Développer votre propre outil RGPD en interne semble tentant : vous maîtrisez le code, vous évitez un abonnement, et avec un assistant IA comme Claude, écrire les premières fonctionnalités n'a jamais été aussi rapide. Pourtant, sur trois ans, le calcul penche presque toujours du côté de l'achat. La raison est simple : l'IA fait chuter le coût d'écriture du code, mais elle ne touche ni à la veille réglementaire, ni à la responsabilité juridique, ni à la maintenance, ni à la sécurisation. Or c'est là que se cache l'essentiel du coût total de possession. Voici le calcul détaillé, poste par poste.
Build ou buy : pourquoi l'IA relance la question
Depuis l'arrivée des assistants de code comme Claude, une question ressurgit dans les comités techniques : pourquoi payer un abonnement à un logiciel RGPD quand une petite équipe peut coder son propre registre des traitements en quelques semaines ? L'argument séduit une DSI ou un RSSI : le besoin paraît circonscrit (un registre au sens de l'article 30, un suivi des demandes de droits, quelques modèles d'AIPD au titre de l'article 35), et l'IA promet de diviser le temps de développement.
Le raisonnement est juste sur un point et faux sur un autre. Juste, parce que l'IA rend effectivement le prototypage bien moins cher. Faux, parce qu'un outil RGPD n'est pas un projet de développement : c'est un projet de conformité qui se maintient dans le temps. Et le temps, en matière de RGPD et d'AI Act, ne cesse de bouger.
Ce que l'IA fait baisser, et ce qu'elle ne touche pas
Pour trancher le build vs buy, il faut séparer deux natures de coût que l'IA traite très différemment.
Ce que l'IA fait réellement baisser :
- L'écriture du code : générer un formulaire, une API de gestion des demandes de droits ou un module de suivi se compte désormais en jours, et non plus en semaines.
- Le prototypage : produire une première maquette fonctionnelle pour convaincre en interne devient rapide et peu coûteux.
- La documentation technique : commentaires, tests unitaires et README se génèrent en partie automatiquement.
Ce que l'IA ne change pas :
- La veille réglementaire : chaque ligne directrice de l'EDPB, chaque sanction de la CNIL et chaque échéance de l'AI Act doit être analysée puis réintégrée dans l'outil.
- La responsabilité juridique : en cas d'incident, le responsable de traitement reste votre entreprise, pas l'assistant qui a écrit le code.
- La sécurisation continue : l'article 32 impose des mesures techniques à la hauteur du risque, à maintenir dans la durée.
- La maintenance : corriger, faire évoluer, gérer la dette technique et les dépendances reste un travail humain récurrent.
Autrement dit, l'IA baisse le coût de code. Elle ne baisse pas le coût de conformité. Or c'est ce dernier qui domine le calcul.
Le vrai coût d'un outil RGPD développé en interne
Décomposons le coût réel d'un outil interne, à l'ère de l'IA, poste par poste. Les fourchettes ci-dessous sont indicatives et fondées sur des ordres de grandeur du marché français ; ajustez-les à votre contexte.
Le développement, même assisté par l'IA
Même avec un assistant qui écrit une partie du code, il faut concevoir l'architecture, cadrer les specs, intégrer, tester et corriger. Pour un périmètre réaliste (registre des traitements, gestion des demandes de droits, modèles d'AIPD, gestion des sous-traitants au sens de l'article 28), comptez un développeur expérimenté sur quatre à six mois. Au coût chargé d'un profil senior, cela représente environ 30 000 à 55 000 euros la première année, même en tablant sur un gain de productivité lié à l'IA.
Le cadrage juridique et la spécification
Un outil RGPD n'a de valeur que s'il traduit correctement le droit. Il faut un DPO ou un juriste pour spécifier ce que l'outil doit produire : mentions du registre, bases légales, durées de conservation, cartographie des sous-traitants, trame d'AIPD conforme aux lignes directrices de la CNIL. Comptez quinze à trente jours de travail juridique, soit environ 12 000 à 30 000 euros. Ce poste, l'IA ne le remplace pas : elle peut aider à rédiger, pas à engager une responsabilité.
L'hébergement, la sécurité et la maintenance
L'outil héberge des données personnelles, parfois sensibles. L'article 32 impose chiffrement, gestion fine des accès, journalisation, sauvegardes et, idéalement, des tests d'intrusion réguliers. À cela s'ajoute la maintenance : un logiciel vivant coûte chaque année de l'ordre de 15 à 20 pour cent de son coût de développement, hors évolutions réglementaires. Sur ce seul poste, prévoyez 10 000 à 25 000 euros par an dès la deuxième année.
Build ou buy : le calcul comparatif sur trois ans
En consolidant ces postes, voici un ordre de grandeur du coût total de possession sur trois ans, pour une ETI. Les montants sont illustratifs.
Développer en interne
- Année 1 (conception et build) - 50 000 à 90 000 euros : développement, cadrage juridique, hébergement et sécurisation initiale.
- Années 2 et 3 (run)20 000 à 40 000 euros par an : maintenance, sécurité, veille réglementaire et évolutions.
- Total sur trois ans : 90 000 à 170 000 euros, hors coût d'opportunité des équipes.
Acheter un logiciel SaaS spécialisé
Abonnement annuel : 3 000 à 40 000 euros par an selon la taille et le périmètre, veille et sécurisation incluses.
