Je ne peux pas me passer des GAFAM… mais je me soigne !

Entre instabilité géopolitique et manœuvres tarifaires agressives, la dépendance numérique n’est plus un débat philosophique : elle constitue désormais un risque opérationnel majeur. Si la rupture totale n’est pas réaliste, la mise en œuvre d’une trajectoire de sevrage garantissant la survie du système d’information, même en cas de déconnexion brutale ou de pression économique insoutenable, s’impose comme une priorité pour sécuriser les activités de l’entreprise.

Reléguée derrière l’efficacité opérationnelle et la recherche du « meilleur produit au meilleur prix », « la dépendance technologique est longtemps passée sous les radars », estime Sébastien Lescop, DG de Cloud Temple. « Les dirigeants n’en avaient pas conscience. Dès lors, le risque n’était même pas identifié. Contexte géopolitique oblige, cette période est définitivement révolue ». Le rachat de VMware par Broadcom a aussi rappelé une règle simple : lorsqu’une entreprise est captive, elle perd son pouvoir de négociation. À l’instabilité géopolitique et aux manœuvres tarifaires s’ajoute un troisième facteur de risque : la concentration d’infrastructures critiques entre les mains d’acteurs privés dont les décisions peuvent, du jour au lendemain, affecter l’accès à un service, une API ou un compte, avec des conséquences directes sur la continuité d’activité… et la liberté d’expression.

À chacun sa résilience

Selon une étude publiée en avril 2025 par le cabinet Asterès pour le compte du Cigref et de Numeum, 80 % des dépenses logicielles professionnelles en Europe sont captées par des acteurs américains. Peu d’entreprises peuvent prétendre n’avoir aucune dépendance aux GAFAM. Et surtout, peu savent précisément jusqu’où elle s’étend et à quel point elle menace la continuité d’activité.

L’Indice de Résilience Numérique (IRN) propose une grille d’analyse globale. Contrairement aux outils ciblés (SonarQube, SBOM, etc.), il adopte une approche transversale, intégrant des dimensions économiques, juridiques et humaines. Objectif : identifier les points de rupture potentiels, système par système. « Mais cette approche, aussi pertinente soit-elle, peut rapidement devenir une usine à gaz », souligne Olivier Bernard, Head of Cloud & Infrastructure chez Meritis, cabinet de conseil en transformation digitale. « Peu de DSI ont les ressources pour mener un audit exhaustif. D’autant que la plupart savent déjà quels périmètres sont vitaux pour la continuité d’activité, alors autant focaliser les ressources d’audit sur ces systèmes ».

Ciblée ou globale, la cartographie des dépendances constitue le point de départ pour établir une trajectoire de sevrage. La suite dépend du contexte de l’entreprise. Ce qui est sensible pour une banque ne l’est pas forcément pour un énergéticien ou un laboratoire pharmaceutique. De la même façon, opter pour Bleu ou S3ns peut suffire à certaines entreprises, là où d’autres auront besoin d’un cloud « souverain » opérant des technologies « souveraines ».

En réalité, ainsi que le souligne Cyril Bertschy, directeur du développement commercial et stratégie souveraine du groupe Inherent, «  le vrai sujet pour les entreprises n’est pas la souveraineté, terme trop galvaudé aujourd’hui, mais la gestion des dépendances : comprendre à quoi on est réellement dépendant, mesurer les risques, qu’ils soient géopolitiques, juridiques ou économiques et se donner les moyens de ne pas se retrouver bloqué si, un jour, une technologie ou un fournisseur devient inaccessible ».

Autrement dit, le recours aux GAFAM n’est pas le problème. L’absence d’un scénario de repli testé et financé, en revanche, expose à un risque majeur. L’urgence consiste à disposer d’un véritable plan B. À plus long terme, la contrainte d’aujourd’hui peut aussi se transformer en opportunité pour bâtir les systèmes d’information de demain, à la fois moins dépendants et créateurs de valeur en Europe.

