Cloud souverain : le guide de la souveraineté numérique

Souveraineté numérique : trois dimensions derrière un seul mot

« Souverain » ne décrit pas un état binaire. Les grilles européennes décomposent la souveraineté en trois dimensions qu'il faut évaluer séparément, parce qu'un fournisseur peut être fort sur l'une et exposé sur une autre.

Localiser les données en France ou en Europe est nécessaire, mais c'est le premier niveau de toutes les grilles, pas le dernier. Un datacenter en France exploité par une société soumise à un droit non européen reste exposé aux demandes d'accès extraterritoriales.

La question utile n'est donc pas « souverain ou pas », mais : à quel niveau, sur quelle dimension, et avec quelle trajectoire. C'est exactement le raisonnement que proposent le Cloud Sovereignty Framework de la Commission et la qualification SecNumCloud de l'ANSSI.

Le risque extraterritorial, concrètement

Le cœur du débat sur la souveraineté est l'accès possible aux données par une autorité non européenne, même quand ces données sont stockées en Europe.

Le CLOUD Act (États-Unis, 2018) permet aux autorités américaines d'exiger d'un fournisseur soumis au droit américain des données qu'il contrôle, où qu'elles soient stockées, y compris dans une région européenne. La surveillance au titre de la section 702 du FISA est à l'origine des arrêts Schrems I et Schrems II de la Cour de justice de l'Union européenne.

À cela s'ajoutent le risque de suspension du service pour raison politique ou de sanctions, et les dépendances invisibles : même sur un cloud européen, l'IdP, le DNS, le CDN, l'e-mail transactionnel ou les API de modèles d'IA sont souvent non européens par défaut.

Les référentiels, de SecNumCloud au Cloud Sovereignty Framework

Plusieurs référentiels coexistent. Aucun n'est universel : ils répondent à des questions différentes et n'ont pas la même valeur juridique.

La France dispose avec SecNumCloud (ANSSI) d'une qualification exigeante qui combine audit de sécurité et critères d'immunité extraterritoriale. Le schéma européen EUCS a vu ses critères de souveraineté retirés en mars 2024. La Commission a changé de méthode en 2025-2026 avec une grille de scoring, le Cloud Sovereignty Framework et ses niveaux SEAL, puis un projet de règlement, le Cloud and AI Development Act (CADA).

ISO 27001 certifie un système de management de la sécurité mais ne dit rien de la souveraineté : un hyperscaler non européen peut l'obtenir. HDS encadre l'hébergement de données de santé. Chaque référentiel se lit pour ce qu'il prouve, pas pour le logo qu'il permet d'afficher.

Sept questions à poser à un fournisseur de standard téléphonique IA

Cette checklist adapte à la chaîne voix les huit objectifs de souveraineté du Cloud Sovereignty Framework. Elle s'applique au fournisseur comme à chacun de ses sous-traitants.

Glossaire

Les termes qui reviennent dans un dossier de souveraineté, en une phrase chacun. Les définitions détaillées et sourcées sont sur les pages dédiées.

Où en est Natalia

Natalia s'applique la règle de ce guide : des faits vérifiables plutôt que des logos. Voici sa position, telle qu'elle est publiée, sans superlatif.

Le système de management de la sécurité de Natalia est aligné sur les exigences ISO 27001 et intègre des contrôles SOC 2 ; la certification ISO 27001 est en cours d'obtention. La disponibilité est couverte par un SLA contractuel de 99,9 %. Les données sont hébergées en France.

Pour les organisations qui exigent que rien ne quitte leur réseau, l'édition on-premise de Natalia Analyse se déploie en mode déconnecté strict : l'appliance reste dans le datacenter du client, le traitement des appels et de leurs métadonnées se fait sur place, sans aucune connexion sortante.