Cloud souverain en Europe : quels enjeux pour les entreprises ?

On m'a posé la question trois fois le mois dernier, dans trois contextes différents : un directeur financier qui paniquait sur son prochain audit, une responsable RH qui voulait rapatrier les dossiers de ses 400 salariés, et un ami médecin qui stocke des données de patients chez un géant américain sans même y avoir pensé. Trois interlocuteurs, un seul réflexe : « et si on passait au cloud souverain ? »

Le problème, c'est que personne ne sait vraiment ce que ça veut dire. Et le cloud souverain en Europe, ce n'est pas un produit qu'on achète. C'est une décision de gouvernance déguisée en choix technique.

Cloud souverain en Europe : ce que cache vraiment le terme

Quand on parle de cloud souverain, on confond trois choses distinctes. La localisation physique des données. La propriété juridique de l'opérateur. Et le contrôle effectif de la chaîne technique sous-jacente.

Le premier point est le plus simple, et c'est celui que tout le monde vend. Vos données sont stockées dans un centre à Paris, à Amsterdam ou à Francfort. Bravo. Sauf que si l'opérateur est une filiale d'une société de droit américain, le FBI peut exiger l'accès à ces données sur le fondement du Cloud Act. Peu importe le drapeau sur la porte du bâtiment.

Localisation ne veut pas dire souveraineté

C'est la confusion numéro un que je vois dans les comités de direction. On coche la case « données hébergées en UE », on respire, et on passe à autre chose. Sauf que la question pertinente n'est pas « où sont mes données ? » mais « qui a le pouvoir légal de les réquisitionner ? ».

Un fournisseur européen, avec un capital majoritairement européen et une gouvernance européenne, ne répond qu'aux autorités judiciaires de son pays d'établissement. Un fournisseur américain, même avec une filiale luxembourgeoise, reste exposé à la législation extraterritoriale de son pays d'origine. La différence n'est pas technique, elle est juridique.

Et là, franchement, la plupart des DSI que je croise n'ont pas envie d'entendre ça. Parce que ça remet en cause des contrats signés, des architectures déjà en place, des équipes formées sur tel ou tel outil.

Le cloud souverain, définition opérationnelle

Une définition qui tient debout en réunion : un cloud souverain, c'est un service dont l'opérateur est soumis exclusivement à la juridiction de l'État où il est établi, dont l'infrastructure, les logiciels de virtualisation et les outils de gestion sont contrôlés par des entités de cette même juridiction, et dont l'État dispose d'un droit de regard sur les évolutions du service.

Trois critères. Juridique, technique, politique. Si l'un des trois manque, vous n'avez pas de la souveraineté — vous avez du marketing avec un drapeau européen dessus.

Pourquoi le Cloud Act change la donne pour les entreprises françaises

Le règlement général sur la protection des données protège vos données contre les traitements abusifs au sein de l'Union. Il ne protège pas contre une injonction d'un tribunal fédéral américain adressée à une entreprise américaine, même pour des données stockées à Clichy.

Le mécanisme est simple, et brutal. Une société de droit américain est tenue de fournir les données qu'elle « détient, contrôle ou conserve », où qu'elles se trouvent physiquement. La filiale européenne n'est pas un mur. C'est une boîte aux lettres.

Le risque extraterritorial, en pratique

La probabilité qu'une réquisition vous touche directement est faible. Mais la question n'est pas là. La question, c'est celle que posera votre auditeur, votre client grand compte, ou votre autorité de tutelle : « comment garantissez-vous qu'aucune autorité étrangère ne peut accéder à ces données ? »

Si vous n'avez pas de réponse documentée, vous avez un problème. Pas un problème théorique. Un problème contractuel, avec des pénalités attachées.

J'ai vu un industriel perdre un appel d'offres public pour cette raison précise. Pas parce qu'il y avait eu une fuite. Parce que le cahier des charges exigeait une attestation de non-exposition à une législation extraterritoriale, et qu'il ne pouvait pas la fournir.

Ce que dit la réglementation européenne

Trois textes structurent le paysage en 2026.

• Le RGPD encadre le traitement des données personnelles et impose des garanties en cas de transfert hors UE.
• NIS2 élargit les obligations de cybersécurité à des secteurs entiers, avec des responsabilités qui remontent jusqu'aux dirigeants.
• DORA impose aux acteurs financiers une surveillance renforcée de leurs prestataires technologiques, y compris cloud.

Le schéma européen de certification de cybersécurité, l'EUCS, doit venir coiffer tout ça. Mais à l'heure où j'écris, les niveaux de certification les plus élevés — ceux qui imposeraient des garanties strictes d'indépendance — font encore l'objet de négociations entre États membres. Personne ne peut vous dire avec certitude à quelle date le dispositif sera pleinement applicable.

Traduction : vous ne pouvez pas attendre la certification pour agir. Vous devez décider avec les règles actuelles.

Cloud souverain français : quelles options réelles pour une entreprise

Trois familles de solutions existent aujourd'hui, et elles ne répondent pas aux mêmes besoins.

