Une échéance remplace une feuille de route
Le 10 février 2026, trois ministres français, la ministre de la Santé Stéphanie Rist, la ministre déléguée chargée de l'Intelligence artificielle et du Numérique Anne Le Hénanff, et le ministre délégué chargé de la Fonction publique et de la Réforme de l'État David Amiel, ont annoncé que le Health Data Hub abandonnerait sa migration en deux temps initialement prévue pour basculer directement vers un cloud souverain qualifié SecNumCloud. L'objectif est une copie complète de la base SNDS, le système national français des données de santé, hébergée hors de Microsoft Azure d'ici fin 2026. Une expertise avait confirmé la faisabilité technique du basculement direct, ce qui a permis au gouvernement de sauter l'étape intermédiaire prévue au départ.
La raison est juridictionnelle, pas technique. Un fournisseur cloud de droit américain peut, en principe, être contraint par une loi extra-européenne de livrer des données quel que soit l'emplacement physique de ses serveurs, et la SNDS figure parmi les jeux de données publics les plus sensibles qui soient: elle a soutenu plus de 233 projets de recherche et contribué à 29 appels à projets. Les fournisseurs du nouvel hébergement sont sélectionnés via la place de marché Public Cloud, gérée conjointement par la DINUM, l'agence numérique de l'État, et la centrale d'achat publique, avec une attribution initialement attendue fin mars 2026.
Un décret transforme la recommandation en obligation
Un décret d'application de la loi SREN, publié en avril 2026, a formellement élargi l'obligation SecNumCloud à trois opérateurs de santé numérique supplémentaires. Leurs noms ne figurent pas encore sur une liste exhaustive au Journal officiel, et le calendrier de mise en conformité reste flou pour chacun, mais la trajectoire ne fait pas de doute: une certification qui servait autrefois d'élément de différenciation commerciale est désormais, selon un média spécialisé français qui suit le secteur, plus proche d'une condition d'accès au marché de la santé publique que d'un label de qualité.
Ce basculement touche surtout les plus petits éditeurs de santé numérique qui ont construit leur infrastructure sur des fournisseurs cloud non certifiés SecNumCloud. Une entreprise absente de la liste qualifiée n'a pas besoin d'une nouvelle loi la nommant individuellement pour en ressentir l'effet: il suffit qu'un acheteur public, ou un décret, se mette à traiter la qualification comme un prérequis. Les coûts de migration sont réels, et des commentateurs du secteur ont souligné qu'ils méritent d'être anticipés très en amont, même sans chiffrage public en euros à ce stade.
Cinq entreprises demandent à Paris de ne pas désigner un seul gagnant
Le 30 juin 2026, cinq entreprises au cœur de la santé numérique française, Alan, Doctolib, Implicity, Lifen et Resilience, ont écrit au cabinet d'Anne Le Hénanff et à la Direction générale des entreprises. Leur message n'était pas un rejet de l'objectif de souveraineté. C'était une alerte: un label unique accepté, appliqué comme voie de conformité exclusive, concentre le risque au lieu de le supprimer. Une panne chez un fournisseur, un goulot d'étranglement dans les certifications ou une file d'attente lente pour la qualification toucherait en même temps toutes les entreprises qui dépendent de cette seule liste.
Leur demande centrale était de remplacer la logique du label unique par une approche fondée sur des audits et une notation de risque, permettant à une entreprise de démontrer une sécurité équivalente sans être liée à une seule filière de certification. C'est le même argument que les régulateurs opposent habituellement à la dépendance à un fournisseur américain; ces cinq entreprises l'appliquent ici au risque de dépendance à un label national dont la liste est courte et croît lentement.
Souveraineté concentrée sur onze fournisseurs
En avril 2026, seules 11 offres cloud détenaient la qualification SecNumCloud, parmi lesquelles OVHcloud, Orange Business, Outscale, S3NS, Worldline, Cegedim, Cloud Temple, Oodrive et Whaller, avec 18 candidatures supplémentaires signalées en cours. SecNumCloud a été conçu pour soustraire les données de santé françaises à l'emprise des exigences juridiques extra-européennes, ce qui est la définition même de la souveraineté numérique. Mais une liste qualifiée aussi courte crée son propre point unique de défaillance: pouvoir de fixation des prix, limites de capacité, et une file d'attente de candidats qui ne peuvent pas encore répondre à des marchés publics qui présupposent de plus en plus le label comme base.
La distinction que les autorités tracent entre recommandé et obligatoire est réelle sur le papier, mais elle dépend du document que l'on est en train de lire. Un décret qui ajoute discrètement trois opérateurs obligés de plus, et une plateforme sanitaire publique qui migre sa propre base de données phare vers la même qualification, aboutissent en pratique au même résultat qu'une obligation, simplement construite via la mécanique ordinaire de la commande publique plutôt que par une loi à la une. Reste à voir, d'ici la fin de 2026, si l'alternative fondée sur l'audit réclamée par les cinq entreprises sera adoptée avant que les prochains noms n'apparaissent au Journal officiel.
À lire ensuite: EuroHPC ouvre quatre machines quantiques aux pilotes gratuits | L'IA souveraine d'Europe tourne à l'argent américain
