Le Grand exode du cloud : pourquoi les entreprises européennes reviennent vers leur propre infrastructure

 Une analyse approfondie de la souveraineté des données, de la maîtrise des coûts et de l’indépendance numérique en 2025

 Introduction : la fin de la doctrine « cloud-first »

 Pendant des années, la direction de l’informatique semblait évidente. Tout allait « vers le cloud ». Dans les présentations des grands cabinets de conseil, sur les conférences IT et dans les réunions de direction, un seul credo dominait : cloud-first. Qui investissait encore dans du matériel physique autour de 2015 était souvent regardé avec commisération.

 La promesse était simple : plus besoin de gérer soi-même des serveurs, plus de soucis de mises à jour ou de correctifs de sécurité, une capacité quasi infinie disponible à la demande. Avec une carte bancaire et quelques clics, une nouvelle application pouvait être déployée à l’échelle mondiale.

 En 2025, l’atmosphère a changé. Pour beaucoup d’entreprises européennes, la lune de miel avec les hyperscalers – Amazon Web Services (AWS), Microsoft Azure et Google Cloud – est terminée. Le récit d’agilité et d’innovation s’est transformé en histoire de dépendance, de coûts incontrôlables et de perte de maîtrise sur les données les plus critiques.

 IDC prévoit que d’ici 2026, environ 65 % des organisations seront revenues à un modèle hybride, où une partie importante du traitement de données et des charges d’IA sera ramenée dans des centres de données propres ou chez des fournisseurs européens régionaux. Les directeurs informatiques en Europe ne parlent plus uniquement de transformation cloud, mais de souveraineté numérique et de réduction de risques.

 Partie I : la réalité juridique – des données entre des mains étrangères

 L’illusion de la « région européenne »

 Le problème fondamental de la domination des grands fournisseurs américains est d’ordre juridique. Beaucoup de dirigeants supposent que, tant que les données sont stockées dans une « région Europe » – souvent un centre de données aux Pays-Bas ou en Allemagne – elles sont automatiquement protégées par le droit européen.

 En pratique, c’est une illusion dangereuse. Le droit américain ne regarde pas où se trouve physiquement le serveur, mais qui contrôle l’entreprise qui fournit le service.

 Le CLOUD Act américain

 Depuis 2018, le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) permet aux autorités américaines d’exiger de fournisseurs comme Microsoft, Google ou Amazon qu’ils livrent des données de clients, même si ces données sont stockées en dehors des États-Unis.

 Le critère est la notion de « possession, custody or control » : si la maison-mère américaine exerce le contrôle sur la filiale européenne, les données peuvent être visées par une réquisition. Pour un client néerlandais qui utilise Microsoft 365 ou Azure via la filiale locale, cela signifie dans la pratique que les autorités américaines peuvent réclamer l’accès à ses données sans que la justice néerlandaise n’ait son mot à dire.

 Cela place les organisations européennes dans un conflit juridique direct. D’un côté, le RGPD impose des conditions très strictes pour le transfert de données personnelles vers des pays tiers ; de l’autre, le droit américain s’applique extraterritorialement à leurs fournisseurs cloud.

 FISA 702 : la surveillance à grande échelle

 Encore plus problématique du point de vue européen est la section 702 de la Foreign Intelligence Surveillance Act (FISA). Cette disposition permet aux services de renseignement américains de collecter et d’analyser les communications de non-Américains se trouvant en dehors des États-Unis, sans mandat ciblé individuel fondé sur une suspicion pénale.

 Il s’agit de « renseignement » au nom de la sécurité nationale, un concept interprété largement. Dans plusieurs arrêts, la Cour de justice de l’Union européenne a estimé que ce régime de surveillance n’offrait pas une protection équivalente à celle du droit européen, raison pour laquelle des accords précédents sur les transferts de données ont été invalidés.

 Même si un nouveau cadre politique a été mis en place, l’incertitude juridique demeure. Pour un hôpital, une collectivité ou une banque, il devient de plus en plus difficile d’argumenter que des données sensibles peuvent être transférées en toute conformité vers des fournisseurs soumis à ces lois.

