Sortir d'un cloud américain : le coût de sortie se prépare au contrat

On compare les prix d'entrée, on négocie la remise, on signe. Le prix de sortie, lui, n'apparaît nulle part. Il se révèle le jour où la décision de partir est prise, c'est-à-dire quand le rapport de force est à son plus mauvais pour vous.

Le sujet n'est pas réservé aux fournisseurs américains. La question de la juridiction pousse simplement certaines directions à reconsidérer leur position, et la mécanique de sortie est la même chez tous. Voici ce qu'il faut préparer, dans l'ordre où cela coûte le moins cher.

Le changement de règle : le Data Act

Le règlement européen sur les données (Data Act) contient un chapitre consacré au changement de fournisseur de services de traitement de données. D'après la page de la Commission européenne, il s'applique depuis le 12 septembre 2025. Entre le 11 janvier 2024 et le 12 janvier 2027, les fournisseurs peuvent encore facturer des frais de changement et de sortie de données. À partir du 12 janvier 2027, les frais de changement, frais de transfert de données compris, sont supprimés.

Le détail du processus, selon l'analyse d'un cabinet d'avocats :

Un préavis maximal de deux mois pour lancer le changement.
Une période de transition en principe de 30 jours calendaires au plus. Si c'est techniquement impossible, le fournisseur doit le notifier dans les 14 jours ouvrables, et la période alternative ne peut dépasser sept mois.
Après la transition, au moins 30 jours calendaires pour récupérer les données exportables et les actifs numériques.
Suppression par le fournisseur des données et actifs exportables après un changement réussi.
Jusqu'au 12 janvier 2027, des frais réduits, limités aux coûts directement engagés par le changement.

Côté technique, les fournisseurs PaaS et SaaS doivent proposer des interfaces ouvertes et l'export dans un format lisible par machine d'usage courant, et les fournisseurs IaaS doivent assurer une « équivalence fonctionnelle » pour les fonctions partagées entre services. Le périmètre couvre les données d'entrée et de sortie, métadonnées comprises, mais exclut les données protégées par la propriété intellectuelle ou constituant un secret d'affaires du fournisseur.

Les pénalités de résiliation anticipée ne sont pas réglées par un chiffre dans les sources que j'ai consultées : elles posent, d'après l'analyse, des questions distinctes selon les circonstances. Si votre contrat est à durée ferme, lisez-le avec un juriste avant de croire que le Data Act vous libère à bon compte.

Vérifiez aussi que votre fournisseur et votre contrat entrent bien dans le champ du texte. Je n'ai pas pu confirmer ce point pour chaque cas, et il vous appartient de le faire avant de construire un plan là-dessus.

Ce que la loi ne résout pas

Supprimer les frais de sortie de données retire une ligne de la facture. Elle ne retire pas le reste.

Les API propriétaires. Une base de données managée, une file de messages, une fonction serverless, un service d'identité : chacun est une interface que vous avez codée dans vos applications. Le Data Act demande des interfaces ouvertes et un export lisible. Il ne réécrit pas votre code. Le coût de sortie, c'est le temps d'ingénierie pour remplacer ces appels. Faites l'inventaire des services propriétaires utilisés et notez, pour chacun, l'équivalent ouvert qui existe ailleurs, ou son absence.

L'équivalence fonctionnelle, cette limite. Elle vaut pour les fonctions partagées entre services. Les fonctions que seul votre fournisseur propose ne sont pas dans ce périmètre. Votre plan de sortie doit les traiter à part.

Les compétences. Une équipe qui connaît très bien un environnement unique ne sait pas forcément opérer le suivant. Former, recruter ou externaliser a un coût que personne ne met dans le comparatif. Si votre équipe est de taille modeste, c'est souvent le poste le plus sous-estimé.

La durée de la migration. Le processus légal prévoit des délais précis. Votre migration réelle, avec des applications à adapter, des tests, une période de double exploitation, ne tient pas forcément dedans. Pendant la double exploitation, vous payez deux fois.

Les données volumineuses. Un export correct de données structurées ne vous dit rien sur le temps de transfert réel de grands volumes, ni sur la cohérence des données pendant le transfert. Testez.

Ce qu'il faut inscrire au contrat, dès l'entrée

Même si le texte européen couvre certains points, un contrat précis vaut mieux qu'un droit à invoquer.

Réversibilité. Une clause qui décrit le processus : formats d'export documentés, interfaces documentées, délais, assistance. Le référentiel SecNumCloud en version 3.2, qui sert de repère pour des offres qualifiées, exige par exemple une clause de réversibilité permettant de récupérer toutes les données via des formats ou des interfaces documentés, et un effacement sécurisé en fin de contrat avec un préavis formel de 21 jours calendaires (19.4 et 19.1). C'est un bon gabarit pour un contrat qui n'est pas qualifié, adaptez-le.
Frais. Ce qui est facturé à la sortie, en toutes lettres, y compris l'assistance et les prestations d'accompagnement.
Données et métadonnées. Ce qui est exportable : données, configurations, journaux, sauvegardes, clés.
Clés de chiffrement. Qui les détient. Si elles sont chez le fournisseur, la sortie dépend de lui.
Durée et résiliation. Engagement, préavis, conditions de sortie anticipée.

Ce qu'il faut faire chiffrer avant de décider

L'inventaire des services propriétaires et le coût de remplacement de chacun.
Le temps d'ingénierie interne ou externe pour migrer, et la période de double exploitation.
La formation ou le recrutement.
Le transfert réel des volumes, mesuré sur un échantillon.
Les frais de sortie actuels et, si la date de sortie est avant le 12 janvier 2027, ce qu'ils deviennent après.

Ce dernier point est un vrai levier de calendrier. Si votre sortie n'est pas urgente, la date du 12 janvier 2027 est un fait à intégrer dans votre planification, à condition que votre contrat et votre fournisseur entrent dans le champ du texte.

Mon avis

Ne partez pas par principe. Partez si le rapport entre le risque de dépendance et le coût de sortie le justifie, et préparez la sortie même si vous restez. Un plan de réversibilité qui n'a jamais été testé est une hypothèse. Faites un exercice partiel, sur une application peu critique, pour savoir ce que le mot « sortie » veut dire chez vous.