La France vient de trancher un dossier vieux de six ans. Le Health Data Hub, la plateforme qui centralise les données de santé de millions de Français, quitte Microsoft Azure pour rejoindre Scaleway, filiale du groupe Iliad. La décision, confirmée en 2026, tombe au moment précis où le référentiel SecNumCloud passe à sa version 4.0 et où OVHcloud décroche sa propre qualification pour son cloud public. Trois nouvelles distinctes, un seul mouvement de fond : la France redessine qui a le droit d’héberger ses données les plus sensibles.
Ce qui vient de se passer : Azure écarté du Health Data Hub
Scaleway va héberger le Health Data Hub à la place de Microsoft Azure. L’entreprise, détenue par le groupe Iliad de Xavier Niel, a été retenue au terme d’un appel d’offres évalué sur plus de 350 critères techniques : sécurité, résilience, performance et capacité à monter en charge. Le contrat, estimé par la presse à environ 6 millions d’euros sur quatre ans, met fin à un feuilleton administratif qui remonte à 2020, quand le choix initial de Microsoft avait déclenché un recours devant le Conseil d’État et un avis critique de la CNIL sur le risque d’accès aux données par les autorités américaines.
Le calendrier n’est pas anodin. La Commission européenne avait déjà distribué, en avril 2026, une enveloppe de 180 millions d’euros de contrats cloud entre Scaleway, Post Telecom, OVHcloud et STACKIT, un signal clair sur la direction que Bruxelles souhaite donner aux achats publics numériques. Le basculement du Health Data Hub s’inscrit dans cette même logique, mais avec un enjeu politique supérieur : les données médicales sont, avec les données fiscales, ce que l’administration française protège le plus jalousement.
SecNumCloud 4.0 : la grille qui a changé la donne
Le référentiel SecNumCloud, piloté par l’ANSSI, est entré dans sa version 4.0 le 1er septembre 2026 pour toutes les nouvelles demandes de qualification. Cette mise à jour durcit sensiblement les exigences par rapport aux versions précédentes. Elle impose désormais que la société mère et l’ensemble des entités de contrôle d’un fournisseur cloud soient constituées sous droit européen, avec une immunité explicite face aux législations extraterritoriales comme le Cloud Act américain. S’y ajoutent des obligations de transparence sur la chaîne logicielle et une exigence d’indépendance capitalistique.
Concrètement, cela ferme la porte aux offres de type “cloud de confiance”, ces partenariats où un acteur américain licencie sa technologie à un opérateur français (le modèle Bleu de Microsoft avec Orange et Capgemini, par exemple), du moins pour les qualifications les plus strictes. Le message envoyé aux fournisseurs est direct : sur les workloads les plus sensibles, la propriété capitalistique compte autant que la localisation des serveurs.
OVHcloud décroche la qualification pour son cloud public
Le même jour, le 1er septembre 2026, OVHcloud a annoncé avoir obtenu la qualification SecNumCloud pour son offre de cloud public, une distinction qui cible en priorité les administrations, les entreprises régulées et les éditeurs de SaaS travaillant pour le secteur public. L’entreprise roubaisienne prévoit d’étendre cette offre qualifiée vers plusieurs pays européens, dont l’Italie, l’Allemagne et la Pologne, sous réserve des exigences locales de chaque marché, selon les informations rapportées par Reuters.
Pour OVHcloud, le timing tombe bien. Le segment cloud public de l’entreprise est actuellement celui qui croît le plus vite dans son portefeuille, avec une progression de 15,8 % sur le dernier trimestre rapporté. La qualification SecNumCloud n’est pas qu’un argument marketing, elle devient un ticket d’entrée pour répondre à une part croissante des appels d’offres publics en France et, potentiellement, ailleurs en Europe si d’autres pays s’alignent sur des exigences similaires.
Pourquoi Microsoft a perdu (ce n’est pas un problème technique)
Il faut être clair sur un point : rien n’indique qu’Azure ait failli techniquement sur le Health Data Hub. Le sujet n’a jamais été la fiabilité de l’infrastructure de Microsoft, largement éprouvée à l’échelle mondiale. Le problème est structurel : tant que la maison mère d’un fournisseur reste soumise au droit américain, le Cloud Act permet en théorie à la justice ou aux services de renseignement des États-Unis de réclamer l’accès à des données hébergées en Europe, y compris des données de santé.
