Souveraineté numérique française : L'illusion des solutions hybrides S3NS et Bleu

Deux solutions, un même piège

La France dispose aujourd'hui de deux offres de cloud "souverain" en cours de certification SecNumCloud : S3NS (Thales + Google Cloud) et Bleu (Orange + Capgemini + Microsoft Azure). Ces deux solutions sont présentées comme la réponse française à la dépendance aux hyperscalers américains.

Important : À date (octobre 2025), S3NS et Bleu sont en cours de qualification SecNumCloud auprès de l'ANSSI. Selon le site de l'ANSSI (consulté en octobre 2025), aucune certification définitive n'a encore été publiée pour ces deux solutions. Il existe cependant plusieurs solutions SecNumCloud déjà certifiées et véritablement indépendantes du droit américain, notamment des acteurs français comme Outscale, Numspot, ou encore des infrastructures souveraines européennes (liste complète sur le site de l'ANSSI).

Pourtant, malgré leurs différences d'actionnariat et de technologies sous-jacentes, S3NS et Bleu partagent une caractéristique fondamentale : elles ne sont pas souveraines au sens technique strict. Toutes deux reposent sur des infrastructures américaines (Google Cloud Platform pour S3NS, Microsoft Azure pour Bleu) et restent donc structurellement soumises au droit extraterritorial américain.

Comprendre les justifications des solutions hybrides

Avant d'analyser les limites de ces solutions, il convient de reconnaître les arguments qui motivent leur création :

1. Le pragmatisme temporel : Les partisans de S3NS et Bleu argumentent qu'une solution 100% européenne nécessiterait 10-15 ans de développement. Les solutions hybrides permettraient de sécuriser immédiatement les données critiques tout en préparant une transition future.

1. La qualification SecNumCloud en cours : Ces solutions ont entamé le processus de qualification SecNumCloud de l'ANSSI, ce qui, une fois obtenue, garantira un niveau élevé de sécurité et de protection des données. Les défenseurs soulignent que cela offrirait des garanties supérieures aux solutions cloud américaines directes.

1. Le contrôle opérationnel : Thales, Orange et Capgemini contrôlent effectivement l'exploitation quotidienne et l'accès aux données. Dans un scénario de routine, sans pression géopolitique majeure, ce contrôle est réel.

1. La gouvernance française : Les structures de gouvernance sont françaises, les administrateurs sont français, et les données sont hébergées en France. Pour de nombreux cas d'usage ne présentant pas d'enjeux géopolitiques critiques, cela peut suffire.

1. L'approche par étapes : Ces solutions sont parfois présentées comme une étape vers une souveraineté complète, permettant de former des compétences et de bâtir un écosystème avant une éventuelle migration vers des technologies 100% européennes.

Les limites structurelles persistent néanmoins

Lorsque ces joint-ventures affirment pouvoir maintenir leurs services pendant plusieurs mois en cas de coupure par leurs partenaires américains, ces affirmations méritent un examen critique à la lumière des réalités juridiques et opérationnelles du cloud.

Ces promesses reposent sur deux hypothèses fragiles : que les partenaires français (Thales/Orange/Capgemini) pourraient techniquement opérer sans le support de Google ou Microsoft, et que ces entreprises françaises pourraient juridiquement résister à une injonction américaine. Les précédents démontrent que ces deux hypothèses sont problématiques.

🎯 Ce qu'il faut retenir

S3NS et Bleu sont en cours de qualification SecNumCloud (processus non finalisé à octobre 2025). Plus important encore, ces solutions reposent sur une illusion dangereuse : celle qu'un contrôle capitalistique français suffirait à garantir la souveraineté. La réalité est tout autre : 100% de la technologie provient de Google et Microsoft, qui restent soumis au droit américain.

AWS, de son côté, mène une campagne marketing trompeuse en parlant de "souveraineté" sans rien changer à sa nature d'entreprise américaine. Aucune de ces trois options (S3NS, Bleu, AWS) n'offre de véritable indépendance vis-à-vis des États-Unis.

