un « flash ingérence » concernant les risques associés à l’absence de protection des logiciels à usage industriel.

La DGSI y présente le cas d’une entreprise française développant des systèmes industriels. Un de ses clients avait, avec l’aide d’une entreprise concurrente étrangère, détourné le programme embarqué et l’avait installé sur une machine tierce. Or, ni le programme ni la machine ne bénéficiaient d’une protection par brevet. L’entreprise française avait considéré qu’en déposer un aurait publiquement exposé ses inventions. Le client a justifié la démarche par des temps de livraison jugés trop longs.

Deuxième cas : celui d’une entreprise française commercialisant un logiciel à intégrer dans des machines-outils. Un client étranger, prétextant un défaut de mise à jour, a fait une sauvegarde totale des données et du programme. Ce sans respecter les procédures de l’entreprise française, qui, habituellement, se déplace pour faire elle-même la mise à jour.
En l’absence de possibilité de protection par brevet des logiciels en tant que tels, l’entreprise craint notamment une revente à un concurrent.

La DGSI mentionne aussi un cas d’exfiltration de code source non protégé, survenu dans une entreprise ayant développé un logiciel applicatif pour un secteur industriel de pointe. Deux anciens salariés, qui avaient eu accès à ce code source développé dans le cadre de leurs fonctions, avaient créé une société concurrente pour l’exploiter. Ce quand bien même leurs contrats de travail comprenaient des clauses de confidentialité et de non-concurrence.

Entre phishing et keyloggers, la DGSI n’oublie pas le « facteur humain »

Un peu plus tôt dans l’année était paru un « flash ingérence » intitulé « Le facteur humain, principal vecteur de compromission des systèmes d’information ».

Le premier cas présenté est celui d’un salarié d’une société hébergeant des données sensibles. L’intéressé a accédé à sa messagerie professionnelle à partir d’outils personnels, alors même que la charte informatique de son employeur l’interdisait. Cela a permis à des attaquants de pénétrer le SI puis d’exploiter une faille 0-day.

Autre entreprise, autre salarié, quant à lui approché sur un réseau social professionnel par un soi-disant chargé de recrutement dans un grand groupe étranger. Invité à ouvrir une pièce jointe dans un de ses e-mails, il a ouvert la porte à un virus qui a permis d’extraire des centaines de fichiers sensibles. Ainsi que des fichiers appartenant à son ancien employeur.

La DGSI y ajoute une action malveillante d’un salarié travaillant chez un prestataire d’un grand groupe industriel. Il a installé un keylogger sur une clé USB personnelle. Puis l’a mise à disposition de ses collègues en tant que support de stockage professionnel. Cela lui a permis de récupérer les identifiants des personnes qui l’avaient connectée à leur ordinateur.

Le BYOD, consultants compris

En mars 2025, la DGSI avait publié un « flash ingérence » sur les risques associés à l’utilisation d’outils numériques personnels à des fins professionnelles.

Premier cas évoqué : un salarié ayant utilisé à de multiples reprises son ordinateur personnel pour se connecter à la plate-forme commerciale de son entreprise. Sans dispositif d’anonymisation ni chiffrement des échanges. Un membre de sa famille utilisait régulièrement cet ordinateur. Qui, pendant une courte période, a eu un fonctionnement inhabituel, non expliqué. Plusieurs mois après, le RSSI de la société a constaté que l’identifiant et le mot de passe du salarié étaient sur le darkweb. Faute d’authentification forte sur la plate-forme commerciale, des tiers ont accédé à la base de données clients.

Autre cas : celui d’un consultant d’un prestataire informatique d’une société sensible. À son domicile, il s’est fait voler son ordinateur personnel. Il y avait transféré des données de la société depuis son poste de travail pro. Elles étaient stockées sans protection particulière et l’ordinateur n’était sécurisé que par un mot de passe. Le presta n’avait pas avisé la société de ce transfert de fichiers.

La DGSI mentionne aussi une entreprise qui encourageait le BYOD sans l’avoir encadré clairement. Et sans posséder de systèmes de gestion des appareils mobiles à distance. Elle n’a pas pu déterminer ce qui est arrivé au téléphone d’un salarié lors d’un contrôle aéroportuaire. Les autorités étrangères l’ont saisi, ont obtenu son déverrouillage et l’ont emporté dans une autre pièce…

Illustration générée par IA

The post Numérique en entreprise : les mises en garde de la DGSI appeared first on Silicon.fr.

