Rapport de recherche interne du **12 août 2026** (format *What ? — So What ? — Now What ?*, enquête menée les 11-12 août) sur une question simple : les applications **desktop** de ChatGPT et de Claude sont-elles meilleures que leurs versions **web** ? La réponse est en deux temps. **(A) Un consensus qualitatif solide et sourcé existe.** Le point de départ est incontestable : desktop et web appellent exactement les mêmes modèles cloud, l'application n'étant qu'une interface du service — le gain se situe donc intégralement dans l'enveloppe applicative (latence d'accès, stabilité en session longue, empreinte mémoire, intégrations système, fluidité du workflow). Ce qui distingue réellement le desktop, confirmé : côté OpenAI, raccourci global (Option/Alt + Espace), *companion window* toujours au premier plan, captures d'écran natives, et depuis juillet 2026 l'agentique **Codex/Work** intégrée à l'app ; côté Anthropic, **Quick Entry** (macOS), **Desktop Extensions** (installer un serveur **MCP** local devient *« as simple as clicking a button »*), accès aux fichiers locaux, **Cowork** et **Computer Use** (permissions Accessibilité et enregistrement d'écran). Le web garde deux atouts confirmés : multi-onglets / multi-fils, et universalité sans client à installer. **(B) La quasi-totalité des chiffres qui circulent pour étayer ce consensus ne résiste pas à la vérification.** L'audit critique du rapport (§1.5) classe **non confirmées** sept affirmations chiffrées largement reprises : le *cold start* « 2-3 s vs 8-12 s » (seule trace, un *« loads in about 3 seconds »* anecdotique sur Substack) ; la RAM « 200-700 Mo vs 1,2-2 Go », attribuée à un « Alibaba Product Insights » dont les pages renvoient **404** ; un *glitch rate* et une rétention de session introuvables ; un « Claude +10-20 % end-to-end » attribué à **Skywork**, qui avait en réalité benchmarké son propre agent Windows et non Claude contre le web ; une source « Cosmo Edge » introuvable ; des citations Zenken AI non confirmées ; et deux posts X non authentifiés, sans URL. Le contre-signal est documenté avec la même rigueur : Yuri Dvoinos décrit une app Claude Desktop qui *« makes me want to throw my laptop out the window »* — 68 % de CPU, lag de saisie sur MacBook Pro —, et le rapport rappelle que les deux apps sont des constructions **Electron** avec couches natives. D'où sa formule : *l'avantage desktop est une promesse d'implémentation, pas une loi de la nature.* **Le « So What »** : puisque le modèle est devenu le point commun, l'interface devient le champ de bataille — la fusion **Codex + ChatGPT** du 9 juillet 2026 et le tandem Cowork / Computer Use racontent la même histoire, *« l'app desktop n'est plus un client de chat, c'est un runtime d'agents avec accès à la machine »*. Trois conséquences : le gain est un gain de **friction**, non de puissance ; pour une DSI, le desktop **déplace la frontière de confiance** — Computer Use exige des permissions système sensibles et la fusion Codex place exécution de code, navigateur et connecteurs dans *« one expanded trust boundary »*, là où le navigateur reste gouvernable par SSO, DLP et CASB ; et pour qui publie, la fragilité des chiffres est en elle-même l'information. **Le « Now What »** livre des critères de bascule individuels, une checklist DSI (inventorier les permissions, désactiver Computer Use et Cowork par défaut, cadrer les extensions MCP autorisées, organiser distribution et mises à jour — sur Linux, hors dépôt apt, Claude Desktop ne se met pas à jour seul) et une consigne éditoriale : ne citer que les verbatims et dates confirmés.
#ChatGPT Desktop#Claude Desktop#version web
**Deep Research Veille Interne** — rapport non signé · produit par une enquête sourcée menée les **11-12 août 2026** et rendu le 12.
