Mais suffit-il de choisir un prestataire européen et d’héberger ses données en Europe ? Ou faut-il aller plus loin, en examinant les technologies utilisées, les conditions d’exploitation et la capacité à conserver le contrôle de son environnement numérique ?
Dans une étude publiée en octobre 2026, le European Centre for International Political Economy (ECIPE) remet en question certaines approches de la souveraineté du cloud. Son analyse des marchés publics européens souligne un paradoxe : privilégier les fournisseurs nationaux ne garantit pas nécessairement une réduction des dépendances technologiques.
Cette réflexion concerne directement les environnements de travail numériques. Du cloud au poste de travail, la souveraineté doit se traduire par des choix concrets d’architecture, d’exploitation et de déploiement. Analyse en six axes :
Souveraineté du cloud : de quoi parle-t-on vraiment ?
L’ECIPE distingue deux approches complémentaires, mais non équivalentes.
La souveraineté fonctionnelle : maîtriser les risques et garder le contrôle
Elle repose sur la capacité à protéger ses données, maîtriser les accès, assurer la continuité des services et changer de fournisseur si nécessaire. La souveraineté se mesure alors aux garanties opérationnelles : sécurité, gouvernance des données, contrôle des accès, réversibilité et continuité d’activité.
L’enjeu n’est donc pas seulement de savoir où se trouve le prestataire, mais qui accède aux données, qui contrôle les opérations et quelles dépendances peuvent affecter le service.
La souveraineté industrielle : développer les capacités européennes
Cette approche vise à renforcer l’industrie numérique européenne en favorisant les acteurs locaux et en développant des capacités technologiques au sein de l’Union. Un objectif stratégique légitime, mais qui ne constitue pas, à lui seul, une garantie de sécurité ou de maîtrise technique.
Le sous-titrage n'est plus une option mais un levier de croissance : 80 % des vidéos sur les réseaux sociaux sont consommées sans le son. Pourtant, choisir entre le format…
Le paradoxe du cloud souverain européen
L’ECIPE a étudié 8 725 marchés publics liés au cloud, publiés entre 2018 et 2025 dans neuf États membres.
Trois résultats ressortent :
- 97 % des contrats ont été attribués à des fournisseurs enregistrés dans le pays acheteur.
- 100 % des marchés invoquant la souveraineté dans l’échantillon ont été attribués à des fournisseurs nationaux.
- 46 % des marchés mentionnant ce critère n’ont reçu qu’une seule offre, contre 28 % pour les autres.
Ces résultats, limités au périmètre de l’étude, mettent en lumière un risque : des exigences conçues pour renforcer la souveraineté peuvent aussi réduire la concurrence.
Autre constat : des fournisseurs nationaux retenus s’appuient fréquemment sur les infrastructures de grands opérateurs cloud internationaux. La nationalité du prestataire ne suffit donc pas à évaluer les dépendances technologiques. La souveraineté s’apprécie à l’échelle de toute la chaîne : infrastructure, logiciels, exploitation et accès.
Le Cloud and AI Development Act : sécurité ou fragmentation du marché ?
La proposition européenne de Cloud and AI Development Act (CADA) vise à structurer les exigences de souveraineté applicables aux services cloud et d’intelligence artificielle. Elle prévoit quatre niveaux d’assurance, avec des critères croissants concernant notamment l’établissement du fournisseur, la localisation des infrastructures et des personnels, ainsi que le contrôle exercé par des entités de pays tiers.
Dans son analyse, l’ECIPE estime que des critères trop largement fondés sur l’origine ou la propriété risquent de limiter la concurrence sans garantir une réduction équivalente des risques. The Register (19 octobre 2026) et Techzine (20 octobre 2026) relaient également les interrogations sur le risque de fragmentation du marché européen.
