Dans cette période charnière pour notre souveraineté numérique, il nous est apparu important chez Rhapsodies Conseil de mettre en avant les solutions PaaS françaises existantes. Important, car un certain nombre de solutions existent, et sont tout à fait Production Ready pour une majorité de cas d’usage d’entreprises. Mais aussi car on voit émerger des acteurs français. Des acteurs innovants soucieux de leurs clients, qui chérissent leurs indépendances. Et qui par conséquent sont finalement des pierres angulaires de notre souveraineté numérique.
De très bonnes solutions qui sont totalement imperméables aux lois d’espionnage comme la FISA américaine, ne pratiquant pas le Sovereign Washing, et qui par leur existence même permet de garantir une chaîne industrielle de l’IT présente en France. Et qui sont très certainement plus prompte à payer leurs impôts en France au même taux que les autres entreprises françaises.
La souveraineté numérique est sur toutes les lèvres, mais est-elle vraiment dans toutes les stratégies ? Si le dernier baromètre du CRIP souligne une prise de conscience salutaire des organisations, il révèle aussi l’ampleur du chemin qu’il reste à parcourir pour sortir d’une dépendance souvent subie, parfois inconsciente.
Chez Rhapsodies Conseil, nous sommes convaincus que la souveraineté n’est pas un luxe idéologique, mais le socle de votre liberté de décision future. Il ne s’agit plus de cocher des cases réglementaires, mais de reprendre les commandes de nos trajectoires technologiques face à des enjeux qui dépassent le simple cadre du Cloud.
Pour transformer ces indicateurs en un véritable levier de performance, nous avons passé les résultats au crible de nos convictions : voici les six ruptures nécessaires pour passer de la posture à l’autonomie réelle.
1. Vision et priorisation stratégique : sortir du suivisme
Il est impératif de changer de focale technique et réglementaire. Nous avons trop tendance à nous arrêter au Cloud Act, alors que le danger majeur réside dans le FISA-702, bien plus offensif. En effet, la section 702 du FISA impose une juridiction extraterritoriale sur l’ensemble des services et infrastructures numériques (cloud, SaaS, logiciels, télécoms, centres de données, etc..) ayant accès aux communications, permettant aux agences US de transformer les outils technologiques mondiaux en vecteurs de surveillance unilatérale au mépris de la souveraineté des autres États.
Ensuite, le scénario « Kill switch » n’est pas une fiction ; il a été étudié et le véhicule législatif existe.
En effet, en s’appuyant sur l’IEEPA (International Emergency Economic Powers Act) ou sur des contrôles à l’exportation, Washington pourrait contraindre légalement les entreprises américaines à suspendre instantanément l’accès aux services cloud, aux mises à jour logicielles et aux certificats numériques, transformant la dépendance technologique de l’Europe en une arme de paralysie économique massive.
La souveraineté se joue à la source de la stack technique : elle appartient à celui qui produit la technologie et possède le pouvoir d’arrêter l’envoi des mises à jour, et non à celui qui la distribue.
Dans cette optique, suivre aveuglément le Magic Quadrant de Gartner n’est pas une stratégie, c’est du « suivisme », une difficulté à décider pour soi-même ce qui nous est le plus adapté. Payer des cabinets américains qui vont toujours dire de manière biaisée et/ou intéressée d’acheter américain ne peut pas aider à avancer sur la souveraineté. Enfin, nous devons intégrer la notion de durabilité (autonomie énergétique et environnementale) comme un pilier indissociable de notre souveraineté à long terme. Les acteurs de l’IA l’ont bien compris.
2. Gouvernance et organisation : maîtriser ses risques
Une gouvernance souveraine repose sur des actions concrètes :
Mettre en place une veille réglementaire, technologique et géopolitique.
Former les achats, les décideurs métiers et les équipes IT aux enjeux de dépendance.
Réaliser des analyses de risques argumentées qui évaluent la dépendance technologique et économique.
