Le cloud européen, là où la souveraineté et le coût pointent dans la même direction

Un architecte pointe dans le portail cloud vers la région : Francfort. Les données restent en Europe, dit-il, et techniquement c'est exact. Pourtant, la question la plus importante n'est pas pour autant tranchée. Les disques sont en Allemagne, le fournisseur est aux États-Unis, et c'est ce second point qui détermine sous quelle loi tombent vos données.

Prenez du recul et la dépendance apparaît. Les fournisseurs de cloud européens ne conservent plus qu'environ 15 % de leur propre marché domestique, contre 29 % en 2017. AWS, Microsoft et Google en prennent ensemble environ 70 % (Synergy Research Group, 2025). Pour un continent qui qualifie ses données de matière première stratégique, c'est un rapport déséquilibré. Il détermine la position de négociation de chaque organisation belge, même s'il figure rarement dans une offre.

Où se trouvent les données, et sous quelle loi elles tombent

La résidence et la juridiction sont souvent confondues, alors qu'il s'agit de deux questions distinctes. La résidence concerne l'emplacement physique des disques. La juridiction concerne qui peut y accéder par voie juridique. Le CLOUD Act américain autorise les autorités américaines à réclamer des données auprès de fournisseurs de cloud américains, quel que soit l'endroit où elles se trouvent physiquement, y compris dans des centres de données européens (Orrick, 2026). Un centre de données à Francfort qui appartient à une entreprise américaine ne place donc pas vos données hors de portée américaine.

Ce n'est pas une raison de s'alarmer. En pratique, il se passe rarement quelque chose, et pour une grande partie de vos données la question importe d'ailleurs peu. Mais pensez à un hôpital avec des dossiers de patients, à une banque avec des données de transactions, à un service public avec des numéros de registre national. Pour une direction qui doit y peser un risque, un canal juridique que vous ne voyez pas et que vous ne pouvez pas contester est un poste réel. Vous n'avez pas besoin d'exagérer la probabilité pour en tenir compte.

La réglementation pousse dans la même direction

L'Europe a vu cette dépendance et rectifie le tir. Le Data Act, Règlement (UE) 2023/2854, s'applique depuis le 12 septembre 2025 et impose des obligations de changement de fournisseur : équivalence fonctionnelle, interopérabilité, et une réduction des frais de changement et de sortie. Quitter un fournisseur devient ainsi un droit, là où c'était autrefois une faveur que vous rachetiez au gigaoctet.

NIS2 agit du côté de la responsabilité. La directive attend de vous que vous puissiez démontrer où se trouvent vos données et qui peut y accéder, et place la surveillance de ce point sous la responsabilité de la direction. Ainsi, la question de savoir où résident vos données et sous quelle juridiction elles tombent passe de la salle des serveurs à la table de direction. Un audit cyber security met précisément ces deux points sur la table : sous quelle loi tombent vos données, et combien vous coûte le départ.

Le coût tire du même côté

La souveraineté n'est pas la seule raison pour laquelle les équipes réexaminent leur position dans le cloud. La facture l'est tout autant. Dans le Flexera 2025 State of the Cloud, 84 % des organisations citent la maîtrise des coûts du cloud comme leur plus grand défi, avec un dépassement de budget moyen de 17 %. Ce qui a commencé comme un coût variable qui grandit avec vous figure au bout de quelques années dans les comptes comme une charge fixe difficile à inverser.

Cette frustration met les gens en mouvement. Dans la Barclays CIO Survey de 2024, 83 % des DSI veulent rapatrier cette année-là au moins une charge de travail du cloud public, contre 43 % fin 2020, le coût étant le principal moteur. La nuance compte : les sorties complètes restent rares, la plupart des organisations restent hybrides. L'enjeu n'est pas de quitter le cloud, mais de reprendre la main sur sa propre position, sur le cloud que vous utilisez et sur le prix à payer pour en ressortir.

Le choix constructif : une stack ouverte en gestion propre sur un cloud européen

Placez ces deux lignes côte à côte, souveraineté et coût, et elles pointent dans la même direction. L'approche qui réduit votre exposition juridique est généralement aussi celle qui maîtrise votre run-rate. Chez YK, il s'agit d'une plateforme open source unique en votre propriété, sur un cloud européen, avec une stack standard que chaque développeur peut lire : Kubernetes, PostgreSQL, ClickHouse, Metabase. Le code se trouve dès le jour 1 dans votre dépôt, pas dans le nôtre.

L'interopérabilité que le Data Act formule comme un droit est déjà intégrée dans le mode de construction de cette approche. Cela fonctionne sur quatre plans à la fois :

• Résidence : vos données se trouvent dans une région européenne, chez un fournisseur européen, hors de portée du CLOUD Act.
• Juridiction : vous démontrez où se trouvent les données et qui peut y accéder, exactement ce qu'un audit et NIS2 vous demandent.
• Portabilité : open source et formats ouverts, de sorte qu'un changement de fournisseur ne demande pas de rétro-ingénierie.
• Coût : un run-rate que vous pilotez vous-même, sans licences par utilisateur qui grimpent avec votre croissance.

Pour la finance, le modèle de calcul change aussi. Vous payez pour l'infrastructure que vous utilisez réellement, plus la maintenance, au lieu d'une licence par utilisateur qui augmente à chaque embauche. La facture du cloud reste variable, mais vous pouvez la comparer à des alternatives, car rien dans la stack ne vous retient chez un seul fournisseur. C'est la différence entre un coût que vous subissez et un coût que vous pilotez.

Un cloud européen n'est pas automatiquement moins cher ni plus riche en fonctionnalités, et sur ce plan les hyperscalers ont une véritable avance. Le choix va donc au-delà de la liste des fonctionnalités. Il porte sur le pouvoir de décision : qui décide où résident vos données, qui peut formellement y accéder, et ce que coûte le départ. Celui qui fixe cela en amont du parcours plutôt qu'au moment du renouvellement garde la facture et le contrôle de son côté. Notre approche construit cela par vagues avec un feu vert ou rouge à chaque étape, de sorte que l'existant continue de tourner jusqu'à ce que chaque vague soit stable et que vous ne mettiez jamais tout en jeu d'un coup.