Veille Citoyenne · Alerte N°9
Cloud de confiance : la souveraineté sous licence
Peut-on être souverain sur une technologie qu'on loue ?
Le 10 juin 2025, au Sénat, un sénateur pose à Microsoft France une question d'une simplicité désarmante : l'entreprise peut-elle garantir, sous serment, que les données des Français ne seront jamais transmises aux autorités américaines sans l'accord de Paris ? Le directeur juridique répond non. Il ajoute que cela ne s'est jamais produit. Dans la salle, chacun comprend que le problème n'est pas ce qui s'est passé, mais ce qui pourrait se passer.
L'État français avait pourtant vu venir ce danger. Depuis 2021, il construit une réponse : réserver ses données les plus sensibles à des offres qualifiées par l' ANSSIANSSI : l'Agence nationale de la sécurité des systèmes d'information, l'autorité française de cybersécurité. Sa qualification « SecNumCloud » certifie qu'un service cloud est sûr et à l'abri des lois étrangères qui permettraient d'accéder aux données., y compris quand ces offres reposent sur des technologies américaines exploitées par des sociétés françaises. Le bouclier juridique tient. Ce qu'il ne protège pas, c'est la dépendance.
L'enjeu réel de cette alerte : comprendre pourquoi un cloud juridiquement protégé peut rester stratégiquement dépendant, et pourquoi il a fallu cinq ans pour rendre la protection obligatoire.
Le contexte initial : septembre 2025
Quand cette alerte paraît pour la première fois, la doctrine « cloud au centre » a quatre ans. La circulaire du 5 juillet 2021 fait du cloud le mode d'hébergement par défaut de l'État et réserve les données sensibles à des offres protégées des lois non européennes. Deux sociétés françaises portent les offres hybrides : Bleu, créée par Orange et Capgemini sur les technologies de Microsoft, et S3ns, filiale de Thales sur celles de Google. Aucune n'est alors qualifiée. Le Health Data Hub, qui rassemble les données de santé des Français, est toujours hébergé chez Microsoft.
En juillet 2025, la commission d'enquête du Sénat sur la commande publique, présidée par Simon Uzenat (PS), relève une « grande inertie de l'État » sur la souveraineté numérique, illustrée par le cas du Health Data Hub.
Depuis, les choses ont bougé. S3ns a obtenu sa qualification en décembre 2025. Le décret du 14 avril 2026 a rendu la protection obligatoire pour les données sensibles de l'État. Le Health Data Hub a lancé en février 2026 un appel d'offres réservé aux offres qualifiées. Bleu, elle, attend toujours sa qualification, désormais annoncée pour la fin de 2026.
1. Le risque : un bouclier juridique, pas technologique
Les offres hybrides protègent les données contre une réquisition américaine : la société qui les exploite est française et ne répond pas au Cloud Act. Mais elles fonctionnent sur un logiciel conçu, mis à jour et licencié par un groupe américain. Si ce groupe cesse de fournir les mises à jour, sous la pression de son gouvernement ou de sanctions, le cloud « de confiance » vieillit en quelques mois. La souveraineté des données n'est pas la souveraineté des outils.
2. Le basculement : cinq ans entre la doctrine et la règle
La circulaire de 2021 posait un principe ; la loi de mai 2024 l'a inscrit dans le droit ; le décret d'avril 2026 l'a rendu applicable, avec dix-huit mois pour migrer et des dérogations possibles. Pendant ce temps, les administrations ont continué de s'équiper, et chaque année de retard a creusé les habitudes et les contrats qu'il faudra défaire. Une protection qui arrive après l'installation protège surtout ce qui reste à installer.
3. Le paradoxe : l'État exigeant pour les autres, accommodant pour lui-même
L'État a écarté dès septembre 2021 la suite bureautique de Microsoft de sa doctrine. Il a pourtant laissé les données de santé de toute la population sur le cloud du même groupe pendant près de sept ans ; en décembre 2023 encore, la CNIL autorisait, à contrecœur, un nouvel entrepôt de données de santé hébergé chez Microsoft. Les règles de souveraineté valent pour l'avenir ; les données déjà confiées attendent leur tour.
La mécanique : comment une transition devient permanente
Le schéma vaut pour toute dépendance technologique : chaque étape est raisonnable, c'est leur enchaînement qui enferme.
Le constat
Les outils européens sont jugés moins complets que ceux des géants américains.
Le compromis
On garde la technologie américaine, mais on la fait exploiter par une société française, à l'abri des lois étrangères.
L'installation
Les administrations migrent, forment leurs équipes, bâtissent leurs applications sur ces outils.
Le verrou
Sortir coûterait plus cher que rester. La transition, sans date de fin, devient l'état normal.
