La souveraineté du cloud, autrefois débat géopolitique, est devenue une priorité opérationnelle pour les entreprises et les gouvernements européens. La dépendance à l'égard d'un petit nombre de fournisseurs mondiaux, les progrès de l'intelligence artificielle et les exigences réglementaires ont mis en lumière des questions cruciales : où les données sont-elles traitées ? Qui peut accéder aux systèmes ? Sous quelle juridiction opèrent-ils ? Choisir une région cloud ne suffit plus ; l'enjeu est désormais le contrôle effectif des infrastructures et services critiques.
En Espagne, le rapport « Souveraineté numérique : de l'ambition politique à l'impératif exécutif », publié par l'Institut de recherche Capgemini, témoigne de l'ampleur du défi. 92 % des entreprises espagnoles sont fortement exposées aux enjeux de la souveraineté numérique, un chiffre supérieur à la moyenne mondiale de 86 %. Pour Sergio Torres, directeur général des services d'infrastructure cloud chez Capgemini, l'objectif n'est pas d'éliminer la dépendance, mais de la gérer avec discernement . Dans un écosystème hyperconnecté, ajoute-t-il, la souveraineté consiste à bâtir une interdépendance résiliente, et non à s'isoler. Trois entreprises espagnoles sur quatre partagent cette approche pragmatique, et 58 % d'entre elles perçoivent la souveraineté numérique avant tout comme un moyen d' atténuer les risques et de renforcer la continuité de leurs activités.
La dépendance technologique sous surveillance
L'étude place l'intelligence artificielle et le cloud au cœur de ces nouvelles dépendances. 75 % des organisations espagnoles considèrent l'IA comme une priorité dans leurs stratégies de souveraineté numérique, tandis que 65 % citent le cloud computing. Parallèlement, 69 % reconnaissent s'appuyer sur des fournisseurs internationaux pour leurs services cloud et 61 % pour leurs capacités en intelligence artificielle. Torres souligne que le défi réside non seulement dans l'accès à ces technologies, mais aussi dans leur intégration de manière gouvernable : un cloud souverain permet à l'IA d'être transparente, auditable et contrôlable , facilitant ainsi la transition des projets pilotes vers des déploiements à forte valeur ajoutée.
La capacité à réagir à une éventuelle interruption d'approvisionnement de la part d'un fournisseur stratégique accroît la pression. Dans des domaines critiques tels que les données ou l'intelligence artificielle, 43 % des entreprises espagnoles auraient besoin de plus de douze mois pour remplacer leur principal fournisseur. Ce pourcentage atteint 38 % pour le matériel informatique et 36 % pour la cybersécurité. Pour Capgemini, ces chiffres démontrent que la résilience technologique ne saurait se réduire à un simple plan de continuité d'activité, mais doit être intégrée dès la conception à l'architecture, en privilégiant la portabilité et des stratégies de sortie clairement définies .
Les données s'imposent comme l'actif le plus sensible. Plus de la moitié des entreprises espagnoles estiment que la gestion et le stockage des données représentent le principal risque pour la continuité de leurs activités, avant même la cybersécurité, la connectivité ou le matériel. Par ailleurs, 55 % d'entre elles constatent une forte concentration de prestataires dans ce domaine. Ce problème est exacerbé par un manque de visibilité : seules 14 % disposent d'une cartographie complète et en temps réel de leur chaîne d'approvisionnement technologique, 40 % n'ont qu'une visibilité partielle sur leurs fournisseurs directs, et une entreprise sur quatre admet ne pas avoir de compréhension formelle de ses risques.
Cette préoccupation se traduit déjà dans les décisions de gouvernance d'entreprise. 59 % des entreprises espagnoles considèrent la souveraineté numérique comme une priorité absolue pour leur conseil d'administration , une proportion nettement supérieure à la moyenne mondiale. La quasi-totalité des grandes organisations abordent cette question au sein de leurs instances dirigeantes, et près de la moitié ont mis en œuvre une stratégie spécifique. L'idée qui gagne du terrain est celle d'une souveraineté numérique minimale viable : identifier les actifs critiques, cartographier les dépendances et protéger ce qui est essentiel pour garantir la continuité. De fait, 76 % estiment qu'associer les technologies critiques à des alliances stratégiques est plus pratique que de tenter d'acquérir la pleine maîtrise de toutes les capacités.
