Cloud hybride : une décision de conformité RGPD avant d'être un choix technique

Dans une tribune publiée le 15 juillet 2026 sur Silicon.fr, le dirigeant du cloud souverain Numspot rappelle une évidence trop souvent reléguée au second plan des directions IT : arbitrer entre cloud public, cloud privé et hybridation n'est pas qu'un choix technique. Pour les DPO et RSSI, cette décision détermine directement le niveau de maîtrise réel sur les données personnelles, bien avant toute clause contractuelle.

Ce qui s'est passé

Eric Haddad, CEO de Numspot, publie une tribune qui recadre le débat opposant longtemps cloud public et infrastructures privées. Selon lui, l'hybridation cloud ne relève ni d'un compromis provisoire ni d'une simple stratégie multicloud de diversification des fournisseurs. Elle répond à une logique distincte : affecter chaque usage à l'environnement adapté à sa criticité, plutôt que de multiplier les prestataires par précaution contractuelle.

L'argument central de la tribune porte sur l'IA générative. Les infrastructures GPU nécessaires à l'entraînement et à l'inférence de modèles sont coûteuses et évoluent trop vite pour qu'une organisation, hors métier IT, les finance seule sur la durée. Mais l'accès à ces capacités ne peut pas se faire au prix d'une exposition non maîtrisée des données sensibles ou régulées. D'où l'émergence d'architectures hybrides : une partie des usages IA reste chez les hyperscalers américains pour les traitements peu sensibles, une autre bascule vers des environnements de confiance pour les données de santé, bancaires ou soumises à un secret professionnel.

Pourquoi c'est important

Pour les DPO, cette tribune ne se limite pas au point de vue d'un éditeur cloud : elle documente une tension réglementaire bien réelle. Le RGPD n'impose pas de modèle d'hébergement particulier, mais il impose des garanties vérifiables dès lors qu'un prestataire traite des données personnelles pour le compte d'un responsable de traitement (article 28) et des mesures de sécurité adaptées au risque (article 32). La CNIL a récemment rappelé que le fournisseur cloud est en principe sous-traitant, sauf lorsqu'il exploite les données pour ses propres finalités, auquel cas la co-responsabilité s'applique et change entièrement la répartition des obligations.

À ces principes généraux s'ajoutent des référentiels sectoriels qui les transforment en exigences opérationnelles concrètes : l'hébergement de données de santé impose la certification HDS, les environnements les plus sensibles (secteur public, opérateurs d'importance vitale) relèvent de SecNumCloud, et le risque d'extraterritorialité, soit l'accès aux données par une autorité étrangère au titre du Cloud Act américain, reste un point de vigilance central pour tout DPO évaluant un prestataire non européen. Le référentiel C3A publié par le BSI allemand pose une grille très proche outre-Rhin, preuve que cette exigence de traçabilité et de réversibilité gagne du terrain à l'échelle européenne, bien au-delà du seul marché français.

Ce que ça change pour les organisations

Concrètement, les DPO et RSSI qui pilotent une stratégie cloud ou IA ont intérêt à :

• Cartographier les usages par niveau de sensibilité plutôt que de traiter le cloud comme un bloc homogène : un chatbot marketing et un traitement de données de santé n'appellent pas le même environnement d'hébergement.
• Vérifier que la réversibilité annoncée par un prestataire est architecturale et pas seulement contractuelle, en examinant les formats de données, les licences utilisées et la dépendance aux services propriétaires du fournisseur.
• Mettre à jour le questionnaire fournisseur et l'audit de sous-traitants pour documenter la localisation réelle des données, le régime d'accès administratif et l'exposition à une législation extraterritoriale.
• Ne pas confondre multiplication des fournisseurs et maîtrise réelle : un multicloud mal architecturé peut complexifier la conformité au lieu de la renforcer, chaque plateforme ayant ses propres adhérences techniques et contractuelles.

Ces arbitrages rejoignent une tendance de fond côté acteurs français, à l'image des datacenters de proximité portés par les collectivités et hébergeurs locaux pour reprendre la main sur les données les plus sensibles.

Ce que Leto pense de cette décision

Cette tribune a le mérite de sortir le débat cloud hybride du seul registre technique pour le ramener à sa vraie nature : une décision de gouvernance des données. Elle reste néanmoins un point de vue d'éditeur cloud souverain, avec l'angle commercial que cela suppose. Pour les DPO, l'enseignement à retenir n'est pas qu'il faut choisir l'hybridation par principe, mais qu'aucune architecture, publique, privée ou hybride, ne dispense d'un audit sérieux du sous-traitant et d'une documentation rigoureuse au titre des articles 28 et 32 du RGPD. La confiance ne se décrète pas dans une tribune : elle se prouve dans un registre des traitements à jour et des clauses de réversibilité vérifiées avant la signature, pas après un incident.

Sources : Silicon.fr