Le 8 juillet 2026, Aire, groupe auquel appartient Stackscale, a organisé le premier webinaire de la série Despeja tu Cloud. Ces sessions ont pour objectif d’expliquer les évolutions réglementaires, techniques et géopolitiques qui transforment la manière dont les entreprises choisissent et achètent leurs infrastructures. Zigor Gaubeca, CIO d’Aire, et David Aibar Carretero, Head of Sales, ont posé une question qui devrait être examinée par chaque comité de direction : si un juge demandait aujourd’hui de quelle juridiction relèvent les données critiques de l’entreprise, celle-ci serait-elle en mesure de fournir une réponse claire et documentée ?
La réponse ne dépend pas uniquement du pays dans lequel se trouve le centre de données. Une charge de travail peut être exécutée physiquement à Madrid, Paris ou Francfort tout en restant soumise aux lois d’un pays tiers en raison de la nationalité du fournisseur, de sa structure capitalistique ou du contrôle effectif qu’il exerce sur le service. C’est pourquoi la souveraineté cloud fait désormais partie des sujets liés à la continuité d’activité, au même titre que la cybersécurité, les sauvegardes, la haute disponibilité et la reprise après sinistre.
Souveraineté cloud : les points clés en 20 secondes
- Héberger des données en Europe ne garantit pas à lui seul qu’elles soient soumises exclusivement au droit européen.
- La juridiction dépend également de l’entreprise qui fournit le service, de sa maison mère, de ses sous-traitants et de l’entité qui possède, conserve ou contrôle les informations.
- Le CLOUD Act américain peut s’appliquer à des données stockées en dehors des États-Unis lorsqu’elles sont sous le contrôle d’un fournisseur soumis à la juridiction américaine.
- Cela n’autorise pas un accès arbitraire à n’importe quelle information. Une demande juridique valide, précise et liée à une procédure doit exister.
- Le Data Act européen, applicable dans son ensemble depuis le 12 septembre 2025, impose de réduire les obstacles contractuels, commerciaux et techniques au changement de fournisseur cloud.
- À partir du 12 janvier 2027, les fournisseurs ne pourront plus facturer les frais de changement définis par le Data Act, même si les migrations continueront d’engendrer des coûts techniques et opérationnels.
- Le 3 juin 2026, la Commission européenne a présenté une proposition de Cloud and AI Development Act, CADA, qui introduit un cadre commun pour évaluer plusieurs niveaux de souveraineté cloud et d’Intelligence Artificielle.
- La souveraineté n’oblige pas les entreprises à abandonner les hyperscalers. Elle suppose de comprendre les dépendances, de diversifier lorsqu’un risque réel existe et de disposer d’une solution de remplacement viable.
- Un plan de sortie qui n’a jamais été testé n’est pas encore un plan opérationnel.
La localisation du centre de données ne détermine pas toute la juridiction
Pendant des années, de nombreuses décisions d’infrastructure étaient considérées comme réglées dès lors que le fournisseur proposait une région européenne. Ce critère était raisonnable : conserver les données dans l’Union européenne permet de les rapprocher des utilisateurs et des systèmes de l’entreprise, peut réduire la latence et facilite le respect de certaines exigences de résidence des données.
Mais la localisation physique ne répond qu’à une partie de la question.
Il faut également savoir quelle entité juridique signe le contrat, où sa maison mère est établie, depuis quels pays le service peut être administré, qui contrôle les clés de chiffrement, quels sous-traitants interviennent et quelles législations s’appliquent au groupe.
Le CLOUD Act, adopté aux États-Unis en 2018, prévoit que les fournisseurs de services de communications électroniques ou de services informatiques à distance doivent préserver, sauvegarder ou transmettre les informations placées sous leur « possession, garde ou contrôle », qu’elles soient stockées aux États-Unis ou à l’étranger.
Cela ne signifie pas qu’une autorité peut accéder sans motif à l’ensemble des données hébergées par un fournisseur. Une ordonnance, une demande ou une procédure juridique valide doit porter sur des informations précises. Les fournisseurs peuvent également contester certaines demandes et recourir aux mécanismes juridiques prévus par la législation applicable.
