La bataille des clouds pour la souveraineté

Selon un rapport de la cour des comptes sur la souveraineté, sur les 3 milliards d’euros du budget numérique de l’Etat, seulement 6,1 millions €/an (55 M€ en neuf ans) vont vers les clouds souverains internes Pi et Nubo développés respectivement par le ministère de l’Intérieur et par le ministère des Finances. Pour rappel, Nubo s’appuie la version communautaire OpenStack, contrairement à Pi qui dépend en partie de Red Hat avec OpenShift. La cour des comptes reconnait que ces deux infrastructures restent peu utilisées, non seulement par les services des ministères qui les ont créés, mais aussi par les autres administrations. Elle met en exergue une gamme des services limitée (en termes de disponibilité, d’expérience utilisateur ou de capacité à recourir à l’IA) et une tarification inadaptée. D’ailleurs, pourquoi s’acharner à créer de toutes pièces deux offres souveraines basiques – IaaS principalement - alors qu’ils en existent déjà sur le marché chez des fournisseurs français bien connus. Comme le rappellent certains de nos interlocuteurs interviewés dans ce dossier, ce n’est pas le rôle de l’état de se substituer aux fournisseurs français.

Plus globalement, ce rapport met en exergue la grande dépendance de l’Etat envers les solutions informatiques extra-européennes. Un seul exemple pour l’illustrer : la plateforme des données de santé (connue sous le nom de Health Data Hub) qui est toujours hébergée - depuis plus de cinq ans - par Microsoft en région parisienne et qui dispose de cette certification HDS. Dans le secteur privé, c’est le même constat, le marché du cloud en Europe est dominé à 70% par les trois hyperscalers AWS, Azure ou Google Cloud, par exemple, la majorité les start-ups de la French Tech sont hébergées chez ces trois grands acteurs. Selon la cour des comptes, la difficulté pour les fournisseurs européens est que les entreprises américaines profitent d’un effet d’échelle avec des coûts fixes élevés et des coûts variables faibles qui leur permettent de croître rapidement. Cette barrière à l’entrée complique la concurrence, d’autant plus que, selon le Synergy Research Group, les fournisseurs américains continuent d’investir plus de 4 Md€ chaque trimestre dans des programmes d’investissement européens.

Et l’Europe, dans tout ça ?

La souveraineté, c’est un serpent de mer rempli de paradoxes et contradictions au niveau de l’Etat français mais aussi au niveau de l’Europe qui sont critiqués pour en faire trop ou pas assez selon les uns ou les autres. Récemment une coalition transpartisane de 38 députés européens ont adressé cette lettre à la présidente Roberta Metsola qui recommande de remplacer des technologies et solutions propriétaires extra-européennes par des alternatives souveraines et/ou open source au sein du parlement européen, dans cet exemple, on parle aussi des claviers et des souris. Cela apparaît presque anecdotique au regard des pays de toute l’Union européenne, dans son ensemble qui se trouve dans une situation de dépendance critique face aux fournisseurs américains. Selon le Cigref, 80 % des dépenses européennes en logiciels et en services cloud professionnels, soit 265 milliards d’euros, bénéficient à des entreprises américaines. Et pourtant, le discours de l’Europe est très offensif sur la souveraineté et ses réglementations restent dissuasives ; preuve en est la dernière amende infligée en septembre dernier à Google de 2,95 milliards d’euros pour abus de position dominante dans le secteur de la publicité en ligne. Malgré tout, d’un autre côté, elle semble céder du terrain, par exemple, sur l’IA Act à cause de la pression américaine et de son chantage vis-à-vis des droits de douanes. Est-ce une bonne chose ? Oui, non, chacun a sa propre opinion. Une chose est sûre, l’Europe a multiplié les réglementations depuis le vote du RGPD en 2016 entre les DSA, DMA, Data Act, IA Act, Cyber Resilience Act, etc. A tel point que même les entreprises européennes sont pénalisées par toutes ces exigences et ne peuvent pas évoluées à un rythme aussi soutenu que leurs homologues américaines. Ajoutons à cela, les exigences franco-françaises comme la qualification SecNumCloud créée par l’Anssi qui est certes un argument différenciant en termes de sécurité pour répondre à certains appels d’offres français mais qui peut être perçue comme un frein à la souveraineté par certains. À l’heure actuelle, dans la liste des services ayant obtenu la qualification SecNumCloud (observatoire SecNumcloud décembre 2025), 16 ont le précieux sésame dont une seule offre PaaS, celle de CloudTemple sous OpenShift, la majorité restante sont des services IaaS et SaaS. Quant au surcoût d’exploitation d’une infrastructure SecNumCloud par rapport à un hébergement cloud traditionnel, elle est estimée à +30 % voire + 40%. Ceux qui se frottent à cette qualification le reconnaissent, c’est un processus exigeant qui dure deux à trois ans et qui coûte effectivement cher comme le reconnaît Georges Esteves, directeur technique de Cheops Technology, le fournisseur avait d’ailleurs entamé le processus pour son offre Hyper IaaS mais l’avait stoppé par la suite.

Un score de souveraineté pour remplacer l’EUCS  ?

