Marie a 50 ans et travaille au SPF Finances. Le vendredi 13 novembre, elle n'a "pas reçu un seul mail" et n'a "pas pu en envoyer un seul". "C'est fou de se dire à quel point une simple panne peut tout mettre sur pause", raconte-t-elle. Elle n'est pas une exception : au Royaume-Uni, des cabinets médicaux ont demandé à leurs patients de téléphoner pour les urgences ; en Belgique, une PME spécialisée dans l'aluminium et le PVC a vu "presque toute son activité" s'arrêter, et le CHRSM de Namur a signalé des "retards dans les communications".
La panne d'Outlook et de Teams, déclenchée jeudi 12 novembre dans l'après-midi et encore en cours de résorption le lendemain, a touché des utilisateurs dans 74 pays et territoires selon Downdetector. Microsoft a écarté la piste d'une cyberattaque sans identifier la cause racine, et a promis un rapport une fois les services rétablis. C'est la troisième interruption de Microsoft 365 cette année, après janvier et août.
Il serait facile d'en tirer un sermon sur la souveraineté numérique. Ce serait aussi passer à côté de l'essentiel. La question intéressante n'est pas de savoir si l'Europe dépend trop d'une poignée d'entreprises américaines : tout le monde le sait, et les enquêtes le confirment. La question est de savoir ce qui est réellement remplaçable, par qui, et à quel prix. Une panne de vingt-quatre heures ne répond pas à cette question, mais elle fournit un exercice grandeur nature - et un devis.
Ce que la panne mesure vraiment
Un rappel de physique des systèmes : la redondance ne compte que si les pannes sont indépendantes. Microsoft dispose d'une redondance interne considérable, répartie sur des dizaines de centres de données. Cela protège Microsoft. Pour ses clients, la concentration produit l'effet inverse : lorsque trois fournisseurs détiennent environ 70 % du marché européen du cloud - Amazon, Microsoft et Google, selon Synergy Research Group -, les défaillances cessent d'être indépendantes. Elles deviennent, par construction, corrélées.
"L'épisode montre une fois de plus les désavantages d'une dépendance aussi forte à l'égard d'un petit nombre de grandes entreprises technologiques américaines", résume Tommaso Valletti, professeur d'économie à l'Imperial College Business School et ancien économiste en chef de la concurrence à la Commission européenne, interrogé par Euronews.
Le reste du tableau est connu et se dégrade. Les fournisseurs européens représentent environ 15 % du marché européen du cloud, contre près de 29 % en 2017. Les deux plus grands, l'allemand SAP et Deutsche Telekom, plafonnent à 2 % chacun. Euronews cite une estimation selon laquelle environ 80 % des infrastructures et technologies numériques du continent viendraient de l'extérieur de l'UE - un ordre de grandeur, pas un chiffre comptable.
Et l'écart entre le discours et l'acte d'achat est spectaculaire. Dans l'enquête de l'association numérique allemande Bitkom, 85 % des entreprises allemandes jugent que leur pays dépend trop des fournisseurs de cloud américains - et 71 % en utilisent un. Le cabinet IDC a mesuré que 4 % seulement des organisations européennes prévoient de recourir exclusivement à des fournisseurs locaux. Côté citoyens, l'Eurobaromètre est clair sur le principe : la plupart des Européens veulent des infrastructures contrôlées par des acteurs européens (94 % en Suède, 93 % en Finlande, 92 % au Danemark). Mais la disposition à payer davantage pour cela est très inégale dès qu'on la chiffre : 76 % au Danemark, 73 % en Suède et en Croatie, 35 % en Estonie, 45 % en Bulgarie et en Tchéquie. Le discours sur la souveraineté résiste à peu près partout ; la disposition à payer, elle, varie d'un pays à l'autre.
Trois profils, trois factures
La souveraineté numérique n'est pas un produit qu'on achète une fois. C'est un chantier dont le coût dépend entièrement de qui le porte. Trois cas de figure n'ont ni les mêmes contraintes, ni les mêmes marges de manoeuvre.
Le particulier qui s'auto-héberge : le serveur est facile, la confiance ne l'est pas
Le cas le plus instructif est aussi le plus modeste : l'e-mail. Monter son propre serveur de messagerie demande une soirée et un VPS à cinq euros. Recevoir du courrier fonctionne presque tout de suite. Envoyer est une autre histoire.
