Cloud souverain : de la promesse politique au cahier des charges

L’Europe cesse de débattre pour savoir si le cloud souverain vaut la peine d’être poursuivi. Le débat s’est déplacé de cette question vers une autre, plus difficile : de quel niveau de souveraineté un workload donné a-t-il réellement besoin, et comment un acheteur peut-il vérifier la revendication d’un fournisseur ? Bernd Wagner, Chief Sales Officer et membre du conseil d’administration en charge du cloud chez Schwarz Digits, contribue à construire l’alternative aux hyperscalers américains. Martin Kuppinger, cofondateur du cabinet d’analystes KuppingerCole, met en garde contre le fait de traiter la souveraineté comme une fin en soi.

Le débat sur la souveraineté a changé de nature

Wagner a rejoint Schwarz Digits en 2024, après avoir quitté Google, et décrit lui-même ce basculement à travers l’évolution des conversations avec les clients. « Quand j’ai quitté Google et que j’ai commencé ici, le débat était encore différent. Il fallait frapper à beaucoup plus de portes pour faire exister le sujet de la souveraineté numérique. » Aujourd’hui, il formule les choses autrement. « Il n’y a presque plus aucun client avec qui on discute du pourquoi il faudrait le faire ; la question, c’est plutôt comment le faire. »

Kuppinger ne conteste pas cette urgence, mais pose une limite. Interrogé sur le fait de savoir s’il croit à un champion européen unique du cloud ou à plusieurs fournisseurs sur un pied d’égalité, il répond sans hésiter. « Je pense que c’est une bonne chose d’avoir plusieurs alternatives. Si on a trois ou quatre clouds vraiment solides, avec un haut niveau de souveraineté, au moins on a vraiment le choix. » Un champion européen unique n’est pas à son agenda. Un oligopole résilient, oui.

Ce qui doit vraiment être souverain

Kuppinger s’oppose au réflexe consistant à tout traiter de la même façon, et ancre plutôt son analyse sur deux critères. « Qu’est-ce que la souveraineté veut vraiment dire, au fond, et où en ai-je besoin ? D’un côté, il y a les aspects réglementaires, là où j’ai une obligation légale. Le deuxième critère, c’est la résilience, qui va jusqu’à la protection de la propriété intellectuelle. » Ce n’est qu’après cela qu’intervient l’arbitrage entre coût, capacité et disponibilité, que chaque organisation doit peser pour elle-même.

Comme exemple de mauvaise priorité, il cite les administrations publiques qui commencent par changer leurs applications bureautiques et négligent les systèmes critiques. La véritable dépendance, selon lui, se situe ailleurs : dans la cybersécurité et l’authentification.

Son conseil central s’adresse aux acheteurs avant qu’ils ne signent, pas après. « La question que les DSI se posent bien trop rarement, et qu’ils doivent ancrer dans leur organisation, c’est la toute première pour n’importe quelle décision d’achat de produit : comment est-ce que j’en ressors ? On y prête bien trop peu attention. » Un verrouillage entré délibérément n’est pas une erreur, selon lui. Un verrouillage entré sans y avoir réfléchi, si.

La souveraineté en pratique

Wagner propose quatre vérifications qu’un acheteur peut appliquer à tout fournisseur revendiquant une offre souveraine, et chacune produit un document plutôt qu’une opinion.

La première concerne le code source. « Nous sommes souverains par nature, parce que nous développons nos systèmes depuis zéro, en open source. » La vérification qui en découle vise les concurrents : quelle part du code source d’une solution soi-disant souveraine le client reçoit-il réellement.

La deuxième est l’entiercement (escrow). « Avez-vous déjà vu un contrat d’entiercement de leur part, où ils disent : oui, je vous donne un contrat d’entiercement pour que vous puissiez continuer le développement vous-même, au cas où je ne serais plus autorisé à livrer. » Un accord d’entiercement est soit dans le contrat, soit il n’y est pas. Ce type de contrat consiste à confier des éléments sensibles ou le code source d’un logiciel à un tiers neutre pour les protéger et les transmettre à un client en cas de défaillance du fournisseur.

