Contrats IT : anticiper et gérer la dépendance technologique

Un matin, une entreprise découvre qu'elle ne peut plus accéder à son CRM. Son prestataire, invoquant un différend commercial, a suspendu les accès dans la nuit. Des milliers de contrats clients, l'historique commercial de plusieurs années, les relances en cours : tout est inaccessible. La migration vers une solution alternative ? Six mois minimum, selon les équipes IT.

Ce scénario n’a rien d’hypothétique. Il illustre ce qu'est devenue la dépendance technologique : non plus un risque théorique, mais une source majeure de vulnérabilité et un angle mort fréquent dans la gouvernance des entreprises. Pendant longtemps, les entreprises ont traité leurs contrats IT comme des achats techniques. Elles découvrent aujourd’hui qu’ils relèvent en réalité de la gestion des risques. Le fournisseur IT n’est plus un simple prestataire : il devient un opérateur critique de continuité d’activité.

Comment anticiper le verrouillage dès la négociation du contrat ? Quels recours activer lorsque la rupture est imminente ? C'est ce que cet article se propose d'examiner.

Comment naît une situation de dépendance technologique ?

La dépendance technologique naît rarement d’un monopole. Elle s’installe progressivement, lorsque changer de fournisseur devient irréaliste. Plusieurs facteurs favorisent ces situations :

• forte personnalisation du service ;

• intégration profonde dans les processus métiers ;

• absence d’alternative crédible ou immédiatement disponible ;

• coûts de migration élevés ;

• ou encore perte progressive des compétences internes permettant de changer de solution.

La dépendance peut également concerner les prestations associées au logiciel lui-même : maintenance, hébergement, support ou administration. L’arrêt brutal de la maintenance d’un logiciel critique peut par exemple exposer une entreprise à des vulnérabilités de sécurité, à des interruptions de service ou à des risques de non-conformité réglementaire.

Dans certains cas, l’entreprise demeure théoriquement capable de changer de fournisseur, mais ne peut matériellement le faire sans subir une interruption majeure d’activité ou des coûts disproportionnés. Il est nécessaire d'anticiper le risque dès la négociation du contrat. En pratique, trois verrous doivent être systématiquement sécurisés : l’accès aux données, les conditions de sortie et la continuité d’activité.

Sécuriser la réversibilité et la migration

La question de la réversibilité est devenue centrale dans les contrats IT modernes. En pratique, certains fournisseurs conditionnent encore la restitution des données ou l’assistance à la migration au paiement préalable de l’intégralité des sommes dues. Or, l’impossibilité de récupérer rapidement ses données peut rendre tout changement de prestataire pratiquement impossible.

Le contrat doit donc prévoir précisément les modalités de restitution des données, les formats de récupération, l’assistance technique à la migration, les délais et les conditions financières applicables à la réversibilité. Cette logique est renforcée par le droit européen. Le Data Act impose désormais aux fournisseurs de services de traitement de données de supprimer les obstacles techniques, contractuels ou financiers à la migration des clients vers des solutions concurrentes. Le refus d’assistance à la migration ou de restitution des données par ces fournisseurs est donc aujourd’hui difficilement justifiable et peut conduire à l’engagement de leur responsabilité.

Encadrer strictement les conditions de résiliation

Les contrats SaaS ou cloud prévoient fréquemment des délais de préavis très courts en cas de non-renouvellement, parfois limités à quelques mois. Ces délais peuvent toutefois devenir totalement inadaptés après plusieurs années de relation contractuelle, lorsque la solution du fournisseur est devenue structurante pour l’activité du client. Il peut alors être pertinent de prévoir des délais de préavis adaptés à la durée de la relation, des périodes transitoires de maintien des services, des mécanismes de sortie progressive ainsi que des obligations renforcées d’assistance à la migration.

L’objectif est simple : éviter qu’une résiliation contractuellement régulière produise, en pratique, des effets disproportionnés et dommageables sur l’activité du client. La logique n’est d’ailleurs pas sans rappeler celle de la dépendance économique traditionnellement invoquée par certains fournisseurs lorsqu’ils risquent de perdre brutalement un client représentant une part substantielle de leur activité.

Limiter les facultés de suspension des services

La suspension d’un service critique peut produire des effets comparables à une résiliation immédiate. Or, de nombreux contrats autorisent encore des suspensions rapides en cas de retard de paiement ou de litige commercial. Les clients ont donc intérêt à encadrer précisément ces mécanismes en prévoyant notamment des délais de régularisation, un formalisme préalable, des limitations aux seuls manquements graves ou encore des obligations de continuité minimale des services critiques. Au-delà de ces clauses, toute stipulation susceptible d’accroître le verrouillage technologique mérite une attention particulière : SLA, entiercement (escrow), interopérabilité, évolutions tarifaires.

Que faire lorsqu’un fournisseur menace de couper les services ?

Lorsqu’une entreprise dépend fortement d’un fournisseur IT, une suspension ou une résiliation brutale peut mettre en péril la continuité même de son activité. Dans ce contexte, des procédures judiciaires d’urgence peuvent être envisagées afin d’obtenir le maintien temporaire des services. La jurisprudence reconnaît désormais que certaines situations de dépendance technologique peuvent caractériser un dommage imminent justifiant l’intervention du juge des référés.

