Cloud Souverain UE : le CADA Vise AWS, Azure, GCP [2026]

Bruxelles vient d’ouvrir le chapitre le plus disputé de la politique numérique européenne depuis le RGPD. Le 27 mai 2026, la Commission européenne a présenté le Tech Sovereignty Package, dont la pièce centrale est le Cloud and AI Development Act (CADA). L’objectif affiché : réduire la dépendance stratégique des administrations, hôpitaux, banques et opérateurs d’infrastructures critiques envers AWS, Microsoft Azure et Google Cloud, qui captent ensemble environ 67 % des dépenses cloud en France selon l’Observatoire du Numérique. En parallèle, AWS a mis en production son European Sovereign Cloud à Brandebourg dès janvier 2026, avec un investissement annoncé de 7,8 milliards d’euros. Le calendrier s’est encore accéléré le 12 août 2026, quand AWS et Google Cloud ont dévoilé un framework d’interopérabilité multicloud open source qui supprime les frais de sortie de données entre les deux plateformes. Trois hyperscalers américains, une loi européenne en préparation, et un marché du cloud qui pèse déjà plusieurs dizaines de milliards d’euros par an sur le continent : voici ce que le CADA change concrètement, pour qui, et à quel prix.

Le Cloud and AI Development Act, en clair

Le CADA n’est pas un texte isolé. Il s’inscrit dans le Tech Sovereignty Package présenté le 27 mai 2026 et s’appuie sur l’article 114 du traité sur le fonctionnement de l’Union européenne, celui qui permet d’harmoniser le marché intérieur par du droit directement applicable dans les 27 États membres, sans transposition nationale. C’est un choix politique fort : jusqu’ici, l’UE avait privilégié des cadres volontaires comme Gaia-X, fondés sur l’adhésion des fournisseurs plutôt que sur la contrainte légale. Le CADA change de méthode.

Le texte instaure un Union cloud computing sovereignty framework, une grille à plusieurs niveaux d’assurance de souveraineté que devront satisfaire les fournisseurs cloud selon la sensibilité des données traitées. Les données publiques les plus sensibles, celles des finances publiques, de la justice et de la santé, seraient soumises aux exigences les plus strictes. La mécanique rappelle celle du label Gaia-X, opérationnel depuis le sommet de l’organisation en 2025, mais avec une différence de taille : ce n’est plus un standard optionnel porté par un consortium industriel, c’est une obligation réglementaire.

Selon le portail Stratégie numérique de la Commission européenne, le texte fixe aussi un objectif industriel chiffré : tripler la capacité des centres de données en Europe en cinq à sept ans. C’est une ambition considérable, qui suppose des investissements publics et privés massifs dans un secteur où la France, l’Allemagne et les Pays-Bas concentrent déjà l’essentiel des capacités existantes. Le CADA doit encore franchir les étapes classiques du processus législatif européen, le Parlement et le Conseil devant encore négocier le texte final, mais son adoption d’ici la fin de l’année ou au premier trimestre 2027 est jugée probable par plusieurs observateurs du secteur.

AWS European Sovereign Cloud : le pari d’un hyperscaler américain qui devient européen sur le papier

Amazon n’a pas attendu le vote du CADA pour agir. Le 15 janvier 2026, l’AWS European Sovereign Cloud est entré en production à Brandebourg, en Allemagne, avec environ 90 services disponibles dès le lancement et un investissement communiqué de 7,8 milliards d’euros. Le principe : une infrastructure juridiquement et opérationnellement isolée du reste du réseau mondial AWS, avec un personnel et une gouvernance basés en Europe, pensée pour répondre aux exigences des clients qui ne peuvent pas se permettre qu’une donnée sensible transite, même en théorie, par une entité soumise au droit américain.