Cette asymétrie tient à la façon dont l'e-mail s'est construit : un réseau de réputation. Pour qu'un message arrive dans une boîte Gmail ou Outlook plutôt que dans les indésirables, il faut que l'adresse IP expéditrice ait un passé, que le domaine publie des enregistrements d'authentification corrects, qu'il ne figure sur aucune liste de blocage, et que le fournisseur d'accès laisse passer le port 25 - ce que beaucoup bloquent précisément pour limiter le spam. Sur les forums d'auto-hébergement, la conclusion revient comme une antienne : pour la plupart des gens, héberger son propre courrier est plus pénible que profitable. Les outils existent - le registre néerlandais SIDN décrit quatre piles modernes et open source comme Mox, Chasquid, Stalwart et Maddy - mais l'outil n'est pas le problème.
C'est un peu l'histoire de la boulangerie artisanale : le four s'installe en un week-end, la liste des clients qui vous font confiance, non. Et cette confiance est détenue par les mêmes plateformes dont on cherche à sortir.
Le niveau individuel bute par ailleurs sur deux points que personne ne contrôle vraiment : le nom de domaine et le certificat. On peut déplacer sa boîte mail chez un hébergeur européen ; on ne déplace pas le système d'adressage d'Internet, dont la racine reste administrée dans un cadre largement américain, ni la chaîne de confiance des certificats. La presse néerlandaise s'est d'ailleurs ouvertement demandé si Washington pourrait éteindre un domaine national comme .nl - une question posée, pas un scénario démontré, mais qui situe le niveau réel du problème.
La réponse pratique à ce stade est modeste et honnête : un service de messagerie européen payant, l'export régulier de ses données, une copie locale. Et, pour les fonctions critiques, un mode dégradé. Le radiodiffuseur public néerlandais VPRO a ainsi publié un "kit numérique d'urgence" : carte hors ligne, Wikipédia hors ligne, modèle d'IA local, manuel médical. Ce n'est pas de la souveraineté, c'est de la tolérance à la panne. Pour un individu, c'est déjà beaucoup.
La PME : la facture est dans la colle, pas dans l'abonnement
Pour une entreprise, changer de fournisseur de cloud ne ressemble pas à changer de fournisseur d'électricité. Cela ressemble plutôt à refaire la plomberie d'un immeuble qui reste habité.
Ce qui coûte cher n'est pas l'abonnement, c'est l'intégration : la gestion des identités et des authentifications, les flux de messagerie, les liens vers des documents partagés, les macros et les compléments métier, les signatures électroniques, les sauvegardes, les procédures internes. Le rapport commandé par la CCIA Europe - l'association de lobbying qui regroupe Amazon, Meta et Google - à l'institut bruxellois ECIPE chiffre précisément cette structure de coût : dans son scénario intermédiaire, les migrations et le remaniement des applications représentent 69 % du total, contre une part minoritaire pour le surcoût de la location elle-même. Le rapport émane d'une partie intéressée, et ses scénarios hauts sont invérifiables (on y revient). Mais la forme du coût, elle, est crédible et recoupe l'expérience de terrain : on ne quitte pas un écosystème, on en déménage un.
Les alternatives européennes existent pourtant, couche par couche : OVHcloud et Scaleway en France, STACKIT en Allemagne pour l'infrastructure, des suites collaboratives et des éditeurs de modèles européens pour le logiciel. Mais une PME n'achète pas un serveur, elle achète un ensemble cohérent - et la cohérence, aujourd'hui, est du côté des trois grands. Même les querelles de formats de fichiers, que la Commission européenne a connues de l'intérieur, coûtent plus cher que prévu à qui veut sortir.
Le levier le moins coûteux est aussi le moins spectaculaire : les clauses. Réversibilité, formats standards, portabilité des données et sortie sans pénalité dans les contrats. Cela ne coûte presque rien, ne demande aucune migration, et achète une option pour le jour où la décision deviendra urgente.
L'administration : la commande publique comme levier lent
Les institutions européennes, elles, ont un instrument que ni le particulier ni la PME ne possèdent : elles écrivent les règles. Le projet de rapport parlementaire sur le Cloud and AI Development Act, présenté le 11 novembre, demande aux pouvoirs publics d'acheter davantage de cloud européen. Les commissions du Parlement doivent en discuter le 1er décembre. Un vote en commission est provisoirement prévu à la mi-mars 2027, puis en séance plénière en avril.
Le texte repose sur des "niveaux d'assurance de l'Union", qui graduent l'exigence de souveraineté sur tout ou partie de la pile technique. C'est là que se joue le vrai débat, et il est budgétaire : plus le niveau exigé est élevé, plus la liste des fournisseurs éligibles se réduit, et plus la facture monte.
