Souveraineté des données : un sujet de stratégie, plus seulement d'informatique

Un sujet qui change de mains

Pendant longtemps, la question de savoir où sont hébergées les données de l'entreprise relevait du directeur informatique, avec un avis du juriste en fin de parcours. Cette répartition ne tient plus. Trois évolutions se sont superposées : une réglementation plus exigeante, une concentration des services numériques chez un petit nombre de fournisseurs, et l'arrivée de l'IA générative, qui multiplie les flux de données vers des tiers.

Côté réglementaire, la loi fédérale sur la protection des données révisée (nLPD) est en vigueur depuis le 1er septembre 2023. Elle renforce les devoirs d'information, impose de documenter les traitements, encadre la communication de données à l'étranger et prévoit des sanctions pénales qui visent les personnes physiques, donc les dirigeants eux-mêmes. En Europe, le règlement sur l'IA est entré en vigueur le 1er août 2024, avec une application par étapes : interdictions en février 2025, obligations pour les modèles d'IA à usage général en août 2025, et la plupart des autres obligations à partir d'août 2026. Une entreprise suisse qui sert des clients dans l'Union est concernée par l'un et l'autre cadre.

Ces textes ne sont pourtant que la partie visible. La vraie question est stratégique : de qui dépendons-nous, pour quelles données, et que se passe-t-il si cette relation change de nature ?

Trois plans de souveraineté

Nous distinguons utilement trois plans, qui n'appellent pas les mêmes décisions.

Le plan juridique. Il concerne la juridiction applicable aux données. Un hébergement en Suisse ou en Europe chez un fournisseur dont la maison mère est soumise à un droit étranger, par exemple le CLOUD Act américain, n'offre pas la même garantie qu'un fournisseur entièrement local. La nuance compte, sans être toujours décisive : tout dépend de la nature des données.

Le plan opérationnel. Il concerne la continuité. Si le fournisseur suspend le service, modifie ses conditions ou subit une panne longue, l'entreprise peut-elle continuer à produire, facturer, livrer ? C'est un sujet de gestion des risques que les directions générales connaissent bien, mais qu'elles appliquent rarement aux services numériques.

Le plan économique. C'est le plus négligé. Plus les données, les processus et les habitudes des équipes sont enfermés dans une plateforme, plus le coût de sortie augmente, et plus le pouvoir de négociation du fournisseur s'accroît au renouvellement. La souveraineté se mesure ici en euros ou en francs : c'est le prix de la capacité à dire non.

Un exemple chiffré

Prenons un cas illustratif, avec des hypothèses explicites. Une entreprise industrielle de 400 personnes réalise 120 millions de francs de chiffre d'affaires. Son ERP, son CRM et sa gestion de cycle de vie produit sont en mode SaaS chez un éditeur non européen, pour un coût annuel de 1,2 million de francs.

Supposons que l'éditeur annonce, au renouvellement, une hausse de 12 %. Cela représente environ 144 000 francs par an. Supposons aussi qu'une migration vers une autre solution demanderait 18 à 24 mois et coûterait, tout compris, de l'ordre de 2 à 3 millions de francs, parce que les données sont dans un format propriétaire et que les intégrations ont été développées sur des interfaces spécifiques.

Dans ces conditions, la hausse sera acceptée : la menace de partir n'est pas crédible. Si l'entreprise avait investi, disons, 3 à 5 % du contrat annuel chaque année (soit 36 000 à 60 000 francs) dans des exports réguliers en formats ouverts, une documentation des interfaces et un test annuel de reprise, le coût de sortie pourrait être ramené à une fraction du montant initial. La négociation change alors de nature. Ces chiffres sont des ordres de grandeur, propres à cet exemple, mais le raisonnement est général : la réversibilité est une prime d'assurance, à comparer au coût de la dépendance.

Ce que cela change pour la décision

Classer les données selon trois critères

Vouloir tout rapatrier est irréaliste et coûteux. Nous recommandons de classer les ensembles de données selon leur valeur stratégique (savoir-faire, recettes, prix, données clients), leur criticité opérationnelle et leur exposition réglementaire (données personnelles, secrets d'affaires, données soumises à des obligations sectorielles). Une petite minorité d'ensembles cumule généralement les trois critères. C'est là que l'exigence de souveraineté doit être élevée, et que le surcoût se justifie. Pour le reste, un fournisseur international solide, avec des clauses contractuelles claires, est un choix tout à fait rationnel.

Payer la réversibilité là où elle compte

Pour les ensembles critiques, quatre exigences contractuelles et techniques suffisent souvent : un export complet dans un format ouvert, des interfaces documentées, des clauses de sortie avec délais et assistance définis, et un test de reprise réalisé au moins une fois par an. Ce dernier point est le plus rarement tenu, et le plus révélateur.

Intégrer l'IA dans le même arbitrage

Chaque projet d'IA qui envoie des données à un modèle hébergé par un tiers est une décision de souveraineté. Nous avons souligné dans 2025, l'année où l'IA doit rendre des comptes que la valeur de l'IA se juge sur des résultats mesurables. Il faut ajouter qu'elle se juge aussi sur ce qu'elle expose. Et comme le montre l'article Du pilote à l'échelle : pourquoi tant de projets IA s'arrêtent en route, un pilote qui contourne la question des données bute souvent dessus au moment du passage à l'échelle, quand le juriste, le client ou l'auditeur posent enfin les questions qu'on avait différées.

Lire la souveraineté dans le plan stratégique

Les choix de plateformes engagent l'entreprise sur cinq à dix ans, soit au-delà de l'horizon de la plupart des budgets. Ils devraient donc figurer dans la feuille de route, au même titre qu'un investissement industriel. Un plan qui ignore ces dépendances est fragile, ce que nous développons dans Le plan stratégique à trois ans qui survit au premier trimestre. Pour une entreprise qui prépare une expansion, la question se pose très concrètement : préparer l'entrée sur le marché américain suppose de décider quelles données clients et quels systèmes seront hébergés où, et sous quel régime juridique.

Un arbitrage, pas une doctrine

La souveraineté a un coût : fournisseurs parfois moins riches fonctionnellement, intégrations plus lourdes, compétences à entretenir. Elle entre donc en concurrence avec d'autres projets, et doit être traitée comme tel, dans une logique de portefeuille, comme dans notre cas d'usage Arbitrer un portefeuille de projets. Le directeur financier a un rôle central : le coût de sortie, la hausse tarifaire probable et le risque de rupture sont des éléments de la discipline de performance, que nous traitons dans notre expertise Finance & performance.

Trois questions permettent de démarrer en comité de direction. Quels sont les cinq ensembles de données dont la perte ou la fuite nous coûterait le plus ? Combien de temps et combien d'argent faudrait-il pour quitter chacun des fournisseurs qui les hébergent ? Quel projet d'IA en cours ou prévu modifie cette exposition ? Les réponses suffisent généralement à identifier deux ou trois chantiers prioritaires, pas une refonte générale.

Cette démarche s'inscrit dans notre approche de la stratégie et de la création de valeur : décider d'abord, déployer ensuite, piloter les résultats. Si vous souhaitez savoir où se situent vos dépendances les plus coûteuses et quels arbitrages méritent votre attention en premier, notre diagnostic est le point de départ le plus direct.