Si vous avez suivi l'actualité depuis que l'Union européenne a annoncé son intention d'introduire le Cloud and AI Development Act (CADA), vous pourriez être tenté de tirer l'une de ces deux conclusions : soit l'Europe a enfin résolu tous ses défis en matière de souveraineté, soit c'est la catastrophe et les grands fournisseurs cloud mondiaux sont sur le point de disparaître du paysage européen.
La réalité, comme souvent, se situe quelque part entre les deux.
Dans mes échanges avec des clients à travers l'Europe, j'observe ces deux réactions. Certains craignent que le CADA ne génère davantage de complexité sans résoudre leurs véritables problèmes. D'autres redoutent qu'il ne signe la fin des hyperscalers en Europe. Aucune de ces interprétations n'est exacte.
Mon point de vue est simple : le CADA n'est ni la fin du monde, ni la réponse à tout. C'est une avancée importante parce qu'il fournit un cadre pour gérer les risques de souveraineté de manière plus délibérée — mais il n'élimine pas ces risques pour autant. Et cette distinction est capitale.
La souveraineté numérique est avant tout une question de risque métier
Lorsque nous parlons de souveraineté numérique, la discussion devient souvent très technique très rapidement. Mais au fond, la souveraineté est une question métier. J'irais même jusqu'à dire qu'elle est fondamentalement liée à la gestion du risque — ce qui compte d'autant plus à l'ère de l'IA.
Les organisations évaluent déjà toute une série de risques au quotidien — de la cybersécurité aux opérations, en passant par les chaînes d'approvisionnement et même les catastrophes naturelles.
La souveraineté numérique appartient à la même catégorie.
Contrairement aux applications traditionnelles, les systèmes d'IA ne se contentent pas de stocker des données. Ils les utilisent, les transforment, en tirent des enseignements et génèrent des insights et des décisions à partir de celles-ci. Cela fait évoluer la notion de souveraineté au-delà du lieu de stockage des données pour englober l'endroit où l'intelligence est créée, la manière dont elle est gouvernée, et la possibilité de comprendre, d'expliquer et de vérifier les décisions.
La souveraineté numérique se décline en trois dimensions spécifiques :
- Souveraineté des données
- Souveraineté opérationnelle
- Souveraineté technique
Concrètement, ces risques soulèvent des questions telles que :
- Un gouvernement étranger pourrait-il accéder à des données sensibles ?
- Des tensions géopolitiques pourraient-elles perturber l'accès continu à des technologies critiques ?
- La juridiction d'un fournisseur pourrait-elle créer une exposition juridique pour l'entreprise ?
Ce sont des discussions de haut niveau, propres aux conseils d'administration — c'est pourquoi le CADA doit être perçu comme un cadre stratégique plutôt que comme une simple réglementation technique.
Le CADA vise une souveraineté renforcée, pas totale
L'une des plus grandes idées reçues sur le CADA est qu'il interdirait d'une façon ou d'une autre les hyperscalers ou forcerait les organisations à adopter des environnements hautement isolés. Il ne fait ni l'un ni l'autre.
Le CADA devrait établir des attentes plus claires en matière de contrôles de souveraineté, tout en permettant aux organisations de continuer à bénéficier des écosystèmes cloud mondiaux.
Le marché a déjà commencé à évoluer dans cette direction. La souveraineté est en train de devenir un élément central des stratégies cloud des hyperscalers. Ils investissent dans des régions cloud souveraines, des modèles opérationnels locaux, des environnements à accès restreint, un chiffrement géré par le client, des options déconnectées ou en air gap, ainsi que des modèles de livraison pilotés par des partenaires et conçus pour les workloads européens hautement réglementés. La question ne doit donc pas être posée en termes de choix entre hyperscalers et Europe, mais plutôt de comment combiner de manière responsable les capacités cloud mondiales, les exigences réglementaires européennes et les modèles opérationnels souverains.
Pour de nombreuses organisations, le choix ne sera donc pas entre cloud public et infrastructure privée. Il s'agira de sélectionner le bon dosage : des services cloud souverains là où ils répondent aux exigences réglementaires et opérationnelles, combinés à des environnements privés là où le profil de risque l'exige.
L'approche mixte basée sur le risque en pratique
Le secteur bancaire offre un exemple parlant, car il applique cette logique depuis longtemps. Les systèmes bancaires essentiels et les données clients hautement sensibles sont strictement contrôlés, tandis que de nombreuses banques ont migré des workloads périphériques — tels que l'analytique, l'engagement client, les plateformes de développement ou les services numériques à valeur ajoutée — vers le cloud public, où les avantages l'emportent sur les risques.
Le CADA fournit un cadre réglementaire et d'assurance plus clair pour cette approche basée sur le risque et élargit l'éventail des options commercialement viables entre le cloud public standard et l'infrastructure privée sur mesure. Pour les banques, la question devient plus précise : quels workloads peuvent rester sur des services cloud standard, lesquels nécessitent des contrôles de cloud souverain, et lesquels ont besoin d'environnements privés ?
Le résultat est une version plus explicite, basée sur des preuves et prête pour la passation de marchés, de ce que font les organisations réglementées depuis des années.
L'objectif est un contrôle approprié, pas l'isolation absolue
Une autre idée reçue répandue est que l'Europe pourrait atteindre une indépendance technologique totale vis-à-vis des fournisseurs non européens. Aujourd'hui, ce n'est tout simplement pas réaliste. Il n'existe actuellement aucune pile technologique européenne complète et de bout en bout capable de remplacer chaque composant dont dépendent les organisations.