Bruxelles souhaite davantage de capacités et ses propres règles.
Au niveau européen, la Commission européenne ambitionne de tripler au moins la capacité des centres de données de l'Union au cours des cinq à sept prochaines années grâce au projet de loi sur le développement du cloud et de l'intelligence artificielle (CADA). Ce plan permettrait d'augmenter la capacité installée d'environ 12 GW actuellement à plus de 27 GW, une expansion qui, selon les estimations de CryptoBriefing, nécessiterait près de 200.000 milliards d'euros d'investissements, principalement du secteur privé. Les centres de données européens ont consommé 68 TWh d'électricité en 2024, et la Commission prévoit une consommation de 114 TWh d'ici 2030, soit environ 3,2 % de la demande d'électricité de l'UE. L'objectif affiché n'est pas d'isoler le problème, mais plutôt d'atténuer une vulnérabilité qui affecte les puces, les serveurs et le cloud.
Le constat de cette dépendance est frappant. D'après les données citées par Xataka, issues des rapports GEA et DECISION, seulement 6 % de la valeur des semi-conducteurs pour centres de données restent entre les mains d'entreprises basées dans l'UE ; ce pourcentage atteint 7 % pour la fabrication et l'assemblage de serveurs, et se limite à 8 % pour l'infrastructure cloud. Dans le secteur des services cloud, la part des fournisseurs européens a chuté de 29 % en 2017 à 15 % en 2022 et stagne depuis. AWS, Microsoft Azure et Google Cloud concentrent plus de 70 % du marché européen du cloud , tandis qu'à l'échelle mondiale, le marché de l'infrastructure cloud représentait 143.000 milliards de dollars au deuxième trimestre 2026, AWS détenant 28 %, Microsoft 20 % et Google Cloud 15 %.
L'Europe conserve néanmoins une position exceptionnelle dans la chaîne de valeur des semi-conducteurs. ASML, dont le siège social est à Veldhoven, est le seul fabricant mondial de systèmes de lithographie EUV, machines indispensables à la production des semi-conducteurs les plus avancés. L'entreprise a réalisé un chiffre d'affaires de près de 37.500 milliards de dollars lors de son exercice 2025, avec une marge nette de 29,4 %, et sa capitalisation boursière avoisine les 700.000 milliards de dollars. Malgré cela, elle a confirmé qu'aucun fabricant européen de puces n'a passé commande de systèmes de lithographie en 2026, signe d'une absence de demande intérieure que Bruxelles entend remédier avec le Chips Act 2.0.
La proposition CADA introduit également une définition de la souveraineté du cloud en quatre niveaux . Le premier niveau exige que les données soient traitées et stockées sur une infrastructure située au sein de l'UE. Le deuxième exige l'indépendance vis-à-vis des pays tiers et la transparence de l'ensemble de la chaîne d'approvisionnement logicielle. Le troisième va plus loin, exigeant que le fournisseur soit détenu et contrôlé depuis l'UE. Le quatrième exige une transparence totale de la chaîne d'approvisionnement logicielle et l'absence d'ingérence de pays tiers. Sebastián Muriel, directeur du numérique de Telefónica, a résumé le débat par une phrase devenue une référence : « Peu importe que le serveur soit à Madrid, Francfort ou Dublin si la maison mère est à Redmond ou Mountain View. » Il a même parlé de « souveraineté louée » pour décrire la situation actuelle.
L'examen des transactions d'entreprises se renforce. La Commission européenne a cité l'exemple de Kyndryl, qui a tenté d'acquérir Solvinity, fournisseur d'infrastructures néerlandais pour le gouvernement desservant 16,5 millions de citoyens, comme une transaction nécessitant un examen approfondi. Le gouvernement néerlandais a bloqué cette acquisition en mai 2026 au nom de l'intérêt public, de l'autonomie numérique et de la protection des infrastructures critiques . Cette décision démontre que la souveraineté ne se limite pas à l'emplacement des serveurs, mais s'étend également au contrôle des entreprises qui fournissent des services essentiels.
