Quand Google installe ses data centers en France : le journal de bord d'une ETI qui a failli y croire

# Quand Google installe ses data centers en France : le journal de bord d'une ETI qui a failli y croire

En 2026, les annonces d'investissement massif de Google sur le sol français résonnent comme une bonne nouvelle dans les salles de conseil d'administration. De l'emploi, de l'infrastructure, de la proximité. Mais derrière le ruban inauguré en grande pompe, une ETI industrielle de 800 salariés a failli commettre une erreur stratégique majeure. Retour sur un arbitrage qui mérite d'être partagé.

L'effet d'annonce qui fait chanceler les convictions

Au printemps 2025, cette ETI — fabricant de composants pour l'industrie agroalimentaire, implantée dans l'Est de la France, cliente de longue date d'un hébergeur européen — reçoit une proposition commerciale de Google Cloud. Le timing est soigné : quelques semaines après l'annonce officielle de l'extension des data centers Google en région parisienne, accompagnée d'un discours politique sur la « souveraineté numérique made in France ».

Le DSI de l'entreprise me raconte la scène lors d'un échange que je ne suis pas près d'oublier : *« Le commercial Google est arrivé avec des slides sur la conformité RGPD, un engagement de localisation des données en France, et une tarification agressive. Pour la première fois depuis des années, j'ai senti que mes propres convictions sur la souveraineté étaient fragilisées. »*

C'est précisément ce moment de doute qui m'a donné envie d'écrire cet article. Parce qu'il est honnête. Et parce qu'il révèle la sophistication nouvelle de la stratégie américaine en Europe.

Ce que « données hébergées en France » ne signifie pas

Première clarification que l'ETI a dû faire — avec l'aide de son cabinet juridique — : la localisation physique des données ne suffit pas à les protéger du droit américain.

Le Cloud Act, adopté en 2018 et toujours en vigueur, autorise les autorités américaines à exiger l'accès aux données stockées par des entreprises de droit américain, où qu'elles se trouvent dans le monde. Google LLC est une entreprise américaine. Ses filiales françaises, ses data centers tricolores, ne changent pas cette réalité juridique fondamentale. Une injonction des autorités fédérales américaines, dans le cadre d'une procédure pénale ou d'un contentieux commercial impliquant des intérêts américains, peut contraindre Google à transmettre des données hébergées à Aubervilliers.

Je pense que c'est le point que les équipes commerciales des acteurs américains minimisent systématiquement — non par malhonnêteté nécessairement, mais parce que leur intérêt commercial les pousse à le faire. Et c'est la raison pour laquelle il faut que les DSI et RSSI d'ETI l'aient gravé dans leur logique de décision, avant même d'ouvrir un appel d'offres.

Dans le cas de cette ETI, le cabinet juridique a posé une question simple : *« Vos données industrielles contiennent-elles des informations sur vos clients, vos formules de fabrication, vos sous-traitants ? »* Réponse : oui, évidemment. *« Seriez-vous à l'aise si ces données pouvaient, dans certaines circonstances, être consultées par une autorité étrangère sans votre accord ni celui d'un juge français ? »* La réponse a mis fin au débat interne.

NIS2 et DORA : le nouveau terrain de jeu réglementaire

Ce qui complique encore l'équation en 2026, c'est l'entrée en application effective de NIS2 et, pour les entités financières, de DORA. Ces deux cadres réglementaires européens imposent des exigences de résilience, de traçabilité et de gestion des risques fournisseurs qui ne sont pas neutres vis-à-vis du choix d'un prestataire cloud.

L'ETI en question n'est pas une entité financière, mais elle travaille avec plusieurs grands donneurs d'ordre du secteur agroalimentaire qui, eux, sont soumis à des obligations renforcées de cartographie de leur chaîne de sous-traitance numérique. Adopter Google Cloud, c'est faire entrer un acteur américain extraterritorialement exposé dans la chaîne de conformité de ses clients. Ce point est apparu lors d'un audit fournisseur conduit par l'un de ses principaux clients en début d'année.

