Cloud souverain : définition, enjeux et solutions pour les entreprises

Le cloud souverain suscite de plus en plus d’intérêt, mais aussi beaucoup de confusion. À retenir :

• La souveraineté ne se résume pas à la localisation des données.
• Conformité réglementaire et souveraineté sont deux sujets distincts.
• Le niveau de souveraineté nécessaire dépend des risques, des données et du secteur.
• Un hyperscaler peut proposer des garanties de souveraineté, tout comme un fournisseur européen ou suisse peut présenter certaines dépendances.
• Le bon choix consiste avant tout à conserver suffisamment de maîtrise sur ses données, ses technologies et ses fournisseurs.

Qu’est-ce que le Cloud souverain ? 

Définition

Le cloud souverain désigne un environnement cloud conçu pour conserver un niveau suffisant de contrôle sur vos données, vos infrastructures et les conditions dans lesquelles elles sont exploitées. 

Une étude mandatée par la Conférence latine des directrices et directeurs cantonaux du numérique définit la souveraineté numérique comme : 

“ la capacité d’autodétermination d’une entité (légale) en ce qui concerne tout le cycle de vie d’un système numérique, de la conception à l’utilisation au décommissionnement de systèmes numériques et des données qui sont traitées et stockées ainsi que des processus qu’ils représentent.” 

Autrement dit, une organisation est souveraine numériquement lorsqu’elle garde suffisamment de maîtrise sur ses systèmes informatiques et ses données, du début à la fin de leur utilisation.

Mais chaque entreprise n’a pas les mêmes attentes, ce qui est suffisant pour l’une ne l’est pas pour l’autre. Ainsi, il n’existe pas de définition unique du cloud souverain, mais plutôt différents degrés de souveraineté.

👉 Clément Raussin vous en parle dans le détail dans son article sur la souveraineté numérique.

Origine du concept et importance du CLOUD Act

Le développement du cloud s’est largement appuyé sur de grands fournisseurs américains, ceux qu’on appelle aujourd’hui les hyperscalers. Petit à petit, la prise de conscience de la dépendance aux fournisseurs des USA a poussé d’autres pays à vouloir reprendre le contrôle.

Par exemple, le projet français Andromède lancé en 2011. 

Les révélations de 2013 d’Edward Snowden, sur les programmes de surveillance américains ont toutefois fortement accéléré la prise de conscience autour de la maîtrise des données et de leur juridiction.

Depuis 2018, le Cloud Act a renforcé la visibilité de cet enjeu : un fournisseur soumis à la juridiction américaine peut être tenu, dans le cadre d’une procédure juridique valide, de produire des données qu’il contrôle même lorsqu’elles sont stockées à l’étranger.

💡 De manière générale, lorsque les tensions géopolitiques sont fortes, la souveraineté revient en haut de la pile des préoccupations.

Le Cloud Act, c’est quoi ?
Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine adoptée en 2018, dans le contexte du litige qui opposait Microsoft au gouvernement américain sur l’accès à des données stockées à l’étranger. 
Elle clarifie qu’un fournisseur de services soumis à la juridiction américaine peut être tenu, dans le cadre d’une procédure juridique valide, de communiquer certaines données qu’il possède ou contrôle, même lorsque celles-ci sont stockées hors des États-Unis.
Il ne s’agit pas de donner aux autorités américaines un accès libre aux données hébergées à l’étranger. En revanche, la localisation des données en Suisse ou en Europe ne suffit pas nécessairement à les soustraire à une demande fondée sur le droit américain si le fournisseur concerné relève de la juridiction des États-Unis.

Différence avec d’autres clouds

Ces notions ne sont pas équivalentes :

• Cloud public : les ressources cloud sont proposées par un fournisseur à différents clients. 
• Cloud privé : l’infrastructure est réservée à l’usage d’une seule organisation. 
• Cloud hybride : il combine des ressources du cloud public et du cloud privé.
• Cloud souverain : l’enjeu n’est pas de savoir si le cloud est public ou privé, mais quel niveau de maîtrise l’organisation conserve sur ses données, ses opérations, le cadre juridique, ses dépendances technologiques et sa capacité à changer de fournisseur.
• Cloud de confiance : le terme met davantage l’accent sur des garanties vérifiables de sécurité et de protection juridique. En France, il est notamment associé aux offres qualifiées SecNumCloud par l’ANSSI.