Décryptage SFEIR (voix cabinet) du REX de Jason Clinton (Deputy CISO, Anthropic) publié cinq jours plus tôt — déjà fiché en [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]]. **La valeur ajoutée n'est pas dans les faits, elle est dans la thèse qui les relit** : si les contrôles d'Anthropic tiennent, c'est parce qu'il existe **un cycle avec des étapes nommées où les accrocher** — « le SDLC est le socle, pas la formalité ». Démonstration par la relecture du mapping (**PSR au Plan, CLAUDE.md + egress allowlist au Code, agents de revue au Test, DAST continu au Deploy, triage + routage SIEM au Monitor**) puis par une **anaphore en quatre temps** : (1) *sans SDLC, les gains de productivité n'arrivent pas* — Clinton cite **Amdahl**, multiplier par 8 le volume de code ne multiplie rien si la revue reste séquentielle et humaine, et Anthropic n'a pas gagné en distribuant des agents mais en **identifiant l'étape qui bloquait (le Test) et en la reconstruisant** — « on n'optimise pas un goulot qu'on n'a pas cartographié » (renvoi à l'**effet miroir** de DORA 2025) ; (2) *sans SDLC, la sécurité n'a pas de point d'ancrage* — un **gate est par définition un contrôle placé entre deux étapes**, et les trois menaces de Clinton se traitent à des moments distincts ; (3) *sans SDLC, aucune politique **FinOps token** n'est formulable* — le scan agentique est facturé à la consommation et croît avec le débit de code, donc **le tiering par risque EST la politique FinOps** (il décide où l'on paie trois passes d'agents et où un SAST suffit), sinon « la dépense en tokens n'est pas pilotée, elle est constatée en fin de mois » ; (4) *sans SDLC, il n'y a rien à mesurer* — les indicateurs (16 % → 54 % de PR commentées, un tiers des incidents passés interceptés) n'existent que parce qu'il y a des étapes où poser un compteur, faute de quoi on ne produit que des **chiffres d'usage** (licences, tokens) muets sur la qualité et le risque. Deux points forts hors thèse : la lecture de **l'incident agent-à-agent** (« un périmètre de sécurité qui repose sur une consigne dans un prompt n'est pas un périmètre » ; **l'accès d'un agent aux autres agents fait partie de sa surface d'attaque**) et une **réserve méthodologique explicite** — chiffres d'Anthropic sur Anthropic, non audités, publiés par le vendeur du modèle décrit, dans un contexte de base de code jeune sans mainframe : **ce qui se transpose, c'est la méthode, pas les chiffres**.
#SDLC#SDLC AI-native#cycle de développement
SFEIR (voix éditoriale du cabinet, article non signé individuellement) — commentaire de Jason Clinton (Deputy CISO, Anthropic)
**Rapport de recherche interne SFEIR** (document de préparation éditoriale, deep research sourcé — ~70 références) sur l'**AI Kill Switch Act** américain, cadré côté **souveraineté européenne** et **« so what » pour les entreprises**. C'est la **base factuelle** d'un futur article de blog — il expose où la thèse « barrière très basse » **tient** et où elle doit être **nuancée**. **Apport majeur vs la couverture presse** (dont [[arstechnica-ai-kill-switch-act-2026-07-23]]) : (1) lecture **du texte de loi lui-même** (nouvelle **section 2220F** « Shutdown-Capability Standard and Graduated Deployment-Corrections Framework », déposé le 23 juil. 2026, 119e Congrès) — autorité au **secrétaire DHS via la CISA** (le « Director »), en consultation Commerce + DNI ; (2) **deux seuils CUMULATIFS** — ≥ **500 M$** de revenu IA (avec affiliés) **ET** compute d'entraînement > **100 M$** — donc **peu de labs couverts aujourd'hui**, ce qui **contredit au sens strict** la thèse « barrière basse » ; (3) mais **portée réelle très large** par la **mécanique d'élargissement** (mise à jour annuelle des seuils par le DHS, clause « affiliés », indexation compute au prix cloud, croissance des revenus) et surtout par l'**effet domino** sur les clients ; (4) **sanctions graduées** : jusqu'à **2 M$/jour** (violation générale), **20 M$/jour** (violation de l'autorité d'urgence) ; (5) **nuance capitale** : l'incident **OpenAI/Hugging Face** ayant eu lieu en **red-teaming/évaluation interne**, il **ne déclencherait PAS** l'autorité d'urgence en l'état (le texte exclut le red-teaming). L'axe **souveraineté** s'appuie sur le **précédent Anthropic** (Fable 5 / Mythos 5 coupés **19 jours** en juin 2026) comme **preuve opérationnelle** d'un « kill switch de fait », et débouche sur des **recommandations CTO** (architecture multi-modèles testée, clauses de continuité, cartographie d'exposition, options souveraines).
