Le devis arrive, et le débat change de nature. Tant qu’il s’agissait de « reprendre le contrôle des données », tout le monde approuvait. Dès qu’apparaissent les lignes migration, réécriture des applications et double exploitation, la souveraineté devient un arbitrage budgétaire. Pour les entreprises européennes, la question n’est plus seulement de savoir où héberger leurs informations, mais combien payer pour conserver une liberté d’action. À l’horizon de septembre 2026, les tendances établies dessinent un marché où cette liberté devrait se négocier application par application, loin du grand remplacement des clouds américains.
Un drapeau européen ne suffit pas
Le premier malentendu tient au vocabulaire. Un centre de données situé en France ne garantit pas, à lui seul, une indépendance juridique ou opérationnelle. Il faut regarder qui possède le fournisseur, qui administre les infrastructures, quelles entités peuvent accéder aux données et quelles lois leur sont applicables. La localisation compte ; elle n’épuise pas la question.
Le CLOUD Act américain cristallise cette inquiétude : sous certaines conditions, les autorités américaines peuvent demander à un prestataire soumis à leur juridiction des données placées sous son contrôle, même stockées à l’étranger. Cela ne signifie ni accès automatique ni disparition des garanties procédurales. Mais, pour une entreprise manipulant des secrets industriels, cette exposition peut peser dans l’analyse des risques.
En France, la qualification SecNumCloud de l’ANSSI fournit un repère exigeant, combinant sécurité et conditions visant notamment à protéger contre certaines ingérences extraterritoriales. Elle concerne des offres et un périmètre précis, pas indistinctement toutes les activités d’un fournisseur. Surtout, elle ne dispense pas le client de sécuriser ses propres applications : un hébergement qualifié ne corrige pas une mauvaise gestion des accès.
La réglementation pousse, sans imposer un modèle unique
Le RGPD n’interdit pas par principe de recourir à un cloud américain. Il impose notamment d’encadrer les traitements et, lorsqu’ils existent, les transferts internationaux de données personnelles. Confondre conformité, localisation et souveraineté conduit donc à des décisions coûteuses, parfois mal justifiées. Les obligations varient selon les données, le secteur, les contrats et les risques.
Dans la finance, le règlement DORA, applicable depuis janvier 2025, renforce les exigences de résilience numérique et de maîtrise des prestataires informatiques. Il place les dépendances, les contrats et les stratégies de sortie au cœur du pilotage. Il ne prescrit pas un basculement général vers des acteurs européens. Son message est plus opérationnel : une fonction critique externalisée doit rester gouvernable.
Autre texte structurant, le Data Act est applicable depuis septembre 2025. Il encadre notamment le changement de fournisseur de services de traitement de données et prévoit la suppression des frais de changement à partir de janvier 2027. Cette trajectoire doit faciliter la mobilité. Elle n’efface toutefois ni le travail de migration ni les incompatibilités techniques : partir sans pénalité ne signifie pas partir sans facture.
La vraie dépendance se cache dans les applications
Déplacer des machines virtuelles standardisées peut être relativement simple. Remplacer une base de données propriétaire, une chaîne analytique ou des fonctions exécutées à la demande l’est beaucoup moins. Les grands clouds vendent précisément cette intégration : des services disponibles rapidement, reliés entre eux, accompagnés d’outils de supervision et de sécurité.
Prenons un industriel européen. Ses archives documentaires peuvent rejoindre un hébergeur local avec peu de transformations. Son application de maintenance prédictive, construite autour de plusieurs services managés spécifiques, exigera peut-être une nouvelle architecture. Le coût n’est alors plus celui du stockage : ce sont des mois de développement, des tests et des équipes détournées d’autres projets.
Les conteneurs, Kubernetes et les formats ouverts réduisent certaines dépendances, sans rendre tous les environnements interchangeables. Les identités, les réseaux, les journaux de sécurité ou les mécanismes de sauvegarde restent des points d’accrochage. Quant au multicloud, il peut améliorer la répartition des risques, mais aussi multiplier les compétences nécessaires. Deux fournisseurs mal maîtrisés ne valent pas forcément mieux qu’un seul correctement gouverné.
Qui acceptera le surcoût ?
Les premiers candidats sont les organisations pour lesquelles la perte de contrôle aurait des conséquences disproportionnées : défense, administrations sensibles, infrastructures critiques, recherche stratégique. Dans ces cas, payer davantage peut relever d’une logique d’assurance. Encore faut-il que l’offre couvre les besoins réels et permette d’atteindre les niveaux de disponibilité attendus.
Viennent ensuite les entreprises dont les clients exigent des garanties particulières. Un éditeur de logiciels travaillant pour des établissements financiers ou des organismes publics peut transformer son choix d’hébergement en avantage commercial. La souveraineté devient alors un moyen d’accéder à certains marchés. Ce bénéfice doit cependant être vérifié dans les appels d’offres, pas supposé par le marketing.
Pour une PME vendant en ligne, l’arbitrage sera souvent différent. La rapidité de lancement, les compétences disponibles et la qualité des outils pèseront lourd. Elle pourrait raisonnablement conserver son cloud actuel tout en renforçant ses sauvegardes, ses clauses contractuelles et sa capacité d’export. L’indépendance utile n’exige pas toujours une migration immédiate.
Calculer le prix complet, pas seulement l’abonnement
Comparer deux tarifs mensuels ne suffit pas. Un projet sérieux doit intégrer plusieurs postes :
- La transformation : audit des dépendances, adaptation du code, transfert des données et validation des performances.
- La transition : fonctionnement parallèle des environnements, formation et éventuels renforts externes.
- L’exploitation : support, astreintes et tâches auparavant prises en charge par des services managés.
- Le risque évité : interruption, blocage contractuel, exposition juridique ou hausse tarifaire difficile à contourner.
Le surcoût souverain n’est d’ailleurs pas systématique. Pour des usages simples et prévisibles, un fournisseur européen peut être compétitif. À l’inverse, une offre apparemment bon marché peut devenir chère si l’entreprise doit reconstruire ses outils. La bonne comparaison porte sur plusieurs années, avec des hypothèses explicites concernant la croissance et les besoins de personnel.
L’Europe doit vendre davantage qu’une protection
Les acteurs européens ne gagneront pas durablement sur le seul argument réglementaire. Ils doivent proposer des interfaces solides, une documentation exploitable, un support réactif et des services adaptés aux équipes de développement. Les offres associant technologies américaines et gouvernance européenne cherchent, elles, à concilier richesse fonctionnelle et contrôle local. Leur crédibilité dépend des garanties concrètes et des qualifications effectivement obtenues, non des annonces.
La montée de l’intelligence artificielle pourrait accentuer cette tension : maîtriser des données sensibles importe, mais accéder aux capacités de calcul et aux outils les plus performants aussi. Une réponse plausible serait une souveraineté sélective, concentrée sur les actifs stratégiques, avec des connexions surveillées vers d’autres environnements.
Et maintenant ? D’ici aux prochains arbitrages budgétaires, les entreprises auraient intérêt à cartographier leurs dépendances avant de choisir leur camp. Identifier les données critiques, tester un export et chiffrer une sortie apporteront davantage qu’un engagement abstrait d’indépendance. Le scénario le plus crédible n’est pas celui d’un cloud européen unique remplaçant tous les autres, mais d’une segmentation assumée. Seront prêts à payer ceux qui pourront expliquer quelle liberté ils achètent — et démontrer qu’elle fonctionne le jour où ils en auront besoin.
