Table ronde Jéco 2026 Lyon (04/11) : arrive avec ton plan IA & cybersécurité en 1 page

Pourquoi cette table ronde peut te faire gagner 6 mois (ou t’éviter une grosse claque)

Tu vas entendre beaucoup de discours sur l’IA. Sur la cyber aussi. Le vrai piège, c’est de traiter ça comme deux sujets séparés.

La table ronde annoncée aux Jéco 2026 à Lyon met justement les deux dans la même phrase: IA, cybersécurité, souveraineté numérique, protection des données, infrastructures de confiance européennes. Traduction dirigeant: tu peux accélérer, mais tu dois prouver que tu maîtrises le risque et la dépendance fournisseurs.

Et ça ne se règle pas avec une stratégie PowerPoint de 40 pages. Ce qu’il te faut avant d’y aller, c’est un plan IA entreprise en 1 page. Un support pour poser les bonnes questions, challenger les prestas, et repartir avec 2 ou 3 décisions à déclencher dès ton retour.

Infos pratiques: Jéco 2026 Lyon, la table ronde à la Banque de France

Intitulé annoncé: “Table ronde Jéco2026 – les entreprises face à la nouvelle équation numérique”. Cadrage annoncé: IA + cybersécurité + souveraineté numérique + protection des données + infrastructures de confiance européennes.

Date et horaire: mercredi 4 novembre 2026, 9h00-10h30.

Lieu: Banque de France, 4 bis cours Bayard, Lyon 2e.

Intervenants annoncés: Anne-Sophie Panseri (Maviflex), Lionel Poinsot (ENE – Experts du Numérique en Entreprises). Modération: Hakim Rahamatali (Banque de France Lyon, Service des Entreprises).

Source: lyon-ia.com.

Point de vigilance: “Jéco”, “Jéco Off”, “Jéco numérique”. Les appellations bougent vite. Avant de caler ton agenda, vérifie l’identifiant exact sur le programme final (sinon tu risques de courir après le mauvais libellé). La Banque de France AURA a bien communiqué sur l’accueil du OFF des Jéco du 3 au 5 novembre et mentionne des conférences IA et cybersécurité.

Ce qui se joue vraiment pour un dirigeant: IA + cyber, même combat

1) L’IA augmente la surface d’attaque, mécaniquement

Brancher un assistant IA sur ton SI, ce n’est pas “juste” un outil en plus. C’est de nouveaux accès, de nouvelles données qui circulent, parfois de nouveaux workflows automatisés. Si tu industrialises l’IA sans garde-fous, tu industrialises aussi les chemins de fuite.

Un chiffre donne le ton: selon IBM, 1 violation malveillante sur 4 s’appuie sur l’IA (“AI-enabled”), et ces violations coûtent en moyenne 6 M$ contre 4,99 M$ en moyenne globale, soit environ 1 M$ de plus.

Source: IBM Newsroom, Cost of a Data Breach (édition 2026) lien.

2) Le rançongiciel reste un scénario “banal” en France

L’IA n’a pas remplacé les attaques classiques. Elle les accélère. Et le ransomware reste un risque de continuité d’activité, pas un sujet “IT”.

L’ANSSI indique 128 compromissions par rançongiciel portées à sa connaissance en 2025.

Source: ANSSI, Panorama de la cybermenace 2025 (CERT-FR) lien.

Autre signal: le Verizon DBIR 2026 (repris par TechTarget) indique que 69% des victimes n’ont pas payé, et évoque un paiement médian autour de 139 875 $ (en baisse vs 150 000 $).

Source: TechTarget, synthèse DBIR 2026 lien.

Message dirigeant: la “bonne” décision n’est pas “on paiera ou pas”. C’est: combien de temps tu peux tenir à l’arrêt, combien de temps tu mets à reprendre, et si tes sauvegardes sont récupérables le jour J.

3) La gouvernance arrive par les clients, les assureurs, les partenaires

Même si certains textes bougent encore, le marché n’attend pas. Les demandes se standardisent: cartographie des risques, gestion des incidents, gestion de la chaîne fournisseurs, preuves de contrôle. Si tu n’as pas de récit crédible, tu perds du temps, tu payes plus cher, ou tu te fais écarter.

Si tu veux cadrer le sujet “shadow AI” (usages non déclarés), garde un lien simple à partager en interne: CODIR Data & IA à Lyon (12/11) : industrialiser sans “shadow AI”, mode d’emploi.

