Cloud américain, dépendance européenne, souveraineté des données, ce numéro d’équilibriste de Bruxelles inquiète

La Commission européenne avance sur une ligne étroite : réduire la dépendance de l’Union européenne aux grands fournisseurs américains de cloud, sans provoquer de rupture brutale pour les entreprises et les administrations qui utilisent déjà massivement leurs services. Le dossier, relancé dans le débat public par Contexte, touche à la sécurité des données, à la concurrence et à la capacité industrielle du continent. En 2026, la question ne se limite plus aux spécialistes du numérique. Elle concerne les hôpitaux, les banques, les collectivités, les industriels et les services publics qui stockent ou traitent des informations sensibles sur des infrastructures souvent liées à AWS, Microsoft Azure ou Google Cloud.

Bruxelles arbitre entre souveraineté cloud et concurrence

La Commission européenne doit composer avec deux objectifs qui ne se recoupent pas toujours. D’un côté, elle veut renforcer la souveraineté numérique de l’Union en limitant l’exposition aux législations étrangères, notamment américaines. De l’autre, elle doit préserver le marché unique, où les entreprises choisissent leurs prestataires selon le prix, la qualité de service et la profondeur technologique. Une préférence trop directe pour des fournisseurs européens exposerait Bruxelles à des critiques sur la concurrence.

Ce dossier illustre une tension devenue classique dans la politique industrielle européenne. Les institutions défendent depuis plusieurs années une autonomie accrue dans les semi-conducteurs, les batteries, l’intelligence artificielle et les données. Le cloud occupe une place centrale dans cette liste, car il porte les outils d’analyse, les logiciels métier, les plateformes d’intelligence artificielle et la sauvegarde des données critiques. Un changement de cap impose des investissements lourds et des délais longs, surtout pour les grands groupes déjà engagés dans des contrats pluriannuels.

Bruxelles ne peut pas se contenter d’un discours politique. Les services de la Commission examinent les leviers juridiques disponibles : marchés publics, certification de cybersécurité, obligations sectorielles, règles applicables aux données sensibles. Chaque outil produit des effets différents. Des critères stricts peuvent protéger les informations stratégiques, mais ils risquent de réduire le nombre de prestataires disponibles. Des règles trop souples rassurent les clients à court terme, mais elles maintiennent la dépendance actuelle.

La question budgétaire pèse aussi lourd dans l’équation. Les fournisseurs américains ont investi depuis plus d’une décennie dans des centres de données, des équipes commerciales, des services de cybersécurité et des outils prêts à l’emploi. Pour construire une stratégie cloud européenne crédible, il faut financer des infrastructures, sécuriser l’énergie disponible et attirer des compétences rares. La Commission doit donc avancer sans fragiliser les services numériques déjà utilisés au quotidien par des milliers d’organisations.

AWS, Microsoft et Google dominent les contrats européens

La dépendance européenne ne vient pas d’une décision unique, mais d’une accumulation de choix publics et privés. Amazon Web Services, Microsoft Azure et Google Cloud disposent d’une avance commerciale et technique considérable. Leurs catalogues regroupent des centaines de services, du stockage à l’analyse de données, des bases de données managées aux outils d’intelligence artificielle. Pour un directeur informatique, ces plateformes offrent une rapidité de déploiement difficile à égaler.

Cette domination repose aussi sur l’écosystème logiciel. Microsoft occupe une place majeure dans les environnements bureautiques, les outils collaboratifs et les annuaires d’entreprise. AWS a construit un réseau très dense de partenaires techniques. Google met en avant ses capacités en données et en apprentissage automatique. Cette profondeur rend les migrations complexes. Quitter une plateforme ne signifie pas seulement déplacer des fichiers. Il faut réécrire des applications, former les équipes, renégocier les contrats et contrôler les risques de panne.

Les administrations européennes sont confrontées à la même difficulté que les entreprises privées. Elles veulent réduire leur exposition juridique, mais elles doivent maintenir des services accessibles au public. Les systèmes de santé, les impôts, les transports ou l’éducation ne peuvent pas être déplacés dans la précipitation. Les responsables informatiques demandent des garanties de continuité, des audits de sécurité et des coûts prévisibles. Dans ce contexte, la puissance commerciale des acteurs américains conserve un avantage déterminant.

