En juin, Bruxelles a mis sur la table quatre niveaux de souveraineté pour les marchés publics européens. Nous en avions parlé ici. Depuis, la proposition de règlement sur le développement du cloud et de l’IA (Cloud and AI Development Act, CADA) est entrée dans la machine législative, et la machine a commencé à rendre des avis.
Le premier avis institutionnel de poids est arrivé le 23 septembre. Le Comité économique et social européen (CESE), l’organe consultatif qui réunit employeurs, syndicats et société civile, a adopté en plénière un avis sur le CADA, par 212 voix pour, aucune contre et 3 abstentions. Il n’est pas contraignant. Mais il dit, chiffres à l’appui, ce que beaucoup dans le secteur disaient à voix basse : en l’état, la proposition de la Commission ne suffit pas à changer qui remporte les appels d’offres cloud en Europe.
Deux chiffres résument l’avis. Quinze et quarante. Et vingt-cinq pour cent : aspiration ou obligation.
Quinze points sur cent vingt
La proposition de la Commission n’oblige personne à acheter européen. Ce qu’elle fait, c’est permettre aux organismes publics, lors de la notation des offres, d’attribuer des points pour ce qu’elle appelle la « valeur ajoutée pour l’Union » : le fournisseur est européen, opère depuis l’Europe et n’est pas soumis à des lois de pays tiers qui l’obligent à remettre des données. Le considérant 67 de la proposition plafonne cette pondération à 15 points sur 120. Un peu plus de 12 % de la note.
Quiconque a déjà répondu à un appel d’offres public sait ce que cela vaut. Un fournisseur avec dix ans d’avance en matière d’échelle, de catalogue et de références rattrape 15 points sans effort sur les 105 restants. Le critère existe, il figure dans le cahier des charges, et il ne décide de rien.
Le CESE dit exactement cela. L’amendement 3 de l’avis propose de relever le plafond à 40 points sur 120, un tiers de la note, au motif que 15 points « ne peuvent pas influencer de manière significative les résultats des marchés à l’échelle nécessaire pour inverser la dépendance du marché ». À 40 points, la souveraineté cesse d’être un critère de départage et devient un critère qu’un fournisseur non européen ne peut pas compenser sur le reste.
La différence entre les deux chiffres est celle qui sépare une loi qui signale d’une loi qui redistribue.
Vingt-cinq pour cent : aspiration ou obligation
Le second chiffre est le quota PME. La proposition de la Commission indique que les États membres devraient s’efforcer d’attribuer au moins 25 % des marchés pertinents de cloud et d’IA à des PME innovantes. « S’efforcer » est le mot qui vide la phrase de son sens. Pas de sanction, pas d’indicateur, pas de délai.
Dans la recommandation 1.9, le CESE demande que l’objectif devienne une « exigence partagée », assortie d’incitations concrètes à sa mise en œuvre : l’allotissement des marchés en lots qu’une entreprise de taille moyenne peut servir, et des conditions de qualification simplifiées. C’est la partie de l’avis qui compte le plus pour quiconque exploite du cloud, de l’hébergement ou de l’e-mail depuis le Portugal, ou tout autre État membre, sans être un groupe de télécommunications.
La raison est arithmétique. Un appel d’offres public pour une plateforme e-mail de 40 000 boîtes mail peut être remporté par un grand opérateur et exécuté par un petit fournisseur, comme ce fut le cas avec Ordem dos Advogados, l’Ordre des avocats portugais. Mais un appel d’offres conçu en lot unique, avec un chiffre d’affaires minimum de plusieurs dizaines de millions, ne laisse même pas la PME franchir le premier critère. Le quota de 25 % ne fonctionne que s’il oblige à concevoir les appels d’offres autrement. C’est ce que demande le CESE.
L’avis ajoute trois demandes sans chiffre, mais qui ont du poids. Que l’infrastructure cloud soit une priorité protégée dans le prochain cadre financier pluriannuel, avec la Banque européenne d’investissement pour mobiliser des capitaux privés. Que les zones d’accélération pour les centres de données, où les autorisations seront plus rapides, fassent l’objet d’évaluations obligatoires de l’impact social et environnemental et d’une véritable consultation publique. Et que le suivi du règlement mesure si les institutions publiques ont acquis la capacité de faire fonctionner leurs systèmes de manière indépendante, et pas seulement si elles ont changé de fournisseur.
Où en est le processus
L’avis du CESE ne décide de rien à lui seul. Les décisions appartiennent au Parlement européen et au Conseil, et tous deux ont commencé à travailler en septembre.
Au Parlement, le 17 septembre, le dossier (procédure 2026/0138(COD)) a été attribué conjointement aux commissions de l’industrie (ITRE) et du marché intérieur (IMCO), les commissions des affaires juridiques et des libertés civiles rendant des avis. Les rapporteurs sont Diego Solier, du groupe ECR, pour l’ITRE, et Reinier van Lanschot, des Verts, pour l’IMCO. Van Lanschot a déclaré publiquement vouloir conclure les négociations avec le Conseil d’ici la fin 2027.
