Qu’est-ce qu’une sensibilisation à la cybersécurité adaptée par l’IA ?
La sensibilisation à la cybersécurité adaptée par l’IA est une formation attribuée selon le comportement mesuré, pas selon un calendrier. Chaque salarié est testé en continu sur les canaux qu’utilisent réellement les attaquants ; chaque résultat met à jour son Human Risk Score, et c’est ce score, pas une échéance de conformité, qui décide de la suite : quelle formation, quelle difficulté pour la prochaine simulation, et même s’il faut une formation.
Comment fonctionne une formation attribuée selon le comportement ?
Ce que voit le RSSI
Cinq onglets. Deux de ces vues répondent à la question à laquelle aucun programme de sensibilisation n’a su répondre : quel module a réellement fait baisser les clics.
Classement des champions
Vue Personnes · classement par risque, pas par activitéLa reconnaissance découle du score de risque et privilégie le signalement : score champion = (100 − score de risque) × 0,6 + poids des signalements, le signalement étant plafonné pour qu’il fasse progresser sans jamais dominer.
| Salarié | Score champion | Score de risque | Signalements |
|---|---|---|---|
| 1Salarié 1 | 41,6 | 44 | 12 |
| 2Salarié 2 | 39,2 | 38 | 3 |
| 3Salarié 3 | 37,4 | 40 | 5 |
Export personnalisé
Sections au choix, à vos couleurs.
Certificats
Chacun dispose d’une page de vérification publique : tout détenteur d’un certificat peut le faire vérifier.
Journal d’audit
Exportable vers votre SIEM.
Intégrité de la complétion, mesurée côté serveur
Un simple clic ne prouve rien : NOUSEC ne l’enregistre donc pas comme preuve. Chaque complétion est classée selon le temps passé sur le contenu, rapporté à la durée attendue du module, et la complétion d’une vidéo est une grandeur mesurée, pas un clic.
Quatre façons de passer une minute assignée
- Ignoré< 30 %
- Clic rapide30 – 70 %
- Engagé70 – 130 %
- Très engagé> 130 %
100 % de la durée attendue tombe dans la catégorie Engagé.
Une vidéo n’est terminée que si quatre-vingt-dix pour cent de ses secondes uniques ont été regardées, calcul effectué côté serveur. Le décompte s’arrête quand l’onglet est masqué ou la vidéo en pause.
Avancer jusqu’à la fin puis s’absenter laisse une couverture proche de zéro : ni complétion, ni certificat. Une tentative ratée laisse l’inscription en cours.
L’enregistrement de complétion est émis par le serveur, il n’est pas demandé par le client. Une vidéo regardée passivement n’affiche aucun score inventé — le certificat porte la date de complétion et la durée réelle, rien d’autre.
Le tableau de conformité publie les deux taux
Un taux de complétion brut, et un taux ajusté pour l’audit qui écarte les complétions sans trace d’engagement réel. Les auditeurs voient l’écart entre les deux, et c’est ce chiffre qui a du sens.
Ce que reçoivent réellement les salariés
Quatorze formats, trois modes de diffusion, et cinq éléments conçus autrement que dans le reste de la catégorie.
Retour détaillé
Chaque mauvaise réponse désigne l’indice observable qui trahit l’attaque. La précision est toute la leçon.
Un escape game, pas un système de points
Asynchrone, en solo, dans le navigateur. Ni session planifiée, ni animateur, ni points qui tiennent lieu de jeu.
Détection des voix deepfake
Des paires d’enregistrements réels et synthétiques dans un contexte bancaire, avec un débrief détaillé pour chaque extrait.
15modèles de politiques
Aux couleurs de l’organisation cliente et associé à un module de formation. L’acceptation est redemandée à chaque nouvelle version, l’historique étant conservé.
Localisé, pas traduit
Les noms des personnages, des entreprises et le contexte culturel changent selon la langue — pas seulement les textes. L’arabe se lit de droite à gauche, et chaque langue dispose de son propre paquet SCORM et de ses sous-titres.
Une langue qui n’existe que sur une page de tarifs n’est pas une langue.
L’apprenant change de nom, pas seulement de sous-titres. Noms d’entreprise et contexte du scénario changent avec lui.
Pourquoi la formation annuelle de sensibilisation échoue
Nous avons conçu la plateforme ainsi parce que la recherche publiée est sans ambiguïté sur l’alternative. Trois résultats ont guidé sa conception.
La formation annuelle n’a pas réduit les échecs au phishing
Un essai randomisé portant sur plus de 19 500 salariés pendant huit mois n’a trouvé aucune relation significative entre le fait d’avoir récemment suivi la formation annuelle obligatoire et l’échec à une simulation de phishing. La formation intégrée après un échec a modifié la probabilité de clic d’environ 2 points de pourcentage.
