Cover du podcast Tendances INNO — Le cloud : la révolution silencieuse
Tendances INNO · Docaposte

Le cloud : la révolution silencieuse

Cloud souverain, GAIA-X, sécurité des données, souveraineté numérique européenne — avec Alban Schmutz (Co-fondateur GAIA-X) & Xavier Vaccari.

☁️ Cloud computing 🛡️ Cloud souverain 🇪🇺 GAIA-X 🔒 Sécurité des données 🌐 Souveraineté numérique ⏱ 38 min
Ecouter le podcast
38 min
Durée de l'épisode
26 fév 2024
Date de publication
4
Intervenants experts
GAIA-X
Initiative clé décryptée

À propos de cet épisode

Le cloud computing a profondément transformé la manière dont les entreprises, les administrations et les citoyens stockent, traitent et échangent leurs données. Derrière cette révolution dite « silencieuse », se cachent des enjeux considérables : qui contrôle les infrastructures ? Où sont hébergées les données ? Quel droit leur est applicable ?

Dans cet épisode de Tendances INNO, le podcast Innovation de Docaposte, Alban Schmutz — architecte de la vision cloud chez OVH pendant une décennie et co-fondateur de l'initiative européenne GAIA-X — et Xavier Vaccari, pionnier du cloud souverain, apportent des réponses concrètes à ces questions. Animés par Marine Adatto (Wagmi Trends) et Olivier Senot (Directeur de l'innovation, Docaposte), ils explorent les défis techniques, réglementaires et géopolitiques du cloud moderne.

La souveraineté numérique n'est pas un concept abstrait : elle détermine si une entreprise française peut garantir que ses données sensibles ne sont pas accessibles à des gouvernements étrangers en vertu de lois extraterritoriales comme le Cloud Act américain. Comprendre le cloud, ses architectures et ses garde-fous réglementaires est devenu une compétence stratégique incontournable.

Questions clés sur le cloud souverain

Qu'est-ce que la souveraineté numérique et pourquoi est-elle importante pour l'Europe ?
La souveraineté numérique désigne la capacité d'un État ou d'un ensemble d'États à contrôler leurs données, leurs infrastructures et leurs technologies sans dépendance subie envers des puissances étrangères. Pour l'Europe, l'enjeu est stratégique : une grande part des services cloud utilisés par les entreprises et les administrations est hébergée chez des acteurs américains soumis au Cloud Act, qui autorise les autorités américaines à accéder à des données stockées à l'étranger. Reprendre la maîtrise de ses données est donc une nécessité économique, politique et démocratique.
Qu'est-ce que GAIA-X et quel est son rôle dans le cloud européen ?
GAIA-X est une initiative lancée en 2019 par la France et l'Allemagne pour construire un écosystème de données fédéré, transparent et conforme aux valeurs européennes. Elle définit des standards communs d'interopérabilité, de portabilité des données et de sécurité, permettant aux organisations de choisir des fournisseurs cloud de confiance. GAIA-X n'est pas un cloud centralisé, mais un cadre de labellisation et de gouvernance visant à garantir que les services respectent le RGPD et les règles européennes. Alban Schmutz, co-fondateur de GAIA-X, en détaille les ambitions dans le podcast Tendances INNO de Docaposte.
Quels sont les principaux risques de sécurité dans le cloud ?
Les risques liés au cloud sont multiples : violations de données par accès non autorisé, erreurs de configuration exposant des données à des tiers, attaques par rançongiciel ciblant les environnements cloud, et risques juridiques liés à l'extraterritorialité du droit américain. À ces menaces techniques s'ajoute le risque de dépendance fournisseur (vendor lock-in), qui limite la capacité d'une organisation à changer de prestataire et à récupérer ses données dans un format utilisable. Une stratégie de sécurité cloud efficace doit adresser simultanément ces dimensions techniques, contractuelles et réglementaires.
Qu'est-ce que le Cloud Act américain et quelles sont ses implications pour les entreprises européennes ?
Le Clarifying Lawful Overseas Use of Data Act (Cloud Act), adopté par les États-Unis en 2018, permet aux autorités américaines d'obtenir l'accès aux données stockées par des entreprises américaines, même si ces données sont hébergées physiquement en dehors des États-Unis. Pour les entreprises et administrations européennes qui utilisent des services de Microsoft Azure, AWS ou Google Cloud, cela signifie que leurs données peuvent potentiellement être soumises à une injonction américaine, indépendamment du RGPD. Ce texte est l'une des principales raisons qui poussent les organisations sensibles à opter pour des solutions de cloud souverain européen.
Quelle est la différence entre cloud public, cloud privé et cloud souverain ?
Le cloud public est une infrastructure partagée exploitée par un fournisseur tiers (AWS, Azure, Google Cloud) et accessible via Internet. Le cloud privé est une infrastructure dédiée à une seule organisation, qu'elle gère en interne ou confie à un prestataire. Le cloud souverain est un concept plus récent qui garantit qu'une infrastructure cloud est soumise exclusivement au droit du pays ou de la zone géographique dans laquelle elle opère — typiquement, le droit européen — et que les données ne peuvent pas être accédées par des autorités étrangères. En France, des offres qualifiées SecNumCloud par l'ANSSI visent à répondre à cet impératif.
Qu'est-ce que SecNumCloud et pourquoi est-ce important pour les administrations françaises ?
SecNumCloud est un référentiel de qualification élaboré par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) en France. Il définit les exigences techniques et organisationnelles que doit respecter un fournisseur de cloud pour être considéré comme de confiance par les autorités françaises. La version 3.2 de ce référentiel introduit notamment des exigences d'immunité au droit extraterritorial, ce qui exclut de fait les filiales d'entreprises américaines. Pour les Opérateurs d'Importance Vitale (OIV) et les données sensibles de l'État, le recours à un cloud qualifié SecNumCloud est fortement recommandé voire obligatoire dans certains contextes.
Comment le cloud transforme-t-il concrètement la compétitivité des entreprises ?
Le cloud permet aux entreprises d'accéder à des ressources informatiques (calcul, stockage, intelligence artificielle) à la demande, sans avoir à investir dans des infrastructures physiques coûteuses. Cela réduit les barrières à l'entrée pour les startups et permet aux grandes organisations de passer à l'échelle rapidement. La capacité à déployer des services dans le monde entier en quelques minutes, à tester de nouveaux modèles économiques sans risque d'investissement lourd, et à intégrer des briques d'IA avancée explique pourquoi le cloud est aujourd'hui au cœur de la transformation numérique dans tous les secteurs.
Qu'est-ce que l'interopérabilité du cloud et pourquoi éviter le vendor lock-in ?
L'interopérabilité désigne la capacité de faire fonctionner ensemble des systèmes informatiques de fournisseurs différents et de migrer facilement des données et des applications d'un cloud à un autre. Le vendor lock-in est la situation inverse : une organisation devient si dépendante des services propriétaires d'un fournisseur (formats de fichiers, API spécifiques, services packagés) qu'elle ne peut plus en changer sans un coût prohibitif. L'un des objectifs centraux de GAIA-X est précisément de définir des standards ouverts permettant d'éviter cette dépendance et de préserver la liberté de choix des organisations européennes.