Finalement, en octobre dernier, en parallèle à son appel d’offres de 180 millions d’euros pour des services cloud souverains, la Commission Européenne dévoilait un outil (Cloud Sovereignty Framework) pour mesurer le score de souveraineté des offres des fournisseurs à destination des autorités passant des marchés publics. Ce référentiel pourrait même succéder à l’EUCS, cette norme officiellement toujours en discussion laquelle devait renfermer le niveau supérieur (High +), équivalent aux exigences du SecNumCloud, bref un vrai micmac. A peine dévoilé que ce référentiel était déjà critiqué notamment par l’association Cispe qui regroupe les fournisseurs de cloud européens, elle est montée au créneau en jugeant cette méthode opaque et, en l’état, favoriserait plutôt les hyperscalers étrangers en obtenant de meilleures notes que les opérateurs européens. Pour l’association, cette démarche est même intentionnelle pour aider les organismes du secteur public à ne pas résilier leurs contrats existants avec AWS, Microsoft et Google Cloud. De même, certains objectifs sont jugés irréalisables comme le contrôle total de l'UE sur chaque composant matériel. Sur le score de souveraineté, le Cispe estime qu’en créant une moyenne de moyennes pondérées, l’UE s’éloigne un peu plus de la transparence. Laurent Cheyssial, directeur technique et innovation de Free Pro juge ce référentiel peu abouti et qu’il a été créé comme une sorte de compromis favorable aux Gafam. Un avis que partage aussi Georges Esteves qui souligne un manque de coefficient sur les pondérations. De son côté, Olivier Beaudet, directeur général de Claranet juge au contraire que ce framework détaillé en octobre dernier ne favorise clairement pas les clouds américains et qu’il s’affiche comme un substrat à la qualification SecNumCloud bien trop contraignante pour une majorité d’entreprises souhaitant aussi faire valoir leur souveraineté sans investir dans une certification coûteuse. De son côté, Sébastien Lescop, dg de Cloud Temple temporise : « Je trouve l’initiative européenne courageuse dans cet environnement où il faut trouver un consensus à 27 pays et faire face en parallèle à la pression des lobbys des GAFAM ». In fine, la future loi sur le développement du cloud et de l’IA (Cloud and AI Development Act - CAIDA) prévue pour le printemps prochain devrait peut-être mettre tout le monde d’accord en définissant ce qu’est la souveraineté en matière de cloud, en tout cas, elle promet de renforcer la capacité souveraine de l’Europe dans ce domaine en s’inspirant d’ailleurs sur le référentiel Cloud Sovereignty Framework. x

Selon une étude Ifop réalisée en octobre dernier pour Acteurs Publics et Nuage Public, 74% des DSI déclarent que la souveraineté est un critère essentiel de choix dans les projets clouds, ils mettent surtout en avant leurs préoccupations en matière de sécurité, de conformité et de localisation des données, mais l’étude ne précise pas les critères réels liés à la souveraineté. Car aujourd’hui, tous les acteurs se disent directement ou indirectement souverains même le géant américain AWS qui a lancé cet été son offre estampillée European Soveraign Cloud. Cette dernière sera certes opérée en Allemagne, mais elle n’échappera de toute façon pas aux lois extraterritoriales américaines (Cloud Act et Fisa). D’ailleurs, un long avis juridique commandé par le ministère allemand de l'Intérieur, rendu public, indique comment les lois américaines permettent aux agences US d'accéder aux données hébergées en Europe sur les infrastructures d’acteurs américains. Et même les données chiffrées peuvent être menacées si le fournisseur est contraint de transmettre les clés de déchiffrement selon cet avis. Oracle a aussi présenté son offre présentée comme souveraine pour la France avec un hub de datacenters en Allemagne et en Espagne.

Et que dire des deux acteurs français : Bleu (détenu par Orange et Capgemini) et S3ns (alliance entre Thales et Google Cloud) qui distribuent respectivement les services dAzure et GCP et qui se sentent protégés par les lois européennes. Sur leur site, les deux acteurs ne parlent pas à proprement parler de souveraineté, mais s’identifient d’abord comme des clouds de confiance sécurisés et indépendants. Si S3ns vient d’obtenir sa qualification SecNumCloud (3.2) par l’Anssi pour son cloud Premi3ns, Bleu pourra bientôt faire valoir la sienne début 2026 (certification actuellement au niveau du jalon 1). En juin dernier, Vincent Strubel, directeur général de l’Anssi répondant à une audition au Sénat, avait indiqué : « la technologie Microsoft tournant dans un cloud Bleu – on pourrait dire la même chose de S3ns avec la technologie Google – ne sera pas soumise à la captation, au titre du Cloud Act ou du FISA ». A l’opposé, de nombreux détracteurs assurent bien sûr le contraire. Une chose est sûre, ces deux clouds séduisent, S3ns compte déjà des clients prestigieux comme Matmut, Club Med ou encore EDF. De son côté, Bleu s’est même récemment illustré dans l’actualité, en effet, après EDF, c’est au tour de l’avionneur français Dassault Aviation de choisir son cloud public pour accéder aux outils de Microsoft (Azure et Office 365). Et pour se rassurer, le fabricant du Rafale envisage d’obtenir l’homologation, diffusion restreinte, pour certaines fonctionnalités clés déployées dans le cloud de Bleu. Cette étape supplémentaire devrait théoriquement permettre de garantir un niveau de sécurité encore plus élevé, adapté aux exigences spécifiques de l’industrie de la Défense. Cet accord intervient quelques semaines après celui de SAP avec Bleu lors du dernier sommet franco-allemand sur la souveraineté numérique qui s’est tenu en novembre dernier à Berlin. A ce titre, l’USF (club des utilisateurs SAP francophones) s’est plutôt réjouit d’un tel accord mais aimerait aussi que Bleu ne soit pas la seule option possible pour l'hébergement de SAP.

