Souveraineté numérique : ce que l'audition d'Octave Klaba dit aux collectivités

Introduction

#

À l’automne 2026, Octave Klaba, fondateur et PDG d’OVHcloud, a été auditionné par la commission des affaires économiques de l’Assemblée nationale. Pendant un peu plus d’une heure, il a répondu aux questions des députés de tous les groupes : trajectoire de son entreprise, commande publique, data centers, lois extraterritoriales, intelligence artificielle (IA), énergie.

Je l’ai regardée avec une question en tête : qu’est-ce que tout cela change pour une collectivité territoriale ? Car les sujets abordés ne concernent pas que l’État ou les grands groupes. Une intercommunalité de 30 communes et 95 000 habitants comme Vienne Condrieu Agglomération héberge elle aussi des données sensibles, achète du SaaS, signe des marchés publics et commence à utiliser de l’IA.

Table des matières

#

• Ce qu’il faut retenir de l’audition
• Le cadre qui se resserre : SREN, SecNumCloud, CADA
• Vue depuis une collectivité : où sommes-nous exposés ?
• Les leviers à notre échelle
• Et l’IA dans tout ça ?
• Une feuille de route progressive
• Conclusion

Ce qu’il faut retenir de l’audition

#

graph TB
    MC(("Masse critique"))
    CP["Commande publique
redirigée vers l'Europe"]
    FIN["Culture financière
et capital-risque"]
    REG["Contraintes ICPE
délais d'implantation"]
    INV["Réinvestissement
≈ 40 % de marge"]
    PROD["Catalogue complet
cloud + IA"]
    SOUV["Alternative crédible
aux hyperscalers"]
    CP --> MC
    FIN --> MC
    REG -.->|freine| MC
    MC --> INV
    INV --> PROD
    PROD --> SOUV
    style MC fill:#c8e6c9,stroke:#2e7d32,stroke-width:2px,color:#000
    style SOUV fill:#bbdefb,stroke:#1565c0,stroke-width:2px,color:#000
    style REG fill:#ffcdd2,stroke:#c62828,stroke-width:2px,color:#000

1. La masse critique, ou « brique par brique »

#

Octave Klaba raconte avoir bâti OVH sans capital extérieur pendant près de 17 ans. Sa méthode : une brique rentable finance la suivante, qui devient rentable à son tour en quelques années. Son objectif affiché est d’atteindre 2 milliards d’euros de chiffre d’affaires, pour pouvoir réinvestir 800 à 900 millions par an.

Il en tire une conclusion qui a fait réagir : multiplier les petits acteurs territoriaux qui développent tous le même produit tire les prix et la qualité vers le bas. Selon lui, l’équipe nécessaire pour maintenir un service cloud reste à peu près la même, que ce service génère 10 millions ou 1 milliard d’euros. La taille écrase les coûts.

2. La commande publique : l’argent existe déjà

#

C’est le passage le plus utile pour nous. Quelques ordres de grandeur avancés pendant l’audition :

Le message est clair : il ne s’agit pas de créer de nouveaux budgets, mais de rediriger une partie de ceux qui existent. Octave Klaba propose un seuil : flécher 5 à 15 % des dépenses numériques vers des acteurs européens suffirait, selon lui, à faire émerger des champions. Il insiste sur la dimension européenne plutôt que nationale : le marché français seul plafonnerait les acteurs autour de quelques centaines de millions d’euros de chiffre d’affaires.

Il salue aussi la méthode de la Commission européenne plus que les montants : un premier marché pour tester les acteurs européens et leur permettre de prouver leur fiabilité, avant de leur confier davantage.

3. Les lois extraterritoriales : trois niveaux d’exposition

#

C’est probablement l’explication la plus pédagogique de l’audition. Octave Klaba distingue trois niveaux d’exposition au droit américain :

graph LR
    US["Droit américain
(accès aux données)"]
    N1["1. Le territoire
données stockées aux États-Unis"]
    N2["2. L'entreprise et les personnes
société ou employé américain,
même hors des États-Unis"]
    N3["3. Les clients
un acteur européen qui accepte
des clients américains"]
    US --> N1
    US --> N2
    US --> N3
    style N1 fill:#fff9c4,stroke:#f9a825,stroke-width:2px,color:#000
    style N2 fill:#ffe0b2,stroke:#ef6c00,stroke-width:2px,color:#000
    style N3 fill:#ffcdd2,stroke:#c62828,stroke-width:2px,color:#000

Le troisième niveau est le moins connu. Selon lui, un fournisseur européen qui sert des clients américains peut lui aussi se retrouver soumis à ces obligations. OVHcloud a donc cloisonné son activité : les clients américains ne sont acceptés que par sa filiale américaine, isolée juridiquement, fiscalement et en gouvernance.

4. Le verrouillage commercial

#

Interrogé sur les pratiques d’enfermement (crédits cloud gratuits, frais de sortie des données, licences plus chères hors de l’écosystème de l’éditeur), Octave Klaba a désigné la vente liée comme la pratique la plus problématique : un logiciel sans rapport avec le cloud sert de levier pour capter le client sur l’infrastructure.

