Cloud souverain européen — quand l'hébergement devient affaire de droit

En bref

En avril 2026, la Commission européenne a attribué un contrat cloud de 180 millions d’euros à quatre groupes de fournisseurs européens — Scaleway, Post Telecom/OVHcloud, StackIT et Proximus/S3NS — en exigeant le niveau de souveraineté SEAL-3, le plus élevé de son référentiel. Ce signal illustre une tension qui structure le marché depuis 2018 : loger des données dans un datacenter européen ne protège pas nécessairement contre une réquisition par les autorités américaines. Le cloud souverain, lui, désigne un opérateur enregistré, contrôlé et opéré sous droit européen — une distinction juridique, pas géographique. Cet article explique ce que cette distinction implique concrètement, qui sont les acteurs capables d’y répondre, et quels compromis restent inévitables.

La distinction fondamentale : localisé n’est pas souverain

Imaginez une filiale française d’un groupe américain. Son siège est à Paris, ses serveurs sont dans un datacenter alsacien — mais si un tribunal américain ordonne à la maison-mère d’extraire des données, la filiale française n’a pas grand-chose à opposer. Le cloud fonctionne de la même façon.

On distingue deux réalités souvent confondues :

Le cloud localisé : les données sont physiquement stockées dans un datacenter situé en Europe — Dublin pour AWS eu-west-1, Amsterdam pour Azure West Europe, Francfort pour GCP europe-west3. La localisation est réelle. Mais l’opérateur reste Amazon, Microsoft ou Google, c’est-à-dire une entreprise américaine soumise au droit américain.

Le cloud souverain : l’opérateur est enregistré, contrôlé et opéré sous droit européen. Les données ne peuvent pas être atteintes par une loi étrangère sans procédure judiciaire européenne. L’exemple de référence en France est la certification SecNumCloud, délivrée par l’ANSSI (Agence nationale de la sécurité des systèmes d’information).

En clair : choisir un datacenter en Europe protège contre une panne à l’autre bout du monde. Ça ne protège pas contre un sous-poena américain. Seul un opérateur souverain peut offrir cette dernière garantie.

Pourquoi le CLOUD Act a tout changé

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), promulgué en mars 2018, autorise les autorités américaines à exiger l’accès à des données détenues par des entreprises américaines — quel que soit le pays où ces données sont physiquement stockées. AWS peut être contraint de livrer des données hébergées à Francfort. Microsoft peut l’être pour des données à Amsterdam.

Vocabulaire

• CLOUD Act : loi fédérale américaine (2018) permettant aux autorités US d’accéder aux données des entreprises américaines dans n’importe quel pays.
• RGPD : Règlement Général sur la Protection des Données, applicable depuis mai 2018 dans toute l’UE. Impose un accord préalable pour tout transfert de données personnelles hors UE.
• SecNumCloud : certification française de l’ANSSI pour les fournisseurs cloud. Version 3.2 (2024) protège explicitement contre les lois extraterritoriales.
• EUCS : European Cybersecurity Certification Scheme for Cloud Services — équivalent européen de SecNumCloud, en cours d’adoption par l’ENISA.

La tension est structurelle. Une entreprise américaine qui refuse de livrer des données viole la loi américaine. Si elle les livre, elle risque de violer le RGPD. En pratique, les grandes plateformes négocient des procédures d’urgence et des délais — mais l’exposition reste réelle pour les données sensibles.

Cette situation a accéléré la production réglementaire européenne :

• Data Act (applicable septembre 2025) : prévoit des mécanismes explicites pour bloquer l’accès illégal des gouvernements étrangers aux données non personnelles.
• AI Act (en vigueur août 2024) : pour les systèmes à haut risque, impose de prouver que les données n’ont pas quitté les juridictions approuvées — ce qui rend la question du cloud souverain directement opérationnelle.
• EU Cloud and AI Development Act (proposition attendue 2026) : vise à tripler la capacité des datacenters européens en cinq à sept ans.

Cinq ans de tentatives d’écosystème européen

2020 — Le lancement de Gaia-X

En 2020, lors du Conseil numérique franco-allemand, l’Europe lance Gaia-X : l’ambition de créer un écosystème de données fédéré et interopérable à l’échelle du continent. L’initiative rassemble rapidement plus de 400 membres dans 20 pays.

Dès 2021, la critique principale émerge : les hyperscalers américains (AWS, Azure, GCP) sont membres fondateurs. L’expression “cheval de Troie” circule. La part de marché des fournisseurs européens passe de 26 % à 10 % du cloud européen entre 2017 et 2020 — précisément pendant la montée en puissance de l’initiative censée l’inverser.

