{"id":3916,"date":"2026-10-19T01:29:14","date_gmt":"2026-10-19T00:29:14","guid":{"rendered":"http:\/\/sooma.com\/pt-pt\/bruxelas-passa-a-exigir-cloud-europeia-o-que-muda-para-quem-compra-e-quem-fornece\/"},"modified":"2026-10-19T01:29:14","modified_gmt":"2026-10-19T00:29:14","slug":"bruxelles-exige-desormais-un-cloud-europeen-ce-qui-change-pour-les-acheteurs-et-les-fournisseurs","status":"publish","type":"post","link":"https:\/\/sooma.com\/fr\/bruxelas-passa-a-exigir-cloud-europeia-o-que-muda-para-quem-compra-e-quem-fornece\/","title":{"rendered":"Bruxelles commence \u00e0 exiger un cloud europ\u00e9en\u202f: ce qui change pour les acheteurs et les fournisseurs"},"content":{"rendered":"

Pendant que le Cloud and AI Development Act suit son parcours au Parlement et au Conseil, la Commission europ\u00e9enne n\u2019a pas attendu\u202f: dans son propre appel d\u2019offres de cloud souverain, elle a appliqu\u00e9 une grille de niveaux de souverainet\u00e9, exclu tous ceux qui n\u2019atteignaient pas le minimum et tout attribu\u00e9 \u00e0 des fournisseurs europ\u00e9ens. Le r\u00e9sultat montre jusqu\u2019o\u00f9 vont les offres \u00ab\u202fsouveraines\u202f\u00bb des hyperscalers, et ce qu\u2019un organisme public europ\u00e9en peut exiger d\u00e8s aujourd\u2019hui.<\/strong><\/em><\/p>\n

Ce qui s\u2019est d\u00e9j\u00e0 pass\u00e9<\/h2>\n

En avril 2026, la Commission a r\u00e9parti un accord-cadre de six ans et de 180 millions d\u2019euros, ouvert \u00e0 l\u2019ensemble des institutions et agences de l\u2019UE, entre quatre consortiums\u202f: Post Telecom avec OVHcloud et Clever Cloud, STACKIT (groupe Schwarz), Scaleway (groupe Iliad) et Proximus avec S3NS, Clarence et Mistral. Elle les a \u00e9valu\u00e9s avec son Cloud Sovereignty Framework, qui traduit la souverainet\u00e9 en huit objectifs mesurables et attribue un niveau SEAL de 0 \u00e0 4\u202f: contr\u00f4le de l\u2019entreprise, localisation des donn\u00e9es, cha\u00eene d\u2019approvisionnement, ouverture technologique, s\u00e9curit\u00e9 et conformit\u00e9 au droit de l\u2019UE. Seuls les soumissionnaires atteignant le niveau SEAL-2 (souverainet\u00e9 des donn\u00e9es) \u00e9taient \u00e9ligibles. OVHcloud, STACKIT et Scaleway ont atteint le niveau SEAL-3 (r\u00e9silience num\u00e9rique). Le consortium b\u00e2ti autour de S3NS, la coentreprise de Thales et Google, est rest\u00e9 au niveau SEAL-2, le minimum. La Commission appliquera les m\u00eames crit\u00e8res \u00e0 ses propres services num\u00e9riques et publiera une version actualis\u00e9e du cadre.<\/p>\n

Ce qui arrive<\/h2>\n

Le Cloud and AI Development Act (CADA) rendra ce type de grille obligatoire pour le secteur public de tous les \u00c9tats membres, avec quatre niveaux d\u2019assurance et une exigence de niveau 2 ou plus dans les secteurs critiques, extensible aux entreprises couvertes par NIS2. Nous avons expliqu\u00e9 les quatre niveaux dans Bruxelles propose quatre niveaux de souverainet\u00e9 num\u00e9rique dans les march\u00e9s publics<\/a>.<\/p>\n

Le Public Procurement Act, adopt\u00e9 le 9 septembre, remplace les directives sur les march\u00e9s publics par un r\u00e8glement unique qui instaure une pr\u00e9f\u00e9rence europ\u00e9enne dans tous les secteurs\u202f: au moins 30\u202f% de l\u2019\u00e9valuation sur des crit\u00e8res autres que le prix, o\u00f9 l\u2019origine europ\u00e9enne peut compter, et le pouvoir pour la Commission de fermer les appels d\u2019offres aux pays sans r\u00e9ciprocit\u00e9. Les plateformes de passation \u00e9lectronique devront \u00eatre \u00e9tablies dans l\u2019EEE, y conserver leurs donn\u00e9es et \u00eatre exemptes de tout contr\u00f4le ext\u00e9rieur.<\/p>\n

