Le cloud « souverain » de Microsoft : ce qu'il protège, ce qu'il ne protège pas

Par l'équipe Archibou

Le 20 octobre 2026, Microsoft a présenté à Paris une nouvelle offre de cloud « souverain ». Elle répond à une question réelle : qui accède à vos données ? Elle ne répond pas à une autre : qui peut obliger Microsoft à les remettre ? Tant que les deux questions sont confondues, l'offre paraît plus protectrice qu'elle ne l'est.

1. Le mot « souverain » recouvre deux questions

Dans le débat sur le cloud, le mot « souverain » sert à désigner deux choses différentes.

La première est l'accès. Qui peut lire, modifier ou copier vos données pendant qu'elles sont chez le fournisseur ? Un ingénieur de Microsoft, un sous-traitant, un attaquant, un administrateur trop curieux ? C'est une question technique. On y répond par des contrôles d'accès, des journaux, du chiffrement et des clés.

La seconde est la contrainte juridique. Si un juge étranger ordonne au fournisseur de remettre vos données, le fournisseur peut-il refuser ? C'est une question de droit. On y répond par le droit qui s'applique à l'entreprise qui détient les données, par la structure du groupe et, parfois, par le chiffrement.

Microsoft a beaucoup travaillé sur la première. La seconde dépend d'autre chose.

Une offre peut donc être excellente sur la sécurité et insuffisante sur la souveraineté.

2. Ce que Microsoft a ajouté

Trois nouveautés comptent, et elles sont concrètes.

Un tiers européen surveille les accès distants. Quand un ingénieur de Microsoft intervient à distance sur un système situé en Europe, un partenaire européen supervise la session et en garde une trace. L'objectif est simple : savoir qui entre, quand, et ce qu'il fait. Microsoft appelle ce dispositif Data Guardian.

Le client peut garder la clé de chiffrement. Une entreprise peut conserver la clé racine dans du matériel qu'elle contrôle, sur site ou chez un tiers de confiance. Microsoft stocke alors des données qu'il ne peut pas déchiffrer seul. C'est la protection la plus solide contre la lecture du contenu.

Une partie du service peut tourner sur site. Azure Local permet de faire fonctionner des services Microsoft dans les locaux du client, y compris sans connexion internet. Utile quand le service doit continuer si le réseau tombe, ou quand les données ne doivent pas sortir.

3. Ce que ces outils empêchent réellement

Ce ne sont pas des outils de marketing vide. Pour un hôpital, une mairie ou une entreprise qui doit prouver à un auditeur qui accède à ses données, ils changent quelque chose : le risque d'accès non tracé diminue, la maîtrise des clés est réelle, et le service peut continuer quand internet ne suit pas.

Ils répondent aussi à un risque réel : un accès administratif de Microsoft, d'un sous-traitant ou d'un attaquant. Data Guardian le rend visible et encadré, et une clé détenue par le client empêche Microsoft de lire le contenu, même si le service est compromis.

C'est un progrès, et il ne faut pas le minimiser.

4. Ce que ces outils n'empêchent pas

Prenons un cas concret. Une entreprise française stocke ses documents chez Microsoft, dans un centre de données situé à Paris. Un juge américain ordonne à Microsoft de lui remettre ces documents dans le cadre d'une enquête.

Que se passe-t-il ?

Le Cloud Act, une loi américaine de 2018, permet à un juge américain d'ordonner à un fournisseur américain de produire les données qu'il possède, qu'il garde ou qu'il contrôle, où qu'elles soient stockées.¹ Le critère n'est pas l'emplacement du serveur. Le critère est le lien entre le fournisseur et le droit américain.

Microsoft Corporation est une entreprise américaine. L'entité américaine du groupe peut être destinataire de l'ordonnance. Le partenaire européen qui supervise les accès n'est pas le fournisseur du service. Il n'est donc pas destinataire. Il peut constater l'accès, il ne peut pas annuler l'ordonnance.

Ni le lieu du serveur ni la nationalité du partenaire ne bloquent la demande. La question est de savoir qui est le fournisseur au sens du droit américain, et qui contrôle les données.

Le chiffrement avec une clé détenue par le client complique la production du contenu. Si Microsoft n'a pas la clé, il ne peut pas remettre un document lisible. Mais cela ne règle pas tout : les métadonnées, les sauvegardes, les journaux et les données non chiffrées restent accessibles. Et dans certaines procédures, l'utilisateur peut lui-même être contraint de fournir la clé. Le chiffrement est une barrière forte, pas une immunité.

Les autorités européennes de protection des données le disent à leur manière : des mesures techniques peuvent ne pas suffire quand le fournisseur dépend du droit d'un pays tiers.² Ce n'est pas une opinion, c'est un avertissement juridique.

Le RGPD et le cadre de protection des données UE-États-Unis, le DPF, encadrent les transferts de données personnelles. Ils ne modifient pas le Cloud Act et ne couvrent pas les données non personnelles. C'est une autre couche, utile mais distincte.

