HORS-SÉRIE · ANALYSE NEXUS

La souveraineté européenne est devenue une case à cocher, et cela a été décidé

Le 3 juin 2026, la Commission européenne a présenté son paquet « souveraineté technologique européenne », dont la pièce maîtresse est une proposition de règlement sur le développement du cloud et de l’IA. Le texte institue quatre niveaux d’assurance de souveraineté pour les services en nuage employés par les administrations. C’est le dispositif le plus ambitieux jamais proposé en la matière.

Alexis Daguenet · 21/09/2026 · THÈSE-HS-017 · 5 min de lecture

Selon les estimations disponibles, environ 70 % des marchés relèveraient du niveau 1 — données traitées et stockées dans l’Union, condition que remplissent déjà les filiales européennes des fournisseurs américains —, environ 20 % du niveau 2, moins de 10 % du niveau 3 — fournisseur non contrôlé par un pays tiers — et environ 1 % du niveau 4.

Autrement dit : le texte le plus souverainiste de la décennie réserverait à des fournisseurs européens moins d’un dixième des marchés publics concernés. Ce n’est pas une critique du texte, qui arbitre entre sécurité, coût et ouverture commerciale. C’est un rappel de ce que le mot désigne en pratique.

Deux souverainetés, et une seule est financée

Nexus propose de distinguer deux objets que le débat confond.

La souveraineté de conformité garantit, par le droit et le contrat, que les données ne sont pas accessibles à une autorité étrangère et que l’utilisateur conserve la maîtrise de sa configuration. Elle se mesure en clauses, en certifications, en localisations. Elle est atteignable rapidement, à coût modéré.

La souveraineté de capacité est la possibilité de concevoir, d’entraîner et de faire fonctionner un système sans l’autorisation d’un tiers. Elle se mesure en accélérateurs, en gigawatts, en équipes. Elle exige des décennies et des dizaines de milliards.

La première protège contre l’accès non autorisé. Seule la seconde protège contre l’interruption. L’Europe progresse vite sur l’une et lentement sur l’autre.

Les chiffres de la conformité

La qualification SecNumCloud de l’ANSSI exige un siège social dans l’Union, un hébergement dans l’Union et une participation individuelle d’actionnaire non européen plafonnée à 24 %. C’est un dispositif rigoureux. Il représente, selon la mission conjointe des inspections générales d’avril 2026, un surcoût de 20 à 40 %.

Chez Mistral AI, les points d’accès régionaux sont facturés avec une majoration de 10 %, le niveau de service prioritaire avec une majoration de 75 %. La souveraineté y est un supplément de prix sur une prestation par ailleurs identique.

Ces dispositifs fonctionnent. Le 20 avril 2026, la Commission européenne a attribué un marché cloud de 180 millions d’euros sur six ans à OVHcloud, Scaleway, S3NS et StackIT. Le 10 février 2026, les ministères de la Santé, de la Réforme de l’État et du Numérique ont annoncé que Microsoft n’hébergerait plus le Health Data Hub, un appel d’offres devant désigner un prestataire qualifié SecNumCloud. En France, la commande publique de cloud a représenté 84 millions d’euros en 2025, dont 69 % vers des opérateurs européens.

Le problème d’échelle

Ces 84 millions d’euros doivent être rapportés à un ordre de grandeur différent. La commission d’enquête de l’Assemblée nationale sur les dépendances numériques a avancé, dans son rapport rendu public le 15 juillet 2026, le chiffre de 83 % des dépenses cloud européennes captées par les acteurs américains, soit environ 264 milliards d’euros par an.

Trois fournisseurs américains détiennent plus de 70 % du marché européen du cloud ; les fournisseurs européens environ 15 %. OVHcloud estime avoir besoin que 15 % de la commande publique soit réservée pour atteindre une échelle compétitive. Ce chiffre est discutable ; il a le mérite d’être un ordre de grandeur vérifiable, ce que le débat français produit rarement.

Ce que la conformité ne couvre pas

Vincent Strubel, directeur général de l’ANSSI, a formulé le problème devant la commission d’enquête : « Si demain, pendant six mois, on est privés d’accès à la technologie américaine, privés des mises à jour des logiciels américains, on a un énorme problème. »

Cette phrase ne décrit pas un défaut de souveraineté au sens juridictionnel. Les données peuvent parfaitement être hébergées en France et le service s’arrêter quand même. Elle décrit un défaut de résilience. Et à ce jour, aucun exercice public de continuité d’activité à l’échelle de l’État n’a été publié pour y répondre.

Ce qu’il faudrait écrire dans les documents publics

Une recommandation simple, et gratuite : que tout document public distingue explicitement les mesures de conformité — résidence, certification, clauses — et les mesures de capacité — calcul, composants, compétences — avec des indicateurs propres. Tant que les deux figurent sous le même mot, aucun arbitrage budgétaire n’est instruisible, et la conformité, moins chère et plus visible, absorbera toujours l’essentiel des moyens.

Ce qui nous ferait changer d’avis

Cette thèse est classée consolidée quant aux dispositifs, qui sont des textes officiels, et moyennement robuste quant à la répartition des marchés par niveau d’assurance, qui relève d’estimations d’analystes.

Elle serait réfutée si les niveaux 3 et 4 devenaient majoritaires dans les marchés publics européens portant sur des données sensibles, ou si la part des fournisseurs européens dépassait 30 % du marché cloud de l’Union. Elle serait fragilisée si la souveraineté de conformité démontrait, lors d’un incident réel d’interruption ou d’accès, une efficacité équivalente à celle d’une souveraineté de capacité — ce qui est possible, et que seul un incident permettra de savoir.