Alors que l’horizon 2026 se dessine, l’Europe se trouve à un carrefour stratégique, oscillant entre l’ambition proclamée d’une pleine souveraineté numérique et les réalités complexes d’une industrie encore fragmentée. Le déploiement du « Tech Sovereignty Package », avec en son cœur le « Cloud and AI Development Act » (CADA), marque une volonté inédite de reprendre le contrôle de ses infrastructures. Mais au-delà des annonces officielles, la véritable bataille se joue dans les méandres des décrets d’application et la capacité du continent à transformer une posture défensive en une véritable offensive conquérante. Les défis sont colossaux : réduire une dépendance aux géants non-européens estimée à plus de 80 %, combler un fossé technologique abyssal dans les centres de données et l’IA, et surtout, regagner la confiance des citoyens dont les données sensibles transitent souvent par des serveurs soumis à des lois étrangères. L’enjeu n’est plus seulement technologique ou économique ; il est fondamentalement politique et éthique, déterminant la place de l’Europe dans la prochaine décennie numérique mondiale.
L’Europe face au défi de sa souveraineté numérique : un diagnostic sans complaisance
La prise de conscience européenne concernant la souveraineté numérique n’est plus un secret de polichinelle. Depuis une décennie, la question a gagné en acuité, culminant avec le constat, établi par la Commission elle-même, d’une dépendance critique. En effet, plus de 80 % des produits et infrastructures numériques essentiels à l’Europe proviennent de fournisseurs non-européens, une asymétrie qui fragilise l’autonomie stratégique du continent. Face à cette réalité, le « Cloud and AI Development Act » (CADA), promulgué le 3 juin dernier, a été la réponse législative attendue, définissant enfin le cloud souverain et l’imposant pour la commande publique. C’est un pas décisif, mais qui ne saurait masquer la complexité du terrain à conquérir. Le texte marque notamment un progrès majeur en inversant la charge de la preuve : hier, les fournisseurs européens devaient justifier leur légitimité ; aujourd’hui, ce sont les acteurs non-européens qui doivent démontrer qu’ils échappent aux lois extraterritoriales. Cette distinction est cruciale, car elle sépare clairement la cybersécurité de la souveraineté. On peut être parfaitement sécurisé sur le plan technique, et pourtant demeurer entièrement dépendant d’un point de vue juridique et opérationnel.
Le Cloud and AI Development Act (CADA) : entre avancées et zones d’ombre
Le CADA, pierre angulaire du « Tech Sovereignty Package », structure l’acquisition de services cloud par le secteur public en quatre niveaux de souveraineté, du plus courant au plus sensible. Si cette segmentation est une avancée indéniable, garantissant un cadre clair pour les achats, elle recèle également des zones d’ombre significatives qui pourraient en atténuer la portée. L’une des plus préoccupantes se trouve à l’article 18, qui introduit la possibilité pour un fournisseur contrôlé par un pays tiers d’accéder au niveau 3 de souveraineté si la Commission reconnaît ce pays comme équivalent par un acte d’exécution. Cette dérogation est un point de vigilance majeur, car elle pourrait potentiellement réintroduire des acteurs soumis à des lois extraterritoriales, comme le tristement célèbre Cloud Act américain, par une porte dérobée. La confiance accordée à un « pays tiers associé » ne saurait se limiter à des considérations commerciales ou diplomatiques ; elle doit impérativement reposer sur des garanties juridiques et opérationnelles irréfutables concernant l’accès aux données ou la capacité de coupure des services. Sans une vigilance extrême sur ces actes d’exécution, le CADA risquerait d’endormir l’Europe dans une fausse sécurité, un cadre solide sur le papier mais aisément contournable en pratique.
Les pièges de l’exécution : où se joue la vraie bataille du cloud souverain
La solidité d’un cadre législatif ne se mesure pas seulement à la clarté de ses principes, mais surtout à la rigueur de son application. L’article 18 du CADA, avec ses potentialités de dérogation, est le terrain où se décidera la portée réelle de la souveraineté numérique européenne. Il pourrait devenir la « porte de service » par laquelle des acteurs non-européens, initialement visés par la restriction, pourraient finalement s’installer, notamment via des filiales locales des hyperscalers. Pourtant, des initiatives concrètes montrent la voie : la France, avec son référentiel SecNumCloud, et l’Allemagne, qui a récemment publié son propre cadre C3A, avancent de concert. Cet axe franco-allemand de la souveraineté numérique, renforcé par des doctrines claires, pèse déjà dans les négociations et influence la teneur des actes d’exécution à venir. « Ce n’est plus aux fournisseurs européens de justifier leur place dans les appels d’offres, c’est aux fournisseurs non européens de démontrer leur compatibilité avec les exigences de souveraineté », comme le souligne Julie Latawiec, directrice des affaires publiques de Cloud Temple. C’est cette vigilance sur les détails, loin des communiqués de presse, qui déterminera si l’Europe est réellement prête à protéger ses intérêts numériques.
