En 2026, la souveraineté numérique n’est plus un simple débat de doctrine politique ou une ligne dans un rapport de conformité. Elle est devenue une réalité opérationnelle qui s’impose à l’agenda de chaque DSI. Entre le lancement de l’AWS European Sovereign Cloud, les alliances comme Bleu ou S3NS, et les défis concrets illustrés par le cas du Health Data Hub, le marché vit une mutation historique. Analyse d’une rupture technologique et juridique majeure pour vos architectures critiques.
Comprendre l’impasse : pourquoi la souveraineté est devenue l’enjeu prioritaire des DSI
L’heure n’est plus à la réflexion, mais à la gestion d’un risque systémique. Pour les entreprises gérant des actifs stratégiques, la question n’est plus seulement « où sont mes données ? », mais « sous quelle juridiction tombent-elles ? ».
Le conflit de juridictions : l’illusion de la résidence des données
Pendant une décennie, la réponse standard au besoin de souveraineté numérique a été la résidence des données : « Mes données sont à Paris, donc elles sont protégées. » Cette vision est désormais caduque. Le Cloud Act américain a instauré une extra-territorialité qui ignore les frontières physiques. Dès lors qu’un fournisseur est soumis au droit américain, ses données (et surtout ses métadonnées) sont potentiellement accessibles, peu importe leur localisation géographique.
Pour les entreprises gérant des actifs critiques, le risque n’est pas seulement la fuite d’informations, mais la perte de contrôle juridique. En cas de conflit de lois, le fournisseur se retrouvera dans l’impossibilité de respecter simultanément le RGPD européen et les injonctions américaines. Pour une ESN comme MARGO, le conseil est clair : la résidence est une condition nécessaire, mais largement insuffisante.
NIS2 et Loi SREN : Le basculement vers l’obligation légale
L’année 2025-2026 marque l’entrée en vigueur effective de deux piliers législatifs qui transforment le paysage :
Elle élargit considérablement le périmètre des entités concernées (EE et EI). Elle impose une responsabilité directe aux organes de direction et exige une maîtrise totale de la chaîne d’approvisionnement numérique.
Ce texte français grave dans la loi la doctrine “Cloud au Centre”. Pour les services de l’État et les entités gérant des données sensibles, le recours à un cloud qualifié SecNumCloud n’est plus une recommandation, c’est une exigence de conformité stricte.
Le dilemme de 2026 : performance vs autonomie
Les DSI font face à un arbitrage complexe. D’un côté, l’urgence de l’innovation : le déploiement de l’IA générative, du Big Data et de l’informatique quantique nécessite les services managés ultra-performants des hyperscalers. De l’autre, l’impératif de sécurité juridique : ne pas exposer le patrimoine informationnel de l’entreprise à des juridictions étrangères. Ce dilemme crée un « vide stratégique » que les nouveaux modèles de confiance tentent aujourd’hui de combler.
L’émergence des modèles hybrides :
Pourquoi les alliances locaux-hyperscalers ?
Face à l’impasse juridique du Cloud Act, une question s’est posée brutalement aux entreprises européennes : peut-on se passer des hyperscalers ? En 2026, la réponse du marché est un « non » pragmatique, mais assorti de conditions drastiques. C’est l’ère des alliances de raison.
Le constat pragmatique : le mur de l’innovation
Pourquoi les champions européens « purs », malgré leur excellence sur l’IaaS (Infrastructure), ont-ils peiné à freiner l’hégémonie américaine ? La réponse tient en un mot : la profondeur de service. Un projet moderne de Data Science ou d’IA Agentique ne se contente plus de serveurs bruts. Il exige des services managés complexes (Kubernetes managé, Data Warehousing, LLM as a Service) que les géants américains ont mis des décennies et des milliards de dollars à packager. Pour une ESN, conseiller une solution souveraine qui accuse un retard fonctionnel n’est pas une option viable pour la compétitivité de nos clients.
Le modèle de la « Confiance Translatée » : décryptage des alliances
Pour résoudre ce dilemme, le marché a vu naître des coentreprises inédites consistant à isoler la pile logicielle américaine dans une « bulle » juridique européenne :
- S3NS (Thales & Google Cloud) : le pionnier certifié. En décembre 2025, S3NS a obtenu la qualification SecNumCloud 3.2 pour son offre Premi3ns. Ici, Thales n’est pas un simple revendeur : il est l’opérateur. Les services de Google (BigQuery, Vertex AI) sont pilotés par des équipes Thales dans des datacenters français, avec un contrôle total sur les clés de chiffrement.
- Bleu (Orange, Capgemini & Microsoft) : le géant en approche. Projet titanesque visant à offrir l’intégralité de l’univers Microsoft (Azure et Microsoft 365) sous pavillon 100% français. L’objectif est de répondre aux besoins massifs des hôpitaux et des ministères qui ne peuvent pas se permettre de réécrire des décennies de processus basés sur l’écosystème Microsoft, tout en garantissant une immunité totale face au droit US.
Le cas d’école du Health Data Hub : quand la théorie se heurte au terrain
S’il est un dossier qui cristallise toutes les tensions, c’est bien celui du Health Data Hub (HDH). Ce projet monumental est devenu le miroir des paradoxes de notre souveraineté numérique.
