Data Act : au 12 janvier 2027, quitter votre fournisseur cloud devient gratuit (ce qui vous retient vraiment, ce n'est pas la facture)

Dans trois mois, partir de votre logiciel cloud ne pourra plus vous être facturé

Quand nous demandons à un dirigeant pourquoi il garde un logiciel dont toute son équipe se plaint, nous entendons presque toujours la même réponse : « On ne peut pas partir, toutes nos données sont chez eux. »

Le 12 janvier 2027, une partie de cette réponse cesse d'être vraie. L'article 29 du règlement (UE) 2023/2854, dit Data Act, est sans détour : à compter de cette date, les fournisseurs de services de traitement de données « ne peuvent imposer aucun frais de changement de fournisseur au client pour le processus de changement de fournisseur ». Plus de frais de transfert des données, plus de facturation de l'assistance à la migration. Pour l'infrastructure, pour les plateformes et, c'est le point que la plupart des PME ratent, pour le logiciel en SaaS.

Le sujet n'a rien d'anecdotique. Selon Eurostat, 40,4 % des entreprises françaises de 10 salariés et plus payaient des services cloud en 2025, contre 26,8 % en 2023 : l'une des plus fortes progressions d'Europe. Votre CRM, votre logiciel de facturation, votre outil RH, votre ERP en ligne : vos données d'exploitation vivent de plus en plus chez quelqu'un d'autre.

Mais nous allons vous dire tout de suite ce que la plupart des articles sur le sujet ne disent pas : la facture de sortie n'a jamais été le vrai verrou. Elle en était la partie visible. Ce qui vous retient vraiment survivra au 12 janvier, et c'est là-dessus que se jouent les trois prochains mois.

Ce que dit vraiment le Data Act sur le changement de fournisseur

Le Data Act est applicable depuis le 12 septembre 2025. Son chapitre VI, consacré au « changement de services de traitement de données », vise tout service numérique qui donne un accès à la demande à des ressources informatiques partagées, modulables et rapidement mobilisables. Le considérant 81 le dit en toutes lettres : cela couvre l'IaaS, le PaaS et le SaaS. Si vous payez un abonnement pour un logiciel accessible par navigateur, vous êtes très probablement un « client » au sens du texte.

L'article 23 pose le principe : le fournisseur ne peut pas dresser d'obstacles, qu'ils soient précommerciaux, commerciaux, techniques, contractuels ou organisationnels, à votre départ, et il doit supprimer ceux qui existent. L'article 25 traduit ce principe en clauses obligatoires dans votre contrat :

• •Un préavis de deux mois maximum pour lancer le changement de fournisseur.
• •Une période de transition de trente jours calendaires au-delà de ce préavis, pendant laquelle le service continue de fonctionner et le fournisseur vous assiste. S'il est techniquement impossible de tenir ce délai, il doit le justifier sous quatorze jours ouvrables et proposer une autre période, plafonnée à sept mois. Vous pouvez, de votre côté, prolonger la transition une fois.
• •Une liste exhaustive des données et actifs numériques exportables, précisée dans le contrat.
• •Au moins trente jours pour récupérer vos données après la fin de la transition.
• •L'effacement intégral de vos données chez l'ancien fournisseur une fois le changement réussi.

Viennent ensuite les obligations d'information et les obligations techniques. L'article 26 impose au fournisseur de vous indiquer les méthodes et formats de portage disponibles, et de tenir un registre en ligne de ses structures et formats de données. L'article 30 oblige les fournisseurs de SaaS et de PaaS à mettre gratuitement à disposition des interfaces ouvertes permettant la portabilité. Et tant qu'aucune norme d'interopérabilité n'a été publiée pour le type de service concerné, le fournisseur doit vous exporter toutes vos données exportables « dans un format structuré, couramment utilisé et lisible par machine ».

Point important : le chapitre VI ne prévoit aucun régime transitoire pour les contrats en cours. L'article 50 ne diffère l'application aux contrats anciens que pour le chapitre IV, consacré aux clauses abusives entre entreprises. Les règles de changement de fournisseur s'appliquent donc aussi aux contrats signés avant le 12 septembre 2025.

Reste la question de l'argent, réglée en deux temps par l'article 29, avec un cas particulier à l'article 34 :

En France, la loi SREN du 21 mai 2024 a pris un peu d'avance : sur proposition de l'Arcep, un arrêté du 17 novembre 2025 a fixé à zéro euro le plafond des frais de transfert de données facturés lors d'un changement de fournisseur. Source : Arcep. Le 12 janvier, c'est l'ensemble des frais de changement, et plus seulement le transfert, qui disparaît, dans toute l'Union.

