Delve : quand le compliance « en quelques clics » s'avère être du vent

Vous êtes founder d'une startup B2B. Vos prospects enterprise vous demandent un SOC 2 Type II avant de signer. Un ISO 27001. Peut-être un HIPAA si vous touchez à la santé. Le processus classique ? Des mois de travail, des dizaines de milliers d'euros, et une quantité de documentation qui ferait pleurer un archiviste.

Et puis quelqu'un vous parle de Delve. Soutenue par Y Combinator. 32 millions de dollars levés en Série A. Valorisée à 300 millions. Plus de 1 700 clients revendiqués dans 50 pays. Le pitch : connectez vos outils, laissez l'IA « agentique » faire le travail, obtenez votre certification en quelques jours.

Trop beau pour être vrai ? Apparemment, oui.

Comment l'affaire Delve a-t-elle éclaté ?

Le 18 mars 2026, un compte pseudonyme, DeepDelver, publie sur Substack un article dévastateur intitulé « Fake Compliance as a Service ». Ce n'est pas un coup de gueule sur un forum. C'est une enquête structurée, avec captures d'écran, documents archivés et un dossier entier de preuves hébergé sur Mega.nz.

L'auteur se présente comme un ancien client. Pas un concurrent, pas un journaliste. Un client qui a payé pour le service et qui, avec d'autres entreprises dans la même situation, a décidé de creuser. Interrogé sur son anonymat, il a expliqué à TechCrunch avoir choisi de rester masqué « par crainte de représailles de la part de Delve ».

Delve n'est pas une startup obscure. Fondée en 2023 par Karun Kaushik et Selin Kocalar, deux anciens étudiants du MIT, elle s'était imposée comme la coqueluche de l'écosystème Y Combinator, avec la promesse de décrocher un SOC 2 ou un ISO 27001 plus vite et moins cher que quiconque grâce à des « agents IA ».

Leur conclusion est sans appel : Delve ne ferait pas du compliance automatisé. Delve ferait du théâtre de compliance automatisé.

De quoi Delve est-elle accusée exactement ?

L'article de DeepDelver est long, détaillé, et méthodique. Voici l'essentiel.

Des rapports générés avant même que le client n'ait fourni ses données. Les conclusions d'audit, les procédures de test et les rapports finaux auraient été produits par Delve elle-même, avant tout examen indépendant. Ce qui, dans le monde de l'audit, s'appelle une inversion totale du processus. Quand c'est la plateforme auditée qui écrit le rapport de l'auditeur, on n'est plus dans le compliance. On est dans le sketch.

Des templates quasi-identiques d'un client à l'autre. Sur 494 rapports SOC 2 examinés, 493 auraient été pratiquement identiques, mêmes formulations, mêmes erreurs grammaticales. Des valeurs de test absurdes comme « g », « sdf » ou « Render » traîneraient encore dans des rapports supposément finalisés. On est loin de l'IA révolutionnaire promise dans les pitchs.

Des preuves fabriquées. Procès-verbaux de réunions de board qui n'auraient jamais eu lieu. Formations d'employés jamais dispensées. Scans de vulnérabilités pré-remplis. Le client avait le choix : accepter les templates tels quels, ou faire le travail manuellement, ce qui annulait tout l'intérêt de la plateforme.

Deux cabinets d'audit pour tout le monde. La quasi-totalité des clients auraient été orientés vers Accorp (pour le SOC 2) et Gradient (pour l'ISO 27001), décrits comme deux entités liées opérant principalement depuis l'Inde, avec une présence nominale aux États-Unis. Le rôle de ces cabinets ? Apposer leur tampon sur des rapports déjà rédigés par Delve.

Des pages Trust Center trompeuses. Les portails publics affichant le statut de sécurité des entreprises clientes de Delve auraient listé des contrôles « live monitored » qui n'avaient jamais été implémentés. En clair : une vitrine de sécurité sans rien derrière.

Delve a-t-elle elle-même des failles de sécurité ?

Comme si les accusations de compliance fictif ne suffisaient pas, l'affaire a pris une dimension supplémentaire. Un utilisateur X nommé James Zhou a affirmé avoir pu accéder à des informations sensibles de Delve : vérifications d'antécédents d'employés, calendriers de vesting d'actions. Le fondateur de Dvuln, Jamieson O'Reilly, a ensuite détaillé ce qu'il a décrit comme « plusieurs failles béantes dans la surface d'attaque externe de Delve ».

L'ironie est presque trop parfaite. Une entreprise qui vend du compliance en matière de sécurité informatique et qui aurait elle-même des trous de sécurité dans sa propre infrastructure. On ne peut pas inventer ça.

Que répond Delve aux accusations ?

Le 20 mars, Delve publie un billet de blog intitulé « Response to Misleading Claims ». La ligne de défense repose sur trois arguments : Delve ne délivre pas de rapports de compliance, c'est une plateforme d'automatisation. Les auditeurs sont indépendants et accrédités. Et les templates sont des « points de départ » que le client doit personnaliser. Auprès de TechCrunch, l'entreprise insiste : « Les rapports finaux et les opinions sont émis uniquement par des auditeurs indépendants et agréés, pas par Delve », et « des modèles de brouillon, ce n'est pas la même chose que des preuves pré-remplies ».

