Cloud souverain : se passer des géants américains ?

La question de la souveraineté numérique revient souvent quand on parle d’IA en entreprise, et sous une forme binaire : soit on accepte de tout confier aux grands fournisseurs américains, soit on refuse l’IA. Les deux options sont mauvaises. Nous pensons que la souveraineté totale est hors de portée pour l’Europe, et encore plus pour une PME. La souveraineté sélective, elle, est accessible : savoir ce qui doit rester chez soi, ce qui peut partir ailleurs, et comment on reprendrait la main si les conditions changeaient. Le cloud souverain en est l’un des outils, utile pour les données qui le justifient, pas pour tout.

En bref

• Les fournisseurs européens ne tiennent plus qu’environ 15 % du marché européen du cloud ; Amazon, Microsoft et Google en détenaient 70 % en 2024.
• En IA, l’investissement privé américain représentait en 2024 près de douze fois celui de la Chine, et l’Europe a produit 3 des modèles jugés notables cette année-là, contre 40 aux États-Unis.
• Le droit américain peut obliger un fournisseur à livrer des données stockées hors des États-Unis ; le droit européen supprimera les frais de changement de fournisseur de cloud le 12 janvier 2027.
• Un cloud souverain se juge au droit qui s’applique à son fournisseur, pas seulement à l’endroit où sont ses serveurs : en France, la référence est la qualification SecNumCloud de l’ANSSI, qui ne répond, selon l’agence elle-même, qu’à certaines menaces.
• Notre position : une souveraineté sélective, qui classe ses données, préfère ce qui s’exporte et prévoit la sortie dès l’entrée.

Avant de détailler notre avis, regardons les chiffres et les deux camps.

Ce que disent les chiffres

Sur le cloud, le cabinet d’analyse Synergy Research Group a publié le 24 juillet 2025 une mesure de la part de marché des fournisseurs européens en Europe. Elle est passée de 29 % en 2017 à 15 % en 2022, puis s’est stabilisée autour de 15 %. Les fournisseurs européens ont pourtant plus que triplé leur chiffre d’affaires entre 2017 et 2024 ; mais le marché, lui, a été multiplié par six, jusqu’à 61 milliards d’euros en 2024, et ce sont surtout Amazon, Microsoft et Google qui ont profité de cette croissance. En 2024, ils en détenaient à eux trois 70 %, contre 2 % chacun pour les deux premiers européens, SAP et Deutsche Telekom.

Sur l’IA, l’écart est encore plus net. Le rapport AI Index 2025 de l’université Stanford chiffre l’investissement privé dans l’IA aux États-Unis à 109,1 milliards de dollars en 2024, près de douze fois celui de la Chine (9,3 milliards) et vingt-quatre fois celui du Royaume-Uni (4,5 milliards). La même année, toujours selon ce rapport, des institutions américaines ont produit 40 modèles d’IA jugés notables, contre 15 en Chine et 3 en Europe.

Ces deux constats posent le cadre : la dépendance n’est pas une hypothèse, c’est l’état du marché tel qu’il était mesuré en 2024.

Position 1 : la dépendance est un risque stratégique

Le premier camp avance trois arguments.

Le droit. Un fournisseur soumis au droit d’un autre pays peut être contraint par ce droit, y compris pour des données stockées en Europe. Aux États-Unis, c’est le sens du CLOUD Act de mars 2018 : un fournisseur de communications électroniques ou de services de cloud soumis au droit américain doit, sur réquisition des autorités américaines, communiquer les données qu’il a en sa possession, sous sa garde ou sous son contrôle, qu’elles soient stockées aux États-Unis ou ailleurs. Pour une entreprise qui gère des données de santé, des données financières ou des secrets industriels, la localisation physique du serveur ne suffit donc pas à régler la question.