Le mouvement s’est accéléré cet été. Début juillet 2026, deux éditeurs de cybersécurité, Check Point et Rubrik, ont annoncé le déploiement de leurs plateformes directement sur cette infrastructure. Check Point y a lancé son Cloud Firewall le 1er juillet, Rubrik a suivi le 8 juillet avec sa Security Cloud, comme le rapporte le bulletin hebdomadaire de Cirran. Les deux éditeurs mettent en avant la conformité aux référentiels qui comptent pour les clients européens régulés : le C5 de l’office fédéral allemand de la sécurité informatique (BSI), le règlement DORA sur la résilience opérationnelle numérique du secteur financier, et la directive NIS2 sur la cybersécurité des infrastructures critiques.

AWS continue par ailleurs d’étendre son empreinte européenne classique en parallèle de son offre souveraine. Une septième zone de disponibilité a ouvert à Marseille en mars 2026, portant à 24 le nombre de sites AWS sur le territoire français. Une Local Zone a également ouvert à Athènes fin juillet 2026, avec du calcul, du stockage et des services réseau locaux. Le paradoxe est là : plus AWS investit en Europe, plus le volume de charges critiques hébergées chez un fournisseur américain grandit, ce qui est précisément ce que le CADA cherche à limiter.

Le tournant du 12 août : AWS et Google Cloud enterrent (en partie) la guerre du lock-in

C’est l’annonce la plus récente, et sans doute la plus surprenante pour un secteur habitué aux guerres de plateformes. Le 12 août 2026, AWS et Google Cloud ont dévoilé un framework d’interopérabilité multicloud open source. Concrètement, il permet à des clusters Kubernetes et à des applications conteneurisées hébergées sur les deux plateformes de communiquer nativement, sans frais de sortie de données et sans passer par un routage tiers payant. Azure a annoncé qu’il rejoindrait l’initiative d’ici la fin de l’année 2026, selon les détails publiés dans le bulletin Cirran du 12 août.

Pour un directeur des systèmes d’information européen, la portée pratique est immédiate. Les frais de sortie de données (egress fees), longtemps critiqués comme le principal verrou empêchant de changer de fournisseur cloud ou de répartir les charges entre plusieurs plateformes, tombent au moins partiellement entre AWS et Google Cloud. Ce geste se lit de deux façons. D’un côté, c’est une réponse défensive des hyperscalers face à la pression réglementaire croissante de l’UE sur le lock-in, thématique déjà présente dans le Data Act européen, pleinement applicable depuis septembre 2025, qui impose la portabilité des données cloud. De l’autre, c’est une tentative de démontrer que l’interopérabilité technique peut se construire sans intervention législative contraignante, ce qui pourrait peser dans les négociations finales du CADA.

Gaia-X et le pari du label européen

Gaia-X occupe une position particulière dans ce paysage. Ce n’est pas un fournisseur cloud, mais un cadre de règles et un système de labellisation porté par un consortium industriel franco-allemand créé en 2019, avec l’ambition de définir ce qu’est un service cloud digne de confiance en Europe. L’organisation a salué publiquement le CADA, estimant que son schéma de label, opérationnel depuis 2025 avec trois niveaux d’assurance de souveraineté, constitue une base pratique pour la mise en œuvre du futur cadre légal plutôt qu’un concurrent.

L’architecture technique associée, le Gaia-X Digital Clearing House (GXDCH), certifie désormais des services cloud selon des critères précis de souveraineté des données, de transparence et d’interopérabilité. Le problème historique de Gaia-X reste cependant réel : après plusieurs années d’existence, l’initiative peine encore à convertir ses labels en parts de marché significatives face aux hyperscalers américains. Le CADA, en rendant obligatoire ce que Gaia-X proposait sur une base volontaire, pourrait changer la donne, ou au contraire révéler que le problème n’a jamais été l’absence de norme, mais l’absence d’alternative industrielle crédible à l’échelle.

EURO-3C : le pari d’un cloud telco-edge indépendant

Moins médiatisé que le CADA ou l’AWS European Sovereign Cloud, le projet EURO-3C illustre une autre facette de la stratégie européenne. Soutenu par l’UE avec un budget de 75 millions d’euros, il rassemble 87 acteurs européens autour d’un objectif : construire un cloud telco-edge indépendant, pensé pour les usages en périphérie de réseau (edge computing) plutôt que pour les charges de travail centralisées classiques. L’ambition est de rendre ce cloud potentiellement interopérable avec Gaia-X, plutôt que de créer un énième silo technologique.