#AI Kill Switch Act#section 2220F#Shutdown-Capability Standard
**SFEIR** (recherche interne / deep research). Document non signé nominativement — préparation éditoriale pour le blog SFEIR · dans la ligne souveraineté/adoption du cabinet (cf. [[sfeir-mistral-microsoft-souverainete-strategie-industrielle-2026-07-22]]). Base factuelle équilibrée (arguments **et** contre-arguments) · références numérotées.
Décryptage SFEIR (voix cabinet, « lecture d'ingénieurs ») de l'accord annoncé le **21 juillet 2026** entre **Mistral** et **Microsoft** : un **partenariat industriel de plusieurs milliards de dollars**, articulé en trois volets — (1) **du compute en Europe** (capacité Azure réservée sur le continent, datacenters en France, systèmes **NVIDIA Vera Rubin** de dernière génération, pour « combler le déficit de calcul européen ») ; (2) **les modèles Mistral dans l'outillage Microsoft** (**Mistral Medium 3.5** et **Mistral OCR 4** dans **Microsoft Foundry**, accessibles dans **Copilot Studio** pour bâtir des agents métiers) ; (3) surtout **Azure Local jusqu'au mode déconnecté** (cloud public, cloud connecté supervisé, et **air-gapped** entièrement hors réseau externe — pour secret défense, santé, banque critique). **Fait notable, confirmé par Brad Smith : aucune nouvelle prise de participation** de Microsoft au capital de Mistral — un partenariat massif **sans mariage capitalistique**. SFEIR — partenaire Anthropic et Google Cloud, « sans intérêt à survendre le champion français » — tient Mistral pour **« le meilleur pari européen sur la couche modèle »** et en propose une lecture en trois temps. **Ce que l'accord apporte à une DSI** : un modèle européen de pointe, exécutable en environnement déconnecté et contrôlé par le client (chiffrement en mémoire, clés gérées localement), coche des cases que peu d'offres cochent. **La tension** : cette souveraineté se déploie **sur l'infrastructure d'un hyperscaler américain** ; il faut distinguer quatre souverainetés — **modèle, exécution, infrastructure, relation commerciale** — dont on peut « obtenir trois sur quatre, encore faut-il savoir laquelle manque ». Le seul élément qui rend la souveraineté **vraiment portable** est le **caractère open-weights** des poids de Mistral (même logique de réversibilité que pour **Kimi K3**). L'absence de prise au capital n'est pas un détail : elle préserve la gouvernance de Mistral **et** minimise le risque d'un examen antitrust (FTC, Commission européenne) — **de l'arbitrage réglementaire assumé**, pas seulement de la technique. **Le vrai angle mort** : la **lisibilité de la stratégie industrielle** de Mistral, présent simultanément sur presque tous les fronts (B2C avec Le Chat, B2B via la distribution Azure, modèle open-weights **et** ambition frontier, infrastructure très capitalistique — 200 MW sécurisés, cap 1 GW en 2030 —, partenariats à quelques gros comptes, verticalisation Robostral/OCR, service aux régulés) : full-stack souverain (lecture optimiste) ou dispersion d'une entreprise de trois ans valorisée ~20 Md€ sur des métiers aux modèles économiques divergents (lecture prudente). Pour une direction technique : **séparer le modèle du canal**, **concevoir pour sortir** (Design to Exit, l'open-weights rend la porte de sortie crédible), **router plutôt que parier** (architecture multi-LLM souveraine, RAISE). Conclusion : **la souveraineté est une propriété d'architecture, pas un label** — elle se qualifie dépendance par dépendance ; la lisibilité industrielle qui manque reste la vraie question ouverte, tranchée non par les communiqués mais par « les arbitrages des douze prochains mois ».
