Tech Sovereignty Package : l'Europe veut restreindre AWS, Azure et Google sur ses données sensibles

Avec son Tech Sovereignty Package, la Commission européenne veut limiter le recours aux clouds américains pour les données publiques sensibles. Une ambition assumée, mais un chemin semé d'obstacles techniques, politiques et commerciaux.

N°: 072
Publié: 28.05.26
Mis à jour: 13.10.26
Lecture: 4 min
Sources: 7
Auteur: N. Verlhiac

Fig. 072

Sommaire · 6 sections

01 Que contient le Tech Sovereignty Package ?
02 La mesure phare : restreindre le cloud américain sur les données publiques
03 Pourquoi le RGPD ne suffit pas : le spectre du CLOUD Act
04 Les obstacles : capacités, États membres et tensions commerciales
05 Notre analyse
06 Ce que les entreprises doivent anticiper

Le 3 juin 2026, la Commission européenne a dévoilé son très attendu Tech Sovereignty Package, un ensemble de mesures destinées à renforcer l’autonomie stratégique du continent dans le numérique. La mesure la plus commentée : la possibilité de restreindre AWS, Microsoft Azure et Google Cloud pour le traitement des données sensibles des administrations publiques.

Le constat de départ est sans appel. Les acteurs américains contrôlent environ 70 % du marché cloud européen. Dans les secteurs critiques (santé, justice, finances publiques), cette dépendance soulève une question que la simple conformité RGPD ne suffit pas à régler : qui peut, en dernier ressort, accéder à nos données ?

Sa présentation, d’abord attendue le 27 mai, s’est faite dans un climat de fortes résistances, et son calendrier comme son périmètre restent discutés. Voyons ensemble ce que contient ce paquet, pourquoi il vise un angle mort du RGPD, et les obstacles qui se dressent sur sa route.

Que contient le Tech Sovereignty Package ?

Le paquet ne se limite pas au cloud. Il s’articule autour de quatre piliers :

le Cloud and AI Development Act (CADA), pièce maîtresse sur le cloud et l’intelligence artificielle ;
un Chips Act 2.0 dédié aux semi-conducteurs et aux technologies de calcul de nouvelle génération ;
une stratégie open source européenne ;
la numérisation du secteur de l’énergie.

Le point décisif tient à la base juridique retenue pour le CADA : l’article 114 du traité sur le fonctionnement de l’UE (harmonisation du marché intérieur), complété par l’article 173, paragraphe 3 (politique industrielle). Contrairement à des initiatives volontaires antérieures comme Gaia-X, ce fondement confère au texte une portée contraignante. C’est un changement de nature, pas seulement d’ambition.

La mesure phare : restreindre le cloud américain sur les données publiques

L’objectif affiché est de définir les secteurs qui devront être hébergés sur des capacités cloud européennes. Trois catégories de données publiques sensibles sont visées en priorité :

les données financières (notamment fiscales) ;
les données judiciaires (dossiers de justice) ;
les données sanitaires (dossiers médicaux des patients).

L’approche se veut nuancée : il ne s’agit pas d’exclure totalement les fournisseurs étrangers des marchés publics, mais de limiter leur usage pour le traitement des données sensibles, selon leur classification et leur degré de sensibilité. À ce stade, les entreprises privées ne seraient pas concernées et resteraient libres de choisir leur plateforme. Une limitation politique qui laisse, de fait, la porte ouverte à un élargissement ultérieur.

Pourquoi le RGPD ne suffit pas : le spectre du CLOUD Act

C’est ici que se joue la vraie bataille. Beaucoup d’organisations pensent qu’héberger leurs données « en Europe » suffit à les protéger. C’est une illusion.

Le CLOUD Act américain, adopté en 2018, autorise les autorités américaines à contraindre une entreprise de droit américain à fournir des données, quelle que soit leur localisation physique. Un serveur AWS installé à Francfort n’offre donc aucune garantie contre une injonction judiciaire américaine.

Être conforme au RGPD et être réellement souverain sont deux choses différentes. La localisation des serveurs ne dit rien de la juridiction qui peut, in fine, y accéder.

C’est toute la distinction entre conformité et souveraineté : on peut cocher toutes les cases du RGPD tout en restant exposé à un droit extraterritorial. Le Tech Sovereignty Package vise précisément à éliminer cette dépendance pour les données les plus critiques.

Les obstacles : capacités, États membres et tensions commerciales

L’ambition est claire, mais le chemin est étroit.

Un écart technique réel

L’Europe ne part pas de zéro. Des acteurs comme OVHcloud, Scaleway, Exoscale ou Hetzner proposent des infrastructures crédibles. Mais soyons lucides : aucun ne peut, à lui seul, remplacer l’intégralité du catalogue de services d’Amazon, Google, Microsoft, Oracle ou IBM. Combler cet écart dans le délai réglementaire imparti sera un défi de taille.

