ISC2 a annoncé le 19 octobre 2026 quatre nouveaux cours à la demande consacrés à la gouvernance, aux données et au risque liés à l’intelligence artificielle. Chaque cours dure trois heures, rapporte trois crédits CPE, est proposé en anglais et donne accès au contenu pendant 60 jours après l’achat. Le prix public indiqué dans l’annonce est de 120 $, ou 96 $ pour les membres et associates ISC2.
La précision la plus importante est la suivante : il s’agit de cours de formation continue avec validation de completion, pas de quatre nouvelles certifications ISC2. Ils peuvent compléter une trajectoire CISSP, CGRC, ISSAP, ISSMP ou CCSP, mais ils ne remplacent ni un examen de certification ni la future certification ISC2 dédiée à la sécurité de l’IA, encore en développement.
L’annonce officielle ISC2 (nouvel onglet) regroupe les quatre nouveautés et renvoie vers leurs pages détaillées.
Les quatre cours en un coup d’œil
| Cours officiel | Niveau | Angle principal | Durée / CPE |
|---|---|---|---|
| AI Governance Architecture | Avancé | Architecture de gouvernance, cadres et risque fournisseur | 3 h / 3 CPE |
| AI-Driven Data Discovery and Sensitive Asset Inventory | Intermédiaire | Inventaire, classification, confidentialité et souveraineté | 3 h / 3 CPE |
| AI Policy Mapping and Optimization | Intermédiaire | Correspondance des contrôles et garde-fous LLM | 3 h / 3 CPE |
| Enterprise AI Risk Aggregation and Decision Support | Intermédiaire | Agrégation des signaux, arbitrage humain et auditabilité | 3 h / 3 CPE |
Le format est volontairement court. Il ne s’agit pas d’un cursus débutant couvrant toute la cybersécurité de l’IA. Chaque module cible une décision professionnelle précise et s’appuie sur des contenus texte ou vidéo, des activités, une évaluation ou un scénario appliqué selon le cours. Les pages officielles indiquent aussi une validation de completion et un support technique permanent.
1. AI Governance Architecture : construire une posture défendable
Le cours AI Governance Architecture (nouvel onglet) est le seul des quatre classé avancé. Il demande au participant de rapprocher le NIST AI Risk Management Framework, ISO/IEC 42001, l’AI Act européen et les exigences de droit à l’explication.
L’intérêt n’est pas d’apprendre quatre cadres séparément. Le cours travaille les contrôles communs, les écarts et l’ordre d’implémentation. Il ajoute une dimension souvent négligée : l’architecture de risque fournisseur sur tout le cycle d’achat d’un service IA, depuis la sélection jusqu’à la sortie.
Ce module convient aux architectes sécurité, spécialistes GRC, responsables conformité, risk officers et dirigeants sécurité déjà à l’aise avec la gouvernance. ISC2 cite notamment les détenteurs de CISSP, CGRC ou certifications équivalentes. Un débutant peut comprendre le thème, mais la valeur du scénario vient de la capacité à défendre des choix face à des obligations concurrentes.
Exercice utile avant le cours
Prenez un projet IA réel et créez une matrice à trois colonnes : obligation, contrôle commun, preuve attendue. Ajoutez ensuite le propriétaire du contrôle et le risque fournisseur associé. Vous disposerez d’un cas concret pour tester les méthodes du cours au lieu de rester dans l’abstraction.
2. AI-Driven Data Discovery : savoir quelles données l’IA utilise
Le cours AI-Driven Data Discovery and Sensitive Asset Inventory (nouvel onglet) part d’un problème opérationnel : les inventaires traditionnels ne suivent pas toujours les données qui traversent pipelines ML, régions cloud et modèles.
Les participants identifient les angles morts, évaluent les limites des outils de découverte automatisée et choisissent des contrôles de classification. Le programme cite également le masquage de données, la confidentialité différentielle, la souveraineté et les risques juridictionnels lorsque les traitements franchissent plusieurs régions.
Ce cours vise les architectes de sécurité des données, ingénieurs sécurité ou confidentialité, responsables gouvernance des données, architectes cloud et compliance officers. Il est particulièrement pertinent lorsqu’une organisation a lancé plusieurs assistants ou modèles sans inventaire consolidé des sources, copies, sorties et durées de conservation.
Livrable à viser
Préparez un mini-registre du cycle de vie : collecte, stockage, préparation, entraînement ou grounding, inférence, journalisation et destruction. Pour chaque étape, notez la donnée sensible, le propriétaire, la région et le contrôle. Ce n’est pas un modèle ISC2 officiel ; c’est une façon pratique de transformer les résultats d’apprentissage en preuve de compétence.
3. AI Policy Mapping : réduire la duplication des contrôles
Le cours AI Policy Mapping and Optimization (nouvel onglet) aborde le rapprochement des exigences NIST AI RMF et ISO/IEC 42001. Il traite aussi des défaillances possibles des outils GRC automatisés : une interface de conformité peut sembler à jour alors que l’infrastructure réelle a changé.
