Introduction
Cela fait désormais sept ans que j’enseigne le renseignement en sources ouvertes (OSINT), à destination d’un public varié (étudiants, professionnels, geeks, détectives, etc.), sur des formats différents (une journée, trois jours, dix jours…) et avec des objectifs divers. Depuis 2019, les outils ont énormément évolué… tout comme ma manière d’aborder l’enseignement de la discipline. Ce texte est issu d’une réflexion sur ces années d’enseignement et sur les méthodes employées.
Il apparaît tout d’abord utile de rappeler que l’OSINT n’est pas une simple collecte d’informations en sources ouvertes : il s’agit d’une méthodologie d’analyse visant à répondre de la manière la plus précise possible à une problématique. Ce n’est donc que dans ce cadre restrictif qu’un analyste collecte de l’information. Former un analyste, ce n’est donc pas former quelqu’un capable de trouver une information, c’est former quelqu’un qui sait déterminer ce qu’il a besoin de trouver, qui sait comment le faire, comment analyser ce qu’il collecte, et comment interpréter l’absence de résultat, l’absence d’information ou l’existence de zones d’ombre étant inhérente au métier.
La thèse que j’expose dans ce papier tient en trois propositions. Premièrement, si l’enseignement de l’OSINT via un découpage en modules thématiques transmet bien les techniques de collecte à des fins de renseignement, il empêche de suffisamment prendre en compte une dimension essentielle de l’investigation : la gestion de l’incertitude. Deuxièmement, il est possible d’organiser une formation sans suivre un chemin tout tracé : réaliser une enquête de manière dynamique, en suivant les réflexions des apprenants au fil du cursus, permet de rendre compte de l’incertitude à laquelle est confronté un investigateur. Cela se traduit par un apprentissage par l’enquête en direct : le cours se déroule sur un navigateur projeté, où l’enseignant suit les pistes proposées par les étudiants. Les diapositives ne sont pas projetées, même si un support est laissé en fin de session. Troisièmement, cette méthode ne convient pas à tous les publics : elle vise à former des analystes, non à outiller des professionnels qui n’ont pas vocation à enquêter ou qui, au contraire, sont déjà familiers du processus d’enquête. Aussi la question « à qui enseigne-t-on et pourquoi ? » se doit-elle d’être tranchée avant de déterminer la manière à employer.
Il ne s’agit pas ici de démontrer expérimentalement la supériorité de cette méthode, mais de formaliser un dispositif pédagogique issu de la pratique et de montrer sa cohérence avec certains travaux sur l’apprentissage des compétences complexes.
Ce que l’enseignement modulaire tend à neutraliser
Un format efficace pour la technique
En 2019, au moment d’élaborer un programme de formation sur l’OSINT, nous avons, avec un petit groupe, tenté de répondre à la question suivante : « que doit maitriser un futur analyste OSINT ? », et, donc, comment organiser le cours ? Assez rapidement, nous sommes convenus qu’un bon analyste devait avant tout maitriser la méthodologie, puis les moteurs de recherche, les archives, les Whois et les réseaux sociaux, etc. (la liste pourrait être plus longue). Il s’agissait ici de former des étudiants d’une vingtaine d’années, avec l’objectif qu’ils soient à même de trouver de l’information utile pour leurs futurs projets scolaires, au sein d’une école spécialisée dans l’intelligence économique. Ce découpage par module présente plusieurs avantages : il donne une direction claire aux étudiants, permet de progresser par étape et facilite l’acquisition de nouvelles techniques. D’un point de vue professoral, il est aussi plus facile à évaluer.
Le problème n’est pas ce que le module enseigne, c’est ce qu’il tend à neutraliser : la gestion de l’incertitude et l’élaboration constante de nouvelles hypothèses, deux notions essentielles à l’investigation.
L’effacement d’une partie de l’incertitude
En effet, dans une enquête réelle, l’analyste est guidé par la problématique qui lui est soumise, puis par les questions qu’il se pose et les hypothèses de recherche qu’il formule. Face à une problématique de départ (évaluer la réputation d’une personne physique/morale, identifier un potentiel conflit d’intérêts, localiser un individu, etc.), c’est à lui de déterminer quelles ressources mobiliser et quelles techniques employer pour aboutir à une réponse la plus sûre possible. C’est aussi à lui, tout au long du processus de recherche, de s’interroger sur la fiabilité des informations et la meilleure manière de les utiliser.
