Le terme « cloud souverain » a été tellement galvaudé qu’il a failli perdre tout sens. Microsoft, AWS et Google l’ont repris chacun à leur manière, en insistant sur la résidence des données, les régions isolées, le chiffrement géré localement et la conformité réglementaire. Le problème, c’est que ces arguments décrivent des degrés très différents de contrôle — et que le marché les vendait souvent comme équivalents.
La Commission européenne est en train de mettre fin à ce flou. Son paquet de souveraineté technologique, présenté le 3 juin 2026, introduit une classification progressive qui distingue enfin résidence des données, souveraineté opérationnelle et contrôle juridique réel. Ce n’est plus une question de marketing. C’est une question d’architecture légale.
Résidence des données ne signifie pas souveraineté
Un serveur à Francfort ou à Amsterdam améliore la latence et facilite la conformité au RGPD. Ce n’est pas sans valeur. Mais cela ne dit rien sur qui contrôle l’infrastructure, gère les clés de chiffrement, assure le support ou peut être contraint légalement par une juridiction étrangère.
C’est là que la CLOUD Act américaine entre en jeu. Adoptée en 2018, elle autorise les autorités américaines à demander des données contrôlées par des entreprises soumises à leur juridiction, même si ces données sont stockées en Europe. Les fournisseurs assurent qu’aucun accès automatique n’existe et que toute demande doit respecter des critères légaux stricts. Mais l’exposition reste réelle, surtout pour des données sensibles : données judiciaires, de santé, de défense, d’administration.
Le témoignage de Microsoft France devant le Sénat français l’a illustré clairement. Des représentants de la société ont reconnu sous serment qu’ils ne pouvaient garantir l’absence de transfert de données de citoyens français vers les autorités américaines en cas d’ordre légal valable. Ils ont précisé qu’ils examinent et contestent les demandes abusives. Mais la garantie absolue n’existe pas.
Quatre niveaux de confiance pour clarifier le marché
La Cloud and AI Development Act proposée par la Commission introduit un cadre progressif à quatre niveaux pour les services cloud utilisés par les organismes publics européens.
| Niveau | Exigences principales | Usage typique |
|---|---|---|
| Niveau 1 | Infrastructure physiquement en UE | Services publics non sensibles |
| Niveau 2 | + Indépendance vis-à-vis des gouvernements étrangers, transparence chaîne d’appro | Services administratifs courants |
| Niveau 3 | + Propriété et contrôle au sein de l’UE | Données sensibles, santé, justice |
| Niveau 4 | + Contrôle total de la chaîne logicielle, zéro ingérence tiers | Défense, sécurité nationale, frontières |
Les organismes publics devront utiliser au minimum le niveau 1. Les fonctions les plus sensibles — sécurité nationale, police, gestion des frontières — devront atteindre les niveaux supérieurs avec audits indépendants. La proposition doit encore être validée par le Parlement européen et les États membres, mais la direction est fixée.
Pourquoi les lobbys américains réagissent si fort
La Computer and Communications Industry Association, qui représente plusieurs grands fournisseurs américains, a qualifié les niveaux supérieurs de critères de « marché fermé déguisés en politique publique ». L’argument : ces exigences pourraient exclure des acteurs internationaux des appels d’offres européens pour des services critiques.
Cette réaction dit quelque chose d’important. Si les niveaux de souveraineté n’étaient que du marketing, il n’y aurait pas grand-chose à contester. Le fait que l’industrie résiste aussi vigoureusement montre que le cadre aurait des effets concrets sur l’attribution des marchés publics européens. C’est précisément ce que cherche la Commission.
Le constat de dépendance est lourd : plus de 70 % du marché cloud européen est contrôlé par des entreprises américaines. L’Europe produit moins de 10 % des semi-conducteurs mondiaux et dépense environ 264 milliards d’euros par an en produits et services IT américains. Corriger cette asymmétrie ne peut pas se faire uniquement par des labels. Ce que l’Europe règle aussi par la réglementation — comme on l’a vu avec les tensions autour du DMA et l’IA sur iPhone — révèle à quel point les grandes plateformes américaines occupent les marchés stratégiques du continent.
Les hyperscalers s’adaptent, sans résoudre le fond
AWS a lancé son European Sovereign Cloud avec une infrastructure séparée pour l’Europe. Microsoft a renforcé ses capacités souveraines via Microsoft Sovereign Cloud. Google a collaboré avec Thales sur S3NS. Toutes ces initiatives couvrent des cas d’usage réels et apportent des améliorations mesurables en matière de conformité et d’isolation opérationnelle.
