Coût du cloud souverain : ce que vaut vraiment l’étude à 115 milliards des géants américains

Le coût du cloud souverain imposé par le futur règlement européen CADA atteindrait 115 milliards d’euros sur dix ans, selon une étude de l’ECIPE financée par CCIA Europe, le lobby d’Amazon, Google, Meta et Apple. Ce chiffre n’est pas une facture : c’est le scénario médian d’un modèle, dont 80 milliards supposent que Bruxelles étende un jour les règles à un quart des entreprises essentielles. L’étude ne compte aucun bénéfice, alors que la Commission prévoit 21 à 61 milliards d’économies pour les administrations.

Le chiffre a été repris partout depuis le 13 octobre 2026. Nous avons lu les 44 pages de l’étude, l’analyse d’impact de la Commission européenne et le texte de la proposition de règlement, pour retrouver d’où sort chaque montant et ce qu’il mesure vraiment. Relevés faits le 15 octobre 2026.

D’où vient le chiffre de 115 milliards d’euros

Le montant provient d’un document de travail publié en octobre 2026 par le European Centre for International Political Economy (ECIPE), un centre de recherche bruxellois, sous la plume de son directeur Matthias Bauer. La dernière page de l’étude de l’ECIPE indique qu’elle est financée par la Computer and Communications Industry Association (CCIA Europe), tout en précisant que les opinions sont celles de l’auteur. Le lobby l’a présentée le 13 octobre à Dublin, en marge d’une réunion informelle des ministres européens des télécoms, dans son communiqué. Parmi les membres de CCIA figurent Amazon, Google, Meta et Apple, selon la liste publiée par l’association.

Le texte visé est le Cloud and AI Development Act (CADA), proposé par la Commission européenne le 3 juin 2026. Il crée quatre niveaux d’assurance de souveraineté (UAL1 à UAL4) pour les services de cloud et d’IA, impose aux États membres d’évaluer le niveau qu’exige chaque activité publique sensible, puis aux acheteurs publics de s’y tenir. Plus le niveau est élevé, moins les fournisseurs contrôlés depuis un pays tiers peuvent y prétendre.

L’ECIPE ne donne pas un chiffre, mais trois scénarios cumulés de 2027 à 2036 (source : ECIPE, effets récurrents actualisés à 3 % par an) :

Dans le scénario médian, 79,1 milliards (69 %) viennent de la migration et de la réécriture des logiciels, 34 milliards (30 %) du prix du cloud plus élevé et 1,9 milliard du retard pris dans la numérisation (source : ECIPE, tableaux 6 et 7). Côté payeurs, 35,1 milliards pèsent sur le secteur public et 80 milliards sur le privé. Les 33,3 milliards souvent cités comme « coût pour le contribuable » correspondent à la part publique sans le retard de numérisation : 33,3 et 80 ne font donc pas 115, et l’écart de 1,7 milliard n’a rien de mystérieux.

Ce que le modèle suppose, et ce qu’il laisse de côté

La plus grosse part du montant repose sur une disposition précise. L’article 31 de la proposition permet aux entreprises privées des secteurs critiques de la directive NIS2 (énergie, banque, transport, santé) de mener la même évaluation que les administrations, sur la base du volontariat. La Commission pourrait la leur imposer par acte délégué, « dans des circonstances spécifiques » et après consultation des États membres. Rien de tel n’est décidé : l’ECIPE suppose que cette extension toucherait 25 % de ces entreprises (source : proposition COM(2026) 502, article 31, et ECIPE). Si elle n’a jamais lieu, l’essentiel des 80 milliards privés disparaît.

D’autres hypothèses pèsent lourd. Le surcoût du cloud souverain est fixé entre 10 % (niveau 1) et 40 % (niveau 4), calé sur des observations de BCG et de la Cour des comptes citées par l’étude (source : ECIPE, section 2.4). La base privée est construite à partir d’environ 40 800 entités dépensant chacune 15 millions d’euros par an en informatique, dont 10 % en cloud : l’auteur reconnaît lui-même qu’aucun inventaire européen ne permet de le vérifier.

Surtout, l’étude prévient qu’elle n’est pas une analyse coûts-bénéfices complète : elle ne chiffre ni la sécurité, ni la résilience, ni l’autonomie stratégique que le règlement cherche à obtenir. Les économies attendues de la mutualisation et des achats groupés n’y figurent pas non plus. C’est un choix de méthode légitime, à condition de le dire, ce que les titres des reprises ne font pas.

Coût du cloud souverain : pourquoi l’écart avec la Commission est trompeur

CCIA présente les 115 milliards comme six fois l’estimation haute de la Commission, soit 18 milliards. Nous avons retrouvé ce montant dans l’analyse d’impact de la Commission (SWD(2026) 502, partie 1), à la page 63 : c’est le haut de la fourchette des coûts pour les seules administrations publiques, entre 4 et 18 milliards d’euros pour l’option retenue. Il ne couvre pas les entreprises privées, auxquelles le texte n’impose rien directement : l’article 31 leur ouvre une évaluation facultative.

