2026, cloud souverain, données critiques, IA et autonomie totale, l’illusion que Capgemini expose aux entreprises

Le débat sur le cloud souverain entre dans une phase plus pragmatique. Selon l’analyse rapportée par ZDNET, Aiman Ezzat, directeur général de Capgemini, estime que l’autonomie technologique totale relève de l’illusion. Cette position ne revient pas à abandonner l’objectif de souveraineté numérique, mais à distinguer l’indépendance absolue, rarement accessible, d’une maîtrise opérationnelle des dépendances jugées critiques.

En 2026, les entreprises européennes cherchent à protéger leurs données, leurs traitements d’intelligence artificielle et leurs infrastructures stratégiques sans renoncer aux services avancés proposés par les grands acteurs mondiaux du cloud. Le sujet concerne les administrations, les banques, les industriels, les hôpitaux et les opérateurs de services essentiels, confrontés à des obligations réglementaires croissantes et à une pression économique constante.

Aiman Ezzat privilégie l’interdépendance contrôlée au cloud national

La position attribuée à Aiman Ezzat s’inscrit dans une lecture industrielle du numérique. Le dirigeant de Capgemini ne conteste pas le besoin de protection des données sensibles, mais il rappelle qu’une chaîne cloud repose sur des couches multiples, rarement maîtrisées par un seul pays ou un seul fournisseur. Serveurs, processeurs, logiciels de virtualisation, bases de données, outils d’observabilité, solutions de cybersécurité et services d’intelligence artificielle forment un ensemble imbriqué.

L’idée d’une autonomie technologique totale se heurte donc à la réalité des chaînes d’approvisionnement. Même un fournisseur européen peut dépendre de composants conçus aux États-Unis, fabriqués en Asie, sécurisés par des bibliothèques open source internationales et maintenus par des communautés réparties sur plusieurs continents. Cette interdépendance n’est pas propre au cloud, mais le cloud la rend plus visible, car les mises à jour, les correctifs de sécurité et les services managés évoluent en continu.

Le débat se déplace de ce fait vers la capacité de contrôle. Une entreprise ou une administration peut accepter certains composants étrangers si elle dispose de garanties sur l’hébergement, les accès, la journalisation, la réversibilité et le chiffrement. Le cloud souverain devient moins un produit fermé qu’un modèle de gouvernance, fondé sur des règles contractuelles, techniques et juridiques vérifiables. Cette approche impose de savoir quelles données doivent rester sous contrôle renforcé et quelles charges de travail peuvent utiliser des services plus ouverts.

La prise de position de Capgemini a un poids particulier, car le groupe intervient à la fois comme intégrateur, conseil et partenaire de grands programmes de transformation numérique. Son message s’adresse aux directions générales autant qu’aux responsables informatiques. Il invite à sortir d’une opposition binaire entre hyperscalers étrangers et offre européenne isolée. Dans les faits, les organisations les plus avancées construisent souvent des architectures hybrides, avec plusieurs niveaux de sensibilité et des exigences différentes selon les usages.

Bleu et S3NS illustrent le compromis français avec les hyperscalers

Le marché français fournit déjà des exemples de compromis. Bleu, porté par Orange et Capgemini, s’appuie sur des technologies Microsoft dans une structure conçue pour répondre aux attentes françaises en matière de confiance numérique. De son côté, S3NS, issu d’un partenariat entre Thales et Google Cloud, poursuit une logique comparable. Dans les deux cas, l’objectif n’est pas de recréer en quelques années l’intégralité d’un hyperscaler mondial, mais d’encadrer l’usage de briques technologiques éprouvées.

Ces projets répondent à une demande très concrète des clients publics et privés. Beaucoup veulent bénéficier d’outils modernes de calcul, de données, de cybersécurité ou d’intelligence artificielle, tout en limitant les risques liés à l’extraterritorialité juridique. La promesse repose sur des entités locales, des opérations contrôlées, des personnels habilités, des engagements contractuels renforcés et une trajectoire de qualification conforme aux exigences françaises les plus strictes.

Le compromis a aussi ses limites. La feuille de route fonctionnelle dépend en partie des éditeurs d’origine. Les innovations majeures, les correctifs de sécurité et certains services avancés restent liés aux grands fournisseurs américains. Les clients gagnent en protection juridique et opérationnelle, mais ils ne sortent pas totalement de la dépendance technologique. C’est précisément le point mis en avant dans le débat ouvert autour de la souveraineté numérique européenne.