Le CEO Karun Kaushik a envoyé un mail aux clients qualifiant les accusations de « falsifiées » et suggérant que l'article pourrait être généré par IA.

La réplique de DeepDelver, relayée par TechCrunch, n'a pas tardé : ils se disent « sidérés par la paresse et l'aplomb » de la réponse, notant que Delve appelle « templates » ce qui est en réalité des preuves pré-remplies, et reporte la responsabilité sur les clients qui les ont adoptées telles quelles. La startup affirme ne pas « émettre » les rapports, ce qui est facile à soutenir si vous définissez l'émission comme le fait d'apposer le tampon final. Mais quand vous générez les conclusions de l'auditeur, les procédures de test et le rapport final avant toute revue indépendante, vous êtes à la fois l'implémenteur et l'examinateur. Et ça, c'est l'inversion exacte de ce que la conformité est censée garantir.

Les allégations les plus graves n'ont pas été adressées : les liens avec les cabinets indiens, l'absence réelle d'IA (Delve parle d'« automatisations » dans sa réponse, pas d'IA), et les pages Trust Center affichant des contrôles jamais implémentés.

Un détail révélateur : quand DeepDelver et d'autres clients ont commencé à poser des questions, Delve leur aurait envoyé des boîtes de donuts. Le geste aurait été touchant s'il n'était pas aussi dérisoire face à l'ampleur du problème.

Delve a-t-elle volé du code open source à Sim.ai ?

L'histoire ne s'est pas arrêtée là. Fin mars, DeepDelver publie une partie 2, avec cette fois une accusation d'un tout autre ordre : Delve aurait revendu comme sien un logiciel open source développé par une autre startup de Y Combinator.

L'outil en question s'appelle SimStudio, une plateforme no-code de construction d'agents IA éditée par Sim.ai. Selon DeepDelver, Delve l'aurait « forké », c'est-à-dire copié et modifié juste assez, pour le présenter à ses prospects sous le nom de Pathways, comme une brique maison. Or SimStudio est distribué sous licence Apache 2.0, qui autorise l'usage commercial mais impose de créditer l'auteur d'origine, ce que Delve n'aurait pas fait.

Le plus savoureux : Sim.ai était elle-même cliente de Delve. Son fondateur, Emir Karabeg, a confirmé à TechCrunch qu'aucun accord de licence n'existait entre les deux sociétés. Sim.ai payait Delve, mais Delve ne payait pas Sim.ai. Karabeg raconte avoir d'abord « consolé ses amis de chez Delve » après la première publication, avant de couper les ponts en découvrant cette seconde affaire.

Une plateforme qui vend de la conformité et du sérieux documentaire, prise en défaut sur une simple obligation d'attribution de licence open source : le symbole est difficile à rater.

Pourquoi Y Combinator a-t-il lâché Delve ?

Les signaux d'alarme se sont accumulés vite. Delve a désactivé le bouton « Book a demo » de son site. Insight Partners, le fonds qui a mené la Série A, a supprimé son article promotionnel sur l'investissement (l'original reste visible via la Wayback Machine). Et quand TechCrunch a tenté de joindre Delve via son adresse de contact presse, le message a renvoyé un bounce.

Puis le couperet est tombé. Début avril 2026, Y Combinator a retiré Delve de son annuaire d'entreprises et l'a poussée vers la sortie. La COO Selin Kocalar a annoncé la nouvelle sur X d'une formule laconique : « YC et Delve ont pris des chemins séparés. » Pour un accélérateur qui avait fait de Delve une vitrine auprès de ses propres startups, la rupture en dit long.

Au même moment, Delve a durci le ton. Dans un billet intitulé « Delve sets the record straight on anonymous attacks », l'entreprise soutient qu'un attaquant aurait acheté le service sous un faux prétexte pour en exfiltrer des données et orchestrer « une campagne de dénigrement coordonnée », les indices pointant selon elle vers « une attaque malveillante plutôt qu'un véritable lanceur d'alerte ». Dans le même souffle, Karun Kaushik reconnaît que la société a « grandi trop vite et échoué à tenir son propre standard », présente ses excuses aux clients, et propose des ré-audits et des tests d'intrusion gratuits à tous les comptes actifs. Concéder qu'on a grandi trop vite tout en imputant l'affaire à un pirate isolé, c'est défendre deux versions qui ne peuvent pas être vraies en même temps.

Quand votre accélérateur vous efface de son annuaire et que votre investisseur nettoie ses propres traces, ce n'est généralement pas parce que tout va bien.

Pourquoi l'affaire Delve devrait-elle vous préoccuper ?

Ce n'est pas qu'une histoire de startup américaine qui a pris des raccourcis. Les implications sont concrètes et graves.

