En 2023, un intitulé faisait tourner les têtes : prompt engineer, que l’on pourrait traduire par « ingénieur des requêtes ». Le métier le plus convoité de la technologie, nous disait-on, celui qui murmurait à l’oreille des modèles de langage. Des formations éclair promettaient d’y conduire au pas de course. Deux ans plus tard, en avril 2025, le Wall Street Journal le déclarait « pratiquement obsolète » : les modèles avaient appris à reformuler eux-mêmes ce qu’on leur demandait, et la compétence s’était dissoute dans l’usage courant.
Le plus instructif n’est pas la chute. C’est la vitesse. Une compétence est passée du statut de rareté stratégique à celui de savoir-faire banal en moins de temps qu’il n’en faut pour amortir un recrutement. Pensez aux entreprises qui avaient bâti un poste entier autour d’elle : un intitulé orphelin, un titulaire désorienté et une question embarrassante en comité de direction.
C’est exactement le scénario que nous voyons se dessiner, en tant que cabinet de recrutement cybersécurité, à plus grande échelle, dans la façon dont certaines organisations constituent aujourd’hui leurs équipes d’intelligence artificielle et de sécurité. On ouvre les vannes, on recrute sur un mot-clé, puis on rétropédale. La question n’est donc pas « faut-il recruter des compétences IA ? », mais une autre, plus inconfortable : comment savoir quelle compétence recruter quand l’entreprise, le marché et les métiers apprennent tous en marchant, et au même pas ?
Apprendre en marchant, le nouveau régime commun
Commençons par le décor, car il est mouvant pour tout le monde.
Côté adoption, la pente est raide. Selon l’Insee, 18 % des entreprises implantées en France déclaraient utiliser au moins une technologie d’intelligence artificielle en 2025, contre 6 % en 2023. Le taux a triplé en 2 ans, et l’Union européenne dans son ensemble atteint 20 %. Détail qui intéresse directement les directions des ressources humaines : parmi les entreprises utilisatrices, 53 % se disent freinées par un manque d’expertise. On a donc branché l’outil avant d’avoir trouvé qui saurait s’en servir, le surveiller et en répondre.
Côté sécurité, l’étude mondiale de l’ISC2 publiée fin 2025, menée auprès de 16 029 professionnels, place l’IA en tête des compétences manquantes, citée par 41 % des répondants. Mais la même étude dresse un tableau beaucoup moins euphorique des équipes : 24 % des organisations déclarent avoir procédé à des licenciements dans leurs équipes de cybersécurité, 36 % des coupes budgétaires, et plus d’un tiers ont gelé leurs recrutements. Autrement dit, on manque de compétences tout en supprimant des postes. Ce n’est pas une contradiction, c’est un symptôme : les effectifs qui partent ne sont pas ceux qui manquent.
Côté promesses, l’atterrissage a commencé. En août 2025, le cabinet d’analyse Gartner faisait entrer l’IA générative dans ce qu’il appelle le « creux de la désillusion », la phase où l’enthousiasme initial rencontre les limites du réel. Quelques semaines plus tôt, il prédisait que plus de 40 % des projets d’agents autonomes seraient abandonnés d’ici fin 2027, pour cause de coûts qui s’envolent, de valeur incertaine ou de contrôle des risques insuffisant. Il ajoutait, non sans malice, que sur les milliers de fournisseurs qui se présentent comme spécialistes des agents, environ 130 le seraient réellement.
Côté référentiels, enfin, le retard est structurel. Le cadre européen des compétences en cybersécurité publié par l’ENISA en 2022 décrit 12 profils, du responsable de la sécurité au testeur d’intrusion. Aucun n’est consacré à l’IA. Question de tempo plus que de négligence : un référentiel décrit ce qui s’est stabilisé.
Les entreprises le sentent confusément. Dans son enquête de mai 2026 auprès de 1 000 entreprises, l’Apec observe qu’environ 2 entreprises sur 10 accordent déjà de l’importance aux compétences en IA dans leurs recrutements de cadres, mais que 53 % des grandes entreprises prévoient d’y accorder davantage de poids. Traduction : la majorité s’apprête à recruter sur un critère qu’elle n’a pas encore appris à évaluer.
Pourquoi les vannes se referment
Le rétropédalage ne tombe pas du ciel. En tant que cabinet de recrutement cybersécurité, nous constatons qu’il suit presque toujours la même mécanique, que l’on peut décomposer en quatre temps.