 L’affaire OVH-Canada : la fin de la naïveté

 Que ces risques ne soient pas théoriques a été illustré par une affaire au Canada impliquant OVHcloud, l’un des plus grands fournisseurs européens. Dans une procédure pénale, la police canadienne a exigé l’accès à des données de clients hébergées sur des serveurs en France, au Royaume-Uni et en Australie. Les clients concernés n’avaient pas de lien direct avec le Canada.

 Le juge a néanmoins estimé que la filiale canadienne d’OVHcloud pouvait être contrainte de livrer ces données. L’intérêt de l’enquête pénale primait sur les objections liées au droit européen et français. OVHcloud s’est retrouvée dans un dilemme : respecter la décision canadienne et violer potentiellement le droit européen, ou protéger ses clients européens au risque de sanctions au Canada.

 Cette affaire a fait l’effet d’un électrochoc dans le débat sur la souveraineté des données. Elle montre que, dès qu’un fournisseur possède des entités juridiques dans plusieurs juridictions, des lois étrangères peuvent s’appliquer à des données supposées « souveraines ».

 La vulnérabilité de l’État néerlandais

 Les pouvoirs publics ne sont pas épargnés. Des enquêtes ont montré que des milliers de sites et services de l’administration néerlandaise – y compris dans des secteurs vitaux – utilisent des services de cloud américains. Il ne s’agit pas seulement de messagerie, mais aussi de stockage de documents, de vidéoconférence et d’applications métier.

 Les risques sont doubles :

 ·         D’une part, l’accès potentiel à des informations sensibles par des autorités étrangères.

·         D’autre part, la dépendance opérationnelle vis-à-vis de fournisseurs qui peuvent devenir, sous pression politique, un instrument de sanctions.

 Lorsque le compte Microsoft du procureur principal de la Cour pénale internationale à La Haye a été bloqué en 2025, la question n’était plus théorique : que se passe-t-il si, pour des raisons géopolitiques, un fournisseur coupe l’accès à des services utilisés par un État européen ?

 Partie II : la fragilité de la centralisation – sécurité et continuité

 L’incident CrowdStrike : l’écran bleu global

 Le 19 juillet 2024, une mise à jour défectueuse du logiciel de sécurité CrowdStrike a provoqué une panne mondiale spectaculaire. Des millions de systèmes Windows sont tombés en erreur avec le fameux « Blue Screen of Death ». Des aéroports ont été paralysés, des hôpitaux ont dû reporter des opérations, des banques et des commerces se sont retrouvés KO.

Cet incident illustre la vulnérabilité d’un paysage informatique extrêmement centralisé, où un petit nombre de fournisseurs distribuent en une fois des mises à jour vers des millions de machines. Dans un environnement on-premise traditionnel, les administrateurs testent souvent les mises à jour dans un environnement de préproduction avant de les diffuser. Dans le modèle cloud managé, ce contrôle est largement délégué au fournisseur.

Lorsque tout passe par quelques grandes plates-formes, une erreur chez l’un d’eux peut prendre les allures d’un infarctus numérique mondial.

Le piratage de la police néerlandaise

En septembre 2024, la police néerlandaise a été victime d’une cyberattaque lors de laquelle les données de dizaines de milliers d’agents – noms, adresses e-mail et numéros de téléphone privés – ont été dérobées. Selon les services de renseignement, l’attaque a été menée par un acteur étatique étranger.

Les pirates auraient utilisé une technique dite « pass-the-cookie ». Dans un environnement cloud comme Microsoft 365, un utilisateur reçoit, après authentification (même avec authentification multifacteur), un cookie de session sur son appareil. Si un logiciel malveillant parvient à voler ce cookie, l’attaquant peut se connecter comme si c’était l’utilisateur légitime, sans devoir saisir à nouveau mot de passe ou code MFA.

