Le 4 août 2026, Make.com a publié une mise à jour majeure sur sa gouvernance plateforme. Cinq nouveautés qui touchent directement les DAF, DPO et dirigeants de PME : audit logs enrichis, authentification à deux facteurs obligatoire, rôles personnalisés granulaires, gestion centralisée des connexions et politique de rétention configurable. Ce n'est pas une simple update cosmétique. C'est la réponse de Make à une réalité que toutes les PME françaises rencontrent quand elles passent de 3 à 30 utilisateurs sur la plateforme : le chaos des accès, la peur de la fuite de données et l'obligation de conformité RGPD couplée à l'AI Act. Cet article décrypte ce qui change vraiment, ce que ça implique pour votre PME, et comment vous positionner dès cette semaine si vous utilisez Make.com à l'échelle.
Pourquoi c'est important pour les PME
Jusqu'ici, la gouvernance Make.com était pensée pour deux profils : le solo builder qui automatise ses tâches, et la grande entreprise avec sa plan Enterprise sur mesure. Entre les deux, les PME de 20 à 100 salariés se débrouillaient. Concrètement : un ou deux « super-utilisateurs » qui détenaient les clés du royaume, et une visibilité quasi nulle sur qui touchait à quoi.
Le problème n'est pas théorique. Quand une automatisation Make lit vos fiches clients dans HubSpot, écrit dans Notion et pousse des factures dans Pennylane, elle manipule des données personnelles au sens RGPD. Si un salarié quitte l'entreprise et que son compte Make reste actif, vous avez un trou de sécurité. Si un scénario tombe en panne et exfiltre 3000 lignes vers un mauvais destinataire, votre DPO doit pouvoir tracer l'incident en moins de 72 heures pour notifier la CNIL.
Les cinq nouveautés d'août 2026 comblent précisément ces angles morts. Elles rendent Make déployable à l'échelle d'une PME sans que le DAF ou le DPO doivent croiser les doigts. C'est ce qui fait de cette mise à jour un vrai tournant produit pour le tissu des PME françaises, particulièrement dans le contexte de l'AI Act et des règles CNIL 2026.
Ce que ça change concrètement
1. Audit logs enrichis : qui a fait quoi, quand
Les audit logs Make couvrent désormais l'ensemble des actions sensibles : création et modification de scénarios, changements de connexions, ajouts et suppressions d'utilisateurs, modifications de rôles. Chaque entrée est horodatée, attribuée à un compte, et exportable en CSV ou via API.
Pour le DPO, c'est la fin du « on ne sait pas qui a modifié le scénario de facturation la semaine dernière ». Pour le DAF, c'est un outil de contrôle interne. Pour la sécurité, c'est la brique manquante pour répondre à un incident RGPD dans les délais légaux.
2. 2FA obligatoire pour tous les rôles admin
L'authentification à deux facteurs devient obligatoire pour les rôles admin et owner sur les plans Teams et supérieurs. TOTP (Google Authenticator, Authy) ou clé de sécurité physique. Fini le mot de passe seul, même solide.
C'est banal côté cybersécurité, mais chez les PME françaises, c'est loin d'être généralisé. Selon Cybermalveillance.gouv.fr, seulement 47% des TPE-PME ont activé le 2FA sur leurs outils critiques en 2025.
3. Rôles personnalisés granulaires
Auparavant : Owner, Admin, Member, Operator. Basta. Maintenant : vous créez vos propres rôles, avec permissions à la carte. Un rôle « Auditeur RH » qui peut consulter mais pas exécuter. Un rôle « Développeur commercial » qui peut créer des scénarios dans le dossier Ventes mais nulle part ailleurs. Un rôle « Comptable externe » avec accès en lecture aux logs des scénarios de facturation.
C'est le principe du moindre privilège, transposé sur Make. Fondamental quand vous passez de 5 à 30 utilisateurs.
4. Gestion centralisée des connexions
Les connexions (OAuth vers HubSpot, tokens Slack, clés API OpenAI) sont désormais gérables au niveau organisation. Un admin peut créer une connexion « HubSpot Prod », la partager avec certains dossiers, et interdire à un utilisateur de créer sa propre connexion parallèle.
Concrètement : vos salariés ne peuvent plus brancher leur compte perso Gmail dans un scénario d'entreprise. Vous reprenez le contrôle sur les données qui sortent.
5. Politique de rétention configurable
Vous définissez combien de temps Make conserve les logs d'exécution et les données bufferisées : 7 jours, 30 jours, 90 jours, ou personnalisé. Aligné sur votre politique de rétention RGPD interne. Fini les logs qui traînent 6 mois avec des données clients en clair.
