Plutôt qu’un GAFAM européen, construisons un réseau européen

Pour répondre à ce sujet complexe, actuel et pluriel, les bureaux parisiens d’Advens ont accueilli le 16 juin 2026 Jérémie Jourdin (CTO d’Advens), Solange Viegas Dos Reis (Directrice Juridique Groupe d’OVHcloud), Sumi Saint Auguste (Directrice des affaires publiques Lefebvre Group) avec pour modérateurs Manon Pellat (Directrice de Cybersup) et Giulio Zucchini (Head of Democracy & Digital d’Advens for People and Planet).

70% des parts de marché du Cloud européen sont détenus par trois acteurs : Google, Amazon et Microsoft. Qu’est-ce que ces chiffres révèlent des tendances de fond sur « la souveraineté numérique » ?

Solange Viegas Dos Reis I Si l’on prend précisément le cas du marché du cloud européen, entre 2017 et 2022 il a été multiplié par 5 tandis que la part des acteurs européens y a été divisée par 2, passant de 27 à 13%. La tendance de fond continue d’aller vers un renforcement des acteurs non-européens au détriment des acteurs européens. Toutefois, un frémissement en faveur du ralentissement, voire de l’inversion, de cette tendance est perceptible depuis quelques mois : les bouleversements géopolitiques récents, et en particulier certaines décisions ou prises de position outre-Atlantique, ont créé des inquiétudes sur la dépendance à des acteurs non-européens et, par opposition, un intérêt accru pour les enjeux de souveraineté numérique.

Quelle est la définition de la souveraineté numérique ?

Solange Viegas Dos Reis I Tout d’abord, le terme de « souveraineté » sur le plan juridique renvoie principalement à la « souveraineté des Etats » qui est définie dans les Constitutions nationales. Pour ce qui est de « la souveraineté numérique », il n’y a pas de définition légale. Cela pose des difficultés sachant que la souveraineté numérique  est aujourd’hui sur toutes les lèvres, et chacun la définit différemment, voire l’utilise comme un concept marketing ou abstrait. Néanmoins, même s’il n’y a pas de définition légale à ce jour, cette expression ne renvoie pas à un concept abstrait mais est la réponse à des risques concrets que tout le monde comprend : Qui a accès à nos données ? Qui opère nos systèmes d’information ? Qui maitrise nos technologies ? Cette zone de risque existe depuis longtemps mais était jusqu’à ces derniers mois moins mise en lumière.

La souveraineté numérique revient à avoir la liberté de choix. Elle repose sur trois piliers :
. La souveraineté des données (choisir et contrôler qui a accès à vos données),
. La souveraineté opérationnelle (choisir qui opère et comment est opérée l’infrastructure),
. La souveraineté technologique (maitriser les différentes strates technologiques).

Sumi Saint Auguste I J’aurais envie d’ouvrir la définition de la souveraineté numérique. Notre indépendance se joue à tous les niveaux du marché et dépasse une compréhension seulement opérationnelle. Pour la définir, il nous faut connaître tous les segments de la chaine de la valeur ainsi que les aspects géographiques, culturels, et organisationnels. À cette approche, on doit encore ajouter la vision stratégique de l’entreprise quant à son usage de solutions souveraines ou non.

Jérémie Jourdin I La souveraineté ne veut pas dire tout faire soi-même ! Sur le plan technique c’est aujourd’hui impossible : l’Europe ne peut pas fabriquer ses propres processeurs. Si je devais résumer la souveraineté en trois mots ce serait :
. La réversibilité, ou la possibilité de changer de fournisseur,
. L’auditabilité, ou la capacité à comprendre comment fonctionne la technologie employée,
. La continuité, ou la dépendance ou non à un ou plusieurs fournisseurs.

Aujourd’hui, la souveraineté ce n’est pas simplement où est-ce que l’on va mettre vos données puisque celles-ci ont déjà fuité, en dehors de juridictions françaises et européennes. Sachant cela, qu’est-ce qu’on fait alors que la donnée a déjà fuité ? Quelles sont les leviers de protection à mettre en place ?  

Solange Viegas Dos Reis : Consciente de ce risque et de l’accroissement des besoins de souveraineté digitale notamment dans le domaine du cloud, la Commission Européenne a rédigé un document très pédagogue, pragmatique et synthétique : « Le Cloud Sovereignty Framework » (Oct. 2025). Ce document de 6 pages fixe plusieurs critères ainsi qu’une approche méthodologique assez simple pour permettre aux organisations publiques comme privées d’estimer le niveau de souveraineté numérique de leurs fournisseurs.