Vers une indépendance technologique

De l’autre côté de l’échiquier, de Numspot à Outscale en passant par Cheops Technology iCod, Clever Cloud, Free Pro, Scaleway et Cloud Temple, on défend la « vraie » souveraineté en mettent en avant le plus souvent des socles créés avec des briques ouvertes, auditables et réversibles par conception, et opérés sur des infrastructures réellement françaises et/ou européennes. Des services qui ne seront en aucun cas soumis au Cloud Act et à la loi FISA. « Chez Scaleway, la souveraineté est associée à une immunité totale par rapport aux lois extraterritoriales et extra-européennes, nous ne disposons pas de filiales à l’étranger », revendique Damien Lucas, directeur général de Scaleway. Sur ce point, nous observons aussi la contradiction de la souveraineté, OVH Cloud a récemment été sommé par une juridiction de l'Ontario d’ouvrir ses données stockées sur des serveurs en France, au Royaume-Uni et en Australie, cette question de l’extraterritorialité des lois n’est pas uniquement l’apanage des réglementations américaines (Cloud Act, Fisa,…), d’autres pays s’en servent.

Pour le dirigeant de Scaleway, la souveraineté est également associée à une indépendance technologique. « Cela passe par l’usage de nombreuses briques en open source mais aussi par des développements internes, notre métier est de développer du logiciel. Bien sûr, nous nous appuyons sur nos propres infrastructures dans des datacenters français (dont quatre détenus par OpCore, joint-venture entre Iliad et InfraVia) ». Enfin, Damien Lucas positionne l’aspect RSE faisant partie intégrante de la souveraineté en mettant en avant une énergie fournie par EDF et des systèmes refroidissement économes (comme l’usage de la technologie adiabatique). Complémentaire aux services de Scaleway, Free Pro, l’autre filiale d’Iliad se positionne plus sur le cloud privé et hybride souverain en mettant aussi en avant sa future qualification SecNumcloud, sûrement en 2026. Pour Laurent Cheyssial, directeur technique et innovation de Free Pro, ce processus, certes exigeant, est un gage de confiance et de pérennité dans le temps. « Les labels comme HDS, Iso 27001 et SecNumCloud sont devenus nécessaires pour adresser les ministères et certains organismes de l’Etat, ils nous apportent cette notion de confiance. La qualification SecNumcloud demande du temps et de l’argent mais en retour, elle nous fait progresser vers les autres réglementations comme Nis2 par exemple. » Si le cloud est bien le sujet qui suscite le plus de débat et de paradoxe, pour Olivier Beaudet, directeur général de Claranet, le vrai sujet doit se jouer sur l’autonomie et l’indépendance des choix technologiques avant tout pour garder le contrôle des données et que le service ne soit pas stoppé par un pays tiers.

A l’indépendance technologique, Sébastien Lescop, DG de Cloud Temple ajoute la pérennité et la sécurité, d’être un tiers de confiance pour ses clients. « Cloud Temple est un éditeur de logiciels avec une stratégie open source marquée, nous ne dépendons pas d’un fournisseur sur la partie matérielle. De plus, depuis notre création en 2017, nous fournissons une plateforme ultra sécurisée à l’échelle et répondons ainsi aux entreprises qui veulent protéger leurs données sensibles, notre objectif est donc de perdurer dans le temps avec nos acquis, tout en restant compétitif face à nos concurrents américains. » A noter que Cloud Temple a récemment été certifié au plus haut niveau de Gaia-X, le level 3, ce qui identifie aussi le fournisseur aux plus hauts standards européens de sécurité, de transparence, d’interopérabilité et d’indépendance technologique.

OVH, Free Pro, Outscale, Scaleway, et même des GIE de grandes banques françaises... les clouds publics et/ou privés dits souverains existent, mais au vu des investissements engagés chez les grands faiseurs américains du cloud, il est impossible pour un acteur français et même européen de s’aligner pour offrir une palette de services aussi vaste. Comme le reconnait Damien Lucas, directeur général de Scaleway, la force des hyperscalers surtout d’AWS et de GCP réside dans la diversité de leurs boites à outils en prenant l’exemple d’AWS et ses plus de 600 instances et services aujourd’hui. « J’estime que nous sommes à environ 30 % de ce que possède AWS en termes de services, cela nous permet quand même de couvrir près de 85 % des usages », précise le dirigeant de la filiale d’Iliad. Pour Olivier Beaudet, directeur général de Claranet, il est illusoire de croire que l’on va réussir à créer un géant mondial depuis l’Europe : « C’est une utopie, la distance est bien trop grande, peut-être que la bonne stratégie est d’être un fast-follower, de répliquer assez rapidement un modèle qui marche et de l’amender sur le plan technique et tarifaire. » Et surtout de le faire avec ses propres moyens, un peu comme OVHCloud qui ne souhaite pas assuser des investissements massifs dans des GPU Nvidia, mais plutôt se focaliser sur des capacités d'inférence exploitant des accélérateurs SambaNova. A l’opposé, Scaleway, en tant qu’acteur européen, se veut être présent à la fois sur l’inférence mais aussi sur l’entraînement d’où l’annonce récente d’instances GPU avec les B300 Blackwell Ultra de Nvidia.

