La souveraineté numérique n’est plus réservée aux juristes, responsables en cybersécurité ou institutions européennes. Elle devient une question stratégique pour les entreprises, les administrations publiques et les fournisseurs technologiques. La raison en est simple : une grande partie des services numériques essentiels dépendent d’infrastructures cloud contrôlées par de grandes sociétés américaines, et cette dépendance commence à être perçue comme un risque concret, au-delà du seul enjeu politique.

Le débat a de nouveau gagné en vigueur en Finlande après l’intervention de Joel Pihlajamaa, fondateur et CTO d’UpCloud, dans Talouselämä, pour évoquer une des problématiques les plus sensibles du moment. Selon les informations communiquées par la société à la suite de cette interview, entre 70 % et 80 % des services du secteur public finlandais dépendraient de fournisseurs cloud américains. Ce chiffre, s’il est considéré comme une estimation, illustre une problématique qui ne concerne pas uniquement la Finlande : l’Europe a digitalisé une partie de ses services essentiels en s’appuyant sur des infrastructures dont elle ne contrôle pas forcément l’aspect juridique, opérationnel ou stratégique à 100 %.

Ce n’est pas une question de savoir si Amazon, Microsoft ou Google proposent une technologie de qualité. Ils le font, et dans de nombreux cas avec des niveaux d’échelle, de résilience et de services gérés difficiles à égaler. Le vrai enjeu concerne plutôt : qui contrôle l’infrastructure, quelle législation s’applique, que se passe-t-il si le contexte géopolitique évolue, et quel pouvoir réel une organisation a-t-elle pour quitter un fournisseur une fois que ses systèmes critiques y sont profondément intégrés.

Dépendance, juridiction et verrouillage technologique

La souveraineté numérique ne consiste pas à stocker toutes ses données derrière une frontière nationale ni à rejeter systématiquement les fournisseurs étrangers. Il s’agit plutôt de pouvoir décider où résident les données, sous quel cadre juridique elles sont traitées, qui y a accès, quelles dépendances techniques existent et si une organisation a réellement les moyens de changer de fournisseur sans interrompre ses services.

C’est là qu’intervient l’un des points soulignés par Pihlajamaa : l’Europe dispose de capacités techniques pour développer des alternatives. Elle ne part pas de zéro. Des fournisseurs européens de cloud, des centres de données, des réseaux, des logiciels, des solutions de cybersécurité, des bases de données, des plateformes de conteneurs et des services gérés existent déjà. Ce qu’il manque souvent, c’est l’échelle, la visibilité, une stratégie d’achat publique ambitieuse, et une approche qui ne limite pas le cloud à une simple comparaison de prix par machine virtuelle.

Le second enjeu est juridique. Une partie importante des données critiques européennes peut se retrouver sous l’emprise de règles extraterritoriales lorsque hébergées chez des fournisseurs soumis à des juridictions non européennes. Le débat autour du CLOUD Act américain et de sa compatibilité avec le RGPD dure depuis plusieurs années. Tous les cas ne se valent pas : certains grands fournisseurs ont mis en place des solutions pour garantir la résidence des données et une surveillance supplémentaire pour leurs clients européens. Mais la préoccupation demeure : héberger des données en Europe ne garantit pas toujours leur contrôle total si le fournisseur appartient à une entité située hors de l’UE.

Le troisième souci concerne le verrouillage propriétaire. Beaucoup d’organisations débutent avec le cloud pour sa flexibilité, puis se retrouvent prisonnières de services propriétaires, de dépendances à une plateforme, de bases de données spécifiques, d’outils d’automatisation, d’API fermées, de coûts de sortie élevés ou d’équipes formées sur un environnement unique. La migration ultérieure n’est pas impossible, mais elle est coûteuse, longue et risquée. Pour une administration publique ou une entreprise réglementée, ce risque représente autant qu’une facture mensuelle.

L’Europe commence à prendre des mesures

La préoccupation pour la souveraineté cloud n’est pas nouvelle, mais le contexte a évolué. L’intelligence artificielle, la cybersécurité, la guerre en Ukraine, les tensions commerciales et la dépendance croissante aux services digitaux ont transformé l’infrastructure en enjeu stratégique. Le cloud n’est plus seulement « l’endroit où s’exécute une application » ; il représente la base de fonctionnement des démarches administratives, des historiques médicaux, des systèmes financiers, des communications d’entreprise, des plateformes éducatives et des services d’urgence.

La Commission européenne a commencé à traduire cette inquiétude en critères d’achat. En 2026, elle a attribué un contrat pour un cloud souverain de jusqu’à 180 millions d’euros à des fournisseurs européens, et a élaboré un cadre de souveraineté cloud, permettant d’évaluer la souveraineté sur la base d’objectifs concrets : contrôle juridique, opérationnel, sécurité, ouverture technologique, transparence des chaînes d’approvisionnement et conformité à la législation européenne.

Ce type d’initiatives ne résoudra pas à lui seul la dépendance. Le marché du cloud européen demeure dominé par les hyperscalers américains, et nombreuses sont les entreprises qui ne réécriront pas leurs architectures du jour au lendemain. Cependant, cela envoie un signal fort : la souveraineté numérique commence à être intégrée dans les appels d’offre, et plus seulement dans les discours.

