Stack logicielle souveraine pour PME : le guide de choix 2026

Le 2 août 2026 marque l’entrée en application de l’essentiel du règlement européen sur l’intelligence artificielle. Cette échéance ne transforme pas automatiquement Microsoft 365, Google Workspace, AWS ou Salesforce en solutions non conformes. Elle oblige cependant les entreprises à connaître les fonctions d’IA utilisées, les données qui leur sont transmises et les sous-traitants qui interviennent.

Le risque ne vient donc pas de la nationalité américaine d’un logiciel prise isolément. Il naît d’une combinaison moins visible : données sensibles hébergées par une société soumise à un droit extraterritorial, dépendance technique sans solution de sortie, fonctions d’IA activées sans contrôle et incapacité à répondre au questionnaire de sécurité d’un grand client.

Construire une stack logicielle souveraine PME ne signifie pas remplacer tous les outils américains. Une PME doit d’abord protéger ses actifs les plus sensibles, négocier des garanties vérifiables et conserver certains services étrangers lorsqu’ils restent les plus performants et que les données peuvent être chiffrées, pseudonymisées ou isolées.

Trois textes européens resserrent le contrôle de la chaîne logicielle

20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial : le RGPD permet de retenir le montant le plus élevé pour les infractions les plus graves, rappelle la CNIL dans sa présentation des sanctions. Le plafond ne constitue pas le coût le plus probable pour une PME, mais il fixe la valeur juridique attachée à la maîtrise des traitements et des sous-traitants.

Le RGPD ne s’arrête pas à l’adresse du centre de données

Un hébergement à Paris ou Francfort améliore la maîtrise de la localisation physique. Il ne suffit pas à neutraliser tous les risques de transfert ou d’accès depuis un pays tiers. Il faut également examiner l’entité qui fournit le service, sa maison mère, les équipes pouvant accéder aux données, les clés de chiffrement et les demandes auxquelles le groupe peut légalement être tenu de répondre.

Le Clarifying Lawful Overseas Use of Data Act, ou Cloud Act, permet aux autorités américaines d’exiger, sous certaines conditions et procédures, des données contrôlées par un fournisseur relevant de la juridiction américaine. Le lieu de stockage européen ne crée donc pas, à lui seul, une étanchéité juridique. Cela ne signifie pas davantage que les autorités américaines disposent d’un accès libre ou permanent à tous les serveurs européens.

Le cadre UE–États-Unis de protection des données, adopté en 2023, peut fournir une base aux transferts vers les organisations américaines certifiées. Une PME reste néanmoins responsable de la qualification du transfert, de la vérification de ses prestataires et des mesures complémentaires requises selon la sensibilité du traitement. La CNIL recommande notamment d’identifier les transferts, les législations applicables et les conditions d’accès à distance.

NIS2 fait remonter les exigences vers les fournisseurs

La directive NIS2 couvre 18 secteurs critiques et devait être transposée par les États membres au plus tard le 17 octobre 2024, selon la Commission européenne. Son application concrète dépend de la législation nationale, du secteur, de la taille de l’organisation et de son éventuelle désignation comme entité essentielle ou importante.

Une PME non assujettie peut pourtant subir un effet commercial immédiat. Les organisations concernées doivent gérer les risques de leur chaîne d’approvisionnement. Elles demandent alors à leurs prestataires des informations sur l’authentification multifacteur, la notification des incidents, la continuité d’activité, les sauvegardes, les vulnérabilités et les dépendances cloud.

La conformité RGPD, AI Act et NIS2 ne se résume pas à trois certificats. Elle exige une cartographie commune des données, des services numériques et des responsabilités contractuelles. Un fournisseur incapable d’indiquer où sont stockées ses sauvegardes ou quels sous-traitants administrent son infrastructure devient un risque d’achat, même si son logiciel fonctionne correctement.

L’AI Act rend les fonctions intégrées plus difficiles à ignorer

Le règlement européen sur l’IA s’applique par étapes : interdictions et obligation de maîtrise des compétences depuis le 2 février 2025, règles concernant les modèles d’IA à usage général depuis le 2 août 2025, puis application de la majorité des dispositions à compter du 2 août 2026. Certaines obligations relatives aux systèmes à haut risque intégrés à des produits réglementés suivent un calendrier distinct, présenté par la Commission européenne.

« The AI Act is much more than a rulebook — it's a launchpad for EU startups and researchers to lead the global AI race. » — Thierry Breton, alors commissaire européen au Marché intérieur, Commission européenne (Source).

Toutes les PME n’ont pas à inscrire chaque usage de ChatGPT ou de Copilot dans un registre imposé uniformément par l’AI Act. Elles doivent en revanche inventorier les systèmes qu’elles fournissent ou déploient, déterminer leur rôle juridique et documenter davantage les cas soumis à des obligations spécifiques. Un registre interne reste une mesure de gouvernance pertinente, même lorsqu’il n’est pas explicitement exigé pour chaque outil.

