Souveraineté numérique en entreprise : un portefeuille de dépendances à piloter, pas un drapeau à choisir

Pendant longtemps, la souveraineté numérique a été un débat d'État, de cloud qualifié et de discours de sommet. En 2026, elle entre dans les comités de direction par une porte plus prosaïque : la facture. Les dépenses cloud et logiciel augmentent plus vite que les budgets, les fonctions d'IA arrivent dans les contrats sans avoir été demandées, et l'État a lancé un observatoire pour mesurer les dépendances des entreprises. Face à cela, beaucoup de dirigeants posent la question sous la forme d'un choix de fournisseur : américain ou européen ? C'est la mauvaise question. Pour une entreprise, la souveraineté numérique se gère comme un portefeuille de dépendances, et elle se joue dans les contrats qui se renouvellent cet automne.

En résumé

Le constat : la dépendance numérique devient un sujet de coût autant que de sécurité. Selon une étude Asterès pour le Cigref (2026), les dépenses cloud et logiciel des organisations européennes ont augmenté de 8,7 % par an sur trois ans, et 12 % par an sont attendus d'ici 2030.

La thèse : la souveraineté numérique d'une entreprise ne se décrète pas par le choix d'un fournisseur ; elle se construit en cartographiant ses dépendances critiques, en testant sa réversibilité et en utilisant les échéances contractuelles comme leviers.

La conséquence : le sujet relève de la direction générale, avec un calendrier précis : la suppression des frais de changement de fournisseur cloud prévue par le Data Act au 12 janvier 2027 ouvre une fenêtre de renégociation.

Pourquoi la souveraineté numérique arrive-t-elle au comité de direction en 2026 ?

Trois signaux convergent cette année, et aucun ne vient du débat politique.

Le premier est institutionnel. Le 26 janvier 2026, le gouvernement a installé un Observatoire de la souveraineté numérique, confié au Haut-commissariat à la Stratégie et au Plan. Sa mission : dresser un diagnostic partagé des dépendances critiques et fournir des outils d'aide à la décision aux acheteurs publics et privés. Un questionnaire national a été ouvert aux entreprises jusqu'au 12 juin 2026, et ses résultats doivent être restitués « après l'été 2026 ». Le même jour a été présenté l'Indice de résilience numérique (IRN), un référentiel de vingt critères élaboré avec des entreprises comme RTE ou Ouest-France.

Le deuxième signal est économique. En mai 2026, le Cigref a publié une étude du cabinet Asterès menée auprès de 54 décideurs IT européens. Elle chiffre à 8,7 % par an la hausse des dépenses cloud et logiciel sur les trois dernières années et projette 12 % par an en moyenne jusqu'en 2030. Pour absorber ces hausses, environ un répondant sur deux réduit ses autres dépenses numériques, et un tiers augmente son budget IT. Les variables d'ajustement citées sont les prestataires locaux, les recrutements et la R&D.

Le troisième signal vient du marché. Le 3 septembre, le cabinet ISG a publié son évaluation des services de cloud privé et hybride en France, portant sur 58 fournisseurs. Son constat, relayé par la presse économique : les grandes entreprises et les ETI deviennent plus sélectives sur l'endroit où elles hébergent les charges de travail liées à l'IA et aux données réglementées. ISG précise toutefois que les hyperscalers américains restent très présents dans les architectures hybrides : la bascule consiste à tracer des frontières autour des données critiques, pas à les évincer.

Pris ensemble, ces signaux déplacent la question. Elle ne porte plus sur la nationalité d'un fournisseur de cloud, mais sur la capacité d'une entreprise à connaître, mesurer et négocier ses dépendances.

De quoi une entreprise dépend-elle réellement ?

Parler de « dépendance numérique » au singulier entretient la confusion. En pratique, une entreprise en gère au moins quatre, qui n'appellent pas les mêmes réponses.

La dépendance juridique

C'est celle qui domine le débat public : un fournisseur soumis à une loi extraterritoriale peut être contraint de communiquer des données ou d'interrompre un service. Selon l'un des concepteurs de l'IRN, cité par Le Monde Informatique, cette préoccupation monte dans l'agenda des comités de direction, qui veulent savoir si leurs prestataires peuvent « éteindre le bouton ». Pour la majorité des données d'une entreprise, ce risque reste théorique. Pour certaines (données de santé, secrets industriels, données de clients régulés), il est déterminant.