Techniquement, il s’agit d’une attaque sur l’identité. Mais le cloud élargit la surface d’attaque, car les portails d’authentification sont accessibles en permanence via Internet. Dans un environnement entièrement interne et segmenté, ce type d’attaque est plus difficile à réaliser à grande échelle.

Le risque de concentration dans le secteur financier

La Banque centrale des Pays-Bas et d’autres régulateurs mettent en garde depuis des années contre le risque de concentration dans le secteur financier. Presque toutes les grandes banques et assureurs s’appuient sur les mêmes trois grands fournisseurs cloud pour des fonctions critiques.

Cela crée un risque systémique : une panne majeure, une cyberattaque ciblée ou un conflit politique affectant un seul hyperscaler peut potentiellement perturber tout un système de paiement national. Des architectures multi-cloud atténuent légèrement ce risque, mais ne changent pas le fait que la dépendance structurelle vis-à-vis d’un petit groupe d’entreprises non européennes reste très élevée.

Partie III : la réalité économique – le coût réel du cloud

Les hausses de prix et l’« inflation du cloud »

Outre les risques juridiques et de sécurité, les coûts jouent un rôle de plus en plus important dans les décisions de revenir à une infrastructure propre. Ces dernières années, tous les grands fournisseurs ont augmenté leurs tarifs, souvent en combinant hausses de prix, restructurations de licences et frais supplémentaires pour des fonctions autrefois incluses.

Microsoft a, par exemple, renchéri divers services dans Microsoft 365 et Azure, tout en poussant les clients vers des abonnements plus complets. La facturation en dollars et les corrections de change régulières rendent difficile la planification de budgets pluriannuels stables pour les organisations européennes.

Chez AWS, de nombreuses entreprises constatent que des charges de travail qui paraissaient abordables au départ deviennent, à long terme, nettement plus chères que prévu. La complexité de la tarification – avec des frais distincts pour le stockage, le trafic sortant, les requêtes, les sauvegardes et le monitoring – mène facilement à des surprises désagréables.

Exemple de comparaison de coûts

Comparons de façon simplifiée un serveur de taille moyenne pour des applications métier : 8 vCPU, 64 Go de RAM, stockage rapide, à utiliser en continu.

·         Dans un cloud hyperscaler, un tel serveur, avec réduction pour engagement sur trois ans, peut facilement coûter entre 800 et 1 000 euros par mois, sans compter le trafic ni les options de sauvegarde.

·         Un serveur physique équivalent acheté (CapEx) et hébergé dans un centre de données néerlandais professionnel peut, amorti sur cinq ans, revenir à quelques centaines d’euros par mois, colocation comprise.

Sur une période de cinq ans, la différence se chiffre rapidement en dizaines de milliers d’euros de coûts d’infrastructure, pour une capacité informatique comparable.

L’exemple d’un entrepreneur SaaS

Plusieurs entrepreneurs SaaS ont récemment raconté publiquement comment ils ont quitté AWS ou Azure pour des serveurs dédiés ou des clouds régionaux européens. L’un d’eux, avec environ 50 000 utilisateurs et deux millions de dollars de chiffre d’affaires, a réduit sa facture mensuelle d’infrastructure de près de 8 000 à environ 2 000 dollars en migrant vers des serveurs dédiés chez un fournisseur régional.

Au-delà de l’économie directe, ces entrepreneurs soulignent surtout qu’ils ont retrouvé une visibilité sur leurs coûts. Un serveur dédié ou un cluster de serveurs a un prix fixe ; on ne découvre plus a posteriori que le trafic sortant ou les requêtes sur une base de données managée coûtent soudainement beaucoup plus cher que prévu.

Le piège des licences logicielles

Le modèle d’abonnement mensuel par utilisateur pour les suites bureautiques et les services collaboratifs entraîne une autre forme de dépendance. Une organisation de 1 000 employés peut facilement dépenser plusieurs centaines de milliers d’euros par an en licences Microsoft 365, sans jamais devenir « propriétaire » du logiciel ou des outils.

