Cloud européen

Le cloud européen est un service d'informatique en nuage portée par des standards et règles européennes assurant l'ouverture, l’interopérabilité, la sécurité des données pour ses utilisateurs États, entreprises et particuliers.

Face à la puissance américaine dans le domaine du cloud et au retard européen, plusieurs initiatives sont lancées pour une « infrastructure de données européenne », au nom de sa « souveraineté ».

La Commission européenne a établi en 2021 un groupe d'experts chargé d'accélérer la création d’un cloud européen. Il devra établir des conditions sures pour les contrats applicables aux services informatiques en nuage^[1].

Ce groupe devra également statuer sur les bonnes pratiques à mettre en œuvre afin de garantir la sécurité des usagers et de répondre aux préoccupations des consommateurs et des petites PME, qui renoncent souvent à recourir à de tels services faute de contrats sécurisants.

Ce groupe est constitué à la suite du scandale d'espionnage de la NSA (le scandale PRISM), sous la demande des usagers réticents à laisser leurs données personnelles aux mains des États-Unis. Selon une étude de l'entreprise Cloud Security Alliance, un non-résident américain sur 10 a retiré ses données d'une entreprise installée aux États-Unis.

Les acteurs européens du marché espèrent bénéficier de ce scandale afin de gagner des parts de marché.

Selon les dires de Viviane Reding : « Nous demandons ainsi à des experts d'établir un ensemble équilibré de clauses et de conditions contractuelles afin que les consommateurs et les petites et moyennes entreprises puissent recourir en toute confiance aux services d’informatique en nuage. La confiance paie : les citoyens doivent pouvoir être certains que les services qu’ils utilisent sont équitables et fiables »^[2].

En 2020, face à la puissance américaine dans le domaine du cloud autour d'Amazon, Google, Microsoft et au retard européen, le projet franco-allemand GAIA-X est lancé pour une « infrastructure de données européenne », au nom de la « souveraineté ». L’initiative est plutôt une coopération d’acteurs européens existants. Et un label promouvant « les principes d’ouverture, d’interopérabilité, de transparence et de confiance dans la mise en place d'un standard européen. Les 22 premiers membres sont des grandes entreprises françaises et allemandes, soit fournisseurs de solutions d’hébergement et de logiciels, soit clientes de ces services : Orange, Deutsche Telekom, Bosch, Siemens, Atos, OVHcloud, Scaleway, BMW…^[3].

Plusieurs experts et gouvernements européens s'inquiètent de la multiplication des partenariats que signent de grandes entreprises européennes avec des géants américains pour accélérer dans le cloud computing^[4].

En juillet 2020, un arrêt de la Cour de justice de l'Union européenne estime que la législation actuellement en vigueur aux États-Unis ne permet pas d’assurer un niveau de protection adéquat pour les personnes concernées européennes dont les données transiteraient par les États-Unis, invalide le Bouclier de protection des données UE-États-Unis connu sous le nom de Privacy Shield^[5].

Le 18 novembre 2021, un des 22 membres fondateurs, Scaleway annonce son retrait de GAIA-X en raison de la présence jugée trop importante des acteurs américains comme Microsoft, Google ou Amazon, qui contrôlent environ 70 % du marché^[6].

L'Autrichien Maximillian Schrems parvient à faire annuler l’accord Privacy Shield définissant les règles de transfert des données personnelles hors d’Europe. Selon lui, « jusqu’à présent, les entreprises américaines ont ignoré le droit européen chaque fois qu’il y a eu un conflit entre le droit de l’Union européenne et les lois des Etats-Unis [...]. Il peut être nécessaire de construire des alternatives européennes »^[7].

Selon KPMG France dans un livre blanc (2021), le marché européen du Cloud est en forte croissance, et à forts enjeux : avec +27 % de croissance de 2017 à 2019, il est alors estimé à 53 milliards d'euros en 2020 et devrait atteindre 300 à 500 milliards en 2027-2030^[8],[9]. Ce rapport souligne que d'un point de vue « légal et réglementaire, le marché du cloud computing présente des risques élevés et un besoin d'harmonisation entre les marchés américains et européens ».

Dans les années 2000-2010, face à cet essor exponentiel et à l'importance stratégique du numérique, ainsi qu'à ses dérives possibles, et alors que les systèmes de données évoluent selon trois types d'ouverture : fermés (ex. : réseau d'un OEM), ouverts (ex. : Catena-X dans l'automobile), et interconnectés/collaboratifs, où les membres participent à plusieurs écosystèmes simultanément, il est apparu que cette complexité croissante et l'émergence de l'IAg imposait des exigences renforcées en matière d'interopérabilité, de souveraineté et de sécurité informatique et géostratégique, nécessitant la mise en place d'une « approche fédératrice » capable d'harmoniser les identifiants, les politiques d'usage des données et les schémas de description entre les différents espaces de données^[10],[11].

Pour cela, l'Union européenne a mis en place des politiques d'encadrement et de soutien d'une « économie fondée sur la donnée ». Cinq projets liés au cloud computing sont accompagnés d'évaluation des limites des règles existantes, face à l'usage de services de Cloud hors-UE ; et de l'efficacité des stratégies réglementaires proposées^[12].