Ni l\u2019un ni l\u2019autre n\u2019est encore en vigueur. Le CADA n\u2019aura pas de texte d\u00e9finitif avant 2027 et ne s\u2019appliquera pas avant 2028\u202f; le r\u00e8glement sur les march\u00e9s publics (Public Procurement Act) ne s\u2019appliquera pas avant 2029. Mais un contrat cloud de quatre ans sign\u00e9 aujourd\u2019hui prendra fin sous ces r\u00e8gles.<\/p>\n

Ce que cela signifie pour Microsoft, Google et Amazon<\/h2>\n

Les trois hyperscalers peuvent satisfaire au niveau 1\u202f: ils disposent de filiales europ\u00e9ennes et de r\u00e9gions de donn\u00e9es dans l\u2019UE. Mais ce n\u2019est pas ce qui est propos\u00e9 par d\u00e9faut. La r\u00e9sidence des donn\u00e9es dans l\u2019UE est une option \u00e0 configurer et \u00e0 contracter s\u00e9par\u00e9ment, \u00e0 un prix suppl\u00e9mentaire et avec des exclusions, comme la t\u00e9l\u00e9m\u00e9trie, l\u2019assistance et certains services d\u2019IA, qui continuent de quitter l\u2019Europe. M\u00eame pour obtenir le niveau 1, le client doit savoir quoi demander et le payer. Le probl\u00e8me commence au niveau 2. Tant que la soci\u00e9t\u00e9 m\u00e8re est soumise au CLOUD Act et \u00e0 la section 702 du FISA, un fournisseur contr\u00f4l\u00e9 depuis les \u00c9tats-Unis ne peut garantir qu\u2019aucun acteur \u00e9tranger n\u2019acc\u00e8de aux donn\u00e9es ou ne suspende le service. L\u2019affaire de 2025, dans laquelle le compte e-mail d\u2019un procureur de la Cour p\u00e9nale internationale a \u00e9t\u00e9 suspendu \u00e0 la suite de sanctions am\u00e9ricaines, est cit\u00e9e dans les travaux pr\u00e9paratoires comme le sc\u00e9nario m\u00eame que le niveau 2 vise \u00e0 emp\u00eacher.<\/p>\n

Leur r\u00e9ponse est le mod\u00e8le du tiers de confiance\u202f: une technologie am\u00e9ricaine exploit\u00e9e par une entit\u00e9 europ\u00e9enne qui d\u00e9tient les cl\u00e9s et emploie le personnel. S3NS (Thales avec Google), Bleu (Orange et Capgemini avec Microsoft) et l\u2019European Sovereign Cloud d\u2019AWS suivent tous cette voie. L\u2019appel d\u2019offres de la Commission en a montr\u00e9 la limite\u202f: le consortium qui s\u2019appuyait sur S3NS est rest\u00e9 au niveau SEAL-2, le minimum, tandis que les fournisseurs europ\u00e9ens natifs ont atteint le niveau SEAL-3. Le niveau 3 du CADA n\u2019admet les fournisseurs contr\u00f4l\u00e9s depuis des pays tiers que si la Commission reconna\u00eet formellement la juridiction et si les garanties sont d\u00e9montr\u00e9es\u202f; le niveau 4 n\u2019admet aucune exception.<\/p>\n

Ce que cela signifie pour Sooma<\/h2>\n

Sooma est une entreprise europ\u00e9enne, dont le capital, la direction et l\u2019\u00e9quipe sont dans l\u2019UE, et qui exploite sa propre infrastructure depuis 2018\u202f: des serveurs exclusivement en Europe, hors de port\u00e9e des lois de pays tiers. Les crit\u00e8res structurels des niveaux 2 et 3 du CADA, \u00e9tablissement et donn\u00e9es dans l\u2019UE, cha\u00eene de sous-traitance europ\u00e9enne, absence de contr\u00f4le par un pays tiers et \u00e9quipe europ\u00e9enne, correspondent simplement \u00e0 la mani\u00e8re dont Sooma a toujours fonctionn\u00e9. Sooma Business, avec e-mail, drive et chat b\u00e2tis sur des logiciels open source, r\u00e9pond au crit\u00e8re d\u2019ouverture technologique que valorise le cadre SEAL et qui pr\u00e9vient la d\u00e9pendance \u00e0 un fournisseur.<\/p>\n

