Fondée en 2010 à Nantes, en France, Clever Cloud s'est imposée comme un acteur de premier plan du cloud computing européen, spécialisé dans des solutions de Platform as a Service (PaaS) innovantes. Notre mission première est de donner aux développeurs les moyens d'agir, en fournissant une infrastructure fiable, scalable et sécurisée qui permet de développer, déployer et gérer des applications sans friction. Clever Cloud est fermement attachée aux principes de la souveraineté numérique et aux valeurs européennes, tout en plaidant pour un écosystème numérique résilient et stratégiquement autonome. Nous estimons que l'Europe doit faire de son écosystème numérique une priorité, afin que les entreprises et les autorités publiques puissent fonctionner de façon indépendante, sans dépendre de solutions non européennes inadaptées. Notre expertise, portée par des effectifs composés à plus de 70 % de développeurs et d'ingénieurs, fait de nous une entreprise d'experts dédiée à la fois à l'excellence technique et à de fortes valeurs éthiques européennes.

Acteur engagé du cadre législatif européen, Clever Cloud participe à des initiatives décisives pour renforcer la souveraineté numérique de l'Europe. Nous contribuons à l'élaboration de cadres clés comme le Digital Markets Act (DMA), l'EU Cybersecurity Act et, bien sûr, le futur EU Cloud and AI Development Act, entre autres... Notre implication dans des organisations telles qu'Eurosmart, l'European Alliance for Industrial Data, Edge & Cloud, France Digitale, l'Open Internet Project et CISPE reflète notre engagement à promouvoir des schémas de certification européens robustes et à garantir que l'infrastructure cloud respecte et protège les droits des utilisateurs. À travers des partenariats avec de grandes entreprises technologiques européennes, tout en préservant la liberté de marché. De fait, nous bâtissons un écosystème numérique cohérent qui favorise l'innovation et une concurrence réellement libre, tout en préservant les libertés individuelles. Notre engagement à créer des projets open source et à y contribuer témoigne encore de notre conviction que la collaboration est un moyen de renforcer la souveraineté numérique européenne.

Une première étape bienvenue et pionnière vers une souveraineté numérique effective, ancrée dans les capacités européennes

Jean Monnet observait, dans une formule restée célèbre, que les gens n'acceptent le changement que lorsqu'il devient nécessaire, et ne reconnaissent la nécessité qu'en temps de crise.

Le 3 juin 2026, la Commission européenne a dévoilé le Cloud and AI Development Act (CAIDA), franchissant une étape importante et opportune face à l'un des défis stratégiques les plus pressants de l'Europe : garantir que l'Union puisse s'appuyer sur une infrastructure numérique sûre, résiliente, compétitive et réellement européenne.

Dans le cadre du Tech Sovereignty Package, la proposition s'inscrit dans un effort plus large visant à renforcer la souveraineté technologique et la capacité industrielle de l'Europe dans le cloud, les centres de données et l'intelligence artificielle. Elle introduit un cadre commun bâti autour de quatre niveaux d'assurance harmonisés à l'échelle de l'UE pour les services cloud, et cherche à apporter une réponse plus structurée aux risques nés d'une dépendance excessive à l'égard d'un nombre limité de fournisseurs non européens.

Clever Cloud salue cette initiative comme une étape importante et opportune pour renforcer la souveraineté numérique de l'Europe.

Pour la première fois, l'infrastructure cloud, la gouvernance des données, les plateformes, les algorithmes et l'intelligence artificielle ne sont plus traités comme de simples couches techniques ou des lignes d'achat, mais comme des actifs stratégiques sur lesquels reposent la compétitivité, la résilience, les services publics et l'autonomie démocratique de l'Europe. La manière dont l'Europe conçoit, achète et gouverne son infrastructure numérique ne peut pas être dictée par la seule commodité de court terme ni par le pouvoir de marché d'une poignée de fournisseurs dominants non européens. Elle doit aussi refléter les valeurs de l'Union, ses intérêts stratégiques et sa capacité d'agir sur le long terme.

Le CAIDA envoie un signal fort : l'Europe n'est pas condamnée à rester suiveuse ni simple consommatrice de technologies conçues et gouvernées ailleurs. Elle a la capacité de redevenir innovatrice et de reprendre le leadership, en concevant, construisant et exploitant l'infrastructure numérique critique qui soutiendra sa compétitivité, ses services publics et son autonomie démocratique.

Le cadre proposé de niveaux d'assurance constitue une avancée particulièrement importante. En s'éloignant d'une lecture binaire opposant cloud « souverain » et « non souverain », le CAIDA introduit une approche plus mûre et opérationnelle, fondée sur des critères documentés, auditables et vérifiables. C'est essentiel. La souveraineté ne doit plus être quelque chose qu'un fournisseur peut simplement revendiquer. Elle doit être démontrée.

Un tel cadre peut aussi contribuer à rétablir les conditions d'un marché du cloud plus fonctionnel et d'une concurrence plus équitable. La souveraineté numérique ne doit pas s'entendre comme une fermeture du marché. Elle doit plutôt s'entendre comme la capacité de l'Union à corriger les asymétries structurelles qui empêchent aujourd'hui les fournisseurs européens de concurrencer à armes égales des acteurs mondiaux dominants, bénéficiant d'effets d'échelle massifs, de dépendances enracinées et de positions quasi systémiques dans la commande publique.

Clever Cloud salue également l'objectif de la proposition d'attribuer 25 % de la commande publique innovante dans le cloud et l'IA à des PME innovantes. C'est un signal fort et bienvenu. Depuis le principe « Think Small First » introduit en 2008, l'Union a reconnu à plusieurs reprises la nécessité de mieux intégrer les PME à la politique industrielle et à la commande publique. Le CAIDA offre désormais l'occasion de traduire ce principe dans les faits et de poser les bases d'un véritable Small Business Act européen pour le cloud et l'IA.

Toutefois, si le CAIDA pose les bonnes fondations, il doit maintenant être renforcé tout au long du processus législatif.

La proposition entre en procédure législative ordinaire, et son impact final dépendra des amendements adoptés par les colégislateurs, ainsi que des actes d'exécution ultérieurs, des actes délégués, des méthodologies d'audit, de l'interprétation des niveaux d'assurance, de l'articulation avec les schémas de certification existants et des critères retenus pour désigner les pays tiers comme « partenaires de confiance ».

Plusieurs éléments appellent donc une attention particulière.

• Premièrement, le traitement des fournisseurs de pays tiers doit être clarifié et resserré. Si le CAIDA traite à juste titre les risques liés aux fournisseurs sous contrôle étranger, le traitement des hyperscalers américains reste une question centrale. Clever Cloud soutient le choix de ne pas adopter une approche binaire simpliste de la souveraineté numérique. Cependant, les conditions dans lesquelles des fournisseurs sous contrôle d'un pays tiers peuvent accéder à des niveaux d'assurance élevés, notamment le niveau 3, doivent être définies avec le plus haut degré de précision juridique et opérationnelle.
• Sur certains sujets, comme la conformité au RGPD ou l'existence de mécanismes d'adéquation pour les transferts de données au titre de l'EU-U.S. Data Privacy Framework, une discussion est possible. Pourtant, les véritables préoccupations de souveraineté se situent ailleurs : extraterritorialité, accès potentiel par des autorités étrangères, interruption ou dégradation de service, sanctions, embargos, dépendance technologique et contrôle effectif. Sur ces points, la confiance ne peut être présumée. Elle doit être évaluée, documentée, surveillée et, le cas échéant, retirée. De fait, nous considérons que la proposition vise avant tout les fournisseurs non européens, en particulier chinois, mais qu'elle ne traite pas la question des hyperscalers américains. Et c'est particulièrement vrai lorsqu'il s'agit du US Cloud Act ou du FISA.
• Deuxièmement, le CAIDA ne doit pas devenir un véhicule de légitimation du « sovereign washing ». Un service cloud ne devrait pas être considéré comme souverain au seul motif que les données sont hébergées en Europe, ou qu'une couche contractuelle européenne est posée par-dessus une stack technologique non européenne. La souveraineté numérique effective doit s'apprécier à l'aune du contrôle, de l'exposition juridictionnelle, de l'autonomie opérationnelle, de l'auditabilité, de la réversibilité, de la continuité de service et de la gestion des dépendances.
• Troisièmement, la relation entre le CAIDA et les schémas de certification cloud existants ou à venir, en particulier le European Cybersecurity Certification Scheme for Cloud Services (EUCS), doit être explicitée. Le CAIDA devrait prévoir une mise en correspondance cohérente avec les schémas de certification pertinents lorsque les exigences se recoupent, tout en garantissant que la certification de cybersécurité n'est pas utilisée comme substitut à l'évaluation de souveraineté. EUCS et CAIDA devraient être complémentaires : la certification peut soutenir la collecte de preuves, mais elle ne doit pas diluer les critères de souveraineté distincts introduits par le CAIDA.
• Quatrièmement, la proposition devrait mieux reconnaître le rôle des fournisseurs privés européens de confiance. La EuroCloud Federation, telle qu'envisagée actuellement, paraît conçue avant tout comme un mécanisme de coopération public-public. Une telle coopération est précieuse et doit être soutenue. Pourtant, l'Europe ne parviendra pas à une souveraineté numérique effective par le seul partage d'infrastructures publiques. Elle doit aussi mobiliser des fournisseurs privés européens qualifiés, auditables et de confiance, capables d'apporter innovation, excellence opérationnelle, résilience et passage à l'échelle.

Le débat ne porte donc plus seulement sur la définition de ce qu'est un cloud souverain. La question centrale est de savoir si l'Europe est prête à prendre les mesures globales nécessaires pour rendre la souveraineté effective : par la commande publique, l'auditabilité, l'open source, la capacité de centres de données, la concurrence équitable, la participation des PME, les dépendances technologiques, le contrôle du capital, les cadres de certification, les obligations de migration, la gouvernance des infrastructures critiques et une préférence européenne claire.

À travers ce position paper, Clever Cloud entend identifier les priorités clés nécessaires pour que le CAIDA ne soit pas un simple cadre réglementaire de plus, mais un véritable instrument de souveraineté numérique effective, ancrée dans les capacités européennes, la concurrence équitable et la résilience technologique.

La première étape a été franchie. L'Europe doit maintenant s'assurer qu'elle tient ses promesses.

1. Réserver le niveau d'assurance 3 de l'Union aux fournisseurs sous contrôle européen

L'article 18 introduit un mécanisme par lequel la Commission peut, au moyen d'actes d'exécution, identifier des pays tiers dont les fournisseurs de services cloud, ou les fournisseurs contrôlés par des entités juridiques établies dans ces pays, peuvent être audités au regard des critères du niveau d'assurance 3 de l'Union.

Si ce mécanisme reflète l'approche de la proposition fondée sur les risques et non binaire de la souveraineté numérique, il soulève aussi une préoccupation importante quant à l'intégrité du cadre des niveaux d'assurance.

Clever Cloud soutient une approche proportionnée et différenciée. Toutes les charges de travail ne requièrent pas le même niveau d'assurance, et pour des cas d'usage à faible risque ou peu sensibles, il peut être approprié de permettre à des fournisseurs contrôlés depuis des pays tiers de confiance de se qualifier dans des conditions strictes et clairement définies.

Cependant, le niveau d'assurance 3 de l'Union devrait représenter un seuil plus élevé d'assurance de souveraineté. Il devrait être le niveau auquel le contrôle européen effectif devient une exigence structurelle, et non une affaire d'atténuation, de garanties contractuelles ou de désignation politique.