Type d'offre	Juridiction	Contrôle technique	Pertinence
Hyperscaler avec offre « souveraine »	Maison mère hors UE, filiale européenne	Couches propriétaires non européennes	Données peu sensibles, besoins de scalabilité
Opérateur européen indépendant	Exclusivement UE	Technologies majoritairement européennes ou maîtrisées	Données sensibles, secteur régulé
Cloud interne ou privé hébergé	UE, contrôle total	Chaîne intégralement maîtrisée	Données critiques, secret industriel, défense

Le piège, c'est de croire qu'il faut choisir une seule colonne pour toute l'entreprise. Dans la pratique, une approche hybride est presque toujours la bonne réponse : le sensible chez l'opérateur européen, le reste là où c'est le plus efficace.

Cloud souverain def : comment choisir son niveau

La grille que j'utilise tient en quatre questions.

1. Vos données sont-elles soumises à une obligation légale de protection renforcée ? (santé, finance, défense, données personnelles à grande échelle)
2. Un accès non autorisé aurait-il un impact direct sur vos clients, vos patients ou vos salariés ?
3. Vos donneurs d'ordre ou vos marchés publics exigent-ils une attestation de souveraineté ?
4. La perte temporaire du service mettrait-elle en péril votre activité ?

Deux « oui » ou plus : la souveraineté n'est plus une option, c'est une condition d'exercice. Un seul « oui » : traitez le périmètre concerné, pas l'ensemble du système d'information.

Combien ça coûte vraiment

Avouons-le, personne n'aime ce paragraphe. Les coûts de migration vers un cloud souverain sont systématiquement sous-estimés. Non pas à cause du prix des serveurs — il est souvent comparable. À cause de tout le reste.

Réécriture des automatisations. Reformations des équipes. Adaptation des outils de supervision. Reprise des tests de performance. Négociation des sorties de contrat. Et le fameux « on garde les deux environnements en parallèle pendant six mois, par sécurité ».

Sur un projet que j'ai suivi, la facture finale a atteint 2,7 fois le budget initial. Pas parce que le fournisseur a menti. Parce que personne n'avait compté les heures internes.

Cloud européen pour particulier : ce qui change vraiment

La question revient souvent, et elle mérite une réponse honnête : pour un particulier, la souveraineté au sens juridique strict a peu d'impact direct. Personne ne va réquisitionner vos photos de vacances.

Ce qui change, en revanche, c'est le modèle économique. Un service gratuit dont vous n'êtes pas le client, mais le produit, monétise vos données d'une manière ou d'une autre — publicité, entraînement de modèles, revente agrégée. Un service européen payant, même quelques euros par mois, a un modèle plus lisible : vous payez, il vous sert.

Le cloud éthique, ce n'est pas une question de drapeau. C'est une question de savoir qui paie, et pourquoi.

Pour un usage personnel, je conseille de regarder trois choses : le pays d'établissement de l'opérateur, la clarté de sa politique de traitement, et la possibilité de chiffrer vous-même vos données avant envoi. Cette dernière option rend la question de la juridiction presque secondaire.

Les pièges que personne ne vous signale

Il y a un angle que je n'ai vu nulle part dans les analyses que j'ai pu lire sur le sujet : la souveraineté ne s'arrête pas à la couche d'hébergement.

Votre fournisseur européen utilise peut-être un hyperviseur américain. Une brique de chiffrement israélienne. Un outil de supervision édité par une société rachetée par un fonds non européen. La chaîne de dépendance est longue, et elle n'est presque jamais documentée dans les contrats.

C'est le point aveugle du débat. On discute de la nationalité de l'opérateur, et on oublie de demander la liste des composants.

La question à poser à votre fournisseur

« Pouvez-vous me fournir la liste des éditeurs de la chaîne technique, avec leur pays d'établissement et leur structure capitalistique ? »

La plupart ne pourront pas répondre. Ceux qui répondent du tac au tac sont ceux avec qui il faut discuter.

Faut-il tout rapatrier ?

Non. Et c'est probablement l'erreur la plus coûteuse que l'on puisse commettre. Rapatrier l'ensemble de son système d'information au nom de la souveraineté, c'est transformer un enjeu de gouvernance en projet industriel de trois ans.

La bonne approche : segmenter par sensibilité. Identifier ce qui, en cas d'exposition, aurait un impact réel. Traiter ce périmètre. Laisser le reste là où il est économiquement pertinent.

Ce qui va changer dans les prochains mois

Le cadre européen se durcit par petites touches, sans annonce spectaculaire. Les exigences des acheteurs publics intègrent progressivement des clauses de souveraineté. Les assureurs cyber commencent à poser des questions sur la localisation juridique des données, pas seulement sur leur localisation physique.

Ces trois mouvements convergent vers la même conclusion : la souveraineté cloud cesse d'être un sujet de DSI pour devenir un sujet de direction générale. Avec les conséquences que cela implique en termes de responsabilité.

Ce que je ne peux pas vous dire, c'est à quelle date les certifications européennes trancheront le débat. Ce que je peux vous dire, c'est que les entreprises qui ont commencé à segmenter leur système d'information par niveau de sensibilité — même imparfaitement, même partiellement — seront celles qui absorberont le mieux les prochaines obligations réglementaires.

Les autres négocieront dans l'urgence. Comme d'habitude.

Et si vous ne devez retenir qu'une chose de cet article : la question n'est pas « où sont mes données ? ». C'est « qui peut les exiger, et à quel titre ? ». Tant que vous n'avez pas de réponse écrite à cette seconde question, vous n'avez pas de stratégie cloud. Vous avez un contrat de location.