Marché de la GRC en 2026 : ce que Forrester, Verdantix et GRC 20/20 disent de l’IA et des plateformes

Pourquoi le regard des analystes mérite l’attention en 2026

En 2026, presque tous les éditeurs de logiciels GRC parlent d’agents IA. Pourtant, à la lecture des analyses actuelles des grands observateurs du marché, le bilan est nettement plus sobre. Forrester, Verdantix et GRC 20/20 Research parviennent indépendamment les uns des autres à un constat similaire : les plateformes GRC doivent évoluer en profondeur, et les fonctionnalités d’IA vendues aujourd’hui n’y contribuent encore guère.

Pour les organisations qui choisissent actuellement une plateforme GRC ou modernisent leur système de management de la sécurité de l’information, c’est un repère important. Cet article résume les résultats publiquement disponibles des trois analyses, met en évidence leurs points communs et en tire des questions à poser lors de la sélection.

Les trois analyses en un coup d’œil

Forrester : du System of Record au System of Action

Fin mai 2026, Forrester a publié sa Wave consacrée aux plateformes de gouvernance, de gestion des risques et de conformité, pour laquelle douze éditeurs ont été évalués. Les analystes Paul McKay et Cody Scott décrivent un marché confronté à de forts vents contraires : de nombreuses plateformes exigent encore trop de saisie manuelle, n’offrent qu’une automatisation simple des workflows et sont trop complexes, trop lourdes et trop coûteuses pour leur usage actuel. Forrester

Dans le même temps, Forrester s’attend à ce que la finalité de ces plateformes change profondément au cours des 18 à 24 prochains mois. Jusqu’à présent, les outils GRC étaient avant tout un System of Record : ils consignent les résultats des évaluations des risques, des contrôles de conformité et des audits internes. À l’avenir, ils doivent devenir un System of Action qui orchestre le travail et produit des résultats au lieu de simplement stocker des données. La plateforme reste le lieu des données de référence, mais s’appuie sur l’automatisation au sein d’un écosystème plus large. Pour cela, les éditeurs collaborent de plus en plus avec des spécialistes des données de risque et des contenus réglementaires, au lieu de tout développer eux-mêmes.

Quatre autres constats sont particulièrement pertinents pour le choix d’une plateforme :

• L’IA apporte aujourd’hui peu de valeur ajoutée. La plupart des fonctionnalités d’IA améliorent l’existant au lieu de transformer le travail en profondeur. Les clients citent les limites fonctionnelles et les coûts élevés comme obstacles. Le bénéfice le plus recherché est très concret : des évaluations des risques et des contrôles de conformité nettement plus rapides.
• La surveillance continue des mesures (continuous controls monitoring) est le critère le plus faible de toute l’évaluation. De nombreuses plateformes ne l’utilisent que pour collecter des preuves destinées à l’audit interne. Selon Forrester, sa véritable valeur consiste à vérifier en permanence si les mesures sont efficaces et si les politiques sont respectées, et à déclencher des corrections en cas d’écart. Pour en savoir plus sur cette approche, lisez Surveillance continue des mesures : savoir ce que prouve le signal.
• Plus de données ne signifie pas automatiquement mieux. Forrester établit un parallèle avec l’analytique de sécurité : là aussi, seule la concentration sur des cas d’usage clairement définis a apporté une réelle utilité. Pour la GRC, les analystes recommandent des bibliothèques de cas de surveillance concrets et de seuils usuels, afin de ne collecter que les données réellement nécessaires.
• Personne ne sait comment tarifer l’IA. Les modèles vont de l’inclusion gratuite à la facturation par cas d’usage d’IA gouverné, en passant par des forfaits complémentaires fixes. Souvent, les clients paient deux fois : pour l’IA dans la plateforme et pour un module distinct de gouvernance de l’IA. De nombreux clients de référence n’ont pas été en mesure d’évaluer le retour de leur investissement dans l’IA.

Verdantix : les fonctionnalités progressent plus vite que leur explicabilité

Pour le Green Quadrant GRC Software 2025, Verdantix a comparé 15 éditeurs dans dix catégories de capacités et a confronté les résultats à des données financières et à des données clients. Verdantix L’article qui l’accompagne sur l’IA dans la GRC contient un constat qui interpelle : chaque plateforme ayant obtenu la note maximale pour les fonctionnalités d’IA intégrées n’a obtenu qu’un à deux points pour l’explicabilité et la gouvernance des modèles. Blog Verdantix

Les chatbots et les tests de contrôle automatisés arrivent donc sur le marché plus vite que les pistes d’audit, les indicateurs de confiance et les rapports sur le risque de modèle que les autorités de surveillance exigeront à l’avenir. Verdantix renvoie expressément au règlement européen sur l’IA (AI Act) : la facture du manque d’explicabilité arrivera bientôt à échéance. Pour savoir quelles normes sont en train d’émerger dans ce domaine, lisez ISO/IEC 27090, EN 18286 et IEEE 2863 : les 3 nouvelles normes de gouvernance de l’IA de 2026 en un coup d’œil.

