Quand Meta bâtit son cloud souverain, les ETI européennes ne peuvent plus se permettre d'attendre

# Quand Meta bâtit son cloud souverain, les ETI européennes ne peuvent plus se permettre d'attendre

Il y a quelques mois, une information est passée presque inaperçue dans les revues de presse des DSI européens. Meta — le groupe derrière Facebook, Instagram et WhatsApp — a annoncé l'accélération de sa stratégie d'internalisation totale de son infrastructure cloud. Centres de données propriétaires, puces maison, réseaux privés : l'acteur américain a décidé de ne plus dépendre de personne pour faire tourner ses services. Pas même d'AWS. Pas même d'Azure.

On a beaucoup commenté l'aspect technologique de cette décision. Peu ont posé la vraie question : qu'est-ce que cela dit aux DSI et CTO d'ETI européennes qui, elles, continuent de confier leurs données, leurs processus critiques et leur continuité d'activité à ces mêmes acteurs américains ?

Je vais vous le dire : cela dit que le modèle de la dépendance externalisée est structurellement fragile. Et que les plus grandes entreprises américaines le savent mieux que quiconque.

Le terrain : une ETI industrielle qui a failli perdre le contrôle

Je pense à une situation que j'ai eu l'occasion de suivre de près cette année. Une ETI industrielle d'environ 800 salariés, implantée dans plusieurs pays européens, fabricant de composants pour le secteur de l'énergie. Appelons-la Ferralux — ce n'est pas son nom. Son DSI, que je rencontrais régulièrement dans le cadre d'un club de pairs, m'a raconté un épisode fondateur.

En 2024, Ferralux avait migré la quasi-totalité de son environnement de travail collaboratif et sa gestion documentaire vers une suite américaine dominante. Décision prise vite, sous pression de la direction générale, pour « aller dans le sens du marché ». Le projet était piloté par un intégrateur recommandé par l'éditeur lui-même. En dix-huit mois, le SI de Ferralux était entièrement dépendant d'un fournisseur unique, d'une juridiction unique, et d'une roadmap produit sur laquelle elle n'avait aucune prise.

Le réveil a eu lieu lors d'une mise à jour non concertée de la politique de traitement des données de l'éditeur. Une clause, modifiée discrètement dans les conditions générales, élargissait les droits d'utilisation des métadonnées. Le DPO de Ferralux l'a détectée par hasard, en préparant un audit RGPD. Résultat : trois semaines de crise interne, un avis juridique externe coûteux, et une renégociation contractuelle épuisante — sans réelle capacité de pression, puisque l'entreprise n'avait aucune alternative opérationnelle immédiate.

Le DSI de Ferralux m'a dit une phrase que je n'ai pas oubliée : *« On s'était mis dans la situation d'un locataire qui a jeté ses clés. »*

Ce que Meta a compris, et que Ferralux a appris à ses dépens

Quand un acteur de la taille de Meta choisit de construire son propre cloud, il ne le fait pas pour des raisons sentimentales. Il le fait parce qu'il a compris que la dépendance externe est un risque opérationnel, un risque de coût, et un risque stratégique à long terme. Maîtriser son infrastructure, c'est maîtriser sa trajectoire.

Les ETI européennes n'ont évidemment pas les moyens de Meta. Mais le raisonnement est identique, à une échelle différente. La question n'est pas : *« Peut-on tout internaliser ? »* La question est : *« Sur quelles briques critiques devons-nous absolument reprendre la main — et avec quelles compétences internes pour le faire ? »*

C'est exactement là que Ferralux a opéré sa transformation. Pas en rejetant tout outil cloud, mais en décidant quelles données et quels processus ne pouvaient plus être confiés à un tiers hors de sa gouvernance.

L'impact organisationnel : ce qui a vraiment changé en interne

La décision de reprendre la main n'est pas d'abord technologique. Elle est organisationnelle. C'est le premier enseignement de ce retour terrain, et il est souvent sous-estimé.