L’analyse d’un paradoxe : 10 millions de dossiers sous pavillon américain
En janvier 2026, le constat est cinglant : malgré les injonctions répétées de la CNIL et les engagements gouvernementaux de migration, les données du HDH (et celles du projet EMC2) reposent toujours sur l’infrastructure Microsoft Azure.
Pourquoi ce statu quo alors que le Conseil d’État lui-même reconnaît que l’accès par les autorités américaines « ne peut être totalement exclu » ? La réponse est technique : à l’instant T, aucune alternative souveraine n’offrait le niveau de fonctionnalités requis (gestion des logs, chiffrement granulaire, puissance GPU pour l’IA médicale). C’est le paradoxe du « choix par défaut » : la sécurité juridique a été temporairement sacrifiée sur l’autel de la viabilité technologique.
Le « Gap » de migration : la réalité des architectures complexes
Le retard du HDH — dont la migration complète vers un environnement SecNumCloud n’est désormais espérée qu’à l’été 2026 — nous enseigne une leçon fondamentale :
- L’adhérence aux services managés : plus un projet utilise de services PaaS spécifiques, plus le « coût de sortie » (exit cost) est élevé. Migrer signifie réécrire des milliers de lignes de code d’infrastructure (Terraform, Ansible).
- Le défi du volume et de la performance : avec plus d’un pétaoctet de données, le HDH exige une scalabilité que seuls les hyperscalers maîtrisaient nativement jusqu’alors.
- L’exigence de continuité : la bascule vers un environnement souverain ne peut se faire qu’à iso-performance et iso-sécurité.
Le cas du HDH prouve qu’une stratégie de souveraineté numérique doit s’anticiper dès la phase de design. Attendre la mise en production pour se poser la question de la juridiction conduit inévitablement à une impasse migratoire.
La réponse d’AWS : le choix de l’autarcie technique
C’est dans ce paysage fragmenté qu’Amazon Web Services a lancé en janvier 2026 l’AWS European Sovereign Cloud (ESC). Contrairement aux alliances Bleu ou S3NS, AWS mise sur l’autarcie technique et l’isolation structurelle.
Isolation par la « Partition » vs Isolation par le partenariat
L’AWS ESC inaugure une nouvelle Partition nommée aws-eusc, totalement étanche par rapport à la partition commerciale globale.
- Gouvernance européenne inédite : AWS a mis en place AWS European Sovereign Cloud GmbH, une structure de droit allemand dirigée par des Européens et supervisée par un conseil consultatif indépendant composé exclusivement de citoyens de l’UE.
Les trois piliers de l’autarcie selon AWS
- Opérations 100 % locales : seuls des résidents de l’UE, situés dans l’UE, gèrent l’infrastructure. AWS annonce même une transition vers une exploitation assurée exclusivement par des citoyens de l’UE.
- Souveraineté des métadonnées : toutes les métadonnées (rôles IAM, configurations, logs) sont conservées exclusivement au sein de l’UE. Aucun « rebond » vers les USA n’est techniquement possible.
- Résilience et accès au code : en cas de rupture majeure, les employés habilités disposent d’un accès indépendant à une réplique du code source nécessaire pour maintenir les services.
Le verrou technologique : le système Nitro
Le véritable « game changer » est matériel. Le système Nitro délègue les fonctions de sécurité à des puces dédiées. Par sa conception, Nitro interdit physiquement tout accès administratif aux données des clients, même pour les employés d’AWS. C’est l’argument massue : la souveraineté par le design.
Toutefois, une question demeure : faut-il privilégier la certification SecNumCloud, obtenue via des partenariats locaux, ou l’autarcie technique proposée par des offres comme l’AWS European Sovereign Cloud ? En pratique, cette opposition est largement théorique. La souveraineté numérique ne se pense plus comme un choix binaire, mais comme une segmentation raisonnée des workloads.
Certaines charges, soumises à des contraintes réglementaires strictes ou manipulant des données ultra-sensibles, continueront d’exiger un environnement qualifié SecNumCloud. D’autres, orientées innovation, data ou IA, pourront tirer parti de l’autarcie technique et de la profondeur fonctionnelle de l’ESC, à condition que les garanties juridiques et opérationnelles soient maîtrisées.
L’enjeu pour les DSI n’est donc pas de choisir un “cloud souverain” unique, mais de concevoir des architectures hybrides et gouvernées, capables d’orchestrer plusieurs environnements souverains selon le niveau de risque, la criticité métier et les objectifs de performance.
Conclusion : vers une hybridation souveraine maîtrisée
Le lancement de l’AWS European Sovereign Cloud marque une étape majeure. Pour les entreprises françaises, c’est une opportunité supplémentaire de bénéficier de l’élasticité d’AWS tout en renforçant leur posture de conformité face au RGPD ou à NIS2.
Toutefois, le choix d’une infrastructure ne remplace pas l’expertise humaine. La souveraineté numérique n’est plus une option que l’on coche, c’est une stratégie de gouvernance de la donnée qui influence chaque brique technologique.
Chez MARGO, nous accompagnons nos clients pour naviguer dans cette complexité : choisir les zones de disponibilité adaptées, orchestrer l’interopérabilité entre partitions et garantir que l’architecture serve réellement la stratégie métier.
👉 Contactez nos experts
