Réversibilité cloud et SaaS : la checklist à préparer avant le 12 janvier 2027

À partir du 12 janvier 2027, le Data Act européen supprime les frais de sortie que les fournisseurs cloud facturent aujourd'hui à leurs clients professionnels. Beaucoup de directions des systèmes d'information y voient une bascule mécanique : le jour venu, changer de prestataire coûterait enfin ce qu'il devrait coûter. C'est une lecture incomplète. La suppression des frais ne dispense en rien de préparer, en amont, les clauses contractuelles, les formats de données et les compétences internes nécessaires pour qu'un transfert soit techniquement possible en trente jours. Sans cette préparation, l'entreprise reste prisonnière de son fournisseur, gratuitement.

En résumé

Le règlement européen sur les données (Data Act) impose depuis septembre 2025 des obligations de portabilité aux fournisseurs cloud, et supprimera au 12 janvier 2027 l'essentiel des frais de sortie facturés lors d'un changement de prestataire. Ce jalon ne crée pas, à lui seul, les conditions d'une réversibilité effective : il encadre les coûts, pas la faisabilité technique du transfert. Les entreprises qui n'ont pas audité leurs contrats cloud et SaaS, vérifié les formats d'export de leurs données et testé une migration partielle abordent cette échéance en spectatrices plutôt qu'en actrices. Pour les directions des systèmes d'information et les directions générales, l'enjeu des prochains mois n'est donc pas d'attendre janvier 2027, mais de transformer une obligation réglementaire en levier de négociation dès les prochains renouvellements de contrats.

Une échéance réglementaire moins spectaculaire qu'il n'y paraît

Le Data Act (règlement UE 2023/2854) est entré en vigueur le 11 janvier 2024 et s'applique de façon générale depuis le 12 septembre 2025. Il vise à rééquilibrer le rapport de force entre les fournisseurs de services cloud et leurs clients professionnels, en s'attaquant à un verrou identifié depuis des années par les autorités de concurrence européennes : le coût et la complexité de changer de fournisseur, qui dissuadent une bonne partie des entreprises de faire jouer la concurrence, même lorsque le service ne les satisfait plus.

Le texte prévoit une trajectoire progressive. Depuis 2024, les frais de sortie facturés par les fournisseurs doivent déjà être plafonnés au coût réel de l'opération pour le prestataire, et non plus fixés de façon discrétionnaire. La deuxième étape, plus structurante, arrive le 12 janvier 2027 : à cette date, l'article 29 du règlement supprime purement et simplement les frais de changement de fournisseur pour les migrations dites définitives, c'est-à-dire celles où le client ne conserve pas de déploiement actif chez son prestataire d'origine. Les entreprises qui maintiennent volontairement une architecture multicloud avec des transferts récurrents peuvent, elles, continuer à se voir facturer une partie de ces frais : l'exonération ne s'applique pas de façon indifférenciée à toutes les configurations.

Cette distinction change la portée pratique de l'échéance. Elle ne signifie pas qu'à partir de janvier 2027, toute entreprise pourra quitter son fournisseur cloud sans frais et sans douleur. Elle signifie que les frais ne pourront plus constituer, à eux seuls, un motif suffisant pour renoncer à un changement de prestataire déjà justifié sur le plan technique et fonctionnel. Le verrou financier tombe. Le verrou opérationnel, lui, reste entièrement de la responsabilité de l'entreprise cliente.

Pourquoi la suppression des frais ne suffit pas à créer la réversibilité

Le Data Act impose par ailleurs aux fournisseurs des obligations de portabilité qui vont au-delà de la seule question tarifaire. Ils doivent permettre à leurs clients de transférer leurs données et leurs actifs numériques dans un délai maximal de trente jours après notification, moyennant un préavis pouvant aller jusqu'à deux mois, puis conserver les données disponibles au moins trente jours supplémentaires après la migration pour sécuriser la bascule. Ils doivent également recourir à des formats ouverts, structurés et interopérables, et garantir une forme d'équivalence fonctionnelle lorsque le client bascule vers un concurrent proposant un service comparable.

Sur le papier, ce cadre est cohérent. Dans les faits, il suppose que trois conditions soient déjà réunies au moment où l'entreprise décide de partir : que le contrat en cours prévoie explicitement les modalités de cette portabilité ; que les formats de données réellement utilisés par le fournisseur permettent un export exploitable, et non un simple archivage brut ; et que les équipes internes ou leurs prestataires sachent concrètement reconstruire l'environnement chez un nouvel hébergeur dans le délai imparti. Rien, dans le règlement, ne garantit qu'une entreprise qui découvre ces trois conditions le jour où elle veut partir sera en mesure de le faire dans les temps. La même exigence s'applique à la facturation électronique : choisir une plateforme agréée réversible fait partie des contrôles de notre checklist DSI-DAF.

