Une plateforme GRC classique sait stocker, calculer et restituer une analyse de risque. Elle ne l’écrit pas à votre place. C’est précisément là que se situe la différence entre un outil de saisie structurée et un outil d’assistance à la production : dans le premier cas, la matière première reste la page blanche ; dans le second, elle est proposée puis corrigée. Cet article décrit concrètement ce que déplace l’IA dans les cinq ateliers EBIOS RM, et ce qu’elle ne déplace pas.

Le vrai goulot d’étranglement : la page blanche

Demandez à un RSSI pourquoi son analyse de risque a pris six mois. La réponse porte rarement sur l’outil. Elle porte sur la rédaction : formuler des sources de risque crédibles, construire des chemins d’attaque qui tiennent debout, décrire des modes opératoires assez précis pour être discutés avec la DSI, puis relier tout cela à des mesures. C’est un travail d’écriture autant que d’analyse.

La méthode EBIOS Risk Manager, publiée par l’ANSSI et actualisée en 2024, structure ce travail en cinq ateliers : cadrage et socle de sécurité, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque. La méthode dit quoi produire. Elle ne produit rien.

Les plateformes GRC classiques ont résolu la moitié du problème : elles offrent un modèle de données propre, des matrices de cotation paramétrables, un historique, des droits. C’est une vraie force, et elle ne doit pas être minimisée — beaucoup d’organisations ont gagné en rigueur simplement en quittant le tableur. Mais le champ « description du scénario » reste vide tant que quelqu’un ne l’a pas rempli.

Atelier par atelier, ce que l’assistance change

GALEA outille les cinq ateliers EBIOS RM de bout en bout, avec un agent IA nommé TARS propulsé par Mistral AI. Voici où l’assistance se matérialise.

Atelier 1 — Cadrage et socle de sécurité

L’atelier 1 demande de délimiter le périmètre, d’identifier les valeurs métier et les biens supports, et d’évaluer l’écart au socle de sécurité. Sur une plateforme classique, l’évaluation du socle se traduit par un questionnaire à remplir contrôle par contrôle. Sur GALEA, 54 contrôles de conformité sont pré-remplis à partir du socle documentaire que vous déposez : politiques, procédures, chartes. Vous ne partez pas de zéro, vous partez d’une proposition à confirmer ou à infirmer.

Ateliers 2 et 3 — Sources de risque et scénarios stratégiques

C’est l’étape où la qualité de l’analyse dépend le plus de l’expérience du rédacteur. Un consultant qui a vu cinquante écosystèmes propose des chemins d’attaque auxquels un RSSI seul ne pense pas toujours. GALEA s’appuie ici sur une base de plus de 1 000 scénarios de référence : au lieu d’inventer, vous sélectionnez, adaptez et écartez.

Atelier 4 — Scénarios opérationnels

Le passage du stratégique à l’opérationnel exige de décrire des modes opératoires techniques. GALEA les rattache à MITRE ATT&CK, ce qui donne deux bénéfices : un vocabulaire partagé avec les équipes techniques, et une traçabilité vers les techniques d’attaque documentées. Une plateforme GRC classique permet souvent de référencer ATT&CK ; elle vous laisse en général faire la correspondance à la main.

Atelier 5 — Traitement du risque

La sortie attendue est un plan d’actions priorisé. GALEA produit un plan de 65 mesures priorisées, que vous réordonnez ensuite selon vos contraintes budgétaires et calendaires. La différence avec l’approche classique n’est pas la priorisation elle-même — toutes les plateformes savent trier — mais le fait que les mesures existent déjà, rattachées aux scénarios qui les justifient.

Comparatif des deux approches

Étape Plateforme GRC classique GALEA
Évaluation du socle Questionnaire à remplir manuellement 54 contrôles pré-remplis depuis le socle documentaire
Scénarios de risque Modèle de saisie structuré, contenu à rédiger Proposition issue de +1 000 scénarios de référence
Modes opératoires Référencement ATT&CK souvent manuel Rattachement MITRE ATT&CK intégré
Plan d’actions Création mesure par mesure 65 mesures priorisées générées puis ajustées
Validation Workflow d’approbation Validation humaine obligatoire avant inscription au registre

Ce que l’IA ne remplace pas

Trois points méritent d’être posés clairement, parce qu’ils sont souvent survendus ailleurs.

La connaissance du métier. Aucun modèle ne sait, à votre place, que telle application de production est la seule à ne pas avoir de bascule. L’atelier 1 reste un travail d’entretien avec les métiers.

L’arbitrage. Décider qu’un risque est accepté, c’est un acte de gouvernance, pas un calcul. Dans GALEA, une validation humaine est obligatoire avant qu’un risque soit inscrit au registre — ce n’est pas une option de confort, c’est la condition pour que le registre soit opposable en interne comme devant un auditeur.

La responsabilité. La directive NIS2 prévoit que les organes de direction approuvent les mesures de gestion des risques et supervisent leur mise en œuvre. Une analyse générée n’a de valeur que si quelqu’un l’a lue, corrigée et signée.

Comment arbitrer

Le bon critère n’est pas « avec ou sans IA ». Il est : combien d’heures d’expertise votre organisation peut-elle réellement consacrer à la rédaction ?

  • Si vous avez une équipe risques constituée, habituée à EBIOS RM, une plateforme GRC classique bien paramétrée fera le travail ; l’assistance sera un gain de confort.
  • Si votre RSSI est seul, à temps partiel, ou si la démarche est portée par un DSI sans équipe dédiée, la génération assistée change la nature du projet : vous passez de « produire » à « relire ».
  • Si vous devez couvrir plusieurs référentiels en parallèle, l’assistance se paie surtout sur le rattachement des mesures aux exigences, qui est le travail le plus chronophage et le moins valorisant.

Phishia, éditeur de GALEA, avance une réduction moyenne de 60 % du coût total de conformité — jusqu’à 75 % pour les petites structures — et un time-to-compliance divisé par six. Ces chiffres sont ceux de l’éditeur : demandez le détail du périmètre retenu avant de les reprendre dans un business case.

Questions fréquentes

Une analyse de risque générée par IA est-elle recevable par un auditeur ?

Ce qui est audité, c’est la méthode, la traçabilité et la validation, pas l’outil de rédaction. Une analyse assistée est recevable dès lors que les hypothèses sont documentées et que les décisions de traitement sont validées par une personne identifiée. C’est le sens de la validation humaine obligatoire avant inscription au registre.

Mes données servent-elles à entraîner le modèle ?

TARS s’appuie sur Mistral AI, modèle européen hébergé en France. Les conditions commerciales de Mistral AI prévoient que les données clients et les sorties ne sont pas utilisées pour entraîner ses modèles, sauf opt-in explicite ou usage de produits en préversion. Faites-vous confirmer par écrit le paramétrage retenu pour votre contrat.

Faut-il connaître EBIOS RM pour utiliser ce type d’outil ?

Il faut en comprendre la logique, pas la maîtriser. L’outillage des cinq ateliers guide la séquence ; le guide de l’ANSSI reste la référence à lire pour interpréter correctement les résultats.

Sources

Liens consultés le 23 septembre 2026.