Um prazo substitui um roteiro

A 10 de fevereiro de 2026, três ministros franceses, a ministra da Saúde Stéphanie Rist, a ministra delegada da Inteligência Artificial e do Digital Anne Le Hénanff, e o ministro delegado da Função Pública e da Reforma do Estado David Amiel, anunciaram que o Health Data Hub abandonaria a sua migração prevista em duas etapas para avançar diretamente para uma nuvem soberana qualificada SecNumCloud. O objetivo é uma cópia completa da base de dados principal SNDS, o sistema nacional francês de dados de saúde, fora do Microsoft Azure até ao final de 2026. Uma avaliação técnica tinha confirmado que a mudança direta era viável, pelo que o governo saltou a etapa intermédia originalmente prevista.

A razão é jurisdicional, não técnica. Um fornecedor de nuvem de capital norte-americano pode, em princípio, ser obrigado por lei não comunitária a entregar dados independentemente de onde os servidores estejam fisicamente instalados, e a SNDS está entre os conjuntos de dados públicos mais sensíveis que existem: sustentou mais de 233 projetos de investigação e contribuiu para 29 concursos de projetos. Os fornecedores para a nova solução de alojamento estão a ser selecionados através do mercado Public Cloud, gerido em conjunto pela DINUM, a agência digital do Estado, e a central de compras públicas, com uma adjudicação inicialmente prevista para o final de março de 2026.

Um decreto transforma recomendação em obrigação

Um decreto de aplicação da lei SREN, publicado em abril de 2026, alargou formalmente a obrigação SecNumCloud a mais três operadores de saúde digital. Os seus nomes ainda não constam de uma lista exaustiva no Jornal Oficial, e o calendário de conformidade de cada um permanece pouco claro, mas a direção não é posta em causa: uma certificação que antes funcionava como elemento diferenciador competitivo está agora, segundo um órgão de imprensa especializado francês que acompanha o setor, mais próxima de uma condição de acesso ao mercado da saúde pública do que de um selo de qualidade.

Essa mudança afeta sobretudo os fornecedores mais pequenos de saúde digital que construíram a sua infraestrutura sobre fornecedores de nuvem sem certificação SecNumCloud. Uma empresa fora da lista qualificada não precisa de uma nova lei que a nomeie individualmente para sentir o efeito; basta que um comprador público, ou um decreto, comece a tratar a qualificação como requisito mínimo. Os custos de migração são reais, e os comentários do setor têm assinalado que merecem ser planeados com bastante antecedência, ainda sem um valor público em euros associado.

Cinco empresas pedem a Paris para não escolher um único vencedor

A 30 de junho de 2026, cinco empresas no centro da saúde digital francesa, Alan, Doctolib, Implicity, Lifen e Resilience, escreveram ao gabinete de Anne Le Hénanff e à Direction générale des entreprises. A sua mensagem não era uma rejeição do objetivo de soberania. Era um aviso de que um único selo aceite, aplicado como via exclusiva de conformidade, concentra o risco em vez de o eliminar: uma falha num fornecedor, um estrangulamento na certificação ou uma fila lenta de qualificação atingiria ao mesmo tempo todas as empresas dependentes dessa única lista.

O seu pedido central era substituir a lógica de selo único por uma abordagem assente em auditorias e pontuação de risco, permitindo a uma empresa demonstrar segurança equivalente sem ficar presa a uma única via de certificação. É o mesmo argumento que os reguladores costumam usar contra a dependência de um fornecedor quando o fornecedor é norte-americano; estas cinco empresas aplicam-no ao risco de dependência de um selo nacional com uma lista curta e de crescimento lento.

Soberania concentrada em onze fornecedores

Em abril de 2026, apenas 11 ofertas de nuvem tinham a qualificação SecNumCloud, entre elas a OVHcloud, a Orange Business, a Outscale, a S3NS, a Worldline, a Cegedim, a Cloud Temple, a Oodrive e a Whaller, com mais 18 candidaturas reportadas em curso. O SecNumCloud surgiu para retirar os dados de saúde franceses do alcance de exigências legais não comunitárias, o que é a definição de manual de soberania digital. Mas uma lista qualificada tão curta cria o seu próprio ponto único de falha: poder de fixação de preços, limites de capacidade e uma fila de candidatos que ainda não podem concorrer a contratos públicos que cada vez mais pressupõem o selo como base.

A distinção que as autoridades traçam entre recomendado e obrigatório é real no papel, mas depende de qual documento se está a ler. Um decreto que acrescenta discretamente mais três operadores obrigados, e uma plataforma de saúde estatal que migra a sua própria base de dados emblemática para a mesma qualificação, somam na prática ao mesmo resultado de uma obrigação, apenas construída através da mecânica normal de contratação pública em vez de uma lei manchete. Se a alternativa baseada em auditorias que as cinco empresas pediram será adotada antes de aparecerem os próximos nomes no Jornal Oficial é o pormenor que vale a pena acompanhar durante o resto de 2026.

Leia a seguir: EuroHPC abre quatro máquinas quânticas a pilotos gratuitos  |  A IA soberana da Europa corre com dinheiro americano