Pour Omdia, la politique européenne de souveraineté cloud dépasse la question de la résidence des données

Le rapport Digital Sovereignty: AI & cloud policies and regulatory frameworks indique que les responsables politiques admettent de plus en plus qu'une autosuffisance technologique complète est impossible, les chaînes d'approvisionnement étant mondiales. L'objectif est plutôt une capacité d'action stratégique et des décisions prises en connaissance de cause, selon Omdia. La proposition de règlement sur le développement du cloud et de l'IA, annoncée en juin 2026, vise à donner à l'UE les capacités, les infrastructures et les mécanismes de gouvernance nécessaires au maintien de son autonomie technologique.

Ce que changerait le CADA

Le CADA instaurerait un cadre de souveraineté à quatre niveaux pour les services cloud utilisés par les institutions européennes et les organismes du secteur public, rapporte InfoWorld. Les charges de travail les plus sensibles, notamment dans la justice et les forces de l'ordre, devraient tourner sur des services atteignant les niveaux d'assurance les plus élevés. La proposition n'est pas une interdiction générale : elle prévoit des exceptions lorsque des services conformes n'existent pas, selon InfoWorld.

Google Cloud estime que les critères de chacun des quatre niveaux d'assurance de l'Union « limiteraient ou excluraient les fournisseurs mondiaux, quelles que soient les mesures de sécurité qu'ils proposent ». Dans un billet de blog, l'entreprise soutient que la réglementation devrait laisser place à des contrôles techniques plutôt qu'à des critères géographiques rigides.

Le modèle de notation déjà en usage

Le cadre de souveraineté cloud de la Commission européenne fournit déjà aux équipes chargées des marchés publics un modèle de notation, rapporte Startup Fortune. Il évalue les fournisseurs selon plusieurs catégories : souveraineté juridique et juridictionnelle, souveraineté des données et de l'IA, souveraineté opérationnelle, chaînes d'approvisionnement, technologie, sécurité et conformité, ainsi que considérations stratégiques, selon Cloud Computing News. Le cadre distingue le lieu de stockage des données de la capacité d'opérateurs établis dans l'UE à gérer, maintenir et prendre en charge un service sans intervention d'un fournisseur non européen.

Le cadre repose sur les Sovereignty Effectiveness Assurance Levels, ou SEAL. Le SEAL-2 est considéré comme le niveau minimal de souveraineté des données, le SEAL-3 signalant une résilience numérique plus forte, rapporte Startup Fortune. Dans l'appel d'offres de la Commission sur le cloud souverain d'avril 2026, la plupart des fournisseurs retenus atteignaient le SEAL-3. Le consortium Proximus, lui, atteignait le SEAL-2 grâce à une structure recourant à la technologie Google Cloud dans un environnement exploité par des entreprises européennes, rapporte Startup Fortune.

La Commission a attribué en avril 2026 des contrats de cloud souverain d'une valeur pouvant atteindre 180 000 000 EUR sur six ans à plusieurs fournisseurs, dont un partenariat de Post Telecom avec OVHcloud et CleverCloud, l'allemand STACKIT, Scaleway et un consortium mené par Proximus, rapporte Startup Fortune. Proximus indique avoir été retenu avec trois autres fournisseurs pour un accord-cadre de six ans couvrant la Commission, le Parlement, le Conseil, le Service européen pour l'action extérieure et 70 agences européennes. Son offre mentionne S3NS, Clarence, Mistral et Thales.

Google Cloud cite cet ensemble de partenaires dans son billet de blog. L'entreprise indique que l'offre S3NS en France a été qualifiée SecNumCloud 3.2, et que Clarence et S3NS, avec Mistral, ont été approuvés par la direction générale des services numériques de la Commission pour les institutions européennes ayant des besoins de cloud souverain.

AWS, Microsoft et Google contrôlent environ 70 % du marché européen des infrastructures cloud, ce qui expose le secteur public à des législations étrangères, majoritairement américaines, rapporte InfoWorld.

La suite

Omdia indique que des orientations claires sur les exigences de souveraineté de l'IA et du cloud font largement défaut, alors même que la souveraineté apparaît dans un nombre croissant de programmes gouvernementaux. Google Cloud a demandé à la Commission de modifier certains éléments du CADA pour éviter ce qu'elle appelle un « isolement involontaire du marché ».