Le Cloud and AI Development Act, ou la souveraineté par niveaux

Une trajectoire de vingt-un mois

Le rapport sur l’avenir de la compétitivité européenne, remis par Mario Draghi en septembre 2024, recommande un « nouveau EU Cloud and AI Development Act » destiné à renforcer les capacités européennes de calcul, à harmoniser les exigences d’architecture cloud et les procédures d’achat public, et à coordonner des initiatives prioritaires pour mobiliser l’investissement privé [5]. La Boussole de compétitivité de janvier 2025 reprend l’intitulé, un appel à contributions est ouvert du 9 avril au 4 juin 2025 [10], et le programme de travail de la Commission pour 2026 annonce la proposition pour le premier trimestre [7]. Elle glisse au deuxième : mentionnée comme point possible du collège du 27 mai, elle est adoptée le 3 juin [7]. Le Conseil Télécommunications du 8 juin en prend connaissance et la présidence irlandaise l’inscrit parmi les dossiers du second semestre [12].

Deux remarques. L’analyse d’impact mentionne des tables rondes avec les dirigeants des fournisseurs européens de cloud, avec des investisseurs financiers et avec la chambre de commerce américaine [2]. On ne peut en déduire la paternité des clauses de sauvegarde examinées plus bas ; on peut seulement constater que le texte est issu d’un dialogue qui n’était pas exclusivement européen, ce qui n’a rien d’anormal pour un instrument de marché intérieur. La seconde tient à la base juridique : la proposition s’appuie sur l’article 114 du traité sur le fonctionnement de l’Union, c’est-à-dire sur l’harmonisation nécessaire au marché intérieur, non sur une compétence de sécurité [1]. La Commission doit donc présenter un instrument de souveraineté comme un instrument d’ouverture, et le texte s’expose à un contrôle de proportionnalité.

Anatomie du texte : trois piliers, quatre niveaux, deux soupapes

Le règlement s’organise en trois piliers. Le premier, consacré à la recherche, n’apparaît pas dans le deck et ne sera qu’évoqué. Le deuxième, dit de capacité, vise à tripler la capacité européenne de centres de données en cinq à sept ans [3]. Le troisième, dit d’autonomie, est le cœur politique du texte.

Capacité : zones d’accélération et projets stratégiques

Les articles 10 à 13 imposent à chaque État de désigner au moins une zone d’accélération pour les centres de données, sélectionnée selon la capacité du réseau électrique, la connectivité, la réutilisation de la chaleur fatale et une préférence pour les friches [4]. Un point d’information unique y accompagne l’investisseur, un permis de référence agrégé est délivré et la procédure d’autorisation est plafonnée à douze mois [11]. L’article 14 permet à la Commission de désigner des projets stratégiques remplissant deux conditions parmi cinq, dont l’intégration de technologies produites dans l’Union [4]. Ce pilier rencontre peu d’opposition de principe et beaucoup de scepticisme pratique : le plafond de douze mois se heurte au petit nombre de constructeurs certifiés, à la durée réelle des chantiers et à la file d’attente au raccordement [11]. Le texte traite la procédure, non le prix de l’énergie.

Souveraineté : la grammaire des quatre niveaux

L’article 16 et les annexes II et III établissent un cadre en quatre niveaux d’assurance. Le tableau ci-dessous en retient les cinq dimensions qui portent le débat ; le deck en compte neuf, les autres portant sur la localisation de l’infrastructure, les données d’inférence, le niveau de cybersécurité et le mode d’évaluation [4].

Trois lignes concentrent les enjeux. La ligne « contrôle » distingue le niveau 1, accessible à toute filiale européenne d’un groupe étranger, des niveaux 3 et 4, réservés aux entités établies, détenues et contrôlées dans l’Union. La ligne « vulnérabilités », présente dès le niveau 1, exige qu’un fournisseur soumis au contrôle d’un pays tiers garantisse qu’aucune loi de ce pays ne l’oblige à signaler à ses autorités des vulnérabilités non encore exploitées ; la formulation vise sans le nommer le régime américain de signalement des incidents et, par symétrie, le régime chinois de 2021 [9]. La ligne « logiciel » monte d’aucune exigence à un « contrôle effectif » au niveau 4 en passant par un logiciel « auditable » aux niveaux 2 et 3 ; c’est sur cette gradation, et sur la définition que l’annexe III donnera de ces deux mots, que portera la critique d’inspiration libre.

Les articles 17 à 28 organisent la reconnaissance des services par les autorités nationales après consultation des autres États, l’auto-évaluation au niveau 1, les audits indépendants des niveaux 2 à 4, un registre central public, les sanctions et l’assistance mutuelle [4]. Les destinataires de services disposent d’un droit à indemnisation pour tout dommage résultant d’une infraction du fournisseur [8]. Les articles 29 et 30 forment la partie contraignante : les États conduisent une évaluation nationale des risques qui détermine quels usages publics relèvent de quel niveau, la Commission en fixe la méthodologie par actes d’exécution, et les organismes publics « n’utilisent que » des services ayant obtenu l’un des quatre niveaux [4]. L’article 31 étend ce raisonnement, en mode facultatif, aux entités essentielles de NIS 2 [4].

Les deux soupapes

L’article 30 autorise les acheteurs, à titre exceptionnel, à recourir à un service ne satisfaisant pas le niveau requis lorsqu’ « aucune alternative adéquate ou raisonnable » n’existe [9]. Le Health Data Hub, où la CNIL puis le Conseil d’État ont admis en 2023 qu’aucun acteur autre que Microsoft n’offrait les capacités requises avant que l’État ne décide en 2025 d’une migration vers Scaleway, montre comment une telle clause fonctionne dans la durée [9].