➡️ Un cloud privé n’est donc pas nécessairement souverain, et un cloud public n’est pas nécessairement dépourvu de garanties de souveraineté.

Idées reçues sur le Cloud souverain

Données hébergées en Suisse ou en Europe  ≠ cloud souverain

Soyons bien clair sur un point : un cloud ne peut pas se prétendre souverain pour la seule raison que ses données sont localisées en Suisse ou en Europe. La souveraineté concerne également : 

• la loi applicable à votre fournisseur cloud, 
• le contrôle des accès et des opérations, 
• la dépendance vis-à-vis des fournisseurs et des technologies utilisées ;
• la réversibilité, c’est-à-dire la capacité à récupérer ses données et à changer de solution ou de prestataire.

La localisation des données dans un pays constitue évidemment un critère important de souveraineté, mais ne suffit pas.

RGPD ou LPD ≠ cloud souverain

Être conforme à la LPD et/ou au RGPD ne signifie pas être à l’abri du Cloud Act américain.

Les deux sujets concernent parfois les mêmes données et les mêmes fournisseurs cloud, mais ils répondent à des logiques différentes.

• Le RGPD encadre le traitement des données personnelles afin de protéger les personnes concernées. 
• Le CLOUD Act relève de l’accès des autorités américaines à des données dans le cadre de procédures judiciaires : certains fournisseurs soumis à la juridiction américaine peuvent être tenus de communiquer des données qu’ils contrôlent, y compris lorsque celles-ci sont stockées à l’étranger.

➡️ Un fournisseur peut donc proposer des services conformes aux exigences du RGPD tout en restant soumis à certaines obligations découlant du droit américain.

Un Cloud américain hyperscaler peut-il être souverain ?

La question n’est pas aussi binaire. La souveraineté numérique ne signifie pas une indépendance absolue vis-à-vis de tout acteur étranger : elle se mesure selon plusieurs dimensions et selon le niveau de contrôle recherché par l’organisation.

Microsoft propose Microsoft Sovereign Cloud et Google commercialise plusieurs solutions Google Sovereign Cloud.

Examinons en détail le cas d’AWS.

En janvier 2026, AWS a ouvert AWS European Sovereign Cloud, conçu spécifiquement pour répondre aux exigences européennes. Les mesures mises en place sont importantes :

• une première région implantée en Allemagne, physiquement et logiquement séparée des autres régions AWS ;
• des entités juridiques européennes dédiées, établies sous droit allemand ;
• des opérations contrôlées par des personnels résidant dans l’Union européenne, avec une transition vers une exploitation exclusivement assurée par des citoyens de l’UE situés dans l’UE ;
• des données et métadonnées conservées au sein de l’UE ;
• une infrastructure conçue pour pouvoir continuer à fonctionner indépendamment des systèmes AWS situés hors de l’UE.

L’AWS European Sovereign Cloud renforce donc nettement plusieurs dimensions de souveraineté. 

➡️ Cela dit, l’entité européenne reste détenue par la société américaine Amazon. Ainsi, la dimension juridique de la souveraineté n’est pas établie. 

Pourquoi choisir un Cloud souverain ?

Protection des données et conformité réglementaire

Nous l’avons vu, choisir un cloud souverain ne signifie pas devenir conforme.

En Suisse, le recours au cloud reste soumis aux obligations de la LPD concernant notamment la sous-traitance, la sécurité et les transferts de données à l’étranger. Le fait qu’un cloud soit présenté comme souverain ne dispense pas l’organisation de ces obligations.

Toutefois, un cloud souverain peut faciliter la maîtrise de certains risques réglementaires (localisation, sous-traitance, transferts internationaux, accès, juridiction) sans pour autant constituer une certification générale de conformité. 

💡 La LPD n’impose pas que les données personnelles restent en Suisse. Elles peuvent être transférées à l’étranger lorsque le pays destinataire offre un niveau de protection adéquat ou, à défaut, lorsque certaines exceptions prévues par la LPD permettent le transfert. (Source :  PFPDT) 

Protection contre les risques juridiques extraterritoriaux

Le raccourci « données en Suisse = protégées » ne doit pas être remplacé par un autre raccourci tout aussi faux : « cloud souverain = aucune loi étrangère ne peut s’appliquer ».