Ce type d’initiative pose une question structurante pour la suite. L’Europe peut-elle construire une alternative crédible aux hyperscalers américains sur les segments où elle part quasiment de zéro, l’edge et le telco-cloud, plutôt que d’essayer de rattraper AWS, Azure et Google Cloud sur le cloud public généraliste où l’écart d’échelle est déjà considérable ?

Le marché du cloud en France et en Europe, chiffres à l’appui

Les chiffres de marché expliquent l’urgence politique. En France, AWS reste le leader incontesté avec environ 32 % de part de marché, suivi de Microsoft Azure à 24 % et Google Cloud à 11 %, selon les données citées par l’Observatoire du Numérique. Ensemble, ces trois acteurs américains captent environ 67 % des dépenses cloud en France. À l’échelle européenne, plusieurs analyses évoquent un chiffre encore plus élevé, autour de 70 à 72 % des revenus cloud cumulés pour les trois hyperscalers américains, une concentration régulièrement citée par la Commission européenne pour justifier l’accélération des initiatives de souveraineté.

Le trafic européen d’AWS a lui aussi bondi : la part du trafic continental attribuée à AWS est passée de 1,64 % à 2,45 %, une progression de près de 50 % sur la période récente selon les mesures disponibles. C’est un signal que l’expansion physique d’AWS en Europe (Marseille, Athènes, Brandebourg) se traduit directement par une hausse d’usage, pas seulement par une opération de communication.

Fournisseur	Part de marché cloud en France	Position sur la souveraineté
AWS	~32 %	European Sovereign Cloud en production à Brandebourg depuis janvier 2026 ; 24 sites en France
Microsoft Azure	~24 %	Sous surveillance DMA avec AWS ; offres de cloud de confiance via partenariats locaux
Google Cloud	~11 %	Moins exposé dans les procédures DMA selon les observateurs cités par SDxCentral
Acteurs européens (OVHcloud, Scaleway, STACKIT, Delos)	Reste du marché, part minoritaire	Positionnés comme alternatives « cloud souverain », taille bien inférieure aux hyperscalers

La surveillance renforcée au titre du DMA

Le CADA ne surgit pas dans un vide réglementaire. AWS et Azure font déjà l’objet d’une attention rapprochée de l’Union européenne au titre du Digital Markets Act, notamment après une série de pannes majeures qui ont affecté des services critiques en 2025 et 2026. Fait notable relevé par SDxCentral : Google Cloud semble, pour l’instant, moins exposé que ses deux concurrents dans ces procédures, ce qui alimente les débats sur les critères retenus par Bruxelles pour désigner les « contrôleurs d’accès » (gatekeepers) du marché cloud.

Cette articulation entre plusieurs textes, le CADA, le Data Act (pleinement applicable depuis septembre 2025 et qui impose déjà la portabilité des données), le DMA, DORA pour le secteur financier et NIS2 pour les infrastructures critiques, dessine un empilement réglementaire de plus en plus dense. Pour une entreprise cliente, cela signifie qu’un même contrat cloud peut désormais devoir satisfaire simultanément des obligations de portabilité, de résilience, de notification d’incident et, demain, de souveraineté au sens du CADA.

Comparatif : cloud souverain européen contre hyperscalers américains

Le débat public oppose souvent, de façon un peu caricaturale, un cloud américain performant mais politiquement risqué à un cloud européen souverain mais technologiquement en retard. La réalité, telle qu’elle ressort des annonces de 2026, est plus nuancée. Voici les grands axes de comparaison entre les deux approches, tels qu’ils se dessinent aujourd’hui.