Le RSSI de l'ETI l'exprime sans détour : *« J'aurais migré vers Google Cloud, et six mois plus tard, un de mes clients m'aurait demandé de justifier ce choix dans le cadre de son propre audit NIS2. Je n'aurais pas eu de bonne réponse. »*

Il faut être lucide : NIS2 et DORA ne sont pas des obstacles bureaucratiques. Ce sont des leviers que les directions des systèmes d'information européennes peuvent — et doivent — utiliser pour objectiver leurs choix d'hébergement. Ils donnent enfin une légitimité formelle à ce qui relevait jusqu'ici souvent du seul jugement politique interne.

Ce que l'investissement américain révèle vraiment

Je veux être direct sur ce que signifie, selon moi, la vague d'investissements des acteurs américains en Europe en 2025-2026.

Ce n'est pas de la philanthropie industrielle. Ce n'est pas non plus une conversion à la souveraineté européenne. C'est une réponse stratégique à deux menaces concrètes : la montée en puissance du cadre réglementaire européen, d'une part, et l'émergence d'alternatives crédibles portées par des acteurs européens, d'autre part.

En construisant des data centers sur le sol européen, en adoptant le vocabulaire de la souveraineté, en nouant des partenariats avec des intégrateurs locaux, l'acteur américain cherche à neutraliser l'argument réglementaire et à occuper le terrain avant que les alternatives européennes ne deviennent le choix par défaut. C'est une manœuvre de verrouillage de marché, pas une conversion.

Cela ne signifie pas que ces services sont techniquement mauvais. Cela signifie que les décisions d'infrastructure ne peuvent pas être prises sur la seule base de la performance technique ou du prix. La dimension géopolitique et juridique est désormais inséparable de tout arbitrage cloud sérieux.

Le choix final — et ce qu'il enseigne

L'ETI a finalement confirmé son contrat avec son hébergeur européen actuel, en renégociant les conditions pour intégrer de nouvelles briques de cybersécurité. Elle a aussi engagé un chantier de cartographie de ses données critiques, distinguant ce qui peut raisonnablement être externalisé de ce qui doit rester sous contrôle total.

Ce n'est pas un choix idéologique. C'est un choix de gestion des risques, documenté, auditable, et cohérent avec les obligations réglementaires de ses clients.

Le DSI conclut ainsi notre échange : *« La vraie question n'était pas 'Google est-il meilleur ?' mais 'Quel niveau de risque juridique et de dépendance suis-je prêt à accepter pour mon entreprise et mes clients ?' Une fois la question posée dans ces termes, la réponse était évidente. »*

Ce qu'il faut retenir

L'annonce d'investissements massifs d'un acteur américain en France est toujours, d'abord, une manœuvre commerciale et politique. Elle ne modifie pas la réalité juridique du Cloud Act. Elle ne supprime pas le risque d'extraterritorialité. Elle ne rend pas ces services conformes aux exigences les plus strictes de souveraineté que NIS2 commence à formaliser.

Pour les DSI et RSSI d'ETI européennes, il faut désormais systématiser une grille de lecture en trois temps face à ce type d'annonce : qui contrôle juridiquement l'entité ?, quel est mon niveau de dépendance opérationnelle si le contexte géopolitique évolue ?, ma chaîne de sous-traitance numérique est-elle auditable par mes propres clients ?

Si une seule de ces réponses est inconfortable, le travail n'est pas fini.

L'Europe dispose aujourd'hui d'acteurs capables de répondre à ces questions de manière structurellement différente. Ce n'est pas un argument suffisant à lui seul — la performance et le service comptent aussi. Mais c'est un avantage concurrentiel que les acteurs européens ont intérêt à mieux faire valoir, et que les acheteurs européens ont intérêt à mieux évaluer.

La souveraineté numérique ne se décrète pas dans un discours inaugural. Elle se construit contrat par contrat, choix d'infrastructure par choix d'infrastructure. C'est plus lent. C'est moins spectaculaire. Mais c'est réel.