La Commission européenne a présenté sa proposition de règlement sur le développement du cloud et de l’intelligence artificielle (Cloud and AI Development Act, CADA), un texte qui vise à transformer en profondeur les infrastructures numériques du continent. Selon Euronews FR, ce projet s’articule autour de trois axes majeurs : un investissement massif dans la recherche et l’innovation, une ambition de tripler le marché européen des centres de données d’ici cinq à sept ans, et la mise en place d’un cadre d’autonomie numérique reposant sur quatre niveaux de souveraineté et de sécurité. Si l’objectif affiché est de renforcer la position de l’Europe face à la concurrence internationale, la proposition suscite des réactions contrastées parmi les acteurs du secteur et les décideurs politiques.
Ce qu'il faut retenir
- La Commission européenne propose le CADA, un règlement pour dynamiser le cloud et l’IA en Europe, avec l’objectif de tripler le marché des centres de données en cinq à sept ans.
- Le texte impose quatre niveaux de souveraineté numérique, obligeant les États membres à classer leurs usages cloud selon des critères stricts.
- Les associations professionnelles, comme CCIA Europe, critiquent le CADA pour son caractère discriminatoire envers les fournisseurs non européens.
- Le titre III introduit des zones d’accélération et des projets stratégiques pour accélérer les autorisations, avec un délai maximal de 12 mois.
- Le titre IV impose aux États membres d’acheter des services cloud alignés sur les quatre niveaux d’assurance, bouleversant les marchés publics.
- Des acteurs comme Nextcloud estiment que le CADA manque d’ambition et devrait aussi s’appliquer au secteur privé.
Un cadre ambitieux, mais des critiques sur sa mise en œuvre
Le CADA repose sur trois piliers principaux : d’abord, un renforcement des investissements dans la recherche et l’innovation pour doper la compétitivité européenne. Ensuite, une volonté de tripler la capacité des centres de données en Europe d’ici cinq à sept ans, un objectif qui implique une transformation rapide des infrastructures locales. Enfin, un cadre d’autonomie numérique est proposé, avec quatre niveaux de souveraineté et de sécurité, qui imposera aux États membres de classifier leurs usages cloud selon des critères stricts. Autant dire que le texte ambitionne une refonte complète du paysage numérique européen.
Pourtant, dès sa présentation, le CADA a suscité des réactions contrastées. CCIA Europe, une association professionnelle, a qualifié le texte de discriminatoire, estimant que les obligations imposées aux fournisseurs non européens seraient impossible à respecter par défaut. L’avocat polonais spécialisé dans les nouvelles technologies, Mikolaj Barcenciewicz, a lui aussi pointé du doigt un manque de flexibilité, plaidant pour une approche fondée sur les risques plutôt que sur des catégories rigides. Selon lui, le CADA risque d’uniformiser les pratiques au détriment du principe de subsidiarité, qui permet aux États membres de adapter leurs politiques à leur contexte national.
Des délais ambitieux pour les autorisations, mais des contraintes lourdes
Le titre III du CADA introduit deux mécanismes clés pour accélérer le déploiement des centres de données : les zones d’accélération et les projets stratégiques. Dans les six mois suivant l’entrée en vigueur du règlement, chaque État membre devra désigner au moins une zone d’accélération, intégrée aux plans locaux d’urbanisme. Ces zones devront privilégier les friches industrielles et tenir compte de la disponibilité du réseau électrique et des capacités des réseaux. Les projets implantés dans ces zones, ou désignés comme stratégiques, bénéficieront d’un « corridor vert », limitant à 12 mois maximum les procédures d’autorisation.
Cependant, le texte impose des exigences de conformité particulièrement lourdes. Les exploitants d’infrastructures devront adopter des indicateurs de durabilité harmonisés au niveau européen, et l’allocation des ressources locales sera strictement encadrée pour éviter les phénomènes de thésaurisation spéculative ou de blocage anticoncurrentiel. Or, les contraintes locales sont déjà nombreuses : seuls quelques constructeurs spécialisés disposent des certifications nécessaires, et les chantiers, même pour des installations modestes, s’étalent parfois sur plusieurs années. En ajoutant ces nouvelles obligations, les décideurs européens prennent le risque de transformer le délai théorique de 12 mois en un objectif dépourvu de véritable portée.
