Souveraineté numérique, au-delà du buzz géopolitique actuel

Dans cet article, je propose une lecture pragmatique de la souveraineté numérique, en rappelant que la souveraineté n’est pas une question binaire mais un équilibre à construire entre des dimensions techniques, juridiques, opérationnelles et économiques.

À travers des exemples concrets, explorons ensemble les stratégies adaptées aux différents profils d’entreprises, les limites des offres dites « souveraines », ainsi que les initiatives européennes qui visent à renforcer l’autonomie numérique du continent.

Au-delà de la conjoncture, une question de résilience

À l’heure où les tensions géopolitiques réveillent les esprits, la souveraineté revient en haut de la pile des préoccupations.

📅 Vendredi 12 juin 2026, sur injonction de son gouvernement, Anthropic, (fournisseur IA américain) coupe du jour au lendemain l’accès à l’un de ses modèles.

CLOUD Act, Data Act, certifications européennes, conditions tarifaires des grands éditeurs, dépendances de la chaîne d’approvisionnement : autant de sujets qui imposent désormais aux directions d’entreprises de regarder leur architecture pour ce qu’elle est, c’est-à-dire un choix stratégique, et non plus seulement un choix technique.

Or, la souveraineté numérique n’est ni un réflexe défensif, ni un argument de communication, c’est une fonction structurelle. Evitons le sovereign-washing à tout va.

Au même titre que l’approvisionnement énergétique, les transports ou la santé, le numérique est une infrastructure dont une organisation, une administration ou un pays, doit pouvoir conserver la maîtrise pour ses activités critiques.

Tout, dans cette discussion, relève de la gestion de risque et j’espère bien que ce sujet ne s’arrêtera pas le jour où le monde aura l’air stable à nouveau. Parce que la souveraineté numérique, ce n’est pas un réflexe de peur face à l’actualité.

Dans la grande majorité des cas, chez nos clients, la bonne architecture n’est

• ni un cloud souverain à 100 %,
• ni un on-premise intégral,
• mais un équilibre permanent.

L’enjeu consiste à pratiquer cette hybridation, sans laisser la complexité opérationnelle prendre le dessus et en réduisant le vendor lock-in grâce à, par exemple, des couches d’abstraction techniques. C’est cet équilibre qui évite de s’enfermer dans une dépendance unique et qui permet, à mesure que le contexte évolue, d’ajuster le poids de chaque composante plutôt que de subir un changement de cap brutal.

Nous parlerons ici de l’impact des dépendances numériques intégrées à votre stratégie et de l’évolution des cadres légaux qui les régissent. Pour aller plus loin, j’ai aussi donné la parole à trois fondateurs de clouds suisses et européens : Antoine Coetsier (Exoscale), Matthieu Robin (Hidora) et Octave Klaba (OVHcloud).

La souveraineté n’est pas un bouton ON/OF

Qu’entendons-nous quand on parle de souveraineté ? Selon les interlocuteurs, le mot recouvre des réalités très différentes. C’est une question profondément subjective.

Certains considèrent qu’il faut maîtriser la souveraineté de bout en bout. D’autres se suffiront à dire qu’un data center situé dans le pays, opéré par une entreprise enregistrée localement, hors de portée du CLOUD Act, est suffisant. Entre ces deux extrêmes, il y a un spectre entier de sensibilités.

En réalité, la souveraineté peut être décomposée en au moins quatre dimensions : matérielle, logicielle, juridique et opérationnelle. Chaque organisation doit placer son curseur en fonction de son profil de risque, de son secteur et de ses obligations réglementaires.

La dimension matérielle

C’est la maîtrise de l’infrastructure physique. Jusqu’où peut-on aller ?

À l’extrême, certains acteurs maîtrisent une part remarquable de leur chaîne industrielle. OVHcloud, par exemple, assemble ses propres serveurs dans son usine de Croix, conçoit et fabrique ses systèmes de refroidissement liquide depuis plus de vingt ans.

À l’autre bout du spectre, plus aucun acteur européen ne grave ses propres processeurs : la fabrication des puces reste très largement entre les mains de TSMC à Taïwan, et la conception des CPU généralistes entre celles d’Intel, AMD et ARM.

