Paul-Antoine Tual — AI Transformation Leader

lundi 1 juin 2026

Junyr Agents™ — déléguer l'IA dans votre PME sans perdre le contrôle

Selon Deloitte, 78 % des entreprises utilisent ou expérimentent l'IA agentique en 2026 — mais seules 13 % l'ont déployée à l'échelle industrielle [1]. L'écart entre ces deux chiffres ne s'explique pas par la technologie. Il s'explique par la délégation.

Un agent IA n'est pas un outil. C'est un collaborateur délégable. Et comme tout collaborateur, il a besoin de trois choses pour être utile sans devenir un risque : un mandat clair, une supervision, et un journal de ses actes. C'est ce que formalise Junyr Agents™.

Agent IA, assistant IA : une distinction qui change tout

La confusion entre « assistant » et « agent » est à l'origine de la plupart des déceptions.

Un assistant fonctionne en boucle synchrone : on lui pose une question, il répond. ChatGPT en conversation, c'est un assistant. L'humain garde la main à chaque étape.

Un agent fonctionne en boucle asynchrone : on lui donne un objectif, et il enchaîne les actions — sur plusieurs outils, sur plusieurs étapes — jusqu'à atteindre cet objectif. La différence n'est pas une question de puissance. C'est une question de nature : l'agent agit dans le réel. Il envoie des emails, écrit dans une base de données, déclenche une facturation.

Cette capacité d'action est précisément ce qui crée la valeur — et ce qui exige un cadre de contrôle. Déployer un agent sans cadre, c'est confier un mandat sans fiche de poste.

Les trois principes de Junyr Agents™

Junyr Agents™ repose sur trois principes simples, qui transposent à l'IA les règles de base de la délégation managériale.

Premier principe — le mandat explicite. Tout agent reçoit un brief écrit, versionné, validé par un référent métier. Ce brief précise l'objectif, le périmètre d'action autorisé, les limites, et les cas d'escalade. Exactement comme un collaborateur reçoit une fiche de poste avant de commencer. Un agent sans mandat écrit est un agent qu'on ne peut ni piloter ni auditer.

Deuxième principe — la supervision humaine documentée. Chaque décision impactante — un envoi vers l'extérieur, une écriture en base, un déclenchement de paiement — passe par une validation humaine, sauf autorisation préalable explicitement définie dans le mandat. La supervision n'est pas un frein : c'est ce qui permet de déléguer plus, parce qu'on délègue en confiance.

Troisième principe — le journal auditable. Chaque action de l'agent est tracée, horodatée, attribuable, et conservée. Ce journal sert au pilotage quotidien — et il répond aussi, par construction, à l'obligation de tenue de registre des journaux que l'AI Act impose aux systèmes à haut risque. La conformité n'est pas ajoutée après coup : elle est intégrée dès la conception.

L'architecture

Junyr Agents™ s'appuie sur une stack pensée pour la souveraineté et le contrôle : orchestration multi-agents, hébergement sur infrastructure maîtrisée en France pour la conformité RGPD, et un mécanisme de cycles d'auto-réflexion nocturnes — les « Night Reflections » — qui permet aux agents de consolider et de vérifier leur travail hors des heures de production.

L'ensemble est intégré à Junyr Mail™ via un système d'« Email Routing » : les agents sont délégables, déclenchables et auditables par email — le canal que toute PME maîtrise déjà. Et ils s'exécutent sur les huit modules d'un ERP intégré : RH, comptabilité, CRM, projets, stocks, achats, facturation, reporting.

Cinq agents prêts à l'emploi

L'agent devis qualifie une demande entrante, produit un devis à partir du catalogue, et le transmet au commercial pour validation. Sur une mission de distribution B2B documentée, cet agent a fait passer le délai de production d'un devis de 4,2 jours à 1,1 jour, avec une hausse de conversion de 24 %.

L'agent facturation génère les factures conformes (format Factur-X) à partir des commandes acceptées, contrôle leur cohérence, et les transmet de façon sécurisée.

L'agent reporting compile chaque lundi un tableau de bord d'une page à partir des données ERP de la semaine écoulée.

L'agent veille surveille les publications des concurrents et compile les nouveautés dans une note hebdomadaire.

L'agent SAV de niveau 1 qualifie les demandes entrantes, répond aux questions documentées, et escalade le reste au support humain.

Sur une seconde mission documentée — e-commerce B2B avec intégration de cinq assistants IA dans l'ERP — l'ensemble a réduit le temps de traitement d'une commande de 58 % et libéré l'équivalent d'1,5 poste à temps plein, avec un retour sur investissement atteint en 9 mois.

Ce qu'un agent IA ne doit jamais faire

Le cadre de contrôle se définit autant par les interdits que par les permissions. Quatre limites sont non négociables.

Un agent ne prend jamais de décision juridiquement contraignante sans validation humaine : contrats, décisions RH, sanctions. Il ne note jamais des personnes — l'AI Act le proscrit explicitement au titre des pratiques interdites. Il ne modifie jamais des données financières de façon irréversible sans double validation. Et il n'effectue aucune action externe non journalisée : toute communication sortante est tracée.

Ces limites ne brident pas la délégation. Elles la rendent possible — parce qu'elles définissent un terrain de jeu clair dans lequel l'agent peut agir vite et l'humain garder confiance.

Comment démarrer

La mise en place suit quatre étapes, et la première ne demande aucune technologie.

D'abord, identifier les trois processus les plus chronophages de l'entreprise. Ensuite, pour chacun, repérer le sous-processus réellement délégable — souvent la qualification, la génération, ou la transmission, rarement la décision finale. Puis lancer un pilote sur un seul agent, sur 30 jours, avec une mesure avant/après. Enfin, si la mesure est concluante, industrialiser — en mettant en place le journal d'audit dès cette étape.

Cette progression est exactement celle de la Méthode Junyr™ : on ne saute pas d'étape, on construit un palier (Spectateur → Artisan → Orchestre → Architecte → Pionnier) avant de passer au suivant.

Pour aller plus loin

Une démonstration de Junyr Agents™ est disponible sur demande. Le Diagnostic IA Express — 60 minutes en visioconférence, sans engagement — identifie les trois cas d'usage d'agents prioritaires pour votre contexte et positionne votre PME sur l'échelle Méthode Junyr™.

Le livre blanc « Maturité IA des PME françaises 2025-2026 » est disponible sur croissance-transitions.fr. Contact : paul@croissance-transitions.fr.

Sources — vérifiables, mai 2026

[1] Deloitte (2026), State of Generative AI in the Enterprise — 78 % d'usage ou d'expérimentation de l'IA agentique, 13 % de déploiement à l'échelle.
[2] Règlement (UE) 2024/1689 (AI Act) — Article 14 (supervision humaine), Annexe III (systèmes à haut risque), Article 5 (pratiques interdites, dont la notation de personnes).
[3] LangChain — documentation sur l'orchestration multi-agents, langchain.com.
[4] Études de cas internes Croissance et Transitions — missions distribution B2B et e-commerce B2B, 2024-2025.

Article rédigé par Paul-Antoine TUAL — AI Transformation Leader, créateur de la Méthode Junyr™.

dimanche 31 mai 2026

La fin du téléphone : pourquoi le binôme chat + visio devient le standard de la communication pro en 2026

Par Paul-Antoine TUAL — AI Transformation Leader, Croissance et Transitions — Mai 2026.

Posture. Le téléphone ne meurt pas. Mais l'appel vocal arrivant à l'improviste sur une ligne ouverte à tous a cessé d'être le canal par défaut de la relation. À sa place s'installe un binôme : le chat pour l'asynchrone, la visio pour le moment qui compte — l'un et l'autre désormais augmentés par l'IA et la prise de rendez-vous automatique. Pour un dirigeant de PME, ce n'est pas une mode générationnelle : c'est un changement d'infrastructure de la relation client, avec une question de souveraineté à la clé. Cet article pose les faits, puis la méthode.

Ce que disent les chiffres : l'appel vocal recule, sans disparaître

Commençons par écarter le sensationnalisme. Non, la génération Z ne « raccroche pas au nez en silence » : une enquête YouGov de mars 2026 montre que ce comportement ne concerne que 3 % d'entre eux, et que seuls 13 % jugent inacceptable un appel à l'improviste — un chiffre proche des autres générations [1]. Le téléphone reste, selon Gartner, un canal apprécié toutes générations confondues [2]. Tout discours qui annonce « la mort du téléphone » se trompe de diagnostic.

Le phénomène réel est plus précis, et mieux documenté. D'abord, le volume d'appels vocaux baisse continûment. En France, la consommation vocale fixe et mobile a totalisé 200 milliards de minutes en 2024, en recul de 3 % sur l'année et en baisse continue depuis 2014 [3]. Au Royaume-Uni, le régulateur Ofcom mesure un recul de 6 % du volume total d'appels en 2023, dont −7,7 % pour les appels au départ du mobile et −20 % pour les lignes fixes [4].

Ensuite, la préférence pour l'écrit devient générationnelle et structurelle. Toujours selon YouGov, la part de ceux qui préfèrent joindre leurs proches par téléphone passe de 62 % chez les baby-boomers à 17 % chez la génération Z ; 65 % de cette génération privilégient l'écrit (email, texto, messagerie) [1]. L'inconfort à l'appel existe, mais il est ciblé : 65 % des jeunes sont mal à l'aise pour appeler un inconnu, contre 15 % seulement pour appeler un proche [1]. Autrement dit, ce n'est pas le téléphone qu'on rejette, c'est l'appel non annoncé venu d'un inconnu.

Enfin, et c'est le point décisif pour une entreprise : les appels ne disparaissent pas, ils migrent. Le Baromètre du numérique 2024 du CREDOC, réalisé pour l'Arcep, établit que 85 % de la population utilise des messageries instantanées et que 78 % passent désormais leurs appels via ces applications plutôt que par le réseau téléphonique classique [5]. Le même régulateur observe que les communications vocales passées par Internet ont franchi le cap des 415 milliards de minutes, là où la téléphonie fixe classique s'est, elle, contractée à une fraction de ce volume [20]. La voix se porte bien — elle a juste changé de tuyau, et ce tuyau s'appelle WhatsApp, Messenger ou une visio.

Pourquoi la ligne ouverte s'est dévaluée : la saturation publicitaire et frauduleuse

Si le canal vocal classique recule, c'est aussi parce qu'il a été abîmé par ses propres abus. Le numéro de téléphone est devenu un terrain saturé de sollicitations non désirées, au point que décrocher un appel inconnu relève désormais du pari.

Les chiffres de l'agacement sont sans appel. Selon UFC-Que Choisir (octobre 2024), 97 % des Français se déclarent agacés par le démarchage commercial, 72 % sont importunés chaque semaine sur leur mobile, pour une moyenne de six appels non sollicités par semaine [6]. La fraude a suivi : l'Arcep a enregistré 10 973 alertes pour appels et messages abusifs en 2024, contre 2 029 en 2023 — une multiplication par cinq —, l'usurpation de numéro passant à elle seule de quelques centaines de signalements à plus de 8 500 [7]. Le service anti-spam 33700 a reçu plus d'un million de signalements chez le seul opérateur Orange en 2025 [8], et l'Arcep a ouvert en janvier 2026 une enquête contre l'ensemble des opérateurs sur ce sujet [9]. Du côté du SMS, l'hameçonnage (smishing) reste la première menace recensée par Cybermalveillance.gouv.fr [10], et Proofpoint relevait dès 2023 que 75 % des organisations avaient subi des attaques de ce type [11].

La conséquence comportementale est mesurée : 46 % des appels non identifiés restent désormais sans réponse, et 92 % des consommateurs estiment qu'un appel d'un numéro inconnu est probablement frauduleux [12]. Une ligne où neuf appels sur dix sont suspects n'est plus un canal de confiance.

Le législateur en a tiré les conséquences. Contrairement à ce qu'on lit parfois, il n'existe pas de « loi du 13 août 2025 » : la réforme figure à l'article 13 de la loi n° 2025-594 du 30 juin 2025, qui inverse le paradigme du démarchage téléphonique [13]. À compter du 11 août 2026, le démarchage bascule de l'opt-out vers l'opt-in : il sera interdit d'appeler une personne qui n'a pas préalablement exprimé son consentement, défini comme une manifestation de volonté « libre, spécifique, éclairée, univoque et révocable », la charge de la preuve pesant sur le professionnel [14]. Le dispositif Bloctel disparaît à la même date [15], et les sanctions administratives atteignent 75 000 € pour une personne physique et 375 000 € pour une personne morale [16] — au-delà desquelles un abus de faiblesse relève du pénal (jusqu'à 500 000 € ou 10 % du chiffre d'affaires, et cinq ans d'emprisonnement). Le message envoyé au marché est clair : interrompre quelqu'un par téléphone sans qu'il l'ait demandé n'est plus une stratégie commerciale, c'est un risque juridique.

Le nouveau binôme : le chat pour le flux, la visio pour le moment qui compte

À mesure que la ligne ouverte se dévalue, deux canaux montent ensemble et se répartissent les rôles. Le chat absorbe l'asynchrone, le suivi, la question rapide ; la visioconférence porte le moment décisif — la découverte, la démonstration, la négociation, l'arbitrage. Ce ne sont pas deux modes concurrents, c'est un binôme complémentaire.