Êtes-vous concerné ? Deux positions, deux lectures

Le texte vous concerne de deux façons, qui ne se recouvrent pas.

Vous êtes client dès que vous payez un service cloud : SaaS de gestion, hébergement, stockage, base de données managée. C'est le cas de la quasi-totalité des PME, et c'est à vous que le Data Act donne des droits.

Vous êtes fournisseur dès que vous vendez à vos propres clients un logiciel accessible en ligne. Le chapitre VI ne contient aucune exemption générale pour les PME : une startup qui édite un SaaS de prise de rendez-vous est, en droit, dans la même catégorie qu'un hyperscaler. Les obligations techniques sont proportionnées à ce que vous faites, mais elles existent.

Ici, nous préférons être précis plutôt que rassurants, parce que le périmètre a des bornes qui changent tout :

Une précision sur l'actualité : le paquet « omnibus numérique » présenté par la Commission le 19 novembre 2025 propose d'alléger ces règles pour les fournisseurs PME et pour certains services sur mesure, sur les contrats conclus avant le 12 septembre 2025. C'est une proposition, toujours en discussion entre le Parlement et le Conseil, qui n'est pas le droit applicable aujourd'hui. Source : Commission européenne. Ne bâtissez pas votre calendrier dessus.

La preuve : quand l'Arcep a testé de vraies migrations

Ce qui nous fait dire que la facture n'est pas le vrai verrou, ce n'est pas une intuition de prestataire. Ce sont trois faits.

Premier fait : les géants ont déjà renoncé aux frais de sortie. Sous la pression du Data Act, Google Cloud a supprimé en janvier 2024 ses frais de sortie pour les clients qui quittent sa plateforme, suivi en mars 2024 par AWS puis Microsoft Azure. Source : TechCrunch. Ces annonces n'ont pas pour autant fait du changement de fournisseur une formalité : la gratuité était assortie de conditions, comme la résiliation du compte ou une demande préalable au support, et surtout, elle ne réglait que la partie la plus simple du problème.

Deuxième fait : l'Autorité de la concurrence l'avait anticipé. Dans son avis 23-A-08 du 29 juin 2023 sur le cloud, elle identifiait les frais de sortie et les crédits cloud comme des risques concurrentiels transversaux. Mais elle analysait aussi les difficultés propres à la migration d'un fournisseur à l'autre, qui ne relèvent pas de la tarification.

Troisième fait, le plus parlant : l'Arcep a testé. Avec le PEReN, le pôle d'expertise de la régulation numérique de l'État, elle a fait migrer des machines virtuelles en 2024, puis des services d'IA en 2025, entre fournisseurs. Conclusion : la migration reste techniquement faisable dans la plupart des cas, mais les problèmes récurrents tiennent à une documentation de portabilité absente ou incomplète et à la complexité de la gestion des identités et des accès. Source : Arcep.

Transposez ça à une PME. Votre vrai coût de sortie, ce n'est pas le transfert de quelques gigaoctets. C'est :

• •Le format. Un export « lisible par machine » peut très bien se résumer à quarante fichiers CSV, sans les relations qui les liaient, sans les pièces jointes, sans l'historique.
• •La logique métier. Vos automatisations, vos circuits de validation, vos modèles de documents, vos règles de calcul ne sont pas des « données ». Ils ont été configurés dans l'outil et y resteront.
• •Les intégrations. Chaque connexion à votre comptabilité, votre banque, votre site, votre messagerie est à reconstruire.
• •Les gens. Une équipe qui utilise un outil depuis cinq ans a construit ses habitudes dessus. C'est le coût le plus élevé, et le seul qu'aucun règlement ne supprimera.

L'article 30 le confirme d'ailleurs noir sur blanc : le fournisseur n'est pas tenu de développer de nouvelles technologies, ni de divulguer des actifs protégés par la propriété intellectuelle ou le secret des affaires. Le droit vous garantit vos données. Il ne vous garantit pas de pouvoir les faire revivre ailleurs.