Cette faille juridique, documentée depuis des années par la doctrine du droit numérique, a fini par peser plus lourd que n’importe quel avantage technique. Avec les nouveaux critères SecNumCloud 4.0, elle devient même rédhibitoire pour les qualifications les plus exigeantes. Scaleway, société de droit français cotée sur Euronext Growth et adossée à Iliad, ne présente pas ce risque structurel. C’est cette différence de nature juridique, plus que la performance brute des infrastructures, qui a fait pencher la balance.
Comparatif : Scaleway, OVHcloud, AWS et Azure face aux critères souverains
Le tableau ci-dessous synthétise la position des principaux acteurs présents sur le marché français au regard des exigences de souveraineté qui structurent désormais les grands appels d’offres publics.
| Fournisseur | Actionnariat | Qualification SecNumCloud | Exposition au Cloud Act | Régions UE proposées |
|---|---|---|---|---|
| Scaleway | Iliad (France) | Qualifié | Aucune | France, Pays-Bas, Pologne |
| OVHcloud | Groupe familial Klaba (France), coté à Paris | Qualifié depuis le 1er septembre 2026 (cloud public) | Aucune | France, extension prévue Italie, Allemagne, Pologne |
| AWS European Sovereign Cloud | Amazon (États-Unis) | Non qualifié SecNumCloud 4.0 | Existante via la maison mère | Allemagne (Brandebourg) |
| Microsoft Azure / Bleu | Microsoft (États-Unis), licence à Orange/Capgemini pour Bleu | En cours d’évaluation pour Bleu | Existante via la maison mère | France, Pays-Bas, Irlande |
Ce tableau illustre une asymétrie de fond. Les acteurs français peuvent aujourd’hui présenter une conformité native à SecNumCloud 4.0, tandis que les hyperscalers américains doivent passer par des montages juridiques (filiales locales, coentreprises, licences technologiques) pour espérer approcher le même niveau. Cela ne signifie pas qu’AWS ou Microsoft sont hors-jeu sur le marché français dans son ensemble, mais leur accès aux contrats les plus sensibles se réduit mécaniquement.
Contexte historique : cinq ans de bras de fer sur les données de santé
Le choix initial de Microsoft pour héberger le Health Data Hub, en 2019-2020, avait provoqué une levée de boucliers chez les défenseurs de la souveraineté numérique. Un collectif de plus de 60 organisations avait saisi le Conseil d’État. La CNIL avait, de son côté, publié un avis pointant les risques liés au Cloud Act. Le gouvernement avait alors promis une solution de transition avant une bascule vers un hébergeur souverain, promesse répétée à plusieurs reprises sans concrétisation rapide.
Il aura fallu l’accumulation de plusieurs facteurs pour que le dossier avance : la montée en puissance de Scaleway et OVHcloud sur des offres cloud public matures, la pression du Cloud and AI Development Act en cours de négociation à Bruxelles, et un climat géopolitique où la dépendance technologique aux États-Unis est devenue un sujet de débat public bien au-delà des cercles spécialisés. La bascule du Health Data Hub n’est donc pas un événement isolé, c’est l’aboutissement d’un mouvement entamé il y a six ans.
Le marché cloud européen sous pression : prix et croissance
La bascule vers un hébergement souverain a un coût, et il ne se limite pas au contrat du Health Data Hub. Le marché européen du cloud traverse une phase de recomposition tarifaire marquée. Selon une analyse publiée en août 2026, les prix pratiqués par Exoscale ont grimpé de 74 %, ceux d’OVHcloud de 25 %, tandis que Gcore a au contraire baissé ses tarifs de 10 à 40 % sur certaines gammes. Civo a de son côté supprimé sa facturation directe en euros et introduit des instances équipées de GPU NVIDIA H200 SXM à huit unités, pendant qu’Infomaniak élargissait son propre catalogue de calcul GPU.
Cette volatilité tarifaire alimente un autre phénomène : la montée en puissance du FinOps en Europe. Le marché des logiciels de gestion financière du cloud sur le continent est passé de 3,19 milliards de dollars en 2025 et devrait atteindre 12,07 milliards de dollars d’ici 2035, soit une croissance annuelle moyenne d’environ 14,22 % sur la période, selon un rapport relayé par SNS Insider. Autrement dit, plus les entreprises migrent vers des clouds souverains aux tarifs encore instables, plus elles ont besoin d’outils pour maîtriser leur facture.