Côté chat, l'ampleur est désormais celle d'une infrastructure mondiale : 94,1 % des internautes utilisent une application de messagerie chaque mois [17], WhatsApp ayant franchi les 3 milliards d'utilisateurs actifs mensuels en 2025 et traitant de l'ordre de 100 milliards de messages par jour [18]. En France, l'usage quotidien des messageries instantanées est passé de 18,8 % de la population en 2018 à 49,2 % en 2023 [19], et l'Arcep mesure que 86 % des Français de 12 ans et plus s'en servent désormais pour communiquer [20]. Le pendant de cette montée, c'est l'effondrement du SMS classique : −31 % en un an au quatrième trimestre 2025, soit 64,7 milliards de SMS contre 88,5 milliards un an plus tôt, et 59 messages par mois et par client contre 250 au pic de 2016 [21]. L'Arcep attribue explicitement ce décrochage à l'essor du RCS et des messageries enrichies — un standard que l'intégration du protocole RCS dans l'iPhone (iOS 18, fin 2024) a fait basculer, Google revendiquant plus d'un milliard de messages RCS par jour aux États-Unis [22].

Cette bascule n'est pas que personnelle : elle redéfinit la relation client. Le trafic mondial de business messaging est estimé à 2 000 milliards de messages en 2025, projeté à 3 000 milliards en 2030 [23]. Meta indique qu'un milliard d'utilisateurs échangent chaque semaine avec une entreprise via ses applications, pour 600 millions de conversations par jour [24]. Et Gartner anticipe que, dès 2027, le self-service et le chat en direct dépasseront le téléphone et l'email comme technologies de service client les plus importantes [25].

Côté visio, le mouvement est désormais acquis plutôt que spectaculaire : les réunions hybrides sont devenues la norme de travail [26], et Microsoft Teams dépassait 320 millions d'utilisateurs actifs mensuels dès le début 2024 [27]. La visio s'est installée comme le format du premier rendez-vous à distance — un terrain que Croissance et Transitions a documenté en détail dans son standard 2026 de la prospection par visio. Le point à retenir ici est la complémentarité : le chat qualifie et suit, la visio engage et décide.

Le troisième larron : l'IA conversationnelle et la prise de rendez-vous automatique

Le binôme chat + visio ne tiendrait pas sa promesse sans le composant qui le rend opérable à l'échelle d'une PME : l'assistance par IA, et en particulier l'automatisation du premier kilomètre de la relation — qualifier, router, et prendre rendez-vous sans friction.

Les usages se diffusent vite. Salesforce mesure que l'adoption des agents IA dans le service client a été multipliée par 1,7 en un an, passant de 39 % à 66 % des organisations, dont 70 % constatent une valeur mesurable en moins de 60 jours [28]. En France, le Baromètre France Num 2025 indique que 26 % des TPE et PME déclarent utiliser l'IA, les chatbots et assistants conversationnels représentant déjà 14 % des usages [29]. Concrètement, l'IA prend en charge ce que le téléphone faisait mal : répondre à toute heure, proposer un créneau, confirmer un rendez-vous, relancer un absent. Les outils de planification assistés par IA font gagner de l'ordre de 3 à 5 heures par semaine aux cadres [30], et, dans la santé, les rappels automatisés réduisent les rendez-vous manqués de 30 à 40 % [31].

Gartner pousse la projection plus loin : d'ici 2028, 70 % des parcours de service client commenceraient et se résoudraient au sein d'assistants conversationnels intégrés aux terminaux [32], et l'IA agentique pourrait résoudre de façon autonome 80 % des problèmes courants d'ici 2029 [33]. Ces chiffres sont des prévisions, à manier comme telles — d'autant que le même Gartner avertit que plus de 40 % des projets d'IA agentique seront annulés d'ici fin 2027, faute de valeur métier claire ou de maîtrise des risques [34]. La leçon n'est pas « tout automatiser », mais « automatiser le répétitif sous gouvernance ».

Car ce gisement de productivité a une contrepartie réglementaire que la Méthode Junyr™ place au centre. La CNIL a publié dès juillet 2025 ses premières recommandations sur l'application du RGPD à l'IA [35], et l'AI Act impose supervision humaine, traçabilité et transparence. Un agent qui prend rendez-vous, lit un agenda ou rédige une relance manipule des données personnelles : il doit rester un assistant validé par l'humain, pas un automate opaque. La prise de rendez-vous automatique est une excellente porte d'entrée vers l'IA en PME précisément parce qu'elle est à la fois à fort levier et à risque maîtrisable — à condition de poser le cadre.

Le point aveugle : sortir du verrou Google / Microsoft

Reste la question que la plupart des entreprises ne posent pas en adoptant le binôme chat + visio : chez qui, et sous quelle juridiction ? Car remplacer un appel téléphonique par une visio Teams ou une prise de rendez-vous Google, c'est troquer un canal banalisé contre une dépendance à un écosystème intégré dont on ne maîtrise ni le prix, ni les conditions, ni le droit applicable.

Sur le prix, la tendance 2025-2026 est nette. Google a intégré son IA Gemini à Workspace en janvier 2025 en relevant la plupart des abonnements d'environ 17 %, y compris pour les clients qui n'utilisent pas l'IA [36]. Microsoft a fait passer son offre 365 Personnel à 9,99 € par mois avec Copilot inclus, contre 6,99 € — une hausse de 43 % [37], avec de nouveaux tarifs commerciaux effectifs au 1er juillet 2026 [38]. L'IA embarquée devient un motif d'augmentation que le client ne choisit pas.

Sur la concentration, le signal réglementaire est venu de Bruxelles. La Commission européenne a accepté en septembre 2025 des engagements contraignants de Microsoft pour clore une enquête antitrust ouverte en 2023 : l'éditeur doit désormais proposer Office et 365 sans Teams à un prix inférieur, garantir l'interopérabilité et la portabilité des données Teams, pour une durée de 7 à 10 ans [39]. Que le découplage d'un outil de visio d'avec une suite bureautique ait nécessité une procédure européenne de deux ans en dit long sur la réalité du verrouillage.

Sur le droit enfin, le sujet dépasse le confort commercial. Le CLOUD Act de 2018 oblige les fournisseurs sous juridiction américaine à communiquer les données qu'ils contrôlent quel que soit leur lieu de stockage, y compris dans l'Union [40], tandis que le Data Act européen, applicable depuis septembre 2025, cherche à fermer cette porte [41]. Le conflit reste structurellement non résolu : se conformer à l'un peut contrevenir à l'autre [42]. En mars 2026, le Conseil d'État a jugé le risque « suffisamment encadré » pour valider l'hébergement de données de santé sur une infrastructure non-européenne, mais sous conditions strictes, l'organisme concerné ayant lui-même engagé une sortie [43]. Le point n'est pas de désigner un coupable — Croissance et Transitions ne raisonne pas en termes d'origine nationale d'un risque, mais de juridiction applicable et de dépendance d'infrastructure. Le point est qu'une PME qui confie sa communication client à un écosystème intégré non-européen accepte un risque qu'elle n'a, le plus souvent, ni mesuré ni arbitré.

L'alternative existe, et elle mûrit. L'État français en donne le signal le plus fort : sa messagerie souveraine Tchap équipe déjà près de 600 000 agents, et le ministre David Amiel a annoncé en janvier 2026 la généralisation de l'application souveraine Visio, visant 200 000 agents fin 2026 puis 2,5 millions à horizon 2027, avec blocage technique de Teams, Zoom et Google Meet sur le réseau interministériel [44]. Côté éditeurs, l'écosystème français est crédible : Tixeo, visioconférence qualifiée par l'ANSSI depuis 2017 avec chiffrement de bout en bout par défaut [45] ; Olvid, première messagerie certifiée CSPN ; les solutions open source Jitsi et Element/Matrix ; et un collectif d'éditeurs collaboratifs — Whaller, Jamespot, Wimi — qui se positionnent explicitement en alternative à Microsoft 365 [46]. Le tout adossé au référentiel SecNumCloud de l'ANSSI, dont l'un des critères est précisément l'imperméabilité à l'extraterritorialité des lois extra-européennes [47]. Sortir du verrou n'est plus un acte militant : c'est une option d'architecture disponible et qualifiée.

Ce que dit la Méthode Junyr™ : du canal subi au canal gouverné

La Méthode Junyr™ ne fait pas progresser une organisation en accumulant des outils, mais en élevant son niveau de maturité dans l'usage qu'elle en fait. La fin du téléphone-par-défaut illustre exactement cette bascule : passer d'une communication subie — on attend l'appel, on filtre le spam, on dépend de la suite la moins chère de l'année — à une communication gouvernée, où chaque canal a un rôle, un cadre de données et un niveau de validation humaine.

Concrètement, la trajectoire tient en quatre gestes. Premièrement, cartographier ses canaux : qui contacte l'entreprise, par quel canal, et lesquels sont aujourd'hui subis plutôt que choisis. Deuxièmement, redonner sa place au chat et à la visio : le chat pour l'asynchrone et le suivi, la visio pour le rendez-vous qui engage, en abandonnant l'illusion que la ligne téléphonique ouverte reste le canal de confiance. Troisièmement, automatiser le premier kilomètre sous gouvernance : prise de rendez-vous, qualification et relance confiées à des agents IA, mais en mode brouillon validé par l'humain, jamais en envoi automatique aveugle. Quatrièmement, choisir l'infrastructure en conscience de la juridiction : préférer, quand les données sont sensibles, un socle souverain et auditable.

C'est exactement ce qu'incarne le module Junyr Visio-IA™ de la suite Junyr ERP : un assistant de réunion qui augmente le commercial sur tout le cycle du rendez-vous à distance — préparer le cadre, transcrire, calculer un ROI en séance, poser un plan d'action commun, générer le compte rendu et synchroniser le CRM — selon trois principes non négociables : traitement souverain par défaut (transcription et modèles locaux, recours au cloud seulement après pseudonymisation), consentement explicite et horodaté (conformité CNIL et article 226-1 du Code pénal, notice de littératie IA de l'AI Act), et human-in-the-loop systématique (aucun compte rendu, aucune relance, aucune écriture CRM ne part sans validation). La couche Junyr Mail™ (messagerie eIDAS) rend chaque action d'agent traçable, auditable et révocable. La technologie sert la relation ; elle ne la remplace pas.

Le contre-argument, pris au sérieux

Trois objections méritent une réponse honnête.

« Le téléphone n'est pas mort, vous exagérez. » C'est juste, et c'est pourquoi le titre dit « la fin du téléphone » au sens du canal par défaut, pas du canal tout court. La voix reste essentielle — elle migre simplement vers la visio et les appels applicatifs. Gartner rappelle d'ailleurs que le téléphone demeure apprécié toutes générations confondues [2]. La bonne lecture n'est pas « supprimer la voix » mais « cesser d'en faire le point d'entrée unique et subi ».

« L'automatisation IA va déshumaniser ma relation client. » Le risque est réel si l'on automatise sans cadre — d'où l'avertissement de Gartner sur les 40 % de projets agentiques annulés d'ici 2027 [34]. La réponse de la Méthode Junyr™ est précisément l'inverse de la déshumanisation : déléguer le répétitif (prendre un créneau, confirmer, relancer) pour rendre du temps au relationnel (le rendez-vous en visio, l'arbitrage, la confiance). L'IA décharge ; l'humain décide.

« La souveraineté, c'est plus cher et moins pratique. » Le confort des suites intégrées est réel, et le Conseil d'État lui-même a jugé certains usages non-européens « acceptables » sous conditions [43]. Mais l'équation évolue : les hausses tarifaires liées à l'IA embarquée [36][37], la procédure antitrust européenne [39] et la maturité croissante des alternatives qualifiées ANSSI [45][47] réduisent l'écart. La souveraineté n'est pas un absolu militant ; c'est un arbitrage à faire en conscience, données sensibles d'un côté, coût et commodité de l'autre.

Trois questions à poser dès cette semaine. 1. Quels canaux entrants subissons-nous (ligne ouverte saturée de spam) plutôt que nous ne les choisissons ? 2. Notre prise de rendez-vous repose-t-elle encore sur un appel sortant non annoncé — qui devient un risque juridique au 11 août 2026 ? 3. Si nous transcrivons nos réunions avec une IA, savons-nous où sont stockées les données, et avons-nous prévu le consentement explicite ?

En pratique

Croissance et Transitions accompagne les dirigeants d'ETI et de PME pour transformer leur communication client de canal subi en canal gouverné : diagnostic de maturité (Méthode Junyr™), refonte de la trajectoire chat + visio, automatisation gouvernée de la prise de rendez-vous, et sélection d'une infrastructure souveraine quand les données l'exigent.

→ Diagnostic IA Express — 90 minutes en visio. croissance-transitions.fr

Paul-Antoine TUAL — AI Transformation Leader · Croissance et Transitions (SAS) · Méthode Junyr™ · Junyr Visio-IA™ · Junyr Mail™

FAQ

Le téléphone va-t-il vraiment disparaître pour les entreprises ? Non. La voix reste essentielle et appréciée toutes générations confondues (Gartner). Ce qui recule, c'est l'appel vocal non annoncé sur une ligne ouverte : le volume baisse continûment (−3 % en France en 2024) et les appels migrent vers les applications de messagerie et la visio. Le bon réflexe n'est pas de supprimer la voix, mais de cesser d'en faire le point d'entrée unique et subi [1][2][3].

Qu'est-ce qui change pour le démarchage téléphonique au 11 août 2026 ? La loi n° 2025-594 du 30 juin 2025 (article 13) fait basculer le démarchage de l'opt-out vers l'opt-in : il devient interdit d'appeler une personne qui n'a pas exprimé au préalable un consentement libre, spécifique, éclairé et univoque. Bloctel disparaît à cette date, et les sanctions atteignent 75 000 € (personne physique) et 375 000 € (personne morale) [13][14][15][16].

