Lyon Cyber Expo 2026 (16 sept.) : préparer tes achats sécurité IA (checklist + profils)

Tu vas à un salon cyber, tu discutes, tu récupères des cartes, et tu rentres avec… rien de décidable. Pour éviter ça, il faut arriver avec un plan d’achats “sécurité IA” déjà cadré. Pas une vision. Une liste de risques, des contrôles, un budget cible, et des critères de comparaison.

Le Lyon Cyber Expo 2026 (3e édition) se tient mercredi 16 et jeudi 17 septembre 2026, de 9h à 18h, au Centre de Congrès de Lyon (Cité Internationale, 50 quai Charles de Gaulle, 69006 Lyon). L’organisateur annonce 4 000 professionnels, 160 exposants, 30 conférences et 90 speakers. Sources : lyoncyberexpo.com et infos pratiques.

L’événement est orienté “confiance numérique”, avec des piliers stratégie et préparation, action au quotidien, gestion de crise, et un fil rouge très concret : GRC/NIS2, protéger les actifs, répondre en cas de crise (source : lyoncyberexpo.com). C’est exactement le terrain où se joue la sécurité IA en entreprise, parce que l’IA ne remplace pas la cyber. Elle l’élargit : nouvelles données qui circulent, nouveaux connecteurs, nouveaux comptes de service, nouvelles surfaces d’attaque.

Pourquoi parler “sécurité IA” sur un salon cyber à Lyon

Deux réalités à garder en tête avant de te perdre dans les démos.

1) La menace reste banale et violente. L’ANSSI indique 144 compromissions par rançongiciel portées à sa connaissance en 2024, puis 128 en 2025. Légère baisse, pression intacte. Sources : CERT-FR (2024, 2025).

2) L’IA “côté défense” est un marché à challenger. L’ANSSI a mené une étude de marché sur l’usage de l’IA pour la détection et la réponse à incident, en consultant 48 entreprises de cybersécurité. Signal clair : il y a de l’offre, et beaucoup de promesses à vérifier. Source : cyber.gouv.fr.

Ce que ça veut dire pour toi, décideur : Lyon Cyber Expo 2026 est utile si tu viens chercher des briques “achetables” pour sécuriser des usages IA (GRC, audit, IAM, EDR/XDR, SIEM/SOAR, sauvegarde/PRA, CSIRT/forensic, etc., cités dans le positionnement du salon). Pas si tu viens “prendre la température”.

Pour qui c’est rentable (et quand ça ne l’est pas)

Tu vas gagner du temps si tu es :

• RSSI : tu dois poser des contrôles IA sans bloquer les métiers, et industrialiser incident, logs, tiers, crise.
• DSI : tu portes l’architecture (identités, cloud, endpoints, intégration), et tu gères les arbitrages budget.
• Dirigeant (PME, ETI, structure régulée) : tu veux réduire le risque opérationnel, pas collectionner des outils.
• DPO ou responsable conformité : tu dois rendre l’usage IA compatible RGPD et contrats, et éviter les fuites “par prompt”.

Tu vas perdre ton temps si :

• tu n’as pas de liste d’usages IA réels (même courte).
• tu n’as pas identifié tes données sensibles et tes flux vers des services IA.
• tu n’as pas un minimum de budget, même approximatif (ordre de grandeur).

La feuille de route “sécurité IA” à préparer avant le 16 septembre 2026

Étape 1 : cartographie 10 à 20 usages IA, pas plus

Tu listes des cas concrets, déjà utilisés ou en pilote : assistant interne, IA générative bureautique, recherche documentaire, copilots dev, RAG sur base interne, scoring, analyse de tickets support, etc.

Pour chaque usage, tu notes :

• données manipulées : perso, santé, finance, RH, secret d’affaires ;
• exposition : internet, interne, accès partenaires ;
• criticité métier : si ça tombe, tu perds quoi ;
• dépendances : SaaS, API, plugins, connecteurs, sous-traitants ;
• qui “admin” : comptes de service, droits, équipe responsable.