A chacun son rythme

Si Scaleway ou OVH Cloud apparaissent être des acteurs européens déjà bien armés face aux géants américains, ce n’est bien sûr pas le cas de tous les fournisseurs qui n’avancent pas au même rythme. Par exemple, Numspot, plutôt encore dans une phase de construction, s’appuyait déjà, depuis un moment, sur l’IaaS d’OutScale (filiale de Dassault Systèmes, qui est également actionnaire de NumSpot), qualifié SecNumCloud. Plus récemment, en avril dernier, il avait lancé son PaaS autour d’OpenShift, Kubernetes et PostgreSQL et qui est en quelque sorte en redondance avec OutScale, qui dispose aussi de sa propre feuille de route sur Kubernetes avec OKS et sur le PaaS. Face à ce constat, Eric Haddad, président de Numspot a donc décidé d’ouvrir cette plateforme adossée à Outscale pour la rendre portable et déployable sur d’autres fournisseurs de cloud français, européens ou sur du cloud privé. Basée sur Kubernetes, elle propose un ensemble de ressources (calcul, stockage, réseau) et des services de PaaS (base de données, protection des secrets et gestion des identités IAM) administrés depuis une console unique. L’ambition avec cette plateforme cloud as a service est de conquérir le marché européen en s’alignant sur les référentiels de cloud de confiance de chaque pays (C5 en Allemagne, ENS en Espagne, ...). Des discussions seraient en cours avec des sociétés en Allemagne, Espagne et Italie.

Citons également l’opérateur cloud ITS Integra, qui avance ses pions dans le PaaS avec son offre sous Kubernetes, retenue par BPI dans le cadre du plan France 2030 et qui est, elle-aussi, en cours de qualification SecNumCloud. De son côté, Free Pro, filiale d’Iliad se positionne clairement comme un acteur du cloud privé de confiance et de proximité en mettant en avant sa complémentarité avec sa grande sœur du cloud public Scaleway via la connexion dédiée Interlink mais aussi par sa capacité à proposer un ensemble de services d’exploitation opéré en local au travers de son offre XPR (sécurité, PRA, téléphonie, réseau, migration, etc.) et de solutions d’infrastructures logicielles comme le support de VCF 9.0 étant donné que Free Pro est un partenaire certifié Pinnacle, le plus haut niveau du programme Broadcom Advantage Partner. « De nombreux clients restent fidèles à VMware et de notre côté, nous avons cette capacité à accueillir leur infrastructure virtualisée dans un environnement souverain », confirme à ce titre Laurent Cheyssial, directeur technique et innovation de Free Pro. Quant à Cloud Temple, le fournisseur peut déjà faire valoir son Paas sous Openshift qualifié SecNumcloud, il propose aussi en parallèle une offre sous VMware et une autre sous un fork de Xen (Vates XCP-ng). L’évolution de son offre est surtout marquée par sa marketplace qui s’enrichit progressivement de nouveaux services et solutions autour des bases de données et de la sécurité par exemple, sur ce point, Cloud Temple suit en quelque sorte les recommandations du catalogue de la Dinum. Enfin, chez Cheops, on package des offres clouds bien ficelées et managées qui répondent surtout aux besoins des PME et ETI.

Bigger is better, pas simple de déroger encore à cette règle aujourd’hui chez de nombreux décideurs IT qui préfèrent jouer la carte de la facilité en s’offrant les services des trois hyperscalers. Une chose est sûre, il est parfois difficile pour nos interlocuteurs interviewés de comprendre leurs choix, et pour aller dans leur sens, nous avons souvent constaté lors de nos IT Tour - ces matinées rencontres avec les décideurs IT organisées par Le Monde Informatique dans plusieurs villes (https://www.it-tour.fr/) - que certains DSI nous rappelaient, eux-mêmes, qu’ils étaient plus simples d’aller chez les grands faiseurs américains car ils n’auraient pas à subir les foudres de leur direction et de leurs collaborateurs même en cas d’incidents majeurs. A contrario, s’ils avaient choisi des solutions souveraines locales ou nationales et qu’une panne intervenait, leur responsabilité aurait été mise à dure épreuve. Ces affirmations en disent long sur l’état d’esprit vis-à-vis des choix technologiques aujourd’hui. Bref, mieux vaut se fier au cabinet américain Gartner et ses Magic Quadrant qui recensent surtout les solutions américaines les plus reconnues dans le monde. Pour Laurent Cheyssial, CTO de Free Pro, ce qui se passe dans le cloud aujourd’hui, c’est exactement ce qui s’est passé dans les télécoms il y quelques années avec la forte domination de l’opérateur historique France Telecom devenu Orange. Un point que relève aussi Olivier Beaudet, directeur général de Claranet : « Quand AWS a rencontré une panne majeure il y a quelques semaines, les clients sont naturellement impactés, mais pas de problèmes... En revanche, quand cela nous concerne, je peux vous dire qu’ils nous le font savoir. »

Des décideurs plus pragmatiques et qui osent

Toutefois, le dirigeant temporise aussi sur le phénomène du move-to-cloud qui s’est opéré par les grandes entreprises il y a quelques années : « Les entreprises sont plus pragmatiques, elles vont certes aller chercher des services IA chez des grands acteurs qui ont de la puissance de calcul mais pour héberger leur application ERP, elles vont privilégier un cloud plutôt prioritaire, aujourd’hui, les choses ont tendance à s’équilibrer. » Laurent Cheyssial constate aussi que les entreprises deviennent plus attentives aux services de proximité, l’administration américaine sous Donald Trump a été en quelque sorte un accélérateur vers ce changement. « Cela dit, le meilleur succès, c’est lorsque vous démontrez votre vrai gain, par exemple un accompagnement réussi du client dans du lift and shift peut palier en quelque sorte à la faiblesse de votre catalogue face à ceux des géants américains. »

De son côté, Damien Lucas, directeur général de Scaleway entrevoit un réveil qui viendrait du top management, lequel commence à questionner les décideurs IT sur leur indépendance par rapport aux solutions américaines et chinoises. Il met d’ailleurs en avant le choix courageux de France TV qui ne met pas tous ses œufs dans le même panier, il cite aussi la Ville de Copenhague qui a retenu Scaleway pour son projet de modernisation de son infrastructure tout comme Thierry Courcet, DSI de la ville de Toulouse, qui assume de nager à contre-courant et qui va entamer sa vaste migration vers le cloud de Scaleway.

