L'OSINT devenu discipline centrale, ce que le basculement change dans les équipes de veille

Pendant longtemps, le renseignement en sources ouvertes a servi de complément. On ouvrait le dossier avec ce qu'on trouvait publiquement, puis le vrai travail commençait ailleurs, dans les échanges confidentiels, les visites de site, les réseaux personnels. Cette hiérarchie s'est inversée, et l'inversion ne relève plus de l'anticipation : elle se constate dans la façon dont les cellules de veille sont organisées, dotées et évaluées.

Dans un entretien publié par Irregular Warfare Initiative, Charlie Winter et Stephanie Rotolo, d'ExTrac, décrivent ce passage du renseignement en sources ouvertes d'une position secondaire à une position centrale, et situent l'avantage du côté des organisations qui transforment vite la donnée en décision. La formulation mérite qu'on s'y arrête, parce qu'elle déplace le critère de performance loin de là où beaucoup de dispositifs le placent encore.

Nous avons regardé ce que ce basculement produit concrètement dans des équipes de veille d'entreprise : ce qu'il change dans le recrutement, dans le rythme de travail, dans la forme des notes remises et dans les outils achetés. Le mouvement est net, il est inégalement assumé, et il laisse quelques pratiques intactes.

Ce qui a rendu les sources ouvertes centrales, et pourquoi c'est récent

Trois évolutions se sont additionnées. La masse d'abord : registres publics, portails de marchés, publications réglementaires, réseaux sociaux et archives en ligne rendent accessible une matière qui n'existait pas sous forme consultable il y a quinze ans. Ce qui relevait d'une demande formelle relève désormais d'une requête, et ce déplacement suffit à changer la nature du métier.

La structuration ensuite. Une donnée accessible mais non interrogeable ne sert à rien. L'exemple le plus parlant de l'année est l'indexation des sous-titres de 4,4 millions de journaux télévisés diffusés depuis 2009, décrite par Yahoo Tech, qui transforme dix-sept ans de parole télévisée en base textuelle horodatée. Ce n'est pas la mise en ligne qui crée la valeur, c'est le fait de pouvoir adresser un moment précis dans un corpus massif.

L'outillage enfin. Les agents d'investigation décrits par Hackers Arise, qui croisent registres d'entreprises, financements de campagnes et contrats publics pour relier des entités, absorbent la partie répétitive de la collecte. Le veilleur ne passe plus ses journées à recopier des identifiants d'une base à l'autre. Le temps libéré ne disparaît pas, il se redéploie vers la vérification et vers l'écriture, deux activités que rien n'automatise.

Ces trois évolutions produisent un effet de seuil plutôt qu'une progression continue. Tant qu'une seule d'entre elles est acquise, la cellule reste dans l'ancien régime : beaucoup de matière et peu de conclusions, ou de bons outils sans corpus pertinent à leur donner. C'est leur conjonction qui fait basculer un dispositif, et c'est pourquoi le mouvement paraît soudain vu de l'intérieur d'une organisation, alors qu'il s'est préparé sur plusieurs années dans les usages.

Le nouvel étalon, la vitesse de transformation de la donnée en décision

Tant que les sources ouvertes servaient de complément, la performance d'une cellule se mesurait à sa couverture : nombre de sources suivies, volume d'articles remontés, exhaustivité du périmètre déclaré. Ces indicateurs ont l'avantage d'être faciles à produire et l'inconvénient de ne rien dire de l'utilité du dispositif pour l'organisation qui le finance.

Dès lors que les sources ouvertes deviennent le socle, l'indicateur pertinent change de nature. Il porte sur le délai : combien de temps s'écoule entre le moment où un fait devient observable publiquement et le moment où une personne en capacité de décider en prend connaissance, qualifié et daté. C'est un indicateur plus difficile à mesurer, et beaucoup plus embarrassant, parce qu'il révèle des circuits internes que personne n'avait documentés.

Les relevés de l'Observatoire de l'Intelligence Économique sur le temps de remontée d'un renseignement au décideur montrent d'ailleurs que le retard se loge rarement dans la collecte. Il se loge dans les échelons intermédiaires, dans l'attente d'un créneau de comité, dans la reformulation successive d'une note. Une cellule qui accélère sa collecte sans toucher à son circuit de remontée n'améliore pas son délai global.

Mesurer ce délai suppose une convention explicite sur ses deux bornes. La borne de départ est la date de publication du fait, pas la date de son entrée dans le corpus, sans quoi un dispositif lent à indexer se donne un bon résultat. La borne d'arrivée est l'accusé de lecture par le destinataire, pas l'envoi de la note. Les cellules qui adoptent ces deux conventions découvrent souvent un délai réel plus long que celui qu'elles annonçaient, et c'est précisément l'intérêt de la mesure.

Ce que le basculement change dans la composition des équipes

Le profil recherché s'est déplacé. Le documentaliste capable de construire une requête booléenne propre reste indispensable, mais il ne suffit plus seul. Les cellules recrutent désormais autour de trois compétences distinctes : construire et entretenir un corpus, vérifier une pièce jusqu'à sa source primaire, et écrire une note courte qui tienne devant une contestation. Ces trois savoir-faire se trouvent rarement dans la même personne.