Chronologie 2026 : les étapes clés de la bascule souveraine
Pour resituer les événements dans l’ordre, voici les principales dates qui ont jalonné l’année 2026 sur ce dossier.
| Date | Événement |
|---|---|
| Avril 2026 | La Commission européenne attribue 180 M€ de contrats cloud à Scaleway, Post Telecom, OVHcloud et STACKIT |
| Été 2026 | Confirmation du choix de Scaleway pour héberger le Health Data Hub, à l’issue d’un appel d’offres sur plus de 350 critères |
| 1er septembre 2026 | Entrée en vigueur de SecNumCloud 4.0 pour les nouvelles qualifications |
| 1er septembre 2026 | OVHcloud obtient la qualification SecNumCloud pour son offre de cloud public |
| Septembre 2026 | Comparatifs de Kubernetes managé français (OVHcloud, Scaleway, Clever Cloud) positionnés comme alternatives à EKS, GKE et AKS |
Ce que cela change pour les entreprises et les équipes techniques
Pour une équipe d’ingénierie qui travaille avec le secteur public ou dans un secteur régulé, la conséquence directe est un élargissement du champ des fournisseurs à évaluer sérieusement. Jusqu’ici, beaucoup d’architectes techniques réservaient Scaleway ou OVHcloud à des workloads secondaires, en gardant les charges critiques sur AWS, Azure ou Google Cloud. La donne change quand un projet aussi sensible que le Health Data Hub choisit un acteur français pour sa production.
Sur le plan pratique, les offres de Kubernetes managé chez OVHcloud, Scaleway et Clever Cloud sont désormais présentées comme des alternatives crédibles à EKS, GKE et AKS pour les charges hébergées en France ou ailleurs en Europe. Les équipes qui envisagent une migration doivent toutefois anticiper des écarts d’écosystème : moins d’intégrations tierces prêtes à l’emploi, une documentation parfois plus limitée, et des modèles de responsabilité opérationnelle qui diffèrent des standards fixés par les hyperscalers.
Les limites de la souveraineté “à la française”
Il serait excessif de présenter ce dossier comme une victoire totale et sans ambiguïté. Plusieurs limites méritent d’être posées. D’abord, un contrat estimé à 6 millions d’euros sur quatre ans reste modeste à l’échelle du marché cloud français, et sa portée est avant tout symbolique. Ensuite, la dépendance logicielle de l’administration française ne se limite pas à l’infrastructure cloud : les couches applicatives, les outils bureautiques et une partie des briques d’intelligence artificielle restent largement fournies par des acteurs américains, un constat que même les défenseurs de la souveraineté numérique reconnaissent volontiers.
Enfin, la portée réelle du Cloud and AI Development Act, encore en négociation à Bruxelles au moment de la rédaction de cet article, reste incertaine. Ce texte ne concernerait, dans ses versions actuelles, qu’une fraction très restreinte des contrats publics les plus sensibles, loin de couvrir l’ensemble du marché cloud européen. La bascule du Health Data Hub montre une direction politique claire, mais elle ne dessine pas encore un basculement massif et généralisé du marché.
Impact sur le marché : ce que les hyperscalers doivent anticiper
Pour Microsoft, Amazon et Google, le signal envoyé par la France est clair : les contrats publics les plus sensibles échapperont de plus en plus aux offres classiques, même habillées d’une couche de partenariat local. Cela pousse ces groupes à investir davantage dans des montages capitalistiques réellement conformes, ou à accepter de céder ce segment de marché aux acteurs européens. Amazon a déjà lancé son AWS European Sovereign Cloud, une entité juridique distincte basée en Allemagne, mais elle reste, à ce stade, sous le contrôle final d’Amazon aux États-Unis, ce qui limite sa capacité à obtenir les qualifications les plus strictes du référentiel SecNumCloud 4.0.
Pour Scaleway et OVHcloud, l’enjeu est désormais de démontrer qu’elles peuvent absorber des charges critiques à grande échelle sans les incidents opérationnels qui ont, par le passé, entaché la réputation du cloud français (l’incendie du site strasbourgeois d’OVHcloud en 2021 reste dans toutes les mémoires). La confiance politique ne suffira pas si l’exécution technique ne suit pas dans la durée.
