L'ère numérique a propulsé les données au rang d'actif stratégique, transformant la manière dont les États interagissent avec leurs citoyens et gèrent leurs infrastructures. En 2024-2025, la question de la souveraineté numérique est devenue un enjeu majeur, exacerbée par les tensions géopolitiques et la dépendance vis-à-vis d'acteurs technologiques étrangers. Alors que près de 40 % des décideurs publics européens envisagent désormais le cloud comme une priorité, l'impératif de maîtriser les données sensibles, notamment celles des secteurs de la santé ou du social, pousse à l'adoption de solutions de cloud souverain. Cette tendance est particulièrement visible en France, où la stratégie "Cloud au Centre", relancée en avril 2025, réaffirme la volonté de l'État de reprendre le contrôle de ses infrastructures numériques critiques, avec un appel à projets pour renforcer l'offre de services cloud.
Contexte et enjeux actuels
La transformation numérique du secteur public est une réalité incontournable, mais elle s'accompagne de défis complexes, au premier rang desquels figure la souveraineté des données. La dépendance envers des fournisseurs de services cloud étrangers, souvent soumis à des législations extraterritoriales comme le Cloud Act américain, soulève des préoccupations majeures en matière de confidentialité, de sécurité et d'autonomie stratégique. En effet, la question n'est plus seulement de savoir où les données sont hébergées, mais surtout qui les gouverne et quels gouvernements étrangers peuvent légalement imposer leur volonté aux fournisseurs de technologies critiques. Cette prise de conscience a renforcé la nécessité pour les États de se doter d'infrastructures cloud souveraines, garantissant que les données restent sous leur juridiction nationale et sous le contrôle de leurs citoyens et institutions.
L'instabilité géopolitique actuelle, marquée par des cyberattaques de plus en plus sophistiquées, a également mis en évidence la vulnérabilité des infrastructures critiques et a accéléré cette réorientation vers une approche plus proactive en matière de sécurité numérique. Le cloud souverain n'est plus une simple alternative technique, mais un outil stratégique d'indépendance numérique, répondant à des enjeux juridiques, économiques, de sécurité nationale et d'autonomie technologique. Au niveau européen, des initiatives comme Gaia-X, lancée en 2019 par l'Allemagne et la France, visent à créer un écosystème cloud transparent, sécurisé et conforme aux réglementations européennes, bien que son efficacité et son indépendance face aux géants américains soient encore débattues.
La stratégie France 2030, par exemple, met un accent particulier sur le renforcement de la souveraineté numérique en soutenant la création et l'usage d'un cloud de confiance, protégeant les données des utilisateurs français conformément aux valeurs européennes. L'État français a également mis en place une "doctrine cloud au centre", faisant du cloud l'hébergement par défaut des services numériques de l'État, tout en insistant sur la qualification SecNumCloud de l'ANSSI pour les données sensibles. Cette qualification garantit le plus haut niveau de sécurité informatique dans le cloud, avec des opérations exclusivement réalisées par du personnel basé en Europe.
Cependant, l'adoption du cloud souverain dans le secteur public n'est pas sans défis. Le marché du cloud européen est encore largement dominé par les hyperscalers américains, qui contrôlent environ 72% du marché. Leur puissance financière et leurs investissements massifs, notamment dans l'intelligence artificielle, rendent difficile l'émergence d'alternatives européennes compétitives. De plus, les institutions publiques, en particulier celles aux ressources limitées ou celles déjà engagées avec des solutions étrangères, rencontrent des difficultés pour migrer vers des solutions souveraines. Le manque de compétences internes, les coûts de migration et la complexité de l'interopérabilité entre différents systèmes constituent également des freins importants. Malgré ces obstacles, la tendance est claire : la souveraineté numérique est un impératif stratégique, et 40 % des organisations européennes utilisaient des solutions de cloud souverain en 2025, avec 31 % supplémentaires prévoyant d'y recourir. Ce mouvement est alimenté par la nécessité de protéger les données sensibles et de garantir la résilience des services publics face à un environnement numérique en constante évolution.
Solutions et approches en pratique
Pour répondre aux enjeux de souveraineté, le secteur public explore diverses solutions et approches. Au cœur de cette stratégie se trouve la définition même du cloud souverain, qui implique une infrastructure hébergée et exploitée exclusivement à l'intérieur des frontières d'un pays ou d'une région spécifique, assurant que les données restent sous la juridiction nationale. Différents modèles émergent, allant du cloud public de confiance, certifié par des organismes nationaux comme l'ANSSI en France (SecNumCloud), aux clouds souverains maîtrisés directement par l'État, comme les réseaux Pi et Nubo en France.
