En mai 2025, le procureur de la Cour pénale internationale a vu sa boîte mail Microsoft se fermer du jour au lendemain. Pas une panne, pas un bug : la conséquence directe de sanctions américaines visant la juridiction. Le magistrat a basculé en urgence sur une messagerie européenne.

Ce jour-là, une question longtemps restée théorique est devenue très concrète : qui peut vous couper l’accès à vos propres outils, et sous quelle loi ? Pour une entreprise européenne, choisir un logiciel édité dans l’Union, qu’il s’agisse de Brevo ou d’une autre solution, n’est plus une affaire de préférence ni de patriotisme économique.

C’est devenu de la gestion du risque. Reste à savoir lequel, et à quel prix : le sujet a changé de nature, et il ne se résume ni à cocher « conforme RGPD », ni à choisir européen par principe en sacrifiant des fonctionnalités. Voici ce qui se joue vraiment en 2026.

Le RGPD ne suffit plus à trancher

Commençons par lever un malentendu. Le RGPD, applicable depuis 2018, a élevé le niveau de protection des données personnelles dans toute l’Union et bien au-delà, puisqu’il s’impose dès qu’on traite des données d’Européens, où que ce soit.

Mais en 2026, il est devenu un standard mondial : tout fournisseur SaaS sérieux s’y conforme, européen, américain ou asiatique, sous peine d’amendes dissuasives. « Nous respectons le RGPD » ne dit donc plus rien d’utile. Le vrai clivage s’est déplacé vers ce qui se joue au-dessus : où sont physiquement hébergées les données, à quelles lois étrangères le fournisseur reste soumis, et quelle part de la chaîne vous maîtrisez réellement.

La faille sous les outils américains : une légalité que vous ne maîtrisez pas

Le CLOUD Act de 2018 autorise la justice américaine à exiger d’un fournisseur soumis à sa juridiction la remise de données, quelle que soit leur localisation physique. Des serveurs installés à Francfort ou à Paris n’y changent rien si l’éditeur est américain. À cela s’ajoute la surveillance du renseignement (FISA, section 702), celle-là même qui a poussé la Cour de justice de l’Union à invalider le Privacy Shield en 2020, avec l’arrêt Schrems II.

Depuis juillet 2023, le Data Privacy Framework offre une base légale aux transferts vers les entreprises américaines certifiées. Le Tribunal de l’Union européenne l’a confirmé en septembre 2025, mais un pourvoi reste pendant devant la CJUE, et l’organe de contrôle américain censé garantir le dispositif, le PCLOB, est privé de quorum depuis début 2025. Deux cadres précédents, Safe Harbor puis Privacy Shield, ont déjà été annulés par la même Cour. Le transfert vers un prestataire américain est aujourd’hui légal, mais il repose sur un équilibre que l’entreprise cliente ne maîtrise pas et qui a déjà sauté deux fois.

Ce risque n’est pas abstrait pour les autorités françaises : la CNIL a sanctionné des transferts sur ce fondement, notamment dans ses mises en demeure sur Google Analytics en 2022, et la doctrine « cloud au centre » de l’État réserve les données sensibles à des offres immunisées contre les lois extraterritoriales. Aucun acteur américain ne peut garantir qu’il n’obéira pas, en dernier ressort, aux autorités de son pays.

Quand la décision tombe à Washington, c’est vous qui la subissez

L’affaire de la Cour pénale internationale n’est pas isolée. Les retraits massifs d’éditeurs américains du marché russe en 2022 relèvent de la même mécanique : des décisions prises ailleurs, imposées aux clients sans recours. Un fournisseur hors Union peut aussi modifier ses tarifs, fermer un service dans une région, ou tomber sous le coup de sanctions internationales du jour au lendemain.

S’ajoutent des frictions plus banales mais réelles : contrats rédigés en droit étranger, clauses d’arbitrage difficiles à actionner depuis l’Europe, support centralisé sur un autre fuseau horaire. Mineures au quotidien, elles pèsent lourd le jour d’une panne critique ou d’un litige. Un éditeur européen, lui, opère sous une juridiction que vous pouvez saisir et dans un cadre contractuel lisible.

L’argument qu’on vous épargne d’habitude : parfois, l’américain reste devant

Soyons honnêtes, car c’est l’angle mort de la plupart des plaidoyers « achetez européen ». Sur certains terrains, les suites américaines gardent une vraie avance : l’e-commerce prédictif avancé, l’automation marketing à très grande échelle, la profondeur de certains écosystèmes d’intégrations. Le nier ferait perdre toute crédibilité à la démonstration.

Deux choses ont pourtant changé. D’abord, l’écart fonctionnel s’est refermé sur l’immense majorité des usages d’une PME : Brevo (ex-Sendinblue) est devenue une licorne fin 2025 avec 500 millions d’euros levés auprès de General Atlantic et Oakley Capital, et des éditeurs comme Sellsy ou Agorapulse couvrent désormais le quotidien sans compromis visible. Ensuite, le calcul lui-même a basculé : un avantage fonctionnel marginal pèse peu face à un risque juridique que vous ne pilotez pas.

La bonne question n’est donc pas « européen ou américain ? », mais « ce que l’outil américain m’apporte en plus vaut-il la dépendance qu’il m’impose ? ». Pour un e-commerçant qui vit du marketing prédictif, la réponse peut rester américaine. Pour la grande majorité des PME, elle penche désormais nettement de l’autre côté.

Le cadre européen joue pour vous, par défaut

Choisir dans l’Union, c’est aussi hériter d’un cadre qui travaille en votre faveur sans effort de votre part. La directive NIS2, dont la transposition devait intervenir au 17 octobre 2024 et que la France n’a pas encore achevée mi-2026, impose déjà à quelque 160 000 organisations européennes une gestion rigoureuse des risques, des mesures de continuité et la notification des incidents majeurs sous 24 à 72 heures. Un éditeur européen a intégré ces obligations ; un fournisseur hors Union n’y est pas soumis de la même façon.

Les repères de confiance, eux aussi, sont européens : aux certifications ISO 27001 et SOC 2, désormais répandues, s’ajoutent des référentiels comme SecNumCloud en France, C5 en Allemagne, et le futur schéma cloud de l’ENISA (EUCS). Côté administratif, l’avantage est plus prosaïque mais quotidien : une facturation en euros qui supprime le risque de change, et des factures nativement conformes aux mentions exigées en France, alors que la facturation électronique obligatoire se déploie jusqu’en 2027. Les éditeurs français l’anticipent par construction.

Au fond, vous ne choisissez pas un drapeau

Vous décidez qui détient vos données, sous quelle loi, et qui peut, ou non, vous en couper l’accès. Posée ainsi, la question perd son habit idéologique : c’est un arbitrage de risque, à faire outil par outil, en pesant ce qu’une solution apporte vraiment contre la dépendance qu’elle crée.

C’est exactement le travail que nous menons sur Eurosaas, catégorie par catégorie : peser, pour chaque besoin, ce qu’une solution apporte vraiment contre la dépendance qu’elle crée. Si le sujet vous occupe, nos guides tranchent dans le détail, des logiciels d’email marketing européens aux solutions de facturation pour PME et indépendants.