Fiche d'analyse, Alerte N°9
La chaîne de décision
L'analyse des enjeux
- Le droit : selon le directeur général de l'ANSSI, entendu par le Sénat en mai 2025, les deux offres hybrides sont conformes sur le papier aux exigences de la qualification et, en principe, à l'abri du Cloud Act.
- La technique : leur fonctionnement dépend des mises à jour fournies par Microsoft et Google, que la qualification encadre sans pouvoir les garantir.
- L'industrie : chaque contrat public conclu sur une technologie étrangère est un contrat que les fournisseurs européens n'ont pas pour grandir.
Les risques induits
- La coupure : un service qui dépend d'un éditeur étranger peut être dégradé sans qu'aucune donnée ne soit transmise. Les sénateurs ont interrogé Microsoft sur le blocage, à la demande des autorités américaines, de la messagerie du procureur de la Cour pénale internationale.
- Le coût de sortie : plus la migration attend, plus elle coûte, et plus l'argument du « trop tard » gagne.
- Les dérogations : le décret autorise des exceptions pour les projets engagés ; leur nombre dira si la règle est appliquée.
Qui en profite, qui paie
- Les gagnants : les éditeurs américains, qui conservent l'État français comme client par l'intermédiaire de licences, et leurs partenaires français.
- Les payeurs : les fournisseurs européens privés de références publiques, et les citoyens dont les données les plus sensibles sont restées des années hors de la protection voulue.
- Ce qui n'est pas établi : aucune source ne documente une transmission effective de données publiques françaises aux autorités américaines. Le nombre de dérogations accordées à la doctrine depuis 2021 ne figure dans aucune source publique accessible.
Droit et arguments : la tension entre pragmatisme et souveraineté
| L'argument du gouvernement | L'objection | Le risque identifié |
|---|---|---|
| Les offres hybrides sont qualifiées par l'ANSSI et protégées contre le Cloud Act. | La qualification protège l'accès aux données, pas la continuité d'un service qui dépend des mises à jour d'un éditeur étranger. | Une souveraineté juridique sans autonomie technique. |
| Les fournisseurs européens n'offrent pas encore toute la gamme de services nécessaires. | Ils ne l'offriront jamais sans commandes publiques : la demande de l'État est l'un des rares leviers pour les faire grandir. | Un retard entretenu par celui qui le constate. |
| Le décret de 2026 rend désormais la protection obligatoire. | Il arrive cinq ans après la doctrine, accorde dix-huit mois de migration et prévoit des dérogations. | Une règle forte appliquée tardivement. |
Sources : circulaire n° 6282/SG du 5 juillet 2021, décret n° 2026-272 du 14 avril 2026, commission d'enquête du Sénat sur la commande publique (auditions de mai et juin 2025, rapport du 9 juillet 2025).
Analyse chiffrée : où va la commande publique
| Fournisseur | Commandes cloud via l'Ugap en 2024 | Origine |
|---|---|---|
| OVHcloud | 23.4 millions d'euros | France |
| Microsoft | 9.3 millions d'euros | États-Unis |
| Outscale | 4.4 millions d'euros | France |
| Scaleway | 4.3 millions d'euros | France |
| AWS | 2.5 millions d'euros | États-Unis |
Trois clés de lecture
- Un tableau qui nuance le procès, pas la dépendance : sur l'hébergement de base acheté par la centrale publique, les fournisseurs français arrivent en tête. Mais sur l'ensemble du marché français des infrastructures et plateformes cloud, Amazon, Microsoft et Google détiennent à eux trois environ 70 % des parts, selon le cabinet Markess.
- Une photographie partielle : l'Ugap n'est qu'une des centrales d'achat ; les hôpitaux passent par d'autres, et les grands contrats logiciels échappent à ce tableau.
- Ce que les chiffres ne disent pas : le coût d'une sortie des logiciels américains pour l'ensemble de l'État n'a jamais été évalué publiquement.
Sources : Le Monde Informatique (données Ugap, juillet 2025), Markess, Next, ANSSI.
Recommandations de vigilance citoyenne
- Lire l'audition de Microsoft France au Sénat : elle dit mieux que tout commentaire où passe la frontière entre promesse et garantie.
- Demander à son député la publication annuelle des dérogations accordées au décret du 14 avril 2026.
- Exiger un calendrier de sortie des logiciels étrangers pour les usages les plus sensibles de l'État.
- Suivre la migration du Health Data Hub, promise pour la fin de 2026 : elle dira si la règle s'applique aussi aux données déjà installées.
Pour aller plus loin
Institutions et droit
En savoir plus sur SAPERE
Subscribe to get the latest posts sent to your email.