5. Énergie, matériel, data centers

#

Quelques points techniques marquants :

• Refroidissement à eau depuis 2004, sans climatisation : selon lui, la facture énergétique est divisée par deux (≈ 70 M€ par an au lieu de ≈ 140 M€).
• Fabrication des serveurs en interne, dans deux usines (Nord de la France et Québec), avec une filière de recyclage.
• Crise de la mémoire vive : un prix multiplié par 6 à 9 en un an, l’Europe ne pesant qu’environ 3 % des volumes mondiaux.
• Résilience : le modèle « un site unique » appartient au passé. La norme devient la région de trois data centers espacés d’environ 30 km, avec des alimentations et des fibres distinctes.
• Contraintes d’implantation : le dépôt d’un dossier ICPE (Installation classée pour la protection de l’environnement) gèlerait les travaux sur un site pendant environ deux ans.
• Chaleur fatale : l’eau de refroidissement sort à 40 °C, 60 °C sur les derniers designs. Il faut encore l’amener vers 85-95 °C pour alimenter un réseau de chaleur urbain, ce qui limite l’intérêt économique.

Le cadre qui se resserre : SREN, SecNumCloud, CADA

#

En France. L’article 31 de la loi SREN (Sécuriser et réguler l’espace numérique) du 21 mai 2024 impose à l’État et à ses opérateurs un hébergement qualifié SecNumCloud pour leurs données sensibles. Son décret d’application, attendu depuis deux ans, a été publié au Journal officiel en avril 2026. SecNumCloud est la qualification délivrée par l’ANSSI (Agence nationale de la sécurité des systèmes d’information) qui atteste la sécurité d’une offre cloud et son immunité aux lois extraterritoriales. Le 1er septembre 2026, OVHcloud a obtenu sa troisième offre qualifiée, SNC Cloud Platform, un cloud public facturé à l’usage.

Pour les collectivités. Une proposition de loi relative à la sécurisation des marchés publics numériques, adoptée au Sénat puis en commission des lois de l’Assemblée en février 2026, étend l’article 31 aux régions, départements, grandes communes, communautés d’agglomération, métropoles, SDIS (Services départementaux d’incendie et de secours) et centres de gestion. La notion de données sensibles y est élargie aux compétences essentielles des collectivités, notamment la gestion des crises et la prévention des risques. Une dérogation encadrée est prévue pour les projets déjà engagés.

En Europe. Le CADA (Cloud and AI Development Act), proposé par la Commission européenne le 3 juin 2026, crée quatre niveaux d’assurance de souveraineté pour les services cloud destinés au secteur public :

Le texte comporte aussi un principe de préférence pour l’open source dans les achats publics et un objectif de triplement des capacités de data centers européens en 5 à 7 ans.

Vue depuis une collectivité : où sommes-nous exposés ?

#

Prenons le SIG de Vienne Condrieu Agglomération, que je connais bien. Il touche des domaines qui pourraient relever des « compétences essentielles » visées par le texte :

• Réseaux d’eau potable, d’assainissement, d’éclairage public : leur localisation précise est une donnée d’infrastructure critique, au cœur des DT-DICT (déclarations de travaux).
• Prévention des risques et gestion de crise : zones inondables, plan de sauvegarde, points sensibles.
• Données foncières et cadastrales : elles contiennent des données personnelles (propriétaires).
• Données de référence publiques : orthophotos, BD TOPO, PLUi opposable, déjà en open data.

Toutes les données ne se valent pas. Une orthophoto publiée sur data.gouv.fr ne mérite pas un hébergement SecNumCloud. Un plan de réseau d’eau potable détaillé, peut-être. Le premier travail n’est donc pas technique : il est classificatoire.

flowchart TD
    A["Un jeu de données
ou un service"] --> B{"Données personnelles
ou d'infrastructure critique ?"}
    B -->|Non, déjà publiques| C["Hébergement libre
open data, réversibilité"]
    B -->|Oui| D{"Lié à une compétence
essentielle (crise, risques,
réseaux vitaux) ?"}
    D -->|Non| E["Hébergement UE +
clauses contractuelles
+ RGPD"]
    D -->|Oui| F{"Hébergé en interne
sur un socle maîtrisé ?"}
    F -->|Oui| G["Socle on-premise
durci et sauvegardé"]
    F -->|Non, SaaS / cloud| H["Offre qualifiée
SecNumCloud exigée"]
    style C fill:#c8e6c9,stroke:#2e7d32,stroke-width:2px,color:#000
    style E fill:#fff9c4,stroke:#f9a825,stroke-width:2px,color:#000
    style G fill:#bbdefb,stroke:#1565c0,stroke-width:2px,color:#000
    style H fill:#ffcdd2,stroke:#c62828,stroke-width:2px,color:#000

Les leviers à notre échelle

#

1. Cartographier avant d’acheter

#

Avant toute migration, il faut un inventaire : quels jeux de données, quels services, quelle sensibilité, quel hébergeur, quel sous-traitant. Concrètement, un simple tableau suffit pour commencer : application, éditeur, lieu d’hébergement, opérateur réel de l’infrastructure, niveau de sensibilité, échéance du contrat.