L’IA a rendu certaines dépendances beaucoup plus visibles, en particulier autour des GPU. Il serait illusoire de prétendre que l’Europe dispose aujourd’hui d’une alternative équivalente à NVIDIA pour les usages d’IA à grande échelle.

La souveraineté matérielle est donc rarement totale ; en revanche, il serait tout aussi
dangereux de considérer cette situation comme définitive. De nouvelles initiatives
émergent, préparons les alternatives de demain.

La dimension logicielle

Le choix structurant est celui des standards.

Bâtir son architecture sur des briques ouvertes, comme Kubernetes, PostgreSQL ou OpenStack, garantit une portabilité réelle et une réversibilité possible vers d’autres fournisseurs. Bâtir sur des écosystèmes propriétaires, à l’inverse, fait progressivement glisser la décision technologique vers l’éditeur.

Pour prendre un cas concret, le SKS d’Exoscale repose sur Karpenter, un projet open source soutenu par la Cloud Native Computing Foundation (CNCF) : ce choix de standards ouverts laisse au client la liberté de changer de fournisseur.

À l’opposé, un autoscaler propriétaire dont le code et la roadmap restent l’apanage du fournisseur crée une adhérence dont on ne mesure souvent le coût qu’au moment de partir. La souveraineté logicielle, en pratique, c’est la capacité conservée de quitter une solution.

La dimension juridique

C’est probablement la plus parlante pour les directions juridiques et les RSSI. Le critère décisif n’est pas la localisation du data center, c’est la juridiction qui peut, in fine, exiger l’accès aux données.

Le CLOUD Act américain, depuis 2018, autorise les autorités américaines à demander des données détenues par toute entreprise sous contrôle américain, indépendamment du pays où ces données sont stockées physiquement. Une entité européenne détenue à 100 % par une société-mère américaine reste donc, juridiquement, exposée (AWS Sovereign Cloud par exemple y reste soumis).

Quant au Data Act européen, applicable depuis septembre 2025, il exige des fournisseurs cloud exactement l’inverse : empêcher tout accès illégal d’un gouvernement tiers.

Choisir un fournisseur, c’est aussi choisir le droit qui s’applique au-dessus de lui.

La dimension opérationnelle

Il s’agit de se demander :

• Qui détient les clés de chiffrement, qui peut les régénérer, qui les opère ?
• Les administrateurs disposent-ils d’accès privilégiés sur les données ? Où sont-ils résidents ? Sous quelle juridiction agissent-ils ?
• Où se trouve le SOC qui supervise la plateforme ?

Dans certains secteurs régulés, comme la finance, la santé ou la défense, ces questions ne sont plus théoriques : elles font l’objet de clauses contractuelles précises, parfois assorties d’exigences de citoyenneté pour les personnels habilités.

Le fournisseur genevois Hidora illustre cette exigence avec sa plateforme Hikube, dont les workloads sont nativement distribués et répliqués en synchrone sur trois datacenters suisses, à Genève, Gland et Lucerne. La perte complète d’un site est absorbée automatiquement, et les données ne quittent à aucun moment le territoire suisse. C’est à ce niveau que la souveraineté se prouve, ou se fissure.

J’ai volontairement simplifié la grille de critères car d’autres objectifs reposent sur la souveraineté stratégique, la data & IA, les supply chains, la sécurité & conformité ou encore la durabilité environnementale.

Des initiatives comme « Digital Resilience Initiative » nous aident à mesurer le niveau de dépendance technologique de nos organisations en nous appuyant sur une méthodologie transparente. Pour de nombreuses entreprises, l’enjeu n’est pas de trouver immédiatement la stratégie parfaite. L’enjeu est de commencer.

D’établir un premier état des lieux.

D’identifier les dépendances critiques.

De comprendre quelles expositions sont acceptables et lesquelles ne le sont pas.

Nous établissons une cartographie pondérée mettant en évidence les niveaux de vulnérabilité.

Ma conviction : ce n’est jamais A ou B, souverain ou pas souverain. La meilleure architecture est presque toujours hybride. C’est un travail d’urbanisation du système d’information, une gouvernance au cas par cas, workload par workload. Ce n’est pas sexy, mais c’est la réalité du terrain.

Deux profils de clients, deux stratégies concrètes

Sur le terrain, je constate que deux grandes catégories d’entreprises se dessinent. Chacune avec des enjeux différents, mais une même nécessité : penser son autonomie numérique.