DeepIP, plateforme d’IA dédiée aux brevets, annonce ce 3 mars une levée de fonds de 25 millions $ en Série B, portant son financement total à 40 millions $.

Le tour est co-mené par Korelya Capital, fonds fondé par Fleur Pellerin, ancienne ministre française de l’Économie numérique, et Serena, fonds connu pour avoir accompagné Dataiku. Les investisseurs historiques Balderton (Revolut) et Headline (Mistral AI) participent également à l’opération.

Fondée en 2024 par François-Xavier Leduc et Edouard d’Archimbaud, les deux cofondateurs de Kili Technology, une scale-up spécialisée en IA pour les entreprises du Fortune 500, DeepIP opère depuis New York et Paris.

Le problème que DeepIP cherche à résoudre

Si l’IA a commencé à s’imposer dans la pratique des brevets, la plupart des outils disponibles restent cloisonnés : chaque solution adresse une tâche isolée, obligeant les professionnels à naviguer entre des systèmes déconnectés et à transporter manuellement le contexte d’une étape à l’autre. Dans un domaine où précision et traçabilité sont critiques, cette fragmentation génère des frictions.

« La première vague d’IA appliquée aux brevets s’est principalement concentrée sur l’accélération de tâches individuelles », explique François-Xavier Leduc, CEO de DeepIP. « Or, la pratique des brevets repose sur un travail cumulatif, qui s’inscrit dans la durée, mobilise plusieurs équipes et implique de nombreuses décisions. »

Une intégration dans les outils existants

La réponse de DeepIP consiste à intégrer l’IA directement dans les environnements où le travail brevets s’effectue déjà ; Microsoft Word en tête ainsi que les plateformes de gestion d’actifs de propriété intellectuelle. L’objectif est de ne pas contraindre les équipes à changer leurs outils ou leurs processus. La société indique que cette approche génère jusqu’à 20 % d’adoption supplémentaire et 40 % d’usage en plus par rapport aux outils d’IA autonomes.

La plateforme revendique aujourd’hui plus de 400 cabinets et équipes IP (Propriété Intellectuelle) clients dans 25 juridictions et sur 5 continents, parmi lesquels Greenberg Traurig, Philips, Dexcom et Mewburn Ellis. Au total, plus de 40 000 dossiers auraient été traités via la plateforme.

Ce financement doit notamment permettre d’accélérer le développement de capacités d’IA agentique  afin d’aider les équipes à absorber des volumes croissants sans alourdir leur charge opérationnelle.

Pour Olivier Martret, Partner chez Serena, l’enjeu est aussi structurel : « Le marché mondial de l’IA appliquée aux brevets reste très fragmenté. Un positionnement plateforme est essentiel pour établir un nouveau standard. »

Photo : François-Xavier Leduc (droite) et Edouard d’Archimbaud (gauche) respectivement
CEO et CTO  © DR

The post DeepIP lève 25 millions $ pour unifier l’IA dans le cycle de vie des brevets appeared first on Silicon.fr.

Il y a des refus qui coûtent cher. Et d’autres qui rapportent gros. Anthropic vient de vivre la seconde expérience…sur le terrain de la popularité.

En renonçant à un contrat avec le Département de la Défense américain, que son rival OpenAI a accepté dans la foulée, la scale-up dirigée par Dario Amodeï s’est retrouvée propulsée au sommet de l’App Store américain, dépassant ChatGPT pour la première fois de son histoire.

Tout commence début 2026, lorsque le Pentagone cherche à déployer des modèles d’intelligence artificielle sur ses réseaux classifiés. Anthropic est dans la course  jusqu’au moment où l’entreprise comprend que l’accord implique de lever certaines de ses « lignes rouges ».  Pas question pour Dario Amodei et son équipe d’autoriser la surveillance domestique de citoyens américains ni de cautionner le développement d’armes autonomes létales. Anthropic claque la porte. OpenAI, elle, entre.

Une négociation « bâclée » selon Sam Altman

La décision d’OpenAI provoque une réaction en chaîne que personne n’avait vraiment anticipée. À San Francisco comme à Londres, des manifestants s’installent devant les bureaux de la firme de Sam Altman.

