Ce que votre fournisseur de cloud sait de votre dépendance

Un chiffre devrait circuler bien plus largement qu'il ne le fait.

Moins de 1 % des clients changent de fournisseur de cloud chaque année. Ce n'est pas une estimation de cabinet. C'est le constat de l'autorité britannique de la concurrence, la Competition and Markets Authority, au terme d'une enquête de marché de vingt-deux mois close le 31 juillet 2025.

Autrement dit, sur cent organisations qui ont la liberté contractuelle de partir, moins d'une l'exerce.

On peut lire ce chiffre de deux façons. Soit les clients sont satisfaits. Soit ils ne peuvent pas partir. La CMA a tranché : elle a identifié des barrières commerciales, techniques et contractuelles, et elle a recommandé d'ouvrir des enquêtes contre Microsoft et Amazon.

De quoi parle-t-on exactement

Un mot d'abord sur le cloud lui-même, parce qu'on l'emploie sans toujours le définir.

Autrefois, vos logiciels et vos données vivaient sur des machines qui vous appartenaient, dans un local dont vous aviez la clé. Avec le cloud, ils vivent sur les machines d'une autre entreprise, dans des centres de données répartis dans le monde, et vous payez un abonnement pour y accéder par internet. Vous n'achetez plus du matériel, vous louez une capacité.

L'avantage est réel. Vous montez en charge un jour de forte activité sans rien acheter, vous redescendez le lendemain, et quelqu'un d'autre s'occupe des pannes. La contrepartie l'est tout autant : une partie de votre activité tourne chez quelqu'un d'autre.

Le mot dépendance sert à tout, alors précisons.

Vous êtes dépendant quand partir coûte plus cher que rester, même une fois que rester est devenu le mauvais choix. La satisfaction n'entre pas en jeu. Tout se joue sur le prix de sortie.

Ce prix se compose de trois choses.

Ce que vous payez pour récupérer vos données. On appelle cela les frais de sortie. Vous payez pour faire sortir de chez le fournisseur des informations qui sont les vôtres. Plus vous en stockez, plus cela coûte.

Ce qu'il faut reconstruire. Vos équipes ont appris des outils propres à un fournisseur. Vos applications utilisent ses interfaces. Chez un concurrent, il faut réécrire, retester, reformer. La CMA note que les compétences se transfèrent mal d'un fournisseur à l'autre.

Ce que vous ne voyez pas. Les licences logicielles dont le prix change selon l'endroit où vous les faites tourner. La CMA a relevé que les conditions de licence de Microsoft renchérissent l'usage de Windows Server, SQL Server et de sa suite bureautique chez Amazon et Google.

La concentration donne l'ordre de grandeur. Au deuxième trimestre 2026, Amazon détenait 28 % du marché mondial des services d'infrastructure cloud, Microsoft 20 % et Google 15 %, selon Synergy Research Group. En Europe, les trois cumulaient 70 % du marché en 2024, quand les fournisseurs européens en représentaient 15 %, contre 29 % en 2017.

Ce qui change le 12 janvier 2027

Le règlement européen sur les données, le Data Act, est applicable depuis le 12 septembre 2025. Son chapitre VI porte précisément sur le changement de fournisseur.

Il fixe une date. À partir du 12 janvier 2027, un fournisseur de services de traitement de données ne peut plus imposer aucun frais de changement à un client qui part. D'ici là, il peut facturer des frais réduits, plafonnés aux coûts qu'il supporte réellement pour la bascule.

Le texte va plus loin que la seule question du prix.

Deux précisions qui comptent. Les frais de service standard et les pénalités de résiliation anticipée restent licites, ils ne sont pas visés par la suppression. Et la loi ne supprime que l'obstacle commercial. Elle ne réécrit pas vos applications.

Le trou suisse

Ici, il faut être précis, parce que c'est le point que beaucoup de comités manquent.

Le Data Act s'applique aux fournisseurs de services de traitement de données quel que soit leur lieu d'établissement, dès lors qu'ils servent des clients dans l'Union. Le critère est le client, pas le siège du fournisseur.