Le risque pour une entreprise européenne apparaît lorsque plusieurs juridictions se chevauchent. D’un côté, l’organisation doit respecter le Règlement général sur la protection des données, les règles relatives aux transferts internationaux et ses obligations contractuelles. De l’autre, elle peut dépendre d’un fournisseur soumis à des demandes émanant d’un pays tiers.
La résidence européenne des données reste importante, mais elle ne suffit pas à décrire l’exposition juridique d’une plateforme.
Une évaluation complète devrait répondre au minimum aux questions suivantes :
| Domaine | Question à laquelle l’entreprise doit répondre |
|---|---|
| Localisation | Dans quels pays et centres de données les informations sont-elles stockées, traitées et répliquées ? |
| Fournisseur | Quelle entité juridique signe le contrat et où sont établies sa maison mère et ses filiales concernées ? |
| Juridiction | Quelles législations étrangères peuvent affecter le service ou le fournisseur ? |
| Exploitation | Depuis quels pays les équipes de support et d’administration peuvent-elles accéder à la plateforme ? |
| Chiffrement | Qui génère, contrôle, stocke et peut récupérer les clés de chiffrement ? |
| Sous-traitance | Quels tiers interviennent dans le service et depuis quels territoires opèrent-ils ? |
| Accès public | Comment le fournisseur répond-il aux demandes des autorités nationales ou étrangères ? |
| Portabilité | Quelles données, images, configurations, journaux et métadonnées peuvent être exportés ? |
| Sortie | Quels délais, coûts, formats et restrictions s’appliquent à la fin du service ? |
La réponse ne devrait pas être dispersée entre les contrats, les annexes techniques, les politiques de confidentialité et les présentations commerciales. Les équipes technologiques, sécurité, conformité, achats et direction ont besoin d’une vision commune indiquant où se trouvent les données, qui peut les administrer et ce qui se passerait s’il fallait les déplacer.
Ce que change le Data Act européen
Le Data Act introduit des obligations précises pour faciliter le changement de fournisseur de services de traitement de données. Il couvre notamment les services IaaS, les plateformes cloud et d’autres modèles dans lesquels une entreprise traite ou stocke des informations au moyen de ressources fournies par un tiers.
Le règlement oblige les fournisseurs à supprimer les obstacles commerciaux, techniques, contractuels et organisationnels qui empêchent les clients de changer de prestataire, de transférer leurs données vers leur propre infrastructure ou d’utiliser plusieurs fournisseurs en parallèle.
Les contrats doivent préciser les catégories de données et d’actifs numériques transférables, les formats disponibles, les limitations techniques connues et la période pendant laquelle les informations pourront encore être récupérées après la fin de la transition. Ils doivent également prévoir la coopération du fournisseur d’origine afin de maintenir la continuité et de soutenir la stratégie de sortie du client.
En règle générale, la période maximale de transition est de 30 jours calendaires après la fin du délai de préavis contractuel, lequel ne peut pas dépasser deux mois. Si ce délai est techniquement irréalisable, le fournisseur doit le justifier et proposer une période alternative qui ne peut pas dépasser sept mois.
Le 12 janvier 2027, les frais de changement, ou switching charges, disparaîtront. Il s’agit des frais imposés par le fournisseur d’origine pour les actions que le Data Act lui demande d’effectuer pendant le changement.
Cela ne rendra pas pour autant une migration cloud gratuite.
L’entreprise devra toujours prendre en charge les coûts de conseil, d’ingénierie, de transfert des données, de bande passante, d’adaptation des applications, de double exploitation, de tests, de nouvelles licences et de formation. Le règlement ne supprime pas automatiquement non plus les pénalités de résiliation anticipée ni le coût des prestations supplémentaires exclues du processus réglementé.
Le Data Act réduit certaines barrières, mais il ne peut pas, à lui seul, défaire une architecture construite autour de services exclusifs à une seule plateforme. Plus une organisation utilise des bases de données propriétaires, des fonctions serverless, des outils d’identité, des files de messages, des API ou des services managés spécifiques à un fournisseur, plus la sortie sera complexe.