Le prix. Quand trois acteurs tiennent l’essentiel d’un marché, ils fixent les règles du jeu : tarifs, conditions de sortie, frais pour récupérer ses propres données. Plus une entreprise s’appuie sur des services propres à un fournisseur, plus il lui coûte cher de partir. Le règlement européen sur les données s’attaque à une partie du problème : selon la Commission européenne, il supprimera entièrement les frais de changement de fournisseur de cloud, frais de sortie des données compris, à compter du 12 janvier 2027. D’ici là, les fournisseurs peuvent encore facturer ces coûts, et le travail de migration, lui, ne disparaîtra pas avec eux.

La continuité. Un service peut changer de conditions, disparaître ou être restreint pour des raisons commerciales ou politiques. Une entreprise dont l’activité repose sur un seul fournisseur d’IA n’a aucun levier si ce fournisseur modifie son modèle ou ses tarifs du jour au lendemain.

Position 2 : le rattrapage est illusoire, et le meilleur outil reste le meilleur outil

Le second camp répond par le réalisme.

L’écart d’investissement ne se comble pas par décret. Avec de tels écarts entre les montants investis, prétendre égaler les grands laboratoires américains à court terme relève du vœu pieux.

Les entreprises veulent ce qui marche. Un dirigeant de PME ne choisit pas un outil pour des raisons géopolitiques : il veut qu’il soit fiable, documenté, intégré à ses autres logiciels. Imposer un outil moins bon au nom de la souveraineté, c’est pénaliser ses propres équipes.

La souveraineté a un coût. Héberger soi-même demande des compétences, de la maintenance, des sauvegardes. Une PME qui n’a pas ces ressources peut être moins en sécurité sur son propre serveur que chez un grand fournisseur.

Ces arguments sont solides. Ils ont seulement un défaut : ils raisonnent en tout ou rien.

Ce que nous en pensons

Nous exploitons nous-mêmes un serveur qui fait tourner une douzaine de services pour cinq entreprises clientes : le CRM (Twenty, que nous utilisons depuis plus d’un an et demi), l’automatisation (n8n), la mesure d’audience (Matomo), la signature électronique, la facturation et des modèles d’IA locaux (Ollama). Nous ne le faisons pas par idéologie : ces outils, dont le code est public, tiennent sur une seule machine, et nous gardons la main sur leurs données, leurs mises à jour et leurs sauvegardes. En revanche, nous confions à des fournisseurs américains ce qui n’a rien de sensible. Le pipeline de traduction de Palmora, un portail d’annonces immobilières en Thaïlande que nous opérons, est ainsi passé de DeepL, un service allemand, à Gemini, de Google : son coût a été divisé par 60. Pour les données sensibles (RH, juridique, santé), notre table de routage prévoit l’inverse : un modèle qui tourne sur notre propre serveur avec Ollama, déjà en production chez nous.

Les deux ne sont pas contradictoires. Notre position tient en trois règles :

1. Classer ses données avant de choisir ses outils. Notre propre grille tient en trois niveaux. Ce qui est public (fiches produit, articles, descriptions de biens) peut passer par n’importe quel bon fournisseur, au meilleur prix. L’interne non personnel (procédures, bases de connaissance) va chez un fournisseur qui s’engage à ne pas conserver les données ni à s’en servir pour entraîner ses modèles, engagement à vérifier au moment du choix. Le personnel ou réglementé (RH, santé, juridique, données clients nominatives) reste sur un serveur que l’on administre, ou chez un fournisseur européen encadré par contrat.
2. Préférer ce qui s’exporte. Un logiciel ouvert, un format standard, une base de données qu’on peut copier : ce sont des portes de sortie. Un service fermé dont on ne peut rien extraire est une dépendance, même s’il est excellent.
3. Prévoir la sortie dès l’entrée. La question « comment on part si les prix doublent ? » doit être posée le jour où l’on signe, pas le jour où les prix doublent.

