La conformité comme arme : quand les PME européennes laissent les éditeurs US définir leurs obligations

# La conformité comme arme : quand les PME européennes laissent les éditeurs US définir leurs obligations

Il y a une ironie cruelle dans ce que l'on observe depuis deux ans dans les directions informatiques européennes. L'Europe a produit un corpus réglementaire ambitieux — RGPD, NIS2, Data Act, DORA pour le secteur financier — précisément pour reprendre la main sur ses données, ses infrastructures, ses dépendances. Résultat concret sur le terrain, en 2026 ? Une majorité de PME et ETI délèguent leur mise en conformité… aux éditeurs américains qu'il s'agissait de réguler.

Ce n'est pas une anecdote. C'est un mécanisme structurel. Et il mérite qu'on le regarde en face.

La conformité externalisée, ou comment se lier davantage

La mécanique est simple à comprendre, redoutable à désamorcer. Quand NIS2 entre en vigueur avec ses exigences de traçabilité, de gestion des incidents et de cartographie des actifs, la première réaction d'un DSI sous pression est pragmatique : *qui peut me couvrir rapidement ?* La réponse qui arrive en premier est presque toujours celle d'un éditeur déjà en place, déjà maîtrisé par les équipes, déjà intégré dans le SI. Autrement dit : l'acteur américain dominant, qui a eu le bon réflexe marketing de repositionner ses modules existants sous l'étiquette "conformité NIS2" ou "Data Act ready".

Le problème n'est pas que ces outils soient inefficaces. Le problème est ce qu'ils emportent avec eux : des conditions contractuelles rédigées sous droit américain, des clauses de traitement des données qui renvoient à des juridictions hors d'Europe, des formats propriétaires qui rendent toute migration future extrêmement coûteuse, et — point rarement discuté — une définition *par l'éditeur lui-même* de ce que signifie "être conforme". Ce n'est plus votre juriste ou votre RSSI qui interprète la directive. C'est un tableau de bord produit à San Francisco.

La réglementation boomerang

C'est ce qu'on peut appeler l'effet boomerang réglementaire. L'Europe lance une exigence pour forcer les acteurs à respecter ses règles du jeu. Les acteurs américains les plus agiles — ceux qui ont les équipes juridiques et les budgets marketing pour absorber ce type de choc — se repositionnent en premiers de classe de la conformité. Ils deviennent, paradoxalement, les intermédiaires obligés entre la PME européenne et la réglementation européenne. Le régulateur a voulu créer un espace de souveraineté. Il a, involontairement, créé un nouveau marché pour les acteurs qu'il cherchait à encadrer.

Salesforce l'a très bien compris. La firme a intégré dans son discours commercial une rhétorique de conformité européenne qui lui permet de répondre aux appels d'offres des collectivités et des entreprises régulées avec une crédibilité apparente. Pendant ce temps, les éditeurs européens — qui pourraient légitimement revendiquer une conformité native, ancrée dans un droit qu'ils connaissent de l'intérieur — manquent souvent de la surface commerciale pour porter ce message au même niveau de visibilité.

Le verrouillage contractuel, angle mort des DSI

Quand on parle de dépendance technologique, on pense souvent aux API propriétaires, aux formats de données non portables, aux coûts de migration. C'est réel. Mais il y a un angle mort encore plus profond : les clauses contractuelles qui définissent *qui décide* en cas de litige, d'audit ou de changement réglementaire.

Dans les contrats-types des grands éditeurs américains, les mises à jour de conditions d'utilisation sont unilatérales et s'imposent à l'utilisateur sous préavis réduit. En clair : si demain la réglementation évolue, c'est l'éditeur qui choisit comment il s'y adapte — et il vous impose sa lecture. Votre capacité à négocier est proportionnelle à votre volume de licences. Pour une PME de deux cents salariés, elle est proche de zéro.

C'est ici que le sujet de la réglementation rejoint celui de la souveraineté de manière très concrète. La conformité n'est pas un état stable que l'on atteint une fois. C'est un processus continu, qui suppose de pouvoir réagir, adapter, arbitrer. Si ce processus est délégué à un tiers hors de portée juridique réelle, vous n'êtes pas en conformité. Vous êtes *dépendant d'une promesse de conformité*. La nuance est énorme.

Ce que cela implique, concrètement, pour les décideurs européens

La question n'est pas de refuser toute solution extérieure. Elle est de ne pas confondre outil de conformité et délégation de souveraineté.

Un éditeur européen soumis au droit européen, auditable par des autorités européennes, dont les conditions contractuelles sont négociées sous une juridiction connue — ce n'est pas la même chose qu'un module "compliance" proposé en option dans un abonnement SaaS américain, aussi bien designé soit-il.

Les DSI qui ont commencé à poser cette question — *qui décide réellement de ce que signifie notre conformité ?* — ont souvent découvert qu'ils n'avaient pas la réponse. C'est peut-être le premier audit à conduire avant tout autre.