Le programme introduit des garde-fous pour les grands modèles de langage, notamment filtrage des entrées, masquage des informations personnelles, journalisation d’audit et « safe zones » pour expérimenter sans contourner la gouvernance. Le participant doit apprendre à choisir un mécanisme selon le vecteur de menace, pas à appliquer une configuration générique partout.
Ce module intéresse les analystes conformité cyber, auditeurs IT, spécialistes GRC et architectes qui traduisent des textes externes en politiques, bibliothèques de contrôles et workflows internes.
Point de vigilance
Un mapping n’est pas une preuve d’efficacité. Deux exigences peuvent pointer vers le même contrôle, mais il faut encore montrer que celui-ci existe, couvre le bon périmètre et produit une preuve révisable. Pendant la formation, séparez donc « exigence couverte » de « contrôle testé ».
4. Enterprise AI Risk Aggregation : décider quand les signaux se contredisent
Le cours Enterprise AI Risk Aggregation and Decision Support (nouvel onglet) utilise le cas fictif d’une entreprise SaaS. Le participant doit arbitrer des scores de risque concurrents, revoir une transaction signalée, traiter deux modèles en désaccord et examiner un compte de service dont les privilèges ont augmenté.
Le scénario passe du niveau analyste au niveau portefeuille. Des risques acceptables isolément peuvent créer une concentration dangereuse lorsqu’ils partagent une infrastructure. Le cours demande également de documenter un override humain et d’évaluer l’accès d’identités non humaines selon le moindre privilège.
Cette approche est utile pour les risk managers, architectes sécurité, analystes GRC et responsables de programme. Elle rappelle qu’un score probabiliste n’est pas une décision. Pour être défendable, l’arbitrage doit conserver les signaux observés, la justification, l’auteur, l’horodatage et la preuve attendue.
Comment choisir sans acheter les quatre par défaut
Commencez par votre problème, pas par le titre le plus attractif.
| Votre besoin | Cours prioritaire |
|---|---|
| Unifier plusieurs cadres et gouverner les fournisseurs | AI Governance Architecture |
| Retrouver et classer les données exposées à l’IA | AI-Driven Data Discovery |
| Transformer des exigences en contrôles et garde-fous LLM | AI Policy Mapping |
| Arbitrer des scores, documenter les overrides et agréger le risque | Enterprise AI Risk Aggregation |
Le cours Architecture est avancé ; les trois autres sont intermédiaires. Si votre besoin porte d’abord sur les bases de la cybersécurité, la préparation ISC2 CC mise à jour en octobre 2026 reste une entrée plus logique. Les quatre nouveaux cours supposent déjà qu’on sache raisonner sur contrôles, risque, données et responsabilités.
Pour un profil qui travaille aussi sur des architectures Microsoft, notre analyse des certifications IA Microsoft 2026 peut aider à distinguer la conception de solutions agentiques de la gouvernance de sécurité approfondie proposée ici.
CPE, accès et validation : ce qu’il faut vérifier
ISC2 attribue trois CPE Group A par cours, soit jusqu’à douze pour les quatre. Les pages indiquent un reporting automatique pour les credentials ISC2 le premier jour de chaque mois, avec un délai possible de dix jours ouvrés. L’éligibilité auprès d’un autre organisme dépend de ses propres règles.
L’accès est annoncé pour 60 jours après l’achat. Ne confondez pas durée du contenu, fenêtre d’accès et temps réellement disponible dans votre calendrier. Une méthode réaliste consiste à réserver deux séances : environ deux heures pour le contenu et les activités, puis une heure pour l’évaluation, les notes et un livrable personnel.
Les exigences exactes de validation diffèrent légèrement selon les pages. Certaines mentionnent explicitement la réussite de l’évaluation, en plus du parcours et de l’évaluation de l’expérience. Consultez donc la page du produit choisi au moment de l’achat, surtout si la validation ou les CPE sont votre objectif principal.
Ces cours préparent-ils la future certification IA d’ISC2 ?
ISC2 développe séparément une certification de sécurité de l’IA et a indiqué viser un pilote avant la fin de 2026. Les quatre cours annoncés le 19 octobre ne sont ni ce pilote, ni un plan d’examen officiel pour cette certification.
Ils peuvent néanmoins construire des compétences pertinentes : gouvernance, sécurité des données, décisions de risque, identités non humaines et traçabilité. Présentez-les comme formation continue et validation de completion. N’affirmez pas avoir obtenu une certification supplémentaire après un cours de trois heures.
Plan d’action en une semaine
- Choisissez un problème réel et le cours correspondant.
- Téléchargez ou notez les objectifs avant de commencer.
- Préparez un artefact : matrice de contrôles, registre de données, mapping de politique ou journal de décision.
- Suivez le contenu en comparant chaque concept à cet artefact.
- Terminez les activités et l’évaluation demandées.
- Vérifiez la validation de completion et le reporting CPE.
- Ajoutez à votre portfolio le livrable anonymisé, pas seulement le titre du cours.
Cette démarche transforme une formation courte en preuve de pratique. Les nouveaux cours ISC2 sont intéressants précisément parce qu’ils ciblent quatre points où les programmes IA échouent souvent : architecture de gouvernance, visibilité des données, cohérence des politiques et décisions défendables.