Total sur trois ans : 9 000 à 120 000 euros, sans mobiliser votre équipe technique.
Le haut de la fourchette SaaS ne concerne que les très grands périmètres. Pour la majorité des ETI, l'écart se joue à l'avantage de l'achat, d'autant que le temps de vos développeurs a une valeur : chaque mois passé à réinventer un registre des traitements est un mois non passé sur votre produit. Pour affiner ces montants, notre guide sur le prix d'une mise en conformité RGPD détaille les fourchettes prestataire par prestataire.
C'est précisément ce travail de conformité continue, registre à jour, AIPD outillées, suivi des sous-traitants et veille intégrée, qu'un outil spécialisé comme Leto industrialise. Vous pouvez demander une démo pour mettre votre projet interne en regard d'un outil déjà en production.
Les coûts que le calcul oublie presque toujours
Trois postes échappent presque toujours au chiffrage initial, et ce sont eux qui font dériver un projet interne.
- La veille réglementaire : le RGPD n'est pas figé. Lignes directrices de l'EDPB, jurisprudence, sanctions de la CNIL et surtout le calendrier de l'AI Act (entré en vigueur le 1er août 2024, avec des obligations échelonnées jusqu'en 2028) obligent à faire évoluer l'outil en continu. Cette veille est un métier à part entière.
- La responsabilité juridique : un outil interne mal calibré peut produire un registre incomplet ou une AIPD lacunaire. En cas de contrôle, c'est votre entreprise qui répond, sans éditeur pour partager la charge de preuve.
- Le coût d'opportunité : les développeurs affectés à l'outil RGPD ne travaillent pas sur ce qui différencie votre entreprise. Sur un marché tendu, c'est souvent le coût le plus élevé, et le moins visible.
Pour situer votre besoin par rapport aux solutions existantes plutôt que de partir d'une page blanche, notre comparatif des logiciels RGPD passe en revue les critères de choix du marché.
Dans quels cas le développement interne peut se justifier
Le build interne n'est pas toujours un mauvais choix. Il peut se défendre dans des cas précis :
- vos besoins sont très spécifiques et aucune solution du marché ne les couvre ;
- vous disposez d'une équipe produit et juridique dédiée, capable d'assumer la maintenance et la veille dans la durée ;
- la gestion de la conformité fait partie de votre coeur de métier.
Dans la grande majorité des ETI, ces conditions ne sont pas réunies. La question du build vs buy à l'ère de l'IA gagne à se poser autrement : l'IA change la manière dont on construit un logiciel, elle ne change pas la nature d'un projet de conformité, qui reste un engagement continu. Pour aller plus loin sur l'articulation entre IA et conformité, voir notre méthode pour déployer l'IA générative en restant conforme au RGPD et à l'AI Act.
Avant de lancer un chantier de développement, mettez le calcul complet sur la table, coûts cachés inclus. Si vous voulez comparer votre scénario interne à un outil déjà en production, vous pouvez demander une démo de Leto.
Questions fréquentes
Développer un outil RGPD en interne coûte-t-il moins cher qu'un logiciel SaaS ?
Rarement. Même en réduisant le coût de développement grâce à l'IA, un outil interne cumule le cadrage juridique, l'hébergement sécurisé, la maintenance et surtout la veille réglementaire continue. Sur trois ans, le coût total de possession dépasse le plus souvent celui d'un logiciel SaaS spécialisé, dont l'abonnement inclut déjà ces postes.
Est-ce que l'IA qui code rend le développement interne rentable ?
L'IA accélère l'écriture du code et le prototypage, mais elle ne supprime pas les coûts de conformité : veille réglementaire, responsabilité juridique, maintenance et sécurisation restent à votre charge. Elle baisse le coût de code, pas le coût de conformité, qui représente l'essentiel du budget sur la durée.
Quels sont les coûts cachés d'un outil RGPD développé en interne ?
Les principaux coûts cachés sont la veille réglementaire à réintégrer à chaque évolution du RGPD et de l'AI Act, la sécurisation exigée par l'article 32, la maintenance corrective et évolutive, la responsabilité juridique en cas de faille, et le coût d'opportunité des développeurs détournés du coeur de métier.
Qui est responsable en cas de faille de sécurité sur un outil RGPD interne ?
En cas de faille, le responsable de traitement, c'est-à-dire votre entreprise, reste seul responsable au sens du RGPD. Un éditeur SaaS ne vous décharge pas de cette responsabilité, mais il mutualise l'effort de sécurisation, les mises à jour et les audits, ce qu'un outil interne doit assumer intégralement.
Dans quels cas développer son propre outil RGPD peut-il se justifier ?
Le développement interne peut se justifier si vos besoins sont très spécifiques et non couverts par le marché, si vous disposez d'une équipe produit et juridique dédiée dans la durée, et si la conformité fait partie de votre coeur de métier. Dans la majorité des ETI, ces trois conditions ne sont pas réunies.
Combien coûte un logiciel RGPD en SaaS pour une ETI ?
Pour une ETI, un logiciel RGPD en SaaS se situe généralement entre 3 000 et 40 000 euros par an selon la taille et le périmètre fonctionnel. Ce montant inclut la maintenance, les mises à jour réglementaires et la sécurisation, postes qui restent à votre charge dans un projet interne.
