Cybersécurité et souveraineté numérique des PME : le guide anti-CLOUD Act pour se passer des géants américains

La souveraineté numérique des PME françaises est devenue un enjeu stratégique majeur en 2026, à mesure que la dépendance aux infrastructures et aux logiciels américains expose chaque entreprise à des risques juridiques concrets. En 2018, les États-Unis ont promulgué le CLOUD Act (Clarifying Lawful Overseas Use of Data Act). Cette loi contraint toute entreprise soumise au droit américain à remettre des données à la demande des autorités américaines, y compris lorsque ces données sont stockées physiquement en Europe ou en France. Pour une PME qui utilise Microsoft 365, Google Workspace, AWS, Salesforce, Dropbox ou Slack, cela signifie que vos emails, vos contrats, vos devis et vos données clients peuvent être accessibles par un tribunal américain, sans que vous en soyez informé, et sans possibilité de refus.

Ce guide recense les meilleures alternatives souveraines françaises et européennes pour couvrir l’intégralité des besoins numériques d’une PME : messagerie, stockage, sauvegarde, firewall, VPN, protection des postes, gestion des identités, CRM et intelligence artificielle. Chaque solution présentée est soit certifiée par l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information), soit hébergée en Europe avec aucun lien capitalistique ou juridique avec une entité américaine. Pour approfondir les fondamentaux, consultez notre guide complet de cybersécurité PME 2026 et notre panorama des technologies IA en cybersécurité PME.

Souveraineté numérique des PME : définition et enjeux

La souveraineté numérique d’une PME désigne sa capacité à maîtriser ses données, ses infrastructures et ses outils numériques sans dépendre d’un acteur soumis à une juridiction étrangère susceptible d’y accéder, de les exploiter ou d’en couper l’accès. Elle recouvre quatre dimensions complémentaires : la souveraineté juridique (quel droit s’applique réellement à vos données, voir le CLOUD Act ci-dessous), la souveraineté technologique (qui conçoit et contrôle le code des outils que vous utilisez), la souveraineté opérationnelle (votre activité peut-elle continuer si un fournisseur étranger restreint l’accès à son service) et la souveraineté économique (où va la valeur créée par l’exploitation de vos données).

Pour une PME française, cet enjeu a cessé d’être théorique. La directive NIS2 pousse les entités concernées à documenter la résilience de leur chaîne numérique, les assureurs cyber interrogent de plus en plus l’hébergement réel des données dans leurs questionnaires, et le RGPD impose déjà des garanties strictes sur les transferts hors Union européenne, des garanties que le CLOUD Act rend juridiquement fragiles dès qu’un prestataire américain est dans la boucle. La souveraineté numérique ne signifie pas se couper des outils performants : elle consiste à choisir, catégorie par catégorie, la solution la plus robuste parmi celles qui n’exposent pas votre PME à une juridiction étrangère, comme nous le détaillons tout au long de ce guide et dans notre guide souverain des équipements réseau pour PME et notre dossier sur kSuite, l’alternative souveraine à Microsoft 365.

CLOUD Act : quand vos données ne vous appartiennent plus

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) a été signé en mars 2018 par le président américain. Il modifie en profondeur le cadre juridique applicable aux données numériques en imposant à toute entreprise soumise au droit américain de répondre aux injonctions des autorités américaines concernant des données stockées n’importe où dans le monde, y compris en Europe. Contrairement à ce que beaucoup pensent, héberger vos données dans un datacenter situé en France ne vous protège pas si le prestataire est une société américaine ou une filiale d’une société américaine.

La portée du CLOUD Act est très large. Elle s’applique à toute entreprise qui fournit des services de communication électronique ou de stockage de données informatiques et qui est soumise à la juridiction américaine. Cela concerne les sociétés constituées aux États-Unis, les sociétés cotées sur les marchés américains (NYSE, Nasdaq), et les sociétés ayant une présence significative aux États-Unis. En pratique, l’écrasante majorité des grands éditeurs de logiciels cloud que les PME françaises utilisent quotidiennement sont concernés.

Voici les services les plus utilisés en PME qui sont directement soumis au CLOUD Act :

La tension juridique créée par le CLOUD Act est particulièrement problématique pour les PME françaises. D’un côté, le RGPD européen interdit à un prestataire de transférer des données personnelles vers un État tiers sans garanties adéquates et sans notification aux personnes concernées. De l’autre, le CLOUD Act américain oblige ce même prestataire à remettre les données aux autorités américaines sans en informer le client. Ces deux obligations sont contradictoires, et en cas de conflit, un prestataire américain choisira presque toujours de se conformer au droit américain pour éviter des sanctions pénales. Cela vous expose simultanément à une violation du RGPD et à une divulgation non consentie de vos données.

