Cette régulation actuellement en préparation pourrait stimuler la croissance du marché des centres de données en Europe, faciliter l’accès aux ressources, l’intégration de l’IA aux diverses entreprises, et ouvrir des opportunités aux acteurs cloud et néocloud qui sauront s’adapter et se positionner dans ce nouvel environnement réglementaire.
L’Europe est l’un des marchés cloud les plus matures au monde: plus de la moitié des entreprises européennes utilisent désormais des services cloud payants, ce qui place le Vieux Continent pas loin derrière les États-Unis en matière d’adoption de cette technologie. Mais ce marché profite principalement à des acteurs non-européens.
La part des fournisseurs locaux a en effet chuté de 29% en 2017 à tout juste 15% aujourd’hui, trois hyperscalers américains (AWS, Google Cloud et Microsoft Azure) contrôlant à eux seuls plus de 70 % de l’écosystème. À titre de comparaison, en Chine, ce sont des acteurs chinois (Alibaba 33%, Huawei 18%, Tencent 10%) qui dominent le marché domestique, sur lequel les acteurs occidentaux sont soumis à de fortes restrictions.
Les acteurs souverains européens, comme OVHcloud et Cloud temple en France, ou encore Ionos en Allemagne, peinent à monter en puissance face aux économies d’échelle et à la confiance institutionnelle dont bénéficient les géants américains. En plus de priver les entreprises européennes d’un juteux marché, cette domination écrasante des acteurs américains pose d’importantes questions en matière de souveraineté, surtout à l’heure où les États-Unis brandissent ouvertement la menace d’utiliser le “kill switch” pour faire pression sur l’Europe en cas de différend commercial ou géopolitique.
Le CADA, une riposte européenne tardive mais bienvenue
C’est pour retrouver de l’autonomie sur le cloud en dopant son offre domestique que l’UE a présenté début juin 2026 dans le cadre d’un paquet «souveraineté technologique», le Cloud and AI Development Act (ou CADA). Actuellement en préparation, il poursuit deux objectifs: renforcer la compétitivité et la capacité d’innovation de l’UE dans le cloud et l’IA d’une part, et accroître sa résilience et son autonomie stratégique d’autre part, le premier objectif étant naturellement au service du second.
Outre la promotion des champions locaux du cloud, la loi entend également accélérer la construction de centres de données, nécessaires à l’établissement de capacités cloud souveraines et à l’entraînement de modèles d’IA domestique. Sur ce plan, l’Europe est à la traîne. «L’Europe a aujourd’hui le tiers des capacités installées outre-Atlantique», déplore la Commission. Le plan vise à tripler la capacité européenne en centres de données d’ici à 2030 et à couvrir l’intégralité des besoins d’ici à 2035, pour un coût de 200 milliards d’euros qui sera pour l’essentiel à la charge du secteur privé. Le texte prévoit pour cela de simplifier l’attribution de permis de construire et de faciliter l’accès à l’énergie, au foncier, à l’eau et au financement.
Un changement de paradigme pro-innovation
Le CADA représente une rupture importante à plusieurs égards. D’une part, comme le note la juriste Gabriela Zanfir-Fortuna, il s’agit du premier texte de régulation tech de l’UE à poser des obligations positives visant à faciliter l’innovation, plutôt qu’à l’encadrer par des interdictions ou des exigences de conformité. «Plus de la moitié de la proposition législative met en place un cadre destiné à favoriser le développement de l’IA, avec, bien sûr, une tonalité souverainiste, puisqu’elle vise l’IA européenne», écrit-elle.
«Parmi d’autres mesures, elle prévoit un soutien en puissance de calcul pour les projets prioritaires d’IA de pointe, crée un cadre pour le « déploiement accéléré des centres de données », et pousse à mettre à disposition de vastes quantités de données pour l’entraînement de l’IA, en s’appuyant sur les règles assouplies proposées dans l’Omnibus numérique. Cela confirme à quel point souveraineté numérique, IA, gouvernance et protection des données sont étroitement liées. Tout cela m’a fait penser davantage au « AI Action Plan » publié par la Maison Blanche, voire à l’AI Promotion Act japonais, plutôt qu’à ce que l’on connaissait jusqu’ici comme l’approche européenne de régulation de l’IA.»