Objectif : arriver au salon en sachant où est le risque, pas en “cherchant une solution IA”.

Étape 2 : un “minimum viable governance” (achetable et applicable)

La gouvernance, ce n’est pas un comité. C’est trois décisions simples :

• un pilote (souvent RSSI ou DSI) + le DPO + un représentant métier ;
• une politique d’usage IA acceptable (données interdites, outils autorisés, traçabilité, règles de partage) ;
• un processus d’entrée : comment un métier demande un nouvel outil IA, qui valide, sur quels critères.

Si tu veux une base locale orientée entreprise, tu peux repartir de ce cadre : https://lyon-ia.com/blog/gouvernance-ia-entreprise et, pour le document opérationnel, https://lyon-ia.com/blog/charte-usage-ia-entreprise.

Étape 3 : RGPD, données envoyées au modèle, et réutilisation

Les achats “sécurité IA” plantent souvent ici : tu sécurises l’accès, mais tu ne sais pas où part la donnée, ni si elle peut être réutilisée par le prestataire selon les réglages et le contrat.

La CNIL insiste sur la minimisation, la nécessité du traitement et la sécurité lors du développement et de l’usage de systèmes d’IA, et alerte aussi sur les points spécifiques de l’IA générative. Sources : cnil.fr et cnil.fr.

Traduction salon : tu poses ces questions à chaque éditeur ou intégrateur qui touche à de la donnée.

Étape 4 : priorise 5 contrôles “sécurité IA” avant de parler produits

• Identité et accès : MFA, IAM/PAM, séparation des environnements, comptes de service propres.
• Journalisation : prompts, actions, accès données, actions admin, export, erreurs.
• Protection données : chiffrement, DLP, rétention, anonymisation/pseudonymisation si utile.
• Résilience : sauvegarde, PRA/PCA, scénarios crise exfiltration + extorsion.
• Détection et réponse : SOC, SIEM/SOAR, EDR/XDR, playbooks, forensic/CSIRT.

Ça te donne une shortlist d’achats potentiels. Et ça te donne surtout un filtre anti-gadget.

Checklist d’achats “sécurité IA” à utiliser sur Lyon Cyber Expo 2026

Tu peux l’imprimer. Ou l’avoir sur ton téléphone. Mais tu la déroules stand par stand.

1) Gouvernance et conformité (RSSI checklist IA)

• Politique d’usage IA (générative incluse) : données interdites, outils autorisés, cas d’usage proscrits.
• Charte + formation : sensibilisation aux fuites via IA, aux prompts, aux documents internes.
• Registre des modèles et agents : interne et SaaS, propriétaire, niveau de risque, date de revue.
• Gestion des tiers : clauses contractuelles IA (localisation, sous-traitants, logs, réversibilité).

À relier directement à tes docs internes : registre IA prêt à copier et clauses à lire deux fois.

2) Audit et évaluation

• Évaluation de maturité cyber appliquée aux usages IA : process, technique, tiers.
• Pentest / red team incluant surfaces IA : plugins, API, connecteurs, RAG, comptes de service.
• Revue de configuration (cloud, endpoints, identités) avant d’industrialiser l’IA.
• Jeu de tests pour mesurer ce que le système répond et révèle (utile pour RAG et assistants internes).

Pour rester pragmatique sur les risques techniques LLM : Sécuriser vos LLM en production et, sur un classique sous-estimé, Injection de prompt.

3) Protection des données IA (protection données IA)

• Chiffrement au repos et en transit, gestion des clés, séparation des tenants.
• DLP + classification : empêcher l’envoi de données sensibles vers des outils IA non autorisés.
• Gouvernance des datasets : durée de conservation, intégrité, journalisation des opérations.
• Traçabilité des décisions prises avec aide d’une IA (utile conformité et litiges).

