Bonne nouvelle : beaucoup pensent que l’intelligence artificielle va régler la pénurie de compétences en cybersécurité. Mauvaise nouvelle, c’est faux, et les entreprises qui misent tout dessus vont s’en apercevoir à leurs dépens. L’intelligence artificielle ne fabrique pas des experts du jour au lendemain. Elle déplace la barre, automatise le trivial, et laisse sur le quai celles et ceux que l’on a soigneusement préparés au métier d’hier.
Il faut regarder les choses en face. Pendant des années, le discours dominant a tenu en une phrase : « il manque des bras en cybersécurité ». On a compté les postes vacants, agité les chiffres de la pénurie, publié des fiches de poste réclamant un profil capable de tout faire, tout de suite, pour un budget raisonnable. Sauf que le marché a changé de nature. Le problème n’est plus tant le nombre de candidats disponibles que l’écart entre ce qu’ils savent faire et ce que les organisations demandent réellement. Ce déficit de compétences cyber, davantage que le simple manque de bras, est devenu le véritable sujet. Voilà un déplacement discret, mais qui rebat toutes les cartes du recrutement, de la formation et de la préparation des talents.
Pénurie de bras ou déficit de compétences cyber : ce que disent vraiment les chiffres
Commençons par distinguer deux réalités que l’on confond trop souvent. Il y a le manque d’effectifs, c’est-à-dire des sièges vides. Et il y a le déficit de compétences, c’est-à-dire des équipes en place qui ne maîtrisent pas encore ce que la menace exige. Ce ne sont pas les mêmes maux, et surtout, ce ne sont pas les mêmes remèdes.
Le rapport 2026 sur la main-d’œuvre en cybersécurité du SANS Institute, présenté au printemps 2026 auprès de 947 organisations dans le monde, est sans ambiguïté. 60% des répondants citent désormais le déficit de compétences comme leur premier défi, contre 40% pour le manque d’effectifs. L’écart, qui n’était que de quatre points l’année précédente, atteint désormais 20 points. Autrement dit, la question n’est plus « avons-nous assez de monde ? » mais « nos équipes savent-elles faire face ? ». Rob T. Lee, qui a piloté l’étude, résume la bascule avec justesse : les organisations ont des gens, mais ces gens sont débordés, sous-dotés, et incapables de développer les capacités dont ils ont besoin parce qu’ils passent leurs journées à faire tourner l’existant.
Un second rapport, publié par Fortinet début 2026 à partir de 2 750 décideurs interrogés fin 2025, prolonge le constat. 56% des organisations désignent le manque de compétences et de personnel formé comme l’une des principales causes des incidents qu’elles ont subis, un chiffre remarquablement stable depuis 3 ans. Et 71% estiment que ce déficit crée un risque supplémentaire pour leur organisation, en hausse par rapport aux deux tiers de l’année précédente. Une troisième enquête, menée en 2026 par l’ISSA et le cabinet Omdia auprès de 380 professionnels, enfonce le clou : 3 organisations sur 4 considèrent que le déficit de compétences affecte directement leur niveau de sécurité. L’échantillon est plus modeste, la prudence s’impose donc sur ce dernier chiffre, mais il pointe dans la même direction que les deux précédents.
Et la France dans tout cela ? L’Observatoire des métiers de l’ANSSI recensait environ 23 000 offres d’emploi sur 12 mois (de juin 2023 à juin 2024), pour près de 15 000 postes réputés non pourvus, après une hausse des offres de 49% entre 2019 et 2024. Le chiffre impressionne, mais il mérite une lecture fine, et en tant que cabinet de recrutement cybersécurité et sûreté, nous l’avons détaillée dans notre analyse du grand décalage du marché français. Un poste non pourvu ne signifie pas qu’un recrutement sera facile, ni qu’un candidat correctement certifié décrochera automatiquement le rôle. Le marché se segmente : les fonctions à forte valeur d’analyse et de décision restent recherchées, tandis que les postes purement techniques d’exécution subissent une pression croissante. C’est précisément là que le déficit de compétences devient tangible.
