Cloud souverain : pourquoi « souverain » est devenu un label marketing

Lecture : 6 min · MAJ 07/06/2026 · Sources primaires uniquement.

Le 10 juin 2025, Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, est interrogé sous serment devant une commission d'enquête du Sénat¹. Question : pouvez-vous garantir que les données de citoyens français ne seront jamais transmises au gouvernement américain sans l'accord explicite des autorités françaises ? Réponse : « Non, je ne peux pas le garantir »¹².

Tout le débat sur le « cloud souverain » tient dans cette phrase.

Le marché a entendu l'inverse. Depuis 2021, le mot « souverain » colle aux offres de la plupart des géants américains rhabillés aux couleurs françaises. Le mot rassure. Il ne décrit pas toujours la même chose. Audit.

« Souverain » recouvre trois réalités opposées

En mai 2021, Bruno Le Maire, Amélie de Montchalin et Cédric O présentent la doctrine « Cloud au centre » et créent le label « cloud de confiance »³. L'idée : exiger des données sensibles de l'État un hébergement protégé de l'extraterritorialité des lois étrangères — CLOUD Act américain en tête³.

Quatre ans plus tard, le même mot habille trois architectures qui n'ont rien en commun.

Première catégorie : la propriété européenne intégrale. OVHcloud, Scaleway, 3DS Outscale (Dassault Systèmes), Cloud Temple, Oodrive — capital, technologie et exploitation européens. Sept offres sont qualifiées SecNumCloud³.

Deuxième catégorie : le re-hébergement sous licence. Bleu (coentreprise Capgemini-Orange) fait tourner les technologies Microsoft Azure et 365. S3NS (coentreprise Thales-Google) fait tourner Google Cloud⁴. La pile technique reste américaine ; la coquille juridique est française.

Troisième catégorie : le cloud public américain pur, simplement vendu avec l'argument « datacenter en France ». C'est celui que la phrase de Carniaux disqualifie : la localisation des serveurs ne change rien à la juridiction de l'opérateur¹.

Le label « souverain », non protégé juridiquement, recouvre les trois. C'est là que le mot devient marketing.

SecNumCloud, le seul juge — et il est lent

Le seul arbitre objectif est la qualification SecNumCloud de l'ANSSI, qui ajoute aux exigences techniques un blindage juridique contre le CLOUD Act et le FISA³.

L'écart entre l'annonce et la qualification est instructif.

S3NS (Thales-Google) a obtenu la qualification SecNumCloud 3.2 le 17 décembre 2025 pour son offre PREMI3NS — première qualification couvrant simultanément IaaS, CaaS et PaaS⁴. Une réussite réelle, mais tardive au regard des annonces de 2021.

Bleu (Capgemini-Orange) visait 2025, puis le premier semestre 2026. En septembre 2025, l'entreprise franchissait seulement le « jalon J1 » : l'ANSSI validait sa stratégie d'évaluation, pas l'offre elle-même⁵.

Autrement dit : pendant quatre ans, des offres se sont vendues « de confiance » avant d'être jugées par le seul organisme habilité à le dire. Le label a précédé la preuve.

Le test grandeur nature : le Health Data Hub

La plateforme des données de santé des Français — le Health Data Hub — fournit le cas d'école.

Créée en 2019, elle est hébergée sur Microsoft Azure, par attribution sans appel d'offres⁶. La décision est contestée six ans durant devant le Conseil d'État et la CNIL, au motif que des données de santé stockées en France restent exposées au droit américain tant que l'opérateur est américain⁷.

En avril 2026, le ministère de la Santé annonce le choix de Scaleway pour remplacer Azure⁷. Migration par lots entre fin 2026 et début 2027, sur les instances « Sovereign Cloud » de Scaleway en région parisienne⁷.

Dépenses cloud en France 2026, par type d'acteur (%) — Source : Silicon, Benchmarks IT 2026

Le revirement est l'aveu. Pendant six ans, l'État a hébergé les données de santé les plus sensibles du pays chez un acteur qu'il a fini par juger inadéquat — sur la base de l'argument que les opposants avançaient dès 2019.