Deux supports utiles côté Lyon IA : politique de conservation des données pour ses outils IA et tracer les décisions prises avec l’aide d’une IA.

4) Incidents, crise, rançongiciel

• Plan de réponse “fuite + IA” : qui fait quoi, quand, avec quels prestataires.
• Sauvegarde : fréquence, immutabilité si possible, restauration testée.
• Forensic / CSIRT : capacité externe mobilisable, délais, preuve, communication.
• Exercices de crise : scénarios réalistes (exfiltration puis extorsion).

Pour les bases opérationnelles, sans blabla : plan de réaction fuite de données et automatiser ses sauvegardes et vérifier qu’elles fonctionnent.

5) Opérations sécurité : identité, endpoints, SIEM, SOC

• IAM/PAM : MFA, moindre privilège, comptes admin séparés, vault, rotation secrets.
• EDR/XDR : couverture endpoints, serveurs, éventuellement cloud workloads.
• SIEM/SOAR : collecte logs, corrélation, playbooks, automatisation réponse.
• Surfaces IA : logs d’API LLM, logs d’agents, logs d’accès à la base documentaire (RAG).

Point clé : si un éditeur “sécurité IA” ne te parle ni logs, ni identité, ni incident, c’est un outil. Pas une défense.

Profils à rencontrer sur place (et ce que tu leur demandes)

Tu ne “rencontres pas des entreprises”. Tu rencontres des gens capables de répondre.

RSSI / responsables GRC

• Comment ils traduisent un usage IA en exigences (politiques, contrôle, audit).
• Comment ils gèrent NIS2 et la preuve (logs, revues, documentation).
• Quels livrables ils te laissent en 30 jours.

Architectes IAM/PAM

• Comment ils gèrent les comptes de service des agents IA.
• Comment ils segmentent environnements dev, test, prod.
• Ce qu’ils savent faire sur les suites SaaS déjà en place (et les limites).

Responsables SOC, SIEM, SOAR

• Quels logs IA ils ingèrent (API, agents, connecteurs, proxy, DLP).
• Quels playbooks “IA” existent vraiment (exfiltration via outil IA, clés API compromises, abus agent).
• Comment ils mesurent faux positifs, temps de détection, temps de réponse.

Équipes incident, forensic, gestion de crise

• Capacité à intervenir vite, sur Lyon et AURA si besoin.
• Méthode de préservation de preuve et coordination avec assureur, juridique, com.
• Expérience rançongiciel et extorsion (sans tomber dans les anecdotes).

DPO, privacy engineers, responsables data

• Cadre RGPD pour IA générative et IA “classique”.
• Minimisation et anonymisation, ce qui est réaliste opérationnellement.
• Gestion des datasets, conservation, accès, réutilisation.

Grille simple pour comparer les offres vues à Lyon Cyber Expo 2026

Tu mets chaque offre dans une table mentale (ou un Google Sheet). Score 0, 1, 2. Et tu avances.

1) Couverture du risque (0-2)

• 0 : répond à un micro-problème isolé, sans lien incident, logs, identité.
• 1 : couvre un contrôle important, mais dépend fortement d’un autre outil non prévu.
• 2 : réduit un risque majeur sur un usage IA critique, avec intégration réaliste.

2) Exigences données et conformité (0-2)

• 0 : flou sur localisation, sous-traitants, réutilisation, logs.
• 1 : réponses partielles, docs à confirmer.
• 2 : clair, contractuel, options de paramétrage, réversibilité.

3) Observabilité et preuve (0-2)

• 0 : pas de logs exploitables.
• 1 : logs limités, export compliqué.
• 2 : logs riches, export SIEM, traçabilité admin et actions, rétention configurable.

4) Intégration à ton existant (0-2)

• 0 : nécessite de “refaire” ton SI ou impose sa plateforme partout.
• 1 : intégrations standards, mais effort important côté équipe.
• 2 : connecteurs utiles, SSO, API propres, déploiement progressif possible.