Or, l’enseignement modulaire réduit ce travail préalable de réflexion en induisant une partie du chemin à effectuer. Si, dans le cadre du module consacré aux moteurs de recherche, il est demandé aux étudiants d’évaluer la réputation d’une entreprise, ils seront naturellement orientés vers la consultation de Google/Bing/Yandex avec des mots-clés et des opérateurs adaptés. Dans une enquête, cette orientation n’existe pas et un élément décisif pourrait se trouver dans les archives, dans une base de données non indexée ou sur les réseaux sociaux du dirigeant. L’information recherchée peut aussi être introuvable en sources ouvertes ou ne pas exister. Un exercice inscrit dans un module rend donc imparfaitement compte de cette incertitude, puisque son cadre indique déjà une partie de l’espace de recherche pertinent.
L’apprentissage des échecs par la résolution de problèmes offre un parallèle intéressant avec l’enseignement de l’OSINT. Si un joueur est face à un échiquier avec pour seule consigne de jouer, il doit comprendre tout seul quelle est la meilleure combinaison, sans savoir s’il pourra à terme gagner une pièce ou simplement améliorer sa position. Si ce même joueur reçoit pour indication qu’une combinaison lui permet de capturer un cavalier, alors la moitié du problème, l’incertitude sur la piste à suivre, est déjà résolue. C’est cet écueil que produit un enseignement trop guidé : le module annonce à l’étudiant que la combinaison se trouve dans les archives, ou dans le registre du commerce. La réponse n’est pas donnée, mais l’apprenant sait déjà où chercher et n’est donc pas mis en condition réelle.
Deux incertitudes à distinguer
Au cours d’une investigation, l’incertitude recouvre deux formes qui ne posent pas le même problème pédagogique.
La première est épistémique et porte sur la valeur des informations collectées. L’information peut en effet être (volontairement) fausse ou erronée, périmée, ou bien exacte mais sans valeur. Il s’agit alors d’effectuer un travail classique d’analyse du renseignement : évaluer les sources, recouper, et se prémunir contre ses propres biais cognitifs (Heuer, 1999) afin de jauger la pertinence et la fiabilité de l’information. Pour cette phase, l’enseignement modulaire est adapté.
La seconde est procédurale et concerne l’action qu’il convient d’entreprendre à chaque étape pour faire progresser l’investigation. Au commencement d’une enquête, il s’agit d’ouvrir une première piste. Puis, au sein de cette piste, de déterminer quels sont tous les éléments pertinents, toutes les interrogations qu’ils soulèvent, les pistes qu’ils ouvrent et celles qu’ils referment. Cette incertitude-là se manifeste pleinement lorsque l’apprenant est devant un champ totalement ouvert, sans savoir de quel module relève la réponse, ni même si la réponse existe.
C’est cette gestion de l’incertitude que l’enseignement modulaire tend à annihiler lorsqu’il prédétermine l’espace de recherche : le découpage indique alors à l’apprenant la famille de ressources ou de techniques pertinente avant même qu’il ait eu à la choisir. Il ne l’élimine pas nécessairement, mais réduit le champ des possibles qui s’offre à l’apprenant. Or, la capacité à gérer cette multiplicité des pistes caractérise le métier d’analyste OSINT.
Un état d’esprit qui ne se décompose pas
Ce qu’un analyste en renseignement doit acquérir, c’est un état d’esprit, une méthodologie : observer, formuler une hypothèse, chercher, constater le résultat ou son absence, réviser, pivoter. Cet état d’esprit ne s’acquiert pas en apprenant des procédures, mais par l’expérience. Les travaux de Gary Klein sur la décision en situation réelle (pompiers, militaires, etc.) montrent que, dans de nombreuses situations, l’expert ne procède pas à une comparaison exhaustive entre plusieurs options : il reconnaît des configurations familières et cette reconnaissance vient de l’exposition répétée à des situations entières, avec leurs ambiguïtés, et non à des fragments (Klein, 1998). Van Merriënboer et Kirschner (2018) aboutissent au même constat sur la formation aux compétences complexes : l'apprentissage se transfère mieux lorsqu'il porte sur des tâches entières, de difficulté croissante, que lorsqu'il est fragmenté en morceaux que l'apprenant doit ensuite réassembler seul.