La troisième vérification porte sur la télémétrie et la liberté de changer de fournisseur. L’endroit où finissent les données opérationnelles est, pour Wagner, le point où une offre souveraine fuit le plus discrètement. Deux clauses contractuelles viennent renforcer ce point : l’absence de facturation pour l’ingress et l’egress, et un environnement Kubernetes sans variante propriétaire, « pour que le client ne puisse plus changer ».

La quatrième porte sur la propriété. Sur le schéma d’une entreprise américaine exploitant une filiale européenne avec des dirigeants locaux, Wagner est direct. « Elle a quand même un propriétaire et une structure de contrôle. Vous pouvez en tirer les conséquences vous-même. » Une entité juridique locale ne change rien à qui la contrôle en dernier ressort. Il illustre son propos avec un cas néerlandais, où la vente d’un fournisseur local à un acheteur américain aurait placé ses clients sous le coup du Cloud Act américain dès la clôture de l’opération, sans qu’aucun changement n’intervienne dans la technologie ni dans la localisation des données.

Une phrase de l’entretien suffit à poser une limite au propre discours commercial de Wagner. Interrogé sur les logiciels achetés auprès de partenaires américains comme ServiceNow ou CrowdStrike, il fixe lui-même sa limite. « Nous détenons le contrat, nous assurons l’exploitation, mais au bout du compte nous dépendons des mises à jour tout autant qu’eux. Cela veut dire que nous ne pouvons que geler le statu quo. Mais nous ne pouvons pas garantir que nous continuerons à recevoir les mises à jour à l’avenir. Ça, nous ne pouvons pas le faire. Mais nous pouvons au moins maintenir le statu quo en fonctionnement. C’est déjà bien mieux que rien. »

Peut-on vraiment mesurer la souveraineté ?

Plusieurs référentiels tentent actuellement de capturer la souveraineté en niveaux, et trois d’entre eux utilisent chacun quatre niveaux. La ressemblance s’arrête là.

Le Cloud and AI Development Act est une proposition de la Commission européenne, présentée le 3 juin 2026, qui n’est pas encore une loi. Il établirait un cadre européen de souveraineté du cloud computing avec quatre niveaux d’assurance, allant du traitement et du stockage à l’intérieur de l’Union au niveau 1, jusqu’au contrôle total de la chaîne d’approvisionnement sans aucune interférence de pays tiers au niveau 4. L’Office fédéral allemand de la sécurité de l’information a publié ses propres critères le 27 avril 2026, sous le nom de C3A, explicitement conçus comme un guide et non comme un schéma de certification. L’European Sovereign Stack Standard est une initiative de Schwarz Digits, présentée le 17 avril 2026 au salon Hannover Messe, avec quatre niveaux cumulatifs nommés Basic, Initial, Advanced et Future-Proof, vérifiés par l’auditeur BDO. Il reste un référentiel d’éditeur, sans mandat de l’UE.

Wagner ne conteste pas cette ressemblance de famille et la ramène à un seul test. « Les modèles ont un degré d’analogie relativement élevé. Au fond, c’est toujours la même chose : qui peut couper l’accès. » Selon sa propre évaluation, Schwarz Digits atteint le niveau le plus élevé de l’European Sovereign Stack Standard, Advanced plus. Il n’existe aucune confirmation indépendante du niveau atteint par un quelconque fournisseur dans le cadre propre à la Commission, car celle-ci ne publie pas de chiffres par fournisseur.

Kuppinger voit ces référentiels avant tout comme un outil de rapidité, pas comme un verdict définitif. « C’est toujours utile de prendre ce genre de référentiels et d’y accrocher ses propres critères. » Il met en garde contre le réflexe consistant à sur-protéger l’ensemble. « Il faut sortir de l’idée que tout doit être protégé comme la partie qui a les exigences les plus élevées. Dans la plupart des situations, on n’en a pas besoin. »

La commande publique comme faiseur de marché

Le test le plus clair de la capacité de la commande publique à construire un marché s’est joué au sein même de la Commission. En juin 2026, elle a publié l’attribution du marché « Multiple Sourcing of EU Sovereign IaaS/PaaS Cloud Services », un lot unique divisé en quatre contrats parallèles, pour un plafond combiné de 180 millions d’euros. Les attributaires sont Scaleway pour la France, Proximus pour la Belgique, la Schengen Cloud Alliance construite autour de POST Telecom au Luxembourg et de Clever Cloud, et Schwarz Digits Cloud pour l’Allemagne. Aucun hyperscaler américain ne figure parmi les quatre lauréats. Le niveau atteint par chacun d’entre eux n’est pas publié.