Comparer 115 milliards, privé compris, à un plafond purement public revient à comparer deux périmètres différents. À périmètre égal, le désaccord est réel, mais plus modeste : 35,1 milliards contre 4 à 18 milliards, soit un rapport de deux à neuf. Il tient d’abord à l’ampleur des migrations : la Commission ne retient qu’un petit sous-ensemble d’applications critiques, quand l’ECIPE classe 20 % des usages concernés aux niveaux 3 et 4, les plus exigeants (source : ECIPE et analyse d’impact SWD(2026) 502). Sur ce point, la critique de l’étude mérite d’être entendue : elle relève que la Commission reconnaît des coûts de 30 000 à 600 000 euros par application migrée sans les intégrer entièrement à son total.

Le communiqué ne tient pas non plus ses propres chiffres. Le responsable politique de CCIA Europe, Mitchell Rutledge, y affirme : « Contribuables et entreprises paieront la facture, alors que l’évaluation officielle a manqué 70 % de l’impact réel de CADA » (traduction GadGeek). Or 18 milliards sur 115, cela ferait 84 % manqués, pas 70 % (source : communiqué de CCIA Europe du 13 octobre 2026, calcul GadGeek).

Qui contrôle la décision, et qui contrôle vos données ?

Qui décide. Le CADA n’est qu’une proposition. Il doit être adopté par le Parlement européen et par le Conseil, où siègent les gouvernements, qui peuvent amender chaque article, l’article 31 compris. Même adopté tel quel, un acte délégué étendant les règles au privé n’entrerait en vigueur que si ni le Parlement ni le Conseil ne s’y opposent dans les deux mois suivant sa notification, selon l’article 45 de la proposition. Le scénario à 80 milliards suppose donc plusieurs décisions politiques qui n’ont pas été prises.

Qui paie l’étude, et qui vend la solution. L’ECIPE déclare son financement, ce qui est la règle. Mais les membres de CCIA vendent aussi le remède : Amazon commercialise un AWS European Sovereign Cloud et Google des offres de cloud souverain, comme le rappelle The Register. Le lobby défend en réalité un critère précis : il demande de remplacer les exigences fondées sur l’origine de l’entreprise ou la nationalité du personnel par des garanties techniques. Or c’est justement ce critère qui fait la différence face au droit américain.

Où vont vos données. Un fournisseur contrôlé depuis les États-Unis reste soumis au CLOUD Act, même si les serveurs sont en Europe : la localisation ne règle pas la question du droit applicable. C’est ce que les niveaux 3 et 4 du CADA cherchent à traiter, et c’est pour cela qu’ils coûtent cher. La qualification française SecNumCloud applique déjà cette logique pour certaines données publiques.

Comment reprendre la main. Pour une collectivité, une PME ou un particulier, la réversibilité coûte moins cher si on la prépare avant d’y être contraint. Notre comparatif des fournisseurs de cloud européens en recense dix, avec leurs limites. L’étude pointe d’ailleurs un risque réel : la capacité qualifiée aux niveaux les plus exigeants se concentre en France et en Allemagne, et les petits États pourraient dépendre de quelques fournisseurs de leurs voisins. Un enfermement en remplace alors un autre, ce que décrit notre fiche sur le vendor lock-in.

Ce qu’il faut retenir pour votre organisation

Le chiffre de 115 milliards n’est ni faux ni neutre. Il additionne un coût public plausible, mais discuté, et un coût privé qui dépend d’une décision non prise, sans mettre en face les économies que la Commission attend. Il montre surtout un point que personne ne conteste : le coût du cloud souverain se joue moins dans le prix de l’hébergement que dans la réécriture des applications, qui représente 69 % du total estimé (source : ECIPE, octobre 2026).

Trois cas méritent une attention particulière :

• Administrations et collectivités : elles sont directement visées. Recenser dès maintenant les applications qui dépendent de services propriétaires d’un seul fournisseur réduit la facture de migration, quel que soit le texte final.
• Entreprises des secteurs critiques : rien ne leur est imposé à ce stade. Leur exposition dépend de l’article 31, à suivre pendant les négociations au Parlement et au Conseil.
• Petites structures et particuliers : le règlement ne les vise pas. La seule conséquence probable est indirecte, si les fournisseurs répercutent leurs coûts de mise en conformité.

Notre avis : l’étude a raison de signaler que la réécriture des logiciels est sous-estimée par la Commission, et tort de présenter un scénario conditionnel comme une facture certaine. Le débat utile porte sur la part des usages qui justifie vraiment les niveaux 3 et 4, pas sur un total à onze chiffres.

Dernière vérification : 15/10/2026