L’enjeu n’est pas de renoncer aux exigences de souveraineté, mais de les rendre proportionnées aux risques et vérifiables. Les besoins d’un service administratif courant ne sont pas ceux d’un système traitant des données particulièrement sensibles.
Passez à la cybersécurité proactive, transformez la collecte et l’analyse des logs en un bouclier dynamique contre les cybermenaces. Découvrez comment mettre en place une approche SIEM modulaire, évolutive et…
Du cloud au poste de travail : la souveraineté au quotidien
Les organisations ne confient pas seulement leurs données à une infrastructure. Elles exécutent des applications, gèrent des identités et autorisent des accès. Le poste de travail constitue donc un maillon essentiel de la souveraineté numérique.
Une infrastructure de postes de travail virtuels (VDI, Virtual Desktop Infrastructure) permet de centraliser l’exécution et la gestion des environnements de travail tout en offrant un accès distant aux applications et aux ressources.
Cette architecture facilite l’administration, le contrôle des configurations et la gestion des accès. Mais la virtualisation ne garantit pas automatiquement la souveraineté : celle-ci dépend également de l’hébergement, de l’authentification, des privilèges d’administration, des dépendances logicielles et des conditions contractuelles.
Pour les DSI, plusieurs critères doivent être évalués :
- Sécurité : contrôle des accès et protection des données.
- Maîtrise opérationnelle : identification des acteurs et des droits d’administration.
- Performance : expérience utilisateur adaptée aux usages métiers.
- Continuité d’activité : disponibilité et reprise après incident.
- Réversibilité : capacité réelle à faire évoluer l’architecture ou à changer de prestataire.
VDI souverain : les questions à poser avant de choisir
Pour évaluer la souveraineté d’une solution VDI, cinq questions sont essentielles :
- Où s’exécutent les postes et où résident les données ?
Sur l’infrastructure du fournisseur, d’un tiers ou de l’organisation elle-même ?
- Quelles technologies sont utilisées ?
Hyperviseur, streaming, authentification : quelles sont les dépendances logicielles et technologiques ?
- Qui administre l’environnement ?
Quels acteurs disposent de droits d’accès et dans quelles conditions ?
- Comment la continuité est-elle assurée ?
Dépendances aux services distants, mode dégradé et reprise d’activité sont-ils anticipés ?
- Quelle est la réversibilité réelle ?
Portabilité des environnements, modèle de licence et capacité à changer de prestataire sont-ils garantis ?
Ces critères permettent de comparer les solutions sur la base de la maîtrise effective, au-delà de la nationalité du fournisseur.
Construire une souveraineté numérique fondée sur la maîtrise réelle
L’étude de l’ECIPE invite à distinguer deux ambitions : développer les capacités technologiques européennes et garantir aux organisations un contrôle effectif de leurs services numériques. Ces objectifs peuvent se compléter. Mais la souveraineté opérationnelle exige des garanties vérifiables, une maîtrise des dépendances et la possibilité de faire évoluer ses choix technologiques.
Pour les environnements de travail, cette réflexion englobe le poste virtuel, les applications, les identités, les accès et l’infrastructure. La souveraineté numérique ne se résume donc pas à la localisation des données ou à la nationalité d’un fournisseur. Elle suppose une approche globale permettant de concilier sécurité, performance, continuité d’activité et autonomie technologique.
La question essentielle n’est pas seulement de savoir si un cloud est européen, mais de déterminer ce que l’organisation contrôle réellement, les risques qu’elle maîtrise et les options qu’elle conserve.
La souveraineté numérique devient alors une capacité opérationnelle : protéger ses données, piloter son environnement et garder la maîtrise de ses choix dans la durée.
Sources
- ECIPE, Cloud Sovereignty and the Single Market: A Better Understanding of Government Procurement and National Cloud Technology Preferences
- The Register, « Europe’s cloud sovereignty rules could do more harm than good », 19 octobre 2026
- Techzine, « European cloud sovereignty restricts competition », 20 octobre 2026
