Souveraineté numérique dans le cloud

La souveraineté numérique ne se résume pas à la conformité au RGPD. L'essentiel est de savoir qui détermine si, où et sous quel droit vos traitements s'exécutent — à travers six leviers : le compute et l'infrastructure, les écosystèmes industriels, les plateformes, les standards, la création de valeur et la position structurelle. La souveraineté ne naît pas dans une couche isolée, mais de l'alignement de l'ensemble.

Le RGPD exige que les données ne quittent pas la juridiction de l'UE ; le CLOUD Act américain autorise les autorités américaines à accéder aux données des fournisseurs sous contrôle américain — indépendamment du lieu de stockage. En juin 2025, Microsoft a déclaré devant un tribunal français ne pas pouvoir garantir la souveraineté face au CLOUD Act. Un centre de données à Francfort ne résout pas ce conflit tant que le fournisseur reste soumis au droit américain.

Le framework SEAL de l'UE définit huit Sovereignty Objectives pondérés et auditables ainsi que cinq niveaux — de SEAL 1 (base) à SEAL 5 (sécurité nationale), en passant par SEAL 2 (données à caractère personnel) et SEAL 3 (infrastructures critiques). Le catalogue C3A v1.0 du BSI, publié le 27 avril 2026, concrétise le framework pour l'Allemagne avec les domaines de critères SOV-1 à SOV-6. La position de souveraineté d'un déploiement cloud peut ainsi être évaluée objectivement et ancrée dans les appels d'offres.

Le chiffrement ne protège que si le fournisseur ne détient pas lui-même les clés : pour les données sensibles, des clés de chiffrement propres — au lieu d'un KMS du fournisseur — font partie des exigences incontournables (C3A SOV-3), complétées par des chemins de sortie documentés pour les données et les services. L'initiative EuroStack montre en parallèle qu'un stack européen existe réellement — du cloud et du compute (OVHcloud, STACKIT, Scaleway) jusqu'aux applications et à l'IA (Mistral, Aleph Alpha).

À la déclaration de l'UE sur la souveraineté numérique (fin 2025) ont succédé l'EU Cloud and AI Development Act puis, en avril 2026, le framework SEAL, accompagné d'un appel d'offres Cloud Sovereignty de 180 millions d'euros et du BSI C3A v1.0. La souveraineté passe ainsi du statut d'argument marketing à celui de catégorie auditable. Attention au sovereignty washing : « les données restent dans l'UE » ne constitue pas une preuve si le siège du fournisseur fait jouer le CLOUD Act.

Premièrement, classifier les workloads selon leur criticité en matière de souveraineté (C3A SOV-1) ; deuxièmement, auditer une baseline au regard des domaines de critères droit, exploitation et chaîne d'approvisionnement. Troisièmement, documenter des plans de sortie pour les chemins de données et de services ; quatrièmement, ancrer les niveaux SEAL comme critère d'attribution dans les RFP — par exemple SEAL 2 pour les données à caractère personnel et SEAL 3 pour les infrastructures critiques. Cinquièmement, établir la maîtrise des clés : des clés de chiffrement propres, pas de KMS du fournisseur pour les données sensibles.