Le règlement oblige également les fournisseurs à publier la juridiction applicable à l’infrastructure utilisée pour chaque service et une description générale des mesures techniques, organisationnelles et contractuelles mises en place pour éviter des accès gouvernementaux internationaux contraires au droit européen.
Il convient ici de distinguer les différents types d’informations. Les dispositions du Data Act relatives aux accès gouvernementaux internationaux concernent principalement les données non personnelles. Les données personnelles restent soumises au RGPD et au reste du cadre européen de protection de la vie privée.
CADA et les nouveaux niveaux de souveraineté européenne
Le 3 juin 2026, la Commission européenne a présenté une proposition de Cloud and AI Development Act. CADA vise à accroître les capacités européennes dans les centres de données, le cloud et l’Intelligence Artificielle, à faciliter le déploiement de nouvelles infrastructures et à réduire les dépendances considérées comme risquées.
La proposition introduit un cadre européen de souveraineté comprenant quatre niveaux d’assurance. Le premier repose sur le traitement et le stockage des données dans des infrastructures situées au sein de l’Union européenne. Les niveaux supérieurs ajoutent des exigences relatives à l’indépendance vis-à-vis des pays tiers, à la transparence de la chaîne d’approvisionnement logicielle, à la propriété et au contrôle européens ainsi qu’à l’absence d’interférences extérieures.
La différence entre ces niveaux reflète une idée centrale : la localisation reste importante, mais elle ne signifie pas nécessairement le contrôle.
CADA prévoit également des critères communs pour les marchés publics, un soutien accru aux technologies open source et des mesures destinées à accélérer le déploiement des infrastructures cloud et des centres de données. La Commission propose aussi de multiplier au moins par trois la capacité européenne des centres de données au cours des cinq à sept prochaines années.
Il s’agit encore d’une proposition législative. Son contenu peut évoluer au cours des négociations au Parlement européen et au Conseil. La direction politique est cependant claire : la dépendance vis-à-vis d’infrastructures et de fournisseurs de pays tiers n’est plus analysée uniquement comme une question de concurrence ou de confidentialité, mais aussi comme un risque pour la résilience des administrations publiques, des hôpitaux, des banques, des industries et des services essentiels.
Les fournisseurs cloud seront de plus en plus évalués selon plusieurs critères combinés : sécurité, portabilité, interopérabilité, juridiction, contrôle opérationnel, durabilité et capacité à maintenir le service face à des évolutions juridiques ou géopolitiques.
Souveraineté opérationnelle : concevoir la sortie avant d’en avoir besoin
L’une des idées les plus utiles évoquées lors du webinaire consiste à distinguer la souveraineté en tant que concept institutionnel de la souveraineté opérationnelle dont une entreprise a besoin.
La souveraineté opérationnelle peut se mesurer. Une organisation dispose d’un plus grand contrôle lorsqu’elle peut décider où chaque application est exécutée, sait qui administre ses données et maintient une solution de remplacement viable si les conditions changent.
Ce changement peut être provoqué par une interruption de service, une cyberattaque, une hausse des prix, une acquisition, une évolution du modèle de licences, une nouvelle exigence réglementaire ou une décision géopolitique.
Comme l’a expliqué David Aibar pendant la session, de nombreuses entreprises calculent en détail le coût d’entrée dans le cloud, mais peu estiment le coût de sortie. La comparaison utilisée était celle de la location de bureaux : en plus du loyer et de l’aménagement initial, une entreprise doit prévoir le coût nécessaire pour quitter les locaux et les restituer dans l’état convenu.
Dans le cloud, le coût de sortie peut inclure l’extraction des données, la conversion des machines virtuelles, la reconstruction des réseaux, le remplacement des services managés, les tests de performance, l’exploitation parallèle de deux plateformes et la validation fonctionnelle des applications.
Toutes les charges de travail ne présentent pas le même degré de difficulté. Une machine virtuelle utilisant des formats courants peut être transférée avec un effort raisonnable. Une application reposant sur de nombreux services propres à une plateforme exigera davantage d’ingénierie, de tests et de modifications du code.
La souveraineté ne consiste pas à éviter toute technologie propriétaire. Elle consiste à comprendre le coût de la dépendance et à décider consciemment où celle-ci est acceptable.