Prenons un exemple : en supposant que l’adresse email fictive joshua.knd90@gmail.com existe, quelles sont toutes les recherches qu’il est possible de faire si l’on souhaite collecter un maximum d’informations sur son propriétaire ?
Une adresse email constitue un pivot d’investigation particulièrement riche : elle est souvent associée à des dizaines de services, à des réseaux sociaux et possède une ancienneté… À partir d’une adresse email, un analyste chevronné va ainsi suivre des pistes (interroger des bases de données, vérifier si elle est associée au dépôt d’un nom de domaine, récupérer une photo de profil et d’éventuels commentaires Google Maps, etc.), mais aussi ouvrir des hypothèses : joshua.knd90 est une partie locale atypique, peut-être s’agit-il d’un pseudonyme ? Dans ce cas, il faut consulter un service capable d’identifier un pseudo sur plusieurs centaines de réseaux sociaux. Peut-être existe-t-il des adresses email au format Hotmail, Yahoo, etc. ? Et, si tel est le cas, il sera nécessaire de garder en tête qu’il peut s’agir d’un faux positif. Après tout, deux individus peuvent utiliser le même pseudo, aussi atypique soit-il.
Un programme modulaire enseignerait chacune de ces techniques séparément : la recherche inversée d’adresse email dans une séance, la recherche de pseudonyme dans une autre, le Whois dans une troisième. Mais le découpage en modules n’enseigne pas, à lui seul, la décision de les enchainer, l’ordre dans lequel le faire, ni l’émission d’hypothèses entraînant de nouvelles recherches. C’est pourtant cette capacité de décision qui fait la différence entre un analyste et un exécutant. Par contraste, l’enquête en direct permet d’ancrer cette méthodologie, car les apprenants y parcourent la boucle complète (observer, formuler une hypothèse, chercher, constater, pivoter) à chaque nouvelle piste, au lieu d’en travailler les étapes séparément.
Mener l’enquête en direct plutôt que dérouler des slides
L’expérimentation
À la rentrée 2025, j’ai eu l’occasion, pour la première fois, d’enseigner à des étudiants débutant un cursus compris entre trois et cinq ans, avec, à chaque semestre, des cours d’OSINT. Cette nouvelle promotion présentait un double avantage : un regard vierge sur l’investigation et la possibilité de travailler sur le long terme. L’objectif, avec eux, est d’en faire des analystes. Habitué à un enseignement par module, j’ai testé une organisation différente.
Après avoir posé des bases indispensables (la méthodologie générale de la recherche et la maitrise des moteurs de recherche), le cours s’est ainsi construit autour d’un cas concret : réaliser une due diligence sur une entreprise en se mettant dans la peau d’une société souhaitant l’acquérir. Le cours s’est ensuite déroulé en direct sur un navigateur projeté, en fonction de leurs propres interrogations, en semi-autonomie. L’intérêt n’était pas de leur apprendre le bon outil ou la bonne voie à suivre, mais de discuter de la pertinence de leurs intuitions. Certains voulaient commencer par les réseaux sociaux, d’autres par le registre du commerce, un troisième groupe par le site internet. À chaque fois, une même question : « Qu’espérez-vous trouver en consultant cela ? ».
Le caractère « en direct » n’est toutefois pas une fin en soi : le principe central consiste à organiser l’apprentissage autour d’une tâche d’investigation complète, dans laquelle les blocs techniques sont introduits au moment où une piste les rend nécessaires. Le navigateur projeté est le dispositif qui rend visibles les choix, les hésitations et les pivots successifs.
