OVHcloud et la défense : ce que promet un cloud européen

Quand je lis qu’un cloud européen veut s’adresser aux armées, j’ai deux réactions presque simultanées. D’abord, l’idée de mieux maîtriser une infrastructure aussi importante me paraît assez évidente. Ensuite, je me demande ce que le mot « souverain » garantit vraiment, une fois qu’on a rangé le drapeau.

Le titre de Clubic du 31 mars 2026 parle des données secrètes des armées et d’OVHcloud face aux géants américains. Le sujet mérite mieux qu’un match entre logos. Entre annoncer une ambition et être autorisé à traiter une information précise, il reste plusieurs marches à regarder.

Une accélération, pas une arrivée de nulle part

Dans son communiqué du 31 mars, publié à l’occasion du Forum InCyber, OVHcloud dit être déjà présent auprès d’acteurs de la défense et vouloir développer cette activité en Europe. Le groupe annonce des recrutements issus des forces armées et de l’industrie, ainsi qu’un renforcement des compétences et qualifications nécessaires selon les pays.

C’est plus précis que l’image d’une porte du marché militaire qui viendrait soudain de s’ouvrir. Il s’agit d’une spécialisation et d’une extension revendiquées. Le recrutement est d’ailleurs une partie importante de l’annonce : une infrastructure ne devient pas adaptée à un métier seulement parce qu’on lui ajoute une nouvelle rubrique commerciale.

Le groupe met aussi en avant ses solutions cloud et d’intelligence artificielle, et la possibilité de déployer des plateformes dans les centres de données des clients avec OPCP, son offre matérielle et logicielle. Ce sont les capacités et les orientations présentées par le fournisseur, pas les conclusions d’un audit que j’aurais réalisé.

Le communiqué ne me donne pas de quoi établir la liste des nouveaux contrats militaires gagnés, leur montant ou le niveau de classification autorisé pour chaque déploiement. Je ne transforme donc pas l’annonce en bilan commercial, ni en preuve d’une capacité universelle déjà acquise.

Le cloud n’oblige pas à tout envoyer au même endroit

J’ai tendance à visualiser le cloud comme un bâtiment lointain où partiraient les données. La définition du NIST, publiée en 2011, rappelle une réalité plus large : un accès par le réseau à des ressources informatiques configurables, mobilisables à la demande. Elle distingue notamment des modèles privés, publics et hybrides.

Dans cette définition, un cloud privé est réservé à une organisation et peut exister dans ses locaux ou ailleurs. Le terme décrit donc une manière d’organiser et de fournir des ressources ; il ne signifie pas automatiquement « envoyer tous ses fichiers sur un service public ouvert à tous ».

Cela aide à comprendre l’intérêt d’une plateforme installée chez un client. Le choix ne se réduit pas à garder ses vieilles machines ou à tout externaliser. Il peut porter sur le matériel, le logiciel d’exploitation, la manière d’administrer le service et le partage des responsabilités.

Cette distinction ne rend aucune architecture supérieure par nature. Être sur place ne suffit pas à prouver la sécurité, pas plus qu’être à distance ne prouve son absence. Je regarderais ce qui est effectivement contrôlé, par qui, et dans quelles conditions.

La formule « tout maîtriser » me paraît ainsi une promesse à déplier. Maîtriser l’emplacement n’est pas forcément maîtriser tous les logiciels, tous les accès ou toutes les compétences nécessaires. Le mot est utile à condition de préciser son objet.

Données sensibles et informations classifiées : pas le même raccourci

Un repère public permet de ralentir la lecture du titre. Dans ses recommandations de 2024 pour les systèmes d’information sensibles, l’ANSSI précise que le document ne s’applique pas aux systèmes classifiés. La sensibilité des données et le niveau de menace orientent le choix d’hébergement ; tous les systèmes n’ont pas vocation à aller dans le cloud.