Deux initiatives structurantes, en 2015 puis 2019, ont encouragé la collaboration d'acteurs européens du Cloud dans l'Union européenne :

1. International Data Spaces (IDS) : lancée en 2015 par l'Institut Fraunhofer pour les télécommunications et soutenue par le ministère fédéral allemand de l'Éducation et de la Recherche, l'IDS vise une architecture logicielle distribuée, garantissant la souveraineté des données. Ce projet est porté par l'« IDS Association » (IDSA), qui maintient le modèle de référence IDS RAM, intégré dans la norme DIN SPEC 27070 pour l'échange sécurisé de données ^[13].
   Dans le cadre de l'économie des données, un consensus s'est établi parmi les décideurs, praticiens et chercheurs : l'attribution de droits de propriété, ou d'exclusivité sur les données, ne favorise pas leur partage ni l'innovation, contrairement à une approche centrée sur l'accès et la réutilisation des données. En conséquence, les mécanismes de régulation doivent reposer sur le droit contractuel inter partes, et non sur des droits erga omnes, avec pour objectif de garantir la souveraineté des données par des accords entre les acteurs de l'écosystème. L'initiative IDS propose des modèles de contrats-types permettant aux producteurs de données, courtiers en données et utilisateurs de définir librement leurs modalités de partage. Mais l'automatisation complète des paramètres contractuels n'est pas réalisable (pour le cas des blockchains et de leurs contrats dits "intelligents" notamment), qui soulèvent d'importants défis juridiques et réglementaires. Le Droit existant ne leur étant pas adapté par exemple en termes de d'applicabilité, de compétence juridictionnelle, de protection des données et de sécurité, notamment face à l'émergence de l'informatique quantique qui pourrait rendre désuet les techniques classiques de cryptage)^[14],[15], une initiative allemande dite « Legal TestBed »^[16], portée par un consortium de partenaires académiques et industriels, porté par une Plattform Industrie 4.0, et financée par le ministère allemand de l'Économie, pour produire des recommandations pour une conformité légale de cette Industrie 4.0 et de ses contrats automatisés, dont les attentes et la mise en œuvre, selon Boris Otto^[17], Michael ten Hompel^[18] et Stefan Wrobel^[19] en 2022, doivent être modérées, en attendant un cadre juridique adapté, « qui pourrait surpasser les modèles traditionnels de licence » ;
2. Gaia-X, initiative officialisée en 2019 par les ministres de l'Économie allemand et français, créée en 2020 par 11 membres fondateurs, avec un statut d'association officialisé en Belgique en 2021, soutenues par la Commission européenne (dans le cadre de sa stratégie 2020)^[20], inspirée de la stratégie allemande en intelligence artificielle), qui encourage la structuration d'un cloud européen fédéré, interopérable et transparent, en y intégrant des services fédérés tels que l'identité numérique, la conformité et la gestion de la confiance ; Gaia-X vise la souveraineté des données industrielles européennes face aux fournisseurs de cloud non européens. Basée en Belgique, elle s'est structurée en une association internationale regroupant en 2022 « plus de 340 membres issus de l'écosystème cloud européen et international »^[21] issus de plus de 20 pays et 16 hubs nationaux. Via des règles communes de portabilité et d'interopérabilité, Gaia-X ambitionne de créer des espaces de données sectoriels (finance, santé, énergie, mobilité, etc.) reposant sur une architecture conforme dès la conception, avec des mécanismes de confiance et de labellisation, considérant les données comme un levier de création de valeur comparable à l'impact du web sur l'essor d'Internet^[21]. Gaia-X s'organise autour de trois comités de travail : 1) technique (identité décentralisée, composition de services, auto-description), 2) politique (règles de conformité, labellisation, vérification des identifiants), et 3) commercial (modélisation métier, exigences opérationnelles, coordination des hubs nationaux). Les règles de gouvernance sont élaborées conjointement par les fournisseurs et les utilisateurs, y compris les principaux acteurs américains et chinois, à condition qu'ils respectent les standards définis^[21]. Gaia-X prévoit une croissance significative de l'usage du cloud en Europe, soutenue par le développement de services fédérés open source et la création d'espaces de données sectoriels dans des domaines stratégiques tels que l'énergie, la santé, la mobilité, l'agriculture ou l'aérospatial, en lien avec la stratégie numérique de la Commission européenne^[21].

Ces deux initiatives sont étroitement alignées pour assurer une interopérabilité fluide entre leurs architectures respectives.

Face à la domination historique des géants américains comme Amazon Web Services, Microsoft Azure et Google Cloud, le marché du cloud européen s'organise autours d'acteurs publics et privés et de partenariats publics-privés pour développer des infrastructures numériques dites souveraines, sécurisées et conformes aux réglementations locales telles que le RGPD. Parmi les principaux fournisseurs ayant créé et gérant des centres de données situés en Europe, figurent

• OVHcloud (France),
• Stackscale (Espagne),
• Scaleway (France),
• Hetzner (Allemagne),
• Aruba Cloud (Italie),
• CloudFerro (Pologne), créé en 2015, qui se renforce avec des projets comme NSIS-Cloud en Pologne et des partenariats stratégiques avec l'ESA et EuroHPC, pour principalement soutenir l'innovation en intelligence artificielle et en observation de la Terre et en particulier via le secteur spatial européen, au service de la recherche sur le climat et la science, avec dans le même temps le souhait de verdir sa consommation d'énergie^[22].

En 2025, la croissance de ce marché est portée par la transformation numérique, le télétravail, l'intelligence artificielle et les exigences de souveraineté technologique, avec une attention croissante portée à la résilience des infrastructures et à la performance énergétique, par exemple en développant le « green edge processing » (une approche du traitement des données dit à la périphérie du réseau (edge computing) visant à réduire l'empreinte énergétique du Cloud et des systèmes d'IA, notamment, en minimisant les transferts vers les centres de données et en optimisant les ressources locales pour une « informatique durable »^[23].

• RGPD
• CLOUD Act
• informatique en nuage
• GAIA-X
• Sécurité du cloud
• Sécurité des infrastructures du cloud
• Cybersécurité

• Portail d’Internet
• Portail de l’informatique
• Portail des logiciels
• Portail des entreprises
• Portail de l’Europe
• Portail de l’Union européenne