Quand le régulateur devient un acteur : antitrust, droit des données et règles IA redessinent le SaaS

En 2023, Microsoft a commencé à vendre Teams séparément de Microsoft 365 en Europe, puis dans le monde entier, en baissant son prix et en dégroupant un produit inclus gratuitement depuis 2017. Ce n'était pas un virage stratégique. C'était une injonction réglementaire. Le Digital Markets Act (DMA) de l'UE, une loi de 2022 qui impose des obligations spécifiques aux grandes plateformes technologiques dites « gatekeepers », a forcé la main de Microsoft après qu'une plainte de Slack en 2020 a déclenché une enquête antitrust.

Ce seul dégroupage a déplacé de véritables parts de marché. Des rivaux comme Slack, Zoom et Google Chat se retrouvent soudain à armes plus égales en Europe. C'est l'idée centrale de cette leçon : les régulateurs ne sont pas des arbitres extérieurs au marché du SaaS (Software as a Service) guettant les fautes. Ce sont des acteurs à part entière qui redessinent qui concurrence qui, et à quelles conditions.

Le régulateur comme cinquième force

Dans la plupart des analyses concurrentielles, vous cartographiez les acteurs installés, les challengers, les fournisseurs et les distributeurs. Dans le SaaS d'aujourd'hui, il faut une cinquième catégorie : les régulateurs, capables de modifier unilatéralement la structure du marché.

Trois instances comptent le plus à l'échelle mondiale actuellement :

• La Commission européenne, qui applique le DMA et le RGPDRGPDRèglement de l'UE encadrant la collecte, le stockage et l'usage des données personnelles, avec des amendes indexées sur le chiffre d'affaires mondial.Voir la définition complète → (Règlement général sur la protection des données, la loi européenne de 2018 sur la vie privée).
• La Federal Trade Commission (FTC) et le Department of Justice (DOJ) américains, qui poursuivent des affaires antitrust au titre du droit américain existant (il n'existe pas d'équivalent fédéral américain du DMA en 2026).
• Les autorités nationales de protection des données, comme la Data Protection Commission irlandaise (qui supervise l'essentiel des Big Tech américaines du fait de l'implantation de leur siège européen) et les régulateurs fédéraux et régionaux allemands.

Contrairement à un nouveau concurrent qui entre sur un marché, un régulateur peut agir sans construire de produit, lever des capitaux ni acquérir de clients. Il écrit une règle, et les acteurs installés doivent se restructurer autour. C'est un pouvoir d'une autre nature, et il change la façon dont ces acteurs planifient.

Cas 1 : le DMA et les obligations des gatekeepers

Le DMA désigne certaines grandes plateformes comme « gatekeepers » (entreprises qui contrôlent l'accès à des services numériques importants pour d'autres entreprises et pour les consommateurs) et leur impose des obligations directes. Les gatekeepers incluent actuellement Alphabet (Google), Amazon, Apple, ByteDance, Meta et Microsoft, selon les désignations de la Commission européenne.

Parmi les obligations des gatekeepers pertinentes pour le SaaS :

• Exigences d'interopérabilité : les gatekeepers doivent permettre à des services concurrents de s'interconnecter avec leurs plateformes centrales selon des modalités définies.
• Règles anti-bundling : le dégroupage de Teams en découle directement.
• Portabilité des données : les utilisateurs professionnels doivent pouvoir sortir facilement leurs données.
• Interdiction de l'auto-préférence : les gatekeepers ne peuvent pas classer leurs propres services devant ceux des concurrents dans la recherche ou les app stores.

L'effet pratique sur la dynamique concurrentielle du SaaS : un challenger comme Slack ne concurrence plus seulement sur le produit, il bénéficie aussi d'un vent réglementaire favorable face à l'avantage naturel de bundling de Microsoft. C'est la régulation qui redessine activement la carte concurrentielle, pas seulement qui sanctionne un comportement après coup.

Vous pouvez consulter les obligations réelles imposées aux gatekeepers sur la page DMA de la Commission européenne.

Cas 2 : le RGPD et la montée des fournisseurs cloud européens

Le RGPD, en vigueur depuis 2018, impose des règles strictes sur la manière dont les entreprises traitent les données personnelles des résidents de l'UE, notamment en matière de consentement, de minimisation des données et de transferts transfrontaliers.

Les règles sur les transferts transfrontaliers se sont révélées être une arme concurrentielle, intentionnellement ou non. Après l'arrarrL'Annual Recurring Revenue (ARR) est le revenu normalisé et prévisible qu'une entreprise par abonnement attend de ses contrats actifs sur une année.Voir la définition complète →êt *Schrems II* de la Cour de justice de l'UE en 2020, transférer des données personnelles européennes vers des fournisseurs cloud américains est devenu juridiquement périlleux, le droit américain de la surveillance ayant été jugé incompatible avec les protections européennes. Cela a crcrLe pourcentage de visiteurs ou de prospects qui réalisent une action attendue (achat, inscription, formulaire de contact), calculé en divisant les conversions par le nombre total d'opportunités.Voir la définition complète →éé un risque juridique réel pour les entreprises européennes utilisant AWS, Azure ou Google Cloud pour des données réglementées.