Une stratégie hybride, pas une migration par principe
La souveraineté n’oblige pas non plus les organisations à retirer toutes leurs charges de travail d’AWS, Microsoft Azure ou Google Cloud. Les hyperscalers offrent une couverture mondiale, des services avancés, des capacités à la demande et un accès rapide aux technologies d’analyse et d’Intelligence Artificielle.
Ils peuvent représenter une bonne option pour les applications mondiales, les environnements temporaires, les projets dont la demande varie fortement ou les charges dont la sensibilité et le niveau de dépendance ont été évalués au préalable.
D’autres systèmes nécessitent un contrôle plus important : bases de données clients, plateformes transactionnelles, propriété intellectuelle, services internes essentiels, sauvegardes, systèmes soumis à une réglementation sectorielle ou applications dont l’utilisation est stable et prévisible.
Un modèle hybride permet d’affecter chaque charge à l’environnement le plus adapté :
| Type de charge | Approche possible |
|---|---|
| Développement, tests et projets temporaires | Cloud public flexible |
| Applications mondiales à demande variable | Hyperscaler ou architecture multicloud |
| Systèmes d’entreprise à consommation stable | Cloud privé avec ressources dédiées |
| Données sensibles ou réglementées | Infrastructure dont la juridiction et l’exploitation sont clairement définies |
| Bases de données à forte consommation de ressources | Bare-metal ou infrastructure dédiée |
| Sauvegardes et reprise | Fournisseur ou emplacement indépendant de la production |
| Charges critiques | Haute disponibilité, réplication et procédures testées |
L’utilisation de plusieurs plateformes ne crée pas automatiquement de souveraineté. Un environnement multicloud mal conçu peut dupliquer les outils, augmenter les coûts et compliquer la sécurité. La diversification doit répondre à des risques précis et s’appuyer sur des procédures, des identités, des réseaux, une supervision et des politiques communes.
Le rôle de Stackscale dans une stratégie de souveraineté opérationnelle
Stackscale peut servir d’infrastructure européenne dédiée dans un modèle hybride ou multicloud. Ses solutions de cloud privé combinent des équipements exclusifs, du stockage réseau, une connectivité privée, un support spécialisé et une virtualisation fondée sur Proxmox VE ou VMware.
Proxmox VE permet de construire des plateformes de virtualisation à partir de technologies open source telles que KVM et LXC. Pour de nombreuses entreprises, il peut constituer une alternative permettant de réduire la dépendance à certains modèles de licences et de mieux contrôler le coût total de possession. La décision doit reposer sur une évaluation de la compatibilité, de la disponibilité, des sauvegardes, du réseau, du stockage et des capacités opérationnelles, et non uniquement sur le prix de l’hyperviseur.
Le bare-metal convient aux charges qui exigent des performances dédiées, une faible latence, une forte isolation, un accès direct au matériel ou un comportement plus prévisible. Le cloud privé ajoute une couche de virtualisation et de gestion sur des ressources allouées, ce qui permet de consolider les applications sans partager la capacité physique avec d’autres clients.
Pour les environnements critiques, Stackscale propose un stockage avec géoréplication synchrone entre deux centres de données situés à Madrid et distants de plus de dix kilomètres. Selon les spécifications publiées, le service est conçu avec un RPO et un RTO égaux à zéro, des systèmes de stockage indépendants et redondants, des sauvegardes fondées sur des snapshots et un support technique disponible 24 h/24 et 7 j/7.
La stratégie peut être complétée par une infrastructure réservée à la reprise après sinistre. Ce modèle permet de maintenir un cold spare dans un site distant, de l’activer lors de tests périodiques et de l’utiliser pour restaurer les applications après une panne matérielle, une cyberattaque ou une autre situation d’urgence.
Ces capacités peuvent s’intégrer dans différents scénarios : production sur un cloud privé et sauvegardes sur un autre site, applications exécutées chez un hyperscaler avec reprise chez Stackscale, clusters Proxmox VE avec stockage réseau, plateformes VMware nécessitant un second site ou migrations progressives depuis des environnements on-premise et des clouds publics.
