Sous-traitance numérique à risque : ce qu'une ETI industrielle a appris en quittant le cloud américain

Quand la dépendance devient un poste de risque

Fin 2024, la direction informatique d'une ETI industrielle française de 800 salariés — équipementier pour le secteur de l'énergie, dont une partie de l'activité relève de la sous-traitance critique — reçoit une notification de son prestataire cloud américain. La structure tarifaire de ses contrats de stockage et de compute va évoluer. Le délai de préavis : trois mois. La nature précise des ajustements : difficile à anticiper avant la réception des nouvelles grilles. Ce n'est pas une rupture. C'est une revalorisation unilatérale, dans les clous contractuels, parfaitement légale.

Ce moment — banal du point de vue de l'hyperscaler, déstabilisant du point de vue du DSI — est celui qui déclenche une revue stratégique du SI. Dix-huit mois plus tard, l'entreprise a restructuré une partie significative de son infrastructure. Le bilan est instructif, y compris dans ses contradictions.

La mécanique de la dépendance tarifaire

La situation de cette ETI n'est pas un cas isolé. Elle illustre une mécanique structurelle que les directions informatiques de PME et ETI européennes sous-estiment encore fréquemment au moment de la contractualisation initiale.

Les offres cloud américaines sont conçues pour minimiser le coût d'entrée et maximiser le coût de sortie. Les premières années, les grilles tarifaires restent compétitives — parfois artificiellement. Le vrai levier de captation de valeur s'active une fois que les workloads critiques sont migrés, que les équipes sont formées sur des outils propriétaires, que les API internes sont couplées aux services managés de l'hyperscaler. À ce stade, la négociation contractuelle bascule structurellement en faveur du fournisseur.

Dans le cas de cette ETI, l'analyse rétrospective des coûts sur trois ans révèle une progression significative du poste cloud — sans que la consommation de ressources n'ait évolué dans les mêmes proportions. Une partie de cette progression s'explique par la croissance de l'entreprise. Une autre, non négligeable selon le DSI lui-même, tient à des ajustements tarifaires successifs sur les services de sauvegarde, de transfert de données sortantes (*egress fees*) et de licences logicielles bundlées.

Les frais d'egress méritent une attention particulière. Peu visibles à l'entrée, ils deviennent structurants dès lors que l'entreprise cherche à récupérer ses données — pour les auditer, les dupliquer, ou tout simplement envisager une migration. Autrement dit : le coût de la liberté s'accumule silencieusement pendant toute la durée du contrat.

Infrastructure critique et juridiction étrangère : un risque sous-évalué

L'ETI travaille pour des donneurs d'ordre du secteur de l'énergie. Une partie de ses données — plans techniques, spécifications de composants, correspondances contractuelles — présente une sensibilité industrielle réelle. Pas nécessairement classifiée au sens réglementaire, mais stratégiquement précieuse.

Or, héberger ces données sur une infrastructure soumise au droit américain — et plus particulièrement au *Cloud Act* de 2018 — crée une exposition juridique que peu de contrats de sous-traitance industrielle anticipent explicitement. Juridiquement, les autorités américaines peuvent requérir l'accès à des données hébergées par un opérateur américain, où qu'elles se trouvent physiquement. La localisation des datacenters en Europe ne constitue pas, en l'état du droit, une protection suffisante.

Ce point n'est pas théorique. Il est devenu un critère d'évaluation dans plusieurs appels d'offres industriels européens depuis 2025, sous la pression conjuguée du renforcement du cadre NIS2 et des exigences de conformité de certains donneurs d'ordre dans les secteurs de l'énergie, de la défense et de la santé. Pour l'ETI concernée, c'est précisément un risque client — et non une conviction idéologique — qui a précipité la décision de revoir l'architecture.