La difficulté tient à la relation entre l'article 18 et l'article 45 du RGPD. Au titre de l'article 18, l'existence d'une décision d'adéquation au sens de l'article 45 du RGPD est l'une des conditions qui peuvent permettre à la Commission d'identifier un pays tiers comme suffisamment de confiance aux fins du cadre d'assurance du CAIDA. Dans le cas des États-Unis, l'EU-U.S. Data Privacy Framework pourrait ainsi créer une voie juridique et politique permettant de traiter les fournisseurs américains comme des fournisseurs issus d'un pays tiers « de confiance ».

Cela soulève une contradiction fondamentale.

L'objectif politique du CAIDA est précisément de réduire l'exposition de l'Europe au contrôle d'un pays tiers, aux législations extraterritoriales et à la dépendance stratégique dans les infrastructures cloud et IA critiques. Or, si l'article 18 permet de reconnaître un pays tiers comme de confiance en raison d'un cadre d'adéquation pour les transferts de données, des fournisseurs soumis à l'ordre juridique de ce pays pourraient tout de même accéder au niveau d'assurance 3 de l'Union, alors même qu'ils restent exposés à des législations extraterritoriales, dont le US CLOUD Act et le FISA.

La question dépasse donc largement les transferts de données personnelles. Les décisions d'adéquation au titre de l'article 45 du RGPD peuvent traiter une partie du cadre juridique applicable aux transferts internationaux de données personnelles. Elles ne traitent pas, en revanche, l'ensemble des risques de souveraineté plus larges que posent l'accès par une autorité étrangère, l'exposition aux sanctions, la continuité de service, la dépendance technologique, l'autonomie opérationnelle ou le contrôle effectif non européen.

Cette préoccupation n'est pas théorique. Les récentes tensions transatlantiques autour de la régulation numérique européenne, dont les critiques américaines à l'égard du Digital Services Act et les accusations de « censure extraterritoriale » visant des acteurs européens, illustrent que la régulation numérique et la gouvernance technologique sont désormais des leviers géopolitiques. Elles montrent aussi que le statut d'allié n'élimine pas le risque de pression politique, de conflit juridique ou d'affirmation extraterritoriale dans la sphère numérique.

À cet égard, le CAIDA traite à juste titre les risques liés aux fournisseurs contrôlés depuis des juridictions où n'existent ni décision d'adéquation, ni accès réciproque au marché, ni cadre de coopération de confiance, comme la Chine. Cependant, la rédaction actuelle reste moins robuste lorsqu'elle s'applique aux fournisseurs américains. L'EU-U.S. Data Privacy Framework peut soutenir une partie de l'évaluation d'adéquation pour les transferts de données personnelles, mais il ne devrait pas être considéré comme suffisant pour résoudre les préoccupations fondamentales de souveraineté liées à l'extraterritorialité, au contrôle effectif et à l'autonomie opérationnelle.

Pour ces raisons, Clever Cloud considère que la reconnaissance d'un pays tiers au titre de l'article 18 ne devrait pas ouvrir de voie d'accès au niveau d'assurance 3 de l'Union. Une telle reconnaissance peut être appropriée pour les niveaux d'assurance inférieur ou substantiel, sous réserve de garanties strictes, mais le niveau 3 devrait rester réservé aux fournisseurs établis dans l'Union et soumis à un contrôle européen effectif.

Recommandations

Clever Cloud recommande que la reconnaissance d'un pays tiers au titre de l'article 18 n'ouvre l'accès qu'au niveau d'assurance 2 de l'Union, et non au niveau 3.

Le niveau d'assurance 3 de l'Union devrait être réservé aux fournisseurs qui sont :

• établis dans l'Union ;
• soumis à un contrôle européen effectif ;
• non contrôlés par un pays tiers ou par une entité juridique établie dans un pays tiers ;
• protégés des régimes juridiques étrangers permettant accès, perturbation, dégradation ou influence coercitive ;
• autonomes sur le plan opérationnel au sein de l'Union ;
• en mesure de démontrer leur contrôle sur l'infrastructure critique, le personnel, le support, les plans de gestion (management planes), le matériel cryptographique et les procédures de continuité.

Cela préserverait la proportionnalité tout en maintenant l'intégrité du cadre :

• Niveau 1 : assurance de base, ouverte lorsque les exigences pertinentes sont remplies ;
• Niveau 2 : assurance substantielle, potentiellement ouverte à des fournisseurs de pays tiers de confiance sous garanties strictes et cumulatives ;
• Niveau 3 : assurance de souveraineté élevée, réservée aux fournisseurs sous contrôle européen ;
• Niveau 4 : assurance de souveraineté la plus élevée, réservée aux cas d'usage les plus critiques.

L'objectif n'est pas d'exclure les fournisseurs de pays tiers du marché européen, mais de garantir que l'assurance de souveraineté élevée conserve un sens.

2. Garantir une mise en correspondance cohérente entre les niveaux d'assurance du CAIDA et la certification EUCS

Le CAIDA introduit un nouveau cadre fondé sur quatre niveaux d'assurance harmonisés à l'échelle de l'UE pour les services cloud. C'est une avancée bienvenue, car elle offre une approche structurée des risques liés à la souveraineté, au-delà des seules considérations techniques de cybersécurité.

Cependant, la proposition devrait préciser davantage la manière dont ce nouveau cadre s'articulera avec les schémas de certification européens existants ou à venir, en particulier le European Cybersecurity Certification Scheme for Cloud Services (EUCS).

À ce stade, le CAIDA semble permettre au cadre de souveraineté de s'appuyer sur les schémas de certification existants lorsque c'est pertinent. C'est utile. Pourtant, la relation inverse n'est pas suffisamment claire.

Un service cloud certifié au titre de l'EUCS devrait pouvoir réutiliser les preuves de cybersécurité pertinentes pour soutenir l'évaluation au titre du CAIDA lorsque les exigences se recoupent réellement. Cependant, la certification EUCS ne devrait pas accorder automatiquement un niveau d'assurance CAIDA.

Certification de cybersécurité et évaluation de souveraineté sont complémentaires, mais elles ne sont pas équivalentes.

L'EUCS traite avant tout des critères de cybersécurité. Le CAIDA traite des considérations de souveraineté plus larges, dont le contrôle, l'exposition juridictionnelle, l'accès par des autorités étrangères, la continuité de service, la réversibilité, les risques de dépendance et l'autonomie opérationnelle effective.

Recommandations

Le CAIDA devrait prévoir explicitement un mécanisme structuré et bidirectionnel de mise en correspondance entre les niveaux d'assurance du CAIDA et la certification EUCS.

Ce mécanisme devrait :

• identifier quelles exigences EUCS peuvent être réutilisées comme preuves pour les niveaux 1, 2, 3 ou 4 du CAIDA ;
• clarifier quelles exigences de souveraineté du CAIDA ne sont pas couvertes par l'EUCS et doivent être évaluées séparément ;
• permettre aux fournisseurs de services cloud de réutiliser les preuves d'audit et de certification d'un cadre à l'autre ;
• empêcher toute équivalence automatique entre certification de cybersécurité et reconnaissance de souveraineté ;
• permettre aux entités privées de s'appuyer sur les niveaux d'assurance du CAIDA comme cadre de référence volontaire pour la commande publique, l'évaluation des fournisseurs et la gestion du risque cloud ;
• réduire la charge administrative tout en préservant l'intégrité du cadre de souveraineté.

Le principe directeur devrait être clair :

L'EUCS peut soutenir la collecte de preuves pour le CAIDA, mais il ne doit pas remplacer l'évaluation dédiée des critères de souveraineté.

3. Établir un cadre structuré d'accréditation et d'audit pour l'annexe II et l'annexe III dans le cadre du New Legislative Framework

L'article 21 prévoit que les organismes d'audit évaluent la conformité aux critères énoncés à l'annexe II sur la base des preuves d'audit listées à l'annexe III. Il habilite également la Commission à adopter des actes délégués pour modifier l'annexe III en fixant les preuves nécessaires à l'évaluation des critères d'audit de l'annexe II.

Cette disposition est importante, mais insuffisante.

L'annexe II et l'annexe III définiront la substance pratique du CAIDA. Elles détermineront ce que la souveraineté signifie concrètement, comment elle est démontrée, et quelles preuves les fournisseurs devront soumettre aux auditeurs.

Ces annexes ne devraient pas être traitées comme des listes statiques. Les risques de souveraineté évoluent vite. Les législations extraterritoriales, les mécanismes d'accès par une autorité étrangère, les architectures de plans de gestion, les dépendances des infrastructures d'IA, les pratiques de chiffrement, les modèles de support, les exigences d'interopérabilité et les contraintes de portabilité ne sont pas figés.

Si l'annexe II et l'annexe III ne sont pas maintenues par un processus structuré et transparent, plusieurs risques peuvent survenir :

• interprétation incohérente d'un État membre à l'autre ;
• pratiques d'audit divergentes ;
• forum shopping de la part des fournisseurs ;
• exigences de preuve obsolètes ;
• évaluation insuffisante des risques émergents ;
• charge de conformité excessive pour les PME européennes ;
• perte de crédibilité du cadre des niveaux d'assurance.

L'écosystème d'audit doit lui aussi être harmonisé. Les audits indépendants par des tiers ne seront dignes de confiance que si les organismes qui les réalisent sont compétents, indépendants et accrédités selon une approche européenne commune.

Recommandations

Clever Cloud recommande d'établir un cadre structuré d'accréditation et d'audit pour le CAIDA.

Premièrement, la Commission devrait évaluer régulièrement l'adéquation, la pertinence et la proportionnalité de l'annexe II et de l'annexe III, en tenant compte des évolutions technologiques, juridiques, géopolitiques et de marché.

Deuxièmement, cette revue devrait être soutenue par un mécanisme d'experts public-privé, capable d'apporter un éclairage sur les questions d'interprétation, les risques émergents, les preuves d'audit et les mises à jour nécessaires.

Troisièmement, les organismes d'audit devraient être accrédités par des organismes nationaux d'accréditation au sens du règlement (CE) n° 765/2008, ou d'un cadre d'accréditation équivalent de l'Union. Cela alignerait le cadre d'audit sur la logique du New Legislative Framework et aiderait à éviter la fragmentation.

L'autorité nationale compétente devrait rester responsable de la décision finale de reconnaissance. L'audit sous-jacent devrait toutefois être réalisé par des organismes accrédités dotés d'une compétence technique, juridique et organisationnelle démontrée.

Le périmètre d'accréditation devrait couvrir la capacité à évaluer :

• le contrôle effectif ;
• l'exposition juridictionnelle ;
• l'extraterritorialité ;
• le fait que le contrôle ultime des droits de vote soit détenu de façon prédominante par des entités européennes ;
• la localisation des données ;
• l'autonomie opérationnelle ;
• la continuité de service ;
• les risques de dépendance ;
• la réversibilité ;
• l'interopérabilité ;
• la portabilité ;
• la qualité des preuves d'audit.

L'objectif de politique publique devrait être simple :

L'annexe II et l'annexe III doivent être activement maintenues, et les audits doivent être réalisés par des organismes accrédités dans le cadre d'un dispositif européen harmonisé.

4. Établir un forum d'experts public-privé sur l'assurance cloud pour soutenir l'interprétation et l'évolution du CAIDA

Le CAIDA introduit un cadre de niveaux d'assurance complexe et innovant. Son efficacité dépendra d'une interprétation cohérente, de mises à jour régulières et d'orientations pratiques.

Cependant, la proposition manque pour l'instant d'un mécanisme d'experts public-privé dédié pour soutenir l'interprétation des niveaux d'assurance, des exigences de l'annexe II et la mise en œuvre pratique du cadre.

C'est une lacune critique.

