Paquet souveraineté technologique : Bruxelles dévoile son arsenal anti-dépendance américaine

Après plusieurs reports, la Commission européenne a présenté le 3 juin son « paquet souveraineté technologique », un ensemble inédit de mesures destinées à desserrer l'étau des géants américains du numérique. Pour les DPO et RSSI, ce virage stratégique n'est pas qu'une affaire industrielle : il redessine en profondeur les critères de choix des prestataires cloud et la grille de lecture des transferts de données.

Ce qui s'est passé

Bruxelles a dévoilé un dispositif couvrant quatre fronts : les semi-conducteurs, le cloud et l'intelligence artificielle, les logiciels libres, et l'énergie nécessaire à l'infrastructure numérique. Au cœur du paquet, un « Chips Act 2 » recentré sur les puces dédiées à l'IA — qui devraient représenter plus de 70 % du marché des semi-conducteurs d'ici 2030 selon la commissaire Henna Virkkunen — et surtout un « Cloud and AI Development Act » présenté comme la pièce maîtresse.

L'objectif de ce dernier texte est clair : rééquilibrer un marché aujourd'hui contrôlé à plus de 70 % par Amazon, Microsoft et Google. La Commission veut tripler la capacité européenne en centres de données d'ici 2030 et couvrir l'intégralité des besoins du continent d'ici 2035, pour une facture estimée à 200 milliards d'euros, mobilisée pour l'essentiel dans le secteur privé. Le cœur politique du texte réside dans une échelle de souveraineté à quatre niveaux, applicable à l'ensemble du secteur public, et dans l'introduction de critères non tarifaires dans les marchés publics.

Pourquoi c'est important

Pour un délégué à la protection des données, la souveraineté cloud n'est pas un slogan : c'est une composante directe de la conformité aux articles 28 et 32 du RGPD. Depuis l'arrêt Schrems II, le risque d'accès extraterritorial aux données européennes — via le Cloud Act notamment — pèse sur chaque transfert vers un prestataire soumis au droit américain. Le paquet de la Commission donne enfin un cadre politique à un sujet que les autorités traitaient jusqu'ici par référentiels épars.

Ce cadre européen rejoint d'ailleurs un mouvement déjà bien engagé côté national et sectoriel. L'Allemagne a publié son référentiel C3A du BSI, nouvelle boussole de la souveraineté cloud, qui structure les exigences autour de la localisation des données et de la restriction des accès administratifs à l'UE. En France, le débat sur les datacenters de proximité comme socle de souveraineté illustre la même tension. Et le récent rapport montrant que 23 États européens sur 28 dépendent des géants américains pour leur défense rappelle que le « cloud souverain » affiché ne résiste pas toujours à l'audit de la chaîne d'hébergement réelle.

Ce que ça change pour les organisations

Concrètement, le DPO et le RSSI ont tout intérêt à anticiper l'échelle de souveraineté à quatre niveaux : elle deviendra rapidement un standard de fait pour qualifier un prestataire, bien au-delà du seul secteur public. Trois réflexes s'imposent.

D'abord, intégrer la souveraineté au questionnaire fournisseur : localisation effective des données, gestion des clés de chiffrement, exposition au Cloud Act, et même stabilité capitalistique du sous-traitant — un critère que l'opération de gouvernance par fondation d'Infomaniak a remis sur le devant de la scène. Ensuite, mettre à jour son analyse d'impact des transferts (TIA) pour intégrer le risque géopolitique, et sécuriser les flux hors UE par des clauses contractuelles types correctement calibrées. Enfin, documenter sa stratégie de réversibilité : pouvoir migrer en cas de rupture de service liée à une sanction extraterritoriale.

Ce que Leto pense de cette décision

Le paquet souveraineté est une avancée politique réelle, mais il ne dispense de rien à court terme. Tant que les 200 milliards d'euros restent à mobiliser et les textes à adopter, la conformité ne se décrète pas : elle s'audite, prestataire par prestataire. Notre conviction est que les DPO qui transforment dès aujourd'hui l'échelle de souveraineté à quatre niveaux en grille d'évaluation concrète prendront une longueur d'avance — pendant que les autres attendront un cadre contraignant qui mettra des années à produire ses effets.

Sources : Silicon.fr — Souveraineté technologique : l'Europe joue son va-tout