Le cloud souverain est sorti du débat de politique publique en janvier 2026, quand AWS a ouvert sa région European Sovereign Cloud en Allemagne sous une société mère contrôlée par des citoyens de l'UE. Microsoft a étendu son EU Data Boundary aux charges d'IA la même année. Les options existent désormais à plusieurs niveaux de prix et de contrôle, ce qui déplace la question pour les DSI françaises : quel degré de souveraineté chaque charge de travail exige réellement, et ce que chaque option coûte en profondeur de service et en risque de sortie.
Qu'est-ce qu'un cloud souverain ?
Un cloud souverain est une infrastructure cloud dont les données et les traitements restent soumis au droit d'un pays ou d'une région donnée, à l'abri des législations extraterritoriales. Concrètement, il garantit que vos données sont stockées et traitées sur un territoire défini, par un opérateur soumis au seul droit local, et qu'aucune autorité étrangère ne peut y accéder par des voies légales détournées.
Cette définition prend tout son sens en France et en Europe, où la dépendance aux hyperscalers américains soulève une question précise : celle de la portée du CLOUD Act et du FISA, qui permettent aux autorités américaines de réclamer des données hébergées par une entreprise soumise au droit des États-Unis, y compris lorsque ces données se trouvent physiquement en Europe.
Dans les appels d'offres, le mot recouvre en réalité quatre niveaux distincts :
- Souveraineté des données : où elles sont stockées et traitées.
- Souveraineté opérationnelle : qui peut techniquement accéder à la plateforme, depuis quel pays, avec quelles procédures de bris de glace.
- Souveraineté technologique : hyperviseur, licences, API et canaux de mise à jour. Personne ne pose la question en phase d'appel d'offres, tout le monde la découvre lors d'une renegociation de licences.
- Souveraineté juridictionnelle : quel droit peut contraindre à la divulgation.
Un contrat qui délivre le premier niveau n'en délivre presque jamais quatre. La plupart des échecs que nous constatons en achat viennent de là : le besoin réel portait sur le quatrième niveau, la réponse achetée couvrait le premier.
Pourquoi ce basculement ?
Les clouds publics dominés par AWS, Google et Microsoft restent synonymes d'élasticité et de flexibilité. Mais l'arrivée des applications d'IA générative a ravivé les inquiétudes sur la souveraineté et la sécurité des données. Les organisations acceptent de moins en moins d'envoyer des données sensibles vers un cloud public, en particulier pour des charges d'IA où le contrôle du traitement et du stockage est déterminant.
À cela s'ajoute la question des coûts. À mesure que les budgets cloud mensuels augmentent, l'économie du cloud public ne se justifie plus toujours. Entre frais de sortie de données (egress), tarification imprévisible et dépendance à un fournisseur unique, le cloud souverain devient une alternative crédible.
Les hyperscalers ont répondu. AWS a lancé son European Sovereign Cloud le 15 janvier 2026, avec une région en Brandebourg, plus de 7,8 milliards d'euros engagés en Allemagne et une structure juridique distincte dirigée exclusivement par des citoyens de l'UE. Microsoft s'appuie sur son EU Data Boundary étendu aux charges d'IA, sur Azure Local pour les environnements déconnectés et sur des clouds opérés par des partenaires comme Bleu en France et Delos en Allemagne.
Ces offres réduisent l'écart sur la localisation des données et sur les opérations. Elles laissent ouverte la dépendance technologique, puisque licences, API et canaux de mise à jour restent contrôlés par l'éditeur. Pour tout fournisseur dont la maison mère relève du droit américain, l'exposition juridictionnelle demeure : c'est la conclusion que tire l'analyse KuppingerCole de la pile Microsoft 2026, qui décrit une souveraineté transformée en risques à gérer plutôt qu'en problème résolu. La structure de gouvernance retenue par AWS traite la question juridictionnelle plus frontalement qu'une frontière de données, mais elle n'a pas encore été éprouvée devant un tribunal.
Le cadre réglementaire français et européen
Plusieurs dispositifs structurent aujourd’hui la souveraineté numérique en France :
Le RGPD encadre le traitement des données personnelles et leur transfert hors de l’Union européenne.
