6 min de lecture<\/p>\n
6 min de lecture<\/p>\n
Le 27 mai, l\u2019Union europ\u00e9enne a pr\u00e9sent\u00e9 son paquet sur la souverainet\u00e9 technologique. Il propose de limiter l\u2019utilisation des fournisseurs de cloud am\u00e9ricains pour les donn\u00e9es sensibles des autorit\u00e9s dans tous les 27 \u00c9tats membres. Trois grands groupes am\u00e9ricains contr\u00f4lent environ 70 % du march\u00e9 europ\u00e9en du cloud. Ainsi, une question qui a longtemps \u00e9t\u00e9 d\u00e9battue dans les achats IT devient d\u00e9sormais une affaire de direction : \u00e0 qui revient le droit d\u2019acc\u00e9der \u00e0 nos donn\u00e9es, et que se passe-t-il lorsque la g\u00e9opolitique bascule ?<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n Connexions :<\/span>Pourquoi les comit\u00e9s de direction exigent-ils une capacit\u00e9 de d\u00e9fense ?<\/a>\/<\/span>Comment le march\u00e9 des capitaux \u00e9value-t-il la gouvernance ?<\/a><\/p>\n Qu\u2019est-ce que le CLOUD Act ?<\/strong> Le CLOUD Act est une loi am\u00e9ricaine qui oblige les entreprises am\u00e9ricaines \u00e0 divulguer les donn\u00e9es qu\u2019elles stockent, quel que soit l\u2019endroit o\u00f9 se trouvent les serveurs. Un fournisseur d\u00e9tenu par des Am\u00e9ricains ne peut pas se soustraire \u00e0 cette obligation gr\u00e2ce \u00e0 une clause contractuelle stipulant que les donn\u00e9es doivent \u00eatre conserv\u00e9es sur place, car la loi pr\u00e9vaut sur ces accords.<\/p>\n Pendant longtemps, le choix du cloud \u00e9tait consid\u00e9r\u00e9 comme une d\u00e9cision d\u2019approvisionnement : quel fournisseur offrait quelle performance \u00e0 quel prix. Cette perspective est d\u00e9sormais d\u00e9pass\u00e9e. Avec le paquet de l\u2019UE et l\u2019attention croissante port\u00e9e au CLOUD Act, la question se transforme en une r\u00e9flexion strat\u00e9gique sur les risques, que le conseil d\u2019administration, le service juridique et la conformit\u00e9 doivent aborder conjointement. Il s\u2019agit de r\u00e9silience op\u00e9rationnelle, de d\u00e9pendance g\u00e9opolitique et de la question de savoir ce qui se passe lorsque l\u2019acc\u00e8s est restreint pour des raisons politiques.<\/p>\n Les \u00e9v\u00e9nements r\u00e9cents le montrent clairement : des rapports ont fait \u00e9tat d\u2019un service Microsoft souverain \u00e0 Francfort qui a temporairement cess\u00e9 de fonctionner, ainsi que de cl\u00e9s cloud expos\u00e9es d\u2019une autorit\u00e9 am\u00e9ricaine. Ces incidents ne sont plus une pr\u00e9occupation abstraite, mais des preuves concr\u00e8tes que la d\u00e9pendance \u00e0 quelques fournisseurs constitue une cat\u00e9gorie de risque propre. Un conseil d\u2019administration qui n\u2019a pas pris en compte ces enjeux a cr\u00e9\u00e9 une lacune dans sa gestion des risques.<\/p>\n La souverainet\u00e9 n’est pas synonyme de r\u00e9sidence des donn\u00e9es. Un centre de donn\u00e9es \u00e0 Francfort respecte la r\u00e9sidence, mais si l’op\u00e9rateur est sous propri\u00e9t\u00e9 am\u00e9ricaine, l’exposition au CLOUD Act persiste. Une v\u00e9ritable souverainet\u00e9 exige que ni l’exploitation ni l’acc\u00e8s juridique ne d\u00e9pendent d’une juridiction \u00e9trang\u00e8re. Cette distinction doit figurer dans chaque discussion du comit\u00e9 ex\u00e9cutif, car elle fait la diff\u00e9rence entre apparence et substance.