Le réglage le plus dangereux est souvent invisible : résumé automatique d’une réunion, rédaction assistée dans un CRM, analyse d’un contrat ou indexation d’un espace documentaire. Avant activation, l’entreprise doit vérifier la conservation des requêtes, l’utilisation éventuelle des données pour l’entraînement, les accès administrateurs, la localisation du traitement et la possibilité de désactiver la fonction.

Cloud souverain : distinguer localisation, immunité juridique et qualification

Comment un acheteur peut-il séparer un discours commercial de garanties opposables ? Trois niveaux doivent être examinés indépendamment : l’hébergement européen, le contrôle capitalistique et juridique du fournisseur, puis la qualification de sécurité attachée à une offre précise.

SecNumCloud est une qualification délivrée par l’ANSSI à des prestataires et à des services délimités. Elle repose sur des exigences techniques, opérationnelles et juridiques. La qualification ne couvre pas automatiquement tous les produits vendus par un groupe, ni les logiciels déployés au-dessus de l’infrastructure qualifiée. La liste officielle des offres SecNumCloud doit donc être consultée avec le nom exact du service et son périmètre.

« La qualification SecNumCloud permet d’identifier des prestataires de services d’informatique en nuage de confiance. » — Agence nationale de la sécurité des systèmes d’information (Source).

Un Cloud souverain SecNumCloud se justifie en priorité pour des données dont la divulgation, l’altération ou l’indisponibilité menacerait directement l’entreprise : secrets de fabrication, plans industriels, données de santé, dossiers sensibles de clients publics, informations financières stratégiques ou sauvegardes maîtresses.

Pour une lettre d’information, un site vitrine ou un outil de prise de rendez-vous sans données sensibles, l’exigence SecNumCloud peut être disproportionnée. Elle réduit le nombre de fournisseurs disponibles et peut augmenter les coûts d’intégration, d’exploitation ou de migration. Une infrastructure européenne non qualifiée peut rester adaptée si le contrat, le chiffrement, la réversibilité et les contrôles de sécurité répondent au risque réel.

La souveraineté numérique d’une entreprise comporte ainsi quatre dimensions :

• Juridique : pays d’établissement des entités, lois applicables et mécanismes de transfert.
• Technique : formats exportables, interfaces documentées, chiffrement et contrôle des identités.
• Opérationnelle : compétences internes, possibilité de changer de fournisseur et reprise après incident.
• Économique : évolution des tarifs, frais de sortie, dépendance à des fonctions propriétaires.

Une solution française hébergée exclusivement sur une infrastructure américaine ne règle pas nécessairement le risque d’extraterritorialité. À l’inverse, un logiciel américain peut demeurer acceptable pour des données peu sensibles lorsque l’entreprise applique un chiffrement maîtrisé, limite les informations envoyées et dispose d’un plan de sortie testé.

Comparatif 2026 : quelles alternatives européennes par fonction ?

Un CRM remplacé sans reprendre les historiques commerciaux peut faire perdre davantage de valeur qu’il n’en protège. Le comparatif suivant identifie des candidats à évaluer, non des équivalents automatiquement conformes. L’acheteur doit contrôler l’offre, le contrat, l’hébergeur et les sous-traitants au moment de la commande.

Ces alternatives françaises SaaS ne peuvent pas être présumées conformes en raison de leur siège social. Certaines s’appuient sur des sous-traitants étrangers, proposent plusieurs régions ou réservent leurs garanties les plus fortes à des offres spécifiques. Le contrat signé compte davantage que le drapeau affiché sur la page d’accueil.

La facturation appelle une vérification supplémentaire. La réforme française impose à toutes les entreprises assujetties de pouvoir recevoir des factures électroniques à partir du 1er septembre 2026, tandis que l’obligation d’émission commence selon un calendrier lié à la taille. Le choix d’un outil doit intégrer son raccordement à une plateforme agréée et sa capacité à restituer les données. Une entreprise retardataire s’expose surtout à une rupture de processus, comme l’explique notre analyse de la préparation à la facturation électronique au 1er septembre 2026.

Cartographier les dépendances avant de choisir les remplaçants

Une PME découvre rarement sa stack dans son registre des contrats. Des équipes achètent directement des abonnements, des consultants connectent leurs propres outils et des extensions de navigateur accèdent aux messageries ou aux espaces documentaires sans validation centralisée.

L’audit doit créer une ligne par application, y compris pour les versions gratuites et les fonctions expérimentales. Chaque ligne renseigne au minimum : propriétaire interne, finalité, catégories de données, personnes concernées, localisation principale et sauvegardes, sous-traitants, authentification, interfaces, export disponible, coût annuel et date de renouvellement.