Le livrable à préparer: ton plan IA & cybersécurité en 1 page

Objectif: arriver à la table ronde IA cybersécurité avec un document que tu peux montrer en 30 secondes. Pas pour te justifier. Pour obtenir des réponses nettes.

Tu peux le faire dans un doc ou sur une feuille. Une page. Maximum.

Bloc A: objectif business, périmètre, sponsor

• Objectif business (1 phrase): exemple “Réduire de 20% le temps de traitement SAV en 6 mois sans exposer de données sensibles.”
• Périmètre: entité, pays, filiale, équipe, processus.
• Sponsor: qui décide (nom + fonction). Qui exécute (DSI, métier, RSSI, DPO).
• Échéance: pilote en X semaines, mise en production en X mois.

Bloc B: 3 cas d’usage IA prioritaires (pas 12)

Tu choisis 3 cas max. Sinon tu dilues le budget et tu ne sécurises rien.

• Cas 1: utilisateur(s), entrée(s), sortie(s), gain attendu, dépendances SI, risque principal.
• Cas 2: idem.
• Cas 3: idem.

Astuce simple: pour chaque cas, écris une phrase “si ça fuit, qu’est-ce qui sort ?” Ça te force à parler données, pas magie.

Bloc C: données, localisation, droits d’accès

• Types de données: client, RH, finance, industriel, R&D, documents internes.
• Sensibilité: public, interne, confidentiel, secret industriel, données perso.
• Où résident les données: on-prem, cloud, M365/Google Workspace, applications métier.
• Base légale si données personnelles: intérêt légitime, contrat, obligation légale (note simple, pas un mémoire).
• Durées de conservation: ce que tu gardes, combien de temps, et où.
• Accès: qui peut interroger l’IA, avec quel compte, et avec quels droits.

Pour t’éviter de bricoler sur la conservation, tu peux t’appuyer sur: Écrire une politique de conservation des données pour ses outils IA.

Bloc D: fournisseurs et dépendances (LLM, cloud, intégrateurs)

• Fournisseur(s) envisagé(s): modèle, API, hébergeur, outil agent, outil RAG, iPaaS.
• Données envoyées au fournisseur: oui/non. Lesquelles.
• Réversibilité: comment tu changes de fournisseur sans tout casser.
• Conditions contractuelles clés: usage des données, sous-traitants, lieux de traitement, logs, audit.
• SLA: dispo, support, délais d’incident.

Si tu veux une grille courte pour éviter les contrats piégés: Contrat avec un fournisseur d'IA : les clauses à lire deux fois.

Bloc E: sécurité minimale non négociable (avant d’automatiser)

Tu ne vas pas tout régler en 1 page. Mais tu dois afficher ton socle.

• Identité et accès: MFA partout, comptes nominatifs, rôles, pas de comptes partagés.
• Journalisation: logs d’accès, logs d’usage IA, traçabilité des actions déclenchées.
• Secrets: API keys, tokens, coffre, rotation, pas dans les notebooks.
• Segmentation: l’IA n’a pas “tout le réseau”. Juste ce qu’il faut.
• Sauvegardes: sauvegardées, isolées, testées. Sinon c’est du théâtre.
• Réponse à incident: qui fait quoi, qui décide, qui communique.

Deux lectures utiles pour préparer ce bloc:

• Fuite de données : 7 contrôles rapides avant d’ouvrir vos données à un assistant IA
• Automatiser ses sauvegardes et vérifier qu'elles fonctionnent

Bloc F: conformité et preuves (pas juste “on est conforme”)

• Registre des usages IA: oui/non. Propriétaire du registre.
• Analyse des risques: faite, à faire, par qui, pour quels cas.
• Transparence: quand l’utilisateur sait qu’il interagit avec une IA, et ce qui est loggé.
• Preuves: tests, validation, incidents, décisions, versions.

Si tu n’as rien de structuré, commence simple avec: AI Act : documenter vos usages d’IA en entreprise (registre prêt à copier + exemple PME Lyon).

Bloc G: KPI, budget, et règle d’arrêt

C’est là que tu passes du “on teste” à “on pilote”.

• 3 KPI max: temps gagné, taux d’erreur, taux d’adoption, coût par dossier, taux d’escalade humain, etc.
• Budget: CAPEX/OPEX, enveloppe pilote, enveloppe run, propriétaire budgétaire.
• Règle d’arrêt: si KPI pas au niveau, si risque non couvert, si coût token explose, on stoppe ou on change.

Pour éviter le gouffre “facture API surprise”, garde ça en tête: Un quart des budgets IA gâché : comment piloter vos dépenses IA.