C'est là que se loge la différence entre une réversibilité de principe, inscrite dans un texte européen, et une réversibilité opérationnelle, qui dépend de décisions prises des mois, parfois des années, avant le déclenchement effectif d'un transfert. Les avocats spécialisés en droit des contrats numériques le rappellent régulièrement à propos des clauses SaaS : une clause de réversibilité mal rédigée, qui ne précise ni le format d'export, ni le périmètre des données couvertes, ni les obligations d'assistance du prestataire sortant, expose l'entreprise cliente à des délais et à des coûts cachés que le Data Act ne suffit pas à éliminer. Le règlement fixe un plafond aux frais ; il ne fixe pas la qualité de l'exécution.

Ce que cela change concrètement pour les contrats en cours

Pour une direction des systèmes d'information ou une direction administrative et financière, l'échéance de janvier 2027 doit d'abord se traduire par un audit des contrats cloud et SaaS actifs, et non par une attente passive de la date d'application. Trois familles de contrats méritent une attention particulière.

Les contrats d'infrastructure cloud (IaaS, PaaS) sont les plus directement concernés par l'article 29, car ce sont eux qui portent l'essentiel des architectures difficiles à répliquer ailleurs : bases de données propriétaires, services managés spécifiques, configurations réseau. Les contrats SaaS métier, souvent multipliés dans les grandes organisations, posent un problème différent : le volume de données à extraire est parfois modeste, mais leur structuration interne échappe totalement au client, qui découvre la difficulté de l'export au moment où il en a besoin. Les contrats hybrides, enfin, associant plusieurs fournisseurs dans une architecture interconnectée, sont ceux où l'exonération de frais est le plus susceptible d'être contestée par les prestataires au nom de l'exception multicloud, ce qui impose de clarifier dès la négociation ce qui relève d'un usage simultané légitime et ce qui relève d'un changement définitif de fournisseur.

Dans les trois cas, la fenêtre utile pour agir n'est pas janvier 2027. C'est le prochain renouvellement contractuel, la prochaine négociation tarifaire ou le prochain projet de refonte technique. Une entreprise qui attend l'échéance réglementaire pour se poser ces questions aura, dans la plupart des cas, déjà reconduit tacitement des clauses défavorables pour un à trois ans supplémentaires.

La checklist en six étapes

Première étape : cartographier les contrats concernés. Établir la liste exhaustive des contrats cloud et SaaS actifs, avec pour chacun la date d'échéance ou de reconduction tacite, le volume de données hébergées et le niveau de dépendance fonctionnelle vis-à-vis du fournisseur. Cette cartographie, souvent absente ou dispersée entre la DSI et les achats, est le préalable sans lequel aucune priorisation n'est possible.

Deuxième étape : auditer les clauses de réversibilité existantes. Pour chaque contrat jugé sensible, vérifier si une clause de réversibilité est présente, si elle précise un format d'export exploitable (et non un simple export brut difficile à réintégrer), si elle fixe des délais compatibles avec le cadre du Data Act, et si elle prévoit une obligation d'assistance du prestataire sortant plutôt qu'une simple mise à disposition passive des données.

Troisième étape : tester un export réel, pas seulement contractuel. Un droit contractuel à l'export ne garantit pas sa faisabilité technique. Demander un export test sur un périmètre limité permet de vérifier concrètement le format livré, sa complétude et le temps réellement nécessaire pour le traiter, avant que la question ne se pose en conditions réelles et sous contrainte de délai.

Quatrième étape : chiffrer le coût de sortie résiduel. Même après janvier 2027, certains coûts subsisteront : ceux liés à des services sur mesure, à des architectures multicloud maintenues, ou à des prestations d'accompagnement qui ne relèvent pas strictement du transfert de données. Documenter ce reste à charge évite les mauvaises surprises budgétaires et permet de comparer objectivement le coût d'un maintien du contrat actuel et celui d'un changement.

Cinquième étape : intégrer la réversibilité dans les prochaines négociations. Les renouvellements de contrats à venir sont le bon moment pour exiger des clauses alignées sur les standards que plusieurs organisations professionnelles, dont le Syntec, ont contribué à formaliser pour les contrats SaaS: format d'export documenté, délai de restitution des données, obligations d'assistance et modalités de résiliation anticipée.

Sixième étape : désigner un responsable interne du sujet. La réversibilité cloud n'est ni un sujet purement juridique, ni un sujet purement technique. Sans un point de contact identifié, à la croisée de la DSI, des achats et du juridique, chargé de suivre les échéances contractuelles et de porter le sujet lors des renégociations, la préparation reste théorique.

Les erreurs les plus fréquentes à éviter

La première erreur consiste à confondre l'existence d'une clause de réversibilité dans le contrat avec sa mise en œuvre effective. De nombreux contrats SaaS comportent une clause de ce type depuis plusieurs années, sans qu'elle ait jamais été testée. Une clause non éprouvée doit être traitée comme une clause absente jusqu'à preuve du contraire.

La deuxième erreur consiste à traiter le sujet uniquement au moment de la sortie effective d'un fournisseur, plutôt qu'en amont, dès la signature ou le renouvellement du contrat. Le rapport de force entre client et fournisseur est structurellement plus favorable au client au moment de la négociation qu'au moment où il souhaite déjà partir.