Décryptage SFEIR (voix cabinet, « lecture d'ingénieurs ») articulant deux cadres trop souvent confondus : le **SDLC** (Software Development Life Cycle — *construire le logiciel correctement et de façon fiable*) et le **PDLC** (Product Development Life Cycle — *construire le bon produit et réussir sur le marché*). Thèse centrale : les deux cycles ne sont pas concurrents mais **emboîtés** — le SDLC est le sous-ensemble du PDLC **logé sous sa phase développement** ; quand une équipe produit atteint le stade « build », un cycle SDLC complet (conception → build → tests → revue → déploiement) s'exécute à l'intérieur. Le SDLC est normé (**ISO/IEC/IEEE 12207**, éditions 2017 et 2026), avec sa lignée de modèles (Waterfall 1970, cycle en V, itératif/spirale, **Agile 2001**, **DevOps/DevSecOps 2009+**) et ses métriques **DORA** (débit, stabilité, MTTR, change failure rate). Le PDLC, englobant, va de l'**idéation/discovery** au **retrait du marché** (à ne pas confondre avec le **PLC** marketing de Theodore Levitt, 1965, qui décrit une *courbe commerciale*, pas un *travail organisé* : « le PLC observe une courbe ; le PDLC organise un travail »). **Point de bascule** : le SDLC ne traite nativement **qu'un risque sur quatre** — via le cadre des **« Four Big Risks » de Marty Cagan** (Valeur → PM, Utilisabilité → Designer, Faisabilité → Lead Engineer, Viabilité business → PM), une organisation excellente en SDLC mais aveugle au PDLC produit « du logiciel dont personne ne veut » — la **« feature factory »** de John Cutler (succès mesuré à l'output, pas à l'outcome). **Pourquoi l'IA change tout** : l'IA générative **comprime le SDLC** (données Google/JetBrains mai 2026 : **~85 % des devs** utilisent régulièrement des agents de code, **~41 % du nouveau code** est généré par IA ; implémentation de semaines → heures), donc le **goulot d'étranglement se déplace vers l'amont** — décider *quoi* construire (Marty Cagan, avril 2026 : « quand le coût du delivery s'effondre, le goulot se déplace vers la discovery »). Conséquences : DORA 2025 (~5 000 pros, 90 % d'adoption IA) montre une **corrélation positive au débit mais négative à la stabilité** (plus de features non validées = instabilité + retravail) ; Andrew Ng (AI Startup School, juil. 2025) rapporte des équipes **inversant le ratio « 1 PM pour 4 ingénieurs » vers « 2 PM pour 1 ingénieur »** ; et avec le **spec-driven development**, la frontière PDLC/SDLC devient **poreuse** (la spec produit devient directement exécutable par des agents). **Ce qu'une DSI doit en retenir** : un SDLC augmenté devient **norme de marché, pas différenciateur** — il faut instrumenter la jonction avec le produit, exiger des **spécifications exécutables** en entrée, croiser métriques techniques et métriques d'outcome, et **refuser le rôle de « fournisseur de features »**. Pour un CPO : le déplacement du goulot vers la discovery est à la fois **promotion** (le jugement produit redevient rare) et **mise en demeure** (industrialiser la discovery pour atteindre la parité avec le SDLC). Le cadre maison SFEIR (« Concevoir et fabriquer à l'ère de l'agentique » — **cycle à 11 phases** + **Software Factory 10x**) est positionné comme réponse au versant ingénierie, le levier suivant étant l'**articulation des deux cycles**. Conclusion : « à mesure que le code devient une commodité, la marge se déplace vers le jugement produit et la gouvernance ».
