Dépendance numérique : identifier les fournisseurs qui tiennent votre PME

La messagerie chez Google, les devis et les fichiers clients dans Microsoft 365, la facturation dans un logiciel en ligne, le site chez un hébergeur dont personne ne se souvient du nom, le paiement via Stripe ou PayPal. Aucun de ces choix n’a été une décision stratégique : chaque outil s’est installé parce qu’il était pratique, un jour où il fallait aller vite. Résultat, si l’un d’eux s’arrête, double son prix ou ferme votre compte, l’activité s’arrête avec lui. Et peu de dirigeants ont déjà fait le compte de ce qu’ils ont ainsi laissé entre les mains de tiers.

La vraie question n'est pas de savoir si vous dépendez de fournisseurs américains : la réponse est oui. Elle est de savoir lesquels vous mettraient en difficulté s'ils changeaient leurs prix ou leurs conditions, ou s'ils coupaient l'accès du jour au lendemain.

Choisir un logiciel, c'est aussi choisir une juridiction

Quand vous souscrivez à un CRM ou à une suite bureautique, vous comparez des fonctionnalités et un prix. Le contrat engage pourtant bien plus que cela. Vous choisissez :

• un éditeur, qui fixe les tarifs et décide seul de l'évolution du produit ;
• un hébergeur, parfois différent de l'éditeur, qui détient physiquement vos données ;
• une nationalité, celle de l'entreprise et de ses actionnaires, qui détermine les lois auxquelles elle obéit ;
• une localisation des données, qui ne suffit pas à elle seule à vous protéger ;
• un droit applicable, celui qui tranchera en cas de litige.

Prenez un poste de travail type en PME : Windows ou macOS, Chrome, Gmail ou Outlook, Microsoft 365 ou Google Workspace, LinkedIn, ChatGPT. Tous américains. Aucun dirigeant n'accepterait de dépendre d'un fournisseur unique de matière première sans solution de repli. C'est pourtant la situation de la plupart des PME pour leur messagerie et leurs documents.

La prise de conscience progresse. Une étude de 2025, menée auprès de dirigeants de grandes entreprises françaises, indique que 71 % d'entre eux s'inquiètent des risques liés au stockage de leurs données dans des clouds mondiaux, et que 66 % ont déjà modifié leur stratégie pour respecter les nouvelles règles de souveraineté des données.

Les petites structures suivent. Une enquête publiée en mai 2026, menée surtout auprès de dirigeants de TPE et PME, révèle que 48 % des sociétés françaises ont déjà pris des mesures concrètes pour limiter leur exposition. Le sujet n'est plus réservé aux DSI des grands groupes.

Cinq risques concrets, de la facture qui grimpe au service coupé

Dépendre d'un fournisseur devient un problème le jour où vous ne pouvez plus en changer facilement. Ce jour-là, cinq risques se matérialisent.

• Le coût économique. Une étude évalue à environ 264 milliards d'euros la valeur qui quitte chaque année l'Europe vers les fournisseurs numériques américains, dont près de 45 milliards pour la France. Pour comparer, la facture pétrolière française de 2023 (pétrole brut et produits raffinés) avoisinait 44 milliards. L'étude mesure aussi une hausse moyenne des tarifs des grands logiciels américains de 8,7 % par an sur trois ans. À périmètre constant, votre abonnement augmente, et vous n'avez aucun levier de négociation.
• Le verrouillage. Vos documents sont dans un format propriétaire, vos fichiers dans une arborescence qui n'existe que chez cet éditeur, et l'export complet est payant ou incomplet. Plus vous restez, plus le départ coûte cher.
• Le risque juridique. Le Cloud Act, loi américaine de 2018, permet aux autorités des États-Unis d'exiger d'une entreprise soumise à leur droit les données qu'elle contrôle, même stockées dans un datacenter européen. Relisez aussi la clause de droit applicable de vos contrats : elle désigne parfois un tribunal hors de France.
• La sécurité économique. Vos tarifs, vos marges, vos fichiers clients et vos plans de production sont des données stratégiques. Leur vol s'aggrave : le bilan publié en mars 2026 fait état de 196 cas d'exfiltration traités en 2025, contre 130 un an plus tôt.
• Le risque géopolitique. Restrictions commerciales, sanctions, suspension d'un service pour une catégorie de clients : ces décisions se prennent loin de vous et s'appliquent sans discussion. Même des briques techniques discrètes sont concernées, comme le montre le cas des certificats HTTPS face aux sanctions américaines.

Ces cinq risques n'ont pas le même poids pour tout le monde. Pour une TPE de cinq salariés, une coupure d'origine géopolitique reste un scénario peu probable. La hausse tarifaire, elle, arrive sur la facture chaque année, et le verrouillage se constate le jour où vous voulez partir.

Résilience : continuer à facturer quand un fournisseur lâche

La résilience numérique, c'est la capacité de votre entreprise à continuer de fonctionner quand un fournisseur fait défaut. Le mot est souvent réduit à la cybersécurité. C'est une erreur de périmètre : une panne mondiale, une faillite, un compte suspendu par erreur ou une hausse de prix que vous refusez produisent le même effet qu'une attaque. Vos équipes ne peuvent plus travailler.

