Cloud de confiance, acte II : de Microsoft 365 à SecNumCloud, la jurisprudence qui rebat les cartes

La souveraineté numérique se joue rarement dans les grands discours ; elle se joue dans les contentieux. Deux dossiers l'ont rappelé ce printemps. En Autriche, l'autorité de protection des données a jugé que l'utilisation de Microsoft 365 Education violait le RGPD, notamment en raison de l'impossibilité pour les responsables de traitement de maîtriser réellement les flux de données et la chaîne de sous-traitance. En France, l'affaire du choix de Microsoft par Polytechnique est revenue au premier plan début juin, la presse spécialisée y voyant un précédent susceptible de rebattre les cartes pour l'ensemble du secteur public. Dans le même temps — et c'est tout le paradoxe — l'accord-cadre liant l'Éducation nationale à l'éditeur américain était prolongé.

Ce que disent vraiment ces décisions

Le point commun de ces affaires n'est pas l'anti-américanisme qu'on leur prête parfois. C'est une question de contrôle effectif : qui peut accéder aux données, sous quel droit, avec quelles garanties opposables ? Depuis l'invalidation du Privacy Framework façon Schrems, chaque montage de transfert repose sur des analyses d'impact que les autorités examinent désormais ligne à ligne. Le droit américain — FISA 702, CLOUD Act — reste applicable aux fournisseurs américains où que soient hébergées les données. Aucune clause contractuelle ne neutralise une loi de police étrangère : c'est ce constat, purement juridique, que les régulateurs commencent à tirer jusqu'au bout.

SecNumCloud, de doctrine à critère d'achat

Côté français, la qualification SecNumCloud de l'ANSSI s'impose progressivement comme la ligne de partage : au-delà des exigences techniques, elle impose un critère d'immunité aux législations extraterritoriales via des conditions capitalistiques et de gouvernance. La doctrine « cloud au centre » réserve en principe les données sensibles de l'État à des offres qualifiées. Ce qui change en 2026, c'est la contagion au-delà de l'État : opérateurs régulés, santé, éducation, collectivités — et, par ricochet, leurs fournisseurs. Pour un éditeur de logiciels, être déployable chez un hébergeur qualifié, ou en on-premise, devient un argument commercial de premier ordre, pas une case de conformité.

Ce que les DSI peuvent faire sans attendre

Premièrement, cartographier par criticité plutôt que par confort : quelles données, quels traitements exigent réellement une immunité extraterritoriale ? La réponse honnête est rarement « tout », mais elle n'est jamais « rien ». Deuxièmement, exiger la réversibilité dès le contrat : formats ouverts, export documenté, coûts de sortie plafonnés. Troisièmement, chiffrer avec des clés maîtrisées en propre lorsque le workload reste chez un hyperscaler — en gardant à l'esprit que le chiffrement ne protège pas les données en cours de traitement. Quatrièmement, construire des « poches souveraines » : plutôt qu'une migration totale illusoire, isoler les cas d'usage critiques sur des offres qualifiées ou de l'on-premise, et assumer l'hybride pour le reste.

L'acte II du cloud de confiance ne sera pas un grand soir. Ce sera une accumulation de décisions, d'appels d'offres et de renouvellements de contrats où, dossier après dossier, la question du contrôle effectif pèsera un peu plus lourd. Les organisations qui auront préparé leurs poches souveraines arbitreront sereinement. Les autres subiront le calendrier des régulateurs.