{"id":88558,"date":"2026-03-24T08:58:21","date_gmt":"2026-03-24T08:58:21","guid":{"rendered":"https:\/\/www.sardinasystems.com\/?p=88558"},"modified":"2026-03-24T11:23:28","modified_gmt":"2026-03-24T11:23:28","slug":"how-to-build-a-truly-sovereign-cloud-in-europe-two-paths-and-what-to-check-before-you-trust-a-provider","status":"publish","type":"post","link":"https:\/\/www.sardinasystems.com\/fr\/actualites\/how-to-build-a-truly-sovereign-cloud-in-europe-two-paths-and-what-to-check-before-you-trust-a-provider\/","title":{"rendered":"Comment construire un v\u00e9ritable cloud souverain en Europe : deux voies et les points \u00e0 v\u00e9rifier avant de faire confiance \u00e0 un fournisseur"},"content":{"rendered":"\n

Alors que les pays europ\u00e9ens continuent de ressentir la port\u00e9e extraterritoriale du droit am\u00e9ricain sur l\u2019infrastructure num\u00e9rique mondiale, la question du cloud souverain n\u2019est plus th\u00e9orique. Bien qu\u2019il n\u2019y ait pas de nouvelles sanctions directes ou de restrictions \u00e0 l\u2019exportation de technologies ciblant les pays europ\u00e9ens, le cadre juridique actuel \u2014 en particulier le Clarifying Lawful Overseas Use of Data Act (CLOUD Act)<\/a> \u2014 oblige toujours les fournisseurs de cloud am\u00e9ricains \u00e0 se conformer aux demandes de donn\u00e9es des autorit\u00e9s am\u00e9ricaines, m\u00eame lorsque ces donn\u00e9es sont stock\u00e9es et trait\u00e9es dans l\u2019UE. Conjugu\u00e9 \u00e0 des dispositions secr\u00e8tes d\u2019acc\u00e8s aux donn\u00e9es et \u00e0 des clauses de non-responsabilit\u00e9 pour les fournisseurs, cela cr\u00e9e une vuln\u00e9rabilit\u00e9 structurelle dans la souverainet\u00e9 num\u00e9rique de l\u2019Europe. <\/em><\/p>\n\n\n\n

Les hyperscalers am\u00e9ricains \u2014 Amazon, Microsoft et Google \u2014 continuent de dominer le march\u00e9 europ\u00e9en du cloud. Dans cet article, nous examinons de plus pr\u00e8s comment ces fournisseurs se conforment au RGPD tout en restant pleinement soumis \u00e0 la juridiction am\u00e9ricaine. <\/strong>Nous explorons \u00e9galement des strat\u00e9gies de sortie potentielles pour les organisations cherchant \u00e0 construire une infrastructure de cloud v\u00e9ritablement souveraine.<\/strong>

Aux racines de 2018 : le CLOUD Act et la fausse promesse du cloud<\/strong> souverain<\/strong>

Le texte du CLOUD Act permet nominalement la prise en compte des lois \u00e9trang\u00e8res et des objections juridiques. Cependant, il prot\u00e8ge explicitement les fournisseurs de toute responsabilit\u00e9 juridique en cas de conformit\u00e9 aux demandes du gouvernement am\u00e9ricain. En vertu de la Section 2705 \u2014 \u00ab Notification diff\u00e9r\u00e9e \u00bb<\/a>, la notification aux utilisateurs peut non seulement \u00eatre report\u00e9e, mais aussi totalement interdite<\/strong> (ordonnance de non-divulgation), ce qui signifie que les utilisateurs pourraient ne jamais en \u00eatre inform\u00e9s. Dans de tels cas, il est difficile de saisir la justice ou d\u2019appliquer les protections juridiques de l\u2019UE si l\u2019administration am\u00e9ricaine adresse une demande directement \u00e0 une entreprise am\u00e9ricaine et que l\u2019utilisateur n\u2019en est jamais inform\u00e9. <\/p>\n\n\n\n

De plus, une clause additionnelle au CLOUD Act stipule que le fournisseur n\u2019assume aucune responsabilit\u00e9 pour sa coop\u00e9ration avec les autorit\u00e9s am\u00e9ricaines,<\/strong> et en cas de proc\u00e9dure judiciaire, aucun des hyperscalers n\u2019en subira les cons\u00e9quences :<\/p>\n\n\n\n

