La souveraineté ne se décrète pas, elle se construit

La France apparaît désormais comme le pays le plus avancé dans la construction d'alternatives numériques souveraines, selon les médias américains. Des administrations publiques aux collectivités locales, l'Hexagone multiplie les initiatives pour remplacer les outils de Microsoft, Zoom ou Google par des solutions françaises, européennes ou open source.

Chef de file européen de l'émancipation numérique

Dans un article consacré aux tensions croissantes entre l'Europe et les géants américains du numérique, le magazine américain Wired présente l'Hexagone comme le moteur du mouvement continental visant à réduire la dépendance aux plateformes de la Silicon Valley.

D'après le média américain, qui a notamment interviewé Stéphanie Schaer, la directrice interministérielle du numérique, cette accélération s'explique notamment par le retour de Donald Trump à la Maison Blanche et par les tensions géopolitiques qui en découlent. La dépendance aux technologies américaines suscite de nouvelles inquiétudes en Europe, autant sur la protection des données que sur la capacité des États-Unis à se servir de sa mainmise sur les infrastructures numériques pour peser sur les décisions européennes.

Dans ce contexte, la France apparaît comme le laboratoire le plus offensif de la réplique du Vieux Continent. L'État français a officiellement engagé une transition visant à réduire l'usage des plateformes américaines dans les administrations publiques. D'ici 2027, plusieurs services devront progressivement abandonner des outils comme Microsoft Teams ou Zoom au profit de solutions françaises, européennes ou open source.

Cette stratégie est d'ailleurs déjà en cours de déploiement. Plus de 40 000 fonctionnaires utilisent désormais Visio, une plateforme de visioconférence développée en France. Le gouvernement mise également sur LaSuite, un ensemble d'outils collaboratifs offrant une alternative à Office 365 et porté par la Dinum, la Direction interministérielle du numérique.

L'objectif n'est pas seulement technologique. Pour les autorités françaises, l'enjeu concerne aussi la maîtrise des données sensibles. Les données les plus sensibles des administrations doivent être hébergées en France auprès d'opérateurs certifiés par l'Anssi, l'agence nationale chargée des sujets de cybersécurité. Conformément à cette démarche, le décret d'application très attendu de l'article 31 de la loi SREN - publié mi-avril -, relatif à l'hébergement de données sensibles dans le cloud, impose un hébergement SecNumCloud à un nombre grandissant services de l'Etat.

Une dynamique qui sert d'exemple

Vu des États-Unis, cette stratégie française fait désormais figure d'exemple en Europe. Wired souligne que plusieurs pays européens suivent la même direction, notamment les Pays-Bas, le Danemark ou l'Allemagne. En décembre dernier, huit États européens ont également annoncé un partenariat destiné à renforcer leur souveraineté technologique.

Malgré cette dynamique, l'Europe reste encore largement dépendante des Big Tech américaines. Plus de 80% des dépenses logicielles européennes profitent toujours à des entreprises américaines d'après le rapport « European Software and cyber dependencies » du Parlement Européen.

« Chaque hésitation se paie cash en points perdus d'autonomie stratégique, de résilience numérique et de compétitivité ». La phrase, signée Emmanuel Sardet, le président du Cigref, dit bien l'état d'esprit des troisièmes Rencontres numériques de Strasbourg (RNS), qui se sont tenues du 15 au 17 avril, réunissant plus de 200 dirigeants du numérique, issus de DSI de grandes entreprises et administrations et de fournisseurs, le syndicat patronal du numérique, Numeum, co-organisant cet événement. « A l'évidence, l'Europe a un très grave sujet de rythme d'adaptation au monde tel qu'il se transforme », abonde Henri d'Agrain, le délégué général du Cigref.

De gauche à droite, Véronique Torner, présidente de Numeum, Anne Le Hénanff, ministre déléguée au Numérique, et Emmanuel Sardet, président du Cigref.

Lors des rencontres, dix ateliers ont planché sur un ensemble de propositions, chacun bénéficiant ensuite de 5 minutes de restitutions devant la ministre déléguée chargée de l'IA et du Numérique, Anne Le Hénanff, également présente. Si ces propositions ciblent évidemment les pouvoirs publics, elles concernent également les organisations utilisatrices de technologies, les fournisseurs ou encore le monde académique. Ainsi, les RNS ont permis de travailler sur les KPI associés au lancement d'un projet IA. « L'atelier dédié propose de construire un filtre en amont de tout projet, combinant des indicateurs de retour sur investissement évidemment, mais aussi de durabilité et de risques de pertes de compétences », souligne Henri d'Agrain.

Risques non techniques : l'éclatement

Sur le terrain réglementaire, les participants aux RNS s'inquiètent de l'éclatement des sujets de souveraineté. Notamment de la distinction entre risques techniques d'un côté (les risques cyber en somme) et les risques non techniques de l'autre (la portée des lois extraterritoriales en particulier). Si la France a rassemblé ces deux aspects dans sa certification SecNumCloud, l'Europe adopte une approche plus dispersée.

Les risques techniques sont ainsi couverts par la version 2 du Cyber Security Act (ou CSA 2), tandis que les aspects liés aux obligations extraterritoriales pesant sur des fournisseurs sont, en partie, traités dans un autre volet de ce texte, le ICT Supply Chain Security Toolbox. Sauf que les risques non techniques seront aussi abordés par le Cloud and AI Development Act, texte intégré à un paquet législatif appelé Tech Sovereignty, que la Commission dit être en train de finaliser. Sans oublier, pour les marchés publics, le cadre publié par cette même Commission - le Cloud Sovereignty Framework -, en marge de son contrat de services cloud passé il y a quelques jours.

« Une entreprise a besoin d'un cadre unifié, souligne Henri d'Agrain. La complexité est en train de croître alors qu'il faudrait la rationaliser. Les entreprises ne devraient pas faire les frais de la difficulté de l'Europe à trouver une position commune à 27. » Ni de la lenteur avec laquelle cette position commune émerge.

Après plusieurs mois de concertation, une circulaire sur les achats publics numériques de l'État, officiellement présentée le 5 février à Bercy, lors de l'événement Je choisis la French Tech, a été signée par le Premier ministre. Portée par les ministres Anne Le Hénanff (IA et numérique), David Amiel (Fonction publique et réforme de l'État) et Roland Lescure (Economie, finances et souveraineté industrielle, énergétique et numérique), cette circulaire affirme deux principes clefs. D'abord, avant de se lancer dans un développement spécifique, les services de l'État sont censés examiner les solutions existantes au sein du secteur public - dans une optique de mutualisation -, puis, à défaut, se tourner vers des solutions du marché. Le lancement d'un projet à façon n'est donc que la troisième option possible pour les acheteurs publics.

Ensuite, quand le recours à un logiciel sur étagère est envisagé, la circulaire établit un certain nombre de critères à analyser avant qu'un acheteur public porte sa préférence sur telle ou telle solution. Et, en la matière, la souveraineté apparaît en tête de liste, devant la performance, la sécurité, les coûts, la réversibilité, la maintenabilité et la durabilité. Selon Bercy, ce critère de souveraineté intègre trois notions complémentaires : immunité au droit extraterritorial, capacité à substituer une composante de la solution par une alternative et, enfin, maîtrise des technologies clefs. Le texte ne comprend donc pas explicitement de préférence européenne, que défend pourtant Anne Le Hénanff dans ses déclarations publiques.

La question du contrôle

Si la circulaire, qui porte sur un volant d'achats d'environ 4,5 Md€ par an, entend affirmer une « doctrine », elle fait toutefois l'impasse sur deux éléments clefs. Primo, aucun barème n'est associé aux critères de sélection des offres logicielles. Les acheteurs publics pourront donc apprécier par eux-mêmes l'importance de la souveraineté dans leurs évaluations des offres du marché. Secundo, le texte ne modernise pas les mécanismes de contrôle de la doctrine d'achats IT, alors que de précédentes directives gouvernementales ont largement été contournées, voire ignorées, par le passé.

A ce stade, selon un décret de 2019, seuls les projets de développement dépassant les 9 M€ sont - en théorie - soumis à un avis de conformité préalable de la Dinum, la Direction interministérielle du numérique. Sauf que de nombreux ministères pratiquent l'évitement ou s'y soumettent a posteriori, comme l'Intérieur avec son projet XPN - Scribe. Par ailleurs, ce droit de regard ne concerne pas l'achat de solutions du marché.