Le cadre devra traiter des questions évolutives et complexes : extraterritorialité, contrôle effectif, autonomie opérationnelle, risques de dépendance, réversibilité, interopérabilité, portabilité, preuves d'audit, statut de partenaire de confiance et menaces technologiques émergentes.

Ces questions ne peuvent être traitées par les seules dispositions juridiques statiques. Elles exigent un dialogue continu entre autorités publiques, autorités nationales compétentes, fournisseurs de services cloud, experts en cybersécurité, auditeurs, PME, utilisateurs, communautés open source et parties prenantes de la société civile.

Des mécanismes comparables existent déjà dans d'autres domaines de la politique numérique de l'UE. Le NIS Cooperation Group offre un forum aux autorités nationales. Les cadres de certification de cybersécurité s'appuient eux aussi sur la coopération et l'apport d'experts pour soutenir maintenance et interprétation.

Le CAIDA devrait suivre la même logique.

Recommandations

Clever Cloud recommande d'établir un forum d'experts public-privé sur l'assurance cloud dans le cadre du CAIDA.

Ce forum ne devrait pas se substituer à la Commission, aux États membres ou aux autorités nationales compétentes. Son rôle devrait être d'apporter un éclairage technique, de marché et opérationnel structuré.

Il devrait soutenir la Commission et les autorités nationales compétentes en :

• facilitant l'échange d'informations et de bonnes pratiques ;
• soutenant l'interprétation des niveaux d'assurance de l'Union ;
• contribuant à l'interprétation de l'annexe II et de l'annexe III ;
• identifiant les risques juridiques, géopolitiques, techniques et de marché émergents ;
• conseillant sur les mises à jour des annexes, des orientations, des spécifications techniques et des actes d'exécution ;
• soutenant l'élaboration d'orientations pour le secteur privé au titre de l'article 31 ;
• contribuant aux exigences d'interopérabilité, de portabilité, de réversibilité et de lutte contre le verrouillage (anti-lock-in) ;
• veillant à ce que les PME et les fournisseurs cloud européens puissent apporter une contribution pratique.

Le forum devrait inclure des représentants :

• des fournisseurs de services cloud européens ;
• des PME et des entreprises de taille intermédiaire (mid-cap) ;
• des utilisateurs du secteur public ;
• des utilisateurs du secteur privé opérant dans des secteurs critiques ;
• des organismes d'audit ;
• des experts en cybersécurité ;
• des organismes de normalisation ;
• des communautés open source ;
• des experts de la protection des données ;
• des organisations de la société civile.

Le principe directeur devrait être :

Le CAIDA ne devrait pas reposer uniquement sur l'interprétation administrative. Il a besoin d'un mécanisme d'experts public-privé structuré pour rester pratique, favorable à l'innovation et résilient face aux risques de souveraineté émergents.

5. La EuroCloud Federation : inclure les fournisseurs privés européens de confiance

La EuroCloud Federation, introduite par l'article 34, est l'un des leviers clés par lesquels le CAIDA cherche à soutenir la coopération cloud du secteur public. Elle vise à faciliter le partage de services cloud et de centres de données entre entités de l'Union et organismes du secteur public.

L'idée d'un mécanisme de coopération public-public approfondi est utile et doit être soutenue.

Cependant, telle qu'elle est conçue actuellement, la EuroCloud Federation paraît trop limitée. Elle n'inclut pas les fournisseurs privés européens de confiance.

L'Europe ne bâtira pas une souveraineté numérique effective par le seul partage d'infrastructures publiques. Elle doit aussi mobiliser des fournisseurs privés européens qualifiés, auditables et de confiance, capables d'apporter innovation, excellence opérationnelle, résilience et passage à l'échelle.

Une fédération limitée aux acteurs publics risque de passer à côté d'une part significative de la capacité cloud et de l'écosystème d'innovation existants en Europe.

Recommandations

Clever Cloud recommande que le CAIDA reconnaisse mieux le rôle des fournisseurs privés européens de confiance, au sein ou aux côtés de la EuroCloud Federation.

Cela ne signifie pas transformer la EuroCloud Federation en une place de marché commerciale non régulée. Il s'agit plutôt de créer un rôle structuré pour les fournisseurs privés européens qui satisfont à des exigences claires de souveraineté, d'auditabilité et de confiance.

Cela pourrait passer par :

• un cadre dédié aux fournisseurs privés européens de confiance ;
• l'intégration des fournisseurs cloud européens reconnus dans les catalogues liés à EuroCloud ;
• des canaux de commande publique reliés à la EuroCloud Federation ;
• des mécanismes de mutualisation de capacités public-privé ;
• un accès prioritaire pour les fournisseurs reconnus au titre des niveaux d'assurance CAIDA élevés ;
• des mécanismes permettant aux organismes du secteur public de s'appuyer sur des partenaires privés européens de confiance pour le déploiement, l'exploitation, le passage à l'échelle et la résilience.

L'objectif devrait être de combiner coopération public-public et mobilisation public-privé.

Le principe directeur devrait être :

« La EuroCloud Federation ne devrait pas devenir un mécanisme fermé, réservé au public. Elle devrait aider à mobiliser l'ensemble de l'écosystème cloud européen, y compris les fournisseurs privés européens de confiance. »

6. Permettre aux entités privées d'utiliser le CAIDA comme cadre pratique d'évaluation des risques

L'article 31 permet aux entités du secteur privé opérant dans des secteurs à forte criticité de réaliser des évaluations d'impact similaires à celles exigées des organismes du secteur public.

C'est une disposition positive. Les risques de souveraineté ne concernent pas que le secteur public. Les entreprises privées traitent elles aussi des données sensibles, critiques ou stratégiques et dépendent des services cloud pour des opérations essentielles.

Cependant, l'article 31 reste trop limité. Il ne devrait pas se contenter de permettre aux entités privées de mener des évaluations. Il devrait leur fournir un cadre pratique, harmonisé et réutilisable.

Les entités privées devraient pouvoir s'appuyer sur les niveaux d'assurance du CAIDA pour la commande de services cloud, l'évaluation des fournisseurs et la gestion des risques. Cela est particulièrement pertinent pour les entreprises soumises à NIS2, au CRA, à DORA, au RGPD, au Data Act ou à d'autres exigences sectorielles.

Par exemple, une entreprise privée sélectionnant un service cloud pour des cas d'usage opérationnels ou industriels sensibles devrait pouvoir utiliser les orientations de la Commission pour mener une évaluation des risques de souveraineté, déterminer le niveau CAIDA pertinent et choisir un service reconnu ou audité en conséquence.

Recommandations

Clever Cloud recommande que la Commission publie des orientations dédiées aux entités du secteur privé, dont les PME et les entreprises opérant dans des secteurs à forte criticité, afin que toutes les entreprises européennes ayant des ambitions légitimes de traiter, héberger ou gérer des données critiques puissent s'appuyer sur un cadre clair, proportionné et opérationnel.

De telles orientations devraient inclure :

• une méthodologie d'évaluation des risques de souveraineté cloud pour le secteur privé ;
• des modèles pratiques et des outils d'évaluation ;
• des exemples sectoriels ;
• des orientations pour les PME et les entreprises de taille intermédiaire (mid-cap) ;
• une mise en correspondance entre catégories de données, criticité métier et niveaux CAIDA pertinents ;
• des mesures d'atténuation suggérées ;
• des orientations sur le moment d'utiliser le niveau 1, 2, 3 ou 4 ;
• des orientations sur les stratégies multi-cloud et multi-fournisseurs ;
• un alignement avec NIS2, le CRA, DORA, le RGPD, le Data Act et les obligations sectorielles.

L'usage du CAIDA par le secteur privé devrait rester volontaire, mais le cadre devrait être suffisamment utilisable pour devenir un standard de marché de confiance.

Le principe directeur devrait être : « L'article 31 devrait devenir le pont entre le CAIDA et le marché privé. »

7. Transformer l'objectif de 25 % de commande publique aux PME en un véritable Small Business Act européen pour le cloud et l'IA

L'article 33 introduit l'une des dispositions les plus prometteuses du CAIDA : les États membres poursuivent l'objectif qu'au moins 25 % de leur commande publique de services cloud et de systèmes d'IA soit attribuée à des PME innovantes.

Clever Cloud salue vivement cette disposition, qui reflète une mesure que nous défendons depuis 2010.

C'est une étape importante et plutôt inattendue vers la traduction du principe de longue date « Think Small First » en résultats concrets de marché.

Cependant, la rédaction actuelle reste trop faible. Un objectif non contraignant, sans mécanismes clairs de suivi, de reporting, d'audit ou d'application, risque de rester purement déclaratif.

Si le CAIDA doit devenir un véritable instrument de politique industrielle, l'article 33 devrait être renforcé pour devenir un vrai Small Business Act européen pour le cloud et l'IA.

La commande publique est l'un des instruments de structuration de marché les plus puissants de l'Union européenne. Elle détermine quelles entreprises peuvent passer à l'échelle, quelles technologies deviennent des standards de fait, et quelles chaînes de valeur l'Europe contrôle sur le long terme.

Dans les secteurs numériques stratégiques (cloud, IA, cybersécurité, infrastructures de données, logiciels critiques et services publics numériques) les choix de commande publique ne sont pas neutres. Ils façonnent la structure du marché.

Un système de commande publique qui favorise structurellement les grands acteurs en place affaiblit la capacité d'innovation de l'Europe. L'innovation est souvent portée par les nouveaux entrants, les PME et les scale-ups. Le cadre plus large de la destruction créatrice, associé à Schumpeter puis développé par des économistes comme Philippe Aghion, montre que les nouveaux entrants jouent un rôle central dans la disruption technologique, la transformation des marchés et la croissance de la productivité.

C'est particulièrement important dans le cloud et l'IA, où l'Europe fait déjà face à une dépendance structurelle à l'égard d'un petit nombre d'hyperscalers non européens.

Recommandations

Clever Cloud recommande de renforcer l'article 33 de trois manières.

Premièrement, l'objectif devrait être relevé de 25 % à 35 % pour la commande publique numérique et technologique stratégique.

Deuxièmement, l'objectif devrait être rendu mesurable, auditable et soumis à reporting. Les États membres devraient inscrire dans leurs stratégies nationales des plans clairs pour l'atteindre, incluant des mesures sur l'allotissement, des procédures de passation simplifiées, des critères d'éligibilité proportionnés, la participation des PME aux consortiums, la réduction de la charge administrative et la prévention de la dépendance aux fournisseurs dominants.

L'objectif renforcé de commande publique aux PME devrait être soutenu par un rôle plus important du Network of SME Envoys. Les SME Envoys devraient aider à suivre la mise en œuvre au niveau national, à identifier les obstacles structurels à la participation des PME à la commande publique cloud et IA, et à apporter régulièrement à la Commission un éclairage sur la question de savoir si les États membres traduisent effectivement le principe « Think Small First » en résultats de commande publique. Ils devraient aussi contribuer aux évaluations ex ante des procédures de passation pertinentes, afin de garantir que la conception des appels d'offres, les critères d'éligibilité, la structure des lots et les exigences administratives sont réellement applicables et accessibles aux PME.

Troisièmement, le cadre devrait être étendu comme référence volontaire pour la commande du secteur privé, en particulier dans les secteurs critiques où la diversité des fournisseurs, la réversibilité et la réduction de la dépendance sont des enjeux stratégiques.

L'objectif renforcé devrait explicitement couvrir :

• les services de cloud computing, y compris IaaS, PaaS et SaaS ;
• les systèmes et services d'intelligence artificielle ;
• les services et produits de cybersécurité ;
• les infrastructures et plateformes de données ;
• les espaces de données de confiance et les infrastructures de données de santé ;
• le calcul haute performance et les ressources de calcul pour l'IA ;
• les services publics numériques ;
• les logiciels critiques et les technologies de plateforme.