Héberger ses données en Suisse ou en Europe ne signifie pas nécessairement qu’elles échappent à toute législation étrangère. La juridiction à laquelle est soumis le fournisseur cloud compte également.

Le CLOUD Act américain l’illustre bien : un fournisseur soumis à la juridiction des États-Unis peut, dans le cadre d’une procédure juridique valide, être tenu de communiquer certaines données qu’il possède ou contrôle, même si celles-ci sont stockées à l’étranger.

Choisir une solution de cloud souverain permet donc de mieux maîtriser ce risque juridique, en examinant : 

• le droit applicable au fournisseur, 
• sa structure juridique,
• les conditions d’accès aux données.

Il ne s’agit toutefois pas d’une immunité absolue : la souveraineté juridique consiste à identifier et à réduire ces dépendances et ces risques, pas à garantir qu’aucune autorité étrangère ne pourra jamais intervenir.

Indépendance numérique et souveraineté technologique

Évitons cette fois le raccourci « technologie étrangère = absence de souveraineté ». 

Comme pour AWS précédemment, la bonne grille d’analyse reste le niveau de dépendance et de maîtrise, pas simplement la nationalité du fournisseur.

L’objectif n’est pas d’être totalement indépendant, ce qui est rarement faisable, mais de conserver suffisamment de maîtrise pour pouvoir agir en cas de changement ou de problème.

Cette indépendance passe notamment par la réversibilité : l’organisation doit pouvoir récupérer ses données, migrer ses services et changer de fournisseur sans se retrouver techniquement captive.

Elle implique également de limiter la dépendance à des technologies propriétaires, ou à un acteur unique, dont l’indisponibilité pourrait compromettre la continuité des activités. La Confédération suisse parle précisément d’« éviter ou réduire de manière ciblée la dépendance ».

La vraie question est « gardons-nous la capacité de fonctionner, de décider et de changer de solution si nécessaire ? »

💡 Au-delà de ces bénéfices directs, le recours à un cloud souverain peut également 

• renforcer la confiance des clients et des partenaires en apportant davantage de garanties sur la maîtrise des données. 
• contribuer au développement de l’écosystème numérique régional, lorsqu’il s’appuie sur des fournisseurs et des infrastructures locaux.

Quelles spécificités du Cloud souverain en Suisse ?

Voici une question qui revient régulièrement : le Cloud souverain est-il obligatoire en Suisse ?

Non, il n’existe pas d’obligation générale qui impose aux entreprises suisses d’utiliser un cloud souverain ou d’héberger leurs données en Suisse. 

Même dans le secteur financier, fortement réglementé, l’externalisation de certaines activités à l’étranger est possible. C’est intéressant parce que le secteur financier pourrait sembler être un candidat évident. 

En revanche, certaines exigences peuvent nécessiter un niveau de contrôle tel qu’une solution avec fortes garanties de souveraineté devient, en pratique, inévitable. C’est notamment le cas :

• des administrations et organismes publics ;
• des banques, assurances ;
• des exploitants d’infrastructures critiques ;
• plus généralement, des organisations qui traitent des données particulièrement sensibles, comme les données de santé.

Exemples : 

• En 2026, l’unité de cybersécurité de l’armée suisse prévoit de migrer l’ensemble de ses postes de travail vers une solution open source. (Source)
• En 2026, l’Office fédéral de la santé publique (OFSP) souhaite que le projet «SwissHDS» soit soumis exclusivement au droit suisse.  (Source)

Le cloud souverain est-il obligatoire ? 

Il faut distinguer trois situations :

1. Une obligation légale ;
2. Des contraintes réglementaires qui imposent des caractéristiques proches de la souveraineté ;
3. Des exigences contractuelles ou de marché qui peuvent rendre un niveau de souveraineté indispensable pour remporter un contrat.

1️⃣ Légalement, comme on l’a vu, le cloud souverain n’est obligatoire pour aucun organisme en Suisse, même dans l’administration ou la finance.

2️⃣ En revanche, il existe désormais un cas beaucoup plus contraignant en France. L’article 31 de la loi SREN et le décret d’avril 2026 concernent certaines entités publiques lorsqu’elles utilisent un cloud privé. Le ministère français de l’Économie indique explicitement que la mise en conformité passe notamment par le recours à des services SecNumCloud.

Ici, on est donc très proche d’une obligation de souveraineté de fait pour certains workloads publics sensibles.