La troisième erreur consiste à sous-estimer le temps interne nécessaire pour exploiter des données exportées. Un export conforme au règlement, livré dans les délais, ne garantit pas que les équipes internes disposent de la capacité à le réintégrer dans un nouvel environnement sans accompagnement externe supplémentaire, qui doit lui aussi être anticipé et budgété.

La quatrième erreur, enfin, consiste à considérer l'exonération de frais applicable en janvier 2027 comme universelle. Les architectures multicloud maintenues, les prestations sur mesure et certains contrats à durée indéterminée conclus avant janvier 2024 restent soumis à des règles ou à des calendriers spécifiques, qui méritent d'être vérifiés contrat par contrat plutôt que supposés.

Le regard de digitalie_

Chez digitalie_, nous considérons que la réversibilité cloud ne devrait jamais être pilotée comme un sujet réglementaire ponctuel, mais comme un indicateur permanent de la maturité de gouvernance numérique d'une entreprise. Dans les diagnostics de maturité digitale que nous menons pour des ETI, la capacité réelle à changer de fournisseur cloud sans blocage technique figure systématiquement parmi les points les plus mal documentés, bien après les sujets de sécurité ou de conformité RGPD. La date du 12 janvier 2027 offre une occasion concrète de remettre ce sujet à l'agenda des comités de direction, avant qu'il ne redevienne, comme souvent, une urgence découverte au pire moment. Si ce diagnostic vous semble familier, nous proposons un échange de 30 minutes pour évaluer la maturité de vos contrats cloud et SaaS actuels au regard des nouvelles obligations du Data Act.

Le 12 janvier 2027 ne sera pas le jour où la réversibilité cloud deviendra automatique pour les entreprises européennes. Ce sera le jour où l'argument du coût cessera de justifier l'inaction. Les directions générales et les directions des systèmes d'information qui auront, d'ici là, audité leurs contrats, testé leurs exports et intégré ces clauses dans leurs négociations aborderont cette échéance en position de force. Les autres découvriront, au moment où elles voudront enfin s'en servir, que la liberté de changer de fournisseur ne se décrète pas : elle se prépare.

Questions fréquentes

Le Data Act supprime-t-il tous les frais de changement de fournisseur cloud ?

Non. À partir du 12 janvier 2027, l'article 29 du Data Act supprime les frais liés aux migrations définitives entre fournisseurs cloud. Les architectures multicloud maintenues avec des transferts récurrents, certaines prestations sur mesure et certains contrats spécifiques peuvent rester soumis à des frais résiduels, qu'il convient de vérifier contrat par contrat.

Que faire si mon contrat cloud actuel ne mentionne aucune clause de réversibilité ?

Le Data Act impose aux fournisseurs des obligations de portabilité qui s'appliquent indépendamment du contenu du contrat depuis septembre 2025. Il reste toutefois préférable de renégocier une clause explicite au prochain renouvellement, précisant le format d'export, les délais et les obligations d'assistance du prestataire, plutôt que de s'appuyer uniquement sur le cadre réglementaire général.

Combien de temps un fournisseur cloud a-t-il pour restituer mes données ?

Le règlement prévoit un préavis maximal de deux mois avant le transfert, une phase de migration limitée à environ trente jours, puis une obligation de conserver les données disponibles au moins trente jours supplémentaires après la bascule, pour sécuriser l'ensemble du processus.

La réversibilité concerne-t-elle aussi les contrats SaaS métier, ou seulement l'infrastructure cloud ?

Elle concerne les deux. Les contrats d'infrastructure (IaaS, PaaS) portent souvent les architectures les plus complexes à répliquer, mais les contrats SaaS métier posent un problème spécifique : le volume de données à exporter est parfois limité, mais leur structuration interne échappe largement au client, qui découvre les difficultés d'export au moment où il en a besoin.

Quand une entreprise doit-elle commencer à préparer cette échéance ?

Dès maintenant, et en priorité à l'occasion du prochain renouvellement ou de la prochaine négociation tarifaire d'un contrat cloud ou SaaS jugé sensible. Attendre janvier 2027 revient, dans la plupart des cas, à avoir déjà reconduit tacitement des clauses défavorables pour un à trois ans supplémentaires.

Sources

1. Règlement (UE) 2023/2854 du Parlement européen et du Conseil du 13 décembre 2023 (Data Act) — entrée en vigueur le 11 janvier 2024, application générale depuis le 12 septembre 2025.
2. LeMagIT, « Ce que le Data Act change pour les clients des fournisseurs cloud » — https://www.lemagit.fr/actualites/366630932/Ce-que-le-Data-Act-change-pour-les-clients-des-fournisseurs-cloud
3. donneespersonnelles.fr, « Data Act : calendrier d'application et dates clés » — https://www.donneespersonnelles.fr/data-act-calendrier
4. CIO-Online, « Le Syntec publie un contrat type pour le Saas » — https://www.cio-online.com/actualites/lire-le-syntec-publie-un-contrat-type-pour-le-saas-3048.html
5. donneespersonnelles.fr, « Contrat SaaS : les 12 clauses à négocier en 2026 » — https://www.donneespersonnelles.fr/contrat-saas