L’IA générative s’invite partout dans la GRC : aide à la rédaction de politiques, analyse de risque automatisée, génération de scénarios, cartographie de contrôles. Sur les 18 missions où nous avons accompagné une intégration IA dans la fonction GRC en 2024-2025, le constat est net : les gains de productivité sont réels (30-50 %), mais 4 garde-fous doivent être en place dès le départ. Voici la grille.
Les 7 cas d’usage qui marchent
| Cas d’usage | Gain typique | Risque résiduel |
|---|---|---|
| Rédaction de politiques à partir d’un référentiel | 50-70 % | Faible si revue humaine |
| Mapping contrôles ISO 27001 ↔ NIS2 ↔ DORA | 60 % | Moyen (à vérifier) |
| Génération de scénarios EBIOS RM à partir de la cartographie | 40 % | Moyen |
| Pré-rédaction de constats d’audit | 30 % | Faible |
| Traduction multilingue de référentiels | 80 % | Très faible |
| Synthèse de rapports CERT-FR / threat intel | 55 % | Faible |
| Génération de jeux de questions de sensibilisation | 70 % | Très faible |
Les 3 cas d’usage qui ratent
- Cotation autonome des risques : la cotation gravité × vraisemblance ne se délègue pas. L’IA fournira toujours quelque chose, jamais nuancé par le contexte interne. À utiliser comme première suggestion, jamais comme décision finale.
- Réponses aux questionnaires fournisseurs sans validation : l’IA va dire « oui, on a » pour des contrôles non implémentés. Risque réputationnel et contractuel majeur.
- Génération de PV de comités sans cadrage : produit du texte qui sonne correct mais qui peut inventer des décisions non prises.
Bibliothèque de prompts utiles
Prompt 1 — Auditer une politique de sécurité
Tu es auditeur ISO 27001 senior avec 12 ans d'expérience. Voici la politique de gestion des accès de [organisation]. Identifie : 1. Les exigences ISO 27001:2022 Annexe A satisfaites 2. Les exigences non couvertes ou ambiguës 3. 3 reformulations concrètes pour combler les écarts Format : tableau Markdown avec colonnes [Section politique | Contrôle Annexe A | Constat | Reformulation] [coller la politique]
Prompt 2 — Pré-générer un scénario EBIOS RM
Tu es consultant EBIOS Risk Manager certifié. Génère 3 scénarios stratégiques EBIOS RM pour le contexte suivant : - Secteur : industrie défense, sous-traitant niveau 2 - Valeurs métier : plans CAO classifiés DR, brevets non publiés - Source de risque retenue : APT étatique (motivation renseignement) Pour chaque scénario, structurer : - Source + objectif visé - Partie prenante (relais) - Chemin de compromission - Impact métier chiffré (CA, marchés) - Cotation G × V justifiée Ne pas inventer de chiffres : marquer [À VALIDER avec client] si nécessaire.
Prompt 3 — Mapping multi-référentiels
Pour chaque contrôle ISO 27001:2022 Annexe A listé ci-dessous, indique : - Le ou les articles NIS2 correspondants - Le ou les piliers DORA correspondants - Le niveau de recouvrement (Total / Partiel / Faible) Format : tableau CSV avec colonnes A.x,Nom,NIS2,DORA,Recouvrement. Contrôles : A.5.7, A.5.23, A.8.9, A.8.12, A.8.16, A.8.28
Les 4 garde-fous indispensables
- Aucune donnée client non-anonymisée dans l’IA publique — politique DLP applicable, contrôles techniques (proxy, restrictions Copilot, etc.). Utiliser une instance privée (Azure OpenAI dédiée, Mistral Le Chat Entreprise) pour les données sensibles.
- Validation humaine systématique sur les livrables finaux — l’IA aide à produire le 1er jet ; un consultant humain valide, corrige et signe. Toujours.
- Traçabilité des prompts et des modèles utilisés — pour un audit qualité, on doit pouvoir rejouer la génération. Conserver prompt + modèle + version + date.
- Politique d’usage écrite et formée — chaque collaborateur signe une charte précisant ce qui est autorisé/interdit. Au minimum : pas de données personnelles, pas de données client, pas de code propriétaire.
L’IA Act et la GRC
L’AI Act européen est applicable depuis août 2024 et se déploie par phases jusqu’en août 2027. Pour un usage GRC interne :
- Risque minimal : aide à la rédaction, traduction → pas d’obligation spécifique
- Risque limité : outils interagissant avec des humains (chatbots GRC) → obligation de transparence
- Risque élevé : peu probable en GRC sauf cas particuliers (scoring fournisseurs ?)
Maintenir un registre des systèmes d’IA utilisés est désormais une bonne pratique de gouvernance — c’est l’équivalent du registre des traitements RGPD, version IA.
L’IA en GRC ne remplace pas les consultants — elle change leur ratio de production. Sur les missions où elle est bien intégrée, un consultant senior couvre désormais 1,5 à 2 fois plus de périmètre, avec le même niveau de qualité. C’est une transformation du métier, pas une menace pour lui.
Recommandation
Démarrez petit : 1 cas d’usage de rédaction de politique avec un seul outil (ChatGPT Team, Claude, Mistral Le Chat). Mesurez le gain temps réel sur 3 mois. Étendez ensuite. La pire approche : annoncer un grand plan IA-GRC sans cas d’usage validé.
