Les logiciels étrangers en entreprise exposent vos données au droit d’un autre pays : la Direction générale de la sécurité intérieure (DGSI) l’écrit dans son « Flash ingérence » n° 119 d’avril 2026, révélé par franceinfo le 17 avril. L’alerte vise les entreprises, les instituts de recherche et les administrations publiques françaises.
Messageries instantanées, visioconférence, stockage en ligne, outils d’intelligence artificielle : la DGSI cite des services devenus quotidiens. Elle les présente comme une porte d’entrée pour l’ingérence économique.
Ce que la DGSI reproche aux applications étrangères
Avec les logiciels étrangers en entreprise, le problème dépasse la confidentialité des échanges. Dès son déploiement, une solution étrangère fait transiter, stocke puis traite les données sur des serveurs hors de France et hors de l’Union européenne. Selon la DGSI, ces serveurs peuvent « être consultés depuis l’étranger par le fournisseur et les autorités de son pays d’implantation », en vertu de lois locales, y compris extraterritoriales comme le Cloud Act américain.
Le service illustre ce risque par des cas anonymisés. Une entreprise exportatrice devait par exemple installer une application pour ses démarches administratives à l’étranger. Elle a ainsi introduit un logiciel espion sur son réseau interne. Ce logiciel permettait une veille permanente et même la programmation de tâches.
Selon la DGSI, la société française se retrouve alors soumise au droit de ce pays, même sans y exercer d’activité. Le fournisseur peut alors communiquer ses données à une autorité étrangère sans l’en informer. Pourtant, le responsable de traitement reste seul redevable devant la Commission nationale de l’informatique et des libertés (CNIL) et devant les personnes concernées.
RGPD et NIS2 : les obligations attachées aux logiciels étrangers
Le RGPD impose d’apprécier les risques avant tout transfert vers un pays tiers et d’adopter des garanties appropriées (articles 44 à 49). Depuis l’arrêt Schrems II de la Cour de justice de l’Union européenne, ces garanties s’évaluent concrètement. Le droit du pays destinataire entre dans l’analyse.
L’article 32 exige de plus des mesures de sécurité proportionnées au risque : chiffrement, pseudonymisation, tests réguliers, robustesse de l’infrastructure. Le choix de logiciels étrangers en entreprise, soumis à une loi extraterritoriale, entre donc dans cette appréciation.
La directive NIS2 ajoute la sécurité de la chaîne d’approvisionnement aux obligations des entités essentielles et importantes : fournisseurs, sous-traitants et éditeurs de logiciels font partie du périmètre. En avril 2026, sa transposition en droit français restait toutefois en cours d’examen au Parlement.
En cas d’incident, les articles 33 et 34 du RGPD imposent une notification à la CNIL sous 72 heures et une information directe des personnes lorsque le risque est élevé. NIS2 prévoit en parallèle une alerte précoce au CSIRT national sous 24 heures pour les incidents importants.
Les contrôles à mener sur vos solutions étrangères
La DGSI recommande de « privilégier les solutions françaises ou, à défaut, hébergées en France lorsqu’une solution française ne peut être choisie ». Elle conseille aussi d’évaluer la réputation et la fiabilité d’un fournisseur étranger avant tout usage. Le service invite à recourir à des applications certifiées, par exemple par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), ou labellisées « France Cybersecurity ». Enfin, elle demande de limiter l’accès des applications aux données de l’appareil et de lui signaler tout événement suspect.
Nous recommandons de traduire ces conseils en contrôles datés et vérifiables :
- Cartographiez les logiciels et services cloud utilisés, y compris ceux installés sans validation (Shadow IT).
- Vérifiez la localisation réelle des données, sauvegardes et journaux compris, ainsi que la nationalité de l’éditeur.
- Réalisez une analyse d’impact pour tout outil qui traite des données sensibles ou un volume important de données.
- Réservez aux solutions qualifiées SecNumCloud par l’ANSSI les données les plus sensibles.
- Limitez l’installation de logiciels sur les postes professionnels aux outils approuvés par le RSSI et le DPO.
- Documentez au registre chaque transfert international et les garanties retenues.
Encadrez ensuite l’usage des messageries et des IA génératives par une charte informatique opposable aux salariés, et sensibilisez en priorité les dirigeants et les équipes de recherche et développement. Notre article sur le Shadow IT et la prolifération des applications cloud aide à démarrer l’inventaire, et nos preuves à exiger d’un hébergeur cloud servent de grille pour le choix du fournisseur.
Le risque pays entre dans l’évaluation des outils
L’alerte de la DGSI fait de la souveraineté numérique un critère de conformité. Le DPO intègre désormais le « risque pays » dans l’évaluation de chaque outil, avec la DSI, la direction des risques et, le cas échéant, le RSSI.
En pratique, ajoutez une ligne « droit applicable au fournisseur » à votre fiche de sous-traitant. Choisir des logiciels étrangers en entreprise sur leurs seules fonctionnalités engage la responsabilité de la direction qui les valide.
Sources
La page officielle de la DGSI s’intitule Risques associés à l’utilisation d’applications et de solutions étrangères dans l’environnement professionnel.
Le texte complet est publié par la DREETS Hauts-de-France sous le titre Flash ingérence économique DGSI n° 119, avril 2026.
Les citations et le cas du logiciel espion viennent de l’article de franceinfo L’utilisation d’applications et de logiciels étrangers dans le cadre professionnel constitue un risque, alerte la DGSI.
L’état de la transposition de NIS2 est décrit par la Banque des Territoires dans Cybersécurité : la CSNP presse le Parlement d’examiner sans délai le projet de loi de résilience transposant NIS 2.
Les obligations de chaîne d’approvisionnement et le délai de 24 heures figurent dans la directive (UE) 2022/2555, dite NIS2.