Le coût d’un service ne correspond pas seulement à son abonnement. Une suite bureautique à 20 euros par utilisateur et par mois peut conditionner les fichiers, les identités, les réunions, les automatismes et les archives de toute l’organisation. Sa dépendance économique dépasse alors largement la facture annuelle.

Affecter trois niveaux de sensibilité

Niveau 1 — critique. R&D non brevetée, secrets industriels, sauvegardes, données financières stratégiques, clés cryptographiques et dossiers relevant d’exigences sectorielles. L’entreprise privilégie une offre qualifiée, une infrastructure européenne juridiquement maîtrisée ou un hébergement interne lorsque ses compétences le permettent. Les accès administrateurs, les clés et le plan de reprise sont contrôlés. Niveau 2 — opérationnel sensible. CRM, ressources humaines, contrats, achats et gestion documentaire courante. Un SaaS européen peut constituer le meilleur compromis, sous réserve d’un accord de traitement des données, d’une authentification multifacteur et d’exports testés. Le niveau fonctionnel reste déterminant : une migration qui dégrade la qualité des données commerciales crée son propre risque. Niveau 3 — exposition limitée. Veille, création de contenus non confidentiels, réservation de salles ou enquêtes anonymisées. Un service américain peut être conservé si aucune donnée sensible n’y entre, si les identifiants sont maîtrisés et si les informations transmises sont minimisées.

Cette classification ne doit pas confondre confidentialité et disponibilité. Un outil ne contenant aucune donnée personnelle peut rester critique s’il pilote la production. À l’inverse, un fichier nominatif peu sensible peut être facilement remplaçable. Chaque service doit donc recevoir trois notes distinctes : confidentialité, intégrité et disponibilité.

Migrer sans désorganiser les ventes, la finance ou la production

Le marché a rarement basculé en une seule opération. Une migration simultanée de la messagerie, du stockage, du CRM et des identités multiplie les incidents et rend leurs causes difficiles à isoler. La meilleure trajectoire commence par les contrats proches de leur renouvellement et les services présentant une forte sensibilité combinée à une réversibilité encore accessible.

Tester sur un périmètre réel

Un pilote doit inclure des utilisateurs exigeants, des collaborateurs mobiles et au moins un processus transverse. Tester uniquement avec la direction informatique masque les incompatibilités de fichiers, les difficultés d’invitation externe et les tâches manuelles créées par le nouvel outil.

Les critères mesurés pendant quatre à huit semaines peuvent inclure le temps d’exécution d’une tâche, le taux d’incidents, la qualité des imports, les délais de support et le nombre d’opérations contournant le logiciel. La souveraineté perd sa valeur économique si les utilisateurs exportent ensuite les données vers des comptes personnels pour retrouver une fonction absente.

Sécuriser la sortie avant l’entrée

Le contrat doit préciser les formats d’export, le délai de restitution, le maintien des accès pendant la transition, le sort des sauvegardes et le certificat de suppression. Une simple mention de « portabilité » ne garantit pas la récupération des pièces jointes, historiques, droits, journaux ou métadonnées.

L’accord de traitement des données, souvent appelé DPA, doit identifier les finalités, les mesures de sécurité, les sous-traitants ultérieurs, l’assistance en cas d’exercice de droits et les modalités de notification d’une violation. Les clauses contractuelles types ne remplacent pas l’analyse des transferts lorsqu’un pays tiers intervient.

Pour l’IA, l’acheteur réclame en plus la version du modèle, la durée de conservation des requêtes, l’utilisation ou non des contenus pour l’entraînement, les mécanismes de journalisation et les conditions de changement de modèle. Une clause générale affirmant que le fournisseur est « conforme à l’AI Act » n’explique pas quel rôle juridique il assume ni quelles obligations restent à la charge du client.

Le bon objectif : réduire la dépendance critique, pas afficher 100 %

Quel pourcentage de logiciels européens prouverait qu’une PME est souveraine ? Aucun seuil universel ne répond à cette question. Une entreprise utilisant dix petits outils français mais confiant ses identités, ses sauvegardes et ses secrets industriels à un fournisseur sans solution de sortie reste fortement dépendante.

Le tableau de bord pertinent suit plutôt cinq indicateurs : part des données critiques placées sous contrôle européen, proportion des comptes protégés par authentification multifacteur, nombre d’applications sans export testé, concentration des dépenses chez les trois premiers fournisseurs et délai estimé de restauration après leur indisponibilité.

Une stack logicielle souveraine PME réussie peut donc rester hybride. Elle réserve les garanties les plus fortes aux identités, sauvegardes, données stratégiques et communications sensibles. Les outils américains demeurent possibles lorsque leur avantage fonctionnel est net, que les données transmises sont limitées et que l’entreprise peut changer de fournisseur.

Le premier budget ne doit pas financer une migration générale, mais une cartographie vérifiable et deux tests de réversibilité. Une dépendance inconnue ne peut pas être négociée ; une dépendance mesurée peut être réduite lors du prochain renouvellement.