L’objectif ne devrait pas être de déplacer toute l’infrastructure vers une seule destination. La priorité consiste à construire une alternative utilisable lorsque cela devient nécessaire.
Un plan de sortie cloud en 90 jours
Une première évaluation ne nécessite pas de lancer immédiatement une migration complète. Elle peut être organisée sur trois mois :
| Phase | Travail nécessaire | Résultat |
|---|---|---|
| Inventaire | Identifier les machines, données, services, réseaux et dépendances | Cartographie actualisée de la plateforme |
| Classification | Classer les charges selon leur criticité, leur sensibilité et les contraintes réglementaires | Priorités clairement établies |
| Juridiction | Examiner le fournisseur, sa maison mère, les sous-traitants et les pays concernés | Cartographie de l’exposition juridique |
| Portabilité | Documenter les formats, API, images et outils d’exportation | Obstacles techniques identifiés |
| Coûts | Calculer les transferts, l’ingénierie, les licences et la double exploitation | Budget initial de sortie |
| Destination | Sélectionner une infrastructure alternative | Capacité de reprise disponible |
| Pilote | Migrer ou restaurer une charge représentative | Procédure testée |
| Continuité | Définir le RTO, le RPO et la tolérance aux interruptions | Objectifs mesurables |
| Sécurité | Examiner les identités, les clés, le chiffrement et les journaux | Contrôle pendant la transition |
| Tests | Répéter les exportations, restaurations et bascules | Plan actuel et vérifiable |
Au cours du premier mois, l’entreprise peut terminer son inventaire et classer ses charges. Pendant le deuxième, elle peut sélectionner un système représentatif, préparer la destination et réaliser une première migration ou restauration. Le troisième mois doit servir à mesurer les délais, documenter les exceptions et présenter à la direction les coûts et les risques identifiés.
Le résultat ne doit pas nécessairement être une migration immédiate. Savoir qu’une solution de remplacement existe, combien elle coûte, combien de temps elle nécessite et quelles dépendances doivent être résolues améliore déjà la capacité de décision de l’organisation.
La souveraineté cloud devient utile lorsqu’elle cesse d’être un concept politique pour se traduire en architecture, contrats, procédures et tests. Entrer sur une plateforme constitue une décision technique et financière. Conserver la liberté de choisir comment et quand en sortir relève de la continuité d’activité.
Questions fréquentes
Le fait d’héberger des données dans une région européenne empêche-t-il l’application du CLOUD Act ?
Pas nécessairement. La localisation physique est importante, mais les entreprises doivent également vérifier si le fournisseur est soumis à la juridiction américaine et s’il possède, conserve ou contrôle les informations.
Le Data Act rend-il les migrations cloud gratuites ?
Non. À partir du 12 janvier 2027, il supprime les frais de changement définis par le règlement, mais les entreprises continueront de supporter les coûts d’ingénierie, d’adaptation, de transfert, de tests et d’exploitation.
Une stratégie de souveraineté oblige-t-elle les entreprises à abandonner les hyperscalers ?
Non. Elle peut combiner cloud public, cloud privé, bare-metal, fournisseurs européens et emplacement indépendant pour les sauvegardes ou la reprise. Chaque charge doit être placée en fonction de son risque, de sa criticité et de ses dépendances techniques.
Quelle est la première étape pour réduire la dépendance à un fournisseur ?
Établir un inventaire des charges et de leurs dépendances, examiner la juridiction applicable et réaliser un véritable test d’exportation, de migration ou de restauration sur une infrastructure alternative.
Sources :
- Webinaire Despeja tu Cloud, organisé par Aire le 08/07/2026.
- Règlement (UE) 2023/2854, Data Act, notamment ses articles 23 à 32.
- Code des États-Unis, titre 18, section 2713, relatif à la portée territoriale du CLOUD Act.
- Proposition de Cloud and AI Development Act présentée par la Commission européenne le 03/06/2026.
- Stackscale, solutions de cloud privé avec Proxmox VE et VMware.
- Stackscale, stockage avec géoréplication synchrone.
- Stackscale, infrastructure réservée à la reprise après sinistre.