Quelles stratégies se mettent en place dans la constitution d’un paysage souverain européen ?  Est-ce qu’on doit construire des GAFAM européens ?

Sumi Saint Auguste I Je voudrais adresser une autre question au sujet des GAFAM européens. Est-ce que la question est vraiment de faire grandir un géant contre un autre ou de mettre en place des systèmes open source européens dont le modèle diffère ? J’observe qu’aujourd’hui la réflexion se déplace positivement vers la réversibilité, la transparence et la maîtrise des technologies en question, à l’internalisation des compétences.

Jérémie Jourdin I Je ne crois pas qu’il faille chercher à construire un GAFAM européen pour deux raisons. Premièrement, nous avons 10 ans de retard sur les règles du jeu qui sont aujourd’hui américaines. Deuxièmement, nous avons un marché fragmenté en Europe qui n’est pas toujours à notre bénéfice. Néanmoins, cette fragmentation a aussi certains avantages, s’ils savent parler un même langage en termes d’interopérabilité, ces technologies constituent un réseau de souveraineté. Dès lors, les utilisateurs peuvent décider de changer d’outil librement sans être contraints de rester dans un même écosystème. Il ne faut pas chercher à répliquer le modèle californien – « captif » – mais en construire un autre. Plutôt que de construire un GAFAM européen, il faudrait bâtir un réseau européen que personne ne pourra débrancher.

Solange Viegas Dos Reis I Je suis tout à fait d’accord. Plutôt qu’un GAFAM européen, je crois beaucoup au passage à l’échelle. L’innovation en Europe existe et est le fruit de la diversité. L’innovation vient d’un écosystème où il y a des compétences et des points de vue variés. D’ailleurs, un des risques qui pèse sur la souveraineté numérique européenne est le rachat de pépites européennes par des acteurs extra-européens, afin de s’approprier leur innovation ou de les éliminer. Ce n’est pas nouveau, le contrôle des investissements étrangers vise justement à prévenir ce type de situation.

On peut se demander comment les acteurs non-européens du Cloud sont devenus ultradominants. Il y a plusieurs facteurs. Tout d’abord, cela commence par leur marché domestique : sur leur marché domestique ils sont devenus dominants grâce – en partie – à la commande publique. Ce rôle d’identifier et de faire passer à l’échelle des organisations privées en recourant à la commande publique se fait très bien aux Etats-Unis et en Chine. Ensuite, la règlementation permet de consolider ces positions : dans certains pays, comme la Chine et les Etats-Unis, la réglementation est pleinement assumée comme étant au service de la politique industrielle et de la puissance économique et politique. Or, en Europe la régulation du numérique est pensée avant tout pour protéger le citoyen et le consommateur.

C’est bien, mais pas suffisant : elle doit l’être aussi pour stimuler, construire et renforcer une politique industrielle et être un levier de la puissance européenne. Est-ce qu’il est trop tard ? Non. Il faut que les choix se fassent aujourd’hui. L’Europe a de nombreux avantages. Elle a le meilleur marché au monde : 450 millions consommateurs, 33 millions d’entreprises, des talents et des formations reconnues, une culture de l’open source et un écosystème varié. On a la capacité, maintenant il faut la volonté et le financement.

Quel est le rôle de la commande publique en France sur ces sujets ? Que fait-t-elle déjà ?

Sumi Saint Auguste I Mon terrain d’observation c’est le droit et la justice, notamment du côté de l’équipement juridique de la fonction publique. Plutôt que de pousser des champions nationaux, on réinternalise les compétences et les choix. Pour être pragmatique, on part de l’usage et on a une approche matricielle et granulaire.  En fonction du cas d’usage, du degré de sensibilité des données, du type d’agent ministériel on définit un certain référentiel d’exigences. C’est ainsi que l’on constitue un spectre sur la souveraineté numérique adapté aux organisations. Il y a un usage fermé aux solutions privés puisque la donnée est sensible. Hors la question de la sensibilité des données, on s’intéresse en premier lieu à la performance des outils. Cette gradation pragmatique part de la réalité et permet d’adopter des approches qui répondent aux besoins et risques en l’état.

Jérémie Jourdin I Oui ! Deux exemples illustrent ce qui vient d’être dit. D’une part, je pense au travail de la direction interministérielle du numérique (DINUM), un outil de messagerie et de travail partagé offrant une alternative aux suites Microsoft et Google. D’autre part, un exemple contraint, celui de la CPI où les accès aux outils Microsoft 365 ont été coupés par l’administration Trump, la menant brusquement à une transition vers des solutions européennes. L’enjeu est d’anticiper et de choisir plutôt que de le faire sous la contrainte. Il existe des alternatives européennes et elles offrent une réponse à ces enjeux.