Pourquoi parler d'un « binôme » chat + visio plutôt que d'un seul canal ? Parce que les deux canaux se répartissent les rôles : le chat absorbe l'asynchrone, la question rapide et le suivi (94 % des internautes utilisent une messagerie chaque mois), tandis que la visio porte le moment qui engage — découverte, démonstration, négociation. Gartner anticipe que dès 2027 le self-service et le chat dépasseront le téléphone et l'email en service client [17][25].

L'IA de prise de rendez-vous est-elle compatible avec le RGPD ? Oui, à condition d'être gouvernée. Un agent qui lit un agenda, propose un créneau ou rédige une relance manipule des données personnelles : la CNIL (recommandations de juillet 2025) et l'AI Act imposent supervision humaine, traçabilité et transparence. Le bon modèle est « brouillon validé par l'humain », jamais l'envoi automatique aveugle [35].

Faut-il quitter Teams ou Google Meet pour une solution souveraine ? Ce n'est pas une obligation, c'est un arbitrage. Les hausses tarifaires liées à l'IA embarquée (+17 % Google Workspace, +43 % Microsoft 365 Personnel), la procédure antitrust européenne sur Teams et le conflit CLOUD Act / RGPD justifient d'évaluer l'option. Des alternatives qualifiées ANSSI existent (Tixeo, Olvid, Jitsi, Element/Matrix), adossées au référentiel SecNumCloud. La règle : un socle souverain quand les données sont sensibles [36][37][39][45][47].

Sources

[1] YouGov — Mythbusting claims about Gen Z and their phone habits (2 mars 2026). https://yougov.com/en-gb/articles/54114-mythbusting-claims-about-gen-z-and-their-phone-habits

[2] Gartner — Traditional Customer Service Channels Are Losing Ground to Mobile and AI Innovations (10 février 2025). https://www.gartner.com/en/newsroom/press-releases/2025-02-10-traditional-customer-service-channels-are-losing-ground-to-mobile-and-ai-innovations

[3] Arcep — Observatoire des marchés des communications électroniques en France — Année 2024 (2025). https://www.arcep.fr/cartes-et-donnees/nos-publications-chiffrees/observatoire-des-marches-des-communications-electroniques-en-france/marche-communications-electroniques-france-2024-resultats-definitifs.html

[4] Ofcom — Communications Market Report 2024 (18 juillet 2024). https://www.ofcom.org.uk/siteassets/resources/documents/research-and-data/multi-sector/cmr/cmr24/communications-market-report-2024.pdf

[5] CREDOC / Arcep — Baromètre du numérique 2024 (2025). https://www.economie.gouv.fr/files/files/media-document/Barometre_numerique_2024.pdf

[6] UFC-Que Choisir — Démarchage téléphonique : mettons enfin un terme au harcèlement marketing (octobre 2024). https://www.quechoisir.org/action-ufc-que-choisir-demarchage-telephonique-mettons-enfin-un-terme-au-harcelement-marketing-n132374/

[7] Arcep / Next — Spam : l'Arcep confirme une explosion des appels et messages abusifs en 2024 (avril 2025). https://next.ink/178902/spam-larcep-confirme-une-explosion-des-appels-et-messages-abusifs-en-2024/

[8] Orange — Le 33700 contre le smishing (2025). https://bienvivreledigital.orange.fr/securite/attention-arnaques/victime-de-smishing-le-33700-peut-vous-aider.html

[9] Arcep — Protection des consommateurs — enquête usurpation de numéro et spam (janvier 2026). https://www.arcep.fr/actualites/actualites-et-communiques/detail/n/protection-des-consommateurs-290126.html

[10] Cybermalveillance.gouv.fr — Rapport d'activité 2024 (mars 2025). https://www.cybermalveillance.gouv.fr/medias/2025/03/250327_RA_2024_SCREEN.pdf

[11] Proofpoint — 2024 State of the Phish (2024). https://www.proofpoint.com/us/resources/threat-reports/state-of-phish

[12] Hiya — State of the Call 2024 (2024). https://blog.hiya.com/2024-state-of-the-call-consumers-prefer-voice-but-spam-and-fraud-are-threats

[13] Légifrance — Article 13, LOI n° 2025-594 du 30 juin 2025 (30 juin 2025). https://www.legifrance.gouv.fr/jorf/article_jo/JORFARTI000051824325

[14] Légifrance — Code de la consommation, art. L223-1 (en vigueur au 11 août 2026). https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000051830285/2026-08-11

[15] service-public.gouv.fr — Démarchage téléphonique : les nouvelles règles (2025). https://www.service-public.gouv.fr/particuliers/actualites/A18384

[16] economie.gouv.fr — Professionnels : respecter la réglementation sur le démarchage (2025). https://www.economie.gouv.fr/entreprises/developper-son-entreprise/innover-et-numeriser-son-entreprise/professionnels-comment-respecter-la-reglementation-sur-le-demarchage

[17] We Are Social / Meltwater (via Statista) — Chat and messenger service usage (T2 2025). https://www.statista.com/statistics/1489440/chat-and-messenger-service-usage/

[18] Meta (via Rest of World) — How WhatsApp for Business changed the world (2024-2025). https://restofworld.org/2024/how-whatsapp-for-business-changed-the-world/

[19] Médiamétrie (via Siècle Digital) — Usage du numérique en France — tendances 2024 (2025). https://siecledigital.fr/2025/02/17/usage-du-numerique-en-france-les-tendances-et-chiffres-2024-de-mediametrie/

[20] Arcep — Observatoire des communications électroniques — T4 2025 (9 avril 2026). https://www.arcep.fr/cartes-et-donnees/nos-publications-chiffrees/observatoire-des-marches-des-communications-electroniques-en-france/t4-2025.html

[21] Arcep — Observatoire T4 2025 (chute du SMS −31 %) (9 avril 2026). (même source que [20])

[22] Google (via 9to5Google) — Google RCS passes 1 billion daily messages in the US (13 mai 2025). https://9to5google.com/2025/05/13/google-rcs-messages-billion-daily-us/

[23] Juniper Research — Conversational use cases fuel global messaging boom (1er septembre 2025). https://www.juniperresearch.com/press/conversational-use-cases-fuel-global-messaging-boom/

[24] Meta (via CX Today / Rest of World) — Business messaging — 1 Md d'utilisateurs/semaine (2024). https://restofworld.org/2024/how-whatsapp-for-business-changed-the-world/

[25] Gartner — Self-Service and Live Chat Will Surpass Traditional Channels by 2027 (27 août 2025). https://www.gartner.com/en/newsroom/press-releases/2025-08-27-gartner-survey-finds-self-service-and-live-chat-will-surpass-traditional-channels-as-top-customer-service-technologies-by-2027

[26] Owl Labs — State of Hybrid Work 2024 (septembre 2024). https://owllabs.com/state-of-hybrid-work/2024

[27] Microsoft (via Office365ITPros) — Teams passe 320 millions d'utilisateurs (2023-2024). https://office365itpros.com/2023/10/26/teams-number-of-users-320-million/

[28] Salesforce — State of Service Report (6e édition) (2025). https://www.salesforce.com/service/state-of-service-report/

[29] France Num / Bpifrance Big Média — Baromètre France Num 2025 — chatbots pour TPE/PME (2025). https://bigmedia.bpifrance.fr/nos-dossiers/chatbots-pour-tpe-ameliorer-le-service-client-avec-lia-conversationnelle

[30] Jamie — AI scheduling assistant — gains de temps (2025). https://www.meetjamie.ai/blog/ai-scheduling-assistant

[31] Neuwark — AI patient engagement — réduction des no-shows (2025-2026). https://neuwark.com/blog/ai-patient-engagement-reduce-no-shows-conversational-ai-2026

[32] Gartner — 70 % des parcours de service client résolus dans des assistants conversationnels d'ici 2028 (10 février 2025). (voir [2])

[33] Gartner — Agentic AI Will Autonomously Resolve 80% of Common Customer Service Issues by 2029 (5 mars 2025). https://www.gartner.com/en/newsroom/press-releases/2025-03-05-gartner-predicts-agentic-ai-will-autonomously-resolve-80-percent-of-common-customer-service-issues-without-human-intervention-by-20290

[34] Gartner — Over 40% of Agentic AI Projects Will Be Canceled by End of 2027 (25 juin 2025). https://www.gartner.com/en/newsroom/press-releases/2025-06-25-gartner-predicts-over-40-percent-of-agentic-ai-projects-will-be-canceled-by-end-of-2027

[35] CNIL — Recommandations RGPD & IA (22 juillet 2025) & Programme de travail 2026. https://www.cnil.fr/fr/accompagnement-des-professionnels-le-programme-de-travail-de-la-cnil-pour-2026

[36] Incentro — Google Workspace price increase 2025 (+17 %) (janvier 2025). https://www.incentro.com/en-EAF/news/google-workspace-price-increase-2025

[37] Microsoft 365 Blog — Advancing Microsoft 365 — pricing update (4 décembre 2025). https://www.microsoft.com/en-us/microsoft-365/blog/2025/12/04/advancing-microsoft-365-new-capabilities-and-pricing-update/

[38] Microsoft Licensing — 2026 M365 packaging & pricing updates FAQ (2026). https://www.microsoft.com/en-us/licensing/news/2026-m365-packaging-pricing-updates-faq

[39] Commission européenne — Commitments accepted — Microsoft Teams (IP/25/2048) (12 septembre 2025). https://ec.europa.eu/commission/presscorner/detail/en/ip_25_2048

[40] LeMagIT — CLOUD Act : entre le marteau et l'enclume (2025). https://www.lemagit.fr/tribune/CLOUD-Act-entre-le-marteau-et-lenclume

[41] Kiteworks — EU Data Act, RGPD et conflit avec le cloud (septembre 2025). https://www.kiteworks.com/fr/conformite-rgpd/eu-data-act-rgpd-conflit-cloud/

[42] Kiteworks — Conflit structurel CLOUD Act / RGPD (2025). (voir [41])

[43] Usine Digitale — Le Conseil d'État valide Microsoft pour l'hébergement des données de santé (mars 2026). https://www.usine-digitale.fr/cybersecurite/data-protection/donnees-de-sante/le-conseil-detat-valide-microsoft-pour-lhebergement-des-donnees-de-sante-et-juge-le-risque-lie-au-cloud-act-acceptable.T6ZKEMHAKRFAJKURNJOFS3WFEU.html

[44] Journal du Geek — L'État va se passer de Teams et Zoom avec l'app souveraine Visio (janvier 2026). https://www.journaldugeek.com/2026/01/31/letat-va-se-passer-de-teams-et-zoom-avec-lapp-souveraine-visio/

[45] Le Monde Informatique — Tixeo devient une suite collaborative souveraine (2025). https://www.lemondeinformatique.fr/actualites/lire-tixeo-devient-une-suite-collaborative-souveraine-99777.html

[46] Blog Whaller — Cloud souverain : 8 acteurs français alternative à Microsoft 365 (2024-2025). https://blog.whaller.com/presse/cloud-souverain-8-acteurs-francais-serigent-en-alternative-a-microsoft-365/

[47] ANSSI — SecNumCloud — enjeux technologiques / cloud (2025). https://cyber.gouv.fr/enjeux-technologiques/cloud/

vendredi 29 mai 2026

L'Échelle Méthode Junyr™ : à quel palier d'adoption IA se situe vraiment votre PME ?

Fin 2025, 55 % des TPE-PME françaises utilisent l'IA générative [1]. C'est le chiffre qu'on voit partout. Ce qu'on voit moins : selon le MIT NANDA, 95 % des entreprises n'ont constaté aucun impact mesurable sur leur compte de résultat [2], et 57 % des dirigeants de PME-ETI n'ont aucune stratégie IA formalisée [1]. Le basculement est réel. La valeur, elle, n'est pas automatique.

Après plus de trente missions en PME et ETI françaises, j'ai arrêté de diagnostiquer les entreprises à l'aune de leurs outils. Ce qui distingue celles qui réussissent, c'est le palier d'adoption depuis lequel elles opèrent — et la cohérence entre plusieurs dimensions de valeur. L'Échelle Méthode Junyr™ compte 5 paliers (Spectateur, Artisan, Orchestre, Architecte, Pionnier), et chacun se lit sur 5 axes : ce que vous gagnez en productivité, ce que vous maîtrisez en cyber-risques, ce que vous réduisez en dépendance, ce que vous optimisez en investissement (CAPEX), ce que vous structurez en gouvernance.

Les 5 axes de lecture — pourquoi un seul chiffre ne suffit pas

Une PME peut produire vite avec l'IA grand public tout en étant, au même moment, exposée sur la fuite de données et captive d'un éditeur unique. La maturité réelle, c'est la cohérence entre les cinq axes — pas la performance sur un seul. Votre palier réel est celui de votre axe le plus faible.

Axe	Question du dirigeant
1. Productivité	Combien de temps et de valeur l'IA libère-t-elle, et est-ce mesuré ?
2. Prévention des cyber-risques	Où vont mes données, qui les voit, mes usages sont-ils gouvernés ?
3. Réduction de la dépendance	Suis-je captif d'un éditeur ou d'une infrastructure que je ne contrôle pas ?
4. Optimisation des CAPEX	Mon modèle d'investissement (tout-cloud OPEX vs infra/modèles locaux) est-il piloté ?
5. Gouvernance & conformité	Ma gouvernance IA est-elle documentée et conforme (AI Act, ISO/IEC 42001) ?