Le cas néerlandais fonctionne différemment, et il est plus révélateur. En avril 2026, la centrale d’achat du gouvernement néerlandais a signé un accord-cadre avec STACKIT, négocié une seule fois, de sorte que chaque organisme public puisse y recourir sans lancer son propre appel d’offres. Wagner chiffre lui-même le vivier d’organisations éligibles. « Nous avons signé un accord-cadre grâce auquel 120 organisations du secteur public aux Pays-Bas peuvent recourir à nos services sans procédure d’appel d’offres. »

Ce que l’accord-cadre exclut est tout aussi révélateur que ce qu’il contient. Il n’y a ni obligation d’achat, ni montant minimum engagé. Le contrat garantit également un droit de résiliation si la propriété de STACKIT venait à sortir de l’Espace économique européen. Cette clause est la traduction contractuelle de la quatrième vérification de Wagner, celle sur la propriété.

L’IA, prochain défi de la souveraineté

La question la plus intéressante dans le débat sur l’IA n’est plus de savoir quel modèle calcule le mieux. Wagner situe le désavantage de l’Europe dans la diffusion des outils d’IA, pas dans leur capacité, et n’épargne pas son propre camp dans sa critique. Les clients de Microsoft 365 ouvrent l’assistant IA Copilot d’un simple clic, directement dans Word, Outlook ou Teams. Ce n’est pas le cas pour des alternatives européennes comme le service de traduction DeepL ou le modèle d’image de Black Forest AI. Wagner les juge tous deux techniquement matures, et pourtant, d’après ce qu’il observe, presque personne ne les utilise au quotidien. La raison, selon lui, n’est pas la qualité. C’est que ces outils ne sont intégrés dans aucun logiciel largement utilisé. Les utilisateurs doivent d’abord les chercher et les ouvrir séparément, au lieu de les trouver déjà présents pendant qu’ils travaillent.

Pour Kuppinger, l’identité devient décisive au moment où des agents commencent à en appeler d’autres. Les modèles de permission classiques supposent une forme d’accès fixe et prédéfinie — par exemple, qu’un employé nommément identifié a accès à SAP, et que SAP reconnaît exactement cette seule habilitation, rien de plus. Un agent d’IA fait voler cet ordre en éclats. « On passe de « Matthias a accès au système A ou B » à « Matthias, d’une certaine façon, volontairement ou non, sciemment ou non, invoque un agent qui peut lui-même en invoquer d’autres, qui peuvent même créer des agents accédant à certaines ressources. » C’est un accès aux ressources bien plus complexe que tout ce qu’on a connu jusqu’ici, dans n’importe quel autre scénario. »

Sa conclusion est en conséquence sobre. « Nous n’avons pas vraiment résolu cette question. On en est loin. » Comme piste viable, il pointe les identifiants vérifiables issus du monde de l’identité décentralisée, explicitement présentés comme une option et non comme une solution aboutie. Aucun des trois référentiels de souveraineté évoqués plus haut ne couvre pour l’instant cette chaîne.

Le verdict se jouera dans cinq ans

Kuppinger mesure le verdict à cinq ans à l’aune de trois critères : la part de marché des fournisseurs européens, une dépendance démontrablement plus faible des secteurs régulés vis-à-vis des hyperscalers, et un contrôle appliqué, et non simplement déclaré, sur les identités et les workloads d’IA. Sur la structure du marché, il maintient la ligne posée en ouverture : plusieurs fournisseurs solides plutôt qu’un seul en tête.

L’évaluation que Wagner porte lui-même sur son secteur est plus honnête que ne l’autorise d’ordinaire le langage marketing de la filière. L’Europe ne maîtrise pas encore chaque couche dont elle dépend, ni dans le cloud, ni dans l’intelligence artificielle, ni dans la sécurité et la cyberdéfense. Le cloud souverain a quitté la scène des déclarations politiques pour devenir une discipline d’achat, avec des documents à l’appui. Au bout du compte, les fournisseurs qui dureront seront ceux dont les documents résisteront à l’examen.