Le zombie technologique : comment éviter le piège du SaaS lock-in

Quand votre stack technologique vous survit

Imaginez une DSI qui, au moment de renouveler son contrat avec un éditeur SaaS, découvre que trois ans de données métier sont stockées dans un format propriétaire non documenté. Que les workflows construits sur la plateforme ne peuvent pas être exportés. Que l'intégration avec les nouveaux agents IA déployés par l'entreprise nécessite de passer obligatoirement par l'API payante de l'éditeur — avec une tarification qui a, entre-temps, triplé. Le projet de migration est estimé à dix-huit mois et plusieurs millions d'euros. La décision de "rester" s'impose d'elle-même, non pas par conviction, mais par épuisement.

Ce scénario, nous le croisons de plus en plus fréquemment dans nos missions chez SFEIR. Il a même un nom : le zombie technologique. Un outil que l'on n'oserait plus choisir aujourd'hui, mais dont on ne peut plus se défaire. Une plateforme qui continue de "fonctionner" en apparence, tout en consommant des ressources, en bloquant des initiatives et en fragilisant silencieusement la compétitivité de l'organisation.

Avec l'émergence de l'IA agentique — ce basculement que nous documentons dans nos Tech Trends 2026 — ce risque change de nature et d'échelle. Les dépendances ne portent plus seulement sur des données ou des processus : elles portent désormais sur des comportements, des décisions, des chaînes d'action autonomes. Il devient urgent de remettre la souveraineté au cœur de la stratégie technologique.

Le zombie technologique : anatomie d'un phénomène silencieux

Le terme est volontairement évocateur. Un zombie, dans la culture populaire, c'est quelque chose qui continue de se mouvoir alors que les conditions de sa vitalité ont disparu. En entreprise, le zombie technologique désigne tout système, plateforme ou outil SaaS qui perdure dans le SI non pas parce qu'il est le meilleur choix, mais parce que le coût perçu de son remplacement dépasse le coût perçu de sa conservation.

La naissance d'un zombie suit presque toujours le même schéma. Une adoption initiale rapide, souvent justifiée par une promesse de time-to-value court. Des intégrations construites en urgence, sans souci de portabilité. Une accumulation progressive de données, de configurations, de customisations. Et un jour, le verrouillage est total : les données ne sont pas exportables proprement, les APIs changent sans préavis, les tarifs augmentent, et personne dans l'équipe ne maîtrise plus l'outil en profondeur — seulement les prestataires certifiés de l'éditeur.

Le SaaS lock-in n'est pas un accident. C'est, pour beaucoup d'éditeurs, une feature, pas un bug. Les mécanismes de rétention sont soigneusement architecturés : formats propriétaires, intégrations exclusives, modèles de tarification basés sur le volume de données stockées, certifications propriétaires qui créent un marché captif de compétences.

Ce qui change en 2025-2026, c'est la vitesse à laquelle ces dépendances se forment. L'IA générative, puis l'IA agentique, offrent des promesses de valeur immédiate si séduisantes que les équipes adoptent des plateformes sans évaluer leur architecture de sortie. Et quand les agents IA commencent à orchestrer des processus critiques — validation de contrats, gestion de la relation client, pilotage de workflows opérationnels — le verrouillage devient existentiel.

L'IA agentique : amplificateur de dépendances ou levier de liberté ?

Dans notre rapport Tech Trends 2026, nous posons un constat sans ambiguïté : "nous vivons une rupture opérationnelle. L'IA générative ne se contente plus de 'discuter', elle agit." Le passage de l'ère du copilote à celle de l'IA agentique transforme fondamentalement la nature des risques de dépendance.

Prenons l'exemple de Claude Code, lancé en février 2025 et qui incarne parfaitement cette bascule. Contrairement à GitHub Copilot qui suggère du code, Claude Code agit comme un agent autonome : il exécute des tâches complexes, manipule des fichiers, interagit avec l'environnement de développement. Le développeur humain passe au rôle de superviseur et d'architecte. Cette évolution est déjà suivie par OpenAI Codex CLI, Gemini CLI, Mistral Code et d'autres.