Critère	Hyperscalers américains (AWS, Azure, GCP)	Alternatives européennes (OVHcloud, Scaleway, STACKIT, Gaia-X)
Échelle et catalogue de services	Très large, écosystème mature (IA, data, edge)	Plus restreint, en rattrapage sur l’IA générative
Conformité souveraineté (CADA à venir)	Offres dédiées type AWS European Sovereign Cloud, encore récentes	Conçues nativement pour ce cadre, mais capacité industrielle limitée
Exposition au droit extraterritorial américain	Risque théorique persistant malgré l’isolement opérationnel des offres souveraines	Exposition nulle ou très réduite selon l’actionnariat
Investissement dans l’infrastructure européenne	7,8 Md€ pour la seule European Sovereign Cloud d’AWS à Brandebourg	Budget EURO-3C de 75 M€, ordres de grandeur très inférieurs
Part de marché en France	~67 % cumulés (AWS + Azure + GCP)	Minoritaire, en croissance mais partant de loin

Contexte historique : d’un cadre volontaire à une loi contraignante

Pour comprendre pourquoi 2026 marque une rupture, il faut revenir un peu en arrière. Gaia-X a été lancé en 2019 sur une base volontaire, porté par des acteurs franco-allemands inquiets de voir le cloud européen dépendre entièrement de fournisseurs non européens. Pendant plusieurs années, l’initiative a surtout produit des cadres de gouvernance et des labels, sans réellement modifier les rapports de force commerciaux. En parallèle, des labels nationaux comme le SecNumCloud de l’ANSSI en France ont tenté d’apporter des garanties de souveraineté plus strictes, au prix d’une adoption limitée par les grands fournisseurs américains.

Le débat européen sur un référentiel de cybersécurité pour le cloud, l’EUCS, traîne depuis plusieurs années sans aboutir à un texte définitif, tant les divergences entre États membres sur le niveau d’exigence en matière de souveraineté sont restées vives. C’est dans ce contexte de blocage prolongé que le CADA change de méthode : au lieu de chercher un consensus autour d’un référentiel de certification technique, il propose directement une loi d’harmonisation du marché intérieur, votée à la majorité plutôt que négociée article par article entre 27 administrations nationales de cybersécurité.

Ce que ça change concrètement pour les DSI

Pour un directeur des systèmes d’information ou un responsable de la sécurité des systèmes d’information en France ou ailleurs en Europe, le CADA n’est pas une abstraction législative lointaine. Il implique de cartographier, dès maintenant, quelles charges de travail traitent des données publiques sensibles au sens large (santé, finances publiques, justice, mais potentiellement aussi des secteurs adjacents selon la version finale du texte), et de vérifier si les contrats cloud actuels prévoient des clauses de portabilité et de réversibilité suffisantes.

Le nouveau framework d’interopérabilité AWS-Google Cloud du 12 août change aussi le calcul économique d’une stratégie multicloud. Jusqu’ici, répartir des charges entre plusieurs fournisseurs impliquait des frais de sortie de données qui pouvaient représenter une part non négligeable de la facture cloud annuelle. Leur suppression, au moins entre ces deux plateformes, réduit un frein réel à la portabilité, indépendamment de ce que décidera le législateur européen.

Prédictions : où va le marché du cloud souverain d’ici 2028

Le CADA sera adopté sous une forme édulcorée par rapport au texte de mai 2026. Les négociations entre Parlement et Conseil devraient assouplir certaines obligations, notamment sur le périmètre exact des « données publiques sensibles », pour ménager les États membres les plus dépendants des hyperscalers américains.
AWS et Azure vont multiplier les offres « sovereign » dédiées d’ici 2027. Après le lancement de l’AWS European Sovereign Cloud, Microsoft et Google devraient accélérer leurs propres offres de cloud de confiance pour anticiper les niveaux d’assurance du futur framework de souveraineté de l’UE.
L’interopérabilité multicloud va s’étendre au-delà d’AWS et Google Cloud. Avec l’arrivée annoncée d’Azure d’ici la fin 2026, il est probable que d’autres fournisseurs, notamment européens, cherchent à rejoindre ou répliquer ce type de framework pour rester pertinents dans les appels d’offres publics.
Les fournisseurs européens resteront minoritaires en volume mais gagneront du terrain sur les segments réglementés. OVHcloud, Scaleway et STACKIT devraient capter une part croissante des marchés publics et des secteurs sous DORA/NIS2, sans pour autant menacer la position dominante des hyperscalers sur le cloud généraliste.
La pression du DMA sur AWS et Azure va s’intensifier avant toute décision définitive sur le CADA. Les procédures en cours, combinées aux pannes majeures survenues en 2025-2026, alimentent un dossier réglementaire qui pourrait aboutir à des sanctions ou des engagements correctifs avant même l’entrée en vigueur du nouveau texte.

