Le cloud souverain s'est imposé, en quelques années, comme l'un des sujets les plus discutés des directions générales et des directions des systèmes d'information. Derrière l'expression se cache une réalité complexe : il ne s'agit pas seulement de savoir où sont hébergées les données, mais qui, en dernier ressort, peut y accéder, sous quel droit, et selon quelles garanties. En 2026, avec un cadre réglementaire renforcé et des tensions géopolitiques persistantes, la question ne peut plus être éludée. Décryptage.
De quoi parle-t-on exactement ?
La « souveraineté » recouvre en réalité plusieurs dimensions qu'il faut distinguer pour ne pas se tromper de débat :
- La souveraineté des données : la localisation physique de l'hébergement et le droit qui s'y applique.
- La souveraineté opérationnelle : qui administre l'infrastructure et qui peut, techniquement, accéder aux données.
- La souveraineté juridique : à quelles législations extraterritoriales le fournisseur est-il soumis, indépendamment du lieu d'hébergement.
Ce dernier point est central. Un centre de données situé sur le territoire européen mais opéré par une entité soumise à une législation extraterritoriale peut, en théorie, faire l'objet d'une demande d'accès émanant d'un État tiers. La localisation seule ne suffit donc pas à garantir la souveraineté.
Un contexte réglementaire qui se durcit
Le RGPD encadre depuis plusieurs années les transferts de données personnelles hors de l'Union. À cela s'ajoute désormais la directive NIS2, qui étend les obligations de cybersécurité à un périmètre bien plus large d'organisations, notamment celles considérées comme « entités essentielles » ou « importantes ». Pour de nombreux secteurs — santé, énergie, administration, finance — les exigences de résilience et de maîtrise de la chaîne d'approvisionnement numérique deviennent contraignantes.
La question n'est plus « faut-il aller dans le cloud ? » mais « quelle donnée peut aller dans quel cloud, et à quelles conditions ? ».
Trois critères pour arbitrer
Plutôt que d'opposer frontalement hyperscalers mondiaux et offres souveraines, nous recommandons à nos clients de raisonner par la donnée et par l'usage. Trois critères structurent la décision.
1. La sensibilité de la donnée
Toutes les données n'ont pas la même valeur ni le même niveau de risque. Un site vitrine public n'appelle pas les mêmes garanties qu'un fichier de patients ou qu'un secret industriel. La première étape consiste à classifier ses données par niveau de sensibilité, puis à définir pour chaque niveau les hébergements acceptables. Cette approche différenciée évite le double écueil du « tout hyperscaler » et du « tout souverain », rarement optimaux.
2. La réversibilité
La dépendance à un fournisseur unique — le fameux vendor lock-in — est un risque souvent sous-estimé. Plus une architecture s'appuie sur des services propriétaires spécifiques, plus il devient coûteux d'en changer. La réversibilité doit être pensée dès la conception : privilégier les standards ouverts et les technologies portables, documenter les procédures de sortie, et vérifier contractuellement les conditions de restitution des données. Une bonne stratégie cloud prévoit toujours son plan B.
3. La conformité et les garanties contractuelles
Au-delà de la technique, ce sont les engagements contractuels qui font foi. Certifications (SecNumCloud, ISO 27001, HDS pour les données de santé), clauses de localisation, engagement de non-transfert, transparence sur les sous-traitants : ces garanties doivent être exigées et vérifiées. Le recours à des architectures de chiffrement où le client conserve la maîtrise des clés apporte une couche de protection supplémentaire, y compris face aux demandes d'accès.
Vers des architectures hybrides et raisonnées
Dans la pratique, la réponse la plus fréquente n'est ni le rejet des grands fournisseurs, ni le repli intégral sur des solutions souveraines, mais une architecture hybride assumée. Les charges de travail les plus sensibles sont hébergées sur des environnements souverains et qualifiés ; les charges banalisées peuvent bénéficier de la richesse fonctionnelle et de l'élasticité des grands acteurs. L'enjeu est de piloter cette hétérogénéité sans en subir la complexité.
Nos recommandations
Commencez par une cartographie honnête de vos données et de leur sensibilité — c'est le socle de toute décision. Intégrez la réversibilité comme un critère de conception, pas comme une clause oubliée. Exigez des garanties contractuelles vérifiables plutôt que des déclarations d'intention. Enfin, faites de la souveraineté un sujet de gouvernance partagé entre DSI, direction juridique et métiers, et non une affaire purement technique. Bien conduit, cet arbitrage devient un avantage de confiance auprès de vos clients et de vos autorités de tutelle.