Questions fréquentes

Le RGPD (Règlement Général sur la Protection des Données) impose des obligations strictes aux entreprises traitant des données de citoyens européens, notamment en matière de consentement, de minimisation des données et de notification en cas de violation. Cependant, le RGPD seul ne suffit pas à garantir la protection contre des injonctions judiciaires étrangères : si le fournisseur cloud est une entité soumise au droit américain, le Cloud Act peut prendre le dessus sur le RGPD dans certains scénarios. C'est pourquoi des garanties complémentaires — comme le recours à des acteurs qualifiés SecNumCloud ou à des architectures de chiffrement dont la clé n'est détenue que par le client — sont recommandées pour les données les plus sensibles.
OVHcloud est l'un des plus grands fournisseurs de cloud en Europe et une entité de droit français, ce qui la place en dehors du périmètre du Cloud Act américain. La société propose des offres certifiées HDS (Hébergement de Données de Santé) et travaille à l'obtention de qualifications SecNumCloud pour certaines de ses offres. Alban Schmutz, qui a passé une décennie à des postes de direction chez OVH avant de co-fonder GAIA-X, incarne ce positionnement stratégique : construire une alternative européenne crédible aux hyperscalers américains tout en participant à la définition des standards du cloud de confiance.
Le « cloud de confiance » est un concept apparu en France pour désigner des services cloud proposés par des acteurs étrangers (notamment Microsoft ou Google) mais opérés par une entité française indépendante, avec une séparation des droits d'accès. C'est le modèle retenu par l'offre Bleu (Microsoft/Orange/Capgemini) et S3NS (Google/Thales). Le cloud souverain, au sens strict, implique une entité juridiquement indépendante de toute puissance étrangère, sans aucune dépendance technologique ou capitalistique exposant aux lois extraterritoriales. Le débat entre ces deux approches reste vif dans les cercles politiques et industriels européens.
Le choix d'un fournisseur cloud doit s'appuyer sur plusieurs critères : la sensibilité des données traitées, le cadre réglementaire applicable (santé, finance, défense), la localisation juridique du fournisseur et de ses actionnaires, les certifications obtenues (ISO 27001, HDS, SecNumCloud), et la politique de gestion des clés de chiffrement. Pour les données les plus sensibles, il est recommandé de privilégier des fournisseurs qualifiés SecNumCloud ou conformes au référentiel GAIA-X. Pour les données courantes, un audit des conditions contractuelles et une stratégie de chiffrement côté client peuvent suffire à réduire les risques.
Le cloud est devenu un prérequis pratique pour la grande majorité des projets de transformation numérique : il permet l'accès rapide à des capacités de calcul massives, à des services d'intelligence artificielle, et à une collaboration à distance sans infrastructure lourde. Il n'est pas strictement obligatoire sur le plan légal, mais les entreprises qui refusent d'y recourir s'exposent à des désavantages concurrentiels significatifs en termes de vitesse d'innovation et de coûts d'exploitation. La vraie question n'est plus « faut-il aller dans le cloud ? » mais « quel type de cloud, pour quelles données, avec quelles garanties ? »

Les intervenants