Premier temps, l’urgence perçue.
Un concurrent communique sur son assistant maison, un administrateur pose une question en conseil, un éditeur fait une démonstration éblouissante. L’IA entre dans la feuille de route par la porte de la peur de rater le train, rarement par celle d’un problème métier clairement identifié.
Deuxième temps, la traduction hâtive en postes.
Faute de savoir précisément ce qu’on attend, on emprunte des intitulés qui circulent : expert IA générative, ingénieur en requêtes, spécialiste des agents. On les assortit d’une liste d’outils, parce que les outils, eux, ont des noms, et qu’un nom rassure.
Troisième temps, l’absence de rattachement.
Le poste est créé, mais personne ne sait vraiment à qui il rend compte. À la direction informatique, qui le voit comme un projet de plus ? À la sécurité, qui découvre son existence au moment de l’intégration ? À une direction métier, qui le traite comme un prestataire interne ? À la direction générale, qui n’a pas le temps de l’animer ?
Quatrième temps, la désillusion.
Le projet pilote ne passe pas en production, l’outil change de version, le fournisseur est racheté, ou le besoin se révèle plus modeste qu’annoncé. Le poste devient orphelin, puis coûteux, puis superflu.
Prenons un cas, composite et fictif, assemblé à partir de situations courantes et ne décrivant aucune entreprise réelle. Une entreprise de services de quelque 800 salariés recrute en 2024 deux « experts IA générative » en contrat à durée indéterminée, rattachés à une cellule innovation. Leur mission tient en une phrase : « déployer l’IA dans les métiers ». Ils construisent trois démonstrateurs remarquables. Aucun n’entre en production, faute de données exploitables, de validation juridique et d’adhésion des équipes. 18 mois plus tard, la cellule est dissoute dans une réorganisation. L’un part de lui-même, l’autre est reclassé sur un poste qui ne lui correspond pas. Pendant ce temps, l’entreprise n’a toujours personne pour répondre à la seule question que son assureur lui pose désormais : qui contrôle les accès de ces outils aux données des clients ?
Ce scénario a un précédent direct : la croissance rapide de certaines équipes de cybersécurité entre 2021 et 2023, suivie des coupes que décrit l’ISC2. Même ressort, mêmes effets. On a recruté du volume là où il fallait de la structure.
Recruter des compétences IA : trois natures, trois manières
Pour recruter des compétences IA sans rejouer cette mécanique, il faut accepter une idée simple : toutes les compétences ne vieillissent pas au même rythme, et il est absurde de les acquérir toutes de la même manière.
Les compétences durables.
Ce sont celles qui traversent les vagues technologiques sans perdre leur valeur : l’architecture des systèmes, la gestion des identités et des accès, l’analyse de risque, la compréhension des réseaux, la logique de l’attaquant, la rigueur de la donnée. Un spécialiste des identités formé à l’époque des annuaires d’entreprise est aujourd’hui l’un des profils les plus précieux pour encadrer des agents d’IA qui disposent de leurs propres droits. Le contexte a changé, le socle a tenu. C’est sur ces compétences que l’on recrute dans la durée.
Les compétences de jonction.
Ce sont les plus rares, et paradoxalement les moins mises en avant dans les annonces : savoir traduire un risque technique en arbitrage financier, faire dialoguer le juridique, la sécurité et un métier pressé, décider sous incertitude et rendre compte de sa décision. Elles sont tout aussi durables que les précédentes. Elles font la différence entre une équipe qui livre des démonstrateurs et une équipe qui livre des usages maîtrisés. Nous en parlions dans le déficit n’est plus de bras, mais de compétences : c’est là que se joue l’essentiel.
Les compétences d’outil.
Maîtriser tel logiciel, telle plateforme, telle version d’un cadre de développement, tel mode d’emploi d’un fournisseur. Elles sont indispensables au quotidien, et périssables par nature. Le prompt engineer en est l’illustration chimiquement pure.
D’où une règle, volontairement abrupte, que nous proposons de garder en tête au moment d’ouvrir un poste : si la compétence que vous cherchez porte le nom d’un outil, elle ne justifie pas, à elle seule, un contrat à durée indéterminée. Elle s’achète en mission, se transmet par la formation ou s’acquiert en quelques mois par un profil durable bien choisi. Ce qui mérite un engagement de long terme, c’est le socle et la jonction. L’outil, lui, se loue.