A en croire la dernière étude 2025 de PwC (Cloud Business Survey, réalisée auprès de 1 400 dirigeants d'entreprises et responsables technologiques dans 26 pays de la zone EMEA), 46 % des entreprises françaises citent l’IA comme raison principale d’adopter un cloud souverain, contre seulement 30 % en EMEA. De ce constat, nous comprenons mieux la multiplication des offres IA dites souveraines depuis quelques semaines comme l’hébergeur sarthois DRI qui propose, via sa solution baptisée IA-souveraine.fr, aux entreprises et aux collectivités de créer leurs propres agents. Cette application a même été référencée par la centrale d'achat Gigalis. « Notre plateforme renferme aujourd'hui 80 modèles dont une quinzaine en open source et hébergée par nos soins », nous avait indiqué en novembre dernier Régis Josso, PDG de DRI, et de poursuivre : « Environ 200 agents IA ont déjà été créés. » Bien sûr, DRI garantit l'intégrité des données, lesquelles sont hébergées dans ses datacenters dont celui situé dans le nord du Mans nommé Datagrex. Pour sa part, Jamespot qui édite des solutions collaboratives veut également ajouter une IA pro souveraine à son catalogue et, à terme, la diffuser directement dans ses offres, c’est dans cette optique que l’éditeur a racheté en octobre dernier la start-up Safebrain qui propose en quelque sorte un tchat GenAI sécurisé et souverain pour les entreprises.

Chez Cloud Temple, l’IA souveraine se traduit par le lancement de sa plateforme sécurisée LLM as a service opérée en France et qui rassemble une cinquantaine de modèles et plusieurs services autour de la gestion des tokens. Cheops fournit aussi un environnement sécurisé baptisé iCod Private AI/Dataplatform permettant de créer des projets IA et comprenant des modèles open source et un framework complet (Langchain). De son côté, Scaleway va plus loin en construisant une infrastructure souveraine complète autour de la data et l’IA ; par la data déjà avec le rachat de Saagie et le support de multiples technologies comme Kafka ou encore OpenSearch. Quant à l’IA, les annonces récentes faites lors de l’événement AI Pulse 2025 montre clairement ses avancés en termes de souveraineté avec l’accord renforcée avec Mistral. Ainsi, tous les modèles sont désormais supportés, de même que ses autres produits comme AI Studio pour créer des flux de travail personnalisés, Code dans le but d'accélérer le développement de logiciels, et Document AI afin d'automatiser le traitement des documents. Un accord qui vient s’ajouter à celui de H et son modèle Holo 2 et à l’intégration du programme Inference Provider de Hugging Face en septembre dernier. A noter que le cloud privé de Free Pro, l’autre filiale d’Iliad profite bien sûr des moyens mutualisés de Scaleway pour sa stratégie IA.

La menace cyber n'est plus une hypothèse, mais une réalité opérationnelle quasi-quotidienne pour les organisations de toute taille et de tout secteur. L'intelligence artificielle est au cœur de cette transformation : elle constitue à la fois un accélérateur de risques, mais également un levier défensif essentiel. L'IA est devenue un acteur à double tranchant qui redéfinit les règles du jeu pour les attaquants comme pour les défenseurs. Face à cette nouvelle donne, où l'automatisation des menaces devient la norme, quelle stratégie adopter pour protéger l'actif le plus précieux des organisations : leurs données ?

L'IA, accélérateur de menaces

Aujourd’hui, pour toutes les organisations, appréhender la nature évolutive des cybermenaces est un impératif stratégique. Deux phénomènes majeurs redéfinissent ce paysage. Le premier est l’intensification des attaques : non seulement leur volume croît, mais leur taux de réussite augmente également, et touche indistinctement tous les secteurs, de la santé à la finance.

Le second est l’essor de l'intelligence artificielle comme multiplicateur de risques. D'une part, elle génère de nouvelles surfaces de vulnérabilité, l’usage croissant de l’IA agentique devenant une cible de choix pour les cybercriminels. D'autre part, elle perfectionne et industrialise les méthodes d'attaque. Désormais, les machines automatisent les tentatives d’intrusion. Pourtant, aussi sophistiquées soient-elles, ces menaces externes proviennent la plupart du temps de vulnérabilités internes aux organisations.

Quand la menace vient de l'intérieur et de la réglementation

La forteresse numérique traditionnelle, protégée par de simples firewalls, est un concept dépassé. Les risques les plus insidieux sont aujourd'hui internes, qu'ils soient humains ou technologiques, et sont amplifiés par une pression réglementaire croissante qui exige une approche de sécurité plus holistique.

Le phénomène du shadow IA illustre bien ce risque. Des collaborateurs, en quête d'efficacité, utilisent des outils d'IA publics sans validation interne, et exposent ainsi contrats et données sensibles sur des plateformes échappant à tout contrôle. Or les données constituent le premier actif stratégique des entreprises et ne doivent pas être confiées à n’importe quel acteur. À cela s’ajoute la vulnérabilité persistante des postes de travail, qui rend nécessaire le déploiement de solutions de détection et réponse sur les terminaux (EDR), d'orchestration de la sécurité (SOAR) et d’analyse comportementale (UEBA).