La puissance d'achat effective reste toutefois modeste. En avril, OVHcloud, Scaleway, STACKIT et Mistral ont été retenus dans le cadre du contrat de cloud souverain de la Commission, d'une valeur pouvant atteindre 180 millions d'euros. À l'échelle du marché européen du cloud, c'est un signal, pas un basculement. Le levier le plus efficace de la puissance publique n'est d'ailleurs peut-être pas l'achat, mais l'exigence d'interopérabilité imposée à tous les fournisseurs, y compris américains : une règle qui rend la sortie possible coûte moins cher qu'une migration forcée.
Ce que l'Europe a dans son garage
L'Europe n'a pas de rival unique de Microsoft, d'Amazon ou de Google. Elle a des candidats à différents étages de la pile, ce qui n'est pas la même chose, mais n'est pas rien.
Dans les modèles, Mistral AI est valorisée à 21 milliards d'euros après une levée de 3 milliards menée par Samsung en septembre - un détail qui rappelle qu'un champion européen peut avoir des actionnaires asiatiques. Dans l'infrastructure, STACKIT, filiale du groupe Schwarz (Lidl, Kaufland), construit un centre de données d'IA de 11 milliards d'euros dans le Brandebourg. Dans les puces, Infineon figure parmi les principaux fabricants de semi-conducteurs de puissance, et les analystes réunis au salon SEMICON Europa, à Munich, ont identifié cette spécialité comme la voie la plus solide pour l'Europe dans l'essor de l'IA. La Commission veut par ailleurs tripler la capacité de centres de données de l'UE en cinq à sept ans, et l'appel d'offres pour jusqu'à sept "gigafactories" d'IA soutenues par l'UE s'est clos le 12 novembre.
Les limites sont tout aussi nettes. John Dinsdale, directeur de l'analyse chez Synergy, doute que les fournisseurs européens puissent inverser la perte de parts de marché. Et les géants américains ont trouvé la parade commerciale : Amazon Web Services a lancé en janvier son "European Sovereign Cloud" dans le Brandebourg, exploité par une société distincte basée dans l'UE. La souveraineté est devenue un segment de marché, avec ses gammes et ses options - et un argument de vente, observe le cabinet Context pour la cybersécurité.
Cela impose une distinction que le débat public mélange souvent : le critère décisif n'est pas le drapeau de l'entreprise, c'est la juridiction capable de la contraindre. Un hébergeur suisse ou britannique n'est pas soumis au droit de l'UE, et une filiale américaine reste exposée aux réquisitions de Washington. "Européen" et "hors de portée du droit américain" ne sont pas synonymes.
La menace politique, entre hypothèse et précédent
Le 13 novembre, la panne était technique. Microsoft a exclu une cyberattaque et n'avait pas encore identifié la cause. Confondre une défaillance avec une sanction affaiblit l'argument, et il faut le dire.
Mais le précédent politique, lui, est documenté. En juin, l'entreprise Anthropic a suspendu l'accès à deux de ses modèles les plus puissants pour se conformer aux contrôles à l'exportation des États-Unis ; l'accès a été rétabli le 1er juillet. Selon L'Avenir, la décision faisait suite à une instruction de Donald Trump visant à couper temporairement cet accès aux ressortissants étrangers, Européens compris - une attribution à manier avec prudence, mais qui a nourri les craintes autour d'un prétendu "kill switch". Le NRC a de son côté documenté que Washington utilise depuis peu des sanctions antiterroristes pour mettre des sites hors ligne, et s'est interrogé sur la solidité juridique des domaines nationaux.
Les responsables politiques ont saisi l'occasion. "Nos systèmes critiques fonctionnent avec la technologie de quelqu'un d'autre, et quelqu'un d'autre peut les éteindre", avertit l'eurodéputé écologiste néerlandais Reinier van Lanschot. "Imaginons que demain, ce ne soit plus une panne technique, mais une mesure de rétorsion décidée par un président américain", écrit sur X l'eurodéputé belge Yvan Verougstraete (Les Engagés).
Le scénario mérite d'être pris au sérieux sans être prophétisé : ce qui est démontré, c'est une capacité de pression exercée une fois, sur un fournisseur de modèles, dans un cadre légal américain. Ce qui n'est pas démontré, c'est un plan d'extinction généralisé. La bonne conclusion n'est pas "demain on coupe tout", c'est "la dépendance a un prix de sortie, et il vaut mieux le connaître avant d'y être contraint".
