Une région cloud à Paris, un contrat en français, un drapeau européen sur la présentation commerciale : voilà de quoi rassurer un comité de direction. Pas forcément de quoi protéger ses données. À l’horizon de septembre 2026, le cloud souverain pose une question très concrète aux entreprises : quel risque le supplément de prix permet-il réellement de réduire ? Entre hébergement local, immunité juridique promise et autonomie technique, les réponses diffèrent. Cet article distingue les dispositifs établis des évolutions prospectives, sans présumer de l’aboutissement des offres ou des qualifications annoncées.
Trois souverainetés, trois factures différentes
Le mot « souverain » rassemble des besoins qui ne se recouvrent pas. La localisation concerne les lieux où sont stockées et traitées les données. La protection juridique dépend des lois applicables au fournisseur et aux entités susceptibles d’accéder aux informations. L’autonomie opérationnelle désigne la capacité à administrer le service, maintenir son fonctionnement et en sortir sans dépendance excessive.
Une entreprise peut obtenir la première sans les deux autres. Ses bases sont hébergées en France, mais leur maintenance mobilise une équipe étrangère ; les sauvegardes restent européennes, mais certains journaux techniques suivent un autre circuit. Inversement, un prestataire français peut offrir une gouvernance rassurante tout en utilisant des logiciels propriétaires difficiles à remplacer. Acheter « souverain » ne signifie donc pas acheter une indépendance totale : c’est choisir les dépendances acceptables.
La localisation : nécessaire, rarement suffisante
Pour un directeur informatique, la résidence des données reste le point le plus facile à expliquer. Elle facilite certaines exigences contractuelles, réduit parfois la latence et rend les audits plus lisibles. Mais une adresse de datacenter ne décrit pas toute la chaîne. Il faut aussi examiner les copies de secours, les métadonnées, les tickets de support et les accès d’administration.
Le RGPD n’impose pas, par principe, que toutes les données personnelles restent dans l’Union européenne. Il encadre notamment leurs transferts vers des pays tiers. Après l’invalidation du Privacy Shield par la Cour de justice de l’Union européenne en 2020, la Commission a adopté, en juillet 2023, une nouvelle décision d’adéquation pour les organismes américains participant au cadre transatlantique. Ce mécanisme concerne les transferts de données personnelles, pas une certification générale de souveraineté.
La bonne question commerciale devient alors : « Quelles données peuvent sortir, par quel mécanisme et qui peut y accéder ? » Une réponse précise, annexée au contrat, vaut davantage qu’une promesse générale de stockage européen. Le surcoût se justifie s’il finance une séparation vérifiable des opérations, des restrictions d’accès et des preuves auditables.
Le droit : acheter des protections, pas une invulnérabilité
Le CLOUD Act américain cristallise les inquiétudes. Ce texte peut permettre aux autorités américaines d’exiger, dans le cadre prévu par la loi, des données sous le contrôle d’un fournisseur relevant de leur juridiction, même lorsqu’elles sont stockées à l’étranger. Il ne constitue pas un accès permanent et automatique à tous les serveurs européens. Mais il rappelle que la géographie des machines ne neutralise pas celle du droit.
Examiner la nationalité affichée du prestataire ne suffit donc pas. Il faut comprendre son contrôle capitalistique, ses sous-traitants, ses obligations légales et, surtout, qui possède effectivement la capacité de remettre des données intelligibles. Une filiale européenne d’un groupe étranger n’offre pas mécaniquement la même séparation qu’un opérateur indépendant. À l’inverse, l’usage d’une technologie étrangère ne prouve pas, à lui seul, un accès de son éditeur aux données.
Ce que SecNumCloud apporte vraiment
En France, la qualification SecNumCloud de l’ANSSI fournit un repère plus solide qu’une autodéclaration marketing. Son référentiel combine des exigences techniques, opérationnelles et juridiques, notamment face aux risques liés aux lois extraterritoriales. Attention cependant au périmètre : une qualification porte sur une offre déterminée, pas sur tout le catalogue d’un groupe. Une démarche engagée ou une qualification annoncée comme objectif ne vaut pas qualification obtenue.
Les projets Bleu, porté par Orange et Capgemini autour de technologies Microsoft, et S3NS, créé par Thales avec Google Cloud, illustrent une stratégie déjà engagée : associer des technologies mondiales à une exploitation et une gouvernance françaises. Leur promesse doit être évaluée service par service, selon les garanties effectivement disponibles et les qualifications acquises au moment de l’achat. Le partenariat industriel ne remplace pas cette vérification.
Le chiffrement ne règle pas tout
« Vous gardez les clés » : l’argument paraît décisif. Il faut pourtant demander quelles clés, conservées où, et utilisées par qui. Le chiffrement au repos protège notamment contre l’exposition de supports de stockage ; il n’empêche pas nécessairement la plateforme de traiter des données en clair. Une clé gérée par le client peut elle-même être mobilisée par le service pendant son fonctionnement.
Des clés conservées hors du cloud, une authentification robuste et des accès privilégiés strictement contrôlés renforcent la protection. L’informatique confidentielle peut aussi réduire certains risques pendant le traitement. Aucun de ces dispositifs ne dispense toutefois d’examiner l’application, les procédures de récupération et les pouvoirs des administrateurs. La garantie utile est un scénario de menace couvert, pas le simple mot « chiffrement ».
La dépendance technique, coût souvent oublié
Une entreprise peut protéger juridiquement ses données tout en restant captive de son architecture. Bases propriétaires, fonctions sans serveur, outils d’intelligence artificielle et interfaces spécifiques rendent une migration longue et risquée. Le verrouillage vient autant des compétences acquises et du code écrit que des frais de transfert. Un cloud européen peut, lui aussi, créer cette dépendance.
Le Data Act européen, dont l’application générale est prévue à partir de septembre 2025, organise notamment la réduction des obstacles au changement de fournisseur de services de traitement de données. Sa portée pratique dépendra des services et de leur mise en œuvre. Une obligation de faciliter la sortie ne rend pas deux plateformes techniquement interchangeables. Pour préparer un achat en 2026, mieux vaut tester une exportation et une restauration ailleurs que se contenter d’une clause de réversibilité.
Quand le supplément de prix vaut-il la peine ?
Le bon calcul compare des risques et des coûts complets, pas seulement le tarif d’une machine virtuelle. Une offre plus encadrée peut coûter davantage en exploitation, proposer moins de services ou imposer une adaptation des applications. Elle peut aussi éviter des audits répétés, faciliter un contrat sensible et limiter les conséquences d’un incident.
- À payer : engagements opposables, périmètre qualifié pertinent, administration contrôlée et continuité testée.
- À négocier : preuves d’audit, délais de notification, assistance à la sortie et coûts de migration.
- À relativiser : drapeaux, labels internes et promesses vagues d’indépendance absolue.
Et maintenant ? Pour septembre 2026 et au-delà, le scénario le plus plausible n’est pas un basculement uniforme vers le cloud souverain, mais une segmentation plus fine. Secrets industriels, données sensibles et fonctions critiques appelleraient des protections renforcées ; les autres usages pourraient privilégier coût et richesse fonctionnelle. La maturité consistera moins à acheter une étiquette qu’à pouvoir démontrer, contrat et test de sortie à l’appui, ce que chaque euro supplémentaire protège réellement.