Des alternatives open source comme LibreOffice, OnlyOffice ou des plateformes collaboratives comme Nextcloud montrent qu’il existe d’autres modèles. Combinées à du matériel propre ou à des clouds européens, ces solutions permettent de réduire fortement les dépenses récurrentes, au prix d’un investissement initial dans la migration et la formation.

Partie IV : les alternatives – retour au contrôle et à la propriété

La renaissance du matériel d’entreprise

Quitter le cloud ne signifie pas nécessairement revenir aux salles serveurs poussiéreuses des années 2000. Le paysage matériel a évolué. Des serveurs rack modernes de fabricants comme Lenovo, Dell ou HPE offrent une densité élevée, une gestion à distance avancée et une efficacité énergétique largement supérieure.

Une option intéressante pour beaucoup d’organisations est l’utilisation de serveurs dits EOL (End-of-Life) ou « génération précédente ». Ce sont des modèles que les fabricants ne mettent plus commercialement en avant, mais qui sont toujours parfaitement utilisables pour une grande partie des charges d’entreprise. Ils sont significativement moins chers que le matériel tout juste sorti, tout en offrant une qualité professionnelle.

Des spécialistes comme TechOutlet.eu fournissent ce type de serveurs EOL, mais aussi des modèles récents assortis de garantie et de conseil, ce qui permet aux entreprises de constituer une infrastructure sur mesure, adaptée à leurs exigences de performance, de conformité et de budget.

Matériel propre en colocation

Pour de nombreuses organisations, l’option la plus logique est d’acheter elles-mêmes le matériel et de l’héberger dans un centre de données local (colocation). Cette approche combine la propriété et le contrôle d’un environnement on-premise avec les avantages d’un datacenter professionnel : alimentation redondante, refroidissement, sécurité physique et connectivité réseau de qualité.

Un serveur comme le Lenovo ThinkSystem SR630 V3 illustre ce que permet le matériel moderne. Dans une configuration typique pour PME, on dispose de processeurs Xeon, de mémoire DDR5 ECC, d’un contrôleur RAID matériel avec cache protégé, d’alimentations redondantes à haut rendement et d’un contrôleur de gestion à distance. En regroupant plusieurs de ces serveurs, une organisation construit sa propre « mini-cloud » sous son contrôle complet.

L’argument de la durabilité

L’utilisation prolongée de serveurs et de stations de travail existants ou reconditionnés a aussi un avantage environnemental. Prolonger la durée de vie du matériel réduit la demande de nouveaux équipements, donc l’empreinte liée à la production, au transport et au recyclage. Pour beaucoup d’organisations, la combinaison d’avantages économiques et de durabilité crée un argument solide en faveur d’une stratégie de cloud exit partielle.

Partie V : l’IA locale – intelligence sans fuite de données

Il y a quelques années, l’IA semblait synonyme de services cloud : on envoyait des textes, des images ou des enregistrements audio vers une API distante, qui renvoyait un résultat. Désormais, il existe une alternative claire : exécuter des modèles d’IA en local, sur des serveurs ou même sur des ordinateurs portables dotés de GPU ou de NPU (Neural Processing Unit).

Pour des tâches spécifiques – analyse de documents internes, aide à la rédaction, recherche dans des archives, résumé de dossiers – des modèles plus petits et spécialisés suffisent souvent. Ils peuvent être exécutés sur un serveur dans le centre de données de l’organisation ou sur la station de travail de l’employé. Les données ne quittent pas l’environnement contrôlé.

Les avantages sont multiples :

·         Confidentialité : des contrats, dossiers médicaux ou documents internes ne sont pas envoyés à des tiers.

·         Coûts : un investissement ponctuel dans un serveur IA peut remplacer des frais mensuels élevés en licences et en appels API.

·         Latence : les réponses locales sont souvent plus rapides que les appels vers un service en ligne surchargé.

Des outils comme Ollama, LM Studio ou des projets open source permettant de faire tourner des modèles en local démocratisent cette approche. La combinaison de serveurs puissants, de logiciels open source et de modèles d’IA optimisés permet aux organisations de bénéficier de l’IA sans devoir tout confier au cloud public.

