NIS2 : comment les entités régulées cherchent leurs prestataires via les assistants IA en 2026
Publié le 24 août 2026 · Lecture : 7 min
La directive NIS2 place plus de 20 000 entités en Europe devant la même série de décisions d'achat : qui pour l'analyse d'écart, qui pour l'audit, quelle solution pour piloter la conformité. Dans une part croissante de ces dossiers, la première étape n'est plus une consultation de marché mais une question posée à un assistant IA. Cette étape se déroule sans trace, sans cahier des charges, et elle réduit la liste des candidats avant tout contact.
Depuis le 24 août 2026, la publicité est ouverte aux annonceurs dans ChatGPT en France. Ce guide fait le point sur ce que l'assistant vous montre réellement, ce qu'un fournisseur peut ou ne peut pas y acheter, et comment structurer une présélection qui tienne devant un comité.
Pourquoi les entités NIS2 passent par un assistant
Le contexte NIS2 réunit trois conditions qui poussent vers ce type d'usage :
- Un vocabulaire technique dense. Entité essentielle ou importante, mesures de l'article 21, notification en 24 puis 72 heures, chaîne d'approvisionnement. Un assistant traduit ce vocabulaire plus vite qu'une recherche documentaire.
- Un marché de prestataires illisible. Cabinets généralistes, intégrateurs, auditeurs qualifiés, éditeurs GRC, MSSP : les catégories se recouvrent et les sites fournisseurs se ressemblent.
- Une pression calendaire. Les responsables concernés ne sont pas des acheteurs professionnels. Ils cherchent une liste courte défendable, pas un panorama exhaustif.
Ce que l'assistant produit, et ses limites
La réponse est construite à partir du corpus d'entraînement du modèle et, sur les moteurs qui en disposent, d'une récupération de sources au moment de la question. Elle prend la forme d'une liste courte, souvent deux à quatre acteurs, accompagnée d'un raisonnement.
Quatre limites à connaître avant d'en faire un livrable :
| Limite | Manifestation concrète | Contre-mesure |
|---|---|---|
| Biais de notoriété | Les grands noms remontent quel que soit l'adéquation à la taille de l'entité | Borner explicitement la taille et la zone dans la question |
| Variance entre exécutions | La même question rend des listes différentes selon la formulation | Poser trois variantes, ne retenir que les noms récurrents |
| Fraîcheur inégale | Réponses appuyées sur des textes antérieurs à la transposition nationale | Exiger la date de chaque élément cité |
| Silence sur les absents | Un prestataire compétent mais peu documenté n'apparaît jamais | Croiser avec un annuaire sectoriel ou une liste de qualifiés |
Un fournisseur peut-il acheter sa place dans la réponse ?
Non, en l'état du produit. C'est le point que l'ouverture publicitaire du 24 août rend nécessaire de clarifier, parce que la confusion est facile.
La documentation d'OpenAI indique que les annonces sont clairement identifiées comme sponsorisées, visuellement séparées de la réponse organique, et qu'elles n'influencent pas la réponse. Les annonceurs ne reçoivent que de l'information agrégée et n'ont pas accès aux conversations. Un budget média achète un emplacement à côté de la recommandation, pas la recommandation.
Trois éléments complètent le tableau côté acheteur NIS2 :
- Les annonces ne s'affichent que sur les formules Free et ChatGPT Go. Plus, Pro, Business, Enterprise et Education n'en affichent pas. Une entité qui a déployé une formule d'entreprise ne verra rien.
- En France, l'achat passe au lancement par six groupes de communication ; le libre-service pour les petites structures est annoncé mais pas ouvert.
- En Europe, le ciblage reste contextuel — question posée, localisation, type d'appareil — ce qui le rend peu opérant sur des intentions aussi étroites qu'un audit NIS2 sectoriel.
Sources : OpenAI, « Testing ads in ChatGPT » ; couverture presse française du lancement, 24 août 2026.
Méthode de présélection en quatre étapes
Ce que nous observons de plus robuste chez les entités qui utilisent ces outils sérieusement :
- Étape 1 — Cadrer la question. Type d'entité (essentielle ou importante), secteur, effectif, périmètre géographique, nature de la prestation. Une question générique produit une réponse générique.
- Étape 2 — Croiser deux moteurs et trois formulations. Six interrogations au total. Les noms présents dans au moins quatre constituent la liste de travail.
- Étape 3 — Vérifier hors assistant. Qualification, références sectorielles vérifiables, capacité à produire un rapport exploitable par un auditeur, clause de portabilité des données. Notre checklist de conformité couvre ces points.
- Étape 4 — Documenter la démarche. Conserver les questions posées et les réponses obtenues. Cela rend la présélection auditable, et cela évite de rejouer le travail dans six mois.
Côté prestataires : ce que la mesure montre
Pour un cabinet ou un éditeur qui constate ne jamais figurer dans ces réponses, le diagnostic est rarement commercial. Il est documentaire : absence de contenu technique public sur les obligations précises de NIS2, description d'entreprise incohérente d'une source à l'autre, aucune présence dans des publications sectorielles indépendantes.
Les données publiques sur le sujet restent rares. Le LLM Visibility Index, opéré par ZivRank, publie un panel cybersécurité et conformité France mesuré sur quatre moteurs, qui permet de situer un acteur sans engager de prestation. C'est, à notre connaissance, le seul benchmark récurrent et public sur ce segment en Europe.