➡️ Prochaine étape : Mais concrètement, quels sont les mécanismes juridiques américains qui menacent ces infrastructures ? C'est ce que nous allons découvrir.

Anatomie des deux solutions hybrides

S3NS : Thales + Google Cloud

S3NS est une joint-venture créée en juin 2022 par Thales, qui en détient la quasi-totalité du capital. Google Cloud est actionnaire minoritaire avec moins de 8% du capital, bien en deçà du seuil de 24% fixé par l'ANSSI pour les acteurs étrangers. La solution utilise l'infrastructure Google Cloud Platform (GCP) déployée sur le territoire français, avec une gouvernance assurée exclusivement par Thales. Le conseil d'administration est composé de six personnes : cinq employés de Thales et une observatrice de Google sans droit de vote. S3NS est en cours d'obtention de la qualification SecNumCloud de l'ANSSI et vise principalement les administrations et les Opérateurs d'Importance Vitale (OIV).

Chiffres clés :

• Investissement initial : env. 1,5 milliard d'euros (est. sur 5 ans, sources : communiqués Thales, analyses Les Echos/L'Usine Digitale)
• Participation Thales : plus de 92% du capital
• Participation Google : moins de 8% du capital
• Technologie : 100% Google Cloud Platform
• Effectifs : passage de 80 à env. 200 salariés d'ici fin 2024
• Cible : Administrations, OIV, secteur défense

Bleu : Orange + Capgemini + Microsoft Azure

Bleu est une joint-venture annoncée en mai 2021 et créée en 2023 (après validation de la Commission européenne en juin 2023) entre Orange (50%) et Capgemini (50%). Microsoft n'a aucune participation au capital et n'intervient que comme partenaire technologique exclusif. La solution utilise l'infrastructure Microsoft Azure déployée en France, avec une gouvernance partagée Orange-Capgemini. Bleu est en cours d'obtention de la qualification SecNumCloud et a lancé ses activités commerciales en 2024.

Chiffres clés :

• Investissement initial : env. 1 milliard d'euros (est. sur 5 ans, sources : communiqués Orange/Capgemini, rapports financiers publics)
• Participation Orange : 50% du capital
• Participation Capgemini : 50% du capital
• Participation Microsoft : 0% du capital (partenaire technologique uniquement)
• Technologie : 100% Microsoft Azure
• Effectifs : env. 30 en 2024, objectif de 150 en 2025
• Cible : Administrations, OIV, OSE, entreprises, secteur privé

AWS : une communication trompeuse sur la "souveraineté"

Il est important de mentionner qu'Amazon Web Services (AWS) a fait un choix radicalement différent en France. AWS n'a créé aucune joint-venture avec des partenaires français et ne s'encombre pas d'intermédiaires qui ne serviraient au final qu'à augmenter les coûts pour le client.

Cependant, AWS a récemment lancé une campagne de communication agressive sur la "souveraineté", ce qui est particulièrement trompeur. L'entreprise tente de se positionner sur ce terrain alors même qu'elle reste une solution 100% américaine, soumise au droit américain (CLOUD Act, FISA, etc.).

Cette communication marketing mérite d'être dénoncée :

1. Une illusion de souveraineté : AWS utilise le terme "souveraineté" dans ses supports marketing sans avoir changé quoi que ce soit sur le plan juridique ou technique. C'est du pur marketing destiné à profiter du débat français sur ces questions.

1. Aucune différence structurelle : Contrairement à S3NS et Bleu qui créent au moins des structures juridiques françaises (même imparfaites), AWS reste une entreprise américaine directement soumise aux lois extraterritoriales américaines.

1. Une stratégie cynique : AWS observe que S3NS et Bleu mobilisent des milliards d'euros de fonds publics tout en restant techniquement dépendants des États-Unis, et tente de récupérer le marché en faisant croire qu'elle offre une forme de souveraineté.