Partie VI : réglementation européenne et souveraineté numérique

Des cadres comme la directive NIS2 et le règlement DORA imposent des exigences plus strictes en matière de sécurité et de résilience des systèmes informatiques dans les secteurs essentiels et financiers en Europe. Les organisations doivent pouvoir démontrer qu’elles maîtrisent leurs risques, y compris ceux liés à des prestataires externes.

Dans ce contexte, la dépendance à des fournisseurs soumis à des lois extraterritoriales est de plus en plus remise en cause. Parallèlement, des initiatives comme Gaia-X et des projets franco-allemands sur la souveraineté du cloud visent à développer une infrastructure de données européenne fondée sur des normes ouvertes et des fournisseurs régionaux.

Même si ces initiatives sont encore en construction, le message politique est clair : l’Europe veut réduire sa dépendance envers un petit nombre d’acteurs non européens pour ses fonctions numériques les plus critiques.

Partie VII : quitter le cloud – risques et approche pragmatique

Revenir (partiellement) du cloud vers une infrastructure propre n’est pas un exercice trivial. Les risques ne disparaissent pas, ils changent de nature. Il faut penser à :

·         La disponibilité de compétences techniques internes.

·         Les investissements initiaux dans le matériel et la migration.

·         La responsabilité accrue pour la sécurité, les sauvegardes et la surveillance.

Une approche pragmatique consiste à commencer par un inventaire : quelles applications et quels jeux de données sont vraiment sensibles, critiques ou coûteux dans le cloud actuel ? Où le verrouillage fournisseur est-il le plus problématique ?

À partir de là, des organisations construisent une architecture hybride : certaines fonctions restent dans le cloud public, d’autres sont rapatriées sur du matériel propre ou chez un fournisseur européen de confiance. La migration se fait par étapes, en commençant par des charges de travail moins critiques et en accumulant l’expérience.

Conclusion : du statut de locataire à celui de propriétaire

Les années d’euphorie autour du cloud sont derrière nous. Le cloud garde sa place pour des scénarios spécifiques, mais son statut de solution par défaut est remis en cause. Les enjeux de souveraineté, de sécurité et de coûts poussent de plus en plus d’organisations européennes à redevenir propriétaires d’une partie essentielle de leur infrastructure.

Quitter (en partie) le cloud n’est pas un retour en arrière nostalgique, mais un mouvement vers plus de contrôle :

·         Contrôle juridique sur les données et leur localisation.

·         Contrôle financier sur les investissements et les coûts récurrents.

·         Contrôle technique sur l’architecture, la sécurité et l’IA.

Dans ce paysage, des partenaires spécialisés dans le matériel d’entreprise – comme TechOutlet.eu – jouent un rôle clé. Ils fournissent les briques physiques – serveurs, stations de travail, laptops prêts pour l’IA – avec lesquelles les organisations peuvent reconstruire une infrastructure souveraine, adaptée à leur réalité plutôt qu’à celle des géants du cloud.

À propos de TechOutlet.eu

TechOutlet.eu est un spécialiste du matériel IT professionnel actif depuis 2014 dans le Benelux. L’entreprise fournit des serveurs, stations de travail et ordinateurs portables, neufs ou EOL, de marques comme HP, Dell et Lenovo à des PME, des organisations publiques et des acteurs du secteur de la santé.

Ses priorités :

·         Souveraineté numérique : du matériel que vous possédez et contrôlez réellement.

·         Flexibilité : choix entre matériel EOL rentable et matériel neuf conforme aux normes les plus récentes.

·         Durabilité : exploitation maximale de la durée de vie du matériel.

·         Efficience économique : qualité « enterprise » accessible aux budgets des PME.

·         Livraison rapide : expédition depuis un stock situé aux Pays-Bas, avec des délais très courts.

Pour des conseils sur votre stratégie de sortie du cloud et le matériel nécessaire pour reprendre la main sur votre infrastructure, vous pouvez vous adresser à TechOutlet.eu.