5. Pourquoi un partenaire européen ne suffit pas

L'annonce de Microsoft insiste sur un point : les accès des ingénieurs sont supervisés par un partenaire européen. C'est une bonne réponse à la question de l'accès. Ce n'est pas une réponse à la question de l'injonction.

La raison est simple : une ordonnance est adressée à une personne morale. Si la personne morale qui fournit le service est américaine, ou contrôlée par une société américaine, c'est elle qui doit répondre. Le partenaire européen qui supervise les accès n'est pas partie à la procédure. Il ne peut pas s'y opposer à la place de Microsoft.

Une filiale européenne, un contrat avec une entité européenne ou une gouvernance locale peuvent changer la réponse. Mais il faut regarder qui signe le contrat, qui détient les données et qui peut recevoir une injonction. Ce sont des questions de droit, pas des cases à cocher dans une interface.

C'est ici que Bleu entre en scène. Bleu est une coentreprise d'Orange et de Capgemini, détenue à 100 % par des acteurs européens. Elle propose depuis le 15 octobre 2026 une centaine de services Azure, avec des centres en Île-de-France et à Rennes, et vise la qualification SecNumCloud pour la fin 2026. Microsoft 365 est visé pour le premier semestre 2027.³

Bleu change le propriétaire de l'entreprise qui exploite le service, pas la technologie. C'est déjà beaucoup pour la question juridique : une entreprise européenne qui exploite une technologie américaine peut réduire l'exposition à une injonction, selon la structure contractuelle. Mais la dépendance technique reste, et la qualification n'est pas encore acquise. Une offre « en cours de qualification » n'est pas une offre qualifiée.

6. Les quatre niveaux européens

Pour sortir du flou, la Commission européenne a proposé en juin 2026 de classer les offres de cloud en quatre niveaux.⁴ Ce n'est pas encore une loi, et les critères peuvent évoluer. Mais la grille est utile.

L'offre de Microsoft se situe entre les niveaux 1 et 2. Le niveau 3 suppose un propriétaire européen. Le niveau 4 suppose de maîtriser le logiciel, ce qui est difficile avec du code américain.

La phrase à retenir n'est pas une image : le niveau 3 dépend de qui possède l'entreprise, pas d'une option dans le portail Azure.

7. Et le prix ?

La partie commerciale raconte la même histoire que la partie technique : le contrôle devient un supplément.

Depuis le 8 octobre 2026, les nouveaux abonnements Microsoft 365 Famille et Premium passent de 6 To pour six comptes à 2 To partagés, au même prix : 129 € par an pour Famille, 219 € pour Premium. Les abonnés existants basculeront au premier renouvellement à partir du 2 mai 2027.⁵ Pour une famille qui utilise 4 To, il faut ajouter environ 2 To, soit environ 20 € par mois, et la facture passe à environ 369 € par an.⁶ Côté entreprises, les prix ont augmenté de 5 à 17 % au 1er juillet 2026, puis de 5 % sur certains abonnements au 1er octobre.⁷

Le détail fera l'objet du prochain épisode. Ce qu'il faut retenir ici : le contrôle est vendu comme une fonctionnalité, et la baisse de stockage est vendue comme un ajustement. Les deux mouvements vont dans le même sens, celui d'un supplément.

8. Les trois questions à poser avant de signer

Que vous soyez une famille ou une entreprise, posez ces trois questions à votre fournisseur.

1. Qui possède l'entreprise qui détient mes données ? Une société américaine, un fonds étranger, une entreprise française ?
2. Quel juge peut lui ordonner de me les remettre ? Un juge français, un juge américain, les deux ?
3. Qu'est-ce qui m'en protège si ce juge n'est pas le mien ? Un contrat, une clé que je garde, une filiale européenne, rien ?

Et une question bonus : que se passe-t-il si le service est coupé demain ? La continuité n'est pas la souveraineté, mais elle en fait partie.

Pour un hôpital, la réponse peut être le niveau 3, avec un opérateur européen. Pour une application banale, le niveau 1 suffit peut-être. Pour des photos de famille, la question est plus simple : un hébergeur français, sous droit français, sans maison-mère américaine. C'est le choix d'Archibou.⁸

9. Ce qu'il faut retenir

Microsoft n'a pas menti. Il a répondu à une question réelle, celle de l'accès, et il a laissé l'autre ouverte, celle de l'injonction.

La leçon de l'affaire A/I, racontée dans le premier épisode, vaut pour tout le monde : même un serveur européen chez un hébergeur européen peut être copié pour une autorité étrangère si l'État coopère. La souveraineté n'est pas une adresse. C'est une chaîne.

Microsoft vient d'en renforcer quelques maillons techniques. Il n'a pas changé le maillon juridique : l'entreprise qui reçoit la demande reste américaine.

La bonne question n'est donc pas « ce cloud est-il souverain ? ». C'est « de quel niveau ai-je besoin, pour quelles données, et qui possède l'entreprise qui les détient ? ».

La semaine prochaine : ce que la baisse de stockage de Microsoft 365 vous coûte vraiment.

Article publié par Archibou. Novembre 2026.

Peut être librement partagé et reproduit sous licence CC-BY-4.0, avec mention de la source.