OPINION. “For a sovereign cloud label readable by all”

Par William Méauzoone, directeur général et cofondateur de Leviia

En effet, puisque le nouvel actionnaire majoritaire est américain, les données sont désormais exposées au droit américain.

Oui : la souveraineté des données ne dépend pas de l'endroit où sont les serveurs, mais de la juridiction à laquelle obéit celui qui les exploite.

C'est précisément ce point que les offres de « cloud souverain » d'Amazon ou Microsoft font semblant de ne pas connaître.

Amazon Web Services a ouvert en janvier son European Sovereign Cloud, présenté comme « un cloud indépendant pour l'Europe entièrement situé en Union européenne, séparé physiquement et logiquement des autres régions AWS ». Microsoft, lui, promet que son cloud souverain européen protège les informations sensibles « contre tout accès non autorisé, y compris de la part du fournisseur de cloud ».

Ces promesses règlent la question de la localisation… Mais ne règlent en aucun cas celle de la juridiction.

En 2013, les documents révélés par Edward Snowden citaient déjà Microsoft et Google parmi les entreprises associées au programme de surveillance PRISM. En juin 2025, devant une commission d'enquête du Sénat, on a demandé sous serment au directeur des affaires publiques et juridiques de Microsoft France de garantir que les données des citoyens français confiées à Microsoft ne seraient jamais transmises aux autorités américaines sans l'accord des autorités françaises. Sa réponse : « Non, je ne peux pas le garantir. »

Depuis des années, les cadres du CLOUD Act et de la loi FISA permettent aux autorités américaines d'exiger les données détenues par tout fournisseur relevant de leur juridiction, quel que soit le lieu où elles sont stockées.

Peu importe les différents garde-fous que l'on veut bien nous présenter (filiale de droit européen, personnel résidant dans l'Union, chiffrement, etc.) : une entreprise américaine reste soumise au droit américain même quand ses serveurs sont situés en Europe.

Considérant ces promesses trompeuses, comment faire pour aider les utilisateurs (citoyens, collectivités et entreprises) à y voir plus clair et à choisir leur solution de manière éclairée et en connaissance de cause ?

En France, la qualification SecNumCloud de l'ANSSI impose des exigences de sécurité et de protection juridique très élevées. Mais elle s'adresse à un nombre très réduit d'acteurs privés ou publics et ne permet pas de comparer simplement les offres entre elles.

Le label France Cybersecurity atteste l'origine française des solutions de cybersécurité. Mais il ne mesure pas la souveraineté juridique, technique et opérationnelle d'un service cloud.

À l'échelle européenne, la Commission a conçu pour ses propres achats un cadre d'évaluation de huit critères et cinq niveaux : une affaire de spécialistes, donc. Et son premier appel d'offres a retenu, parmi quatre lauréats, un consortium reposant sur la technologie de Google, au grand dam d'une partie de la filière. L'association CISPE a lancé en avril son propre référentiel : un badge utile, mais binaire et défini par les fournisseurs eux-mêmes.

Enfin, la Commission a proposé en juin le Cloud and AI Development Act (CADA), qui prévoit quatre niveaux de souveraineté, certifiés après un audit indépendant. Ses niveaux 3 et 4 exigent l'immunité face aux lois extraterritoriales. Mais le CADA concerne d'abord les achats publics et les niveaux 1 et 2 restent largement à la portée des GAFAMs.

Il manque donc un repère simple et efficace que chacun puisse lire et vérifier, du directeur informatique à l'élu local, du dirigeant de PME au citoyen.

Un label sérieux de cloud souverain devrait reposer sur quatre critères :

- La juridiction. C'est la condition première : le fournisseur échappe-t-il aux lois extraterritoriales ? À quelle juridiction est-il soumis ?

- La localisation. Un fichier peut être stocké en France et son traitement dépendre de services opérés à l'étranger. Le label doit vérifier que toute l'architecture, du stockage à l'administration, se trouve en France ou dans l'UE.

- La maîtrise technologique. Un fournisseur qui remplit les deux critères précédents peut dépendre de logiciels qu'il ne contrôle pas. Il faut que le label puisse mesurer cette dépendance. Dans ce cas, l’open source est un atout car permet il permet d'auditer et de maintenir une solution indépendamment de l’éditeur ou de l’intégrateur.

- Le contrôle opérationnel. Qui fait tourner la machine ? Depuis où ? Qui détient les clés de chiffrement ? Qui accorde ou révoque les accès, quand tout va bien comme quand tout va mal ? Un service peut être juridiquement et techniquement souverain sans forcément l'être dans son fonctionnement au quotidien.

Concrètement, chaque offre de cloud afficherait une note globale de A à E, accompagnée du détail des quatre critères, à la manière du Nutri-Score ou du diagnostic de performance énergétique. Deux offres pourraient ainsi se comparer d'un coup d'œil et les promesses des fournisseurs se vérifier.

La juridiction étant la condition première, elle plafonnerait la note : une offre soumise à des lois extraterritoriales ne pourrait pas dépasser D, quels que soient ses autres résultats.

Cette note serait attribuée par des organismes indépendants et accrédités. Et pour être vraiment utile, elle devrait être obligatoire pour toute offre qui revendique le mot « souverain ».

La souveraineté des données est un enjeu majeur pour notre pays et notre continent. Par conséquent, elle ne se déclare pas, elle se prouve.

Machine-translated from French