Ce que l’UE propose réellement
Le cadrage d’un « bannissement des clouds américains » est une simplification qui occulte ce que la Commission européenne fait réellement. Le paquet du 27 mai est ciblé et spécifique à certains secteurs — il ne propose pas de retirer AWS, Azure ou Google Cloud de l’ensemble des marchés publics européens. Il propose que trois catégories spécifiques de données du secteur public — les données financières, les informations judiciaires et les données de santé — soient hébergées sur une infrastructure cloud souveraine européenne.
Selon le reportage de Computerworld sur le paquet, le Paquet de Souveraineté Technologique comprend la loi CADA, Chips 2.0 et un Cadre de Souveraineté Cloud avec huit critères (stratégiques, juridiques, opérationnels, environnementaux) pour qualifier les marchés publics. La Commission limite explicitement le champ d’application aux administrations publiques — « dans le secteur privé, il n’existe actuellement rien qui puisse contraindre une entreprise à choisir une technologie européenne plutôt qu’américaine. »
La justification fondamentale est le Cloud Act américain. La loi américaine accorde aux autorités américaines le droit d’exiger des données détenues par des entreprises américaines, y compris des données stockées dans des centres de données européens. Un fichier stocké dans un centre de données AWS à Francfort est potentiellement accessible aux autorités américaines via la structure d’entreprise américaine d’AWS. Les décideurs européens considèrent cela comme une tension insoluble avec la souveraineté des données pour les documents gouvernementaux sensibles.
Un signal concret précoce : le groupement d’intérêt public français HDH a migré d’AWS vers Scaleway pour son infrastructure de données de santé, citant cette trajectoire réglementaire. La confirmation de GCTi Cloud de l’allocation de 180 millions d’euros à quatre projets cloud souverains en avril 2026 est la première concrétisation de cet engagement. Deutsche Telekom (T-Systems), Stack IT et Proximus figurent parmi les fournisseurs européens positionnés pour recevoir des contrats de marchés publics réorientés.
Le contexte de marché et le calendrier
La Commission a déjà mis de l’argent dans cette transition. En avril 2026, elle a attribué 180 millions d’euros sur six ans à quatre projets cloud souverains. Les dépenses européennes en services cloud souverains devraient presque doubler en 2026. L’annonce du 27 mai formalisera le cadre politique autour de ce qui est déjà une réalité commerciale en mouvement.
L’analyse de GCTi Cloud sur les restrictions proposées place une chronologie sobriante sur la transition : des responsables de la Commission ont estimé 15 ans et plus pour réduire pleinement la dépendance vis-à-vis des technologies américaines. La réglementation CADA, comme toutes les réglementations européennes, devra passer par une procédure législative — Conseil et Parlement — avant de devenir une loi contraignante.
L’analyse de ghacks.net note que la question du périmètre reste ouverte : si les restrictions s’étendent aux services cloud utilisant des centres de données européens mais exploités par des entreprises américaines (AWS Europe, Microsoft Azure Europe) ou uniquement aux fournisseurs dont le siège est européen est un détail d’implémentation critique que le paquet n’a pas encore résolu.
Publicité
Ce que les responsables achats d’entreprise devraient faire maintenant
1. Cartographier les flux de données de vos contrats dans le secteur public par rapport aux trois catégories sensibles
Les trois catégories restreintes — financier, judiciaire, santé — sont le point de départ de l’évaluation de conformité. Toute entreprise ayant des contrats dans le secteur public dans des États membres de l’UE devrait cartographier quels flux de données dans ces contrats touchent ces catégories, quels services cloud les traitent et quel fournisseur les exploite. Cette cartographie est de toute façon nécessaire pour la documentation sur le traitement des données du RGPD.
2. Intégrer une flexibilité contractuelle dans les prochains renouvellements de contrats cloud
Les contrats cloud signés en 2026 et 2027 qui engagent un fournisseur américain pour trois à cinq ans sans clause de sortie posent problème si l’entrée en vigueur de la CADA crée une obligation de conformité en cours de contrat. Les entreprises qui renouvellent des accords AWS, Azure ou Google Cloud pour des cas d’usage dans le secteur public devraient négocier : une clause de portabilité des données garantissant l’export dans des formats ouverts sous 30 jours après notification, et une disposition de changement réglementaire permettant la résiliation ou la restructuration en cas de changement législatif applicable.
