Le grand guide du « cloud souverain »

Introduction

Les entreprises ne veulent plus investir dans leurs salles informatiques. Elles les vident pour mettre leurs applications et leurs machines virtuelles en cloud, la plupart du temps chez AWS, Azure ou Google. Mais cette migration pose une question qui, dans un premier temps, a été ignorée plus ou moins volontairement.

Dès lors que les données sont hébergées par une entreprise américaine, y compris par leurs filiales européennes et même sur le sol français, elles tombent sous le coup du droit américain (dont le fameux Cloud Act, mais pas uniquement) dont une des caractéristiques est d’être « extraterritorial ». Dit autrement, le droit de Washington s’applique aussi bien à San Francisco qu’à Paris, à Austin qu’à Tokyo dès qu’une personne (physique ou morale) de nationalité américaine est impliquée d’une manière ou d’une autre (support, maintenance, gestion opérationnelle, etc.).

Un droit inamical, car instrumentalisé

Or ce droit aux objectifs officiels louables (lutte contre le terrorisme et la criminalité) pose un problème. L’histoire récente a en effet montré qu’il avait aussi des objectifs officieux et que les États-Unis n’hésitent pas à l’instrumentaliser à des fins de guerre économique (pression du Departement of Justice pour forcer la vente d’Alstom à GE par exemple), à des fins d’intelligence économique (espionnage industriel) ou pour des visées géopolitiques.

À tel point que le ministre de l’Économie et des Finances lui-même, Bruno Le Maire, le qualifie d’inamical et a exprimé publiquement et à plusieurs reprises l’irritation de la France face à cet état de fait.

Des clouds américains entre le marteau et l’enclume

Les cloudistes américains, eux, sont pris entre le marteau et l’enclume. L’enclume du droit extraterritorial de leur pays d’origine, et le marteau de clients européens qui commencent à percevoir les dangers et la contradiction intrinsèque entre ce droit (qui impose aux cloudistes de divulguer des données, de surcroît sans en avertir les entreprises concernées) et le RGPD (qui interdit ce transfert de données personnelles).

Jusqu’ici, les acteurs IT américains rassuraient avec des éléments de langage : indépendance du juge américain (qui est en fait toute relative), encadrement de la procédure pour qu’elle reste dans la lutte contre la criminalité (ce que les faits démentent), localisation des données en Europe (ce qui ne change rien, le droit américain étant extraterritorial), contrat de droit français (ce qui permet au client de lancer une procédure vouée à l’échec devant un tribunal français contre l’État américain), contestation systématique des demandes par les avocats des éditeurs (sans que l’on sache la réelle efficacité de leurs oppositions, par ailleurs sincères) ou publication d’indications sur les demandes (souvent encore très floues et « après coup »).

Mais affaire après affaire (dont l'amende record infligée à BNP Paribas), ces « arguments » d’un droit purement sécuritaire se fissurent un par un. Le droit américain est une arme de guerre économique, l’IT en est un de ses relais opérationnels. La naïveté des clients européens commence à se dissiper.

Sursaut européen (timide)

Conséquence, des politiques européens, mais aussi quelques industriels veulent des alternatives pour leurs données sensibles : des clouds « souverains ». C’est-à-dire des infrastructures non soumises au droit intrusif d’une puissance étrangère, fût-elle amie.

Des années après les échecs de Cloudwatt et de Numergy, la souveraineté numérique redevient donc à la mode. À l’échelle européenne, sous les encouragements des gouvernements français et allemands, des hébergeurs locaux, des ESN et des éditeurs tentent de fédérer leurs catalogues de service sous le blason Gaia-X avec, à la clé, une promesse d’interopérabilité des écosystèmes.

Car voilà bien ce qui pêche dans les alternatives locales aux clouds des hyperscalers américains : la richesse de l’offre.

