EU Cloud and AI Development Act : Comment les règles de souveraineté cloud européennes redessinant les marchés publics mondiaux

L’aperçu à 180 millions d’euros de l’UE : ce que l’appel d’offres cloud souverain a révélé

Avant que CADA ne devienne loi, la Commission européenne a déjà appliqué volontairement le cadre SEAL. En avril 2026, la Commission a attribué un appel d’offres cloud souverain de 180 millions d’euros exigeant des fournisseurs qu’ils atteignent SEAL-2 ou au-dessus. Quatre consortiums ont remporté des contrats ; trois ont atteint SEAL-3. Les fournisseurs lauréats comprenaient des entreprises à majorité européenne et une exception notable : S3NS, une coentreprise à majorité Thales exploitant l’infrastructure Google sous des dispositions contractuelles de souveraineté strictes.

Le cas S3NS est le point de données le plus important du cadre pour les opérateurs cloud non-européens. L’infrastructure sous-jacente de Google reste techniquement soumise au droit extraterritorial américain — spécifiquement le CLOUD Act, qui permet aux agences gouvernementales américaines de contraindre Google à produire des données stockées n’importe où dans le monde, y compris dans les centres de données européens. Pourtant, S3NS s’est qualifiée à un niveau SEAL acceptable grâce à une combinaison de structure d’entreprise à majorité européenne, de gestion des clés basée en Europe et de clauses d’indépendance opérationnelle créant une séparation juridique des opérations de la maison mère américaine de Google.

Les critiques, comme le note l’analyse de CNBC sur les discussions de la Commission européenne concernant la souveraineté cloud, font valoir que Google « reste soumis au CLOUD Act américain quelles que soient les dispositions de séparation opérationnelle » — rendant la revendication de souveraineté structurellement incomplète. La décision de la Commission d’attribuer malgré tout le contrat signale que la conformité SEAL est évaluée sur le profil global selon huit objectifs pondérés, et non selon un critère binaire de réussite ou d’échec sur un seul critère.

Le cadre SEAL : cinq niveaux et huit objectifs

La documentation du cadre SEAL publiée par innobu.com établit l’architecture complète que CADA va convertir en droit contraignant. Les cinq niveaux SEAL sont les suivants :

SEAL-0 : Aucune revendication de souveraineté ; dépendance totale à la technologie, au personnel et à la gouvernance non-européens. Cloud commercial standard des hyperscalers américains sans modification. Inéligible aux contrats publics européens dans le cadre de CADA.

SEAL-1 : Juridiction européenne appliquée contractuellement (accords de traitement des données, conformité RGPD), mais le contrôle technique externe sur l’infrastructure, la gestion des clés et les logiciels reste entre les mains du fournisseur non-européen. Insuffisant pour les marchés publics — la couche contractuelle ne protège pas contre le CLOUD Act ou l’accès juridique non-européen équivalent.

SEAL-2 : Données sous contrôle européen avec gestion des clés entre mains européennes. L’entité exploitante doit maintenir les services indépendamment des instructions non-européennes. Seuil minimal pour les marchés publics du secteur public européen. Trois des quatre lauréats de l’appel d’offres d’avril 2026 ont atteint SEAL-3 ou au-dessus, suggérant que la compétition de marché se situe déjà au-dessus du minimum.

SEAL-3 : Immunité aux perturbations de la chaîne d’approvisionnement issues de sources non-européennes. Le personnel européen peut maintenir, mettre à jour et récupérer les services de manière autonome sans assistance non-européenne. C’est le seuil compétitif de facto pour les contrats du secteur public européen, étant donné que la plupart des soumissionnaires actifs se sont positionnés à ce niveau.

SEAL-4 : Chaîne d’approvisionnement entièrement européenne des semi-conducteurs aux logiciels, sans dépendances tierces autorisées. Actuellement atteint uniquement par des fournisseurs ayant intégré verticalement des piles matérielles et logicielles européennes — une catégorie qui exclut la plupart des opérateurs cloud commerciaux mondiaux.

Les huit objectifs de souveraineté (SOV-1 à SOV-8) sont pondérés entre : Chaîne d’approvisionnement (SOV-5, 20%), Propriété stratégique (SOV-1, 15%), Indépendance opérationnelle (SOV-4, 15%), Normes technologiques (SOV-6, 15%), Protection juridictionnelle (SOV-2, 10%), Souveraineté données et IA (SOV-3, 10%), Conformité sécurité (SOV-7, 10%) et Normes environnementales (SOV-8, 5%).