Déterminer précisément les besoins de sécurité et utiliser un indice de souveraineté couvrant l’ensemble des enjeux.
Identifier tous les fournisseurs cloud et logiciels pour maîtriser sa supply chain, tout en restant vigilant face aux enjeux de dépendance contractuelle et réglementaire extra-territoriale.
3. Politique d’achat et Sourcing : briser les mythes
La solution « facile » et rentable à court terme d’un clouder US n’est pas nécessairement optimale à long terme face aux incertitudes réglementaires. Acheter souverain, c’est aussi se donner la capacité de se vendre comme tel. Nous avons en effet chez Rhapsodies Conseil des clients qui font de leur propre souveraineté un argument commercial.
Il faut également cesser de se rassurer avec l’uniformité : avoir la même architecture que tout le monde n’est pas un avantage compétitif, c’est une dépendance généralisée. À l’inverse, choisir un fournisseur européen ou français offre une sécurité juridique supplémentaire quant au cadre applicable. Contrairement aux idées reçues, le surcoût des solutions françaises est souvent un mythe. Voire une erreur contradictoire avec la réalité.
Nous notons également trois points de vigilance sur le sourcing :
L’illusion de l’Open Source en solution générique : Une solution gérée par un éditeur open-source reste soumise aux risques liés à cet éditeur. Il est préférable de supporter financièrement des projets ou de contribuer aux communs numériques européens pour mutualiser l’effort. Un projet américain reste soumissible aux désirs du gouvernement américain. Le projet Linux, sous statut américain, a ainsi rejeté les développeurs russes, suite à la pression américaine.
Le déséquilibre commercial : La relation est structurellement asymétrique face à des hyperscalers gros comme des États, contrairement aux acteurs souverains. Et la capacité de négociation aussi.
La réversibilité : La vraie souveraineté se mesure à la facilité de changer de fournisseur (interopérabilité, frais de sortie et de rupture avantageux).
4. Architecture, Data et Cybersécurité
Il faut marteler que Souveraineté ≠ Localisation : la simple présence des données en Europe ne garantit en rien la souveraineté juridique. L’excellence opérationnelle consiste à choisir l’outil que l’on maîtrise réellement, et non à acheter le leader d’un quadrant pour se rassurer.
Les solutions souveraines sont aujourd’hui qualitatives et optimisées. Si le catalogue des hyperscalers est plus fourni, les besoins réels des clients touchent rarement plus de 30 services, un périmètre parfaitement couvert par les acteurs européens. Pour sécuriser nos actifs, nous devons :
Auditer la Supply Chain au-delà du rang 1 pour détecter les compromissions applicatives.
Inclure systématiquement des solutions souveraines dans les études de projets.
Chiffrer systématiquement les frais de sortie et les dépendances dès la phase d’étude pour garantir une décision équitable.
5. Compétences et Acculturation : le facteur humain
La souveraineté sans compétence interne relève du « wishful thinking ». Nous avons le mauvais réflexe de ne penser au souverain que pour les ressources sensibles. Pour changer de paradigme, il faut intégrer la souveraineté dès les applications simples pour habituer les équipes. Quelle justification à mettre l’application de menu de la cantine chez un HyperScaler?
Le rôle des experts est central : les RSSI alertent, le métier décide, mais c’est l’incident qui tranche. Il est dangereux de voir les clouders comme des standards ; ce sont des technologies propriétaires qui imposent une dépendance technique. Nous perdons nos compétences agnostiques au profit de certifications propriétaires. Il est donc urgent de :
Prévoir des plans de formation agnostiques basés sur l’open source.
Encourager les certifications sur les solutions souveraines.
Rester vigilant face aux ESN dont l’indépendance est limitée par leurs partenariats avec les géants US (rémunérations, crédits cloud, certifications).
6. Feuille de route et Investissements
Le cloud est une infrastructure vitale, au même titre qu’EDF ou Orange. Accepterions-nous un EDF Russe, un Orange Chinois et un ENGIE Américain ?