Pour les entreprises utilisant Delve qui gèrent des données de santé, une fausse conformité HIPAA peut entraîner des poursuites pénales. Pas des amendes. Des poursuites pénales. Pour celles opérant en Europe, une conformité GDPR de façade expose à des amendes allant jusqu'à 4 % du chiffre d'affaires mondial annuel. Et pour toutes les autres, c'est la crédibilité commerciale qui est en jeu. Quand un client enterprise découvre que votre certificat SOC 2 a été « généré » plutôt qu'audité, le contrat ne survit généralement pas à la conversation.

Le compliance peut-il vraiment s'automatiser ?

Au-delà du cas Delve, cette affaire illustre un problème systémique que je ne cesse de pointer dans mes travaux : le compliance est un processus, pas un produit.

Vous ne pouvez pas « acheter » la conformité comme vous achetez un abonnement SaaS. La conformité exige une compréhension profonde de votre contexte métier, de vos flux de données, de vos risques réels. Elle nécessite des contrôles adaptés, testés et maintenus dans le temps. Et elle repose sur un audit indépendant, le mot « indépendant » étant la clé de tout l'édifice.

Quand une plateforme vous promet d'automatiser tout ça « en quelques jours grâce à l'IA », il faut poser la question qui dérange : qu'est-ce qui est réellement automatisé, le compliance ou l'apparence du compliance ?

Je ne suis pas le seul à le penser. Depuis l'affaire, des spécialistes de la gouvernance des risques estiment que le SOC 2 lui-même est en train de se réduire à une case à cocher. Comme l'écrit Clarence Chio dans Corporate Compliance Insights, « le risque a toujours été que, dès lors que la vitesse et le coût deviennent les principaux arguments de vente d'un produit de conformité, quelque chose finisse par céder ». Et de rappeler l'évidence : « un document ne vaut que ce que vaut le processus qui le sous-tend ». Sa conclusion déplace la question : la bonne interrogation n'a jamais été « ce fournisseur a-t-il un SOC 2 ? », mais « ce fournisseur fait-il vraiment ce que son SOC 2 prétend ? ».

C'est exactement le même schéma que l'on observe partout dans l'écosystème : la pression du « scale fast » pousse à optimiser l'affichage plutôt que la substance. On ne protège pas les données des utilisateurs. On protège la capacité à signer des contrats.

C'est ce que j'appelle, dans Être en cybersécurité, le « compliance performatif » : des organisations qui cochent des cases pour satisfaire un audit, sans jamais intégrer la sécurité dans leur culture opérationnelle. Delve n'a fait qu'industrialiser ce problème.

Que faire si votre entreprise a utilisé Delve ?

Si votre entreprise a utilisé Delve pour obtenir une certification, la marche à suivre est directe.

Vérifiez immédiatement vos rapports d'audit. Comparez-les avec ceux d'autres clients Delve si possible. Si la structure, les formulations et même les erreurs sont identiques, vous avez votre réponse. Faites réaliser un audit indépendant par un cabinet sans lien avec Delve, Accorp ou Gradient. Oui, ça va coûter cher. Mais c'est le prix de la réalité versus le prix de l'illusion. Soyez transparents avec vos clients et partenaires : si vous avez présenté un certificat Delve comme preuve de conformité, il vaut mieux prendre les devants que d'attendre qu'un prospect ou un régulateur pose la question. Et revoyez vos pages Trust Center. Si elles affichent des contrôles que vous n'avez jamais implémentés, retirez-les immédiatement.

Le mot de la fin

La conformité réglementaire est chiante. Elle est lente. Elle est chère. Et c'est précisément pour ça qu'elle a de la valeur. Parce qu'elle représente un engagement réel, vérifiable, envers la protection des données des personnes qui vous font confiance.

Quand quelqu'un vous promet de rendre ce processus rapide, facile et bon marché, la question n'est pas « est-ce innovant ? ». La question est : qu'est-ce qu'on a coupé pour y arriver ?

Delve voulait disrupter le compliance. Pour l'instant, elle a surtout démontré pourquoi le compliance ne se disrupte pas aussi facilement qu'un service de livraison de repas.

L'enquête continue : après la partie 2 sur le vol de code présumé, DeepDelver annonce d'autres révélations. Delve, elle, a quitté Y Combinator et vu ses investisseurs se dérober. Des investigations réglementaires pourraient suivre. En attendant, le message est clair : un beau certificat ne vaut rien si derrière, il n'y a que du vent. Et des donuts.

---

Sources

• DeepDelver, 18 mars 2026, « Delve: Fake Compliance as a Service, Part I » (Substack)
• DeepDelver, mars 2026, « Delve: Fake Compliance as a Service, Part II » (Substack)
• TechCrunch, 22 mars 2026, « Delve accused of misleading customers with 'fake compliance' »
• TechCrunch, 1er avril 2026, « The reputation of troubled YC startup Delve has gotten even worse »
• TechCrunch, 4 avril 2026, « Embattled startup Delve has 'parted ways' with Y Combinator »
• Inc., 23 mars 2026, « The Delve Scandal: A Y Combinator Darling Just Got Hit With a Bombshell Fraud Accusation »
• Corporate Compliance Insights, 21 mai 2026, « SOC 2 Is Broken. The Delve Scandal Is Showing Us How »
• Delve, 20 mars 2026, « Response to Misleading Claims »