Reprendre la main : l’enjeu n’est pas de sortir mais de survivre

Contrairement aux idées reçues, l’Europe n’est pas un désert technologique. Dans le cloud, des acteurs comme OVHcloud, Scaleway, Outscale, Cloud Temple ou Ionos proposent des offres IaaS suffisamment matures pour héberger des workloads critiques.

En virtualisation, des alternatives à VMware comme Proxmox ou VATES s’imposent progressivement, y compris dans des environnements très contraints.

Dans le collaboratif, l’écosystème s’est aussi densifié. On trouve des approches intégrées (Oodrive, Jamespot) ainsi que des suites à composer soi-même à partir de briques open source éprouvées (Nextcloud, Collabora, OnlyOffice, XWiki, Jitsi).

En cybersécurité, l’Europe dispose d’un tissu d’éditeurs solides sur les briques qui comptent en production : périmètre et segmentation (Stormshield, Gatewatcher, …), gestion des accès à privilèges (Wallix, Systancia, …), gestion des identités (Wallix, Memority, Keycloak, …), détection et réponse (Sekoia.io), et même protection des postes avec des acteurs comme HarfangLab. Des bases de données open source comme PostgreSQL ou MariaDB répondent aussi aux exigences d’autonomie numérique pour des usages critiques, et peuvent être opérées via des services managés proposés par des acteurs européens comme OVHcloud, Scaleway ou Clever Cloud. Et le secteur de l’IA n’est pas en reste : des éditeurs comme Mistral AI ou LightOn proposent désormais des alternatives crédibles aux solutions américaines.

Dans sa dernière étude sur la transformation interne des organisations, réalisée en partenariat avec Ipsos, Lecko illustre la richesse des solutions bureautiques et collaboratives européennes sur tous les axes clés de la Digital Workplace. (Source : Lecko – Edition 2026 – Etat de l’art de la transformation interne)

Bref, les entreprises ne manquent pas de solutions pour remplacer l’existant. La difficulté est ailleurs, dans les empilements technologiques réalisés au fil des années. Bases managées enrichies d’extensions propriétaires, services d’intégration ou de serverless, pipelines data truffés de connecteurs exclusifs, outils CI/CD hébergés, couches d’identité centralisées, automatisations implicites disséminées dans les workflows… Pris isolément, chacun des choix réalisés avait sa cohérence au moment de l’arbitrage : performance, rapidité, optimisation des coûts, etc. Mais, au fil des années, l’accumulation a progressivement provoqué des imbrications entre codes, données, identités et usages au sein d’un même environnement, créant des écosystèmes où la dépendance n’est plus localisée : elle est systémique.

L’imbrication, angle mort de l’autonomie numérique

« La force des GAFAM n’est pas dans la supériorité de chaque produit pris isolément mais dans leur écosystème », confirme Sébastien Lescop. « Premiers à opérer à très grande échelle, ils ont accumulé les preuves de leur capacité à gérer des systèmes critiques et enrichi leurs catalogues pour capter le marché. Positionnés sur des environnements sensibles et régulés, les acteurs européens ont avancé plus prudemment, privilégiant sécurité et conformité. Résultat, nous avons des offres solides mais moins étendues et surtout moins ‘intégrées’. Le rattrapage sera long et passe par notre capacité à prouver, dans la durée, que nous aussi savons opérer du critique et proposer des solutions tout aussi riches ». 

En pratique, le « verrouillage » se situe le plus souvent dans la couche PaaS : bases de données managées, services d’intégration, streaming, analytique, fonctions serverless. Typiquement, fortes d’un contrat de réversibilité, nombre d’entreprises sont convaincues de leur indépendance. Mais, si elles savent exporter leurs données, elles ignorent souvent si celles-ci resteront réellement exploitables hors de leur environnement d’origine. De la même façon, elles disposent de sauvegardes, sans toujours savoir si les chaînes de restauration fonctionneraient dans un autre contexte technique. Les processus sont documentés, mais les automatismes qui les font vivre au quotidien se sont dilués dans l’environnement technique.