Google a tenté la même stratégie que Microsoft, avec Thales
Microsoft n’est pas le seul hyperscaler à avoir cherché une voie de contournement pour approcher les qualifications françaises. Google a construit un montage comparable au projet Bleu, baptisé S3NS, une coentreprise avec Thales censée porter une offre cloud de confiance conforme aux exigences de l’ANSSI. Le principe reste le même sur le papier : une société de droit français exploite la technologie Google Cloud sous licence, avec un actionnariat théoriquement indépendant de la maison mère américaine.
Le durcissement introduit par SecNumCloud 4.0 complique directement ce type de montage. Plus les exigences sur l’indépendance capitalistique et l’immunité extraterritoriale se précisent, plus il devient difficile pour une coentreprise adossée à une technologie américaine de convaincre les évaluateurs de l’ANSSI. Le cas du Health Data Hub, où un acteur intégralement français comme Scaleway l’a emporté face à un montage hybride, illustre concrètement où se situe désormais la barre à atteindre pour les projets de type Bleu ou S3NS.
Prévisions : ce qu’il faut surveiller d’ici 2027
Plusieurs trajectoires se dessinent pour les prochains mois. D’abord, d’autres administrations françaises qui gèrent des données sensibles (fiscalité, justice, défense) devraient suivre un mouvement similaire à celui du Health Data Hub, avec des appels d’offres calqués sur la grille SecNumCloud 4.0. Ensuite, OVHcloud devrait concrétiser son extension européenne vers l’Italie, l’Allemagne et la Pologne d’ici la fin de l’année ou au début 2027, sous réserve des validations réglementaires locales.
Microsoft et ses partenaires du projet Bleu devraient également chercher à obtenir une qualification SecNumCloud adaptée, ce qui pourrait prendre la forme d’une restructuration capitalistique plus poussée. Le marché du FinOps européen devrait poursuivre sa croissance à deux chiffres, porté à la fois par la volatilité des prix cloud et par la multiplication des fournisseurs à comparer. Enfin, si le Cloud and AI Development Act est adopté par les colégislateurs européens, il pourrait formaliser au niveau de l’Union une partie des critères déjà appliqués unilatéralement par la France, avec un calendrier de mise en œuvre qui s’étendrait probablement au-delà de 2027.
Foire aux questions
Qu’est-ce que le Health Data Hub ?
Le Health Data Hub est la plateforme publique française qui centralise et met à disposition des chercheurs les données de santé issues du système de soins, dans un cadre encadré par la CNIL.
Pourquoi Microsoft Azure a-t-il été écarté ?
La raison n’est pas technique mais juridique. En tant que société américaine, Microsoft reste soumis au Cloud Act, ce qui expose théoriquement les données hébergées en Europe à une demande d’accès des autorités américaines. Ce risque devient rédhibitoire sous les nouveaux critères de SecNumCloud 4.0.
Qu’est-ce que SecNumCloud 4.0 ?
C’est la version la plus récente du référentiel de qualification cloud de l’ANSSI, en vigueur depuis le 1er septembre 2026 pour les nouvelles demandes. Elle impose une immunité aux lois extraterritoriales, une propriété capitalistique européenne et une transparence renforcée sur la chaîne logicielle.
Combien coûte le contrat entre l’État et Scaleway ?
Selon des estimations relayées par la presse, le contrat d’hébergement représenterait environ 6 millions d’euros sur quatre ans. Le montant exact n’a pas été officiellement détaillé par les parties.
OVHcloud a-t-il aussi bénéficié de ce mouvement ?
Oui, OVHcloud a obtenu de son côté la qualification SecNumCloud pour son offre de cloud public le 1er septembre 2026, avec un projet d’extension vers l’Italie, l’Allemagne et la Pologne.
Est-ce que cela signifie la fin d’Azure et AWS en France ?
Non. Les hyperscalers américains conservent une large part du marché cloud français pour les charges non sensibles. Le mouvement observé concerne surtout les contrats publics les plus critiques, où les nouveaux critères de souveraineté deviennent déterminants.
Le Cloud and AI Development Act va-t-il généraliser cette approche à l’échelle européenne ?
Le texte est encore en négociation à Bruxelles. Dans ses versions actuelles, il ne viserait qu’une fraction limitée des contrats gouvernementaux les plus sensibles, sans imposer une bascule généralisée de l’ensemble du marché cloud européen.