La Commission devrait publier un tableau de bord annuel évaluant les progrès des États membres.

Le principe directeur devrait être : « Le CAIDA devrait passer d'un objectif PME déclaratif à un Small Business Act européen mesurable pour le cloud et l'IA. »

8. Introduire un objectif clair de préférence européenne pour la commande publique stratégique cloud, IA et numérique

L'article 33 est une première étape bienvenue. En fixant l'objectif qu'au moins 25 % de la commande publique des États membres pour les services cloud et les systèmes d'IA soit attribuée à des PME innovantes, le CAIDA reconnaît que la commande publique doit jouer un rôle plus fort dans la structuration de l'écosystème numérique et industriel de l'Europe.

Cependant, l'objectif PME ne devrait pas être le point d'arrivée. Il devrait être le point de départ.

Dans les secteurs numériques stratégiques tels que le cloud, l'IA, la cybersécurité, les infrastructures de données, les services publics numériques et les logiciels critiques, les choix de commande publique ne sont pas neutres. Ils déterminent quels fournisseurs passent à l'échelle, quelles technologies s'installent durablement dans les administrations publiques, et quelles chaînes de valeur l'Europe contrôle sur le long terme.

Aujourd'hui, la commande publique européenne renforce trop souvent la dépendance à l'égard des fournisseurs non européens, en particulier dans le cloud et les infrastructures numériques. Cela ne résulte pas avant tout d'un manque de capacités européennes. L'Europe dispose d'un écosystème solide de fournisseurs cloud, de spécialistes du PaaS, d'entreprises de cybersécurité, d'acteurs de l'IA et des infrastructures de données, de PME, de scale-ups et d'entreprises technologiques de taille intermédiaire. Le problème, c'est que les cadres de commande publique favorisent souvent les grands acteurs en place, les appels d'offres surdimensionnés, les écosystèmes fermés et les fournisseurs mondiaux établis.

Le CAIDA devrait donc aller un cran plus loin. En complément de l'objectif de commande publique aux PME, il devrait introduire un objectif clair de préférence européenne pour la commande publique stratégique cloud, IA et numérique.

Cela ne devrait pas s'entendre comme une mesure protectionniste ni comme une exclusion générale des fournisseurs non européens. Cela devrait être conçu comme un objectif de commande publique transparent, proportionné et fondé sur des règles, visant à garantir que la demande publique européenne contribue au développement, au passage à l'échelle et à la résilience de l'écosystème technologique propre à l'Europe.

Recommandations

Clever Cloud recommande que le CAIDA établisse un objectif dédié de participation technologique européenne pour la commande publique numérique stratégique.

Pour le cloud, l'IA, la cybersécurité, les infrastructures de données et les services numériques critiques, les États membres devraient être encouragés à garantir qu'une part significative de la valeur annuelle de la commande publique soit attribuée à des fournisseurs technologiques européens.

Une fourchette cible comprise entre 40 % et 60 % donnerait un signal politique clair tout en laissant aux États membres une flexibilité suffisante pour adapter la mise en œuvre à la disponibilité du marché, à la maturité sectorielle et aux besoins opérationnels.

Cet objectif devrait s'appliquer au niveau agrégé, et non nécessairement au niveau de chaque appel d'offres individuel. Il devrait faire l'objet d'un suivi annuel, d'un reporting par les États membres et d'une transcription dans les stratégies nationales au titre de l'article 7.

L'objectif devrait couvrir, en particulier :

• les services de cloud computing, y compris IaaS, PaaS et SaaS ;
• les systèmes et services d'intelligence artificielle ;
• les services et produits de cybersécurité ;
• les infrastructures et plateformes de données ;
• les espaces de données de confiance et les infrastructures de données de santé ;
• le calcul haute performance et les ressources de calcul pour l'IA ;
• les services publics numériques ;
• les logiciels critiques, les middlewares et les technologies de plateforme.

Pour garantir la sécurité juridique et éviter des définitions purement formelles, l'éligibilité au statut de fournisseur technologique européen devrait reposer sur des critères objectifs reflétant un contrôle européen effectif et une substance économique réelle.

Les critères pertinents pourraient inclure :

• un siège social et un établissement effectif dans l'Union européenne ;
• un contrôle ultime des droits de vote situé au sein de l'Union ;
• une majorité d'actionnaires établis ou résidents dans l'Union ;
• au moins 51 % des activités de R&D réalisées en Europe ;
• au moins 51 % des effectifs situés en Europe ;
• une direction générale et une prise de décision stratégique ancrées dans l'Union ;
• l'absence de contrôle par une entité d'un pays tiers ;
• l'absence d'exposition à des obligations juridiques extraterritoriales incompatibles avec le droit de l'Union ;
• la conformité à l'acquis numérique et de cybersécurité de l'UE.

La finalité de tels critères n'est pas de créer un label formel fondé sur la seule incorporation. Elle est de garantir que la préférence européenne profite à des entreprises qui contribuent réellement à la base technologique de l'Europe, à l'emploi, à la capacité d'innovation, à l'autonomie juridique et à la résilience opérationnelle.

Cette approche compléterait, plutôt qu'elle ne remplacerait, l'objectif PME de l'article 33. Les deux objectifs devraient fonctionner ensemble :

• l'objectif PME garantit que des fournisseurs innovants de plus petite taille peuvent accéder aux marchés publics ;
• l'objectif de préférence européenne garantit que la demande publique stratégique renforce plus largement les capacités technologiques européennes.

Ensemble, ils aideraient à transformer la commande publique d'une fonction d'achat passive en un instrument stratégique de souveraineté numérique, de concurrence équitable et de capacité industrielle.

Le principe directeur devrait être clair :

Dans les technologies numériques stratégiques, la commande publique européenne ne devrait pas bâtir systématiquement une capacité industrielle non européenne là où des alternatives européennes capables existent.

Conclusion

Le CAIDA est une première étape bienvenue et pionnière. Il marque un jalon important dans la reconnaissance du cloud, des logiciels et des infrastructures d'IA comme actifs stratégiques pour la compétitivité, la résilience et la souveraineté numérique de l'Europe.

Cette première étape doit maintenant être consolidée. Le CAIDA devrait devenir l'instrument législatif clé de la souveraineté numérique européenne dans le cloud, les logiciels et l'IA, en rendant la souveraineté opérationnelle, mesurable et ancrée dans les capacités européennes.

Clever Cloud se tient prête à contribuer à cet effort et à mettre son expertise technique, opérationnelle et de marché à la disposition des institutions européennes, des États membres et des parties prenantes.

L'objectif est clair : aider à bâtir un écosystème numérique européen résilient, souverain et stratégiquement autonome, capable de soutenir l'innovation, la concurrence équitable et un leadership technologique durable.

Une réponse concrète aux enjeux de souveraineté et un standard de référence pour le cloud européen.

Dans un contexte de dépendance accrue aux technologies extra-européennes, cette décision illustre la capacité de ces trois acteurs à proposer des solutions concrètes, compétitives et alignées avec les valeurs de l’Union. 

Au travers de cette sélection, la Commission démontre qu’il est possible de concilier performance technologique et contrôle stratégique. Elle fait le choix d’un modèle multi-fournisseurs, visant à renforcer la résilience et à éviter toute dépendance à un acteur unique.

Un consortium européen au service de l’autonomie stratégique de l’UE 

Le consortium sélectionné réunit des acteurs européens complémentaires et de premier plan, répondant aux exigences les plus élevées en matière de souveraineté, de sécurité et de performance.

Concrètement, OVHcloud met à disposition, avec sa plateforme OPCP, une solution cloud standardisée, opérable, et de grande capacité, conçue pour fournir des ressources de calcul massives et assurer un déploiement rapide à grande échelle grâce à OPCP Core.

Clever Cloud apporte une couche d’orchestration avancée — PaaS, conteneurisation et services managés — qui permet de piloter, automatiser et unifier des environnements complexes. Cette approche rend possible la mise en œuvre d’architectures hybrides, combinant cloud public, privé et infrastructures dédiées, avec un haut niveau de flexibilité.

Enfin, DEEP amène non seulement ses capacités d’hébergement mais également son expertise dans les domaines du cloud, de la cybersécurité et de l’intelligence artificielle.

Un signal fort pour l’avenir numérique de l’Europe

Ce cadre élève le niveau d’exigence en matière de souveraineté, encourage l’adoption de standards européens et ouvre la voie à une concurrence plus équilibrée dans le cloud et l’IA.
Cette sélection reflète également un alignement strict avec le Cloud Sovereignty Framework de la Commission européenne, qui fixe un niveau d’exigence élevé en matière de maîtrise stratégique et juridique, de sécurité et de conformité européennes, de transparence des dépendances, d’ouverture technologique et de performance environnementale.

Octave Klaba, CEO d’OVHcloud déclare : « Je suis très heureux de la confiance accordée par la Commission Européenne à notre consortium. Ce projet prouve qu’il existe en Europe des alternatives solides, capables de répondre aux plus hauts standards. Cette décision démontre également que, quand les acteurs européens unissent leurs forces, ils font la différence ».

Quentin Adam, CEO de Clever Cloud ajoute : « Nous sommes très fiers d’avoir été sélectionnés. C’est le résultat d’un travail collectif important mené avec OVHcloud et DEEP. Nous avons construit une réponse solide, capable de répondre aux exigences des institutions européennes. Ce qui est intéressant ici, c’est que la souveraineté technologique ne reste pas un concept : elle se traduit concrètement par des infrastructures, des plateformes et des acteurs capables d’opérer ensemble en production. C’est aussi la preuve que des acteurs européens peuvent coopérer efficacement et faire progresser l’ensemble de l’écosystème ».

Sébastien Genesca, Managing Director de DEEP by POST Group conclut : « Nous remercions la Commission Européenne pour la confiance qu’elle témoigne à notre consortium. Nous avons réalisé avec OVHcloud et Clever Cloud, un travail exigeant et passionnant, avec un objectif commun : bâtir une offre de cloud souverain en apportant le meilleur de nos expertises technologiques. Tout cela en partageant des valeurs communes et européennes. »

À propos d’OVHcloud

OVHcloud est un acteur mondial et le leader européen du Cloud opérant plus de 500 000 serveurs dans 46 centres de données sur 4 continents à destination de 1,6 million de clients dans plus de 140 pays. Fer de lance d'un Cloud de confiance et pionnier d'un Cloud durable au meilleur ratio performance-prix, le Groupe s’appuie depuis plus de 20 ans sur un modèle intégré qui lui confère la maîtrise complète de sa chaîne de valeur : de la conception de ses serveurs, à la construction et au pilotage de ses centres de données, en passant par l’orchestration de son réseau de fibre optique. Cette approche unique lui permet de couvrir en toute indépendance l’ensemble des usages de ses clients en leur faisant profiter des vertus d’un modèle raisonné sur le plan environnemental avec un usage frugal des ressources et d'une empreinte carbone atteignant les meilleurs ratios de l'industrie. OVHcloud propose aujourd’hui des solutions de dernière génération alliant performance, prévisibilité des prix et une totale souveraineté sur leurs données pour accompagner leur croissance en toute liberté.

À propos de DEEP by POST Luxembourg Group

DEEP est une entité de POST Telecom S.A., filiale de POST Luxembourg, qui regroupe l’ensemble des expertises Télécom & ICT du Groupe afin d’accompagner la transformation numérique des entreprises et organisations.  Avec plus de 750 collaborateurs, DEEP se positionne comme un partenaire de référence en matière de services numériques professionnels au Luxembourg, en Grande-Région et à l'international.