La mention d’exigences de type « secret défense » dans un programme de recrutement ne prouve donc pas que chaque offre citée est habilitée à recevoir n’importe quelle information militaire. Elle signale un travail à accomplir dans un cadre précis. Ce n’est pas une nuance destinée à minimiser le projet : c’est justement prendre ses contraintes au sérieux.

Même prudence avec SecNumCloud, que mentionne OVHcloud. Le guide de l’ANSSI explique que cette qualification porte sur des offres et leurs pratiques d’exploitation. Elle ne garantit pas, à elle seule, la sécurité des applications que le client y installe.

Je retiens une distinction simple : choisir un hébergement évalué, sécuriser son propre service et satisfaire les exigences applicables à ses données sont des questions liées, mais pas interchangeables. Un nom de fournisseur ou un label isolé ne peut pas remplacer la réponse aux trois.

Il ne s’agit pas ici de conseiller une architecture à une armée. Les éléments publics permettent d’expliquer pourquoi il faut examiner un périmètre ; ils ne permettent pas de valider un déploiement particulier dont on ne connaît ni les données ni les risques.

La souveraineté ne tient pas dans une adresse postale

L’ANSSI inclut aussi les risques liés aux lois extraterritoriales dans l’analyse d’une migration. Cela suffit à rappeler que l’emplacement physique du serveur n’épuise pas la question. L’organisation du prestataire et le cadre juridique comptent également.

Je n’en fais pas un verdict automatique sur toutes les offres américaines, françaises ou européennes. Le texte de départ affirme un contrôle total et l’absence d’exposition au CLOUD Act ; le communiqué commercial, à lui seul, ne permet pas de démontrer cette immunité pour toute une chaîne de services.

Ce que je voudrais pouvoir identifier est plus concret : qui exploite le service, qui peut intervenir, quelles dépendances subsistent et comment le client conserve une capacité de décision. Ce sont des questions d’examen, pas des réponses que la nationalité d’une marque fournirait immédiatement.

L’intelligence artificielle ajoute une autre couche à cette discussion. Une capacité de calcul ou un outil disponible ne dit pas encore quelles données on lui confiera, ce qu’il fera exactement et comment ses résultats seront contrôlés. L’annonce d’une composante IA ne vaut pas démonstration d’un usage fiable.

Je préfère donc lire « alternative européenne » comme une possibilité à construire et à éprouver. Elle peut avoir de la valeur sans qu’on lui prête une indépendance absolue à l’égard du reste de l’industrie informatique.

Le vrai test : rester capable de choisir

Une offre peut être européenne et créer malgré tout une dépendance difficile à défaire. Les recommandations de l’ANSSI invitent d’ailleurs à prévoir la réversibilité, pour faciliter le passage vers une autre technologie cloud. Le mot paraît administratif ; l’enjeu est très concret.

À mes yeux, pouvoir sortir fait partie de la maîtrise. Une autonomie qui dépendrait entièrement de la bonne volonté d’un seul prestataire serait une autonomie un peu encombrante. Je regarderais donc aussi la capacité à récupérer les données, à comprendre le fonctionnement du service et à faire évoluer le dispositif.

La même exigence vaut pour la performance. Je peux accueillir favorablement l’ambition d’un acteur européen sans savoir encore si une offre répond à un besoin donné en disponibilité, en coût ou en qualité d’accompagnement. Ces qualités se démontrent sur des engagements et des résultats, pas sur une comparaison de drapeaux.

Ce projet est intéressant parce qu’il propose d’élargir les choix dans un secteur où la maîtrise compte particulièrement. Mais la concurrence annoncée ne signifie pas que les offres seraient immédiatement équivalentes, ni qu’un fournisseur pourrait répondre seul à toutes les situations.

Je partais d’un titre presque sportif : OVHcloud contre les géants américains. Je reviens avec une question moins spectaculaire, mais plus utile. Cette alternative permettra-t-elle aux utilisateurs de mieux décider de leur infrastructure, de la contrôler et d’en changer ? C’est là que j’attendrais les preuves de souveraineté.