Contexte du marché de la conformité automatisée
Le financement de 34 millions de dollars annoncé le 17 septembre 2026 place Comp AI parmi les acteurs émergents qui cherchent à dépasser les solutions de première génération comme Vanta ou Drata. Ces dernières se limitent à la collecte ponctuelle de preuves pour les audits SOC 2 ou ISO 27001. En 2025, le nombre d’entreprises utilisant des plateformes de conformité était estimé à plusieurs centaines ; Comp AI revendique déjà plus de 1 000 clients, ce qui indique une adoption rapide du modèle basé sur l’agentic AI.
Architecture technique et rôle des agents IA
Le cœur du produit est un logiciel open source disponible sur GitHub, ce qui permet aux clients de vérifier le code et d’intégrer leurs propres contrôles. Des agents déployés sur les environnements du client lisent les systèmes et les documents internes pour extraire le contexte organisationnel. Sur cette base, ils génèrent automatiquement des politiques, des registres de risques et des évaluations de fournisseurs. Le processus d’onboarding, la collecte de preuves et la surveillance continue sont ainsi orchestrés sans intervention humaine directe.
Les agents s’appuient sur des modèles d’IA capables d’interpréter des configurations cloud, des configurations d’infrastructure et des artefacts de conformité. Cette capacité à « comprendre le business » repose sur l’entraînement de modèles sur des jeux de données de standards de conformité, bien que les détails techniques du modèle ne soient pas publiés.
Extension vers la cybersécurité continue
Le tour de financement vise à financer le passage du simple état d’audit à une surveillance en temps réel. Comp AI prévoit d’ajouter des tests de sécurité automatisés exécutés par les agents sur les applications et l’infrastructure du client. Cette évolution implique la mise en place de contrôles de validation continue, capables de détecter des écarts de configuration ou des vulnérabilités dès leur apparition, ce qui, selon les fondateurs, réduit l’écart entre conformité et sécurité opérationnelle.
Le chiffre d’affaires récurrent annuel (ARR) a été multiplié par 15 au cours de la dernière année, illustrant la monétisation rapide de ces services continus.
Risques, limites et perspectives
La dépendance à l’IA pour interpréter des politiques de sécurité introduit des risques de faux positifs ou de faux négatifs, surtout si les modèles ne sont pas régulièrement ré‑entraînés avec les dernières menaces. De plus, la nature open source du noyau expose le projet à des attaques potentielles sur le code lui‑même, nécessitant des audits de sécurité du code source. Enfin, la collecte continue de données sensibles soulève des questions de confidentialité et de conformité aux réglementations locales, notamment le GDPR, qui ne sont pas détaillées dans le communiqué.