Au-delà de la protection : l’ambition d’une conquête numérique européenne
Au-delà des considérations juridiques, l’autre angle mort du dispositif réside dans l’ambition. La « préférence européenne » inscrite dans le CADA, bien que louable, est qualifiée de « non décisive » et son application est plafonnée. Le cœur véritablement réservé aux acteurs souverains – les niveaux 3 et 4 – ne représente qu’environ un dixième des usages publics. Une prudence commerciale explicable, mais qui interroge sur l’échelle des aspirations. L’Europe, en effet, dépense chaque année près de 264 milliards d’euros en informatique, majoritairement auprès de géants américains. Sécuriser une fraction infime des seuls usages publics, c’est gagner une escarmouche tout en risquant de perdre la guerre. Une souveraineté qui se borne à protéger un périmètre restreint tend à devenir une rente, et toute rente finit par décrocher. La souveraineté qui compte ne se joue pas seulement en défense, mais elle se gagne à l’attaque, d’abord en Europe, puis sur la scène mondiale.
Le cas de l’open source illustre parfaitement cette dynamique. Un logiciel ouvert n’est pas intrinsèquement souverain ; s’il est gouverné et maintenu depuis la Silicon Valley ou Shenzhen, il ne fait que déplacer la dépendance plutôt que de la supprimer. La question pertinente n’est pas de savoir si le code est ouvert, mais qui le pilote et si un acteur européen a la capacité de le reprendre en main. Pour véritablement conquérir sa souveraineté, l’Europe doit cesser de consommer le code des autres pour se mettre à gouverner le sien et à l’imposer comme un standard. Le CADA fixe aux États un objectif non contraignant d’orienter au moins 25 % de leurs achats innovants vers des PME, une intention juste, à condition que ces commandes propulsent ces entreprises vers l’échelle plutôt que de les maintenir au guichet. Voici les exigences qui décideront de tout dans les prochaines années :
- Les niveaux de souveraineté les plus élevés doivent demeurer inaccessibles à tout fournisseur soumis à une loi étrangère à effet extraterritorial, et la dérogation de l’article 18 ne doit en aucun cas devenir un passe-droit négocié au cas par cas.
- La préférence européenne doit cesser d’être un artifice cosmétique pour se traduire par un véritable avantage compétitif en faveur des acteurs du continent.
- L’Europe doit impérativement arrêter de concevoir sa souveraineté comme un simple bouclier protecteur et l’appréhender plutôt comme une véritable stratégie de conquête industrielle et technologique.
Le paradoxe de l’industrie européenne : ambitions législatives face aux réalités du terrain
Malgré les intentions législatives affirmées, le terrain industriel européen reste un défi majeur. Des initiatives comme Gaia-X, lancée en 2020 pour créer un cloud de référence commun, se sont malheureusement diluées dans des compromis, peinant à concrétiser leur promesse. En France, des offres de cloud certifiées par l’ANSSI, telles que Bleu et S3NS, conçues pour les données les plus sensibles de l’État, rencontrent des difficultés à convaincre les grands comptes publics de migrer. Le paradoxe est patent : une législation ambitieuse se heurte à une réalité industrielle encore fragile, marquée par une dépendance persistante aux briques technologiques américaines, une fragmentation entre les États membres, et un lobbying transatlantique particulièrement efficace à Bruxelles. Le plan européen visant à tripler la capacité des data centers en cinq ans est certes audacieux, mais la chaîne d’approvisionnement en semi-conducteurs avancés reste étroitement liée à des acteurs comme TSMC à Taïwan et Nvidia aux États-Unis. Le Chips Act 2.0 est censé pallier cette dépendance, mais les premières lignes de production européennes de semi-conducteurs de dernière génération ne sont pas attendues avant 2029, un horizon lointain dans la course effrénée à l’innovation.