3. Évaluer les fournisseurs cloud souverains européens comme deuxième source, pas uniquement comme alternative
La réaction typique des entreprises face à un changement réglementaire est de rechercher un unique fournisseur alternatif. Cette approche reproduira la dépendance de concentration que la réglementation vise à corriger. Une architecture plus résiliente exploite les charges de travail sensibles du secteur public chez un fournisseur souverain européen (T-Systems, OVHcloud, Scaleway) tout en maintenant des relations avec les fournisseurs américains pour les charges de travail non couvertes par la restriction. Le Cadre de Souveraineté Cloud à huit critères donne aux équipes achats une grille d’évaluation objective.
4. Surveiller la piste législative CADA comme indicateur avancé d’extension au secteur privé
Le paquet exempte actuellement les entreprises privées. Mais les schémas réglementaires européens suggèrent que les restrictions au secteur public se propagent souvent au secteur privé sur des cycles de 3 à 5 ans — le RGPD, NIS2 et DORA ont tous suivi cette trajectoire. Les dépenses européennes en cloud souverain devraient presque doubler en 2026 — confirmant que le marché se dirige déjà dans ce sens avant l’adoption formelle.
La question de la concurrence déloyale
Le Paquet de Souveraineté Technologique ne passera pas sans contestation au regard du droit de la concurrence. AWS, Microsoft et Google ont chacun investi des milliards dans l’infrastructure européenne. Leurs équipes juridiques feront valoir qu’une restriction de marchés publics basée sur la nationalité de l’entreprise plutôt que sur des critères techniques ou sécuritaires viole les principes du marché unique européen et les règles de non-discrimination de l’OMC.
L’argument de la Commission est que le Cloud Act crée une externalité sécuritaire spécifique qui justifie la restriction selon la même logique que les exceptions à la réglementation des marchés publics de défense de l’UE. Pour les équipes achats d’entreprise, l’incertitude liée au droit de la concurrence justifie de suivre de près la piste législative. L’UE a adopté des réglementations technologiques phares (RGPD, DSA, DMA, AI Act, DORA) malgré l’opposition soutenue des entreprises technologiques américaines dans chaque cas. La probabilité que la direction de la souveraineté cloud soit abandonnée est inférieure à la probabilité qu’elle soit adoptée sous une forme quelconque.
Questions Fréquemment Posées
Le Paquet de Souveraineté Technologique de l’UE va-t-il complètement interdire AWS et Azure en Europe ?
Non. Le paquet du 27 mai 2026 cible uniquement trois catégories spécifiques de données — financières, judiciaires et de santé — dans les contrats du secteur public. Les entreprises privées conservent la liberté de choix de fournisseur. AWS, Azure et Google Cloud continuent d’opérer à travers l’Europe et resteront dominants pour la grande majorité des charges de travail d’entreprise non couvertes par la restriction du secteur public.
Qu’est-ce que le Cloud Act américain et pourquoi l’UE le considère-t-il comme un risque pour la souveraineté des données ?
Le Cloud Act américain (2018) autorise les forces de l’ordre américaines à contraindre les fournisseurs cloud américains à produire des données stockées n’importe où dans le monde, y compris dans les centres de données européens, dans certaines conditions légales. Cela crée un conflit avec les principes de protection des données du RGPD : un fichier stocké dans un centre de données AWS à Francfort est potentiellement accessible aux autorités américaines via la structure d’entreprise américaine d’AWS, quel que soit l’endroit où les données se trouvent physiquement.
Quels fournisseurs cloud européens sont positionnés pour bénéficier des restrictions CADA ?
La Commission a spécifiquement financé quatre projets cloud souverains en avril 2026, avec Deutsche Telekom (T-Systems), Scaleway, Stack IT et Proximus. OVHcloud (France) et Ionos (Allemagne) sont également positionnés. Ces fournisseurs ont construit des certifications conformes au Cadre de Souveraineté Cloud et ont des relations existantes avec les marchés publics que le cadre CADA validerait et prioriserait formellement.
—
Sources et lectures complémentaires
🔗 Intelligence Connexe
EU Cloud and AI Development Act : Comment les règles de souveraineté cloud européennes redessinant les marchés publics mondiaux
La révolution du cloud souverain : pourquoi les nations reprennent le contrôle de leurs
Guerres du cloud souverain : les mandats de localisation des données face au CLOUD Act
Cloud Souverain en Premier : Comment la pression géopolitique redessine l’infrastructure d’entreprise en 2026
