Broadcom contre CISPE : un DSI témoigne de ce que ça coûte de rester sous dépendance américaine

# Broadcom contre CISPE : un DSI témoigne de ce que ça coûte de rester sous dépendance américaine

*En 2026, la bataille entre Broadcom et le CISPE — la fédération européenne des fournisseurs cloud — n'est toujours pas close. Elle a pourtant déjà changé quelque chose de fondamental : la façon dont certains DSI européens pensent leur organisation. Nous avons rencontré un directeur des systèmes d'information d'une ETI industrielle franco-allemande, en première ligne sur ce dossier depuis deux ans.*

RiffLab : Quand vous avez suivi les premières alertes du CISPE sur les pratiques de Broadcom après le rachat de VMware, quelle a été votre réaction concrète — pas stratégique, concrète ?

Ma réaction concrète a été de convoquer mon équipe infrastructure le lendemain matin. Pas pour faire un audit — ça, c'est la réaction réflexe qu'on a tous. Ma vraie question était : *qui dans cette équipe comprend réellement ce que Broadcom peut faire ou ne pas faire contractuellement ?* La réponse était claire : personne. On avait externalisé cette compétence chez un intégrateur américain depuis des années. On avait des experts VMware certifiés en externe, mais en interne, on avait perdu la capacité à lire un contrat de licence et à en mesurer les conséquences opérationnelles. C'est ça, la dépendance réelle. Ce n'est pas l'outil. C'est la compétence d'interprétation que vous avez laissé partir.

RiffLab : Vous parlez de compétence d'interprétation contractuelle. C'est un angle inhabituel pour un DSI. Pourquoi en faire une priorité organisationnelle ?

Parce que dans un rapport de force avec un acteur dominant américain, vous n'avez aucun levier si vous ne comprenez pas où sont les clauses qui verrouillent votre sortie. Le CISPE a eu cette capacité — des juristes, des experts techniques capables de décortiquer les nouvelles conditions de Broadcom et de les contester devant la Commission européenne. Une ETI seule n'a pas ce poids. Mais elle peut avoir, en interne, un profil hybride : quelqu'un qui comprend l'architecture ET le contrat. Chez nous, on a recruté en 2025 ce qu'on appelle en interne un "architecte de souveraineté" — un profil qui n'existait pas dans nos fiches de poste il y a trois ans. Son rôle : cartographier nos dépendances critiques, auditer nos contrats avec les éditeurs tiers, et maintenir une veille active sur les mouvements de consolidation américains. Ce n'est pas un poste de RSSI. C'est un poste de vigie stratégique.

RiffLab : Concrètement, qu'est-ce que cet "architecte de souveraineté" a changé dans votre gouvernance IT ?

Il a changé le moment où l'on pose les questions. Avant, on évaluait une solution sur ses fonctionnalités, son coût, sa roadmap. La question de la dépendance arrivait tard — souvent après signature. Maintenant, elle arrive en premier. On a créé une grille d'évaluation interne — pas un label, pas une certification externe — qui force à répondre à trois questions avant tout engagement : où sont hébergées les données ? Qui contrôle les mises à jour critiques ? Quelle est la procédure de sortie et à quel coût réel ? Ce n'est pas révolutionnaire sur le papier. Mais ça change tout en pratique, parce que ça repositionne le DSI comme garant de la résilience de l'entreprise, pas comme acheteur de services.

RiffLab : L'affaire Broadcom-VMware a aussi révélé que beaucoup d'entreprises européennes ne savaient pas ce qu'elles avaient vraiment déployé. Comment vous êtes-vous organisé pour cartographier votre exposition réelle ?

On a lancé ce qu'on appelle en interne un "inventaire de capillarité". L'idée : identifier non pas les solutions principales — ça, tout le monde le sait — mais les dépendances cachées. Les connecteurs, les plugins, les API qui reposent sur une brique Broadcom sans que personne ne l'ait formalisé. On a découvert des usages que nos propres équipes avaient mis en place localement, sans remontée au SI central. C'est là que réside le vrai risque. Et pour faire cet inventaire, on a dû former des référents métier — pas des informaticiens — à identifier ce qu'ils utilisaient vraiment. Ça a pris quatre mois. C'est du temps RH, pas du temps tech. La gouvernance de la souveraineté, c'est d'abord un problème de processus humains.

RiffLab : Le CISPE a obtenu des engagements de Broadcom, puis les a remis en cause. Comment gérez-vous cette instabilité contractuelle dans votre planification ?

On a arrêté de planifier sur des horizons de cinq ans avec des acteurs dont le centre de gravité est à San José. C'est brutal à dire, mais c'est la conclusion opérationnelle. On travaille maintenant sur des cycles de réversibilité — pas de transformation. Chaque projet d'infrastructure doit intégrer une "porte de sortie" documentée à dix-huit mois. Ce n'est pas une posture idéologique. C'est de la gestion de risque fournisseur classique, qu'on aurait dû appliquer depuis longtemps aux éditeurs américains comme on l'applique à n'importe quel fournisseur critique. Ce que Broadcom a fait avec VMware — changer unilatéralement les conditions post-acquisition — n'est pas exceptionnel. C'est un signal de ce que peut faire n'importe quel acteur américain soumis à des pressions de rentabilité ou à des injonctions réglementaires locales. On doit s'organiser pour que ce risque soit absorbable, pas pour l'ignorer.

RiffLab : Quelles compétences internes sont, selon vous, absolument non-externalisables si une ETI veut rester maître de ses choix d'infrastructure ?

Je vais être direct : la compétence d'évaluation, la compétence de négociation et la compétence d'exploitation de base. Si vous externalisez votre capacité à évaluer une solution, vous êtes captif du jugement de votre prestataire — qui a souvent des partenariats avec l'éditeur qu'il vous recommande. Si vous externalisez votre négociation contractuelle, vous n'avez aucun levier lors d'un renouvellement ou d'un rachat. Et si vous externalisez jusqu'à l'exploitation de base, vous perdez la capacité de migrer rapidement si le contexte change. Ce que j'ai retenu de l'affaire Broadcom-CISPE, c'est que les acteurs européens qui ont eu les marges de manœuvre les plus larges étaient ceux qui avaient conservé une masse critique de compétences internes — même imparfaites, même moins "optimisées" que ce qu'un prestataire externe aurait pu faire. La souveraineté, c'est aussi accepter une certaine inefficience apparente en échange d'une résilience réelle. Et ça, ça se défend en COMEX avec des arguments de gestion du risque, pas avec des arguments idéologiques.

*Propos recueillis dans le cadre de notre série sur les stratégies d'indépendance numérique des ETI européennes.*