Cinq ans après le lancement de sa stratégie cloud, la France rouvre le dossier par une consultation publique, signe que l’équation économique et réglementaire n’est pas stabilisée. Derrière l’affichage de souveraineté, l’enjeu est de bâtir une offre compétitive, certifiable et opérable à l’échelle, sans se condamner à un cloud de niche réservé aux seuls cas sensibles.
La souveraineté numérique française revient au centre du jeu avec une séquence qui ressemble moins à une annonce qu’à un recalibrage. La Direction générale des Entreprises ouvre une consultation publique pour recalibrer le cap avec la filière, cinq ans après le lancement d’une stratégie nationale cloud qui a multiplié labels, doctrines d’achat et partenariats, sans pour autant faire émerger un champion incontestable ni un standard opérationnel unique. Le signal est double. D’un côté, l’État reconnaît implicitement que le marché n’a pas convergé vers une solution simple, ni sur le plan industriel, ni sur le plan juridique. De l’autre, il acte que la souveraineté ne se décrète pas seulement par des exigences de localisation, mais par une capacité à livrer des services cloud comparables en qualité, en coût et en vélocité, tout en restant gouvernables par le droit européen.
Un chantier relancé parce que la dépendance est devenue un risque stratégique
Le contexte géopolitique et réglementaire a durci la lecture du risque. Les organisations publiques et les secteurs régulés ont accéléré leur migration vers le cloud, souvent sur des piles technologiques américaines, parce que l’offre y est mature, industrialisée et riche en services managés. Mais cette dépendance expose à des extraterritorialités juridiques, à des asymétries de pouvoir de marché et à une fragilité de la chaîne d’approvisionnement logicielle. L’idée d’un « cloud souverain » a donc glissé d’un objectif de politique industrielle vers un instrument de résilience nationale, au même titre que l’énergie ou certaines capacités de défense. Dans le débat européen, la France se positionne volontiers en éclaireur, portée par une doctrine de classification des données et par des exigences de conformité renforcées. Le discours se nourrit aussi d’une lecture plus politique des relations transatlantiques, où l’autonomie technologique devient un levier de négociation et de continuité d’activité en cas de tensions. La France semble être la cheffe de file d’un mouvement croissant en Europe, cherchant à atteindre au plus vite la souveraineté numérique, ce qui place la consultation actuelle dans une dynamique qui dépasse l’Hexagone et vise, à terme, une cohérence continentale.
Le nœud du problème est moins technique que structurel
La difficulté historique du cloud souverain français tient à une tension rarement résolue. D’un côté, la souveraineté exige contrôle capitalistique, maîtrise opérationnelle, réversibilité, auditabilité, et une chaîne de sous-traitance qui ne réintroduit pas de dépendances critiques. De l’autre, la compétitivité cloud repose sur l’hyperscale, l’amortissement massif des infrastructures, l’innovation continue sur les services managés, et une capacité à attirer développeurs et éditeurs via des écosystèmes et des places de marché. Or, la France a surtout produit des architectures de conformité, pas une économie d’échelle. Les offres dites souveraines se heurtent alors à trois plafonds.
Premier plafond, l’économie. Les coûts unitaires d’un cloud « proprement souverain » restent élevés si l’on vise une séparation stricte des chaînes d’administration, de support et de développement, et si l’on limite l’accès aux composants non européens. Les acheteurs publics, eux, arbitrent entre conformité et budget, mais aussi entre conformité et time-to-market. Tant que l’écart de prix et de fonctionnalités avec les hyperscalers demeure significatif, la souveraineté risque de se cantonner aux données les plus sensibles, laissant le gros des workloads sur des clouds dominants.
Deuxième plafond, la doctrine et la segmentation. La France a déjà une logique de classification des données et des exigences de certification, mais l’exécution reste complexe pour les DSI. Les frontières entre « cloud de confiance », « souverain », « qualifié », « SecNumCloud », « HDS » ou encore les exigences sectorielles créent un paysage où la conformité devient un projet en soi. Une consultation publique peut utilement simplifier, mais elle peut aussi ajouter une couche si elle n’aboutit pas à des règles d’achat et des profils de risque lisibles. Pour les décideurs, l’enjeu est de transformer la conformité en produit, avec des parcours de migration standardisés, des contrats types, et des responsabilités clairement réparties entre fournisseur, intégrateur et client.
