Pourquoi le GEO devient un sujet d'architecture, et ce que votre DSI doit y décider

Faire du GEO sans votre DSI dans la pièce ne sert à rien.

Si votre stratégie GEO ne concerne que le marketing, vous êtes probablement en train de résoudre le problème d'hier.

Hier, on optimisait des pages pour qu'un humain les trouve. Aujourd'hui, on optimise des contenus pour qu'une IA les comprenne. Demain, il faudra rendre l'entreprise directement exploitable par des agents.

Ce demain a une date et un format. Le 11 janvier 2026, Google a publié Universal Commerce Protocol, un standard ouvert décrivant comment un agent découvre vos services, consulte votre catalogue, constitue un panier et déclenche un paiement chez vous. Son point d'entrée est un fichier servi à l'adresse /.well-known/ucp, qui déclare vos services, vos capacités, vos gestionnaires de paiement et vos clés publiques.

Ce fichier n'est pas un objet éditorial. Personne, dans une équipe contenu, ne décide de ce qu'il contient.

Cet article examine les trois états successifs d'une information, ce qu'un agent lira réellement chez vous et sous quelle autorisation, ce qu'une page ne fournira jamais, qui tranche aujourd'hui ce qu'une machine a le droit de faire, et ce que le contenu décide encore dans cette affaire.

Trouvable, compréhensible, exploitable : la plupart des organisations sont arrêtées au deuxième état

Pour être citée par une IA, une entreprise doit rendre son information trouvable et compréhensible. Pour être utilisée par un agent, elle doit la rendre exploitable, avec des règles claires sur ce qui peut être exposé et sous quel contrôle.

Ce sont trois états distincts, et le troisième ne se déduit pas des deux premiers. Vous pouvez publier le meilleur contenu de votre marché et rester incapable de traiter la moindre demande d'agent, simplement parce que personne n'a posé la question à votre DSI.

La mesure du troisième état, elle, est déjà en construction. NIQ et Similarweb ont annoncé le 2 septembre 2026 une solution commune de mesure du commerce agentique, articulée autour de cinq domaines : intention des utilisateurs, visibilité des produits dans les recommandations d'IA, préparation des contenus produit, trafic issu des plateformes d'IA, et conversion vérifiée en achats.

Une précision compte, et l'annonce la donne elle-même : l'outil n'existe pas encore. À la question de sa disponibilité, NIQ répond qu'elle est en cours de construction, pour une première version au quatrième trimestre 2026, sur un ensemble restreint de catégories et de marchés. Aucune méthodologie ni aucun échantillon ne sont publiés à ce jour.

Ce calendrier est pourtant l'information utile. La mesure de votre exploitabilité arrivera avant que vous ne l'ayez construite, et elle vous situera face à vos concurrents sur un terrain que vous n'aurez pas préparé.

Universal Commerce Protocol : ce qu'un agent lira chez vous, et sous quelle autorisation

Le protocole publié par Google, sous licence Apache 2.0 et co-développé avec Shopify, Etsy, Wayfair, Target et Walmart, décrit la mécanique sans ambiguïté.

Un agent commence par lire votre profil à l'adresse /.well-known/ucp. Il y trouve la version du protocole que vous servez, vos services, la liste de vos capacités, vos gestionnaires de paiement et un jeu de clés publiques. Il s'annonce lui-même par un en-tête UCP-Agent qui désigne son propre profil.

Les capacités sont nommées une à une dans la documentation : recherche dans le catalogue, consultation d'un produit par son identifiant, gestion du panier avant commande, ouverture et finalisation d'une session d'achat, événements du cycle de vie d'une commande, liens partageables vers un panier pré-rempli, recherche et consultation de points de vente physiques.

L'une d'elles mérite une attention particulière. La liaison d'identité permet à une plateforme d'obtenir une autorisation OAuth 2.0 pour agir au nom d'un utilisateur chez vous, ce qui ouvre l'accès aux avantages de fidélité, aux offres personnalisées et au paiement authentifié.

Rien dans cette liste ne relève d'un système de gestion de contenu. Un fichier de découverte, un jeu de clés publiques, des portées d'autorisation, des règles métier derrière chaque capacité : ce sont des objets d'architecture, arbitrés par des gens qui ne sont pas dans la réunion GEO.

