Les risques invisibles finissent toujours par apparaître

Au début des années 2000, la cybersécurité occupait une place marginale dans les entreprises. Les sujets de protection des systèmes d'information étaient principalement traités par les équipes techniques. Les directions générales y voyant un sujet informatique parmi d'autres, les investissements restaient limités et les indicateurs rares ; peu d'organisations étaient capables d'évaluer précisément leur exposition. La situation a changé avec la multiplication des incidents : les entreprises ont découvert que certaines dépendances pouvaient mettre en péril leur activité. Des attaques ont révélé des vulnérabilités invisibles jusque-là. C’est dans cette prise de conscience que la cybersécurité est sortie des salles informatiques pour rejoindre les comités exécutifs. Ce qui était considéré comme un sujet technique est devenu un sujet de gouvernance. L'histoire est instructive : les risques les plus structurants ne sont pas toujours ceux que l'on voit apparaître en premier. Ils s'installent progressivement, à mesure que les usages se développent et que les dépendances s'accumulent.

Le Learning suit une trajectoire comparable

Les responsables du développement des compétences vivent aujourd'hui une situation qui présente plusieurs similitudes. Depuis quinze ans, ils construisent des écosystèmes numériques de plus en plus sophistiqués. LMS, plateformes de compétences, outils auteurs, bibliothèques de contenus, assistants conversationnels, moteurs d'IA générative : chaque nouvelle brique apporte des fonctionnalités supplémentaires… et finit par créer de nouvelles dépendances. Lesquelles restent pourtant largement absentes des tableaux de bord Learning. Les équipes Learning & Development mesurent la satisfaction, l'engagement ou la consommation des contenus. Elles évaluent rarement leur capacité à changer de fournisseur, à récupérer leurs données ou à remplacer une technologie devenue critique. Le sujet reste perçu comme un choix d'architecture. Il pourrait bientôt être considéré comme un facteur de risque. Cette dépendance prend plusieurs formes. Une entreprise peut s'appuyer massivement sur un catalogue de contenus dont elle ne maîtrise ni les évolutions ni les conditions d'accès. Une autre peut concentrer l'ensemble de ses données de compétences dans une plateforme unique. Une troisième peut découvrir que la majorité de ses contenus sont devenus difficilement exploitables en dehors de l'environnement technologique qui les héberge. Plus récemment, l'intégration de l'IA dans les plateformes ajoute une couche supplémentaire. Les usages se développent rapidement alors même que les mécanismes de dépendance restent encore mal identifiés. Comme dans le domaine cyber il y a vingt ans, les bénéfices immédiats occupent toute l'attention. Les fragilités potentielles restent largement hors champ.

L'IA accélère brutalement le phénomène

L'intelligence artificielle modifie profondément la nature de ces dépendances. Les entreprises n'achètent plus seulement des plateformes. Elles s'appuient désormais sur des modèles, des assistants, des moteurs de recommandation et des capacités d'automatisation qui s'intègrent progressivement aux processus de formation. Une nouvelle forme de concentration est à l’œuvre, car une décision prise par un acteur technologique peut simultanément affecter les contenus, les données, les parcours, les compétences et les usages. Plus les services s'intègrent, plus les dépendances sont complexes à identifier. Les acteurs formation se trouvent ainsi confrontés à un paradoxe : si l'innovation technologique renforce leurs capacités d'action, elle réduit parfois leur capacité à reprendre la main. Cette situation rappelle fortement les mécanismes observés dans d'autres domaines du numérique avant que les entreprises ne commencent à mesurer sérieusement leur exposition.

De la performance vers la résilience

La plupart des indicateurs Learning ont été conçus pour mesurer la performance. Ils répondent à des questions légitimes. Les apprenants se forment-ils ? Les contenus sont-ils utilisés ? Les compétences progressent-elles ? Les dispositifs produisent-ils les résultats attendus ? Une autre famille de questions émerge désormais. Que se passe-t-il lorsqu'un fournisseur disparaît ? Combien de temps faut-il pour migrer vers une autre solution ? Les données sont-elles récupérables ? Les contenus restent-ils exploitables ? Les compétences nécessaires au changement existent-elles encore dans l'entreprise ? Ces interrogations relèvent moins de la performance que de la résilience. Elles concernent la capacité d'une organisation à maintenir son activité malgré un changement brutal de son environnement numérique. C'est précisément cette dimension que les entreprises ont progressivement apprise à intégrer dans leurs politiques de cybersécurité. Un LMS affichant des taux d'usage remarquables peut simultanément constituer une dépendance critique si aucune solution de remplacement n'a été envisagée. Une plateforme de compétences peut produire une forte valeur tout en concentrant des données stratégiques dont la récupération serait longue, coûteuse ou complexe. La question n'est donc plus seulement de mesurer ce qui fonctionne. Elle consiste aussi à mesurer ce qui pourrait cesser de fonctionner.

Un nouveau sujet de gouvernance

Ayant compris qu'elles ne pouvaient pas gérer le risque cyber sans le mesurer, les entreprises ont créé des indicateurs, des référentiels, des audits et des tableaux de bord. Les responsables formation pourraient être confrontés à une évolution comparable. Non parce qu'ils feraient face aux mêmes menaces, mais parce qu'ils accumulent à leur tour des dépendances susceptibles d'affecter leur capacité d'action. C'est dans cette perspective que Féfaur a exploré la notion de Learning Sovereignty Index, destinée à évaluer le degré de maîtrise qu'une organisation conserve sur son écosystème Learning. La cybersécurité a montré qu'un risque ignoré finit toujours par s'imposer dans les agendas de gouvernance. Les dépendances numériques Learning pourraient bien suivre le même chemin. La question n'est probablement plus de savoir si ce sujet émergera. Elle consiste à déterminer quand les entreprises commenceront à le mesurer et à quelle vitesse elles accepteront de l'intégrer dans leurs critères de pilotage.