Le risque concret pour une PME ne se limite pas à la surveillance d’un gouvernement étranger. Dans le cadre de procédures judiciaires commerciales impliquant des entreprises américaines, vos données hébergées chez un prestataire américain peuvent être obtenues dans le cadre de procédures de discovery (procédure américaine d’échange de preuves) pour être utilisées contre vous dans un litige. L’espionnage industriel légalisé est une réalité que peu de dirigeants de PME ont intégrée dans leur analyse de risques. Notre article sur la sécurité cloud pour PME détaille les risques liés à chaque grand prestataire américain.

Enfin, il faut noter que les filiales européennes des groupes américains ne sont pas protégées. Microsoft France, Google France ou AWS France sont des entités juridiques européennes, mais leurs maisons mères américaines peuvent être contraintes par une injonction américaine à accéder aux données hébergées par leurs filiales. Des accords entre l’Union Européenne et les États-Unis (comme le Data Privacy Framework signé en 2023) tentent d’encadrer ces transferts, mais ces accords restent contestés juridiquement et n’offrent aucune garantie absolue contre le CLOUD Act.

ANSSI, SecNumCloud et labels : décoder la souveraineté

Face à la multiplication des labels « souverains » et « cloud de confiance » dans les communications commerciales, il est indispensable de distinguer ce qui relève d’une certification rigoureuse de ce qui n’est qu’un argument marketing. Voici les quatre labels qui comptent réellement en France et en Europe pour choisir vos solutions numériques avec des garanties concrètes.

Pour une PME classique qui n’a pas d’obligation réglementaire spécifique (comme les OIV ou les administrations), la hiérarchie de priorité est la suivante : SecNumCloud pour les données les plus sensibles (données clients, contrats, stratégie) ; hébergement en UE hors CLOUD Act pour les données opérationnelles courantes ; hébergement suisse comme alternative crédible pour les services cloud où aucun prestataire SecNumCloud n’existe encore. La règle essentielle reste la même dans tous les cas : éviter tout prestataire ayant une maison mère, un actionnariat ou une cotation américaine.

Un point important souvent oublié concerne la qualification « Cloud de Confiance », créée par le gouvernement français en 2021. Ce label autorise des prestataires étrangers (comme Microsoft ou Google) à proposer leurs services sous licence à une entité française indépendante, en garantissant que les données restent hors de portée des lois extraterritoriales. En pratique, des offres comme « Azure France Cloud de Confiance » (opéré par Bleu, filiale de Capgemini et Orange) ou « Google Cloud de Confiance » (opéré par Thales via S3NS) sont en cours de déploiement. Elles représentent une option intermédiaire pour les PME ayant un fort investissement sur les outils Microsoft ou Google, mais leur qualification SecNumCloud complète n’était pas encore acquise à la date de rédaction de cet article. Consultez notre article sur la politique de sécurité informatique PME pour intégrer ces choix dans votre gouvernance globale.

Enfin, la directive NIS2, entrée en application en 2024 au niveau européen et en voie d’être appliquée en France, va imposer à de nombreuses PME et ETI des exigences de sécurité, notamment concernant la gestion des risques liés à la chaîne d’approvisionnement numérique. Choisir des prestataires souverains est désormais un levier direct de conformité NIS2. Notre analyse de la directive NIS2 pour les PME détaille les obligations concrètes et notre article sur la responsabilité du dirigeant en cas de cyberattaque détaille pourquoi ce choix peut renforcer ou fragiliser votre dossier en cas de contrôle.

Messagerie et bureautique souveraines : quitter Microsoft 365 et Google Workspace

La messagerie professionnelle et la suite bureautique constituent le premier point d’exposition au CLOUD Act pour la plupart des PME. Microsoft 365 et Google Workspace captent à eux deux plus de 90 % du marché des suites collaboratives pour entreprises. Ces deux solutions sont intégralement soumises au CLOUD Act. Chacun de vos emails, chaque document Word, chaque conversation Teams ou Meet peut être obtenu par une autorité américaine via une injonction judiciaire, sans que vous en soyez averti. Notre comparatif Microsoft 365 vs Google Workspace détaille les implications sécuritaires de chaque plateforme. Le cas de Microsoft Copilot for Security illustre également bien cette problématique : notre analyse dédiée détaille l’exposition au CLOUD Act de cet outil et les alternatives disponibles.

kSuite (Infomaniak) : la référence souveraine pour les PME

kSuite est la suite collaborative de l’hébergeur suisse Infomaniak. Elle regroupe kMail (messagerie compatible IMAP/SMTP), kDrive (stockage et partage de fichiers), kCalendar (agenda), kMeet (visioconférence) et kChat (messagerie instantanée). Infomaniak est une société suisse fondée en 1994, non cotée en bourse, dont les serveurs sont exclusivement situés en Suisse et en France. Elle n’a aucun lien capitalistique avec une entité américaine et n’est donc pas soumise au CLOUD Act. La suite kSuite est disponible à partir de 4,99 € par utilisateur et par mois. Pour une analyse détaillée, consultez notre article dédié à kSuite comme alternative souveraine à Microsoft 365.