« On est full Azure/AWS » : le profil cloud-first

Ces organisations sont déjà profondément ancrées chez un hyperscaler américain. L’enjeu n’est pas de tout quitter, ce serait irréaliste et inutile. L’enjeu est d’avoir un plan B crédible en cas de « kill switch ».

Ce plan B doit composer avec cinq risques :

• l’exposition géopolitique,
• la perte de pouvoir de négociation,
• le décrochage d’innovation,
• la concentration du marché
• et les limites capacitaires.

À quoi ressemblerait ce scénario en pratique ?

Probablement pas à une coupure franche. Le scénario prospectif Europe 2031, publié par un collectif de chercheurs européens, l’imagine de façon plus insidieuse : un régime de licences qui rationne l’accès aux services de pointe par catégories de pays, avec des alliés prioritaires, des volumes plafonnés et des prix qui montent pour les autres.

De la fiction, certes. Mais le mécanisme existe déjà : les contrôles américains à l’exportation de semi-conducteurs fonctionnent précisément par tiers de pays. Un plan B crédible doit donc anticiper la dégradation progressive autant que la panne brutale.

Concrètement, cela peut passer par :

• l’hybridation de l’infrastructure en plaçant les workloads critiques sur un cloud souverain européen ou suisse,
• le déploiement du DRP/PRA sur une infrastructure alternative,
• ou la mise en place de mécanismes de portabilité et de réversibilité des données.

L’objectif n’est pas de dupliquer tout l’environnement, mais de s’assurer que les fonctions vitales survivent à n’importe quel scénario.

« On est on-premise, on n’a pas ce problème » : le profil traditionnaliste

De nombreuses organisations considèrent encore que l’hébergement de leurs infrastructures en interne constitue une forme de souveraineté par défaut. Cette approche conserve des avantages réels : maîtrise des équipements, proximité des données et contrôle des opérations.

Mais vous vous fermez à l’agilité, à la flexibilité, et surtout à l’innovation. À l’heure de l’intelligence artificielle, acheter des GPU pour les mettre dans votre salle serveur n’est pas toujours la solution ni financièrement, ni opérationnellement. Dépendance technologique, compétences, innovation, capacité, résilience opérationnelle : autant de risques que l’internalisation déplace plutôt qu’elle n’efface.

Un cloud souverain européen ou suisse permet de profiter de l’agilité cloud (GPU as a Service, plateformes ML, scalabilité à la demande) tout en conservant son autonomie numérique. Sans investissement massif, sans dépendance américaine.

Et là, il y a une opportunité concrète qui ne demande qu’à être saisie.

Arrêtez de subir un hyperviseur qui vous prend en otage.

Depuis le rachat de VMware par Broadcom pour 69 milliards de dollars fin 2023, le marché de la virtualisation a été dynamité. Les licences perpétuelles ont été supprimées. Le catalogue de plus de 160 produits a été réduit à quelques packs d’abonnement. Les prix ont été multipliés par deux, trois, voire dix dans certains cas. AT&T a publiquement dénoncé une augmentation de 1 050 %. Le minimum de cœurs par licence est passé de 16 à 72, rendant l’accès prohibitif pour les plus petites structures.

Les cloud souverains sont des alternatives crédibles à l’on-premise, bien moins risquée qu’avec un cloud étranger.

C’est une opportunité stratégique. Migrer vers des solutions basées sur des standards ouverts sur un cloud suisse. C’est une façon de ne plus dépendre d’un hyperviseur américain qui joue avec ses packs de licences, tout en accédant à des solutions qui ne sont pas forcément plus chères.

Transformer une dépendance subie en autonomie choisie, c’est ce que j’appelle une bonne gestion de risque.

« Clouds souverains » américains : des progrès et une limite structurelle

Les hyperscalers sont en train de s’adapter à l’Europe, AWS European Sovereign Cloud en est probablement la meilleure preuve.