Les compétences qui montent : sécuriser une intelligence artificielle que tout le monde adopte
Si l’écart se creuse, c’est en grande partie parce que le terrain de jeu s’est agrandi du jour au lendemain. L’adoption de l’intelligence artificielle en cybersécurité n’est plus une hypothèse de laboratoire. Selon l’enquête ISSA-Omdia, 83% des organisations utilisent déjà ou prévoient d’adopter l’intelligence artificielle pour des tâches de sécurité. Fortinet va plus loin et relève que 91% des répondants s’en servent ou l’expérimentent. Du côté du SANS, 74% affirment que l’intelligence artificielle modifie déjà la structure et les rôles de leurs équipes. La vague n’arrive pas, elle est là.
Or, adopter un outil et savoir le sécuriser sont deux compétences distinctes. Une organisation qui déploie un assistant fondé sur un grand modèle de langage ouvre, sans toujours le mesurer, une nouvelle surface d’attaque. De nouveaux savoir-faire deviennent alors incontournables. Sécuriser les modèles eux-mêmes, en s’appuyant sur des référentiels désormais reconnus comme le Top 10 de l’OWASP dédié aux applications à base de grands modèles de langage, ou la matrice MITRE ATLAS qui cartographie les techniques d’attaque visant les systèmes d’apprentissage automatique. Détecter les injections de requêtes, ces instructions malveillantes glissées dans une saisie pour détourner un modèle de sa fonction. Valider, enfin, les résultats produits par les machines, car un modèle génère vite, mais se trompe avec le même aplomb qu’il a raison.
Le marché du recrutement traduit déjà cette exigence. Fortinet observe que 60% des organisations peinent avant tout à trouver des candidats disposant d’une expérience concrète de l’intelligence artificielle appliquée à la sécurité, et que 63% anticipent un besoin accru de fonctions de supervision et de gouvernance de ces systèmes. La demande existe. L’offre de profils réellement compétents, elle, reste rare.
Le paradoxe mérite d’être souligné, car il résume tout. Les organisations adoptent massivement, mais maîtrisent peu. Le SANS relève que 21% seulement disposent d’un cadre complet de sécurisation de l’intelligence artificielle, et que 38% proposent une formation vraiment aboutie sur le sujet, alors même que plus d’une sur deux a déjà rédigé des politiques internes. On écrit les règles avant de savoir les appliquer. Voilà le déficit de compétences dans sa version la plus concrète.
Les compétences intemporelles que l’intelligence artificielle revalorise
Il serait tentant de conclure qu’il suffit de se ruer sur les sujets techniques du moment. Ce serait passer à côté du mouvement de fond. Car en automatisant la production, l’intelligence artificielle revalorise précisément ce qu’elle ne sait pas faire : juger.
Melinda Marks, directrice du pôle cybersécurité chez Omdia, le formule sans détour : l’intelligence artificielle ne comblera pas le déficit de compétences toute seule. Une machine peut trier des milliers d’alertes, rédiger un premier jet de rapport ou proposer une remédiation. Mais quelqu’un doit encore décider si la piste est sérieuse, contextualiser le risque, arbitrer entre deux priorités et, souvent, expliquer la situation à une direction qui n’a ni le temps ni le vocabulaire technique. L’esprit critique, le jugement, la capacité à traduire une vulnérabilité en enjeu d’entreprise deviennent le véritable goulot d’étranglement. Ce ne sont pas des compétences accessoires, ce sont les nouvelles compétences rares.
Fortinet le confirme d’ailleurs à sa manière : 57% des organisations anticipent un besoin de requalification ou de montée en compétences de leur personnel existant pour travailler efficacement avec ces outils. On ne remplace pas les équipes, on les fait grandir. La bonne question n’est donc pas « l’intelligence artificielle va-t-elle supprimer des postes ? » mais « quels savoir-faire humains deviennent décisifs quand la machine se charge du reste ? ».
