par Omer Shala – Chief AI Officer, Squad Group.

Il y a une posture commode, dans le débat sur l’IA en cybersécurité : celle du commentateur. Analyser les annonces, cartographier les risques, produire des recommandations. C’est utile, mais ce n’est pas suffisant.

Quand on est pureplayer cybersécurité et intégrateur – quand on déploie concrètement les solutions de CrowdStrike, Palo Alto Networks ou Zscaler dans les systèmes d’information de grandes organisations – le débat sur l’IA n’est pas théorique. Il arrive dans les projets, dans les architectures, dans les conversations avec les équipes de sécurité qui doivent décider aujourd’hui ce qu’elles confient à un agent automatisé et ce qu’elles gardent sous supervision humaine. C’est depuis ce terrain que ce texte est écrit.

La fuite d’informations sur le modèle Claude Mythos d’Anthropic a effacé 14,5 milliards de dollars de capitalisation boursière. Les investisseurs ont liquidé leurs positions en anticipant l’obsolescence des solutions de détection classiques face à un agent IA capable de détecter, d’exploiter et de corriger des vulnérabilités de manière autonome.

Ce mouvement de marché mérite d’être lu avec précision. Il ne dit pas que ces éditeurs sont dépassés puisque leurs roadmaps IA sont réelles, leur intégration dans les architectures de sécurité reste structurante, et leur capacité à absorber cette transition est bien plus solide que ce que la bourse laisse croire. Il dit quelque chose de plus fondamental : le modèle de la cybersécurité purement heuristique, celui qui consiste à reconnaître ce qu’on a déjà vu pour bloquer ce qui arrive, ne peut plus être le seul axe de défense.

L’IA ne change pas la nature des attaques. Elle change leur rythme.

En 2018, le délai moyen entre la divulgation d’une vulnérabilité et son exploitation était de 2,3 ans. En 2025, il était de 23 jours. En 2026, il est de 20 heures. Ce n’est pas une progression linéaire. C’est un effondrement de la fenêtre de réaction humaine et par ricochet, une contrainte sur toutes les architectures de sécurité qui reposent sur un cycle de mise à jour des signatures.

C’est dans ce contexte précis que le rôle de Chief AI Officer cesse d’être un titre organisationnel pour devenir une nécessité opérationnelle.

Ce que le rôle n’est pas

Beaucoup d’organisations créent un poste de Chief AI Officer pour montrer qu’elles prennent l’IA au sérieux. C’est une erreur de catégorie. On ne nomme pas un directeur de l’informatique pour montrer qu’on utilise des ordinateurs.

Le CAIO n’est pas un évangéliste interne chargé d’expliquer le machine learning à des comités. Ce n’est pas non plus un chef de projet dont la feuille de route se résume à « déployer des copilotes sur les outils métiers ».

Si ces deux configurations existent, elles produisent surtout de la communication interne et des tableaux de bord d’adoption mais en aucun cas, elles n’intéressent les clients, les régulateurs ou les investisseurs.

Ce que le rôle oblige réellement à faire

La question fondamentale que pose le CAIO à une organisation n’est pas « comment utiliser l’IA ? » mais « comment rester décisionnaire quand les systèmes agissent à une vitesse que l’humain ne peut pas superviser en temps réel ? »

C’est une question radicalement différente. Elle touche à l’architecture des décisions, à la doctrine d’emploi des modèles, à la chaîne de responsabilité en cas d’erreur autonome.

—> Première obligation : cartographier ce que les systèmes IA sont autorisés à décider seuls.

Il ne s’agit pas d’un inventaire d’outils. Il s’agit d’une politique de délégation. Dans quelles conditions un agent peut-il initier une réponse à incident sans validation humaine ? Jusqu’où peut-il aller dans l’isolation d’un endpoint compromis ? Qui est notifié, et dans quel délai, quand il franchit un seuil d’action ? Ces questions n’ont pas de réponse technique. Elles ont des réponses de gouvernance, et elles doivent être tranchées avant le déploiement, pas après le premier incident.