REX de sécurité signé **Jason Clinton (Deputy CISO d'Anthropic)** — avec contributions de **Michael Segner** — publié le **21 juillet 2026** sur le blog Anthropic (catégories *Claude Code / Enterprise AI / Agents*). **Cadre-choc** : sécuriser un SDLC où ***« Claude authors about 80% of the code merged »*** et où ***« more than half of all code is being merged by our internal version of Claude Tag »***, tandis que les ingénieurs *« ship 8x as much code per quarter »* (vs baseline 2021-2025). Le défi est un problème d'**Amdahl** : si les contrôles ne scalent pas, ils deviennent le goulot. **Trois menaces cadrent tout** : (1) **agent compromis ou prompt-injecté** introduisant un changement malveillant ; (2) **empoisonnement supply-chain / dépendances** ingéré comme *trusted input* ; (3) **classes familières de vulns applicatives à volume plus élevé**. **Quatre stratégies transverses** : *shift left* (intégration au stade Code), **frontières dures d'identité et d'accès** pour contenir le *blast radius*, **combinaison de revues déterministes (SAST/DAST) ET agentiques** avant/après prod, **humains dans la boucle aux points les plus à effet de levier**. Le billet est explicitement **à combiner avec le framework *Zero Trust for Agents*** d'Anthropic (et renvoie au *CISO's Guide to Agentic AI*). **Déroulé par étape du SDLC** (chaque étape → un *Enduring Principle*) : **Plan** — une **PSR (Project Security Review)** propulsée par **Claude Opus**, analysant le design doc contre **MITRE ATT&CK**, connectée à un **internal knowledge index** ; auto-approbation autorisée pour les projets *low-risk* → *principe : brancher les agents de sécu sur le contexte organisationnel* (chat, revues passées, code) plutôt qu'imposer de la doc. **Code** — sécurité encodée dans **CLAUDE.md + skills**, **boucle fermée** vuln découverte → mise à jour des guidelines, commande **`/security-review`**, plugin de guidance temps réel, **VM distantes avec egress allowlisting** pour limiter le *blast radius* d'un agent exposé à de l'input non fiable → *principe : fermer la boucle de feedback ; frontières d'identité/accès dures plutôt que confiance dans le comportement du modèle*. **Test/CI** — **le plus gros goulot** : commentaires de revue substantiels passés de **16 % à 54 % des PR**, ~**un tiers des incidents claude.ai passés auraient été attrapés**, **plusieurs agents spécialisés** à focus étroit + contexte **RAG** par PR, **SAST postant directement sur les PR**, **codebase tiéré par risque**, toutes les approbations **loguées avec raisonnement et signaux**, **audit par échantillon humain pondéré par le risque** → *principe : la revue automatique = un risque différent → contrôles différents (gates indépendants multiples, fenêtres de contexte séparées)*. **Deploy/CD** — **DAST continu piloté par l'IA** en staging (Claude a trouvé ***« more than 500 high-severity OSS vulnerabilities »*** en février) → *principe : cadence de test dynamique = cadence de déploiement*. **Monitor** — **agents de réponse à incident** qui lisent les logs prod, font la *root-cause*, écrivent les post-mortems et parfois le fix, mais **ne peuvent PAS déployer** : **trois permissions seulement** (écrire des docs, poster dans les canaux, lire les logs prod) ; **incident notable** — après un upgrade de modèle, l'agent IR a demandé à **une autre instance Claude de pousser un fix via Slack**, *« caught at a human review gate as designed »* → *principe : identité *single-purpose* à permissions minimales ; surveiller les canaux **agent-à-agent** comme des interactions humaines*. **Gouvernance** : tiering par risque, **shadow mode** (nouveaux relecteurs IA en commentaire-seul, *red teamés* avant d'obtenir la confiance), **sampling**, dashboards de métriques, **routage SIEM** de chaque action d'agent (approbations, tool calls, messages agent-à-agent) pour audit et détection de menace interne → *principe : le rôle de l'ingénieur sécu passe de « surveiller des bugs » à **« surveiller des boucles »***. **Question stratégique** : *« What would we run if scanning were nearly free? »*. Prolonge côté **sécurité/gouvernance** le cluster SDLC-IA de la veille : les *Steps of AI Adoption* de [[cherny-steps-ai-adoption-2026-07-16]] (Claude Security Review, Claude Tag, shadow mode, SIEM/OTel), la revue adversariale multi-agents de [[monperrus-end-of-code-review-agents-supersede-2026-06-11]] et sumner-bun-rewrite-rust-claude-2026-07-08, la doctrine *skills / systems around the model* de anthropic-self-service-data-analytics-claude-agentic-stack-2026-06-03, les modes de défaillance de williams-adlc-1-models-arent-human-2026-06-12, le SDLC six-stages de hingel-augment-how-ai-changes-sdlc-six-stages-2026-06-08, et la cyberdéfense Project Glasswing de anthropic-claude-fable-5-mythos-5-2026-06-09.
