En bref
- Un logiciel RSE français se reconnaît à trois critères cumulatifs : serveurs situés en France ou dans l’Union européenne, société éditrice de droit français ou européen sans maison mère soumise à une législation extraterritoriale, et données qui ne transitent pas hors UE.
- Héberger en France ne suffit pas : le CLOUD Act américain s’applique à l’entreprise qui opère le service, pas au lieu où se trouve le disque dur.
- SecNumCloud est la qualification de référence en France, délivrée par l’ANSSI depuis 2015 ; elle exige explicitement l’immunité aux lois extraterritoriales.
- La souveraineté est un critère de risque, pas un critère fonctionnel : elle ne dit rien de la couverture CSRD, ISO ou EcoVadis de l’outil.
La question revient de plus en plus tôt dans les consultations : « vos données RSE, elles sont hébergées où ? » Elle vient parfois de la DSI, parfois du juridique, souvent d’un client qui a lui-même été audité. Le problème est que « logiciel français » ne veut pas dire grand-chose tant qu’on n’a pas défini ce que l’on protège et contre quoi. Ce guide pose les définitions, sépare ce qui relève du risque réel de ce qui relève de l’argument commercial, et donne la liste de questions à poser avant de signer.
Que veut dire « logiciel RSE français » exactement ?
Trois choses différentes se cachent derrière le même mot, et les éditeurs jouent parfois sur la confusion.
| Ce qui est annoncé | Ce que cela garantit réellement | Ce que cela ne garantit pas |
|---|---|---|
| « Éditeur français » | Une société immatriculée en France, une équipe et un support en français | Rien sur l’hébergement ni sur l’actionnariat |
| « Hébergé en France » | La localisation physique des serveurs | L’immunité juridique : un hébergeur filiale d’un groupe non européen reste exposé |
| « Cloud souverain » | Données sous juridiction nationale, hors de portée des lois extraterritoriales | Un niveau de sécurité certifié, sauf qualification formelle |
| « Qualifié SecNumCloud » | Un référentiel de sécurité audité par l’ANSSI, incluant l’immunité extraterritoriale | La pertinence fonctionnelle de l’outil pour votre besoin |
Trois critères cumulatifs font la souveraineté : les serveurs doivent être physiquement situés en France ou dans l’Union européenne ; la société qui les opère doit être de droit français ou européen, sans maison mère soumise à une législation extraterritoriale ; et les données ne doivent pas transiter par des infrastructures hors UE. Il suffit qu’un seul manque pour que la garantie tombe.
Pourquoi la souveraineté est devenue un critère d’achat en 2026
Trois mouvements convergent, et aucun n’est de nature idéologique.
Le contenu des données RSE a changé de nature. Un outil de reporting extra-financier ingère aujourd’hui des données sociales nominatives, des données comptables, des données fournisseurs et des données d’accidentologie. Ce n’est plus un tableau d’indicateurs environnementaux : c’est une base qui touche au cœur social et financier de l’entreprise.
La chaîne de sous-traitance est devenue auditable. D’après l’EFRAG, 67 % des banques et grands groupes s’appuient déjà sur le référentiel VSME pour collecter les données de leurs fournisseurs (décembre 2025), et 43 % des entreprises concernées l’appliquent déjà. Quand votre client vous audite, il regarde aussi vos propres sous-traitants — y compris logiciels.
Le cadre réglementaire se stabilise. La directive Omnibus I, adoptée le 18 mars 2026, relève les seuils de la CSRD à 1 000 salariés et 450 M€ de chiffre d’affaires, avec une transposition attendue en France au plus tard le 19 mars 2027. Les entreprises sorties du périmètre obligatoire restent sollicitées par leurs donneurs d’ordre : la donnée continue de circuler, mais dans un cadre contractuel plutôt que légal — ce qui déplace la responsabilité vers vos clauses, donc vers votre éditeur.
Cloud Act, RGPD, SecNumCloud : ce que chaque terme engage pour vous
Le CLOUD Act : pourquoi héberger en France ne suffit pas
Le CLOUD Act américain permet aux autorités des États-Unis d’exiger d’une entreprise soumise au droit américain la communication de données qu’elle détient ou contrôle, quel que soit le pays où ces données sont stockées. Le critère est le rattachement juridique de l’opérateur, pas la géographie du serveur. Une filiale française d’un groupe américain hébergeant à Paris reste dans le champ.