La matrice : 5 paliers × 5 axes

Palier (part des PME FR)	Productivité	Cyber-risques	Dépendance	CAPEX / infra	Gouvernance
1 · Spectateur (~50 %)	Nulle ou anecdotique	Angle mort (on ignore le Shadow IA)	Retard qui se creuse	Aucune ligne budget	Inexistante — sujet de veille
2 · Artisan (~30 %)	Gains privés, invisibles au P&L	Exposition max : exfiltration, hallucinations non détectées	Personnelle (part avec le salarié) + mono-éditeur de fait	Abonnements épars, hors P&L	Aucune charte, pas de référent
3 · Orchestre (13-15 %)	ROI médian 159 % [3]	Charte, politique de données, accès tracés	Début d'orchestration ; vigilance lock-in	Budget IA ligné, ROI suivi	Référents, comité trimestriel, registre AI Act, art. 4
4 · Architecte (2-3 %)	Avantage structurel, agents supervisés	Indicateurs de risque pilotés, isolation instructions/données	Portabilité via LLM gateway	FinOps obligatoire, routage/cache	Registre AI Act temps réel, ISO 42001 amorcée
5 · Pionnier (<0,5 %)	AI-first, définit le standard sectoriel	Surface maîtrisée de bout en bout	Autonomie : modèle local + repli cloud sanitisé	FinOps mature, CAPEX optimisé (socle local ~5 k€)	ISO 42001 certifiée, pilotée comme un actif

Lecture : aux paliers élevés, l'avantage compétitif ne tient plus qu'à la productivité — il tient à la maîtrise du risque, à l'autonomie et à l'efficience de l'investissement.

Palier 1 — Le Spectateur (~50 % des PME)

« L'IA, on regarde de loin — est-ce qu'on rate quelque chose ? »

Conscience que l'IA existe, mais aucune action : aucun outil officiel, aucun usage métier identifié, aucune ligne au budget. Ce n'est pas un échec — c'est une vigilance qui n'est pas devenue action. Le danger n'est pas d'y être en mai 2026 ; c'est d'y être encore en mai 2028 pendant que des concurrents montent les marches.

Productivité : nulle ou anecdotique.
Cyber-risques : pas d'exposition organisée, mais un angle mort — on ignore si du Shadow IA existe déjà dans les équipes.
Dépendance : nulle, mais le retard se creuse silencieusement.
CAPEX : aucune ligne budgétaire.
Gouvernance : inexistante ; le sujet est traité en veille, jamais en action.

Palier 2 — L'Artisan (~30 % des PME)

« Mes collaborateurs utilisent-ils l'IA chacun dans leur coin ? »

Des usages individuels non coordonnés — le commercial, la RH, le dirigeant, chacun sur son outil, parfois sur compte personnel. C'est le territoire du Shadow IA. Ces usages sont un signal d'envie positif ; le problème est qu'ils sont privés, fragiles et non gouvernés.

Productivité : gains réels mais privés, fragiles, invisibles au compte d'exploitation.
Cyber-risques : exposition maximale — exfiltration de données (un contrat collé dans un outil grand public dont les CGU autorisent l'entraînement), hallucinations non détectées faute de cadre.
Dépendance : personnelle (le savoir-faire part avec le collaborateur) et mono-éditeur de fait.
CAPEX : abonnements épars, souvent hors P&L, sans calcul de retour.
Gouvernance : aucune charte validée, pas de référent désigné.

Palier 3 — L'Orchestre (13-15 % des PME)

« L'IA est-elle inscrite dans nos processus, pilotée et mesurée ? »

2 à 5 cas d'usage métier en production, chacun avec un utilisateur final identifié, des indicateurs définis avant le lancement, une revue mensuelle en COMEX. Un état de gouvernance : l'IA est devenue un sujet de direction générale.

Productivité : ROI médian de 159 % sur les missions bien cadrées [3] — c'est ici qu'il se loge.
Cyber-risques : charte d'usage validée, politique de données documentée (classification, accès, conservation).
Dépendance : début d'orchestration multi-modèles selon l'usage et le coût — mais souvent encore mono-éditeur : point de vigilance.
CAPEX : budget IA ligné au P&L, ROI suivi, TCO émergent.
Gouvernance : 2 à 4 référents internes, comité IA trimestriel, registre des systèmes IA tenu, conformité à l'article 4 de l'AI Act (IA literacy, en vigueur depuis le 2 février 2025) [4].

Palier 4 — L'Architecte (2-3 % des PME)

« L'IA est-elle un avantage compétitif structurel ? »

L'IA n'est plus un projet : c'est un attribut de l'entreprise. Base de connaissance propriétaire (5-10 ans d'archives métier structurées), agents qui décident sous supervision sur des périmètres définis. L'avantage est structurel : un concurrent mettrait 18-24 mois à répliquer la capacité.

Productivité : process reconçus, agents en production, écart de temps difficilement rattrapable.
Cyber-risques : indicateurs de risque pilotés (hallucinations, biais, fuites), isolation explicite instructions/données, défense anti-injection [5].
Dépendance : LLM gateway = routage, logging et portabilité conçue — réduction du lock-in.
CAPEX : le FinOps de l'IA devient obligatoire ; sans gateway ni gouvernance budgétaire, les coûts dérapent. Cache, routage dynamique.
Gouvernance : registre AI Act tenu en temps réel (calendrier post-Digital Omnibus du 7 mai 2026), comité IA mensuel, ISO/IEC 42001 amorcée [6].

Palier 5 — Le Pionnier (<0,5 % des PME)

« Sommes-nous en train de définir le standard de notre secteur ? »

L'entreprise ne suit plus, elle est suivie. Workflows AI-first : les processus ont été reconçus autour des agents. Agents autonomes opérant sur des durées mesurées en heures puis en jours, sous supervision asynchrone. Le Pionnier n'est pas un grand groupe — c'est une PME/ETI qui a fait le choix précoce de l'intégration profonde.

Productivité : AI-first, l'IA est constitutive de la proposition de valeur ; publie ses propres benchmarks sectoriels.
Cyber-risques : surface maîtrisée de bout en bout ; les données sensibles ne quittent pas un périmètre choisi.
Dépendance : autonomie — capacité à opérer un modèle local pour les usages sensibles, avec repli cloud après sanitation. La dépendance aux infrastructures non-européennes et aux juridictions tierces (CLOUD Act) devient un choix, pas une contrainte subie.
CAPEX : FinOps IA mature ; un socle d'inférence local — de l'ordre de 5 k€ (mini-PC NVIDIA ou Mac Studio dimensionné pour faire tourner de gros modèles) — peut absorber une part d'OPEX cloud croissant sur les usages récurrents et sensibles.
Gouvernance : ISO/IEC 42001 certifiée, gouvernance pilotée comme un actif et auditable — la discipline devient un argument commercial.

C'est le palier que sert Junyr Agents™ (sur Junyr ERP, junyr.app) : des agents IA délégables, déclenchables et auditables par email via la couche Email Routing de Junyr Mail™ (messagerie eIDAS, valeur juridique européenne).

La règle d'or : aucun palier ne se saute

Un dirigeant ambitieux au palier Artisan voit une démo d'agents autonomes en conférence, rentre et lance un projet à 200 000 €. Six mois plus tard, il est arrêté — non par la technologie, mais par l'absence de fondations : données non structurées, utilisateurs non formés, gouvernance absente, aucun référent, indicateurs non définis. Dans 9 cas sur 10, ce projet échoue. C'est le « GenAI Divide » du MIT NANDA : 95 % des pilotes sans impact P&L [2], et la règle BCG 10-20-70 l'explique — technologie 10 %, infrastructure/données 20 %, personnes et processus 70 % [7].

Durées et budgets de transition (PME 50-500 salariés)

Passage	Durée	Budget indicatif
Spectateur → Artisan	3-6 mois	5-15 k€
Artisan → Orchestre	6-12 mois	30-80 k€
Orchestre → Architecte	12-24 mois	80-250 k€
Architecte → Pionnier	24-36 mois	investissement structurant, en partie hors P&L

Une transformation Spectateur → Architecte prend 3 à 4 ans. Les outils accélèrent ; les humains, les processus et les données suivent leur rythme propre.

Vous situer en 10 minutes — une question par axe

Productivité — Au moins un cas d'usage IA métier est-il en production avec ses indicateurs mesurés ?
Cyber-risques — Savez-vous quelles données vos équipes confient à quels outils, et sous quelles conditions ?
Dépendance — Si vous deviez changer d'éditeur demain, combien d'usages faudrait-il reconstruire ?
CAPEX — Avez-vous comparé le coût total de vos usages récurrents en cloud à une alternative locale ?
Gouvernance — Votre gouvernance IA est-elle documentée (charte, référent, conformité art. 4 de l'AI Act) ?

La grille complète d'auto-diagnostic en 12 points et le détail des paliers sont dans le livre blanc « Maturité IA des PME françaises 2025-2026 ».

Pour aller plus loin

Le Diagnostic IA Express — 60 minutes en visioconférence, sans engagement, livrable sous 7 jours : votre positionnement Méthode Junyr™ sur les 5 axes, trois cas d'usage prioritaires, une feuille de route à 90 jours.

👉 Réserver un Diagnostic IA Express

Paul-Antoine TUAL — AI Transformation Leader croissance-transitions.fr · paulantoinetual.fr · LinkedIn

Questions fréquentes

Pourquoi 5 paliers et plus 3 ? Parce que la maturité réelle se joue aussi en dessous de l'« Artisan » (le Spectateur, où ~50 % des PME se situent sans usage structuré) et au-dessus de l'« Architecte » (le Pionnier, qui définit le standard de son secteur). Les 5 paliers collent au terrain ; ils sont conformes aux frameworks golden standard 2025-2026 (Gartner 5 niveaux, Microsoft Agentic L100→L500, PwC AI-Native).

Pourquoi lire chaque palier sur 5 axes ? Parce qu'une PME peut être rapide en productivité mais exposée en cyber-risques et captive d'un éditeur. Votre palier réel est celui de votre axe le plus faible — c'est lui qui dicte le prochain chantier.

Faut-il un modèle local (Pionnier) pour être « mature » ? Non. Le modèle local est un levier de souveraineté et d'optimisation des CAPEX pour les usages sensibles et récurrents — pas une obligation. Beaucoup de PME créent énormément de valeur au palier Orchestre ou Architecte. Le bon palier est celui qui sert votre stratégie.

Par où commencer ? Par l'axe le plus faible du palier où vous êtes. C'est l'objet du Diagnostic IA Express : identifier ce chantier prioritaire et la feuille de route 90 jours.

SOURCES (vérifiables, mai 2026)

[1] Bpifrance Le Lab — Baromètre IA TPE-PME-ETI 2025 (55 % adoption GenAI fin 2025 ; 57 % sans stratégie). https://lelab.bpifrance.fr — juin 2025. [2] MIT Project NANDA — The GenAI Divide (95 % sans impact P&L ; >90 % Shadow IA ; 5 % ont traversé le pas). juillet 2025. [3] McKinsey — State of AI 2025 (ROI médian / valeur mesurée au niveau « piloté » ; 6 % high performers ; 21 % ont redesigné les workflows). mars 2025. Croisé Bpifrance Le Lab (15-20 % pilotage). [4] Règlement (UE) 2024/1689 « AI Act » — Article 4 (IA Literacy), en vigueur 2 février 2025 ; obligations haut risque 2027/2028 (post-Digital Omnibus 7 mai 2026). https://artificialintelligenceact.eu/article/4/ [5] Anthropic — Mitigating the risk of prompt injections (isolation instructions/données ; taux d'injections réussies fortement réduit sous nouveaux garde-fous). 2025. https://www.anthropic.com/news/prompt-injection-defenses [6] ISO/IEC 42001 — Système de management de l'IA (AIMS), publié décembre 2023. https://www.iso.org/standard/42001 [7] BCG — Unlocking Impact from AI (règle 10-20-70) ; RAND (>80 % d'échec) ; Gartner (60 % d'abandons d'ici fin 2026 faute de données AI-ready). 2024-2025. [8] Ordre de grandeur socle d'inférence local (~5 k€) — configuration mini-PC NVIDIA ou Mac Studio dimensionnée pour exécuter de gros modèles en local (usages sensibles/récurrents). Référence interne Croissance & Transitions ; cf. brief « 4 postures face au lock-in éditeurs ».

Cohérence vérifiée le 29 mai 2026 contre paulantoinetual.fr/methode et l'article canonique paulantoinetual.fr/blog/echelle-methode-junyr-cinq-niveaux-maturite-ia-pme. Nomenclature, pourcentages et durées de transition alignés. Angle différenciant (grille 5 axes) propre à cette version pour éviter le duplicate-content.

Cryptographie 2026 : transport, stockage, identités et transition post-quantique — le cadre de décision pour dirigeants et RSSI

La cryptographie n’est plus un sujet d’ingénieurs. C’est devenu une décision de direction. Trois évolutions de fond se rejoignent en 2026 — la transition post-quantique, l’industrialisation des attaques sur l’identité, et un cadre réglementaire européen qui se clarifie — et chacune appelle des arbitrages que seul un dirigeant peut trancher : quelles données protéger en priorité, quel niveau de souveraineté viser, à quel rythme moderniser.

La bonne nouvelle, c’est que les standards existent, le calendrier est connu, et la trajectoire est balisée par l’ANSSI, le NIST et les bonnes pratiques de l’industrie. Il n’y a pas d’urgence à paniquer ; il y a une méthode à appliquer. Cet article pose le cadre de décision en trois temps — les données en transit, les données au repos, les identités — puis le situe dans la grille de maturité de la Méthode Junyr™ pour vous permettre de décider où mettre l’effort cette année.