Une précision honnête : l’auto-hébergement n’est pas une solution miracle. Il exige des sauvegardes testées, des mises à jour et quelqu’un qui surveille. Sans cela, on remplace un risque de dépendance par un risque de panne ou de fuite. Nous l’avons vécu en juillet 2026 : une commande de nettoyage a supprimé d’un coup les conteneurs de dix services sur notre serveur. Les données, rangées dans des volumes séparés, ont été sauvées, et nos règles d’exploitation en sont nées ; nous racontons ce qui casse vraiment quand on sauvegarde un serveur à soi.

Ce qui nous ferait changer d’avis : l’arrivée d’offres européennes de cloud et de modèles d’IA de niveau équivalent, à prix comparable, avec le même écosystème d’intégrations. Ce jour-là, la souveraineté sélective pourrait devenir plus large. En octobre 2026, nous n’y sommes pas.

Cloud souverain : ce que garantit vraiment SecNumCloud

Derrière l’expression « cloud souverain », la question est d’abord juridique. Un serveur installé en France ne suffit pas : si son fournisseur relève du droit américain, le CLOUD Act présenté plus haut s’applique à lui. En France, la référence est la qualification SecNumCloud de l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information. Selon sa page consacrée au cloud, elle permet de reconnaître des offres cloud « de confiance », dont l’utilisation est préconisée pour protéger les données sensibles, face à la menace cybercriminelle comme à l’application de lois extraterritoriales.

Ce qui la distingue d’un simple hébergement en Europe, ce sont ses critères d’immunité aux lois non européennes. D’après la foire aux questions de l’ANSSI sur SecNumCloud, le fournisseur doit avoir son siège social dans un État membre de l’Union européenne, les entités situées hors de l’Union doivent rester minoritaires dans son capital, et les données des clients doivent être stockées et traitées dans l’Union, tout comme les annuaires des comptes d’administration et les journaux techniques. Élaboré en 2016, le référentiel a été mis à jour à la suite d’une circulaire du 5 juillet 2021 : cette mise à jour y a ajouté des critères techniques et juridiques d’immunité aux lois extra-européennes. Il couvre les logiciels en ligne comme les infrastructures, et la qualification vaut trois ans, avec des audits de surveillance chaque année.

L’ANSSI en fixe aussi les limites, et elles comptent autant que les garanties. SecNumCloud reconnaît une offre précise, pas un fournisseur ni une infrastructure : une offre hébergée sur une offre qualifiée n’est pas automatiquement qualifiée elle-même. La qualification ne préjuge pas non plus du niveau de sécurité des services que le client y installe, un site web par exemple. Et l’agence l’écrit elle-même : SecNumCloud « ne répond qu’à certaines menaces », et y recourir ne dispense pas de mener sa propre analyse de risques avant de migrer.

Pour ses propres services numériques, l’État a tranché. Sa doctrine « Cloud au centre » impose, pour chaque produit numérique qui manipule des données d’une sensibilité particulière, une offre commerciale qualifiée SecNumCloud, ou dotée d’une qualification européenne d’un niveau au moins équivalent, et « immunisée contre tout accès non autorisé par des autorités publiques d’État tiers ». Sont visées les données dont la violation pourrait porter atteinte à l’ordre public, à la sécurité publique, à la santé et la vie des personnes ou à la protection de la propriété intellectuelle.

À l’échelle européenne, le schéma de certification de cybersécurité des services cloud, appelé EUCS, « n’est pas finalisé à ce jour », selon la foire aux questions de l’ANSSI consultée en octobre 2026. Le 17 novembre 2025, l’ANSSI et son homologue allemand, le BSI, ont publié une déclaration commune sur les critères de souveraineté numérique du cloud : elle souligne la nécessité pour l’Union européenne de renforcer sa souveraineté numérique face aux dépendances technologiques non européennes.

