Aujourd’hui les drones, demain les logiciels d’entreprise ?
📩 Pour nous contacter: redaction@frenchweb.fr
Les restrictions imposées aux communications satellitaires utilisées par l’Ukraine rappellent qu’un fournisseur privé reste soumis aux décisions de son État. Le sujet concerne aussi les entreprises : leur messagerie, leur CRM ou leurs infrastructures cloud peuvent dépendre d’autorisations politiques qu’aucun engagement commercial ne suffit à garantir.
Un drone est disponible, son opérateur aussi, mais lorsque la connexion nécessaire à sa mission disparaît, une partie de sa capacité devient inutilisable. Dans la nuit du 13 au 14 octobre, les forces ukrainiennes ont découvert des restrictions affectant les terminaux satellitaires embarqués sur certains de leurs appareils. Selon les responsables ukrainiens cités par le Wall Street Journal, des missions ont été perturbées ou annulées, notamment pour des drones de frappe à moyenne portée et des intercepteurs.
La limitation rapportée concernait la vitesse de déplacement des terminaux, autour de 160 km/h, et non le débit Internet. Le service a été annoncé comme rétabli le 15 octobre par des sources du ministère ukrainien de la Défense. Ce rétablissement laisse entière la question révélée par l’incident : qui décide des conditions dans lesquelles une capacité essentielle peut être utilisée ?
La réponse concerne également les entreprises qui confient leur fonctionnement quotidien à des logiciels étrangers. Un fournisseur privé reste soumis aux lois et aux décisions publiques qui s’imposent à lui, y compris lorsque celles-ci viennent contrarier sa relation avec un client.
Le contrat commercial s’inscrit dans un rapport de puissance
Dans cette affaire, Elon Musk renvoie la fixation des limites de Starshield aux autorités militaires américaines et, en dernier ressort, au président des États-Unis. Le 15 octobre, Reuters rapporte, en citant des responsables américains et occidentaux, que l’ordre de restriction provenait de la Maison-Blanche.
Starshield relève d’un cadre militaire et contractuel particulier. Il serait donc inexact de transposer directement ses conditions de contrôle à celles d’un logiciel de gestion. Mais l’épisode rappelle un principe plus général : la volonté de servir un client ne garantit pas qu’un fournisseur conservera le droit de le faire.
Une sanction peut interdire certaines prestations, un contrôle à l’exportation peut soumettre un usage à autorisation, un contrat public peut réserver à l’autorité qui le finance la définition des conditions d’emploi. Ces mécanismes sont différents, mais ils obligent tous à regarder au-delà des engagements du prestataire.
Le statut privé d’une entreprise ne la place pas à l’écart de la puissance publique.
Les restrictions civiles ont déjà des précédents
Le passage du militaire au civil possède déjà une histoire. Le 12 juin 2024, le Trésor américain a annoncé des restrictions visant la fourniture de certains services informatiques et logiciels à des personnes situées en Russie, entrées en vigueur le 12 septembre suivant. Le dispositif concernait notamment le support et les services cloud associés à des logiciels de gestion d’entreprise, de conception et de fabrication.
Les catégories précisées par l’OFAC, l’organisme chargé des sanctions financières américaines, comprennent les CRM, les ERP, les outils de gestion de la chaîne d’approvisionnement et de gestion de projet. Des fonctions ordinaires de l’entreprise peuvent donc entrer dans le champ d’une décision de politique étrangère.
GitHub fournit un autre exemple. La plateforme explique avoir restreint certains accès pour les développeurs iraniens en 2019 afin de respecter les sanctions américaines. En janvier 2021, elle a annoncé avoir obtenu une licence du gouvernement américain lui permettant de rétablir l’ensemble de ses services dans le pays. La volonté commerciale et l’autorisation publique étaient deux conditions distinctes.
Ces précédents concernent des contextes de sanctions précis. Ils ne préjugent pas d’une mesure comparable contre des entreprises européennes. Ils établissent cependant que l’accès à un service numérique civil peut être subordonné à une décision gouvernementale. Le mécanisme existe, son extension à d’autres situations relève de l’analyse du risque.
Deux précédents civils, deux mécanismes concrets
Russie, 2024. Les États-Unis restreignent certains services informatiques et cloud associés à des logiciels de gestion, dont les CRM et ERP. Le dispositif comporte des exceptions et ne constitue pas une interdiction générale des services numériques.
Iran, 2019–2021. GitHub restreint certains accès pour respecter les sanctions, puis obtient une licence américaine permettant de rétablir l’ensemble de ses services.
Une distinction importante : les mesures américaines de juin 2024 citées ici préservaient explicitement l’accès à Internet et les services de communication en ligne. Elles ne permettent pas de présenter une suspension générale de messagerie comme un précédent établi. Consulter le périmètre et les exceptions du dispositif.
Le SaaS rend la dépendance quotidienne
Pour une entreprise, la question se traduit par des opérations très concrètes. Si son CRM devient inaccessible, comment retrouver les échanges avec un prospect, suivre un devis ou organiser les relances ? Si sa messagerie est suspendue, comment poursuivre les conversations avec ses clients et ses fournisseurs ? Si son service d’authentification est indisponible, combien d’applications deviennent simultanément difficiles d’accès ?