Enfin, le renforcement du contexte réglementaire européen (NIS2, Dora) ajoute une pression supplémentaire. Car loin d’une contrainte, il représente le vecteur d'une démarche stratégique essentielle – l’occasion unique de se poser les bonnes questions en matière de sécurité des données en identifiant et cartographiant les principales données critiques des organisations. Dès lors, dans un paysage défini par des vulnérabilités internes et des mandats réglementaires externes, la souveraineté cesse d’être une préférence pour devenir le pilier de la résilience d’entreprise.

La souveraineté comme réponse stratégique

Dans ce contexte, la souveraineté numérique, qui garantit la maîtrise complète des données et des infrastructures qui les hébergent, est passée du statut d’effet de mode à celui de critère de sélection indispensable. Elle constitue aujourd'hui le pilier de la confiance entre une entreprise et ses partenaires technologiques.

Cette exigence n'est plus théorique. Une récente enquête d'Hexatrust révèle que près de 80 % des entreprises françaises intègrent la souveraineté dans leurs appels d’offres. Plus révélateur encore, la moitié d’entre elles a déjà écarté une solution faute de garanties suffisantes. Cette tendance de fond s'explique par la prise de conscience des risques liés aux législations extra-européennes, tel le Cloud Act américain, qui peuvent permettre un accès légal et une gestion de données sensibles hébergées par des fournisseurs étrangers.

Pour Free Pro, la réponse à ces enjeux repose sur un triptyque de confiance : la maîtrise des technologies, des lieux d'hébergement et des équipes. Cette vision se traduit par des garanties concrètes en matière de :

• Localisation : L'ensemble des datacenters, des infrastructures et des équipes Free Pro sont situés en France. • Technologie propriétaire : La Solution Cyber XPR s'appuie sur ITrust, son centre d’expertise cybersécurité et sa technologie souveraine d’intelligence artificielle Reevelium. Cet outil SIEM/SOC UEBA/XDR permet de détecter les menaces au plus tôt, afin de prévenir les dommages causés aux organisations. • Maîtrise de bout en bout : Free Pro contrôle l'intégralité de la chaîne de valeur de la donnée, de la collecte, à l’hébergement et de l’exploitation à la sécurisation.

C’est cette philosophie de maîtrise qui se concrétise opérationnellement à travers la Solution Cyber XPR.

Cyber XPR : une approche de sécurité à 360 degrés

La Solution Cyber XPR est la matérialisation de l'engagement de Free Pro en faveur d'une cybersécurité souveraine, intégrée et complète. Elle est conçue pour couvrir l'ensemble du cycle de vie de la sécurité, selon un modèle structuré en trois temps.

• Jour 0 : Audit et diagnostic / scan de vulnérabilité. Cette première étape est dédiée à l'analyse des vulnérabilités existantes. Elle permet de cartographier les données critiques de l'entreprise — son fameux « or noir » — afin de définir des priorités claires en matière de protection. • Jour 1 : Mise en place technique. Une fois le diagnostic établi, les équipes procèdent au déploiement des agents de sécurité et à l'intégration des différents flux d'information dans le SIEM, pour une installation simple et maîtrisée. • Jour 2 : Exploitation continue. Dès le déploiement achevé, la surveillance devient permanente. Les incidents de sécurité sont supervisés en continu par le SOC (Security Operations Center) d'ITrust, qui assure la prévention, la détection et le traitement des menaces, et les technologies d’UEBA (analyse comportementale usagers et entités). En parallèle, les infrastructures sont surveillées 24/7 par le Centre des Opérations de Free Pro, un service inclus pour l’ensemble des clients. Cette double supervision est fondamentale : Free Pro va bien au-delà de la fourniture d’infrastructures pour apporter une sécurité opérationnelle complète et un accompagnement quotidien.

La crédibilité de cette approche est renforcée par un engagement fort en matière de certifications (ISO 27001, HDS) et de démarches qualité, notamment avec la démarche de qualification SecNumCloud initiée en janvier 2024 pour l’offre Dedicated Secure Cloud de sa Solution Cloud XPR.

De la dépense contrainte à l'investissement stratégique

L'ère de l'intelligence artificielle impose un changement de paradigme en cybersécurité. Face à des menaces automatisées et de plus en plus sophistiquées, la réponse ne peut être que stratégique, souveraine et intelligente. Face à l'objection récurrente du coût, la réponse de Free Pro ne consiste pas à tout sécuriser uniformément, mais à demander aux organisations de concentrer leurs efforts sur les données critiques en leur dédiant des infrastructures souveraines et sécurisées.

Loin d'être seulement une arme pour les attaquants, l'intelligence artificielle est ainsi réintégrée au cœur des solutions défensives, à l'image des technologies de machine learning et d'UEBA utilisées par Free Pro pour détecter les signaux faibles d'une intrusion. C’est là le rôle d'un partenaire souverain : non de déresponsabiliser, mais de fournir les outils de défense appropriés et d’inciter ses clients à rester acteurs de leur protection.

Dans un contexte où les enjeux de souveraineté numérique et de continuité de service sont devenus prioritaires pour les DSI, Free Pro mise sur un ancrage territorial fort et une organisation opérationnelle entièrement française. Cette stratégie repose sur deux piliers : un Centre des Opérations disponible en continu et un réseau d'agences déployé sur l'ensemble du territoire national.

Un centre névralgique basé à Marseille

Au cœur du dispositif opérationnel de Free Pro se trouve le Centre des Opérations, implanté à Marseille. Véritable tour de contrôle, cette structure assure une surveillance permanente des infrastructures clients en 24/7. Pour les DSI confrontés à des exigences de disponibilité élevées, cette continuité opérationnelle constitue un argument de poids.

Le centre assume quatre missions essentielles.

