Le Paquet Souveraineté Technologique de l’UE : Chips Act 2.0 et l’Acte sur le Cloud et l’IA (CADA)

Pourquoi juin 2026 marque un tournant pour la politique numérique

L’Europe débat de souveraineté numérique depuis des années. Le 3 juin 2026, la Commission européenne a transformé ce débat en législation. Le Paquet Souveraineté Technologique — quatre initiatives interconnectées couvrant le cloud, les semi-conducteurs, l’open source et l’IA énergétique — a été adopté à l’issue d’une réflexion pluriannuelle sur le degré d’exposition réelle de l’infrastructure européenne. L’annonce de la Commission a formulé le constat de manière tranchée : « Nous ne pouvons pas nous permettre de dépendre d’autres pour les technologies qui maintiennent nos hôpitaux en activité, nos réseaux électriques stables et nos services sécurisés », a déclaré la présidente de la Commission, Ursula von der Leyen.

Les conditions déclenchantes sont quantifiables. Les fournisseurs cloud américains — Amazon Web Services, Microsoft Azure et Google Cloud — contrôlent plus de 70 % du marché européen du cloud. La production européenne de semi-conducteurs représente moins de 10 % de la production mondiale. L’UE dépense environ 264 milliards d’euros par an en produits et services informatiques américains. Dans ce contexte, le paquet est moins un luxe stratégique qu’une réponse calculée à une dépendance structurelle.

Le paquet intervient dans un contexte géopolitique chargé. Bruxelles a simultanément rejoint l’alliance Pax Silica menée par les États-Unis et ciblant la Chine, créant une contradiction apparente : l’UE approfondit sa coopération en matière de sécurité avec Washington tout en légiférant pour réduire sa dépendance aux fournisseurs cloud américains. Cette tension n’est pas accidentelle — elle reflète la tentative de la Commission de maintenir une ouverture avec des « partenaires partageant les mêmes valeurs » tout en protégeant les infrastructures critiques de l’exposition juridique extraterritoriale, notamment le CLOUD Act américain (2018), qui contraint les entreprises américaines à fournir des données aux autorités américaines, quel que soit l’endroit où ces données sont physiquement stockées.

Le contenu du paquet : quatre piliers

Le Paquet Souveraineté Technologique se compose de quatre initiatives distinctes mais interdépendantes :

1. L’Acte sur le Cloud et l’IA (CADA). La proposition législative centrale. CADA établit un cadre de souveraineté à quatre niveaux pour les marchés publics de cloud, vise à tripler la capacité des centres de données de l’UE en cinq à sept ans, et désigne des zones d’accélération où les États membres doivent délivrer les permis de centres de données en 12 mois. La page de proposition CADA sur le portail de stratégie numérique de la Commission la décrit comme répondant à « un déficit structurel de capacité des centres de données et de dépendance à l’égard d’un nombre limité de fournisseurs de services cloud non européens ».

2. Le Chips Act 2.0. Une révision de l’original de 2023, qui n’avait pas atteint son objectif de 20 % de part de marché mondial d’ici 2030. L’acte révisé passe des objectifs de parts de marché à la gestion des crises d’approvisionnement : il confère à la Commission des pouvoirs d’urgence pour annuler des contrats d’approvisionnement en semi-conducteurs en cas de pénurie, établit un système d’achat centralisé à l’échelle de l’UE pour consolider le pouvoir de négociation, et impose des amendes allant jusqu’à 300 000 euros pour violations des obligations de déclaration. La production pilote de sites européens avancés de semi-conducteurs est visée pour la période 2030-2033, avec un Blueprint de l’UE pour la gestion des crises de semi-conducteurs attendu pour le deuxième trimestre 2027.

3. La Stratégie Open Source de l’UE. Une initiative non législative visant à développer des alternatives open source aux plateformes propriétaires américaines, à réduire l’enfermement propriétaire dans les administrations publiques et à investir dans le développement des compétences open source.

4. La Feuille de route stratégique pour la numérisation et l’IA dans l’énergie. Intègre les centres de données dans les systèmes énergétiques de l’UE, déploie des solutions d’IA pour la gestion du réseau et développe des modèles d’IA souverains pour le secteur énergétique — une reconnaissance que les centres de données consomment désormais 2,5 % de l’électricité européenne et que la demande énergétique liée à l’IA s’accélère.

Les niveaux de souveraineté CADA en détail

L’élément le plus lourd de conséquences juridiques du paquet est le cadre d’assurance à quatre niveaux de CADA, que les analystes de Wilson Sonsini décrivent comme « susceptible d’être l’un des principaux champs de bataille politiques dans les négociations en trilogue ».

Niveau 1 (Basique) : L’infrastructure, les actifs et les données clients doivent être établis et maintenus dans l’UE. Le fournisseur ne doit pas signaler les vulnérabilités aux autorités de pays tiers.

