Cloud souverain : comment les géants américains manipulent le débat pour garder le contrôle des données européennes

Depuis plusieurs années, une guerre informationnelle silencieuse se joue autour du cloud européen. Les données des administrations publiques, des hôpitaux, des opérateurs d'importance vitale et des entreprises européennes continuent de transiter par des systèmes opérés par des acteurs soumis au droit américain. Ce constat n'est plus contesté. Ce qui l'est, en revanche, c'est le cadre narratif dans lequel il s'inscrit, et c'est précisément là que se joue la véritable bataille.

La guerre informationnelle autour du cloud souverain obéit à une logique en trois temps : d'abord discréditer les alternatives européennes, ensuite se réapproprier le vocabulaire de la souveraineté, enfin bloquer ou vider de leur substance les réponses réglementaires européennes. Les hyperscalers américains tels qu’Amazon Web Services, Microsoft, Google Cloud, maîtrisent ces trois dimensions avec une efficacité remarquable.

Le « sovereignty bashing » : disqualifier l'adversaire

La première arme déployée dans cette guerre informationnelle est ce que l'on peut appeler le sovereignty bashing. Il s’agit d’une stratégie de communication visant à dévaloriser systématiquement les initiatives européennes de cloud souverain. Elle repose sur trois piliers qui sont la minimisation de la menace juridique, la dévalorisation des performances européennes et L'accusation de protectionnisme.

Les hyperscalers américains présentent régulièrement les risques liés au Cloud Act comme marginaux ou théoriques. Pourtant, la réalité juridique est sans ambiguïté. Le Cloud Act, promulgué le 23 mars 2018 sous l'administration Trump, permet aux autorités américaines d'exiger l'accès aux données détenues par des entreprises sous juridiction américaine, quand bien même elles sont stockées hors des États-Unis. Cette extraterritorialité n'est pas une hypothèse d'école.

Le 10 juin 2025, lors d'une audition au Sénat, Microsoft France a confirmé une réalité troublante : les données hébergées en France peuvent être transmises aux États-Unis si la justice américaine l'exige. Même si les serveurs sont situés à Paris ou Marseille, le droit américain prime sur le sol français dès lors qu'il s'agit d'une entreprise américaine.

« Si nous sommes contraints par une décision de justice américaine, nous devons remettre les données. » — Anton Carniaux, directeur juridique de Microsoft France, devant la commission d'enquête sénatoriale sur la commande publique, 10 juin 2025.

Lorsque le président de la commission lui demande s'il peut garantir que les données des citoyens français ne seront jamais transmises sans l'accord explicite des autorités françaises, la réponse est sans équivoque : « non, je ne peux pas le garantir. »

La stratégie de sovereignty bashing repose également sur une comparaison systématique des performances techniques, présentant les clouds souverains européens comme structurellement inférieurs aux hyperscalers américains. Cette comparaison circule principalement via d’une part, des études commandées par des cabinets comme Gartner ou IDC, dont une partie du financement est assurée par les hyperscalers eux-mêmes, et d’autre part, des tribunes publiées dans des médias spécialisés, comme ZDNet ou CIO on-line. Les prises de position sont également relayées lors des auditions parlementaires et des consultations européennes. Des think tanks comme la Computer & Communications Industry Association (CCIA) ou DigitalEurope, tous deux proches des intérêts américains servent également de relais institutionnels. Cette rhétorique a ainsi largement réussi à imposer l'idée que « les clouds européens sont moins bons » comme une vérité établie, indépendamment des cas d'usage considérés. Des analyses menées par l'Agence Nationale de Sécurité des Systèmes d’Information (ANSSI) et l’European Union Agency for Cybersecurity (ENISA) montrent à l'inverse que les écarts de performance se réduisent rapidement et que, pour de nombreux cas d'usage, les solutions européennes offrent un meilleur rapport sécurité/coût.