Dans l’exemple étudié, l’analyse des réseaux sociaux se révélait peu prometteuse et a donc été remise à plus tard. En revanche, l’idée de consulter le registre du commerce s’imposait, puisqu’il s’agit d’un socle permettant de débuter une investigation avec des informations fiables. C’est une fois sur le registre du commerce que j’ai installé un premier bloc théorique, pour leur montrer les spécificités du registre français et les informations qu’il est possible de récolter sur ce type de source à travers les statuts, les comptes annuels, etc. Dans la même logique, l’analyse du site Web nous a menés à consulter les archives du Web, entraînant l’étude d’un deuxième bloc théorique sur le fonctionnement d’archive.org. Une fois les rudiments de l’outil apprivoisés, la séance s’est déroulée sur l’analyse de ce que peuvent offrir les archives : il ne s’agissait alors pas de comprendre comment fonctionne un outil et ce qu’il fait techniquement (consulter d’anciennes versions d’un site), mais ce qu’il peut concrètement apporter dans le cadre d’une investigation, pourquoi il est utile de consulter une version vieille de cinq ou dix ans. Ici, fouiller les archives a permis d’identifier d’anciennes filiales. Interroger les étudiants sur la portée d’une telle information les a poussés à comprendre qu’une filiale pouvait avoir fermé pour des raisons qu’il était important d’élucider (choix économique, tensions, scandales, etc.).
A contrario, certaines pistes prometteuses ne donnent rien. Il est pourtant essentiel de les suivre, car, en formation, la méthode et le raisonnement priment sur le résultat final. Une véritable investigation étant marquée par de multiples impasses, les aborder durant la formation devient une leçon en soi. Dans le cas étudié, aucune raison n’a pu être établie pour la fermeture de l’une des filiales étrangères, ce qui a permis de soulever de nouvelles questions : l’information est-elle vraiment utile ? Si oui, quels moyens mettre en œuvre pour trouver la réponse ? L’absence de réponse constitue-t-elle un signal d’alerte ? Ces trois questions sont restées ouvertes : dans un rapport réel, cette zone d’ombre serait élucidée par d’autres voies ou signalée comme telle. Cela suppose toutefois que le cas repose sur une situation réelle. Lorsque l’enseignant fabrique un cas, il sait qu’une réponse existe, et les étudiants le savent aussi : on retrouve le biais de la combinaison annoncée aux échecs. Assurés qu’il y a quelque chose à trouver, ils cherchent jusqu’à trouver, au lieu de s’interroger sur la pertinence de la piste ou sur l’existence même d’une réponse.
C’est tout ce travail, en semi-autonomie, qui apporte une plus-value : l’étudiant doit hiérarchiser les pistes, formuler des hypothèses, accepter qu’une recherche ne donne rien, et décider quand pivoter. Le but n’est pas seulement d’apprendre à trouver de l’information, mais de conduire une enquête marquée par l’incertitude.
Guider le raisonnement, pas la réponse
Pour transmettre cette logique de recherche, l’enseignant doit faire preuve de souplesse et s’adapter aux réflexions des étudiants. Il ne s’agit cependant pas de laisser des débutants livrés à eux-mêmes. En effet, un guidage minimal, imposé à des novices, échoue parce que la gestion de la recherche elle-même sature leur mémoire de travail et ne laisse rien pour l’apprentissage (Kirschner, Sweller & Clark, 2006). Le guidage est donc nécessaire, mais il doit porter sur le raisonnement et non sur la réponse, raison pour laquelle il faut sans cesse demander aux apprenants ce qu’ils espèrent tirer de chaque action qu’ils proposent. L’enseignant écarte des pistes en expliquant pourquoi, en privilégie d’autres, resserre progressivement ses indices si le groupe s’enlise et ne fournit la piste qu’en dernier recours. C’est cet étayage qui distingue une méthode par problèmes bien conduite du guidage minimal que critiquent certains chercheurs, tels Kirschner et ses collègues (Hmelo-Silver, Duncan & Chinn, 2007).
Il est aussi particulièrement utile que l’exercice soit mené en direct, sur le navigateur Web. Contrairement à un enchainement de slides, cette méthode permet de transmettre la dynamique de l’investigation et montre qu’une enquête n’est jamais linéaire. Cela introduit aussi la notion de sérendipité : une découverte peut être fortuite, mais encore faut-il savoir en reconnaître la valeur et l’intégrer au raisonnement. Dans le cadre de l’investigation, l’expérience de l’enquêteur augmente précisément sa capacité à identifier, parmi des signaux inattendus, ceux qui méritent d’ouvrir une nouvelle piste.
