Quand Paris choisit ses propres serveurs : lecture froide d'un tournant stratégique

Le signal que les DSI européens ne peuvent pas ignorer

Depuis plusieurs mois, les arbitrages de l'État français s'orientent de manière lisible vers des prestataires cloud et IA dont les données, les équipes et les infrastructures restent sur le sol européen. Ce n'est pas un geste symbolique. C'est une décision de gestion du risque — et elle parle directement aux DSI, CTO et RSSI des PME et ETI du continent.

La question n'est pas de savoir si l'État a bien fait. La question est : qu'est-ce que ce mouvement dit de l'environnement réglementaire et sécuritaire dans lequel *vous* opérez en 2026 ?

Le Cloud Act n'a pas changé. Le monde autour, si.

Le Cloud Act américain de 2018 autorise les autorités américaines à exiger d'un prestataire US l'accès aux données qu'il héberge — y compris hors du territoire américain. Ce texte n'a pas été abrogé. Il n'a pas été amendé. Il s'applique à tout acteur dont la maison mère est soumise à la juridiction américaine, quel que soit le datacenter où vos données sont physiquement stockées.

Ce point n'est pas une opinion souverainiste : c'est l'analyse que formulent depuis plusieurs années les autorités de protection des données européennes, dont la CNIL, et que le Comité européen de la protection des données a confirmé dans ses lignes directrices sur les transferts de données.

En confiant ses données à un acteur américain — même hébergé en Europe —, une organisation reste potentiellement exposée à une injonction extraterritoriale américaine. C'est le risque structurel que l'État français a visiblement choisi de ne plus accepter pour ses infrastructures sensibles.

NIS2 et DORA : la conformité devient un critère de choix de fournisseur

En 2026, deux textes réglementaires européens ont changé la donne pour une large fraction des ETI européennes.

NIS2 étend l'obligation de cybersécurité à des secteurs auparavant non concernés — énergie, transport, santé, numérique, mais aussi fournisseurs de services gérés. DORA impose au secteur financier des exigences très précises sur la résilience opérationnelle numérique, incluant des obligations de traçabilité et d'auditabilité des prestataires tiers.

Ces deux textes ont une conséquence directe sur le choix des fournisseurs cloud et IA : ils renforcent les obligations de contractualisation, d'audit et de localisation des données. Un acteur cloud dont les conditions générales renvoient à la juridiction américaine, et dont la chaîne de sous-traitance est opaque, devient mécaniquement plus difficile à justifier dans un audit de conformité.

Le mouvement de l'État français n'est donc pas isolé de ce contexte réglementaire. Il en est, en partie, une conséquence logique.

Ce que cela implique concrètement pour votre stratégie

Il ne s'agit pas de migrer en urgence l'ensemble de son système d'information. Il s'agit d'identifier les zones de risque réel.

Premier point : les données que vous qualifiez de sensibles — données clients, données RH, données financières, propriété intellectuelle — méritent un audit de localisation. Où résident-elles réellement ? Sous quelle juridiction ?

Deuxième point : la chaîne de sous-traitance de vos prestataires actuels est souvent plus complexe qu'elle n'y paraît. Un acteur présentant une interface européenne peut s'appuyer sur des briques d'infrastructure ou d'IA américaines. L'article 28 du RGPD et les clauses contractuelles types ne suffisent pas à neutraliser un risque Cloud Act si la chaîne remonte à une entité américaine.

Troisième point : la question de l'IA mérite une attention particulière. Les modèles de langage et les outils d'IA générative que vos équipes utilisent traitent souvent des données métier sans que les équipes IT aient une visibilité complète sur où ces données sont envoyées, par qui elles sont traitées, et si elles sont utilisées pour entraîner des modèles tiers. Aucune réglementation ne vous dispensera de répondre à cette question en cas d'incident.

Le mouvement de l'État, lu comme un signal de marché

Quand un État souverain révise ses choix d'infrastructures numériques, il envoie un signal au marché. Ce signal dit : le risque d'extraterritorialité est désormais considéré comme réel, documenté, et suffisamment grave pour justifier un coût de transition.

Pour les DSI d'ETI européennes, ce signal mérite une lecture non partisane. Ce n'est pas une question idéologique. C'est une question de gestion du risque opérationnel, réglementaire et, dans certains secteurs, concurrentiel.

Acteurs comme Scaleway — filiale du groupe Iliad, infrastructure 100 % européenne — ou des éditeurs d'IA comme Aleph Alpha côté allemand illustrent qu'il existe une offre technique crédible sur le continent. Elle n'est pas toujours aussi mature sur tous les segments. Mais l'écart se réduit, et les arbitrages de l'État français contribuent à accélérer ce mouvement en créant une demande structurée.

La vraie question pour votre organisation n'est pas "faut-il suivre l'État français ?". C'est : "Avons-nous documenté notre exposition réelle, et sommes-nous en mesure de la justifier devant un audit NIS2 ou DORA dans les dix-huit prochains mois ?"

Si la réponse est non, le signal parisien est peut-être le bon moment pour commencer.