Réponse rapide : la souveraineté des données ne dépend pas du lieu où celles-ci sont physiquement stockées. Elle dépend plutôt du gouvernement qui peut légalement exiger l’accès à ces données, des lois qui régissent l’infrastructure chargée de leur traitement, et de la capacité d’une organisation à conserver le contrôle opérationnel si ce fournisseur d’infrastructure venait à être contraint de se conformer à une décision judiciaire étrangère. En 2026, le simple fait de stocker des données dans un centre de données local ne suffira plus à satisfaire à cette exigence, car les fournisseurs dont le siège social se trouve aux États-Unis restent soumis au CLOUD Act américain, même lorsque leurs serveurs sont situés sur le sol étranger.
Cette distinction est passée du statut de simple note de bas de page relative à la conformité à celui d’un sujet de discussion sur les risques au sein du conseil d’administration. Ce qui n’était autrefois qu’une simple case à cocher « nos données sont-elles stockées dans le pays ? » est devenu une question bien plus complexe : qui, en fin de compte, peut être contraint de les remettre ?
L’illusion de la résidence
Pendant des années, les notions de « résidence des données » et de « souveraineté des données » ont été considérées comme synonymes. Il suffisait d’héberger les serveurs à Francfort, à Toronto ou à Sydney pour être considéré comme conforme.
Cette hypothèse n’est plus valable. Les analystes qualifient désormais explicitement cet écart d’« illusion de résidence » — c’est-à-dire la conviction que la simple présence d’un centre de données local suffit à satisfaire aux exigences en matière de souveraineté. Comme l’explique Kiteworks dans son étude de 2026 sur la souveraineté, une région cloud à Francfort ne résout pas le problème si les autorités américaines peuvent toujours émettre une demande au titre du CLOUD Act qui impose la divulgation « quel que soit l’emplacement physique des serveurs ». Kiteworks : Sovereign AI — La résidence n’est pas synonyme de contrôle
Les chiffres confirment cette préoccupation. Le rapport 2026 de Kiteworks sur la souveraineté des données a révélé que, bien que 80 % des organisations affirment être bien informées des exigences en matière de souveraineté, environ une sur trois a tout de même été confrontée à un incident lié à la souveraineté au cours des 12 derniers mois. Rapport 2026 de Kiteworks sur la souveraineté des données: il s’avère qu’être informé et être protégé sont deux choses bien distinctes.
Risques géopolitiques et liés à la chaîne d’approvisionnement
La pression n’est pas seulement d’ordre juridique. Elle est géopolitique.
Les gouvernements sont de plus en plus réticents à l’idée que les infrastructures essentielles et les données des citoyens relèvent de la compétence d’une poignée de géants étrangers du secteur des technologies.
L’UE a réagi en développant un programme de « souveraineté technologique » de plus en plus ambitieux, comprenant notamment des propositions visant à empêcher les plateformes cloud américaines de traiter des charges de travail gouvernementales sensibles, ainsi que des cadres réglementaires tels que la loi DORA (Digital Operational Resilience Act) et la directive NIS2, qui incitent les opérateurs de services financiers et d’infrastructures critiques à adopter des modalités d’hébergement plus strictes, souvent contrôlées par l’UE. Conjointement, la loi DORA, la directive NIS2 et la loi européenne sur l’IA ont effectivement fait passer l’infrastructure souveraine du statut de simple préférence à celui d’exigence de conformité pour une liste croissante de charges de travail réglementées. DORA, NIS2 et la loi européenne sur l’IA rendent obligatoire le recours au cloud souverain
L’étude « State of Application Strategy 2026 » de F5, qui s’appuie sur les réponses de plus de 1 100 décideurs informatiques, présente cette évolution comme un changement structurel : les organisations ont désormais besoin d’un contrôle réel sur le lieu d’exécution de l’IA et de l’infrastructure applicative, car la localisation, la souveraineté et l’indépendance opérationnelle sont devenues des exigences incontournables, et non plus de simples atouts. F5 : Souveraineté des données — De nouvelles pressions obligent les organisations à repenser la gestion des risques
L’IA a rendu cela plus difficile, et non plus facile
L’IA générative a introduit un nouveau niveau de complexité auquel la plupart des cadres de souveraineté n’étaient pas préparés. Les charges de travail liées à l’entraînement et au réglage fin nécessitent de plus en plus l’agrégation d’ensembles de données atteignant l’ordre du pétaoctet, traités dans des environnements pouvant s’étendre sur plusieurs clouds, fournisseurs et juridictions. Article « Data Centre POST » : Maîtriser les données d’IA dans le cloud grâce au stockage objet sur site
Cela soulève une question à laquelle peu d’organisations devaient répondre il y a cinq ans : où, exactement, le modèle fonctionne-t-il, et qui détient l’autorité juridique sur l’environnement dans lequel il s’exécute ? Data Centre POST présente l’infrastructure souveraine d’IA comme un impératif stratégique précisément parce que les flux de travail liés à l’IA multiplient le nombre d’endroits où des données sensibles peuvent faire l’objet de fuites au-delà d’une frontière juridictionnelle. Article de Data Centre POST : Pourquoi la souveraineté des données devient un impératif stratégique pour les infrastructures d’IA
À quoi ressemble un véritable contrôle : le chiffrement au sein de la juridiction
Si la résidence à elle seule ne suffit pas, qu’est-ce qui suffit alors ? Le consensus qui se dégage parmi les chercheurs en matière de souveraineté porte sur le contrôle au niveau de l’architecture, et non pas uniquement sur l’implantation géographique. Cela signifie :
- Conservation locale des clés de chiffrement: les clés sont conservées sur le territoire national, de sorte qu’un fournisseur est structurellement dans l’impossibilité de déchiffrer ou de transmettre des données pour lesquelles il ne détient pas les clés.
