Cloud souverain : AWS défie la juridiction américaine, mais reste sous pression

Un vent de changement souffle sur le cloud européen avec l’arrivée récente d’un nouveau service baptisé « Sovereign Cloud » d’Amazon Web Services. Cette offre, qui promet autonomie et indépendance, suscite autant d’intérêt que de questionnements dans un contexte où la souveraineté numérique devient un enjeu stratégique pour les entreprises du continent.

Un nouveau « cloud souverain » made in AWS

C’est dans le Brandebourg, en Allemagne, qu’AWS a choisi d’implanter son premier centre de données souverain européen. Cette installation marque le début d’une expansion qui se poursuivra prochainement en Belgique, aux Pays-Bas et au Portugal.

L’offre comprend environ 90 services cloud, gérés par une filiale spécifique « dirigée par des citoyens de l’UE ». AWS assure que sa plateforme est « conçue pour continuer à fonctionner indéfiniment, même en cas de perturbation des communications avec le reste du monde ».

Parmi les premiers clients, on compte déjà le fournisseur d’énergie allemand EWE AG et l’hôpital universitaire Medizinische Universität Lausitz — Carl Thiem (MUL-CT).

L’ombre de l’extraterritorialité américaine

Malgré les promesses, des analystes s’interrogent sur la véritable résistance de cette offre face aux lois extraterritoriales américaines.

Le Cloud Act, un obstacle incontournable?

René Buest, directeur principal chez Gartner, ne mâche pas ses mots : « La filiale allemande appartient toujours à AWS, une société américaine ce qui l’expose à certains risques. C’est un éléphant dans la pièce ».

Deux préoccupations majeures demeurent pour les entreprises européennes:

– Le Cloud Act américain de 2018, qui pourrait contraindre AWS à divulguer aux États-Unis des données stockées en Europe
– Le risque de sanctions gouvernementales américaines pouvant bloquer l’accès aux services, même pour des opérations entièrement basées en Europe

Des précédents qui inquiètent

Ces craintes ne sont pas infondées. Plusieurs cas récents montrent la portée de l’extraterritorialité américaine:

Le procureur général de la Cour pénale internationale a vu son compte Microsoft suspendu à la demande de l’administration Trump. Adobe a coupé l’accès à ses clients vénézuéliens en 2019, tandis que Microsoft bloquait temporairement des applications pour la société énergétique indienne Nayara.

Une entité juridique distincte: protection suffisante?

La création d’une entité juridique séparée par AWS vise à répondre à ces inquiétudes. Mais est-ce vraiment efficace?

Dario Maisto, analyste senior chez Forrester, reste prudent: « Cette question reste ouverte à ce stade. Les différends devront être jugés devant les tribunaux avant de pouvoir avoir une réponse définitive ».

Il précise: « La propriété légale a son importance, et c’est l’un des points qui pourrait ne pas être pris en compte par la configuration actuelle du cloud souverain d’AWS ».

Les alternatives européennes plus robustes?

Face à l’offre d’AWS, d’autres modèles émergent en Europe. Certains fournisseurs américains ont opté pour des partenariats avec des acteurs locaux: Google s’est allié à Thales pour créer S3ns, tandis que Microsoft a formé Bleu avec Orange et Capgemini.

Dans ces configurations, l’hyperscaler fournit sa technologie, mais les entreprises restent juridiquement indépendantes. Selon René Buest, ce modèle offre un niveau de « souveraineté opérationnelle » supérieur à l’offre d’AWS.

SecNumCloud: une protection relative

Même la qualification SecNumCloud, obtenue par certains de ces partenariats, ne garantit pas une immunité totale. Vincent Strubel, directeur général de l’Anssi, reconnaît que malgré un « niveau de sécurité élevé », elle n’est « pas complètement hermétique au droit extraterritorial ».

Un marché en pleine mutation

Malgré ces réserves, l’offre d’AWS « offre des garanties supplémentaires par rapport à son service de cloud public standard ». Pour Dario Maisto, « un changement décisif s’est produit au cours des derniers mois: nous sommes passés d’un intérêt pour les solutions souveraines à des comportements d’achats concrets ».

La démarche d’AWS démontre que « le fournisseur reconnaît le problème ». Les entreprises européennes devront désormais arbitrer entre différents niveaux de souveraineté en fonction de leurs besoins spécifiques.

La bataille du cloud souverain européen ne fait que commencer.