L'approche technologique privilégie souvent des architectures ouvertes et interopérables, permettant d'éviter le verrouillage propriétaire et de favoriser la réversibilité des données. L'utilisation de technologies open source est encouragée, offrant une transparence accrue et une capacité d'audit indépendante, essentielle pour la confiance du secteur public. Des initiatives comme EuroStack, promue par des acteurs européens comme Nextcloud et OVHcloud, visent à construire une vraie souveraineté numérique en se basant sur des plateformes collaboratives indépendantes et des infrastructures qualifiées SecNumCloud. En octobre 2025, OVHcloud et Bitdefender ont ainsi annoncé le lancement d'une plateforme de cybersécurité souveraine hébergée sur l'infrastructure qualifiée SecNumCloud d'OVHcloud, illustrant la combinaison d'une infrastructure cloud souveraine avec une plateforme de cybersécurité européenne.
Au niveau européen, bien que Gaia-X ait rencontré des critiques concernant son indépendance vis-à-vis des hyperscalers, l'objectif initial de créer un écosystème de données européen ouvert et interopérable, respectueux des normes de sécurité et de confidentialité européennes, reste pertinent. Le Projet important d'intérêt européen commun (PIIEC) cloud, autorisé en 2023 par la Commission européenne, vise à soutenir la recherche, le développement et le déploiement industriel des technologies avancées du cloud en Europe, renforçant ainsi la souveraineté numérique et technologique.
La "doctrine cloud au centre" en France est un exemple concret de stratégie nationale. Lancée en 2018 et actualisée en 2023 et 2025, elle fait du cloud l'hébergement par défaut des services numériques de l'État tout en distinguant les types de cloud selon la sensibilité des données. Pour les données les plus sensibles, l'usage d'un cloud de confiance, certifié SecNumCloud, est impératif. Cette approche crée un cadre sécurisé propice à l'innovation, permettant aux administrations de lancer des projets tout en assurant la protection des données. Le gouvernement français multiplie également les appels à projets pour soutenir le développement d'offres souveraines et stimuler l'innovation dans des domaines comme l'edge computing et l'intelligence artificielle. L'intégration de l'IA, en plein essor, nécessite des infrastructures cloud capables de gérer des workloads complexes à l'échelle, tout en garantissant la sécurité maximale des données.
En outre, la formation et la sensibilisation des équipes sont des composantes essentielles de ces approches. La migration vers le cloud souverain n'est pas seulement un défi technologique, mais aussi organisationnel et humain. Les acteurs publics doivent développer des compétences internes en matière de gestion du cloud, de cybersécurité et de conformité réglementaire pour exploiter pleinement le potentiel de ces infrastructures tout en maîtrisant les risques.
Le cas de l'Afrique francophone
L'Afrique francophone est un acteur de plus en plus dynamique dans la course à la souveraineté numérique, reconnaissant le rôle pivot des infrastructures cloud et des datacenters locaux pour son développement économique et social. Des pays comme le Sénégal, la Côte d'Ivoire, le Cameroun et le Maroc sont à l'avant-garde de cette transformation, avec des initiatives concrètes visant à renforcer leur autonomie numérique.
Au Sénégal, la Stratégie Sénégal Numérique 2025-2035 intègre explicitement la cybersécurité et la souveraineté numérique comme des piliers essentiels. Le pays a été l'un des premiers en Afrique à introduire des cadres de gouvernance des données exigeant la localisation des serveurs sur son territoire, s'inspirant de modèles internationaux pour protéger sa souveraineté numérique. Ces initiatives visent à garantir que les données gouvernementales sensibles, telles que les informations électorales, soient stockées et traitées localement, renforçant ainsi la confiance et la sécurité des citoyens.
La Côte d'Ivoire, pour sa part, a également mis en place des projets d'envergure pour moderniser ses infrastructures numériques, avec des investissements dans des datacenters nationaux et le déploiement de la fibre optique pour améliorer la connectivité et soutenir l'économie numérique. Le Maroc, avec sa stratégie "Maroc Digital 2020" et ses successeurs, a depuis longtemps misé sur le développement d'un écosystème numérique robuste, incluant des infrastructures cloud et des compétences locales, positionnant le royaume comme un hub numérique régional.
Les défis en Afrique francophone sont cependant spécifiques et multifactoriels. L'infrastructure reste un enjeu majeur : bien que des progrès significatifs soient réalisés, la couverture réseau, la disponibilité énergétique stable et la qualité des infrastructures physiques des datacenters peuvent encore être des freins. Le financement est un autre obstacle, car l'investissement dans des infrastructures cloud de pointe est coûteux et nécessite des partenariats publics-privés solides. La Banque Africaine de Développement et d'autres institutions régionales jouent un rôle croissant dans le soutien de ces projets.
Le déficit de compétences numériques est également un défi pressant. Pour exploiter pleinement les avantages du cloud souverain, il est impératif de former une main-d'œuvre qualifiée en cybersécurité, en gestion de cloud et en développement d'applications. Des initiatives de formation professionnelle et de partenariats avec des universités locales sont en cours pour combler ce fossé.