Une directive européenne attendue

Entendue en mai dernier par une commission d'enquête du Sénat sur la commande publique, Stéphanie Schaer, la directrice interministérielle du numérique, a certes mentionné un courrier diffusé à tous les ministères leur demandant de soumettre les projets d'achats de solutions à la Dinum, suite à un énième scandale (le renouvellement des licences Microsoft à l'Education nationale). Mais, l'effectivité de cette extension du rôle de la DSI de l'État passe par une révision du décret de 2019, une mise à jour maintes fois évoquée, mais qu'on attend toujours...

Enfin, Bercy ne précise pas la manière dont sa doctrine d'achats numériques va s'aligner avec les textes européens en préparation. La commission travaille, en effet, sur une révision de son cadre juridique en matière d'achats publics, via notamment la refonte d'une directive de 2014. La proposition de directive révisée, attendue pour le second trimestre 2026, entend notamment poursuivre des objectifs en matière d'autonomie stratégique et de soutien à l'innovation.

Selon le Cloud Infrastructure Service Providers Europe (Cispe), les affirmations de Broadcom selon lesquelles elle serait en mesure d’aider les fournisseurs de services cloud européens à mettre en place des solutions souveraines compétitives reposant sur VMware sont exagérées. L’entreprise américaine présente son logiciel VMware Cloud Foundation (VCF) comme la technologie clé du « cloud souverain » de l’Union européenne, mais Broadcom n’est pas la solution aux problèmes de souveraineté technologique de l’Europe, selon le secrétaire général du Cispe, Francisco Mingorance.

« VCF est un produit propriétaire dont l’interopérabilité et la substituabilité sont limitées, contrôlé par un fournisseur étranger qui s’est comporté en tyran envers ses clients et ses partenaires de distribution. Si l’Europe a besoin d’un exemple illustrant les dangers d’une dépendance excessive vis-à-vis d’acteurs étrangers dominants, Broadcom en est l’incarnation même », a déclaré M. Mingorance, selon un article publié sur le site web du Cispe. L'association a invoqué plusieurs raisons pour lesquelles VCF ne répond pas aux critères requis, soulignant en particulier son manque de portabilité. Cela signifie qu’il ne peut être considéré comme résilient au regard du cadre du Cispe pour un cloud souverain et résilient.

Une certification CAIDA niveau 1 uniquement

Au début du mois, l’UE a dévoilé des propositions relatives à son règlement sur le développement du cloud et de l’IA (CADA) visant à renforcer l’économie numérique européenne. La CADA encouragera les investissements dans la recherche européenne, fixera des conditions pour les centres de données européens et fournira un cadre d’évaluation unique à l’échelle de l’UE pour la souveraineté en matière de cloud et d’IA. Le Cispe a déclaré que Broadcom était loin de remplir les conditions proposées par la CADA. Selon l'organisation, le fournisseur ne pourrait obtenir qu’une certification de niveau 1 au titre du cadre de souveraineté du CAIDA, ajoutant que les conditions générales de Broadcom n’offraient que des engagements de maintenance limités, aucun dépôt de code source, aucun plan de substitution et aucune certification au titre de la loi sur les données, autant d’éléments susceptibles d’aller à l’encontre des recommandations du texte réglementaire.

Ce n’est pas la première fois que le Cispe entre en conflit avec Broadcom. En décembre dernier, l’organisation a exhorté la Cour de justice de l’Union européenne à annuler la fusion Broadcom/VMware. Et en mars, le Cispe a rédigé une lettre ouverte mettant en garde contre les hyperscalers américains qui tentent de « blanchir » leurs services en matière de souveraineté.

Une position commune enfin ? Si la souveraineté numérique figure parmi les priorités des gouvernements allemand et français, ceux-ci n'avaient jusqu'à présent pas de vision unifiée de cette notion. C'est désormais chose faite, les deux pays publiant ce jour un « document commun » visant à renforcer la souveraineté technologique en Europe. Une « étape importante », selon la ministre de l'IA et du numérique, Anne Le Hénanff, qui a officialisé ce rapprochement lors de Vivatech, aux côtés de son homologue allemand.

Elaborée par une taskforce mise en place à l'issue du sommet franco-allemand sur la souveraineté de novembre dernier - taskforce composée d'experts des deux gouvernements -, le document définit six dimensions de la souveraineté numérique, chacune s'appuyant sur de multiples critères. Il se veut aussi un message à la Commission et aux Etats membres. « Nous porterons cette définition franco-allemande au sein du processus européen », assure ainsi Karsten Wildberger, ministre fédéral allemand de la Numérisation et de la modernisation de l'État.

La sensibilité des deux pays

Selon cette définition commune, « la souveraineté numérique désigne la capacité de développer, fournir, utiliser, adapter et contrôler des technologies numériques, y compris des matériels, de manière indépendante, autonome et sûre, afin de renforcer la capacité de l'UE, d'un État, d'une administration ou d'une entité privée à agir de manière indépendante et à disposer du pouvoir ultime de décision en matière de processus et d'activités ». Cette définition commune fait également une concession importante à l'approche germanique en expliquant que la réduction des dépendances « doit s'accompagner d'une coopération avec des partenaires internationaux de confiance, dès lors qu'ils remplissent nos exigences en matière de souveraineté numérique. » Rappelons notamment que l'Allemagne a récemment signé un accord avec AWS pour construire, outre Rhin, un cloud isolé du reste de son infrastructure (pour un investissement de 7,8 Md€).

En miroir, une des dimensions du document, celle portant sur les capacités techniques, fait une embardée vers les positions défendues de ce côté-ci du Rhin, incitant la Commission « à définir des normes de protection extrêmement strictes pour les données les plus sensibles, incluant des mesures adéquates de protection contre les risques de cybersécurité et les effets de l'application extraterritoriale de législations adoptées hors de l'UE, ainsi que des obligations de mise en oeuvre de technologies de protection de la vie privée. » Un modèle mélangeant protection contre les risques d'accès non autorisés par des cybercriminels et par des Etats utilisant leurs législations pour dérober des données d'organisations ou d'individus ne relevant, théoriquement, pas de leur juridiction. Au centre du viseur, évidemment : les Etats-Unis de Donald Trump. C'est cette approche que défend la France via son référentiel SecNumCloud, et que la Commission a récemment adoptée, via sa proposition de règlement sur le développement du cloud et de l'IA (Cloud and AI Development Act)

Vers un catalogue commun de solution souveraines

Notons que cette position commune s'accompagne de la relance du Forum franco-allemand pour l'avenir, qui doit accompagner dans la durée ce rapprochement des deux pays sur les questions de souveraineté numérique, nourri par un « dialogue récurrent et structuré entre les écosystèmes privés français et allemands ». Selon un communiqué du ministère français, ce forum doit notamment s'atteler à l'élaboration d'un catalogue commun de solutions numériques souveraines et à la création d'un cadre d'évaluation des dépendances numériques critiques de l'Europe. Deux chantiers déjà lancés, au niveau national, par le gouvernement français.

Le 1er mai 2026 est entré en vigueur un nouveau code des douanes, remplaçant le précédent qui datait de 1948. Après une refonte complète, le document est passé de 500 à 1200 articles. Face à cette masse d'informations, la DGDDI (Direction générale des Douanes et Droits indirects) a souhaité se doter d'un outil de recherche rapide et fiable, en langage naturel, pour accompagner la montée en compétence de ses agents. En juin 2025, moins d'un an avant la date d'entrée en vigueur du nouveau code, les douanes se sont tournées vers la plateforme AI Studio de Mistral AI sur Outscale (Dassault Systèmes) tout juste annoncée, avec l'accompagnement de Sopra Steria. Une solution qui présente deux caractéristiques différenciantes par rapport aux autres environnements testés par les Douanes : l'allocation d'une configuration GPU et la labellisation SecNumCloud 3.2.

