Bruxelles joue la carte de la souveraineté cloud
Le 3 juin 2026, la Commission européenne a publié sa proposition de règlement Cloud and AI Development Act (CADA), pièce maîtresse du « Tech Sovereignty Package ». Le texte répond à deux préoccupations : le déficit de capacité en centres de données européens à mesure que le déploiement de l'IA s'accélère, et la dépendance de l'Union à une poignée de fournisseurs cloud non européens.
Le CADA est un règlement directement applicable qui couple des mesures côté offre — pour accroître les capacités de calcul européennes — à des leviers côté demande ancrés dans les marchés publics. Son élément le plus structurant, et le plus controversé, est un cadre de souveraineté cloud articulé autour de quatre niveaux d'assurance (Union assurance levels), conditionnant l'accès aux contrats publics à des exigences graduées en matière de sécurité, de résilience et de souveraineté. Concrètement, la Commission estime qu'environ 70 % des contrats publics relèvent du niveau 1, 20 % du niveau 2, moins de 10 % du niveau 3, et à peine 1 % — principalement dans le domaine de la défense — du niveau 4, le plus restrictif.
Le volet bureautique n'est pas oublié : le cadre crée des implications immédiates pour les hyperscalers américains et les fournisseurs de logiciels d'entreprise, et le principe d'« open source first » inscrit dans le CADA constitue un défi structurel pour les modèles logiciels propriétaires.
« Open source first » dans la loi — mais sans obligation contraignante
C'est l'un des points les plus débattus du texte. Selon SUSE, le principe « open source first » figure désormais dans la partie normative d'un règlement européen — et non plus relégué à un considérant sans portée juridique — et le texte prévoit la création d'un réseau européen d'OSPO (Open Source Programme Offices) pour le secteur public, ainsi qu'un cadre de certification de souveraineté cloud à quatre niveaux. Une avancée inédite.
Mais l'enthousiasme est tempéré. Le texte dispose que « l'Union et les États membres prendront les mesures nécessaires pour encourager les entités publiques à utiliser et faciliter la réutilisation de standards ouverts et de composants open source », en tenant compte des fonctionnalités, du coût total et d'autres critères objectifs. Pour SUSE, cette formulation reste en deçà d'une exigence « contraignante et exécutoire » : l'open source ne peut se réduire à une simple préférence d'achat à peser contre d'autres critères.
Ce verrou procédural est précisément ce que réclament, dans une lettre ouverte désormais cosignée par près d'une centaine d'organisations, les acteurs du secteur. La réalité du marché donne la mesure de l'enjeu : trois hyperscalers américains concentrent environ 70 % du cloud européen selon les données de Synergy Research Group, et des décisions d'achat prises il y a dix ans continuent de conditionner la capacité d'un ministère à changer de fournisseur.
Nextcloud veut aller plus loin — et Euro-Office est bien placé
La position de Nextcloud, partenaire fondateur d'Euro-Office, est claire : le fournisseur de logiciels allemand a déclaré que la proposition actuelle n'est pas suffisamment ambitieuse et devrait être étendue au secteur privé également.
Cette demande n'est pas anodine pour Euro-Office. Si le CADA, en l'état, cible avant tout les marchés publics, son impact immédiat se fera d'abord sentir dans le secteur public, mais il servira de référence plus large pour les organisations qui proposent, achètent ou s'appuient sur une infrastructure cloud et IA dans l'UE. Il fournit en particulier un cadre émergent pour évaluer la « souveraineté » des services numériques, incluant la localisation des données, l'exposition aux législations de pays tiers, la maîtrise de la chaîne d'approvisionnement logicielle et la capacité à prévenir les interférences extérieures.
Pour une suite bureautique comme Euro-Office — dont le code est auditable, l'hébergement européen (IONOS) et la gouvernance ouverte — ces critères constituent autant d'atouts concurrentiels face aux offres propriétaires américaines. Le trilogue entre Commission, Parlement et Conseil devrait durer jusqu'à fin 2027 au moins, mais le CADA fixe quatre niveaux de souveraineté pour les achats publics de cloud et d'IA, le niveau le plus élevé excluant de fait les entreprises non européennes des contrats dans la défense et la santé. Un terrain que l'écosystème Euro-Office entend occuper pleinement.
