Galink Assessment 2026 Edition
8 févr. 2026
Notre service managé d'évaluation fournisseurs a une ambition claire : sortir des évaluations fournisseurs purement déclaratives et proposer une lecture réaliste et opérationnelle de la maturité cyber des tiers.
Depuis, des centaines de fournisseurs ont complété le questionnaire Galink (Galink Assessments). Nous avons recueilli des retours de la part des fournisseurs évalués. Et surtout, le contexte a fortement évolué, notamment avec l’adoption massive de l’IA.
Aujourd’hui, nous publions une nouvelle version du Galink Assessment 2026
Ce n’est pas une refonte complète. C’est une évolution naturelle, guidée par le terrain.
Ce qui ne change pas : une approche centrée sur la maturité
La philosophie du Galink Assessment reste la même.
• Évaluer la maturité cyber réelle, pas seulement la conformité théorique
• Poser des questions compréhensibles et actionnables pour les fournisseurs
• S’aligner sur les grands cadres et réglementations (ISO 27001, NIST, DORA, NIS2…) sans transformer l’évaluation en audit
• Produire un résultat utile, aussi bien pour l’entreprise cliente que pour le fournisseur évalué
L’objectif reste simple : mieux comprendre le risque fournisseur et aider les tiers à progresser dans la durée.
Ce que nous avons amélioré : plus de clarté, moins de friction
Ce qui change en 2026 :
• Certaines questions ont été clarifiées pour lever les ambiguïtés
• D’autres ont été simplifiées afin de réduire la charge inutile
• Quelques formulations ont été ajustées pour refléter des pratiques réellement observables, et non des contrôles idéalisés
En résumé : le même niveau d’exigence, mais un meilleur signal et moins de bruit.
Ces améliorations permettent également :
• de réduire les allers-retours entre clients et fournisseurs,
• d’améliorer les taux de complétion,
• et de rendre l’évaluation plus fluide, sans perdre en profondeur.
La principale nouveauté : une section dédiée à la sécurité de l’IA
Pourquoi ? Parce que l’IA n’est plus marginale.
Aujourd’hui, les fournisseurs :
• utilisent des outils d’IA en interne (assistants de code, copilotes, automatisation, analytics),
• intègrent des briques d’IA directement dans les produits et services qu’ils livrent,
• dépendent de modèles et de plateformes tiers qu’ils ne maîtrisent pas toujours complètement.
Pourtant, dans la majorité des questionnaires fournisseurs, l’IA est :
• soit absente,
• soit abordée de manière très superficielle, sans réel éclairage sur les risques.
Nous pensons que ce n’est plus suffisant.
Ce que couvre la section AI Security
La section AI Security du Galink Assessment vise à évaluer la maturité d’un fournisseur selon trois axes complémentaires :
L’usage interne de l’IA
Comment les outils d’IA sont utilisés par les équipes, et quels garde-fous existent pour prévenir les fuites de données ou les usages non maîtrisés.L’IA intégrée aux produits ou services
Lorsque l’IA fait partie de l’offre livrée :
• comment les risques sont évalués,
• comment les données sont traitées,
• comment les modèles et les outputs sont encadrés.La gouvernance et la responsabilité
Politiques, rôles, processus et évaluations autour de l’IA, en lien avec les exigences réglementaires actuelles et à venir.
L’objectif n’est pas de freiner l’adoption de l’IA.
Au contraire, il s’agit de distinguer une utilisation maîtrisée et responsable d’une exposition non contrôlée.
Pourquoi c’est critique maintenant
Pour les RSSI et les équipes risk & compliance, l’IA est devenue un facteur de risque fournisseur à part entière :
• confidentialité des données,
• dépendance à des modèles opaques,
• shadow AI,
• dilution des responsabilités.
Pour les fournisseurs, la maturité sur l’IA devient progressivement un signal de confiance.
Avec cette nouvelle section, le Galink Assessment permet :
• aux entreprises clientes d’avoir une meilleure visibilité sur un risque émergent,
• aux fournisseurs de démontrer leur sérieux, au-delà de l’innovation pure.
Un questionnaire qui évolue avec l’écosystème
La gestion du risque fournisseur n’est pas figée. Les questionnaires ne devraient pas l’être non plus.
Cette nouvelle version du Galink Assessment reflète :
• les retours concrets du terrain,
• les besoins opérationnels des équipes sécurité,
• et le fait que l’IA fait désormais pleinement partie du périmètre de risque.
Et ce n’est qu’une étape.