IA et marketing de la peur : acheter une prestation sans se faire embarquer

Selon la dépêche de Libération, l'accumulation d'annonces autour d'IA utilisées à des fins offensives relèverait aussi d'un ressort commercial efficace pour les grands acteurs de la tech, OpenAI, Anthropic et Meta étant cités dans le titre. Nous ne disposons que de ce titre et de la source, et le détail de l'argumentation doit être lu dans l'article. Le sujet peut sembler éloigné du quotidien d'une PME qui cherche une agence, mais il touche directement la façon dont beaucoup de prestations digitales sont vendues.

Le ressort est connu : on décrit une menace large, on la rend imminente, puis on propose une solution. Ce mécanisme ne concerne pas que la cybersécurité. On le retrouve chez certains prestataires digitaux qui expliquent qu'il faut refondre tout de suite, migrer tout de suite, adopter l'IA tout de suite, faute de quoi l'entreprise disparaîtra. Ce n'est pas un diagnostic, c'est un argumentaire.

La protection côté acheteur est simple et tient en une exigence : toute recommandation doit être rattachée à un risque documenté sur votre périmètre à vous. Demandez systématiquement trois éléments écrits : quel actif précis est exposé chez vous, sur quelle observation repose ce constat, et quel serait le coût réel si le scénario se produisait. Une proposition qui ne parle que de tendances générales du marché ne répond à aucune de ces trois questions.

En rendez-vous, quatre questions font le tri. Sur quoi repose votre analyse : avez-vous regardé notre site, nos outils, nos données, ou est-ce un discours générique ? Quelles sources publiques citez-vous ? Que se passe-t-il concrètement si nous ne faisons rien pendant six mois ? Et quelle serait la version minimale, la moins chère, de votre recommandation ? Un prestataire solide répond à la dernière question sans se braquer.

Séparez aussi les métiers. La sécurité informatique et la communication ne se traitent pas avec le même prestataire, même si un incident a toujours une dimension d'image. Une agence de communication peut légitimement préparer votre dispositif de crise ; l'audit technique et la protection des systèmes relèvent d'un spécialiste. Le signal d'alerte, c'est le généraliste qui vend les deux d'un bloc, avec un abonnement mensuel indéterminé.

Ce qui reste utile et peu coûteux, c'est la préparation. Faites produire une procédure de crise tenant en quelques pages : qui parle au nom de l'entreprise, qui valide un message, sur quels canaux, dans quel délai, et quel est le circuit d'alerte interne. Ajoutez un jeu de messages types et un exercice de simulation d'une demi-journée. C'est un livrable concret, mesurable, qui ne dépend d'aucune promesse technologique.

Au contrat, privilégiez une prestation à prix fixe avec des livrables énumérés, plutôt qu'un abonnement ouvert justifié par une menace permanente. Ajoutez une clause de confidentialité stricte, l'interdiction d'utiliser votre nom en référence commerciale sans accord écrit, et une clause sur l'IA imposant au prestataire de déclarer les outils utilisés pour traiter vos documents internes ainsi que le lieu de traitement des données.