« Les Douanes, c'est une administration avec 17 800 agents qui travaillent sur la régulation des échanges entre les entreprises, mais aussi sur de la protection à travers la lutte contre les grands trafics, comme les stupéfiants notamment, précise Éric Laurent, chef du bureau Soutien SI de la DGDDI, à l'occasion d'Outscale Experiences 2026, à Paris, le 9 juin. Le code des douanes est bien sûr un objet juridique, à la base de notre action sur les contrôles, mais c'est aussi un objet culturel auquel les gens sont très attachés ».

Sécurité, souveraineté, scalabilité

« Nous avions besoin d'un assistant en langage naturel, disponible sur les téléphones, en mobilité, au quotidien, pour répondre à toute une batterie de questions assez légitimes par rapport à l'ancien code et aux transformations de celui-ci, d'une part, dans un mode plutôt déterministe avec des questions précises, et des réponses précises, et d'autre part, dans un mode avec des questions et des réponses plus libres. » La DGDDI a réalisé un cadrage juridique, technique et métier des solutions proposées. La première exigence étant la sécurité. « Nous manipulons des données sensibles, internes, confidentielles, explique Éric Laurent. La deuxième exigence, c'est la souveraineté. Nous voulons être capables d'opérer une réversibilité rapide, avoir la maîtrise interne de la solution et, idéalement, faire appel à des acteurs français ou qui hébergent les données en France ».

L'administration avait aussi besoin de scalabilité et de performance, pour un déploiement qui devait se dérouler en quelques mois auprès de 17 800 personnes, et d'adaptabilité dans un contexte où l'IA, mais aussi la loi, évoluent beaucoup. « Nous devons être capables de pivoter, de nous adapter. Notre choix s'est donc porté sur une solution technique open source souveraine avec laquelle nous pouvions contractualiser à travers les marchés publics à notre disposition, notamment le marché Ugap Nuage Public ».

Des expérimentations ratées, mais utiles

La DGDDI avait déjà réalisé plusieurs expérimentations depuis 2024 qui ne lui ont pas donné satisfaction, car, selon le chef du bureau soutien SI, « nos données n'étaient pas toujours bien qualifiées, notre infrastructure n'était pas scalable ou certains modèles d'IA étaient encore insuffisants pour répondre à nos besoins ». Mais ces échecs ou semi-échecs se sont finalement révélés des expériences utiles pour le passage à l'échelle direct et rapide avec Outscale. Autre atout pour cette industrialisation, « le sponsoring appuyé de notre directeur général, persuadé de la valeur ajoutée de l'IA dans nos organisations publiques, commente Éric Laurent. Sans oublier le fait que nous ayons répondu aux exigences dans le bon ordre : la sécurité, la souveraineté, etc. »

Le chef du bureau soutien SI cite également comme atout dans le passage direct à l'échelle, la décision de partir d'un cas d'usage très simple, celui du chat en langage naturel. Car, derrière le projet proprement dit, se cachent des questions d'homologation, d'accompagnement des utilisateurs, etc. « Beaucoup de choses entourent le projet, rappelle-t-il. Et dans ce contexte, le fait de démarrer petit nous a cependant permis de nous développer très vite ».

En début d'année, le marché français du cloud labellisé SecNumCloud voyait ses espoirs d'une extension à l'Europe de la certification hexagonale déçus ; la révision du Cybersecurity Act (CSA 2) faisait l'impasse sur la protection contre les lois extraterritoriales. Aujourd'hui, les acteurs certifiés entrevoient une lumière au bout du tunnel, avec le Cloud and AI Development Act (CADA), projet de règlement dévoilé par la Commission européenne la semaine dernière.

Si le texte porte d'abord sur le développement des marchés du cloud et de l'IA en Europe, avec la volonté de tripler la capacité de l'Union en datacenters d'ici à 2030 et de parvenir à l'autonomie en la matière d'ici à 2035 (pour un coût estimé de 200 Md€), le règlement comprend aussi un cadre de souveraineté pour les offres cloud à destination du secteur public au sein des 27. Ce « framework de souveraineté » se décline sur quatre niveaux et prévoit une certification des offres à l'échelle de l'Union, au prix d'un audit indépendant accordant son visa au fournisseur. Le dispositif est placé sous le contrôle d'une autorité compétente au sein de chaque pays membre, à la manière de l'Anssi supervisant le dispositif SecNumCloud en France. « Le fond de la proposition ne cache pas son inspiration française, analyse Julie Latawiec, directrice des affaires publiques de Cloud Temple, fournisseur de cloud dont le IaaS et le PaaS sont certifiés en France. On y retrouve la logique de la loi SREN, l'architecture du SecNumCloud, la doctrine sur la souveraineté numérique que la France porte depuis plusieurs années ».

Pas de réelle préférence européenne

Ces 4 niveaux, du plus standard au plus sensible, qui sont décrits dans une annexe au règlement, prennent en compte la cybersécurité, mais se focalisent surtout sur les risques liés aux législations extraterritoriales - notamment américaines - en matière de confidentialité des données et de continuité de service. Ainsi, dès le niveau 2, le prestataire doit prouver que son personnel et celui de ses sous-traitants opérant le service sont bien situés dans l'Union, que les données des donneurs d'ordre, y compris les logs et metadonnées, ne sortent pas du continent, et en particulier ne viennent pas nourrir un modèle d'IA non-européen. Ou encore que le prestataire fournisse la liste des composants logiciels exploités (SBOM) au sein de ses services cloud. Mais ce sont les niveaux 3 et 4 qui se montrent les plus exigeants, imposant par exemple que le personnel du prestataire chargé des opérations, y compris celui de ses sous-traitants, est « composé de citoyens de l'Union », titulaires, le cas échéant, « de l'habilitation de sécurité nationale requise, délivrée par un État membre, pour la manipulation d'informations classifiées ».

Le schéma de certification n'instaure toutefois pas de réelle préférence européenne, se contentant d'introduire un critère de valeur ajoutée créée au sein de l'Union dans l'évaluation des offres - contrairement à SecNumCloud qui exige que les prestataires soient contrôlés par des actionnaires européens. En revanche, comme le label français, le schéma européen, dans ses niveaux 3 et 4, impose six conditions cumulatives à respecter par les prestataires, parmi lesquelles l'absence de législation d'accès aux données dans le pays d'origine du prestataire qui contreviendrait aux textes européens en matière de confidentialité des données ou de possibilité pour un pays tiers ou une entité d'un pays tiers d'interrompre le service.

Registre des prestataires labellisés

« La charge de la preuve a changé de camp, explique le directeur général de CloudTemple, Sébastien Lescop. Hier, c'était au fournisseur européen de justifier sa légitimité. Demain, ce sera au fournisseur non-européen de prouver qu'il échappe aux lois extraterritoriales. » Et de noter la cohérence retrouvée des textes européens, après un CSA2 qui se désintéressait des risques liés aux législations de pays tiers : « souveraineté et cybersécurité sont deux objets juridiques distincts et complémentaires, non substituables. On peut être parfaitement sécurisé et totalement dépendant. Se dire souverain ne suffira plus. Il faudra le prouver, audit à l'appui », souligne le dirigeant.

Même si le cadre de souveraineté vise avant tout l'achat public, Henri d'Agrain, le délégué général du Cigref, salue, lui aussi, les « avancées » de ce projet de règlement. En particulier le besoin pour les fournisseurs souhaitant vendre des services auprès du secteur public de se faire auditer au regard d'un certain nombre de critères stricts définis par la Commission. « Et cette dernière va maintenir un registre central des fournisseurs ayant obtenu un label, registre qui sera ouvert aux entreprises », souligne le délégué de l'association réunissant les DSI de grandes organisations françaises, qui note également la possibilité pour toute organisation, publique ou privée, de se tourner vers la justice européenne pour obtenir des dommages d'un prestataire ne se conformant pas aux obligations présentes dans le schéma de souveraineté.

Mesures « discriminatoires », pour le lobby de le tech US

Dès la sortie du CADA, le CCIA Europe, lobby des grands industriels IT d'outre Atlantique (AWS, Google, Cloudflare, Apple, Meta...) n'a pas manqué de s'étrangler, dénonçant des mesures « discriminatoires », qui vont pousser les donneurs d'ordre à se tourner vers une sélection beaucoup plus restreinte de services numériques. « Les niveaux de souveraineté 3 et 4 ne sont pas de modestes garanties, écrit le groupe de pression. Ce sont des exigences de fermeture du marché déguisées en seuils réglementaires. »

Article 18 : la porte de service pour les hyperscalers ?