DEEP propose un portefeuille complet de services et solutions à travers sept domaines technologiques parmi lesquels le Cloud, la Cybersécurité et l’Intelligence Artificielle (IA) jouent un rôle clé. A la fois acteur luxembourgeois et fournisseur de services critiques pour l’économie nationale, DEEP apporte des réponses aux enjeux du numérique avec des offres conçues et opérées par ses propres équipes. 

DEEP s’appuie sur les infrastructures télécom et data centres les plus performantes et résilientes du pays et reconnues comme étant parmi les plus robustes d’Europe. La convergence des expertises télécom et ICT permet à DEEP de couvrir l’ensemble de la chaîne de valeur, des besoins en connectivité à la valorisation des données.

Pour plus d’informations : www.deep.eu - www.postgroup.lu 

À propos de Clever Cloud

Fondée en 2010 à Nantes (France), Clever Cloud est spécialisée dans l’hébergement et l’automatisation informatique. Sa plateforme cloud permet de déployer des applications en quelques clics, sur cloud public comme sur les infrastructures du client, sans avoir à gérer la montée en charge ni la maintenance. Elle garantit en parallèle un haut niveau de sécurité et de maîtrise des données, dans le respect des exigences de souveraineté. Parmi ses clients figurent Airbus, Great Place to Work, MAIF, Docaposte, Fairphone, Solocal ou encore Limagrain.

Pendant des années, le cloud a surtout été abordé sous l’angle du coût, de la montée en charge et de l’expérience développeur. Ces critères restent importants. Mais le contexte géopolitique mondial impose désormais une autre lecture : celle de la résilience, de la continuité d’activité et du contrôle.

L’instabilité géopolitique est désormais un risque cloud

Les événements récents dans le Golfe l’ont rappelé de manière très concrète. Quand des tensions régionales affectent les systèmes énergétiques, les routes logistiques et les infrastructures physiques, les conséquences ne s’arrêtent pas aux ports ou aux voies maritimes. Elles atteignent aussi les centres de données, les plateformes cloud et la disponibilité des applications.

Pour les acteurs publics comme pour les entreprises, cela change la nature du risque. Une dégradation locale peut désormais produire des effets opérationnels très réels sur des services numériques considérés comme critiques.

L’infrastructure numérique n’est jamais purement virtuelle

Il faut le rappeler : l’infrastructure numérique reste une infrastructure physique. La résilience du cloud repose sur un constat simple : les services numériques dépendent de centres de données, d’alimentation électrique, de connectivité, de chaînes d’approvisionnement, de cadres juridiques et de personnes présentes sur le terrain. Tant que ces conditions tiennent, le système fonctionne. Lorsqu’elles se fragilisent, la dépendance numérique devient une vulnérabilité opérationnelle.

L’autonomie stratégique numérique doit donc être traitée comme un enjeu de préparation, et non comme un débat idéologique. Il ne s’agit pas de prôner l’isolement ni de remettre en cause les coopérations internationales. Il s’agit de s’assurer que les capacités critiques restent sous un contrôle juridique, technique et opérationnel fiable, notamment lorsque l’environnement extérieur devient instable.

Pour les États, les secteurs régulés et les organisations stratégiques, la question n’est donc plus seulement de savoir où les workloads sont hébergés. Elle est de savoir si les services essentiels resteront disponibles lorsqu’une région se déstabilise, lorsque la connectivité se dégrade, lorsque le cadre juridique évolue ou lorsque la concentration des infrastructures devient un risque systémique.

La résilience dépend du contrôle, pas seulement de l’échelle

L’échelle offre des avantages évidents. Mais l’échelle, la résilience et le contrôle ne se confondent pas. Les grandes plateformes apportent de la puissance, de la standardisation et de la capacité d’exécution. Elles peuvent aussi créer des dépendances que l’on sous-estime facilement en période stable : dépendance à un fournisseur unique, exposition à une seule région, soumission à une juridiction extérieure, fragilité logistique ou opérationnelle.

Une perturbation majeure n’a pas besoin de faire tomber un système entier. Il suffit qu’elle affecte une partie suffisamment critique de la chaîne pour ralentir ou paralyser les opérations.

Autrement dit, le risque cloud n’est plus seulement une question de cybersécurité ou d’achats. C’est aussi une question de continuité, de juridiction et de concentration. C’est pourquoi les modèles de cloud souverain et de cloud de confiance doivent désormais être considérés comme des composantes à part entière d’une stratégie de résilience.

Concrètement, cela suppose de protéger les workloads critiques sur des infrastructures que l’on peut gouverner avec confiance. Cela suppose aussi de réduire la dépendance à un acteur unique, de concevoir des architectures capables de fonctionner en mode dégradé, d’aligner la juridiction applicable avec les intérêts stratégiques, et d’investir dans les compétences, les opérateurs et les capacités locales.

En période de stabilité, ces choix peuvent sembler redondants. En période de crise, ils font la différence entre interruption et continuité. Ce qui se joue aujourd’hui dans le Golfe confirme d’ailleurs une tendance plus large : l’infrastructure numérique appartient désormais au même niveau stratégique que l’énergie, la logistique ou les routes de communication. Le même choc géopolitique qui perturbe les chaînes d’approvisionnement et l’activité industrielle peut, dans le même temps, fragiliser la disponibilité du cloud.

Ce que les décideurs publics et dirigeants doivent désormais évaluer

Cette situation doit conduire les décideurs publics et les dirigeants à poser des questions plus directes. Qui contrôle réellement l’infrastructure dont nous dépendons ? Sous quelle juridiction opère-t-elle ? En combien de temps des workloads critiques peuvent-ils être déplacés, isolés ou repris ? Les services essentiels peuvent-ils continuer à fonctionner en mode dégradé ? Maîtrisons-nous réellement notre plan de continuité, ou en avons-nous externalisé une part excessive ?

La stratégie cloud n’est plus seulement un sujet informatique. C’est désormais un sujet de sécurité économique et d’indépendance stratégique.

Pour les services critiques, la résilience doit être intégrée dès la conception de la stratégie cloud. La question n’est plus seulement de savoir s’il faut aller vers le cloud. La vraie question est de savoir qui reste opérationnel lorsque la stabilité ne peut plus être considérée comme acquise.

Cette dynamique est d’autant plus vraie que la souveraineté numérique s’est imposée au cœur du débat européen. La question n’est désormais plus de savoir si l’Europe a besoin de souveraineté numérique, mais comment la construire de manière concrète, pragmatique et crédible. L’enjeu est clair : passer des principes aux capacités réelles — infrastructures maîtrisées, acteurs technologiques européens compétitifs, conformité réglementaire native et modèles économiques soutenables.

Diagnostic : la souveraineté du cloud européen dans un paysage numérique fragmenté

Internet, initialement conçu comme un espace mondial ouvert et unifié, se fragmente progressivement. On observe une divergence croissante entre un modèle ouvert et orienté données — souvent structuré autour de la captation de l’attention — et des modèles de plus en plus fermés et contrôlés par les États, notamment en Russie ou en Chine. Cette fragmentation est renforcée par le recul documenté des libertés numériques à l’échelle mondiale, traduisant une érosion progressive des droits en ligne.

La géopolitique influence désormais directement les politiques technologiques. Contrôles à l’export, exigences de localisation des données, restrictions sur les plateformes : ces instruments sont devenus des leviers de puissance. Les États-Unis, par exemple, ont renforcé leurs contrôles sur l’exportation de semi-conducteurs avancés et de technologies liées à l’IA, illustrant le lien étroit entre technologie et politique étrangère.

Dans ce contexte, le cloud computing constitue une infrastructure critique de la transformation numérique. Or, l’Europe fait face à une dépendance structurelle majeure : les fournisseurs cloud européens ne représentent qu’environ 15 % du marché cloud régional, l’essentiel de la croissance étant capté par des hyperscalers non européens. Ce déséquilibre constitue une menace directe pour la souveraineté numérique européenne.

À cela s’ajoute l’accélération de la révolution industrielle de l’IA. Les projections estiment que l’IA pourrait générer plusieurs trillions de dollars de valeur économique d’ici 2030, tandis que les investissements privés dans l’IA générative explosent. L’adoption rapide de ces technologies transforme en profondeur le secteur des TIC et redéfinit durablement les modèles économiques et sociétaux.

Comment s’en prévenir : en construisant des solutions cloud européennes souveraines

La réponse européenne à ces défis s’appuie sur ses valeurs fondamentales et propose une trajectoire à la fois pragmatique et ambitieuse.

La protection des données comme avantage compétitif : l’effet RGPD

Le Règlement général sur la protection des données (RGPD) s’est imposé comme une référence mondiale. En fixant des exigences élevées en matière de transparence, de consentement et de droits des utilisateurs, il a inspiré des législations équivalentes dans le monde entier, du LGPD brésilien au CCPA californien, jusqu’à la loi chinoise sur la protection des informations personnelles (PIPL), entrée en vigueur en 2021.

Le RGPD ne constitue pas un simple cadre contraignant : il représente une infrastructure de confiance, indispensable pour permettre une innovation responsable à grande échelle. En poursuivant cette approche avec l’AI Act et le Data Act — qui jouent également un rôle clé en matière d’interopérabilité et d’accès équitable aux marchés numériques — l’Europe peut continuer à articuler innovation technologique et protection des droits.

Renforcer la base industrielle : une approche pragmatique et proportionnée

Pour garantir sa souveraineté numérique, l’Europe doit consolider son écosystème technologique. Cela implique une approche pragmatique et proportionnée, visant à ouvrir réellement l’accès au marché aux PME et scale-ups européennes, à limiter les barrières structurelles, à faciliter leur participation à la commande publique, à renforcer les financements de croissance et à déployer des politiques industrielles ciblées sur des technologies stratégiques comme le cloud, l’IA et les semi-conducteurs.

L’objectif n’est pas le protectionnisme, mais la réduction des écarts de capacités afin de permettre aux entreprises européennes de rivaliser sur la fiabilité, la sécurité, la conformité réglementaire et la création de valeur. C’est à cette condition que l’Europe restera un territoire de production d’innovation, et non un simple marché de consommation.

Faire de l’Europe un pont entre les écosystèmes numériques

L’Europe est idéalement positionnée pour relier des écosystèmes numériques divers plutôt que d’accentuer leur fragmentation. En s’appuyant sur son réseau de relations économiques, elle peut contribuer à l’alignement des standards numériques, de la cybersécurité et de l’interopérabilité à l’échelle mondiale.

Cette approche s’inscrit dans la continuité des partenariats numériques de l’Union européenne avec des pays partageant des valeurs communes — notamment le Japon, la Corée du Sud, le Canada et Singapour — visant à promouvoir une coopération numérique fondée sur la confiance, des règles communes et des standards interopérables.

Reconstruire la souveraineté cloud européenne suppose également de s’appuyer sur des fournisseurs cloud et PaaS européens, opérant sous juridiction européenne et intégrant par conception l’alignement entre infrastructures, gouvernance et conformité réglementaire.

Construire des ponts culturels et technologiques pour la souveraineté cloud

Chez Clever Cloud, fournisseur européen de cloud et de PaaS, ces principes se traduisent par des choix concrets : exploitation d’infrastructures sous juridiction européenne, soutien aux technologies ouvertes et conception de services cloud nativement conformes au RGPD et aux cadres réglementaires européens.

Cela met également en évidence la nécessité de définir un label clair, crédible et reconnu désignant ce qui constitue réellement une solution cloud souveraine en Europe. Aujourd’hui, de nombreuses initiatives et certifications coexistent, sans qu’aucune ne fasse pleinement autorité à l’échelle européenne. La mise en place d’un tel cadre est essentielle pour apporter de la lisibilité aux utilisateurs, orienter la commande publique et renforcer la confiance dans les solutions réellement alignées avec les exigences de souveraineté.