En pratique, sur le terrain de l’intégration, ce travail de délimitation est ce qui manque le plus souvent. Les éditeurs livrent des capacités. Les intégrateurs les déploient. Mais la politique de délégation, ce que la machine peut faire seule, reste rarement formalisée au niveau qui s’impose.

—> Deuxième obligation : définir une doctrine pour les modèles spécialisés.

OpenAI vient de lancer GPT-5.4-Cyber, une semaine après que Claude Mythos Preview eut été réservé à une cinquantaine de partenaires triés. Deux philosophies opposées : restriction maximale versus vérification à l’échelle. Les deux reposent sur le même pari : l’IA offensive va se démocratiser, donc il faut équiper les défenseurs en premier.

Ce pari, bien que raisonnable, n’est pas sans risque. Aucun des deux entreprises n’a encore documenté sa conformité à l’AI Act pour le marché européen. Aucun ne garantit que ses modèles ne serviront pas à l’offensive par détournement ou par fuite. La question de savoir lequel intégrer dans un système d’information critique n’est donc pas une question d’achat. C’est une question de doctrine souveraine.

Les grands éditeurs sont d’ailleurs engagés dans cette même course : leurs plateformes intègrent des capacités IA de raisonnement qui vont bien au-delà de la détection par signature. La question pour un pureplayer cyber n’est pas de choisir entre les éditeurs historiques et les nouveaux modèles. C’est de construire une doctrine qui détermine comment ces briques coexistent, à quelles conditions elles sont autorisées à agir, et qui en est responsable.

Le CAIO est la seule fonction dont le mandat couvre explicitement cette décision.

—> Troisième obligation : construire une architecture de responsabilité.

Quand un agent IA autonome prend une mauvaise décision de sécurité, qui répond ? Pas devant un audit interne mais devant le régulateur, devant le client, devant un tribunal si nécessaire ?

Cette question est aujourd’hui sans réponse claire dans la quasi-totalité des organigrammes. Le DSI couvre l’infrastructure. Le RSSI couvre la défense. Le CDO couvre la donnée. Aucun des trois n’a de mandat explicite sur la gouvernance des modèles et l’accountability des actions autonomes.

L’AI Act va contraindre les organisations à y répondre. La directive NIS 2 aussi, dans les secteurs critiques. Le CAIO n’est pas là pour anticiper la conformité ; il est là pour que la réponse soit ancrée dans la stratégie de l’organisation, pas subie comme une obligation réglementaire.

Ce que cela implique pour les investisseurs

La crise boursière déclenchée par Claude Mythos a révélé une vulnérabilité asymétrique que le marché commence à valoriser différemment : les approches heuristiques et basées sur les signatures ne peuvent plus, seules, contrer des agents IA capables de muter, de planifier et d’exploiter dynamiquement les failles.Cela ne signifie pas que la valeur des éditeurs historiques s’évapore. Cela signifie qu’elle se déplace et se recompose. Les organisations capables de gouverner des architectures hybrides, qui combinent les plateformes établies avec des capacités de raisonnement IA, seront celles qui créeront de la valeur durable. Celles qui empilent des outils sans doctrine de gouvernance accumulent, elles, un risque systémique silencieux.

La gouvernance IA n’est pas une case ESG supplémentaire. C’est un facteur de risque opérationnel direct, au même titre que la résilience de l’infrastructure ou la solidité de la chaîne de sous-traitance. Une organisation qui a structuré cette gouvernance avec un CAIO dont le mandat est précis, documenté et intégré au comité de direction, réduit mécaniquement son exposition aux incidents d’IA non supervisée, aux sanctions réglementaires, et à la perte de confiance client en cas de défaillance d’un système autonome.

La vraie question posée au marché français

La France figure parmi les pays européens les plus ciblés par les cyberattaques.