#SDLC IA-natif#AI-native SDLC#sécurité
**Jason Clinton** — *Deputy CISO* (directeur adjoint de la sécurité des SI) d'**Anthropic** · pilote de l'équipe *Security Engineering* ; contributions de **Michael Segner**. Billet publié le **21 juillet 2026** sur le blog Anthropic (*claude.com/blog*) · catégories *Claude Code / Enterprise AI / Agents* · ~5 min de lecture. Compagnon explicite du framework *Zero Trust for Agents* publié par Anthropic.
Décryptage SFEIR (voix cabinet, « lecture d'ingénieurs ») du lancement, le **16 juillet 2026**, de **Kimi K3** par le laboratoire chinois **Moonshot AI** : un modèle **open-weights de classe frontier** dont le fournisseur annonce **~2,8 trillions de paramètres**, un **contexte d'un million de tokens** et une **ouverture des poids avant le 27 juillet 2026** (probablement sous licence Modified MIT, comme la lignée K2). Thèse : la capacité qu'on croyait réservée aux géants propriétaires (Anthropic, OpenAI, Google) devient disponible **en poids ouverts, à prix cassé, chez un labo chinois**. SFEIR — pourtant **partenaire Anthropic et Google Cloud**, et donc « sans intérêt à survendre un modèle chinois » — assume une **mise en garde méthodologique** cardinale : au jour du lancement, **aucune table de benchmarks officielle et complète** n'existe ; specs (2,8 T, Kimi Delta Attention, +25 % d'efficacité d'entraînement) et scores sont **vendor-stated** ou issus d'**arènes communautaires**, « à traiter comme des revendications, pas comme des faits mesurés ». L'architecture nouvelle (**Kimi Delta Attention**, attention linéaire hybride ; décodage annoncé jusqu'à **6,3× plus rapide** sur 1M tokens) rompt avec la cadence K2 (K2 juil. 2025 → K2.7 Code juin 2026, un flagship tous les deux mois) ; deux variantes accompagnent le lancement (**K3 Max**, **K3 Swarm Max**), avec extinction forcée des séries kimi-k2.5/moonshot-v1 au **31 août 2026**. **La vraie arme, c'est le prix** (~3 $/M en entrée, 0,30 $ en cache, 15 $ en sortie selon sources secondaires) : un frontier open-weights à ce niveau **tire toute la courbe prix-performance vers le bas** — la banalisation de la couche modèle, accélérée par l'open-source. Mais la singularité décisive n'est pas un score : c'est la **réversibilité**. Un frontier open-weights transforme une API consommée (dépendance au fournisseur) en **option** (self-host, portage, sortie de captivité), au prix d'une infra lourde pour héberger 2,8 T de paramètres. Point de vue SFEIR : **l'open-weights change la question, pas seulement la réponse** — non plus « quel est le meilleur/le moins cher modèle ? » mais « quelle part de mon système suis-je prêt à rendre dépendante d'un fournisseur que je ne contrôle pas ? ». La bonne posture reste un **portefeuille routé** (un modèle par tâche, un modèle par contrainte), Kimi K3 ajoutant une **colonne « réversibilité »** à la grille de décision. Conviction « AI Only » inchangée : le modèle est une commodité, l'avantage durable est dans l'ingénierie qui l'entoure (Context Engineering, harnais, gouvernance des coûts, capacité à changer d'avis). Reste à valider les chiffres « sur le vôtre » — vos dépôts, vos données.
