Longtemps réservée à la défense et aux équipes techniques, la souveraineté numérique fait désormais partie des critères de décision au sein des organisations. Hausses de prix brutales, menaces de coupure de service, lois étrangères qui s’appliquent aux données, usages de l’IA qui échappent à tout cadre : la question est devenue stratégique.
Les constats présentés ici sont issus de la table ronde qui a ouvert la Semaine de la Souveraineté Numérique, consacrée aux raisons qui ont rendu le sujet incontournable.
Elle réunissait Sophie Thiéry, directrice générale de l’association Dialogues et membre du Conseil de l’IA et du numérique, et Arno Pons, délégué général du think tank Digital New Deal. Les chiffres s’appuient sur l’étude Asterès pour le Cigref et sur les travaux de l’indice de résilience numérique.
Voici ce qu’il faut en retenir pour avancer, de l’identification des dépendances aux premières décisions à prendre.
Quand le choix « rationnel » devient le choix risqué
Pendant vingt ans, un adage a guidé les directions des achats : on ne reprochera jamais à personne d’avoir choisi Microsoft Azure, AWS ou IBM. Et de fait, personne ne le leur reprochait : les solutions européennes passaient pour moins fiables, quand elles n’étaient pas purement et simplement ignorées au profit des géants américains. Le risque, pensait-on, était du côté des petits acteurs.
Aujourd’hui, ce raisonnement ne tient plus. Dépendre d’un seul fournisseur, soumis à un droit étranger et à des décisions politiques extérieures, est devenu un risque à part entière pour les entreprises, et ce pour plusieurs raisons.
La hausse des prix en premier lieu. Un éditeur peut augmenter ses tarifs du jour au lendemain : Microsoft a ainsi relevé les tarifs de ses offres professionnelles à partir de juillet dernier, jusqu’à 25 % pour certaines d’entre elles, laissant les organisations face au fait accompli. Autre risque : la coupure d’accès aux services, ce qu’on appelle le kill switch. Longtemps théorique, ce scénario fait désormais partie de ceux qu’un dirigeant doit anticiper.
Le risque a changé de camp, et les fournisseurs se comparent désormais sur d’autres critères.
Mettre toute sa chaîne de valeur dans les mains d’un seul fournisseur devient un risque majeur. Le fameux kill switch était totalement théorique, il ne l’est plus.
Arno Pons
2022, 2024 : deux chocs rapprochés
Deux événements, à deux ans d’intervalle, ont fait basculer le sujet.
En novembre 2022, l’arrivée de ChatGPT a servi de révélateur. L’IA générative a obligé les décideurs à regarder de près des outils qu’ils ne questionnaient plus. Elle n’a rien inventé. Elle a amplifié des tendances déjà installées : la concentration du pouvoir, la captation de la valeur par quelques plateformes, l’enfermement dans des solutions propriétaires.
En novembre 2024, l’élection présidentielle américaine a porté au pouvoir une vision qui considère le droit, et en particulier la régulation européenne, comme un frein à l’économie. L’écart avec la conception européenne d’une technologie encadrée est devenu impossible à ignorer.
Pris isolément, chacun de ces chocs aurait pu être absorbé. Rapprochés, ils obligent désormais les organisations à agir.
Ce qu’on protège n’est plus seulement la donnée
Pendant longtemps, la souveraineté se résumait à une question d’hébergement : nos données sont-elles en France, en Europe ? Elle était davantage perçue comme un sujet de cybersécurité.
Elle porte aujourd’hui sur la continuité d’activité. Si un fournisseur, quelle que soit sa nationalité, peut couper un service dont dépend un processus métier, la localisation des données ne suffit plus. C’est la capacité même à produire qui est en jeu.
L’IA agentique illustre ce glissement. Il s’agit d’outils d’IA capables d’agir seuls dans les logiciels de l’entreprise. Beaucoup d’organisations interdisent à leurs salariés de coller des informations internes dans une IA grand public. Dans le même temps, elles déploient des agents connectés à leur CRM qui peuvent extraire seuls des données stratégiques. Le copier-coller est évité, mais les informations restent exposées.
Le maillon oublié : les usages
C’est le point que les stratégies de souveraineté sous-estiment le plus. Le numérique entre dans l’entreprise par les usages. L’IA générative a renforcé ce phénomène : pour la première fois, des outils de production arrivent par les salariés eux-mêmes, hors de tout cadre fixé par l’employeur. C’est ce qu’on appelle le shadow AI.
Une organisation peut donc se doter d’outils souverains et voir ses équipes les contourner dès qu’ils leur semblent trop lents. Il suffit d’un rapport à résumer et d’un outil interne qui tarde à répondre pour que le document finisse dans ChatGPT. Une politique de souveraineté que les utilisateurs ne respectent pas ne protège rien.
Les formations actuelles aggravent souvent ce décalage. Elles apprennent à se servir de l’IA, rarement à comprendre son fonctionnement et les dépendances qu’elle crée. Le dialogue social reflète le même angle mort : la vingtaine d’accords d’entreprise signés sur l’IA depuis fin 2025 parlent surtout d’emploi et de formation, et presque aucun n’aborde la souveraineté.
