Data Act : changer de cloud sans frais dès janvier 2027

À partir du 12 janvier 2027, les fournisseurs de cloud n’auront plus le droit de facturer à un client son changement de fournisseur : ni frais de changement, ni frais de sortie des données (UE · Data Act, règlement (UE) 2023/2854, article 29). Depuis le 11 janvier 2024, ces frais devaient déjà être limités aux coûts que le fournisseur supporte directement pour ce changement. Applicable depuis le 12 septembre 2025, le Data Act fixe aussi le tempo d’un départ : deux mois de préavis au plus, puis trente jours de transition.

La gratuité est la mesure la plus visible, pas la plus décisive. Une organisation qui n’a jamais testé sa sortie ne partira pas plus vite parce qu’elle ne paie plus. Le Data Act supprime le péage de sortie, pas la dépendance technique.

Ce qui est déjà acté

• Application (UE · Data Act) : le règlement s’applique depuis le 12 septembre 2025 à tous les services de traitement de données, qu’il s’agisse d’infrastructure (IaaS), de plateforme (PaaS) ou de logiciel (SaaS).
• Frais (UE · Data Act, article 29) : limités depuis le 11 janvier 2024 aux coûts directement liés au changement, supprimés à partir du 12 janvier 2027. Exception : en cas d’usage simultané de plusieurs clouds, la sortie de données peut encore être facturée au coût (article 34).
• Délais (UE · Data Act, article 25) : préavis de deux mois au plus, transition de trente jours que le client peut allonger une fois. Le fournisseur ne peut imposer une transition plus longue, de sept mois au plus, que s’il justifie, dans les quatorze jours ouvrables suivant la demande, que trente jours sont techniquement impossibles.
• Exigences techniques (UE · Data Act, article 30) : interfaces ouvertes et export dans un format courant et lisible par machine pour le PaaS et le SaaS ; « équivalence fonctionnelle » pour l’IaaS, c’est-à-dire des résultats comparables chez le nouveau fournisseur.
• Clauses types (UE · Commission européenne) : le 19 novembre 2025, la Commission a recommandé six clauses contractuelles types non contraignantes pour les contrats cloud, notamment sur le changement et la sortie, la résiliation et la responsabilité.
• Objets connectés (UE · Data Act, articles 3 et 50) : les produits mis sur le marché après le 12 septembre 2026 doivent être conçus pour que l’utilisateur accède à ses données par défaut, facilement et gratuitement, et directement lorsque c’est pertinent et techniquement possible.

Ce qui reste en cours

• L’omnibus numérique (UE · Conseil de l’UE) : dans son mandat de négociation du 21 octobre 2026, le Conseil dispenserait de la plupart des règles de changement les services sur mesure et ceux fournis par des PME ou des petites entreprises de taille intermédiaire, pour les contrats conclus au plus tard le 12 septembre 2025. L’IaaS et la règle sur les frais restent exclus de ces dispenses. Le Parlement européen n’a pas encore arrêté sa position.
• Les pénalités de résiliation (UE · Conseil de l’UE) : le même texte inscrirait dans l’article 31 des pénalités « proportionnées » de résiliation anticipée dans les contrats à durée déterminée, que seul un considérant du Data Act admet aujourd’hui.
• Le dépôt européen des normes d’interopérabilité (UE · Commission européenne, article 35) : il suppose un acte d’exécution ; la FAQ de la Commission, mise à jour en janvier 2026, le présente encore comme une étape à venir.
• La fusion des textes (UE · Commission européenne) : l’omnibus intégrerait au Data Act le Data Governance Act et la directive sur les données ouvertes.

Le vrai enjeu : la sortie se prépare avant la signature

Les frais de sortie étaient l’obstacle le plus visible au changement de fournisseur. Ce n’était pas le seul. Les vrais verrous sont ailleurs : bases de données gérées, services d’identité, outils d’IA propres à un fournisseur, configurations accumulées, compétences des équipes.

Le Data Act n’y répond que partiellement. L’équivalence fonctionnelle ne s’impose qu’à l’IaaS. Pour le PaaS et le SaaS, le fournisseur doit fournir des interfaces ouvertes et exporter les données, pas reproduire le comportement de son application. Un client SaaS récupère ses données, pas son outil.

La fenêtre est courte : trente jours de transition par défaut, sept mois au plus si le fournisseur justifie une impossibilité technique. C’est assez pour exécuter un plan, pas pour l’inventer. Le contrat doit lister de façon exhaustive les données et actifs numériques transférables, et prévoir une période de récupération d’au moins trente jours après la transition (article 25). Un contrat qui ne liste pas ce qui part avec vous ne vous aidera pas à partir.

Trois points de vigilance

1. Le multicloud reste payant. La gratuité vise le changement de fournisseur. Si vous utilisez deux clouds en parallèle, les flux de données entre eux peuvent encore être facturés au coût après le 12 janvier 2027, selon la Commission (UE · Commission européenne).

2. Les contrats anciens et sur mesure. L’article 31 allège déjà les obligations pour les services conçus sur mesure et les versions de test. L’omnibus pourrait étendre des dispenses, hors IaaS, aux contrats conclus au plus tard le 12 septembre 2025. Vérifiez la date de signature de chaque contrat.

3. Les engagements de consommation. Les pénalités de résiliation anticipée ne comptent pas parmi les frais de changement : le Data Act les admet si elles sont proportionnées (considérant 89) et impose seulement d’en informer le client avant la signature (article 29). La position du Conseil les inscrirait dans le texte même. Les remises consenties contre un engagement pluriannuel peuvent donc se payer à la sortie. Lisez ces clauses avant de vous engager.

Ce que les DSI et les acheteurs doivent faire

1. Inventorier les contrats cloud : fournisseur, modèle (IaaS, PaaS, SaaS), date de signature avant ou après le 12 septembre 2025, durée, engagements de consommation.
2. Vérifier les clauses de changement : préavis, transition, liste des données et actifs exportables, période de récupération des données.
3. Exiger le détail des frais de sortie facturés jusqu’au 12 janvier 2027, puis leur suppression écrite à cette date.
4. Intégrer les clauses types de la Commission du 19 novembre 2025 dans vos prochains appels d’offres.
5. Tester une sortie à blanc sur un périmètre limité : export, réimport, durée réelle, fonctions perdues.
6. Cartographier les services propriétaires (bases gérées, identités, services d’IA) et décider lesquels accepter en connaissance de cause.

Le droit de partir ne vaut que si l’on sait partir.

La question à poser lundi matin

À votre DSI : « Si nous devions quitter notre principal fournisseur cloud le 12 janvier 2027, combien de jours et quelles fonctions nous faudrait-il pour le faire ? »