Les cybermenaces restent une partie du problème. En 2025, près d'une victime de rançongiciel sur deux (48 %) était une TPE, une PME ou une ETI, contre 37 % l'année précédente, d'après le bilan publié en mars 2026. Vos prestataires font aussi peser une menace : en 2025, huit sous-traitants seulement ont été à l'origine d'incidents expliquant un dixième des violations de données déclarées à la CNIL. Un fournisseur mal protégé devient votre faille.

Les dirigeants le pressentent. En 2026, 53 % des dirigeants de TPE et PME interrogés disent craindre de perdre des données ou de se les faire pirater. La crainte existe. La cartographie des fournisseurs, beaucoup moins.

Mon test préféré tient en une question : si votre compte Microsoft 365 ou Google Workspace était bloqué demain à 8 h, combien de temps vous faudrait-il pour renvoyer un devis à un client ? Si la réponse est « je ne sais pas », le problème n'est pas technique. Il est organisationnel, et il se traite avant l'incident.

Cartographier votre dépendance numérique sur huit axes

Le réflexe consiste à lister ses logiciels. C'est utile, mais insuffisant : un outil peut être remplaçable techniquement et impossible à quitter parce que toute l'équipe ne sait travailler qu'avec lui. L'indice de résilience numérique (IRN) évite cet angle mort en découpant l'analyse en huit axes :

• Stratégique : quels outils portent votre cœur d'activité ?
• Économique et juridique : tarifs, durée d'engagement, droit applicable.
• Données et IA : où sont vos données, qui y accède, que deviennent celles copiées dans une IA générative ?
• Opérationnel : que se passe-t-il en cas de panne d'une journée ?
• Supply chain : de qui vos propres fournisseurs dépendent-ils ?
• Technologique : formats, API, standards ouverts ou fermés.
• Humain : qui détient les accès administrateur, qui sait faire quoi ?
• Environnemental : consommation et durée de vie du matériel.

L'axe données et IA mérite une attention particulière. En 2026, trois entreprises sur quatre (75 %) considèrent le shadow IA comme un danger : des salariés confient des données internes à des outils d'IA générative que l'entreprise n'a pas validés. Il arrive en tête des comportements à risque relevés.

Dans les audits que je réalise, le point qui bloque le plus souvent est humain : le nom de domaine ou le compte administrateur de la messagerie est enregistré au nom d'un ancien salarié ou d'un prestataire injoignable.

Une limite à garder en tête : une TPE n'a pas besoin de noter finement chaque axe. Une demi-journée avec un tableur, une ligne par outil et une note de gravité suffit à faire apparaître les trois ou quatre services réellement critiques.

Interopérabilité et réversibilité : réduire le risque sans tout migrer

Une fois vos services critiques identifiés, la tentation est de tout remplacer par des solutions européennes. Je la déconseille. La gestion des risques d'entreprise offre plusieurs réponses, et la migration n'est que l'une d'elles : accepter un risque jugé tolérable, le réduire, le contourner en cessant de dépendre d'un seul fournisseur, ou le transférer à un assureur ou un prestataire. Chaque choix se pèse selon la probabilité de l'incident et sa gravité.

Deux leviers permettent d'avancer sans rupture.

L'interopérabilité est la capacité de vos systèmes à échanger des données entre eux. Concrètement : des formats ouverts (ODF, CSV, PDF), une messagerie accessible en IMAP, des agendas en CalDAV, des logiciels qui exposent une API documentée. Un système interopérable se remplace pièce par pièce, au lieu d'un bloc.

La réversibilité est la capacité à récupérer l'intégralité de vos données et à changer de fournisseur. Mon conseil : ne vous contentez pas de la clause du contrat, testez-la. Lancez un export complet de votre CRM une fois par an et vérifiez que le fichier reste exploitable dans un autre outil. Gardez aussi une sauvegarde hors de votre fournisseur principal. C'est un principe qui prend tout son sens dans un logiciel métier sur mesure, où le code et la base de données appartiennent à l'entreprise et où l'hébergement peut changer de prestataire sans réécrire l'outil.

Les alternatives européennes existent : OVHcloud ou Scaleway pour l'hébergement, Nextcloud pour le stockage collaboratif, Mistral AI pour l'IA générative, Infomaniak ou Proton, basés en Suisse, pour la messagerie. Elles ont leurs limites. À mon sens, leur catalogue d'intégrations est en général plus étroit que celui de Microsoft 365 ou Google Workspace, et une migration de messagerie demande du temps de formation. Pour une TPE de cinq personnes, rester sur Microsoft 365 avec un export testé et une sauvegarde externe est souvent plus rationnel qu'une migration précipitée.

Reprendre le contrôle, un fournisseur à la fois

Réduire sa dépendance aux fournisseurs ne consiste pas à tout abandonner demain matin. Il s'agit de savoir lesquels tiennent votre activité, de vérifier que vous pouvez partir, et de diversifier là où le risque le justifie. La résilience se construit par décisions successives, pas par un grand soir technologique.

Avez-vous une vision claire de vos trois ou quatre fournisseurs numériques les plus critiques, et savez-vous combien de temps il vous faudrait pour vous passer de chacun d'eux ?

Sources : France Num : Comment réduire les dépendances numériques de votre entreprise et renforcer sa résilience ? Référence DSI : Cybersécurité, décryptage des menaces pour les PME AGIPI : Près de la moitié des TPE-PME redoutent des piratages de données FFB : TPE et PME, protégez votre entreprise