Pour éviter de remplacer une dépendance par une autre, l’autonomie numérique suppose un changement de posture et marque le retour d’un concept que l’on croyait un peu passé de mode : la portabilité.

La résilience passe en effet par une limitation assumée des services managés propriétaires, au profit de composants déployables dans plusieurs environnements. Dans cette perspective, des acteurs comme Clever Cloud ou UpSun (anciennement Platform.sh) proposent une couche PaaS cohérente intégrant environnements d’exécution (Java, Docker, .NET, Node.js, PHP…), gouvernance (traçabilité, sécurité) et services de bases de données dans une offre transposable d’un cloud à l’autre, capable de s’appuyer sur différents IaaS. Autre approche : Kubernetes, socle également portable, sur lequel les entreprises peuvent reconstruire une couche PaaS maîtrisée à l’aide d’offres portables packagées comme celle de Numspot.

Cette dépendance nichée dans les imbrications s’étend aussi à la chaîne logicielle. Lorsque dépôt de code, CI/CD, registre de conteneurs, artefacts et observabilité sont captifs d’une plateforme, l’autonomie applicative devient théorique. Le sevrage passe par la ré-internalisation de cette chaine logicielle en s’appuyant sur des briques open source exploitables dans différents environnements (Gitea ou son fork Forgejo, Harbor, Grafana…), adossées à une gouvernance cohérente via un ITSM souverain comme EasyVista ou GLPI.

Même raisonnement coté data : migrer une base vers PostgreSQL réduit une dépendance… tout en laissant l’entreprise captive si l’intelligence d’intégration est enfermée dans un pipeline propriétaire (ingestion, transformation, orchestration, catalogage, connecteurs). La voie de sortie la plus robuste consiste à dissocier clairement données, traitements et orchestration, et à privilégier des formats et composants déployables dans plusieurs environnements : stockage objet compatible S3, formats ouverts comme Parquet, moteurs batch ou streaming exploitables dans différents environnements, tels que Kafka.

Idem pour l’IA : l’enjeu ne se limite pas à choisir un modèle européen, ni même à privilégier des modèles open source ou open weight. Pour une DSI, l’autonomie se joue dans la capacité à opérer l’IA de bout en bout : déployer les modèles sur une infrastructure maîtrisée, contrôler les mécanismes de RAG (Retrieval-Augmented Generation), sécuriser l’accès aux données, tracer et auditer les usages, piloter finement les coûts d’inférence, etc. Avec Mistral Compute, Mistral propose une chaîne complète opérable sur infrastructure souveraine. D’autres acteurs proposent aussi des briques pour regagner en autonomie : LightOn (Paradigm), Dataiku (passerelles agnostiques) ou encore Dust (plateforme agentique).

Enfin, l’autonomie repose aussi sur un autre prérequis souvent sous-estimé : la maîtrise des identités. Dans les écosystèmes GAFAM, la gestion des accès est devenue le cœur du réacteur. Or, sans identité maîtrisée, il n’y a pas de réversibilité. L’enjeu n’est pas seulement de répliquer des comptes, mais de pouvoir reconstruire des règles d’accès, des droits, des politiques de sécurité et une gouvernance cohérente.

Panorama des principales alternatives européennes : L’Europe ne dispose pas d’un hyperscaler qui remplacerait d’un seul bloc l’écosystème d’un GAFAM. Elle aligne en revanche des composants solides permettant de reconstituer ces écosystèmes. Loin d’être exhaustif en raison d’une offre très riche, le panorama suivant balaie l’éventail des solutions par couche afin de fournir des repères pour construire une trajectoire réversible, donc plus résiliente.

Capitaliser sur l’IA pour sortir d’une posture défensive

S’en tenir à la portabilité en limitant les dépendances relève toutefois d’une logique de survie. Avec l’IA, l’entreprise dispose désormais d’un levier plus « offensif » pour désimbriquer plus vite tout en gagnant en capacité d’innovation.