Le mouvement dépasse d'ailleurs Google. L'Agentic AI Foundation, créée sous l'égide de la Linux Foundation en décembre 2025, a reçu le Model Context Protocol cédé par Anthropic, puis le protocole Agent2Agent en août 2026, et revendique le soutien de plus de cent cinquante organisations. Les formats se consolident plutôt qu'ils ne se fragmentent, ce qui rend l'attentisme plus coûteux que le contraire.

L'assurance en exemple : cinq accès qu'aucune page ne fournira jamais

Prenons l'assurance. Une IA peut aujourd'hui trouver une page qui explique une offre santé et en restituer les grandes lignes.

Un agent chargé d'accompagner réellement un client aurait besoin de bien davantage :

Une page bien structurée peut fournir l'information. Elle ne suffit plus dès qu'il faut interroger une donnée en temps réel, appliquer une règle métier ou exécuter une action. Là, l'architecture devient déterminante.

C'est pour cette raison que le GEO ne restera pas longtemps un sujet de contenu. Il devient un sujet d'architecture du système d'information : qui possède la donnée, qui la structure, qui décide de ce qu'une machine a le droit de faire avec.

Qui décide de ce qu'une machine peut faire : l'ANSSI a commencé à documenter

Cette question n'est pas rhétorique. Le règlement européen sur l'IA, lui, ne la tranche pas, et deux autorités françaises ont commencé à y répondre. Leur réponse, pour l'instant, est que personne ne tranche.

L'ANSSI a publié le 13 avril 2026 un bulletin consacré aux risques des produits d'automatisation par IA agentique sur les postes de travail. Elle y relève des droits d'accès démesurés accordés aux agents, des secrets d'authentification partagés avec eux, des fuites de données vers des ressources externes non maîtrisées, et une perte de maîtrise sur les actions effectivement réalisées. Ce sont vos droits, vos secrets et vos données.

La CNIL, dans une note conjointe avec le Conseil de l'intelligence artificielle et du numérique publiée en juillet 2026, décrit de son côté une architecture distribuée qui élargit les surfaces d'exposition et rend difficile l'identification des acteurs responsables d'un traitement ou d'un dommage. Elle souligne l'absence de règles spécifiques aux agents dans le calendrier d'application complète du règlement européen sur l'IA, prévue en 2027.

Il faut en tirer une conséquence désagréable pour vos plannings. L'exposition de vos systèmes à des agents se décide aujourd'hui, dans un cadre qui ne sera stabilisé qu'après. Ce n'est pas un argument pour attendre : c'est un argument pour que la décision soit prise par ceux qui en portent le risque, et consignée.

Laisser le GEO au marketing seul revient à ne pas prendre cette décision. Vous la subirez, au premier agent qui frappe à votre porte.

Identifiable avant exploitable : ce que le contenu décide encore, et ce qu'il ne décide plus

Tout ce qui précède ne dispense de rien. On ne devient pas exploitable par un agent avant d'être identifiable dans les réponses : un agent qui ne vous trouve pas n'ira jamais lire votre profil de découverte.

La frontière est nette, et elle vaut d'être posée. Le contenu décide encore si votre marque est nommée, sur quels sujets, et à quelle distance de vos concurrents. Il ne décide plus de ce qu'une machine pourra faire chez vous, ni sous quelle autorisation : cela se joue dans des fichiers, des portées et des règles métier que personne n'écrit dans un CMS.

WeAreFlow travaille sur le premier versant et pas sur le second. La plateforme analyse votre patrimoine de contenus et celui des concurrents de votre marché, score chaque contenu sur quatre dimensions dont la citabilité par les moteurs génératifs, et situe votre position. Le chantier d'exploitabilité, lui, appartient à votre DSI, et aucun outil éditorial ne le mènera à sa place.

Ces deux chantiers n'ont ni le même propriétaire ni le même calendrier. Les mener séparément est possible. Les mener sans jamais se parler ne l'est pas.

À savoir : Citabilité IA : savoir comment vos contenus sont repris par les moteurs génératifs. L'analyse de votre site score chaque contenu sur cette dimension et situe votre marque face à celles de votre marché. [Voir votre score de citabilité IA avec WEAREFLOW →]

Votre stratégie GEO inclut-elle déjà vos architectes d'entreprise, ou reste-t-elle pour l'instant un sujet de marketing qui espère que la technique suivra un jour ?