Ce que vous risquez

Le Data Act ne fixe pas lui-même de barème : son article 40 laisse chaque État prévoir des sanctions « effectives, proportionnées et dissuasives ». En France, l'architecture est la suivante :

• •Le régime cloud de la loi SREN, déjà en vigueur. L'Arcep peut sanctionner un fournisseur qui méconnaît les règles sur les frais de transfert, la portabilité et l'interopérabilité jusqu'à 3 % du chiffre d'affaires hors taxes du dernier exercice clos, 5 % en cas de récidive. Les règles sur les crédits cloud, limités à un an et sans condition d'exclusivité, sont assorties d'une amende de 1 million d'euros, 2 millions en cas de récidive. Source : analyse du cabinet CMS.
• •Le régime Data Act, en cours d'adoption. Le projet de loi « DDADUE » désigne l'Arcep comme autorité compétente pour le Data Act, avec des pouvoirs d'enquête, de sanction et de règlement des différends. Adopté en première lecture par le Sénat le 18 février 2026, il poursuivait encore son examen à l'Assemblée nationale à l'été 2026. Source : Arcep.
• •Le règlement des différends. Pour une PME cliente, c'est le levier le plus concret : la loi SREN permet déjà de saisir l'Arcep d'un litige sur la facturation des frais de transfert, et le projet DDADUE étend ce pouvoir au Data Act. Un désaccord avec votre fournisseur ne commence pas forcément devant un tribunal.
• •Le risque commercial, pour les éditeurs. Un client qui découvre en janvier que votre contrat facture encore une « assistance à la migration », ou ne prévoit aucune procédure d'export, dispose désormais d'un argument juridique. Et, souvent, d'un concurrent qui l'attend.

L'angle que personne ne vous vend : une sortie facile fait rester

Tout ce qui précède peut se lire comme une mauvaise nouvelle pour les éditeurs. Nous pensons exactement l'inverse.

Si vous éditez un SaaS, vous avez peut-être compté, sans jamais le formuler, sur la difficulté de partir pour garder vos clients. Le Data Act vous retire cette béquille contractuelle. Mais nous avons décrit dans l'étude de cas sur l'adhérence d'un SaaS ce qui fait réellement rester un client : un outil qui épouse son métier mieux que n'importe quelle alternative. Un éditeur qui publie une procédure de sortie claire, une API documentée et un export complet envoie un signal que les acheteurs B2B savent lire : « nos clients restent parce qu'ils le veulent ». Dès janvier, la question entrera dans les grilles d'achat. Être prêt avant vos concurrents est un argument commercial.

Si vous êtes client, c'est le moment de reprendre la main sur votre pile logicielle. Pas pour tout migrer, car les migrations que nous déconseillons le plus sont celles qu'on lance par frustration, mais pour savoir ce que vous pourriez faire. Un abonnement qui grimpe chaque année, des fonctionnalités que vous contournez avec des tableurs, un outil générique sur lequel vous empilez des automatisations fragiles, un piège que nous avons détaillé à propos du no-code : c'est souvent le signe qu'un logiciel sur mesure deviendrait rentable. À une condition, sur laquelle nous revenons plus bas : que ce sur-mesure ne recrée pas exactement la dépendance que vous cherchiez à quitter.

Et si vous envisagez de développer votre propre SaaS, prévoyez l'export et l'API dès la conception. Les ajouter après coup coûte bien plus cher que de les intégrer au départ, exactement comme la sécurité dans le Cyber Resilience Act.

Les quatre idées fausses qui vont vous coûter cher

1. « Au 12 janvier, je pourrai partir gratuitement du jour au lendemain »

Non. Le Data Act supprime les frais de changement de fournisseur, pas votre contrat. Les frais d'abonnement standard restent dus jusqu'à son terme, et le considérant 89 admet expressément les pénalités de résiliation anticipée proportionnées dans un contrat à durée déterminée. Vous devrez aussi respecter un préavis, jusqu'à deux mois, puis une période de transition. Si votre contrat triennal court jusqu'en 2028, le 12 janvier ne vous libère pas : il rend simplement votre départ, le moment venu, non facturable en tant que tel.

2. « La loi m'oblige à récupérer mes données proprement »

Elle vous garantit vos données exportables, dans un format structuré, couramment utilisé et lisible par machine. Elle ne vous garantit ni que cet export sera directement exploitable par un autre outil, ni la récupération de ce qui relève du fonctionnement interne du service : le contrat peut exclure ces catégories lorsqu'il existe un risque pour les secrets d'affaires du fournisseur (article 25), et l'article 30 ne l'oblige pas à divulguer ce qui est protégé par la propriété intellectuelle. Votre paramétrage, vos circuits de validation, vos modèles se trouvent précisément dans cette zone grise. Le seul moyen de savoir, c'est de tester un export complet avant d'en avoir besoin.

3. « Ça ne concerne que AWS, Google et Microsoft »

C'est la confusion la plus répandue chez les petits éditeurs. Le chapitre VI vise tout « fournisseur de services de traitement de données », et le considérant 81 cite le SaaS. Le texte en vigueur ne prévoit aucune exemption générale pour les PME ; c'est justement ce que l'omnibus numérique propose d'ajouter, ce qui montre bien qu'elle n'existe pas aujourd'hui. Si vous vendez un abonnement à un logiciel en ligne, vous avez des obligations depuis le 12 septembre 2025, et l'interdiction des frais s'appliquera à vous le 12 janvier.