Ce que cela change pour la préparation des candidats
Ici se joue un basculement que trop de parcours de formation n’ont pas encore intégré. Pendant longtemps, la voie d’entrée classique passait par le poste d’analyste de premier niveau, celui qui surveille, trie et qualifie les alertes. C’était la porte d’accès naturelle au métier. Le problème, c’est que cette porte se referme lentement. Le SANS relève que 49% des organisations constatent déjà une réduction du temps d’analyse manuelle grâce à l’intelligence artificielle, et que 48% automatisent une partie de leurs processus. Les tâches répétitives, celles qui servaient de terrain d’apprentissage, sont justement les premières absorbées par la machine.
Continuer à préparer les candidats uniquement à ces fonctions, c’est les former consciencieusement à un métier en voie de compression. En tant que cabinet de recrutement cybersécurité spécialisé, nous en parlions déjà à propos de la reconversion vers la cybersécurité : le nombre de postes vacants ne garantit jamais que le vôtre vous attende. La préparation doit changer de cible. Il ne s’agit plus d’apprendre à exécuter une procédure, mais à superviser un système, à valider un résultat, à challenger une recommandation automatique et à porter une décision. Bref, à faire ce que l’intelligence artificielle ne fait pas.
Ce déplacement est une excellente nouvelle pour qui sait réfléchir. Les profils curieux, capables de comprendre un contexte métier et d’apprendre en continu, n’ont jamais eu autant de valeur. Encore faut-il les préparer à la bonne chose, au bon moment.
Le rôle d’une académie : le pont entre la certification et le terrain
C’est exactement là qu’une académie cyber prend tout son sens. Entre le référentiel d’une certification et la réalité d’un poste, il existe un fossé que beaucoup découvrent le jour de leur prise de fonction. Les cadres de référence européens, comme le référentiel de compétences en cybersécurité porté par l’ENISA, structurent utilement les métiers et le vocabulaire. Mais un référentiel décrit une cible, il ne remplace pas l’entraînement.
Une académie cyber sert précisément à combler cet écart. Positionner les candidats sur ce qui est réellement demandé, les confronter à des situations proches du terrain, travailler autant le jugement que la technique, et les préparer à ces compétences liées à l’intelligence artificielle qui manquent cruellement au marché. C’est l’ambition de l’académie que Rehackt construit actuellement, en complément de son activité de recrutement : mieux préparer les candidats actuels et futurs, pour que la rencontre entre un profil et un poste cesse d’être un pari et même au-delà, les préparer à leur onboarding dans leur future entreprise.
Et le message aux entreprises est le pendant exact de celui adressé aux candidats. Cessez de chercher la perle rare, ce profil mythique qui maîtriserait déjà l’intelligence artificielle offensive, la conformité réglementaire et l’art d’apaiser un comité de direction, le tout pour le prix d’un débutant. Misez plutôt sur un socle solide et sur la montée en compétences. C’est plus rapide, plus fiable, et infiniment moins frustrant que d’attendre un mouton à cinq pattes qui ne franchira jamais votre porte.
5 compétences à travailler dès maintenant pour rester pertinent en 2027
Voici 5 chantiers concrets, utiles autant aux candidats qu’aux responsables qui structurent leurs équipes.
- Sécuriser et auditer les systèmes d’intelligence artificielle, en s’appropriant les référentiels de référence (Top 10 OWASP pour les grands modèles de langage, matrice MITRE ATLAS).
- Détecter et contrer les injections de requêtes et les autres manipulations de modèles, qui deviennent une porte d’entrée à part entière.
- Valider et challenger les résultats produits par les machines, c’est-à-dire appliquer un esprit critique méthodique plutôt que faire confiance par défaut.