Travailler avec des acteurs souverains permet de peser sur les feuilles de route produits, contrairement aux hyperscalers où l’on subit les priorités du marché américain. Nous devons aussi transformer les contraintes réglementaires (NIS2, DORA, DMA) en opportunités de souveraineté.
Enfin, soyons lucides sur l’asymétrie entre un accès facile aux clouders US et une sortie complexe et coûteuse (frais de rapatriement abusifs). Une stratégie hybride est possible : réserver les hyperscalers aux POC innovants de courte durée et à faible volumétrie, tout en sécurisant le reste sur des infrastructures souveraines, souvent moins chères pour les services courants.
La souveraineté numérique n’est pas un repli, mais une exigence de lucidité. En rééquilibrant nos investissements vers des compétences agnostiques et des solutions européennes, nous ne faisons pas qu’acheter de la technologie : nous achetons notre liberté de décision future. Le baromètre nous montre le chemin ; il ne tient qu’à nous de transformer ces indicateurs en une véritable trajectoire d’indépendance.
Souveraineté numérique : on arrête la théorie, on passe à la pratique.
Souveraineté numérique : on arrête la théorie, on passe à la pratique.
Roadmap opérationnelle de souveraineté numérique (document en accès libre).
Entre NIS2, DORA et les tensions géopolitiques, le sujet n’est plus « faut-il y aller ? » mais « comment on faLa souveraineté numérique a longtemps été un concept flou, coincé entre débats divers et postures. Mais en 2024, la donne a changé. Avec l’arrivée de directives européennes structurantes comme NIS2 ou DORA pour le secteur financier, et dans un contexte de tensions géopolitiques accrues, la maîtrise de ses dépendances technologiques n’est plus une option : c’est un impératif de résilience. D’ailleurs, la prise de conscience est là : 87 % des entreprises anticipent une montée en puissance de ce sujet. La question n’est donc plus « faut-il y aller ? », mais « comment on fait concrètement ? ». Pour répondre à ce besoin, nous avons condensé notre méthodologie dans un document opérationnel : la Roadmap de Souveraineté Numérique. Cet article vous en présente les grandes lignes et vous explique pourquoi ce guide est l’outil qui manquait à votre DSI.
Une boîte à outils pour vos équipes Enfin, parce que la critique récurrente est « il n’y a pas d’alternatives européennes », nous avons inclus dans ce fichier une liste de ressources pour sourcer vos futures solutions. Vous y trouverez des liens vers des annuaires de solutions françaises et européennes (comme le catalogue CNLL pour l’Open Source ou les panoramas de l’écosystème SaaS européen). Nous avons également compilé les références réglementaires indispensables pour votre veille (LPM, NIS2, DMA). Conclusion : Un processus continu Comme nous le concluons dans le document, la souveraineté numérique n’est pas un état final figé, mais un processus continu visant à renforcer l’autonomie et réduire les risques. Ce document a été conçu pour être un outil de travail. Il est structuré, visuel et direct. Que vous soyez DSI, RSSI ou Architecte, il vous servira de base pour argumenter vos choix stratégiques et budgétaires.
1. Partager une définition claire pour aligner les équipes
Le premier obstacle à la souveraineté est souvent sémantique. Avant de lancer des chantiers techniques, il faut s’accorder sur ce que l’on protège. Dans notre roadmap, nous clarifions les piliers d’une véritable souveraineté, qui ne se limite pas à la localisation des données. Elle englobe entre autre choses : Le Juridique : L’immunité aux lois extraterritoriales (comme le Cloud Act américain). L’Opérationnel : La capacité à assurer une continuité de service totalement indépendante. Le Technologique : L’évitement du verrouillage (lock-in) propriétaire. La Chaîne d’approvisionnement : La transparence et la résilience des composants tiers.
