Drata

Ce que c’est

Drata est une plateforme d’automatisation de la conformité et de gestion de la confiance. Elle se connecte à vos comptes cloud, à votre fournisseur d’identité, à votre SIRH, à vos dépôts de code et à vos postes, teste en continu les contrôles de référentiels comme SOC 2, ISO 27001, HIPAA et GDPR, et conserve les preuves que l’auditeur va échantillonner. Comme Vanta, elle n’émet pas le rapport : c’est le rôle d’un cabinet d’audit indépendant ou d’un organisme de certification, facturé à part.

Deux acquisitions et trois lancements de 2026 définissent ce que vous achetez aujourd’hui :

• SafeBase Trust Center. Drata a racheté SafeBase pour environ 250 M$ en février 2025. SafeBase opère désormais le Trust Center public et AI Questionnaire Assistance, qui a remplacé la bêta de questionnaires propre à Drata le 2026-04-30. Le 2026-10-14, le SafeBase MCP Server est passé en disponibilité générale : il donne aux clients MCP comme Claude un accès limité par permissions à la Trust Library, au Trust Center, aux comptes, aux documents et aux questionnaires. Ce serveur MCP ne couvre que la partie confiance, pas les contrôles GRC.
• Gestion du risque tiers par agents. En disponibilité générale comme produit autonome depuis le 2026-09-16. Il applique vos propres critères écrits aux preuves de chaque fournisseur et renvoie des citations et un score de risque. Drata offre à chaque fournisseur une évaluation gratuite du risque inhérent et ne facture que lorsqu’un fournisseur nécessite une revue de sécurité complète, pas au nombre de fournisseurs.
• AI Agent Governance. Présenté le 2026-06-10 et en disponibilité limitée depuis le 2026-08-04 pour les entreprises qui font tourner leurs agents sur Anthropic ; la couverture d’OpenAI, Google Vertex AI et AWS Bedrock est encore en développement. Un capteur sur le poste et un proxy MCP inventorient les agents, rattachent chacun à un responsable et à des permissions, bloquent en ligne les violations de politique et les consignent dans un journal infalsifiable.

Drata revendique plus de 8 500 organisations utilisatrices. Son dernier chiffre public de revenus est de 100 M$ d’ARR en février 2025, et son dernier tour valorisé une série C de 200 M$ pour une valorisation de 2 Md$ en décembre 2022, co-menée par ICONIQ Growth et GGV Capital.

Pourquoi elle apparaît dans les stacks ops

• Le deal desk attend les revues de sécurité. Un rapport SOC 2 manquant ou un long questionnaire bloque les deals B2B, et RevOps le ressent en premier. Le Trust Center et les intégrations Salesforce et HubSpot permettent aux commerciaux d’ouvrir l’accès aux documents sans ticket.
• L’ingénierie veut les contrôles dans le code. Compliance as Code et l’Open API sont inclus dans toutes les offres, et les connexions et tests personnalisés commencent à Advanced. Les équipes qui veulent garder leurs contrôles dans leurs propres dépôts choisissent Drata plus souvent que Vanta.
• Legal Ops détient la paperasse fournisseurs. Le TPRM par agents fournit une file de revue des fournisseurs avec citations des preuves, exactement ce dont un juriste privacy ou achats a besoin pour défendre une décision.

Prix

Drata publie le contenu des offres, mais pas les prix. Foundation couvre jusqu’à 50 salariés et un référentiel pré-mappé (SOC 2, ISO 27001, Cyber Essentials, HIPAA ou GDPR), avec Trust Center Standard et une assistance pour jusqu’à 100 questionnaires. Advanced ouvre tous les référentiels, les connexions et tests personnalisés et des questionnaires standard illimités. Enterprise ajoute Risk Management Pro, Compliance as Code Pro et les revues d’accès utilisateurs ; l’évaluation TPRM par agents y est une option payante.

