Quand le CLOUD Act a été adopté en 2018, la plupart des CTO européens le traitaient comme une abstraction juridique - un sujet pour l'équipe conformité, quelque part entre les bandeaux cookies et les achats d'imprimantes. Huit ans plus tard, avec l'arrêt Schrems II, la transposition de NIS2 dans le droit national à travers l'UE, DORA entré en vigueur pour les services financiers, et les dispositions du Data Act sur les frais de sortie qui approchent, c'est devenu un sujet de conseil d'administration. Pas parce que des avocats ont gagné un débat, mais parce que le risque a cessé d'être théorique.

Définissons les termes, parce que le « cloud souverain » a été dilué en argument marketing. La souveraineté réelle recouvre trois choses distinctes : la résidence des données dans des juridictions européennes, le contrôle opérationnel par des entreprises dont le siège est dans l'UE, et une protection juridique contre les injonctions extraterritoriales. Les départements marketing des hyperscalers américains vous diront que leurs régions européennes cochent la première case. Ils ont raison. Les deux autres sont plus difficiles à obtenir - et ce sont justement celles qui comptent quand les choses tournent mal.

Voici à quoi cela ressemble en pratique : un hôpital de Munich fait tourner son imagerie PACS sur AWS Francfort. Les données ne quittent jamais l'Allemagne. Chiffrement au repos, équipe de support européenne, tout le package conformité. Mais la société exploitante est une entreprise américaine du Delaware, soumise au droit américain. Une décision de justice américaine peut contraindre à la divulgation, quel que soit l'endroit où les octets résident physiquement. Les avocats de l'hôpital le savent. Le conseil d'administration de l'hôpital le sait, de plus en plus, aussi. C'est précisément l'écart que NIS2 et le Data Act viennent combler - lentement, imparfaitement, mais dans une direction claire.

La chronologie réglementaire raconte cette histoire. Schrems II (2020) a invalidé le Privacy Shield et mis tout transfert de données UE-vers-US sur un terrain juridiquement instable. NIS2 (transpositions nationales arrivant en 2024-2025) a fait de la responsabilité de la chaîne d'approvisionnement une obligation de conseil d'administration avec responsabilité personnelle - vous êtes désormais responsable non seulement de votre propre sécurité, mais aussi de celle de vos fournisseurs. DORA (janvier 2025) a fait de même pour les services financiers, avec des dents. Le Data Act (avec ses dispositions sur les frais de sortie à partir de 2027) s'attaque directement au verrouillage fournisseur : les coûts de sortie qui faisaient de « on migrera plus tard » un fantasme sont en train d'être réglementés.

Rien de tout cela ne veut dire « arrêtez d'utiliser AWS ». C'est la version caricaturale de l'argument de souveraineté, et elle ne résiste pas au contact avec la réalité - les hyperscalers sont excellents dans ce qu'ils font, et la plupart des entreprises européennes garderont des workloads chez eux pendant des années. La version sérieuse porte sur l'optionalité : savoir précisément lesquels de vos workloads pourraient bouger, vers où ils pourraient bouger, et ce que cela coûterait - avant qu'un régulateur, le service achats d'un client, ou une surprise géopolitique n'impose la question selon le calendrier de quelqu'un d'autre.

C'est là que le paysage des fournisseurs européens devient intéressant, parce qu'il est aujourd'hui réellement bon et largement méconnu. Hetzner offre un rapport prix-performance qui fait passer les factures cloud américaines pour une blague. OVHcloud exploite l'une des plus grandes empreintes d'Europe, avec sa propre fibre et ses propres data centers. Scaleway livre une stack moderne et pensée pour les développeurs, depuis la France. UpCloud propose du compute fiable depuis la Finlande. Aucun d'eux n'est un remplaçant direct d'AWS sur tous les services - mais sur les couches compute, stockage et réseau, là où vit réellement la majeure partie des dépenses d'infrastructure, ils sont crédibles, souvent moins chers, et ne répondent qu'au droit européen.

L'obstacle honnête n'est pas la capacité technique. C'est l'exploitation opérationnelle. Chaque fournisseur supplémentaire signifie une nouvelle console, une nouvelle API, un nouvel export de facturation, un nouveau lot de particularités de sécurité à apprendre. Une entreprise de 30 personnes ne peut pas staffer une équipe platform par cloud - alors elle se consolide sur un seul hyperscaler, et la souveraineté devient discrètement quelque chose à revoir « l'année prochaine », chaque année.

C'est le problème réel que Sencai existe pour résoudre. Une stratégie multi-cloud - y compris une stratégie de souveraineté - n'est réelle que si une petite équipe peut l'exploiter sans se noyer. Un seul plan de contrôle sur les hyperscalers et les fournisseurs natifs UE, un seul endroit pour voir chaque ressource et chaque euro, un seul journal d'audit qui tient la route quand des preuves NIS2 sont demandées : voilà ce qui transforme « on devrait regarder les fournisseurs européens » d'un slide en un plan de migration.

Voici donc la checklist pratique que nous donnerions à n'importe quel CTO européen pour 2026. Un : cartographiez lesquels de vos workloads sont sensibles à la juridiction - données personnelles, santé, finance, à proximité du secteur public - et lesquels sont du compute banalisé qui pourrait tourner n'importe où. Deux : demandez à vos fournisseurs qui exploite légalement chaque service, pas où sont les serveurs ; les réponses vous surprendront. Trois : chiffrez le coût d'une sortie pour vos trois principaux workloads, parce que le Data Act est sur le point de rendre ce chiffre négociable. Quatre : faites tourner un vrai workload chez un fournisseur UE cette année - pas comme une déclaration de principe, mais comme une option réellement exercée, avec monitoring, sauvegardes, et tout ce que vous exigeriez ailleurs.

La position de Sencai est simple : nous livrons un plan de contrôle qui fonctionne aussi bien avec les hyperscalers qu'avec les fournisseurs natifs UE (Hetzner, OVHcloud, Scaleway, UpCloud), et c'est vous qui décidez où vit chaque workload. Le plan de contrôle lui-même tourne dans l'UE, opéré par une entreprise européenne, sans aucune dépendance américaine sur le chemin critique. C'est à ça que ressemble la souveraineté par défaut : pas un badge sur un slide, mais la liberté de placer chaque workload exactement là où il doit être - et de le prouver.