Mais elles n’effacent pas la question juridique fondamentale : tant que la maison mère reste soumise à la juridiction américaine, un ordre légal valable peut atteindre les données, quel que soit leur hébergement. Pour des données commerciales ou des applications non sensibles, le risque est gérable. Pour la défense, la sécurité nationale ou l’administration de la justice, le seuil est autre.
C’est pourquoi la distinction « cloud plus souverain » vs « cloud souverain » devient nécessaire. Il existe des degrés, des contrôles techniques et des risques résiduels variables selon le fournisseur et l’architecture. Tous les cas d’usage ne nécessitent pas le même niveau. Mais certains l’exigent clairement.
L’Europe doit aussi construire, pas seulement réguler
La réglementation seule ne suffit pas. L’Europe ne peut exiger des niveaux élevés de souveraineté sans développer les capacités industrielles pour y répondre. Le paquet de la Commission reconnaît cette nécessité : il prévoit la création d’une EuroCloud Federation pour coordonner les capacités cloud entre États membres, une révision du Chips Act avec 120 milliards d’euros d’investissements ciblés dans les semi-conducteurs, 200 milliards pour les centres de données d’ici 2036 et 100 milliards pour le cloud et l’IA.
Des fournisseurs européens existent et progressent : OVHcloud, Scaleway, Hetzner, StackIT, CleverCloud. Mais leur part de marché reste marginale face aux hyperscalers. ASML, dont la valorisation boursière vient de battre un record européen tiré par la demande en IA, montre qu’il existe bien une capacité technologique européenne de classe mondiale. La question est de savoir si elle s’étendra à l’infrastructure cloud avec la même ambition.
La commande publique peut accélérer ce mouvement. Le premier contrat cloud souverain de la Commission européenne, de 180 millions d’euros, a fait apparaître des acteurs européens mais aussi la joint-venture S3NS Thales/Google, ce qui a suscité des critiques sur l’institutionnalisation d’une souveraineté incomplète. La Commission a répondu qu’une technologie non européenne, gérée sous une gouvernance européenne rigoureuse, peut satisfaire certains seuils. Le débat n’est pas binaire. Mais il doit être honnête.
La vraie question à poser avant tout contrat cloud
Pour les administrations et les entreprises qui gèrent des données sensibles, la question ne devrait plus être « où sont stockées mes données ? » mais « qui peut les éteindre, les gérer, les auditer ou les transmettre à une autorité tiers ? ». La réponse détermine le niveau de risque réel, bien plus que l’adresse physique du serveur.
Le marché va devoir s’adapter. Les fournisseurs qui ont vendu la résidence des données comme souveraineté devront réviser leurs argumentaires. Les acheteurs publics devront aligner leur niveau d’exigence au niveau de sensibilité des données concernées. Et les fournisseurs européens devront prouver qu’ils peuvent répondre aux niveaux les plus élevés à l’échelle.
FAQ
Quelle différence entre cloud souverain et résidence des données ?
La résidence des données indique où elles sont stockées ou traitées. La souveraineté cloud intègre en plus la juridiction du fournisseur, le contrôle opérationnel, la gestion des clés, le support et la résistance aux ingférences étrangères. Un serveur en Allemagne ne garantit pas que le fournisseur échappera à un ordre légal américain.
Qu’est-ce que la CLOUD Act et pourquoi inquiète-t-elle l’Europe ?
La CLOUD Act américaine (2018) autorise les autorités à demander des données contrôlées par des entreprises soumises à la juridiction américaine, même si ces données sont stockées en Europe. Les fournisseurs peuvent contester ces demandes, mais ne peuvent garantir un refus absolu.
Les solutions cloud d’AWS, Microsoft ou Google en Europe sont-elles souveraines ?
Elles offrent des contrôles avancés et une conformité élevée pour de nombreux cas d’usage. Mais la souveraineté complète (niveaux 3-4 du cadre européen) exige que le fournisseur soit soumis uniquement aux lois européennes. C’est un critère que les filiales de groupes américains ne peuvent pas remplir structurellement.
Quelles entreprises européennes proposent du cloud souverain ?
OVHcloud, Scaleway, Hetzner, StackIT, CleverCloud ou Proximus sont parmi les acteurs européens. Des joint-ventures comme S3NS (Thales/Google) ou des solutions d’hyperscalers avec contrôle local existent aussi, mais leur niveau de souveraineté reste débatté.
Quand la Cloud and AI Development Act entrera-t-elle en vigueur ?
La proposition a été présentée le 3 juin 2026. Elle doit encore être négociée entre la Commission, le Parlement européen et les États membres. Aucune date d’entrée en vigueur n’est confirmée à ce jour.