📅 En janvier 2026, AWS l’a rendu disponible avec une première région installée en Allemagne. Entité juridique allemande, exploitation confiée exclusivement à des personnels résidents de l’Union, infrastructure physiquement et logiquement séparée des autres régions, 7,8 milliards d’euros engagés. L’effort est réel, et les contrôles le sont aussi : les évaluations indépendantes situent l’offre à un bon niveau sur la souveraineté opérationnelle, la sécurité et la conformité. Pour de nombreux workloads qui exigent une résidence des données en Europe et une autonomie d’exploitation, c’est une réponse crédible et utile.

La limite n’est pas technique, elle est structurelle. L’entité européenne reste détenue à 100 % par Amazon, une société américaine. Tant que le contrôle ultime se situe hors de l’Union, les dimensions juridique et stratégique restent exposées : le CLOUD Act (par exemple) autorise les autorités américaines à exiger des données détenues par toute entreprise sous contrôle américain, quel que soit le lieu de stockage. La souveraineté juridique et stratégique n’est pas respectée pour cette raison.

C’est aussi un bon rappel : une annonce n’est pas un verdict. AWS indique n’avoir jamais transféré de données de clients européens aux autorités américaines depuis 2020. C’est plausible. Mais l’absence de demande à ce jour ne vaut pas garantie pour demain, et pour les données les plus sensibles (santé, défense, infrastructures critiques), un risque juridique résiduel peut suffire à écarter un fournisseur.

En voici un bon exemple avec cet échange de mail entre Microsoft et le Sénat français :

M. Dany Wattebled, rapporteur. – Monsieur Carniaux, en tant que directeur des affaires publiques et juridiques, vous représentez Microsoft France auprès des décideurs publics. Pouvez-vous garantir devant notre commission, sous serment, que les données des citoyens français confiées à Microsoft via l’UGAP ne seront jamais transmises, à la suite d’une injonction du gouvernement américain, sans l’accord explicite des autorités françaises ?

M. Anton Carniaux. – Non, je ne peux pas le garantir, mais, encore une fois, cela ne s’est encore jamais produit.

S’ajoute une tension juridique structurelle. Le Data Act européen, applicable depuis septembre 2025, impose aux fournisseurs cloud d’empêcher tout accès illégal d’autorités d’un pays tiers. Le CLOUD Act demande l’inverse. Les fournisseurs américains se retrouvent entre les deux, et leurs clients avec eux.

Les hyperscalers ne doivent pas être exclus de la stratégie numérique européenne. Ils doivent être repositionnés dans une architecture où aucune dépendance unique ne devient critique.

Il faut garder en tête qu’un cloud souverain proposé par un acteur américain réduit réellement de nombreux risques d’exploitation et de résidence, ce qui a de la valeur. Mais il ne lève pas, par construction, la dépendance juridique et stratégique. La première est une amélioration concrète et légitime. La seconde est un engagement d’architecture et de contrat, de nature différente.

Bien choisir, c’est savoir laquelle des deux un workload donné réclame vraiment.

Le cercle vertueux : il manque la confiance, pas la compétence

Soyons honnêtes : les acteurs européens n’ont pas encore toutes les capacités des hyperscalers américains ou chinois. OVHcloud, le plus grand cloud européen, détient moins de 2 % de part de marché mondial, contre 32 % pour AWS et 23 % pour Azure. L’écart est énorme.

Mais c’est une histoire de cercle vertueux. Si les entreprises et les organisations européennes font confiance à ces clouds, elles utiliseront leurs services, généreront des bénéfices, et permettront d’investir davantage pour devenir concurrentiellement intéressants.

Et il ne faut pas sous-estimer ce qui existe déjà. Beaucoup de services européens s’appuient sur des standards ouverts plutôt que sur des écosystèmes propriétaires. En termes de portabilité, d’interopérabilité et de réversibilité, c’est un avantage compétitif considérable. Moins de vendor lock-in.

Le Conseil fédéral suisse a fait de la souveraineté numérique l’un des trois thèmes prioritaires de sa stratégie 2026. Les demandes clients chez les acteurs européens ont triplé au premier semestre 2025.

Et pourtant, certaines entreprises que je rencontre sont encore frileuses, reprochant un manque de maturité ou de fiabilité des cloud providers suisses et européens.

J’entends souvent l’argument : « Oui mais OVH, les data centers qui ont brûlé… » Aucun cloud n’est infaillible, et ce n’est un reproche à personne. La défiance maintient les acteurs européens petits, leur petitesse nourrit la défiance, et la dépendance s’auto-renforce jusqu’à devenir un levier de négociation entre les mains d’autrui.