Les nouveaux métiers, lus comme une séquence et non comme un catalogue
Venons-en aux métiers eux-mêmes. En tant que cabinet de recrutement cybersécurité, plutôt que d’en dresser l’inventaire, ce qui reviendrait à recommencer l’erreur de l’intitulé à la mode, regardons-les dans l’ordre où ils ont généralement du sens.
Le pilote de la fonction.
Selon la taille de l’organisation, il peut s’agir d’un directeur de l’IA, d’un responsable des usages ou d’un responsable de la sécurité qui élargit son périmètre. Son rôle n’est pas de coder, mais de cartographier les usages, d’arbitrer les priorités et de rendre compte au comité de direction dans une langue que la direction financière comprend. Dans une fonction qui émerge, le premier recrutement est surtout celui qui définira les suivants. C’est donc un profil de structuration, choisi pour sa capacité de jonction plus que pour sa virtuosité technique. Pour les postes de direction, ce recrutement relève d’une démarche de chasse plus que d’une annonce.
L’ingénieur sécurité des systèmes d’IA.
Nous avions détaillé ce métier, souvent désigné sous l’intitulé anglais d’AI Security Engineer, à l’occasion de l’incident Hugging Face. Il conçoit et contrôle la sécurité des chaînes qui alimentent, entraînent et exposent les modèles. Profil rare, à la croisée du développement, de l’architecture et de la sécurité applicative. Il intervient dès que des systèmes d’IA touchent des données sensibles ou des processus critiques.
Le spécialiste des tests offensifs sur les systèmes d’IA.
Il éprouve un assistant ou un agent comme le ferait un attaquant : instructions dissimulées dans un document, détournement d’objectif, enchaînement d’outils non prévu. C’est typiquement une compétence que l’on gagne à mobiliser ponctuellement, par mission, tant que le volume ne justifie pas un poste permanent.
Le responsable de la conformité et de la gouvernance de l’IA.
Il fait tenir ensemble le règlement européen sur l’IA, la protection des données et les obligations de sécurité. Précision utile, car le cadre bouge lui aussi : l’obligation de maîtrise de l’IA prévue par l’article 4 de ce règlement, applicable depuis février 2025, a été assouplie par le règlement de simplification entré en vigueur le 27 juillet 2026, qui demande désormais aux fournisseurs et aux déployeurs de favoriser cette maîtrise chez leur personnel plutôt que d’en garantir un niveau suffisant. Moins de risque juridique, donc, mais pas moins de travail : la bonne pratique demeure, et le profil qui sait l’organiser aussi. Ce rôle peut souvent naître d’une évolution interne, à partir d’un juriste du numérique ou d’un responsable de la conformité.
L’ingénieur en industrialisation des modèles.
Il fait passer un modèle du démonstrateur à la production, puis le surveille : qualité des données, dérive des résultats, traçabilité des versions, coûts d’exécution. C’est souvent le maillon manquant des projets qui meurent au stade pilote. Son pendant sécurité, qui contrôle l’intégrité de cette chaîne, est encore plus rare.
Le référent IA dans chaque direction métier.
Ce n’est presque jamais un recrutement. C’est une personne en poste, qui connaît son métier et accepte d’en devenir le relais : remonter les usages, signaler les dérives, porter les bonnes pratiques. Il ne coûte presque rien, et il évite beaucoup.
Ce qui frappe, à la lecture de cette séquence, c’est la proportion de rôles qui ne se recrutent pas d’emblée. Le pilote, oui. Les spécialistes de la sécurité et de l’industrialisation, quand le volume est là. Le reste se mobilise par mission, se fait émerger en interne ou se forme. C’est exactement l’inverse de ce que produit l’ouverture de postes au mot-clé.
Quand un besoin devient-il un poste ?
C’est la question que nous posons le plus souvent en cadrage, en tant que cabinet de recrutement cybersécurité, et celle à laquelle on répond le moins souvent avant d’ouvrir un recrutement. Elle ne se règle pas avec une grille universelle, car la réponse dépend de votre organisation, de votre secteur et de vos contraintes réglementaires. Quelques signaux, toutefois, ne trompent guère.
Le premier tient au volume. Un besoin qui revient chaque semaine n’a pas la même nature qu’un besoin qui surgit à chaque nouveau projet. Le second tient à la propriété : si personne, dans l’organisation, n’est prêt à dire « ce poste me rend compte, et je réponds de ses résultats », le poste n’est pas mûr, quelle que soit l’urgence affichée. Le troisième tient à l’horizon budgétaire : un financement qui ne tient que le temps d’un projet pilote finance une mission, pas un contrat à durée indéterminée.
