« La souveraineté numérique n'est plus un sujet informatique. C'est une décision stratégique aux dimensions géopolitiques, réglementaires et économiques. » — Digital Chiefs, avril 2026
Quand on m'a demandé de choisir un sujet de thèse, j'aurais pu partir sur quelque chose de confortable. J'ai préféré une question qui me dérange et qui devrait déranger beaucoup plus de monde qu'elle ne le fait.
Chaque jour, des entreprises et des États confient leurs données les plus sensibles à des infrastructures qu'ils ne contrôlent pas, situées dans des pays dont les lois ne sont pas les leurs, et exploitées par des acteurs dont les intérêts ne sont pas forcément alignés avec les leurs. On appelle ça le cloud computing. On le présente comme une commodité, un progrès, voir même une évidence.
Mais derrière cette évidence se cache une question que peu d'organisations osent vraiment se poser : à qui appartiennent vraiment nos données ?
Quand efficacité rime avec dépendance
Le cloud computing a tout pour séduire. Réduction des coûts, flexibilité, évolutilité instantanée, les arguments sont réels et les bénéfices opérationnels indéniables. C'est d'ailleurs pour ça que l'adoption a été aussi rapide et aussi massive. Aucune DSI n'a eu tort de migrer vers le cloud. Le problème n'est pas le choix c'est la concentration qui en a découlé.
Aujourd'hui, 82 % des entreprises allemandes déclarent ne plus vouloir dépendre techniquement des fournisseurs américains de cloud. Pourtant, 78 % d'entre elles restent, en pratique, dépendantes. Cet écart entre la volonté et la réalité est précisément ce qui m'intéresse dans ma thèse. Ce n'est pas une question de mauvaise foi, c'est une question de verrouillage structurel.
Le Cloud Act : la loi américaine qui s'applique à vos données en France
C'est ici que la situation devient vraiment inconfortable. Adopté aux États-Unis en 2018, le Cloud Act autorise les autorités fédérales américaines à contraindre tout fournisseur de services numériques de droit américain à transmettre des données, quelle que soit la localisation géographique des serveurs.
Concrètement : une entreprise française, qui héberge ses données dans un datacenter situé à Paris, mais qui est géré par Microsoft ou Amazon, reste juridiquement exposée aux injonctions de Washington. Le RGPD encadre le traitement des données personnelles. Il ne bloque pas une injonction judiciaire émise depuis Washington.
Ce point est essentiel et souvent mal compris. Ce qui compte, ce n'est pas la géographie du serveur. C'est la nationalité juridique du fournisseur. Et sur ce terrain, AWS, Microsoft et Google restent des entreprises américaines, quoi qu'elles construisent en Europe.
L'Europe se réveille — lentement, mais sûrement
La réponse européenne prend enfin de l'ampleur en 2026. Le 3 juin 2026 , la Commission européenne a présenté le Cloud and AI Development Act, un cadre à quatre niveaux de souveraineté pour les achats publics cloud, allant de la simple localisation européenne des infrastructures jusqu'au contrôle capitalistique européen du fournisseur.
En France, le gouvernement a ordonné à 2,5 millions de fonctionnaires d'abandonner Zoom et Microsoft Teams au profit de Visio, une plateforme souveraine développée par la DINUM. Signal fort. Et du côté du projet Gaia-X, Cloud Temple, Thésée DataCenter et OVHcloud sont devenus en avril 2026 les trois premiers fournisseurs à obtenir le label Gaia-X de niveau 3, marquant une montée en maturité réelle de l'écosystème cloud européen.
Ces initiatives sont encourageantes. Mais elles soulèvent autant de questions qu'elles n'en résolvent : les solutions hybrides comme les offres "souveraines" de Microsoft via Bleu ou de Google via Thales sont-elles vraiment souveraines quand la technologie sous-jacente reste américaine ? C'est l'une des tensions que j'explore dans ma thèse.
Dans quelle mesure la dépendance au cloud computing expose-t-elle les entreprises et les États à une perte de contrôle stratégique sur leurs données ?
Où j'en suis dans cette recherche
Je suis encore en pleine rédaction de cette thèse, et c'est précisément ce qui la rend passionnante. Chaque source que je creuse, chaque entretien que je prépare, chaque article que je lis ouvre de nouvelles portes et parfois remet en question ce que je croyais avoir compris.
Pour l'instant, une conviction commence à se dégager : la dépendance au cloud n'est pas uniquement un problème technique. Elle touche à la gouvernance, à la réglementation, et à des arbitrages politiques que peu d'organisations assument clairement. Mais je suis encore loin d'avoir toutes mes surprises et c'est probablement là que les conclusions les plus intéressantes se cachent.
Si le sujet vous parle, si vous travaillez dans une DSI, une collectivité, ou une entreprise confrontée à ces questions. Je serais curieux d'en discuter. Les retours du terrain sont souvent là où la thèse prend vraiment vie.
Sources : Digital Chiefs (avril 2026), Tech Insider (mars 2026), LeMagIT (avril 2026), Commission européenne — Cloud and AI Development Act (juin 2026), Gartner (février 2026). Thèse réalisée dans le cadre du MBA Spécialisé Digital Marketing & Business — EFAP / MBA DMB, promotion 4A. Coach : Mme Hernandez.