Le contre-angle qu'il faut entendre

Le re-hébergement sous licence n'est pas une imposture en soi. Bleu et S3NS répondent à une demande réelle : accéder à la maturité fonctionnelle et à l'échelle d'Azure ou de Google Cloud — services managés, IA, profondeur de catalogue — sous un cadre juridique français qualifiable SecNumCloud. Les acteurs 100 % européens accusent un retard de fonctionnalités sur certains services avancés, en particulier l'IA à grande échelle.

Le défenseur du modèle dira : mieux vaut une souveraineté juridique réelle sur une pile technique étrangère qu'une souveraineté complète mais fonctionnellement en retrait. L'argument est sérieux. Il ne tient qu'à une condition : que la qualification SecNumCloud soit effectivement obtenue, et que le terme « souverain » cesse de désigner aussi le simple cloud public localisé. Le débat n'est pas tranché, et il oppose des praticiens compétents des deux côtés.

Pour la France : la conclusion stratégique

1. Distinguer trois mots : « localisé en France », « de confiance » (label politique), « qualifié SecNumCloud » (preuve technique et juridique). Seul le troisième engage.
2. Lire la qualification, pas le communiqué. Une coentreprise « souveraine » annoncée n'équivaut pas à une offre qualifiée. Vérifier le périmètre exact (IaaS/PaaS/CaaS) et la date.
3. Suivre les migrations d'État comme indicateur avancé. Le départ du Health Data Hub d'Azure pèse plus que n'importe quelle déclaration d'intention.
4. Mesurer la dépendance réelle, pas l'affichage : qui détient le capital, qui maîtrise la technologie, quel droit s'applique à l'opérateur.

Ce qu'il faut retenir

Le « cloud souverain » n'est pas un mensonge : c'est un mot trop large, qui range sous la même étiquette la propriété européenne intégrale et le re-hébergement d'une pile américaine. La phrase de Microsoft au Sénat a tranché le point juridique : sous CLOUD Act, la localisation des serveurs ne suffit pas.

Ce qui ferait basculer le dossier : l'obtention — ou l'échec — des qualifications SecNumCloud des coentreprises franco-américaines, et la part de marché réelle que les acteurs sous capital européen parviendront à reprendre. Aujourd'hui, ils stagnent.

Deux hypothèses datées et vérifiables :

• ★★★☆ probable : fin 2026, les fournisseurs sous capital européen resteront sous 20 % du marché cloud français.
• ★★☆☆ spéculative : Bleu obtiendra sa qualification SecNumCloud 3.2 complète d'ici fin 2026.

Ce spoke complète notre pilier sur la souveraineté numérique : le cloud est la couche d'infrastructure où la dépendance se joue avant la donnée et avant l'identité.

FAQ — questions que les lecteurs posent

Un cloud « souverain » garantit-il que mes données échappent au droit américain ?
Non, pas par défaut. Seule la qualification SecNumCloud de l'ANSSI ajoute le blindage juridique contre l'extraterritorialité (CLOUD Act, FISA)³. Un cloud simplement « localisé en France » mais opéré par une entité sous juridiction américaine reste exposé¹.

Quelle différence entre Bleu, S3NS et OVHcloud ?
OVHcloud est sous capital et technologie européens. Bleu (Capgemini-Orange) et S3NS (Thales-Google) re-hébergent respectivement les technologies Microsoft et Google sous une coquille juridique française⁴. La qualification SecNumCloud, et son périmètre, départagent ce qui est réellement protégé.

Pourquoi le Health Data Hub change-t-il d'hébergeur ?
Parce que son hébergement initial sur Azure, attribué sans appel d'offres en 2019, a été contesté six ans pour exposition au droit américain⁶. Scaleway, acteur français, prend le relais à partir de fin 2026⁷.

Les acteurs européens peuvent-ils rivaliser techniquement ?
Sur l'infrastructure de base, oui. Sur certains services avancés et l'IA à grande échelle, ils accusent un retard, qui nourrit l'argument du re-hébergement sous licence. Les hyperscalers américains concentrent encore plus de 65 % des dépenses cloud en France⁸.

Sources