Logiciels, cloud, IA et cybersécurité

Périmètre et fonctionnement

L’éditeur de logiciels conçoit, maintient et distribue un produit sous licence ou abonnement. Il doit conserver les droits nécessaires sur le code, ses composants tiers et ses mises à jour. Le fournisseur cloud vend de la capacité, une plateforme ou un logiciel hébergé ; il dépend de son infrastructure, de ses sous-traitants et de sa capacité à tenir disponibilité, sauvegarde et restitution. Les coûts fixes et la qualité du service pèsent avant et après chaque nouvelle vente.

En intelligence artificielle, développer un modèle, intégrer un modèle tiers et fournir une application à un client sont des activités différentes. Données, calcul, évaluations et supervision conditionnent le produit et ses engagements. En cybersécurité, vendre un logiciel de protection, réaliser un audit, surveiller des systèmes et intervenir après une attaque n’impliquent ni les mêmes livrables ni les mêmes responsabilités. Beaucoup d’entreprises combinent ces activités ; il faut alors reconstruire la chaîne réelle entre fournisseur, intégrateur, hébergeur et client.

L’Insee estimait qu’en 2024, 10 % des entreprises françaises de son enquête utilisaient au moins une technologie d’IA, avec des écarts marqués selon leur taille. Eurostat indiquait que 52,7 % des entreprises de l’Union de son champ utilisaient des services cloud payants en 2025. Ces chiffres décrivent des usages, pas le chiffre d’affaires des fournisseurs. La fiche Insee sur l’édition de logiciels ne couvre pas à elle seule le cloud, l’IA et la cybersécurité. Aucun total unique de ces quatre marchés n’en est déduit.

Principales problématiques juridiques

Droits sur le produit et les intrants. Un développement financé par un premier client peut contenir des briques que l’éditeur veut réutiliser. Il faut identifier auteurs, contributions, composants tiers, jeux de données et améliorations, puis choisir entre cession, licence limitée ou droits de réemploi. Une promesse commerciale de propriété complète peut empêcher le passage à une plateforme commune si elle n’est pas confrontée à la chaîne réelle des droits.

Engagements de service et dépendances amont. Un éditeur qui vend une disponibilité ou une sécurité garanties peut dépendre d’un hébergeur ou d’un fournisseur de modèle dont les engagements sont plus faibles. Les contrats doivent aligner niveaux de service, mesures d’incident, limites de responsabilité, recours et possibilités de remplacement. L’audit des contrats amont précède la négociation d’une garantie aval.

Rôles et preuves pour l’IA. Fournisseur, intégrateur et client peuvent influer sur le système et son usage. Il faut établir qui documente le modèle, évalue les résultats, contrôle les données, informe les utilisateurs et surveille les incidents selon le cas. La répartition contractuelle n’efface pas les obligations légales de l’acteur qualifié.

Réversibilité et incident. La sortie d’un cloud exige données exportables, formats, délais, assistance et suppression compatibles avec l’architecture. En cas d’intrusion, hébergeur, éditeur et client doivent coordonner préservation des journaux, mesures immédiates et notifications éventuellement requises. Sans procédure et droits d’accès définis à l’avance, les preuves comme la continuité du service peuvent être compromises.

Les défis futurs et comment les anticiper

Transformer un développement dédié en produit réutilisable. Plus l’éditeur sert de clients, plus il doit séparer fonctions communes, adaptations et données propres à chacun. Une clause de cession ancienne ou un composant tiers peut bloquer cette évolution. Avant la prochaine version, l’entreprise peut inventorier droits et dépendances, choisir son architecture de licence et établir une procédure de contribution. Le succès commercial d’une plateforme demeure incertain.

Faire évoluer une offre d’IA malgré la variation des modèles et des usages. Performances, coûts de calcul, fournisseurs de modèles et cas d’usage changent rapidement. Une évaluation faite pour une version ne prouve pas toutes les suivantes ; l’entreprise et ses clients peuvent définir des critères d’essai, une documentation des changements et les conditions d’une suspension ou d’un retour à la version antérieure. La qualification réglementaire doit être réexaminée lorsqu’une modification change la finalité ou le rôle d’un acteur.

Construire portabilité et résilience dans l’architecture. Les clients chercheront à limiter leur dépendance et à maintenir un service en cas de panne ou de changement de fournisseur. Export des données, formats, assistance, sauvegarde et essais de reprise doivent être pensés avec les contraintes techniques et le coût de migration. Le fournisseur peut comparer plusieurs niveaux de service avant de les promettre ; la possibilité réelle de changer d’environnement ne se démontre que par des tests.

Accéder à de nouveaux marchés sous des exigences variables. Distribution internationale, achats publics et secteurs réglementés multiplient les attentes sur données, sécurité et localisation. Avant d’ouvrir un marché, l’entreprise peut sélectionner les usages et pays visés, qualifier ses partenaires et adapter contrat, support et preuves de conformité. Le contenu des exigences dépend du service et de l’acheteur ; il ne justifie pas un engagement universel.

Approfondir et préparer un échange

Électronique et semi-conducteurs approfondit les composants ; le pôle Numérique et intelligence artificielle présente les politiques et enjeux publics. Structurer et sécuriser un projet expose une prestation générale ; XXI Institut et XXI Formations donnent accès aux ressources générales du cabinet sans promettre un contenu spécialisé pour chaque technologie.

Pour un premier échange, indiquez votre produit ou service, votre rôle et celui des prestataires, les données et droits en cause, l’engagement ou l’incident à traiter et son échéance. Contrats amont et aval, architecture, versions, évaluations et procédures d’incident permettront de délimiter l’intervention. Présenter votre situation.