En 2024-2025, les bilans sont mitigés. Gaia-X a lancé plus de 180 espaces de données industriels. Mais les analystes de l’Euro-Stack Directory qualifient le résultat de “monstre de papier” qui produit des spécifications sans applications pratiques à grande échelle. L’interopérabilité promise entre OVHcloud, Scaleway et Outscale n’a pas abouti à des interfaces unifiées.

2022-2023 — La part de marché européenne se stabilise, pas à la hausse

En 2022, les fournisseurs EU représentent 15 % du marché cloud européen, contre 29 % en 2017 (Synergy Research Group). Les trois hyperscalers US captent 70 %. Cette proportion ne s’est pas inversée : elle s’est stabilisée.

C’est dans ce contexte que Scaleway, filiale d’Iliad (groupe Xavier Niel), pivote massivement vers l’IA en 2023. L’entreprise déploie Nabuchodonosor, son supercalculateur Paris : 1 016 GPU NVIDIA H100 Tensor Core sur infrastructure DGX H100. Elle noue un partenariat stratégique avec Mistral AI naissant — un exemple de chaîne franco-française modèle + infrastructure.

2024-2026 — Certification, GPU et contrats publics

Le mouvement s’accélère sur trois fronts simultanés.

Certifications : Outscale (filiale Dassault Systèmes) obtient en 2024 la première certification SecNumCloud 3.2 incluant les GPU IA — une distinction qui la positionne seule sur le créneau des données sensibles. Orange Business obtient la même qualification pour Cloud Avenue SecNum en juillet 2025.

Offres GPU : OVHcloud lance ses instances H100 PCIe à 2,80 €/h et son service AI Endpoints (accès serverless à des modèles open source). T-Systems inaugure son AI Factory Munich le 4 février 2026 : 0,5 ExaFLOPS [estimation, objectif publié par Deutsche Telekom], jusqu’à 10 000 GPU NVIDIA Blackwell, 1 milliard d’euros d’investissement en partenariat avec NVIDIA.

Signal marché public : en avril 2026, la Commission européenne attribue son contrat Cloud III DPS — 180 millions d’euros sur 6 ans — à quatre groupes, au niveau SEAL-3 (le plus exigeant). Scaleway y figure en solo ; OVHcloud en consortium avec Post Telecom (Luxembourg) ; StackIT (Schwarz Group, Allemagne) ; et Proximus avec S3NS (Thales–Google Cloud) et Mistral.

Les acteurs en détail

OVHcloud — le plus grand datacenter européen

Fondé en 1999 à Roubaix par Octave Klaba, OVHcloud est le plus grand opérateur cloud européen par nombre de datacenters et surface serveurs. Coté en bourse sur Euronext Paris depuis 2021 (IPO à 18,50 €, levée de 350 millions d’euros), l’action est retombée sous 7 € en 2024 sous pression concurrentielle.

L’infrastructure couvre 37 datacenters dans 15 pays en 2025, avec expansion prévue sur la région Milan (3 zones de disponibilité) et cinq autres régions européennes et hors-Europe.

Ses offres IA :

• Instances H100 PCIe : 2,80 €/h (données OVHcloud.com, janvier 2024 — tarifs sujets à révision).
• Managed AI : 3,10 €/h (même source).
• Instances L40S : à partir de 1,40 €/h ; L4 à 0,75 €/h.
• AI Endpoints : service serverless donnant accès à des modèles open source (Mistral, Llama, Qwen) sans gestion d’infrastructure.

OVHcloud a publié une architecture de référence pour le déploiement de Mistral Large 123B en environnement souverain via son service AI Deploy.

Scaleway — le spécialiste IA du groupe Iliad

Scaleway, filiale du groupe Iliad de Xavier Niel, gère des datacenters à Paris, Amsterdam et Varsovie. Plus d’un million de clients.

Son offre IA repose sur le cluster Nabuchodonosor (1 016 H100), complété par :

• Generative APIs : accès serverless à Llama, Mistral, Qwen3, et depuis août 2025 aux modèles open-weight OpenAI (gpt-oss-120B, gpt-oss-20B).
• Managed Inference : déploiement dédié de modèles (tarification non publiée publiquement dans les sources consultées).

Scaleway a remporté en 2025 le contrat Cloud III DPS de la Commission européenne en solo, au niveau SEAL-3 le plus élevé — confirmation validée par quatre sources indépendantes (Commission européenne, Data Center Dynamics, The Next Web, Compare the Cloud).

