Bruxelles publie son premier bulletin de souveraineté
La Commission européenne a attribué le 17 avril 2026 les premiers contrats de son nouveau Cloud Sovereignty Framework, un cadre d'achat de 180 millions d'euros sur six ans relevant du système d'achat dynamique Cloud III de la Commission, lancé dès octobre 2025 selon les informations de Help Net Security. Avec cette attribution, la Commission a introduit une échelle de notation graduée appelée SEAL, pour Sovereignty Effectiveness Assurance Level, allant de SEAL-0 à SEAL-4, où SEAL-0 marque une absence totale de souveraineté et SEAL-4 exige une chaîne d'approvisionnement entièrement européenne, des puces jusqu'au logiciel.
Les fournisseurs devaient atteindre au moins SEAL-2, décrit par la Commission comme un niveau de Souveraineté des Données, simplement pour pouvoir concourir. Ce seuil compte parce qu'il remplace une affirmation vague et auto-déclarée de souveraineté par une barrière concrète que chaque candidat devait franchir avant même que Bruxelles n'examine son offre, évaluée sur huit objectifs pondérés portant sur la stratégie, la protection juridique, le contrôle opérationnel, la responsabilité environnementale, la transparence de la chaîne d'approvisionnement, l'ouverture technologique, la sécurité et le respect du droit de l'UE.
Quatre gagnants, deux niveaux de souveraineté différents
Quatre consortiums ont franchi la barrière et détiennent désormais des contrats dans le cadre du dispositif, chacun ancré dans un pays de l'UE différent et chacun situé à un niveau SEAL distinct. Post Telecom, basé au Luxembourg, a gagné aux côtés des françaises OVHcloud et CleverCloud; l'allemande STACKIT, propriété du groupe Schwarz, qui possède aussi Lidl et Kaufland, a gagné seule; la française Scaleway, propriété d'Iliad, a gagné également seule; et un consortium mené par la belge Proximus avec S3NS, Clarence et l'entreprise française d'intelligence artificielle Mistral AI a remporté le quatrième contrat.
| Consortium | Pays d'origine | Niveau SEAL atteint |
|---|---|---|
| Post Telecom avec OVHcloud et CleverCloud | Luxembourg / France | SEAL-3 |
| STACKIT (groupe Schwarz) | Allemagne | SEAL-3 |
| Scaleway (Iliad) | France | SEAL-3 |
| Proximus avec S3NS, Clarence et Mistral AI | Belgique / France | SEAL-2 |
Post Telecom, STACKIT et Scaleway ont toutes atteint SEAL-3, le niveau que la Commission définit comme immunisé contre les ruptures d'une chaîne d'approvisionnement extérieure à l'UE. Le consortium mené par Proximus a atteint SEAL-2, tout juste le seuil minimal, ce qui reflète le fait que son environnement technique s'appuie sur la technologie Google Cloud, même si chaque société opératrice de la chaîne a son siège dans l'UE.
Une liste à acheter dès aujourd'hui, pas une promesse pour plus tard
La plupart de la politique de souveraineté de l'UE en est restée jusqu'ici à une date cible ou à un document de stratégie. Ce cadre est différent: il nomme quatre fournisseurs concrets, indique le niveau de souveraineté atteint par chacun, et permet à toute entreprise de l'UE qui évalue aujourd'hui son exposition au CLOUD Act américain ou à une future rupture géopolitique de l'accès au cloud d'acheter dès maintenant à partir d'une liste notée et citable.
Cette immédiateté est ici la vraie nouvelle, pas la mécanique de l'appel d'offres. Une entreprise qui craint qu'un gouvernement étranger ne force l'accès à ses données dans le cloud n'a plus besoin d'attendre un futur régime réglementaire qui lui dira qui est qualifié; elle peut désigner STACKIT, Scaleway, le consortium Post Telecom mené par OVHcloud ou le groupe Proximus lié à Mistral AI, et demander à chacun, directement, quel niveau SEAL il peut réellement démontrer.
L'écart entre SEAL-2 et SEAL-3 est le vrai signal pour les achats
Trois des quatre gagnants ont atteint SEAL-3 tandis qu'un seul a atteint SEAL-2, et c'est la Commission elle-même qui a tracé cette ligne, plutôt que de la laisser au langage marketing. Un fournisseur qui se dit souverain affirme ainsi un niveau bien précis sur une échelle à cinq degrés, et l'écart entre SEAL-2 et SEAL-3 marque la différence entre souveraineté des données et immunité réelle contre les ruptures d'une chaîne d'approvisionnement extérieure à l'UE.
Toute équipe d'achats qui évalue un contrat cloud devrait poser cet écart à son propre fournisseur, étiqueté souverain ou non: quel niveau SEAL atteindrait-il réellement, et sur lequel des huit objectifs pondérés resterait-il en retrait. La Commission a désormais montré que cette question a une réponse concrète et notable, pas une réponse marketing.
À lire ensuite: Berlin enseigne ce que Bruxelles refuse à AWS | L'accord de souveraineté d'Airbus laisse Skywise sur AWS