Pour travailler avec l’IA, il faut d’abord travailler sur l’IA. Pour apprendre avec l’IA, il faut d’abord apprendre de l’IA.
Sophie Thiéry
Il ne s’agit pas de transformer chaque collaborateur en expert. Il faut rendre les risques lisibles, puis fixer des règles claires, simples et applicables, avec des outils qui ne donnent pas l’impression de travailler moins bien.
Une dépendance se mesure avant de se traiter
Aucun pays n’est entièrement souverain, pas même les États-Unis, qui dépendent des semi-conducteurs taïwanais et des terres rares chinoises. Un objectif plus réaliste est l’autonomie stratégique : connaître ses dépendances et choisir celles que l’on accepte, auprès de fournisseurs de confiance.
Mais encore faut-il savoir lesquelles. À l’échelle européenne, la référence reste l’étude du cabinet Asterès pour le Cigref (avril 2025) : environ 264 milliards d’euros sont dépensés chaque année en cloud et en logiciels américains. Ce chiffre donne l’ampleur du phénomène, mais il ne dit rien de la situation d’une organisation en particulier.
Car les dépendances critiques varient d’un secteur à l’autre : un CRM n’a pas le même poids pour un distributeur que pour un énergéticien. Il faut donc commencer par identifier les processus métier critiques, puis les briques technologiques dont dépend leur continuité.
C’est l’objet de l’indice de résilience numérique, lancé début 2026 et piloté par l’association Digital Resilience Initiative. Il mesure la dépendance d’une organisation selon huit piliers qui vont au-delà de la technique : juridique, stratégique, données et IA, chaîne d’approvisionnement, environnement… Le référentiel est libre d’accès, et des cabinets agréés peuvent accompagner les organisations qui veulent un audit approfondi.
La souveraineté ne se décrète pas, elle se contractualise.
Arno Pons
Une fois cette cartographie établie, plusieurs leviers s’offrent à l’organisation :
- renégocier les contrats pour garantir une sortie possible ;
- répartir certains services entre plusieurs fournisseurs, ce qu’on appelle le multisourcing ;
- accepter, en connaissance de cause, les dépendances jugées tolérables.
Pour les briques vitales, celles dont la coupure arrêterait l’activité, un plan de transition sur trois à cinq ans s’impose.
Penser en architecte, pas en acheteur
Vingt ans d’abonnements en ligne (le modèle SaaS) ont installé une économie de location : on achète des offres groupées et on cesse de réfléchir à l’organisation de ses outils.
Reprendre la main, c’est raisonner en architecte. Les dépendances soumises à une loi extraterritoriale, c’est-à-dire à un droit étranger qui s’applique hors de ses frontières, comme le Cloud Act américain, sont les premières à identifier et à réduire. Personne ne peut être exemplaire partout : il faut choisir ses combats, en connaissance de cause.
Contrairement à ce que l’on pourrait penser, ce chantier ne peut pas se limiter à un dialogue entre la direction générale et la DSI. Les RH et les métiers doivent aussi participer à la cartographie des risques. Ce sont eux qui feront vivre, ou non, les choix retenus par l’organisation.
Ça change tellement le modèle économique et la façon de travailler que toutes les parties prenantes de l’entreprise doivent participer à cette cartographie des risques.
Sophie Thiéry
Sortir du brouillard stratégique
La souveraineté numérique n’est plus une affaire de principe, ni un sujet réservé aux experts.
Elle est aujourd’hui une question de continuité d’activité, qui concerne toutes les organisations, quels que soient leur taille et leur secteur. Beaucoup avancent pourtant sans visibilité : faute de mesure, elles ne décident rien, ou décident dans l’urgence, au gré d’une hausse de tarifs ou d’une alerte géopolitique.
Le point de départ est à leur portée : savoir de quoi elles dépendent, pour choisir en conscience ce qu’elles gardent, ce qu’elles renégocient et ce qu’elles remplacent, en y associant celles et ceux qui feront vivre ces choix au quotidien. Le risque a changé de camp : désormais, ne pas agir est ce qui fait peser le plus de risques sur les organisations.
En 5 minutes, notre diagnostic de souveraineté numérique évalue votre dépendance aux solutions extra-européennes et votre exposition aux lois extraterritoriales.
Faire le diagnostic
Trois questions à poser en comité de direction
Pour engager votre démarche, voici trois questions à poser en comité de direction.
- Quels sont nos processus critiques, et de quelles briques technologiques dépendent-ils ?
- Nos contrats nous permettent-ils de sortir, de changer de fournisseur ou d’en ajouter un ?
- Nos collaborateurs comprennent-ils nos choix, et nos outils leur permettent-ils de les respecter sans perdre en efficacité ?
Revoir la table ronde de la SSN 2026
Passionné par le numérique et grand amateur d'écriture qui apprécie tout particulièrement transmettre ses connaissances à d'autres personnes.
