Pendant que le Cloud and AI Development Act suit son parcours au Parlement et au Conseil, la Commission européenne n’a pas attendu : dans son propre appel d’offres de cloud souverain, elle a appliqué une grille de niveaux de souveraineté, exclu tous ceux qui n’atteignaient pas le minimum et tout attribué à des fournisseurs européens. Le résultat montre jusqu’où vont les offres « souveraines » des hyperscalers, et ce qu’un organisme public européen peut exiger dès aujourd’hui.
Ce qui s’est déjà passé
En avril 2026, la Commission a réparti un accord-cadre de six ans et de 180 millions d’euros, ouvert à l’ensemble des institutions et agences de l’UE, entre quatre consortiums : Post Telecom avec OVHcloud et Clever Cloud, STACKIT (groupe Schwarz), Scaleway (groupe Iliad) et Proximus avec S3NS, Clarence et Mistral. Elle les a évalués avec son Cloud Sovereignty Framework, qui traduit la souveraineté en huit objectifs mesurables et attribue un niveau SEAL de 0 à 4 : contrôle de l’entreprise, localisation des données, chaîne d’approvisionnement, ouverture technologique, sécurité et conformité au droit de l’UE. Seuls les soumissionnaires atteignant le niveau SEAL-2 (souveraineté des données) étaient éligibles. OVHcloud, STACKIT et Scaleway ont atteint le niveau SEAL-3 (résilience numérique). Le consortium bâti autour de S3NS, la coentreprise de Thales et Google, est resté au niveau SEAL-2, le minimum. La Commission appliquera les mêmes critères à ses propres services numériques et publiera une version actualisée du cadre.
Ce qui arrive
Le Cloud and AI Development Act (CADA) rendra ce type de grille obligatoire pour le secteur public de tous les États membres, avec quatre niveaux d’assurance et une exigence de niveau 2 ou plus dans les secteurs critiques, extensible aux entreprises couvertes par NIS2. Nous avons expliqué les quatre niveaux dans Bruxelles propose quatre niveaux de souveraineté numérique dans les marchés publics.
Le Public Procurement Act, adopté le 9 septembre, remplace les directives sur les marchés publics par un règlement unique qui instaure une préférence européenne dans tous les secteurs : au moins 30 % de l’évaluation sur des critères autres que le prix, où l’origine européenne peut compter, et le pouvoir pour la Commission de fermer les appels d’offres aux pays sans réciprocité. Les plateformes de passation électronique devront être établies dans l’EEE, y conserver leurs données et être exemptes de tout contrôle extérieur.
Ni l’un ni l’autre n’est encore en vigueur. Le CADA n’aura pas de texte définitif avant 2027 et ne s’appliquera pas avant 2028 ; le règlement sur les marchés publics (Public Procurement Act) ne s’appliquera pas avant 2029. Mais un contrat cloud de quatre ans signé aujourd’hui prendra fin sous ces règles.
Ce que cela signifie pour Microsoft, Google et Amazon
Les trois hyperscalers peuvent satisfaire au niveau 1 : ils disposent de filiales européennes et de régions de données dans l’UE. Mais ce n’est pas ce qui est proposé par défaut. La résidence des données dans l’UE est une option à configurer et à contracter séparément, à un prix supplémentaire et avec des exclusions, comme la télémétrie, l’assistance et certains services d’IA, qui continuent de quitter l’Europe. Même pour obtenir le niveau 1, le client doit savoir quoi demander et le payer. Le problème commence au niveau 2. Tant que la société mère est soumise au CLOUD Act et à la section 702 du FISA, un fournisseur contrôlé depuis les États-Unis ne peut garantir qu’aucun acteur étranger n’accède aux données ou ne suspende le service. L’affaire de 2025, dans laquelle le compte e-mail d’un procureur de la Cour pénale internationale a été suspendu à la suite de sanctions américaines, est citée dans les travaux préparatoires comme le scénario même que le niveau 2 vise à empêcher.
Leur réponse est le modèle du tiers de confiance : une technologie américaine exploitée par une entité européenne qui détient les clés et emploie le personnel. S3NS (Thales avec Google), Bleu (Orange et Capgemini avec Microsoft) et l’European Sovereign Cloud d’AWS suivent tous cette voie. L’appel d’offres de la Commission en a montré la limite : le consortium qui s’appuyait sur S3NS est resté au niveau SEAL-2, le minimum, tandis que les fournisseurs européens natifs ont atteint le niveau SEAL-3. Le niveau 3 du CADA n’admet les fournisseurs contrôlés depuis des pays tiers que si la Commission reconnaît formellement la juridiction et si les garanties sont démontrées ; le niveau 4 n’admet aucune exception.
Ce que cela signifie pour Sooma
Sooma est une entreprise européenne, dont le capital, la direction et l’équipe sont dans l’UE, et qui exploite sa propre infrastructure depuis 2018 : des serveurs exclusivement en Europe, hors de portée des lois de pays tiers. Les critères structurels des niveaux 2 et 3 du CADA, établissement et données dans l’UE, chaîne de sous-traitance européenne, absence de contrôle par un pays tiers et équipe européenne, correspondent simplement à la manière dont Sooma a toujours fonctionné. Sooma Business, avec e-mail, drive et chat bâtis sur des logiciels open source, répond au critère d’ouverture technologique que valorise le cadre SEAL et qui prévient la dépendance à un fournisseur.
Le tableau ci-dessous met en regard les critères du CADA et du cadre SEAL avec ce que chaque type de fournisseur peut démontrer aujourd’hui.
| Ce que l’acheteur exigera | Microsoft, Google, Amazon | Sooma |
|---|---|---|
| Établissement et contrôle dans l’UE | Filiale européenne, mais contrôle ultime aux États-Unis ; uniquement traité par un modèle de tiers de confiance (S3NS, Bleu, AWS European Sovereign Cloud) | Entreprise européenne, capital et direction dans l’UE |
| Données, sauvegardes et journaux dans l’UE | Régions européennes disponibles ; télémétrie et assistance pas toujours confinées à l’UE | Serveurs exclusivement en Europe |
| Sous-traitants européens | Chaîne mondiale de matériel, de logiciels et d’assistance | Centres de données, connectivité et fournisseurs dans l’UE |
| Immunité face aux injonctions et sanctions de pays tiers | Ne peut être garantie tant que la société mère est soumise au CLOUD Act et à la section 702 du FISA ; le modèle du tiers de confiance est resté au niveau SEAL-2 dans l’appel d’offres de la Commission | Soumission exclusive au droit de l’UE et de ses États membres |
| Personnel à accès privilégié citoyen de l’UE (niveau 3) | Uniquement dans les offres de tiers de confiance, dans un périmètre limité | Équipe entièrement dans l’UE |
| Données clients non utilisées pour entraîner des IA de pays tiers | Dépend des clauses contractuelles ; les modèles d’IA sont exploités depuis les États-Unis | Aucun entraînement de modèles sur les données clients |
| Ouverture technologique et plan de sortie de 12 mois | Formats et API propriétaires ; migration complexe | Sooma Business est open source ; formats ouverts et portabilité |
La limite des hyperscalers n’est pas technique, elle est juridique : quels que soient leurs investissements dans des régions et des partenaires européens, le contrôle ultime et l’exposition au droit américain ne changent pas. C’est précisément le critère que le niveau 3 du CADA et le niveau SEAL-3 placent au centre.
Pour les organismes publics et les entreprises des secteurs critiques partout en Europe, le message est simple : les fournisseurs qui seront éligibles en 2028 existent déjà aujourd’hui, et les critères permettant de les distinguer sont déjà publiés.