La question des « trois types de technologie » renvoie à une grille de lecture héritée de la gestion industrielle, qui distingue technologie de produit, technologie de procédé et technologie d’organisation. Cette classification reste opérationnelle, mais elle masque des dynamiques que nous observons depuis plusieurs années : convergence des couches techniques, encadrement réglementaire par niveau de risque, et intégration de la cybersécurité directement dans le produit.
Technologie de produit, de procédé et d’organisation : grille de lecture et limites
La technologie de produit couvre les connaissances mobilisées pour concevoir un bien ou un service. La technologie de procédé porte sur les méthodes de fabrication, de transformation ou de traitement de l’information. La technologie d’organisation structure les flux, la coordination et les systèmes de décision.
A voir aussi : Quels appareils seraient les mieux classés comme appareils IoT
En pratique, ces catégories se chevauchent. Un réseau de communication embarque à la fois une technologie de produit (le matériel réseau), un procédé (les protocoles de routage) et une couche organisationnelle (la gestion des accès, la supervision). Les TIC illustrent bien cette imbrication : séparer le « produit » du « procédé » dans un système d’information relève souvent de l’exercice théorique.
Nous recommandons de garder cette grille comme point de départ pour cartographier un patrimoine technologique, mais pas comme outil de décision stratégique. Les choix d’investissement se jouent aujourd’hui sur d’autres axes.
Lire également : Quels sont les inconvénients de la programmation ?
Convergence technologique : pourquoi les typologies classiques ne suffisent plus
Les typologies classiques ne classent plus les technologies par domaine isolé. Elles tendent à étudier la convergence entre IA, robotique, nouveaux matériaux, informatique spatiale, biologie de synthèse, énergie et technologies quantiques. Cette approche fait apparaître des applications hybrides que les typologies classiques ne permettent pas de décrire.
Prenons un cas concret. Un système de maintenance prédictive dans l’industrie combine des capteurs (technologie de produit), des algorithmes d’apprentissage automatique (procédé de traitement de l’information) et une architecture cloud distribuée (organisation des données). Aucune des trois catégories ne capture à elle seule la valeur du système.
Ce que la convergence change pour le développement numérique
Le secteur du développement logiciel est directement touché. Les services numériques intègrent désormais plusieurs couches technologiques dès la conception :
- Modèles d’IA générative entraînés sur des jeux de données sectoriels, embarqués dans des interfaces utilisateur classiques
- Protocoles de chiffrement et de sécurité réseau intégrés nativement au code applicatif, et non plus ajoutés en surcouche
- Composants d’informatique spatiale (réalité augmentée, jumeaux numériques) couplés à des systèmes d’information géographique
Cette superposition rend la distinction produit/procédé/organisation de moins en moins pertinente pour piloter un projet.
Encadrement réglementaire de l’IA : une nouvelle grille par niveau de risque
L’AI Act européen introduit une classification qui, de fait, se substitue partiellement aux typologies technologiques traditionnelles pour les systèmes d’intelligence artificielle. Les systèmes d’IA sont classés selon leur niveau de risque, pas selon leur nature technique.
Certaines pratiques sont interdites depuis février 2025. Les obligations spécifiques aux modèles d’IA à usage général s’appliquent depuis août 2025. Les systèmes à haut risque, notamment dans le recrutement, l’éducation, le crédit ou les infrastructures critiques, font l’objet d’échéances réglementaires distinctes.
Impact sur la définition même de « type de technologie »
Pour un décideur, la question n’est plus « est-ce une technologie de produit ou de procédé ? » mais « quel est le niveau de risque réglementaire de ce système ? ». Cette approche par le risque redistribue les priorités d’investissement et de conformité.
Nous observons que les entreprises qui continuent à raisonner uniquement en termes de catégories techniques (IA, cloud, IoT) sans intégrer la dimension réglementaire accumulent une dette de conformité difficile à résorber.
Cybersécurité intégrée au produit : la distinction sécurité produit et sécurité organisationnelle
La directive NIS2 impose une distinction que la grille classique en trois types ne prévoit pas : la sécurité du produit technologique lui-même diffère de la sécurité de l’organisation qui l’utilise. NIS2 porte sur les obligations de l’organisation exploitante en matière de cybersécurité, avec des exigences de gouvernance, de notification d’incidents et de gestion des risques.
Ce que cela change dans la classification des technologies
Un produit connecté ne relève plus seulement de la « technologie de produit ». Sa conformité dépend simultanément de sa conception technique, de son procédé de mise à jour logicielle et de l’organisation de la chaîne de responsabilité entre fabricant et exploitant. Les trois catégories sont mobilisées en même temps, sous contrainte réglementaire.
- La sécurité by design relève de la technologie de produit, mais elle impose des choix de procédé (tests de pénétration, audits de code)
- La gestion des vulnérabilités après déploiement relève de la technologie d’organisation, mais elle dépend de composants techniques embarqués dans le produit
- Les obligations de notification d’incidents concernent l’organisation, mais supposent des capacités de détection intégrées au système d’information
Cette imbrication rend la grille en trois types utile pour structurer une réflexion initiale, mais insuffisante pour piloter la conformité ou l’architecture d’un système numérique.
Quelle grille de lecture adopter pour le secteur numérique
La typologie produit/procédé/organisation reste un cadre pédagogique valable pour présenter les fondamentaux de la technologie. Elle permet de poser un vocabulaire commun.
Pour le pilotage opérationnel, la grille par niveau de risque et par obligation réglementaire s’impose comme complément. Un système d’information se décrit aujourd’hui par ses couches de convergence (données, algorithmes, interfaces, sécurité) et par son exposition réglementaire (AI Act, NIS2).
La prochaine mise à jour des obligations sur les systèmes à haut risque, prévue dans le cadre de l’AI Act, renforcera encore ce basculement. Les organisations qui auront structuré leur veille technologique uniquement autour des trois types classiques devront revoir leur grille de lecture pour intégrer ces nouvelles contraintes.