\n

\u00ab (d) Aucune cause d\u2019action contre un fournisseur divulguant des informations en vertu du pr\u00e9sent chapitre. Aucune cause d\u2019action ne pourra \u00eatre intent\u00e9e devant un tribunal contre un fournisseur\u2026 pour avoir fourni des informations, des installations ou une assistance conform\u00e9ment \u00e0 une ordonnance du tribunal en vertu du pr\u00e9sent chapitre\u2026 \u00bb<\/strong><\/p>\n<\/blockquote>\n\n\n\n


Les hyperscalers op\u00e8rent avec des budgets marketing massifs et sont tr\u00e8s efficaces pour fa\u00e7onner les r\u00e9cits au bon moment. Aujourd\u2019hui, presque tous les grands fournisseurs de cloud am\u00e9ricains proposent une forme de produit cloud \u00ab souverain \u00bb adapt\u00e9 au march\u00e9 europ\u00e9en. L\u2019un des exemples les plus fr\u00e9quemment cit\u00e9s est le suivant<\/a> : \u00ab L\u2019AWS European Sovereign Cloud fonctionnera avec une structure de gouvernance ind\u00e9pendante, un centre d\u2019op\u00e9rations de s\u00e9curit\u00e9 d\u00e9di\u00e9 et sous une soci\u00e9t\u00e9 m\u00e8re nouvellement cr\u00e9\u00e9e qui sera contr\u00f4l\u00e9e localement dans l\u2019UE, dirig\u00e9e par des citoyens de l\u2019UE et soumise aux lois locales. \u00bb <\/em> <\/p>\n\n\n\n

\u00c0 premi\u00e8re vue, cela ressemble \u00e0 une conformit\u00e9 aux principes de souverainet\u00e9 europ\u00e9enne. Mais un examen plus approfondi r\u00e9v\u00e8le que ces \u00e9l\u00e9ments de conception, tels qu\u2019une soci\u00e9t\u00e9 enregistr\u00e9e localement, une direction bas\u00e9e dans l\u2019UE et l\u2019adh\u00e9sion aux lois locales, sont principalement con\u00e7us pour r\u00e9pondre au RGPD<\/strong> et aux exigences de protection des donn\u00e9es, et non pour \u00e9liminer la juridiction am\u00e9ricaine.<\/strong>
En fait, aucun hyperscaler ne s\u2019est engag\u00e9 publiquement \u00e0 sortir<\/strong> du champ d\u2019application de l\u2019autorit\u00e9 juridique am\u00e9ricaine, et ils n\u2019ont pas non plus pr\u00e9cis\u00e9 comment de tels produits \u00ab souverains \u00bb sont prot\u00e9g\u00e9s des obligations d\u00e9coulant de lois comme le CLOUD Act. Le cadre juridique am\u00e9ricain continue de s\u2019appliquer de mani\u00e8re extraterritoriale et ne reconna\u00eet les conflits avec le droit de l\u2019UE qu\u2019apr\u00e8s coup. <\/p>\n\n\n\n

\u00c9tant donn\u00e9 qu\u2019en fin de compte, ces offres souveraines europ\u00e9ennes reposent toujours sur des piles technologiques appartenant \u00e0 des \u00c9tats-Unis, y compris les plans de contr\u00f4le et l\u2019infrastructure cloud, l\u2019acc\u00e8s aux donn\u00e9es reste possible \u2014 bien que plus complexe. Comme d\u00e9j\u00e0 mentionn\u00e9, les demandes d\u2019acc\u00e8s peuvent \u00eatre faites en secret, et les fournisseurs sont l\u00e9galement prot\u00e9g\u00e9s de toute responsabilit\u00e9 pour leur coop\u00e9ration avec les autorit\u00e9s am\u00e9ricaines. <\/p>\n\n\n\n

Cela cr\u00e9e une asym\u00e9trie troublante : une entit\u00e9 juridique europ\u00e9enne peut \u00eatre tenue responsable localement, mais en cas de violation ou d\u2019acc\u00e8s clandestin, l\u2019entreprise dont les donn\u00e9es ont \u00e9t\u00e9 compromises n\u2019a que peu de recours, et la soci\u00e9t\u00e9 m\u00e8re am\u00e9ricaine ne fait face \u00e0 aucune cons\u00e9quence juridique. <\/p>\n\n\n\n