Trois signaux cachés dans l’architecture CADA

Signal 1 : La chaîne d’approvisionnement est la barrière structurelle que les opérateurs non-européens ne peuvent masquer par des contrats

SOV-5 (Chaîne d’approvisionnement) porte le poids le plus élevé à 20% précisément parce qu’il est l’objectif le plus difficile à satisfaire pour les fournisseurs non-européens par des arrangements contractuels seuls. Un fournisseur dont les serveurs fonctionnent sur des puces Intel ou AMD (entreprises américaines), dont l’hyperviseur est VMware (désormais Broadcom, américain) et dont la couche d’orchestration est Kubernetes (d’origine Google) ne peut pas crédiblement revendiquer SEAL-3 en matière de souveraineté de la chaîne d’approvisionnement, quel que soit l’endroit où ces composants sont déployés ou qui les exploite.

Le résultat de l’appel d’offres de la Commission d’avril 2026 — où trois des quatre lauréats ont atteint SEAL-3 — suggère que les fournisseurs à majorité européenne ont investi dans des stratégies de déplacement de la chaîne d’approvisionnement au cours des trois dernières années en anticipation de CADA. Les hyperscalers américains gérant des coentreprises (le modèle S3NS) peuvent atteindre SEAL-2 grâce à une force compensatoire en matière d’indépendance opérationnelle et de propriété stratégique, mais ne peuvent pas atteindre SEAL-3 sans déplacer réellement les composants d’origine américaine.

Signal 2 : L’objectif juridictionnel est le test du CLOUD Act

SOV-2 (Protection légale et juridictionnelle) évalue explicitement l’exposition aux lois extraterritoriales, notamment le CLOUD Act américain et la Section 702 du FISA. Un fournisseur cloud dont la structure d’entreprise ou les dépendances logicielles le soumettent à ces lois obtient un faible score sur SOV-2. Le cas S3NS a démontré que la faiblesse SOV-2 peut être partiellement compensée par SOV-4 (indépendance opérationnelle) et SOV-1 (propriété stratégique européenne via le contrôle majoritaire de Thales). Mais à SEAL-3, même une faiblesse partielle de SOV-2 devient plus difficile à compenser.

Pour les opérateurs cloud non-européens évaluant leur exposition à CADA, la question SOV-2 est le premier filtre : un élément quelconque de l’entité exploitante — maison mère, donneur de licence de logiciel, fournisseur de matériel, personnel d’assistance — est-il soumis à l’autorité d’accès aux données d’un gouvernement non-européen ? Si oui, SEAL-3 est structurellement difficile sans remplacement effectif des composants.

Signal 3 : Le secteur privé reste non restreint — pour l’instant

Les exigences SEAL obligatoires de CADA s’appliquent aux marchés publics européens et aux secteurs réglementés (finance, santé, énergie) pour le traitement de données sensibles. Le marché cloud B2B du secteur privé — entreprises utilisant le cloud pour des charges de travail non sensibles — reste en dehors du champ obligatoire de CADA. Le briefing du groupe de réflexion du Parlement européen sur CADA779251) confirme que le mécanisme principal de la législation est l’éligibilité aux marchés publics, non une restriction générale du marché.

Cette distinction compte pour la stratégie commerciale des opérateurs cloud mondiaux. Les clients privés européens — fabricants, distributeurs, entreprises médias, cabinets de services professionnels — utilisant le cloud pour des charges de travail commerciales standards ne font face à aucune exigence d’éligibilité SEAL. La restriction s’applique aux : entités gouvernementales européennes aux niveaux national, régional et local ; institutions européennes elles-mêmes ; et entités privées dans les secteurs réglementés traitant des données sensibles (banque, assurance, soins de santé, fournisseurs d’énergie). Les fournisseurs non-européens n’ayant pas investi dans la conformité SEAL peuvent continuer à servir des clients privés européens non réglementés sans perturbation.

Ce que les Opérateurs Cloud Doivent Faire Avant l’Entrée en Vigueur de CADA

1. Établir Votre Position SEAL Actuelle Face aux Huit Objectifs SOV

Les huit objectifs de souveraineté du cadre SEAL ont des pondérations différentes et une tractabilité différente pour les opérateurs non-européens. Avant que CADA ne devienne loi contraignante, chaque opérateur cloud ayant des revenus du secteur public européen doit modéliser honnêtement son profil SOV actuel : où en êtes-vous sur la Chaîne d’approvisionnement (SOV-5, pondération 20%), l’Indépendance opérationnelle (SOV-4, 15%) et la Protection juridictionnelle (SOV-2, 10%) ? La documentation du cadre SEAL sur innobu.com fournit le barème de notation complet. Le résultat de l’appel d’offres d’avril 2026 — où les quatre lauréats s’étaient proactivement positionnés à SEAL-2 ou au-dessus — démontre qu’attendre la publication formelle de CADA pour commencer l’évaluation SEAL est trop tard pour le prochain cycle d’appels d’offres compétitifs.