Les chiffres disponibles varient selon les méthodes de calcul, mais les études de marché placent régulièrement les trois grands fournisseurs américains en tête du cloud public en Europe. Les acteurs européens gardent des positions solides dans l’hébergement, les services managés et certains segments sensibles, mais leur capacité à rivaliser sur l’ensemble du catalogue demeure limitée. Cette asymétrie nourrit le débat politique : faut-il privilégier une transition progressive, ou réserver certains usages critiques à des prestataires soumis uniquement au droit européen ?

L’EUCS cristallise le débat sur les garanties juridiques

Le projet de certification européenne de cybersécurité pour les services cloud, connu sous le sigle EUCS, concentre une grande partie des tensions. Ce dispositif doit permettre de classer les services selon leur niveau de sécurité. Les discussions portent notamment sur les exigences applicables aux niveaux les plus élevés. Plusieurs acteurs européens défendent des critères de souveraineté stricts, incluant la localisation du contrôle opérationnel et la protection contre l’accès par des autorités étrangères.

Les grands fournisseurs non européens contestent une approche qu’ils jugent discriminatoire. Leur argument tient en partie à la réalité du marché : beaucoup d’organisations européennes utilisent déjà leurs services, souvent avec des centres de données installés dans l’Union. Ils mettent en avant les investissements locaux, les emplois créés et les garanties contractuelles offertes aux clients. Le débat ne porte donc pas seulement sur l’emplacement des serveurs, mais sur la capacité effective d’un prestataire à résister à une demande juridique extérieure.

Le CLOUD Act américain reste au cœur des inquiétudes. Cette loi peut, dans certains cas, permettre aux autorités des États-Unis de demander des données à une entreprise américaine, même lorsque ces données sont stockées hors du territoire américain. Les fournisseurs concernés soulignent l’existence de procédures de contestation et de mécanismes contractuels. Les partisans d’une ligne plus stricte jugent ces protections insuffisantes pour les données publiques sensibles, les informations de défense ou certains fichiers industriels.

Bruxelles doit aussi tenir compte du RGPD, des règles de cybersécurité issues de NIS2 et des exigences financières de DORA. L’empilement réglementaire impose aux clients de documenter leurs risques, leurs sous-traitants et leurs plans de continuité. Une certification claire pourrait faciliter les décisions d’achat, à condition d’être lisible. Si les critères deviennent trop techniques ou trop politisés, les administrations risquent de retarder leurs projets, tandis que les entreprises chercheront des solutions hybrides pour éviter un basculement coûteux.

OVHcloud, Orange et Deutsche Telekom cherchent l’échelle

Les fournisseurs européens ne partent pas de zéro. OVHcloud, Orange Business, Deutsche Telekom ou encore plusieurs opérateurs spécialisés disposent de centres de données, d’équipes de cybersécurité et d’une connaissance fine des clients publics. Leur argument principal repose sur la maîtrise juridique et opérationnelle des infrastructures. Pour les données les plus sensibles, cette proximité peut devenir un avantage commercial réel, surtout dans les secteurs soumis à des règles de conformité strictes.

Le problème tient à l’échelle. Les hyperscalers américains investissent des dizaines de milliards de dollars dans les infrastructures cloud et l’intelligence artificielle. Ils achètent des processeurs avancés, réservent de vastes capacités électriques et automatisent leurs services à grande vitesse. Les acteurs européens doivent suivre ce rythme avec des moyens plus limités. Ils peuvent se différencier par la confiance, la localisation, la transparence contractuelle et le support, mais les clients attendent aussi des prix compétitifs et des services innovants.

Des alliances tentent de combler cet écart. Les offres de cloud de confiance, les partenariats entre opérateurs télécoms, les projets portés autour de données industrielles et les initiatives liées à l’intelligence artificielle cherchent à créer un socle commun. Le succès dépendra de la capacité à proposer des services simples à acheter et à intégrer. Les directions informatiques refusent les solutions symboliques. Elles veulent des interfaces stables, des engagements de service, des outils de supervision et des garanties de réversibilité.

La Commission peut accélérer ce mouvement par les marchés publics, les financements européens et les règles applicables aux données critiques. Elle doit néanmoins éviter une injonction irréaliste. Une migration complète hors des plateformes américaines demanderait des années dans de nombreux secteurs. Le scénario le plus probable repose sur une segmentation : clouds européens pour les usages les plus sensibles, clouds internationaux pour les services standardisés, architectures hybrides pour les grandes organisations. Cette répartition impose une gouvernance fine, car la dépendance ne disparaît pas par décret.