L’État vient de publier une feuille de route 2026-2027 qui liste, presque mot pour mot, les mêmes priorités que les feuilles de route précédentes. Ce n’est pas un hasard : le problème n’est pas le diagnostic. C’est la capacité d’exécution dans un contexte où le rythme de l’IA accélère plus vite que celui des institutions.

Les acteurs privés de la cybersécurité française ont une responsabilité particulière dans cette transition. Non pas en ajoutant des outils à des architectures déjà complexes, mais en aidant leurs clients à structurer la gouvernance qui donne du sens à ces outils.

C’est précisément ce que le titre de Chief AI Officer devrait signaler au marché : Squad n’utilise pas l’IA. Squad la gouverne. Pour ses propres besoins et ceux de ses clients.

Des années de croissance internationale ont laissé la plupart des marques B2B avec un arsenal de portails de vente régionaux, de flux de travail manuels et d’intégrations improvisées. Sur le papier, le nombre d’entreprises ont une présence mondiale. Sur le terrain, chaque nouvelle commande, mise à jour de prix ou changement de conformité leur rappelle la fragilité  de ce patchwork.  Selon une étude récente, plus de la moitié des responsables de la chaîne d’approvisionnement affirment que le e-commerce transfrontalier est difficile.  La cause profonde ? La fragmentation, avec de multiples plateformes et des processus déconnectés sous une même marque.  Cette fragmentation n’est pas seulement un problème informatique. Elle se traduit par des lancements lents, des incohérences en terme de conformité, des pertes de revenus et des clients frustrés qui ne vivent jamais la même expérience.

Obstacles courants à la vente internationale 

• Obstacles réglementaires :Chaque pays impose ses propres règles fiscales, douanières et de conformité. Même un problème aussi élémentaire qu’une mauvaise classification d’un produit peut retarder les expéditions, entraîner des amendes ou nuire à des relations clients durement gagnées. De nombreuses entreprises déclarent avoir des difficultés avec les codes SH, et les erreurs administratives restent la principale cause de retards d’expédition.

• Turbulences douanières : Les changements de politique commerciale sont imprévisibles.

• Risque fiscal omniprésent : évolution des règles fiscales numériques de l’UE ; surtaxes locales… Une erreur entraîne des audits, des pénalités et même une atteinte à la réputation.

• Risque lié aux devises et aux prix : Gérer des listes de prix dans des dizaines de devises va bien au-delà de la simple mise à jour des taux de change. Un véritable contrôle signifie garantir aux clients des prix exacts, éviter les erreurs de facturation et réagir rapidement aux variations locales.

• Données déconnectées :Chaque marché disposant de sa propre plateforme cela crée des angles morts. Les stocks ne sont pas visibles à l’échelle mondiale, les acheteurs reçoivent des doublons et les analyses deviennent aléatoires.

• Lacunes en matière d’expérience client :  Sites incohérents, barrières linguistiques, options de paiement manquantes : chacun de ces facteurs peut inciter un acheteur à repasser à la commande manuelle. La fragmentation des plateformes oblige les équipes commerciales à combler les lacunes par e-mail et tableur, ce qui représente une perte de temps pour les deux parties.

• Coûts informatiques croissants : L’expansion vers un nouveau site implique souvent une nouvelle série d’intégrations consommatrices de  ressources, de nouveaux outils locaux et une duplication des tâches. Pour de nombreuses entreprises, les investissements deviennent si élevés que les nouvelles opportunités de marché ne sont pas exploitées.

Le guide du commerce B2B mondial moderne 

Au lieu d’ajouter un nouvel outil ou de lancer un nouveau site autonome, il est possible d’opter pour une plateforme spécialement conçue pour les réalités du B2B mondial et de disposer d’un emplacement unique pour gérer tous les sites, catalogues, flux de travail et règles de conformité, avec flexibilité.

Voici comment cela se présente en pratique :

• Multi-sites, multi-organisations et multidevises : Il est possible de lancer et gérer des dizaines de boutiques régionales depuis un seul administrateur. Chaque boutique peut avoir sa propre sélection de produits, ses tarifs, ses paiements, ses modes de livraison, ses règles fiscales, ses langues  et ses flux de validation. Les équipes locales bénéficient de l’autonomie dont elles ont besoin, tout en conservant les normes mondiales.