Troisième plafond, l’écosystème logiciel. Un cloud ne vaut pas seulement par ses datacenters, mais par son catalogue de services, ses API, ses outils DevSecOps, ses capacités data et IA, et la profondeur de son réseau de partenaires. La souveraineté, si elle se traduit par une pile trop spécifique, peut isoler les utilisateurs des standards de fait, compliquer la portabilité applicative et raréfier les compétences. À l’inverse, s’appuyer sur des briques non européennes pour accélérer l’offre expose à des débats sur le contrôle effectif, la gouvernance et l’accès aux données. La consultation devra donc clarifier ce qui est exigé en matière de contrôle, et ce qui est acceptable en matière de dépendances, en distinguant dépendance technologique, dépendance juridique et dépendance opérationnelle.
La consultation comme outil de politique industrielle et de commande publique
Le choix d’une consultation publique n’est pas neutre. Il traduit une volonté de réconcilier trois communautés qui ne parlent pas toujours la même langue. Les industriels du cloud et de l’infrastructure veulent de la visibilité et des volumes pour investir. Les administrations veulent des solutions prêtes à l’emploi, contractualisables, et compatibles avec leurs contraintes de sécurité et de souveraineté. Les régulateurs et autorités de qualification veulent des garanties vérifiables, pas des promesses marketing. Si la consultation est bien cadrée, elle peut servir à aligner les incitations, notamment via la commande publique, qui reste l’un des rares leviers capables de créer un marché domestique suffisamment profond pour industrialiser une offre.
Concrètement, l’État peut agir sur quatre axes. D’abord, la standardisation des exigences, en réduisant le nombre de régimes et en publiant des profils de conformité par type de données et de services, afin d’éviter que chaque ministère ou opérateur d’importance vitale ne réinvente son propre référentiel. Ensuite, la mutualisation, en finançant des briques communes comme l’identité, la gestion de clés, l’observabilité, ou des environnements de développement sécurisés, pour abaisser le coût d’entrée des fournisseurs européens. Troisièmement, la contractualisation, avec des clauses de réversibilité testables, des métriques de performance, et des obligations de transparence sur la sous-traitance et les accès d’administration. Enfin, l’animation de l’écosystème, en attirant éditeurs et intégrateurs autour de places de marché et de programmes de certification applicative, condition nécessaire pour que le cloud souverain ne soit pas qu’un IaaS austère.
Perspectives : souveraineté, mais aussi capacité à tenir la charge
La trajectoire la plus crédible ressemble à un modèle hybride et hiérarchisé. Un noyau dur hautement souverain pour les données et fonctions régaliennes, avec des exigences maximales de contrôle et de qualification. Autour, un « cloud de confiance » plus large, visant la majorité des usages publics et régulés, où l’objectif est de concilier sécurité, conformité et compétitivité, quitte à accepter certaines dépendances maîtrisées et contractuellement encadrées. Et, enfin, une interopérabilité assumée avec les hyperscalers pour les workloads moins sensibles, à condition de renforcer la portabilité et la gouvernance des données. Le succès se mesurera moins au nombre de slogans qu’à des indicateurs opérationnels : volumes migrés, taux d’adoption par les grandes administrations, disponibilité de services managés critiques, et capacité à attirer des workloads data et IA sans dégrader la conformité.
Un point souvent sous-estimé est la matérialité de la souveraineté. Le cloud repose sur des chaînes d’approvisionnement en serveurs, réseaux, composants, énergie, et métaux critiques. La France a déjà montré, sur d’autres segments industriels, qu’elle raisonne en termes de dépendances physiques et de sécurisation des intrants. La France lance un plan national pour les métaux critiques, et cette logique peut s’appliquer au cloud via la disponibilité des équipements, la résilience énergétique des datacenters, et la maîtrise des cycles de renouvellement matériel. À mesure que l’IA augmente la densité de calcul et la pression sur les infrastructures, la souveraineté cloud se jouera aussi sur la capacité à financer et opérer des plateformes performantes, sobres et sécurisées.
La consultation publique ouvre donc une fenêtre utile, à condition qu’elle débouche sur des arbitrages clairs. Si elle se limite à empiler des exigences, elle renforcera l’écart avec les clouds dominants. Si elle clarifie les niveaux de souveraineté attendus, organise la demande et industrialise la conformité, elle peut transformer un objectif politique en capacité opérationnelle. Le vrai test sera la vitesse d’exécution, car la souveraineté, dans le cloud, se perd surtout par inertie.