3️⃣ Les marchés publics peuvent eux aussi rendre la souveraineté obligatoire. C’est probablement le meilleur exemple de contrainte non générale mais parfaitement réelle.

La Commission européenne a créé en 2025 un Cloud Sovereignty Framework pour ses achats cloud. Dans le marché concerné, elle fixe pour chaque dimension de souveraineté un niveau minimal appelé SEAL. Si l’offre n’atteint pas les minimums requis, elle est rejetée. La souveraineté devient donc un critère d’éligibilité au marché, pas simplement un argument marketing.

4️⃣ Dans la finance européenne, la réglementation de 2025 DORA (Digital Operational Resilience Act) n’impose pas un cloud souverain aux banques, assurances et autres entités financières européennes.

En revanche, lorsqu’elles externalisent des fonctions critiques ou importantes, elles doivent : 

• connaître les pays dans lesquels les services et les données sont traités ou stockés,
• examiner les risques liés aux prestataires situés dans des pays tiers,
• disposer de véritables stratégies de sortie.

💡 Ne confondez pas DORA(Digital Operational Resilience Act) avec l’organisme DORA (DevOps Research and Assessment).  

Les acteurs du Cloud souverain 

En Suisse

La Confédération joue un rôle important dans cette évolution. Avec le Swiss Government Cloud (SGC), dont la mise en place est prévue sur la période 2025–2032, elle développe une infrastructure capable de répondre à différents niveaux d’exigence en matière de souveraineté numérique. Le projet combine plusieurs modèles de cloud plutôt que de chercher une solution unique applicable à tous les usages. (bit.admin.ch)

Des organisations comme eCH, ainsi que les acteurs suisses de la recherche et de l’enseignement supérieur, participent également à cet écosystème. L’EPFL, l’ETH Zurich et le CSCS ont par exemple développé Apertus, un modèle de langage ouvert entraîné sur le supercalculateur suisse Alps. 

Ces initiatives illustrent une autre dimension de la souveraineté : la capacité à développer et maîtriser localement certaines technologies stratégiques. (ech.ch) (epfl.ch)

Enfin, fournisseurs cloud, opérateurs de datacenters et intégrateurs/ESN interviennent à différents niveaux de la chaîne : hébergement, infrastructure, exploitation, migration ou architecture. 

En Europe 

L’Union européenne cherche à renforcer sa maîtrise du cloud. Son approche est intéressante car elle ne réduit pas la souveraineté à la localisation des données ou à la nationalité du fournisseur.

Mesurer concrètement la souveraineté cloud avec le Cloud Sovereignty Framework

La Commission européenne a ainsi développé un Cloud Sovereignty Framework pour évaluer concrètement le niveau de souveraineté d’une offre cloud. Présenté une première fois en 2025 puis détaillé en juin 2026, ce cadre examine huit dimensions : 

1. stratégie, 
2. juridiction, 
3. données et IA, 
4. exploitation, 
5. chaîne d’approvisionnement, 
6. technologie, 
7. sécurité et conformité, 
8. durabilité environnementale. 

La Commission calcule également un score à partir de 48 critères spécifiques.

L’objectif n’est donc pas simplement de déterminer si un cloud est « souverain » ou « non souverain », mais d’évaluer le niveau de maîtrise réellement apporté par la solution. 

➡️ La Commission reconnaît toutefois que ce niveau maximal n’est pas réaliste aujourd’hui pour de nombreux services, notamment en raison des dépendances européennes concernant les puces et le matériel informatique.

Nommer des fournisseurs de confiance

En avril 2026, la Commission a attribué un marché pouvant atteindre 180 millions d’euros sur 6 ans pour fournir des services cloud souverains aux institutions et organismes de l’Union. 4 fournisseurs ont été retenus : 

1. Post Telecom, qui s’appuie sur CleverCloud et OVHcloud, 
2. STACKIT, 
3. Scaleway,
4. Proximus, qui s’appuie sur S3NS, Clarence et Mistral.

➡️ Un point est particulièrement révélateur : la Commission précise que des technologies non européennes peuvent elles aussi atteindre le niveau de souveraineté requis, à condition d’être exploitées dans un cadre apportant suffisamment de garanties. 

Cloud and AI Development Act

En juin 2026, la Commission a présenté une proposition de Cloud and AI Development Act (CADA). 