Notre lecture : SecNumCloud traite le risque juridique que pose le CLOUD Act, ce qu’un simple hébergement en Europe ne fait pas ; il ne règle pas tout le reste. Il ne remplace ni des sauvegardes testées ni la porte de sortie dont nous parlions plus haut. Il a sa place au troisième niveau de notre grille : quand des données personnelles ou réglementées ne peuvent pas rester sur un serveur que l’on administre, c’est la référence pour vérifier qu’un fournisseur européen l’est aussi en droit, et la première option à regarder quand un contrat ou une réglementation l’exige. Avant de choisir, vérifiez que l’offre précise que vous visez figure, avec ses dates de validité, dans le catalogue des solutions qualifiées par l’ANSSI, mis à jour au moins une fois par mois : c’est l’offre qui est qualifiée, pas le fournisseur.

Ce que ça change concrètement pour une entreprise

Pour une entreprise de 20 à 500 personnes, la souveraineté ne commence pas par un grand projet. Elle commence par un inventaire :

• Où sont mes données ? Lister les outils qui stockent des données clients ou salariés, et chez qui. C’est aussi le premier critère pour décider où poser votre infrastructure cloud.
• Que se passe-t-il si un fournisseur disparaît demain ? Pour chaque outil critique, vérifier qu’un export complet existe et qu’il a déjà été testé.
• Quelles tâches d’IA touchent des données sensibles ? Ce sont celles-là qui méritent un modèle ouvert hébergé en Europe ou en interne, comme le détaillent les quatre niveaux d’une IA privée en entreprise. Pour une partie d’entre elles, un modèle plus petit suffit et coûte moins cher : c’est le sujet de notre rubrique sur l’IA d’entreprise privée et au juste coût.
• Quels outils peuvent être remplacés par une version ouverte ? Un CRM, un outil d’automatisation ou une mesure d’audience tiennent sur un seul serveur, comme les nôtres, à condition d’en assurer l’exploitation. Par où commencer : les outils à sortir du SaaS en premier ; les autres choix sont dans notre rubrique infrastructure et cloud.

Même logique pour le site web : un site statique se sert depuis n’importe quel hébergeur, parce qu’il n’est fait que de fichiers. C’est une forme simple de porte de sortie.

Et si vous voulez savoir ce qui gagnerait à revenir chez vous, l’audit de notre offre de sortie du SaaS compare ce que vous payez aujourd’hui et ce que vous paierez sur trois ans ; si la migration n’en vaut pas la peine, nous vous le disons.

Questions fréquentes

Un cloud souverain, est-ce un serveur en France ?

Pas seulement. L’emplacement du serveur ne protège pas des lois d’un autre pays si le fournisseur y est soumis : c’est tout l’enjeu du CLOUD Act américain. La qualification SecNumCloud de l’ANSSI exige donc aussi un siège social dans l’Union européenne, des entités non européennes minoritaires au capital et des données stockées et traitées dans l’Union. Elle vise une offre précise : c’est cette offre qu’il faut vérifier, pas le nom du fournisseur.

L’auto-hébergement est-il plus sûr qu’un grand fournisseur de cloud ?

Pas automatiquement. Il donne plus de contrôle sur les données : on sait où elles sont, qui y accède et comment en sortir. Mais ce contrôle ne protège que si l’on assure des sauvegardes testées, des mises à jour régulières et une surveillance. Sans ces trois éléments, un grand fournisseur sera souvent mieux protégé qu’un serveur laissé à lui-même.

Faut-il renoncer aux modèles d’IA américains ?

Non. Il faut savoir quelles données on leur envoie. Pour du contenu public ou peu sensible, le meilleur outil disponible est souvent le bon choix, et c’est ce que nous faisons pour nos traductions. Pour des données personnelles ou réglementées, un modèle ouvert hébergé en Europe ou sur son propre serveur est une option réaliste : c’est celle que nous retenons pour nos propres données sensibles.

Une PME a-t-elle vraiment les moyens d’être souveraine ?

Totalement, non. Sélectivement, oui : quelques outils ouverts bien choisis, sur un serveur loué en Europe, peuvent coûter moins cher que les abonnements qu’ils remplacent, selon le nombre d’utilisateurs et les outils concernés. Le vrai coût est en compétences et en maintenance : il se compte avant de décider, comme nous le montrons avec le vrai coût d’une sortie du SaaS sur trois ans.