Il en existe d’autres, qui touchent à la nature des livrables, à la maturité des données, à la place de la sécurité dans la gouvernance, et à la manière dont le futur titulaire sera évalué. C’est précisément leur combinaison qui permet de choisir entre recruter, faire évoluer un collaborateur en place, mobiliser une expertise ponctuelle, ou ne rien faire pour l’instant. Cette dernière option est plus souvent la bonne qu’on ne le croit, et elle a l’avantage de ne rien coûter en indemnités.
Reste l’évaluation des candidats, qui pose un problème spécifique : comment juger une compétence qui n’existait pas il y a trois ans ? Les diplômes ne la couvrent pas, les certifications naissent à peine, et l’expérience se compte en mois. Une question, parmi celles que nous utilisons, donne souvent une première indication : « Qu’avez-vous appris de significatif ces 6 derniers mois, et comment vous y êtes-vous pris ? » Ceux qui apprennent vraiment racontent une méthode, des erreurs, un projet. Les autres récitent un programme de formation. La suite de l’évaluation, plus exigeante, fera l’objet d’un prochain article : la frontière entre compétence réelle et vocabulaire bien appris n’a jamais été aussi poreuse.
Ce que coûte un aller-retour
Ouvrir puis fermer un poste n’est jamais une opération blanche. Il y a les coûts visibles : la procédure de recrutement, la période d’intégration, la rupture éventuelle. Et il y a ceux qui ne figurent dans aucun tableau de bord, que nous détaillions dans le coût réel d’un poste cyber non pourvu : le temps des équipes, les projets retardés, l’expertise partie avec le titulaire.
À ces coûts s’en ajoute un autre, plus insidieux : la mémoire du marché. Les viviers de la cybersécurité et de l’IA sont étroits, et les professionnels s’y connaissent. Une organisation qui a recruté puis supprimé des postes dans l’année s’en voit rappeler l’épisode à la campagne suivante, lors des entretiens, dans les réseaux professionnels, parfois dans les prétentions salariales. L’ISC2 relève d’ailleurs que 72 % des professionnels jugent que réduire les effectifs de sécurité augmente significativement le risque d’incident. Il y a fort à parier qu’ils s’en souviennent au moment de choisir leur employeur. Nous consacrerons à ce sujet un article à part entière.
Par où commencer, selon votre maturité
Vos équipes utilisent l’IA, sans que personne n’en ait la charge.
Ne recrutez pas encore une équipe. Commencez par identifier qui pilotera la fonction, et par recenser les usages réels. Si la fonction sécurité elle-même n’existe pas, la priorité est ailleurs, et nous l’abordions dans première recrue cybersécurité, trois options imparfaites et une décision à prendre.
Quelques projets sont en production.
Le moment est venu de recruter un ou deux profils durables, choisis pour leur socle et leur capacité de jonction, et de mobiliser les expertises pointues par mission. C’est aussi le moment de désigner des référents dans les métiers, avant que les usages ne se multiplient sans eux.
L’IA est au cœur de vos processus.
La question devient celle de l’organisation : rattachement de la fonction, articulation avec la sécurité et la conformité, pilotage par la direction générale. Elle appelle souvent un recrutement de direction, et une feuille de route de compétences sur plusieurs années.
Dans chacun de ces cas, notre travail de cabinet de recrutement cybersécurité commence avant l’annonce : distinguer ce qui se recrute de ce qui se forme et de ce qui s’achète, et le dire quand un recrutement n’est pas la bonne réponse. Il continue après la signature, puisque nous construisons pour les candidats que nous plaçons un parcours de préparation à la prise de poste, établi à partir de leur matrice de compétences, afin d’accélérer précisément la montée en compétences que ces métiers exigent. Côté candidats, l’Académie Cyber travaille en amont les aptitudes comportementales que réclament ces fonctions de jonction.
L’avis de Rehackt
Le problème n’est pas de recruter trop, mais de recruter trop tôt ce qui aurait dû attendre, et trop tard ce qui aurait dû commencer.
Les équipes qui rétropédalent ont rarement manqué d’ambition. Elles ont confondu l’urgence d’avoir une réponse avec l’urgence d’avoir un effectif.
Un intitulé à la mode n’est pas une stratégie.
Si votre offre d’emploi ressemble mot pour mot à celle d’une entreprise d’un autre secteur, d’une autre taille et d’un autre continent, ce n’est pas un signe de modernité. C’est un signe que le besoin n’a pas encore été formulé.