Le CLOUD Act américain crée un risque d’accès extraterritorial aux données hébergées par des acteurs soumis au droit des États-Unis.
Le label SecNumCloud, délivré par l’ANSSI, qualifie les prestataires cloud répondant aux exigences les plus strictes de sécurité et d’immunité aux droits extraterritoriaux. Il sert de référence à la doctrine « cloud au centre » de l’État et à la notion de « cloud de confiance ».
Deux évolutions récentes complètent ce cadre.
Le Data Act européen est applicable depuis le 12 septembre 2025. Il impose des clauses de réversibilité dans les contrats cloud : bascule vers un autre fournisseur ou rapatriement en interne dans un délai de transition de 30 jours maximum, après un préavis plafonné à deux mois. Jusqu’au 12 janvier 2027, les frais de transfert ne peuvent pas dépasser les coûts réellement supportés par le fournisseur. À partir de cette date, ils sont en principe interdits. Les frais d’egress comme mécanisme de verrouillage ont donc une date de péremption en Europe, et tout business case qui supposait une sortie prohibitive mérite d’être refait avant janvier 2027, tant que la négociation de renouvellement donne du levier.
Le schéma de certification EUCS reste bloqué dans une impasse. Le débat porte toujours sur l’opportunité d’y inscrire des exigences de souveraineté, dont l’immunité aux lois extraterritoriales, une question que certains juristes estiment relever du législateur européen plutôt que d’un règlement d’exécution. Tant qu’il n’aboutit pas, aucun label européen unique ne certifie qu’un cloud est souverain et l’évaluation reste à la charge de l’acheteur. En France, SecNumCloud tient ce rôle par défaut, ce qui explique son poids dans les marchés publics et les secteurs régulés.
Pour une entreprise, choisir un cloud souverain revient à aligner son hébergement sur ces exigences plutôt que de les subir a posteriori lors d’un audit ou d’un incident.
L’IA, moteur de la souveraineté numérique
Les applications d’IA générative reposent sur des modèles de fondation et des grands modèles de langage (LLM) qui exigent d’importantes ressources de calcul et de vastes volumes de données pour leur entraînement. Le cloud reste la plateforme la plus pratique pour les faire passer à l’échelle, mais les organisations hésitent à confier ces données aux clouds publics.
Gartner prévoyait en février 2024 que d’ici 2027, 70 % des entreprises adoptant l’IA générative citeraient la durabilité et la souveraineté numérique comme critères prioritaires dans le choix de leur fournisseur de cloud. Deux ans plus tard la trajectoire se confirme : Microsoft a étendu son EU Data Boundary spécifiquement aux charges d’IA et à la télémétrie Copilot, et AWS a livré des services d’IA dans sa région souveraine dès l’ouverture.
L’IA déplace le curseur sur trois niveaux de souveraineté à la fois, souvent là où les exercices de classification ne regardent pas :
- Les données d’entraînement et de fine-tuning concentrent le patrimoine le plus sensible de l’organisation en un seul endroit, avec un seul chemin d’accès.
- Les prompts et les journaux d’inférence contiennent régulièrement des données régulées que personne n’a classées comme telles, parce que les utilisateurs les collent directement.
- Les poids d’un modèle spécialisé sur des données propriétaires constituent un actif à part entière, auquel la juridiction s’applique.
- Les pipelines de recherche augmentée (RAG) héritent des exigences du document le plus sensible que l’index peut atteindre, pas de celles du document moyen.
Le contrôle utile porte sur le placement plutôt que sur la politique interne : gardez la couche de recherche, la base vectorielle et les journaux à l’intérieur du périmètre souverain, et traitez tout appel d’API modèle qui en sort comme un transfert de données soumis à la même revue que n’importe quel autre export. Ce schéma permet d’utiliser un modèle de pointe pour le raisonnement général tout en gardant le contexte régulé sur une infrastructure maîtrisée.
