Claude est l'orchestrateur. ISMS Copilot est le spécialiste de la GRC.

Les utilisateurs nous demandent si ISMS Copilot concurrence Claude. Ce n'est pas le cas. Claude excelle dans l'exécution des tâches : lecture d'un dépôt, modification de fichiers, appel d'outils, maintien d'un plan. Nous ne voulons pas jouer ce rôle. Nous souhaitons être l'outil auquel il fait appel lorsque le travail relève de la conformité.

Voici donc le modèle que nous recommandons. Votre agent fait le travail. ISMS Copilot est l'expert en conformité qu'il consulte et à qui il fait vérifier ce travail. Vous décidez et vous signez. Votre agent est l'orchestrateur : Claude Code, Cursor, Codex, OpenCode, Grok, celui que vous utilisez déjà. Il appelle ISMS Copilot via MCP lorsque le travail relève de la conformité, puis à nouveau avant que le travail de conformité soit définitif, afin qu'un second relecteur le vérifie.

Pourquoi un agent générique avec un fichier Skill ne suffit pas

L'alternative courante consiste à utiliser un seul agent pour tout faire, avec un fichier Skill contenant des notes sur les cadres réglementaires dans ses instructions. Cela peut fonctionner. Pour les grands cadres stables, un fichier bien entretenu est difficile à battre, et nous le mentionnons dans notre documentation.

Cette approche présente trois faiblesses.

• Le fichier se périme. Les cadres réglementaires évoluent, avec des renumérotations. Votre fichier ne le sait pas. Quelqu'un doit le remarquer et le corriger, et c'est à vous de le faire.
• Le texte du cadre se retrouve dans votre historique. Pour répondre à partir d'un fichier Skill, l'agent le charge dans son propre contexte. Il en va de même pour chaque extrait de politique ou de contrôle qu'il copie-colle pour raisonner.
• Il n'y a pas de deuxième relecteur. L'agent qui a rédigé la politique est aussi celui qui la vérifie. Un spécialiste vous offre une deuxième relecture basée sur des références de cadre réglementaire soigneusement sélectionnées. Il s'agit d'un mécanisme, non d'un avantage mesuré : nous n'avons pas effectué de benchmark à ce sujet.

Un spécialiste modifie la nature du travail. Il ne rend pas votre agent plus intelligent. Les raisons complètes, y compris les cas où un fichier Skill reste la meilleure solution, sont expliquées dans Pourquoi connecter un spécialiste.

Que se passe-t-il réellement lorsque votre agent appelle ISMS Copilot

Votre agent appelle les outils MCP d'ISMS Copilot pour démarrer une conversation ou envoyer un message. Il transmet la question, ou le texte qu'il veut faire vérifier. Ensuite, le jugement de conformité s'exerce de notre côté.

• Les connaissances sur les cadres réglementaires restent de notre côté. Les modules de cadre réglementaire soigneusement sélectionnés sont chargés là où la réponse est rédigée, et non dans le contexte de votre agent.
• Votre espace de travail est lu de notre côté. Vos mémoires et, lorsque la conversation est limitée à un espace de travail, les mémoires et fichiers de cet espace de travail sont lus par ISMS Copilot. Les fichiers bruts ne sont pas copiés dans votre agent.
• La rédaction que vous demandez se fait de notre côté. Lorsque votre agent demande une politique longue ou une analyse des écarts, c'est le spécialiste qui la rédige, et non votre orchestrateur token par token.
• La réponse revient. Votre agent reçoit la réponse, et non le matériel sous-jacent, et reprend le travail.

La conséquence utile : le contexte qui n'entre jamais dans votre historique n'est jamais renvoyé lors des tours suivants. Votre agent ne transporte pas le texte complet du cadre réglementaire ou vos fichiers bruts de l'espace de travail tout au long de la session, car il ne les a jamais reçus.

Un avertissement honnête. La réponse elle-même est lue par votre agent. Elle est intégrée à votre orchestrateur comme toute autre entrée. Si la réponse cite ou résume un article de cadre réglementaire ou l'un de vos fichiers, cette partie se retrouve alors dans votre historique. Une réponse longue coûte cher à votre orchestrateur en termes de longueur. Si vous souhaitez une réponse concise, demandez à votre agent de demander une réponse brève, ou uniquement la décision et les références.