La dépendance économique

Elle est moins spectaculaire et beaucoup plus fréquente. Quand un logiciel est au cœur des processus, que les données y sont enfermées dans un format propriétaire et que les équipes n'ont jamais travaillé sur autre chose, le fournisseur fixe ses prix avec une marge de manœuvre considérable. L'étude Asterès identifie trois mécanismes : le verrouillage technique ou contractuel, cité par 40 % des répondants, l'ajout de fonctions d'IA justifiant une hausse de prix (32 %), et l'obsolescence programmée des versions (30 %). Plus d'un répondant sur cinq (21 %) déclare s'être vu imposer une option d'IA intégrée avec un surcoût.

La dépendance opérationnelle

Une panne, une faille ou une interruption chez un fournisseur unique arrête l'activité. C'est l'angle des régulations comme DORA pour le secteur financier ou NIS2, qui imposent d'évaluer le risque de concentration sur des prestataires critiques et de prévoir des stratégies de sortie.

La dépendance de compétences

Moins souvent citée, elle est pourtant décisive. Une entreprise qui a externalisé toute la connaissance de son architecture à un intégrateur, ou dont les équipes ne maîtrisent qu'un seul écosystème, ne peut pas changer de fournisseur même quand le contrat le permet. La réversibilité juridique ne vaut rien sans réversibilité humaine.

Ces quatre dépendances ne se superposent pas. Un logiciel européen peut créer une forte dépendance économique ; un service américain bien encadré contractuellement peut présenter un risque faible pour des données peu sensibles. D'où l'impasse d'une approche par le drapeau.

Pourquoi « passer au cloud souverain » ne règle pas la question

Face au sujet, la réponse réflexe consiste à lancer un projet de migration vers un fournisseur européen ou qualifié SecNumCloud, la qualification de l'ANSSI qui s'impose comme référence pour les charges de travail réglementées. Pour certaines données, c'est la bonne décision, et la loi l'impose parfois : l'article 31 de la loi du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique (dite SREN) exige des solutions qualifiées pour certaines données sensibles de l'État et de ses opérateurs.

Appliquée à tout le système d'information, cette réponse pose trois problèmes.

D'abord, elle coûte cher et prend du temps, pour un bénéfice qui n'est pas uniforme. Migrer un outil de messagerie peu sensible mobilise les mêmes équipes que celles dont le portefeuille de projets a besoin ailleurs.

Ensuite, elle peut déplacer la dépendance au lieu de la réduire. Un fournisseur européen propriétaire, sans formats ouverts ni clauses de sortie, reproduit le verrouillage économique sous un autre pavillon.

Enfin, elle occupe le terrain symbolique et laisse de côté les leviers les plus rentables : les contrats, les formats de données, les compétences internes et les tests de sortie.

L'étude ISG le dit à sa manière : la promesse d'une échelle mondiale devient moins convaincante « lorsque la responsabilité locale reste floue ». Le sujet n'est pas le lieu d'origine du fournisseur, mais la clarté de la gouvernance entre lui et son client.

Ce que cela change pour les entreprises en 2026 et 2027

Le budget 2027 intègre une inflation subie

Avec une hausse projetée de 12 % par an des dépenses cloud et logiciel dans l'étude Asterès, toute entreprise qui reconduit ses contrats à l'identique voit sa capacité d'investissement se réduire. Le poste « licences et abonnements » devient une ligne à piloter comme un achat stratégique, pas comme une charge fixe. Les arbitrages budgétaires de l'automne sont le bon moment pour le faire, et notre guide de gestion de portefeuille de projets digitaux détaille comment intégrer ce coût du run dans l'arbitrage.

Les échéances contractuelles deviennent des leviers

Le règlement européen sur les données (Data Act), applicable depuis le 12 septembre 2025, a encadré le changement de fournisseur de services de traitement de données. Son article 29 prévoit une réduction progressive des frais de changement, puis leur suppression à compter du 12 janvier 2027, pour les migrations définitives. La Commission européenne précise que les frais de transfert peuvent subsister dans les usages multicloud simultanés. Concrètement, un renouvellement négocié en 2027 se discute dans un rapport de force différent de celui de 2024 : le coût de sortie, souvent invoqué pour justifier le statu quo, diminue.