Pourtant, même les plateformes les plus grandes et les mieux conçues connaissent des incidents majeurs.

• En octobre 2025, AWS a subi une panne majeure dans sa région US-EAST-1 d’environ quinze heures, avec bien plus d’une centaine de services touchés et des dizaines de millions de signalements dans le monde.
• Une semaine plus tard, un changement de configuration dans Azure Front Door provoquait une panne d’environ neuf heures sur Azure et Microsoft 365.
• En juillet 2024, une mise à jour défectueuse de CrowdStrike paralysait des millions de postes Windows.

Ce ne sont pas des arguments contre tel ou tel fournisseur ; ce sont des rappels que la taille ne vaut pas immunité.

L’enseignement est architectural, et c’est exactement là que se voit la compétence. La résilience ne vient pas du logo sur le data center, elle vient de la conception : redondance, multi-région et, quand cela compte, multi-cloud, plans de reprise réellement testés, diversification des fournisseurs, et couches d’abstraction qui gardent un workload portable.

Un incendie localisé et une panne du control plane d’un hyperscaler renvoient à la même discipline : concevoir pour la panne, ne jamais supposer qu’un fournisseur unique ou une région unique seront toujours là. Les clouds souverains européens et suisses trouvent naturellement leur place dans ce schéma, comme second pilier crédible pour les workloads critiques.

De GAIA-X au cadre européen : un rendez-vous manqué, une méthode qui se construit

L’idée de construire une force européenne du cloud n’est pas nouvelle. En 2020, la France et l’Allemagne lançaient GAIA-X, un consortium censé poser les bases d’un écosystème cloud souverain européen.

GAIA-X : une ambition légitime, un cas d’école de ce qu’il ne faut pas faire

Le flou stratégique : personne ne savait vraiment ce qu’était GAIA-X. Un hyperscaler européen ? Un label de normes ? Un cadre de gouvernance ? Chacun y a projeté ses attentes, et le compromis a noyé l’ambition.

Le noyautage : AWS, Microsoft, Google, et même Huawei et Alibaba se sont invités au consortium. Quand la conférence annuelle GAIA-X est sponsorisée par les entreprises contre lesquelles elle est censée se protéger, il y a un problème. Le PDG de Scaleway avançait même la thèse que les hyperscalers américains avaient infiltré le projet pour le ralentir de l’intérieur. Qu’on y croie ou non, le résultat parle de lui-même.

La bureaucratie : des années de documents conceptuels, zéro service livré. Forrester a fini par qualifier GAIA-X de « machin statique ». Le fondateur de Nextcloud résume encore plus brutalement en 2025 : « GAIA-X est mort, repris par les hyperscalers américains. L’objectif de base n’est plus là. »

GAIA-X est un cas d’école de ce qui arrive quand on invite le loup dans la bergerie. Il a malgré tout fait évoluer les esprits et sert désormais de tremplin vers une approche plus aboutie, de nouvelles raisons de collaborer, et l’Europe en a profité pour changer de méthode.

EUCS (European Union Cybersecurity Certification Scheme for Cloud Services)

Commençons par l’EUCS, le schéma européen de certification de cybersécurité des services cloud, issu du Cybersecurity Act. L’idée est simple et puissante : un référentiel unique à l’échelle européenne pour certifier le niveau de cybersécurité des fournisseurs, avec trois niveaux d’assurance (Basic, Substantial, High) et, dans ses premières versions, un niveau High+ porteur d’exigences de souveraineté (siège dans l’UE, données stockées en Europe) pour accéder au sommet.

Pourquoi c’est important ? Parce que NIS2 et le Data Act permettent aux États membres d’exiger de leurs entités essentielles qu’elles ne recourent qu’à des fournisseurs certifiés EUCS. La certification deviendrait alors le sésame des marchés publics et des secteurs réglementés.

Soyons honnêtes sur les zones de turbulence : les exigences de souveraineté du niveau High+ ont été retirées du projet en mars 2024, sous la pression de certains États membres et de lobbys. La France, l’Italie et l’Espagne plaident pour les réintégrer.

