Datacenter souverain : localiser n'égale pas protéger

Le terme revient dans toutes les offres commerciales depuis deux ans, mais sa définition reste floue pour la plupart des acheteurs. Un datacenter souverain désigne, selon les sources spécialisées, une infrastructure de stockage et de gestion de données localisée et exploitée sous une juridiction nationale, avec une exigence de conformité aux lois locales. L'enjeu n'est pas seulement géographique : il est juridique, et c'est précisément ce que beaucoup d'offres dites « localisées en France » ne garantissent pas.

Ce que recouvre vraiment la notion de souveraineté numérique

Une définition à trois conditions

Plusieurs sources insistent sur une triple exigence pour qu'un site mérite le qualificatif de souverain : une condition juridique, une condition technique et une condition territoriale. La localisation physique des données en France ou dans le pays concerné ne constitue que le premier étage. Il faut aussi que l'exploitant soit soumis au droit national, et que la chaîne technique (matériel, logiciels, sous-traitants) ne réintroduise pas de dépendance étrangère par la bande.

Selon le blog spécialisé Datacenter Paris, un datacenter souverain est « une infrastructure d'hébergement exploitée par un opérateur de droit national ou européen, garantissant que les données hébergées ne sont pas soumises à des législations extraterritoriales étrangères, comme le Cloud Act américain ». La différence avec un site classique ne tient donc pas à la technologie employée, mais au cadre juridique qui l'encadre.

Le piège de la simple localisation géographique

C'est le point sur lequel butent la plupart des projets qui se réclament de la souveraineté sans la respecter réellement. Un cloud « localisé en France » chez un hyperscaler américain reste, en théorie, exposé au Cloud Act : cette loi fédérale autorise les autorités américaines à exiger l'accès aux données hébergées par tout opérateur américain, y compris dans ses centres de données européens, et ce sans notification préalable à l'entreprise cliente. Peu importe alors que les serveurs tournent à Marseille ou en Île-de-France : c'est la nationalité de la société mère, et non l'adresse du bâtiment, qui détermine l'exposition légale.

Cette confusion explique pourquoi les offres de type overlay, qui ajoutent une couche de conformité sur une infrastructure existante sans créer de région physiquement et juridiquement distincte, restent débattues. Microsoft, avec son Sovereign Landing Zone couplé à l'EU Data Boundary, applique ce modèle sur ses régions Azure existantes en Europe, y compris en Suisse, sans centre de données séparé ni label SecNumCloud confirmé à ce jour.

Le Cloud Act, la menace que le datacenter souverain veut neutraliser

Comment la loi américaine s'applique hors des Etats-Unis

Le Cloud Act (Clarifying Lawful Overseas Use of Data Act), adopté en 2018, donne aux autorités judiciaires américaines le pouvoir de réclamer des données à toute entreprise américaine, quel que soit le pays où ces données sont physiquement stockées. Un hébergeur français filiale d'un groupe américain, ou utilisant des briques technologiques sous licence américaine avec un droit de regard, peut donc rester juridiquement accessible à Washington même si ses serveurs sont installés à Rennes ou à Nantes. C'est cette faille que les offres se revendiquant réellement souveraines cherchent à combler, en garantissant, comme le formule l'hébergeur français Blue, que « ni le Cloud Act, ni le FISA ne s'appliquent », faute d'actionnaire américain et d'infrastructure hors de France.

La dépendance à des acteurs étrangers pour l'exploitation d'une infrastructure critique n'est pas qu'un risque juridique abstrait. Elle peut se traduire par une perte de contrôle opérationnel pur et simple en cas de crise, comme l'a montré un épisode récent au Moyen-Orient.

Les critères qui font, ou non, un site vraiment souverain

Il faut vérifier au moins quatre éléments avant de valider une offre commerciale : le contrôle capitalistique de l'exploitant, la juridiction de son siège social, la chaîne de sous-traitance technique et les technologies effectivement utilisées. Une société de droit français dont l'actionnariat majoritaire reste américain, ou qui s'appuie sur des logiciels dont l'éditeur conserve un accès à distance, ne coche pas toutes les cases malgré une communication qui parle de souveraineté.

Le marché du cloud souverain en 2026, entre croissance record et concurrence des hyperscalers

Le secteur connaît une accélération nette depuis un an. Selon les prévisions du cabinet Gartner, les dépenses européennes en infrastructure cloud souveraine de type IaaS doivent grimper de 6,9 milliards de dollars en 2025 à 12,6 milliards de dollars en 2026, soit une hausse de 83 % en un an, avant d'atteindre 23,1 milliards en 2027. À l'échelle mondiale, le même cabinet évalue les dépenses en cloud souverain IaaS à 80,4 milliards de dollars en 2026, en progression de 35,6 % sur un an. De son côté, le cabinet IDC situe le marché européen du cloud souverain à 38 milliards d'euros en 2026, avec un objectif de 100 milliards d'euros à horizon 2031 selon les projections relayées par Broadcom.