Niveau 2 (Renforcé) : Toutes les exigences du Niveau 1 ainsi que : le personnel et les actifs situés dans l’UE ; la certification cloud européenne ; un nomenclature logicielle avec audits du code source des composants non européens ; séparation juridique et technique des filiales mères étrangères.

Niveau 3 (Strict) : Le fournisseur doit être « détenu et contrôlé dans l’UE ». Des dérogations sont possibles si le pays tiers dispose d’une décision d’adéquation RGPD et maintient des marchés ouverts — une exception conçue pour permettre aux fournisseurs américains de se qualifier uniquement s’ils procèdent à une restructuration approfondie de leur organisation.

Niveau 4 (Très strict) : Propriété et contrôle européens sans dérogation aucune ; certification européenne de cybersécurité au niveau d’assurance « élevé » ; le fournisseur conserve un contrôle effectif sur tous les composants logiciels. Les marchés de défense relèvent de ce niveau — un niveau qui exclut actuellement tous les hyperscalers américains.

Élément capital, le cadre s’applique de manière obligatoire aux fournisseurs cloud servant le secteur public, avec des exceptions très limitées. Les organismes publics dont les activités contribuent à l’ordre public, à la sécurité nationale, à la défense, à la justice ou à l’application de la loi — ainsi que ceux couverts par NIS2 dans des secteurs tels que les infrastructures numériques, l’énergie, la recherche et les soins de santé — ne peuvent utiliser que des fournisseurs répondant aux Niveaux 2, 3 ou 4. Les entités privées désignées comme « essentielles » au titre de NIS2 peuvent procéder à des évaluations similaires, bien que la Commission puisse ultérieurement l’imposer par voie de législation secondaire.

L’impact concret : Amazon, Microsoft et Google devront soit restructurer leurs opérations européennes pour répondre aux critères des Niveaux 2 ou 3 — en créant des filiales européennes juridiquement et techniquement indépendantes avec du personnel et des chaînes d’approvisionnement sous contrôle européen — soit accepter d’être exclus d’importants flux de revenus du secteur public. La transition crée une incertitude significative jusqu’à ce que les États membres aient achevé leurs évaluations individuelles des risques de souveraineté, ce qui pourrait temporairement ralentir l’adoption du cloud dans le secteur public.

Ce que les responsables technologiques, les équipes juridiques et les décideurs doivent faire

1. Cartographier votre exposition cloud aux exigences de niveau CADA dès maintenant, et non en 2029

Le calendrier législatif de CADA vise une loi définitive d’ici le quatrième trimestre 2027, avec une mise en œuvre s’étendant jusqu’en 2029-2030. Cela peut sembler lointain, mais les cycles de migration cloud s’étendent en moyenne sur 18 à 36 mois, ce qui signifie que les décisions d’achat prises en 2026-2027 seront encore actives au moment où CADA s’appliquera. Les responsables technologiques et les DSI des organisations servant des organismes publics de l’UE doivent immédiatement auditer les fournisseurs cloud qu’ils utilisent et à quel niveau de souveraineté proposé ces fournisseurs se qualifieraient. Le cadre à quatre niveaux correspond clairement à la sensibilité des données : Niveau 1 pour les charges administratives générales, Niveau 2 pour les données de santé et financières, Niveaux 3-4 pour la sécurité et la défense. Si votre fournisseur actuel ne peut pas atteindre le niveau requis pour votre cas d’usage, vous disposez d’une fenêtre de trois ans pour migrer — et cette fenêtre s’ouvre maintenant. Des alternatives européennes telles qu’OVHcloud, IONOS, STACKIT et Hetzner commercialisent déjà des architectures conformes aux Niveaux 1-2 ; évaluez si elles peuvent monter en charge selon vos besoins avant que le calendrier de restructuration des hyperscalers ne soit connu.

2. Auditer les chaînes d’approvisionnement en semi-conducteurs pour la dépendance à Taïwan avant l’activation du cadre de crise

La disposition la plus immédiate du Chips Act 2.0 ne concerne pas la construction de fonderies européennes — cela ne portera ses fruits qu’en 2030-2033 — mais la gestion des crises. Taïwan produit actuellement plus de 90 % des semi-conducteurs avancés mondiaux. Le Chips Act 2.0 confère à la Commission le pouvoir d’annuler des contrats d’approvisionnement et d’activer un système d’achat centralisé en cas de pénurie déclarée. Les organisations dépendantes du matériel — automobiles, télécommunications, sous-traitants de défense et toute entreprise développant des dispositifs d’IA en périphérie — doivent mener dès maintenant un audit complet de leur chaîne d’approvisionnement en semi-conducteurs, en cartographiant les composants provenant des fonderies taïwanaises (TSMC, UMC) et ceux disposant d’alternatives européennes ou américaines. Le Blueprint de la Commission pour la gestion des crises, attendu pour le deuxième trimestre 2027, définira ce que signifie une « pénurie déclarée » ; les organisations ayant déjà cartographié leurs dépendances seront en mesure d’agir plutôt que de réagir.