Une entreprise suisse qui sert des clients dans l'Union entre donc dans le champ, comme fournisseur. Mais une entreprise suisse qui achète du cloud pour ses propres charges de travail suisses n'est pas un client dans l'Union. Elle ne bénéficie ni du plafonnement du préavis, ni de la période de transition, ni de la suppression des frais de sortie.

Et il n'existe pas d'équivalent suisse. Le Conseil fédéral a adopté un rapport sur la souveraineté numérique le 26 novembre 2025, qui annonce un groupe de travail interdépartemental, la promotion de l'open source et des infrastructures de confiance. Il n'annonce pas de régulation du marché.

Le seul levier contraignant est sectoriel. La FINMA impose aux banques et aux assurances, par sa circulaire 2018/3 sur l'externalisation, une analyse de risques, des droits d'audit et une stratégie de sortie. Sa circulaire 2023/1 sur les risques et la résilience opérationnels, en vigueur depuis le 1er janvier 2024, renforce ces exigences et place la responsabilité au niveau du conseil d'administration. Si vous n'êtes ni banque ni assureur, votre seule protection est votre contrat.

La Confédération elle-même en fait l'expérience. Elle a attribué en juin 2021 des contrats-cadres de cloud public à Amazon, IBM, Microsoft, Oracle et Alibaba, pour 110 millions de francs, jusqu'à fin août 2026. Le Swiss Government Cloud, doté d'un crédit d'engagement de 246,9 millions pour un programme total de 319,4 millions, ne prévoit la migration des applications existantes qu'à partir de 2027. En attendant, les contrats-cadres ont été prolongés jusqu'en 2031. Un recours déposé en octobre 2025 contre cette prolongation a été retiré fin novembre. Et le Contrôle fédéral des finances, dans un rapport du 8 décembre 2025, estime que l'utilité économique du programme pour la Confédération n'a pas encore été démontrée.

Un État qui décide de reprendre la main met sept ans. C'est un ordre de grandeur utile à garder en tête avant de qualifier une dépendance de réversible.

Ce que le fournisseur sait et que vous ne savez pas

Voilà le renversement que je voudrais poser.

Votre fournisseur connaît votre dépendance mieux que vous. Il voit vos volumes, vos pics, vos services utilisés, votre rythme de croissance, la part de votre activité qui passe par ses interfaces propriétaires. Il sait à peu près ce qu'il vous en coûterait de partir.

La plupart des organisations n'ont pas ce chiffre. Elles connaissent leur facture mensuelle. Elles ne connaissent pas leur prix de sortie.

Cette asymétrie est le vrai sujet. Elle ne se règle pas par une posture de défiance, elle se règle par un travail interne, qui relève de l'intelligence économique appliquée à soi-même : savoir ce qu'un tiers sait de vous.

Deux faits récents montrent que la question n'est pas théorique.

Le 18 novembre 2025, les autorités européennes de surveillance ont désigné dix-neuf prestataires tiers critiques de services informatiques placés sous supervision directe au titre du règlement DORA. Amazon, Microsoft, Google, IBM, Oracle, SAP et Deutsche Telekom en font partie. L'un des critères retenus est la substituabilité du prestataire.

Et lors d'une audition devant une commission d'enquête du Sénat français, le 10 juin 2025, le directeur des affaires publiques et juridiques de Microsoft France a déclaré sous serment ne pas pouvoir garantir que les données de citoyens français ne seraient jamais transmises aux autorités américaines sans autorisation française explicite. Le directeur technique du secteur public a précisé que depuis janvier 2025, les données des clients européens ne quittent contractuellement plus l'Union. Les deux déclarations sont exactes. Elles disent simplement que l'engagement contractuel et la contrainte juridique ne se recouvrent pas complètement.

Cinq clauses à vérifier dans le contrat que vous avez déjà

Il ne s'agit pas d'ouvrir un chantier. Une demi-journée de lecture attentive suffit.

Le préavis. Combien de temps entre votre décision de partir et le début effectif de la bascule ? Si le contrat ne le dit pas, c'est le fournisseur qui le dira.

L'assistance à la migration. Est-elle due, ou facturée en supplément ? La différence se chiffre en centaines de milliers de francs sur un système d'importance.

La durée de conservation après résiliation. Combien de jours pour récupérer vos données, et sous quel format ? Un export dans un format propriétaire n'est pas une récupération.