Troisième pilier du sovereignty bashing : présenter les initiatives européennes de cloud souverain comme du protectionnisme déguisé, nuisible à l'innovation et à la compétitivité. Cette rhétorique, reprise par de nombreux think tanks financés par les géants américains, procède d'une inversion des responsabilités. Elle est en particulier portée par l’ITI (Information Technology Industry Council), par DigitalEurope, dont Microsoft, Google et Amazon sont membres, et par le Centre for European Policy Studies (CEPS), qui a reçu des financements de plusieurs hyperscalers. Microsoft déclare ainsi explicitement dans le registre de transparence de l’UE sa participation financière au CEPS, à Bruegel, au German Marshall Fund et à plus de 50 organisations et réseaux européens. Or, c'est précisément le Cloud Act qui impose unilatéralement le droit américain aux données européennes, et qui est une forme d'extraterritorialité bien plus agressive que toute mesure de préférence européenne. L'Europe ne cherche pas à fermer son marché, mais à garantir que ses données ne soient pas utilisées contre ses propres intérêts stratégiques.
 

Le « sovereignty washing » : se déguiser en allié

Face à la montée en puissance des exigences de souveraineté numérique en Europe, les hyperscalers ont développé une seconde stratégie, plus sophistiquée : le sovereignty washing. Il s'agit de se réapproprier le vocabulaire de la souveraineté tout en maintenant une dépendance structurelle aux infrastructures et aux technologies américaines. Ce discours est porté dans la sphère politique par des lobbyistes actifs auprès du Parlement européen et de la Commission, dans la sphère économique par des associations d’entreprises comme BusinessEurope ou DigitalEurope, et dans la sphère médiatique via des contenus sponsorisés ou des partenariats avec des publications spécialisées. Des eurodéputés issus de pays du nord de l’Europe ou baltes, notamment les Pays-Bas, la Pologne, la Finlande la Suède ou l’Irlande, ont régulièrement relayé ces arguments dans les débats sur l’EUCS.

Le cas de l'AWS European Sovereign Cloud est emblématique. AWS a annoncé, en janvier 2026, la disponibilité générale de son cloud souverain européen, présenté comme un cloud indépendant pour l'Europe, entièrement localisé dans l'UE, physiquement et logiquement séparé des autres régions AWS, adossé à un investissement de 7,8 milliards d'euros. AWS affirme que seul le personnel résidant dans l'UE contrôle les opérations quotidiennes, y compris l'accès aux centres de données.

Ces engagements sont réels sur le plan opérationnel. Mais ils ne répondent pas à la question centrale : une entité juridique de droit allemand, filiale d'une entreprise américaine cotée au Nasdaq, reste-t-elle soumise au Cloud Act ? Comme le souligne Fabrice Naftalski, associé spécialisé en droit du numérique chez EY Société d’Avocats : “ La question de l’applicabilité du Cloud Act à une filiale de droit européen n’est pas tranchée ; elle dépend du degré de contrôle exercé par la maison mère américaine, un critère qui reste largement à l’appréciation des juges américains ” (Les Échos, mars 2024). La réponse des experts juridiques est, à ce stade, nuancée et c'est précisément cette zone grise que le sovereignty washing exploite.

Le projet Bleu illustre la même logique à l'échelle française. Capgemini et Orange ont lancé commercialement Bleu le 15 janvier 2024, une co-entreprise visant à proposer un « cloud de confiance » s'appuyant sur la technologie Microsoft, avec l'objectif d'obtenir la qualification SecNumCloud 3.2. En avril 2025, Bleu a franchi la première étape de la procédure de qualification, avec pour objectif de boucler le processus au premier semestre 2026.

Bleu utilise la caution institutionnelle de la certification française pour donner un vernis de souveraineté à une architecture technologique qui demeure sous dépendance américaine. La certification SecNumCloud devient ainsi un outil de légitimation, retourné contre l’objectif de souveraineté qu’elle était censée garantir. Car la certification SecNumCloud 3.2 impose des normes drastiques en matière de souveraineté, dont une garantie de protection contre l’extraterritorialité des lois étrangères, en particulier américaines. L’ANSSI n’a pas confirmé que des co-entreprises avec des opérateurs américains pourraient obtenir ce précieux sésame. La question de savoir si une technologie Microsoft peut être rendue impérméable au Cloud Act reste entière.