Qu'envoyer, et que conserver

Envoyez le travail de conformité :

• Questions sur les cadres réglementaires : ISO 27001, SOC 2, RGPD, NIS 2, DORA, l'AI Act de l'UE, HIPAA, et les autres.
• Rédaction de politiques et procédures.
• Cartographie des contrôles entre cadres réglementaires.
• Analyse des écarts par rapport à un cadre réglementaire.
• Justifications de la Déclaration d'applicabilité, entrées du registre des risques, préparation d'audit.
• Vérifications : un registre, une politique ou une réponse d'audit rédigés par votre agent, avant qu'ils soient définitifs.

Conservez le reste dans votre orchestrateur :

• Code, git, le système de fichiers, votre build.
• Questions générales sans rapport avec la conformité.
• Orchestration. Votre agent décide quoi envoyer et comment utiliser la réponse.

Une bonne règle à intégrer dans les instructions de votre agent : lorsque la tâche relève de la conformité, demandez à ISMS Copilot plutôt que de répondre de mémoire, et faites-lui vérifier le travail de conformité avant qu'il soit définitif. Pour une vérification, envoyez le texte complet sans les secrets ni les données personnelles inutiles, et indiquez quelles parties n'ont pas été vérifiées. Ne collez pas de texte de cadre réglementaire : ISMS Copilot l'apporte.

Connexion en une seule commande

Dans ISMS Copilot, ouvrez Paramètres, puis Applications connectées, et créez un jeton. Ensuite, pour Claude Code :

claude mcp add --scope user --transport http ismscopilot https://account.ismscopilot.com/v1/account/mcp --header "Authorization: Bearer pat-isms-..."

L'option --scope user rend le jeton disponible dans tous les dossiers. Cursor, Codex, OpenCode et les autres clients MCP acceptant un en-tête Bearer utilisent la même URL de serveur et le même jeton. Les étapes spécifiques à chaque client sont disponibles dans le guide de Claude Code et Connecter Cursor et Codex.

Cela s'intègre à votre plan de conversation

Il n'y a pas de produit MCP séparé ni de facturation distincte. Les conversations déléguées s'exécutent sur votre abonnement de chat ISMS Copilot existant, avec la même fenêtre d'utilisation que l'application web. Si vous atteignez la limite, l'outil vous l'indiquera et vous précisera quand elle sera réinitialisée.

Ce que nous avons mesuré : dans notre test pré-enregistré (2026-09-28, 3 exécutions chacune, Claude Code 2.1.283 avec claude-sonnet-5, outils web disponibles pour les deux configurations, clé de réponse issue de sources officielles), Claude Code déléguant à ISMS Copilot a obtenu le même score que Claude Code effectuant seul des recherches sur 20 recherches d'identifiants réparties sur cinq cadres (ISO 27001, ISO 42001, CMMC, DORA RTS, NIS2), en utilisant moins de tokens Claude par réponse correcte. L'utilisation du plan ISMS Copilot n'est pas comptabilisée ici, et les tours délégués sont décomptés de votre plan ISMS Copilot. Lors d'une longue session mixte de codage et de conformité, aucune économie n'a été constatée, et les petites tâches que Claude maîtrise déjà coûtent plus cher lorsqu'elles sont déléguées (quand la délégation n'aide pas), alors conservez-les dans votre agent. La méthode et ses limites sont disponibles sur la page de benchmark. Les tarifs de l'API Model, avec leurs sources et dates, sont disponibles sur /developers/models-and-data.

Quels clients se connectent

Les connecteurs claude.ai et Claude Desktop, Claude Code et ChatGPT (comme application MCP personnalisée) se connectent en ajoutant l'URL du serveur, en se connectant à ISMS Copilot et en cliquant sur Approve. Cursor, Codex, OpenCode et les tâches CI utilisent un jeton d'accès personnel envoyé sous forme d'en-tête Bearer.

L'essentiel

Vous n'avez pas à choisir entre votre agent et un spécialiste de la conformité. Gardez votre agent. Donnez-lui quelqu'un à qui demander, et quelqu'un pour vérifier son travail.