Bull relocalise ses supercalculateurs : promesse historique ou coup de comm' industriel ?

# Bull relocalise ses supercalculateurs : promesse historique ou coup de comm' industriel ?

En 2026, Eviden — la branche numérique d'Atos qui abrite la marque Bull — annonce la relocalisation complète de la fabrication de ses supercalculateurs sur sol européen. Le signal est fort. Trop fort, peut-être, pour ne pas être interrogé avec la sévérité qu'il mérite. Entre ambition souverainiste légitime et communication stratégique bien huilée, que vaut vraiment cette rupture annoncée ?

Un héritage industriel réel, mais une chaîne d'approvisionnement encore trouble

Il serait malhonnête de nier la profondeur historique de Bull dans le paysage du calcul intensif européen. Née dans les années 1930, nationalisée, privatisée, absorbée, restructurée, la marque Bull incarne à elle seule les tergiversations industrielles françaises face à la puissance technologique américaine. Ses supercalculateurs équipent le CEA, le CERN, Météo-France. La série BullSequana est déployée dans plusieurs centres de calcul souverains européens. Ce n'est pas un acteur fantôme qui se réveille : c'est un acteur structurel du HPC (High Performance Computing) continental.

Mais voilà où le bât blesse. Relocaliser *l'assemblage* — ce que l'annonce d'Eviden semble principalement désigner — n'est pas la même chose que relocaliser *la chaîne de valeur*. Les processeurs qui alimentent ces machines ? Majoritairement conçus et fabriqués aux États-Unis ou en Asie. Les puces GPU qui propulsent les charges d'IA embarquées dans ces supercalculateurs ? On connaît le quasi-monopole de l'acteur américain dominant du secteur. Les compilateurs, les bibliothèques de calcul optimisées, les environnements de développement bas niveau ? Encore largement américains.

Localiser l'usine d'assemblage en Europe est une condition nécessaire — pas suffisante — pour parler de souveraineté. La question que personne ne pose assez fort : quelle est la part réelle de valeur européenne dans un supercalculateur Bull « made in Europe » ? Si la réponse honnête est inférieure à 40 % en valeur composants, alors le discours souverainiste mérite d'être tempéré.

Le Cloud Act au cœur du calcul intensif : un risque souvent minimisé

Le sujet des supercalculateurs est longtemps resté en dehors du radar des directions juridiques et des RSSI, réservé aux ingénieurs système et aux physiciens du calcul. C'est une erreur stratégique que 2026 ne pardonne plus.

Depuis l'adoption du Cloud Act américain en 2018, tout opérateur technologique soumis à la juridiction des États-Unis — c'est-à-dire toute entreprise ayant une présence légale, des activités commerciales ou des relations capitalistiques significatives avec des entités américaines — peut être contraint de livrer des données, y compris celles stockées hors du territoire américain. Ce que l'on sait moins, c'est que cette extraterritorialité ne se limite pas aux données *stockées* : elle peut s'étendre aux données *transitant* par des environnements logiciels ou matériels soumis à cette juridiction.

Or, un supercalculateur n'est pas une machine inerte. Il fait tourner des simulations, des modèles climatiques, des calculs de résistance des matériaux, des projections financières, des entraînements de modèles d'intelligence artificielle. Ces charges de travail manipulent des données souvent critiques — parfois classifiées, parfois couvertes par le secret industriel, parfois protégées par le RGPD au titre de données à caractère personnel agrégées.

Si les couches logicielles bas niveau d'un supercalculateur « européen » restent développées ou maintenues par des entités américaines, le risque d'extraterritorialité ne disparaît pas avec le déménagement de l'usine d'assemblage. C'est le paradoxe que les DSI et RSSI de PME et ETI sous-traitant du calcul intensif à des centres de services doivent intégrer dans leur analyse de risque.

La conformité NIS2 — entrée en vigueur dans la plupart des États membres en 2025 — impose désormais aux entités essentielles et importantes de cartographier précisément leurs dépendances tiers et d'évaluer les risques de la chaîne d'approvisionnement numérique. Un supercalculateur dont le système d'exploitation de gestion, les pilotes ou les outils de supervision sont liés à un éditeur américain entre de facto dans le périmètre de cette cartographie. Le RSSI qui ne l'a pas encore fait a un chantier devant lui.

NIS2, DORA, RGPD : ce que la relocalisation change — et ce qu'elle ne change pas

Soyons précis, parce que la confusion entre les référentiels réglementaires est fréquente et coûteuse.

NIS2 s'intéresse à la résilience des infrastructures critiques et à la sécurité de la chaîne d'approvisionnement. Une relocalisation de fabrication peut réduire certains risques de dépendance géopolitique et raccourcir les délais d'intervention en cas d'incident matériel. C'est un gain réel. Mais NIS2 ne se satisfait pas d'une bonne intention industrielle : elle exige une documentation, des audits, des plans de réponse aux incidents. La question n'est pas « est-ce fabriqué en Europe ? » mais « pouvez-vous démontrer la maîtrise de chaque composant critique de votre infrastructure ? »

DORA — le règlement sur la résilience opérationnelle numérique du secteur financier, pleinement applicable depuis début 2025 — impose aux entités financières et à leurs prestataires TIC critiques des obligations de continuité et de concentration des risques fournisseurs. Une ETI du secteur financier qui externalise ses besoins de calcul intensif vers un centre utilisant des machines Bull doit s'assurer que l'ensemble de la chaîne, y compris le fabricant, est auditabl et que les contrats prévoient les droits d'audit requis par DORA. La localisation européenne facilite ces audits — juridiquement et logistiquement. C'est un argument concret.