Ce changement de paradigme a une implication directe sur le lock-in : quand un agent IA s'intègre profondément dans vos processus, il ne crée plus seulement une dépendance sur des données, mais sur des comportements. Sur la manière dont vos flux de décision sont encodés, vos règles métier exprimées, vos exceptions gérées. Migrer d'un agent IA propriétaire vers un autre, c'est potentiellement réapprendre à une organisation entière comment ses processus fonctionnent — parce que personne ne les a documentés : c'est l'agent qui les exécutait.

À l'inverse, bien pensée, l'IA agentique peut devenir un levier de liberté. Des agents construits sur des standards ouverts, interopérables, capables d'interagir avec des systèmes hétérogènes sans passer par un hub propriétaire, permettent au contraire de décloisonner le SI et de réduire les frictions de migration. La question n'est donc pas "faut-il adopter l'IA agentique ?" mais "comment l'adopter sans créer la dépendance de demain ?"

La Matrice Souveraineté Agentique : cartographier ses vulnérabilités

Face à ces risques, SFEIR et WEnvision ont développé un outil d'analyse stratégique : la Matrice Souveraineté Agentique. Son objectif est simple : permettre à une organisation de visualiser, pour chaque brique de son architecture IA et SaaS, son niveau de dépendance réelle et son exposition au lock-in.

La matrice positionne chaque composant selon deux axes :

• L'axe de criticité métier : dans quelle mesure ce composant est-il impliqué dans des décisions ou des processus à forte valeur ou à fort risque pour l'organisation ? Un agent qui gère des alertes de conformité réglementaire n'a pas le même poids qu'un bot de FAQ interne.
• L'axe de portabilité : dans quelle mesure peut-on, techniquement et contractuellement, extraire, remplacer ou répliquer ce composant sans dépendre de son fournisseur actuel ? Cela inclut la portabilité des données, des modèles, des configurations et des intégrations.

Le croisement de ces deux axes génère quatre quadrants :

• Zone verte (faible criticité, forte portabilité) : les outils que vous pouvez adopter librement, avec une gouvernance légère.
• Zone jaune (forte portabilité, forte criticité) : des composants critiques mais bien maîtrisés. À surveiller, mais pas à craindre.
• Zone orange (faible criticité, faible portabilité) : des dépendances acceptables dans l'immédiat, à adresser progressivement.
• Zone rouge (forte criticité, faible portabilité) : les zombies technologiques en devenir. C'est ici que se concentrent les risques stratégiques les plus élevés.

L'intérêt de cet outil ne réside pas uniquement dans la photographie de l'existant. Il sert surtout à évaluer les décisions futures avant qu'elles ne soient prises. Avant d'adopter une nouvelle plateforme d'orchestration d'agents IA, une nouvelle solution de RAG (Retrieval-Augmented Generation) ou un nouveau framework de workflow automatisé, positionner le composant dans la matrice permet d'anticiper les risques et de négocier les conditions contractuelles en conséquence.

Dans nos missions, nous constatons que la plupart des organisations ne disposent pas de cette cartographie. Elles ont une vision de leur architecture technique, mais rarement une vision de leur architecture de souveraineté — c'est-à-dire de leur capacité réelle à maîtriser, modifier et sortir de chaque composant de leur SI.

Design to Exit : penser la sortie avant l'entrée

Le Design to Exit est une philosophie de conception qui renverse l'ordre naturel des décisions technologiques. Plutôt que de choisir un outil pour ce qu'il fait aujourd'hui, on le choisit — ou on le construit — en pensant d'abord à la manière dont on pourra en sortir demain.

Ce principe peut sembler contre-intuitif dans un contexte d'adoption rapide de l'IA agentique, où la pression est forte d'aller vite et de montrer des résultats. Mais c'est précisément dans ces moments d'accélération que les dettes architecturales les plus coûteuses se contractent.