En tant que VP International Growth chez Clever Cloud, ma responsabilité est de rendre tangible, sur le terrain, le leadership numérique européen. Je m’attache à traduire cette vision humaniste — portée par notre CEO Quentin Adam — en pratiques opérationnelles favorisant les écosystèmes locaux et l’autonomie numérique à long terme.

Il existe une autre voie d’acculturation technologique : une voie fondée sur la compréhension mutuelle, la confiance durable et l’autonomisation locale, plutôt que sur des modèles d’expansion uniformes.

Partenariats locaux, acculturation et valeur partagée

Lorsque j’aborde un nouveau marché, je ne déploie pas un modèle préconçu. Je privilégie les partenariats avec les acteurs locaux — fournisseurs, intégrateurs, universités — en m’adaptant aux réalités réglementaires, culturelles et économiques. Cette approche favorise un échange de connaissances bilatéral et crée les conditions d’une adoption cloud réellement durable.

Investissement local : parce que la souveraineté a besoin d’ancrage

La souveraineté ne peut exister sans enracinement économique. Investir localement — dans les infrastructures, les talents et le partage de valeur — permet aux partenaires et aux clients de conserver la maîtrise de leurs données, de leurs coûts et de leurs trajectoires technologiques, sans renoncer à l’interopérabilité mondiale.

R&D distribuée et développement des talents

En développant des capacités de recherche et développement là où nous opérons, nous limitons la dépendance technologique et renforçons les compétences locales. Former les ingénieurs sur place et les connecter à des équipes internationales enrichit la feuille de route produit et renforce la résilience de la plateforme. La diversité culturelle appliquée à des problématiques techniques complexes est un puissant moteur de progrès.

Un état d’esprit diplomatique et bâtisseur pour la souveraineté du cloud européen

La trajectoire européenne n’est ni celle du laisser-faire, ni celle du repli. Une approche réellement humaniste doit conjuguer règles de confiance, capacités industrielles concrètes et coopération internationale.

Cela signifie faire de la confiance une fonctionnalité — du RGPD aujourd’hui à une gouvernance responsable de l’IA demain. Cela implique de soutenir les bâtisseurs européens, PME et scale-ups, grâce à des politiques de financement et de commande publique adaptées. Et cela suppose de relier les continents en alignant des standards interopérables pour que l’innovation circule dans les deux sens.

Si les décideurs publics, les entreprises et la société civile s’engagent collectivement dans cette voie, l’Europe ne se contentera pas de naviguer dans un monde polarisé et accéléré par l’IA : elle contribuera à le façonner. C’est l’exigence qui guide mon action : une technologie qui améliore les vies, renforce les liens et transforme la fragmentation en coopération.

Pour les équipes techniques, la question dépasse la simple localisation des données. Elle concerne aussi l’hébergement des applications, l’automatisation de l’infrastructure, la résilience et la capacité à exploiter une plateforme cloud dans la durée.

Dans ce contexte, de nombreuses organisations recherchent désormais des alternatives françaises aux hyperscalers américains tels qu’AWS, Microsoft Azure ou Google Cloud.

L’écosystème français du cloud s’est fortement structuré ces dernières années. Plusieurs fournisseurs proposent aujourd’hui des infrastructures et plateformes capables de répondre aux besoins et exigences aussi bien d’acteurs privés que publics.

Voici une analyse des 5 principaux acteurs du cloud souverain en France, chacun avec son positionnement technique, ses forces et son modèle d’exploitation.

Cloud souverain France : les points clés à retenir

• Un cloud souverain français vise à garantir une gouvernance française ou européenne et l’absence de soumission aux lois extraterritoriales comme le Cloud Act ou la FISA ;
• Il facilite la conformité au RGPD et la maîtrise juridique des données ;
• Certains fournisseurs proposent une infrastructure (IaaS), d’autres une plateforme automatisée (PaaS) ;
• Tous les acteurs ne proposent pas le même niveau d’automatisation ;
• Clever Cloud adopte une approche PaaS automatisée orientée DevOps, qui réduit la charge opérationnelle des équipes.

Qu’est-ce qu’un cloud souverain français

Un cloud souverain repose généralement sur plusieurs éléments structurants :

• une entreprise soumise au droit européen et qui met en œuvre un cadre de conformité au RGPD DPA, mesures techniques et organisationnelles, traçabilité) ;
• une gouvernance indépendante des juridictions extraterritoriales (Cloud Act, loi FISA, etc.) ;
• des infrastructures opérées par l’acteur lui-même, ou des partenaires eux-mêmes souverains ;
• un contrôle technique sur les données et les opérations.

La souveraineté ne dépend donc pas uniquement de la localisation des data centers. Elle repose aussi sur le cadre juridique, la gouvernance technologique et l’indépendance opérationnelle.

Dans la pratique, les fournisseurs cloud adoptent des approches différentes.

Infrastructure as a Service (IaaS)

Un fournisseur IaaS fournit des ressources brutes :

• machines virtuelles ;
• stockage ; 
• réseau ;
• orchestration.

L’équipe technique doit gérer l’architecture, les déploiements, la haute disponibilité et la supervision.

Platform as a Service (PaaS)

Un fournisseur PaaS automatise une partie importante de l’exploitation selon l’offre :

• déploiement applicatif ;
• gestion des runtimes ;
• scalabilité ;
• supervision ;
• continuité de service.

Cette approche réduit la charge opérationnelle et accélère les cycles de développement.

Les 5 meilleurs clouds souverains français

Les acteurs suivants proposent des infrastructures ou plateformes permettant d’héberger et d’exécuter des applications dans un cadre souverain français.

1. Clever Cloud : PaaS automatisé pour héberger et déployer des applications

Clever Cloud est une plateforme cloud française fondée en 2010 qui permet d’héberger, déployer et exploiter des applications sans avoir à gérer l’infrastructure sous-jacente. La plateforme repose sur une approche Platform as a Service (PaaS), qui automatise une grande partie de l’exploitation technique et simplifie le déploiement des applications.

Clever Cloud est conçu pour simplifier l’exploitation d’applications pour tout type d’organisation, qu’il s’agisse d’équipes techniques indépendantes, d’entreprises ou d’organisations publiques. La plateforme prend en charge la scalabilité automatique, la résilience et la supervision des applications.

Avantages :

• Plateforme PaaS automatisée ;
• Support natif des runtimes : Node.js, PHP, Docker, .NET, Go, Python, etc. ;
• Kubernetes managé (CKE) ;
• Déploiement Git natif et intégrations CI/CD;
• Haute disponibilité gérée par la plateforme ;
• Certification ISO 27001, ISO 9001, HDS (Hébergement des Données de Santé) ;
• Souveraineté avec une infrastructure opérée hors juridictions extraterritoriales ;
• Réduction de la charge d’exploitation pour les équipes.

Limites :

• Moins adapté aux architectures nécessitant un contrôle IaaS complet ;
• Pas de certification SecNumCloud directe (mais une zone SecNumCloud disponible via partenariat avec Cloud Temple).

Pourquoi Clever Cloud diffère des acteurs IaaS ?

Contrairement aux fournisseurs IaaS, Clever Cloud automatise l’exploitation de la plateforme. Les équipes techniques ne gèrent pas :

• les machines virtuelles (VM) ;
• la scalabilité ;
• la résilience ;
• la supervision.

La plateforme applique un principe simple : “Vous codez, on s’occupe du reste.”

2. OVHcloud : infrastructure cloud européenne à grande échelle

OVHcloud est l’un des principaux fournisseurs cloud européens. Fondé en France en 1999, l’entreprise opère aujourd’hui un vaste réseau de datacenters en Europe, en Amérique et en Asie.

L’offre couvre l’ensemble du spectre cloud : infrastructure, cloud public, cloud privé, bare metal et services managés. OVHcloud cible notamment les grandes entreprises et les organisations publiques.

Avantages :

• Large catalogue de services cloud ;
• Offre IaaS, PaaS et bare metal ;
• Certification SecNumCloud sur certaines offres ;
• Kubernetes managé ;
• Gouvernance européenne ;
• Infrastructure opérée par l’entreprise.

Limites :

• Architecture parfois complexe à exploiter ;
• Automatisation dépendante de l’intégration ;
• Courbe d’apprentissage pour les équipes non spécialisées.

3. Scaleway : cloud public français orienté développeurs

Scaleway est une filiale du groupe Iliad (Free) et l’un des principaux fournisseurs cloud français. La plateforme propose une offre cloud public complète, incluant calcul, stockage et services managés. Scaleway est particulièrement populaire auprès des startups et des entreprises technologiques.

Avantages :

• Cloud public français ;
• Kubernetes managé ;
• Stockage compatible S3 ;
• API riche ;
• Tarification transparente.

Limites :

• Processus engagé pour l’obtention de SecNumCloud ;
• Automatisation CI/CD non native ;
• Approche majoritairement IaaS.

4. Cloud Temple : cloud souverain pour environnements réglementés

Cloud Temple est un fournisseur cloud français spécialisé dans les environnements fortement régulés. L’entreprise propose des infrastructures souveraines certifiées et accompagne de nombreuses organisations publiques. La plateforme est souvent utilisée pour des projets nécessitant des exigences de conformité élevées.

Avantages :

• Certification SecNumCloud ;
• Positionnement secteur public ;
• Cloud privé souverain ;
• Forte expertise réglementaire ;
• Accompagnement personnalisé.

Limites :

• Moins orienté développeurs ;
• Offre davantage sur mesure ;
• Offres souvent structurées autour de projets sur mesure et d’environnements réglementés, avec un modèle moins orienté plateforme applicative en libre-service.

5. Outscale (Dassault Systèmes) : cloud souverain certifié SecNumCloud

Outscale est la filiale cloud de Dassault Systèmes. La plateforme propose une infrastructure cloud hautement sécurisée, particulièrement utilisée dans les secteurs régulés. L’offre Outscale est certifiée SecNumCloud par l’ANSSI, ce qui en fait l’un des clouds les plus conformes aux exigences de sécurité françaises.

Avantages :

• Certification SecNumCloud ;
• Haute conformité réglementaire ;
• API compatibles AWS ;
• Infrastructure adaptée aux secteurs régulés ;
• Forte résilience.

Limites :

• Offre principalement IaaS ;
• Moins orienté développeurs ;
• Exploitation nécessitant des compétences cloud avancées.

Le cloud souverain français : un écosystème mature

L’écosystème du cloud souverain en France est aujourd’hui particulièrement riche. Les fournisseurs français couvrent l’ensemble du spectre cloud :

• infrastructures certifiées SecNumCloud ;
• cloud public ;
• plateformes PaaS automatisées.

Cette diversité permet aux organisations de choisir une plateforme adaptée à leurs contraintes : conformité réglementaire, performance, automatisation ou simplicité d’exploitation. Pour les équipes techniques, le choix dépend souvent du niveau d’automatisation souhaité et des compétences internes disponibles.

Dans ce paysage, les plateformes PaaS automatisées occupent une place particulière : elles permettent de réduire la complexité opérationnelle tout en conservant une infrastructure souveraine. Clever Cloud s’inscrit dans cette approche, en combinant automatisation de l’exploitation, souveraineté technologique et standards ouverts.