Cette volonté d’accélérer la recherche et l’innovation sur les technologies de pointe que sont le cloud et l’IA, assortie d’une approche volontariste sur les infrastructures critiques que sont devenus les centres de données, est naturellement une bonne nouvelle pour les acteurs européens du cloud. Elle l’est également pour les énergéticiens comme Schneider Electric, qui fournissent les équipements essentiels pour alimenter, refroidir et piloter ces infrastructures énergivores. Mais aussi pour l’industrie locale des semi-conducteurs, secteur sur lequel l’Europe compte plusieurs champions. Parmi ces derniers, citons ASML, entreprise néerlandaise dont les machines de lithographie sont nécessaires à la fabrication des puces d’IA de pointe. Mais également STMicroelectronic, fabricant de semiconducteurs qui fournit historiquement l’automobile, l’industrie et l’électronique grand public, mais pivote de plus en plus vers les centres de données et l’infrastructure IA. Ou encore Infineon Technologies, l’un des leaders de l’électronique de puissance.
Une feuille de route claire pour le cloud souverain
L’autre changement majeur opéré par le texte est son accent mis sur la souveraineté technologique. Longtemps taboue à l’échelle de l’UE, qui se voulait un marché ouvert pratiquant la concurrence pure et parfaite, elle semble ne plus l’être aujourd’hui. «Il y a encore quelques années, défendre la souveraineté numérique passait pour un réflexe de repli. Aujourd’hui, c’est devenu un sujet de consensus et reconnu comme un choix stratégique», note Christophe Lesur, CEO de Cloud Temple.
«On peut à cet égard dire merci à Donald Trump, qui a nettement accéléré la prise de conscience sur ces questions. Nous entrons dans un monde multipolaire, où l’on sort progressivement des règles de l’OMC qui ont prévalu sur les 40 dernières années.
Nous sommes désormais sur du rapport de force. L’Europe a toutes les cartes en main pour s’imposer, il faut juste qu’elle les aligne. Tout ce qui permet d’aller dans ce sens là est bienvenu, le CADA est donc une bonne nouvelle.»
Celui-ci propose la création d’un cadre de souveraineté à quatre niveaux d’assurance pour les fournisseurs cloud qui souhaitent accéder aux marchés publics sensibles. Le niveau 1 impose que les données soient hébergées et traitées sur des serveurs européens. Le niveau 2 implique que le fournisseur démontre son indépendance vis-à-vis du pays d’origine et l’impossibilité pour celui-ci d’accéder aux données ou de déclencher une interruption de service. Le niveau 3 exige que le fournisseur soit détenu et contrôlé depuis l’UE, avec des critères additionnels incluant la citoyenneté du personnel opérant. Enfin, le niveau 4, le plus strict, exige une transparence et un contrôle total sur la chaîne de valeur, afin que même les composants ne soient pas contrôlés par un pays tiers. La Commission estime qu’environ 70 % des marchés publics relèveraient du niveau 1, 20% du niveau 2, moins de 10% du niveau 3 et environ 1% du niveau 4, signe du travail qui doit encore être accompli pour monter en souveraineté sur le cloud.
Motivations et suite
Le texte est en partie une réponse aux lois extraterritoriales américaines, comme le CLOUD Act et le FISA, qui permettent au gouvernement américain d’accéder aux données stockées sur les services cloud américain, même si elles sont hébergées sur des serveurs européens. Elle vise également à se prémunir contre le risque de « kill switch », c’est-à-dire la possibilité que des sanctions américaines entraînent une interruption de service pour des clients européens.
Le texte prévoit des dérogations limitées, notamment lorsqu’aucune alternative européenne adéquate n’existe, ou pour des pays tiers remplissant certaines conditions d’adéquation en matière de protection des données. Un flou persiste pour l’heure sur ces dérogations, dont l’éclaircissement permettra de déterminer le vrai pouvoir de cette réglementation en matière de défense de la souveraineté, selon Sébastien Lescop, directeur général de Cloud Temple.
«Le point chaud, c’est la dérogation de l’article 18: un fournisseur contrôlé depuis un pays tiers peut accéder au niveau 3 si la Commission reconnaît ce pays comme équivalent par acte d’exécution.. La confiance accordée à un “pays tiers associé” ne peut pas être seulement commerciale ou diplomatique. Elle doit être juridique et opérationnelle. L’extraterritorialité, l’accès possible d’autorités étrangères, la capacité de couper un service du jour au lendemain, rien de tout cela ne devrait être tenu pour acquis. Ajoutez les dérogations de l’article 30 et les actes d’exécution qui fixeront le contenu réel des niveaux, et vous tenez le vrai terrain de la bataille des prochains mois. Un cadre solide sur le papier mais facile à contourner dans la pratique serait pire que pas de cadre. Il endormirait.»
Le texte, pour l’heure encore au stade de proposition législative, doit maintenant suivre la procédure ordinaire au Parlement européen et au Conseil, ce qui peut prendre plusieurs mois, voire plus d’un an avant son adoption définitive.