• La surveillance des systèmes repose sur des outils de monitoring avancés permettant la détection précoce d'anomalies. • L'anticipation se traduit par la gestion proactive de tâches récurrentes, telles que le contrôle des sauvegardes ou les mises à jour de sécurité, réduisant ainsi les risques d'incidents. • En cas d’incident, l'équipe intervient rapidement pour assurer la reprise des services et garantir la continuité d'activité des clients. • Enfin, la dimension préventive se matérialise par une communication transparente auprès des clients concernés par un incident, ce qui évite les mauvaises surprises. Par ailleurs, rappelons que les clients peuvent appeler en mode « préventif » le COP – par exemple, en cas de pics d’activité sur un site, etc.

Cette approche proactive s'appuie sur des équipes pluridisciplinaires composées de techniciens et d'ingénieurs spécialisés dans les domaines du réseau, du cloud et de la cybersécurité. La palette d'interventions s'étend du simple redémarrage d'un site web à l'accompagnement lors de maintenances applicatives critiques, et offre ainsi un niveau de flexibilité appréciable pour des organisations aux besoins hétérogènes.

Un maillage territorial pour une proximité réelle

Si le Centre des opérations assure le socle technique, Free Pro complète son dispositif par un réseau de 10 agences réparties dans les principales métropoles françaises. Cette présence physique permet à l'opérateur de tisser des liens durables avec les écosystèmes économiques locaux, qu'il s'agisse de réseaux professionnels ou de collectivités territoriales.

Ces agences regroupent des équipes techniques et commerciales capables de comprendre les spécificités sectorielles de leurs interlocuteurs. Cette proximité géographique facilite les échanges et permet d'établir une relation de confiance, élément souvent sous-estimé dans les relations client-fournisseur B2B.

L'ancrage territorial répond également à une préoccupation croissante des DSI : la maîtrise de la chaîne de valeur et la réduction des dépendances vis-à-vis d'infrastructures ou d'équipes délocalisées. En concentrant l'ensemble de ses infrastructures et de ses équipes sur le territoire français, Free Pro se positionne sur le terrain de la souveraineté numérique, un argument qui résonne particulièrement auprès des secteurs régulés ou des organisations sensibles aux questions de conformité réglementaire. Ses datacenters, opérés en France, bénéficient des certifications ISO 27001 et HDS (Hébergement de Données de Santé), avec un processus en cours d’instruction de qualification SecNumCloud.

Expertise, proximité et simplicité : trois piliers stratégiques

L'approche de Free Pro repose sur trois valeurs fondamentales qui structurent son offre de services.

• L'expertise, qui se manifeste par la capacité des équipes à traiter des problématiques techniques complexes et de bout en bout, de la gestion d'infrastructures critiques à la sécurisation des environnements cloud. Cette compétence technique est renforcée par une veille constante sur les évolutions technologiques et les menaces émergentes en matière de cybersécurité. • La proximité, quant à elle, ne se limite pas à une présence géographique. Elle implique une connaissance approfondie des secteurs d'activité des clients, une véritable relation de confiance et une capacité à anticiper leurs besoins. Cette démarche permet d'éviter les solutions standardisées inadaptées et favorise une personnalisation des services. • Enfin, la simplicité constitue le troisième pilier de cette stratégie. Free Pro met l'accent sur la co-construction de solutions avec ses clients, en les accompagnant à chaque étape du projet, de la conception à la mise en œuvre opérationnelle. L'objectif affiché est de permettre aux DSI de se concentrer sur leur cœur de métier en leur évitant de gérer des complexités techniques inutiles.

Cette approche globale se traduit concrètement par un accompagnement en amont, pendant et après chaque projet. Pour les DSI, cela signifie moins de temps consacré à la coordination de multiples intervenants et davantage de ressources disponibles pour les initiatives stratégiques.

Un positionnement différenciant sur un marché concurrentiel

Sur le marché des services B2B, où les grands acteurs internationaux dominent souvent par leur taille et leurs moyens, Free Pro se démarque par une proposition de valeur centrée sur la réactivité, la souveraineté et la proximité. Cette stratégie s'adresse particulièrement aux grandes entreprises et aux ETI qui recherchent un partenaire capable de comprendre leurs contraintes spécifiques sans les enfermer dans des processus rigides.

Le modèle opérationnel de Free Pro, articulé autour d'un centre de supervision centralisé et d'un réseau d'agences décentralisé, vise à combiner les avantages de l'industrialisation des processus et de la personnalisation du service. Pour les DSI, cette double dimension peut s'avérer déterminante : bénéficier de la fiabilité d'une infrastructure française et supervisée en continu, tout en conservant un interlocuteur de proximité capable de répondre rapidement aux demandes spécifiques.

Dans un contexte où la transformation numérique impose aux entreprises d'accélérer leur adoption de technologies cloud, de renforcer leur posture de cybersécurité et d'assurer la continuité de leurs services critiques, la proposition de Free Pro résonne avec les préoccupations actuelles des DSI.

Cet équilibre entre excellence opérationnelle et proximité client devrait suffire à convaincre un marché habitué aux standards des grands fournisseurs internationaux. Preuve en est la capacité de Free Pro à démontrer la valeur ajoutée de son modèle différenciant et à assurer le niveau de service promis à l’égard des nombreux clients qu’il accompagne.

Dans un contexte où la dépendance aux géants américains du cloud soulève de plus en plus de questions aux yeux des entreprises françaises et européennes, l’opérateur français développe une stratégie ambitieuse autour de la souveraineté numérique. L'enjeu n'est pas seulement réglementaire : il s'agit pour l’opérateur de proposer aux DSI un cadre de confiance, une infrastructure IT alternative crédible, performante et maîtrisée de bout en bout.