Oodrive : le niveau SecNumCloud pour les données critiques

Oodrive est l’éditeur français de référence pour le stockage et la collaboration sécurisée. Qualifié SecNumCloud par l’ANSSI, Oodrive est utilisé par de nombreuses administrations françaises, des hôpitaux et des entreprises classées OIV. Sa solution Work propose messagerie, stockage et coffre-fort numérique. Plus onéreux que kSuite, Oodrive s’adresse aux PME qui manipulent des données très sensibles et qui ont besoin du niveau de certification le plus élevé.

Messagerie uniquement : ProtonMail et Mailfence

Pour les PME qui souhaitent uniquement migrer leur messagerie sans changer de suite bureautique, deux options souveraines se distinguent. ProtonMail (Proton AG, Suisse) propose un chiffrement de bout en bout natif, un nom de domaine personnalisé et une gestion d’équipe. Mailfence (Contact Office, Belgique) est une messagerie sécurisée, chiffrée et hébergée en Belgique sous droit européen. Ces deux solutions sont compatibles avec les clients mail standard (Outlook, Thunderbird, Apple Mail) via IMAP/SMTP, ce qui facilite la migration.

Nextcloud : souveraineté maximale en auto-hébergement

Nextcloud est une solution open-source de stockage et de collaboration qui peut être déployée sur votre propre serveur ou sur un VPS hébergé chez OVHcloud ou Scaleway. Elle offre des fonctionnalités équivalentes à Google Drive (stockage, collaboration sur documents, calendrier, contacts). L’auto-hébergement garantit que vos données ne sortent jamais de votre infrastructure. En revanche, cette option exige des compétences techniques ou le recours à un prestataire informatique. Notre article sur serveur physique versus cloud souverain vous aide à choisir la bonne infrastructure.

Pour la navigation web spécifiquement, des solutions françaises certifiées comme VirtualBrowser permettent d’isoler entièrement la session de navigation sur des serveurs souverains, sans dépendance aux géants américains soumis au CLOUD Act.

Cloud souverain et sauvegarde hors CLOUD Act

Le stockage cloud est l’un des domaines où la dépendance aux prestataires américains est la plus forte. AWS S3 est devenu le standard de facto du stockage objet, Azure Blob Storage équipe des milliers d’applications, et Dropbox Business reste très répandu dans les PME. Chacun de ces services expose vos données au CLOUD Act. La bonne nouvelle est que des alternatives souveraines crédibles existent aujourd’hui pour toutes les tailles de PME et tous les niveaux de budget.

OVHcloud : le premier hébergeur européen

OVHcloud est le premier hébergeur européen avec plus de 400 000 serveurs gérés et une présence dans 4 continents. C’est une entreprise française (fondée à Roubaix en 1999), non soumise au CLOUD Act. Ses services couvrent l’hébergement web, les serveurs VPS, les serveurs dédiés, le stockage objet (compatible S3) et le cloud privé. OVHcloud est l’un des candidats les plus avancés à la qualification SecNumCloud. Pour une PME qui utilise des applications basées sur AWS, OVHcloud Object Storage permet une migration à coût et effort raisonnables grâce à la compatibilité S3.

Infomaniak Swiss Backup : la sauvegarde souveraine clé en main

Pour les sauvegardes, Swiss Backup d’Infomaniak est l’option la plus simple et la plus souveraine pour une PME sans équipe IT dédiée. Le service est hébergé dans des datacenters suisses certifiés ISO 27001, compatible avec les principaux outils de sauvegarde (Veeam, Duplicati, Restic, Acronis) et propose des tarifs accessibles à partir de 3,49 € par mois pour 200 Go. Notre guide sur la règle 3-2-1 de sauvegarde explique comment construire un plan de sauvegarde solide. Pour aller plus loin, notre comparatif des meilleurs outils de sauvegarde cloud présente toutes les options souveraines disponibles.

