Le cloud souverain coûterait 115 milliards ?

Un chiffre présenté aux ministres

Le 13 octobre, à Dublin, les ministres européens du numérique se retrouvent pour un conseil informel des télécoms. En marge, une table ronde réunit de hauts fonctionnaires. On leur présente un chiffre : 115 milliards d'euros sur dix ans. C'est ce que coûterait à l'Europe le Cloud and AI Development Act, le texte par lequel la Commission veut réduire la dépendance des administrations aux clouds non européens.

Le communiqué qui accompagne la présentation va plus loin : c'est « six fois » l'estimation haute de la Commission, fixée à 18 milliards. Le chiffre est repris dans la presse spécialisée dès le lendemain.

L'étude est signée par Matthias Bauer, directeur de l'ECIPE, un centre de recherche en économie politique. Sa dernière page précise qu'elle est financée par la CCIA Europe, l'association professionnelle dont Amazon, Google, Meta et Apple sont membres. Deux des principaux vendeurs de cloud financent donc, par leur association, l'étude qui chiffre le prix de leur faire moins de place. Un peu comme si le boulanger commandait l'étude sur le coût du pain fait maison. On a ouvert l'étude, son annexe technique et l'évaluation d'impact de la Commission.

Le texte en deux phrases

La proposition de règlement date du 3 juin 2026. Elle classe les usages publics du cloud en quatre niveaux d'assurance, du plus ouvert au plus fermé : plus une activité touche à l'ordre public, plus le fournisseur doit échapper à des lois étrangères, jusqu'à exiger un prestataire détenu et contrôlé en Europe. Le principe d'un badge d'accès : plus la pièce est sensible, plus le badge est exigeant.

Le texte n'est pas adopté. Au Parlement européen, la procédure en est au stade le plus précoce : renvoi en commission annoncé le 17 septembre, aucun rapport voté.

D'où viennent les 115 milliards

L'étude donne en réalité trois chiffres : 35,6 milliards dans un scénario étroit, 115 dans un scénario moyen, 233 dans un scénario large. Elle retient le moyen comme cas central, parce qu'il offre selon elle un repère « délibérément modéré ».

Ce scénario moyen empile deux hypothèses. La première : 20 % des usages publics concernés tomberaient dans les deux niveaux les plus stricts. La Commission, dans son propre calcul, en met 10 %. La seconde : les exigences s'étendraient à 25 % des charges cloud des entreprises privées des secteurs essentiels, comme la banque, l'énergie, la santé ou les transports.

Les 115 milliards se décomposent alors ainsi : 35 pour le secteur public, 80 pour le privé. Le privé pèse donc environ 70 % du total. C'est un devis de rénovation où la ligne la plus lourde concerne la maison du voisin, au cas où il déciderait de faire les mêmes travaux.

L'article 31, une porte qui n'est pas encore ouverte

Tout le volet privé repose sur un article du texte, le 31. Sa lecture vaut le détour, parce qu'elle ne dit ni ce que craint le lobby, ni rien.

Premier alinéa : les entreprises privées des secteurs essentiels « peuvent » mener le même type d'évaluation des risques que les administrations. C'est facultatif. Troisième alinéa : si des circonstances particulières le justifient, et après consultation des États membres, la Commission peut adopter un acte délégué qui rendrait cette évaluation et des mesures de protection obligatoires pour ces entreprises.

La porte existe donc bien dans le texte. Mais elle est fermée, et la clé est un acte que la Commission n'a pas pris. Prenons une banque régionale qui fait tourner ses applications chez un hyperscaler américain : tant qu'aucun acte délégué n'est adopté, rien dans ce texte ne l'oblige à déménager.

Le taux de 25 % est un paramètre du modèle, pas une décision. L'étude en teste trois (10, 25 et 50 %) et le reconnaît noir sur blanc : la couverture du privé est « conditionnelle » dans le modèle, et l'usage final de l'article 31 reste juridiquement et politiquement incertain.

Les 18 milliards de la Commission, comparés à quoi ?

Reste le « six fois ». On a cherché les 18 milliards dans l'évaluation d'impact de la Commission. Ils y figurent, page 63, pour l'option retenue : entre 4 et 18 milliards de coûts, sur dix ans et en valeur actualisée, pour les autorités publiques.

Le plafond de 18 milliards ne couvre donc que les administrations. Le comparer à 115 milliards, privé compris, revient à mettre le prix d'une cuisine à côté du devis de toute la maison.

La Commission a-t-elle oublié le privé ? Le communiqué l'affirme : les 80 milliards seraient « entièrement omis » des calculs officiels. C'est à moitié vrai. L'évaluation compte bien 25 600 entreprises privées des secteurs critiques et leur attribue entre 486 millions et 2,6 milliards d'euros de coûts, pour intégrer la souveraineté dans leur analyse de risques. Elle ne chiffre en revanche aucun déménagement de leurs systèmes, puisque le texte, en l'état, ne les y oblige pas.

Un dernier détail mérite l'attention. Le scénario étroit de l'étude reprend exactement la répartition de la Commission entre les quatre niveaux. Avec cette hypothèse, l'ECIPE arrive à 17,4 milliards pour le secteur public. Les deux calculs ne comptent pas les mêmes postes, mais ils tombent dans le même ordre de grandeur.

Ce que la Commission n'a pas bien chiffré non plus

Il serait trop simple de s'arrêter là. L'étude met le doigt sur une vraie faiblesse : le coût de réécrire des logiciels pour changer de cloud. Selon ses calculs, la migration et la réécriture du code représentent 69 % du total.

Sur ce point, l'ECIPE n'est pas seule. Le comité d'examen de la réglementation, l'organe interne qui contrôle les évaluations d'impact de la Commission, a d'abord rendu un avis négatif sur celle-ci, avant un avis positif assorti de commentaires le 8 mai 2026. Parmi ces commentaires : mieux refléter les coûts de migration dans le total.

La Commission avait d'ailleurs calculé elle-même un coût de portage de 86,3 milliards. Elle l'a écarté comme « maximaliste », parce qu'il supposait que 6 400 organismes publics portent toutes leurs applications concernées dès la première année, pour retenir une fourchette de 2,5 à 14,8 milliards. Le débat sur la facture de la migration est légitime, et il a commencé à l'intérieur même de la Commission.

L'étude a aussi son angle mort, qu'elle signale elle-même : elle ne chiffre aucun bénéfice en matière de sécurité, de résilience ou d'autonomie. C'est un bilan qui n'a qu'une colonne. Elle le dit, et précise qu'elle ne doit pas être lue comme une analyse coûts-bénéfices complète.

Scénario ou certitude

Pour un actif français, l'étude affiche 534 euros sur dix ans dans le scénario moyen. La part qui retomberait sur les budgets publics, celle qui ne dépend pas de l'article 31, est de 128 euros.

L'étude est plus prudente que la façon dont on la présente. Dans une note de bas de page, elle écrit que ses scénarios sont des exercices de modélisation, pas des prédictions du texte final. Le même jour, dans le communiqué de la CCIA, son responsable des politiques publiques Mitchell Rutledge assure que les coûts pour le privé ne sont « pas hypothétiques mais inévitables ».

Entre les deux phrases, il y a 80 milliards d'euros et un acte délégué que personne n'a encore écrit.