Le débat français sur le cloud s’est longtemps résumé à une alternative inconfortable. D’un côté, les hyperscalers : la profondeur de services, le rythme d’innovation, et une exposition assumée aux législations extraterritoriales. De l’autre, les acteurs souverains : l’immunité juridique, et un catalogue plus étroit qu’il faut accepter de compléter soi-même.

Entre les deux est apparu un troisième modèle : des offres construites sur la technologie d’un hyperscaler, sous licence, mais opérées par des sociétés de droit français, avec une structure conçue pour couper le lien juridique avec la maison mère technologique. Longtemps, ce modèle a relevé de la promesse. Depuis que des offres de ce type ont obtenu la qualification SecNumCloud, il relève de l’analyse.

Et l’analyse honnête oblige à distinguer deux choses que le débat public confond.

La souveraineté juridique n’est pas l’autonomie technologique.

La qualification traite la première : elle atteste qu’aucune loi étrangère ne peut contraindre l’accès aux données, et cet engagement est audité par l’ANSSI, pas déclaré dans une plaquette. Sur ce terrain, refuser l’acquis par principe n’est pas de la rigueur, c’est de la posture.

Mais la qualification ne traite pas la seconde. La feuille de route reste écrite ailleurs. Les correctifs, les nouveaux services, les dépréciations arrivent avec le décalage inhérent au modèle : chaque évolution doit être répliquée, revalidée, requalifiée. L’opérateur français décide de ce qu’il opère, pas de ce qui existe. C’est une dépendance de trajectoire, et elle ne se corrige par aucun montage capitalistique.

S’ajoute la question du prix. Ce modèle empile une licence, une opération locale et un processus de qualification permanent. Ce coût n’est pas un scandale, c’est le prix de la structure. Encore faut-il le comparer à ce qu’il achète réellement : pour des données qui ne justifient pas l’immunité juridique, il achète peu.

Ma grille de lecture de DSI tient alors en trois questions.

Quel risque précis est-ce que je traite ? Si la réponse est « l’accès d’une juridiction étrangère à des données sensibles », le modèle a du sens. Si la réponse est « rassurer le comité des risques », un tableau de classification des données rendra le même service pour beaucoup moins cher.

Quelle est ma dépendance de sortie ? Un service sous licence reste un service propriétaire. La réversibilité se pose dans les mêmes termes que chez l’hyperscaler d’origine, et mérite les mêmes preuves.

Que ferai-je du décalage ? Certaines charges de travail vivent très bien avec dix-huit mois de retard sur l’état de l’art. D’autres en meurent. Cette cartographie vaut mieux que toutes les convictions.

Le cloud de confiance n’est ni l’imposture que décrivent ses détracteurs ni la synthèse parfaite que vendent ses promoteurs. C’est un compromis daté, honnête quand il est nommé comme tel, et utile pour un segment précis de données qui mérite d’être défini avant de signer.

À retenir Entre deux chaises, on peut tomber. On peut aussi s’asseoir, à condition de savoir exactement pourquoi on a choisi cet inconfort, pour quelles données, et pour combien de temps.