Gouvernance IA : un DSI européen face au miroir américain

# Gouvernance IA : un DSI européen face au miroir américain

*SAPIOM vient de boucler un tour de table de 35 millions de dollars pour accélérer son IA de gouvernance du SI. Un signal fort dans un marché dominé par les acteurs américains. Nous avons interrogé un DSI d'une ETI industrielle européenne — utilisateur depuis plusieurs mois d'une solution de gouvernance souveraine — sur ce que ça change, concrètement, dans son quotidien.*

RiffLab : Quand vous avez décidé de sortir de la solution américaine que vous utilisiez pour la gouvernance IT, c'était une décision politique ou opérationnelle ?

Les deux, mais dans cet ordre. D'abord opérationnel : on avait une dépendance fonctionnelle qui commençait à nous coûter cher en agilité. Chaque évolution de notre SI devait passer par une interface qui ne nous appartenait pas, des workflows qu'on ne pouvait pas modifier sans lever un ticket support à l'étranger, des délais de réponse inadaptés à notre rythme. Et puis le politique est arrivé naturellement dans la conversation. On a réalisé que les données de gouvernance — qui accède à quoi, quels actifs critiques, quelles dépendances applicatives — c'est un plan de notre SI. Le livrer à un acteur américain soumis à des législations extraterritoriales, c'était une prise de risque qu'on n'avait jamais vraiment arbitrée consciemment. On l'avait subi par inertie.

RiffLab : Concrètement, qu'est-ce que l'intégration d'une IA de gouvernance souveraine a changé dans le travail quotidien de vos équipes IT ?

La première chose, c'est la fin de la double saisie. On avait des équipes qui maintenaient manuellement une CMDB d'un côté, des tableaux de bord de conformité de l'autre, et une cartographie applicative dans un troisième outil. L'IA de gouvernance a commencé à réconcilier tout ça automatiquement — en détectant les écarts, en signalant les actifs orphelins, les dépendances non documentées. Mes équipes ont récupéré un temps significatif qu'elles réinvestissent sur de l'analyse à valeur ajoutée plutôt que sur de la réconciliation de données.

La deuxième chose, c'est la qualité des alertes. Avant, on noyait nos ingénieurs sous des notifications. Aujourd'hui, le système priorise selon le contexte métier. Il comprend qu'une anomalie sur un serveur de fichiers RH un lundi matin, c'est plus critique qu'une anomalie similaire sur un serveur de test un vendredi soir. Ça paraît simple dit comme ça, mais c'était très difficile à paramétrer avec les outils généralistes américains, qui raisonnaient par règles statiques.

RiffLab : Vous parlez d'IA. Mais est-ce que vos équipes lui font vraiment confiance, ou est-ce qu'elle reste un outil qu'on surveille avec méfiance ?

C'est la bonne question, et je vais être honnête : il y a eu une phase de méfiance légitime. Les ingénieurs IT ont l'habitude de tout contrôler. Confier une recommandation de gouvernance à un modèle qu'ils ne comprennent pas entièrement, ça crée de la friction. Ce qui a changé la donne, c'est la transparence du raisonnement. L'outil européen qu'on utilise expose ses sources : il te dit "j'ai détecté cette anomalie parce que cet actif a changé de comportement réseau sur les 14 derniers jours et que la documentation associée n'a pas été mise à jour". C'est auditabl, traçable, explicable. Mes équipes savent d'où vient la recommandation. Avec certaines solutions américaines que j'ai évaluées, c'était une boîte noire. On te donnait un score de risque sans te dire comment il était calculé. Inacceptable pour un audit.

RiffLab : La levée de fonds de SAPIOM, 35 millions de dollars, ça représente quoi pour vous en tant que DSI européen qui choisit ses outils ?

Ça change le calcul du risque fournisseur, tout simplement. Le principal frein à l'adoption des solutions européennes de gouvernance IA, c'est pas la fonctionnalité — on est souvent au niveau — c'est la question de la pérennité. Est-ce que ce fournisseur sera là dans trois ans ? Est-ce qu'il pourra tenir la route face aux évolutions réglementaires, face à l'AI Act, face aux exigences croissantes de mes clients sur la traçabilité des données ? Un tour de table de cette taille répond partiellement à cette question. Ça signifie que des investisseurs ont validé le modèle. Ça me donne un argument concret face à mon COMEX quand on discute arbitrage budgétaire.

Cela dit, je reste vigilant. Un financement américain dans un acteur européen soulève des questions sur la gouvernance actionnariale à terme. C'est un point que je surveille, et que le marché devrait surveiller collectivement.

RiffLab : ServiceNow, qui reste l'acteur dominant sur ce segment, vient d'annoncer de nouvelles capacités IA dans sa plateforme. Est-ce que ça change votre analyse ?

Non, et c'est précisément là que je veux être net : l'offre dominante américaine améliore continuellement son produit, c'est son droit et c'est son intérêt. Mais ce n'est pas le bon prisme pour décider. La question n'est pas "est-ce que leur IA est meilleure aujourd'hui". La question est "est-ce que je suis à l'aise avec le fait que la cartographie complète de mon SI, mes journaux de gouvernance, mes plans de continuité soient hébergés et traités sous juridiction américaine". Pour moi, la réponse est non, et aucune feature nouvelle ne change cette équation fondamentale.

On a tendance à comparer des listes de fonctionnalités. Mais on ne compare jamais les conditions générales d'utilisation, les clauses de transfert de données, les obligations de l'éditeur vis-à-vis des agences gouvernementales de son pays d'origine. C'est là que se joue la vraie différence, pas dans la qualité des dashboards.

RiffLab : Dernier point : est-ce qu'un DSI qui démarre cette réflexion aujourd'hui a les moyens réels de s'outiller en souverain, ou est-ce qu'on reste dans le discours ?

On est sorti du discours. Ce n'est plus une posture. Les outils existent, ils sont matures sur les usages cœur — CMDB intelligente, détection d'anomalies, cartographie des dépendances, reporting de conformité. Là où il faut être lucide, c'est sur les intégrations. L'écosystème européen est encore moins fourni en connecteurs natifs que l'écosystème américain. Si votre SI est truffé d'applications Microsoft ou Salesforce, vous allez devoir investir du temps en intégration. Ce n'est pas insurmontable, mais ça se planifie.

Mon conseil concret : commencez par un périmètre délimité. Ne cherchez pas à basculer toute votre gouvernance d'un coup. Identifiez les actifs les plus sensibles — ceux où la souveraineté est non négociable — et déployez d'abord là. Ça vous donne un retour d'expérience réel, ça monte vos équipes en compétence sur l'outil, et ça crée un cas interne que vous pouvez défendre au COMEX pour étendre le périmètre. La souveraineté numérique, ça se construit par itérations. Pas par grand soir.

*Entretien réalisé avec un DSI d'ETI industrielle européenne, utilisateur d'une solution de gouvernance IA d'origine européenne depuis 2025.*