Pour les grandes entreprises, ce modèle peut néanmoins réduire la friction. Une banque, un assureur ou un industriel peut conserver des environnements familiers pour ses développeurs, sans imposer une migration massive vers des outils moins riches ou moins diffusés. Le choix devient un arbitrage entre niveau de contrôle, richesse fonctionnelle, coût d’exploitation et disponibilité des compétences. Les offres strictement européennes conservent leur place, surtout pour certains besoins critiques, mais elles doivent convaincre face à des catalogues de services très étendus.

SecNumCloud impose une séparation juridique et opérationnelle renforcée

La qualification SecNumCloud, portée par l’ANSSI, joue un rôle central dans le débat français. Elle ne constitue pas une simple mention commerciale. Elle impose des exigences sur la sécurité technique, la gouvernance, l’exploitation, la localisation de certaines opérations et la protection contre les influences non européennes. Pour les acteurs du cloud de confiance, obtenir cette qualification représente un investissement lourd, long et structurant.

Le cadre français s’inscrit dans un environnement européen plus large. Le RGPD a installé la protection des données personnelles au centre des décisions numériques. D’autres textes et obligations sectorielles renforcent la pression sur les opérateurs financiers, les services essentiels et les organisations manipulant des informations sensibles. En 2026, les directions juridiques, cybersécurité et achats ne traitent plus le cloud comme une simple ressource informatique, mais comme un sujet de conformité et de souveraineté.

La séparation juridique et opérationnelle recherchée par les dispositifs de confiance vise à limiter les risques d’accès non autorisé aux données. Elle implique des contrôles sur les administrateurs, la traçabilité des interventions, la gestion des clés de chiffrement, les procédures d’audit et les mécanismes de réponse aux incidents. Ces exigences ont un coût. Elles peuvent ralentir le déploiement de certains services ou restreindre l’accès immédiat aux dernières fonctionnalités disponibles dans les clouds publics mondiaux.

La qualification ne supprime pas toutes les dépendances. Les équipements matériels, les microcodes, les logiciels libres et les standards internationaux continuent d’inscrire le cloud dans un écosystème mondial. Elle apporte plutôt un cadre vérifiable, utile pour classer les usages. Les données de défense, les dossiers de santé, les secrets industriels, les modèles d’intelligence artificielle propriétaires ou les registres d’identité ne requièrent pas le même niveau de protection qu’un site public ou une application marketing. Le mérite du débat actuel tient à cette hiérarchisation des risques.

Les DSI arbitrent entre protection des données et performance industrielle

Pour les DSI, le sujet n’est pas théorique. Une stratégie de cloud totalement fermée peut alourdir les coûts, limiter les compétences disponibles et retarder des projets attendus par les métiers. À l’inverse, un recours non maîtrisé à des plateformes mondiales peut exposer l’organisation à des risques juridiques, contractuels ou réputationnels. Entre ces deux extrêmes, les entreprises bâtissent des architectures différenciées selon la criticité des données et des traitements.

Un établissement financier peut réserver un cloud qualifié à ses calculs de risque, à ses archives réglementaires ou à certaines données clients, tout en utilisant un cloud public pour des analyses anonymisées ou des environnements de développement. Un hôpital peut privilégier un hébergement de confiance pour les dossiers patients, mais recourir à des outils externes pour la gestion logistique, à condition que les données sensibles soient isolées. Ces choix supposent une cartographie précise des flux et des responsabilités.

La dimension économique pèse lourd. Les coûts de sortie de données, la portabilité des applications, la disponibilité des compétences, les engagements de niveau de service et la capacité de réversibilité doivent être évalués avant la signature des contrats. Le multicloud n’est pas une solution automatique, car il peut accroître la complexité opérationnelle. Il devient pertinent lorsque l’organisation dispose d’une gouvernance solide, d’outils communs de supervision et d’équipes capables de piloter plusieurs fournisseurs.

La tendance la plus crédible en 2026 tient à une souveraineté par conception. Les entreprises renforcent le chiffrement avec des clés contrôlées par le client, segmentent les environnements, conservent des sauvegardes indépendantes, négocient des clauses d’audit et testent régulièrement leurs plans de sortie. L’objectif n’est pas l’autarcie numérique, mais la réduction mesurable des dépendances critiques. Cette lecture rejoint le message prêté à Capgemini: la souveraineté ne se décrète pas par slogan, elle se construit par des choix d’architecture, de contrats et de contrôle continu.