Où en est la France

Le parc français comptait 315 data centers en 2024, contre 250 en 2022, selon la Fondation IFRAP, qui projette 500 sites d'ici 2030. Un décompte plus récent, publié en août 2026 par Intotheminds, recense 352 installations sur le territoire, dont les trois quarts en Île-de-France. Le marché parisien a capté 1,74 milliard d'euros d'investissements en data centers en 2025 selon Cushman & Wakefield, devant Francfort et ses 1,57 milliard d'euros. La capacité opérationnelle francilienne atteint 703 mégawatts, complétée par 193 MW en construction. Un projet de campus souverain d'envergure, porté par Bpifrance avec NVIDIA et Mistral AI et pouvant atteindre 1,4 gigawatt, est prévu pour 2028 selon la même étude Cushman & Wakefield. Ce type de projet pourrait bénéficier du nouveau statut de projet d'intérêt national majeur créé pour accélérer certains chantiers d'infrastructure jugés stratégiques.

À l'échelle du continent, le cabinet ABI Research prévoit que le nombre de sites souverains en Europe passe de 197,8 en 2025 à 257,6 d'ici 2035, porté par les initiatives nationales, régionales et européennes de souveraineté numérique.

Un marché disputé entre offres américaines adaptées et acteurs purement nationaux

Deux stratégies s'affrontent aujourd'hui chez les grands fournisseurs. AWS a ouvert le 14 janvier 2026 son European Sovereign Cloud, une région physiquement et juridiquement séparée basée en Allemagne (Brandebourg), gérée par des filiales allemandes dédiées et un conseil consultatif indépendant. Microsoft, à l'inverse, a choisi une approche par surcouche sur ses régions Azure existantes, sans créer de centre de données distinct. Face à eux, des acteurs français comme Blue, avec ses sites de Rennes et Nantes, ou CELESTE, qui revendique quatre datacenters certifiés ISO 27001 et hébergement de données de santé (HDS), défendent un modèle intégralement national, de l'actionnariat à l'exploitation.

L'écart tarifaire entre offres souveraines et hyperscalers américains s'est significativement réduit entre 2024 et 2026 : pour des charges de travail standardisées, la différence est désormais souvent inférieure à 15 ou 20 %, selon le blog Datacenter Paris, qui attribue cette convergence aux investissements massifs des acteurs européens et à la concurrence accrue sur les prix.

Comment vérifier qu'une offre est réellement souveraine avant de signer

Avant tout engagement contractuel, plusieurs vérifications concrètes s'imposent :

• Consulter le registre du commerce pour confirmer que la société mère est bien de droit français ou européen, et que son actionnariat majoritaire est européen.
• Exiger la production des certifications revendiquées, SecNumCloud ou ISO 27001 notamment, avec leurs dates de validité, ces documents étant vérifiables auprès des organismes émetteurs.
• Cartographier la chaîne de sous-traitance technique, y compris les briques logicielles sous licence étrangère qui pourraient conserver un accès distant aux systèmes.
• Vérifier la réversibilité contractuelle, c'est-à-dire la capacité à récupérer intégralement ses données et à changer de prestataire sans dépendance technique cachée.
• Évaluer le coût total de possession sur trois ans, qui doit intégrer bien plus que le loyer de la baie ou le prix du kilowattheure consommé.
• Demander une clause explicite excluant l'application du Cloud Act et du FISA américain, et pas seulement une promesse marketing de « localisation en France ».

Le budget à prévoir varie fortement selon la taille de la structure. D'après le blog Datacenter Paris, le coût total de possession sur trois ans oscille entre 50 000 et 500 000 euros pour une PME ou une ETI, entre 500 000 euros et 5 millions d'euros pour une administration publique, et dépasse 5 millions d'euros pour un opérateur d'importance vitale.

Questions frequentes

Un datacenter localisé en France est-il automatiquement souverain ?

Non. La localisation physique n'est qu'une des trois conditions requises. Si l'opérateur reste une filiale d'un groupe américain ou utilise des technologies avec un accès distant depuis l'étranger, le Cloud Act peut continuer à s'appliquer malgré l'adresse française du bâtiment.

Quelle est la différence entre un datacenter souverain et un datacenter classique ?

La différence ne tient pas à la technologie employée, mais au cadre juridique. Un site souverain offre des garanties contractuelles et légales assurant que seules les autorités françaises et européennes peuvent demander l'accès aux données, dans le respect du RGPD, contrairement à un site classique qui peut rester soumis à des lois étrangères comme le Cloud Act.

Le label SecNumCloud garantit-il une souveraineté totale ?

C'est l'une des certifications les plus exigeantes du marché français, mais elle doit être vérifiée avec sa date de validité auprès de l'organisme émetteur. Certaines offres commerciales revendiquent la souveraineté sans détenir ce label, tandis que d'autres, comme le Sovereign Landing Zone de Microsoft, ne l'ont pas obtenu à ce jour.

Les offres souveraines sont-elles plus chères que les hyperscalers américains ?

L'écart s'est réduit ces deux dernières années. Pour des charges de travail standardisées, la différence de prix est désormais souvent inférieure à 15 ou 20 %, contre un écart bien plus marqué en 2024, selon les données du secteur.

Combien de datacenters souverains existent en Europe aujourd'hui ?

Selon ABI Research, l'Europe comptait 197,8 sites souverains en 2025, un chiffre qui devrait atteindre 257,6 d'ici 2035. En France, le parc total s'élève à 352 installations en 2026 selon Intotheminds, toutes catégories confondues, dont une partie seulement répond aux critères stricts de souveraineté juridique complète.