Certaines organisations aspirent à retirer de leurs environnements chaque composant technologique étranger. Bien que compréhensible, cette approche confond souvent la possibilité et la probabilité, et les compromis sont souvent sous-estimés.
Oui, il existe des scénarios hypothétiques dans lesquels des tensions géopolitiques pourraient créer des restrictions technologiques. Mais les organisations doivent prendre des décisions basées sur des évaluations réalistes des risques plutôt que sur des hypothèses les plus défavorables. En définitive, l'objectif est un contrôle approprié, pas l'isolation absolue.
Les critiques courantes du CADA sont-elles fondées ?
Nombre des critiques du CADA s'inscrivent dans des catégories familières. Examinons-en quelques-unes.
« Le CADA est protectionniste et pourrait ralentir l'Europe. »
Je comprends cette préoccupation. Cependant, je ne crois pas que les organisations doivent choisir entre innovation et souveraineté. Les stratégies gagnantes combineront les hyperscalers là où c'est approprié, des environnements souverains là où c'est nécessaire et des architectures hybrides là où elles font sens. Il s'agit de créer des options.
« Le CADA va augmenter les coûts et la complexité. »
La question est : par rapport à quoi ? Comparé à une approche 100 % cloud public, certains contrôles souverains peuvent effectivement introduire des coûts supplémentaires. Mais si une organisation construisait et exploitait sa propre infrastructure privée, certaines solutions souveraines pourraient en réalité représenter une voie plus efficiente. Plus important encore, le CADA encourage les organisations à classer les workloads selon le risque et la criticité. Un workload n'exige pas systématiquement le plus haut niveau de souveraineté. Une entreprise pharmaceutique menant une R&D sensible peut appliquer des contrôles stricts aux données de recherche tout en utilisant des environnements plus flexibles pour les applications métier courantes. Une telle approche ciblée peut éviter des dépenses inutiles.
« L'Europe ne dispose pas d'une capacité domestique suffisante. »
Cette préoccupation est partiellement fondée. L'écosystème européen de cloud souverain et d'IA est encore en train d'évoluer, avec des lacunes de capacité dans certains domaines. Cependant, le progrès ne nécessite pas la perfection. Les organisations peuvent adopter des approches progressives qui utilisent les services cloud existants là où c'est approprié, tout en développant progressivement des capacités souveraines autour de leurs actifs les plus critiques. Depuis 2019, l'UE et le Japon — où est basé NTT Group, dont NTT DATA est une filiale centrale — opèrent sous un accord de reconnaissance mutuelle qui reconnaît leurs cadres respectifs de protection des données comme offrant des garanties équivalentes pour les transferts de données personnelles. En 2023, les deux parties ont achevé le premier examen de cet accord et ont confirmé son efficacité continue. En conséquence, les organisations peuvent transférer des données personnelles entre l'UE et le Japon sans bon nombre des mécanismes de transfert supplémentaires requis pour les autres juridictions non européennes, ouvrant la voie à des partenariats stratégiques simplifiés. Cela compte parce que la souveraineté ne concerne pas uniquement la localité ; elle porte aussi sur les juridictions de confiance, la gouvernance et les partenariats à long terme.
« Les définitions sont trop vagues. »
Cette critique est légitime. De nombreux cadres réglementaires laissent intentionnellement une marge d'interprétation, car la technologie évolue plus vite que la législation. Le défi pour les organisations est de traduire le langage politique en architecture pratique, en modèles de gouvernance et en procédures opérationnelles. C'est là que l'expérience joue un rôle essentiel. La question n'est pas de savoir si une définition est parfaitement précise, mais comment elle s'applique à votre entreprise, vos données et votre profil de risque.
Quels secteurs ressentiront l'impact en premier ?
Bien que le CADA finisse par influencer presque tous les secteurs, certains en ressentiront les effets plus tôt que d'autres. L'énergie et les services aux collectivités se distinguent immédiatement, car ils exploitent des infrastructures nationales critiques tout en faisant face à d'importantes pressions de modernisation. Les secteurs bancaire, de la recherche pharmaceutique, de la défense et du secteur public feront également l'objet d'un examen accru.
Pourquoi c'est une opportunité précieuse pour l'Europe
Le CADA devrait pousser les organisations non pas vers la panique ou la paralysie, mais vers de meilleures décisions. La réponse n'est pas d'essayer de tout rendre souverain d'un coup. Vous devez d'abord comprendre votre exposition aux risques, classer vos workloads, choisir le bon modèle de contrôle et élaborer une feuille de route pratique incluant cloud public, cloud privé, cloud souverain et infrastructure IA.
Chez NTT DATA, nous vous aidons à trouver cet équilibre entre autonomie et ouverture, entre protection et innovation, et entre contrôle local et opportunité mondiale. Notre approche associe évaluation de la souveraineté, classification des workloads, architecture progressive et exécution gérée — vous aidant à utiliser le cloud existant là où c'est approprié tout en développant des capacités privées ou souveraines là où c'est essentiel.
Apprenez-en plus sur les services Private and Sovereign AI de NTT DATA et contactez-nous pour découvrir comment nous pouvons vous aider à orchestrer le contrôle de l'IA à grande échelle, pour l'autonomie, la résilience et l'avantage concurrentiel.