Alors, le signe d'une réelle inflexion ? Dans son analyse, CloudTemple souligne quelques angles morts du texte, qui doit encore être discuté au Conseil européen et au Parlement. En particulier l'article 18, qui prévoit un mécanisme dérogatoire permettant à un fournisseur d'un pays tiers d'accéder au niveau 3 de certification pour peu que la Commission reconnaisse ce pays comme équivalent en termes d'exigence. Une porte ouverte à des négociations diplomatiques au plus haut niveau entre Bruxelles et Washington ? « Un cadre solide sur le papier, mais facile à contourner dans la pratique, serait pire que pas de cadre », résume Sébastien Lescop, qui craint de voir l'article 18 se transformer en « porte de service par laquelle reviennent ceux que le texte prétend laisser dehors ».

Pour Henri d'Agrain, « ce sera la Commission qui désignera les pays qui ne respectent pas ses critères ». En clair, même si les États-Unis ne se conforment d'évidence pas aux conditions posées par le framework - du fait de leurs textes sur l'accès aux données (comme la section 702 du Foreign Intelligence Surveillance Act) ou des sanctions unilatérales qu'ils peuvent prendre -, l'Europe reste évidemment sous la menace des pressions diplomatiques de son allié américain, qui ne manquera pas défendre les intérêts de ses industriels du cloud. Et les devises qu'ils ramènent à l'économie américaine.

Le contexte économique et géopolitique international fait de la souveraineté, en particulier vis-à-vis des États-Unis depuis un an, un enjeu central et urgent. Pour y répondre, la Caisse des Dépôts va allouer jusqu'en 2030 une enveloppe de 18 Md€ pour accompagner administrations, entreprises, startups, territoires et citoyens. Ce plan Horizon Numérique 2030 cible aussi la propre transformation numérique du groupe.

Le plan identifie six thématiques prioritaires pour la période 2026-2030. À commencer par l'accompagnement de 5 à 10 startups vers une entrée en bourse à Paris. Deuxième priorité, la participation à la création d'une « chaîne de valeur numérique européenne » basée sur des communs numériques open source et des infrastructures et plateformes européennes. La Caisse des Dépôts va également jouer le rôle d'« opérateur de solutions métiers critiques, déployées à grande échelle, notamment pour les acteurs publics et régulés ». L'accélération de la transition numérique des territoires constitue une autre priorité, avec le renforcement de l'accompagnement par Bpifrance de la transformation numérique des entreprises et, enfin, la mise en oeuvre d'actions vouées à faire des Français « des acteurs de leur quotidien numérique, en facilitant l'accès aux services numériques du quotidien, en accompagnant les usages et en proposant de nouveaux services ».

6 Md€ en investissements, 12 Md€ en subventions, garanties et prêts

L'enveloppe de 18 Md€ comprend 6 Md€ d'investissements sur la période 2026-2030, dont ceux destinés à la transformation de la Caisse des Dépôts. Cette somme représenterait cinq fois plus que celle investie entre 2022 et 2026. Et sans que l'on n'en connaisse encore la structure ni le fléchage - et hors IPO de startups -, les 12 Md€ restants prendront la forme de garanties, subventions ou prêts ventilés entre les 19 filiales de la Caisse des Dépôts (BPI, Banque des Territoires, CDC Croissance, La Banque Postale, etc.)

« L'Europe ne peut plus subir la compétition technologique mondiale : la souveraineté numérique est un impératif stratégique. Nous faisons le choix d'investir, de coopérer et de faire émerger des solutions souveraines, pour protéger nos données et renforcer notre puissance », explique dans le communiqué de la Caisse des Dépôts, son DG, Olivier Sichel.

Un premier accord-cadre pour doper la CDC à l'IA

L'annonce du plan Horizon Numérique 2030 s'est accompagnée de celle d'un premier accord-cadre remporté par Sopra Steria et Computacenter pour déployer infrastructure et logiciels IA qualifiée de souveraine à la Caisse des Dépôts. Les deux prestataires fourniront ainsi le groupe en IA générative et agentique, comme le précise la SSII dans un communiqué, à partir d'un catalogue de solutions, « dont certaines souveraines » et l'accompagneront dans la personnalisation des outils et le transfert de compétences. Selon un porte-parole de la Caisse des Dépôts, Mistral devrait sans surprise faire partie de la sélection de solutions. Pour déployer ces environnements, Sopra Steria et Computacenter donneront également au groupe l'accès à des capacités de calcul (GPU) et « des infrastructures cloud et SecNumCloud ». D'une durée maximale de quatre ans, comme le précise l'ESN française, l'accord représente « un montant cumulé pouvant atteindre 140 M€ ».

Présent dans huit pays, le groupe Stef (5,1 Md€ de chiffre d'affaires en 2025, environ 25 000 personnes) est spécialisé dans le transport et la logistique alimentaires, sous température contrôlée. Un métier où le SI fait figure de composant sensible, l'activité reposant sur des flux tendus, indique le DSI Christophe Leray, qui est passé par l'IT de PMU et du groupement des Mousquetaires. Dirigeant Stef IT, une entité de quelque 400 personnes, auxquelles s'ajoutent une centaine d'informaticiens déployés dans les différentes entités du groupe, le DSI pointe la dépendance croissante à quelques acteurs qu'a induit le mode SaaS. Stef emploie avant tout les logiciels du marché sur ses fonctions corporate, ses applications métiers étant majoritairement développées en interne et hébergées on premise.

Quelles problématiques pose le Saas à la DSI ? Au-delà des aspects budgétaires, vous pointez des risques sur la continuité de service...

Christophe Leray : Les questions qu'il soulève relèvent effectivement de la résilience numérique, terme développé par le Cigref et auquel j'adhère. Cette résilience se décline dans la maîtrise des données, la continuité opérationnelle, la maîtrise des coûts et la cybersécurité. Le SaaS nous a amenés à passer d'une dépendance à des ERP, avec une latitude qui se chiffrait en années en cas de désaccord avec un éditeur, à une dépendance temps réel. Dans ce modèle, à tout moment, les systèmes peuvent s'arrêter. C'est un point extrêmement sensible pour les entreprises. Parmi mes missions, figure la garantie, auprès du Comex et des opérations, de la disponibilité des systèmes et leur bon fonctionnement. Or cette garantie repose aujourd'hui largement sur les décisions des éditeurs, dont les politiques commerciales, techniques ou contractuelles exercent une pression croissante sur l'autonomie de la DSI. Cet aspect est devenu préoccupant pour la gestion des risques, et ce, au niveau de l'entreprise dans son ensemble. Chez Stef, la résilience numérique est d'ailleurs bien identifiée parmi les risques pesant sur le groupe, risques scrutés par le conseil d'administration.

Le SaaS a beaucoup de vertus - souplesse, immédiateté de mise en œuvre, diminution de la durée des projets -, mais il doit être utilisé avec discernement en fonction des enjeux opérationnels des fonctions à couvrir. Pour celles qui s'avèrent critiques pour les opérations, nous privilégions des solutions reposant sur du IaaS, voire sur des infrastructures on premise. Quand ce choix est encore possible ! « J'ai de sérieux doutes sur le caractère opérationnel de la réversibilité du SaaS. L'exercer signifie récupérer des données en vrac. »

Y a-t-il eu un événement spécifique qui a accéléré cette prise de conscience ?

Oui, à l'occasion d'une renégociation d'un contrat SaaS avec un grand éditeur. Bien que nous ayons lancé très tôt les discussions sur ce sujet, les équipes de l'éditeur se sont longtemps bornées à nous indiquer que soit nous acceptions leurs conditions, soit le service s'arrêtait au terme du contrat en cours. Cette négociation s'est finalement conclue un samedi soir, pour un contrat se terminant le lendemain soir. Mais le renouvellement n'a pas été pris en compte suffisamment rapidement. Le lundi matin, nous n'avions plus accès à notre solution. Pour tout le monde en interne, en particulier pour les opérations, cet événement a fait prendre conscience de notre dépendance numérique et de son impact sur la continuité de nos opérations. Dans une précédente expérience, durant le premier confinement du Covid, en 2020, j'avais déjà connu un arrêt brutal de service par un fournisseur de SaaS, sur décision unilatérale de ce dernier, qui avait besoin de rediriger ses capacités de traitement vers la visioconférence, alors très demandée.