Premier chantier : reconstituer une compétence interne d'architecte souverain. Ferralux avait, au fil des années d'externalisation, laissé partir ses profils les plus techniques vers des ESN ou des éditeurs. Il a fallu recruter — difficilement, car le marché est tendu — un profil d'architecte infrastructure capable de concevoir des choix techniques sans être prescrit par un intégrateur partenaire d'un éditeur américain. Ce profil n'est pas un simple administrateur système. C'est quelqu'un capable de lire une roadmap produit, d'évaluer une dépendance fournisseur, et de traduire un risque technique en risque métier. Rare. Et critique.

Deuxième chantier : redonner au RSSI un rôle de gouvernance, pas seulement de conformité. Chez Ferralux, le RSSI était historiquement positionné en bout de chaîne — il validait ce que les autres avaient décidé. Après l'épisode de la clause contractuelle, la direction a revu ce positionnement. Le RSSI siège désormais dans les comités de choix fournisseurs dès l'amont. Ce n'est pas une révolution de façade : cela a conduit à rejeter deux offres de prestataires qui ne pouvaient pas garantir la localisation des données en Europe.

Troisième chantier : former les managers opérationnels à la lecture du risque numérique. C'est probablement le chantier le plus long et le plus ingrat. Les responsables de production, les chefs de projet, les responsables RH — tous ces profils qui interagissent quotidiennement avec des outils numériques — n'avaient aucune culture de la dépendance fournisseur. Ferralux a mis en place des sessions courtes, non techniques, pour leur apprendre à poser les bonnes questions : *Où sont mes données ? Qui y a accès ? Que se passe-t-il si cet outil disparaît demain ?* Ce n'est pas de la sensibilisation RGPD au sens formel. C'est de la culture de souveraineté opérationnelle.

Ce que cela implique pour la gouvernance IT

Ferralux a également revu sa cartographie applicative avec un nouveau critère : le niveau de criticité souveraine de chaque brique. Trois niveaux ont été définis en interne — sans label officiel, juste une logique de priorisation. Les outils portant des données contractuelles, des données de R&D ou des données RH sensibles ont été classés prioritaires pour une migration ou une sécurisation renforcée. Les outils périphériques, moins critiques, ont pu rester en l'état provisoirement.

Cette cartographie a une vertu inattendue : elle a permis de dire non à certains projets de digitalisation proposés par des directions métier enthousiastes mais peu regardantes sur les conditions d'hébergement. Le DSI dispose désormais d'un outil de gouvernance, pas seulement d'un argument technique.

Il faut être honnête : ce travail a pris du temps. Il a créé des frictions. Des directions métier ont râlé. Certains outils confortables ont dû être remis en question. Mais Ferralux dispose aujourd'hui d'une cartographie claire, d'une équipe interne capable de piloter ses choix d'infrastructure, et d'une position contractuelle beaucoup plus solide vis-à-vis de ses fournisseurs.

Ce que j'en retiens, pour toutes les ETI européennes

Meta construit son cloud souverain parce qu'elle en a les moyens et parce qu'elle a compris que la dépendance est une vulnérabilité. Les ETI européennes n'ont pas les mêmes moyens. Mais elles ont le même intérêt.

Il faut arrêter de lire les annonces des acteurs américains comme de simples nouvelles technologiques. Chaque mouvement stratégique d'un GAFAM est un signal sur l'état des rapports de force. Quand Meta décide de ne plus dépendre d'AWS, elle nous dit que l'autonomie infrastructure est un avantage concurrentiel. Tirons-en les conséquences pour nos propres organisations.

Les compétences à retenir en interne ne sont pas nécessairement les plus glamour. Ce sont des architectes capables de penser en termes de risque de dépendance. Des RSSI avec un rôle de gouvernance réel. Des managers formés à interroger leurs outils. Ce sont ces profils qui feront la différence dans les cinq prochaines années — pas les early adopters du dernier outil IA américain à la mode.

Ferralux n'est pas une success story parfaite. C'est une entreprise qui a failli perdre le contrôle, qui en a tiré les leçons, et qui construit depuis une architecture de décision plus solide. C'est exactement le chemin que les ETI européennes doivent tracer — avant que la prochaine clause contractuelle surprise ne les force à le faire dans la douleur.