Cellule de crise : tracer chaque décision avec l'IA

Une cyberattaque un vendredi soir, une rupture d'approvisionnement sur un site industriel, une fuite de données qui fait la une : chaque crise réunit en quelques heures une dizaine de personnes autour d'une table, souvent dans l'urgence et la fatigue. On y prend des décisions lourdes, parfois irréversibles. Et presque toujours, quelqu'un pose la même question trois jours plus tard : « Qui a décidé de couper l'accès distant, à quelle heure, et sur la base de quelle information ? »

La cellule de crise est l'endroit où l'entreprise agit le plus vite et documente le moins bien. Ce paradoxe a des conséquences très concrètes, devant un assureur, une autorité de contrôle ou un juge. Cet article explique ce qu'une cellule de crise doit tracer, comment organiser sa main courante et son relevé de décisions, et où l'intelligence artificielle aide réellement, à condition de connaître ses limites et de choisir un outil à la hauteur de la sensibilité des échanges.

Pourquoi la trace écrite d'une crise compte autant que sa résolution

Ce que la mémoire collective oublie en 48 heures

En situation de crise, l'attention de chacun est absorbée par l'action. Le responsable de la sécurité informatique suit l'isolement des serveurs, le directeur juridique prépare les notifications, la communication rédige les premiers éléments de langage. Personne n'a le temps de noter que l'hypothèse d'un rançongiciel a été évoquée à 22 h 10, écartée à 22 h 40, puis confirmée à 1 h du matin.

Après coup, chaque participant reconstruit la chronologie à partir de ses souvenirs, de ses courriels et de ses messages. Les versions divergent, ce qui est normal : la mémoire humaine retient les moments forts et lisse le reste. Le problème apparaît quand il faut justifier une décision. Pourquoi avoir attendu quatre heures avant de prévenir les clients ? Qui a validé le paiement d'un prestataire d'urgence ? Sans trace contemporaine, la réponse repose sur la bonne foi des uns et des autres.

Les lecteurs de la trace : assureur, autorités, auditeurs, justice

Une crise produit des documents qui seront relus par des personnes extérieures à la cellule. L'assureur cyber voudra comprendre l'enchaînement des faits et les frais engagés. L'autorité de contrôle attendra des notifications précises et datées. En matière de données personnelles, la CNIL rappelle que la notification doit intervenir dans les meilleurs délais, avec une notification initiale possible sous 72 heures, et que toute violation doit être documentée en interne, qu'elle soit notifiée ou non : nature de l'incident, personnes et données concernées, conséquences probables, mesures prises.

Pour les entités soumises à la directive NIS2, le calendrier est encore plus serré. L'article 23 de la directive prévoit une alerte précoce dans les 24 heures suivant la prise de connaissance d'un incident important, une notification d'incident dans les 72 heures, puis un rapport final au plus tard un mois après. Chacune de ces étapes suppose de savoir, à tout moment, ce qui s'est passé et ce qui a été décidé. Nous avons détaillé cet enjeu de traçabilité dans notre article sur NIS2 et la trace des comités de sécurité.

Enfin, une crise peut déboucher sur un contentieux : avec un client, un fournisseur, un salarié. Le compte rendu de la cellule devient alors une pièce. Un document précis, horodaté et sobre protège bien davantage qu'un récit reconstruit.

Main courante, relevé de décisions, RETEX : trois documents, trois usages

Beaucoup d'organisations confondent ces trois écrits, ou n'en tiennent qu'un seul. Ils répondent pourtant à des besoins différents, et les mélanger produit un document illisible.

La main courante : les faits, dans l'ordre

La main courante est un journal chronologique. Chaque entrée comporte une heure, un fait, une source. « 23 h 05 : l'éditeur de la messagerie confirme l'accès frauduleux à deux boîtes. Source : appel du support. » Elle ne commente pas, elle ne juge pas. L'Agence nationale de la sécurité des systèmes d'information en fait un outil central dans son guide consacré aux crises d'origine cyber : la main courante y sert à informer les équipes des actions en cours, puis à suivre et centraliser les actions et les frais liés à la gestion de la crise.

Cette dernière fonction est souvent oubliée. Or c'est précisément ce que réclamera l'assureur : quels prestataires ont été mobilisés, à quelle heure, pour quel montant engagé.

Le relevé de décisions : qui a tranché quoi, sur quelle base

Le relevé de décisions est plus court et plus exigeant. Il ne retient que les arbitrages : couper un service, prévenir une autorité, communiquer publiquement, engager une dépense. Pour chaque décision, il précise l'heure, le décideur, les options écartées et l'information disponible à ce moment-là.

Ce dernier point est essentiel. Une décision prise à 2 h du matin avec des informations partielles peut sembler mauvaise une semaine plus tard. Le relevé montre qu'elle était raisonnable au vu de ce que la cellule savait. Il protège les personnes autant que l'organisation.

Le point de situation et le retour d'expérience

Entre deux réunions de cellule, un point de situation synthétise l'état de la crise pour la direction générale, le conseil ou les partenaires : ce qui est maîtrisé, ce qui ne l'est pas, les prochaines échéances. Il se nourrit de la main courante et du relevé de décisions.