- Traduire un risque technique en décision pour un dirigeant, une compétence de communication qui vaut aujourd’hui de l’or.
- Maîtriser la gouvernance et la conformité de l’intelligence artificielle, dans un contexte réglementaire de plus en plus exigeant, à commencer par la directive NIS2.
L’avis de Rehackt
Disons-le avec le sourire : la perle rare n’existe pas, la compétence rare, si. La première est un fantasme de fiche de poste, la seconde se cultive. Le marché a passé des années à réclamer des profils introuvables tout en négligeant de faire grandir ceux qu’il avait sous la main. L’intelligence artificielle vient siffler la fin de la récréation. Elle ne remplacera pas le jugement, l’esprit critique et la capacité à expliquer un risque à un dirigeant. Elle les rend, au contraire, plus précieux que jamais. La bonne stratégie n’a donc rien de révolutionnaire : recruter sur le potentiel, former sur la durée, et arrêter de confondre un diplôme avec une compétence opérationnelle. En cybersécurité comme ailleurs, on ne trouve pas les talents au fond d’un vivier, on les prépare.
Et concrètement, on fait quoi ?
Si vous dirigez une organisation et que vous cherchez à structurer une équipe cyber sans attendre un profil parfait qui n’arrivera jamais, c’est exactement notre métier. En tant que cabinet de recrutement cybersécurité, Rehackt vous aide à identifier les compétences réellement utiles à votre contexte et à votre niveau de maturité, puis à recruter les personnes capables de monter en puissance. Et pour les candidats qui veulent se préparer à ce que le marché demande vraiment, notre académie cyber arrive : n’hésitez pas à nous en faire la demande dès aujourd’hui pour être informé de son lancement.
Parlons de votre besoin. Confier un recrutement ou échanger sur la structuration de votre fonction cybersécurité, cela commence par une simple conversation.
Pour aller plus loin (maillage interne)
- Cybersécurité en France : le grand décalage de 2025 et les perspectives 2026
- Reconversion en cybersécurité : pourquoi autant de postes vacants ne garantissent pas le vôtre (URL exacte à confirmer)
Sources et niveau de preuve
Faits avérés (sources primaires vérifiées) :
- SANS 2026 Cybersecurity Workforce Report (947 répondants, présenté au printemps 2026) : 60 % citent le déficit de compétences comme premier défi contre 40 % pour le manque d’effectifs ; 74 % constatent un impact de l’IA sur les rôles ; 21 % disposent d’un cadre complet de sécurisation de l’IA ; 38 % offrent une formation aboutie.
- Fortinet 2026 Cybersecurity Skills Gap Report (2 750 décideurs, terrain décembre 2025) : 56 % (cause d’incidents), 71 % (risque additionnel), 91 % (usage ou expérimentation de l’IA), 60 % (difficulté à recruter des profils expérimentés en IA), 57 % (besoin de montée en compétences).
- ISSA / Omdia 2026 (380 professionnels) : 75 % (impact du déficit sur le niveau de sécurité), 83 % (usage ou adoption prévue de l’IA), 25 % sans stratégie reliant les investissements en IA aux équipes. Citation de Melinda Marks (Omdia).
- ANSSI, Observatoire des métiers : environ 23 000 offres sur douze mois, près de 15 000 postes non pourvus, hausse de 49 % des offres entre 2019 et 2024.
Interprétations et hypothèses plausibles : la lecture selon laquelle le poste d’analyste de premier niveau se comprime, et le lien direct entre adoption de l’IA et nouvelles compétences requises, sont des interprétations cohérentes avec les données, mais restent des tendances, non des certitudes chiffrées.
Éléments à actualiser ou incertains : les pourcentages bougent d’une enquête à l’autre selon la taille et la géographie des échantillons (l’ISSA-Omdia repose sur un échantillon réduit).
Un recrutement cyber à confier ? On en parle directement avec vous.