Trois autres résultats vont dans le même sens :

• Un score d’IA élevé ne suffit pas à vendre. Une IA avancée suscite l’intérêt, mais lorsque les modules GRC sous-jacents sont minces, les prospects hésitent. Une croissance durable dépend toujours de l’étendue de la couverture et de la mise en œuvre après l’achat.
• La puissance de l’IA n’entraîne pas de meilleurs taux de renouvellement. Verdantix n’a trouvé aucune corrélation fiable. Les clients accordent davantage d’importance à la stabilité de la plateforme, à un déploiement rapide et à un bon support.
• La profondeur exige de l’investissement. La corrélation la plus nette se situait entre le budget de développement et une réelle maturité en matière d’IA. Sans investissement durable, on en reste à des widgets d’IA superficiels.

Pour les années à venir, Verdantix s’attend à ce que des fonctionnalités d’IA simples, comme la recherche générative et les résumés, deviennent la norme. La concurrence se déplace donc vers la transparence, la supervision et l’adéquation réglementaire. Pour les éditeurs qui consacrent une part élevée au développement, Verdantix voit une fenêtre rare pour dépasser les acteurs établis, à condition qu’ils tiennent leurs promesses en matière de profondeur de l’IA, de qualité des données et de transparence.

GRC 20/20 : l’orchestration exige la responsabilité

En octobre 2026, Michael Rasmussen, fondateur de GRC 20/20 Research, a publié une Market Perspective de 143 pages intitulée « GRC 7.0 – GRC Orchestrate ». GRC 20/20 Sa thèse : l’IA rend les fonctionnalités logicielles visibles bon marché et interchangeables. Ce qui prend de la valeur, en revanche, ce sont des informations fiables, le contexte métier, la méthodologie spécialisée et une exécution dont quelqu’un assume la responsabilité.

Il décrit GRC 7.0 comme une architecture qui place trois systèmes autour des systems of record de référence : un système qui détecte et interprète les changements, un autre qui exécute le travail dans le cadre de pouvoirs clairement définis et vérifie son résultat, et un troisième qui permet d’adapter les capacités GRC de manière traçable. Rasmussen le distingue expressément d’une simple accumulation de fonctionnalités d’IA. Nous avons résumé ce modèle en détail et ce qu’il signifie dans la pratique dans GRC 7.0 : ce que GRC Orchestrate de Michael Rasmussen signifie pour les organisations.

Ce que les trois analyses ont en commun

Lues côte à côte, les trois analyses font apparaître quatre lignes communes :

Les analyses ne se contredisent sur aucun point essentiel. Elles éclairent la même transformation sous trois angles : Forrester du point de vue des évaluations des clients, Verdantix en confrontant les fonctionnalités aux chiffres économiques, et GRC 20/20 du point de vue de l’architecture.

Les points à vérifier lors du choix d’une plateforme

Pour les organisations qui choisissent actuellement une plateforme GRC, par exemple pour NIS2, l’ISO/IEC 27001 ou le règlement européen sur l’IA, quatre questions à vérifier découlent des constats de Forrester et de Verdantix :

• D’où vient une évaluation ? Pour chaque résultat d’un agent IA, peut-on retracer sur quelle exigence, quelle preuve et quelle justification il repose ?
• Qu’est-ce qui est surveillé ? La plateforme se contente-t-elle de collecter des preuves pour le prochain audit, ou montre-t-elle en continu si les mesures sont efficaces ?
• Quel gain concret ? Dans quelle mesure les évaluations des risques et les analyses d’écarts sont-elles accélérées ? Selon Forrester, c’est le bénéfice que les clients recherchent le plus.
• Comment l’IA est-elle tarifée ? Sait-on clairement ce que coûtent les fonctionnalités d’IA et ce qu’elles apportent, ou faut-il ajouter un module supplémentaire pour la gouvernance de l’IA ?

Vous trouverez le catalogue complet des critères de sélection dans Comment choisir le meilleur logiciel GRC.

Notre point de vue chez Secani

Les analyses confirment l’orientation que nous suivons avec Secani. L’agent Secani doit prendre en charge un travail préparatoire important : rassembler les informations, proposer des correspondances, regrouper les preuves et expliquer les lacunes. La décision reste entre les mains d’un humain, et elle doit pouvoir être retracée par la suite. La manière dont nous concevons le lien entre exigence, preuve et jugement est décrite dans l’article L’IA dans la GRC : citer n’est pas vérifier.

Le critère n’est donc pas le nombre de fonctionnalités d’IA dont dispose une plateforme. Il s’agit de savoir si l’on peut répondre, pour chaque évaluation, à ces questions : pourquoi est-elle valable, qui en est responsable et que faudrait-il changer pour qu’elle soit réexaminée ?

Conclusion

En 2026, Forrester, Verdantix et GRC 20/20 décrivent la même transformation : les plateformes GRC doivent accomplir le travail et produire des résultats au lieu de simplement stocker des données. L’IA est un outil important pour y parvenir, mais elle n’est plus un facteur de différenciation. Ce qui fait la différence, ce sont la traçabilité, une responsabilité clairement établie et des fondamentaux solides. Si vous choisissez une plateforme GRC, posez précisément ces questions et faites-vous démontrer les réponses sur votre propre cas d’usage.

Sources

• Announcing The Forrester Wave™: Governance, Risk, And Compliance Platforms, Q2 2026 (Forrester, 29 mai 2026)
• Green Quadrant: GRC Software 2025 (Verdantix)
• AI In GRC: Verdantix Green Quadrant Highlights Correlations And Emerging Trends (Verdantix, 27 août 2025)
• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, octobre 2026)