Choix cloud : ce que les entreprises doivent anticiper avant août 2026

À partir d’août 2026, le cloud ne pourra plus être choisi uniquement sur des critères de prix, de performance ou de facilité d’usage. La loi Climat et l’évolution du cadre réglementaire imposent progressivement de nouveaux arbitrages autour de l’empreinte environnementale, de la localisation des infrastructures et des dépendances technologiques. Derrière les promesses du cloud, les entreprises doivent désormais regarder de plus près la réalité des datacenters, la gouvernance de leurs workloads et les exigences croissantes de transparence.

Le cloud ne sera donc plus évalué seulement sur la performance, la sécurité ou le coût. Il entrera dès le mois d’août prochain dans une logique d’arbitrage entre trois contraintes parfois contradictoires : la puissance disponible, la souveraineté juridique et technique, et l’impact environnemental. L’État lui-même assume désormais cette posture. En effet, la DINUM met en avant une stratégie de réduction des dépendances extra-européennes, demande aux ministères de formaliser leurs plans de sortie sur des briques critiques, et souligne la montée des offres européennes et des offres de confiance dans ses achats cloud.

Pour les entreprises, y compris hors commande publique, cela change radicalement la manière de choisir un cloud. Il ne suffit plus de comparer les fournisseurs. Il convient de raisonner en fonction de plusieurs paramètres, dont la région d’hébergement, la nature des charges de travail, la sensibilité des données et le niveau de dépendance au fournisseur. Une infrastructure située en Europe n’apporte donc pas, à elle seule, toutes les garanties. La localisation des données ne règle ni la question de l’actionnariat du prestataire, ni celle d’un éventuel accès extraterritorial, ni celle de l’empreinte réelle des infrastructures mobilisées. Sur les traitements les plus sensibles, la CNIL estime d’ailleurs qu’un prestataire exclusivement soumis au droit européen peut être nécessaire. De son côté, l’ANSSI présente la qualification SecNumCloud comme le cadre de référence français pour les offres cherchant à se prémunir contre les lois extraterritoriales.

Choix de région, multi-cloud, IA : les 3 erreurs à éviter

Les organisations ont désormais intérêt à classer leurs charges de travail selon deux critères : leur niveau de sensibilité et leur intensité en ressources. Les applications critiques, les données sensibles, certains parcours d’identité, de preuve ou de conformité, ainsi que les usages d’IA manipulant des données stratégiques, ne peuvent plus être arbitrés sur les seuls critères de disponibilité, de latence ou de coût. Pour ces périmètres, les vraies questions sont ailleurs : de quel niveau de dépendance parle-t-on, à quel cadre juridique s’expose-t-on, et avec quel degré de visibilité sur l’empreinte environnementale de l’infrastructure utilisée ?

Autre piège, présenter le multi-cloud comme une solution en soi. Il n’a de sens que s’il permet de réduire une dépendance réelle. Empiler plusieurs services qui reposent, au fond, sur les mêmes briques extra-européennes, ou déplacer des charges sans réelle portabilité, ne produit ni souveraineté ni résilience. L’enjeu n’est pas de multiplier les fournisseurs, mais de gouverner les workloads avec méthode. Quels services peuvent rester sur des clouds globaux, lesquels doivent être orientés vers des offres européennes, lesquels relèvent d’un cloud de confiance, et lesquels nécessitent des exigences particulières dans les appels d’offres. Le cadre européen facilite progressivement le changement de fournisseur, mais il ne fait pas disparaître la dette d’architecture ni les phénomènes de verrouillage applicatif.

Avec l’IA, cette question devient encore plus concrète. Modèles, entraînement, inférence et accès aux GPU rappellent que le cloud repose sur une infrastructure matérielle. Derrière les services numériques, il y a des datacenters, donc de l’électricité, de l’eau, du foncier, des réseaux et des choix d’implantation. La Commission européenne impose déjà un reporting pour les datacenters les plus importants, au-delà de 500 kW, et prépare un cadre renforcé d’évaluation de leur performance énergétique. Autrement dit, l’infrastructure redevient visible. Et avec elle, les arbitrages qu’elle impose.

La transparence progresse, mais le cadre reste incomplet

Du côté des fournisseurs cloud, la transparence environnementale avance aussi, mais le cadre n’est pas encore stabilisé. Et ce, même si l’article 33 de la loi SREN portant sur la régulation de l’espace numérique impose déjà la publication d’informations sur l’empreinte environnementale des services cloud. En février dernier, le gouvernement a également mis en consultation un projet de décret visant les fournisseurs IaaS réalisant plus de 100 millions d’euros de chiffre d’affaires en France, avec publication d’indicateurs sur l’empreinte carbone, la consommation d’eau, la consommation d’énergie, ainsi que des ratios comme le PUE et le WUE. L’objectif étant d’éclairer les choix des utilisateurs (entreprises, administrations, particuliers) et d’encourager des pratiques plus vertueuses, dans un secteur en forte croissance mais énergivore.

C’est là que le sujet se complique. Car on demande aux acheteurs de tenir compte de l’impact environnemental, sans encore leur fournir des données vraiment standardisées et comparables entre fournisseurs, régions cloud et architectures. Résultat : un risque de greenwashing d’un côté, et des appels d’offres fragiles de l’autre. Les entreprises les plus rigoureuses, elles, ne vont pas attendre. Elles vont exiger de leurs fournisseurs des preuves précises sur la localisation des traitements, la chaîne de sous-traitance, l’exposition aux lois extra-européennes, les métriques énergétiques vérifiables, ainsi que les règles de portabilité et de placement des workloads, en particulier pour l’IA.

Août 2026 ne fera pas émerger, comme par magie, un “cloud vert”. Il actera surtout la fin du déni général. Car choisir un cloud, c’est choisir une infrastructure, un niveau de dépendance, un cadre juridique et une trajectoire de risque. Le cloud ne pourra plus être acheté comme une simple commodité.