Comment la d\u00e9pendance de l\u2019Europe au cloud souverain est-elle arriv\u00e9e ?<\/strong><\/h2>\n\n\n\n

\u00c0 premi\u00e8re vue, le paysage juridique semble clair. Il suffit de cesser d\u2019utiliser des fournisseurs de cloud bas\u00e9s aux \u00c9tats-Unis. D\u2019ici 2026, il devrait \u00eatre \u00e9vident pour tout citoyen europ\u00e9en que la bonne volont\u00e9 n\u2019est plus le moteur principal de la politique am\u00e9ricaine. Et pourtant, les chiffres racontent une autre histoire : <\/p>\n\n\n\n

\n

\u00ab Le march\u00e9 europ\u00e9en du cloud est largement domin\u00e9 par des fournisseurs am\u00e9ricains, ce qui cr\u00e9e des d\u00e9pendances structurelles et pose des risques pour la confidentialit\u00e9 des donn\u00e9es europ\u00e9ennes. La part de march\u00e9 des fournisseurs de cloud europ\u00e9ens est pass\u00e9e de 29 % en 2017 \u00e0 15 % en 2022<\/a>, bien qu\u2019elle soit rest\u00e9e relativement constante depuis lors. Les principaux b\u00e9n\u00e9ficiaires de la croissance du march\u00e9 ont \u00e9t\u00e9 Amazon, Microsoft et Google, qui repr\u00e9sentent d\u00e9sormais 70 % du march\u00e9 r\u00e9gional. \u00bb <\/em><\/p>\n<\/blockquote>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

Bien que le CLOUD Act soit en vigueur depuis huit ans, depuis 2018, 70 % du march\u00e9 europ\u00e9en du cloud repose toujours sur des fournisseurs am\u00e9ricains. <\/strong>Compte tenu du manque de transparence et des phrases marketing telles que \u00ab m\u00eame nous ne pouvons pas y acc\u00e9der \u00bb, il est important de reconna\u00eetre qu\u2019il s\u2019agit d\u2019un r\u00e9cit pratique mais incomplet.<\/strong> On pourrait raisonnablement supposer que si un hyperscaler \u00e9tait un jour publiquement accus\u00e9 d\u2019une fuite de donn\u00e9es, la r\u00e9ponse officielle serait un d\u00e9ni soigneusement formul\u00e9 : \u00ab Nous ne pouvons pas acc\u00e9der \u00e0 vos donn\u00e9es, nous ne pouvons donc ni confirmer ni infirmer quoi que ce soit ! C\u2019est techniquement impossible ! \u00bb<\/em>

La souverainet\u00e9 du cloud dans les clouds publics revient finalement \u00e0 faire confiance \u00e0 une bo\u00eete noire. Lorsqu\u2019un fournisseur majeur comme AWS d\u00e9clare que \u00ab m\u00eame nous ne pouvons pas acc\u00e9der \u00e0 vos donn\u00e9es \u00bb, gr\u00e2ce \u00e0 l\u2019isolation, au chiffrement et \u00e0 l\u2019architecture, on nous demande de le croire sur parole. Les clients n\u2019ont aucun moyen technique de v\u00e9rifier<\/strong> le fonctionnement des m\u00e9canismes internes, la mani\u00e8re dont les donn\u00e9es sont trait\u00e9es ou la fa\u00e7on dont les contr\u00f4les d\u2019acc\u00e8s sont appliqu\u00e9s. Mais il n\u2019est pas n\u00e9cessaire d\u2019\u00eatre un expert en informatique pour comprendre que les donn\u00e9es chiffr\u00e9es doivent \u00eatre d\u00e9chiffr\u00e9es \u00e0 un moment donn\u00e9 du traitement \u2014 sp\u00e9cifiquement, en m\u00e9moire. <\/strong>Et les donn\u00e9es en m\u00e9moire sont, par d\u00e9finition, accessibles au syst\u00e8me qui les exploite. Ce fait technique simple mais critique est souvent omis dans les d\u00e9clarations publiques et les supports marketing, pourtant il est au c\u0153ur du d\u00e9bat sur la souverainet\u00e9. <\/p>\n\n\n\n