Concrètement, le Design to Exit se traduit par plusieurs pratiques :

• L'exigence de portabilité des données dès la négociation contractuelle : avant de signer avec un éditeur SaaS ou un fournisseur de plateforme IA, exiger un format d'export documenté, ouvert et régulièrement testé. Pas une promesse dans les CGU : un SLA de portabilité avec des pénalités.
• L'abstraction des intégrations critiques : ne jamais connecter directement vos systèmes internes à l'API propriétaire d'un fournisseur sans couche d'abstraction. Cette couche — qu'on peut appeler adapter, gateway ou anti-corruption layer dans le vocabulaire DDD — vous permet de changer de fournisseur sans réécrire tout le SI.
• La documentation des comportements agentiques : si un agent IA prend des décisions dans vos processus, ces décisions doivent être documentées, traçables et reproductibles indépendamment du fournisseur. Les règles métier ne doivent pas être enfouies dans une "boîte noire" propriétaire.
• Les revues de portabilité régulières : à l'image des revues de sécurité ou des audits de dette technique, instaurer des revues annuelles de la capacité de sortie de chaque composant critique. La Matrice Souveraineté Agentique est un outil idéal pour structurer ces revues.
• La diversification des fournisseurs pour les composants critiques : sur les briques les plus stratégiques — infrastructure de modèles IA, stockage de données sensibles, orchestration d'agents — maintenir une capacité opérationnelle sur au moins deux fournisseurs réduit considérablement le pouvoir de négociation des éditeurs.

Le Design to Exit ne signifie pas qu'on ne s'engage jamais profondément avec un fournisseur. Il signifie qu'on s'y engage en connaissance de cause, avec une vision claire de ce que cet engagement implique et des conditions dans lesquelles on pourrait en sortir.

L'entreprise conversationnelle face au lock-in : un enjeu de gouvernance

Dans notre vision de l'entreprise conversationnelle — celle où les interactions entre humains, systèmes et agents IA s'orchestrent de manière fluide pour créer de la valeur — la question du lock-in prend une dimension supplémentaire.

Une entreprise conversationnelle est, par nature, une organisation où les flux d'information et de décision sont distribués. Les agents IA ne sont plus des outils isolés mais des participants à part entière des processus. Ils "savent des choses" sur l'organisation, sur ses clients, sur ses règles métier. Cette connaissance distribuée est un actif considérable — à condition qu'elle reste la propriété de l'organisation et non celle de ses fournisseurs.

C'est pourquoi la gouvernance de l'IA agentique ne peut pas être uniquement une question technique. C'est une question de stratégie d'entreprise. Qui possède les données d'entraînement et de fine-tuning ? Qui contrôle les politiques de comportement des agents ? Si demain le fournisseur augmente ses prix ou disparaît, peut-on reproduire les comportements agentiques critiques sur une autre infrastructure ?

Ces questions rejoignent les préoccupations de souveraineté numérique qui agitent depuis plusieurs années les décideurs européens — et qui ont trouvé une résonance particulière dans des réglementations comme l'AI Act européen. La souveraineté n'est plus seulement une contrainte réglementaire : elle devient, comme nous l'écrivons dans nos Tech Trends 2026, "un avantage compétitif".

Les organisations qui maîtrisent leurs dépendances technologiques sont plus agiles dans leurs décisions, plus résilientes face aux disruptions de marché, et plus crédibles vis-à-vis de leurs clients et partenaires. À l'inverse, celles qui se retrouvent prisonnières de leurs stacks technologiques subissent les évolutions stratégiques de leurs fournisseurs plutôt que de les piloter.

Comment SFEIR accompagne ses clients sur ces enjeux

Chez SFEIR, nous avons fait le choix d'aborder la transformation IA non pas comme un projet technologique isolé, mais comme une transformation organisationnelle et stratégique. C'est pourquoi nous intégrons systématiquement les dimensions de souveraineté et de portabilité dans nos missions d'architecture et de conseil.

