Microsoft affirme : souverain. La question reste : souverain face à quoi ?
Microsoft garantit la résidence des données pour M365 Copilot en Allemagne. Andreas Knols de enthus cloud explique ce que cette étape implique et quelle…
Tribune invitée d’Andreas Knols, Director enthus cloud
L’annonce de Microsoft concernant le traitement futur des données M365 Copilot sur des serveurs allemands ne mérite ni scepticisme réflexe ni applaudissements inconditionnels. Elle mérite de la précision.
Les points clés en bref
- Microsoft garantit la résidence physique des données : les requêtes M365 Copilot et les données de contexte seront traitées dans des centres de données allemands, et non plus aux États-Unis ou en Irlande.
- Le CLOUD Act reste en vigueur : Microsoft demeure une entreprise américaine. L’adresse des serveurs ne modifie pas l’ordre juridique applicable en cas d’accès.
- Le catalogue de critères C3A du BSI rend la souveraineté vérifiable : résidence, portabilité, sous-traitants, droits d’accès et ordre juridique comme grille opérationnelle avant le déploiement.
En lien :Google Gemini en entreprise : ce qu’impose l’AI Act / SAP Sovereign Cloud France : conséquences pour les décideurs IT
Ce que Microsoft s’engage concrètement à faire : la résidence physique des données pour les processus d’inférence en Allemagne. Lorsque vous utilisez Copilot dans Word, Teams ou Outlook, vos requêtes et données de contexte sont traitées sur des serveurs situés dans des centres de données allemands – ni aux États-Unis, ni en Irlande. Pour de nombreuses entreprises que nous accompagnons dans leur migration vers le cloud, il s’agit d’une amélioration substantielle par rapport à la situation actuelle.
Et pourtant : cette avancée répond à une question importante. Pas à la question décisive.
Ce que la résidence physique ne régit pas
La juridiction. Microsoft reste et demeure une entreprise américaine. Le CLOUD Act de 2018 oblige les entreprises américaines, sous certaines conditions, à fournir des données sur demande des autorités – indépendamment du pays où ces données sont physiquement stockées. Un centre de données allemand ne modifie pas la structure juridique de l’entreprise. Il ne change que l’adresse des serveurs.
Il ne s’agit pas là d’une critique voilée. C’est une constatation de l’état du droit – et une réalité que Microsoft lui-même ne peut pas résoudre, car elle est liée à sa structure d’entreprise, et non à son infrastructure.
Si l’on interprète donc l’engagement souverain de Microsoft comme une réponse complète à la question de la souveraineté, on omet une dimension : l’emplacement d’un serveur et l’ordre juridique applicable en cas de litige pour le contenu qui s’y trouve sont deux choses distinctes. La première a été précisée par l’annonce de Microsoft. La seconde reste en suspens.
Ce que le catalogue du BSI permet désormais
C’est précisément pour cette distinction que le catalogue de critères C3A du BSI, publié le 27 avril 2026, constitue l’outil adapté. Il rend les revendications de souveraineté vérifiables – en tant que grille opérationnelle : résidence, portabilité, transparence sur les sous-traitants, droits d’accès et, explicitement, l’ordre juridique applicable en cas d’accès.
L’annonce de Microsoft remplit, selon cette grille, une partie pertinente des exigences. Elle ne les remplit pas toutes. Ce n’est pas une faiblesse du fournisseur – c’est le résultat d’une analyse honnête. Et c’est précisément là que réside la valeur du catalogue : il impose de la précision là où, jusqu’à présent, une simple affirmation suffisait.
| Dimension de souveraineté | Ce que Microsoft s’engage désormais à faire | Ce qui reste en suspens |
|---|---|---|
| Résidence physique | Données d’inférence dans des centres de données allemands | Question d’adresse résolue |
| Juridiction / CLOUD Act | inchangée : structure d’entreprise américaine | Ordre juridique en cas d’accès non défini |
| Grille BSI C3A | partie pertinente remplie | tous les critères ne sont pas couverts |
Ce que les décideurs doivent clarifier avant l’adoption
Non pas : éviter M365 Copilot. Non pas : prendre l’annonce pour argent comptant et signer le contrat sans le lire.
Mais plutôt : poser trois questions – idéalement avant de prendre la décision de déploiement. Premièrement : qu’est-ce que Microsoft garantit contractuellement – et qu’est-ce qui ne figure que dans l’annonce produit ? Deuxièmement : quelles sont les obligations de divulgation de Microsoft envers les autorités publiques et sous quel ordre juridique ? Troisièmement : si les réponses aux questions un et deux changent – puis-je changer de solution sans coûts de migration prohibitifs ?
Nous posons ces questions dans chaque projet d’architecture cloud. Les réponses déterminent quelles données doivent aller dans quel environnement – et lesquelles n’y ont pas leur place. Ce n’est pas un simple exercice de conformité. C’est un travail d’architecture à part entière.
L’initiative de Microsoft est un bon signal – le fait que le leader du marché réponde aux exigences de souveraineté est pertinent pour nous, praticiens du cloud. Mais un signal ne fait pas un contrat. Celui qui pose aujourd’hui les bonnes questions d’architecture n’aura pas à y répondre demain sous la pression.
À propos de l’auteur : Andreas Knols est responsable de enthus cloud, l’offre de cloud privé managé d’enthus, et accompagne les entreprises de taille moyenne dans la construction d’architectures cloud souveraines et résilientes.
Foire aux questions
Que signifie concrètement Microsoft par Sovereign Data Processing ?
Résidence physique des données pour les processus d’inférence au sein de l’Allemagne. Les requêtes et les données de contexte de M365 Copilot sont traitées sur des serveurs dans des centres de données allemands, et non aux États-Unis ni en Irlande.
Pourquoi la résidence physique des données ne suffit-elle pas pour la souveraineté ?
Parce qu’elle ne règle pas la question de la juridiction. Microsoft reste une entreprise américaine et le CLOUD Act de 2018 oblige les fournisseurs américains à communiquer des données sous certaines conditions, indépendamment de leur lieu de stockage physique. L’adresse du serveur et l’ordre juridique applicable sont deux choses distinctes.
Que permet le catalogue de critères C3A du BSI ?
Il rend les exigences de souveraineté vérifiables. La grille opérationnelle couvre la résidence, la portabilité, la transparence sur les sous-traitants, les droits d’accès et explicitement l’ordre juridique applicable en cas d’accès. Publié le 27 avril 2026.
Quelles trois questions les décideurs doivent-ils clarifier avant le déploiement ?
Premièrement : qu’est-ce que Microsoft garantit contractuellement et qu’est-ce qui n’apparaît que dans l’annonce du produit ? Deuxièmement : quelles sont les obligations de divulgation de Microsoft envers les autorités publiques et sous quel ordre juridique ? Troisièmement : si les réponses changent, puis-je changer de solution sans coûts de migration prohibitifs ?
Cela signifie-t-il qu’il faut éviter M365 Copilot ?
Non. Mais la question architecturale doit précéder la décision de déploiement, et non l’inverse. Les réponses déterminent quelles données doivent aller dans quel environnement, et lesquelles non. C’est un travail d’architecture.
Lectures recommandées par la rédaction
- AWS Sovereign Cloud : ce qui est vraiment séparé
- BSI C3A : la souveraineté cloud devient vérifiable
- Le Data Act européen rend la portabilité cloud obligatoire
Plus d’articles du réseau MBF Media
Source de l’image : générée par IA (juillet 2026)