À retenir en une phrase. Le réflexe gagnant en 2026 n’est pas d’acheter un outil de plus, mais de structurer une crypto-agilité : la capacité à changer d’algorithme sans refondre le système d’information à chaque évolution.

1. La transition post-quantique : un calendrier, pas une alarme

1.1. Ce qui change, et pourquoi c’est gérable

La cryptographie asymétrique qui sécurise Internet (RSA, courbes elliptiques) repose sur des problèmes mathématiques qu’un ordinateur quantique suffisamment puissant — dit « cryptographiquement pertinent » (CRQC) — saurait résoudre rapidement grâce à l’algorithme de Shor. Ce CRQC n’existe pas encore. L’enjeu pour un dirigeant n’est donc pas la machine de demain, mais une pratique d’aujourd’hui à anticiper sereinement.

Cette pratique porte un nom : « Store-Now, Decrypt-Later » (SNDL), ou « récolter maintenant, déchiffrer plus tard ». Des acteurs disposant de moyens importants peuvent intercepter et conserver aujourd’hui des communications chiffrées (trafic TLS, tunnels VPN), dans l’idée de les déchiffrer une fois la puissance quantique disponible. La conséquence est simple et actionnable : toute donnée dont la confidentialité doit tenir plus de cinq à dix ans mérite d’être protégée dès maintenant par des mécanismes résistants au quantique.

C’est pourquoi la priorité va à la confidentialité (l’échange de clés) plutôt qu’à la signature : usurper une identité par signature exigerait un ordinateur quantique opérationnel en temps réel, alors que la donnée interceptée aujourd’hui, elle, attend tranquillement.

1.2. Des standards stables sur lesquels s’appuyer

En août 2024, le NIST a publié ses premiers standards finaux de cryptographie post-quantique. Ils ne reposent plus sur la factorisation mais sur des familles mathématiques différentes, conçues pour résister aux attaques classiques comme quantiques.

Standard	Origine	Nouveau nom	Fonction	Usage principal
FIPS 203	CRYSTALS-Kyber	ML-KEM	Échange de clés (KEM)	Confidentialité en transit, protection contre le SNDL
FIPS 204	CRYSTALS-Dilithium	ML-DSA	Signature numérique	Authentification serveurs, certificats, PKI
FIPS 205	SPHINCS+	SLH-DSA	Signature numérique	Solution de repli à ML-DSA, intégrité logicielle/firmware
SP 800-208	LMS / XMSS	LMS / XMSS	Signature à état	Mises à jour de firmware

Ces standards permettent aux éditeurs, aux systèmes d’exploitation et aux agences d’engager une intégration à grande échelle. Le terrain est balisé.

1.3. La doctrine de transition : l’hybridation, choix de prudence

Les algorithmes post-quantiques sont solides, mais récents : ils n’ont pas encore les décennies d’analyse qu’ont connues RSA ou les courbes elliptiques. Plutôt que de tout remplacer d’un coup, l’industrie et les agences européennes recommandent l’hybridation : combiner, le temps de la transition, un algorithme classique éprouvé (ECDH) avec un algorithme post-quantique (ML-KEM). Pour compromettre la session, un adversaire devrait casser les deux à la fois — l’un nécessitant un ordinateur quantique, l’autre y étant immunisé. C’est une approche de ceinture-et-bretelles, donc rassurante.

Les doctrines nationales divergent sur le tempo, ce qui a une implication concrète pour les entreprises internationales :

Agence	Pays	Posture sur l’hybridation
ANSSI	France	Exigée, stratégie de transition principale et immédiate
BSI	Allemagne	Fortement recommandée, alignée ANSSI / ENISA
NCSC	Royaume-Uni	Mesure transitoire ; préfère une transition directe à terme
NSA (CNSA 2.0)	États-Unis	Transition directe vers PQC pur pour les systèmes de sécurité nationale
CCCS	Canada	Neutre

La conséquence pratique : concevoir des architectures crypto-agiles, capables de négocier des modes hybrides en Europe (conformité ANSSI/BSI) tout en pouvant basculer sur des modes PQC purs ailleurs. C’est précisément la souplesse que vise la crypto-agilité.

2. Les données en transit : moderniser sans casser le réseau

Trois protocoles structurent le transport sécurisé : TLS (web, API), IPsec (interconnexions de sites, télétravail) et SSH (administration). Leur passage au post-quantique est surtout un sujet d’ingénierie réseau : les clés post-quantiques sont plus volumineuses, et certains équipements anciens tolèrent mal des paquets plus gros. Bonne nouvelle : les solutions sont connues et documentées.

2.1. TLS 1.3 et QUIC

TLS 1.3 représente plus de 93 % des connexions sécurisées et sert de fondation à QUIC (HTTP/3). La priorité est d’hybrider la phase d’établissement de clés, avec des configurations de type X25519MLKEM768. Point de vigilance : une clé hybride dépasse le kilo-octet (contre ~32 octets pour un échange classique), ce qui peut faire grossir le premier message (« ClientHello ») au-delà de la taille standard et provoquer des fragmentations mal gérées par d’anciens pare-feux ou équilibreurs de charge — un phénomène d’« ossification » du réseau.

L’action recommandée est simple : auditer la chaîne d’inspection réseau pour vérifier sa tolérance à ces paquets plus volumineux. Le mécanisme GREASE (intégré à TLS 1.3) aide déjà à éviter le figement des règles de filtrage. Pour les certificats X.509 hybrides, l’ANSSI recommande d’attendre la finalisation des standards IETF : la priorité reste la confidentialité, pas l’authentification.

2.2. IPsec et IKEv2

Le plan de données d’IPsec (ESP/AH, en AES-256-GCM) résiste bien au quantique. C’est la phase d’établissement, pilotée par IKEv2 sur UDP, qui demande une hybridation. Comme UDP gère mal les paquets très volumineux, l’ANSSI et l’IETF s’appuient sur une pile de standards désormais disponibles :

RFC 7383 — fragmentation au niveau IKE (évite la fragmentation IP aveugle) ;
RFC 9242 — échange intermédiaire (IKE_INTERMEDIATE) pour transporter de gros payloads de façon fiable ;
RFC 9370 — négociation de plusieurs échanges de clés (l’hybridation proprement dite), intégrée dans StrongSwan 6.0+ ;
RFC 8784 — clés pré-partagées post-quantiques (PPK), palliatif immédiat pour les systèmes fermés.

L’action concrète : mettre à jour les firmwares des concentrateurs VPN et pare-feux vers des versions supportant ces RFC. Sans cette mise à niveau, l’hybridation bloquerait l’établissement des tunnels — d’où l’importance de planifier ces mises à jour avant de basculer.

2.3. SSH

SSH est la porte d’entrée de l’administration. OpenSSH a été pionnier : dès la version 9.0, échange de clés hybride par défaut (X25519 + NTRU Prime) ; avec la 10.0, hybridation ML-KEM par défaut, alignée sur FIPS 203. L’action recommandée : passer le parc administrateurs à OpenSSH 10.0+. L’authentification des clés (utilisateurs et hôtes) reste classique faute de standard IETF finalisé ; en attendant, on automatise une rotation fréquente des clés (Vault, Ansible) et on segmente les réseaux d’administration.

2.4. Messagerie de groupe : le standard MLS

Pour les communications de groupe chiffrées de bout en bout (E2EE), l’approche historique (le « Double Ratchet » de Signal) passe mal à l’échelle : ajouter ou retirer un membre dans un groupe de n personnes coûte un effort proportionnel à n. L’IETF a publié en juillet 2023 le standard Messaging Layer Security (MLS, RFC 9420), qui réduit ce coût à un ordre logarithmique grâce à une structure en arbre (TreeKEM). MLS est déjà en production (Cisco Webex, RCS 2.0) et a été conçu pour intégrer nativement les futurs mécanismes post-quantiques — un bon repère pour choisir une plateforme de collaboration pérenne.

3. Les données au repos : la vraie question est celle des clés

Pour le stockage, l’algorithme de chiffrement n’est pas le sujet : l’AES-256 reste la norme et résiste au quantique. L’algorithme de Grover divise par deux la robustesse effective d’une clé symétrique — une AES-128 tomberait à un niveau vulnérable, tandis qu’une AES-256 conserve une marge de sécurité confortable. Le vrai enjeu se déplace vers la gestion des clés et la souveraineté.

3.1. Le chiffrement en enveloppe

Le cloud moderne repose sur une hiérarchie de clés : une DEK (clé de données, éphémère) chiffre les fichiers ; une KEK (clé maîtresse) chiffre la DEK. La DEK n’est jamais stockée en clair. Les KEK doivent être générées, gérées et stockées dans des HSM (modules de sécurité matériels) validés FIPS 140-3 niveau 3, via un service KMS. Toute opération de déchiffrement se fait dans la mémoire protégée du HSM.

3.2. Souveraineté : la question à trancher au niveau direction

Le risque n’est pas seulement criminel (rançongiciels visant les sauvegardes), il est aussi juridique. La CNIL, s’appuyant sur l’ANSSI, alerte : si le fournisseur de cloud détient à la fois les données et les clés maîtresses, il peut techniquement être contraint, par des législations à portée extraterritoriale (Cloud Act américain, section 702 du FISA, lois de renseignement de juridictions tierces), de fournir des données en clair. La souveraineté se raisonne donc en termes de juridiction et d’infrastructure, pas d’origine nationale supposée des menaces.

Trois niveaux de maîtrise des clés, à arbitrer selon la sensibilité des données :

Par défaut : le fournisseur gère tout. Simple, mais aucune protection contre une injonction extraterritoriale.
BYOK (Bring Your Own Key) : vous générez vos clés et les importez. Meilleur contrôle des rotations, mais le fournisseur garde un accès technique en mémoire lors du traitement.
HYOK / External KMS (« Approche 4 » de la CNIL) : vous conservez la maîtrise physique des KEK dans vos propres HSM (on-premise ou fournisseur souverain). C’est la seule option qui garantit une souveraineté cryptographique stricte ; elle est plus exigeante à intégrer. C’est aussi l’esprit du visa SecNumCloud de l’ANSSI.

3.3. Protéger l’intégrité des sauvegardes

Chiffrer ne suffit plus : les attaquants ciblent les sauvegardes pour les effacer ou les altérer. On s’appuie sur des fonctions de hachage robustes (SHA-384, SHA-512, famille SHA-3) et des mécanismes d’intégrité (MAC) pour garantir l’immuabilité de sauvegardes hors-ligne — la condition pour se relever sereinement d’une attaque.

4. Les identités : le mot de passe seul a fait son temps

C’est probablement le chantier au meilleur rapport effort/impact pour une PME en 2026.

4.1. Stocker les mots de passe correctement

En base de données, on ne stocke jamais un mot de passe en clair, et on bannit les hachages rapides (MD5, SHA-1), cassables par des fermes de GPU. La règle OWASP/ANSSI : utiliser des fonctions « memory-hard », gourmandes en mémoire vive, qui rendent l’attaque économiquement inintéressante.

Algorithme	Statut	Repère de configuration
Argon2id	Recommandé (standard de facto)	m = 19 MiB minimum, t = 2, p ajusté au serveur
scrypt	Bonne alternative	N = 2¹⁷ (≈128 MiB), r = 8
bcrypt	Hérité	Work factor > 10 ; attention à la troncature au-delà de 72 octets
PBKDF2	Toléré (conformité)	Non « memory-hard » : à éviter pour tout nouveau projet

On y ajoute systématiquement un sel (unique, contre les tables arc-en-ciel) et, en haute sécurité, un poivre (clé secrète globale stockée dans un HSM). Ces mécanismes sont résistants au quantique tant que la fonction de hachage sous-jacente est robuste.

4.2. Pourquoi le MFA « classique » ne protège plus

Le MFA par SMS, code temporaire (TOTP) ou notification push était considéré comme suffisant. Il ne l’est plus face aux attaques par procuration « Adversary-in-the-Middle » (AiTM), devenues industrielles.

Le principe, expliqué simplement : l’attaquant place entre vous et le vrai site un proxy transparent. Vous voyez la vraie page de connexion (relayée en temps réel), vous saisissez vos identifiants puis votre code MFA — et l’attaquant récupère au passage le jeton de session émis après validation. À partir de là, votre mot de passe n’a plus d’importance : l’attaquant détient une session légitime. Ces kits sont commercialisés « clés en main » (Phishing-as-a-Service), parfois combinés à du vishing (appel téléphonique d’un faux support, éventuellement assisté par voix synthétique). Un incident marquant de fin janvier 2026 a ainsi conduit, par cette méthode, au vol d’identifiants SSO et à l’exfiltration de bases CRM — sans qu’aucune formation à la vigilance n’aurait pu l’éviter.

Le constat est posé sans dramatiser : aucune méthode reposant sur la répétition humaine d’un secret ne résiste à une interception par proxy. La parade existe, elle est mathématique.

4.3. FIDO2 / passkeys : la parade par conception

Les passkeys (standard FIDO2 / WebAuthn) résolvent le problème par un principe appelé liaison d’origine (origin binding). À l’inscription, votre appareil génère une paire de clés propre au service ; la clé privée ne quitte jamais l’enclave sécurisée (TPM, Secure Enclave, clé matérielle type YubiKey). À la connexion, le navigateur vérifie lui-même le domaine exact et ne signe le défi que s’il correspond au domaine enregistré. Sur un faux site, la signature est refusée automatiquement : l’attaque échoue sans que l’utilisateur ait à juger de la validité de l’URL.

