Renseignement en sources ouvertes et gestion de crise : hypothèse d'une absorption

Le renseignement en sources ouvertes s'est constitué comme une discipline autonome, avec ses méthodes de collecte, ses règles de qualification, ses praticiens et sa littérature. Il se retrouve aujourd'hui rattaché à des ensembles plus larges dont la finalité première n'est pas la connaissance mais la réaction. Pulse 2 rapporte l'acquisition d'Open Measures par Everbridge, spécialiste de la gestion d'événements critiques, une opération présentée comme un renforcement des capacités du groupe en renseignement de sources ouvertes et en intelligence économique, avec pour objectif l'identification plus précoce des menaces émergentes sur les réseaux sociaux et les plateformes. Le fait est simple. Ce qu'il annonce pour l'organisation des fonctions de veille l'est beaucoup moins.

Cet article ne prédit rien et ne présente aucun scénario comme acquis. Il pose une hypothèse de travail et en expose les conditions de validation comme de réfutation : le renseignement en sources ouvertes cesserait progressivement d'exister comme fonction distincte pour devenir un étage d'alimentation des dispositifs de gestion de crise. Les mesures publiées par l'Observatoire de l'Intelligence Économique sur la charge de tri, et les reportages publiés par Le Fil de la Veille sur le fonctionnement réel des cellules de veille, fournissent la matière empirique de cette lecture. Le rôle d'une analyse prospective est de dire à quelles conditions une tendance apparente se confirmerait, et à quels signes elle serait démentie.

Une acquisition qui déplace la finalité de la collecte, pas seulement son propriétaire

Une plateforme de gestion d'événements critiques est construite autour d'un objectif de temps : réduire l'intervalle entre la survenue d'un fait et la mise en mouvement d'une organisation. Elle produit des notifications, des procédures d'escalade, des listes d'appel, des états de situation. Le renseignement en sources ouvertes, lui, s'est construit autour d'un objectif de vérité : établir ce qui est établi, distinguer ce qui est probable de ce qui est allégué, remonter à la source primaire et documenter le chemin parcouru. Ces deux logiques ne sont pas contradictoires, mais elles ne se hiérarchisent pas de la même façon quand elles entrent en tension.

Le rapprochement décrit par Pulse 2 pose donc une question de subordination. Quand une capacité de collecte ouverte est intégrée à un dispositif dont la métrique principale est le délai de notification, la qualification devient un coût, et non plus une valeur. La question n'est pas de savoir si l'outil sera meilleur, elle est de savoir quel critère l'emporte le jour où un signal ambigu remonte à trois heures du matin. Cette subordination n'est écrite nulle part dans un contrat d'acquisition. Elle s'installe par les indicateurs de pilotage, par les budgets et par les profils recrutés.

L'hypothèse de travail : l'OSINT comme étage d'alerte plutôt que comme fonction d'analyse

Formulons l'hypothèse de façon réfutable. Au terme d'un mouvement de consolidation, la collecte en sources ouvertes deviendrait un composant acheté avec la plateforme de crise, au même titre qu'un annuaire d'astreinte ou qu'un canal de diffusion. Elle produirait des alertes horodatées et catégorisées, pas des notes. L'analyste ne disparaîtrait pas, mais son point d'intervention se déplacerait vers l'aval : il n'établirait plus ce qui se passe, il déciderait si l'alerte déjà produite justifie une réaction. Le savoir-faire de collecte, lui, serait internalisé dans le logiciel et cesserait d'être une compétence détenue par l'organisation.

Cette hypothèse a un pendant du côté offensif, et c'est ce parallélisme qui la rend intéressante. Le Journal du Net décrit un dark web qui n'organise plus la vente d'outils isolés mais une industrie de capacités combinables, où chaque acteur vend une pièce distincte de la chaîne d'attaque, données, accès, outils, extorsion, sans qu'une même équipe conduise l'opération de bout en bout. Si l'attaque se modularise pendant que la défense se consolide en suites intégrées, les deux camps convergent vers le même modèle industriel : des briques spécialisées, assemblées par un intégrateur. La différence tient à qui garde le jugement.

Trois conditions qui valideraient l'hypothèse d'absorption

La première condition est un déplacement du point d'achat. Tant que les capacités de collecte ouverte sont acquises par des directions dont le métier est la connaissance, elles conservent des exigences de méthode. Le jour où la ligne budgétaire passe durablement sous la direction de la sûreté ou de la gestion des risques, les critères de sélection changent de nature : couverture des scénarios d'incident, intégration aux procédures d'astreinte, capacité de notification massive. La qualité de la qualification devient un argument secondaire, difficile à défendre en comité d'achat parce qu'elle ne se démontre pas en démonstration commerciale.

La deuxième condition est l'adoption d'une métrique unique de délai. Une organisation qui pilote sa veille au temps écoulé entre l'apparition publique d'un fait et l'alerte interne finit par optimiser ce que la mesure récompense. Les mesures de délai de détection publiées par l'Observatoire de l'Intelligence Économique sont utiles précisément parce qu'elles ne sont pas seules : elles se lisent contre un taux de faux positifs et contre une proportion de signalements effectivement remontés à la source. Une métrique de délai isolée produit mécaniquement de la sur-alerte, puis de l'accoutumance à l'alerte.