Les questions à préparer avant la table ronde (format dirigeant)

Tu veux des réponses actionnables. Donc tu poses des questions fermes, pas philosophiques.

Questions IA: valeur, industrialisation, arbitrages

• Quels 3 cas d’usage ont vraiment passé le cap “prod” dans des PME/ETI comparables, et pourquoi eux ?
• Quel est le point qui bloque le plus: données, intégration SI, métiers, juridique, sécurité, coûts ?
• Quelle règle simple pour dire non à un POC ?
• Qu’est-ce qui fait déraper les coûts (tokens, intégration, support, change) et comment tu le vois venir ?

Questions cyber: continuité, preuves, chaîne fournisseurs

• Ton scénario noir: arrêt SI, fuite client, compromission M365, ransomware. Lequel est le plus probable chez toi ?
• Combien de temps pour reprendre si ton ERP ou ta messagerie tombe ? Et est-ce testé ?
• Quels contrôles “minimum syndical” avant de connecter un agent IA à des outils internes ?
• Comment tu audits un fournisseur IA sans te noyer ? Quelles 5 preuves exiger ?

Questions souveraineté: dépendance et réversibilité

• Qu’est-ce qui doit rester “chez toi” (données, modèle, logs, clés) selon ton activité ?
• Quel plan de sortie si ton fournisseur change ses prix, ses règles, ou déprécie une API ?

Sur ce point “anti-panne”, tu peux relier ta réflexion à: Fin de GPT-4o et dépréciations API : plan anti-panne pour vos apps GenAI à Lyon.

Guide pratique sur place: qui aborder, comment sortir du flou

1) Qui aborder (et pourquoi)

• Dirigeants de PME/ETI: pour comparer les vrais arbitrages (budget, délais, freins humains).
• RSSI/DSI: pour parler concrètement identités, logs, segmentation, sauvegardes, support.
• Responsables data / product: pour le nerf de la guerre: qualité des données, intégration, tests, MLOps léger.
• Juriste / DPO: pour cadrer registre, conservation, sous-traitance, transferts, preuves.

2) Ton script de 30 secondes (à répéter)

“Je viens avec 3 cas d’usage IA. J’ai identifié les données, les fournisseurs envisagés, et mon risque principal. Je veux repartir avec 2 décisions: quoi lancer en pilote, et quel socle cyber poser avant.”

Ça filtre direct les discussions inutiles.

3) La technique pour obtenir des réponses nettes

• Montre ta 1 page et demande “qu’est-ce qui manque pour que ce soit crédible ?”.
• Demande un ordre de grandeur: budget pilote, budget run, effort interne (jours-homme).
• Demande une preuve: “tu le testes comment ?”, “tu le logs comment ?”, “tu le restaures comment ?”.

Au retour: 5 décisions à déclencher sous 10 jours

Si tu ressors motivé mais que tu ne déclenches rien, c’était juste une matinée sympa. Voilà les décisions “J+10” les plus rentables.

• Décision 1: choisir 1 cas d’usage pilote (pas 3) et écrire la métrique avant/après.
• Décision 2: figer le socle sécurité (accès, logs, secrets, sauvegardes testées) avant tout agent ou automatisation.
• Décision 3: cadrer les données (quelles données, où, combien de temps, qui y accède).
• Décision 4: verrouiller le contrat fournisseur (usage des données, sous-traitants, réversibilité, SLA, audit).
• Décision 5: mettre une gouvernance simple: qui valide un cas d’usage, qui signe le risque, qui suit les KPI.

Si tu veux une méthode courte pour structurer “qui décide quoi” sans usine à gaz: Gouvernance de l'IA : qui décide quoi dans une entreprise de cinquante personnes.

Check-list express: ta “1 page” prête la veille

• 1 objectif business écrit en une phrase.
• 3 cas d’usage max, chacun avec gain + risque principal.
• Données listées (types, sensibilité, localisation, conservation).
• Fournisseurs listés (LLM, cloud, intégrateur, outils) + plan de sortie.
• Socle cyber noté noir sur blanc (MFA, logs, secrets, sauvegardes testées, réponse incident).
• 3 KPI + budget pilote + budget run + règle d’arrêt.

Cette table ronde Jéco 2026 Lyon à la Banque de France, si tu la prends bien, peut te servir de comité de pilotage express: tu arrives avec ton plan IA entreprise, tu testes ta solidité, tu reviens avec des décisions. Pas avec des notes illisibles.