Ho et al., IEEE Symposium on Security & Privacy, 2025Le gain a disparu avant la formation suivante
Testés à intervalles réguliers, les salariés repéraient encore nettement mieux le phishing quatre mois après une formation (d′ 1,60, p = 0,034). Au sixième mois, l’amélioration n’était plus statistiquement significative (d′ 1,46, p = 0,123). Un cycle de douze mois laisse environ la moitié de l’année sans couverture.
Reinheimer et al., USENIX SOUPS 2020C’est la mesure continue qui fait bouger le chiffre
Sur 42 millions de simulations dans 64 000 organisations, la part moyenne de salariés qui échouent à un test de phishing est passée de 33,2 % au départ à 20,1 % après 90 jours et à 4,2 % après douze mois de tests et de formation continus.
KnowBe4 Phishing by Industry Benchmarking Report, 2026Ces trois chiffres proviennent de la recherche, pas de résultats NOUSEC.
Lire toute la recherche →Sensibilisation classique et NOUSEC
La différence ne tient pas à la qualité des contenus, mais à ce qui décide qui est formé, quand, et comment on sait si cela a fonctionné.
Preuves d’audit pour NIS2, DORA, ISO 27001 et PCI DSS
Sensibilisation à la cybersécurité : questions fréquentes
Qu’est-ce qu’une sensibilisation à la cybersécurité adaptée par l’IA ?
Une sensibilisation adaptée par l’IA : c’est une formation attribuée selon le comportement mesuré, pas selon un calendrier. Chaque salarié est testé en continu sur les canaux qu’utilisent réellement les attaquants ; chaque résultat met à jour son Human Risk Score, et c’est ce score, pas une échéance de conformité, qui décide de la suite : quelle formation, quelle difficulté pour la prochaine simulation, et même s’il faut une formation.
La sensibilisation fait-elle vraiment baisser le phishing ?
Pas sous la forme que pratiquent la plupart des organisations. Un essai randomisé de 2025 portant sur plus de 19 500 salariés (Ho et al., IEEE Symposium on Security & Privacy) n’a trouvé aucune relation significative entre le fait d’avoir récemment suivi la formation annuelle obligatoire et l’échec à une simulation. Ce qui fait bouger le chiffre, c’est le test continu associé à la formation : sur 42 millions de simulations, le taux moyen de vulnérabilité est passé de 33,2 % au départ à 20,1 % après 90 jours et à 4,2 % après 12 mois (KnowBe4 2026). Ce n’est pas la qualité du contenu qui décide, mais la fréquence et la mesure.
Comment mesurez-vous la couverture de visionnage en secondes uniques ?
Une vidéo n’est terminée que si 90 % de ses secondes uniques ont été regardées ; ce taux est calculé par le serveur, pas déclaré par le navigateur. Le décompte s’arrête quand l’onglet est masqué ou la vidéo en pause ; avancer jusqu’à la fin puis s’absenter laisse une couverture proche de zéro : ni complétion, ni certificat. Une requête de complétion falsifiée reçoit une erreur 403.
Qu’est-ce que le taux de complétion ajusté pour l’audit ?
Le tableau de conformité publie deux taux : le taux de complétion brut, et un taux ajusté pour l’audit qui écarte les complétions sans trace d’engagement réel. L’auditeur voit l’écart entre les deux, et c’est ce chiffre qui a du sens. Chaque complétion est classée selon le temps passé sur le contenu rapporté à la durée attendue du module : Ignoré sous 30 %, Clic rapide de 30 à 70 %, Engagé de 70 à 130 %, Très engagé au-delà de 130 %.
La sensibilisation est-elle obligatoire au titre de NIS2 ou de DORA ?
NIS2 impose aux membres des organes de direction de suivre une formation à la cybersécurité (article 20, paragraphe 2) et range l’hygiène informatique et la formation parmi les mesures obligatoires de gestion des risques (article 21, paragraphe 2, point g). DORA impose des programmes de sensibilisation à la sécurité des TIC, obligatoires pour l’ensemble du personnel et la direction (article 13, paragraphe 6). L’ISO/IEC 27001:2022 la couvre à la mesure 6.3 de l’annexe A. PCI DSS v4.0 exige une formation à l’embauche puis au moins tous les 12 mois, phishing et ingénierie sociale compris (exigences 12.6.3 et 12.6.3.1). Ce résumé ne constitue pas un avis juridique.
Où nos données sont-elles stockées ?
Dans l’Union européenne, à Francfort. NOUSEC est conforme au RGPD dès sa conception ; aucun agent ni logiciel à installer sur les postes. Les contenus sont proposés dans la langue des salariés : 9 langues sont disponibles aujourd’hui, 21 autres sur demande, produites selon le même processus de localisation en quatre étapes.
En 20 minutes, nous échouons volontairement à une simulation et vous montrons exactement ce que fait ensuite la plateforme.
Demander une démo