5) Résilience et crise (0-2)

• 0 : pas de scénario de crise, pas de RTO/RPO, pas de support clair.
• 1 : des engagements mais peu testés.
• 2 : engagements, procédures, tests, accompagnement incident.

6) Coût total et verrouillage (0-2)

• 0 : pricing opaque, dépendances cachées, coûts variables non maîtrisés.
• 1 : coût compris mais réversibilité floue.
• 2 : coût, métriques, plafond, réversibilité, sortie prévue.

À la fin, tu ne gardes que les offres qui font au moins 9/12, et qui couvrent un contrôle prioritaire identifié avant le salon.

Plan de visite sur une journée (16 septembre, 9h-18h) pour décider, pas “visiter”

Avant d’entrer

• Tu définis 3 objectifs : ex. DLP pour IA, logs IA vers SIEM, support incident.
• Tu identifies tes 2 usages IA les plus risqués.
• Tu fixes un budget cible (même large) et un calendrier (POC 30 jours, déploiement 90 jours, etc.).

Matin : gouvernance, données, identité

• GRC, conformité, politique IA, gestion des tiers.
• Solutions données : DLP, classification, chiffrement, journaux.
• IAM/PAM : comptes de service, SSO, moindre privilège.

Début d’après-midi : détection, réponse, SOC

• EDR/XDR, SIEM/SOAR, collecte de logs, playbooks.
• Questions obsession : “comment j’enquête et je prouve ?”.

Fin d’après-midi : incident, crise, sauvegarde

• Forensic, CSIRT, gestion de crise, PRA/PCA.
• Sauvegarde, restauration, tests, immutabilité si dispo.

Tu finis la journée avec : 1 shortlist (max 3), 1 plan POC, 1 liste de documents demandés, 1 point bloquant identifié par offre.

Deux pièges classiques (et comment les éviter)

Piège 1 : acheter “de l’IA” au lieu d’acheter un contrôle

Un outil “AI-powered” n’est pas un contrôle. Ce que tu achètes, c’est : identité, logs, DLP, sauvegarde, réponse, audit. Le reste, c’est du packaging.

Piège 2 : ignorer la Shadow AI

Si tes équipes utilisent déjà des IA sans te le dire, tu as déjà un problème de fuite et de conformité. Ça se traite par politique, DLP, sensibilisation, et offre autorisée. À garder sous la main : Shadow AI et IA fantôme au bureau.

Sources et repères utiles (pour cadrer sans fantasmer)

• Lyon Cyber Expo 2026, infos, chiffres, axes : lyoncyberexpo.com, infos pratiques, chiffres annoncés, liste des exposants.
• ANSSI, rançongiciels 2024 et 2025 : CERTFR-2025-CTI-003, CERTFR-2026-CTI-002.
• ANSSI, étude de marché IA pour détection et réponse : cyber.gouv.fr.
• CNIL, recommandations RGPD et IA, et précisions IA générative : CNIL RGPD et IA, CNIL IA générative.

Ce que tu fais maintenant (plan d’action en 7 jours)

• Jour 1 : liste 10 usages IA réels, et surligne les 2 plus risqués.
• Jour 2 : écris tes 5 contrôles prioritaires (identité, logs, données, résilience, détection).
• Jour 3 : fixe un budget cible et un calendrier POC.
• Jour 4 : prépare 15 questions “non négociables” (données, logs, incident, intégration, coût).
• Jour 5 : choisis les profils à rencontrer, pas “des stands”.
• Jour 6 : construis ta grille de scoring (12 points) et ton template de compte-rendu.
• Jour 7 : bloque des créneaux de débrief interne post-salon (48 heures après).

Tu vas à Lyon Cyber Expo 2026 pour ressortir avec une décision d’achat, ou une décision de non-achat argumentée. Tout le reste, c’est du tourisme de cybersécurité Lyon.