Le blocage réglementaire

La troisième dimension de cette guerre informationnelle se joue dans les couloirs des institutions européennes, où les groupes d'intérêt liés aux hyperscalers américains exercent une influence documentée sur l'élaboration des textes réglementaires. Selon le rapport Corporate Europe Observatory / LobbyControl publié en octobre 2025, fondé sur les données du registre officiel de transparence de l’UE, le secteur tech dépense au total 151 millions d’euros par an en lobbying à Bruxelles. Les cinq grandes plateformes (Amazon, Microsoft, Google, Apple, Meta) ont tenu à elles seules 378 réunions avec des décideurs européens au premier semestre 2025, soit plus de deux par jour ouvrable.

L'exemple le plus révélateur est celui du schéma européen de certification de cybersécurité pour les services cloud (EUCS), élaboré dans le cadre du Cybersecurity Act. La proposition de la Commission européenne ne s'intéresse pas aux questions de souveraineté, alors que c'était réclamé par de nombreuses entreprises et institutions européennes. Les critères d'immunité aux lois extraterritoriales, qui figuraient dans les versions antérieures du texte, ont été retirés sous la pression conjointe de l’Allemagne, des Pays-Bas et de la Suède, pays dont les administrations sont fortement dépendantes des hyperscalers, et des représentants de l’industrie tech au sein des groupes de travail de l’ENISA.

Le DMA (Digital Market Act) et le DSA (Digital Services Act), adoptés par le Parlement européen et le Conseil de l’Union européenne en juillet 2022, entrés en vigueur respectivement en mai et novembre 2022, représentent des avancées réelles en matière de régulation des plateformes, mais ne contiennent aucune disposition relative à la souveraineté des données. La certification SecNumCloud, créée par l'ANSSI, offre un cadre de protection robuste. Mais elle reste une certification nationale, sans reconnaissance européenne, et sans caractère obligatoire pour les acteurs dominants du marché.

Le 20 janvier 2026, la Commission européenne a proposé une révision du Cybersecurity Act, voulant passer à une obligation juridique après l'échec des recommandations volontaires, en donnant à la Commission un cadre légal pour identifier les pays tiers posant des préoccupations en matière de cybersécurité et imposer leur exclusion des actifs ICT critiques. Cette évolution est significative, mais son adoption et sa mise en œuvre effectives restent à démontrer.

Les contre-narratifs européens : acteurs et stratégies

L’Europe dispose de plusieurs leviers, réglementaires, narratifs et surtout industriels pour contrer le récit américain, porté par un écosystème d’influence précisément quantifiable grâce au registre de transparence de l’UE : Microsoft déclare 7 à 8 millions d’euros de budget lobbying pour l’exercice 2024-2025 et 8 lobbyistes accrédités au Parlement européen ; Google (Alphabet) entre 4,5 et 6 millions d’euros ; Amazon entre 5 et 7 millions d’euros (après révision forcée à la hausse en 2024 suite à une plainte d’ONG) ; Meta près de 10 millions d’euros. Au total, ce sont 890 lobbyistes équivalent temps plein qui travaillent pour le secteur tech à Bruxelles, ce qui est davantage que les 720 eurodéputés, dont 437 disposent d’un badge d’accès au Parlement européen. Ces acteurs s’appuient également sur des associations professionnelles comme DigitalEurope ou BusinessEurope, et sur 44 cabinets de lobbying extérieurs dont le mandat n’est pas toujours déclaré au registre.

L’ANSSI a créé la certification SecNumCloud, pour garantir un haut niveau de sécurité aux solutions de cloud. Face au récit des hyperscalers, des acteurs européens commencent à structurer une riposte narrative. L’ANSSI utilise la certification SecNumCloud comme levier de légitimation des acteurs souverains et de disqualification implicite des offres de sovereignty washing. Des acteurs industriels comme OVHcloud ou Scaleway investissent le terrain médiatique et institutionnel pour contre-narrer le discours des hyperscalers et documenter publiquement les cas d’échec ou de dépendance.

Reprendre l'initiative dans la guerre informationnelle suppose de documenter et de communiquer systématiquement sur les risques réels du Cloud Act, de valoriser les succès des acteurs souverains européens tels qu OVHcloud, Outscale ou Scaleway, et de dénoncer publiquement les opérations de sovereignty washing lorsqu'elles sont identifiées.

