Le 15 août 2026, une motion déposée à Berne par la conseillère nationale vaudoise Sophie Michaud Gigon a remis sur la table une question centrale pour la souveraineté numérique des PME suisses : la conformité légale ne dit rien de la maîtrise technique réelle d’un service numérique.
Celveo, plateforme de solutions cloud souveraines pour les PME romandes, observe le même écart lors de ses diagnostics clients depuis plusieurs mois. Une entreprise peut respecter la nLPD à la lettre et rester entièrement dépendante d’un fournisseur qui contrôle son code, ses licences et sa capacité à en changer.
Qu’est-ce que la motion Michaud Gigon change concrètement ?
La motion, examinée devant la Commission de l’économie et des redevances du Conseil national, demande que la Confédération privilégie les fournisseurs suisses ou européens dans ses propres achats de services numériques. Le secteur public suisse dépense chaque année des centaines de millions de francs pour des services numériques, en grande partie américains, selon Sophie Michaud Gigon citée dans Le Temps du 15 août 2026. Le texte ne part pas de rien : le 12 décembre 2025, l’administration fédérale avait déjà fixé comme objectif de réduire la dépendance à certains fournisseurs et technologies propriétaires. La motion vise à faire coïncider les achats réels avec ce cadre, alors que des appels d’offres pour un « Government Cloud » destiné aux données publiques sensibles arrivent prochainement.
Le calendrier européen renforce la pression. Début juin 2026, la Commission européenne a présenté un plan à quatre niveaux de criticité pour les marchés publics : au-delà d’un certain seuil, logiciels et matériel devront être fabriqués dans l’Union européenne. Michaud Gigon a calé sa motion sur ce cadre pour que les entreprises suisses restent éligibles aux appels d’offres européens. Le CLOUD Act, loi américaine adoptée en 2018 qui autorise les autorités des États-Unis à exiger de Microsoft, Google ou Amazon des données sur leurs clients même hébergées hors des États-Unis, est cité explicitement par la conseillère nationale comme un des motifs de la motion.
Pourquoi Infomaniak distingue conformité légale et souveraineté technique ?
C’est la position d’Infomaniak qui donne à ce débat une dimension utile pour une PME, au-delà du seul enjeu des marchés publics. Thomas Jacobsen, porte-parole d’Infomaniak, décrit ce qui se produit par défaut sans critère de souveraineté technique dans un contrat : un code qu’on ne peut pas vérifier, des licences activées au bon vouloir du fournisseur, aucune possibilité réelle de changer de prestataire. Sa formulation mérite d’être retenue telle quelle : on peut être irréprochable juridiquement et totalement dépendant technologiquement. Une société qui exploite sous licence la technologie d’un tiers ne peut garantir la maîtrise de cette technologie, quelle que soit sa structure juridique.
Concrètement, cela signifie qu’un audit de conformité nLPD, un registre des traitements à jour et des clauses contractuelles types avec un sous-traitant américain ne renseignent en rien sur une question différente : que se passe-t-il si ce fournisseur change ses conditions, ferme un service, ou augmente ses tarifs sans négociation possible ? La conformité protège contre un risque juridique. Elle ne protège pas contre un risque de dépendance.
Souveraineté numérique PME suisse : un enjeu qui dépasse les marchés publics
Andy Yen, directeur de Proton, va plus loin sur le terrain des marchés publics suisses : selon lui, la plupart des appels d’offres publics dans le cloud sont aujourd’hui construits de manière à ce que seules des entreprises américaines ou chinoises puissent les remporter. La logique décrite dépasse le secteur public. Une PME romande qui renouvelle un contrat Microsoft 365 ou Google Workspace se retrouve face au même mécanisme à plus petite échelle : formats propriétaires, migration coûteuse en cas de départ, conditions qui peuvent évoluer d’un renouvellement à l’autre sans marge de négociation réelle pour une structure de 20 ou 40 collaborateurs.
C’est précisément ce que kSuite d’Infomaniak et l’Infomaniak Public Cloud cherchent à éviter en s’appuyant sur des standards ouverts comme OpenStack plutôt que sur des API propriétaires. Ce choix technique a une conséquence directe : une PME reste libre de migrer vers un autre fournisseur compatible si elle le souhaite, sans réécrire ses applications ni renégocier depuis une position de faiblesse.
Ce que Celveo recommande
Un audit de conformité nLPD reste nécessaire, mais il ne répond pas à la bonne question. La question à poser à son fournisseur cloud actuel est plus directe : pouvez-vous exporter l’intégralité de vos données dans un format ouvert et exploitable, dans un délai raisonnable ? Pouvez-vous changer de prestataire sans réécrire vos applications ? Votre contrat donne-t-il au fournisseur le pouvoir de modifier ou de suspendre unilatéralement votre licence ?
Si la réponse est non à une seule de ces questions, l’entreprise est peut-être conforme sur le papier, mais dépendante dans les faits.
Le débat à Berne porte sur les marchés publics. Il éclaire une distinction que toute PME romande a intérêt à faire avant son prochain renouvellement de contrat cloud, qu’elle soit soumise à un appel d’offres ou non.
Avant le prochain renouvellement de licence, ça vaut la peine de vérifier où se situe réellement la dépendance. N’hésitez pas à nous contacter.
