Cloud souverain : le contrat Alan qui dit tout
Trois milliards d'euros. La complémentaire santé de 360 000 agents de la Sécurité sociale revient à Alan, l'assurtech française. Sur le papier, c'est une victoire nationale : un acteur tricolore, jeune, digital, qui déloge les assureurs historiques sur un contrat d'État.
Sauf que le débat qui a suivi ne porte pas sur le prestataire. Il porte sur son hébergeur. Alan s'appuie sur AWS, le cloud d'Amazon. Autrement dit, les données de santé de centaines de milliers de fonctionnaires voyageront sur une infrastructure américaine, soumise au droit des États-Unis.
Ce que les syndicats contestent vraiment
Les organisations syndicales n'ont pas remis en cause le choix d'Alan. Elles ont contesté l'hébergement. La nuance est importante et elle dit l'essentiel du problème : personne ne dispute la compétence produit de l'assurtech. Ce qui interroge, c'est que la Sécurité sociale, probablement l'institution la plus sensible du pays en matière de données, confie son socle technique à un hyperscaler étranger.
Le débat sur la souveraineté numérique n'est pas nouveau. Il atteint simplement une ampleur inédite, parce que le contrat lui-même est inédit.
Le problème est mécanique, pas idéologique
Il faut être honnête sur la cause profonde. Aucun hébergeur français n'offre aujourd'hui l'échelle, la couverture de services et le niveau de certification qu'exige un contrat de cette taille. AWS est le leader mondial de l'infrastructure cloud, et l'écart ne se comble pas en un budget annuel.
Il en découle un cercle vicieux mécanique. Plus un marché public est gros, plus il exige une capacité cloud que seuls les hyperscalers peuvent fournir. Mais plus un marché est gros, plus il porte des données sensibles, et plus l'hébergement étranger pose problème. Chaque grand contrat attribué à un acteur américain creuse donc un peu plus l'écart que le cloud français voudrait combler.
L'État voudrait la souveraineté et la compétitivité. Il choisit la seconde, faute de pouvoir obtenir les deux. Le choix n'est pas immoral. Il est contraint. C'est précisément ça, le vrai problème.
Ce que ça change pour le cloud souverain français
Le cloud souverain français ne meurt pas d'une décision de justice ou d'une faille technique. Il meurt de cette répétition : à chaque grand marché, la logique économique l'emporte parce que l'alternative nationale n'est pas prête. Tant que les acteurs hexagonaux ne rattrapent pas leur retard d'échelle et de certification (SecNumCloud en tête), chaque contrat historique renforce la position des géants américains.
Pour les équipes IT du secteur public comme du privé, la leçon est double. D'abord, la souveraineté est un critère qui se contracte en amont, pas un débat qui se lance après l'attribution. Ensuite, quand une donnée est jugée stratégique, la question de sa localisation juridique se pose avec la même acuité que sa protection technique, comme le montre déjà la fragilité physique des infrastructures cloud en temps de guerre.
Pendant ce temps, les données de santé les plus critiques du pays transitent par des serveurs qui ne relèvent pas de la juridiction française. Le prochain contrat de cette ampleur posera exactement la même question, sauf décision politique de changer les règles du jeu.