L'Irlande héberge les datacenters européens de Google, Meta, Amazon, Microsoft et Apple. Non pour une qualité technique particulière de son sol — mais pour son taux d'imposition sur les sociétés à 12,5%, qui a attiré les sièges sociaux européens des hyperscalers, entraînant dans leur sillage leurs datacenters. Les données de centaines de millions d'Européens transitent ainsi par des infrastructures physiquement en Irlande, soumises au RGPD européen, mais opérées par des sociétés américaines soumises au CLOUD Act.

Le CLOUD Act (2018) autorise les autorités américaines à exiger l'accès aux données détenues par des entreprises américaines, indépendamment du pays où ces données sont stockées. Un datacenter AWS à Dublin hébergeant les données d'une PME française est simultanément soumis au RGPD et au CLOUD Act. En cas de conflit entre les deux, la réponse juridique reste incertaine. Cette incertitude est structurelle, pas accidentelle.

OVHcloud, Hetzner, Scaleway, Data4 — les acteurs qui possèdent ET opèrent des datacenters à grande échelle sous contrôle européen sont peu nombreux. La grande majorité de la capacité de cloud public en Europe est opérée par AWS, Azure et GCP — sociétés de droit américain, soumises au CLOUD Act, quelle que soit la localisation physique de leurs serveurs.

Interxion était le principal opérateur européen indépendant de datacenters neutres (colocations). Son rachat en 2020 a transféré la propriété et le contrôle d'une infrastructure critique européenne vers une société américaine. Transaction commerciale ordinaire — mais elle illustre le mécanisme par lequel la souveraineté de l'infrastructure numérique européenne s'érode non par conquête, mais par acquisition.

La France dispose d'atouts réels — électricité nucléaire décarbonée, fibre dense, marché de 67 millions d'habitants. Mais elle n'a pas développé de politique cohérente d'attractivité et de protection simultanée. Elle a attiré des datacenters hyperscalers (AWS région Paris) sans exiger en contrepartie d'engagements de localisation des données publiques, de partenariats technologiques avec des acteurs français, ou de contribution au financement de la fibre sur laquelle ces datacenters dépendent.

Les datacenters sont reliés entre eux et au reste du monde par des câbles sous-marins en fibre optique transportant 99% du trafic internet international. Depuis 2010, les hyperscalers américains possèdent ou co-financent une part croissante de cette capacité. En 2022-2023, plusieurs câbles ont été sectionnés en Méditerranée et en mer Baltique dans des circonstances non élucidées — révélant une vulnérabilité physique réelle, exploitable, et quasi-impossible à protéger sur des milliers de kilomètres d'océan.

GAIA-X, lancé en 2019 comme initiative de cloud souverain européen, a été progressivement dilué par l'intégration de membres hyperscalers — AWS, Azure et GCP sont membres de GAIA-X et ont influencé ses standards dans un sens favorable à leurs intérêts. Son échec partiel est instructif : la souveraineté numérique ne se construit pas par l'inclusion des acteurs dont on cherche à s'émanciper.

Un État qui accueille un datacenter hyperscaler dispose d'un moment de négociation unique — avant le permis de construire, avant le raccordement électrique, avant les avantages fiscaux. Ce moment est rarement utilisé pour exiger des contreparties de souveraineté : localisation des données publiques dans l'UE, formation de techniciens locaux, accès tiers pour les acteurs européens, non-application unilatérale de législations extraterritoriales. Ces contreparties sont négociables. Elles sont négligées parce que les États se font concurrence entre eux.

Tout SRE qui déploie sur un cloud public devrait savoir : quelle est l'entité légale qui opère ce cloud dans le pays concerné, est-elle soumise au CLOUD Act, quelles sont les clauses de localisation des données dans le contrat de service. Cette information devrait figurer dans toute analyse de risque d'infrastructure — au même titre que la disponibilité SLA ou la politique de sauvegarde.

Une architecture résiliente ne répartit pas seulement la charge entre zones de disponibilité (AZ) d'un même fournisseur dans un même pays. Elle considère la résilience entre fournisseurs distincts, entre pays distincts, et entre régimes juridiques distincts. Multi-cloud et multi-juridictionnel ne sont pas la même chose — mais la combinaison des deux est la vraie résilience géographique.

Un PCA/DRP qui ne modélise pas le scénario de coupure de câble sous-marin affectant la connectivité entre régions est un plan incomplet. Ces incidents sont documentés, récurrents, et difficiles à réparer rapidement. La réponse architecturale — routage de secours, cache local, dégradation gracieuse — doit être préparée à froid, pas découverte lors de l'incident.

Chaque État membre devrait publier annuellement un inventaire de la capacité de datacenter sur son territoire : propriétaire, opérateur, volume, énergie consommée, origine légale des entités de contrôle. Cette transparence n'existe pas aujourd'hui. Elle permettrait aux citoyens, aux régulateurs et aux entreprises d'évaluer leur exposition réelle au risque de droit extraterritorial.

Tout avantage fiscal ou facilitation administrative accordé à un datacenter hyperscaler devrait être conditionné à des engagements vérifiables : localisation des données publiques dans l'UE, formation de techniciens locaux, accès tiers pour les acteurs européens, non-application unilatérale du CLOUD Act aux données européennes hébergées dans ces datacenters.

OVHcloud, Hetzner, Scaleway et leurs équivalents européens méritent une préférence explicite dans les achats publics — non par protectionnisme, mais par cohérence avec une politique de souveraineté numérique affichée. Un État qui prêche la souveraineté numérique et héberge ses données sur AWS ne fait pas de la souveraineté — il en parle.