Un constat lucide : l’Europe a trop longtemps délégué ses infrastructures critiques

Je me réjouis de voir le Président Macron s’exprimer avec tant de clarté et de conviction sur la nécessité d’une souveraineté numérique européenne. Le Président a prononcé des mots forts qui résonnent profondément avec le combat que nous menons depuis des années chez Clever Cloud. Je salue particulièrement sa lucidité lorsqu’il reconnaît dans son discours que « Nous avons fait, je pense, une erreur très profonde de ne pas avoir un vrai cloud européen. Et d’ailleurs, nous devons nous réatteler à cette tâche. » Cette prise de conscience au plus haut niveau de l’État constitue un signal fort pour tous les acteurs du numérique européen. Cependant, plus que nous réateller à la tâche, c’est la vision Européenne de ce qu’est un cloud qu’il faut revoir. S’il s’agissait seulement d’infrastructure, les géants du cloud s'appelaient AOL et Verizon. Mais aujourd’hui, les hyperscalers sont Microsoft, Google et Amazon, des entreprises où le logiciel est au centre. Les Américains l’ont bien compris, et il est capital que ce soit le cas en Europe aussi : le cloud, ce n’est pas que des serveurs, c’est aussi et surtout du logiciel.

Le Président a également souligné avec justesse qu’« il était tellement confortable d’être main dans la main avec les Américains », mais que « Nous ne pouvons pas dépendre de quelques entreprises américaines pour avoir un véritable cloud. Parce qu’il en va aussi de l’intérêt général européen. C’est une nécessité. » Sa formule “il n’y a pas de vassalité heureuse” doit devenir notre leitmotiv dans la construction d’une Europe technologiquement indépendante et souveraine.

Cette déclaration s'inscrit parfaitement dans la continuité de la signature du contrat de la filière « logiciels et solutions numériques de confiance », adoptée par Philippe Baptiste, Marc Ferracci, Clara Chappaz et Michel Paulin, dont les objectifs sont de promouvoir le développement d'infrastructures numériques souveraines, de renforcer la formation en matière de numérique de confiance, et de créer de la valeur et favoriser l'innovation à l'échelle française.

La guerre du cloud n’est pas perdue, elle commence à peine

Contrairement à ce que beaucoup affirment aujourd’hui, la guerre du cloud n’est pas perdue pour l’Europe. Elle ne fait que commencer, et la déclaration du Président Macron le rappelle avec force. Certes, les géants américains ont pris une avance considérable, mais l’histoire des technologies nous montre que rien n’est jamais définitivement acquis.

Il est crucial d’ajouter une nuance essentielle : les compétences, les technologies et les solutions cloud européennes existent déjà. Il ne s’agit pas de tout reconstruire ex nihilo, mais bien de mieux valoriser, mieux soutenir, mieux coordonner. Des acteurs solides, innovants et engagés œuvrent déjà chaque jour pour proposer une alternative crédible aux solutions extra-européennes.
Les nouveaux enjeux liés à la souveraineté des données, à la cybersécurité et à l’autonomie stratégique ouvrent une nouvelle phase dans cette bataille technologique. L’Europe a toutes les cartes en main - talents, infrastructures, logiciels, marchés - pour construire une alternative crédible et souveraine, à condition d’y croire collectivement et de s’en donner les moyens.

Un plan d’action pour concrétiser cette ambition

Le Président Macron l’a affirmé : « C’est un réveil stratégique. Nous devons donc retrouver partout, dans tous les segments de la recherche et de notre industrie, cette autonomie stratégique qui est indispensable. »

Pour concrétiser cette vision en réalité, il est impératif de bénéficier :

Clever Cloud déjà engagé dans la construction d’un cloud souverain européen

Chez Clever Cloud, nous ne nous sommes pas contentés d’attendre ce réveil stratégique, nous nous sommes engagés à en être les artisans, depuis plusieurs années, avec de nombreux membres de l'écosystème. Nous contribuons activement à de nombreuses initiatives collaboratives européennes comme CollabNext et Hyper Open X. Nous travaillons également à l’émergence de solutions européennes tant au niveau logiciel que matériel à travers de récents appels à projets que nous avons lancés.

L’appel de la Sorbonne doit devenir un agenda européen contraignant

Ce discours ne doit pas simplement être un nouveau moment de communication. Il doit inaugurer une décennie d’actions coordonnées pour garantir que notre recherche, nos données et notre innovation soient hébergées, traitées et gouvernées en Europe. Pas à Seattle, pas à Palo Alto, pas à Shanghai. Dans l’IA, dans le cloud, dans l’archivage du code, l’Europe doit être actrice, pas spectatrice. Elle doit financer ses propres laboratoires d’excellence, ses startups, ses supercalculateurs, et surtout ses communs numériques.

La France a tous les atouts pour jouer un rôle moteur dans cette dynamique européenne. Le moment est venu de passer des paroles aux actes, en alignant nos politiques publiques sur cette ambition forte exprimée par le président de la République.
Nous sommes nombreux à être prêts à prendre toute notre part dans ce combat. Mais il faut que l’Europe passe enfin à l’action.

Quentin Adam, CEO – Clever Cloud

Opter pour un cloud français, c’est privilégier une gestion locale et souveraine de vos données tout en profitant d’une infrastructure performante. Mais d’abord, définissons ce qu’est un cloud français.

Qu’est-ce qu’un cloud français ?

Un cloud français désigne un service d’hébergement et de gestion de données basé en France. Il repose sur des infrastructures situées sur le territoire national, gérées par des entreprises de droit français. Cela garantit que les données respectent la législation française et européenne, notamment en matière de protection des données personnelles (RGPD).

Ce modèle assure une indépendance et une autonomie stratégiques des données vis-à-vis des acteurs étrangers et répond aux préoccupations croissantes en matière de sécurité et de souveraineté numérique.

Les entreprises et organisations choisissant un cloud français souverain bénéficient ainsi d’un contrôle total sur leurs données, en plus d’un service souvent local et réactif.

Définition du cloud souverain selon Clever Cloud

Il est important de noter que chacun se crée sa propre définition et que les critères peuvent varier en fonction des interprétations. Chez Clever Cloud, nous définissons le cloud souverain à travers deux enjeux majeurs : la protection contre les lois extraterritoriales et l’assurance d’une autonomie technologique durable.

Un cloud souverain garantit que les données ne sont pas soumises à des lois étrangères, telles que la loi FISA, qui offre au gouvernement américain un droit de regard sur toutes les données hébergées par une organisation américaine. Mais il doit aussi prévenir tout risque d’enfermement technologique. Cela signifie offrir aux utilisateurs une liberté de choix et une maîtrise complète sur leurs outils et infrastructures, afin d’éviter des situations critiques comme celle posée par la nouvelle politique tarifaire de VMware depuis le rachat de Broadcom.

Un PaaS français comme Clever Cloud va au-delà du simple hébergement en France. Il propose des solutions prêtes à l’emploi pour développer, déployer et gérer des applications en toute autonomie, le tout sur une stack technique maîtrisée.

Les avantages d’un cloud français pour les entreprises

Sécurité et protection des données

Le choix d’un cloud français ou européen garantit une gestion rigoureuse des données sensibles. Les datacenters localisés en France respectent des réglementations comme le RGPD. Avec un cloud souverain français, vos informations restent sous contrôle local, limitant les ingérences étrangères.

Conformité aux normes françaises et européennes

Le cloud français est soumis au RGPD, qui impose des règles strictes concernant la gestion des données personnelles. Ne pas respecter ces exigences peut entraîner des sanctions financières et porter atteinte à la réputation d’une entreprise. Les fournisseurs locaux offrent ainsi une transparence totale sur le traitement des données. Une approche qui inspire confiance et assure un haut niveau de conformité, tout en simplifiant les audits réglementaires.

Par ailleurs, les acteurs du cloud français doivent répondre à de nombreuses exigences pour héberger certains types de données, comme les données de santé où ils doivent obtenir la certification Hébergeur de Données de Santé (HDS). 

Serveurs et supports locaux pour plus de performance et de réactivité

Des serveurs situés sur le territoire national offrent une latence amoindrie et des temps de réponse optimisés pour les utilisateurs finaux, grâce à une proximité géographique. Celle-ci apporte une expérience utilisateur plus fluide ainsi qu’une réduction des temps d’attente pour vos applications.

De plus, les fournisseurs français proposent quasi systématiquement un support technique local, capable de répondre efficacement à vos besoins. Cette proximité permet une communication simplifiée dans la même langue et accélère la résolution des problèmes.

Pourquoi opter pour un cloud français souverain ?

Maîtrise géographique des données

Si vous faites ce choix, le cloud français garantit une hébergement des données localisées sur le territoire national. Chez Clever Cloud, vous choisissez l'infrastructure où sont hébergées vos données. Vous savez donc réellement où celles-ci sont stockées et le niveau de certifications dont vous bénéficiez.

Garantie de confidentialité face à la loi FISA et aux autres lois extraterritoriales

Contrairement aux fournisseurs non européens soumis à des lois extraterritoriales comme la loi FISA, le Cloud Act ou le Patriot Act, le cloud souverain garantit l’autonomie stratégique de vos données. Ces lois permettent aux autorités américaines d'accéder à des informations sensibles, même si elles sont hébergées hors des États-Unis.

• Le Cloud Act oblige les fournisseurs de services cloud américains à fournir des données stockées à l'étranger si une demande officielle leur est adressée ;
• La Patriot Act autorise l'accès aux données dans le cadre d'enquêtes liées à des actes criminels, souvent liés au terrorisme ;
• La FISA (Foreign Intelligence Surveillance Act) va encore plus loin : elle permet aux autorités américaines de surveiller et collecter des données sans l’intervention du fournisseur de services, simplement en accédant directement aux flux de communication.

En optant pour un PaaS français comme Clever Cloud, pas de risque d’ingérence, vous conservez la confidentialité et l’autonomie stratégique de vos données, à point c’est tout.

Assurer et développer l’économie locale grâce à un cloud souverain

Adopter un cloud souverain français contribue à renforcer l’économie locale tout en s’inscrivant dans une dynamique européenne. Le rapport Draghi, commandé par l’Union européenne, souligne l’importance stratégique d’investir dans des infrastructures numériques souveraines pour réduire les dépendances technologiques et garantir une compétitivité durable.

En privilégiant des acteurs locaux, à l’image du cloud français, les entreprises soutiennent non seulement la création d’un écosystème compétitif mais favorisent aussi la croissance économique, la génération d’emplois qualifiés et l’indépendance technologique à l’échelle nationale et européenne.

Préserver et développer les compétences stratégiques

Le soutien à des acteurs locaux du cloud n’impacte pas seulement l’économie, mais assure aussi la pérennité des compétences sur le long terme. En choisissant un cloud étranger, les investissements quittent le territoire, fragilisant les filières nationales ou européennes : les talents perdent leur emploi, se réorientent vers d’autres secteurs, et les compétences essentielles disparaissent. Un phénomène qui n’est pas sans rappeler la pénurie de masques en France pendant la pandémie de COVID-19. En dépendant massivement des importations, le pays s’est retrouvé vulnérable, incapable de répondre à une demande urgente et critique, illustrant parfaitement les dangers et les conséquences d’une perte de souveraineté dans les secteurs stratégiques.

À l’inverse, investir dans un PaaS français garantit une participation à l’économie du pays, lui permettant de conserver ses talents, d’en former de nouveaux, de répondre à une demande croissante et d’investir en recherche et développement. Ce cercle vertueux sécurise les savoir-faire stratégiques indispensables et évite toute dépendance technologique critique.

Comment bien choisir son fournisseur cloud français ?

Les critères de sélection d’un cloud souverain

Avant toute chose, il est crucial de s’assurer que le fournisseur cloud sélectionné répond véritablement aux critères de souveraineté. Cela implique qu’il soit français, de droit français, garantissant ainsi une protection totale contre les lois extraterritoriales étrangères.