L'IA accélère le verrouillage

Chaque fonction d'IA intégrée par défaut dans un logiciel augmente l'adhérence : les données d'usage, les automatisations et les habitudes des équipes s'y accumulent. Selon la même étude Asterès, un répondant sur deux ne parvient pas à mesurer les bénéfices de l'IA ou estime qu'ils supposent une réorganisation. Accepter ces options sans évaluation revient à payer pour approfondir sa dépendance.

La conformité pousse dans le même sens

NIS2, dont la transposition française est en discussion au Parlement, et DORA pour le secteur financier demandent déjà d'identifier les prestataires critiques et de documenter des stratégies de sortie. Ce travail, souvent traité comme une obligation de la DSI ou du RSSI, constitue en réalité le socle d'une démarche de souveraineté.

Comment piloter la souveraineté numérique comme un sujet de gouvernance ?

Si la souveraineté numérique est un portefeuille de dépendances, elle se gouverne comme tel : on inventorie, on classe par criticité, on décide où réduire l'exposition et on vérifie que les protections fonctionnent. Quatre pratiques traduisent ce principe.

Cartographier les dépendances critiques, pas tout le système d'information. L'objectif n'est pas un inventaire exhaustif des logiciels, mais l'identification des vingt ou trente services sans lesquels l'entreprise ne fonctionne pas : ERP, messagerie, CRM, identité, hébergement des données clients, outils de production. Pour chacun, quatre questions : quelle loi s'applique au fournisseur ? Combien coûterait une sortie ? Que se passe-t-il en cas d'interruption de 48 heures ? Qui, en interne, saurait migrer ?

Distinguer résilience déclarée et résilience prouvée. L'IRN propose une logique utile : une résilience simplement documentée vaut un point, des moyens positionnés en valent trois, une résilience prouvée par des tests en vaut cinq. Beaucoup de plans de réversibilité n'ont jamais été testés. Un exercice d'extraction de données réelles, une fois par an, sur un service critique, en apprend davantage que n'importe quel audit documentaire.

Tenir le calendrier des échéances contractuelles. La plupart des marges de négociation se jouent six à douze mois avant un renouvellement. Une entreprise qui connaît ses dates de fin de contrat, ses clauses de réversibilité et les formats d'export disponibles peut préparer ses options ; une entreprise qui les découvre au moment de la facture n'en a aucune.

Porter la décision au niveau de la direction générale. Arbitrer entre coût, risque et performance pour un service critique n'est pas une décision technique. Le baromètre 2026 d'Abraxio, éditeur de solutions pour DSI, place la « dépendance critique à certains fournisseurs / souveraineté » parmi les principaux irritants anticipés par ses DSI clientes : ils ne peuvent pas le résoudre seuls. Le sujet a sa place dans la gouvernance de la transformation digitale, à côté des arbitrages de portefeuille, et dans les critères de choix d'un partenaire de transformation.

Cette approche n'oppose pas souveraineté et performance. Elle accepte des dépendances assumées là où le risque est faible et l'offre supérieure, et elle concentre l'effort sur les quelques services où l'exposition est réelle.

Un diagnostic national attendu, des décisions qui n'attendent pas

Les résultats de l'Observatoire de la souveraineté numérique, annoncés pour l'après-été, fourniront des repères sectoriels et une liste d'alternatives européennes. Ils seront utiles pour se comparer. Ils ne remplaceront pas le travail propre à chaque entreprise, dont les dépendances tiennent à son histoire, à ses contrats et à ses compétences. Le volet « données » de l'omnibus numérique européen, toujours en négociation, pourrait par ailleurs faire évoluer les règles sur les données personnelles dans les prochains mois.

Pour une direction générale, la question à poser n'est donc pas « devons-nous passer au cloud souverain ? ». Elle est plus exigeante : « quelles sont nos cinq dépendances les plus critiques, combien nous coûterait d'en sortir, et l'avons-nous déjà vérifié ? » Une entreprise capable d'y répondre avant ses prochains renouvellements aura fait l'essentiel du chemin, quel que soit le pavillon de ses fournisseurs.

