Wandercraft rachète Ekso Bionics : derrière la victoire industrielle, quelles données américaines restent dans les tuyaux ?

# Wandercraft rachète Ekso Bionics : derrière la victoire industrielle, quelles données américaines restent dans les tuyaux ?

*Wandercraft, pépite française de la robotique médicale, a finalisé en 2026 l'acquisition d'Ekso Bionics, acteur historique américain des exosquelettes de rééducation. La presse industrielle a applaudi. Nous avons choisi de poser les questions qui fâchent à un directeur des systèmes d'information d'un groupe hospitalier privé européen, confronté depuis plusieurs années aux enjeux de souveraineté numérique dans le secteur de la santé. Il a souhaité rester anonyme.*

RiffLab Media — Tout le monde célèbre ce rachat comme une revanche industrielle européenne. Vous partagez cet enthousiasme ?

Partiellement. Je comprends la symbolique : une entreprise française qui rachète un acteur américain dans un secteur à forte valeur technologique, c'est effectivement rare et ça mérite d'être salué. Wandercraft a développé une expertise réelle, ses exosquelettes sont déployés dans des établissements de santé sérieux, et la trajectoire industrielle est solide.

Mais dans mon métier, les trophées ne m'intéressent pas. Ce qui m'intéresse, c'est ce que ce rachat fait concrètement entrer dans notre périmètre de risque. Ekso Bionics est une société cotée américaine, constituée sous le droit californien, avec des infrastructures logicielles, des pipelines de données et des contrats clients qui ont été construits dans un écosystème juridique qui n'est pas le nôtre. Racheter une entreprise, ce n'est pas seulement racheter ses brevets et ses ingénieurs. C'est aussi reprendre ses dettes numériques.

Qu'entendez-vous exactement par « dettes numériques » dans ce contexte ?

Je veux parler de toutes les dépendances techniques et contractuelles héritées qu'on ne voit pas dans un communiqué de presse. Ekso Bionics a des années d'historique produit. Ses dispositifs embarquent des logiciels, des firmwares, des modules de connectivité. Ces briques ont été développées avec des outils, des SDK, des services cloud qui s'appuient très probablement sur des infrastructures américaines. Quand vous reprenez une entité comme celle-là, vous héritez de tout ça.

La question concrète que je poserais à Wandercraft — et que j'espère qu'ils se posent eux-mêmes — c'est : où vont les données collectées par les exosquelettes Ekso aujourd'hui ? Qui y a accès ? Est-ce que des API ou des services tiers américains sont encore dans la boucle ? Et surtout, dans quels délais et avec quelle feuille de route ces dépendances vont-elles être migrées vers un environnement souverain ?

On parle pourtant de données de rééducation, de mouvements articulaires. Est-ce vraiment sensible au point de mériter ce niveau d'attention ?

C'est exactement le genre de question qui me préoccupe, parce qu'elle révèle une incompréhension de ce que sont les données de santé à l'ère des dispositifs connectés. Un exosquelette de rééducation ne collecte pas seulement des angles de flexion. Il collecte des données biométriques longitudinales — la progression motrice d'un patient sur des semaines, voire des mois. Il peut enregistrer des données comportementales, des patterns de récupération. Dans certaines configurations, il est couplé à des systèmes d'information hospitaliers.

Ces données entrent pleinement dans le champ du RGPD, elles relèvent de la catégorie des données de santé au sens de l'article 9. Et si une partie de l'infrastructure qui les traite est soumise au Cloud Act américain — parce qu'un prestataire dans la chaîne est une entité américaine ou une filiale d'une entité américaine — alors nous avons un problème structurel, indépendamment de la nationalité du nouveau propriétaire.

Wandercraft est française. Très bien. Mais le droit applicable à une donnée ne se détermine pas uniquement par la nationalité de l'entreprise qui vous vend le dispositif.

NIS2 est entré en vigueur. Les établissements de santé sont désormais dans le périmètre des entités essentielles. En quoi ce rachat change-t-il quelque chose pour un DSI hospitalier ?

NIS2 nous impose une obligation de cartographie fine de nos chaînes de dépendance, y compris chez nos fournisseurs de dispositifs médicaux connectés. C'est précisément là que ce rachat devient un sujet de gouvernance pour nous.

Quand j'achète un dispositif médical connecté à un acteur français, j'ai une certaine visibilité sur sa chaîne de sous-traitance, sur son hébergement, sur ses obligations légales. Quand cet acteur français vient d'absorber une entité américaine dont la migration technique est en cours — et elle sera en cours pendant des mois, probablement des années — j'ai une zone d'ombre dans mon périmètre NIS2. Cette zone d'ombre, je dois la documenter, l'évaluer, et potentiellement justifier auprès de mon autorité de contrôle pourquoi j'ai maintenu ce fournisseur dans mon périmètre critique.

Ce n'est pas une raison de rejeter Wandercraft. C'est une raison d'exiger de leur part une transparence totale sur leur roadmap de souveraineté technique. Et je veux ça par écrit, dans les clauses contractuelles, pas dans un slide de présentation commerciale.

Justement, est-ce que les contrats actuels avec Wandercraft — ou avec les établissements qui utilisent encore des dispositifs Ekso — sont à la hauteur de ces enjeux ?

Honnêtement ? Dans la majorité des cas, non. Et ce n'est pas une critique spécifique à Wandercraft, c'est un problème sectoriel. Le marché des dispositifs médicaux connectés a été construit sur des modèles contractuels qui n'ont pas anticipé NIS2, ni la jurisprudence Schrems II, ni les tensions géopolitiques actuelles autour de l'extraterritorialité du droit américain.

Les contrats que nous signons avec des fournisseurs de dispositifs contiennent rarement des clauses explicites sur la localisation des données de télémétrie, sur les conditions d'audit de la chaîne de sous-traitance numérique, ou sur les engagements en cas de changement de propriétaire. Un rachat comme celui-ci devrait automatiquement déclencher une clause de renégociation ou au moins une notification contractuelle. Ce n'est pas toujours le cas.

Mon conseil aux DSI et RSSI du secteur santé : profitez de ce rachat pour recontactez votre interlocuteur Wandercraft et posez explicitement la question de la continuité des engagements contractuels sur la souveraineté des données. Si la réponse est vague, c'est un signal.

Dernière question : faut-il, selon vous, voir dans ce rachat une opportunité pour la filière européenne des dispositifs médicaux connectés, ou davantage un test de maturité pour notre modèle de souveraineté ?

Les deux, sans aucun doute. Et c'est pour ça que je suis attentif à ce dossier au-delà de mon périmètre immédiat.

Wandercraft a une occasion historique de démontrer qu'une entreprise européenne peut non seulement racheter un acteur américain, mais aussi le digérer technologiquement en appliquant nos standards — RGPD, NIS2, hébergement certifié HDS en Europe, transparence algorithmique. Si Wandercraft réussit cette intégration en faisant de la souveraineté un argument produit réel et documenté, elle ouvre un modèle que d'autres pourront suivre dans la medtech, dans l'industrie, dans l'énergie.

Mais si dans dix-huit mois les données patients générées par les exosquelettes Ekso transitent encore par des infrastructures dont la chaîne de responsabilité remonte à une entité soumise au droit américain, alors ce rachat n'aura été qu'un transfert d'actifs industriels, pas une avancée pour la souveraineté numérique européenne. Et la différence entre les deux, ce sont les décisions techniques et contractuelles qui se prennent maintenant, dans les mois qui suivent la signature.

C'est ça, le vrai test.

*Propos recueillis par la rédaction de RiffLab Media. L'interviewé s'exprime à titre personnel.*