La souveraineté numérique a longtemps été perçue comme un sujet de conformité — une affaire de localisation d'hébergement, de clauses contractuelles, de checklist RGPD. Cette lecture est aujourd'hui dépassée. L'intégration de l'intelligence artificielle dans les systèmes d'information crée une forme de dépendance plus profonde et plus discrète que tout ce que le cloud avait pu produire : la valeur accumulée par l'entreprise — ses données métier, sa connaissance client, son capital documentaire, ses processus formalisés — circule désormais dans des modèles et des plateformes dont elle ne contrôle ni l'évolution, ni l'accès, ni la réversibilité.
Pour les DSI, RSSI et directions sensibles à la conformité, l'enjeu n'est plus de savoir si cette dépendance existe, mais de mesurer son ampleur et d'en organiser la maîtrise. C'est un sujet de gestion du risque stratégique, au même rang que la concentration fournisseurs ou la continuité d'activité.
La dépendance IA : un mécanisme en trois étages
Le risque souverain lié à l'IA ne se matérialise pas d'un coup. Il se construit progressivement, selon trois étages superposés, dont chacun paraît acceptable pris isolément.
Premier étage : la dépendance technique. Chaque composant d'IA intégré dans un workflow — modèle d'IA générative, plateforme d'agents, couche d'analyse — introduit des points d'attache : formats propriétaires, interfaces spécifiques, apprentissages spécifiques à un modèle, automatisations bâties autour de ses particularités. Pris séparément, chacun est mineur. Cumulés sur plusieurs années d'intégration, ils forment un coût de sortie que peu d'entreprises ont chiffré.
Deuxième étage : la dépendance informationnelle. C'est le niveau propre à l'IA, et le moins visible. Les modèles apprennent et s'améliorent à partir des données qu'on leur confie ; les services rendus s'améliorent d'autant. Les plans et incitations personnalisés, les descriptions d'usage, la base documentaire de l'entreprise nourrissent les usages de telle façon que la qualité des réponses devient indissociable de l'historique accumulé. Changer de fournisseur, c'est abandonner ce patrimoine invisible et repartir d'un niveau de performance moindre — du moins pendant le temps de reconstitution.
Troisième étage : la dépendance contractuelle et juridique. Conditions d'utilisation révisables, politiques de conservation des données évolutives, cadres juridiques soumis à des législations extraterritoriales — à l'image du CLOUD Act américain, qui permet aux autorités des États-Unis d'accéder à des données détenues par des fournisseurs sous leur juridiction, y compris hébergées en Europe. Ce dernier étage transforme un choix technique initial en exposition stratégique permanente.
Trois manifestations concrètes du risque
Sur ces trois étages, trois phénomènes méritent une attention particulière des directions des systèmes d'information.
Le verrouillage progressif
Le mécanisme du verrouillage est bien connu du logiciel, mais l'IA l'amplifie considérablement. Dans le cloud classique, la réversibilité était coûteuse mais conceivable : exporter des données, migrer des applications. Dans une architecture IA, la réversibilité suppose aussi de reconstituer des environnements d'exécution, des règles de contexte, des historiques de consommation. Le coût ne croît pas linéairement avec l'usage — il croît avec l'intégration, c'est-à-dire avec le temps et la profondeur du lien avec les systèmes métier.
L'instabilité des politiques de traitement
Les engagements des fournisseurs sur l'usage des données ont une durée de vie courte. Politiques de confidentialité modifiées, conditions de formation des modèles révisées, clauses relatives au transfert de données ajustées : ce qui est garanti à la signature peut ne plus l'être trois ans plus tard, sans que l'entreprise ait la capacité pratique de le contester. La question à poser avant tout engagement n'est donc pas « que font-ils de mes données aujourd'hui ? » mais « quel droit aurai-je de m'opposer à ce qu'ils en feront demain ? ».
Le blocage concurrentiel
Enfin, la dépendance réduit le champ des alternatives disponibles. Un fournisseur dominant a intérêt à rendre la coexistence avec ses concurrents difficile : restrictions d'interopérabilité, avantages tarifaires conditionnés à l'exclusivité, alignement des formats internes. Plus l'entreprise est captive, moins l'alternative est crédible — et donc moins le marché est un marché. Ce phénomène n'est pas propre à l'IA, mais la vitesse d'intégration de l'IA dans les flux métier en accélère radicalement l'effet.