Dans une affaire opposant Atos à Computer Associates, la Cour d’appel de Paris a ainsi ordonné le maintien provisoire d’un contrat portant sur des logiciels critiques, en raison du temps nécessaire à la migration des systèmes concernés et des conséquences opérationnelles d’une interruption brutale des services (CA Paris, 31 mars 2021, n°21/02172).

En pratique, plusieurs leviers peuvent être mobilisés rapidement :

• engager une procédure de référé afin d’obtenir la poursuite temporaire des services, ce qui suppose de pouvoir démontrer les conséquences opérationnelles immédiates et préjudiciables de la rupture ;

• parallèlement, engager une action au fond afin d’obtenir, le cas échéant, réparation des préjudices causés par la rupture ou la suspension des services.

En cas d’urgence extrême, notamment lorsque les accès ont déjà été suspendus, des procédures accélérées (référé d’heure à heure) peuvent permettre d’obtenir une décision dans des délais très courts. Le juge des référés raisonne alors moins en termes de stricte application du contrat qu’en termes de continuité d’activité, de risques opérationnels et d’impact de la suspension pour l’entreprise. Comme en matière de rupture brutale des relations commerciales établies, la durée de la relation, l’impossibilité de remplacement rapide et le caractère structurant du partenaire deviennent des éléments centraux dans l’appréciation des conséquences de la rupture.

Dépendance technologique et souveraineté numérique

La dépendance technologique soulève également des enjeux de souveraineté. Les tensions géopolitiques, les sanctions internationales et l’extraterritorialité de certaines législations étrangères renforcent aujourd’hui les préoccupations liées au choix des fournisseurs technologiques. Le recours à des solutions européennes apparaît ainsi de plus en plus comme un enjeu de maîtrise juridique et opérationnelle, notamment dans les secteurs sensibles ou fortement régulés.

En France, le référentiel SecNumCloud de l’ANSSI illustre cette évolution en imposant notamment des garanties fortes contre l’application de législations extra-européennes susceptibles d’affecter l’autonomie du fournisseur ou la confidentialité des données. Au-delà des considérations de cybersécurité, le choix d’un fournisseur technologique devient donc également une question de résilience contractuelle et de continuité d’activité.

L’IA, nouveau facteur de dépendance technologique

L’intégration croissante de systèmes d’intelligence artificielle standardisés dans les fonctions majeures de l’entreprise apporte une dimension nouvelle à ce risque. L’entreprise qui automatise massivement certaines fonctions opérationnelles au moyen de solutions d’IA propriétaires risque de perdre les compétences internes lui permettant d’assurer elle-même ces activités.

Une interruption de service, une modification des conditions d’accès ou une hausse tarifaire significative peuvent alors affecter directement la continuité d’activité de l’entreprise. La dépendance ne porte plus uniquement sur un outil, mais sur des capacités opérationnelles que l’entreprise n’est plus en mesure d’assumer elle-même.

Un risque contentieux croissant pour les fournisseurs IT

Les situations de dépendance technologique exposent également les éditeurs et prestataires à des risques contentieux significatifs. Selon les circonstances, plusieurs fondements peuvent être mobilisés : rupture brutale des relations commerciales établies, déséquilibre significatif, abus de dépendance économique et/ou technologique, responsabilité contractuelle, voire, dans certains cas, droit de la concurrence.

Les pratiques de certains grands acteurs du marché, notamment en matière d’augmentation tarifaire, de modification unilatérale des offres ou de verrouillage des systèmes, font d’ailleurs l’objet d’une attention croissante des autorités et des organisations professionnelles.

L’enquête actuellement menée par la Commission européenne sur certaines pratiques de SAP en matière de maintenance illustre cette évolution de fond : la tendance est désormais à la réduction des mécanismes de verrouillage technologique et des barrières contractuelles limitant la liberté des clients de changer de fournisseur.

Intégrer la dépendance technologique à la gouvernance

La vraie question n’est plus de savoir si une entreprise est dépendante, mais si elle est capable de survivre à une coupure. La dépendance à un fournisseur IT constitue désormais un risque systémique, au même titre qu’un incident cyber. Pour les entreprises, il devient indispensable :

• d’intégrer à leur gouvernance la cartographie des dépendances technologiques critiques ;

• de sécuriser les mécanismes contractuels de sortie, suspension et continuité de service ; et

• d’anticiper les scénarios de rupture et les alternatives disponibles sur le marché.

Cette approche s’inscrit par ailleurs directement dans les enjeux de gouvernance, de cybersécurité et de continuité d’activité imposés par les nouvelles réglementations européennes. Côté fournisseurs, l’identification des clients en situation de forte dépendance devient tout aussi stratégique, afin d’anticiper les risques contentieux liés à une suspension de services, une résiliation ou une évolution contractuelle sensible. Dans un environnement où les outils numériques conditionnent directement la continuité d’activité, la maîtrise du risque de dépendance technologique devient un véritable enjeu de résilience opérationnelle et de souveraineté économique.