Scaleway : cloud souverain nouvelle génération

Scaleway, filiale du groupe Iliad, propose une plateforme cloud française avec des machines virtuelles, du stockage objet, du Kubernetes managé et des services GPU pour l’IA. Ses tarifs sont très compétitifs face aux hyperscalers américains. Scaleway est une entreprise française dont les données sont hébergées en France. Elle n’est pas encore qualifiée SecNumCloud mais offre toutes les garanties de non-soumission au CLOUD Act. Idéale pour les PME qui cherchent à migrer des workloads cloud depuis AWS ou Azure.

NAS Synology hébergé : contrôle total de vos données

Pour les PME qui souhaitent un contrôle maximal sans gérer elles-mêmes l’infrastructure physique, la combinaison d’un NAS Synology hébergé chez Infomaniak représente une solution particulièrement souveraine. Vous possédez le matériel (NAS Synology), Infomaniak fournit l’hébergement physique en Suisse et la connectivité. Vos données ne sortent jamais de votre NAS, vous avez accès à toutes les fonctionnalités Synology (DSM, sauvegarde, partage, surveillance), et le tout est hébergé hors de portée du CLOUD Act. Notre article sur l’écosystème Infomaniak pour les PME présente toutes ces options en détail. Votre assureur cyber peut d’ailleurs exiger ces garanties d’hébergement : notre article sur ce que demande votre assureur cyber sur l’hébergement vous donnera les bons arguments.

Firewall et sécurité réseau souverains

Les firewalls et équipements réseau sont souvent négligés dans la démarche de souveraineté, alors qu’ils occupent une position stratégique : ils filtrent l’intégralité du trafic entrant et sortant de votre réseau et collectent des métadonnées précieuses sur vos communications. Un firewall américain soumis au CLOUD Act peut théoriquement être contraint de transmettre ces journaux de trafic aux autorités américaines. Notre comparatif Palo Alto vs Fortinet vs Check Point analyse précisément ces risques pour les principaux firewalls du marché. Pour un panorama complet, consultez également notre guide des meilleurs firewalls pour PME.

Stormshield : le seul firewall certifié ANSSI pour PME

Stormshield est une entreprise française, filiale d’Airbus CyberSecurity. Son firewall SNS (Stormshield Network Security) est le seul du marché à posséder le Visa de Sécurité ANSSI de niveau Renforcé, la certification la plus élevée qui soit pour un équipement réseau en France. Stormshield est utilisé par les armées françaises, les ministères, les hôpitaux et les entreprises classées OIV. La gamme pour PME comprend :

• SN160W : pour les sites de moins de 50 utilisateurs. À partir de 800 € HT (matériel). Inclut Wi-Fi intégré, IPS, filtrage URL.
• SN210W : pour les PME de 50 à 100 utilisateurs. Throughput jusqu’à 900 Mbps. Inclut filtrage applicatif avancé.
• SN310 / SN510 : pour les PME de 100 à 250 utilisateurs. VPN SSL/IPsec, inspection SSL, haute disponibilité.
• SN710 : pour les ETI jusqu’à 500 utilisateurs. Throughput 3 Gbps, clustering, accélération matérielle.

L’écosystème Stormshield comprend également Stormshield Endpoint Security (protection des postes), Stormshield Data Security (chiffrement de fichiers) et Stormshield Network Security pour l’industrie (ICS/SCADA). Pour les PME qui veulent une solution tout-Stormshield, c’est la pile de sécurité la plus souveraine possible en France.

Lancom Systems : l’alternative allemande hors CLOUD Act

Lancom Systems est un fabricant allemand de routeurs, firewalls et équipements Wi-Fi professionnels. Ses produits sont entièrement développés en Allemagne, sans composants logiciels soumis à une juridiction non-européenne, et ont été audités par le BSI (Bureau fédéral allemand de la sécurité informatique). Lancom propose une gamme complète pour PME : firewalls de la série R (routeurs firewall), points d’accès Wi-Fi de la série LX, et contrôleurs centralisés de la série WLC. Notre article sur les équipements Wi-Fi souverains pour PME compare Lancom et Stormshield sur ce segment.

Pour les PME qui ne peuvent pas se permettre le budget Stormshield ou qui ont besoin d’une transition progressive, pfSense CE (open-source) ou OPNsense (open-source, développé par une société néerlandaise) déployés sur du matériel européen représentent une alternative technique sérieuse. Ces solutions nécessitent des compétences IT internes ou un prestataire, mais offrent un contrôle total sur le code et aucune dépendance commerciale américaine. La mise en place d’un architecture Zero Trust avec ZTNA peut compléter utilement votre firewall souverain.