Le regard de digitalie_

Chez digitalie_, nous considérons que la souveraineté numérique d'une entreprise se mesure à sa capacité de choix, pas à la nationalité de ses fournisseurs. Nous l'abordons comme un volet de la feuille de route de transformation : cartographie des dépendances critiques, lecture des échéances contractuelles, arbitrage en comité de direction. Si vos renouvellements 2027 approchent, nous vous proposons un échange de 30 minutes pour identifier les deux ou trois dépendances qui méritent d'être traitées en priorité.

Questions fréquentes

Qu'est-ce que la souveraineté numérique pour une entreprise ?

Pour une entreprise, la souveraineté numérique désigne sa capacité à garder le contrôle de ses données, de ses outils et de ses choix technologiques. Elle ne signifie pas l'autarcie : il s'agit de connaître ses dépendances critiques (juridiques, économiques, opérationnelles, de compétences), de réduire celles qui présentent un risque réel et de pouvoir changer de fournisseur si nécessaire.

Comment réduire la dépendance d'une entreprise aux fournisseurs de cloud américains ?

Commencez par cartographier les vingt ou trente services critiques et évaluer, pour chacun, le droit applicable, le coût de sortie, l'impact d'une interruption et les compétences internes. Réservez les solutions qualifiées aux données sensibles, exigez des formats ouverts et des clauses de réversibilité, testez une extraction réelle et utilisez les renouvellements de contrat pour renégocier.

Qu'est-ce que l'Indice de résilience numérique (IRN) ?

L'Indice de résilience numérique est un référentiel présenté en janvier 2026 lors du lancement de l'Observatoire de la souveraineté numérique. Il évalue une organisation sur vingt critères (cybersécurité, données, plateformes, compétences…) avec un score sur 100. Il distingue la résilience documentée, celle dotée de moyens, et celle prouvée par des tests.

Que change le Data Act pour les contrats cloud en 2027 ?

Le Data Act, applicable depuis le 12 septembre 2025, encadre le changement de fournisseur de services cloud. Son article 29 prévoit la suppression des frais de changement de fournisseur à compter du 12 janvier 2027 pour les migrations définitives. Les frais de transfert peuvent subsister pour les usages multicloud simultanés. C'est un levier de renégociation pour les renouvellements 2027.

La souveraineté numérique est-elle un sujet pour les PME et ETI ?

Oui, sous l'angle du coût et de la continuité plutôt que de la géopolitique. Une ETI dépend souvent de quelques logiciels critiques dont les prix augmentent fortement : l'étude Asterès pour le Cigref mesure 8,7 % de hausse annuelle des dépenses cloud et logiciel sur trois ans. Cartographier ces dépendances et préparer ses renouvellements protège sa marge de manœuvre budgétaire.

Sources

1. Haut-commissariat à la Stratégie et au Plan, « Lancement de l'Observatoire de la souveraineté numérique », 27 janvier 2026. strategie-plan.gouv.fr

2. Haut-commissariat à la Stratégie et au Plan, « Observatoire de la souveraineté numérique : lancement d'un diagnostic national auprès des entreprises », 18 mai 2026. strategie-plan.gouv.fr

3. Le Monde Informatique, « L'État lance des outils d'évaluation de la dépendance numérique », 27 janvier 2026 (présentation de l'Indice de résilience numérique). lemondeinformatique.fr

4. CIO (IT News Info), « 140 Md€ par an : le Cigref chiffre le coût de l'inflation logicielle pour l'Europe », 28 mai 2026, sur l'étude Asterès pour le Cigref (54 décideurs IT européens). cio-online.com

5. Cigref, « De la dépendance technologique à la captation économique : ce que les hausses tarifaires du cloud-logiciel coûtent à l'Europe », 2026. cigref.fr

6. Refrance, « Souveraineté numérique : les entreprises françaises verrouillent leur cloud hybride », 8 septembre 2026, sur le rapport ISG Provider Lens « Private/Hybrid Cloud – Data Center Services France 2026 » publié le 3 septembre 2026. Source primaire : cabinet d'analyse commercial. refrance.fr

7. Règlement (UE) 2023/2854 du 13 décembre 2023 (Data Act), articles 23 à 31. eur-lex.europa.eu

8. LeMagIT, « Ce que le Data Act change pour les clients des fournisseurs cloud », 12 septembre 2025. lemagit.fr

9. Abraxio, Panorama des priorités DSI 2026, enquête de novembre 2025 auprès des DSI clientes de l'éditeur. Source commerciale. abraxio.com