Ce sont des scénarios de continuité d’activité, dont la réalisation dépendrait du périmètre d’une éventuelle restriction. Leur intérêt consiste à rendre visible la place des services concernés dans le travail quotidien.
Avec le logiciel fourni comme service, l’entreprise dépend du fonctionnement continu de systèmes exploités par son prestataire. Elle peut détenir ses données et rencontrer malgré tout de grandes difficultés à les utiliser ailleurs. Un export du fichier clients ne reconstitue pas les historiques, les automatismes, les autorisations et les connexions aux autres logiciels.
Une restriction partielle mérite également d’être examinée : suppression d’une fonction, interruption du support ou limitation de certains usages. Dans le cas ukrainien, le maintien de nombreuses connexions n’empêchait pas la dégradation de certaines missions. Pour une entreprise, la criticité se mesure elle aussi à la fonction touchée.
Un serveur en Europe ne résout pas toute la question
La localisation des données reste un élément de l’évaluation. Elle doit être complétée par l’examen de l’entité contractante, des lois auxquelles elle est soumise et de l’organisation technique qui permet d’exploiter le service.
Trois questions doivent être posées séparément : qui peut accéder aux données, qui peut maintenir ou restreindre le service, et comment changer de fournisseur ? Elles concernent respectivement la confidentialité, la disponibilité et la réversibilité.
Une offre exploitée sous un contrôle distinct peut présenter des garanties différentes de celles d’une simple distribution locale. Ces situations doivent être examinées concrètement. La présence d’un centre de données ou d’une filiale dans un pays ne suffit pas, à elle seule, à décrire toutes les dépendances.
Les débats français sur la souveraineté numérique de l’État trouvent ici une traduction opérationnelle : protéger des informations et conserver la capacité de travailler sont deux exigences complémentaires.
Le prix d’une solution de repli doit entrer dans le calcul
Une direction générale ne peut pas traiter chaque logiciel comme une infrastructure stratégique. Elle peut en revanche identifier les quelques services dont l’interruption empêcherait de vendre, de facturer, de produire ou de communiquer.
Pour ces services, l’évaluation doit intégrer le temps nécessaire à une reprise, les compétences disponibles et le coût d’une transition. La possibilité contractuelle d’exporter des données constitue un début. Un exercice de restauration ou de migration permet de vérifier ce que cette possibilité vaut en pratique.
Multiplier les fournisseurs n’apporte d’ailleurs une protection que si leurs dépendances sont effectivement différentes. Plusieurs applications peuvent reposer sur le même cloud ou le même système d’identité, et présenter ainsi un point de vulnérabilité commun.
Le calcul économique doit donc rapprocher le coût de l’abonnement, celui de la préparation d’une solution de repli et celui d’une interruption. L’absence de migration immédiate peut être un choix rationnel, à condition de connaître les conséquences et le délai d’une sortie éventuelle.
La souveraineté se construit aussi dans les achats
L’Europe dispose de fournisseurs et de projets capables de répondre à une partie de ces besoins. Les alternatives aux suites collaboratives dominantes et les solutions d’infrastructure doivent toutefois être évaluées sur leurs fonctionnalités, leur sécurité, leur capacité de déploiement et leurs propres dépendances.
Les achats publics et privés contribuent à financer ces capacités. Une solution de remplacement durable exige des clients, des intégrateurs formés et des compétences disponibles. La préparation de la continuité rejoint ainsi la construction d’une offre industrielle.
L’incident ukrainien donne une raison supplémentaire d’examiner ces dépendances avant qu’une crise se produise. Le dirigeant qui renouvelle son CRM n’a pas besoin d’imaginer une rupture diplomatique imminente. Il doit pouvoir identifier les décisions extérieures susceptibles d’affecter son accès, et savoir comment poursuivre son activité si elles surviennent. La prochaine règle qui modifiera l’usage de son logiciel pourra être décidée ailleurs que chez son fournisseur.
Six questions pour évaluer sa dépendance numérique
- Quelles fonctions seraient bloquées dès le premier jour ?
Identifier les services nécessaires pour vendre, produire, facturer et communiquer. - Quelles autorités peuvent affecter leur fourniture ?
Examiner les entités contractantes et les obligations applicables avec les équipes juridiques. - Les dépendances sont-elles concentrées ?
Repérer le cloud, l’authentification et les composants communs à plusieurs applications. - Les données sont-elles réutilisables ailleurs ?
Vérifier les formats, les pièces jointes, les historiques et les droits d’accès. - Quel délai pour rétablir les fonctions essentielles ?
Évaluer les moyens humains et techniques nécessaires à une reprise. - La solution de repli a-t-elle été testée ?
Vérifier une restauration ou une migration sur un périmètre limité.
Notre politique éditoriale concernant l'intelligence artificielle
Les analyses et articles sont rédigées par des journalistes.
L'IA peut être utilisée comme outil d'assistance (traduction, synthèse, recherche documentaire ou amélioration stylistique).
Les faits, chiffres et analyses sont systématiquement vérifiés et validés par la rédaction.
Les illustrations générées ou modifiées par IA sont explicitement signalées.