Résultat : une catégorie « cloud souverain » a émergé. Des fournisseurs comme OVHcloud (France), les services cloud de Deutsche Telekom, ainsi que les offres « souveraines » localisées dans l'UE de Microsoft et d'AWS, commercialisent tous la résidence des donnéesrésidence des donnéesL'exigence de stocker et traiter les données physiquement dans un pays ou une région précise, souvent pour des raisons légales ou contractuelles.Voir la définition complète → et la juridiction applicable comme caractéristiques centrales, pas comme des détails. Les gouvernements français et allemand ont aussi orienté les marchés publics vers des fournisseurs européens en partie pour cette raison.

C'est un deuxième mécanisme par lequel la régulation redessine la concurrence : non pas en démantelant le produit d'un acteur installé, mais en transformant la géographie et la juridiction en caractéristique produit, ce qui comptait bien moins auparavant.

Comment cela modifie les rapports de force le long de la chaîne de valeur

Regardez qui gagne et qui perd du levier quand la régulation intervient :

Notez le point sur le coût de conformité : construire une infrastructure conforme au RGPD ou au DMA coûte cher. Les grands acteurs installés absorbent ce coût plus facilement que les petits challengers, ce qui signifie que la régulation, tout en visant à limiter le pouvoir des dominants, peut aussi relever les barrières à l'entrée pour ceux-là mêmes qu'elle cherche à aider. C'est une vraie tension, pas une note de bas de page.

La prochaine frontière : l'AI Act européen

L'AI Act européen, entré en vigueur en 2024 avec des obligations qui s'échelonnent jusqu'en 2026 et au-delà, classe les systèmes d'IA par niveau de risque et impose des obligations en conséquence (exigences de transparence pour les modèles d'IA à usage général, règles plus strictes pour les usages « à haut risque » comme le recrutement ou le scoring de crédit).

Pour les éditeurs SaaS qui intègrent des fonctionnalités d'IA (soit, en 2026, à peu près tous), cela signifie :

• Des obligations de documentation et de transparence pour les modèles de fondation utilisés dans les produits (pertinent pour des fournisseurs comme OpenAI, Anthropic, Mistral, et pour toute entreprise SaaS bâtie par-dessus).
• Des coûts de conformité qui, là encore, passent mieux à l'échelle chez les grands acteurs.
• Une possible répétition du schémamaUtiliser un logiciel pour automatiser les tâches et campagnes marketing répétitives, afin de personnaliser à grande échelle sur des canaux comme l'email, le web et le social.Voir la définition complète → du cloud souverain : des fournisseurs d'IA européens (Mistral AI, Aleph Alpha) commercialisant une IA basée dans l'UE et conforme à l'UE comme différenciateur face aux fournisseurs américains de modèles de fondation.

Surveillez ce terrain de près sur 2026-2027 : c'est le schéma DMA/RGPD qui se rejoue, en temps réel, sur une nouvelle couche de la stack.

Lire l'échiquier réglementaire comme une compétence stratégique

Pour quiconque évalue la position concurrentielle d'une entreprise SaaS, trois questions s'ajoutent désormais aux questions habituelles de produit et de marché :

1. Cette entreprise est-elle un « gatekeeper » ou concurrence-t-elle un gatekeeper ? Ce statut à lui seul annonce des obligations ou des avantages futurs.
2. Quelle est l'exposition de son architecture de données au risque de transfert type RGPD ? Cela affecte directement les cycles de vente entreprise dans l'UE.
3. La régulation crée-t-elle ici un moat ou en supprime-t-elle un ? Les coûts de conformité coupent des deux côtés : ils limitent le pouvoir de bundling des dominants mais relèvent aussi la barre pour les challengers.

Une ressource publique utile pour suivre les actions d'application en temps réel est le registre des affaires de concurrence de la Commission européenne, qui liste les enquêtes DMA et antitrust en cours contre des entreprises nommément désignées.

Points clés

• Les régulateurs redessinent désormais activement la structure concurrentielle du SaaS, au lieu de simplement la surveiller après coup : le dégroupage de Teams par Microsoft sous le DMA est un exemple direct et traçable d'une loi qui modifie les dynamiques de parts de marché.
• Les règles du RGPD sur les transferts transfrontaliers, surtout après l'arrêt *Schrems II*, ont créé une véritable ouverture commerciale pour les fournisseurs européens de « cloud souverain » comme OVHcloud, transformant la juridiction applicable en caractéristique produit.
• La régulation redistribue le pouvoir de façon inégale : les challengers gagnent souvent un accès imposé ou des droits de portabilité, mais les coûts de conformité peuvent simultanément favoriser les grands acteurs installés, mieux armés pour les absorber.
• L'AI Act européen va probablement rejouer ce schéma sur la couche IA du SaaS jusqu'en 2026 et au-delà, avec des règles de transparence et de classification des risques qui créent à la fois de nouveaux coûts et de nouvelles opportunités de marché pour l'IA souveraine.
• Quand vous évaluez la position concurrentielle d'une entreprise SaaS, traitez le « statut de gatekeeper », l'« exposition aux transferts de données » et l'« asymétrie des coûts de conformité » comme des variables stratégiques centrales, pas comme des notes juridiques.