Loi UE sur le cloud divise le secteur de la défense

La défense résiste à la poussée de Bruxelles vers un cloud uniquement national

Des responsables européens de la défense et des industriels de l'armement s'opposent publiquement au Cloud and AI Development Act de la Commission européenne, une loi présentée en juin 2026 qui classerait les services publics selon leur sensibilité. L'objectif affiché de la loi est de réduire la dépendance structurelle de l'Union européenne envers les grands fournisseurs américains, mais des responsables de plusieurs États membres estiment que le calendrier avance plus vite que la maturité des alternatives nationales.

Seul le niveau de sensibilité le plus élevé exigerait une technologie "entièrement nationale", et l'estimation de la Commission elle-même situe ce niveau à environ un pour cent des services publics. Des responsables et industriels de la défense avertissent qu'un retrait rapide d'Amazon Web Services, de Microsoft Azure et de Google Cloud, qui contrôlent ensemble environ 70 pour cent du marché du cloud de l'UE, risque de laisser les armées avec des systèmes inférieurs, des failles cyber plus larges et des difficultés accrues de coordination avec les alliés de l'OTAN. Le chasseur F-35 est l'exemple auquel les responsables reviennent sans cesse: son infrastructure numérique fonctionne intégrée à des services cloud américains plutôt qu'achetée comme un abonnement remplaçable, exactement le type de dépendance que le niveau le plus élevé est censé éliminer.

Deux hauts responsables de la défense de l'UE et plusieurs entreprises européennes de défense estiment l'avance américaine dans les plateformes cloud et IA de défense entre huit et dix ans, un écart qui, selon eux, ne peut être comblé dans le calendrier même de la loi. Tous les industriels n'attendent pas de le vérifier: Airbus a annoncé en juillet 2026 qu'il transférerait certaines applications critiques d'AWS vers le fournisseur français Scaleway, avant même toute obligation légale de le faire.

Quatre étapes, un seul niveau maximal: ce qu'exige vraiment le 'entièrement national'

Le Cloud and AI Development Act définit quatre étapes croissantes de souveraineté, et seule la dernière exige une infrastructure entièrement nationale. L'étape un exige la localisation physique des données à l'intérieur de l'UE, un seuil que la plupart des contrats existants avec les grands fournisseurs franchissent déjà. L'étape deux ajoute l'indépendance vis-à-vis du droit de pays tiers et des chaînes d'approvisionnement transparentes, écartant les situations où un gouvernement étranger pourrait imposer l'accès aux données. L'étape trois exige la propriété et le contrôle européens du fournisseur lui-même, pas seulement de ses centres de données. L'étape quatre, réservée à environ un pour cent des services jugés les plus sensibles, exige une transparence logicielle totale et aucune influence de pays tiers.

La ministre finlandaise des Affaires étrangères, Elina Valtonen, a formulé sans détour l'inquiétude sous-jacente, disant qu'Helsinki se prépare au risque qu'un fournisseur étranger actionne un "kill switch" contre le pays. James Appathurai, sous-secrétaire général adjoint de l'OTAN, a répondu du point de vue de l'interopérabilité, soulignant que les armées alliées doivent échanger les données du champ de bataille de façon fluide et rapide, une exigence qui devient plus difficile chaque fois que l'infrastructure cloud d'un État membre s'écarte de celle de ses voisins.

Au-delà de la polémique: un problème de conformité à deux vitesses

La bataille qui fait les gros titres porte sur la vitesse à laquelle l'Union européenne devrait réduire sa dépendance au cloud, mais la question la plus utile pour un chef d'entreprise est ce qui se passe une fois que l'étape quatre s'applique réellement à seulement un pour cent des services. Le débat traite la souveraineté comme objectif politique et la souveraineté comme risque opérationnel comme s'il s'agissait du même problème; ce n'est pas le cas. L'objectif politique est de réduire le levier structurel qu'un gouvernement étranger pourrait exercer sur les services publics européens en cas de crise. Le risque opérationnel est qu'imposer le changement selon un calendrier fixe, avant que les alternatives nationales n'aient comblé un écart de huit à dix ans, pourrait précisément créer les défaillances cyber et d'interopérabilité que la loi vise à prévenir.

Cette division crée un problème de conformité à deux vitesses qui a reçu très peu d'attention à côté des gros titres sur la souveraineté. Quatre-vingt-dix-neuf pour cent des services couverts restent sous des accords largement inchangés avec les grands fournisseurs au titre des étapes un et deux, qui formalisent surtout des pratiques déjà prises en charge par AWS, Azure et Google Cloud. Le un pour cent restant nécessite une chaîne d'approvisionnement entièrement distincte et bien plus réduite de fournisseurs nationaux, et rien ne prouve que cette chaîne existe déjà à l'échelle ou à la maturité que la loi suppose. Les industriels qui servent ce niveau maximal, des entreprises comme Scaleway aux fournisseurs de cloud spécifiques à la défense qui existent à peine aujourd'hui, doivent monter en puissance selon un délai fixé par la politique plutôt que par leur propre capacité. Les industriels qui servent tous les autres font face à une charge de conformité bien plus légère, habillée du même langage de "souveraineté", ce qui rend facile pour les deux groupes, et pour leurs clients publics, de mal évaluer quelles règles s'appliquent réellement à eux.

Ce qu'un chef d'entreprise lié à la défense dans l'UE devrait surveiller

Un chef d'entreprise qui vend à des organismes publics de l'UE ou à des clients liés à la défense devrait d'abord déterminer sous laquelle des quatre étapes tomberont ses propres contrats, car les obligations des étapes un et deux sont proches de la pratique actuelle, tandis que l'étape quatre est une activité totalement différente. Demandez si vos fournisseurs actuels de cloud ou de logiciels ont une voie crédible vers la certification d'étape trois ou quatre, ou si ce travail n'a pas encore commencé, car un fournisseur pris au dépourvu sur un contrat de niveau maximal devient aussi le problème de l'acheteur.

Observez comment chaque État membre transpose la loi, car les pays de l'Est et nordiques, les plus attachés à l'interopérabilité avec l'OTAN, sont aussi les plus susceptibles de demander des exemptions ou des calendriers plus lents pour les services liés à la défense, ce qui pourrait créer un second schéma à deux vitesses au niveau national, en plus de celui déjà présent à l'échelle de l'UE. Enfin, surveillez si une véritable chaîne d'approvisionnement cloud et IA entièrement nationale se forme réellement dans les deux à trois prochaines années; si ce n'est pas le cas, le niveau du un pour cent risque de devenir une catégorie de conformité sans fournisseurs capables de l'occuper, ce qui constitue en soi un risque opérationnel.

À lire ensuite: L'UE Relie les Data Centers IA au Réseau Électrique  |  La Commission a recruté via une IA américaine