Outscale — la référence SecNumCloud pour les secteurs sensibles

Outscale est la filiale cloud de Dassault Systèmes (groupe 3DS). Son positionnement cible les clients industriels, de défense, d’aéronautique et du secteur public sensible — des secteurs où la certification de souveraineté est souvent une condition contractuelle.

Sa distinction : premier opérateur cloud à obtenir la qualification SecNumCloud 3.2 de l’ANSSI (2024), couvrant l’intégralité de ses services de cloud public, y compris les GPU IA. SecNumCloud 3.2 s’aligne sur le futur EUCS et protège explicitement contre les lois extraterritoriales.

En septembre 2025, Outscale a intégré Le Chat de Mistral AI dans son environnement SecNumCloud 3.2 — une combinaison qui permet aux administrations françaises de déployer un LLM performant en environnement certifié.

Les GPU déployés par Outscale sont de fabrication NVIDIA, mais les types et capacités totales ne sont pas publiés officiellement dans les sources consultées [capacité totale non triangulée].

T-Systems / Deutsche Telekom — l’AI Factory allemande

Deutsche Telekom et sa filiale T-Systems (services IT entreprise) ont inauguré le 4 février 2026 leur AI Factory Munich, conçue comme une infrastructure d’entraînement souveraine pour les entreprises allemandes :

• Investissement : 1 milliard d’euros (partenariat Deutsche Telekom + NVIDIA).
• Capacité déclarée : jusqu’à 10 000 GPU NVIDIA Blackwell (DGX B200 + RTX PRO Server) [objectif publié, non vérifié en production].
• Puissance : 0,5 ExaFLOPS [objectif publié Deutsche Telekom].
• Stockage : environ 20 pétaoctets.
• Connectivité : 4 liens fibre 400 Gb/s, 75 km de fibre pour l’interconnexion GPU.
• Partenaires : NVIDIA (hardware), SAP (plateforme), Siemens (stack industriel).

Premiers utilisateurs annoncés : Agile Robots et Perplexity. Le positionnement est explicite : permettre aux entreprises allemandes d’entraîner des modèles sur leurs données propriétaires sans les exposer à des lois étrangères.

Orange Business — le cloud souverain des télécoms

Orange Business est la branche B2B d’Orange (ex-France Télécom). Son offre cloud souveraine s’organise autour de Cloud Avenue SecNum, qualifiée SecNumCloud en juillet 2025.

Les offres GenAI (2024) sont développées en partenariat avec LightOn (startup française) : solutions SaaS pour PME/ETI et GPU-as-a-Service IaaS dédié pour le déploiement de LLM propriétaires. Les types de GPU et capacités totales ne sont pas publiés officiellement [capacité non triangulée].

Orange Business est également actionnaire dans Bleu, joint-venture avec Capgemini qui opère Microsoft Azure sur infrastructure française. Bleu cible la qualification “Cloud de Confiance 3.2” et représente une catégorie différente, discutée ci-dessous.

La controverse Bleu / S3NS : le “cloud de confiance” est-il souverain ?

Une catégorie intermédiaire occupe une place croissante en France : le cloud de confiance. Le principe : une entité juridique française (Orange + Capgemini pour Bleu, Thales pour S3NS) opère le cloud d’un hyperscaler américain (Microsoft Azure pour Bleu, Google Cloud pour S3NS) sur infrastructure française.

En clair : dans ce modèle, les logiciels et le code source restent américains. L’opérateur français gère l’infrastructure, les clés de chiffrement, et les accès. La question juridique ouverte : une demande américaine adressée à Microsoft peut-elle atteindre des données gérées par Bleu, entité française ? La réponse n’est pas tranchée en droit en 2025.

L’ANSSI n’avait pas encore attribué la qualification SecNumCloud 3.2 à ces offres à la fin 2025. Leur inclusion dans le contrat Cloud III de la Commission européenne (Proximus avec S3NS) suggère que le niveau SEAL-3 est compatible avec ce modèle hybride — mais les critères exacts de cette évaluation ne sont pas publics.

Ce débat n’est pas tranché : il révèle que la frontière entre “souverain” et “de confiance” est autant politique que juridique.

Forces et limites : les trade-offs factuels

Ce que le cloud souverain européen offre réellement

Conformité réglementaire native : un opérateur EU-registered (OVHcloud, Scaleway, Outscale, T-Systems, Orange Business) n’est pas soumis au CLOUD Act. Pour les secteurs réglementés — santé, défense, administration, finance —, c’est un avantage structurel que les hyperscalers US ne peuvent pas répliquer sans renoncer à leur statut américain.

