Le cadre européen de souveraineté du cloud : qu’est-ce que c’est et remplit-il son objectif ?

Les puces électroniques taïwanaises, le pétrole du Golfe persique et les voitures allemandes : ce qui allait de soi est aujourd’hui remis en question à l’échelle mondiale. Lorsque les marchés et le savoir-faire se concentrent entre les mains de quelques fournisseurs, d’énormes économies d’échelle se réalisent.

Dans le même temps, les dépendances augmentent également, souvent accompagnées de risques qui ne deviennent apparents que lorsque les approvisionnements sont perturbés, que les prix augmentent, que la demande change, que les politiques évoluent ou lorsque certains acteurs commencent à monopoliser le marché.

Prenons l'exemple de l'intelligence artificielle : selon l'institut de recherche Epoch AI, seuls deux modèles d'IA majeurs ont émergé en Europe ces 20 dernières années, contre 50 aux États-Unis et 30 en Chine. Cette technologie s'est développée si rapidement que les conséquences de ce déséquilibre commencent seulement à se faire sentir sur les marchés européens.

L'Europe est-elle devenue trop dépendante ?

Des applications bureautiques aux ressources de stockage et de calcul en passant par les logiciels, ce que les fournisseurs proposent depuis leurs centres de données de manière hautement évolutive, à disponibilité maximale et très innovante ne provient pas, dans la plupart des cas, du continent européen.

D'après le rapport 2026 de Bitkom sur le cloud, environ 85 % des entreprises allemandes estiment que l'Allemagne est trop dépendante des fournisseurs américains, et près des deux tiers des utilisateurs allemands (64 %) se sentent contraints de revoir leur stratégie informatique en raison de la politique du gouvernement américain. Des pays comme la France prennent déjà des mesures : le gouvernement français a annoncé son intention de remplacer Windows par Linux sur les ordinateurs de l'administration.

Parallèlement, la Caisse nationale d'assurance maladie a déjà transféré 80 000 employés de Microsoft Teams, Zoom et Dropbox vers ses propres alternatives.

Que ce soit en Allemagne ou en France, la question de la dépendance numérique des entreprises, des gouvernements et des sociétés vis-à-vis des fournisseurs individuels est soulevée à travers l'Europe. Ce phénomène n'est pas nouveau. Alors que Gaia-X s'est concentré sur des normes communes pour le cloud computing souverain, l'UE adopte désormais une approche plus pragmatique.

Le Cloud Sovereignty Framework (CSF), dévoilé en octobre 2025, vise à rendre la souveraineté numérique mesurable. Pour ce faire, il s'appuie sur des initiatives telles que Gaia-X, ainsi que sur des réglementations comme DORA et NIS2, avec pour objectif final de privilégier les fournisseurs conformes et à faible risque dans les marchés publics.

Mesure de souveraineté

Contrôler et normaliser les flux de données numériques privées à l'échelle régionale représente un défi de taille dans un monde où les géants de l'IA se développent à l'étranger. Concernant les chaînes d'approvisionnement informatiques, le cadre privilégie les fournisseurs qui gèrent leurs environnements de manière transparente, flexible et souveraine afin de garantir la protection des systèmes contre les influences extérieures et les intérêts de tiers.

Cela signifie, par exemple, que les flux de données doivent être traçables et contrôlables au niveau régional afin de garantir leur conformité au cadre juridique de l'UE. Autrement dit, il ne peut y avoir de cloud souverain sans stratégie de connectivité. En effet, les points d'échange Internet (IX) jouent déjà un rôle essentiel dans le traitement local des données. Lorsque des entreprises, des réseaux et des clouds se connectent à des IX, ils échangent des informations via des chemins géolocalisés avec précision.

Bien que l'Union européenne ne désigne pas explicitement les points d'échange Internet (IX) comme critère d'évaluation, leur importance est fortement sous-entendue. Par exemple, le cadre de souveraineté du cloud (CSF) évalue également les services cloud en fonction d'objectifs juridiques, opérationnels et techniques liés à la chaîne d'approvisionnement. Ce concept se retrouve également dans la directive NIS2, qui préconise des infrastructures plus décentralisées et résilientes, telles que des plateformes d'interconnexion mutuellement sécurisées, en tant que points d'échange Internet (IX).

Concrètement, cela signifie que la sécurité d'un environnement informatique dépend de celle de ses composants individuels. Par conséquent, si tous les partenaires conçoivent les composants qu'ils fournissent avec plusieurs niveaux de redondance, le système global devient non seulement plus fiable, mais aussi plus indépendant pour tous les acteurs impliqués.

Les points d'échange Internet (IX) distribués et indépendants des fournisseurs ont déjà fait de ce principe leur philosophie directrice : permettre l'échange de données avec une haute disponibilité, sécurité et contrôle – entre toutes les entreprises, les partenaires et les clouds au sein de l'écosystème numérique.

L'Europe à la croisée des chemins

Si les problèmes techniques se résolvent généralement facilement, les questions juridiques sont souvent plus complexes et difficiles à aborder. Par conséquent, le Cloud Sovereignty Framework (CSF) ne révolutionnera probablement pas le marché européen du cloud du jour au lendemain, mais il a le potentiel d'orienter la demande globale de manière significative. De ce fait, les approches hybrides, multicloud et cloud sur site prennent une importance croissante, et l'informatique devient infiniment plus complexe.

Si le dénouement de cette complexité exigera des efforts supplémentaires, la restructuration des réseaux autour de points d'échange neutres (IX) présentera un double avantage : elle réduira non seulement le risque de dépendance à long terme, mais atténuera également la menace d'une hausse significative des prix ultérieurement, lorsque la situation évoluera inévitablement. L'Europe doit désormais prendre conscience de cette réalité et adapter et renforcer son marché des fournisseurs de services en conséquence.

De même que les activités de 46 % des entreprises s'arrêteraient en cas de panne prolongée, sans le cloud, il ne peut y avoir d'administration publique efficace – ni d'État indépendant, souverain et donc capable.