Le déploiement de nouveaux centres de données n'est pas sans difficultés. CryptoBriefing documente la multiplication des protestations en Irlande, aux Pays-Bas et en France concernant la consommation d'électricité et d'eau, ainsi que l'impact visuel de ces installations. En Allemagne, au Royaume-Uni et en France, le raccordement au réseau électrique peut prendre des années. En Irlande, la croissance des centres de données suscite déjà des inquiétudes quant aux risques de coupures de courant pour les foyers et les entreprises, alors même que ces centres assurent la continuité des activités des multinationales du secteur technologique. La Commission européenne a réagi le 21 septembre 2026 en instaurant un système d'étiquetage automatique de la durabilité pour les centres de données de plus de 500 kW. Chaque installation recevra un coefficient d'efficacité énergétique (PUE, de 1,15 à plus de 1,9) et un coefficient d'efficacité hydrique (WUE, de 0,1 à plus de 1,0), qui seront mis à jour annuellement à partir d'août 2027. Améliorer le PUE de 1,6 à 1,2 permet de réduire la consommation d'électricité de 25 %, et la récupération de la moitié de la chaleur résiduelle des centres européens pourrait couvrir les besoins en chauffage de près de quatre millions de foyers.
Pour les startups et les prestataires de services, le cadre européen modifie les règles d'achat, d'hébergement et de mise à l'échelle des infrastructures. En avril 2026, la Commission a attribué des contrats d'une valeur maximale de 180 millions d'euros pour des services de cloud souverain destinés aux institutions de l'UE. Les clients du secteur public et les secteurs réglementés devront fournir des certificats de souveraineté et de provenance des données ; la résidence géographique ne suffira plus : il sera nécessaire d'évaluer qui contrôle le prestataire et sa chaîne d'approvisionnement logicielle. Le goulot d'étranglement ne sera pas uniquement technologique, puisque 60 % des entreprises de l'UE font état de difficultés à recruter des professionnels de l'IA, de la cybersécurité et des technologies propres. CADA et le Chips Act 2.0 restent des propositions législatives et doivent encore suivre la procédure européenne. La consultation publique sur les règles de performance minimales des centres de données se termine le 14 décembre 2026 et la proposition finale est attendue au deuxième trimestre 2027.
Certifications et alternatives pour les administrations
Parallèlement à la réglementation, le marché évolue grâce aux certifications et aux partenariats. Atos a obtenu la certification SAP Sovereign Cloud Partner pour moderniser et exploiter les environnements SAP critiques tout en respectant les exigences en matière de contrôle des données, de gouvernance et de conformité réglementaire. Cette certification élargit les possibilités offertes aux organismes gouvernementaux et aux entreprises réglementées qui doivent migrer leurs charges de travail vers le cloud ou intégrer l'intelligence artificielle sans renoncer totalement au contrôle opérationnel, juridique et technique de leurs systèmes. La certification couvre initialement l'Allemagne, la France, les Pays-Bas et le Royaume-Uni , et Atos poursuit le processus pour l'étendre à d'autres régions.
Cette certification associe les services managés et l'infrastructure européenne d'Atos à la stratégie de SAP visant à développer son offre souveraine. La proposition s'adresse spécifiquement au secteur public et aux services financiers, où la localisation des données, l'accès à l'infrastructure et la juridiction applicable influencent les décisions de modernisation. SAP structure son approche autour de quatre dimensions de contrôle : les données, les opérations, la technologie et le cadre juridique . Atos combine l'infrastructure, l'hébergement, la cybersécurité et l'exploitation des applications. Selon l'entreprise, ce modèle permet l'adoption du cloud computing et de l'intelligence artificielle tout en maintenant la gouvernance et le contrôle opérationnel.