Un environnement réglementaire en pleine structuration
Ce risque n'a pas échappé aux instances européennes, et c'est probablement le point le plus structurant de l'actualité récente.
La Commission européenne a présenté en juin 2026 une proposition de Cloud and AI Development Act, visant à renforcer l'autonomie numérique de l'Union et à encadrer le positionnement des fournisseurs opérant sur son territoire. En parallèle, la France a lancé début 2026 un Observatoire de la souveraineté numérique, chargé de mesurer les dépendances des organisations publiques et privées aux solutions extra-européennes. Le Data Act, lui, s'attaque directement aux obstacles à la portabilité des données et aux frais de sortie excessifs.
Cloud and AI Development Act
Proposition de la Commission pour renforcer l'autonomie numérique de l'Union et encadrer les fournisseurs opérant sur son territoire.
Observatoire de la souveraineté numérique
Mesure les dépendances des organisations publiques et privées aux solutions extra-européennes.
Data Act
S'attaque aux obstacles à la portabilité des données et aux frais de sortie excessifs.
DORA
Impose déjà des audits de dépendance envers les prestataires critiques.
Pour les entreprises, cette dynamique réglementaire a une double implication. À court terme, elle crée de nouvelles exigences de conformité — notamment dans les secteurs régulés, où DORA impose déjà des audits de dépendance envers les prestataires critiques. À moyen terme, elle signifie que les règles du jeu évoluent : les clauses aujourd'hui tolérées ne le seront pas éternellement, et les architectures pensées pour la réversibilité seront avantagées.
Évaluer et maîtriser : une démarche en quatre axes
Face à ce risque, la réponse ne consiste ni à renoncer à l'IA, ni à tout rapatrier en interne, mais à instaurer une gestion explicite de la dépendance. Quatre axes constituent le socle d'une démarche crédible.
Cartographier les flux de données sortants. Première étape, la plus simple et la plus souvent absente : inventorier quelles données métier alimentent quels services d'IA, à quelle fréquence, sous quel statut contractuel. Sans cette cartographie, aucun arbitrage souverain n'est possible.
Qualifier la sensibilité par usage. Toutes les données ne présentent pas le même risque. Un flux documentaire sensible ne relève pas du même niveau d'exigence qu'un traitement de données publiques. La maîtrise de la dépendance commence par un classement de la sensibilité — et par la constitution d'une réserve, pour certains flux, de solutions à gouvernance maîtrisée.
Exiger la réversibilité contractuelle. Clauses de portabilité, formats d'export documentés, engagements sur la non-utilisation des données pour la formation des modèles, notification des changements de politique : ces exigences sont négociables avant la signature, beaucoup moins après. Le Data Act européen renforce désormais les obligations des fournisseurs sur la portabilité des données — un appui réglementaire à intégrer dans les négociations.
Maintenir des alternatives vivantes. Un fournisseur alternatif testé périodiquement, un scénario de repli documenté, des modèles de substitution qualifiés pour les usages critiques : ces dispositifs ont un coût, mais ils constituent la seule garantie réelle de marge de manœuvre. Une position de négociation ne se décrète pas — elle s'entretient.
Le vrai coût de la dépendance
La dépendance IA ne se lit pas sur une facture. Elle se lit dans l'écart croissant entre ce que l'entreprise croit maîtriser — ses données, ses processus, son capital informationnel — et ce qu'elle maîtrise effectivement : ce que ses fournisseurs acceptent de lui laisser.
Plusieurs indicateurs permettent d'en approcher la réalité :
- Le coût de migration chiffré pour chaque service d'IA critique.
- Le nombre de services pour lesquels aucune alternative n'a été qualifiée.
- La proportion des données sensibles soumises à une juridiction étrangère.
La souveraineté numérique n'est pas un positionnement idéologique. C'est une discipline de gestion des risques, appliquée au patrimoine informationnel — le seul actif de l'entreprise dont la valeur augmente à mesure qu'on le met en circulation. Pour les organisations qui en font une exigence dès la conception de leurs projets d'IA, elle devient un avantage : celles qui savent partir sont toujours mieux traitées que celles qui ne le peuvent pas.
Mesurez votre dépendance avant qu'elle ne vous mesure
Planifiez un échange avec un consultant Orbeet pour cartographier vos flux de données vers l'IA, qualifier leur sensibilité et bâtir une architecture réversible