Une infrastructure souveraine de bout en bout

Pour répondre aux préoccupations croissantes des directions informatiques en matière de souveraineté numérique, Free Pro s’appuie sur trois piliers fondamentaux.

D'abord, l'hébergement territorial. L'ensemble des données est hébergé sur le territoire national dans des datacenters gérés et opérés par les équipes de Free Pro, ce qui garantit l'application stricte du droit français et européen. Cette localisation protège les entreprises contre les lois extraterritoriales comme le Cloud Act américain, qui permet aux autorités américaines d'accéder aux données hébergées par des entreprises américaines, même si ces données se trouvent physiquement en Europe. En outre, les datacenters Free Pro, opérés par nos équipes en France, bénéficient des certifications ISO 27001 et HDS (Hébergement de Données de Santé). Sur la partie IaaS, un processus d’instruction en vue d’une qualification SecNumCloud, le label de référence de l'ANSSI pour les solutions cloud de confiance, est en cours.

Ensuite, la maîtrise des réseaux. Free Pro s'appuie largement sur les infrastructures en propre du Groupe iliad de réseau fibre et 5G. Cette autonomie technique assure non seulement performance et faible latence, mais aussi une résilience accrue face aux incidents ou aux ruptures d'approvisionnement qui peuvent affecter les opérateurs dépendants d'infrastructures tierces.

Enfin, l'indépendance capitalistique. Le contrôle de l'entreprise par des capitaux français (Groupe illiad) est considéré comme une condition sine qua non d'une offre véritablement souveraine. Cette dimension, souvent négligée dans les débats techniques, s'avère déterminante pour les entreprises sensibles aux risques géopolitiques.

Leviia : un cas d'usage concret de souveraineté

Le partenariat noué avec Leviia, entreprise française spécialisée dans le stockage cloud, illustre la mise en œuvre opérationnelle de cette stratégie. L'objectif affiché est clair : proposer une alternative cloud souveraine pour la protection du stockage des données capable de rivaliser avec les hyperscalers américains tant sur le plan technique que commercial.

Les fondations de ce partenariat reposent sur plusieurs éléments différenciants :

• Une infrastructure certifiée : les datacenters Free Pro, comme mentionné précédemment, bénéficient des certifications reconnues, telles ISO 27001, HDS (Hébergement de Données de Santé) et PCI-DSS V4, la norme de sécurité des cartes de paiement. La scalabilité industrielle : les infrastructures permettent de gérer plusieurs pétaoctets de données, répondant ainsi à la forte croissance de la demande en sauvegarde, particulièrement sollicitée pour la protection contre les ransomwares. • La performance réseau : le réseau à faible latence et haute disponibilité garantit une expérience utilisateur optimale, un critère déterminant dans l'adoption réelle des solutions cloud. • La transparence tarifaire : contrairement aux hyperscalers dont la facturation est jugée parfois imprévisible en raison de ses frais de requêtes, de bande passante et d'extraction de données, l'offre commune propose des tarifs clairs et sans coûts cachés, une attente forte des DSI échaudés par les factures mensuelles incompréhensibles.

Les défis d'une stratégie de souveraineté

Si la promesse de souveraineté répond à une attente du marché, elle génère néanmoins plusieurs questions stratégiques pour les DSI.

La compatibilité avec l'existant reste un enjeu majeur. Les entreprises ont souvent déjà investi massivement dans des écosystèmes AWS, Azure ou Google Cloud. La migration vers une solution souveraine nécessite non seulement une refonte technique, mais aussi une transformation des compétences internes et des processus. Free Pro peut faciliter la migration douce via ses solutions d’interconnexion directe existantes avec ces acteurs internationaux.

L'amplitude de l'offre constitue un autre défi. Les hyperscalers proposent des catalogues de plusieurs centaines de services couvrant l'ensemble des besoins métiers, souvent complexes à appréhender. Free Pro de son côté, travaille sur l’ensemble de la chaîne de valeur de la donnée et propose des solutions complètes répondant aux besoins des entreprises.

Le rapport performance-prix demeure scruté de près. La souveraineté ne peut justifier à elle seule un surcoût significatif. Les DSI attendent une équation économique favorable, d'autant plus dans un contexte d'optimisation budgétaire généralisée.

Une fenêtre d'opportunité pour les acteurs français

Le contexte réglementaire et géopolitique actuel crée néanmoins une opportunité inédite pour les acteurs français du cloud. Le règlement européen sur la gouvernance des données (Data Governance Act), le Digital Market Act (DMA) et les discussions autour du Data Act renforcent progressivement les exigences en matière de souveraineté numérique.

Parallèlement, les tensions géopolitiques entre l'Europe et les États-Unis, notamment autour de la validité du Bouclier de protection des données UE-Etats-Unis (Data privacy shield) et des transferts transatlantiques de données, alimentent une prise de conscience croissante des risques liés à la dépendance aux fournisseurs américains.

Dans ce contexte, Free Pro dispose d'atouts déterminants : une présence historique sur le marché français, une expertise reconnue en infrastructures réseau, l’engagement dans les standards et référentiels les plus exigeants dont désormais l’engagement dans une qualification SecNumCloud qui l’aidera à développer son accompagnement auprès des marchés publics et des secteurs régulés.

Pour les DSI, l'enjeu n'est plus seulement de choisir un fournisseur cloud, mais de définir une stratégie de souveraineté numérique cohérente avec les ambitions et les contraintes de leur organisation. La proposition de Free Pro offre une alternative crédible qui mérite d'être évaluée sérieusement dans le cadre d'une réflexion cloud privé, multi-cloud ou hybride.