VPN souverain pour le télétravail

Le VPN (Virtual Private Network) est devenu indispensable pour les PME dont les employés travaillent en dehors des locaux. Un VPN chiffre les communications entre le poste de l’employé et le réseau de l’entreprise, empêchant l’interception sur les réseaux Wi-Fi publics ou domestiques. Mais tous les VPN ne sont pas égaux face au CLOUD Act : Cisco AnyConnect, Pulse Secure (Ivanti) ou GlobalProtect (Palo Alto) sont des solutions américaines soumises à cette loi. Notre comparatif NordLayer vs Perimeter 81 vs Cisco AnyConnect analyse ces risques en détail.

NordVPN Business et NordLayer : la solution européenne clé en main

NordVPN Business et NordLayer (la solution B2B de Nord Security) sont opérés par une société européenne (enregistrée aux Pays-Bas, opérations en Lituanie), non soumise au CLOUD Act. NordVPN utilise le protocole NordLynx basé sur WireGuard, offrant un chiffrement AES-256 et des vitesses très élevées. Sa politique No-Log a été auditée indépendamment par KPMG. NordLayer ajoute une couche de gestion centralisée (SSO, contrôle d’accès réseau, gateway dédiée) idéale pour les PME de 10 à 200 personnes. Notre avis complet sur NordVPN pour PME et notre analyse de la suite Nord Security complète vous donneront tous les détails. Pour comparer VPN et ZTNA, lisez notre guide VPN vs ZTNA pour le télétravail.

ProtonVPN : la solution suisse open-source

ProtonVPN est développé par Proton AG, société suisse également derrière ProtonMail. Il est open-source, audité par des tiers, et hébergé en Suisse. ProtonVPN Business propose des serveurs dédiés, une gestion d’équipe et une intégration avec ProtonMail pour une suite complète de communication souveraine. La transparence du code open-source est un avantage majeur pour les PME qui veulent vérifier qu’aucune backdoor n’est présente.

Mullvad VPN : confidentialité maximale

Mullvad VPN est un VPN suédois connu pour son niveau de confidentialité extrême : pas de création de compte avec email, paiement anonyme accepté, politique No-Log vérifiée lors de perquisitions policières (les autorités n’ont trouvé aucune donnée à saisir). Mullvad convient particulièrement aux dirigeants et cadres manipulant des données commerciales très sensibles. Son modèle tarifaire fixe (5 € par mois par appareil) le rend prévisible. Il n’est cependant pas adapté pour une gestion centralisée en équipe.

Pour les PME qui ont adopté une architecture Zero Trust Network Access (ZTNA), notre guide sur la mise en place du ZTNA en PME complète utilement ce chapitre. Pour les situations de mobilité avec des appareils personnels, notre article sur le BYOD en PME aborde les politiques de sécurité adaptées.

EDR souverain : détecter les menaces avec des outils certifiés ANSSI

L’EDR (Endpoint Detection and Response) est devenu la pierre angulaire de la protection des postes de travail en PME. Il remplace l’antivirus traditionnel en analysant en temps réel les comportements des processus, des fichiers et des connexions réseau pour détecter les attaques sophistiquées, notamment les ransomwares, les APT (Advanced Persistent Threats) et les attaques fileless. Le problème est que les leaders du marché sont presque tous américains : CrowdStrike, SentinelOne, Microsoft Defender for Endpoint. Tous sont soumis au CLOUD Act. Notre comparatif EDR vs MDR vs XDR et notre analyse Microsoft Defender vs CrowdStrike vs SentinelOne détaillent les implications de ce choix.

HarfangLab : le premier EDR français qualifié ANSSI

HarfangLab est une startup française fondée en 2018 par d’anciens experts de l’ANSSI. Son EDR Hurukai est le premier EDR français à avoir obtenu le Visa de Sécurité ANSSI, la certification la plus exigeante pour un produit de sécurité en France. Les données collectées par HarfangLab sont hébergées en France, la société n’a aucun lien avec une entité américaine. HarfangLab est compatible Windows, macOS et Linux et propose une gestion centralisée via une console cloud ou on-premise. Il est utilisé par des ETI, des OIV et des administrations françaises. Sa version PME est disponible à partir de 5 € par poste et par mois, avec une console de gestion accessible aux équipes IT sans expertise EDR préalable.

Tehtris : l’EDR IA français à détection comportementale

Tehtris (fondé à Bordeaux en 2010) propose une plateforme XDR (Extended Detection and Response) intégrant EDR, SIEM, honeypots et threat intelligence. Sa TEHTRIS XDR Platform utilise l’IA pour détecter les comportements anormaux sur les postes et le réseau. Qualifiée par l’ANSSI, Tehtris est davantage positionnée sur le segment ETI et grande entreprise, mais propose des offres adaptées aux PME à partir d’une centaine de postes. Ses données sont hébergées en France.