Des États membres divisés

L’Irlande, qui héberge de nombreux centres de données américains et en tire d’importantes retombées fiscales, pourrait freiner le projet. De son côté, Microsoft invoque déjà les règles de l’Organisation mondiale du commerce pour qualifier ces mesures de potentiellement « discriminatoires ».

Un calendrier sous tension

La mise en œuvre complète n’est pas attendue avant 2027 au plus tôt. Entre-temps : migrations, certifications et démonstrations de capacité par les fournisseurs européens. C’est court.

Notre analyse

Le Tech Sovereignty Package est un signal politique fort, mais plusieurs questions de fond restent ouvertes, et elles décideront de sa portée réelle.

La distinction public / privé est-elle tenable ? Si une collectivité sous-traite un service à une entreprise privée qui s’appuie elle-même sur AWS, la donnée publique retombe dans le périmètre américain par la bande. Par ailleurs, les « clouds souverains » des hyperscalers (à l’image d’un AWS Sovereign Cloud opéré en Europe) offrent-ils une protection juridique réelle contre le CLOUD Act, ou s’agit-il avant tout d’un argument commercial ? Enfin, une restriction explicite du cloud américain pourrait alimenter une escalade commerciale transatlantique dont l’Europe n’a pas forcément les moyens.

La vérité se situe probablement entre l’autonomie revendiquée et la dépendance constatée. Ce paquet n’est pas une rupture immédiate, mais le début d’une trajectoire qu’il faudra suivre de près.

Ce que les entreprises doivent anticiper

Les actions prioritaires :

Cartographier ses dépendances cloud : identifier où sont hébergées les données sensibles et sous quelle juridiction elles tombent réellement.
Distinguer conformité et souveraineté : un hébergement en Europe ne protège pas du droit extraterritorial ; évaluer l’exposition au CLOUD Act.
Évaluer les alternatives européennes pour les traitements les plus critiques, sans céder à une migration précipitée.
Suivre la qualification des données : la classification par sensibilité conditionnera les futures obligations.
Anticiper les certifications (schémas de cybersécurité européens) qui structureront les marchés publics de demain.

Sources et références 7 sources

Sources et couverture

Analyses

Contexte réglementaire

Notions de l'article

Autonomie stratégique: Capacité d'un acteur, en pratique l'Union européenne, à décider et à agir par lui-même dans les domaines critiques (technologies, industrie, défense, approvisionnements) sans dépendre excessivement de puissances extérieures, tout en restant ouvert sur le monde.
RGPD: Le règlement général sur la protection des données (règlement (UE) 2016/679) encadre tout traitement de données personnelles dans l'Union européenne. Applicable depuis le 25 mai 2018, il fixe des principes, des droits pour les personnes et des amendes pouvant atteindre 4 % du chiffre d'affaires mondial.
Cloud and AI Development Act: Proposition de règlement présentée par la Commission européenne le 3 juin 2026 (COM(2026) 502) pour renforcer l'écosystème européen du cloud et de l'IA : accélérer le déploiement des centres de données, soutenir la recherche et instaurer un cadre unique d'évaluation de la souveraineté du cloud et de l'IA. Le texte n'est pas adopté.
Open source: Logiciel dont le code source est publié sous une licence qui permet de l'utiliser, de l'étudier, de le modifier et de le redistribuer, selon la définition de l'Open Source Initiative ; on parle aussi de logiciel libre, notion défendue par la Free Software Foundation. L'open source est un levier de souveraineté numérique, sans la garantir à lui seul.
Gaia-X: Initiative européenne lancée en 2019 par la France et l'Allemagne pour bâtir une infrastructure de données fédérée, fondée sur des règles communes de transparence, d'interopérabilité et de portabilité. Gaia-X ne fournit pas de cloud : il définit des règles et des labels que les fournisseurs adoptent volontairement.
CLOUD Act: Loi américaine de 2018 qui permet aux autorités des États-Unis d'exiger d'une entreprise soumise au droit américain les données qu'elle contrôle, y compris lorsqu'elles sont stockées hors du territoire américain, par exemple dans un centre de données européen.
Extraterritorialité: Application d'une loi nationale à des personnes, des entreprises ou des données situées hors du territoire de l'État qui l'a adoptée. En matière de données, elle permet par exemple à une autorité américaine d'exiger d'une entreprise américaine des données stockées en Europe.
Cloud souverain: Offre de cloud qui garantit que les données et leur exploitation restent sous le contrôle d'acteurs et de juridictions européens, à l'abri des lois extraterritoriales. Le terme n'a pas de définition juridique européenne ; en France, la référence est la qualification SecNumCloud de l'ANSSI.
Hyperscaler: Fournisseur de cloud qui exploite à très grande échelle un réseau mondial de centres de données et alloue à la demande des capacités de calcul et de stockage quasi illimitées. Le terme désigne surtout Amazon Web Services, Microsoft Azure et Google Cloud.