L’Europe est en position de créer des outils concrets pour mesurer la souveraineté numérique des entreprises, afin de rationaliser les débats. L’a-DRI a lancé par la France en 2026 le calcul d’un nouvel indicateur de résilience numérique (IRN) pour permettre aux entreprises de mesurer leur niveau de dépendance numérique et d’avoir un véritable outil de pilotage, pour les dirigeants d’entreprises, que ce soit les comités exécutifs ou les conseils d’administrations pour les plus grandes entreprises.

Le levier industriel pourrait consister à financer massivement les alternatives européennes via des programmes dédiés, créer les conditions d'un marché de la souveraineté numérique, et donner aux entreprises les outils pour mesurer objectivement leur niveau de dépendance aux acteurs extraterritoriaux. Un règlement « Cloud Souverain » européen imposant aux secteurs critiques d'utiliser des solutions européennes pour leurs données sensibles constituerait un signal fort et structurant.

Une guerre qui ne dit pas son nom

La guerre informationnelle autour du cloud souverain est une guerre réelle, menée avec des instruments spécifiques et identifiables, comme le lobbying ciblé sur les rédacteurs de textes réglementaires, la fabrication du consensus par les think tanks financés, le retournement du vocabulaire souverainiste à des fins de légitimation commerciale, et des partenariats stratégiques qui créent des dépendances techniques difficiles à défaire. Elle est menée par des acteurs dont les intérêts sont directement opposés à l'autonomie numérique européenne. Cette guerre se gagne ou se perd dans des détails qui n’en sont pas, tels que la rédaction d'un article de certification, la définition du périmètre d'un appel d'offres ou encore le financement d'une étude de performance.

L'Europe a les moyens juridiques, industriels et politiques de reprendre l'initiative. Ce qu'elle doit construire, avant tout, c'est une doctrine claire et cohérente et avoir la volonté de la défendre face aux pressions considérables qui s'exercent pour la vider de sa substance. La souveraineté numérique ne résulte pas d'une simple déclaration de principe ; elle exige des actions structurelles, coordonnées et durables.

Odile Duthil 

Auditrice de la 50ème promotion MSIE MBA Exec Management Stratégique et Intelligence Economique

Sources

• Sénat français, commission d'enquête sur la commande publique, audition de Microsoft France (Anton Carniaux), 10 juin 2025.

• AWS, communiqué de lancement de l'AWS European Sovereign Cloud, janvier 2026 (businesswire.com).

• Capgemini / Orange, communiqué de lancement de Bleu, 15 janvier 2024 ; Usine Digitale, « Bleu franchit la première étape vers la qualification SecNumCloud », 17 avril 2025.

• ANSSI, référentiel SecNumCloud 3.2 (anssi.gouv.fr).

• Commission européenne, proposition de révision du Cybersecurity Act, 20 janvier 2026 ; Next.ink, « EUCS parlera sécurité. Pas souveraineté. », janvier 2026.

• Usine Digitale, Clubic, Techniques de l'Ingénieur, Actuia 

• Registre de transparence de l’UE (transparency-register.europa.eu) — fiches Microsoft Corporation (ID 0801162959-21) et Google Ireland Limited (ID 03181945560-59), données mises à jour décembre 2025.

• Corporate Europe Observatory / LobbyControl, “ Big Tech lobby budgets hit record levels ”, 29 octobre 2025 (corporateeurope.org). Données fondées sur le registre de transparence de l’UE. Budget total du secteur tech : 151 millions d’euros. 890 lobbyistes équivalent temps plein. 378 réunions avec des décideurs européens au H1 2025.

• Corporate Europe Observatory / LobbyControl, “ Uncovering Big Tech’s hidden network ”, 29 octobre 2024 (corporateeurope.org). Analyse des 44 cabinets de lobbying extérieurs employés par Apple, Amazon, Alphabet, Microsoft et ByteDance en 2023, pour un montant de 8,155 millions d’euros.

• Cour des comptes européenne, Rapport spécial n° 05/2024 — “ Registre de transparence de l’UE ”. Audit de l’exhaustivité et de l’exactitude des données déclarées (eca.europa.eu/fr/publications/sr-2024-05).