En parallèle, la Commission Européenne est allée plus loin en créant son Cloud Sovereignty Framework, détaillé le 1er juin 2026, qui ne se contente plus de labels ou de déclarations d’intention : il mesure la souveraineté sur preuves, à travers 8 objectifs construit sur 48 critères vérifiables :

• stratégie,
• juridiction,
• gouvernance des données,
• exploitation,
• chaîne d’approvisionnement,
• technologie,
• sécurité et conformité,
• durabilité.

Nouveau plan massif de l’Europe

Le volet politique a suivi le 3 juin 2026, quand la Commission a présenté son paquet de souveraineté technologique. Le cadrage est direct : construire une pile technologique européenne pour que, selon ses propres mots, « personne ne dispose d’un interrupteur d’arrêt ».

Le constat de départ est sévère : plus de 80 % des produits, services et infrastructures numériques utilisés dans l’Union proviennent de l’extérieur, et trois fournisseurs américains, AWS, Azure et Google Cloud, détiennent environ 70 % du marché européen du cloud.

Selon les estimations du collectif Europe 2031, l’Europe héberge environ 5 % de la puissance de calcul mondiale dédiée à l’IA, contre près de 80 % pour les États-Unis.

Quant au paysage des Clouds Européens, il est découpé en dizaines d’acteurs de tailles variées sans dominance excessive.

Le nouveau plan repose sur quatre volets :

• un Chips Act 2.0 pour les semi-conducteurs,
• un Cloud and AI Development Act (CADA) qui vise à environ tripler la capacité de data centers en Europe sur cinq à sept ans et à introduire une méthode européenne unique pour évaluer la souveraineté des offres cloud et IA dans la même logique que le Cloud Sovereignty Framework,
• une stratégie open source,
• et une feuille de route reliant numérique et énergie, la consommation électrique des data centers faisant désormais partie de l’équation.

L’Europe part de loin : aucune organisation européenne ne se détournera entièrement des hyperscalers américains à court ou moyen terme, et une sortie complète n’est ni réaliste ni l’objectif.

Ma lecture : après la déception GAIA-X, la direction est enfin la bonne. On passe des slogans et des labels contestés à des critères que l’on peut mesurer et opposer, le CSF, et à des outils législatifs concrets, le paquet de juin. Si les exigences de souveraineté reviennent dans l’EUCS, l’Europe disposera d’un instrument harmonisé qui distingue clairement un cloud certifié et souverain d’un cloud « sovereign-washé », et donne une vraie lisibilité aux entreprises et aux administrations.

Il y a aussi des réussites concrètes à montrer. Il y a peu, c’est la BCE qui choisit OVH pour l’infrastructure souveraine de l’euro numérique. Ça compte.

Pour un positionnement ancré en Suisse, c’est aussi là que l’argument de la résidence des données tombe juste : un fournisseur opérant entièrement sous juridiction suisse se classe naturellement haut sur les dimensions juridique et opérationnelle que ces cadres notent désormais.

Conclusion : un cadre de réflexion, pas un slogan

La souveraineté numérique n’est ni un caprice politique, ni une mode passagère, ni un argument commercial. C’est une discipline d’architecture, une gouvernance de risque, et un investissement dans la résilience.

Au fond, la question n’est ni idéologique ni technologique. Elle tient en une phrase : pour chaque activité critique de votre organisation, savez-vous qui détient l’interrupteur, et ce qu’il vous en coûterait de le reprendre ? Si la réponse est documentée, testée et chiffrée, votre curseur est au bon endroit, quel que soit votre fournisseur. Si elle ne l’est pas, le sujet mérite d’être adressé.

Chez Qim info, nous constatons que la plupart des organisations ne manquent pas de technologies. Elles manquent surtout de méthodes pour objectiver leurs dépendances et arbitrer leurs choix. Notre rôle consiste moins à recommander un fournisseur qu’à aider nos clients à construire une trajectoire adaptée à leurs contraintes, à leurs risques et à leurs ambitions. Cela passe souvent par davantage d’hybridation, de standards ouverts et de diversification, mais rarement par des réponses universelles.

Au Centre d’Expertises de Qim info, nous accompagnons nos clients dans cette réflexion d’urbanisation : évaluer les workloads critiques, structurer l’hybridation, qualifier les fournisseurs, et construire une autonomie numérique pragmatique. Pas dogmatique.