Suivre une piste en direct permet également de rendre compte des multiples échecs qui émaillent une investigation : une requête qui ne donne rien et qu’on reformule devant la classe, un axe qu’on abandonne en expliquant pourquoi, une base de données qui ne répond pas, etc. Ces impasses n’apparaissent jamais sur des slides préparés à l’avance, qui, eux, ne retiennent que ce qui a fonctionné. Les échecs sont pourtant aussi instructifs que les réussites pour apprendre.
En sciences de l’éducation, cette méthode s’approche de l’apprentissage cognitif, où l’enseignant commence par montrer son propre raisonnement, accompagne ensuite celui de l’apprenant, puis s’efface à mesure que l’autonomie s’installe (Collins, Brown & Newman, 1989). En définitive, cette méthode permet d’aborder les mêmes blocs théoriques que dans un programme modulaire, mais ils sont dispensés au moment où une piste les rend nécessaires.
Le modèle modulaire suivi de cas pratiques
Intégrer des cas pratiques au sein de chaque module ne résout qu’en partie le problème, puisque ces cas héritent du cadre du module et orientent les apprenants vers une famille de techniques. Un partisan de la méthode modulaire pourrait cependant objecter qu’il suffit d’intégrer des cas pratiques non pas à la fin de chaque module, mais une fois que tous ceux-ci ont été étudiés. Ainsi, les apprenants seraient confrontés à l’incertitude de la recherche, tout en ayant un bagage théorique leur permettant d’appréhender les différents espaces du Web.
Pour moi, reléguer l’enquête en fin de cours n’équivaut pas à l’enseigner de manière répétée. Les apprenants sont en effet théoriquement outillés, mais n’ont été que peu confrontés à l’investigation et à ses incertitudes. Pourtant, comme évoqué en 2.2, le guidage minimal échoue sur des novices. En ne proposant des enquêtes ouvertes qu’en fin de formation, on limite le nombre de boucles observation-hypothèse-recherche-pivot auxquelles les apprenants sont exposés, alors que l’enquête en direct permet de les répéter à chaque nouvelle piste. C’est au cours de ces répétitions que s’apprend la reconnaissance des situations et que les réflexes s’aiguisent.
Limites et conclusion
L’enquête en direct telle que décrite ici n’est pas aisée parce qu’elle nécessite plusieurs prérequis : tout d’abord du temps, car les échanges, les répétitions et les fausses pistes constituent un pilier essentiel de l’apprentissage. En outre, l’expérience montre que la charge cognitive est forte pour les apprenants, qui découvrent de nombreux outils tout en devant intégrer une méthodologie. Aussi, il n’est pas réaliste de compresser l’apprentissage sur quelques jours. Espacer les sessions sur plusieurs semaines, avec des exercices pratiques à réaliser en autonomie, est nécessaire pour intégrer les nouveaux acquis et mûrir la réflexion. Cette méthode nécessite de plus une certaine souplesse de la part du formateur, qui ne peut pas se contenter de dérouler un plan.
L’enquête en direct n’est pas non plus adaptée à tous. Comme évoqué en 2.1, elle s’adresse à un public qui se destine au métier d’analyste, pas forcément à un public souhaitant simplement améliorer ses compétences en recherche d’information. Pour un professionnel à la recherche de connaissances nouvelles, le format modulaire, étayé de cas pratiques, parait plus pertinent, car l’objectif peut être moins de construire un état d’esprit d’analyste que d’enrichir un répertoire de méthodes et d’outils déjà structuré. La recherche sur l’effet d’inversion de l’expertise le confirme : les aides qui servent les novices deviennent redondantes, voire contre-productives, pour des apprenants qui possèdent déjà les schémas que ces aides cherchent à construire (Kalyuga, Ayres, Chandler & Sweller, 2003).
Le format modulaire n’est donc pas à abandonner : il reste particulièrement efficace pour transmettre une technique et pertinent pour des professionnels déjà formés. Mais utilisé seul ou suivi d’enquêtes reléguées en fin de programme, il expose insuffisamment les futurs analystes à l’incertitude procédurale, celle qui porte sur la piste à suivre et qui constitue le quotidien du métier. L’enquête en direct, avec un socle initial et un guidage explicite, confronte les apprenants à cette incertitude dès les premières séances, sans les noyer.