2. Une méthode en étapes, de l’audit à la migration
Le cœur du document que nous mettons à votre disposition détaille une méthodologie progressive. L’objectif est d’éviter l’effet « montagne infranchissable » en découpant le processus.
Phase 1 : L’analyse des dépendances et des risques
On ne peut pas souverainiser ce qu’on ne connaît pas. La première étape consiste à cartographier vos fournisseurs cloud et logiciels, localiser vos données sensibles et, surtout, identifier les contrats contenant (ou non) des clauses de sortie et de réversibilité. C’est aussi le moment d’évaluer votre « posture sécurité » face au niveau de menace maximal.
Phase 2 : La gestion de la Supply Chain Numérique
C’est souvent l’angle mort des stratégies IT. Votre fournisseur est souverain, mais qu’en est-il de ses propres sous-traitants ? La roadmap insiste sur l’importance d’auditer la chaîne d’approvisionnement et d’implémenter des critères de sélection souverains pour les composants logiciels et matériels.
Phase 3 : Migration et adoption de standards
La souveraineté passe par l’interopérabilité. Pour éviter de recréer de nouveaux silos, nous recommandons de privilégier les standards ouverts et les « communs numériques ». Le guide aborde également le choix de solutions qualifiées (comme le visa de sécurité SecNumCloud de l’ANSSI) et l’importance des solutions d’identités souveraines.
Les erreurs à éviter (Le « Reality Check »)
L’une des sections qui nous tient le plus à cœur de ce document est la liste des pièges classiques rencontrés sur le terrain. Trop de projets échouent ou créent une fausse sécurité à cause d’incompréhensions techniques. Par exemple, une erreur fréquente est de penser qu’un logiciel SaaS devient automatiquement souverain ou « SecNumCloud » simplement parce qu’il est hébergé sur une infrastructure (IaaS) qui l’est. C’est faux : la qualification de la couche basse ne se propage pas magiquement à la couche applicative. De même, confondre « Souveraineté » et « Localisation » est un piège courant : vos données peuvent être en France mais soumises à une juridiction étrangère via l’éditeur.
Comment garantir une souveraineté numérique pragmatique et adaptée à vos enjeux ?
Chez Rhapsodies Conseil, nous accompagnons nos clients à chaque étape :
– Définir une architecture cible alignée sur leur stratégie d’entreprise
– Identifier les providers éligibles selon leurs besoins de souveraineté
– Élaborer un plan stratégique clair avec une feuille de route concrète
Avec ce plan, nos clients reprennent le contrôle de leurs données et assurent à la fois souveraineté, continuité de service et conformité réglementaire.
Découvrez dans notre carrousel comment nous vous aidons à construire une trajectoire de souveraineté numérique claire et opérationnelle.
Présentation de notre Rapid-API-Delivery Framework - RAPID Framework !
Un framework, c’est un cadre de travail. Rien ne vous empêche de l’alléger ou de le surcharger. Vouloir l’exécuter tel quel serait un non-sens, car vous devez l’adapter à vos besoins.
“La gouvernance, la gouvernance, la gouvernance, mais vous n’avez que ce mot dans la bouche vous autres consultants !” Pas faux. Et à force de l’avoir entendu chez nos clients concernant la gouvernance de l’API, nous l’avions souvent mis de côté à la suite. Jusqu’à ce que par effet balancier, des clients reviennent nous voir pour avoir notre avis sur le sujet. Évidemment on se dit qu’il y a une tendance naissante, alors nous affutons nos convictions, préparons nos slides, travaillons un peu sur le sujet chez nos clients, jusqu’à ce que cette mini-bulle se dégonfle à nouveau. L’histoire de l’informatique étant un éternel balancier, et comme nous avons pu accumuler de l’expérience, quel meilleur moment, où tous nos clients n’ont de yeux que pour l’IA, ses LLM et ses POC à la réussite aléatoire, que de finaliser notre vision ! Et quel meilleur moyen que par le biais d’un framework ?