Concrètement, nos interventions sur le sujet du zombie technologique et du SaaS lock-in s'organisent autour de trois temps :

L'audit de souveraineté

Avant toute transformation, nous réalisons avec nos clients une cartographie de leur architecture de souveraineté. Nous utilisons la Matrice Souveraineté Agentique pour identifier les zones de dépendance critique, évaluer la portabilité réelle des composants existants et prioriser les risques. Cet audit est souvent révélateur : les organisations découvrent des dépendances dont elles n'avaient pas conscience, notamment sur des composants adoptés rapidement dans le sillage de l'IA générative.

La conception de l'architecture cible

Sur la base de cet audit, nos architectes — notamment au sein de nos équipes Cloud CTO et IA — conçoivent des architectures qui intègrent dès le départ les principes du Design to Exit. Cela implique de travailler sur les couches d'abstraction, les standards d'interopérabilité (comme les protocoles émergents d'orchestration d'agents), et les politiques de portabilité des données. L'objectif n'est pas de tout construire en interne : c'est de s'assurer que chaque composant propriétaire est encapsulé de manière à rester substituable.

L'accompagnement à la transformation organisationnelle

La dimension technique n'est qu'une partie du problème. Les zombies technologiques survivent aussi parce que les organisations n'ont pas les compétences ou les processus pour les identifier et les traiter. Nous travaillons donc sur la montée en compétences des équipes — en conduite du changement, en gouvernance IA, en négociation contractuelle avec les éditeurs — et sur la mise en place de rituels de revue de souveraineté. Comme le souligne notre rapport 2026, l'émergence des outils agentiques comme Claude Code ou Gemini CLI demande "des efforts en conduite du changement" : cette dimension humaine et organisationnelle est indissociable de la transformation technique.

Vers une posture proactive : les questions à se poser dès aujourd'hui

Pour conclure, nous vous proposons un questionnaire de diagnostic rapide. Si vous répondez "non" ou "je ne sais pas" à plusieurs de ces questions, votre organisation est probablement exposée au risque de zombie technologique :

• Portabilité des données : pouvez-vous exporter, dans un format ouvert et documenté, l'ensemble des données stockées dans vos principales plateformes SaaS en moins de 48 heures ?
• Comportements agentiques : pour chaque agent IA déployé en production, disposez-vous d'une documentation des règles métier qu'il applique, indépendamment de son fournisseur ?
• Abstraction des intégrations : vos systèmes critiques sont-ils connectés aux APIs propriétaires de vos fournisseurs via des couches d'abstraction qui permettraient une substitution sans réécriture majeure ?
• Clauses contractuelles : vos contrats SaaS incluent-ils des SLA de portabilité, des clauses de réversibilité et une limitation explicite de l'utilisation de vos données à des fins d'entraînement de modèles tiers ?
• Revue de souveraineté : avez-vous réalisé, au cours des douze derniers mois, un audit de la portabilité de vos composants technologiques critiques ?
• Plan de sortie : pour vos trois principales plateformes SaaS, avez-vous un plan de migration documenté et estimé, même à titre préventif ?

Ce questionnaire n'est pas exhaustif, mais il permet de prendre la mesure de sa vulnérabilité réelle. Dans notre expérience, la majorité des organisations ne peuvent répondre positivement qu'à une ou deux de ces questions — non par négligence, mais parce que ces dimensions ont longtemps été traitées comme secondaires face à la pression du déploiement rapide.

L'ère de l'IA agentique change la donne. Quand vos processus métier les plus critiques sont orchestrés par des agents autonomes, la souveraineté sur ces agents — leur comportement, leurs données, leur architecture — devient un enjeu de premier ordre. Le zombie technologique de demain ne sera pas seulement un vieux CRM difficile à migrer. Ce sera un réseau d'agents qui "sait comment fonctionne votre entreprise" et que vous ne maîtrisez plus.

Chez SFEIR, nous croyons que l'innovation durable se construit sur des fondations maîtrisées. Adopter l'IA agentique avec ambition et adopter l'IA agentique avec souveraineté ne sont pas des objectifs contradictoires — à condition de les penser ensemble, dès le départ. C'est précisément cette conviction qui guide notre approche auprès de nos clients, et que nous partageons, comme chaque année, avec l'ensemble de notre écosystème.