L’adoption a atteint une masse critique en 2026 : plus de 5 milliards de passkeys en usage, 68 % des organisations en déploiement. Des entreprises pionnières (Cloudflare, Snap) rapportent zéro compromission par hameçonnage après bascule complète et désactivation des méthodes de repli vulnérables.

5. Le cadre réglementaire européen : un horizon qui se clarifie

Deux dossiers européens méritent l’attention des dirigeants, non pour inquiéter mais pour anticiper.

eIDAS 2.0 (article 45 / QWAC). Le règlement crée un portefeuille d’identité numérique européen — une avancée utile. Une disposition technique fait débat : l’obligation faite aux navigateurs d’intégrer certaines autorités de certification adoubées par les États (QWAC) sans pouvoir les retirer librement. Les éditeurs de navigateurs, des cryptographes et des organisations de défense des libertés numériques (EFF, Internet Society) alertent sur le fait que cela pourrait ralentir la réponse à incident (révocation d’une autorité compromise) et créer un précédent susceptible d’être invoqué par d’autres juridictions aux garde-fous démocratiques plus faibles, alimentant la fragmentation d’Internet. Action dirigeant : pour les applications critiques, mettre en place du certificate pinning et surveiller la Certificate Transparency.

« Chat Control » et le chiffrement de bout en bout. La proposition visant à analyser préventivement les messageries pour lutter contre les contenus pédocriminels a buté sur une impossibilité technique : analyser des messages chiffrés de bout en bout supposerait un « client-side scanning » (analyse sur l’appareil avant chiffrement), qui revient à affaiblir le chiffrement pour tout le monde et fragilise le secret professionnel (avocats, médecins, journalistes). Fin 2025–début 2026, sous l’impulsion du Danemark, le Conseil de l’UE a fait évoluer le texte pour exclure l’obligation de détection forcée sur les espaces E2EE — une clarification bienvenue. Le dossier entre en phase de trilogues ; la vigilance reste de mise, mais la direction est rassurante.

6. Où mettre l’effort en 2026 : la lecture par la Méthode Junyr™

Tout ne se fait pas en même temps. La Méthode Junyr™ distingue trois niveaux de maturité — Artisan, Orchestre, Architecte — qui donnent un ordre de marche clair et tenable. Voici comment la cryptographie s’y inscrit :

Niveau Artisan — sécuriser les fondations (0–6 mois). Les gestes à fort impact, faibles en complexité : généraliser les passkeys / FIDO2 pour les comptes à privilèges (direction, IT, finance) et désactiver les méthodes MFA de repli vulnérables ; vérifier que le stockage des mots de passe utilise Argon2id ; confirmer que tout le chiffrement au repos est en AES-256. C’est ici que se gagne l’essentiel de la résilience, vite.

Niveau Orchestre — structurer la crypto-agilité (6–18 mois). Cartographier les flux chiffrés et les certificats (inventaire cryptographique), activer l’hybridation TLS 1.3 sur les services exposés, planifier les mises à jour réseau (IPsec/IKEv2, OpenSSH 10.0+), et arbitrer le niveau de souveraineté des clés (BYOK vs HYOK) selon la sensibilité des données. L’objectif : pouvoir changer d’algorithme sans tout refondre.

Niveau Architecte — piloter par la donnée et la durée (18 mois et au-delà). Classer les données par durée de confidentialité requise et prioriser la protection post-quantique des plus longues (logique SNDL) ; intégrer une architecture External KMS / HYOK souveraine ; choisir des plateformes de collaboration bâties sur des standards pérennes (MLS) ; intégrer la veille réglementaire (eIDAS, E2EE) à la gouvernance.

Cette progression évite deux écueils : l’attentisme (« on verra quand le quantique arrivera ») et la précipitation coûteuse (« on remplace tout »). Pour les organisations qui souhaitent déléguer une partie de cette orchestration — inventaire, surveillance des certificats, rotation des clés — Junyr Agents™ peut automatiser les tâches répétitives sous supervision, dans une logique de méthode plutôt que d’empilement d’outils.

Conclusion

La cryptographie a changé de statut : elle conditionne désormais la confiance numérique d’une organisation autant que sa conformité. Mais le tableau de 2026 n’est pas celui d’une menace insurmontable — c’est celui d’une trajectoire balisée : des standards stables (NIST, ANSSI), une doctrine prudente (l’hybridation), des parades éprouvées (FIDO2), et un cadre européen qui se clarifie. Le travail du dirigeant n’est pas de tout faire d’un coup, mais de structurer la crypto-agilité et de mettre l’effort au bon endroit, dans le bon ordre. C’est tenable, et c’est même un avantage compétitif pour qui s’y prend méthodiquement.

Pour situer votre organisation sur l’échelle de maturité et bâtir votre feuille de route : Diagnostic IA & Sécurité Express — croissance-transitions.fr.

SOURCES — liens directs vérifiés (audit 29 mai 2026)

37 références (doublon R Street fusionné ; source AiTM remplacée par une source au titre conforme). Tous les liens vérifiés le 29 mai 2026.

Post-quantique — standards et transition 1. NIST — NIST Releases First 3 Finalized Post-Quantum Encryption Standards 2. NIST CSRC — Post-Quantum Cryptography 3. Akamai — A Guide to International Post-Quantum Cryptography Standards 4. Akamai — Post-Quantum Cryptography Implementation Considerations in TLS 5. Palo Alto Networks — A Complete Guide to Post-Quantum Cryptography Standards 6. ANSSI — Follow-up position paper on Post-Quantum Cryptography (addendum 2023)

Transport (TLS, QUIC, IPsec, SSH) 7. ANSSI — Transition post-quantique du protocole TLS 1.3 8. ANSSI — Transition post-quantique de SSHv2 (PDF) 9. ANSSI — Transition post-quantique du protocole IPsec 10. DataGuidance — France: ANSSI releases guide on Post-Quantum Transition of IPsec 11. blog.ogwilliam.com — Concrete Technical Steps for Post-Quantum TLS, SSH, and IPsec 12. AWS Security Blog — Enable post-quantum key exchange in QUIC with the s2n-quic library 13. Cloudflare Blog — The state of the post-quantum Internet

Messagerie de groupe / MLS 14. IETF Datatracker — RFC 9420 — The Messaging Layer Security (MLS) Protocol 15. Feisty Duck — RFC 9420: Messaging Layer Security 16. Gopher Security — Understanding Messaging Layer Security 17. YouTube (37C3) — RFC 9420 or how to scale end-to-end encryption with Messaging Layer Security

Stockage, KMS, souveraineté cloud 18. Google Cloud — Envelope encryption / Chiffrement encapsulé (Cloud KMS) 19. AWS — Protection des données dans AWS Key Management Service 20. Entrust — Quelles sont les meilleures stratégies de gestion des clés d’entreprise ? 21. CERT-FR (ANSSI) — Secteur du cloud — État de la menace informatique (CERTFR-2025-CTI-001) 22. CNIL — Les pratiques de chiffrement dans l’informatique en nuage (cloud) public 23. ANSSI — Recommandations de déploiement d’un service IaaS OpenStack SecNumCloud (ANSSI-BP-104)

Hachage de mots de passe 24. OWASP — Password Storage Cheat Sheet 25. ANSSI / MonServiceSécurisé — Protéger les mots de passe stockés sur le service 26. ANSSI — Guide des mécanismes cryptographiques : règles et recommandations (ANSSI-PG-083)

AiTM, MFA, FIDO2 / passkeys 27. The Hacker News — How AitM Phishing Attacks Bypass MFA and EDR — and How to Fight Back 28. Luxgap — Okta/SSO hit by vishing: how FIDO2 blocks MFA bypass 29. WorkOS — Passkeys stop phishing. Your MFA fallbacks undo it. 30. FIDO Alliance — The State of Passkeys 2026: Global Consumer and Workforce Report

eIDAS 2.0 31. EFF — eIDAS 2.0 Sets a Dangerous Precedent for Web Security 32. R Street Institute — Cybersecurity Score — European Union Electronic Identification, Authentication, and Trust Services (eIDAS 2.0)

Chat Control / E2EE 33. European Newsroom — Privacy vs. child protection: EU’s “chat control” plans split member states 34. EFF — EU Parliament Blocks Mass-Scanning of Our Chats — What’s Next? 35. EFF — After Years of Controversy, the EU’s Chat Control Nears Its Final Hurdle: What to Know 36. EDRi — Chat Control is in the final stretch – but it could be a marathon, not a sprint 37. Tech Policy Press — How Europe’s “Chat Control” Regulation Could Compromise American Communications

mardi 19 mai 2026

La fin du prompt engineering : pourquoi vos équipes doivent cesser de parler à l’IA et commencer à la commander

Par Paul-Antoine TUAL — AI Transformation Leader, Croissance et Transitions — Mise à jour 19 mai 2026.

Le malentendu fondateur

Le 30 novembre 2022, OpenAI lance ChatGPT. L’interface ressemble à une messagerie. On y écrit comme on écrirait à un collègue. La machine répond avec une politesse étonnante, des nuances, parfois de l’humour. Et un mot s’installe dans le vocabulaire des entreprises : prompt. On apprend à « bien parler à l’IA ». On forme des équipes à « la requête parfaite ». On nomme un poste : prompt engineer.

Trois ans et demi plus tard, en mai 2026, ce mot a fait son temps. Pas parce que l’intelligence artificielle a déçu — elle n’a jamais été plus performante. Mais parce que l’analogie qui l’a porté — parler à l’IA comme à un humain — était une illusion d’interface, pas une vérité technique. Andrej Karpathy, ancien directeur de l’IA chez Tesla et figure tutélaire du domaine, l’a écrit publiquement dès juin 2025 sur X : il préfère désormais le terme context engineering à prompt engineering, parce que « prompt fait penser à une courte description de tâche, alors que dans toute application LLM industrielle, ce qui compte est l’art délicat de remplir la fenêtre de contexte avec exactement la bonne information pour l’étape suivante » [1]. Tobi Lütke, dirigeant de Shopify, a soutenu le même mouvement [2]. Gartner a publié à l’été 2025 une note dont le titre résume la bascule : Lead the Shift to Context Engineering as Prompt Engineering Fades [3].

Ce texte tient en une thèse simple. Un grand modèle de langage n’est pas un humain. Il n’a pas d’intuition, pas de bonne volonté, pas de mémoire de la conversation précédente sauf si on la lui réinjecte. Il fait une chose, et une seule : il calcule, à chaque pas, le prochain token le plus probable étant donné tous les tokens qui le précèdent. Lui « parler » comme à un humain est une convention culturelle utile pour le grand public ; en entreprise, c’est une erreur stratégique. La bonne manière de l’instruire, en 2026, est celle qu’on adopte avec n’importe quel ordinateur de bureau : des instructions claires, explicites, structurées. Et la forme la plus adaptée pour porter ces instructions, sur les modèles dominants du marché — Claude (Anthropic), GPT-5 (OpenAI), Gemini (Google) — est le balisage structuré : XML, JSON ou délimiteurs explicites selon le modèle et la tâche.

Ce n’est pas une opinion. C’est ce que recommandent les éditeurs eux-mêmes dans leur documentation officielle. C’est ce que mesurent les benchmarks indépendants. C’est ce que pratiquent, sans le formaliser, toutes les équipes qui mettent l’IA en production. Et c’est, pour une PME française qui veut tirer une valeur réelle de ses outils d’IA en 2026, le levier le plus mal compris du marché.

Ce qu’est vraiment un LLM, pour un dirigeant qui n’a pas le temps de lire un papier de recherche

Pour comprendre pourquoi l’analogie « parler à un humain » est trompeuse, il suffit d’ouvrir le capot. Pas de mathématiques. Trois mécanismes suffisent.

Le tokenizer. Avant qu’un modèle ne « lise » votre phrase, un programme déterministe la découpe en petits morceaux appelés tokens. Un token n’est ni un mot, ni une syllabe, ni un caractère. C’est une unité statistique apprise sur des milliards de pages de texte. Chaque token reçoit un numéro d’identifiant unique dans un vocabulaire de l’ordre de 100 000 à 200 000 entrées [4]. Quand vous écrivez « Rédige un compte rendu de réunion », la machine ne voit pas votre phrase : elle voit une suite de numéros.

Le transformer. C’est l’architecture neuronale qui s’est imposée depuis 2017. Sa caractéristique : il prend en entrée la suite des tokens, et il produit en sortie une seule chose — une distribution de probabilité sur le prochain token. Le modèle ne « comprend » pas votre question. Il calcule : étant donné cette séquence de numéros, quel est le numéro suivant le plus probable ? Puis il choisit. Puis il recommence. Mot par mot — token par token — il génère sa réponse [5].

L’attention. À chaque pas, chaque token « regarde » les autres tokens de la séquence et calcule combien il doit s’appuyer sur chacun. Quand un modèle traite le mot « avocat » dans « le client a consulté son avocat », l’attention pondère davantage les tokens « client » et « consulté » que « le ». C’est aussi pourquoi le format de l’entrée compte autant que son contenu [6, 7].