• Localisation approfondie : Les plateformes modernes permettent d’adapter le catalogue, le contenu et les promotions de chaque marché dans les moindres détails. Les acheteurs voient leur langue et leur devise préférées, les options d’expédition et de paiement adaptées, et des interfaces aussi performantes sur mobile que sur ordinateur.

• Gestion de la conformité centralisée et basée sur des règles : Cela permet d’ajuster les taxes, les droits de douane et les réglementations directement sur la plateforme. En cas de modification, qu’il s’agisse de TVA, de TPS ou de nouveaux droits, il est possible de mettre à jour la règle une seule fois et elle est appliquée de manière uniforme sur tous les marchés et boutiques concernés.

• Données unifiées et conformes : Toutes les données produits, clients, stocks et transactions sont gérées de manière centralisée. Il est facile de mettre à jour un prix, un attribut produit ou une règle de conformité en un seul endroit et d’accéder instantanément à des informations.

• Options de paiement avancées : Cela permet d’accepter les modes de paiement internationaux et locaux pour que les acheteurs puissent payer en toute confiance comme ils le souhaitent.

• Contrôles de sécurité et de confidentialité : La conformité aux lois mondiales sur la confidentialité des données est gérée de manière centralisée, avec des contrôles d’accès précis, des pistes d’audit et la flexibilité nécessaire pour s’adapter aux nouvelles réglementations dès leur apparition.

Lorsque toutes ces capacités fonctionnent ensemble, la complexité mondiale devient gérable, voire un avantage. Voici comment des entreprises déjà présentes à l’international mettent en pratique ce modèle.

Ce qui change lorsque l’on consolide son commerce B2B mondial

• Standardiser le moteur : Une base de code, un modèle de sécurité  et une bibliothèque fiscale unique.

• Localiser l’expérience :Autant de  langues, devises, workflows que les marchés l’exigent.

• Automatiser la conformité : Les codes SH, la TVA, le calcul des droits et le suivi des cautions sont intégrés à la plateforme, et non dans des feuilles de calcul.

• Connexions étendues : Des API et connecteurs assurent la synchronisation des systèmes ERP, WMS, PIM et de fret.

• Mesurer et itérer : Des tableaux de bord mondiaux affichent l’adoption et la marge par région, guidant le prochain déploiement.

• Accélération des délais de commercialisation : Le déploiement d’un nouveau pays ou d’une nouvelle gamme de produits devient une question de configuration, et non un projet informatique de 18 mois.

• Expérience client fiable : Chaque acheteur bénéficie de la langue, de la devise, du paiement et de l’assistance appropriés, tout en conservant les normes internationales et la visibilité des données.

• Réduction des coûts informatiques : Une plateforme unique signifie moins de doublons, une gestion de la sécurité simplifiée et moins de problèmes d’intégration.

• Ventes et service optimisés : Grâce aux hiérarchies de comptes mondiales, au libre-service et à l’accès basé sur les rôles, les équipes commerciales et les acheteurs consacrent moins de temps à l’administration et plus à la création de valeur.

De la fragmentation à l’avenir 

Le commerce B2B mondial ne sera jamais simple. Les tarifs douaniers évoluent, les autorités fiscales durcissent les règles, les acheteurs exigent une collaboration numérique plus riche et les équipes locales ont toujours besoin de flexibilité.  Si le chiffre d’affaires international est déjà le moteur de son activité, mais que les systèmes sous-jacents semblent tenir le coup grâce à des efforts démesurés, il est temps d’aligner l’architecture sur l’ambition. Une plateforme unifiée transforme la complexité en avantage et ouvre la voie de la maintenance défensive à la croissance proactive sur tous les marchés.

Par Laurent Desprez,  Executive VP GM EMEA OroCommerce