4. « Mon logiciel sur mesure est protégé de la même façon »

C'est l'inverse. L'article 31 écarte de plusieurs obligations, dont l'interdiction des frais de changement, les services conçus sur mesure pour un client particulier et non proposés à grande échelle sur catalogue. Autrement dit, plus votre outil est taillé pour vous, moins le Data Act vous protège à la sortie. Pour un logiciel sur mesure, la réversibilité ne viendra pas du règlement : elle doit être écrite dans votre contrat de développement, avec la propriété du code source, l'accès au dépôt, la documentation et un hébergement à votre nom. C'est un point que nous verrouillons systématiquement, et que vous devriez exiger de n'importe quel prestataire, à commencer par nous.

Votre plan en 4 étapes d'ici au 12 janvier

Étape 1 — Cartographiez vos dépendances cloud (semaine 1)

Listez chaque service cloud que vous payez : SaaS métier, hébergement, stockage, outils de signature, de paie, de messagerie. Pour chacun, notez cinq informations : la date de fin du contrat et sa règle de reconduction, le préavis, les données qu'il détient, les outils qui s'y connectent, et ce qui se passerait s'il s'arrêtait demain. Classez-les par criticité. Dans la plupart des PME que nous accompagnons, cet inventaire tient sur une page, et il révèle au moins un outil critique dont personne ne connaît la date de reconduction.

Étape 2 — Testez une vraie sortie sur votre outil le plus critique (semaines 2-3)

Demandez un export complet de l'outil le plus critique, comme si vous partiez. Vérifiez ce qui revient : les relations entre les données, les pièces jointes, l'historique, les utilisateurs, le paramétrage. Consultez les informations que le fournisseur doit publier sur ses procédures, ses formats de portage et ses frais (articles 26 et 29) ; leur absence est en soi une information. Cet exercice prend deux jours et vous dit, mieux que n'importe quel contrat, quel est votre véritable niveau de dépendance.

Étape 3 — Renégociez avant la prochaine reconduction (semaines 3-6)

Reprenez les contrats de vos outils critiques à la lumière de l'article 25 : préavis de changement de deux mois au plus, transition de trente jours, au moins trente jours pour récupérer vos données, liste des données exportables, effacement garanti. Exigez la suppression de toute ligne de frais de migration à compter du 12 janvier 2027. Pour vos logiciels sur mesure, qui échappent en partie au texte, faites inscrire la propriété du code, l'accès au dépôt et la documentation. Et calez ces discussions avant la date de reconduction tacite : c'est le seul moment où vous avez un vrai levier.

Étape 4 — Si vous éditez un SaaS, rendez votre sortie conforme (semaines 6-12)

Quatre chantiers. Un export complet de toutes les données exportables, dans un format structuré et lisible par machine, accessible sans intervention manuelle de votre équipe. Une API ouverte, gratuite et documentée : l'Arcep recommande une documentation au format OpenAPI et un préavis avant toute modification qui casse la compatibilité. Une page publique décrivant vos procédures de changement, vos formats et vos frais. Enfin, des conditions générales qui intègrent les clauses de l'article 25 et ne facturent plus aucun frais de changement à partir du 12 janvier 2027. Rien de tout cela n'est hors de portée d'une petite équipe ; cela ne devient coûteux que lorsqu'on le découvre en janvier.

Conclusion : la facture disparaît, la dépendance reste un choix

Le 12 janvier 2027 ne libérera personne par magie. Il retire au fournisseur le droit de vous faire payer votre départ : c'est un vrai progrès, et il faut s'en servir. Mais il laisse entier tout ce qui rend une migration difficile : la qualité de vos données, la logique métier enfermée dans un outil, les intégrations, les habitudes.

La bonne nouvelle, c'est que ces verrous-là se travaillent. Une PME qui sait ce qu'elle utilise, qui a testé ses exports et négocié ses contrats n'est pas prisonnière de ses logiciels : elle les choisit. Et un éditeur qui rend la sortie simple gagne la seule fidélité qui tienne, celle des clients qui pourraient partir et ne le font pas.

Comme pour NIS2 ou l'AI Act, la date est fixée, et les trois mois qui viennent passeront vite.

Vous voulez savoir si vous pouvez réellement quitter votre logiciel actuel, ou rendre votre SaaS conforme avant le 12 janvier ? Parlons-en : en 30 minutes, on fait le tour de vos dépendances, de ce que vos contrats permettent vraiment, et des deux ou trois chantiers à lancer en priorité.