Bien sûr il faudrait qu’il soit simple, adaptable, compréhensible. Adapté aux petites structures comme aux grandes.
Qu’il serve de base de travail, quitte à le modifier en profondeur. Et que cet article soit le plus autoporteur possible, aussi. Et le plus droit au but !
Et bien sûr, nous nous portons disponibles pour toute explication à l’oral, n’hésitez pas à nous contacter !
Let’s begin : Quelles sont les besoins et les rôles ?
Vous savez à quoi on reconnaît l’architecte ? C’est celui qui à chaque fois demande “Quel est le besoin ?”. Besoins et rôles sont très liés.
Faisons simple alors et voici donc la liste des rôles (à raccourcir ou à compléter selon vos besoins) :
De Small à Large Governance – La bonne taille de tee-shirt pour votre gouvernance !
Via notre expérience empirique, les besoins de gouvernance peuvent être très simples comme très larges. De plus, un même rôle peut être attribué à une ou plusieurs personnes à temps plein, comme on peut avoir un pool de personnes portant la même casquette de responsabilité. C’est avant tout une question de charge. Nous évoquons ce sujet, car c’est souvent par la question “Qui va s’occuper de quoi” qui vient en premier. Alors que c’est la question qui devrait arriver à la fin seulement. Quel est le besoin ? Quel est le besoin ? Et… Quel est le besoin ? Le besoin d’une gouvernance, c’est de définir les rôles et interactions, par rapport aux enjeux que l’on a. Savoir qui fait quoi, ce n’est que de la déclinaison opérationnelle de ce qui doit être pensé en amont.
Bref, par rapport aux rôles vus dans le schéma centralisé, quels sont ceux qui sont utiles, ou pas vraiment utiles ?
Après décentralisé/centralisé, c’est à nos yeux la deuxième question !
Maintenant voyons comment ces rôles s’agencent.
Nous les avons découpés en trois catégories :
Think – On réfléchit aux APIs futures, et au futur de la plateforme ;
Design – On designe les APIs ;
Build & Run – On les implémente, et on suit le run.
Ensuite selon la taille des équipes et des ambitions, nous avons défini trois tailles de gouvernance.
La large, pour plus de 40 personnes
La médium pour 15-40 personnes :
Et la small pour moins de 15 personnes :
Centralisé ou décentralisé ?
Grande question à se poser. Et c’est un grand débat ! Nous sommes chez Rhapsodies assez fan des organisations décentralisées, ne serait-ce que parce que c’est ainsi que nous sommes organisés. Certes. Mais les organisations décentralisées évitent les bottlenecks organisationnels. Y compris dans les grandes organisations. Néanmoins, les contraintes de spectre de compétences, de maturité, peuvent faire pencher la balance vers une organisation centralisée. Il n’y a pas forcément de règle tacite qui saurait dire rapidement. Disons que l’on peut chercher au début à avoir une équipe centralisée d’API Management, pour ensuite progressivement décentraliser au fur et à mesure de l’augmentation de la maturité des équipes. Ce qui s’entendrait parfaitement. Mais en gros cela change quoi centralisé ou décentralisé?
Pour ceux qui verraient flou en regardant cette image, nous allons la faire simple.
En centralisé, l’équipe API s’occupe de tout – La définition, la roadmap, l’implémentation, la mise en production, etc.
En décentralisé, l’équipe API ne s’occupe que du cadre (frameworks techniques, documentaires, organisationnels, validation des APIs définies). Tout le reste, c’est aux équipes projets de le faire.
Et forcément, les tâches à minima des équipes API varient du coup.
En centralisé nous avons ce scope de responsabilités (qui les contiennent toutes) :
Quand en décentralisé, forcément le scope est plus restreint (et du coup l’effet bottleneck est beaucoup moins élevé) :
Et forcément l’effet bottleneck est beaucoup moins élevé. C’est en tout cas à nos yeux une grande étape de la réflexion. L’autre étape étant de visualiser la charge et les enjeux que vous pouvez avoir.
