Souveraineté numérique : les questions à poser à son prestataire avant de signer

La Revue politique et Parlementaire consacre un article au rôle d'Inria dans le renforcement de la souveraineté numérique. Le sujet paraît institutionnel, mais il se traduit très concrètement dans n'importe quel contrat de prestation web ou logicielle. Une entreprise qui confie son site, son outil métier ou ses données marketing à une agence prend des décisions de dépendance dont elle mesure rarement l'étendue au moment de signer.

Première question à poser : où sont hébergées les données, précisément. Pas le nom commercial de l'offre, mais le pays d'implantation des serveurs, l'entité juridique qui exploite l'hébergement et sa nationalité, ainsi que la localisation des sauvegardes. Ces trois éléments peuvent différer. Demandez la même information pour les environnements secondaires : préproduction, outils de support, plateformes d'envoi d'e-mails, services d'analyse d'audience. C'est souvent par ces outils périphériques que les données circulent le plus.

Deuxième question : de quelles briques propriétaires dépend la solution livrée. Établissez avec le prestataire la liste des composants tiers utilisés, avec pour chacun sa licence, son modèle économique et l'existence ou non d'une alternative. Un site bâti sur des technologies ouvertes et documentées peut être repris par une autre agence. Un outil construit sur une plateforme fermée avec un langage propriétaire vous lie à un fournisseur unique, ce qui n'est pas disqualifiant en soi mais doit être un choix conscient et négocié.

Troisième question : que se passe-t-il si vous partez. Faites inscrire une clause de réversibilité explicite comprenant le format d'export des données, le délai de mise à disposition, la remise des codes sources et des fichiers de configuration, la documentation technique, et un accompagnement chiffré à la migration. Précisez aussi que les accès, comptes et noms de domaine sont ouverts à votre nom dès le départ. Une réversibilité qui n'est pas datée et chiffrée dans le contrat n'existe pas en pratique.

Ajoutez trois clauses souvent absentes. La propriété intellectuelle des développements spécifiques, qui doit vous être cédée par écrit dès lors que vous les avez payés. L'engagement de notification en cas de changement d'hébergeur, de sous-traitant ou de conditions contractuelles majeures. Et la conservation d'une copie exploitable chez vous, par exports périodiques automatisés, indépendante de la bonne volonté du prestataire au moment de la rupture.

Pour évaluer les réponses, appliquez un test simple : demandez au prestataire de décrire, en une page, la procédure exacte de récupération de vos données et de reprise par un tiers. Une agence qui a déjà fait cette opération répondra en détail. Une agence qui répond vaguement ou renvoie vers le fournisseur de la plateforme signale un risque de dépendance que vous supporterez seul. Ce test coûte peu et discrimine mieux qu'une grille de notation.

Ne confondez toutefois pas souveraineté et repli technique. L'objectif n'est pas d'exclure tout outil étranger, ce qui est rarement réaliste, mais de connaître les dépendances, de les avoir choisies et d'avoir prévu une porte de sortie. Formalisez le raisonnement dans une courte note interne recensant, pour chaque outil critique, la donnée concernée, l'hébergeur, la criticité pour l'activité et l'alternative identifiée. Cette note vaut plus que n'importe quelle mention contractuelle générique et sert de base à chaque nouvel appel d'offres.