Ce que paient les acheteurs : Vendr rapporte une médiane de 24 934 $ par an sur 236 achats, avec une fourchette de 9 415 $ à 68 250 $. Ses tranches : 12 000-28 000 $ sous 50 salariés, 25 000-50 000 $ entre 50 et 250 salariés, 40 000-65 000 $ pour les programmes multi-référentiels et 60 000-120 000 $ et plus au-delà de 250 salariés. Ajoutez 5 000-20 000 $ d’aide à l’implémentation si vous l’achetez, plus les honoraires de l’auditeur. Vendr situe les remises pluriannuelles à 15-25 % et les hausses habituelles au renouvellement à 5-10 %.

Idéal pour

Les responsables sécurité ou GRC d’éditeurs SaaS B2B de 50 à 1 000 salariés dont les ingénieurs veulent les tests de conformité dans le code, et dont l’équipe commerciale a besoin d’un Trust Center qui réponde aux questionnaires et ouvre l’accès aux documents depuis le CRM. Convient aussi aux équipes juridiques ou achats qui veulent évaluer les fournisseurs selon leurs propres critères plutôt que payer une licence au nombre de fournisseurs.

À éviter pour : une startup de 15 personnes qui vise son premier SOC 2 avec le budget le plus serré ; Comp AI ou Sprinto coûtent moins cher. Et pour les équipes dont les agents IA tournent aujourd’hui surtout sur OpenAI ou Bedrock, car Agent Governance ne les couvre pas encore.

Points de vigilance

• Foundation s’épuise vite. Un seul référentiel et un plafond de 50 salariés : un deuxième référentiel ou une vague de recrutements impose la discussion sur Advanced. La parade : faites chiffrer Advanced en même temps que Foundation dès la première négociation, et obtenez par écrit le prix de l’option par référentiel avant d’utiliser le bouton « ajouter un référentiel » de l’application, sorti le 2026-10-16.
• Les renouvellements montent avec l’effectif. La parade : figez la tranche d’effectif dans le bon de commande et plafonnez les hausses au renouvellement à 5-8 %, ce que les acheteurs obtiennent selon Vendr quand ils le demandent d’emblée.
• Deux produits sous un même logo. Le Trust Center, les outils de questionnaire et le serveur MCP viennent de SafeBase ; les contrôles et les preuves viennent de Drata. La parade : en démo, demandez à voir une modification de contrôle arriver dans le Trust Center sans nouvel upload manuel, et vérifiez quels périmètres MCP votre client IA reçoit réellement.
• Les réponses de l’IA partent sous votre nom. La parade : exigez qu’un responsable nommé valide les réponses aux questionnaires sur tout contrôle modifié au cours des 12 derniers mois.

Alternatives, et quand les choisir

Vanta est le leader du segment en taille : 300 M$ d’ARR et plus de 16 000 clients en avril 2026, avec une médiane Vendr autour de 20 000 $. Choisissez Vanta si vous voulez le plus grand réseau d’auditeurs et d’intégrations et un serveur MCP hébergé, encore en bêta, qui atteint les contrôles eux-mêmes.

Secureframe démarre autour de 7 500 $ par an. Choisissez-le si vous voulez davantage d’accompagnement direct de l’éditeur pendant le premier audit.

Sprinto vise les équipes attentives aux coûts, souvent hors des États-Unis. Choisissez-le pour un premier SOC 2 sous 100 salariés quand le prix compte plus que la marque.

Le nouvel entrant à la croissance la plus rapide est Comp AI, une plateforme open source sous AGPLv3 qui a levé une série A de 34 M$ le 2026-09-17. Choisissez-le pour l’auto-héberger ou pour éviter une licence à cinq chiffres sur un premier SOC 2.

Si vous utilisez déjà OneTrust pour la protection des données, faites chiffrer ses modules GRC avant d’ajouter un second système de référence. Pour gouverner des agents sur plusieurs fournisseurs de modèles, une couche dédiée comme Zenity ou WitnessAI couvre davantage aujourd’hui. Pour accélérer les revues fournisseurs sans plateforme, voyez la skill de questionnaire de due diligence fournisseurs.