Une fois la crise close vient le retour d'expérience, ou RETEX. Le guide de l'ANSSI insiste pour qu'il soit organisé après la clôture de la crise, qu'il ne soit pas vécu comme un audit, et qu'il aboutisse dans un délai maximal de 30 jours. Un RETEX de qualité dépend directement de la qualité des traces : sans chronologie fiable, on débat de souvenirs au lieu d'analyser des faits.

Ce que l'IA change concrètement dans la salle de crise

Dans la plupart des cellules, la tenue de la main courante repose sur une personne, souvent appelée secrétaire de crise ou scribe. C'est un rôle épuisant, et rarement le mieux préparé. Quand la crise dure, on le confie à tour de rôle à des collègues qui découvrent la tâche. L'IA de transcription et de synthèse ne supprime pas ce rôle, elle le transforme.

Libérer le scribe de la saisie

Un outil de transcription enregistre et retranscrit les échanges de la cellule pendant que le scribe se concentre sur l'essentiel : repérer les décisions, relancer quand un point reste flou, demander qui porte une action. Il passe de la dactylographie à l'écoute active. À la fin de chaque réunion, une synthèse structurée sert de base au point de situation, qu'il relit et corrige au lieu de l'écrire de zéro.

Ce gain de temps n'a rien de théorique. Au CSE d'Air France Exploitation Hub, le temps consacré à la synthèse est passé d'une journée à environ une heure de relecture, comme le décrit ce cas d'usage. En crise, quand chaque heure compte, cet écart change la qualité de l'information transmise à la direction.

Savoir qui a parlé, et quand

Une transcription brute ne suffit pas pour un relevé de décisions. Il faut savoir qui a proposé, qui a objecté, qui a validé. C'est le rôle de la diarisation, qui identifie les interlocuteurs et attribue chaque prise de parole à la bonne personne. Nous expliquons son fonctionnement et ses limites dans notre article sur la diarisation en réunion. Associée à un horodatage, elle permet de répondre précisément à la question « qui a décidé quoi, à quelle heure ».

Le vocabulaire est un autre point clé. Une cellule de crise parle en noms de serveurs, en acronymes internes, en références de sites ou de contrats. Un outil capable d'apprendre ce vocabulaire métier produit une transcription exploitable là où un outil générique multiplierait les contresens.

Interroger la crise pendant qu'elle se déroule

Une crise longue enchaîne les réunions, les relèves d'équipe, les nuits courtes. La personne qui arrive à 6 h du matin pour prendre le relais doit comprendre en quelques minutes ce qui s'est passé pendant la nuit. Avec un chat IA sur les notes, elle peut poser des questions simples : « Qu'a-t-on décidé au sujet des sauvegardes ? », « Quelles actions restent ouvertes pour l'équipe juridique ? ». La réponse s'appuie sur les échanges réels de la cellule, ce qui limite les pertes d'information entre équipes.

Les modèles de compte rendu personnalisables complètent le dispositif. Une organisation peut préparer à froid un modèle de main courante, un modèle de relevé de décisions et un modèle de point de situation, chacun avec ses rubriques. Le jour venu, la synthèse se range directement dans le bon cadre.

Les limites à connaître avant d'utiliser un outil en pleine crise

L'IA apporte un gain réel, mais une cellule de crise est l'environnement le plus hostile qui soit pour un outil numérique. Trois limites méritent d'être anticipées.

Un système d'information compromis n'est pas un environnement de confiance

En cas de crise cyber, les outils habituels peuvent être indisponibles ou, pire, sous le contrôle de l'attaquant. Les guides de gestion de crise recommandent de prévoir des moyens de communication de secours, distincts du système d'information principal. L'outil qui sert à tracer la crise doit s'inscrire dans cette logique : il ne doit pas dépendre de la messagerie ou de l'annuaire potentiellement compromis.

C'est l'une des raisons pour lesquelles une application mobile qui enregistre hors ligne trouve sa place dans le kit de crise. Une salle de crise de repli, un site industriel sans réseau, un bâtiment évacué : l'enregistrement reste possible en présentiel, même sans connexion, et le compte rendu peut être produit ensuite.

Bruit, chevauchements et fatigue

Une réunion de crise n'a rien d'une réunion calme. Les gens parlent en même temps, se lèvent, prennent des appels. La qualité d'une transcription dépend de la qualité de la captation : un micro de conférence correctement placé vaut mieux qu'un téléphone posé au bout de la table. Il est utile de fixer quelques règles simples, comme annoncer son nom avant une décision importante ou reformuler la décision à voix haute avant de passer au point suivant. Ces réflexes servent l'outil autant que les humains.

La validation humaine reste obligatoire

Une synthèse générée par IA est un brouillon, pas un document opposable. Le relevé de décisions doit être relu et validé par le directeur de crise ou la personne qu'il désigne, à intervalles réguliers. Une erreur de transcription sur une heure, un montant ou un nom peut avoir des conséquences sérieuses si le document est transmis tel quel à une autorité. La bonne pratique consiste à conserver l'enregistrement et la transcription brute comme sources, et à faire valider les synthèses qui en sont tirées.

