OneTrust

Ce que c’est

OneTrust est la plateforme de programme de protection des données dont héritent la plupart des équipes juridiques et privacy internes : gestion des cookies et du consentement, cartographie des données et registres des activités de traitement (RoPA), automatisation des demandes d’exercice de droits (DSAR), analyses d’impact, risque tiers et — la partie qu’elle met désormais en avant — gouvernance de l’IA. Elle se vend sous forme de modules sur une seule plateforme, pas comme un produit unique, et chaque module a sa propre métrique de prix. Fondée à Atlanta par Kabir Barday, l’entreprise a été valorisée 4,5 milliards de dollars lors de son dernier tour valorisé (2023) et affirme que plus de la moitié du Fortune 500 sont clients. Le premier rapport de parts de marché d’IDC sur les logiciels de protection des données lui attribuait 29,7 %, plus du double du concurrent le plus proche ; ce chiffre date de 2022, mais rien de publié depuis ne suggère que l’ordre se soit inversé.

Deux choses ont changé en 2026. John Heyman a remplacé Barday au poste de CEO le 9 février, Barday rejoignant le conseil d’administration. Et lors de TrustWeek (28–30 septembre, Las Vegas), OneTrust a fait de la gouvernance des agents IA son annonce phare : CORIE, une couche partagée de raisonnement et de preuves, plus un AI Control Plane qui évalue les actions des agents à l’exécution et un Governance Command Center, tous annoncés en disponibilité générale. Les briques qui placeraient OneTrust dans les outils que les gens utilisent réellement — un MCP Gateway headless pour ChatGPT, Claude, Copilot et Glean, des évaluations pilotées par l’IA, le consentement conversationnel — sont en preview privée pour l’automne 2026. Gartner l’a classée Visionary, pas Leader, dans son premier Magic Quadrant 2026 des AI Governance Platforms.

Pourquoi elle apparaît dans les stacks Legal Ops

• C’est le système de référence qu’auditeurs et régulateurs attendent déjà. Un RoPA, une piste d’AIPD et un journal de consentement qu’une autorité de contrôle a déjà vus valent quelque chose lors d’une enquête GDPR.
• Un seul inventaire alimente plusieurs obligations. La cartographie construite pour le RoPA est la même qui délimite une recherche DSAR et une évaluation fournisseur. Les équipes qui exploitent le flux d’intake DSAR ou le skill de due diligence fournisseurs finissent de toute façon par avoir besoin de cette cartographie.
• L’inventaire IA arrive avec l’EU AI Act. Le module de gouvernance IA de OneTrust enregistre modèles et cas d’usage, mène des évaluations de risque au regard de l’AI Act et des cadres du NIST, et les rattache à l’inventaire privacy. Ce lien est la raison de l’acheter chez OneTrust plutôt qu’auprès d’un outil autonome.

Prix réel

Aucun prix n’est publié. La page tarifs liste des packages — CMP Base et Suite, Privacy Automation Base et Suite, Third-Party Risk Base et Suite, AI Governance, Tech Risk & Compliance — chacun mesuré différemment : utilisateurs administrateurs, visiteurs quotidiens du site, profils de données ou taille de l’inventaire.

Les données de transactions de Vendr (environ 309 contrats) placent le contrat médian autour de 12 000 $ par an, avec une fourchette d’environ 1 600 $ à 48 000 $. Cette médiane correspond surtout à des contrats consentement mono-module. Un programme multi-modules dans une entreprise de 1 000 à 5 000 salariés coûte env. 40 000 à 120 000 $ par an selon des estimations tierces, et les programmes enterprise atteignent six chiffres. L’implémentation ajoute 20 à 40 % de l’abonnement de la première année. Des éditeurs concurrents rapportent que OneTrust a fixé un minimum annuel de 10 000 $ à partir du T2 2026 ; OneTrust ne l’a pas confirmé, traitez-le donc comme le plancher probable, pas comme un devis. Vendr indique 20 à 30 % sous le premier devis sur des engagements pluriannuels, et des clauses d’indexation annuelle de 5 à 10 % comme standard.