Questions fréquentes

Qu'est-ce qui change le 12 janvier 2027 avec le Data Act ?

À compter du 12 janvier 2027, l'article 29 du règlement (UE) 2023/2854 interdit aux fournisseurs de services cloud d'imposer le moindre frais de changement de fournisseur à leurs clients, transfert des données compris. Jusqu'à cette date, ils peuvent encore facturer des frais réduits, plafonnés aux coûts directement liés à la migration. L'interdiction vaut pour l'IaaS, le PaaS et le SaaS, que vous partiez vers un autre fournisseur ou rapatriiez vos données sur vos propres serveurs. Elle ne supprime en revanche ni les frais d'abonnement standard dus jusqu'au terme du contrat, ni les pénalités de résiliation anticipée proportionnées d'un contrat à durée déterminée. En France, les frais de transfert de données lors d'un changement de fournisseur sont déjà plafonnés à zéro euro par un arrêté du 17 novembre 2025, pris sur proposition de l'Arcep.

Le Data Act s'applique-t-il aux logiciels en SaaS ?

Oui. Le chapitre VI du Data Act vise les « services de traitement de données », et son considérant 81 précise que cette notion couvre l'infrastructure (IaaS), la plateforme (PaaS) et le logiciel à la demande (SaaS). Un CRM, un logiciel de facturation, un ERP en ligne ou un outil RH vendu par abonnement sont donc concernés. Deux exceptions comptent : les services conçus sur mesure pour un client particulier et non proposés à grande échelle sur catalogue, qui échappent notamment à l'interdiction des frais de changement (article 31), et les versions d'essai non destinées à la production, fournies pour une durée limitée.

Puis-je résilier mon abonnement SaaS sans frais dès le 12 janvier 2027 ?

Pas forcément. Le Data Act supprime les frais facturés pour le processus de changement de fournisseur, pas les engagements de votre contrat. Les frais d'abonnement standard restent dus jusqu'à son terme, et un contrat à durée déterminée peut prévoir des pénalités de résiliation anticipée proportionnées. Le règlement impose en revanche que votre contrat prévoie un préavis de deux mois au maximum pour lancer le changement, une période de transition de trente jours pendant laquelle le service continue, au moins trente jours pour récupérer vos données, et leur effacement intégral une fois le changement réussi.

Mon contrat cloud signé avant septembre 2025 est-il concerné ?

Oui. Le Data Act est applicable depuis le 12 septembre 2025, et son article 50 ne reporte l'application aux contrats anciens que pour le chapitre IV, consacré aux clauses abusives entre entreprises. Le chapitre VI, qui organise le changement de fournisseur cloud, s'applique donc aussi aux contrats en cours. Le paquet omnibus numérique présenté par la Commission le 19 novembre 2025 propose d'alléger ces règles pour certains contrats anciens conclus avec des fournisseurs PME ou portant sur des services sur mesure, mais il s'agit d'une proposition encore en négociation, qui n'est pas le droit applicable.

Je suis une PME qui édite un SaaS : quelles sont mes obligations ?

Le chapitre VI du Data Act ne prévoit pas d'exemption générale pour les PME. En tant que fournisseur, vous devez supprimer les obstacles au départ de vos clients (article 23), intégrer dans vos contrats les clauses de changement de l'article 25, informer vos clients des procédures et formats de portage et tenir un registre en ligne de vos formats de données (article 26), mettre gratuitement à disposition des interfaces ouvertes permettant la portabilité (article 30), et cesser de facturer tout frais de changement de fournisseur à partir du 12 janvier 2027 (article 29). Tant qu'aucune norme d'interopérabilité n'est publiée pour votre type de service, vous devez exporter, à la demande du client, toutes ses données exportables dans un format structuré, couramment utilisé et lisible par machine.

Qui contrôle le respect du Data Act en France, et quelles sont les sanctions ?

L'Arcep. La loi SREN du 21 mai 2024 lui a déjà confié la régulation du cloud, avec un pouvoir de sanction pouvant atteindre 3 % du chiffre d'affaires hors taxes du dernier exercice clos, et 5 % en cas de récidive, pour les manquements aux règles sur les frais de transfert, la portabilité et l'interopérabilité. Le projet de loi DDADUE, adopté en première lecture par le Sénat le 18 février 2026, la désigne comme autorité compétente pour le Data Act, avec des pouvoirs d'enquête, de sanction et de règlement des différends. L'article 40 du règlement impose que les sanctions nationales soient effectives, proportionnées et dissuasives.