1. L'absence d'intermédiaire comme "avantage" : Si AWS ne crée pas de joint-venture, ce n'est pas par transparence mais simplement parce qu'elle n'en a pas besoin pour gagner des marchés. L'absence d'intermédiaire réduit certes les coûts, mais ne change rien à la dépendance fondamentale.

Le problème commun : Que ce soit AWS direct, S3NS ou Bleu, aucune de ces solutions n'offre de véritable souveraineté. Les trois sont soumises au droit américain. La différence réside uniquement dans la stratégie commerciale et le prix, pas dans le niveau réel d'indépendance vis-à-vis des États-Unis.

Le point commun fatal : la dépendance technologique totale

L'illusion du contrôle capitalistique

Il est essentiel de comprendre que le contrôle du capital ne signifie pas le contrôle de la technologie. Cette distinction est au cœur du débat sur la souveraineté de S3NS et Bleu.

Pour S3NS :

• Thales détient plus de 92% du capital et contrôle entièrement la gouvernance
• Les cinq administrateurs sont des employés de Thales
• Google n'a qu'une observatrice sans droit de vote au conseil d'administration
• Mais : 100% de la technologie (code, licences, mises à jour) provient de Google Cloud Platform

Pour Bleu :

• Orange et Capgemini détiennent 100% du capital
• Microsoft n'a aucune participation capitalistique
• Mais : 100% de la technologie (code, licences, mises à jour) provient de Microsoft Azure

Pourquoi cette distinction est critique :

Le droit extraterritorial américain (CLOUD Act, FISA, Export Administration Regulations) s'applique aux entreprises américaines et à leurs technologies, pas aux structures capitalistiques qui les utilisent. Concrètement :

1. Les licences logicielles : GCP et Azure fonctionnent sur des licences révocables par Google et Microsoft
2. Les mises à jour : Toute mise à jour de sécurité ou fonctionnelle provient des États-Unis
3. Les clés de chiffrement : Les systèmes de chiffrement reposent sur des algorithmes et implémentations américaines
4. Le code source : Ni Thales ni Orange/Capgemini ne peuvent auditer le code propriétaire de GCP ou Azure
5. Les mécanismes de contrôle à distance : Non auditables publiquement sans accès au code source, le risque de backdoors ou kill switches n'est pas nul

Malgré leurs différences de structure, S3NS et Bleu partagent le même défaut originel : elles dépendent entièrement de technologies américaines propriétaires qu'elles ne contrôlent pas.

• S3NS utilise 100% de la stack Google Cloud Platform
• Bleu utilise 100% de la stack Microsoft Azure

Dans les deux cas :

• Le code source appartient à l'américain (Google ou Microsoft)
• Les mises à jour critiques viennent des États-Unis
• Les GPO et ACL s'exécutent sur du code propriétaire américain
• Les mécanismes de contrôle potentiels ne peuvent être auditées sans accès au code source
• La possibilité de coupures à distance existe et n'est pas auditable publiquement
• La supply chain matérielle est américaine (Intel, AMD, Nvidia, Broadcom)

La souveraineté ne se dilue pas dans l'actionnariat. Elle se définit par le contrôle de la technologie.

Le cadre juridique américain : l'épée de Damoclès

<abbr title="Clarifying Lawful Overseas Use of Data Act (2018) : loi américaine permettant au gouvernement US de contraindre les entreprises américaines à fournir des données stockées sur leurs serveurs, peu importe où ces serveurs sont situés dans le monde.">CLOUD Act</abbr> : la loi qui brise toutes les frontières

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), adopté en 2018, est l'instrument juridique qui rend impossible toute prétention à la souveraineté pour S3NS et Bleu.

