UK CMA : Microsoft dans le viseur sur cinq marchés logiciels

Ce qui s'est passé

Le 16 octobre 2026, la Competition and Markets Authority (CMA) du Royaume-Uni a publié sa décision provisoire de désigner Microsoft avec le statut de "Strategic Market Status" (SMS) dans le cadre du Digital Markets, Competition and Consumers Act 2024 (DMCC Act). Cette décision est l'aboutissement d'une enquête de cinq mois lancée le 14 mai 2026, consacrée à l'écosystème des logiciels d'entreprise de l'éditeur américain.

La CMA a identifié cinq marchés distincts dans lesquels Microsoft occupe, selon les termes du régulateur, une position "forte et ancrée" : les systèmes d'exploitation pour PC (Windows), les logiciels de bureautique (Microsoft 365 et Office), les logiciels de sécurité (Microsoft Defender et la suite E5), les systèmes d'exploitation serveur (Windows Server) et les systèmes de gestion de bases de données relationnelles (SQL Server). Dans chacun de ces marchés, la CMA relève des coûts de migration élevés, des effets de verrouillage liés à l'interopérabilité et des pratiques de bundling qui limitent la capacité des concurrents à se positionner.

La question de Copilot, l'assistant IA de Microsoft intégré dans Microsoft 365, occupe une place centrale dans l'analyse du régulateur. La CMA s'inquiète de la façon dont Microsoft distribue Copilot exclusivement via ses abonnements M365, rendant difficile pour les entreprises d'adopter des solutions IA alternatives sans renoncer à leur suite bureautique. Selon les données citées par le régulateur, Copilot compte plus de 20 millions d'utilisateurs actifs au Royaume-Uni, une adoption portée en partie par les engagements contractuels avec les grandes organisations publiques et privées.

Le bundle E5 — la licence Microsoft 365 la plus élevée, qui inclut les outils de productivité, les capacités de sécurité avancées (Defender for Endpoint, Microsoft Sentinel, Entra ID P2) et la conformité — est également dans le collimateur. La CMA estime que ce bundle contraint les grandes organisations à acheter des fonctionnalités de sécurité auprès de Microsoft pour accéder à des capacités de productivité, au détriment de spécialistes de la cybersécurité comme CrowdStrike, Palo Alto Networks ou SentinelOne qui se retrouvent évincés par le pricing du bundle.

Les pratiques de licence cloud constituent le troisième axe d'investigation. La CMA pointe les conditions dans lesquelles Microsoft Office peut être exécuté dans des environnements cloud concurrents — AWS, Google Cloud, Oracle Cloud — des restrictions dénoncées depuis plusieurs années par les acteurs du secteur. En 2023, suite à des enquêtes similaires en Europe et au Royaume-Uni, Microsoft avait assoupli certaines de ces restrictions pour les clients existants, mais le régulateur estime que ces mesures restent insuffisantes pour lever le frein à la concurrence.

La consultation publique sur cette décision provisoire est ouverte jusqu'au 13 novembre 2026. La CMA devrait rendre sa décision finale d'ici février 2027. Si la désignation SMS est confirmée, la CMA disposera du pouvoir d'imposer à Microsoft des obligations comportementales spécifiques — les "conduct requirements" — sans avoir à prouver un abus de position dominante au cas par cas, un levier beaucoup plus puissant que les instruments classiques du droit de la concurrence.

Pour mémoire, Google a été la première entreprise à recevoir le statut SMS au Royaume-Uni en mai 2025, pour ses activités de recherche en ligne et de publicité digitale. Apple a été désignée en juillet 2025 pour les marchés mobiles (App Store, systèmes de paiement in-app). Microsoft deviendrait ainsi le troisième géant tech soumis à ce nouveau régime réglementaire britannique post-Brexit.

La réaction de Microsoft n'a pas tardé. L'entreprise a déclaré qu'elle coopérerait pleinement avec la CMA et participerait activement à la consultation, tout en exprimant des réserves sur "certaines caractérisations" des marchés concernés. Plusieurs associations d'entreprises technologiques britanniques et de DSI ont de leur côté exprimé leur soutien à la démarche du régulateur, en particulier sur la question des licences cloud multiplateforme et de l'ouverture des API de sécurité.

Pourquoi c'est important

Le DMCC Act 2024 représente une évolution majeure du cadre réglementaire britannique pour les marchés numériques, inspiré en partie du Digital Markets Act européen mais avec ses propres caractéristiques. Le régime SMS est conçu précisément pour permettre une intervention réglementaire proactive — avant que les problèmes de concurrence ne se cristallisent en dommages irréversibles pour les marchés — plutôt que réactive après constat d'abus. L'application de ce statut à Microsoft dans le secteur des logiciels d'entreprise constitue un test important de la portée réelle du nouveau régime.

Pour les RSSI et les DSI des grandes organisations britanniques et européennes, cette décision a des implications pratiques immédiates. Si la désignation est confirmée, Microsoft pourrait être contrainte d'assouplir ses conditions de licence pour les environnements multicloud, de faciliter la portabilité des données entre Microsoft 365 et des alternatives, et d'ouvrir davantage les API de ses outils de sécurité à la concurrence. Ce sont des demandes que les équipes d'achats IT portent depuis des années sans succès lors des négociations contractuelles avec les équipes commerciales Microsoft.

La dimension IA est particulièrement surveillée par les observateurs du secteur. En ciblant Copilot dans son analyse, la CMA envoie un signal clair : l'intégration des capacités IA dans les suites existantes ne doit pas devenir un nouveau mécanisme de verrouillage. C'est une position qui fait écho aux préoccupations exprimées par la Commission européenne dans ses propres enquêtes sur les pratiques IA de Microsoft dans le cadre du DMA, et qui pourrait influencer les régulateurs d'autres juridictions comme les États-Unis ou l'Australie.

D'un point de vue sectoriel, cette décision s'inscrit dans une tendance de fond : les régulateurs convergent vers une posture beaucoup plus interventionniste vis-à-vis des plateformes tech dominantes dans les environnements professionnels. La CMA avait déjà imposé des engagements spécifiques à AWS et Microsoft sur la portabilité cloud en début d'année 2026. Le statut SMS franchirait un pas supplémentaire en rendant ces obligations contraignantes, mesurables et évolutives dans le temps.

Ce qu'il faut retenir

• Si la désignation SMS est confirmée en février 2027, la CMA pourra imposer à Microsoft des règles contraignantes sur ses bundles (E5, Copilot), ses licences cloud multiplateforme et l'interopérabilité de ses outils de sécurité avec des tiers.
• Les entreprises utilisant Microsoft 365 et le bundle E5 devraient suivre la consultation publique (ouverte jusqu'au 13 novembre 2026) et envisager de soumettre des contributions sur les points de friction rencontrés dans leurs licences et contrats.
• Cette décision, coordonnée avec la Commission européenne via le DMA, annonce une surveillance réglementaire croissante du marché B2B des logiciels d'entreprise, avec des implications directes sur les stratégies d'achat IT et de négociation contractuelle à moyen terme.