Cloud et data : ce que les dirigeants ne peuvent plus ignorer

Longtemps reléguée au rang de sujet d’intendance, l’infrastructure numérique (serveurs, réseaux, stockage, continuité d’activité…) était jusqu’à présent l’affaire des DSI et des équipes techniques. Ce temps est révolu. En Europe, l’infrastructure cloud, data et DevOps se trouve aujourd’hui au croisement de trois pressions majeures : la compétitivité business, la résilience opérationnelle et la conformité réglementaire.

Le principal signal de ce changement de paradigme vient de Bruxelles. Avec le Data Act applicable depuis septembre 2025, puis le Cloud and AI Development Act présenté cette année, l’Union européenne ne parle plus seulement de données ou de cybersécurité. Elle parle de capacité de calcul, de portabilité cloud, d’interopérabilité et de dépendance technologique, autrement dit, de l’infrastructure réelle qui rend possibles, ou impossibles, les promesses du numérique.

Une entreprise ne peut donc plus traiter son architecture cloud comme une simple décision d’achat. Le choix d’un fournisseur, d’une région d’hébergement, d’un socle Kubernetes ou d’une chaîne CI/CD engage désormais la capacité à innover, à prouver sa conformité, à résister à une attaque, à maîtriser ses coûts et à déployer de l’IA sans créer de nouvelle dépendance.

Le cloud n’est plus seulement une question d’agilité

Pendant des années, le discours dominant était toujours le même : aller plus vite, réduire les investissements initiaux, scaler sans friction. Ce discours reste en partie d’actualité, mais il est incomplet. Car au sein des grandes organisations, le cloud n’est plus un mouvement linéaire vers un fournisseur unique. Il est devenu un empilement d’environnements publics, privés, hybrides et edge.

Cette complexité résulte rarement d’une stratégie parfaitement pensée. Elle vient de l’histoire réelle des entreprises : acquisitions, applications anciennes, contraintes de localisation, réglementations sectorielles, choix faits projet par projet. Le multi-cloud est parfois une stratégie. Il est aussi, fréquemment, le résultat d’une absence de stratégie.

Sauf qu’une infrastructure fragmentée ralentit les projets, rend les coûts illisibles, complique la cybersécurité et affaiblit la gouvernance des données. La promesse d’agilité se retourne alors contre l’entreprise. In fine, ce qui devait fluidifier l’innovation se met à produire de l’opacité opérationnelle, et ce qui devait réduire les coûts génère de la variabilité budgétaire.

Penser la sortie avant l’entrée

L’une des ruptures du Data Act est de faciliter le changement de fournisseur cloud et de réduire les obstacles au switching. Cela pousse les entreprises à ne plus seulement négocier le prix d’entrée, mais aussi les conditions de sortie.

Il s’agit là d’un renversement utile. Car jusqu’ici, la réversibilité existait dans les contrats, mais rarement dans les faits. Les dépendances techniques demeuraient : formats propriétaires, services managés fortement intégrés, volumes de données difficiles à déplacer, etc. Le Data Act ne rendra pas les applications portables comme par magie, mais il change le rapport de force. Il oblige, en effet, les fournisseurs à mieux documenter les conditions de switching et les clients à poser des questions précises : que peut-on exporter ? Dans quel format ? En combien de temps ? Quelles dépendances applicatives resteraient captives ?

La portabilité n’est pas seulement une clause contractuelle. C’est une propriété d’architecture.

Interopérabilité et souveraineté : dépasser le faux choix

Le débat européen est trop souvent résumé de manière binaire avec les hyperscalers américains d’un côté, et les acteurs souverains européens de l’autre. Cette opposition existe, mais elle ne suffit pas à déterminer une stratégie sérieuse.

La question n’est pas de choisir entre cloud mondial et cloud souverain, mais de déterminer quelles charges de travail doivent répondre à quel niveau de contrôle. Une plateforme de test, une application RH, un entrepôt de données clients, un système industriel ou un moteur d’IA entraîné sur des données sensibles ne relèvent pas du même arbitrage.

L’interopérabilité et la souveraineté doivent être pensées ensemble. L’une réduit les dépendances techniques, l’autre limite les risques juridiques et géopolitiques. Car un cloud local mal opéré n’est pas automatiquement plus sûr. Et un cloud mondial très certifié n’est pas automatiquement neutre en termes de dépendance. Pour les entreprises, le sujet doit rester concret : localisation des données, contrôle des accès, exposition aux législations extra-européennes, réversibilité, auditabilité, gouvernance des identités.

2026 : l’infrastructure comme socle de l’IA et de la confiance

Ces exigences de contrôle et de gouvernance prennent une nouvelle dimension avec l’arrivée massive de l’IA en entreprise. En effet, déployer de l’IA ne se résume pas à brancher une API. Il faut des données accessibles, qualifiées, sécurisées, traçables ; de la puissance de calcul, des politiques d’accès, une gouvernance des sorties et des capacités de preuve. L’IA rend visible ce que beaucoup préféraient ignorer, à savoir que leur infrastructure n’a pas toujours été conçue pour une gouvernance fine des données.

La cybersécurité suit la même logique. Les attaques exploitent désormais les identités techniques, les chaînes de déploiement, les API, les secrets et les environnements mal configurés. L’infrastructure devient ainsi un terrain de preuve : preuve de contrôle, de résilience, de conformité.

La prochaine étape ne sera donc pas de choisir entre cloud public, privé ou souverain, mais de savoir quelles données méritent quel niveau de protection ; quels workloads doivent être portables ; quelles dépendances sont assumées et lesquelles doivent être réduites.

L’infrastructure tech est devenue stratégique parce qu’elle conditionne la vitesse, la confiance et la liberté d’action des entreprises. Elle n’est plus le sous-sol du numérique, elle en est plutôt la charpente. Et une charpente mal pensée ne se voit pas toujours au quotidien. Jusqu’au jour où il faut migrer, restaurer ou déployer une IA critique. Les choix d’infrastructure cessent alors d’être techniques pour devenir existentiels.