Au Conseil, le groupe de travail « Télécommunications et société de l’information » s’est réuni sur le CADA les 3, 8, 10, 15 et 22 septembre. Cinq réunions en un mois, c’est le rythme d’un dossier prioritaire.
Concrètement : il n’y aura pas de texte définitif avant 2027, l’application n’interviendra pas avant 2028, et les chiffres du considérant 67 et le quota de 25 % seront négociés ligne par ligne. L’avis du CESE est la première position institutionnelle à demander qu’ils soient revus à la hausse. Ce ne sera pas la dernière : l’Allemagne et la France, qui changent déjà de logiciels dans leurs administrations publiques, ont intérêt à des critères plus stricts, et les pays où les hyperscalers investissent le plus dans les centres de données ont intérêt au contraire.
Ce que cela signifie pour les organismes publics portugais
Par une coïncidence de calendrier, le Portugal se trouve dans une position curieuse. Le 1er octobre est entré en vigueur le décret-loi 177/2026, la plus grande révision du Code des marchés publics depuis 2017. Le seuil de l’attribution directe pour les biens et services est passé à 75 000 €, celui de la consultation préalable à 130 000 €, une nouvelle « consultation préalable spéciale » a été créée pour les projets de transformation numérique, et le nouvel article 54-A permet de réserver des marchés aux PME et aux start-up certifiées.
Autrement dit, le droit portugais dispose déjà de l’outil que le CESE réclame pour faire fonctionner le quota de 25 % : la réservation de marchés aux PME. Ce qui lui manque, c’est tout critère de préférence européenne ou de souveraineté. Le décret-loi 177/2026 n’emploie pas le mot une seule fois. La pondération de la « valeur ajoutée pour l’Union », qu’elle soit de 15 ou de 40 points, n’atteindra les cahiers des charges portugais qu’une fois le CADA adopté et appliqué.
D’ici là, il y a le Plan national de cloud souverain, approuvé en mai, qui classe les processus de l’administration publique en quatre niveaux (neutre, standard, critique et stratégique) et impose à chaque organisme de classer les siens avant le 30 juin 2027. La logique est la même que celle du CADA : plus le processus est sensible, plus l’exigence de souveraineté est stricte. La différence, c’est que le plan portugais n’a pas encore transformé ces niveaux en critères de notation des offres, et c’est là que les 15 ou 40 points finiront par atterrir.
Pour une municipalité, une école ou un institut public qui lance un appel d’offres pour l’e-mail, l’hébergement ou la collaboration dans les dix-huit prochains mois, la question pratique est simple. Le contrat survivra-t-il au processus législatif du CADA ? Si oui, le cahier des charges devrait déjà demander au fournisseur où se trouvent les données, de quelle juridiction il relève, qui détient son capital et si le service continue de fonctionner lorsqu’un gouvernement étranger décide qu’il ne le devrait pas. Ce sont les questions que l’Europe s’apprête à noter. Les poser dès maintenant ne coûte rien.
Voix critiques
L’avis a des limites qu’il convient d’énoncer. Le CESE est consultatif ; le Parlement et le Conseil peuvent l’ignorer entièrement, et le font souvent. L’industrie américaine, par la voix de la CCIA, a déjà qualifié le CADA de « discriminatoire » et mis en garde contre une fragmentation du marché ; faire passer la pondération de 15 à 40 points intensifiera cette pression, et il n’est pas certain que les États membres qui attirent le plus d’investissements des hyperscalers l’acceptent. Il existe aussi une critique européenne : les points ne créent pas de capacité. Un critère de souveraineté valant un tiers de la note n’aide que s’il existe des fournisseurs européens ayant l’envergure pour gagner, et dans de nombreux segments, il n’y en a pas encore. Le CESE lui-même le reconnaît lorsqu’il demande un financement protégé dans le prochain budget pluriannuel.
Ce qu’il en reste
En juin, la Commission a dit que la souveraineté numérique commencerait à compter dans les marchés publics. En septembre, le CESE a dit combien elle devait compter pour faire une différence. Quelque part entre 15 et 40 points, au cours de l’année 2027, il sera décidé si l’Europe achète son cloud autrement ou si elle se contente de rédiger ses cahiers des charges autrement.
Les 15 points sont une intention. Les 40 seraient une politique.
Sources
- Avis du CESE sur le Cloud and AI Development Act, document du Conseil ST 13682/2026, 28 septembre 2026
- Fiche de procédure 2026/0138(COD), Parlement européen
- Agence Europe : Reinier van Lanschot nommé rapporteur à l’IMCO
- Conseil de l’UE : groupe de travail « Télécommunications et société de l’information », 8 septembre 2026
- Proposition de la Commission COM(2026) 502, Cloud and AI Development Act, 3 juin 2026
- WSGR : synthèse de la proposition CADA
- CCIA : position sur le CADA, juin 2026
- RNC Advogados : marchés publics, ce qui change au 1er octobre (décret-loi 177/2026, en portugais)
- APDC : le cloud souverain de l’État démarre en 2027, niveaux et échéances du PNNS (en portugais)
- Sooma : Bruxelles propose quatre niveaux de souveraineté numérique dans les marchés publics