L’enjeu citoyen : la confiance au cœur de la souveraineté numérique
Au-delà des aspects techniques et économiques, la souveraineté numérique est avant tout une question de confiance fondamentale pour les citoyens européens. La volonté de restreindre l’usage des grands fournisseurs de cloud américains (AWS, Microsoft Azure, Google Cloud) pour les données publiques sensibles repose sur trois piliers indissociables. Premièrement, la dimension juridique : le Cloud Act et la FISA Section 702 permettent aux autorités fédérales américaines d’accéder aux données hébergées par des entreprises américaines, où qu’elles se trouvent, sans qu’aucune clause contractuelle ne puisse réellement s’y opposer, comme l’a confirmé l’arrêt Schrems II de la CJUE en 2020. Deuxièmement, la réalité économique : en 2026, ces trois géants américains captent près des deux tiers du marché cloud européen (32 % pour AWS, 24 % pour Azure, 12 % pour Google Cloud selon Synergy Research Group), privant l’industrie européenne de la valeur ajoutée et limitant sa capacité à orienter le développement de services d’IA souverains. Enfin, la dimension géopolitique est désormais incontournable. Dans un contexte de tensions transatlantiques depuis 2025, Bruxelles perçoit cette asymétrie d’approvisionnement comme un risque stratégique majeur. Il s’agit de s’assurer que des informations aussi vitales que les dossiers médicaux des patients ou les données fiscales des contribuables soient traitées sans risque d’accès par des juridictions étrangères. Un sondage Eurobaromètre de mars 2026 a révélé que 71 % des Européens estiment que la souveraineté numérique doit être une priorité stratégique de l’UE, un consensus rare qui traduit une prise de conscience profonde. La souveraineté numérique n’est pas qu’une affaire de puissance industrielle ou de compétition géopolitique, c’est une question de confiance entre les citoyens et leurs institutions, entre les États et les infrastructures qui sous-tendent leurs services essentiels.
2026 : Le tournant géopolitique et la voie à suivre pour l’Europe
Le 27 mai 2026 restera dans les annales comme la date où la Commission européenne a, de manière formelle, franchi un cap décisif. En présentant son « Tech Sovereignty Package », l’Union européenne a transformé des années de débats en une série de textes concrets, dessinant une doctrine cohérente pour son avenir numérique. Ce package inclut non seulement le CADA pour encadrer le cloud et l’IA, mais aussi le Chips Act 2.0 pour relancer la fabrication de puces, et des restrictions significatives sur l’usage des fournisseurs américains pour les données publiques sensibles. Concrètement, si ces textes sont adoptés tels quels, les administrations européennes – ministères, hôpitaux, tribunaux – devront migrer leurs données les plus sensibles vers des fournisseurs certifiés européens d’ici 2029. Les marchés publics du numérique, comme le contrat de 180 millions d’euros déjà attribué en avril 2026 à des acteurs comme OVHcloud, Scaleway ou StackIT pour les besoins des institutions de l’UE, préfigurent un effet d’entraînement sur l’ensemble des États membres.
Une question demeure cependant inévitable : cette orientation va-t-elle mener à une confrontation avec Washington ? Très probablement, oui. L’administration américaine, par la voix de ses ambassadeurs et de ses puissants lobbys technologiques, a déjà exprimé ses inquiétudes, qualifiant ces mesures de protectionnisme déguisé. Des plaintes auprès de l’Organisation Mondiale du Commerce (OMC) ne sont pas à exclure, et l’influence des géants du numérique américain, forte à Bruxelles et dans plusieurs capitales européennes comme Dublin et La Haye, est un facteur à ne pas négliger. Néanmoins, l’Europe semble désormais déterminée à jouer une carte géopolitique autant qu’économique. Dans un contexte de tensions transatlantiques croissantes, Bruxelles assume que la dépendance numérique n’est plus une simple donnée du marché, mais une vulnérabilité stratégique. Ce bras de fer ne fait que commencer, mais l’Europe, riche de ses talents, de sa recherche et de son industrie, se donne enfin le droit et, espérons-le, l’ambition d’écrire son propre chapitre numérique. L’Europe peut-elle réellement rattraper son retard dans la course technologique mondiale ? L’avenir le dira, mais le mouvement est enclenché.