3. S’engager dans le processus d’évaluation des risques des États membres pour façonner votre propre classification de niveau

CADA n’attribue pas centralement des exigences de niveau aux organisations. Au lieu de cela, les États membres doivent conduire des évaluations individuelles des risques de souveraineté pour les cas d’utilisation du secteur public. Cela crée une fenêtre de 24 à 36 mois pendant laquelle la classification de niveau pour de nombreux secteurs reste véritablement ouverte. Les équipes juridiques et des affaires publiques des fournisseurs cloud et des grands consommateurs enterprise de cloud doivent s’engager auprès des ministères numériques nationaux et des organismes d’achat pendant cette fenêtre — non pas pour plaider contre le cadre, mais pour apporter une contribution technique sur ce que la conformité aux Niveaux 2 ou 3 implique réellement pour leur architecture. L’analyse de Wilson Sonsini note qu’une « incertitude significative » durant cette période pourrait ralentir l’adoption du cloud ; les organisations qui participent activement à la définition des critères d’évaluation des risques pour leur secteur seront moins surprises lorsque les classifications finales seront publiées. Les entreprises confrontées à un écart d’investissement de 120 milliards d’euros à combler d’ici 2035 devraient également explorer les instruments de co-investissement de la Commission tels que les Projets Importants d’Intérêt Européen Commun (PIIEC), qui financent des projets d’infrastructure alignés sur CADA.

Ce que cela signale pour la politique numérique au-delà de l’Europe

Le Paquet Souveraineté Technologique de l’UE n’est pas qu’une histoire européenne. Ses effets se propagent vers l’extérieur dans trois directions.

Premièrement, l’effet d’extraterritorialité de conformité. Toute entreprise non européenne vendant des services cloud à des organismes publics de l’UE — ou tout groupe multinational utilisant une infrastructure cloud basée dans l’UE pour des charges de travail européennes réglementées — doit désormais planifier la conformité CADA quel que soit son siège social. Les 264 milliards d’euros annuels que l’Europe dépense en informatique américaine représentent suffisamment de levier de marché pour imposer des changements architecturaux aux plus grands fournisseurs mondiaux. AWS, Microsoft et Google restructureront leurs filiales européennes non pas parce que Bruxelles leur ordonne de le faire à l’échelle mondiale, mais parce que le marché européen est trop important pour y renoncer.

Deuxièmement, l’effet de cascade réglementaire. Le RGPD a établi une base mondiale pour la réglementation de la protection des données que des dizaines de pays ont ensuite adoptée ou référencée. Le cadre de souveraineté cloud à quatre niveaux de CADA est positionné pour faire de même pour l’indépendance cloud. Les pays naviguant leurs propres questions de souveraineté numérique — de Singapour et de la Corée du Sud aux États du Golfe en passant par les voisins nord-africains — observeront si l’approche de l’UE crée un modèle de conformité viable ou une barrière protectionniste. La réponse viendra lors des négociations en trilogue de 2027-2028.

Troisièmement, l’effet de réalignement des chaînes d’approvisionnement. Avec l’autosuffisance européenne en semi-conducteurs ciblant une part significative mais encore limitée de la production mondiale d’ici 2033, et Taïwan fournissant plus de 90 % des puces avancées aujourd’hui, il n’existe pas de voie à court terme vers une indépendance complète en puces européennes. L’issue réaliste est une diversification gérée : capacité de fonderie européenne pour les nœuds matures et certains nœuds avancés, dépendance continue à TSMC pour la production de pointe dans le cadre d’accords de résilience, et un cadre Pax Silica coordonnant les contrôles des exportations avec les États-Unis. Les entreprises doivent planifier un paysage d’approvisionnement fragmenté mais plus résilient plutôt qu’une rupture nette.

Pour les gouvernements et les entreprises non européens qui observent de l’extérieur, l’implication stratégique est claire : l’agenda de souveraineté technologique de l’UE n’est pas une posture défensive temporaire. C’est un cadre politique durable qui remodèlera l’architecture du marché mondial du cloud, les chaînes d’approvisionnement en puces et l’investissement dans l’infrastructure d’IA pour au moins la prochaine décennie.

Questions Fréquemment Posées

Sources et lectures complémentaires

• complémentaires
• Renforcer la Souveraineté Technologique de l’Europe — Commission européenne
• Acte sur le Cloud et l’IA — Stratégie numérique de la Commission européenne
• L’Acte Cloud et IA de l’UE en profondeur — Inside Global Tech
• La Commission européenne publie une proposition pour réduire la dépendance au Cloud et à l’IA étrangers — Wilson Sonsini Data Advisor
• L’UE dévoile une vaste initiative de souveraineté technologique — TechPolicy.Press
• Paquet Souveraineté Tech UE 2026 : Chips Act 2.0, CADA et ce que les entreprises doivent savoir — Innobu
• La Commission européenne présente l’Acte Cloud et IA — Grosswald
• L’Europe dévoile son Paquet Souveraineté Technologique — CNBC