Une nuance importante mérite d’être posée ici, parce qu’elle conditionne directement la pratique : l’attention d’un modèle ne traite pas tous les emplacements de votre prompt à valeur égale. Un phénomène désormais bien documenté, parfois appelé context rot ou lost in the middle, montre que les transformeurs privilégient massivement le début de la requête (effet de primauté) et la fin du texte soumis (effet de récence). Une information cruciale enfouie au milieu d’une longue requête narrative voit sa probabilité d’être correctement prise en compte chuter de plus de 30 %, et sur des tâches analytiques complexes sollicitant le maximum de la fenêtre de contexte, jusqu’à 99 % de la fiabilité utile peut se perdre [26]. Conclusion pratique : plus le prompt est long et non balisé, plus l’attention s’égare. Le balisage explicite n’est pas une affectation typographique — c’est une carte que vous donnez au mécanisme d’attention pour qu’il ne se perde pas.

Voilà, en trois mécanismes, ce qu’est un LLM : un découpeur statistique, un prédicteur probabiliste, un orchestrateur d’attention. Aucun n’est anthropomorphe. Aucun ne « comprend » au sens humain du terme. Le débat académique sur ce point reste ouvert [8, 9]. Mais pour un dirigeant de PME qui doit décider comment former ses équipes, la conclusion pratique est nette : la machine répond mieux à ce qui ressemble à des instructions de programme qu’à ce qui ressemble à une conversation de café.

Pourquoi l’interface chat a faussé le débat

L’erreur d’analogie est née de l’interface, pas de la technologie. Avant ChatGPT, les modèles de langage étaient des API consommées par des développeurs, dans des scripts, avec des entrées formatées. En novembre 2022, OpenAI a fait deux choix de produit qui ont changé la perception collective : la fenêtre de chat, et le ton « assistant serviable ». Le premier crée l’attente d’une conversation. Le second crée l’illusion d’une intention.

La littérature en sciences cognitives décrit ce phénomène sous le terme d’anthropomorphisme. Les interfaces conversationnelles renforcent ce biais par la simulation du tour de parole, les délais de réponse artificiels, et le vocabulaire à la première personne (« je pense que… ») [10, 11]. Une revue récente parle d’« épée à double tranchant » : l’anthropomorphisme facilite l’adoption, mais il masque les différences cruciales entre humains et LLM, ce qui conduit à une sur-confiance dans les réponses et une mauvaise calibration des usages en entreprise [11].

Pour une PME, ce biais a un coût concret. Quand un dirigeant croit qu’il faut « bien parler à ChatGPT », il oriente ses formations vers la rhétorique de la requête : tournure polie, exemple d’« acte comme si tu étais un expert », promesses de récompense. Une partie de ces recettes a circulé massivement sur LinkedIn entre 2023 et 2025. Les études récentes montrent que la plupart n’apportent aucun gain mesurable de précision, et que certaines dégradent les performances [12].

Le tournant 2025-2026 : du « prompt » à l’« instruction »

Ce qui change en 2025-2026, c’est que les éditeurs eux-mêmes formalisent l’autre voie. Trois signaux convergent — et il faut les inscrire dans un cadre plus large. Le rapport DORA 2025 (Google Cloud), qui s’appuie sur près de 5 000 réponses de professionnels tech et plus de 100 heures d’entretiens qualitatifs, met en évidence une dissonance significative : alors que ~ 90 % des développeurs déclarent utiliser une forme d’assistance IA et que 80 % considèrent qu’elle augmente leur productivité individuelle, les indicateurs organisationnels de livraison restent souvent plats — gain individuel sans gain collectif systématique [27]. L’écart entre adoption et productivité réelle au niveau de l’organisation est l’indicateur le plus clair du problème de méthode.

Anthropic. La documentation officielle de Claude recommande explicitement l’usage de balises XML pour structurer les prompts. Le wording est sans équivoque : « Claude a été spécifiquement entraîné à prêter une attention particulière à votre structure » [13]. Le guide cite des cas d’usage : <instructions>, <context>, <documents> enveloppant chaque <document> indexé, <examples>, <thinking> et <answer> pour distinguer le raisonnement de la réponse.

OpenAI. Le guide GPT-5 est explicite : « GPT-5 interprète les prompts de manière littérale et exhaustive », et recommande « des spécifications XML structurées comme <[instruction]_spec> » pour améliorer le suivi d’instructions [14, 15]. Le modèle est tuné pour la précision : il fera exactement ce qui est écrit, sans interprétation libérale. Cela rend les instructions ambiguës plus coûteuses en hallucinations qu’auparavant.

Google. Le Prompting Guide officiel de Gemini fait la même recommandation : encadrer les instructions, les exemples et le contenu de référence par des balises ou des séparateurs explicites, parce que le modèle utilise ces frontières pour activer son attention sur la bonne portion du contexte [16].

Au-delà des éditeurs, la recherche académique a produit en 2024-2025 plusieurs travaux qui consolident ce constat. StructEval (arXiv 2505.20139, 2025) propose un benchmark complet de la capacité des LLM à produire des sorties structurées : les modèles de pointe atteignent en moyenne 75/100, et la qualité varie fortement selon le format demandé, ce qui implique que la spécification du format dans le prompt est un levier de performance à part entière [17]. Meaning Typed Prompting (arXiv 2410.18146, 2024) montre qu’une spécification typée et structurée des sorties améliore la fiabilité et réduit le coût d’inférence [18]. XML Prompting as Grammar-Constrained Interaction (arXiv 2509.08182, 2025) propose un cadre théorique : le balisage XML agit comme une contrainte de grammaire qui réduit l’espace des sorties possibles, et donc la variance — une démonstration formelle qu’un prompt structuré n’est pas un caprice esthétique, c’est une réduction d’entropie [19].

Côté gains chiffrés, plusieurs sources convergent — et il faut les nuancer pour éviter les sur-extrapolations. Les communications d’Anthropic et les analyses de praticiens rapportent qu’un balisage XML bien posé peut réduire les hallucinations jusqu’à 40 % sur certaines tâches [13]. Une étude publiée en 2025 dans npj Digital Medicine (PMC11039454) sur l’interprétation de guidelines hépatologiques (hépatite C) documente un saut d’exactitude de 43,0 % (GPT-4 Turbo seul) à 99,0 % avec un cadre RAG combiné à du prompt engineering structuré [20] — un résultat fort, mais propre à ce cas d’usage clinique précis ; la généralisation à toute tâche d’entreprise est à faire avec prudence. Sur la dimension sécurité, Anthropic publie fin 2025 que Claude Opus 4.5 réduit à ~1,4 % le taux d’injections de prompt réussies dans son benchmark d’agent navigateur sous nouveaux safeguards, contre ~10,8 % pour Claude Sonnet 4.5 sous anciens safeguards [21] — l’isolation par balisage entre instructions et données fait partie des défenses.

Le contre-argument honnête : quand le balisage n’est pas la réponse

Il faut le dire clairement : le balisage XML n’est pas une formule magique applicable partout. La rigueur intellectuelle impose de présenter le contre-argument tel qu’il existe dans la littérature.

Un benchmark publié en mai 2026 par Manish Ramavat a comparé, sur Claude Sonnet 4.5, des prompts d’extraction de 150 tokens en deux versions : prose plate et prose balisée XML. Résultat : la version XML coûte 31 % de tokens d’entrée en plus pour un écart d’exactitude négligeable de −1,2 point de pourcentage [22]. À 10 000 appels par jour avec ce type de prompt, l’overhead XML représente environ 515 $/an gaspillés sur Sonnet 4.5.

La conclusion du même auteur mérite d’être lue dans son entier : « Si vos prompts sont longs, complexes, multi-sections, ou traitent des entrées non fiables — utilisez XML. S’ils sont courts, clairs et templatés — passez-vous-en. » Wrapper un document de 10 000 tokens dans des balises XML coûte 4 tokens supplémentaires, mais permet à l’attention d’isoler proprement le document des instructions. Le rapport bénéfice/coût bascule donc en faveur du balisage dès que le contexte se complexifie.

Simon Willison, l’un des praticiens les plus suivis sur ces sujets, fait la même observation à un niveau plus large. Son étude récente (9 649 expériences sur 11 modèles et 4 formats — YAML, Markdown, JSON, TOON) montre qu’aucun format ne domine universellement, et que la familiarité du modèle avec le format compte autant que la structure elle-même : le format ultra-compact TOON, peu présent dans les corpus d’entraînement, fait paradoxalement perdre des tokens parce que le modèle « hésite » à le suivre [23].

La règle opérationnelle qui en sort, et qu’il faut tenir en tête, est donc nuancée : le balisage structuré s’impose dès que la tâche est complexe, le contexte étendu, les sources multiples, ou les entrées potentiellement non fiables. Sur les usages simples — résumer un courriel, reformuler un paragraphe — la prose claire suffit. Mais en entreprise, peu d’usages restent simples une fois passée la phase d’exploration.

Et si les modèles 2026 étaient devenus assez bons pour comprendre le langage naturel sans XML ?

C’est l’objection la plus légitime qu’un dirigeant peut formuler, et elle mérite une réponse directe. Oui, Claude Opus 4.7, GPT-5.5 et Gemini 3.1 Pro comprennent infiniment mieux le langage naturel que leurs prédécesseurs de 2023. Un prompt en prose libre, sur un cas simple, donnera très souvent une bonne réponse au premier essai.

Mais trois forces font que la discipline d’instruction structurée reste pertinente — et le devient même davantage avec ces modèles.

Premièrement, l’interprétation plus littérale. Les guides officiels GPT-5 et GPT-5.5 d’OpenAI le disent explicitement : ces modèles interprètent les prompts de manière « littérale et exhaustive ». Une instruction floue ne sera plus « adoucie » par le modèle ; elle sera exécutée à la lettre.

Deuxièmement, l’enjeu n’est plus une requête réussie, ce sont 10 000 requêtes reproductibles. En exploration solo, un prompt en prose libre marche neuf fois sur dix. En production, sur 10 000 appels par jour, le 10 % d’écart représente 1 000 sorties non conformes par jour — inacceptable pour un processus métier.

Troisièmement, le balisage structure aussi la pensée humaine. Une équipe qui ne sait pas formuler les quatre zones « rôle / contexte / instructions / format de sortie » ne sait pas non plus formuler clairement sa demande métier. La rigueur du format révèle la rigueur de la pensée.

Cela dit, le verdict d’ici 24 à 36 mois bougera. Si la prochaine génération de modèles internalise une compréhension native des intentions floues, la frontière se déplacera. La règle prudente : d’ici 18-24 mois, le balisage structuré est le standard ; au-delà, à rééval.

Pourquoi cela change tout pour une PME en 2026

Si la bonne pratique en 2026 n’est plus de « bien parler à l’IA » mais de la commander avec des instructions structurées, plusieurs décisions de dirigeant en découlent.

Premièrement, sur la formation des équipes. Une étude française de 2026 rapporte que moins de 12 % des salariés ont reçu une formation structurée au prompting, et que ceux qui en bénéficient produisent des résultats environ 40 % plus précis [24]. Mais la qualité de la formation compte plus que son existence. Une formation qui apprend à écrire de longues phrases polies, à promettre des récompenses, à « jouer un rôle » au modèle, sera obsolète en six mois. Une formation qui apprend à spécifier une tâche, structurer une consigne, baliser un contexte, définir un format de sortie est durable.

Deuxièmement, sur les gabarits de prompts utilisés en production. La pratique professionnelle en 2026 consiste à construire des bibliothèques de gabarits XML versionnés, partagés entre équipes, testés sur des jeux d’évaluation, audités lors des mises à jour de modèle. Cela ressemble beaucoup plus à de la gestion de code source qu’à de la rédaction.

Troisièmement, sur la gouvernance des agents autonomes. L’enjeu monte d’un cran dès que l’IA n’est plus consultée mais déléguée. Un agent autonome — qui appelle des outils, écrit des fichiers, envoie des emails — exécute un flot d’instructions composées en chaîne. Si les instructions sont conversationnelles, le moindre flou ouvre la porte à des comportements aberrants. Si elles sont structurées et balisées, l’agent reste sur ses rails [25].

Quatrièmement, sur le rapport au fournisseur. Une PME qui maîtrise la spécification structurée de ses tâches est moins captive du modèle. Un gabarit XML correctement écrit s’exécute, avec quelques ajustements, sur Claude, sur GPT-5, sur Gemini, voire sur des modèles locaux open source. La portabilité est un avantage stratégique sous-estimé.

Trois questions à poser dès cette semaine

Pour un dirigeant de PME qui lit cet article, voici les trois questions qui transforment le constat en action immédiate, à poser à votre DSI, votre référent IA ou votre prestataire :

Avez-vous un inventaire des prompts critiques actuellement utilisés en production, et qui en est nommément responsable ? Si la réponse est « non » ou « tout le monde », il y a une dette de gouvernance prompt à ouvrir.
À quand remonte le dernier test de non-régression sur les sorties de votre IA — c’est-à-dire la vérification, sur un jeu standardisé d’exemples, que les réponses restent conformes après une mise à jour de modèle ou de prompt ? Si la réponse est « jamais », vous êtes exposé aux dérives silencieuses.
Si vous deviez migrer demain de Claude à GPT-5 ou inversement, combien de prompts de votre catalogue interne devriez-vous réécrire intégralement ? Si la réponse est « tous » ou « on ne sait pas », votre portabilité est faible.

Ces trois questions ne demandent ni outil ni budget. Elles révèlent le niveau de maturité IA réelle de l’organisation, indépendamment du nombre d’outils déployés.

Ce que recommande la Méthode Junyr™

La Méthode Junyr™ — méthodologie propriétaire de Croissance et Transitions, articulée autour de cinq niveaux de maturité IA — traite cette question dans le cadre de son niveau 2 (Industrialisation des cas d’usage) et son niveau 3 (Gouvernance opérationnelle). Trois pratiques sont posées comme socle.

