Data centers sous contrôle américain : l'heure de vérité pour les ETI européennes

# Data centers sous contrôle américain : l'heure de vérité pour les ETI européennes

Nous sommes en 2026, et la question n'est plus théorique. Les restrictions américaines sur les infrastructures d'IA — contrôles à l'exportation renforcés, exigences de localisation imposées aux partenaires étrangers, pressions réglementaires sur les fournisseurs qui opèrent hors du territoire américain — ont cessé d'être des signaux faibles. Ce sont des décisions de politique industrielle assumées, explicites, et structurantes pour les prochaines décennies.

Alors je pose la question qui dérange : combien d'ETI européennes ont réellement intégré cette réalité dans leur feuille de route infrastructure ? Combien de DSI ont eu cette conversation difficile avec leur direction générale ? Combien de RSSI ont actualisé leur cartographie des risques en conséquence ?

Ma réponse, après deux ans à couvrir ce secteur : trop peu. Dangereusement peu.

Le confort de la dépendance

Il y a une forme d'hypnose collective qui s'est installée autour des grandes plateformes cloud américaines. On les a intégrées comme on intègre une infrastructure publique — l'électricité, l'eau courante. Disponibles, scalables, avec des interfaces qui réduisent la complexité apparente. Et surtout, avec des équipes commerciales très efficaces pour maintenir cet état mental.

Mais une infrastructure publique ne vous expose pas au Cloud Act. Elle ne peut pas être soumise à une injonction d'un tribunal américain exigeant l'accès à vos données, même si ces données sont physiquement stockées à Francfort ou à Amsterdam. Elle ne peut pas décider unilatéralement de modifier ses conditions d'accès en réponse à une pression géopolitique. Elle n'est pas soumise aux règles de contrôle à l'exportation américaines — les fameuses Export Administration Regulations — qui, depuis 2025, s'appliquent désormais aux capacités de calcul IA avec une granularité croissante.

C'est précisément là où le parallèle s'effondre. Et c'est précisément là où notre secteur a collectivement manqué de lucidité.

Ce que DORA et NIS2 nous disent — et ce qu'on préfère ne pas entendre

Depuis l'entrée en vigueur de NIS2 et l'application progressive de DORA, les obligations de gestion du risque tiers ont considérablement évolué. Les textes sont clairs sur un point : la responsabilité de la sécurité ne se délègue pas. Vous pouvez sous-traiter l'hébergement, vous ne pouvez pas sous-traiter la responsabilité.

Or que signifie concrètement confier votre infrastructure IA critique à un acteur américain soumis au Cloud Act, dans un contexte où les barrières réglementaires US reconfigurent l'accès aux ressources de calcul ? Cela signifie accepter une dépendance structurelle envers une juridiction étrangère, dont les intérêts ne coïncident pas nécessairement avec les vôtres, et dont les décisions peuvent affecter votre continuité d'activité sans préavis.

Sous l'angle DORA, pour les ETI du secteur financier, c'est une concentration de risque tiers qui devrait, en théorie, déclencher des alertes dans n'importe quel processus d'évaluation sérieux. Sous l'angle RGPD, c'est une exposition permanente à des transferts de données potentiellement non conformes, malgré les clauses contractuelles standard et les certifications rassurantes.

Je ne dis pas que ces outils contractuels sont inutiles. Je dis qu'ils ne résolvent pas le problème de fond : une loi américaine prime sur n'importe quel contrat de droit européen, et les entreprises américaines n'ont pas le choix de s'y soustraire.

La fenêtre qui se referme

Voici ce que les barrières américaines sur les data centers IA révèlent d'essentiel : Washington a compris avant nous que l'infrastructure de calcul est un actif stratégique de souveraineté. Pas seulement économique — stratégique. Et il agit en conséquence.

Pendant ce temps, des acteurs européens ont construit des capacités réelles. Scaleway, avec son positionnement explicitement souverainiste et ses engagements de localisation des données, propose aujourd'hui des offres d'inférence et d'entraînement qui méritent une évaluation sérieuse — pas comme second choix par défaut, mais comme choix premier par conviction. Idem pour des opérateurs de colocation européens qui ont investi massivement dans les certifications SecNumCloud et dans les garanties d'extraterritorialité.

Mais cette fenêtre ne restera pas ouverte indéfiniment. Si les ETI européennes continuent de choisir le confort de la dépendance américaine, elles financeront la consolidation de leurs concurrents — américains — tout en fragilisant leur propre conformité réglementaire.

La vraie question pour les DSI

Je comprends les contraintes. Les budgets sont serrés. Les équipes sont surchargées. La migration d'une infrastructure est douloureuse et risquée. Et les acteurs américains ont des années d'avance sur certains segments fonctionnels.

Mais la vraie question n'est pas « est-ce que l'alternative européenne fait exactement la même chose ? ». La vraie question est : « quel est le coût réel, total, de ma dépendance actuelle — en termes de risque réglementaire, de risque de continuité, de risque géopolitique — et est-ce que je l'ai honnêtement intégré dans mon calcul ? »

Parce que si une décision réglementaire américaine peut demain restreindre votre accès aux capacités de calcul dont dépend votre chaîne de valeur, ce n'est pas un risque résiduel. C'est un risque majeur. Et le traiter comme tel, c'est le travail d'un DSI qui fait son métier.

Ce que je demande, concrètement

Pas une révolution du jour au lendemain. Pas une migration précipitée qui créerait plus de risques qu'elle n'en résoudrait. Mais trois choses simples.

Premièrement : mettre la question de l'extraterritorialité américaine à l'ordre du jour du prochain comité de direction. Pas comme sujet technique — comme sujet de gouvernance.

Deuxièmement : exiger de vos équipes une cartographie honnête des actifs critiques hébergés chez des acteurs soumis au Cloud Act. Pas pour paniquer. Pour savoir.

Troisièmement : évaluer sérieusement, sans préjugé de sens inverse, les offres européennes sur vos prochains cycles de renouvellement. Pas en leur accordant une prime idéologique. En leur accordant une évaluation équitable qui intègre le coût réel du risque de dépendance.

L'Europe ne récupérera pas sa souveraineté numérique par déclaration d'intention. Elle la récupérera par des décisions d'achat, prises une par une, par des DSI qui auront choisi de voir les choses clairement.

Cette clarté-là, personne ne peut nous la vendre. Il faut la construire nous-mêmes.