Mais le coup le plus inattendu vient de l’intérieur : près de 500 employés d’OpenAI et de Google cosignent une lettre ouverte, intitulée  » Nous ne serons pas divisés »,  exprimant leur soutien aux positions d’Anthropic. Face à la tempête, le PDG d’OpenAI est contraint à une rare autocritique publique, admettant avoir « bâclé » la négociation, et promettant des amendements contractuels en urgence.

Ces amendements, obtenus sous pression, comportent désormais des interdictions explicites : les systèmes d’IA « ne doivent pas être utilisés intentionnellement pour la surveillance domestique » de ressortissants américains.

Les agences de renseignement comme la NSA se voient en outre privées d’accès sans modification contractuelle préalable, une garantie que le Pentagone lui-même a confirmée publiquement. Trop tard, aux yeux de nombreux observateurs.

OpenAI vs Anthropic : une opposition de principes

La progression est spectaculaire. Claude est devenue l’application d’IA gratuite la plus téléchargée sur l’App Store américain, reléguant ChatGPT à la deuxième position et Gemini au-delà. Sur Android, l’application grimpe jusqu’à la septième place générale. Les records quotidiens d’inscriptions s’enchaînent. Et les abonnés payants ont doublé en l’espace d’un an.

Le mouvement dépasse la simple satisfaction d’utilisateurs éclairés. Le groupe QuitGPT appelle activement au boycott de ChatGPT sur les réseaux sociaux, encourageant la désinstallation de l’application. Lors du dernier Super Bowl, Anthropic a diffusé une publicité de 60 secondes vivement commentée, dénonçant avec ironie l’intégration croissante de contenus sponsorisés dans ChatGPT.

OpenAI sous pression

Chez OpenAI, on renégocie désormais sous la contrainte. Les amendements annoncés par Sam Altman ressemblent moins à une position de principe qu’à une gestion de crise. Cela n’empêchera pas la question de fond de revenir : jusqu’où les géants de l’IA civile peuvent-ils s’engager dans des applications militaires sans perdre la confiance du grand public ?

La controverse ouvre également un débat plus large sur la régulation des IA militaires. Les craintes d’armes autonomes létales et de systèmes de « crédit social » inspirés du modèle chinois alimentent un mouvement international qui dépasse la simple querelle de chapelle entre deux poids lourds de l’IA. L’Europe, déjà engagée dans la rédaction de son AI Act, observe attentivement.

Pour Anthropic, le défi est désormais de transformer ce momentum en avantage durable. La scale-up reste à perte, dans une course à l’infrastructure qui exige des milliards de dollars d’investissement. Mais elle a prouvé une chose que peu de ses concurrents auraient osé parier : dans l’économie de l’attention de 2026, les principes peuvent rapporter.

Illustration : photo générée par l’IA

 

 

The post IA militaire : en refusant le Pentagone, Anthropic conquiert le grand public appeared first on Silicon.fr.

Speedtest et Downdetector devraient bientôt appartenir à Accenture.

L’entreprise de conseil entend acquérir leur maison mère Ookla.

Cette dernière appartient depuis 2014 au groupe Ziff Davis, qui en a fait sa division Connectivity. Elle a dégagé 231 M$ de chiffre d’affaires en 2025. Accenture est prêt à s’en emparer pour environ 5 fois plus (1,2 Md$, en cash).

Né en 2006, Ookla n’avait alors dans son escarcelle que le produit Speedtest (mesure communautaire de la qualité des réseaux). Il y avait ajouté Downdetector (surveillance des perturbations des sites web) en 2018, par une acquisition. La même année, il avait mis la main sur Ekahau (optimisation des réseaux Wi-Fi). RootMetrics (tests réseau en conditions réelles) s’y était ajouté en 2021, également par croissance externe.

À partir de ces produits, Ookla a monté un éventail d’offres B2B : cartes de couverture réseau personnalisées, services marketing pour les opérateurs, intégration d’outils de diagnostic dans les SI, etc.

L’an dernier, Ookla avait officialisé une collaboration avec un concurrent d’Accenture : Deloitte. Ses éléments-clés : aide à la planification pour les fournisseurs d’infras télécoms, mesure de performance pour les opérateurs et suivi des déploiements pour les gouvernements.

Illustration générée par IA

The post Ookla (Speedtest, Downdetector…) vendu à Accenture appeared first on Silicon.fr.