SpaceX-Cursor : quand la Silicon Valley s'offre les cerveaux de vos développeurs

Ce qui vient de se passer — et ce que vos juristes vont devoir lire

En 2026, SpaceX a finalisé le rachat de Cursor, l'assistant de développement IA qui s'était imposé discrètement mais massivement dans les workflows de milliers d'équipes techniques européennes. Le deal est présenté côté américain comme une convergence naturelle : de l'IA embarquée dans les outils de dev, au service d'une ambition industrielle verticalement intégrée. La narration est propre. Elle est aussi, pour les entreprises européennes, un signal d'alarme que beaucoup ont déjà choisi d'ignorer.

Posons la question directement : combien de DSI et de RSSI européens savent exactement quels fragments de leur code propriétaire ont transité par les serveurs de Cursor ces dix-huit derniers mois ? Combien ont lu les conditions générales dans le détail — avant le rachat, et encore moins après ? Cursor n'était pas un outil anodin. C'est un outil qui lit, analyse et complète du code. Du code qui peut contenir des logiques métier sensibles, des accès à des API internes, des schémas de données. Et cet outil appartient désormais à une entité américaine soumise au Cloud Act dans sa version la plus extensive.

La conformité NIS2, entrée en vigueur pour les entités essentielles et importantes, impose une maîtrise de la chaîne de sous-traitance numérique. DORA, pour le secteur financier, va encore plus loin sur la cartographie des risques tiers. Le rachat de Cursor par SpaceX ne crée pas un nouveau risque juridique — il en révèle un qui existait déjà, et que beaucoup avaient choisi de ne pas regarder en face.

Ce que les équipes techniques européennes doivent décider maintenant

La vraie question n'est pas technique. Elle est stratégique : jusqu'où une PME ou une ETI européenne peut-elle déléguer l'intelligence de son processus de développement à un acteur américain dont les obligations légales vis-à-vis des autorités fédérales américaines priment sur toute clause contractuelle européenne ?

Des alternatives existent. Pas comme une liste de courses, mais comme un constat : l'écosystème européen d'assistants au développement progresse, porté par des acteurs qui construisent sur des infrastructures localisées et des modèles dont la gouvernance ne dépend pas d'une juridiction étrangère. CodeGPT Europe ou Codeium sur infrastructure souveraine ne sont pas des options marginales — ce sont des réponses à une question que le marché américain vient de rendre urgente.

Le problème n'est pas SpaceX. Le problème, c'est le réflexe qui consiste à adopter l'outil dominant sans auditer sa chaîne de dépendance — puis à découvrir, lors d'un rachat ou d'une injonction fédérale américaine, que les données de développement de l'entreprise ne lui appartiennent plus tout à fait. Les RSSI qui ont encore Cursor dans leur parc ont désormais un nom à mettre sur le risque tiers dans leur registre de traitement. C'est un début.