Le RGPD : nécessaire, mais pas suffisant
La conformité RGPD encadre le traitement des données personnelles et les transferts hors UE. Elle ne neutralise pas une injonction étrangère : elle crée une contradiction juridique dans laquelle l’éditeur — et vous, en tant que responsable de traitement — vous retrouvez. Un éditeur « conforme RGPD » n’est pas, de ce seul fait, souverain.
SecNumCloud : le référentiel le plus exigeant
Créée en 2015 par l’ANSSI, la qualification SecNumCloud impose à la fois un niveau de sécurité technique audité et l’immunité aux lois extraterritoriales. C’est la référence pour les administrations et les opérateurs sensibles. Elle a un coût : les offres souveraines qualifiées se situent généralement 30 à 50 % au-dessus d’un service équivalent non qualifié, en raison du périmètre géographique restreint et des audits imposés.
Pour la plupart des PME et ETI, l’exigence réaliste n’est pas SecNumCloud mais la combinaison des trois critères cumulatifs cités plus haut, vérifiée contractuellement.
Les 8 questions à poser à un éditeur avant de signer
À poser par écrit, et à faire figurer en annexe du contrat.
- Où sont physiquement hébergées les données, et chez quel hébergeur ? Demandez le nom, pas le pays.
- Quelle est la structure capitalistique de l’éditeur et de l’hébergeur ? Une maison mère hors UE annule la garantie géographique.
- Les données transitent-elles hors UE à un moment quelconque ? Sauvegardes, supervision, support de nuit, CDN : c’est souvent là que la chaîne se rompt.
- Quels sous-traitants ont accès aux données ? Exigez la liste à jour et la clause de notification en cas de changement.
- Où s’exécutent les traitements d’intelligence artificielle ? Un outil hébergé en France qui appelle une API de modèle étranger exporte vos documents à chaque analyse.
- Le modèle est-il entraîné sur vos données ? La réponse doit être contractuelle, pas commerciale.
- Quelles sont les modalités de réversibilité ? Format d’export, délai, coût, durée de conservation après résiliation.
- Quelles certifications l’éditeur ou son hébergeur détient-il ? ISO 27001, HDS, SecNumCloud : demandez le certificat et son périmètre, pas le logo.
Ces huit points s’intègrent naturellement dans un cahier des charges de logiciel RSE, aux côtés des critères fonctionnels.
Ce que la souveraineté ne règle pas
C’est le point que les directions générales sous-estiment le plus souvent : un logiciel souverain mal choisi reste un mauvais choix.
- La couverture fonctionnelle. La nationalité d’un éditeur ne dit rien de sa capacité à traiter l’ISO 45001, un questionnaire EcoVadis ou un rapport VSME dans le même outil.
- L’adhésion des équipes. Le premier concurrent d’un logiciel RSE reste le fichier Excel maison que la personne en poste maîtrise.
- La qualité de la donnée. Un outil souverain alimenté à la main produit les mêmes approximations qu’un outil étranger alimenté à la main.
- Le coût total. Migration, paramétrage et temps interne pèsent souvent plus lourd que l’abonnement.
La souveraineté est un critère éliminatoire — elle sort des candidats — mais elle ne classe pas ceux qui restent. Pour l’étape suivante, voir notre comparatif des logiciels RSE et notre analyse sectoriel ou généraliste.
Le cas particulier de l’IA embarquée
C’est le trou dans la raquette de la plupart des appels d’offres rédigés avant 2025. Un éditeur peut héberger sa base en France en toute bonne foi, et confier l’analyse documentaire à un modèle opéré hors UE. Chaque fois qu’un utilisateur dépose un bilan social, une fiche de sécurité ou un FEC, le document part.
La question 5 de la liste ci-dessus n’est donc pas un détail technique : c’est souvent la seule brèche réelle dans une architecture par ailleurs correcte. Exigez de savoir quel modèle est utilisé, où il s’exécute, et ce qu’il conserve.
Exemple : une ETI industrielle de 600 salariés
Contexte fréquent : quatre sites, une certification ISO 9001 et ISO 14001 à maintenir, un donneur d’ordre du secteur défense qui impose une clause de localisation des données, et une évaluation EcoVadis à renouveler.
