Microsoft et AWS promettent aux Européens davantage de souveraineté numérique

La souveraineté numérique est actuellement sur toutes les lèvres. En Europe, on y associe surtout le souhait d’une plus grande indépendance vis-à-vis des fournisseurs américains. Les promesses des hyperscalers concernent cependant la souveraineté des données européennes et la protection contre l’accès des États-Unis.

L’essentiel

• Max Schrems a obtenu gain de cause contre Safe-Harbor et le Privacy Shield UE-États-Unis en raison de la surveillance américaine.
• Microsoft propose à partir de 2025 trois modèles de cloud souverain avec résidence des données en Europe.
• Avec la solution de Microsoft, les clients conservent le contrôle des clés de chiffrement via Azure Managed HSM.
• AWS crée une organisation européenne basée en Allemagne pour son cloud souverain à partir de fin 2025.
• Les critiques doutent que les fournisseurs américains puissent être protégés juridiquement contre les lois américaines de surveillance.

Les protecteurs des données européennes ont depuis longtemps à l’œil le fait que les autorités américaines puissent, en cas de doute, accéder aux données hébergées en Europe – et pas seulement à celles-ci. Il y a déjà eu des cas d’espionnage industriel manifeste via ces canaux.

L’activiste autrichien de la protection des données et juriste Max Schrems a, pour cette raison, fait tomber en 2016 devant la Cour de justice de l’Union européenne (CJUE) d’abord l’accord transatlantique Safe-Harbor, puis quatre ans plus tard le soi-disant Privacy Shield UE-États-Unis.

Compréhension diamétralement opposée de la souveraineté

Les géants américains du cloud AWS et Microsoft ont tenté, en installant des centres de données dans l’UE, de répondre aux exigences plus strictes du RGPD et d’autres réglementations sur la protection des données. Ils promettent désormais, de manière diamétralement opposée à la compréhension européenne de moins de dépendance vis-à-vis d’entreprises comme eux, une souveraineté numérique qui concerne la protection des données.

Microsoft et AWS développent des solutions de cloud souverain pour les clients européens. Source de l’image : Pexels

Comme le rapporte le magazine spécialisé IT-Business, les deux fournisseurs de cloud ont indépendamment l’un de l’autre engagé des démarches pour une souveraineté numérique plus poussée visant à protéger, voire à isoler les données européennes.

Le PDG de Microsoft, Satya Nadella, a ainsi présenté, dans le cadre de l’AI Tour à Amsterdam à la mi-juin 2025, un concept selon lequel les données des clients européens des solutions cloud de l’entreprise restent en Europe. Pour garantir que les données ne parviennent pas aux États-Unis ou ailleurs, des employés européens doivent contrôler l’exploitation et l’accès, et le contrôle total chiffré doit incomber aux clients. L’élément central de la solution développée conjointement est une encryption Azure Managed HSM (chiffrement). Celle-ci permet aux clients de détenir la clé de leurs données et de la générer, gérer et stocker en toute sécurité eux-mêmes ou via des partenaires.

Microsoft voit le chiffrement comme la clé

Cela peut être combiné avec un gestionnaire de clés externe, ce qui offre l’avantage de la génération de clés selon les normes FIPS les plus élevées. Un module de sécurité matériel intégré peut être utilisé aussi bien comme appliance sur site que comme solution as-a-service.

Nadella a présenté à Amsterdam trois variantes différentes du nouveau concept, qui devraient être disponibles d’ici la fin de l’année :

• Un « Souverain Public Cloud » avec résidence et contrôle des données clients exclusivement en Europe, en intégrant les centres de données européens existants
• Un « Sovereign Private Cloud » avec hébergement dans les centres de données locaux de Microsoft et des solutions de cloud hybride sur site ou via des partenaires
• Un « National Partner Cloud », spécialement destiné aux autorités et aux opérateurs d’infrastructures critiques.

« Aucune immunité contre le droit américain de surveillance »

Benjamin Schilz, PDG du spécialiste berlinois de la messagerie sécurisée Wire, exprime ses réserves dans une première évaluation : « Microsoft ne dispose d’aucune immunité contre le droit américain de surveillance. Le cloud privé souverain promis fait des promesses qui ne peuvent pas être tenues juridiquement. Il ne s’agit pas de bonnes intentions, mais d’un simple fait : tout fournisseur de logiciels américain peut être légalement contraint de mener des mesures de surveillance ou de bloquer arbitrairement l’accès à des services. »

Il écrit en outre que le code source de Microsoft n’est pas ouvert et qu’il n’existe aucun obstacle juridique empêchant le gouvernement américain d’exiger l’installation de « portes dérobées » pour intercepter des clés cryptographiques, des données clients ou des métadonnées.

AWS va encore plus loin

L’espace de données d’AWS est-il vraiment souverain ? C’est la question que pose IT-Business à propos d’un autre hyperscaler américain. En effet, à Hambourg, Amazon Web Services a présenté, de manière similaire à Microsoft, de nouveaux contrôles de souveraineté et une structure de gouvernance pour son « AWS European Sovereign Cloud », s’engageant ainsi à ne pas transmettre de données à des tiers.

Kathrin Reiz, actuellement Vice President AWS Industries en Allemagne, doit en être responsable ainsi que, en tant que directrice d’un propre Security Operations Center (SoC), de la gouvernance. L’AWS European Sovereign Cloud, qui ne sera toutefois disponible qu’à la fin de 2025, offre par ailleurs les API habituelles du système AWS Nitro.

Pour cette « offre souveraine », AWS crée une organisation européenne avec une société mère et trois filiales en Allemagne, qui, outre Reiz dans l’équipe de direction, devraient également accueillir des responsables de la sécurité et de la protection des données basés dans l’UE. Un comité consultatif indépendant de quatre membres issus des États membres de l’UE servira d’organe d’experts et rendra des comptes sur l’European Sovereign Cloud d’AWS.

La question se pose de savoir si AWS s’opposera en cas de doute à un tribunal américain si celui-ci exige un accès aux données européennes. Selon AWS, il n’y a jamais eu de demande ayant conduit à la divulgation de données d’entreprises ou d’autorités en dehors des États-Unis au gouvernement américain. On ne peut toutefois pas en donner la garantie.

Questions fréquentes

Plus dans le réseau MBF Media

SecurityToday | MyBusinessFuture | Digital Chiefs

Source de l’image : Pexels / Angel Bena

Traduit de l’original allemand par intelligence artificielle. La version allemande fait foi.