Malgré ces défis, les opportunités sont immenses. L'émergence des datacenters africains crée des emplois locaux, stimule l'innovation et permet de développer des services numériques adaptés aux réalités du continent. L'Union Africaine, à travers des initiatives comme le Pacte Numérique Africain et la Stratégie de Transformation Numérique pour l'Afrique (2020-2030), promeut une approche unifiée pour la souveraineté numérique, la cybersécurité et la protection des données. La Convention de Malabo sur la cybersécurité et la protection des données personnelles, adoptée en 2014, fournit un cadre juridique régional essentiel.
Des organisations motrices comme Smart Africa, en partenariat avec la Commission européenne, œuvrent à accélérer la transformation numérique du continent en favorisant la connectivité à haut débit, le développement des compétences numériques et l'entrepreneuriat. Les perspectives pour 2025-2030 sont encourageantes, avec une accélération des investissements dans les infrastructures numériques, une meilleure intégration régionale des services cloud et une montée en puissance des capacités locales. La localisation des données gouvernementales et la protection des données des citoyens sont considérées comme des étapes cruciales pour la sauvegarde de la souveraineté numérique du continent.
Retours d'expérience et résultats mesurables
L'adoption du cloud souverain dans le secteur public, tant en Europe qu'en Afrique, commence à produire des retours d'expérience tangibles, avec des résultats mesurables en termes de sécurité, de conformité et d'efficacité.
En France, la doctrine "Cloud au Centre" a conduit à une augmentation significative des usages du cloud dans l'État, avec une volumétrie d'achat via le marché UGAP qui double chaque année depuis sa mise en place. La Direction Interministérielle du Numérique (DINUM) a même évoqué "un projet par jour dans le cloud pour l'État" en début 2024, soulignant l'accélération de cette transformation. L'accent mis sur la qualification SecNumCloud pour les données sensibles a permis de garantir un niveau de sécurité élevé pour les projets critiques, comme ceux concernant la santé ou la défense. Par exemple, des administrations ont pu migrer des applications métiers essentielles vers des infrastructures cloud de confiance, améliorant la résilience et la disponibilité des services publics, tout en assurant une protection contre les législations extraterritoriales. Le partenariat entre OVHcloud et Bitdefender pour une plateforme de cybersécurité souveraine illustre la capacité des acteurs européens à proposer des solutions intégrées répondant aux exigences les plus strictes en matière de souveraineté et de sécurité. Les opérations SecNumCloud, réalisées exclusivement par du personnel basé en Europe, renforcent la confiance dans ces solutions pour les cas d'usage exigeant une forte souveraineté.
Dans le contexte africain, bien que les données chiffrées soient encore en consolidation, des succès peuvent être observés. Au Sénégal, l'exigence de localisation des données a encouragé le développement de datacenters locaux et le renforcement des compétences en cybersécurité. Cela a permis aux institutions publiques de mieux contrôler leurs informations, en particulier les données électorales ou de recensement, qui sont vitales pour la stabilité et la souveraineté nationale. Ces initiatives contribuent à réduire la dépendance vis-à-vis des infrastructures étrangères et à renforcer la résilience face aux cybermenaces.
Les leçons apprises de ces expériences sont multiples. Premièrement, la souveraineté numérique ne se limite pas à la localisation des données ; elle englobe également la gouvernance, la sécurité et l'autonomie technologique. Deuxièmement, la collaboration entre les secteurs public et privé est essentielle pour développer des offres de cloud souverain compétitives et adaptées aux besoins spécifiques des administrations. Troisièmement, l'investissement dans les compétences humaines est aussi crucial que l'investissement dans les infrastructures. Sans une main-d'œuvre qualifiée, l'adoption et l'exploitation optimales du cloud souverain restent limitées. Enfin, un cadre réglementaire clair et stable, à l'image du RGPD en Europe ou des conventions de l'Union Africaine, est fondamental pour établir la confiance et encourager l'adoption. Les organisations qui ont réussi leur transition ont souvent commencé par des projets pilotes à moindre risque, permettant d'acquérir de l'expérience et de valider les approches avant une généralisation.
Recommandations pour passer à l'action
L'adoption du cloud souverain par le secteur public est une démarche stratégique complexe qui exige une planification rigoureuse et une exécution méthodique. Voici des recommandations concrètes pour les institutions souhaitant s'engager dans cette voie :
- Définir une stratégie cloud claire et progressive : Avant toute chose, les institutions doivent élaborer une doctrine cloud qui identifie les types de données (sensibles, non sensibles) et les services associés, afin de déterminer le niveau de souveraineté requis pour chaque workload. Il est judicieux de commencer par des projets moins critiques pour gagner en expérience avant d'aborder les systèmes les plus sensibles.