Certifications accumulées : SecNumCloud 3.2 (Outscale, Orange Business) et le futur EUCS créent une barrière de confiance auditable pour les administrations et certains clients privés. Ces certifications exigent des audits sur site et une transparence que les opérateurs US ne peuvent pas fournir dans le même cadre réglementaire.

Pricing GPU compétitif : OVHcloud affiche ses instances H100 PCIe à 2,80 €/h contre environ 11,50 €/h pour AWS (instance p5.48xlarge, ~12,25 $/GPU/h au cours de 2024) — soit un rapport de 1 à 4 [données janvier 2024, sujettes à révision]. L’écart s’explique par des coûts d’infrastructure inférieurs, une politique de prix agressive et un positionnement anti-hyperscaler structurel.

Écosystème modèle + infrastructure : les partenariats Scaleway × Mistral AI, OVHcloud × Mistral (architecture de référence AI Deploy), Outscale × Mistral (Le Chat SecNumCloud 3.2) créent une chaîne franco-française dont aucun hyperscaler US ne peut se prévaloir.

Ce que le cloud souverain européen ne résout pas

Retard GPU structurel : la capacité GPU totale des acteurs EU reste sans commune mesure avec celle des hyperscalers US. AWS, Azure et Google ont chacun dépensé plus de 50 milliards de dollars en capex IA en 2024. L’AI Factory Munich de T-Systems, à 1 milliard d’euros, représente environ 2 % des investissements annuels d’un seul hyperscaler.

Dépendance hardware NVIDIA : tous les acteurs EU déploient des GPU NVIDIA (H100, Blackwell). Le silicium est américain ou taïwanais, la supply chain est mondiale. La souveraineté est donc juridique et opérationnelle — pas technologique au niveau du matériel. Pour les détails géopolitiques de cette dépendance, voir l’article [supply-chain-semiconducteurs].

Fragmentation des offres : Gaia-X n’a pas abouti à des APIs interopérables. Un client utilisant OVHcloud ne migre pas facilement vers Scaleway, et encore moins vers Outscale. Cette fragmentation oblige à jongler avec des interfaces incompatibles et contraste avec la standardisation des hyperscalers.

Part de marché stagnante : les fournisseurs EU représentent 15 % du cloud européen en 2022-2025, contre 70 % pour les trois hyperscalers US (Synergy Research Group). Cette proportion ne s’est pas améliorée malgré les initiatives réglementaires.

En clair : le cloud souverain européen offre une protection juridique réelle et un pricing compétitif sur le GPU. Il ne peut pas encore rivaliser en capacité brute avec AWS, Azure ou GCP. C’est un choix de conformité et de valeurs autant qu’un choix de performance.

Matrice de décision — quel cloud pour quel besoin

Quelques règles pratiques :

• Commencer par clarifier la question réglementaire : dans les secteurs non réglementés (startup, e-commerce, médias), le cloud localisé est souvent suffisant. Dans les secteurs réglementés (santé, finance, défense, administration), la question de la certification est souvent non négociable.
• Auditer les certifications demandées par les clients : SecNumCloud 3.2 est une condition d’accès à certains marchés publics français, pas une option.
• Le prix GPU n’est pas tout : OVHcloud affiche 2,80 €/h contre 11,50 €/h AWS. Mais les services managés, les outils DevOps et les intégrations disponibles sur AWS peuvent justifier l’écart pour des équipes expérimentées avec ces outils.
• Ne pas confondre “cloud de confiance” et “cloud souverain” : les deux labels ne garantissent pas le même niveau de protection juridique. Demander le statut de qualification ANSSI.

Ce qu’on retient en 2026

Le cloud souverain européen n’est pas une alternative inférieure aux hyperscalers US — c’est une réponse à des contraintes différentes. La Commission européenne a validé ce positionnement en avril 2026 en attribuant 180 millions d’euros à des opérateurs EU selon des critères de souveraineté SEAL-3. Outscale prouve qu’il est possible de combiner certification gouvernementale et GPU IA en environnement SecNumCloud. T-Systems et Scaleway montrent que la capacité de calcul souveraine monte en puissance, même si l’écart avec les hyperscalers US reste considérable.

La vraie question pour 2027-2030 est ailleurs : l’EU Cloud and AI Development Act triplerait-il effectivement la capacité des datacenters européens ? Et dans ce cas, à quelle vitesse les certifications de souveraineté — aujourd’hui fragmentées par pays — convergeront-elles vers l’EUCS à l’échelle du continent ?

Pour l’instant, la souveraineté est juridique et opérationnelle. Elle n’est pas encore technologique : les GPU restent américains, et la supply chain qui les produit reste taïwanaise-américaine.