Apprendre en marchant est une excellente méthode, à condition de savoir où l’on pose le pied.
L’incertitude n’interdit pas de recruter. Elle interdit de recruter sans hiérarchiser ce qui doit durer, ce qui doit relier et ce qui peut passer.
Et pour ceux qui s’interrogent encore : non, l’ingénieur des requêtes ne reviendra pas. Mais celui qui savait déjà formuler un problème avec précision, lui, n’a jamais cessé d’être recherché.
Ce qui est établi, ce qui relève de notre lecture
Faits vérifiés et sourcés.
Les taux d’usage de l’IA publiés par l’Insee en juillet 2026. L’étude de l’ISC2 de décembre 2025. Les communiqués de Gartner de juin et août 2025. Le cadre européen des compétences de l’ENISA. L’enquête de l’Apec de mai 2026. Le contenu du règlement (UE) 2026/1744 et ses dates.
Données à lire avec prudence.
L’étude de l’ISC2 est déclarative, mondiale, et la France n’y pèse que 2 % de l’échantillon ; ses chiffres de gel des recrutements varient d’ailleurs selon les pages de sa publication, d’où notre formulation prudente. Les projections de Gartner sont des prédictions, pas des constats. L’obsolescence du prompt engineer est rapportée par la presse économique américaine, et non mesurée par une statistique publique.
Notre lecture, assumée comme telle.
La décomposition du rétropédalage en quatre temps. La distinction entre compétences durables, de jonction et d’outil. La séquence des métiers. Le parallèle avec les équipes de cybersécurité de 2021 à 2023, qui s’appuie sur les tendances mondiales de l’ISC2 et sur notre observation du marché, pas sur une série statistique française.
Zones d’incertitude.
Aucune source publique française ne mesure aujourd’hui les créations et suppressions de postes liés à l’IA dans les entreprises. Les intitulés de ces nouveaux métiers ne sont stabilisés dans aucune nomenclature officielle. Le cas présenté plus haut est composite et fictif.
Vous hésitez entre ouvrir un poste, confier une mission ou attendre ? C’est exactement la conversation que nous aimons avoir avant, plutôt qu’après. Prenons trente minutes pour cadrer votre besoin : vous repartirez au minimum avec une lecture claire de ce qui se recrute, et de ce qui peut encore attendre.
Sources
- Insee Première n° 2120, « Les technologies de l’information et de la communication dans les entreprises en 2025 », 21 juillet 2026 : https://www.insee.fr/fr/statistiques/9025878
- ISC2, 2025 Cybersecurity Workforce Study, décembre 2025 : https://www.isc2.org/Insights/2025/12/2025-ISC2-Cybersecurity-Workforce-Study
- Gartner, Hype Cycle for Artificial Intelligence 2025, communiqué du 1er août 2025, repris par Security Worldmarket : https://www.securityworldmarket.com/int/News/Business-News/the-hype-cycle-for-ai-now-goes-beyond-gen-ai
- Gartner, « Gartner Predicts Over 40% of Agentic AI Projects Will Be Canceled by End of 2027 », 25 juin 2025 : https://www.gartner.com/en/newsroom/press-releases/2025-06-25-gartner-predicts-over-40-percent-of-agentic-ai-projects-will-be-canceled-by-end-of-2027
- ENISA, European Cybersecurity Skills Framework (ECSF) : https://www.enisa.europa.eu/press-office/press-and-media/european-cybersecurity-skills-framework-ecsf
- Apec, « Les cadres et l’IA », mai 2026 : https://www.banquedesterritoires.fr/sites/default/files/2026-05/210526%20-%20Etude%20Apec%20-%20Cadres%20et%20IA.pdf
- Règlement (UE) 2026/1744 modifiant le règlement sur l’intelligence artificielle, Journal officiel de l’Union européenne : https://eur-lex.europa.eu/eli/reg/2026/1744/oj
- Analyse juridique du règlement 2026/1744 et de l’article 4 : https://www.adoue-avocat.fr/articles/omnibus-ia-reglement-2026-1744-ce-qui-change
- TechRepublic, synthèse de l’article du Wall Street Journal sur l’obsolescence du prompt engineer, 28 avril 2025 : https://www.techrepublic.com/article/news-prompt-engineering-ai-jobs-obsolete/
Un recrutement cyber à confier ? On en parle directement avec vous.