ESET : l’alternative européenne pour les très petites PME

Pour les PME de moins de 20 postes qui ne peuvent pas encore investir dans un EDR pur, ESET (Slovak Security, entreprise slovaque fondée en 1992) propose des solutions d’antivirus et d’EDR léger hébergées en Europe, non soumises au CLOUD Act. ESET Protect Complete offre un EDR basique, un chiffrement des disques et une protection anti-phishing pour les emails. C’est une solution accessible (environ 60 € par poste et par an) qui représente une étape intermédiaire sérieuse vers un EDR souverain complet. Stormshield propose également Stormshield Endpoint Security, qui s’intègre naturellement avec les firewalls Stormshield pour une cohérence totale de l’architecture souveraine.

Pour réaliser un bilan de votre niveau de protection actuel et identifier les priorités de migration vers des outils souverains, utilisez notre outil Audit Cyber PME en ligne. Notre article sur l’audit de cybersécurité PME vous guidera également dans cette démarche.

Gestion des identités et MFA souverains

La gestion des identités et des accès (IAM) est un domaine où la dépendance aux solutions américaines est très forte. Microsoft Azure Active Directory (rebaptisé Entra ID), Okta et Google Identity sont les trois plateformes IAM les plus utilisées en PME. Ces trois solutions sont américaines et soumises au CLOUD Act. Vos identités, vos mots de passe hachés, vos données de connexion MFA et vos politiques d’accès sont tous potentiellement exposés. Notre article dédié à l’IAM pour PME et notre guide sur le MFA sans friction détaillent les alternatives.

NordPass Business : gestionnaire de mots de passe européen

NordPass Business est le gestionnaire de mots de passe d’entreprise de Nord Security. Il utilise une architecture zero-knowledge (Nord Security ne peut pas lire vos mots de passe) avec le chiffrement XChaCha20. Il permet le partage sécurisé de credentials au sein d’une équipe, la génération automatique de mots de passe complexes, et des rapports d’hygiène (mots de passe faibles, compromis, en double). En tant que solution européenne non soumise au CLOUD Act, il représente une alternative souveraine aux solutions américaines comme 1Password, Dashlane ou LastPass. Notre avis complet sur NordPass vous donnera tous les détails. Pour une comparaison élargie, consultez notre article sur les gestionnaires de mots de passe pour PME.

Bitwarden auto-hébergé : contrôle total, zéro dépendance

Bitwarden est un gestionnaire de mots de passe open-source. Sa version cloud est hébergée aux États-Unis et donc soumise au CLOUD Act. Mais Bitwarden peut être auto-hébergé sur votre propre infrastructure (VPS OVHcloud ou Scaleway par exemple), ce qui le soustrait entièrement au CLOUD Act. C’est la solution préférée des entreprises qui veulent un contrôle maximal sur leurs credentials, un audit complet du code (open-source), et aucune dépendance à un fournisseur SaaS. Notre comparatif Bitwarden vs 1Password vs Dashlane aide à faire le bon choix.

Keycloak sur hébergement souverain : IAM complet open-source

Keycloak est une solution open-source d’IAM développée par Red Hat (racheté par IBM, mais le logiciel reste open-source et auto-hébergeable). Il gère le SSO (Single Sign-On), le MFA, la fédération d’identités avec LDAP/Active Directory, et les protocoles OAuth2/OpenID Connect. Déployé sur un VPS OVHcloud ou Scaleway, Keycloak offre toutes les fonctionnalités d’Okta ou d’Azure Entra ID sans aucune dépendance américaine. Notre article sur la gestion des accès à privilèges (PAM) complète cette approche. Pour la gestion des identités de manière intégrée, consultez aussi Wallix, éditeur français qui propose LinID (annuaire LDAP souverain) et des solutions PAM certifiées ANSSI.

MFA matériel souverain : Nitrokey

Pour le second facteur d’authentification matériel, les clés Nitrokey (fabriquées en Allemagne) sont une alternative souveraine aux YubiKeys (Yubico est une société suédo-américaine cotée au Nasdaq). Nitrokey Pro 2 et Nitrokey FIDO2 supportent FIDO2, U2F, PGP et OTP, et sont open-source à la fois sur le hardware et le firmware. Leur fabrication est entièrement européenne. Les clés FIDO2 éliminent le risque de phishing de mots de passe, la menace numéro un des PME selon les données de l’ANSSI.

CRM et facturation souverains : Axonaut, la référence française

La gestion de la relation client (CRM) et la facturation sont deux domaines où les PME françaises sont massivement dépendantes de solutions américaines. Salesforce, HubSpot, Zoho (indien, hébergement US), Pipedrive (estonien mais hébergement AWS) et Monday.com (israélo-américain) capturent la grande majorité du marché. Ces outils contiennent pourtant vos informations clients les plus sensibles : contacts, historique des achats, devis en cours, pipeline commercial, communications. Un accès à ces données par une autorité étrangère dans le cadre d’un litige commercial pourrait compromettre vos négociations en cours et révéler votre stratégie commerciale à des concurrents américains.