Impact sur le marché et les investisseurs

Le signal envoyé aux marchés financiers est ambivalent. D’un côté, l’annonce d’un cadre réglementaire contraignant crée une incertitude pour les hyperscalers américains sur leur plus grand marché export après les États-Unis. De l’autre, les 7,8 milliards d’euros déjà investis par AWS à Brandebourg, ou les investissements en cours dans les zones de disponibilité françaises et grecques, montrent que ces acteurs préfèrent s’adapter au cadre européen plutôt que de céder ce terrain à des concurrents locaux ou de perdre l’accès à un marché qui pèse déjà plusieurs dizaines de milliards d’euros de dépenses cloud annuelles.

Pour les fournisseurs européens, le CADA représente une opportunité commerciale directe : chaque niveau d’assurance de souveraineté qui exclura de fait les hyperscalers américains d’un segment de marché est un segment potentiellement accessible à OVHcloud, Scaleway ou STACKIT. Mais l’écart d’échelle industrielle reste considérable, et rien dans les annonces de 2026 ne suggère qu’un acteur européen puisse rivaliser à court terme sur le volume de services proposés par AWS, Azure ou Google Cloud.

Foire aux questions

Qu’est-ce que le Cloud and AI Development Act (CADA) ?
C’est un projet de loi européen, présenté le 27 mai 2026 dans le cadre du Tech Sovereignty Package, qui instaure un cadre contraignant de souveraineté pour les services cloud utilisés par les administrations et entreprises traitant des données publiques sensibles.

Le CADA va-t-il interdire AWS, Azure et Google Cloud en Europe ?
Non. Le texte ne bannit pas les hyperscalers américains, il impose des niveaux d’assurance de souveraineté selon la sensibilité des données traitées, ce qui pousse ces fournisseurs à proposer des offres dédiées comme l’AWS European Sovereign Cloud.

Qu’est-ce que l’AWS European Sovereign Cloud ?
Une infrastructure AWS juridiquement et opérationnellement isolée du reste du réseau mondial d’Amazon, en production à Brandebourg depuis janvier 2026, avec environ 90 services disponibles au lancement et un investissement annoncé de 7,8 milliards d’euros.

Qu’est-ce que Gaia-X et quel est son rapport avec le CADA ?
Gaia-X est un consortium industriel européen qui a créé un label volontaire de souveraineté cloud à trois niveaux d’assurance depuis 2025. Le CADA reprend une logique similaire mais la rend obligatoire par la loi plutôt que sur une base volontaire.

Que change le framework d’interopérabilité AWS-Google Cloud du 12 août 2026 ?
Il supprime les frais de sortie de données entre les deux plateformes pour les clusters Kubernetes et applications conteneurisées, facilitant les stratégies multicloud sans surcoût. Azure doit rejoindre l’initiative d’ici fin 2026.

Quelle part du marché cloud français est détenue par des acteurs américains ?
Environ 67 %, avec AWS à 32 %, Azure à 24 % et Google Cloud à 11 %, selon les données de l’Observatoire du Numérique.

Quand le CADA entrera-t-il en vigueur ?
Le texte doit encore être négocié entre le Parlement européen et le Conseil. Une adoption d’ici fin 2026 ou début 2027 est jugée probable par plusieurs observateurs du secteur, dont EU Perspectives, mais aucune date définitive n’est encore fixée.

Les entreprises françaises doivent-elles migrer vers un cloud souverain dès maintenant ?
Cela dépend de la sensibilité des données traitées. Les organismes publics et les secteurs régulés (santé, finance, justice) ont intérêt à cartographier leurs charges dès maintenant, avant l’entrée en vigueur définitive du CADA.

Cloud Souverain UE : le CADA Vise 72% de Parts AWS-Azure-GCP [2026]