La démarche qui fonctionne tient en trois temps. D’abord, écrire la contrainte de souveraineté comme un prérequis éliminatoire dans la consultation — pas comme un critère pondéré, sinon elle se négocie. Ensuite, comparer les candidats restants sur la couverture multi-référentiel, seul moyen d’éviter d’acheter trois outils. Enfin, faire porter la démonstration sur vos propres fichiers plutôt que sur un jeu de démo : c’est là que se révèlent les limites d’ingérence des données existantes.
Wipro Lauak, dans l’aéronautique, pilote ainsi 9 sites et 4 référentiels depuis une seule plateforme — l’ordre de grandeur à viser pour une ETI multi-sites.
Comment Intersektion vous aide
Intersektion est un éditeur français, autofinancé depuis sa création, avec un hébergement en France et une conformité RGPD. L’IA qui lit vos documents et préremplit vos indicateurs a été développée en interne : vos fichiers comptables et sociaux ne sont pas envoyés à un modèle tiers pour être analysés.
Au-delà de la question souveraine, la plateforme répond au critère qui classe réellement les candidats : une saisie unique alimente la RSE, les référentiels ISO 9001, 14001, 45001, 50001 et 20121, EcoVadis, le VSME, la CSRD et le bilan carbone. C’est le point détaillé sur notre page logiciel RSE, et pour le volet reporting de durabilité sur notre page CSRD.
Pour situer votre niveau avant même de comparer des outils, le diagnostic ESG gratuit donne une première photographie à partir de vos données existantes.
Questions fréquentes
Qu’est-ce qu’un logiciel RSE français ?
Un logiciel RSE français réunit trois conditions cumulatives : des serveurs situés en France ou dans l’Union européenne, une société éditrice de droit français ou européen sans maison mère soumise à une législation extraterritoriale, et des données qui ne transitent pas hors UE. La seule mention « éditeur français » ne garantit aucune des deux autres conditions.
Héberger ses données en France suffit-il à être souverain ?
Non. Le CLOUD Act américain s’applique à l’entreprise qui opère le service selon son rattachement juridique, pas selon la localisation des serveurs. Une filiale française d’un groupe soumis au droit américain peut se voir enjoindre de communiquer des données hébergées à Paris.
Le RGPD protège-t-il contre le CLOUD Act ?
Le RGPD encadre les traitements et les transferts de données personnelles, mais il ne neutralise pas une injonction étrangère. Il place l’éditeur dans une contradiction juridique plutôt qu’il ne l’en protège. La souveraineté se traite par l’architecture et le rattachement juridique, pas par la seule conformité RGPD.
Faut-il exiger la qualification SecNumCloud pour un logiciel RSE ?
Rarement. SecNumCloud, délivrée par l’ANSSI, est calibrée pour les administrations et les opérateurs sensibles, et renchérit le service de 30 à 50 % environ. Pour une PME ou une ETI, vérifier contractuellement les trois critères de souveraineté et la localisation des traitements d’IA couvre l’essentiel du risque.
Comment vérifier où s’exécute l’IA d’un logiciel RSE ?
Demandez par écrit quel modèle est utilisé, qui l’opère, dans quel pays il s’exécute, et si les contenus soumis sont conservés ou utilisés pour l’entraînement. Un éditeur qui développe son modèle en interne répond en une phrase ; un éditeur qui appelle une API tierce a besoin de vérifier — c’est déjà une information.
La souveraineté coûte-t-elle plus cher ?
Au niveau de l’infrastructure qualifiée, oui : on observe généralement un surcoût de 30 à 50 % pour des services équivalents, lié au périmètre géographique restreint et aux audits imposés. Au niveau d’un logiciel RSE, l’écart de prix tient beaucoup plus à la couverture fonctionnelle et au nombre d’utilisateurs qu’à la localisation de l’hébergement.
Ce qu’il faut retenir
La souveraineté mérite d’être traitée comme un prérequis éliminatoire, vérifié par écrit sur trois points — hébergement, rattachement juridique, localisation des traitements d’IA — puis mise de côté pour comparer ce qui fera vraiment la différence au quotidien : la couverture multi-référentiel et le temps que l’outil vous fait gagner.
Vous êtes en train de cadrer une consultation ? Échangeons : nous pouvons répondre point par point à la grille ci-dessus et vous montrer la plateforme sur vos propres fichiers.