La réponse à ce risque ne réside-t-elle pas dans les clauses de réversibilité ?

La réversibilité est pratiquée dans le cadre de contrats de TMA ou d'infogérance depuis vingt-cinq ans et ça fonctionne ! Sur la réversibilité du SaaS, je n'ai en revanche pas connaissance de cas concrets de mise en œuvre de cette clause et j'ai de sérieux doutes sur son caractère opérationnel. Une fois que les données et traitements d'une entreprise se conforment au modèle d'un éditeur SaaS, exercer une réversibilité signifie récupérer des données en vrac pour les réinjecter ailleurs. Les risques de rupture de service sont très élevés. Je crois bien davantage au multisourcing, afin de pouvoir mettre plusieurs fournisseurs en concurrence et conserver des marges de négociation.

Depuis des années, la massification est pourtant vue par les DSI comme un levier pour obtenir de meilleurs tarifs auprès des fournisseurs...

C'est vrai, mais mon approche en la matière a évolué. Cette politique-là, qui permet certes de réduire les coûts à court terme, nous verrouille auprès des fournisseurs et nous contraint, à moyen et long terme, à accepter des hausses tarifaires vis-à-vis desquelles nous n'avons que très peu de marge de négociation. Le prix à payer de l'indépendance, c'est d'accepter des tarifs légèrement supérieurs à court terme en diversifiant ses fournisseurs, pour garantir une maîtrise des coûts sur la durée. Mieux vaut ainsi avoir deux fournisseurs IaaS : oui, ça coûte plus cher à court terme, mais lorsque vous renouvelez vos contrats, vos marges de manœuvre seront bien supérieures, à condition évidemment que vos applications aient été développées sans dépendance aux services du fournisseur A ou B.

Un autre axe d'évolution de notre politique s'attaque à la logique de bundle des grands éditeurs, qui ne cessent de nous proposer davantage de fonctions sans laisser aux clients le choix de tel ou tel composant. Nous avons décidé de sortir de cette logique pour certaines fonctions, en sélectionnant une solution alternative, chez un tiers, même quand son équivalent figure dans le bundle de nos fournisseurs sous contrat. C'est par exemple ce que nous avons fait avec le choix de la solution de gestion d'identités de l'éditeur français Memority. Notre approche vise à grignoter ce qui s'apparente de plus à plus à des monopoles, en confiant certaines fonctions à des tiers.

Là encore, ce sont des surcoûts à court terme, mais ils constituent un levier indispensable pour desserrer la prise des grands éditeurs et nous permettre de retrouver des marges de manœuvre. Ce type d'approche s'oppose aux politiques commerciales habituelles des grands éditeurs, comme aux politiques d'achat classiques des DSI, mais c'est le prix à payer pour retrouver une certaine autonomie stratégique.

Depuis quand ces politiques sont-elles en place chez Stef ?

L'inflexion est progressive depuis un peu plus d'un an. C'est un mouvement récent mais que j'ambitionne de prolonger, y compris en allant chercher des solutions de plus petits fournisseurs, de préférence européens ou français. Donner leur chance à des entreprises jeunes et de taille modeste relève aussi de la responsabilité des grands donneurs d'ordre français et européens. Pour leur propre bénéfice à terme, car il s'agit de se dégager des marges de manœuvres via un écosystème plus riche et plus diversifié. Et comme les SI irriguent toutes les entreprises, ces décisions revêtent un caractère de plus en plus stratégique.

Ces inflexions sont-elles bien acceptées par les acheteurs, dont les réflexes sont tout autres ?

Oui, parce que tout le monde a mûri sur le sujet, du fait des observations que tout un chacun peut faire concernant les pratiques commerciales des grands fournisseurs. On peut établir un parallèle avec la cybersécurité. Il y a dix ans, ce n'était pas un sujet de Comex, mais bien d'experts. Aujourd'hui, du fait des pertes subies par des entreprises à la suite d'attaques, les directions générales et conseils d'administration se sont emparés du sujet. Sur le sourcing, nous en sommes à peu près arrivés au même stade, tous les acteurs au sein des entreprises ont pris conscience du niveau de dépendance dans lequel nous évoluons. Et les achats, au-delà des gains à court terme, ont tout autant intérêt que la DSI à développer des stratégies de moyen et long terme.

Avez-vous testé l'IA générative pour développer des solutions sur mesure appelées à remplacer des SaaS aujourd'hui sous-exploités ?

Pas à ce stade. Sur l'IA générative, notre approche est, une fois encore, fortement influencée par la gestion des dépendances numériques. Nous construisons une solution privée et sécurisée basée sur un LLM open source. Nous n'utilisons pour l'instant ni d'offre spécialisée des géants du secteur, ni de solution embarquée par les grands acteurs du progiciel ou du SaaS, y compris quand ces modules sont proposés gratuitement ! L'IA générative est, à mes yeux, le dernier rempart de l'indépendance. Si vous signez avec tel ou tel fournisseur sur ce sujet, les dés sont jetés. La dépendance devient totale. Nous misons sur nos compétences internes, très pointues sur ce sujet, même si notre solution n'est sans doute pas aussi performante que celles des leaders du marché. Mais, pour apprendre à conduire, on n'a pas besoin d'une Ferrari.

« Serons-nous des acteurs de notre souveraineté numérique future, ou de simples utilisateurs passifs ? » C'est par cette question que Christoph Böhm, DSI et directeur des opérations du groupe Deutsche Börse, spécialisé dans la gestion de marchés financiers, a ouvert son discours d'ouverture des Journées de la stratégie informatique de Hambourg, organisé par nos confrères de CIO.de. « Nous devons admettre qu'une part importante de notre création de valeur repose désormais sur les plateformes technologiques du cloud et de l'IA », concède-t-il.

Ce constat s'applique également à l'infrastructure financière du groupe Deutsche Börse, selon Christoph Böhm, désigné DSI de l'année 2025 outre-Rhin par nos confrères. Cette infrastructure, de plus en plus basée sur le cloud, sera complétée, voire remplacée, par des composants d'IA. Dès lors, la question de la gestion de la souveraineté numérique devient cruciale pour Deutsche Börse : « ces 24 derniers mois, les signaux politiques, économiques et issus de recherches ont clairement indiqué la nécessité de prioriser la question de la souveraineté, notamment lorsqu'il s'agit de fournir des services d'infrastructure essentiels à l'Allemagne et à l'Europe. » Cela s'applique également à l'infrastructure financière du groupe Deutsche Börse, poursuit le DSI.

Pluralisme fonctionnel : la logique du multicloud

Selon Christoph Böhm, Deutsche Börse exploite les plateformes technologiques disponibles sur le marché, en s'appuyant sur une matrice de décision : « comment concevoir un processus décisionnel permettant à une entreprise de façonner sereinement son cloud, ses données ou son IA ? », lance le responsable informatique. Une question centrale à laquelle cette matrice tente à répondre.

« Ce plan d'action prend en compte vos exigences en matière de protection et de sécurité des données, vos besoins métiers et vos propres capacités. Il ouvre la voie à un environnement technologique moderne. Nous avons également utilisé cette approche pour définir comment le cloud peut être introduit comme nouvelle plateforme technologique dans un environnement fortement réglementé, afin de garantir la confiance de tous nos partenaires. Et nos partenaires ne sont pas seulement des régulateurs : ce sont des personnes qui font confiance à nos services », explique le DSI.

En s'appuyant sur sa matrice de décision, le groupe génère désormais la majeure partie de sa création de valeur dans le cloud. Ce cheminement s'est étalé sur plusieurs années et a comporté diverses étapes de développement, comme l'explique le DSI : « par exemple, nous avons créé un centre d'excellence cloud et constitué un groupe d'audit avec d'autres acteurs du marché, au sein duquel nous collaborons avec de grandes entreprises américaines. Après avoir appris à le gérer, nous avons mis en place nos propres structures FinOps afin d'optimiser nos opérations quotidiennes. »

Deutsche Börse, qui a réalisé 6 Md€ de chiffre d'affaires en 2025, s'est engagé en faveur d'un 'pluralisme fonctionnel' : « partir du principe qu'un seul partenaire peut résoudre tous vos problèmes est, à mon avis, une recette vouée à l'échec. Il est donc essentiel de créer un écosystème qui garantisse de disposer des bons partenaires pour les bonnes tâches », indique Christoph Böhm, en référence à la stratégie multicloud du groupe.