Ah ! Et point important ! Les rôles que nous mettons sont bien à voir dans l’idée d’une organisation totalement centralisée, ou totalement décentralisée. A vous de ventiler les rôles que vous voyez dans le schéma centralisé dans votre propre organisation, pour identifier quel rôle sera centralisé ou non.
Conclusion
Retraduisons, un framework, c’est un cadre de travail. Rien ne vous empêche de l’alléger ou de le surcharger. Vouloir l’exécuter tel quel serait un non-sens, car vous devez l’adapter à vos besoins. Nous espérons en tout cas qu’il vous aidera à y voir plus clair sur les besoins de gouvernance récurrents dans le monde des APIs. Et n’hésitez pas à nous contacter pour avoir nos retours voir même les vôtres !
Les 3 & 4 juin derniers a eu lieu l’événement du Marcus Evans sur l’évolution de l’Architecte d’Entreprise. C’était l’occasion pour nous d’y animer la table ronde HIP. Elle a donné lieu à un échange passionnant entre Fabrice Legoeffic (Chief Architect Sephora) et Ibrahima Ndiaye (CTO La Fabrique Digitale RATP/Architecte d’entreprise) sur 4 enjeux clés :
Maturité HIP : Deux approches, un même défi
Premier constat : chacune des deux organisations est consciente des enjeux liés à la nécessité d’adopter une stratégie d’intégration polyvalente et avance à son rythme selon ses contraintes, ses priorités projets et son niveau de maturité.
RATP : La transition est en cours du point-à-point vers l’API management, avec un fort enjeu de conduite du changement interne. L’intégration avec un écosystème partenaire est un moteur pour monter en maturité (standardisation et normalisation).
Sephora : À date, chaque zone géographique dispose de sa propre stratégie d’intégration, de ses socles. L’objectif moyen terme est de rationaliser, d’avoir une approche commune avec une convergence des socles (WebMethods, APIM, Kafka), avec une interrogation persistante sur le Target Operating Model (global vs région).
Temps réel : Pragmatisme avant tout
Le temps réel n’est plus un mythe technologique, mais reste un défi d’adoption métier.
RATP : certains systèmes offrent une réponse en quasi temps réel, mais l’information temps réel reste un défi. La RATP se focalise sur la valeur métier (flux voyageurs, maintenance) plutôt que sur la technologie
Sephora :une approche différenciée US / Europe. Les US sont très orientés temps réel vs APIs en Europe. Ici encore, il ne s’agit pas de faire du temps réel à tout prix, il est mis en œuvre sur les use cases qui s’y prêtent (click & collect, pilotage vente magasin) via une fondation Kafka. Il s’agit d’un gros changement de paradigme qui change les habitudes projets. Par ailleurs, l’intégration temps réel avec les SaaS (…) n’est pas simple, elle dépend fortement de leurs demies interfaces techniques disponibles.
Sécurité : Architecture défensive
La sécurité by design devient incontournable dans les stratégies d’intégration modernes.
RATP : Une segmentation stricte pour les infrastructures critiques (SI industriel vs SI Digitale vs SI de gestion), un équilibre entre interopérabilité et sécurité.
Sephora : Sécurité by design, la Sécurité est impliquée le plus en amont possible des projets. Garantir l’isolation multi-marques et la gestion stricte des données personnelles est une obligation stricte. Le middleware d’intégration, notamment l’API Gateway joue un rôle clé dans la sécurisation de l’exposition de nos services.
Résilience : Flexibilité et pragmatisme
L’avenir appartient aux architectures qui savent s’adapter sans tout révolutionner.
Consensus : L’IA ne remplacera pas les mécanismes d’intégration à court terme
Clé du succès : Best of Breed équilibré, éviter l’ultra-centralisation, conserver les connecteurs natifs quand pertinents
Insight majeur : La réussite d’une stratégie HIP repose autant sur l’accompagnement du changement que sur les choix technologiques !