Axonaut : la suite de gestion 100 % française

Axonaut est un logiciel français de CRM et de gestion d’entreprise développé à Toulouse. Il est hébergé en France, certifié ISO 27001 et conforme RGPD nativement. Il n’a aucun lien capitalistique ou technique avec une entité américaine. Axonaut regroupe dans une seule application : CRM (contacts, opportunités, pipeline, historique), devis et facturation (génération PDF, signature électronique, suivi des paiements), comptabilité (intégration expert-comptable, TVA), gestion de projet et tâches, gestion des achats et des stocks, et ticketing client. Notre article dédié à Axonaut comme logiciel souverain pour PME françaises détaille toutes ses fonctionnalités et son positionnement tarifaire.

Dolibarr : la référence open-source française

Dolibarr ERP/CRM est un logiciel open-source d’origine française, développé par une communauté active depuis 2003. Il couvre les mêmes fonctionnalités qu’Axonaut (CRM, facturation, stock, projets) mais dans une version open-source gratuite. Hébergeable sur votre propre serveur ou chez un hébergeur français, Dolibarr garantit une souveraineté totale sur vos données commerciales. La version SaaS DoliCloud propose un hébergement géré, dont certaines offres sont hébergées en France. C’est l’option privilégiée pour les PME avec des compétences techniques internes ou un prestataire local.

Sellsy : la suite commerciale française en SaaS

Sellsy est une suite commerciale française (CRM, facturation, campagnes emailing) hébergée en France. Elle cible les PME qui veulent une solution SaaS moderne avec une interface soignée, sans les contraintes d’un hébergement auto-géré. Sellsy est en cours de certification ISO 27001 et se positionne comme une alternative directe à HubSpot, avec des prix en ligne avec le marché français (à partir de 29 € par mois).

IA souveraine en PME : Mistral AI et LLM locaux

L’intelligence artificielle générative représente le nouveau front de la souveraineté numérique. Lorsqu’un employé copie-colle un contrat dans ChatGPT pour le résumer, une demande de devis dans Claude pour l’analyser, ou des données clients dans Gemini pour générer un rapport, ces données sont envoyées sur des serveurs américains soumis au CLOUD Act. Cette pratique est devenue extrêmement courante dans les PME, souvent sans que les dirigeants en aient conscience. Notre article sur les risques de l’IA générative en entreprise dresse un panorama complet de ces nouvelles menaces. La mise en place d’une charte d’utilisation de l’IA dans votre PME est désormais indispensable.

Mistral AI : l’IA générative française et son API souveraine

Mistral AI est une startup française fondée en 2023 à Paris, qui développe des modèles de langage de classe mondiale. Son modèle Mistral Large est comparable à GPT-4 sur les benchmarks de référence. Mistral propose une API (« La Plateforme ») hébergée en Europe, sous droit français, sans aucun lien avec une entité américaine. Les PME peuvent utiliser l’API Mistral pour leurs cas d’usage IA (résumé de documents, analyse de contrats, génération de contenu, support client automatisé) avec la garantie que leurs données restent en Europe et ne sont pas soumises au CLOUD Act. Notre guide complet sur Mistral AI pour les PME détaille tous les scénarios d’usage et les bonnes pratiques de déploiement.

LLM local : zéro donnée hors de vos murs

La solution la plus souveraine pour utiliser l’IA générative est de faire tourner un LLM (Large Language Model) en local sur vos propres serveurs. Des modèles comme Mistral 7B, Llama 3 (Meta, mais open-source et auto-hébergeable), ou Gemma 3 (Google DeepMind, open-source) peuvent fonctionner sur un simple PC professionnel doté d’un GPU récent. Des outils comme Ollama, LM Studio ou Jan.ai permettent de déployer ces modèles sans compétences de développement particulières. Notre guide sur l’IA en local pour les PME et notre article sur Ollama, LM Studio et Jan.ai détaillent les étapes de mise en place. Pour l’infrastructure, notre comparatif serveur physique vs cloud souverain pour l’IA vous aidera à choisir le bon support matériel.