Dans ses prévisions pour 2026, Capgemini estime que l’IA oblige les entreprises à reconstruire leur système d’information, en revisitant l’architecture, les flux, les modes d’intégration et la manière même dont les applications sont conçues et exploitées. Pourquoi ne pas en profiter pour reconsidérer le SI sous l’angle de la résilience ? Dans ce cadre, la suite collaborative constitue un excellent terrain d’expérimentation. Beaucoup d’entreprises hésitent en effet à abandonner Microsoft 365 (et Workspace dans une moindre mesure) à cause de la réaction des utilisateurs, mais aussi et surtout des usages avancés reposants sur des macros VBA, des scripts VB ou des automatisations profondément imbriquées dans les fichiers.  Migrer ces lignes de code, rarement documentées et souvent opaques, représentait jusqu’ici un chantier coûteux, long et souvent risqué. L’IA change la donne.

Des modèles ouverts comme Mistral DevStral 2, Mistral Medium 3.5  ou Qwen3.8-Max (Alibaba) peuvent analyser des macros Excel complexes, en extraire la règle métier, puis en proposer une réécriture plus moderne. L’objectif n’est pas de traduire mécaniquement du VBA vers des scripts spécifiques à la suite cible, ce qui ne ferait que déplacer la dépendance, mais de sortir la logique métier du fichier lui-même. Une macro qui calculait des remises complexes, appliquait des règles de conformité, ou consolidait des données issues de plusieurs sources peut ainsi être transformée en microservice Python, en fonction serverless ou en API sécurisée. Cette API devient alors consommable aussi bien par une suite collaborative souveraine que par une application métier.

Dit autrement, l’IA permet de découpler la règle métier du logiciel qui l’hébergeait, libérant ainsi l’entreprise de l’enfermement propriétaire tout en assainissant le système d’information : une partie du « shadow IT » bureautique peut être convertie en services robustes, testables, documentés et donc plus facilement gouvernables.

Au-delà de la simple migration d’automatismes existants, l’IA peut aussi contribuer à combler l’écart fonctionnel qui sépare parfois les suites souveraines des écosystèmes des GAFAM. L’argument du « confort utilisateur » et de la productivité augmentée (type Copilot) n’est plus l’apanage des géants américains : en intégrant des agents IA au cœur de solutions comme Jamespot, Wimi ou BlueMind, les DSI peuvent proposer des fonctionnalités toutes aussi modernes, voire plus innovantes.
De plus, cette démarche peut être simplifiée par l’émergence d’interfaces conversationnelles permettant de piloter des briques hétérogènes, avec un potentiel qui va bien au-delà des approches no-code classiques. Typiquement, un collaborateur peut demander en langage naturel à une IA de résumer les échanges du projet X, d’extraire les décisions, de créer un tableau de suivi dans sa suite bureautique, puis de notifier les parties prenantes.
L’IA joue alors un rôle d’intégrateur universel et recrée la « fluidité sans couture » qui fait la force des GAFAM, mais sur un socle dont l’entreprise garde les clés. La démarche d’autonomie numérique rejoint ainsi l’innovation : non pas en cherchant à copier l’existant, mais en le dépassant grâce à une orchestration intelligente des processus et des données.

Et ce qui est vrai pour le tableur ou le traitement de texte, l’est tout autant pour les ERP monolithiques, les CRM propriétaires ou les applications métiers vieillissantes. En utilisant l’IA pour extraire la logique métier de n’importe quelle brique logicielle « boîte noire », la DSI dispose désormais d’un formidable levier pour démanteler ses dépendances, brique après brique.

Dit autrement, avec l’IA, l’entreprise ne se contente pas de soigner son addiction aux GAFAM, elle retrouve la pleine propriété de son intelligence logicielle, transformant le protocole de sevrage en une véritable stratégie de reconquête de l’ensemble du système d’information.

