Cybersécurité et IA : comment acheter sans céder à l'argument anxiogène

Un article de Libération met en cause le marketing de la peur qui accompagne les offres mêlant cybersécurité et intelligence artificielle. Pour une entreprise qui cherche un prestataire, le sujet n'est pas idéologique : une décision prise sous pression émotionnelle produit presque toujours un contrat mal cadré, surdimensionné ou hors sujet par rapport aux risques réellement encourus.

La première contre-mesure est simple : rédigez votre besoin avant d'écouter une offre. Quels systèmes portent vos données clients, quels accès sont partagés et avec qui, que se passe-t-il si votre messagerie ou votre site est indisponible pendant deux jours, quelles données seraient les plus coûteuses à perdre ? Une page suffit, mais elle doit exister avant le rendez-vous commercial.

Ensuite, distinguez trois natures de dépenses : la mise en conformité et l'hygiène de base, la protection technique, et l'outillage avancé. Beaucoup de risques se réduisent par des mesures peu coûteuses et non spectaculaires : gestion des mots de passe, double authentification, sauvegardes testées et restaurées pour de vrai, revue régulière des droits d'accès, mise à jour des postes et des serveurs.

Demandez systématiquement des preuves plutôt que des affirmations : références clients joignables, description écrite de la méthode, certifications éventuelles du prestataire, exemples de rapports anonymisés. Une démonstration impressionnante n'est pas une preuve d'efficacité dans votre contexte, et une liste de logos clients ne dit rien de la prestation réellement fournie.

Cadrez l'audit comme une prestation autonome, facturée et livrable, avec un rapport écrit qui vous reste et un plan d'action priorisé. Si l'auditeur est aussi celui qui vendra la solution, dites-le et prévoyez soit un second avis, soit une clause précisant que l'audit n'engage à aucun achat. Cette précaution évite les diagnostics taillés pour justifier un catalogue.

Pour comparer les devis, demandez le même périmètre à chacun : scope audité, durée, profils intervenants, livrables, plan d'action priorisé, coût de mise en œuvre estimé séparément. Les offres à prix bas cachent souvent un périmètre réduit plutôt qu'une meilleure productivité : c'est la comparaison à périmètre identique qui révèle l'écart réel.

Attention aux contrats liant fortement l'entreprise : abonnement long, outils propriétaires, données hébergées sans possibilité d'export, tarification qui grimpe avec le nombre de postes. Vérifiez les conditions de réversibilité et de sortie avant de signer, ainsi que la localisation des données.

Prochaine étape : listez vos trois scénarios de panne ou d'incident les plus coûteux, chiffrez grossièrement ce qu'ils vous coûteraient, et demandez à deux ou trois prestataires ce qu'ils feraient concrètement pour les réduire. La qualité des réponses à cette question précise départage rapidement les candidats.