- Privilégier les solutions certifiées et qualifiées : En Europe, rechercher des prestataires certifiés SecNumCloud par l'ANSSI ou des équivalents nationaux garantit le plus haut niveau de sécurité et de conformité. En Afrique, s'appuyer sur des cadres réglementaires nationaux et régionaux (comme la Convention de Malabo) et encourager les certifications locales est primordial.
- Investir dans les compétences internes : Le manque de personnel qualifié est un frein majeur. Les administrations doivent investir massivement dans la formation de leurs équipes aux architectures cloud, à la cybersécurité, à la gestion des données et aux aspects réglementaires. Des partenariats avec des organismes de formation ou des universités peuvent accélérer ce processus.
- Favoriser la collaboration public-privé et les écosystèmes locaux : Pour développer une offre souveraine robuste, il est essentiel de travailler avec des acteurs locaux et régionaux du cloud et de la cybersécurité. Soutenir l'émergence de datacenters africains et d'entreprises technologiques locales contribue à l'autonomie numérique et à la création d'emplois.
- Adopter des architectures hybrides et réversibles : Opter pour des solutions qui permettent une combinaison de clouds souverains, privés et publics, tout en assurant une interopérabilité et une réversibilité des données, réduit les risques de verrouillage technologique et offre une flexibilité précieuse. Les technologies open source sont un atout majeur dans cette démarche.
- Prendre en compte l'impact de l'IA : Avec l'essor de l'intelligence artificielle, les besoins en puissance de calcul et en gestion de données massives augmentent. La stratégie cloud souverain doit anticiper ces évolutions en choisissant des infrastructures capables de supporter les workloads d'IA en toute sécurité et conformément aux réglementations sur les données.
- S'engager dans la gouvernance des données : Au-delà de l'infrastructure, la souveraineté numérique implique une gouvernance stricte des données. Les institutions doivent mettre en place des politiques claires concernant l'accès, le stockage, le traitement et la suppression des données, en s'assurant de la conformité avec les cadres juridiques nationaux et régionaux.
- Éviter les erreurs courantes : Ne pas confondre souveraineté numérique avec simple localisation des données sans adresser les défis structurels sous-jacents. Ne pas sous-estimer la complexité de la migration et les coûts associés. Éviter de se précipiter sans une analyse approfondie des besoins et des risques. Enfin, ne pas ignorer l'importance de la sensibilisation des utilisateurs finaux à la sécurité des données.
En suivant ces recommandations, les institutions publiques peuvent naviguer avec succès dans le paysage complexe du cloud souverain, renforçant leur autonomie numérique et offrant des services publics plus sûrs et plus efficaces à leurs citoyens.
Sources :
- France 2030 : stratégie d'accélération cloud | Direction générale des Entreprises. https://www.entreprises.gouv.fr/fr/numerique/france-2030-strategie-d-acceleration-cloud
- Cloud Souverain : définition, enjeux et solutions. https://www.lebigdata.fr/cloud-souverain-definition
- Le secteur public face aux défis du cloud souverain et de confiance. https://www.informatiquenews.fr/le-secteur-public-face-aux-defis-du-cloud-souverain-et-de-confiance-86620
- Doctrine cloud de l'État : premier bilan - LeMagIT. https://www.lemagit.fr/actualites/252583567/Doctrine-cloud-de-lEtat-premier-bilan
- Cloud souverain et IA : sécuriser les services publics français - InformatiqueNews.fr. https://www.informatiquenews.fr/cloud-souverain-et-ia-securiser-les-services-publics-francais-87422
- La souveraineté numérique de l'Afrique : au-delà de la localisation des données - Centre for International Governance Innovation. https://www.cigionline.org/fr/publications/la-souverainete-numerique-de-lafrique-au-dela-de-la-localisation-des-donnees/
- LA CYBERSÉCURITÉ ET LA SOUVERAINETÉ NUMÉRIQUE AU SÉNÉGAL. https://www.researchgate.net/publication/377599723_LA_CYBERSECURITE_ET_LA_SOUVERAINETE_NUMERIQUE_AU_SENEGAL
- Note de marché IDC : les exigences de souveraineté des données dans l'UE façonnent un nouveau partenariat cybersécurité–cloud - Bitdefender. https://www.bitdefender.com/blog/business/fr_fr/note-de-marche-idc-les-exigences-de-souverainete-des-donnees-dans-lue-faconnent-un-nouveau-partenariat-cybersecurite-cloud/
- Doctrine « cloud au centre » : moderniser l'action publique tout en sécurisant les données sensibles - Oodrive. https://www.oodrive.com/fr/blog/doctrine-cloud-au-centre-moderniser-action-publique-securisant-donnees-sensibles/