11181. — 25 novembre 2025. — M. Bastien Lachaud interroge M. le ministre de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique sur le Cloud Sovereignty Framework, récemment élaboré par l’Union européenne pour encadrer et orienter les achats publics de services de cloud au sein des États membres. Présenté comme un outil destiné à renforcer la souveraineté numérique des États membres, ce référentiel soulève de nombreuses interrogations dès lors que l’on examine en détail son système de notation. Celui-ci repose sur plusieurs catégories. Des acteurs du cloud alertent sur le fait que la souveraineté juridictionnelle, c’est-à-dire la capacité à garantir l’immunité des données face à des législations extraterritoriales telles que le Cloud Act américain, ne pèserait que de manière marginale dans le score global. Ainsi, un fournisseur soumis au droit étasunien pourrait obtenir une note globale élevée en compensant un mauvais niveau de souveraineté juridique. Un tel mécanisme risque, de fait, de favoriser à nouveau les grands acteurs extra-européens dans les appels d’offres publics. Cela revient à diluer une fois encore la souveraineté technologique et numérique de la France, en entretenant une dépendance structurelle aux clouds étasuniens plutôt qu’en consolidant durablement des filières nationales et réellement souveraines au sein de l’Union européenne. Il lui demande donc comment il apprécie ce nouveau cadre européen, s’il partage l’analyse du risque de voir les GAFAM mécaniquement favorisés malgré leur soumission au droit étasunien et quelles garanties il entend porter au niveau européen pour que la souveraineté juridique devienne un critère éliminatoire et non une simple variable de pondération. – Question ayant fait l’objet d’un changement d’attributaire. Le Gouvernement partage les préoccupations légitimes quant au maintien d’un haut niveau de protection et de souveraineté numérique dans les politiques d’achats publics. Le Cloud Sovereignty Framework, ou cadre de souveraineté du cloud, récemment publié, a bien été identifié par les autorités françaises. Ce cadre permet d’attribuer une cotation de souveraineté aux services cloud. Il importe toutefois de rappeler qu’il s’agit d’une initiative circonscrite aux travaux de la direction générale des services numériques (DIGIT) de la Commission européenne. Il n’a, à ce stade, pas vocation à structurer un cadre plus large que celui pour lequel il a été conçu initialement. Ce référentiel ne saurait en conséquence être considéré comme définissant une doctrine en matière d’achats publics de services cloud souverains par les États membres de l’Union européenne (UE). Par ailleurs, des travaux structurants sont actuellement engagés au niveau européen, en particulier dans le cadre du futur Cloud and AI Development Act (CAIDA), afin de soutenir l’émergence d’un écosystème européen et souverain en matière de services cloud et d’intelligence artificielle (IA). L’objectif est ainsi de disposer d’offres capables de garantir un niveau d’exigence élevé en matière de protection des données et des cas d’usage les plus sensibles, notamment des administrations publiques. Dans cette perspective, les autorités européennes travaillent à la définition d’un ensemble de critères qui pourrait permettre d’apprécier le caractère souverain d’un service cloud et d’un service d’IA, ainsi qu’à l’élaboration d’un dispositif harmonisé encadrant l’accès de certains marchés publics relatifs à ces services. Il s’agit d’offrir aux acheteurs publics un cadre clair et cohérent à l’échelle de l’Union européenne. Ce futur cadre dépasse ainsi le périmètre de l’appel d’offres fondé sur le Cloud Sovereignty Framework. En tout état de cause, les travaux européens en cours témoignent d’une prise en compte accrue des enjeux de souveraineté numérique et de protection contre les risques cyber, notamment liés à l’application de législations extraterritoriales non-européennes. Ils participent à une réflexion d’ensemble, comme en témoigne le sommet franco-allemand pour la souveraineté numérique, visant à renforcer la capacité de l’Union à protéger ses données, ses infrastructures et ses usages les plus sensibles. Une dynamique qui s’inscrit dans la pleine continuité de la politique cloud de confiance portée par la France depuis plusieurs années. Les autorités françaises resteront pleinement mobilisées dans l’ensemble des discussions européennes, notamment sur le schéma de certification de cybersécurité des services cloud (EUCS), afin de garantir une articulation cohérente entre les différentes initiatives en cours et de contribuer à l’émergence d’un cadre harmonisé, fiable et véritablement protecteur face aux risques – en particulier liés à l’application de lois extraterritoriales non-européennes – susceptibles de compromettre la souveraineté numérique de la France, et plus globalement de l’Union européenne. Il en va de notre capacité collective à structurer un marché européen du cloud compétitif, sûr et innovant, capable de répondre durablement aux besoins des administrations, des entreprises et des citoyens, et de renforcer, ce faisant, la souveraineté numérique et l’autonomie stratégique de la France comme de l’UE.