Idéal pour

Les DPO et responsables Legal Ops d’entreprises de plus de 2 000 salariés soumises au GDPR et à plusieurs lois américaines de protection des données au niveau des États, qui ont besoin du consentement, du RoPA, des DSAR et des évaluations fournisseurs dans un seul système auditable et qui doivent désormais au conseil un inventaire des usages de l’IA. Le retour sur la plateforme augmente avec le nombre de modules réellement exploités — à partir de deux, l’inventaire partagé se rentabilise.

Ne l’achetez pas pour une entreprise de moins de 500 personnes dont le besoin est une bannière cookies et quelques DSAR par mois. Cet acheteur paie le prix plancher pour une fraction de la plateforme ; un outil de consentement dédié, avec un tarif mensuel publié par domaine, couvre le même besoin.

Face aux alternatives

TrustArc est le plus ancien concurrent et le deuxième devis habituel. Choisissez-le quand le programme est piloté par les évaluations et les certifications et que l’équipe veut un éditeur plus petit qui répond au téléphone ; choisissez OneTrust quand il vous faut le catalogue de modules le plus large et une couche de gouvernance IA sur le même inventaire.

Securiti est le challenger à la plus grosse sortie récente : Veeam l’a racheté pour 1,725 milliard de dollars en décembre 2025. Choisissez-le quand le vrai travail est la découverte de données et le DSPM sur les data stores cloud et que la sécurité co-détient le budget ; choisissez OneTrust quand le juridique et la privacy pilotent le programme.

Transcend convient aux entreprises pilotées par l’ingénierie qui veulent que DSAR et consentement soient appliqués dans le code via des API plutôt que traités comme des tickets.

Vanta l’emporte quand le moteur est la preuve SOC 2 ou ISO 27001, pas la protection des données. Pour le contrôle à l’exécution des agents et outils MCP utilisés par les salariés, WitnessAI ou Zenity appliquent aujourd’hui ce que le control plane de OneTrust commence à peine à faire. Pour les acheteurs pilotés par le contentieux, Exterro partage la cartographie des données avec le legal hold.

Si aucun ne convient, le manque est en général une question de responsabilité : personne ne maintient la cartographie des données, et chaque plateforme ici n’est à jour qu’à la mesure de cette cartographie.

Points de vigilance

• L’actionnariat n’est pas tranché. The Information a rapporté en novembre 2025 que OneTrust discutait d’une cession à un fonds de private equity, pour une valorisation rapportée supérieure à 10 milliards de dollars ; début octobre 2026, aucun accord n’avait été annoncé. Un nouveau propriétaire peut revoir les prix de renouvellement et abandonner les modules les plus lents. Garde-fou : plafonnez contractuellement les hausses au renouvellement (5 % ou moins), ajoutez une clause de changement de contrôle permettant une résiliation sans pénalité et évitez toute durée supérieure à 24 mois tant que la vente n’est pas réglée.
• Les hausses au renouvellement sont fortes. Des acheteurs rapportent des hausses proposées de 20 à 40 % au renouvellement, avec des cas extrêmes au-delà. Garde-fou : ouvrez la négociation 120 jours avant l’échéance, apportez un devis TrustArc ou Securiti et faites détailler chaque module pour pouvoir supprimer ceux qui ne servent pas.
• L’annonce sur la gouvernance des agents relève surtout de la preview. MCP Gateway, évaluations pilotées par l’IA et consentement conversationnel sont en preview privée, sans client en production nommé. Garde-fou : achetez le module de gouvernance IA pour l’inventaire et les évaluations livrés aujourd’hui, et faites de toute promesse sur l’exécution des agents une annexe contractuelle avec critères de recette.
• La charge d’administration est réelle. Chaque module a sa propre profondeur de configuration ; les avis notent systématiquement les capacités au-dessus de la facilité d’utilisation. Garde-fou : nommez un responsable dédié de la plateforme avant de signer et budgétez des heures d’intégrateur la première année.