Un bouleversement des marchés publics du cloud
Le titre IV du CADA redéfinit les règles du jeu pour les marchés publics en Europe. Les États membres ne pourront plus choisir librement leurs fournisseurs de services cloud en fonction du prix ou de la qualité de service. À la place, ils devront se conformer aux quatre niveaux d’assurance définis à l’annexe II, qui classent les fournisseurs en fonction de leur degré de souveraineté et de sécurité. Le niveau 1 autorise l’utilisation de fournisseurs tiers, à condition qu’ils respectent des exigences de base. Le niveau 2 impose une souveraineté numérique substantielle, avec des opérations et des infrastructures strictement localisées en Europe. Le niveau 3 interdit par défaut le contrôle par des entreprises de pays tiers, sauf dérogation exceptionnelle. Enfin, le niveau 4 représente l’autonomie maximale, avec une interdiction totale de tout contrôle étranger.
Pour mettre en œuvre ce cadre, chaque État membre devra désigner une autorité nationale compétente, chargée de contrôler les fournisseurs et de traiter les demandes de reconnaissance. Dans un délai d’un an, les États devront réaliser des évaluations des risques, à renouveler tous les deux ans, pour classer les activités du secteur public selon le niveau d’assurance requis. Jusqu’ici, les entités publiques choisissaient leurs fournisseurs en fonction du prix et de la qualité, avec une approche par les risques en matière de souveraineté. Désormais, elles devront aussi évaluer des critères non tarifaires, comme la contribution d’un fournisseur à l’écosystème numérique européen. Un changement de paradigme qui risque de complexifier encore davantage les procédures.
Des réactions variées parmi les décideurs européens
Les positions divergent au sein des institutions européennes. L’eurodéputé suédois Jörgen Warborn a partagé sur LinkedIn ses réflexions sur le CADA, estimant que les objectifs de souveraineté numérique doivent s’accompagner d’une simplification accrue et de meilleures conditions pour les entreprises. Il a souligné que si la sécurité nationale justifie un renforcement des contrôles, les secteurs moins sensibles devraient rester ouverts aux investissements étrangers. « Une vaste majorité de la richesse mondiale se trouve en dehors de l’UE, et l’Union devrait chercher à attirer ces capitaux, et non l’inverse », a-t-il déclaré. Une position qui reflète les tensions entre souveraineté et ouverture économique.
À l’inverse, l’eurodéputée finlandaise Aura Salla a plaidé pour une approche encore plus centralisée, notamment en matière de tests de résistance des dépendances technologiques. Certains acteurs du secteur, comme l’éditeur de logiciels allemand Nextcloud, vont plus loin : pour eux, le CADA manque d’ambition et devrait aussi s’appliquer au secteur privé. Un avis qui souligne les limites du texte actuel, perçu comme trop timide par une partie de l’industrie.
Le CADA s’inscrit dans une dynamique plus large, où l’Europe cherche à réduire sa dépendance aux technologies étrangères, notamment américaines et chinoises. Pourtant, la réussite de ce projet dépendra de sa capacité à concilier ambition et pragmatisme, sans étouffer l’innovation ni décourager les investissements. Autant dire que les prochains mois seront déterminants pour l’avenir du numérique en Europe.
Le niveau 1 couvre les exigences de base en matière de souveraineté et de sécurité, tout en autorisant la détention par des entreprises de pays tiers. Le niveau 2 correspond à une souveraineté numérique substantielle, avec des opérations et infrastructures strictement localisées en Europe. Le niveau 3 interdit par défaut le contrôle par des entreprises de pays tiers, sauf dérogation exceptionnelle. Enfin, le niveau 4 représente l’autonomie maximale, avec une interdiction totale de tout contrôle étranger.