Créer un environnement contrôlé

Concernant la souveraineté numérique, le responsable informatique souligne l'importance de définir des limites claires : « il s'agit de répondre à la question : que se passe-t-il sur site et que se passe-t-il dans le cloud ? Nous disposons désormais d'une CMDB qui recense nos actifs. Cela nous permet également de décider quels services sont autorisés à utiliser nos données et lesquels ne le sont pas. De cette manière, nous avons créé un environnement contrôlé et transparent dans lequel nous pouvons décider, en fonction de notre profil de risque, d'exécuter ou non une application dans le cloud. »

Mettre en oeuvre ce modèle de manière stratégique et trouver les bons partenaires suppose d'analyser l'état actuel de son modèle économique, poursuit le DSI : « il faut confronter les risques liés à la souveraineté à la réalité de son modèle économique et aux défis spécifiques posés par les offres disponibles. »

À l'avenir, conclut le DSI, les fournisseurs européens s'intégreront ainsi à un ensemble d'acteurs aux compétences variées, sélectionnés en fonction de la performance qu'ils offrent sur un sujet donné. Le décideur informatique recommande également de prendre en compte le framework de souveraineté du cloud de l'UE (ici en PDF) : « évaluez votre propre score afin de disposer d'un indicateur fiable », conseille-t-il, tout en poussant les entreprises à évaluer leur dépendance vis-à-vis de fournisseurs de technologies spécifiques

La question suivante est de savoir comment le profil de risque évolue lorsque, par exemple, un datalake est déployé sur le cloud d'un fournisseur particulier. « Vous pouvez gérer vos données de manière souveraine ; il vous suffit de définir la plateforme sous-jacente et les modèles de langage complexes qui la composent », assure Christoph Böhm, avant d'aborder le sujet de l'IA. Selon la DSI, en la matière, « la ressource essentielle à la gestion de la souveraineté numérique - à savoir les données - est entre nos mains ».

Comme l’indique Francesco De Simoni, Directeur général et directeur technique de Nubevia, « la simple relocalisation des données numériques ne suffit plus. Il s’agit d’obtenir une vraie maîtrise opérationnelle et juridique ».

Autrement dit, la souveraineté ne se joue plus uniquement au niveau du stockage. Elle se mesure également à la capacité à maîtriser les technologies, les réseaux et les opérations qui gravitent autour de la donnée. Une donnée peut être stockée dans un datacenter français sans que l'organisation maîtrise réellement les plateformes qui la traitent, les réseaux qui l'acheminent ou les équipes qui administrent l'environnement. À l'inverse, certaines fragilités se révèlent lorsque l'entreprise ne parvient plus à faire évoluer certaines briques technologiques, à identifier clairement les responsabilités ou à reprendre la main lorsqu'un fournisseur modifie les règles du jeu.

Cette évolution invite à adopter une lecture plus opérationnelle de la souveraineté, qui englobe l'ensemble de la chaîne numérique : les infrastructures, les réseaux, l'exploitation et, finalement, les femmes et les hommes qui en assurent le fonctionnement au quotidien.

La souveraineté commence souvent par l'héritage technologique

Pour beaucoup de responsables informatiques, la question de la souveraineté ne surgit pas à l'occasion d'un nouveau projet cloud. Elle apparaît lorsque l'environnement existant devient plus difficile à faire évoluer.

L'évolution récente de VMware illustre parfaitement ce phénomène. Depuis le rachat de l'éditeur par Broadcom, de nombreuses organisations ont réévalué leur niveau de dépendance à une technologie devenue centrale dans leur fonctionnement. Pour certaines, l'augmentation des coûts a servi de déclencheur. Pour d'autres, la difficulté à trouver les bonnes alternatives a ouvert la réflexion.

Ce sujet dépasse largement le cadre de la virtualisation. Il concerne également les plateformes cloud, les services SaaS ou encore les futures infrastructures IA. À chaque fois, la même question se pose : dans quelle mesure suis-je libre de faire évoluer mon architecture lorsque mes choix technologiques dépendent fortement d'un acteur unique ?

C'est précisément là que la souveraineté prend une dimension très concrète. Avant même de parler d'hébergement ou de localisation des données, elle interroge la capacité à conserver des marges de manœuvre sur les technologies qui structurent le système d'information. Reprendre la main sur son héritage technologique, comprendre ses dépendances et préserver sa liberté de choix constituent souvent les premières étapes d'une démarche de souveraineté.

Le réseau, angle mort de la souveraineté numérique ?

Autre point souvent mis de côté : une donnée n'a de valeur que parce qu'elle circule entre utilisateurs, applications, sites distants et environnements cloud.

Or, cette circulation repose sur des infrastructures de transport, des mécanismes de routage et des interconnexions sur lesquelles on manque parfois de visibilité. Une entreprise peut ainsi héberger ses données en France tout en restant dépendante de multiples intermédiaires pour l'acheminement de ses flux critiques.

Cette question est au cœur de l'approche développée par Nubevia, qui associe hébergement, cloud et connectivité au sein d'une même chaîne de responsabilité. Le groupe exploite notamment ses propres infrastructures d'interconnexion entre datacenters afin de conserver la maîtrise des flux et limiter les dépendances externes.

À mesure que les systèmes d'information se distribuent entre plusieurs sites, clouds et usages, cette maîtrise de la connectivité devient un enjeu crucial de résilience autant que de souveraineté.

Quand personne n'est vraiment responsable…

L'autre limite des approches traditionnelles apparaît souvent lorsqu'un incident survient. Tant que les services fonctionnent correctement, la complexité de l'écosystème reste relativement invisible. Les difficultés émergent lorsque plusieurs acteurs interviennent simultanément sur une même chaîne de services.

Le fournisseur cloud renvoie alors vers l'opérateur réseau, qui sollicite l'intégrateur. Puis l'intégrateur se tourne vers l'éditeur. Chacun maîtrise une partie du problème, mais aucun ne dispose d'une vision globale de l'environnement.

Cette fragmentation des responsabilités constitue aujourd'hui l'un des principaux défis des infrastructures modernes. Elle complexifie l'identification des causes d'un incident, rallonge les délais de résolution et crée une forme de dilution de responsabilité particulièrement difficile à gérer pour les équipes internes.

La souveraineté prend ici une dimension très concrète. Au-delà de la maîtrise des infrastructures, elle suppose également de savoir qui administre, qui supervise, qui intervient et, surtout, qui assume la responsabilité du résultat.

Chez Nubevia, cette exigence se traduit par la maîtrise de l'ensemble de la chaîne, de la connectivité au cloud privé, en passant par l'hébergement, les services managés et désormais les infrastructures dédiées à l'IA. En d’autres termes fournir un guichet unique, capable de coordonner l'ensemble de l'environnement numérique et d'en assumer le pilotage opérationnel.

Pourquoi l'humain redevient stratégique

Cette recherche de responsabilité conduit naturellement à une autre dimension souvent absente des débats sur la souveraineté : la dimension humaine.

L'automatisation, les plateformes en libre-service et les modèles standardisés ont largement contribué à démocratiser l'accès aux infrastructures. Mais elles montrent également leurs limites lorsque les environnements deviennent complexes ou lorsque les besoins sortent du cadre prévu.

Les équipes IT ne recherchent plus uniquement des ressources cloud, des serveurs ou des liens réseau. Elles cherchent également des partenaires capables de comprendre leurs contraintes, d'accompagner leurs arbitrages et d'assumer une responsabilité opérationnelle.

C'est cette conviction que Nubevia résume à travers son concept de « Human Connection ». Derrière cette expression se trouve une idée simple : une infrastructure ne se limite pas à des équipements ou à des plateformes. Elle repose aussi sur des équipes capables de conseiller, d'anticiper et d'accompagner les arbitrages technologiques dans la durée.