L'accès aux journaux. Le règlement européen sur l'intelligence artificielle imposera au déployeur d'un système à haut risque de conserver au moins six mois les journaux générés automatiquement, pour ceux qui sont sous son contrôle. Ces obligations ont été repoussées au 2 décembre 2027 par le règlement 2026/1744, entré en vigueur le 27 juillet 2026. En déploiement cloud, ces journaux sont souvent chez le fournisseur. Si votre contrat court jusqu'en 2029 et ne prévoit pas l'accès, l'obligation sera impossible à tenir le jour où elle s'appliquera.

Le registre des formats. Le fournisseur tient-il à jour la liste des structures de données et des formats d'export ? Le Data Act l'impose pour les clients de l'Union. Rien ne vous empêche de l'exiger par contrat en Suisse.

Trois décisions qui vous appartiennent

Faire chiffrer votre prix de sortie. Une estimation à trois mois près suffit. Tant qu'elle n'existe pas, votre comité arbitre sans connaître l'ordre de grandeur de ce qu'il engage.

Décider où la dépendance est acceptable. Personne ne maîtrise toute sa chaîne technique, et ce n'est pas l'objectif. L'exercice utile consiste à écrire où la dépendance reste supportable et où elle cesse de l'être : les données de vos clients, la continuité de votre production, votre capacité à changer sans tout reconstruire.

Inscrire les clauses à la prochaine renégociation. C'est le seul moment où vous avez du levier. Les échéances de renouvellement se préparent six mois avant, pas six semaines.

Une échéance qui passera inaperçue

Le 12 janvier 2027 est une date publique, connue, datée, et qui ne crée aucune urgence apparente. Elle passera. Beaucoup d'organisations découvriront ensuite qu'un droit existait et qu'elles ne s'en sont pas servies, faute d'avoir mesuré ce qu'elles avaient à y gagner.

Reste une question, et on la pose rarement. Qui, chez vous, connaît le prix de sortie de votre principal contrat de cloud ?

Si personne ne peut répondre, le sujet n'attend pas une compétence technique. Il attend d'être reconnu comme une décision.

Sources

• Competition and Markets Authority, enquête de marché sur les services de cloud, décision finale du 31 juillet 2025 (part de clients changeant de fournisseur, parts de marché au Royaume-Uni, barrières identifiées, pratiques de licence)
• Competition and Markets Authority, décision du 31 mars 2026 de ne pas ouvrir d'enquêtes de statut de marché stratégique et d'accepter les engagements volontaires d'Amazon et Microsoft, avec revue à six mois
• Competition and Markets Authority, ouverture le 14 mai 2026 d'une enquête sur l'écosystème de logiciels d'entreprise de Microsoft, décision attendue d'ici février 2027
• Règlement (UE) 2023/2854 sur les données, chapitre VI, articles 23, 25, 26, 29, 30, 31 et 32, et article 50 pour le calendrier d'application
• Règlement (UE) 2024/1689 sur l'intelligence artificielle, article 26 sur les obligations du déployeur, dont la conservation des journaux, et règlement (UE) 2026/1744 du 24 juillet 2026 reportant au 2 décembre 2027 les obligations applicables aux systèmes à haut risque de l'annexe III
• Synergy Research Group, communiqué du 30 juillet 2026 (parts de marché mondiales au deuxième trimestre 2026) et du 24 juillet 2025 (parts de marché en Europe)
• Autorités européennes de surveillance, désignation des dix-neuf premiers prestataires tiers critiques au titre du règlement DORA, 18 novembre 2025
• Conseil fédéral, rapport sur la souveraineté numérique de la Suisse, 26 novembre 2025
• Conseil fédéral, message sur le Swiss Government Cloud, mai 2024, et Contrôle fédéral des finances, rapport du 8 décembre 2025
• Chancellerie fédérale, contrats-cadres de cloud public attribués en juin 2021 et prolongation annoncée en septembre 2025
• FINMA, circulaire 2018/3 sur l'externalisation et circulaire 2023/1 sur les risques et la résilience opérationnels
• Sénat français, commission d'enquête, audition de représentants de Microsoft France, 10 juin 2025