Citations d'experts et sources
« Notre objectif est de donner aux équipes IT et sécurité la visibilité et le contrôle dont elles ont besoin pour déployer l'automatisation à l'échelle, sans compromis sur la conformité. »
— Équipe produit Make.com, annonce officielle du 4 août 2026
« Les PME françaises sous-estiment systématiquement l'exposition RGPD de leurs outils no-code. Une plateforme d'automatisation qui touche 5 SaaS différents, c'est 5 chaînes de traitement à documenter. »
— Guide CNIL sur les outils no-code, CNIL.fr publication 2025
« Le moindre privilège n'est pas une option en 2026. Avec l'AI Act, chaque système automatisé qui manipule des données personnelles doit être justifié dans sa portée. Les rôles génériques Owner/Admin/Member ne suffisent plus. »
— ANSSI, recommandations sécurité SaaS 2025
« En 2026, l'automatisation n'est plus l'apanage du builder solo. C'est un enjeu de conformité au même titre que la comptabilité ou la paie. »
— Bpifrance, étude Transformation numérique des PME 2025
Ce qui ne change PAS
Restons lucides. Ces nouveautés ne rendent pas Make magiquement conforme RGPD ou AI Act à votre place. Vous restez responsable de traitement au sens du règlement. Vous devez toujours :
Documenter chaque scénario dans votre registre des traitements.
Réaliser une AIPD (analyse d'impact) pour les traitements à risque élevé.
Encadrer les transferts de données hors UE si vos SaaS connectés sont américains.
Former vos équipes à ne pas coller de données sensibles en clair dans les scénarios.
Autre point : les rôles personnalisés et la centralisation des connexions ne sont disponibles qu'à partir du plan Teams (environ 30$/mois par utilisateur en 2026). Sur le plan Core, vous restez avec les rôles historiques. Un choix de licensing à intégrer dans votre calcul.
Comment se positionner dès maintenant
Trois actions concrètes à mener cette semaine si vous utilisez Make à l'échelle dans votre PME :
Auditez vos comptes actifs. Listez tous les utilisateurs Make de votre organisation, identifiez les comptes dormants ou anciens salariés, et désactivez-les. C'est gratuit et ça prend 20 minutes.
Activez le 2FA sur tous les rôles admin. Non négociable. Faites-le aujourd'hui, pas la semaine prochaine.
Cartographiez vos scénarios sensibles. Ceux qui touchent aux données clients, RH ou financières. Pour chacun : qui a créé, qui a modifié, quelles connexions sont utilisées. Cette cartographie sera la base pour définir vos rôles personnalisés et votre politique de rétention.
Si vous êtes en pleine migration de scénarios (notamment ceux impactés par la dépréciation GPT sur Make), profitez-en pour intégrer la gouvernance dans le refactoring. Et si vous préparez le passage à la facturation électronique via Make et Pennylane, la centralisation des connexions devient un prérequis structurant.
Si vous voulez qu'on regarde votre configuration Make actuelle et qu'on identifie les points de gouvernance à durcir, on propose des audits gratuits sur boommaker.io/audit-gratuit.
FAQ — Make.com Gouvernance 2026 : 5 Nouveautés pour Sécuriser votre PME
Les nouveautés gouvernance Make d'août 2026 sont-elles disponibles sur tous les plans ?
Non. Les audit logs enrichis, les rôles personnalisés et la gestion centralisée des connexions sont réservés aux plans Teams et supérieurs. Le 2FA obligatoire s'applique à tous les rôles admin quel que soit le plan. La politique de rétention configurable est disponible sur Teams et Enterprise. Si vous êtes sur le plan Core, vous continuez avec les rôles historiques Owner, Admin, Member, Operator.
Make.com est-il conforme RGPD par défaut ?
Make.com est hébergé en UE (Prague et région Europe) et propose un DPA signable. Mais la conformité RGPD dépend surtout de ce que vous faites avec l'outil. Vous restez responsable de traitement. Vous devez inscrire vos scénarios au registre des traitements, réaliser une AIPD si les traitements sont à risque, et encadrer les transferts vers des SaaS américains. Les nouveautés gouvernance vous aident à démontrer votre conformité, pas à l'assurer automatiquement.
Comment configurer un rôle personnalisé sur Make ?
Depuis le plan Teams, allez dans les paramètres de votre organisation, section « Roles ». Créez un rôle, nommez-le clairement (par exemple « Comptable lecture seule »), puis cochez les permissions par catégorie : scénarios, connexions, data stores, audit logs. Enfin, assignez ce rôle aux utilisateurs concernés. Pensez à documenter chaque rôle dans un tableau interne pour votre DPO.
Quelle politique de rétention choisir pour les logs Make ?
Cela dépend de votre politique interne et du type de données. Pour des scénarios manipulant des données personnelles, alignez-vous sur votre registre RGPD : souvent 30 à 90 jours. Pour des scénarios purement techniques sans données sensibles, 7 jours suffisent pour le debug. Évitez les rétentions longues par défaut, elles multiplient votre surface d'exposition en cas d'incident.
Faut-il migrer vers le plan Teams pour bénéficier de la gouvernance renforcée ?
Si votre PME compte plus de 5 utilisateurs actifs sur Make et manipule des données clients ou RH, oui. Le coût supplémentaire (autour de 30$ par utilisateur par mois) est marginal face au risque d'une sanction CNIL ou d'un incident de sécurité. Si vous êtes en solo ou à 2-3 personnes sur des scénarios internes non sensibles, le plan Core reste suffisant.