GRC legacy ou GRC native IA : digitaliser ne suffit plus

Le mot ne désigne pas un âge mais une architecture. Une plateforme legacy est bâtie autour d'un moteur de formulaires et de workflows : le référentiel, la politique et la preuve y sont des pièces jointes que l'outil stocke sans les comprendre. Tout le travail d'interprétation reste humain, et ce qui est propre à votre organisation arrive par du paramétrage lourd ou des jours de prestation. Ces produits restent solides sur le stockage et le reporting. Ce qu'ils ne savent pas faire, c'est lire un document et en tirer une analyse.

Rarement au moment de la création : une première cartographie des risques ou une première matrice de conformité tient très bien dans un tableur. Les limites arrivent à la mise à jour. Un périmètre qui bouge, une nouvelle version de référentiel, une preuve qui expire, un contributeur qui change de poste, et il faut tout reprendre à la main sans savoir ce qui a déjà été revu. S'y ajoute la question de la mémoire : un tableur ne conserve pas pourquoi un risque a été accepté l'an dernier, ni par qui.

Quelques questions suffisent pendant une démonstration. L'IA écrit-elle dans le modèle de données, ou se contente-t-elle de répondre dans une fenêtre de discussion à côté ? Est-elle présente dans tous les modules ou dans un seul ? Chaque sortie est-elle rattachée à sa source, révisable et versionnée ? Demandez à voir un livrable produit devant vous, pas une capture d'écran. Une IA de surcouche accélère la recherche d'information ; une IA native fait le travail et le laisse vérifiable.

Un auditeur ne certifie pas un outil. Il examine un système de management et les preuves qui l'étayent : l'exactitude du contenu, la source de chaque affirmation, la personne qui a validé et la date de la dernière revue. Un livrable généré puis relu et approuvé par un responsable identifié remplit ces conditions ; un livrable que personne n'a relu ne les remplit pas, qu'il ait été écrit par une IA ou à la main. La traçabilité est le vrai critère, pas le mode de rédaction.

Non. Aucun organisme ne certifie qu'une plateforme est native IA : l'expression décrit une architecture, pas un référentiel. Ce qui existe et qui est certifiable, c'est ISO/IEC 42001, publiée en 2023, qui définit un système de management de l'intelligence artificielle, aux côtés d'ISO/IEC 27001 pour la sécurité de l'information. S'y ajoute le règlement européen sur l'intelligence artificielle, entré en vigueur en 2024 et d'application échelonnée. Un éditeur qui vous promet un certificat GRC IA vend autre chose.

Non, et procéder d'un bloc est le meilleur moyen d'échouer. La méthode qui fonctionne consiste à choisir un périmètre où le travail fait mal (une analyse de risque, une campagne de questionnaires fournisseurs, un mapping entre deux référentiels), à le mener en parallèle de l'existant et à comparer les livrables. Ce que vous avez déjà écrit reste utile : politiques, matrices et plans de traitement sont des documents, et une plateforme conçue pour l'IA doit savoir les reprendre comme point de départ. Vérifiez-le en démonstration.

Trois seuils reviennent. Le deuxième référentiel, parce que chaque mesure doit désormais se relier à plusieurs exigences sans être ressaisie. Le deuxième contributeur, parce que les versions se mettent à se dupliquer. Le premier audit, parce qu'il faut retrouver la preuve, sa date et son approbateur. En dessous de ces seuils, un tableur suffit. Au-dessus, le temps part dans la mise en forme et la recherche plutôt que dans l'analyse. Chez Vailor, l'IA lit vos documents et préremplit l'analyse de risque : vos experts passent leur temps à vérifier et à arbitrer, plus à ressaisir.