Comment faire les bons choix ?

Comme nous l'avons vu, la souveraineté ne se décrète pas. Elle s'évalue à travers des critères très concrets. Pour vous aider à prendre du recul sur votre propre environnement, nous avons résumé ici les sept questions clés à se poser pour faire le point sur son niveau réel de maîtrise.

Lire l’article : « 7 questions pour savoir si votre infrastructure est vraiment sous contrôle »

Qui exploite réellement mon infrastructure ?

Lorsqu'une entreprise sélectionne un fournisseur, elle pense généralement savoir à qui elle confie ses données. Pourtant, la réalité est souvent plus complexe. Derrière un contrat unique peuvent se cacher plusieurs niveaux de sous-traitance, des infrastructures opérées par des tiers ou des dépendances techniques peu visibles lors de la phase de sélection.

Cette question est devenue particulièrement importante à mesure que les services cloud se sont sophistiqués. Plus les intermédiaires sont nombreux, plus il devient difficile d'identifier les responsabilités, d'évaluer les risques ou d'anticiper les conséquences d'un changement de stratégie chez l'un des acteurs impliqués.

Les points clés à contrôler :

· Qui possède les infrastructures utilisées au quotidien ?

· Combien d'acteurs interviennent réellement derrière mon fournisseur ?

· Certaines briques critiques reposent-elles sur des partenaires tiers ?

· Mon fournisseur est-il transparent sur ses dépendances ?

Qui administre mes environnements ?

La localisation des infrastructures ne dit pas tout. Une plateforme peut être hébergée en France tout en étant administrée depuis un autre pays ou par des équipes externes dont l'entreprise ne connaît ni les processus ni les niveaux d'accès.

Cette distinction entre hébergement et administration reste souvent sous-estimée. Pourtant, les droits d'administration représentent le véritable point de contrôle d'une infrastructure. Ce sont eux qui permettent de modifier une configuration, d'accéder à certaines données sensibles ou d'intervenir sur les systèmes.

Les points clés à contrôler :

· Qui dispose des privilèges d'administration les plus élevés ?

· Où sont situées les équipes qui exploitent les environnements ?

· Quels contrôles encadrent les accès sensibles ?

· Puis-je identifier précisément les personnes ou équipes qui interviennent sur mes systèmes ?

Où transitent mes données ?

Les données ne restent jamais immobiles. Elles circulent entre les utilisateurs, les applications, les sites distants, les services cloud et les outils métiers. Cette circulation repose sur des mécanismes de routage, de transit et d'interconnexion qui jouent un rôle déterminant dans la performance, la sécurité et la résilience des services.

Le réseau demeure pourtant l'un des sujets les moins abordés lors du choix d'un fournisseur. Or une organisation peut parfaitement maîtriser son hébergement tout en dépendant d'une chaîne de transport qu'elle connaît mal.

Les points clés à contrôler :

· Comment mes données transitent-elles entre les différents services ?

· Quels opérateurs interviennent dans le transport des flux ?

· Les échanges sont-ils systématiquement chiffrés ?

· Mon fournisseur maîtrise-t-il ses interconnexions ou dépend-il de multiples intermédiaires ?

Suis-je en mesure de changer de fournisseur sans tout remettre en cause ?

Cette question paraît contre-intuitive au moment de choisir un fournisseur, mais elle constitue l'un des meilleurs indicateurs du niveau de maîtrise d'une infrastructure. Une organisation capable de récupérer facilement ses données, de migrer ses services ou de faire évoluer son architecture conserve sa liberté d'action.

À l'inverse, certaines dépendances n'apparaissent qu'au moment où l'entreprise souhaite changer de modèle, de technologie ou de prestataire. L'évolution récente de certains grands éditeurs a rappelé à de nombreuses organisations qu'une dépendance technologique peut rapidement devenir une dépendance économique.

La question de la réversibilité ne se limite d'ailleurs plus à un simple sujet technique. Elle concerne également la capacité à conserver la maîtrise de ses données, de ses traitements et de son capital informationnel dans la durée. Le niveau de conformité des prestataires aux réglementations européennes, ainsi que les garanties offertes en matière de portabilité, deviennent désormais des critères de choix à part entière.

Les points clés à contrôler :

· Puis-je récupérer facilement mes données ?

· Existe-t-il un scénario de réversibilité clairement défini ?

· Puis-je faire évoluer mes choix technologiques sans remettre en cause l'ensemble de l'infrastructure ?

· Sous quelle juridiction sont traitées mes données et mes services ?

· Mon fournisseur facilite-t-il réellement la portabilité des données et des configurations ?

Qui prendra réellement la responsabilité en cas d'incident ?

Dans les environnements modernes, plusieurs acteurs peuvent intervenir simultanément : fournisseur cloud, opérateur réseau, intégrateur, éditeur logiciel ou prestataire de services managés. Cette multiplication des intervenants améliore parfois la spécialisation des expertises, mais elle complique également l'identification des responsabilités.

Plus la chaîne est longue, plus le risque de dilution augmente. La capacité à identifier rapidement un responsable et à coordonner les actions correctives devient alors un critère de résilience à part entière.

Cette question renvoie également à la capacité réelle de l'infrastructure à faire face à un incident majeur. Beaucoup d'organisations assimilent encore résilience et redondance des données. Pourtant, la multiplication des copies ou des environnements ne garantit pas à elle seule une reprise d'activité efficace. Seuls des dispositifs de PRA et de PCA formalisés, régulièrement testés et pilotés dans le temps permettent de mesurer concrètement la capacité d'une organisation à maintenir ou restaurer ses services critiques.

Les points clés à contrôler :

· Qui pilote réellement la résolution d'un incident ?

· Combien d'acteurs interviennent dans la chaîne de support ?

· Les responsabilités sont-elles clairement définies contractuellement ?

· Mon PRA est-il régulièrement testé ?

· Quels services sont réellement couverts par mon PCA ?

· Mon fournisseur peut-il démontrer ses capacités de reprise après incident ?

Mon infrastructure est-elle prête pour les usages IA ?

L'intelligence artificielle modifie progressivement la manière de concevoir les infrastructures. Les entreprises ne s'interrogent plus uniquement sur leurs besoins de calcul traditionnels. Elles doivent désormais prendre en compte l'accès aux ressources GPU, les capacités de stockage associées, les contraintes de performance ou encore la localisation des traitements.

Cette évolution soulève également une nouvelle question de dépendance. Comment éviter de recréer demain, autour des plateformes IA, les mêmes mécanismes de verrouillage observés dans certains environnements cloud ? Anticiper ces besoins dès aujourd'hui permet de préserver davantage de flexibilité à long terme.

Les points clés à contrôler :

· Où sont exécutés les traitements IA ?

· Qui opère les ressources GPU utilisées ?

· Mes données restent-elles sous contrôle pendant les traitements ?

· Mon infrastructure pourra-t-elle évoluer avec les futurs besoins IA ?

Qui répond lorsque j’ai besoin d'autre chose qu'un ticket de support ?

Les plateformes en libre-service et les centres de support répondent efficacement à de nombreux besoins du quotidien. Mais certaines situations exigent davantage qu'une simple ouverture de ticket. Lorsqu'un incident se prolonge, qu'une infrastructure doit évoluer ou qu'un choix technologique engage l'avenir, les organisations ont besoin d'interlocuteurs capables de comprendre leur environnement dans sa globalité.

Au-delà de la résolution d'un problème ponctuel, la question est alors de savoir qui peut apporter de la visibilité, du conseil et une compréhension fine des enjeux techniques et métiers.

Les points clés à contrôler :

· Puis-je joindre rapidement un interlocuteur compétent ?

· Cet interlocuteur connaît-il réellement mon environnement ?

· Mon fournisseur est-il capable de m'accompagner dans la durée ?

· La relation se limite-t-elle à un support technique ou inclut-elle un véritable accompagnement ?

Un exemple inspirant : Nubevia

Parmi les acteurs qui cherchent à apporter une réponse concrète à ces enjeux, Nubevia revendique une approche de la souveraineté qui dépasse largement la seule question de l'hébergement. Positionné comme une alternative française aux offres standardisées des hyperscalers, le groupe s'appuie sur des infrastructures opérées en France, des équipes locales et une maîtrise de l'ensemble de la chaîne numérique, de la connectivité au cloud privé en passant par les services managés et les infrastructures dédiées à l'IA.