Martin Merz, président de SAP Sovereign Cloud, considère l'intégration d'Atos comme un élément clé du développement de ce réseau de fournisseurs : « La souveraineté numérique repose sur des écosystèmes de confiance. En collaborant avec Atos, partenaire validé, nous étendons la portée de SAP Sovereign Cloud et aidons les entreprises à moderniser leurs processus métier critiques grâce au cloud et à l'intelligence artificielle, tout en préservant le contrôle, la gouvernance et la résilience opérationnelle. » SAP a également annoncé un investissement supplémentaire de plus de 20 milliards d'euros afin d'accroître la couverture géographique et fonctionnelle de SAP Sovereign Cloud. Atos est certifié partenaire SAP Operations depuis 20.000 années consécutives et a reçu le certificat d'or associé, qui atteste de sa vaste expérience dans la gestion des environnements SAP.
En Allemagne, la promotion d'alternatives souveraines s'étend à un nouveau front avec openDesk, la suite bureautique et collaborative du gouvernement fédéral. Une version développée par le secteur public existe depuis octobre 2024, mais après neuf mois de retard, le Centre pour la souveraineté numérique (ZenDiS) a ouvert sa distribution aux fournisseurs de cloud privé et aux entreprises de systèmes . openDesk regroupe messagerie, calendrier, stockage de fichiers, traitement de texte, messagerie instantanée et visioconférence dans une suite de composants open source européens, conçue comme une alternative à Microsoft 365 pour les administrations publiques.
Le programme de partenariat distingue trois rôles. Les revendeurs officiels fournissent des abonnements openDesk aux fournisseurs de services cloud et informatiques. Les intégrateurs de systèmes agréés prennent en charge l'implémentation et l'exploitation dans l'environnement du client et doivent justifier d'une expérience des technologies open source, de Kubernetes et d'openDesk. Le rôle le plus exigeant est celui de Fournisseur de Services Souverain Approuvé (ASA), qui exploite openDesk en tant que logiciel en tant que service (SaaS) sur son propre cloud. Ce rôle requiert une accréditation selon le catalogue BSI C5 et le niveau 3 du Cadre Européen de Souveraineté du Cloud (SEAL), toutes deux assorties d'audits externes. Les entreprises ne possédant pas ces accréditations peuvent revendre openDesk par l'intermédiaire d'un revendeur officiel, mais ne sont pas autorisées à l'exploiter directement.
ZenDiS avait initialement annoncé le lancement du programme pour fin 2025, mais l'a reporté au premier trimestre 2026 en janvier 2026. Le lancement officiel, le 23 septembre, intervient environ six mois après cette seconde date. La PDG de ZenDiS, Pamela Krosta-Hartl, a justifié ce lancement par la forte demande pour la suite logicielle souveraine et la nécessité de coordonner les acteurs concernés. Parallèlement, ZenDiS élargit l'accès au secteur public grâce à une offre SaaS, en partenariat avec la coopérative govdigital. Cette offre est disponible via la plateforme Marktplatz Deutschland Digital et le courtier cloud gd.Cloud. Les fournisseurs privés pourront ainsi concurrencer une alternative proposée par le secteur public.
Le paysage que dessinent ces initiatives mêle pression réglementaire, dépendance technologique et réponses concrètes. L'Espagne est fortement exposée au cloud computing et à l'IA, les données étant au cœur des préoccupations et les conseils d'administration s'impliquant de plus en plus. Bruxelles se prépare à une augmentation des capacités des centres de données, à une plus grande autonomie et à la mise en place d'étiquettes énergétiques, bien que le cadre juridique ne soit pas encore législatif. Sur le marché, des certifications comme celle d'Atos pour SAP et des projets comme openDesk visent à proposer des alternatives aux administrations publiques et aux secteurs réglementés. Le débat ne porte plus seulement sur l'emplacement du serveur, mais aussi sur le contrôle de l'infrastructure, de la chaîne logicielle et des décisions relatives aux services critiques, dans un environnement de plus en plus marqué par la géopolitique et l'intelligence artificielle.