La facture de la souveraineté, et ce qu'elle ne dit pas
C'est ici que le débat chiffré devient piégeux. Le rapport de l'ECIPE, financé par la CCIA, avance une fourchette de 35 à 233 milliards d'euros selon l'intensité des exigences, avec une extrapolation à 327 milliards dans un test de résistance supplémentaire. Les gros titres ont retenu 115 milliards. Il faut regarder sous le capot.
Le rapport qualifie de "restreint" un scénario qui reprend en réalité la répartition retenue par l'analyse d'impact de la Commission européenne - 70 % des applications au niveau le plus bas, 20 %, 9 %, puis 1 % au niveau le plus exigeant - établie à partir d'entretiens avec trois instances publiques représentant environ 200 pouvoirs adjudicateurs. Autrement dit : le scénario le plus modéré du lobby est l'hypothèse de travail de la Commission. Les deux autres scénarios tablent sur des exigences nettement plus élevées que ce que Bruxelles envisage, et la part du secteur privé assujetti (10 %, 25 %, 50 %) est une estimation de l'ECIPE lui-même, alors que l'article 31 du texte n'impose rien automatiquement aux entreprises des secteurs critiques.
Le chiffre le plus défendable est donc le plus bas : 35,6 milliards d'euros sur 2027-2036 pour l'ensemble de l'Union, dont 17,4 milliards à la charge des pouvoirs publics. Rapporté à la population en âge de travailler, cela représente 170 euros cumulés sur dix ans - soit environ 17 euros par an et par personne. La part qui pèse directement sur les budgets publics tombe à 82 euros par personne sur la décennie. Ce n'est pas anodin, ce n'est pas non plus le cataclysme annoncé.
Deux limites doivent être posées dans les deux sens. D'une part, le rapport ne monétise ni la sécurité, ni la résilience, ni l'autonomie stratégique - l'ECIPE l'admet. D'autre part, l'idée que "l'argent dépensé en Europe reste en Europe" relève d'un argument de circuit économique, pas d'une preuve d'efficacité : il ne dit rien du coût d'opportunité, c'est-à-dire de ce que ces mêmes euros auraient produit ailleurs. Les deux raisonnements sont partiels.
Le résumé honnête tient en une phrase : personne ne dispose aujourd'hui d'un chiffre neutre, parce que le coût dépend de règles qui ne sont pas écrites et de trajectoires de migration qui n'ont pas été prises en compte. Quiconque cite 115 ou 233 milliards comme "le prix de la souveraineté" cite le scénario médian ou haut d'une étude commanditée par les fournisseurs qu'elle prétend évaluer.
Ce qui reste faisable dès maintenant
Il existe pourtant des mesures qui ne dépendent ni du Parlement européen ni d'un vote en plénière d'avril 2027.
- Compter ce qui casse. La panne du 13 novembre a offert une répétition gratuite. Quels processus se sont réellement arrêtés ? Quelles données étaient inaccessibles ? Quelles identités ne fonctionnaient plus ? Cette liste vaut tous les audits.
- Mettre la réversibilité dans les contrats. Clauses de sortie, formats standards, portabilité, absence de pénalités. C'est le seul investissement de souveraineté dont le retour est immédiat : il achète le droit de partir plus tard.
- Tester une fonction, pas tout. Migrer une brique - la messagerie, par exemple - pendant un mois, et mesurer. La facture de migration se découvre, elle ne s'estime pas.
- Entretenir un mode dégradé. Procédures hors ligne, listes de contacts imprimables, copies locales. C'est la seule mesure qui fonctionne le jour de la panne, quel que soit le fournisseur.
Reste un contrepoint qu'il serait malhonnête d'écarter. Xavier Degraux, expert du numérique cité par L'Avenir, rappelle que le numérique est devenu "une commodité, au même titre que l'eau ou l'électricité", et il se dit "absolument pas positif" : pour les réseaux sociaux, l'IA ou les centres de données, les Européens seront "quelque part condamnés, pour les dix à vingt prochaines années au moins, à travailler avec des outils essentiellement américains et asiatiques".
Il a probablement raison sur le calendrier, et c'est précisément ce qui rend le débat utile. La question n'est pas de savoir si l'Europe peut se passer des plateformes américaines l'année prochaine - non, elle ne peut pas. C'est de savoir combien elle est prête à payer pour que la réponse change avant d'y être forcée. La panne du 13 novembre n'a pas prouvé qu'il fallait tout reconstruire. Elle a fourni un devis, avec ses hypothèses et ses parties intéressées. Il reste à décider qui le signe.