RGPD, enfin. Là, la relocalisation est directement pertinente, mais avec une nuance importante. Le RGPD ne s'intéresse pas à l'endroit où la machine est fabriquée, mais à l'endroit où les données sont *traitées* et à la nationalité juridique de l'entité qui les contrôle. Si Eviden reste soumis à une influence capitalistique ou contractuelle américaine — la question de la restructuration d'Atos reste un feuilleton complexe en 2026 — alors la fabrication européenne des machines ne suffit pas à garantir la conformité RGPD des traitements effectués dessus.

La règle d'or pour les RSSI : la souveraineté matérielle et la souveraineté des données sont deux variables indépendantes. L'une n'implique pas l'autre.

Ce que l'annonce révèle du rapport de force industriel en Europe

Il faut lire l'annonce de Bull non pas seulement comme une décision industrielle d'Eviden, mais comme un signal du contexte géopolitique et économique dans lequel elle s'inscrit.

En 2026, les tensions commerciales transatlantiques ont rendu le discours souverainiste non seulement acceptable, mais commercialement porteur. Les directions achats des grands comptes publics et parapublics européens intègrent désormais explicitement des critères de souveraineté dans leurs appels d'offres. L'EuroHPC Joint Undertaking — la structure européenne de coordination des supercalculateurs de préexaflops et d'exaflops — a posé des jalons clairs sur les exigences de localisation et de contrôle des données pour ses projets financés.

Dans ce contexte, annoncer une relocalisation, c'est répondre à une demande de marché autant qu'à une conviction industrielle. Ce n'est pas un reproche — c'est une observation. Les entreprises ne font pas de la souveraineté par idéologie, elles s'y adaptent quand le marché l'exige. Le vrai test viendra dans les mois qui suivent : les contrats seront-ils là ? Les certifications de sécurité — qualifications ANSSI, CC EAL, certifications sectorielles — seront-elles obtenues et maintenues ? Les engagements de localisation survivront-ils à une prochaine restructuration capitalistique ?

Car l'histoire d'Atos — et par extension d'Eviden et de Bull — est précisément celle d'une entreprise qui a failli plusieurs fois démontrer qu'une déclaration d'intention souverainiste peut se fracasser sur les réalités financières. La dette, les cessions d'actifs, les tentatives de rachat par des acteurs non européens ont jalonné les dernières années. Un supercalculateur souverain fabriqué par une entreprise dont le capital serait demain partiellement contrôlé par un fonds américain ou asiatique : le paradoxe n'est pas théorique.

Ce que les DSI et RSSI doivent exiger concrètement

Face à cette annonce — et à toutes celles qui lui ressembleront dans les mois à venir, car le marché du « souverain » va se densifier — il ne s'agit pas de rejeter l'initiative Bull par principe de précaution maximaliste. Il s'agit d'exercer une diligence raisonnée.

Première exigence : la transparence sur la composition de la chaîne d'approvisionnement. Pas un discours commercial, pas un document marketing. Une nomenclature réelle des composants critiques, avec leur origine géographique et le statut juridictionnel de leurs fabricants. C'est le minimum pour une évaluation honnête du risque Cloud Act et NIS2.

Deuxième exigence : la clarté sur la structure capitalistique et les mécanismes de contrôle. Qui détient Eviden ? Qui siège au conseil ? Quelles clauses contractuelles lient la filiale à d'éventuels actionnaires non européens ? Un RSSI qui signe un contrat de calcul intensif sans avoir répondu à ces questions a un angle mort dans son analyse de risque.

Troisième exigence : les certifications, pas les promesses. La qualification SecNumCloud de l'ANSSI, les certifications Common Criteria, les homologations sectorielles : ce sont des processus exigeants, longs, coûteux — et précisément pour cette raison, ils sont les seuls garants crédibles. Tant qu'elles ne sont pas obtenues et publiées, la relocalisation reste une déclaration d'intention.

La souveraineté numérique européenne n'est pas un label qu'on appose sur une usine déplacée. C'est un état permanent à démontrer, auditer et maintenir. Bull a peut-être posé le premier jalon d'une rupture réelle avec la dépendance américaine dans le HPC. Mais l'histoire industrielle européenne est jalonnée de premiers jalons restés solitaires.

La question n'est pas de savoir si l'annonce est sincère. La question est de savoir si elle sera encore vraie dans trois ans.

*Article produit par la rédaction RiffLab Media. Les positions exprimées reflètent la ligne éditoriale indépendante de RiffLab Media, sans relation commerciale avec les acteurs mentionnés.*