Chiffrer avant d’utiliser une IA externe : la règle de sécurité minimale

Si votre PME doit impérativement utiliser une IA américaine (ChatGPT, Gemini) pour certaines tâches, une règle s’impose : anonymiser et pseudonymiser les données avant de les soumettre à l’IA. Remplacer les noms de clients par des codes (Client_A, Client_B), supprimer les montants exacts, ne jamais coller de données personnelles au sens RGPD. Pour les fichiers à partager, NordLocker permet de chiffrer un fichier localement avant de l’envoyer ou de le stocker sur un service cloud tiers. Même si le service cloud est américain et soumis au CLOUD Act, le fichier chiffré est illisible sans votre clé de déchiffrement qui, elle, ne quitte pas votre système. Notre article sur comment exploiter un LLM local sans fuite de données approfondit ces pratiques.

La souveraineté IA passe également par la formation de vos équipes. Un employé sensibilisé qui sait spontanément ne pas coller une liste de clients dans ChatGPT vaut mieux que n’importe quelle politique de sécurité mal appliquée. Notre guide sur la formation des employés à la cybersécurité inclut un module dédié aux bonnes pratiques d’utilisation de l’IA. Pour encadrer formellement ces usages, le générateur de charte IA de SIAC Media permet de produire rapidement un document adapté à votre PME.

Tableau complet des solutions souveraines par catégorie

Ce tableau de bord récapitule l’ensemble des solutions souveraines recommandées pour une PME française en 2026. Deux niveaux de souveraineté sont distingués : ANSSI certifié (niveau le plus élevé, certification française) et EU hors CLOUD Act (hébergement européen ou suisse, aucun lien avec les États-Unis).

Conclusion : plan d’action 90 jours pour passer au souverain

La souveraineté numérique n’est pas une contrainte réservée aux administrations publiques ou aux grandes entreprises. En 2026, avec l’entrée en vigueur de NIS2, la montée des tensions géopolitiques et la multiplication des procédures judiciaires transatlantiques, les PME françaises ont un intérêt commercial direct à migrer progressivement vers des solutions hors portée du CLOUD Act. Le risque n’est pas théorique : des PME françaises ont déjà subi des désavantages concurrentiels lors de litiges impliquant des entreprises américaines ayant accès à leurs données via leurs prestataires cloud communs.

La migration ne doit pas être abordée comme un projet tout-ou-rien. La plupart des solutions souveraines présentées dans ce guide proposent des périodes d’essai, des migrations assistées et des connecteurs avec les outils existants. Une démarche progressive, par catégorie de risque, est plus réaliste et moins perturbatrice pour votre activité. Commencez par les données les plus sensibles et les migrations les plus simples, puis étendez progressivement votre périmètre souverain. Notre outil Audit Cyber PME peut vous aider à identifier vos expositions prioritaires.

Voici un plan d’action réaliste en 12 semaines pour une PME de 10 à 50 personnes :

1. Semaines 1-2 : audit et cartographie Listez tous vos outils numériques et identifiez ceux qui sont soumis au CLOUD Act. Utilisez ce tableau récapitulatif comme base de travail. Estimez le volume de données sensibles concernées.
2. Semaines 3-4 : migration messagerie Basculez votre messagerie vers kSuite (Infomaniak) ou ProtonMail. Configurez les DNS (MX, SPF, DKIM, DMARC). Cette migration est généralement la plus rapide et la plus impactante.
3. Semaines 5-6 : sauvegarde souveraine Déployez Swiss Backup ou OVHcloud pour vos sauvegardes cloud. Appliquez la règle 3-2-1 avec une copie distante souveraine. Testez la restauration.
4. Semaines 7-8 : VPN et protection des postes Déployez NordVPN Business ou NordLayer pour tous les télétravailleurs. Installez HarfangLab ou ESET sur tous les postes. Révoquez les accès aux anciens VPN américains.
5. Semaines 9-10 : mots de passe et identités Migrez vers NordPass ou Bitwarden auto-hébergé. Activez le MFA sur tous les comptes critiques. Révisez les politiques d’accès et appliquez le principe de moindre privilège.
6. Semaines 11-12 : CRM et IA Évaluez Axonaut ou Dolibarr pour remplacer votre CRM américain. Testez Mistral AI API ou un LLM local pour vos cas d’usage IA internes. Rédigez ou mettez à jour votre charte d’utilisation de l’IA.

La souveraineté numérique est aussi un argument commercial auprès de vos clients, notamment dans les secteurs de la santé, de la défense, des collectivités et des services aux entreprises. Mentionner que vous traitez leurs données dans un environnement hors CLOUD Act, certifié ANSSI ou hébergé en Europe, est un différenciateur crédible. Pour aller plus loin dans votre démarche, consultez nos articles piliers : le guide complet de cybersécurité PME 2026, notre panorama des technologies IA en cybersécurité, et notre modèle complet d’audit de cybersécurité PME. Pour estimer votre budget global, notre article sur le budget cybersécurité PME 2026 vous donnera des benchmarks concrets.