Investisseurs étrangers en tech : la France tire le signal d'alarme que les DSI attendaient

# Investisseurs étrangers en tech : la France tire le signal d'alarme que les DSI attendaient

Depuis quelques mois, quelque chose a changé dans les couloirs de Bercy. La France a formalisé une doctrine plus stricte sur les investissements étrangers dans les entreprises technologiques considérées comme stratégiques. Ce n'est pas une loi spectaculaire. Ce n'est pas un discours de tribune. C'est plus discret — et c'est précisément pour ça que ça compte.

En tant que journaliste qui suit la souveraineté numérique depuis plusieurs années, je veux vous dire une chose clairement : ce signal politique est aussi un signal opérationnel pour vous, DSI, CTO, RSSI. Et vous avez tout intérêt à l'entendre maintenant plutôt que dans deux ans, quand il sera trop tard.

Qu'est-ce que cette doctrine change, concrètement ?

La France dispose depuis 2019 d'un mécanisme appelé le IEF — le contrôle des Investissements Étrangers en France. Ce dispositif permet à l'État de bloquer ou de conditionner l'entrée d'un investisseur non européen au capital d'une entreprise jugée sensible. Jusqu'ici, il s'appliquait surtout à la défense, à l'énergie, aux infrastructures critiques.

Ce que la nouvelle doctrine de 2025-2026 fait, c'est étendre ce regard vers la tech civile : les éditeurs de logiciels, les acteurs du cloud, les plateformes de données utilisées par des administrations ou des entreprises d'importance vitale. En clair : si un fonds américain ou asiatique veut racheter une pépite française du SaaS — le SaaS, c'est le logiciel vendu en abonnement via internet —, l'État peut désormais regarder de beaucoup plus près.

C'est une évolution majeure. Parce que jusqu'ici, la plupart de ces entreprises ne se savaient pas concernées.

Pourquoi ça vous regarde directement

Voilà ce que je vois sur le terrain : de nombreuses PME et ETI européennes — les entreprises de taille intermédiaire, celles qui emploient entre 250 et 5 000 personnes — ont construit leur SI, leur système d'information, sur des briques logicielles développées par des éditeurs européens indépendants. Un outil de gestion RH basé à Lyon. Une solution de cybersécurité développée à Berlin. Une plateforme collaborative hébergée à Amsterdam.

Ces éditeurs, vous les avez choisis précisément parce qu'ils n'étaient pas américains. Parce que vos données restaient en Europe. Parce que les contrats étaient lisibles. Parce que le support parlait votre langue.

Mais que se passe-t-il si demain, l'un de ces éditeurs est racheté par un fonds d'investissement américain ? Ou par une grande plateforme américaine qui veut s'offrir une porte d'entrée sur le marché européen ?

Votre fournisseur européen devient subitement une filiale d'un acteur soumis au Cloud Act. Le Cloud Act, c'est une loi américaine de 2018 qui oblige les entreprises américaines — et leurs filiales — à transmettre des données aux autorités américaines sur simple demande, même si ces données sont stockées en Europe. Votre conformité RGPD — le Règlement Général sur la Protection des Données — peut s'effondrer du jour au lendemain. Sans que vous ayez rien demandé. Sans que vous ayez signé quoi que ce soit de nouveau.

C'est ça, le vrai risque de dépendance technologique. Ce n'est pas toujours votre propre choix de recourir à un acteur américain. Parfois, c'est votre fournisseur européen qui bascule sous contrôle américain, et vous avec lui.

Ce que la doctrine française desserre — et ce qu'elle ne règle pas

Soyons honnêtes : ce mécanisme de contrôle des investissements étrangers desserre une contrainte. Il ne la supprime pas.

Il desserre la contrainte parce qu'il crée un filet de sécurité. Un éditeur français stratégique ne peut plus être racheté discrètement par un acteur américain sans que l'État ait son mot à dire. C'est une protection réelle pour les écosystèmes tech européens. C'est aussi un signal envoyé aux investisseurs : la tech européenne n'est pas une ressource libre-service.

Mais cette doctrine ne règle pas tout. Elle ne protège pas les éditeurs européens établis hors de France — un acteur néerlandais ou belge dont vous seriez client n'est pas couvert. Elle ne protège pas non plus contre les dépendances techniques déjà en place dans votre SI. Si votre infrastructure tourne sur les services d'un acteur américain dominant, aucune loi française ne change la réalité de votre contrat aujourd'hui.

Et surtout : elle ne protège pas contre ce que j'appelle le verrouillage contractuel silencieux. Ce moment où vous réalisez que migrer vers un autre fournisseur vous coûterait si cher — en temps, en formation, en réarchitecture — que vous ne le ferez jamais vraiment. Les acteurs américains dominants sont passés maîtres dans cet art. Leurs formats propriétaires, leurs APIs fermées, leurs écosystèmes volontairement hermétiques : tout est conçu pour que partir soit douloureux.

Ce que vous devez préparer maintenant

Je ne vais pas vous donner une liste de solutions à déployer. Ce n'est pas mon rôle ici, et ce n'est pas non plus ce dont vous avez besoin en premier.

Ce dont vous avez besoin, c'est d'une cartographie de vos dépendances. Pas une cartographie technique. Une cartographie de contrôle.

Pour chaque brique critique de votre SI, posez-vous trois questions simples :

Qui contrôle réellement cet éditeur ? Pas qui en est le fondateur. Qui en détient le capital. Qui siège au conseil. Sous quelle juridiction l'entreprise est-elle réellement soumise en cas de litige ou de réquisition ?

Que dit votre contrat sur la portabilité de vos données ? Pouvez-vous récupérer l'intégralité de vos données dans un format ouvert, exploitable, en moins de trente jours ? Si la réponse est non ou floue, vous êtes en situation de dépendance structurelle.

Quelle est votre capacité réelle de migration ? Pas théorique. Réelle. Avez-vous déjà testé une migration partielle ? Connaissez-vous le coût humain d'un changement de plateforme ?

Ces trois questions, posez-les à chacun de vos éditeurs. Vous aurez votre cartographie de risque en quelques semaines.

Le vrai message de cette doctrine

La France ne fait pas ça par protectionnisme nostalgique. Elle le fait parce qu'elle a compris quelque chose que beaucoup de DSI comprennent encore trop rarement : la dépendance technologique est une question de souveraineté opérationnelle.

Quand votre SI dépend d'acteurs sur lesquels vous n'avez aucune prise — ni contractuelle, ni réglementaire, ni géographique —, vous n'êtes plus vraiment aux commandes. Vous sous-traitez votre autonomie.

Cette doctrine française, si elle préfigure une approche européenne plus large — et tout laisse à penser qu'elle le fera —, c'est une invitation. Une invitation à faire ce travail de fond que les contraintes budgétaires et l'urgence opérationnelle ont trop souvent repoussé.

La fenêtre pour le faire dans de bonnes conditions est ouverte. Elle ne le restera pas indéfiniment.