Les hébergeurs OVHcloud, Scaleway, T-Systems ou 3DS Outscale s’efforcent de bâtir les mêmes services de machines virtuelles, de stockage en ligne, avec des prix comparables, mais ils peinent à reproduire l’étendue fonctionnelle de leurs modèles américains. Dans les services d’infrastructure par exemple, la totalité des éditeurs de logiciels de sauvegarde propose d’héberger les copies de secours sur le service S3 d’AWS. Pour bénéficier d’une telle fonction chez OVHcloud, mieux vaut être client de Veeam, le leader, ou d’Atempo, le Français.

De trop nombreux services souverains ne sont par ailleurs pas clés en main. Là où un simple clic sur une option suffit chez un hyperscaler, il faut négocier un contrat avec un intégrateur pour qu’il personnalise l’installation d’une fonction similaire. Les coûts risquent rapidement de ne plus être les mêmes.

Souveraineté des données vs Souveraineté technologique

L’avantage des acteurs locaux est en revanche celui de « l’immunité » au droit américain.

Une labélisation « Cloud de confiance » – voulue par le gouvernement français et annoncée lors du lancement de sa nouvelle doctrine « Cloud au centre » – a même vu le jour en 2021. Elle est décernée après avoir obtenu la certification SecNumCloud de l’ANSSI et assure que le cloud en question n’est soumis qu’au droit européen.

Mais les efforts pour obtenir un tel label ont eux-mêmes un coût, répercuté sur la facture du client. Les entreprises européennes accepteront-elles de payer cette « prime » pour leurs données sensibles ? Rien n’est moins sûr.

Quant aux hyperscalers, ils n’entendent pas se faire évincer du marché des données, des applications et des secteurs critiques. Ils agissent, et vite.

Côté pile, ils ont d’ores et déjà réagi en proposant de revendre leurs services au travers d’un acteur local (comme Azure et Google qui ont passé des partenariats avec respectivement Orange et Thalès en ce qui concerne la France).

Ces solutions ont le mérite de répondre à la fois à la problématique de la souveraineté (les données seront hébergées sur des machines qui appartiennent à des prestataires de droit français qui n’ont aucun compte à rendre à Washington) et à la demande d'outils de l’écosystème. Toutes les fonctions disponibles sur les clouds américains seront importées, au moins le temps de leur usage. C’est en tout cas la promesse : à l’heure où nous publions ce guide, ces versions européanisées des clouds américains sont encore loin d’être sorties de terre.

Côté face, les hyperscalers ont intégré Gaia-X, mais sont accusés par d’anciens membres comme Scaleway de ralentir le projet pour décaler son émergence opérationnelle et permettre à leurs propres offres de s’adapter à la nouvelle donne réglementaire qui point à l’horizon du cloud.

Vrai ou faux ? Difficile à dire avec certitude. Ce qui est sûr en revanche, c'est qu'en coulisse, se joue à couteaux tirés une opposition entre deux conceptions de la souveraineté. D’un côté, les promoteurs d'une souveraineté légale (« la souveraineté des données ») où les clouds utilisent des technologies américaines dans un contexte sécurisé. De l’autre, les partisans d'une « souveraineté technologique » qui appellent à développer une propriété industrielle et à soutenir des éditeurs européens pour viser l’indépendance technologique.

Y voir clair dans la souveraineté

Entre subtilités du droit américain, éléments de langage et polémiques, nouvelles offres souveraines (locales et américaines), et les offres qui ne sont souveraines qu’en façade, il n’est pas toujours simple de s’y retrouver.

À la croisée de la réglementation, de l’analyse IT et de la stratégie à long terme, ce guide clarifie ces zones d’ombres pour en faire des éléments de décisions plus éclairées.

1Comprendre les enjeux-

Pourquoi la nationalité américaine des hyperscalers pose problème

2« Cloud de confiance »-

Le gouvernement français impose une nouvelle règle du jeu

3Gaia-X-

Espoirs et désespoirs d’une réponse européenne

4Des souverains « locaux »-

Des alternatives françaises en devenir

5Des souverains américains-

Azure et Google s'allient à des acteurs français pour revendre leurs services