Sur le plan juridique, la situation est encore plus floue. Les hyperscalers se conforment au RGPD, obtiennent des certifications (par exemple, CISPE), s\u2019associent \u00e0 des entreprises locales et proposent la r\u00e9sidence des donn\u00e9es. Mais ils restent sous juridiction am\u00e9ricaine, ne peuvent ignorer le CLOUD Act et sont oblig\u00e9s de r\u00e9pondre aux demandes de donn\u00e9es du gouvernement am\u00e9ricain \u2014 m\u00eame si les donn\u00e9es r\u00e9sident \u00e0 Francfort ou \u00e0 Paris. Quelles que soient les assurances techniques donn\u00e9es par les fournisseurs, la possibilit\u00e9 juridique d\u2019une intervention demeure, laissant les clients choisir entre la confiance et une infrastructure enti\u00e8rement r\u00e9gie par la juridiction europ\u00e9enne. <\/p>\n\n\n\n

Alors, quelle est l\u2019alternative au cloud souverain ?<\/strong><\/h2>\n\n\n\n

Des alternatives existent, m\u00eame si elles sont difficiles. Si l\u2019Europe avait agi il y a dix ans, le paysage pourrait \u00eatre tr\u00e8s diff\u00e9rent aujourd\u2019hui. Le probl\u00e8me central est le contr\u00f4le, et le v\u00e9ritable contr\u00f4le ne vient qu\u2019en comprenant et en gouvernant chaque \u00e9tape du traitement des donn\u00e9es et du calcul. <\/p>\n\n\n\n

Aujourd\u2019hui, les organisations europ\u00e9ennes ont acc\u00e8s \u00e0 une gamme de r\u00e9elles alternatives aux hyperscalers am\u00e9ricains, qui leur permettent de conserver le contr\u00f4le des donn\u00e9es et de se conformer aux exigences de souverainet\u00e9. Les principaux fournisseurs incluent T-Systems, Orange Cloud et d\u2019autres \u2014 op\u00e9rant sous juridiction europ\u00e9enne,<\/strong> utilisant des centres de donn\u00e9es locaux<\/strong> et de plus en plus certifi\u00e9s<\/strong> selon des normes de cloud de confiance comme SecNumCloud en France ou GAIA-X. <\/p>\n\n\n\n

Comprendre ce que vous contr\u00f4lez : deux voies vers la souverainet\u00e9<\/strong><\/h2>\n\n\n\n
Contr\u00f4le technique complet : le cloud souverain comme choix architectural<\/strong><\/h5>\n\n\n\n

Le contr\u00f4le technique complet repr\u00e9sente le plus haut niveau de souverainet\u00e9 du cloud, o\u00f9 l\u2019organisation gouverne directement chaque couche d\u2019infrastructure et de logiciel<\/strong> \u2014 sans interm\u00e9diaires. Ce mod\u00e8le est particuli\u00e8rement pertinent pour les gouvernements, la d\u00e9fense, la sant\u00e9 et les industries critiques. <\/p>\n\n\n\n

Composants techniques cl\u00e9s :<\/strong><\/p>\n\n\n\n

Cet \u00e9cosyst\u00e8me est en outre soutenu par des technologies open source<\/strong> \u2014 principalement OpenStack (pour l\u2019IaaS), Kubernetes (pour l\u2019orchestration), Ceph (pour le stockage distribu\u00e9) et <\/a>des plateformes comme FishOS.<\/a> <\/mark>De nombreux fournisseurs de niche proposent \u00e9galement des solutions pr\u00e9-int\u00e9gr\u00e9es, support\u00e9es et h\u00e9berg\u00e9es, rendant l\u2019open source plus accessible.<\/strong> Le support d\u2019experts est ici essentiel \u2014 permettant un d\u00e9ploiement plus rapide et une utilisation plus efficace de ces outils. En pratique, un m\u00e9lange d\u2019open source et de support commercial<\/strong> s\u2019av\u00e8re souvent plus rentable et durable que de s\u2019appuyer uniquement sur des hyperscalers europ\u00e9ens. <\/p>\n\n\n\n