Le tableau ci-dessous met en regard les crit\u00e8res du CADA et du cadre SEAL avec ce que chaque type de fournisseur peut d\u00e9montrer aujourd\u2019hui.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n
Ce que l\u2019acheteur exigera<\/th>\nMicrosoft, Google, Amazon<\/th>\nSooma<\/th>\n<\/tr>\n<\/thead>\n
\u00c9tablissement et contr\u00f4le dans l\u2019UE<\/td>\nFiliale europ\u00e9enne, mais contr\u00f4le ultime aux \u00c9tats-Unis\u202f; uniquement trait\u00e9 par un mod\u00e8le de tiers de confiance (S3NS, Bleu, AWS European Sovereign Cloud)<\/td>\nEntreprise europ\u00e9enne, capital et direction dans l\u2019UE<\/td>\n<\/tr>\n
Donn\u00e9es, sauvegardes et journaux dans l\u2019UE<\/td>\nR\u00e9gions europ\u00e9ennes disponibles\u202f; t\u00e9l\u00e9m\u00e9trie et assistance pas toujours confin\u00e9es \u00e0 l\u2019UE<\/td>\nServeurs exclusivement en Europe<\/td>\n<\/tr>\n
Sous-traitants europ\u00e9ens<\/td>\nCha\u00eene mondiale de mat\u00e9riel, de logiciels et d\u2019assistance<\/td>\nCentres de donn\u00e9es, connectivit\u00e9 et fournisseurs dans l\u2019UE<\/td>\n<\/tr>\n
Immunit\u00e9 face aux injonctions et sanctions de pays tiers<\/td>\nNe peut \u00eatre garantie tant que la soci\u00e9t\u00e9 m\u00e8re est soumise au CLOUD Act et \u00e0 la section 702 du FISA\u202f; le mod\u00e8le du tiers de confiance est rest\u00e9 au niveau SEAL-2 dans l\u2019appel d\u2019offres de la Commission<\/td>\nSoumission exclusive au droit de l\u2019UE et de ses \u00c9tats membres<\/td>\n<\/tr>\n
Personnel \u00e0 acc\u00e8s privil\u00e9gi\u00e9 citoyen de l\u2019UE (niveau 3)<\/td>\nUniquement dans les offres de tiers de confiance, dans un p\u00e9rim\u00e8tre limit\u00e9<\/td>\n\u00c9quipe enti\u00e8rement dans l\u2019UE<\/td>\n<\/tr>\n
Donn\u00e9es clients non utilis\u00e9es pour entra\u00eener des IA de pays tiers<\/td>\nD\u00e9pend des clauses contractuelles\u202f; les mod\u00e8les d\u2019IA sont exploit\u00e9s depuis les \u00c9tats-Unis<\/td>\nAucun entra\u00eenement de mod\u00e8les sur les donn\u00e9es clients<\/td>\n<\/tr>\n
Ouverture technologique et plan de sortie de 12 mois<\/td>\nFormats et API propri\u00e9taires\u202f; migration complexe<\/td>\nSooma Business est open source\u202f; formats ouverts et portabilit\u00e9<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

La limite des hyperscalers n\u2019est pas technique, elle est juridique\u202f: quels que soient leurs investissements dans des r\u00e9gions et des partenaires europ\u00e9ens, le contr\u00f4le ultime et l\u2019exposition au droit am\u00e9ricain ne changent pas. C\u2019est pr\u00e9cis\u00e9ment le crit\u00e8re que le niveau 3 du CADA et le niveau SEAL-3 placent au centre.<\/p>\n

Pour les organismes publics et les entreprises des secteurs critiques partout en Europe, le message est simple\u202f: les fournisseurs qui seront \u00e9ligibles en 2028 existent d\u00e9j\u00e0 aujourd\u2019hui, et les crit\u00e8res permettant de les distinguer sont d\u00e9j\u00e0 publi\u00e9s.<\/strong><\/em><\/p>\n

Sources<\/h2>\n