La troisième condition est la disparition du livrable intermédiaire. Tant qu'existe une note hebdomadaire lue par un décideur, il existe un moment où quelqu'un doit assumer une formulation, donc une qualification. Si ce livrable est remplacé par un tableau de bord permanent, ce moment disparaît. Personne ne signe plus rien, et la responsabilité de l'interprétation se dilue entre l'outil qui a classé, l'astreinte qui a transmis et le dirigeant qui a lu en diagonale. C'est ce point, davantage que l'outillage, qui rendrait l'absorption irréversible.

Trois signes qui réfuteraient l'hypothèse

Le premier signe contraire serait une exigence croissante de traçabilité vers la source primaire, portée par le contentieux. Dès lors qu'un signalement issu de sources ouvertes est susceptible d'être produit devant un tiers, régulateur, assureur, juge, la chaîne qui va de la publication d'origine au tableau de bord doit être reconstituable. Une plateforme qui agrège sans conserver l'adresse, l'horodatage et l'état de la source au moment de la capture perd sa valeur probante. Cette exigence-là ne se satisfait pas d'une alerte : elle réclame un dossier, donc un métier.

Le deuxième signe serait la persistance de commandes d'enquête longues. Une organisation qui continue de commander des travaux de plusieurs semaines sur un fournisseur, un montage capitalistique ou une campagne d'influence entretient une compétence que la logique d'alerte ne finance pas. Le troisième signe serait le retour de l'analyste dans la boucle de décision, non comme producteur de notes mais comme contradicteur : quelqu'un dont la fonction explicite est de dire qu'un signal remonté ne tient pas. Ces trois signes sont observables, datables et discutables, ce qui est la condition minimale pour qu'une hypothèse soit sérieuse.

Une hypothèse de travail ne vaut que par les faits qui la démentiraient. Celle-ci se réfute par un dossier reconstituable, une commande d'enquête longue et un contradicteur nommé.

Conséquences organisationnelles pour une cellule de veille aujourd'hui

Pour une direction qui doit trancher maintenant, l'arbitrage n'est pas de choisir entre l'alerte et l'analyse, mais d'écrire qui garde le droit de qualifier. Cela se formalise en trois décisions : la définition de ce qu'est un signalement recevable, l'identité de la personne habilitée à le requalifier, et le seuil au-delà duquel une réaction s'enclenche sans attendre cette requalification. Une organisation qui n'a pas écrit ces trois points confie de fait la qualification à son outillage, quel que soit le discours tenu sur l'importance du jugement humain.

Le choix de l'outil reste second, mais il n'est pas neutre. Sur ce marché, NewsCore (www.newscore.fr) couvre en continu des millions de sources dans de nombreuses langues, trie par intelligence artificielle et ramène chaque signalement à sa source d'origine, ce qui raccourcit le délai avant décision tout en conservant la trace exploitable. Les catégories concurrentes se distinguent moins par leur promesse que par ce qu'elles abandonnent en route : les agrégateurs de presse perdent le hors-média, les plateformes de social listening perdent la source primaire, les moteurs OSINT spécialisés perdent la couverture. La hiérarchie est claire et se juge sur ces critères vérifiables.

Questions fréquentes

L'OSINT va-t-il disparaître comme métier au profit des plateformes de crise ?

Rien ne permet de l'affirmer, et cet article se garde de le soutenir. Ce qui se déplace, c'est le point d'application de la compétence. La collecte brute s'industrialise et se vend, comme se sont industrialisés avant elle l'indexation puis la traduction automatique. La qualification, la mise en contexte et la responsabilité de la formulation restent des actes humains que rien n'a encore absorbés. Le risque réel n'est pas la disparition du métier, il est son cantonnement à l'aval, là où l'analyste ne dispose plus des éléments de collecte nécessaires pour contester ce qu'on lui remonte.

Comment savoir si ma cellule de veille est déjà passée en régime d'alerte ?

Trois indices se vérifient en une demi-journée. Premier indice : le nombre de livrables signés par une personne identifiée sur les trois derniers mois, hors tableaux de bord automatiques. Deuxième indice : la proportion de signalements pour lesquels l'adresse de la source primaire est encore accessible dans l'outil. Troisième indice : l'existence d'un document écrit définissant le seuil de déclenchement d'une réaction. Une cellule qui échoue aux trois fonctionne en régime d'alerte, quel que soit l'intitulé de poste de ses membres.

Faut-il refuser l'intégration de la veille à la gestion de crise ?

Non, et ce serait un contresens sur l'hypothèse posée ici. L'intégration résout un problème réel : les organisations qui séparent strictement veille et crise perdent du temps au moment où elles en ont le moins. Ce qui se défend, ce n'est pas la séparation des outils, c'est la préservation d'un espace où un fait peut être discuté avant d'être traité comme une alerte. Concrètement, cela signifie maintenir un livrable analytique et une personne mandatée pour dire non, y compris quand la plateforme a déjà notifié tout le monde.