Les bénéfices d'un cloud souverain
Maîtrise des coûts
L’objection revient dans presque tous nos échanges d’avant-vente : un cloud souverain coûtera forcément plus cher que le cloud public actuel. Pas nécessairement. Tout dépend de la forme de la charge.
Sur des charges stables et une facture cloud public élevée, la tarification prévisible, l’absence de frais de sortie et un dimensionnement ajusté renversent souvent le calcul. Un cas récent le montre. Un client à environ 90 000 € par mois sur Azure atteint 3,24 M€ sur trois ans. L’équivalent souverain, 350 000 € d’infrastructure et un service managé à 20 000 € par mois, revient à 1,07 M€ sur la même période. L’écart atteint 2,17 M€, soit environ 67 %.
Ce chiffre couvre l’infrastructure et l’exploitation. Il ne couvre pas la remédiation applicative et les tests, et c’est précisément le poste qui dépasse presque toujours l’estimation initiale de nos clients. Le transfert des données, lui, tient généralement le budget annoncé. Chiffrez la remédiation avant de vous engager sur un montant : c’est elle qui décide si un calcul à trois ans résiste au plan de projet.
Souveraineté des données
Vos données sensibles restent sur le territoire choisi et sous le droit applicable, un point essentiel pour la conformité au RGPD et pour la confiance de vos parties prenantes.
Conformité réglementaire
L’hébergement souverain aligne vos données et vos traitements sur les réglementations locales et sectorielles, un impératif pour les secteurs régulés (santé, finance, secteur public).
Sécurité renforcée
Un périmètre maîtrisé permet d’appliquer des mesures de sécurité sur mesure et de réduire la surface d’exposition, notamment pour les données d’entraînement et les sorties de modèles d’IA.
Alignement environnemental
Les charges d’IA sont gourmandes en ressources. Les opérateurs souverains privilégiant des opérations écoénergétiques aident à concilier stratégie IA et objectifs de durabilité.
Quand envisager un hébergement souverain ?
Le cloud souverain s’impose lorsque :
- un régulateur ou un contrat client nomme la juridiction. En secteur régulé ou pour des données sensibles, l’exigence est écrite et la décision est déjà prise. Le travail consiste à la prouver.
- la charge est stable. Une capacité prévisible qui tourne en continu rentabilise rarement la prime attachée à la tarification élastique.
- la pile est portable. Machines virtuelles, Kubernetes et moteurs de base de données ouverts se déplacent à faible coût.
- vos projets d’IA sont prioritaires et exigent une infrastructure maîtrisée où les données d’entraînement et le contexte de récupération restent sous droit local.
Le cas inverse existe et nous le disons aussi. Nous avons déconseillé le cloud souverain à un prospect qui exploitait de petits workloads cloud native, fortement dépendants de services managés. Sa facture de cloud public était faible et aucun impératif réglementaire ne justifiait la migration. Le coût de transformation, celui de l’exploitation et la perte d’agilité auraient dépassé les économies possibles. Nous lui avons recommandé de rester chez son hyperscaler et d’investir plutôt dans sa gouvernance et sa sécurité.
L'approche EXEO
EXEO est une entreprise française qui exploite sa propre infrastructure d’hébergement cloud souverain dans son centre de données à Paris, sans dépendance à un hyperscaler. Notre exploitation est certifiée ISO 27001, ISO 27017 et ISO 27701, et supervisée en continu par notre SOC. Nous vous aidons à héberger vos environnements et vos charges d’IA dans un cadre maîtrisé, conforme et sous droit français.
Le passage au cloud souverain se décide charge par charge. Classez vos environnements selon le degré de souveraineté réellement requis, plutôt que d’appliquer une réponse unique à tout le parc. Vérifiez ce degré dans les clauses du contrat, puisqu’une fiche produit n’engage personne. Et rouvrez vos conditions de sortie avant l’échéance Data Act de janvier 2027, tant que la négociation de renouvellement vous donne du levier.
Nous comparons le coût complet sur trois ans, migration et exploitation comprises, et nous vous disons quand les chiffres recommandent de ne pas bouger. Pour en discuter, contactez notre équipe.