En savoir plus sur Nubevia >>

La notion d'IA souveraine donne lieu à des interprétations assez diverses chez les acteurs français de l’IT. Quelle est celle de Nubevia ?

Florent Gentric : Pour Nubevia, la souveraineté consiste avant tout à conserver une véritable indépendance sur l’ensemble de la chaîne qui permet de transformer de la puissance de calcul en intelligence, ou plus largement en connaissance.

Autrement dit, il s'agit d'être en mesure d'opérer l'ensemble des couches qui rendent possible l'intelligence artificielle : disposer de ses propres ressources de calcul, maîtriser ses infrastructures réseau, contrôler les capacités de stockage, exploiter les plateformes, posséder les compétences nécessaires pour déployer, administrer et faire évoluer ces environnements. Un modèle "souverain" qui tourne sur du calcul américain, avec des données qui transitent par des API étrangères, ce n'est pas de la souveraineté. C'est une façade.

Du côté des utilisateurs, concrètement, quels choix doivent dicter une démarche d’IA souveraine ?

F.G : Pour l'utilisateur, la souveraineté est avant tout contextuelle. Aujourd'hui, avec les systèmes agentiques (plusieurs modèles qui s'orchestrent), mais plus largement dès que l'on cherche à exploiter pleinement l'intelligence artificielle, il est évident qu'une approche reposant sur un seul modèle n'est plus adaptée.

On travaille désormais avec plusieurs modèles spécialisés. L'un génère des images, un autre produit du texte, un troisième réalise des analyses ou de la reconnaissance documentaire... La souveraineté réside ainsi dans la capacité à construire et maîtriser une architecture où plusieurs modèles peuvent être orchestrés de manière cohérente, sans perdre le contrôle des données et de l'infrastructure.

Le risque n’est donc pas d'utiliser des modèles IA étrangers, mais plutôt de construire une architecture dont il sera difficile de sortir ?

F.G : Effectivement, je pense qu’il ne faut pas s’en tenir aux modèles mais observer l’écosystème dans son ensemble. Désormais, les grands fournisseurs développent tous un ensemble d'outils autour des modèles : assistants, applications, automatisations, intégrations capables d’exécuter des actions sur le poste de travail, etc. C’est ce qu’on appelle l’agentique.

Et c'est précisément là qu’une dépendance peut s’installer. Plus cet environnement applicatif est intégré au fonctionnement quotidien, plus il devient difficile d'en sortir. Ce n'est donc plus le modèle qui fidélise. C'est l'application qui incite à continuer d'utiliser le modèle associé.

Et derrière l'application, c'est le process métier lui-même qui est en jeu. La façon dont une entreprise pilote ses opérations, c'est son savoir-faire. Et aujourd'hui, ce savoir-faire s'entraîne, se modélise. Si ce process part s'entraîner chez un acteur étranger, ce n'est plus juste une donnée qui sort : c'est l'intelligence opérationnelle de l'entreprise. Cela se décide au moment des choix d'architecture initiaux, pas après.

Est-ce que cette analyse explique la manière dont vous avez conçu votre propre plateforme ?

F.G : Oui, totalement. Lorsque nous avons conçu notre plateforme d'intelligence artificielle, nous avons volontairement pris une direction différente de celle que nous observions sur le marché.

Notre objectif n'était pas simplement d'être un fournisseur de modèles. Bien sûr, nous savons héberger des modèles et nous le faisons tous les jours.

Nous avons voulu construire une véritable plateforme applicative autour de l'intelligence artificielle. Pour nous, le modèle n'est qu'une brique technique au sein d'une chaîne applicative beaucoup plus large. Nous voulons permettre à nos clients d'utiliser des solutions open source comme n8n, Open WebUI, LibreChat ou d'autres outils similaires. Ils peuvent également intégrer leurs propres développements directement au sein de la plateforme.

Notre objectif est que l'ensemble de leur environnement applicatif puisse être hébergé au même endroit. C'est pourquoi le modèle, chez nous, n'est qu'une brique parmi d'autres. Ce qui compte, c'est l'architecture applicative complète qu'on peut construire autour.

Lorsqu’il s’agit d’arbitrer en GPU dédiés ou infrastructure interne, quels critères rentrent en compte aujourd’hui ?

F.G : Nous observons des approches assez différentes. Certaines entreprises veulent conserver leurs GPU en interne et les exploiter elles-mêmes, alors que d’autres recherchent davantage de souplesse et préfèrent s'appuyer sur un service opéré.

Nous ne cherchons pas à défendre un modèle plutôt qu'un autre. Notre réflexion commence toujours par la compréhension des besoins du client, ses contraintes, ses cas d’usage et son niveau de maturité. C'est à partir de là que nous pouvons proposer l'architecture la plus pertinente.

Dans de nombreux projets, cette réflexion conduit naturellement vers une infrastructure reposant sur des GPU dédiés, qui répond à plusieurs attentes récurrentes : la maîtrise des données, des performances prévisibles et un environnement qui leur est entièrement réservé.

Mais l’accompagnement de Nubevia ne s'arrête pas là. Nous prenons aussi en charge toute la phase d'optimisation : le choix du GPU, le dimensionnement, la configuration du moteur d'inférence ou encore les paramètres de performance. L'objectif est que le client n'ait pas à devenir expert en infrastructure GPU pour exploiter pleinement ses applications.

Le choix d'une infrastructure est aussi un choix économique. Avec la hausse du coût des tokens observée ces derniers mois, assiste-t-on à un changement d’approche ?

F.G : Nous avons aujourd'hui suffisamment de recul pour tirer quelques enseignements. Certains clients nous ont fait confiance très tôt, à une époque où la facturation au token semblait beaucoup plus attractive qu'une infrastructure GPU dédiée. Ce n'était pas toujours un choix évident, parce que les prix des tokens étaient artificiellement bas dans un contexte de forte concurrence entre les grands fournisseurs.

Quelques années plus tard, le constat est assez clair. Le coût des tokens a fortement augmenté, alors que nos clients ont conservé un coût d'exploitation stable. Ils n'ont pas eu à subir les fluctuations du marché et peuvent continuer à faire évoluer leurs applications avec une bonne visibilité budgétaire.

C'est particulièrement important pour les entreprises qui développent des applications métier ou des services qu'elles commercialisent ensuite auprès de leurs propres clients. Dans ce contexte, la stabilité des coûts devient un véritable avantage concurrentiel. Elle permet de construire un modèle économique durable, d'investir sereinement dans le développement et d'éviter les mauvaises surprises liées aux évolutions tarifaires des API.

Selon vous, qu'est-ce qui fait réellement la réussite d'un projet d'intelligence artificielle, et comment Nubevia y contribue-t-il ?

F.G : La réussite ne dépend pas uniquement de la technologie. Ce qui compte, c'est sa capacité à s'intégrer durablement dans les usages de l'entreprise et à évoluer avec eux. Or, dans ce domaine, tout va très vite : les modèles progressent en permanence, de nouveaux outils apparaissent et les besoins métiers évoluent. Il faut donc construire une architecture suffisamment souple pour accompagner ces changements sans tout remettre en cause à chaque évolution.

C'est précisément dans cette logique que nous avons conçu notre plateforme. Nous proposons une infrastructure, mais nous la considérons comme un moyen, pas comme une finalité. Notre ambition est d'offrir une plateforme applicative capable d'héberger l'ensemble des composants d'un projet d'IA, afin que nos clients puissent faire évoluer leurs usages, intégrer de nouveaux modèles ou de nouveaux services sans reconstruire toute leur architecture.

Ce qui fait réellement la différence, c'est de ne pas avoir à tout reconstruire à chaque évolution du marché (ni techniquement, ni économiquement). C'est exactement ce que l'architecture que Nubevia propose permet d'éviter. Nous n’avons jamais voulu nous positionner comme un simple fournisseur de ressources. Si on tend l'oreille, il y a des choses incroyables à apprendre et c'est par cette écoute qu’un vrai accompagnement se construit.