Ce mouvement se ressent également dans le marché. Des fournisseurs européens comme UpCloud cherchent à se positionner comme alternative pour les organisations souhaitant maintenir leurs données et leurs charges de travail sous juridiction européenne. La société met en avant sa présence dans plusieurs centres de données européens et a renforcé ses messages auprès du secteur public, insistant sur la résidence de données et la réduction des dépendances extérieures. Il s’agit d’une stratégie commerciale, mais elle répond à une demande réelle : de plus en plus d’entreprises veulent savoir non seulement le coût du cloud, mais aussi qui le contrôle.

Ce n’est pas une question d’éteindre une cloud pour en allumer une autre

La plus grande erreur serait de considérer la souveraineté numérique comme une simple migration idéologique immédiate. Beaucoup d’organisations dépendent de services avancés proposés par de grands fournisseurs : analytique, intelligence artificielle, cybersécurité, bases de données distribuées, outils DevOps, plateformes serverless ou services globaux à faible latence. Tout changer du jour au lendemain serait souvent impossible, voire contre-productif.

Une transition plus rationnelle consiste à classifier les charges de travail. Toutes les données n’ont pas le même niveau de sensibilité. Une plateforme publique ou un système de santé, une base fiscale, une plateforme d’identité numérique ou un référentiel documentaire administratif ne nécessitent pas tous le même niveau de contrôles juridiques ou opérationnels. Certaines charges peuvent rester dans des environnements globaux ; d’autres doivent respecter des exigences plus strictes en matière de juridiction, de portabilité, de chiffrement, d’audits et de contrôle opérationnel.

Il faut également anticiper les sorties : contrats intégrant une véritable portabilité, utilisation de standards ouverts, conteneurs, Kubernetes, bases de données non propriétaires, sauvegardes exportables, chiffrement avec clés contrôlées par le client, et plans de migration testés. La souveraineté ne commence pas au moment où l’on quitte un fournisseur, mais dès qu’on évite d’y rester bloqué.

Pour une administration publique, la question est encore plus délicate. Si un pays souhaite préserver son autonomie sur les services essentiels, il doit pouvoir exploiter, auditer et récupérer ses systèmes critiques même en contexte de tensions juridiques, commerciales ou géopolitiques. Cela ne signifie pas s’isoler technologiquement, mais diversifier et réduire la dépendance à un point unique.

Une véritable opportunité industrielle pour l’Europe

Pihlajamaa voit dans la transition vers des fournisseurs cloud européens une opportunité de développement pour la région. L’idée est pertinente : si l’Europe veut rivaliser en intelligence artificielle, services numériques, cybersécurité et logiciels d’entreprise, elle a besoin de plus que de la réglementation. Elle doit disposer d’une infrastructure propre, d’entreprises capables d’échelle, et de clients publics et privés prêts à acheter une technologie européenne conforme à ses exigences.

Le défi est de taille. Les fournisseurs européens ne peuvent pas simplement miser sur la souveraineté pour concurrencer. Ils doivent également offrir performance, disponibilité, bon support, prix compétitifs, outils modernes, conformité aux standards du marché et une expérience utilisateur à la hauteur des attentes des équipes techniques. La souveraineté peut ouvrir des portes, mais la qualité du service garantit la fidélisation.

Ce potentiel ne se limite pas au cloud de base. Il y a également de la place pour des plateformes de gestion de données, des services d’IA souverains, du stockage sécurisé, de l’edge computing, des sauvegardes immuables, de l’observabilité, de l’identité, de la cybersécurité managée, voire des solutions sectorielles pour la santé, l’administration, l’industrie ou la finance. Plus un secteur est sensible ou réglementé, plus une infrastructure sous contrôle européen aura de la valeur.

Le débat finlandais illustre une discussion qui s’étend à toute l’Europe. Si le cloud américain restera pertinent, il ne pourra plus être considéré comme une évidence sans questions. Les entreprises et les gouvernements commencent à scruter où résident leurs données, quels contrats ils ont signés, quels risques ils prennent et quelles sont leurs alternatives.

La souveraineté numérique n’est pas un cloisonnement, mais la possibilité de choisir. Et cette possibilité commence par une question simple : si demain il fallait déplacer un service critique, pourrait-on le faire sans perdre le contrôle ?

Questions fréquentes

Qu’est-ce que la souveraineté numérique dans le cloud ?
C’est la capacité d’une organisation à contrôler où ses données sont hébergées, sous quelles lois elles sont traitées, qui peut y accéder, et dans quelle mesure elle peut changer de fournisseur en toute autonomie.

Pourquoi la dépendance aux fournisseurs américains suscite-t-elle des inquiétudes ?
Parce qu’une grande partie des charges critiques européennes repose sur des sociétés soumises à des législations non européennes, ce qui soulève des doutes sur l’accès aux données, la dépendance contractuelle, la continuité opérationnelle et la capacité à s’émanciper.

Les entreprises doivent-elles abandonner AWS, Azure ou Google Cloud ?
Pas nécessairement. La stratégie la plus réaliste consiste à classifier les charges, appliquer des exigences de souveraineté là où c’est nécessaire, éviter le verrouillage technologique, et diversifier les fournisseurs pour les systèmes sensibles.

Quelle opportunité offrent aux fournisseurs européens le marché du cloud ?
Ils peuvent se développer en proposant une infrastructure compétitive, sous juridiction européenne, avec des garanties en matière de résidence des données, de portabilité, de sécurité et de support pour les entreprises et les administrations.

via : LinkedIn