Le défi de la confiance face aux machines de guerre marketing

Reste un frein qui dépasse la technique. Là où les hyperscalers bénéficient d’une présence marketing massive, d’un lobbying organisé et d’un effet d’écosystème mondial, les acteurs européens peinent encore à projeter une image d’évidence et de solidité à grande échelle. « Ce qui manque, c’est la confiance », résume Olivier Lambert, CEO et cofondateur de Vates.  « Les Européens sont victimes d’un complexe d’infériorité vis-à-vis des États-Unis, qui les pousse à sous-estimer leurs propres éditeurs ».

Le plus frappant est que ce déficit de confiance n’est pas partagé outre-Atlantique. Des organisations américaines particulièrement sensibles, comme la NASA ou l’US Navy, ont déployé les technologies de Vates sur des environnements critiques. La question n’est donc manifestement pas celle de la robustesse ou de la maturité technique des solutions européennes. « Le problème est culturel », ajoute Olivier Lambert. « Contrairement aux États-Unis, l’aversion au risque est très forte en Europe : on ne se fait pas virer parce qu’on choisit Microsoft ou Amazon, donc on reste dans le confort des acteurs dominants. Enfin, là où les GAFAM investissent massivement dans le marketing et le lobbying, nous sommes beaucoup plus timides : moins de storytelling, moins de visibilité, donc moins d’influence ».

Analyse partagée par Cyril Bertschy, directeur du développement commercial et stratégie souveraine du groupe Inherent : « Pendant des années, le choix des GAFAM s’est fait presque automatiquement. Le marketing, le lobbying, la formation des ingénieurs… tout orientait naturellement les décisions vers les solutions américaines. Ce n’était pas un rejet des acteurs français, mais l’absence d’un cadre suffisamment structurant pour rendre l’alternative évidente ».

Entre reconquête des savoirs et investissements de transition, l’autonomie a un prix

Au-delà des enjeux de perception, l’autonomie numérique reste un chantier lourd : le sevrage ne se fera pas sans douleur. Durant la dernière décennie, sous l’influence du « tout-SaaS », de nombreuses DSI se sont progressivement transformées en bureaux d’achats de services managés. La trajectoire de résilience impose de faire le chemin inverse : redevenir des maîtres d’œuvre. Concrètement, les DSI vont devoir se transformer en architectes-intégrateurs pour orchestrer un cloud Scaleway ou OVHcloud, une gestion des identités fondée sur Keycloak, une cybersécurité portée par des acteurs comme HarfangLab, Stormshield ou Wallix, et une couche IA adossée à des modèles comme ceux de Mistral.

Mécaniquement, cette évolution suppose une réappropriation des couches basses ainsi que le souligne Olivier Lambert : « Si on ne comprend pas comment fonctionne un ordinateur, un hyperviseur ou un cloud, on reste dépendant de ceux qui les maîtrisent. De plus, sans cette culture technique, on laisse le terrain libre au ‘souveraineté washing’ : quand personne ne comprend vraiment comment ça fonctionne, il devient facile de vendre une autonomie de façade. Malheureusement, les filières système ont quasiment disparu, les professeurs sont partis à la retraite et on produit surtout des utilisateurs de technologies, pas des ingénieurs capables d’en comprendre le cœur ».

Face à cette pénurie de compétences, Vates s’est impliqué directement dans le projet « La Tête dans les Nuages », porté par l’Université Grenoble Alpes (dans le cadre du plan France 2030) et un consortium qui réunit des acteurs de l’IT tels qu’Orange, OW2, CGI, Padok, AViSTO ainsi que des organismes de recherche dont le CEA et Inria. L’ambition est claire : remettre l’accent sur les fondamentaux (virtualisation, systèmes, infrastructures) plutôt que sur le seul pilotage d’interfaces propriétaires.

Au-delà des compétences que l’entreprise va devoir se réapproprier, le sevrage a aussi un coût financier : celui de la transition mais aussi de l’intégration pour produire la « colle » indispensable pour rendre les systèmes fluides. Workflows, synchronisation, règles de conservation, gouvernance des droits, journalisation, supervision, tests de bascule… autant de chantiers qui vont impacter les budgets au-delà du coût des licences. Dans certains domaines, notamment l’environnement collaboratif, la transition peut aussi imposer une phase de coexistence coûteuse, le temps d’accompagner les usages et de sortir des dépendances héritées.