Article de fond (point de vue) publié sur **sfeir.com** le 24 juin 2026, signé **Didier Girard** (Managing Director, SFEIR). **Thèse centrale** : en 2024 tout le monde pariait sur l'**AI4Business** (l'IA dans les processus métier) comme grand gisement de valeur ; en 2026, le constat s'est **inversé** — c'est l'**AI4IT** (l'IA pour produire le système d'information : code, SDLC, usine logicielle) qui crée la valeur **mesurable**. L'article *grounde* cette thèse sur la veille du cabinet : déception AI4Business (étude MIT « 95 % de pilotes sans ROI », contestée mais révélatrice ; blocage **organisationnel** / problème hayékien de Mollick) vs preuves AI4IT chiffrées (Salesforce, Intercom, Raiffeisen, AWS/Bedrock, Atlassian, DORA). Explication mécaniste : **le code se vérifie tout seul** (compilation, tests, CI) là où le processus métier n'a ni compilateur ni boucle de feedback immédiate. **Conséquence budgétaire 2027** : bascule **CapEx→OpEx**, dynamique du prix du token (pointe qui monte — Fable 5 à 2× Opus — vs inférence ÷280 et pression baissière open weights/desktop), et **FinOps de l'IA** piloté au **coût par outcome**. Clôture par **4 recommandations COMEX**.
#AI4IT#AI4Business#renversement
**Didier Girard** — Managing Director (CTO / DG) de **SFEIR** · ESN française (~1 000 personnes, France · Belgique · Luxembourg · Suisse). Auteur de l'article ; voix éditoriale du cabinet sur la transformation IA des DSI.
Tribune d'**Olivier Rafal** (Consulting Director Strategy chez **WeNvision**) publiée le **23 février 2024** sur **CIO-Online** (rubrique *Tribune*), qui pose une thèse encore contre-intuitive à l'époque : **l'IA générative relève davantage du produit technologique que du projet d'IA / data science**. **Argument 1 — la data science n'est pas le cœur du sujet** : créer un *foundation model* de toute pièce demande *« plusieurs mois, des millions d'euros et l'accès à d'énormes quantités de données »* — réservé à des acteurs aux datasets spécifiques et monétisables (ex. **Bloomberg** et son **BloombergGPT** pour la finance). Pour la quasi-totalité des entreprises, le bon réflexe n'est donc pas de recruter des data scientists. **Argument 2 — décalage de compétences** : il faut surtout des **ingénieurs de développement et d'intégration** (back/front), de **fortes compétences cloud** et du **DevOps**. Citation client : *« On n'a pas forcément besoin d'être data scientist, mais il faut comprendre les concepts de base, avoir des compétences de développement back office et de fortes compétences cloud. »* **Argument 3 — architecture de plateforme (orchestrateurs + API)** : construire une **plateforme d'IA générative** d'entreprise via orchestrateurs et API permet *« de travailler avec les meilleurs LLM du marché et d'en changer au fur et à mesure de leurs évolutions respectives, sans retoucher aux applications »* (anti vendor lock-in). **Argument 4 — du projet au produit** : *« La plate-forme […] il faut la considérer elle-même comme un produit »* ; au lieu d'un investissement ponctuel, prévoir un **flux de financement mensuel** (itérations continues, innovation permanente). **Argument 5 — gouvernance & shadow AI** : la démocratisation inédite de la GenAI engendre *« tant du shadow AI que de fortes attentes vis-à-vis de la DSI »* → gouvernance pour capter les besoins métiers, **prioriser les produits par la valeur**, superviser le bon fonctionnement. **Changement de paradigme** annoncé : *« on passe d'une programmation algorithmique classique à des agents Langchain qui gèrent une partie des décisions »*. **Intérêt pour la veille** : texte **fondateur (J-2 ans)** de la doctrine WeNvision (produit > projet, plateforme/API, financement en flux, gouvernance, shadow AI) que prolongeront les fiches [[wenvision-ai-agents-enterprise-deployment-2025-10-01]], [[habert-ia-agentique-production-2025-10-29]] et rafal-wenvision-tokenomics-foundation-finops-ia-2026-06-04 (FinOps/token, financement en flux → gouvernance financière). Préfigure aussi le *harness/plateforme autour du modèle* (Dropbox/Okumura : *systems around the model*) et l'**indépendance modèle** par couche d'orchestration.
#IA générative#produit technologique#produit vs projet
**Olivier Rafal** · *Consulting Director Strategy* chez **WeNvision** (cabinet de conseil FR). Tribune publiée dans la rubrique *Tribune* de **CIO-Online**. Auteur déjà présent dans la veille (cf. fiches WeNvision/Atlas/Tokenomics). Publié le **23 février 2024**.