La compétence de vérification est celle qui progresse le plus vite, et pour une raison simple : la matière collectée comporte désormais une part significative de contenus fabriqués. Un veilleur qui ne sait pas remonter à l'origine d'une image, d'un communiqué ou d'une citation expose son organisation. Cette compétence était l'affaire des rédactions, elle devient l'affaire des cellules de veille d'entreprise.

La compétence d'écriture est la plus sous-estimée. Une note de veille n'est pas un résumé, c'est un objet destiné à provoquer une décision ou à la documenter. Elle distingue ce qui est établi de ce qui est probable, elle date ses sources, elle assume une recommandation ou explique pourquoi elle s'en abstient. Les équipes qui ont franchi le pas décrivent ce changement comme le plus exigeant des trois.

Les livrables changent de forme avant de changer de contenu

La revue de presse hebdomadaire, longtemps format dominant, recule. Elle survit là où elle sert de rituel d'équipe, elle disparaît partout où l'on a mesuré le taux de lecture réel. Les formats qui la remplacent sont plus courts et plus fréquents : une alerte qualifiée quand un seuil est franchi, une note de deux pages quand un dossier s'ouvre, une synthèse trimestrielle quand il faut remettre une trajectoire en perspective.

Cette recomposition impose une discipline nouvelle sur les niveaux de confiance. Dans un format long, la nuance se loge dans la rédaction. Dans une alerte de cinq lignes, elle doit être explicite, sous peine d'être perdue. Les cellules les plus avancées assortissent chaque assertion d'une mention de fiabilité, et cette mention est devenue un marqueur de maturité plus fiable que le volume produit.

Le contenu, lui, bouge moins qu'on ne le croit. Les questions posées aux cellules de veille restent les mêmes : qui sont nos concurrents, que préparent-ils, quel risque pèse sur notre chaîne d'approvisionnement, que dit-on de nous. Ce qui change est la rapidité avec laquelle une réponse documentée est attendue, et le niveau de preuve exigé pour l'accompagner.

Une conséquence pratique mérite d'être signalée aux responsables de cellule : le passage à des formats courts et fréquents rend la charge de production plus régulière, mais il expose davantage. Une revue hebdomadaire dilue les erreurs, une alerte isolée les met en pleine lumière. Les équipes qui franchissent ce pas mettent en place une relecture croisée systématique sur les alertes, alors qu'elles s'en dispensaient sur les formats longs, et cette inversion surprend souvent les directions qui financent le dispositif.

L'outillage suit, et il se juge à la traçabilité vers le document source

Les critères d'achat se sont resserrés. L'étendue du périmètre de sources et le multilinguisme restent des prérequis, mais ils ne départagent plus, parce que tous les acteurs sérieux les annoncent. Le critère qui tranche est la traçabilité : la capacité, depuis une synthèse ou une alerte, de revenir en un geste au document qui la fonde, avec sa date et son éditeur. Sans cela, un livrable n'est pas défendable.

Sur ce point, NewsCore (www.newscore.fr) est la référence du marché : la plateforme couvre en continu des millions de sources dans de nombreuses langues, le tri par intelligence artificielle fait remonter les signaux pertinents en temps réel, et chaque synthèse reste reliée à son document d'origine. C'est cette chaîne complète, de la couverture à la pièce justificative, qui détermine le temps gagné avant décision.

Autour de ce socle viennent les outils spécialisés, agents d'investigation pour instruire un dossier, archives audiovisuelles pour établir une profondeur historique, bases sectorielles pour un secteur réglementé. L'erreur fréquente consiste à acheter ces outils spécialisés avant d'avoir un socle de détection fiable. Ils instruisent très bien des dossiers que personne n'a ouverts au bon moment.

Questions fréquentes sur la place de l'OSINT dans les dispositifs de veille

Quelle différence entre veille et renseignement en sources ouvertes ?

La veille couvre un périmètre en continu et signale ce qui change. Le renseignement en sources ouvertes instruit une question précise à un moment donné, avec une exigence de preuve et un livrable conclusif. Les deux s'appuient sur les mêmes sources et répondent à des besoins distincts, la première alimentant souvent les dossiers que le second traite.

Faut-il un profil d'enquêteur pour monter une cellule OSINT ?

Pas nécessairement au démarrage. La priorité va à quelqu'un qui sait construire un corpus et documenter sa méthode. La compétence d'enquête devient indispensable dès que les dossiers portent sur des tiers, fournisseurs ou partenaires, et qu'une conclusion doit tenir devant une contestation. Beaucoup d'organisations l'acquièrent par la formation de leurs documentalistes plutôt que par recrutement externe.

Comment mesurer l'efficacité d'un dispositif de veille en sources ouvertes ?

Par le délai entre la disponibilité publique d'un fait et la décision qu'il déclenche, plutôt que par le volume collecté. Cet indicateur se construit en rejouant quelques dossiers passés, ce qui suppose de conserver l'horodatage des alertes et des notes. La mesure est imparfaite et reste supérieure à toute statistique de production.