Le texte prévoit un cadre commun à l’ensemble de l’Union : 

• pour évaluer la souveraineté des services cloud et d’IA,
• pour développer fortement les capacités européennes de centres de données. La Commission ambitionne au moins de tripler ses capacités dans les prochaines années. 

💡 Au moment où nous publions cet article, il s’agit toutefois d’une proposition, non d’un règlement définitivement adopté. 

Comment choisir une solution de Cloud souverain ? 

Critères de sélection 

Posez-vous quelques questions concrètes :

• Où mes données sont-elles stockées et traitées ?
• Qui peut y accéder, y compris chez le fournisseur et ses sous-traitants ?
• À quelles juridictions le fournisseur est-il soumis ?
• Qui exploite réellement l’infrastructure et depuis quels pays ?
• De quels fournisseurs ou technologies vais-je dépendre ?
• Puis-je récupérer facilement mes données et mes applications ?
• Puis-je changer de prestataire sans reconstruire tout mon système ?
• Que se passe-t-il si le fournisseur devient indisponible, modifie fortement son offre ou arrête le service ?

💡 Notre conseil : creusez vraiment ces questions simples avec votre fournisseur. S’il se présente simplement comme “souverain”, non, cela ne suffit pas.

Certifications, labels, qualifications

Certes, les certifications et les labels peuvent compléter cette analyse, mais ils doivent être interprétés selon ce qu’ils couvrent réellement. 

Exemple : ISO/IEC 27001, souvent mise en avant, elle concerne avant tout le management de la sécurité de l’information ; elle ne constitue pas une preuve de souveraineté. 

Cela dit, en France, la qualification SecNumCloud est réellement intéressante : elle intègre des exigences techniques, opérationnelles et juridiques qui vise la protection face aux lois extraterritoriales.

Qim info vous accompagne pour mettre en place un Cloud souverain

Nous ne considérons pas le cloud souverain comme une solution à appliquer systématiquement. Notre approche consiste d’abord à déterminer le niveau de maîtrise réellement nécessaire selon votre entreprise.

Une Cloud Fondation pensée pour garder le contrôle 

C’est précisément la philosophie de notre Cloud Fondation : créer un socle cloud standardisé, automatisé et prêt à l’emploi, tout en conservant votre liberté de choix.

Notre objectif n’est donc pas de vous enfermer dans « notre » cloud, mais de vous permettre de rester maître de votre infrastructure : l’exploiter avec Qim info, l’internaliser ou la confier ultérieurement à un autre prestataire.

Du conseil à la migration

Nos équipes peuvent également intervenir en amont pour définir votre stratégie et déterminer l’architecture la plus adaptée à vos contraintes.

Notre expertise en cloud consulting nous permet notamment d’accompagner les entreprises dans le choix de leurs technologies, de leurs fournisseurs et du niveau de souveraineté réellement nécessaire.

Lorsque le projet implique de faire évoluer une infrastructure existante, nos services de migration cloud couvrent la préparation et la migration des applications et des données vers une nouvelle architecture cloud, qu’elle soit souveraine, européenne, publique ou hybride.

Notre principe reste le même : utiliser le cloud pour gagner en autonomie, en résilience et en capacité d’évolution, pas pour remplacer une dépendance par une autre.

FAQ

C’est quoi un cloud souverain ?

Un cloud souverain est un environnement cloud qui permet à une organisation de conserver un niveau suffisant de maîtrise sur ses données, leur accès, la juridiction applicable, ses dépendances technologiques et sa capacité à changer de fournisseur. La localisation des données ne suffit donc pas, à elle seule, à rendre un cloud souverain.

Quelle est la différence entre un cloud et un cloud souverain  ?

Un cloud fournit des ressources informatiques à distance : stockage, calcul, applications, etc. Un cloud souverain ajoute des exigences de maîtrise sur les données, les accès, la juridiction, l’exploitation ou encore la réversibilité. Un cloud public ou privé peut donc présenter un niveau plus ou moins élevé de souveraineté.

Quel cloud souverain en France ?

Il n’existe pas un cloud souverain unique en France. Pour les besoins sensibles, la qualification SecNumCloud de l’ANSSI constitue la référence française en matière de cloud de confiance, avec des exigences techniques, opérationnelles et juridiques. Des offres de Cloud Temple et S3NS sont notamment qualifiées ; la liste des services qualifiés évolue et doit être vérifiée auprès de l’ANSSI.