- Contrôle opérationnel vérifiable: savoir exactement qui (quels citoyens, quelle personne morale) peut accéder à l’environnement, et pas seulement où se trouve le matériel.
- Coûts de sortie raisonnables: la possibilité de quitter un fournisseur ou une plateforme sans frais de sortie prohibitifs ni clause de fidélisation.
Kiteworks le résume sans détour : « La seule souveraineté qui résiste à une action en justice est celle qui est mise en œuvre au sein de l’architecture. » Kiteworks : Sovereign AI — La résidence n’est pas synonyme de contrôle
Dans quels cas l’infrastructure sur site est-elle indiquée ?
C’est précisément cette lacune que le stockage sur site est destiné à combler. Lorsque les données sont hébergées sur une infrastructure dont votre organisation est propriétaire à part entière, et non louée auprès d’un hyperscaler dont le siège social est situé aux États-Unis et soumise aux conditions d’utilisation d’un tiers, l’exposition au CLOUD Act qui s’applique même aux régions cloud dites « souveraines » ne s’applique tout simplement pas. Il n’y a aucune société mère étrangère qui puisse être légalement contrainte de communiquer vos données, car il n’y a tout simplement aucune société mère étrangère dans la chaîne.
C’est là le cœur de la position de Nexsan dans ce débat. Depuis plus de 25 ans, Nexsan développe des plateformes de stockage sur site telles que les gammes E-Series, BEAST, Unity™ et Assureon, conçues pour les organisations qui ont besoin de savoir avec certitude où se trouvent exactement leurs données, qui peut y accéder et à quelles législations elles sont soumises. Nexsan : les avantages et les inconvénients des solutions de stockage sur site Pour les secteurs réglementés, les prestataires du secteur public et toute organisation qui réexamine actuellement ses contrats de cloud computing à la lumière de la directive DORA, de la directive NIS2 ou de la loi européenne sur l’IA, il ne s’agit pas d’un simple retour en arrière par nostalgie. C’est une réponse structurelle à un problème structurel.
En résumé
En 2026, la souveraineté des données est une question de contrôle, et non de localisation. Le stockage local des données est nécessaire, mais il ne suffit plus. Les organisations qui souhaitent obtenir une véritable réponse, et non pas simplement une réponse donnant l’impression d’être conforme, se tournent de plus en plus vers des infrastructures dont elles sont propriétaires et qu’elles exploitent elles-mêmes, sur leur territoire, sans aucune société mère étrangère dans la chaîne.
Prochain article de cette série : Comment l’amende de 890 millions d’euros infligée à Google a transformé la souveraineté technologique en un point névralgique géopolitique, et pourquoi près de 9 entreprises sur 10 rapatrient leurs charges de travail sur site.
Sources : Rapport 2026 de Kiteworks sur la souveraineté des données · Kiteworks : IA souveraine — La localisation n’est pas synonyme de contrôle · F5 : Souveraineté des données — De nouvelles pressions obligent les organisations à repenser la gestion des risques · SoftwareSeni : DORA, NIS2 et la loi européenne sur l’IA · Data Centre POST : Souveraineté des infrastructures d’IA
* Contenu détaillé disponible uniquement en anglais.