La migration : ni simple, ni linéaire

Il serait inexact de présenter la sortie du cloud américain comme une opération propre et rapide. L'ETI a opté pour une approche hybride : maintien de certains workloads moins sensibles chez l'hyperscaler américain pendant la phase de transition, migration progressive des données critiques vers un opérateur cloud européen — en l'occurrence Scaleway, dont l'infrastructure est intégralement souveraine et dont le modèle économique repose sur une facturation lisible et des engagements contractuels non équivoques sur la localisation et la juridiction des données.

La transition a duré environ quatorze mois. Elle a mobilisé des ressources internes et fait appel à un intégrateur européen spécialisé. Les coûts de migration — souvent occultés dans les analyses coût-bénéfice — ont été réels : refactoring partiel de certaines applications, formation des équipes, période de double hébergement, réingénierie des sauvegardes.

Le DSI est clair sur ce point : la migration souveraine n'est pas gratuite, et prétendre le contraire serait contre-productif. Ce n'est pas un argument contre la migration — c'est un argument pour l'anticiper avant d'être dos au mur.

Ce que le budget IT absorbe différemment

Dix-huit mois après la bascule, la photographie budgétaire est nuancée. Le coût de l'infrastructure cloud à proprement parler n'a pas drastiquement diminué — l'objectif n'était pas d'abord économique. En revanche, la structure du coût a changé de nature.

Les frais d'egress ont disparu, ou sont devenus marginaux. La lisibilité des factures s'est améliorée : les grilles tarifaires de l'opérateur européen retenu sont plus stables et moins dépendantes de paramètres contractuels opaques. La direction financière, initialement sceptique, reconnaît que la prévisibilité budgétaire a progressé — ce qui a une valeur réelle dans un contexte où les directions générales demandent aux DSI une meilleure maîtrise pluriannuelle des coûts IT.

Plus structurellement, l'entreprise a récupéré une capacité de négociation. Elle n'est plus dans une position où le prestataire peut ajuster ses tarifs en sachant que le coût de sortie décourage toute alternative. Cette asymétrie — difficile à quantifier précisément, mais bien réelle — est ce que les économistes appellent du pouvoir de marché. L'ETI en avait cédé une partie sans s'en rendre compte.

Ce que les DSI peuvent en retenir

Cette situation appelle plusieurs lectures transférables, sans qu'il soit nécessaire d'en tirer des conclusions dogmatiques.

Sur la contractualisation : les clauses d'indexation tarifaire et les frais d'egress doivent faire l'objet d'une analyse juridique et financière systématique avant toute signature. Ce qui n'est pas négocié à l'entrée ne se renégociera pas facilement à la sortie.

Sur la cartographie des risques : la dépendance à un cloud soumis à une juridiction étrangère n'est pas seulement un enjeu de conformité réglementaire. C'est un risque client, un risque commercial, et dans certains secteurs, un risque d'éligibilité aux marchés. Le traiter comme une question abstraite de souveraineté est une erreur de cadrage.

Sur le calendrier : les migrations réussies sont celles qui sont anticipées hors de toute urgence. Initier une revue d'architecture souveraine après avoir reçu une notification tarifaire défavorable, c'est négocier avec un pistolet sur la tempe. L'ETI en témoigne.

Sur les acteurs européens : l'écosystème cloud souverain européen a mûri. Il ne couvre pas tous les cas d'usage avec la même profondeur que les hyperscalers américains — ce serait faux de l'affirmer. Mais pour les workloads industriels standard — stockage, compute, sauvegarde, gestion documentaire —, les alternatives existent, sont certifiées, et proposent des modèles économiques lisibles.

En conclusion : un sujet de gouvernance, pas seulement de technique

Ce que révèle ce retour terrain, c'est que la question du cloud souverain est d'abord une question de gouvernance du risque — budgétaire, juridique, commercial. La dimension technique est réelle, mais elle est secondaire dans la décision stratégique.

Pour les DSI et CTO d'ETI européennes, l'enjeu n'est pas de basculer demain dans une posture idéologique anti-américaine. C'est de reposer, lucidement, une question que les cycles de renouvellement contractuel permettent régulièrement de soulever : à qui appartient réellement le contrôle de mon infrastructure, et à quel prix ?