Une fois ces critères validés, vous pouvez évaluer vos besoins spécifiques. Les solutions IaaS (Infrastructure as a Service) offrent une gestion flexible des ressources physiques, idéale pour les applications nécessitant un contrôle granulaire. À l’inverse, les solutions PaaS (Platform as a Service) permettent de se concentrer sur le développement et la maintenance des applications en déléguant la gestion de l’infrastructure. Ce choix dépend de votre modèle opérationnel et des ressources techniques internes. Mais veillez à privilégier les offres modulaires (cloud privé, hybride, ou public) pour une adaptabilité optimale à l’évolution de vos besoins.

Certifications et normes de sécurité : une priorité chez Clever Cloud

Les certifications sont un critère essentiel pour évaluer la fiabilité d’un fournisseur cloud français. Chez Clever Cloud, la sécurité est une priorité intégrée dès la conception (security by design). Nous respectons les normes les plus strictes, notamment les certifications ISO 27001, ainsi que HDS et travaillons à l’obtention de SecNumCloud, garantissant la fiabilité et la conformité de nos infrastructures.

Les données client sont hébergées en France ou si vous le souhaitez, ailleurs dans le monde, mais toujours dans des zones protégées des lois extraterritoriales, dans des centres de données répondant à nos exigences. Notre approche repose sur des pratiques avancées, comme le chiffrement des données, une surveillance proactive et une infrastructure immuable, réduisant les risques liés aux vulnérabilités.

Le choix d’un prestataire engagé dans l’open source

Opter pour un prestataire cloud engagé dans l’open source, comme Clever Cloud, présente des avantages de non-enfermement technologique et d’autonomie technologique. Nos solutions s’appuient, pour la majorité, sur des outils open source reconnus, offrant transparence, interopérabilité et fiabilité à nos clients.

En soutenant activement des projets open source, Clever Cloud favorise une collaboration continue et investit dans l’écosystème technologique européen. Cela  garantit aussi une maîtrise approfondie des technologies utilisées. Nos contributions incluent des projets techniques majeurs, tels que Sōzu, un reverse proxy HTTP performant en Rust, Biscuit, un token d’authentification pour microservices ; mais également des projets structurants comme Exherbo ou Warp 10.

Chez Clever Cloud, l’open source est bien plus qu’une philosophie. C’est un pilier stratégique pour garantir à nos clients un non-enfermement technologique et des infrastructures résiliantes.

Un cloud avec un écosystème fort

Bien choisir son cloud, c’est aussi miser sur sa marketplace dédiée afin d’accéder facilement à des solutions clés en main, conçues pour répondre à vos besoins spécifiques. Une approche conçue pour faciliter l'adoption et l’intégration de technologies à vos projets sans nécessiter de compétences techniques avancées.

Clever Cloud propose une large gamme d’add-ons, comme notre Keycloak as a Service pour la gestion des identités (IAM) ou Azimutt pour explorer vos bases de données. Ces services s’intègrent directement à vos applications et sont hébergés sur un cloud français souverain, garantissant la conformité des données.

Cloud français : témoignages et retours d’expérience d’entreprises

Le cloud français répond aux attentes de nombreuses entreprises en quête de performances, de scalabilité et de souveraineté. Clever Cloud est choisi par des organisations comme la MAIF, Airbus, Docaposte, Solocal, BetaGouv et DOTNET pour répondre à leurs enjeux techniques et stratégiques.

La MAIF, acteur majeur de l’assurance, a migré vers Clever Cloud pour garantir la souveraineté des données de ses assurés. Cette collaboration a permis à la MAIF de multiplier sa productivité par 8  tout en améliorant la disponibilité et les performances de ses systèmes critiques.

Docaposte, leader des solutions numériques de confiance, intègre fréquemment Clever Cloud pour répondre aux besoins de ses clients finaux.

Les startups de BetaGouv (data.gouv.fr ; Démarches simplifiées ; pass Culture ; SignalConso ; Mon soutien psy), comme celles accompagnées par le programme Startup d’État, tirent parti des fonctionnalités avancées et de l’accompagnement sur mesure de Clever Cloud. Grâce à une infrastructure stable et scalable, ces jeunes structures peuvent se concentrer sur leurs missions tout en bénéficiant de crédits pour se lancer ainsi que d’un support réactif.

Enfin, DOTNET, éditeur SaaS de gestion de paie, garantit la protection de données sensibles tout en augmentant la scalabilité de ses services. Clever Cloud offre à DOTNET une infrastructure performante, un hébergement souverain et une assistance technique proactive.

Le cloud français, un choix stratégique d’avenir pour tous

Adopter un cloud français souverain n’est pas qu’une décision stratégique isolée. C’est un engagement qui s’inscrit dans une dynamique collective, portée par des collaborations solides avec des partenaires de confiance. Clever Cloud met en lumière cette synergie dans sa page Built with Clever qui référence tout type de projets développé avec sa plateforme.

Cet espace collaboratif regroupe clients, partenaires et add-ons pour répondre aux besoins spécifiques des entreprises. Par exemple, des solutions comme Keycloak as a Service pour la gestion des identités, ou Materia, une base de données serverless, montrent la richesse de l’offre.

Choisir Clever Cloud, c’est opter pour un PaaS français qui combine performances, scalabilité et hébergement souverain. Cette approche garantit à ses utilisateurs une conformité totale avec les normes européennes et un contrôle accru sur leurs données.

Le cloud souverain n’est plus une option, mais une nécessité pour bâtir ensemble un avenir numérique durable.

HEALTH DATA HUB : Plusieurs entreprises, dont Clever Cloud, associations et particuliers saisissent le Conseil d’Etat contre la décision de la CNIL autorisant l’hébergement des données de santé par Microsoft

Le 21 décembre 2023, une décision de la CNIL autorisait le GIP Plateforme des Données de Santé à laisser la société Microsoft héberger pendant trois ans de nombreuses informations médicales de 300 000 à 600 000 patients français. 

En réponse, plusieurs sociétés, associations et particuliers dont Clever Cloud, Cleyrop, Nexedi, Rapid.Space, l’Open Internet Project, l'Association de défense des libertés constitutionnelles, l’Association les Licornes Célestes, le Conseil National du Logiciel Libre, Monsieur Benjamin Bayart de la Quadrature du Net, Monsieur Bernard Benhamou, de l’Institut de la souveraineté numérique, Monsieur Quentin Adam ont décidé de saisir le Conseil d’Etat. 

Déjà, les deux décisions Schrems I (2015) et II (2020) avaient invalidé le cadre des échanges de données entre la France et les Etats-Unis.  

En effet, le caractère intrusif et extraterritorial des lois de surveillance américaines, comme la Section 702 du FISA et le décret n°12333 menacent les données des citoyens européens.  

Ce qui n’est pas sans inquiéter les entreprises françaises et européennes de ce secteur qui seraient légitimes sur ce marché.  

Dans ce cadre, il est demandé l’annulation de la décision de la CNIL, ou du moins la transmission d’une question préjudicielle à la CJUE.  

L’affaire sera traitée en audience publique le 19 mars à 11h.  

Une conférence de presse sera organisée en présence des requérants le 18 mars à 8h30 au Café Le Concorde, 239 boulevard Saint Germain, 75007 Paris.

Dans la continuité de son engagement pour la souveraineté numérique, Clever Cloud annonce avec fierté sa participation à CISPE (Cloud Infrastructure Services Providers in Europe association).

Un partenariat dans la continuité de notre engagement

Cette participation souligne l'engagement de Clever Cloud à fournir une infrastructure cloud transparente, fiable, et en conformité avec les réglementations européennes rigoureuses en matière de protection des données, tout en protégeant ses clients contre les lois extraterritoriales . En rejoignant CiSPE, Clever Cloud s’associe aux autres fournisseurs de services cloud européens engagés à offrir des solutions innovantes et souveraines adaptées aux besoins et aux valeurs des clients européens. 

Clever Cloud, un engagement fort 

Cela fait plusieurs années que Clever Cloud est fortement engagé sur le sujet :  membre depuis le commencement de Gaia-X, membre fondateur d’Euclidia et fortement impliqué dans l’Open Internet Project.

“Notre participation à CISPE est dans la continuité de notre mission et en accord avec nos valeurs. Ensemble, nous bâtissons les fondations d'un écosystème numérique européen résilient, capable de répondre aux défis actuels et futurs de souveraineté et d’indépendance, autant que d’impacts environnementaux et de responsabilité sociale de notre industrie" déclare Jean-Baptiste Piacentino, VP Alliances de Clever Cloud.

Le Rôle de CISPE

L’association CISPE joue un rôle essentiel dans le paysage numérique européen, servant de plateforme collaborative pour échanger sur les meilleures pratiques, les défis réglementaires et les innovations technologiques. Ce consortium, composé de 26 entreprises, vise à accentuer la compétitivité de l'Europe dans le domaine du cloud computing. Pour cela, il travaille à assurer une concurrence équitable pour les fournisseurs européens sur le marché global, tout en respectant les valeurs et réglementations européennes.

Vous avez une question ? Contactez-nous dès maintenant ?

Le Consortium InfrateX, dirigé par Sopra Steria avec NTT Data et dont Clever Cloud est membre, remporte l'important contrat-cadre de 4 ans Simpl, pour la Direction Générale des réseaux de communication, du contenu et de la technologie (DG Connect) de la Commission Européenne.

L'objectif de Simpl, comme son nom l'indique, est de simplifier l'intégration et l'échange des données. Le consortium a pour but de concevoir une plateforme middleware à grande échelle, modulaire, interopérable et open source. C’est une réelle fierté de contribuer au développement d'une fédération cloud-to-edge compétitive et simplifiée pour l’écosystème européen.

Le Consortium InfrateX, soutenu par Gaia-X, FIWARE, i-Share et BAIDATA, repose sur un écosystème paneuropéen de sociétés soigneusement sélectionnées, chacune apportant une valeur ajoutée importante pour assurer le succès de l'implémentation de Simpl. Cette collaboration réunit 26 entreprises de 14 pays européens, dont des clients ou partenaires de longues dates de Clever Cloud, comme Docaposte, OVH Cloud ou Sopra Steria. Toutes ces entreprises choisies sont expertes en leur domaine et reconnues pour leur vision technologique et leur compétence.

"Clever Cloud est fier de s'inscrire dans cette démarche ouverte, pragmatique et collective, en harmonie avec notre philosophie. Gagner cet appel d'offre est une reconnaissance envers notre vision du Cloud, notre engagement pour la souveraineté numérique, ainsi que pour notre démarche en R&D." Quentin Adam, CEO de Clever Cloud.

La liste des entreprises présentes au sein d'InfrateX

• Entreprises de services numériques : Sopra Steria, NTT Data, PwC, Cybernetica, sovity,
  wetransform, Software Quality Systems (SQS)
• Fournisseurs de services en nuage : OVHcloud, CloudFerro, Telefonica
• Fournisseurs de logiciels : Clever Cloud, Docaposte, deltaDao AG, Cleyrop, Aleia, BYO
  Networks, Innovalia, Dawex, Fair & Smart, Ponder Source, Innovalia
• Chercheurs et organisations technologiques : ITI, IMEC
• Associations : CISPE (fournisseurs de services d'infrastructure en nuage en Europe), Digital New
  Deal, Eclipse Foundation, Hub France IA
• Pays : France, Belgique, Allemagne, Pays-Bas, Espagne, Luxembourg : France, Belgique, Allemagne, Pays-Bas, Espagne, Luxembourg, Pologne,
  Estonie, Lituanie, Slovénie, Bulgarie, Croatie, Chypre, Autriche.

Pour lire le communiqué de presse complet rédigé par Sopra Steria :https://lnkd.in/dYxgkUrA