1. Un gabarit minimum standardisé. Pour tout usage d’IA en production, on rédige le prompt en distinguant explicitement quatre zones : le rôle et la tâche, le contexte de référence, les instructions de méthode, le format de sortie attendu :

<role>Tu es un analyste senior chargé de…</role>
<contexte>
  <document index="1">…</document>
  <document index="2">…</document>
</contexte>
<instructions>
  1. Vérifie d'abord la cohérence entre les documents
  2. Identifie les points de divergence
  3. Propose une synthèse en …
</instructions>
<format_sortie>
  Réponse en français, structurée en trois sections,
  avec citations [n] référencées aux documents.
</format_sortie>

Cette structure tient en quelques dizaines de tokens supplémentaires. Sur un prompt long, elle est largement amortie. Sur un prompt court, on l’allège : c’est la règle 80/20 du balisage.

2. Une bibliothèque de gabarits versionnés. Les prompts critiques sont stockés dans un dépôt versionné, avec leurs jeux de tests, leur historique de modifications, leur responsable nommé. C’est la discipline du code applicatif. Cette bibliothèque s’organise autour d’une structure simple, parfois codifiée sous l’acronyme CARE : Contexte, Action attendue, Résultat, End-goal. Quatre processus de création coexistent en entreprise : pilotage par les experts métiers (SME-Driven) pour les usages juridiques et financiers ; participation ouverte (Crowdsourcing) pour les cas créatifs ; génération assistée par IA puis filtrage humain (AI-Generated) pour l’optimisation massive ; structuration par rôle (Role-Based) pour standardiser un département entier [28].

3. Un cadre de délégation pour les agents. Junyr Agents™, le produit phare de la suite Junyr opéré sur junyr.app, incarne cette discipline — délégation d’agents IA opérables, déclenchables et auditables par email via la couche Email Routing de Junyr Mail™. Chaque agent est défini par un gabarit d’instructions XML, ses outils sont limités à un périmètre explicite, ses sorties sont contraintes à un schéma.

Conclusion : commander, pas converser

L’industrie est en train de tourner une page. Le mot prompt survivra encore quelques années dans le vocabulaire courant. Mais en entreprise, en 2026, la pratique professionnelle s’aligne sur une discipline plus rigoureuse : on ne parle pas à l’IA, on la commande. Avec des instructions explicites, des contextes balisés, des formats de sortie spécifiés, des gabarits versionnés, et une gouvernance documentée. Le balisage structuré (XML, JSON ou délimiteurs explicites) est le standard de fait sur lequel les trois grands éditeurs convergent.

Pour une PME française qui veut tirer une valeur réelle de ses outils d’IA cette année, le levier le plus structurant n’est pas un meilleur modèle. C’est une discipline d’instruction. La fenêtre 2026 reste ouverte : 18 à 24 mois pour basculer d’une IA utilisée à une IA architecturée. Ce qui se joue n’est ni la peur ni l’urgence ; c’est la maîtrise. Et la maîtrise, comme toujours, commence par changer le bon mot — ici, remplacer parler par commander.

Questions fréquentes

Le prompt engineering est-il vraiment mort ?
Non. Le mot survit dans le vocabulaire courant et dans certaines fiches de poste. Mais la pratique professionnelle a basculé : on parle désormais d’« ingénierie du contexte » (context engineering) — englobant le balisage structuré, la gestion du contexte, la conception des gabarits et la gouvernance des prompts. Le « prompt engineering » au sens étroit cède la place à une discipline d’orchestration.

Faut-il vraiment utiliser XML partout ?
Non. La règle nuancée est : utilisez le balisage structuré (XML, JSON ou délimiteurs explicites) dès que la tâche est complexe, le contexte étendu, les sources multiples, ou les entrées potentiellement non fiables. Pour les usages simples, la prose claire suffit. Le benchmark Ramavat de mai 2026 documente que sur prompts courts (≈ 150 tokens), le balisage XML peut être un overhead inutile.

Quelle est la différence entre prompt engineering et context engineering ?
Le prompt engineering se concentre sur la formulation d’une requête donnée à un instant donné. Le context engineering englobe l’ensemble du remplissage de la fenêtre de contexte : description de tâche, exemples few-shot, résultats de récupération (RAG), données multimodales, outils disponibles, état, historique.

Mon équipe est non-tech. Faut-il les former à écrire du XML ?
Pas directement. Vous formez plutôt à spécifier une tâche, structurer une consigne, baliser un contexte, définir un format de sortie. Les gabarits XML sont ensuite portés par un référent IA, un développeur ou un consultant, et les équipes les remplissent, ne les rédigent pas à chaque fois.

Le balisage XML va-t-il vieillir avec les modèles 2027 ?
Probablement, en partie. Si les modèles internalisent davantage la compréhension des intentions floues, la frontière entre prose claire et balisage strict se déplacera. D’ici 18-24 mois, le balisage structuré est le standard ; au-delà, à rééval. Le bénéfice durable n’est pas l’XML en soi, c’est la discipline de spécification.

Le balisage XML remplace-t-il le RAG, le fine-tuning ou les system prompts ?
Non. Ils sont complémentaires. Le RAG injecte les données privées de l’entreprise dans le contexte ; le balisage XML les sépare proprement des instructions. Le fine-tuning ajuste le modèle ; le balisage structure l’instruction. Les system prompts modernes sont eux-mêmes du balisage structuré déguisé.

Pour aller plus loin

Audit Méthode Junyr™ — Diagnostic IA Express : 90 minutes de visio pour évaluer votre niveau de maturité actuel — croissance-transitions.fr
Junyr Agents™ : délégation d’agents IA pour PME, opérables et auditables par email — junyr.app
Junyr Mail™ : messagerie professionnelle eIDAS — junyr-mail.com

Sources

Andrej Karpathy, X, 25 juin 2025 — « +1 for "context engineering" over "prompt engineering" ». x.com/karpathy
Addy Osmani, « Context Engineering: Bringing Engineering Discipline to Prompts », Substack, 2025. addyo.substack.com
Gartner, Lead the Shift to Context Engineering as Prompt Engineering Fades (Report ID 6781234), 28 juillet 2025. gartner.com
« LLM Fundamentals — Tokens, Attention & Transformers (2026) », MyEngineeringPath. myengineeringpath.dev
« How LLMs Work », tutorialQ. tutorialq.com
« What is an attention mechanism? », IBM. ibm.com
Sebastian Raschka, « A Visual Guide to Attention Variants ». magazine.sebastianraschka.com
arXiv 2503.08980, 2025. arxiv.org/abs/2503.08980
Grzankowski, A., arXiv 2408.04666, 2024. arxiv.org/abs/2408.04666
So, J. et al., « Beyond Anthropomorphism: a Spectrum of Interface Metaphors for LLMs », arXiv 2603.04613, 4 mars 2026. arxiv.org/abs/2603.04613
« The Double-Edged Sword of Anthropomorphism in LLMs », PMC. pmc.ncbi.nlm.nih.gov
« The $380 Million Prompt Engineering Lie », Towards AI, 2025. pub.towardsai.net
Anthropic, « Use XML Tags to Structure Your Prompts », documentation officielle Claude. platform.claude.com
OpenAI, GPT-5 Prompting Guide. developers.openai.com
OpenAI, Prompt Guidance. developers.openai.com
Google, Prompting Guide for Gemini API. ai.google.dev
StructEval, arXiv 2505.20139, 2025. arxiv.org/abs/2505.20139
Meaning Typed Prompting, arXiv 2410.18146, 2024. arxiv.org/abs/2410.18146
Alpay F. & Alpay T., « XML Prompting as Grammar-Constrained Interaction », arXiv 2509.08182, 9 sept 2025. arxiv.org/abs/2509.08182
So J. et al., « Optimization of hepatological clinical guidelines interpretation by large language models », npj Digital Medicine, 2024 (PMC11039454) — saut 43,0 % → 99,0 % avec RAG + prompt engineering structuré sur hépatite C. pmc.ncbi.nlm.nih.gov · nature.com
Anthropic, Mitigating the risk of prompt injections in browser use, 2025 — Claude Opus 4.5 ramène à ~1,4 % le taux d’injections réussies (vs ~10,8 % Sonnet 4.5 sans nouveaux safeguards). anthropic.com · pymnts.com
Manish Ramavat, « Benchmarking XML Delimiters in LLM Prompts », mai 2026. dev.to/manishramavat
Simon Willison, « Structured Context Engineering for File-Native Agentic Systems », Feb 2026 — 9 649 expériences, 11 modèles, 4 formats. simonwillison.net
Nerolia Formation, Prompt Engineering en français 2026. nerolia-formation.fr
Simon Willison, « New prompt injection papers », 2025. simonw.substack.com
Sur context rot / lost in the middle, cf. arXiv 2504.02732 « Why do LLMs attend to the first token? ». arxiv.org/abs/2504.02732
DORA 2025 Report, Google Cloud — Près de 5 000 réponses, 100 h d’entretiens. cloud.google.com · faros.ai · dora.dev
Modèle CARE et typologie SME-Driven / Crowdsourcing / AI-Generated / Role-Based — synthèse Gemini Deep Research 19 mai 2026 (rapport interne).

Paul-Antoine TUAL est AI Transformation Leader. Il dirige Croissance et Transitions (SAS) et opère la suite Junyr™ — Méthode Junyr™ (méthodologie), Junyr Agents™ (agents IA pour PME, junyr.app), Junyr Mail™ (messagerie eIDAS). Il accompagne les dirigeants d’ETI et de PME françaises dans leur transformation IA — diagnostic 90 minutes : croissance-transitions.fr.

Paul-Antoine Tual — AI Transformation Leader

lundi 1 juin 2026

Junyr Agents™ — déléguer l'IA dans votre PME sans perdre le contrôle

Agent IA, assistant IA : une distinction qui change tout

Les trois principes de Junyr Agents™

L'architecture

Cinq agents prêts à l'emploi

Ce qu'un agent IA ne doit jamais faire

Comment démarrer

Pour aller plus loin

Sources — vérifiables, mai 2026

dimanche 31 mai 2026

La fin du téléphone : pourquoi le binôme chat + visio devient le standard de la communication pro en 2026

Ce que disent les chiffres : l'appel vocal recule, sans disparaître

Pourquoi la ligne ouverte s'est dévaluée : la saturation publicitaire et frauduleuse

Le nouveau binôme : le chat pour le flux, la visio pour le moment qui compte

Le troisième larron : l'IA conversationnelle et la prise de rendez-vous automatique

Le point aveugle : sortir du verrou Google / Microsoft

Ce que dit la Méthode Junyr™ : du canal subi au canal gouverné

Le contre-argument, pris au sérieux

En pratique

FAQ

Sources

vendredi 29 mai 2026

L'Échelle Méthode Junyr™ : à quel palier d'adoption IA se situe vraiment votre PME ?

Les 5 axes de lecture — pourquoi un seul chiffre ne suffit pas

La matrice : 5 paliers × 5 axes

Palier 1 — Le Spectateur (~50 % des PME)

Palier 2 — L'Artisan (~30 % des PME)

Palier 3 — L'Orchestre (13-15 % des PME)

Palier 4 — L'Architecte (2-3 % des PME)

Palier 5 — Le Pionnier (<0,5 % des PME)

La règle d'or : aucun palier ne se saute

Durées et budgets de transition (PME 50-500 salariés)

Vous situer en 10 minutes — une question par axe

Pour aller plus loin

Questions fréquentes

SOURCES (vérifiables, mai 2026)

Cryptographie 2026 : transport, stockage, identités et transition post-quantique — le cadre de décision pour dirigeants et RSSI

1. La transition post-quantique : un calendrier, pas une alarme

1.1. Ce qui change, et pourquoi c’est gérable

1.2. Des standards stables sur lesquels s’appuyer

1.3. La doctrine de transition : l’hybridation, choix de prudence

2. Les données en transit : moderniser sans casser le réseau

2.1. TLS 1.3 et QUIC

2.2. IPsec et IKEv2

2.3. SSH

2.4. Messagerie de groupe : le standard MLS

3. Les données au repos : la vraie question est celle des clés

3.1. Le chiffrement en enveloppe

3.2. Souveraineté : la question à trancher au niveau direction

3.3. Protéger l’intégrité des sauvegardes

4. Les identités : le mot de passe seul a fait son temps

4.1. Stocker les mots de passe correctement

4.2. Pourquoi le MFA « classique » ne protège plus

4.3. FIDO2 / passkeys : la parade par conception

5. Le cadre réglementaire européen : un horizon qui se clarifie

6. Où mettre l’effort en 2026 : la lecture par la Méthode Junyr™

Conclusion

SOURCES — liens directs vérifiés (audit 29 mai 2026)

mardi 19 mai 2026

La fin du prompt engineering : pourquoi vos équipes doivent cesser de parler à l’IA et commencer à la commander

Le malentendu fondateur

Ce qu’est vraiment un LLM, pour un dirigeant qui n’a pas le temps de lire un papier de recherche

Pourquoi l’interface chat a faussé le débat

Le tournant 2025-2026 : du « prompt » à l’« instruction »

Le contre-argument honnête : quand le balisage n’est pas la réponse

Et si les modèles 2026 étaient devenus assez bons pour comprendre le langage naturel sans XML ?

Pourquoi cela change tout pour une PME en 2026

Trois questions à poser dès cette semaine

Ce que recommande la Méthode Junyr™

Conclusion : commander, pas converser

Questions fréquentes

Pour aller plus loin

Sources

Signaler un abus

Junyr Agents™ — déléguer l'IA dans votre PME sans perdre le contrôle