Confidentialité : une cellule de crise produit les informations les plus sensibles de l'entreprise

Ce qui se dit dans une cellule de crise touche souvent au plus confidentiel : failles de sécurité non corrigées, hypothèses sur un salarié, négociations, exposition financière, éléments couverts par le secret des affaires. Confier ces échanges à un outil grand public, dont on ignore où sont stockées les données et si elles servent à entraîner des modèles, serait une seconde crise.

Les critères de choix sont donc stricts. Le chiffrement doit couvrir les données au repos et en transit, avec des standards éprouvés comme AES-256 et TLS 1.3. Les environnements doivent être isolés par client. L'hébergement doit être connu et maîtrisé, en Europe au minimum, idéalement en France pour les organisations les plus exposées. Personne chez le fournisseur ne doit accéder aux contenus par défaut, et les données ne doivent jamais servir à entraîner les modèles. Enfin, l'outil doit s'inscrire dans une démarche de conformité au RGPD, puisque les enregistrements contiennent des voix et des données personnelles.

Seedext a été conçu sur ces principes : chiffrement AES-256 et TLS 1.3, environnements isolés par client, hébergement en Europe avec une option d'hébergement 100 % en France, aucun accès aux données par défaut côté Seedext, aucune utilisation des données clients pour entraîner les modèles, et analyse limitée à l'audio. Des organisations comme EDF, SNCF, AXA ou Bouygues Telecom font partie de ses clients.

Il faut aussi penser à la conservation. Les enregistrements d'une cellule de crise n'ont pas vocation à être gardés indéfiniment. Fixez à froid une durée de conservation cohérente avec vos obligations de preuve et avec le principe de minimisation, et désignez qui peut accéder aux archives.

Préparer le dispositif avant la prochaine crise

La pire période pour choisir un outil est le soir de la crise. Tout ce qui précède se prépare à froid, idéalement en même temps que le plan de continuité d'activité.

Commencez par écrire les rôles. Qui tient la main courante, qui valide le relevé de décisions, qui rédige le point de situation, qui le remplace la nuit. Formalisez ensuite les trois modèles de documents décrits plus haut et paramétrez-les dans votre outil, avec le vocabulaire propre à votre organisation : noms des applications critiques, sites, prestataires, acronymes.

Préparez ensuite le kit matériel : un ou deux micros de conférence, un téléphone ou une tablette avec l'application installée et testée hors ligne, une procédure de connexion qui ne dépend pas de l'annuaire principal. Vérifiez que les intégrations avec vos outils de visioconférence habituels, Teams, Zoom, Webex ou Google Meet, fonctionnent pour les membres de la cellule qui participent à distance.

Enfin, testez le tout en exercice. Les exercices de crise sont l'occasion idéale de mesurer la qualité de la transcription dans votre salle, d'ajuster le placement des micros et d'habituer les participants à reformuler leurs décisions à voix haute. Le RETEX de l'exercice dira si la main courante produite tient la route. C'est aussi le meilleur moment pour vérifier que l'outil répond aux attentes de votre équipe sécurité.

Une crise bien tracée ne se gère pas mieux sur le moment. Elle se défend mieux ensuite, se raconte mieux à la direction et à l'assureur, et nourrit un retour d'expérience qui renforce réellement l'organisation. Si vous souhaitez voir comment Seedext s'intègre à votre dispositif de gestion de crise, demandez une démonstration.

Questions fréquentes sur la cellule de crise et l'IA

Qu'est-ce que la main courante d'une cellule de crise ?

C'est un journal chronologique qui consigne, avec l'heure et la source, chaque fait, action et dépense liés à la crise. Elle sert à informer les équipes en temps réel, puis à reconstituer le déroulé pour l'assureur, les autorités et le retour d'expérience.

Quelle différence entre main courante et relevé de décisions ?

La main courante enregistre tous les faits dans l'ordre. Le relevé de décisions ne retient que les arbitrages, avec leur auteur, leur heure, les options écartées et l'information disponible au moment du choix. Les deux documents sont complémentaires.

L'IA peut-elle remplacer le secrétaire de crise ?

Non. Elle prend en charge la transcription, l'identification des interlocuteurs et une première synthèse, ce qui libère le secrétaire de la saisie. Il reste chargé de repérer les décisions, de faire préciser les points flous et de faire valider les documents par le directeur de crise.

Peut-on enregistrer une cellule de crise si le réseau est coupé ?

Oui, avec une application mobile capable d'enregistrer hors ligne. L'enregistrement se fait en présentiel sans connexion, et le compte rendu est produit ensuite. C'est un atout lorsque le système d'information est compromis ou indisponible.

Comment protéger la confidentialité des échanges d'une cellule de crise ?

Choisissez un outil qui chiffre les données au repos et en transit, isole les environnements par client, héberge les données en Europe ou en France, n'en autorise pas l'accès par défaut à son personnel et ne les utilise pas pour entraîner ses modèles. Définissez aussi une durée de conservation et des droits d'accès stricts.