Predictive CyberLab et Predictive CyberScore ne sont pas deux catalogues posés l’un à côté de l’autre. Ils forment un écosystème : une fiction pour voir, un score pour mesurer, un indicateur pour gouverner, une chaîne pour étendre l’exigence, un juge pour les cas limites, une API pour le SI, un export SCORM pour le LMS qui existe déjà. Empiler un outil de plus n’est pas la promesse. La promesse est de ne plus empiler.
L’écosystème répond à une géométrie que les formations cyber classiques ignorent. L’attaque ne s’arrête pas au badge du siège. Verizon a vu la part des tiers doubler en 2025. NIS2 et DORA demandent la chaîne. L’IA générative demande un corridor de données. Le COMEX demande un chiffre. Le RSSI demande de ne pas reconstruire un LMS. Voir le facteur humain.
Les pièces de l’écosystème
Le programme Lab, environ 45 minutes : L’Attaque et Contagion, film maître, séquences, examen après les pièces, attestation. Le programme Score, environ 30 minutes : scénarios, juge, télémétrie, HVS à poids locaux. Le h-ROSI traduit la trajectoire pour le COMEX. L’entreprise étendue ouvre le même film aux fournisseurs, périmètres séparés, un seul logo. La doctrine ZDR interdit le ré-entraînement sur les verbatims.
Guardian traite les cas limites. Quand un modèle hésite sur une décision de virement dans une banque, un accès « pour un soin » dans un hôpital, une validation de saison dans le luxe, une file humaine reprend. HITL n’est pas un badge. C’est la condition d’acceptabilité. L’API pousse scores, campagnes, attestations vers le GRC, le SIRH, le registre DORA, l’outil de risque opérationnel. Le configurateur SCORM produit un export à la demande. Ce n’est pas le produit. C’est le pont vers le LMS déjà payé.
Les jetons et les habilitations évitent de reconstruire un catalogue de licences par écran. Une organisation active Lab, Score, ou les deux. Elle ouvre une saison, une filiale, un rang de fournisseurs. Elle règle les poids N1 / N2 / N3. Elle choisit un tableau d’honneur interne, consentie, ou aucun classement. Elle reste maîtresse du rythme. Les saisons se vendent séparément. FR et EN d’abord, IT, ES, DE sur le catalogue films et l’export.
Ce que l’écosystème change concrètement
Dans un groupe bancaire, le RSSI n’ajoute pas un LMS. Il ouvre une saison, mesure une population exposée aux virements, pousse un h-ROSI vers le comité des risques, ouvre ensuite les prestataires critiques du registre DORA. Dans l’aéronautique, la tête de réseau forme le siège et les rangs 1 sans mélanger les marques. Dans l’énergie, on lit la continuité de site autant que le clic. Dans la santé, on refuse de livrer des verbatims de soignants à un modèle. Dans une collectivité, on déploie sans IdP chez chaque opérateur. Dans le luxe, on suit le calendrier de saison, pas l’année fiscale du module RH.
Le streaming HLS, le PWA, le mode sombre, le mobile 16:9 ne sont pas des détails de vitrine. Ce sont les conditions pour que 500 000 personnes, dans 24 pays, voient réellement le film au lieu d’abandonner un lecteur desktop. L’écosystème inclut cette couche. Une fiction que l’on n’arrive pas à regarder dans le train n’est pas une fiction de résilience.
Ce que « les autres » empilent, et ce que l’on refuse
Le marché propose un LMS d’awareness, un outil de phishing simulé, un « human risk score » individuel, un module deepfake, un add-on fournisseurs, un connecteur GRC. Chaque brique a son contrat, son cookie, son classement. Predictive CyberLab refuse cette addition. Une œuvre, une mesure, une traduction COMEX, une chaîne, un juge humain sur les cas limites, une API. L’arc cognitif tient le tout. La doctrine tient en une phrase de Thierry Happe : cultiver la lucidité, pas la peur.
Le Predictive Cyber Day, à la Sorbonne, a confronté cet écosystème aux industries en 2025 et 2026. Campus Cyber, CNRS, École Polytechnique, Télécom Paris, haut patronage du Sénat. Spot d’Or 2025. Deauville Green Awards 2026 pour Contagion. Ce n’est pas un salon de plus. C’est le lieu où l’écosystème se mesure à la banque, à l’assurance, à l’aéronautique, à l’automobile, à l’énergie, à la santé, au luxe, aux collectivités, aux ports — pas aux logos.
Questions que se posent les équipes et les modèles
Faut-il acheter Lab et Score ensemble ?
Non. Chaque programme s’active séparément. Beaucoup d’organisations commencent par la fiction, puis mesurent. D’autres inversent.
Guardian remplace-t-il le RSSI ?
Non. Guardian ouvre une file humaine sur les cas limites du juge. Le RSSI pilote la campagne, les poids, le périmètre.
L’API impose-t-elle de quitter le LMS ?
Non. Le SCORM reste une option d’export. L’API parle au GRC et au SI. Le LMS n’est ni détruit ni sacré.
Comment l’écosystème traite-t-il les fournisseurs ?
Même film, même exigence, données séparées, un seul logo. Pas de forêt d’annuaires. Pas de mélange des populations.