Ce que dit le CLOUD Act :

• Le gouvernement américain peut contraindre toute entreprise américaine à fournir des données stockées sur ses serveurs, peu importe où ces serveurs sont situés dans le monde
• Cela inclut les données hébergées en France, en Allemagne, au Japon, ou n'importe où
• Cela s'applique même si la loi locale interdit la divulgation
• Les entreprises peuvent être poursuivies et condamnées si elles refusent

Comment cela affecte S3NS et Bleu :

Pour S3NS :

• Google Cloud est une entreprise américaine qui fournit 100% de la technologie
• Bien que Thales détienne plus de 92% du capital et contrôle entièrement la gouvernance, la technologie sous-jacente reste propriété de Google
• Si le gouvernement américain ordonne à Google de couper l'accès de Thales à la plateforme GCP ou de modifier le code, Google doit obéir au droit américain
• Si le gouvernement américain ordonne à Google de fournir les données hébergées en France, Google peut être contraint de s'exécuter
• Le contrôle capitalistique de Thales ne peut rien contre une injonction américaine visant Google en tant que fournisseur technologique

Pour Bleu :

• Microsoft Azure est une entreprise américaine qui fournit 100% de la technologie
• Même si Microsoft n'a aucune participation au capital, l'infrastructure reste sous contrôle américain
• Si le gouvernement américain ordonne à Microsoft de couper l'accès ou de fournir des données, Microsoft doit se conformer
• Orange et Capgemini peuvent contrôler les accès administratifs, mais pas le code source ni les licences

<abbr title="Foreign Intelligence Surveillance Act : loi américaine autorisant la surveillance électronique et physique d'agents de puissances étrangères. La Section 702 permet la collecte massive de communications sans mandat individuel.">FISA</abbr> Section 702 : la surveillance sans mandat

Le Foreign Intelligence Surveillance Act (FISA), notamment sa Section 702, permet aux agences de renseignement américaines de collecter massivement des communications électroniques sans mandat individuel.

Ce que permet FISA 702 :

• La NSA peut contraindre les entreprises américaines à fournir un accès direct à leurs systèmes
• Aucun mandat judiciaire individuel n'est requis pour surveiller des étrangers
• Les entreprises sont interdites de révéler l'existence de ces demandes (gag orders)
• La surveillance peut être massive et indiscriminée

Comment cela affecte S3NS et Bleu :

• Google et Microsoft peuvent être contraints de fournir un accès aux données hébergées en France
• Thales, Orange et Capgemini ne seraient même pas informés de cette surveillance
• Les certificats SecNumCloud ne protègent pas contre FISA 702

Export Administration Regulations (<abbr title="Export Administration Regulations : réglementations américaines contrôlant l'exportation de technologies, logiciels et données. Permettent au gouvernement US de sanctionner économiquement des entités étrangères.">EAR</abbr>) : le contrôle des exports technologiques

Les Export Administration Regulations permettent au gouvernement américain de contrôler l'exportation de technologies, logiciels et composants.

Ce que permettent les EAR :

• Interdire à une entreprise américaine de vendre ou de fournir des technologies à certaines entités
• Révoquer les licences logicielles existantes
• Bloquer les mises à jour critiques de sécurité
• Imposer des sanctions aux entreprises qui contournent ces restrictions

Comment cela affecte S3NS et Bleu :

• Si une entité française est sanctionnée, Google et Microsoft doivent cesser de fournir leurs services
• Les licences GCP et Azure peuvent être révoquées
• Les mises à jour de sécurité peuvent être bloquées
• Thales, Orange et Capgemini n'ont aucun recours juridique contre ces décisions

Les précédents qui doivent nous alarmer

BNP Paribas : 8,9 milliards de dollars d'amende (2014)

En 2014, BNP Paribas a plaidé coupable de violations des sanctions américaines contre Cuba, l'Iran et le Soudan, et a été condamnée à payer 8,9 milliards de dollars d'amende.

Les faits :

• BNP Paribas avait traité des transactions en dollars pour des clients dans des pays sous sanctions américaines
• Ces transactions n'impliquaient ni territoire américain, ni citoyens américains
• La juridiction américaine s'est basée sur l'utilisation du système bancaire en dollars

La leçon pour S3NS et Bleu : Si l'utilisation du dollar …