La bonne nouvelle pour les DSI, c’est que l’autonomie numérique a définitivement quitté les salles serveurs pour s’inviter à la table des Comex. Longtemps perçue comme un surcoût ou un débat idéologique, elle s’impose désormais comme une assurance face à l’incertitude. Dans ce contexte, la question n’est plus de savoir si le sevrage a un coût, mais combien coûterait l’absence de plan B. Et c’est peut-être là que se joue le véritable changement : lorsque l’autonomie cesse d’être un supplément d’âme pour devenir une condition de résilience, elle trouve plus facilement son budget.

---

« Chez nous le droit est moral, aux USA, c’est le Far West »

3 questions à Alexandre Diehl, avocat, associé du cabinet Lawint

Pourquoi un contrat passé avec des GAFAM est-il à surveiller de près ?

Pour les Américains, de tradition protestante, l’argent n’est pas tabou, ni les moyens utilisés pour s’enrichir, dont les contrats font partie. Cela explique pourquoi, dans une entreprise US, le juriste occupe souvent une place de n°2 dans les organigrammes. Et s’il pense que le contrat n’est pas sécurisé, il ne signe pas. Ces contrats sont conçus pour limiter au maximum les droits du client. Par exemple, en stipulant que le service n’est pas dû, mais que tout sera fait pour essayer de le rendre. Si ce n’est pas le cas, tant pis pour le client. Et si celui-ci ne l’accepte pas tel quel, pas de contrat signé. D’ailleurs, quand vous essayez de négocier ces conditions avec la filiale française d’un de ces fournisseurs américains, les seules discussions possibles portent sur le prix. Pas sur les garanties ou les responsabilités. C’est une chasse réservée des juristes américains et ils sont intransigeants.

Que peut-on négocier du coup ?

Deux points principalement. D’une part, il faut essayer de caper la hausse annuelle des prix des abonnements, sur la durée la plus longue possible. Un bon objectif peut être de la limiter à la progression de l’indice Syntec. Il faut aussi préciser que tout ajout de services payants sera soumis à accord préalable, sinon, comme cela s’est produit avec les fonctionnalités d’IA , les prix augmentent tout de même, au nom d’une extension du service rendu. D’autre part, il faut prêter la plus grande attention à la réversibilité et à ses aspects concrets. Les contrats doivent donc stipuler noir sur blanc la possibilité de sortir, mais aussi sous quelle forme technique seront restituées les données et vérifier avant leur utilisabilité.

Négocier, cela coûte-t-il cher ?

En Europe, le droit est la prolongation de la morale. Il y a du non-dit, du tacite. Pas aux USA, où par peur de la confrontation juridique, tout est écrit et ce qui n’est pas écrit n’existe pas. C’est le Far West. C’est immoral selon nous… mais parfaitement légal. Une entreprise qui ignore cela, au nom de supposées bonnes relations avec son fournisseur américain, s’expose à de cruelles déconvenues, comme lors de l’affaire Broadcom/ VMware. Pourtant, toutes les hausses subies alors étaient écrites dans les contrats. Du coup, s’adjoindre les services d’un avocat qui connaît bien le contexte et les points critiques, suffisamment en tout cas pour aller vite à l’essentiel et ainsi limiter sa facturation qui se calcule au temps passé, ne me paraît pas si coûteux. Cela représente à peine 1 % d’un budget et rarement plus de 10 k€ au total, pour des enjeux bien plus importants économiquement.

---

À LIRE AUSSI :

@Work

Le Conseil départemental de la Charente ose l’alternative française à VMware

Marie Varandat

30 Juil

À LIRE AUSSI :

@Work

Alternatives à Microsoft 365 : l’abondance retarde les décisions

Alain Clapaud

30 Jan