Solange Viegas Dos Reis I Pour finir sur le financement, la commande publique en France va plutôt vers les acteurs européens. Cependant, la commande publique seule n’est pas suffisante.

Or, pour faire fonctionner les solutions émergentes et souveraines sur le Cloud, l’IA et la cybersécurité, il faut l’intérêt du secteur privé… Est-ce que les clients prennent en compte ces enjeux ?

Solange Viegas Dos Reis I Les clients comprennent que c’est un enjeu important et veulent savoir comment se protéger au mieux. Le premier conseil que l’on donne est de cartographier leurs services et de les classer par sensibilité ou risque. Le deuxième est celui d’un choix approprié. Cette décision n’est pas uniquement un sujet de DSI, d’IT ou de juriste : il implique une vision stratégique et donc le comité de direction. Le troisième concerne la question du timing. Changer d’infrastructure, ce sont des concessions, de l’argent et pendant ce temps on ne s’implique pas sur d’autres sujets. La souveraineté numérique ne se construit pas sur des budgets limités et des « peut-être », mais sur des investissements et des choix stratégiques, clairs et assumés. Dans ce sens, un des freins que l’on a observés est psychologique : les DSI craignent souvent de choisir un petit acteur au lieu d’un gros car s’il y a un incident ce choix sera perçu comme une prise de risque au lieu d’une opportunité et leur sera reproché.  Il faut savoir dépasser cette barrière psychologique, en testant justement ces solutions.

Jérémie Jourdin I En effet, il ne faut pas voir ça simplement comme un sujet de conformité mais d’anticipation sur la réglementation européenne avec NIS2, DORA, le CRA. Dans Le Rapport sur l’Etat de la menace d’Advens (2026), en 2025, 49% des entreprises n’ont aucun plan d’action par rapport à cette réglementation. Pour moi la question, c’est la trajectoire. La cybersécurité c’est un processus, qui passe par une cartographie des assets de l’organisation pour comprendre le réseau de dépendance dans lequel elle est, et décider d’une feuille de route.

Si je suis une entreprise et que je souhaite m’orienter vers des solutions souveraines, comment dois-je m’y prendre ?

Jérémie Jourdin I L’open source est auditable et coche beaucoup de cases sur le plan cyber comme en termes de souveraineté. Néanmoins, il ne faut pas faire le raccourci open source et sécurité. Le sujet de l’open source c’est trois choses : d’abord s’en servir pour être en mesure de comprendre la technologie employée, ensuite le modifier, et enfin favoriser la coopération pour améliorer les produits.

La souveraineté est ne pas avoir de dépendance trop grande envers un seul fournisseur.  

Sumi Saint Auguste I Cela fait écho à la façon dont l’Allemagne se saisit des sujets de souveraineté. Ils actent que l’Etat fédéral est dans son rôle en mettant en place un socle sur lequel peuvent construire des acteurs privés, dans une approche de communs numériques. C’est aussi la doctrine de la DINUM et qui a conduit à la constitution de LaSuite et du socle interministériel pour l’Intelligence Artificielle Générative. Il faut commencer par identifier le besoin et les applications, ou données, ou systèmes, ou activités par lesquelles commencer. Mais la question n’est pas seulement technique, elle touche la question de la gouvernance et d’architecture. En cela, la vision stratégique et la culture d’entreprise sont essentiels pour mener une conduite du changement. C’est vrai qu’il est plus facile d’acheter ces services que de s’interroger sur les risques et leurs évolutions, mais cet effort critique constituera certainement un avantage à l’avenir.

Quelle serait la première action à mettre en place pour une Europe plus souveraine ?

Jérémie Jourdin I Cartographier nos dépendances numériques pour savoir dès à présent ce que l’on garde et ce que l’on change.

Sumi Saint Auguste I Repenser les compétences attendues en termes de numérique, d’Intelligence Artificielle et de cybersécurité.

Solange Viegas Dos Reis I Le courage. Courage de tester des solutions, de faire des choix, courage au niveau individuel, collectif, national et européen. La Commission Européenne a fait acte de courage avec le projet de Cloud and AI Development Act (CADA)  visant à développer des data centers européens, à assumer la préférence européenne et à imposer des obligations de souveraineté aux acteurs publics européens. Il faut maintenant que les organisations privées et les États fassent preuve du même courage.