Où héberger vos données en 2026 : souveraineté, interopérabilité, réversibilité

L'arrêt Schrems II de la Cour de justice de l'Union européenne, en 2020, a rappelé que des données hébergées chez un fournisseur soumis au droit américain restent accessibles aux autorités de ce pays, quelle que soit la localisation physique des serveurs. En 2025, un dirigeant de Microsoft a reconnu publiquement ne pas pouvoir garantir la pleine souveraineté des données européennes. Le sujet est sorti du débat d'experts.

Sur le plan réglementaire, le décret d'application de la loi SREN, publié le 16 avril 2026, impose aux administrations et à leurs opérateurs d'héberger leurs données sensibles chez des prestataires conformes au référentiel de l'ANSSI. La directive NIS 2, en application en 2026, étend des exigences de sécurité à un grand nombre de secteurs essentiels et importants. Beaucoup d'entreprises qui ne se sentaient pas concernées le sont désormais, directement ou via leurs clients.

Résultat : le choix d'hébergement engage l'entreprise sur plusieurs années et plusieurs plans à la fois.

La sensibilité réelle des données d'abord. Toutes n'ont pas le même niveau d'exigence. Avant tout arbitrage, il faut les classer : données personnelles, données stratégiques, données soumises à une obligation sectorielle, données ordinaires. Cette classification, souvent absente, permet de ne pas surprotéger l'anodin ni sous-protéger le critique.

La réversibilité ensuite. C'est le critère le plus négligé et le plus déterminant à long terme : la capacité concrète à récupérer l'ensemble de vos données dans un format exploitable, et à les faire supprimer de façon sécurisée en fin de contrat. Plus une application s'appuie sur des services spécifiques à un fournisseur, plus elle est difficile à déplacer ensuite. Ce n'est pas interdit, mais cela doit être un choix conscient et documenté.

Les compétences disponibles enfin. Un hébergement souverain, un multi-cloud ou une infrastructure gérée en interne demandent des savoir-faire différents : gestion des identités et des accès, maîtrise des coûts, sécurité des configurations, portabilité. Choisir une cible que l'on ne sait pas exploiter revient à déplacer le risque, pas à le réduire.

Le mot est utilisé à toutes les sauces. En pratique, un hébergement est d'autant plus souverain qu'il cumule trois garanties : les données et les traitements restent sur le territoire concerné, l'opérateur n'est pas soumis à un droit extraterritorial qui obligerait à les communiquer, et le chiffrement et les clés sont maîtrisés par le client ou par un tiers de confiance.

En France, le référentiel SecNumCloud de l'ANSSI qualifie les offres qui répondent à ce niveau d'exigence. Toutes les données n'ont pas besoin d'un cloud qualifié, mais celles qui en ont besoin doivent y aller, et le décret SREN rend cette obligation explicite pour une partie du marché.

La stratégie la plus robuste aujourd'hui n'est ni le tout-souverain ni le tout-hyperscaler. C'est un multi-cloud segmenté :

• données et fonctions critiques sur un cloud souverain qualifié,
• usages moins sensibles sur des clouds de confiance ou publics,
• des clauses fortes de réversibilité, d'interopérabilité et de transparence sur chaque contrat,
• des standards ouverts et des technologies portables (conteneurs, orchestration) pour limiter l'enfermement.

Segmenté ne veut pas dire éclaté. L'ensemble doit être gouverné : une cartographie des données et de leur hébergement, des règles claires sur ce qui va où, et une revue périodique, parce que les offres et les prix évoluent.

La réversibilité ne se négocie pas au moment de partir, elle se négocie à la signature. Un contrat solide précise :

• le format de restitution des données et le délai associé,
• la prise en charge de l'opération de sortie et son coût,
• les modalités de suppression sécurisée et les preuves fournies,
• l'accès à la documentation technique nécessaire à une migration.

Sans ces clauses, la dépendance est totale, quel que soit le discours commercial du fournisseur.

Nous avons piloté des programmes de convergence et de migration d'infrastructures entre filiales internationales, en environnement bancaire fortement réglementé. La leçon la plus constante : harmoniser un système d'information ne consiste pas à déployer un standard unique, mais à construire un modèle commun qui s'adapte aux réalités locales tout en gardant une gouvernance et une réversibilité maîtrisées. Le choix d'hébergement obéit à la même logique.