2. Décider d’Atteindre SEAL-2 via la Voie de la Coentreprise ou de Se Concentrer sur les Clients Privés Européens

Les exigences SEAL obligatoires de CADA s’appliquent aux marchés publics et aux secteurs réglementés — pas au B2B cloud du secteur privé. Les opérateurs qui ne peuvent pas atteindre SEAL-2 de manière rentable ont une alternative stratégique claire : concentrer le développement commercial européen sur les clients privés non réglementés où aucune exigence d’éligibilité SEAL n’existe. Ce n’est pas un échec de conformité ; c’est une décision délibérée de segmentation de marché. Les opérateurs qui tentent SEAL-2 via la coentreprise — suivant le modèle S3NS de propriété d’entreprise à majorité européenne plus gestion des clés ancrée en Europe — doivent être réalistes sur ce que SEAL-2 permet : accès à la plupart des marchés publics, mais pas aux secteurs de la défense et des infrastructures critiques qui exigent SEAL-3.

3. S’Engager dans le Processus Législatif CADA Avant la Rédaction des Règlements d’Application

La proposition de la Commission du 27 mai lance un processus législatif de 12 à 18 mois. Les règlements d’application — les spécifications techniques qui traduisent les niveaux SEAL en exigences d’audit vérifiables — seront rédigés pendant ou après ce processus, et détermineront si le modèle S3NS reste viable à SEAL-2, si les opérateurs de pays tiers peuvent se qualifier via des mécanismes d’adéquation, et comment l’indépendance de la chaîne d’approvisionnement SOV-5 est techniquement évaluée. Le briefing du groupe de réflexion du Parlement européen sur CADA confirme que l’engagement de l’industrie pendant le processus législatif façonne la conception des règlements d’application. Les opérateurs cloud non-européens et leurs associations professionnelles doivent engager les décideurs européens maintenant — avant que le texte ne soit finalisé.

Le scénario correctif : ce que CADA rate et ce qui se passera ensuite

Le bilan historique de l’UE en matière de réglementation numérique créatrice de marché suggère deux modes d’échec que CADA doit naviguer. Premièrement, l’objectif de souveraineté de la chaîne d’approvisionnement est davantage aspirationnel qu’atteignable à grande échelle : les alternatives européennes à l’infrastructure cloud américaine existent mais n’ont pas démontré la fiabilité, la profondeur des fonctionnalités ou la performance-prix d’AWS, Azure ou Google Cloud à une échelle comparable. Si SEAL-4 devient la norme dominante pour les marchés publics, les agences européennes pourraient faire face à des contraintes de capacité qui sapent les objectifs déclarés de la politique.

Deuxièmement, le précédent S3NS crée un marché d’arbitrage de conformité : les fournisseurs non-européens qui investissent dans des coentreprises à majorité européenne peuvent accéder aux contrats du secteur public sans déplacement réel de la chaîne d’approvisionnement. Si cela devient la voie de conformité dominante, CADA atteint la forme de la souveraineté (propriété majoritaire européenne, gestion des clés européenne) sans la substance (indépendance de la chaîne d’approvisionnement vis-à-vis des composants d’origine américaine). La volonté de la Commission d’attribuer l’appel d’offres d’avril 2026 à S3NS suggère que c’est un résultat accepté plutôt qu’un échec de conformité — mais cela sape la justification stratégique du cadre.

Le scénario correctif le plus probable est une mise en œuvre graduée : SEAL-2 comme minimum pour la plupart des marchés publics, SEAL-3 obligatoire uniquement pour les secteurs de la défense, des forces de l’ordre et des infrastructures critiques, et SEAL-4 réservé aux charges de travail gouvernementales classifiées. Cela créerait un marché à plusieurs niveaux équilibrant les ambitions de souveraineté et la réalité opérationnelle.

Foire aux questions

Sources et lectures complémentaires

• Cloud and AI Development Act — Calendrier législatif du Parlement européen
• EU SEAL Framework 2026: How Sovereign Are Europe’s Sovereign Clouds — Innobu
• EU Commission Awards €180 Million Sovereign Cloud Tender — European Commission
• EU Weighs Restricting US Cloud Platforms for Sensitive Government Data — CNBC
• Cloud and AI Development Act — Briefing du groupe de réflexion du Parlement européen 779251)
• EU Cloud and AI Development Act — Compliance Tracker