<\/p>\n L’UE a elle-m\u00eame donn\u00e9 le signal. En avril, la Commission a attribu\u00e9 un contrat allant jusqu’\u00e0 180 millions d’euros sur six ans \u00e0 quatre fournisseurs europ\u00e9ens, et ce pour la premi\u00e8re fois avec des crit\u00e8res explicites de souverainet\u00e9 dans l’appel d’offres. Cela va au-del\u00e0 de la symbolique. Cela \u00e9tablit la souverainet\u00e9 comme norme d’acquisition et cr\u00e9e un march\u00e9 pour les fournisseurs qui r\u00e9pondent \u00e0 ces crit\u00e8res.<\/p>\n Souverainet\u00e9 apparente<\/p>\n Souverainet\u00e9 fiable<\/p>\n La premi\u00e8re \u00e9tape consiste en un \u00e9tat des lieux honn\u00eate des d\u00e9pendances. Quels processus critiques s’ex\u00e9cutent chez quel fournisseur, o\u00f9 se trouvent les donn\u00e9es et sous quelle juridiction rel\u00e8ve r\u00e9ellement l’op\u00e9rateur. Cette cartographie fait d\u00e9faut dans de nombreuses entreprises, car le choix du cloud a \u00e9t\u00e9 historiquement d\u00e9centralis\u00e9 et fonctionnel, et non bas\u00e9 sur les risques g\u00e9opolitiques.<\/p>\n La deuxi\u00e8me \u00e9tape n’est pas une migration pr\u00e9cipit\u00e9e. Personne ne profite d’un retrait nocturne de tout depuis le cloud am\u00e9ricain. Une approche gradu\u00e9e est pertinente : quels charges de travail sont non critiques et restent l\u00e0 o\u00f9 elles sont, lesquelles sont suffisamment sensibles pour que la question de la souverainet\u00e9 devienne imp\u00e9rative. Cette priorisation est une d\u00e9cision du comit\u00e9 ex\u00e9cutif, car elle arbitre entre risque, co\u00fbts et efforts, et il ne s’agit pas d’une simple question informatique.<\/p>\n Un serveur \u00e0 Francfort ne prouve rien si une loi \u00e9trang\u00e8re peut acc\u00e9der \u00e0 ses donn\u00e9es. La souverainet\u00e9 se d\u00e9cide au niveau de la juridiction, pas du code postal.<\/p>\n<\/blockquote>\n Il reste \u00e0 classer cela comme une t\u00e2che obligatoire, et non optionnelle. L’orientation de la r\u00e9glementation est fix\u00e9e, la concentration du march\u00e9 est r\u00e9elle, et les incidents des semaines derni\u00e8res montrent que le risque n’est pas th\u00e9orique. Un comit\u00e9 ex\u00e9cutif n’a pas besoin de finaliser cette \u00e9valuation aujourd’hui. Mais il doit pouvoir d\u00e9montrer qu’il l’a entam\u00e9e. Celui qui, lors du prochain audit ou de la prochaine perturbation g\u00e9opolitique, n’a pas de r\u00e9ponse, a laiss\u00e9 la question trop longtemps sans r\u00e9ponse dans les services achats.<\/p>\n Non. Un emplacement dans l’UE respecte la r\u00e9sidence des donn\u00e9es, mais si l’op\u00e9rateur est sous contr\u00f4le am\u00e9ricain, l’exposition au CLOUD Act persiste. La souverainet\u00e9 exige que l’acc\u00e8s juridique soit \u00e9galement soumis \u00e0 la juridiction europ\u00e9enne.<\/p>\n<\/details>\n Il propose de restreindre l’utilisation de fournisseurs de cloud am\u00e9ricains pour les donn\u00e9es sensibles des administrations dans les \u00c9tats membres. Le contexte est une forte concentration du march\u00e9 : trois fournisseurs am\u00e9ricains d\u00e9tiennent environ 70 % du march\u00e9 europ\u00e9en du cloud.