Quatre fournisseurs de services cloud européens - les français Etix, Phocea DC et Thésée Datacenter, ainsi que l'espagnol Gigas - ont adhéré au programme de certification « Sovereign and Resilient Cloud Service » du Cispe (Cloud Infrastructure Services Providers in Europe), une association professionnelle à but non lucratif qui représente les fournisseurs européens de services IaaS (Infrastructure as a Service) auprès des instances européennes et des régulateurs. À l’heure actuelle, ces clouds providers en sont tous au stade de l’autocertification et ont soumis leurs services à un audit indépendant visant à évaluer s’ils répondent aux critères requis. 

L’UE milite activement en faveur d’une forte présence européenne sur le marché du cloud. Les organismes publics craignent de plus en plus que leurs données ne soient exposées à des fournisseurs américains. Le Cloud Act américain (Clarifying Lawful Overseas Use of Data), par exemple, autorise le gouvernement américain à accéder à toute une série de données détenues par des opérateurs de cloud, même si ces données sont stockées en dehors des États-Unis. Cette législation est en contradiction avec le RGPD de l’UE et a suscité des appels en faveur d’une plus grande souveraineté numérique à travers l’Europe.

Un rempart contre le sovereignty washing

« Les organismes publics, les hôpitaux et les opérateurs industriels recherchent aujourd’hui des garanties concrètes en matière de souveraineté numérique. Le label de souveraineté Cispe apporte cette garantie. Il constitue un complément naturel aux normes européennes telles que Gaia-X niveau 3, renforçant ainsi la transparence, la conformité et la confiance numérique. C’est cette capacité à fournir des preuves concrètes, au-delà de la rhétorique, qui sous-tend une véritable autonomie numérique européenne », a déclaré Antoine Fournier, PDG de Thésée Datacenter. 

L’UE tient à se prémunir contre le « sovereignty washing », ces affirmations de fournisseurs de cloud étrangers selon lesquelles ils répondraient aux critères de contrôle locaux. Le mois dernier, le Cispe a mis en garde contre l’affirmation de Broadcom selon laquelle l’entreprise se conformait aux conditions de l’UE. Ce ne sera probablement pas la dernière à faire de telles déclarations.