L’article 18 permet à la Commission de décider qu’un pays tiers « offre des garanties suffisantes de souveraineté et de réciprocité », ce qui autorise un fournisseur contrôlé depuis ce pays à être audité au niveau 3. Six critères : une décision d’adéquation au titre du RGPD ; l’absence de mesures contraires à l’article 32 du Data Act [22] ; l’absence de mesures permettant de dégrader ou d’interrompre le service, y compris par sanctions ; l’absence d’entraves aux technologies de pointe ; un marché ouvert aux services cloud de l’Union ; un accès équivalent aux marchés publics [4]. Les États-Unis satisfont le premier critère par le cadre de protection des données UE-États-Unis ; la condition sur l’interruption de service, que la vice-présidente Virkkunen a résumée en disant que personne ne doit disposer d’un « interrupteur » [9], leur fait obstacle en l’état du droit américain des sanctions. La décision appartient à la Commission seule, par acte d’exécution : l’architecture présente là un point de défaillance unique. Le deck cite FedRAMP comme inspiration [4] ; la comparaison a une limite que la Commission ne signale pas, le niveau le plus élevé de FedRAMP restant accessible à des entreprises étrangères [9].

Ordre de grandeur

La Commission a fait savoir par voie de presse que la répartition attendue des marchés publics de cloud serait d’environ 70 % au niveau 1, 20 % au niveau 2, moins de 10 % au niveau 3 et de l’ordre de 1 % au niveau 4, ce dernier concernant principalement la défense [9]. Ces chiffres relèvent de la communication institutionnelle, non de l’analyse d’impact.

Si ces proportions se vérifiaient, la préférence européenne porterait sur un dixième des achats publics de cloud. OVHcloud a indiqué qu’il lui faudrait environ 15 % des achats publics du continent protégés de la concurrence extra-européenne pour atteindre l’échelle nécessaire [9]. L’écart entre ces deux nombres mesure la distance entre l’ambition affichée et l’effet de marché organisé.

Résilience : préférence, quota, fédération, achat conjoint, logiciel libre

L’article 32 dispose que lorsque les acheteurs utilisent des critères autres que le prix pour des achats innovants, ils « appliquent » des critères de valeur ajoutée européenne, sous quatre conditions issues du droit des marchés publics dont un caractère « accessoire et non décisif » [4] : une préférence accessoire et non décisive est, par définition, une préférence qui ne décide pas. L’article 33 fixe un objectif de 25 % des achats innovants attribués à des PME [4]. Les articles 34 à 36 créent une fédération cloud publique volontaire, la « EuroCloud Federation », permettant aux organismes publics de partager leurs capacités à prix coûtant [4]. Les articles 37 à 40 autorisent la Commission à agir comme centrale d’achat, fonction de « grossiste » justifiée par la faiblesse du pouvoir d’achat des acheteurs isolés [4]. Les articles 41 à 44 demandent à l’Union et aux États d’ « encourager » l’usage de standards ouverts et de composants sous licence libre, créent un catalogue européen et un réseau des bureaux du logiciel libre des administrations [4] [13].

Les partenaires

Le deck a été présenté devant l’Alliance européenne pour les données industrielles, l’edge et le cloud, structure de concertation réunissant depuis 2021 industriels et États membres autour de la Commission [2]. Les fournisseurs européens du CISPE, dont OVHcloud, Scaleway ou Outscale, y obtiennent ce qu’ils demandaient depuis 2020 dans le débat sur l’EUCS : des critères d’immunité aux législations extraterritoriales inscrits dans un instrument européen, là où le schéma de certification reste bloqué [23]. Les industriels de la défense, par la voix de l’ASD, avaient plaidé pour un schéma inspiré du niveau « High+ » de l’EUCS et pour un catalogue de services souverains [17] ; les niveaux 3 et 4 et le registre en sont la traduction. Les opérateurs de Connect Europe avaient demandé une définition harmonisée du cloud souverain et une stimulation de la demande [18] ; ils obtiennent la première.

L’industrie du logiciel libre a obtenu un principe et non une obligation. Une lettre ouverte coordonnée en mai 2026 par Open-Xchange, SUSE et Nextcloud demandait un principe « open source first » contraignant [14]. SUSE a salué l’inscription du principe dans la partie normative d’un règlement tout en jugeant que l’article 41 échouait à son test du caractère « contraignant et exécutoire » [12]. Clever Cloud, fournisseur PaaS français membre de l’Alliance et du CISPE, a publié le 15 juin un document en huit recommandations qui salue « un premier pas bienvenu et pionnier » tout en jugeant que la rédaction vise d’abord les fournisseurs chinois et laisse entière la question des hyperscalers américains soumis au CLOUD Act et à la section 702 du FISA [29].

Les associations représentant les entreprises technologiques américaines, canadiennes, japonaises et australiennes ont demandé aux États membres, avant le Conseil du 8 juin, une révision « conforme aux principes de non-discrimination, de proportionnalité et d’ouverture aux partenaires commerciaux clés » [15] ; les fournisseurs américains ont, selon Lawfare, saisi le département du Commerce, sans représailles à ce stade [9]. Au Parlement, le député suédois Jörgen Warborn plaide pour limiter les exigences aux appl…