<\/p>\n<\/details>\n Pas syst\u00e9matiquement. Il est judicieux de proc\u00e9der par gradation selon le niveau de sensibilit\u00e9 : les charges de travail non critiques restent, tandis que les sensibles sont \u00e9valu\u00e9es au regard de la question de la souverainet\u00e9. Une migration pr\u00e9cipit\u00e9e cr\u00e9e plus de risques qu’elle n’en r\u00e9sout.<\/p>\n<\/details>\n Parce qu’il s’agit de r\u00e9silience op\u00e9rationnelle, de d\u00e9pendance g\u00e9opolitique et de continuit\u00e9 r\u00e9glementaire, et non de performance ou de prix. Cette \u00e9valuation rel\u00e8ve conjointement du conseil d’administration, du service juridique et de la conformit\u00e9, et non uniquement du service achats.<\/p>\n<\/details>\n Le march\u00e9 \u00e9merge. En avril, la Commission europ\u00e9enne a attribu\u00e9 pour la premi\u00e8re fois un contrat de cloud avec des crit\u00e8res explicites de souverainet\u00e9 \u00e0 des fournisseurs europ\u00e9ens. Cela \u00e9tablit une norme et cr\u00e9e une demande pour des offres souveraines.<\/p>\n<\/details>\n Plus d’infos depuis le r\u00e9seau MBF Media<\/p>\n La technologie Cloud-native m\u00fbrit : Knative et Kubernetes 1.34<\/a><\/p>\n<\/div>\n Ne plus se classer, mais \u00eatre cit\u00e9 : le GEO en B2B<\/a><\/p>\n<\/div>\n Le token qui neutralise la MFA<\/a><\/p>\n<\/div>\n<\/div>\n Source de l’image : g\u00e9n\u00e9r\u00e9e par IA (mai 2026), certificat C2PA int\u00e9gr\u00e9 \u00e0 l’image<\/em><\/p>\n Le paquet de souverainet\u00e9 technologique de l\u2019UE place la souverainet\u00e9 du cloud au niveau des instances dirigeantes.<\/p>\n","protected":false},"author":114,"featured_media":25545,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Souverainet\u00e9 cloud","_yoast_wpseo_title":"La souverainet\u00e9 du cloud devient une affaire de direction","_yoast_wpseo_metadesc":"Ce que le paquet de souverainet\u00e9 technologique de l'UE implique pour les conseils d'administration.","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_slot_owner":"","_evm_translation_lang":"","_wp_old_slug":[],"footnotes":""},"categories":[713,683],"tags":[],"class_list":["post-25556","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ia-donnees","category-new-work-leadership","entry"],"wpml_language":"fr","wpml_translation_of":25544,"yoast_head":"\n\n
Pourquoi cette question est-elle maintenant une affaire de direction ?<\/h2>\n
Ce que la souverainet\u00e9 signifie concr\u00e8tement<\/h2>\n
\n
\n
Ce que les comit\u00e9s ex\u00e9cutifs DACH devraient faire maintenant<\/h2>\n
\n
Foire aux questions<\/h2>\n
Un centre de donn\u00e9es europ\u00e9en suffit-il pour la souverainet\u00e9 des donn\u00e9es ?<\/summary>\n
Que propose le paquet sur la souverainet\u00e9 technologique de l’UE ?<\/summary>\n
Les entreprises devraient-elles migrer hors du cloud am\u00e9ricain d\u00e8s maintenant ?<\/summary>\n
Pourquoi s’agit-il d’une question relevant du conseil d’administration ?<\/summary>\n
Existe-t-il des alternatives fiables ?<\/summary>\n
\u00c0 lire aussi<\/h3>\n
\n