Cet inventaire révèle souvent des surprises. Un SaaS « français » peut s’appuyer, en sous-main, sur un hyperscaler américain. Notre plateforme SIG web, par exemple, est hébergée via l’offre cloud souverain de Ciril Group. Le point de départ est plutôt rassurant. Reste à le documenter : quel opérateur exploite réellement l’infrastructure, dans quel datacenter, et l’offre est-elle qualifiée SecNumCloud ? Ce sont des questions à poser formellement à l’éditeur, et à consigner dans l’inventaire.

2. Écrire la souveraineté dans les cahiers des charges

#

C’est le levier le plus direct. Les marchés publics se renouvellent tous les trois à cinq ans : chaque renouvellement est une fenêtre de tir. Quelques clauses à envisager, à calibrer avec le service de la commande publique :

• Localisation et opérateur : hébergement dans l’Union, identité de l’opérateur et de tous les sous-traitants ultérieurs.
• Exposition extraterritoriale : déclaration de l’éditeur sur les trois niveaux d’exposition (territoire, entreprise, clients).
• Réversibilité : export complet dans des formats ouverts (GeoPackage, GeoTIFF/COG, dump PostgreSQL), sans frais de sortie, avec un délai garanti.
• Interopérabilité : standards OGC (WMS, WFS, OGC API), API documentées.
• Niveau d’assurance : anticiper les exigences SecNumCloud ou CADA pour les lots sensibles.
• Allotissement : séparer l’hébergement du logiciel métier, pour ne pas lier les deux.

3. Mutualiser pour peser

#

Octave Klaba parle de masse critique pour les fournisseurs. Elle vaut aussi pour les acheteurs. Une agglomération seule pèse peu face à un éditeur. Un groupement de commandes avec les communes membres, d’autres EPCI (Établissements publics de coopération intercommunale) ou un syndicat mixte du numérique change le rapport de force. Les centrales d’achat publiques peuvent aussi intégrer des offres qualifiées.

4. Maîtriser un socle, brique par brique

#

La méthode « brique par brique » d’Octave Klaba est transposable. Plutôt qu’une migration « big bang », on construit un socle maîtrisé et on y ajoute progressivement des services :

graph TB
    subgraph "Socle maîtrisé"
        PG[("PostgreSQL / PostGIS
rôles par domaine")]
        GIT["Forge Git interne
(Forgejo)"]
        BK["Sauvegardes
hors site"]
    end
    subgraph "Services ajoutés progressivement"
        QGIS["QGIS déployé
sur les postes"]
        WEB["SIG web
rapatrié"]
        TERR["Collecte terrain
(QField)"]
    end
    PG --> QGIS
    PG --> WEB
    PG --> TERR
    GIT --> WEB
    PG --> BK
    style PG fill:#bbdefb,stroke:#1565c0,stroke-width:2px,color:#000
    style GIT fill:#c8e6c9,stroke:#2e7d32,stroke-width:2px,color:#000
    style BK fill:#fff9c4,stroke:#f9a825,stroke-width:2px,color:#000

C’est la logique que je défends pour Vienne Condrieu Agglomération depuis plusieurs mois : un socle QGIS/PostgreSQL vertueux, une gouvernance des droits PostgreSQL, et une proposition de rapatriement du SIG web sur un Proxmox bare-métal chez un hébergeur français. Chaque brique tient seule, et chaque brique rend la suivante plus facile.

5. Préférer l’open source, et y contribuer

#

Le CADA introduit une préférence pour l’open source dans les achats publics. Pour les géomaticiens, c’est un terrain connu : QGIS, PostGIS, GeoServer, QField, Panoramax. L’open source ne garantit pas la souveraineté à lui seul, mais il supprime le risque de licence liée et garantit la réversibilité du code.

Reste un point d’attention que l’audition éclaire indirectement : où publions-nous notre propre code ? Une forge américaine reste soumise au droit américain. Publier un module open source sur GitHub pour sa visibilité est un choix raisonnable, à condition de conserver un miroir sur une forge européenne ou interne.

6. Investir dans les compétences

#

Un socle maîtrisé sans personne pour le maintenir est un risque, pas une solution. Une députée a souligné que les talents sont le « nerf de la guerre ». C’est vrai à notre échelle : documentation, formation des collègues, partage d’expérience entre collectivités. La souveraineté se joue aussi dans la capacité à ne pas dépendre d’une seule personne.

Et l’IA dans tout ça ?

#

Deux remarques méritent l’attention d’une collectivité :

• Les modèles « open source » ne sont pas neutres. Selon lui, beaucoup d’acteurs s’appuient sur des modèles ouverts chinois, performants, sans visibilité sur la stratégie de leurs éditeurs à deux ou trois ans. OVHcloud a conclu que ne pas investir dans ses propres modèles était trop risqué.
• L’IA accélère l’attaque. Elle sait enchaîner des dizaines de failles mineures, sous les radars, pour pénétrer un système. Pour une collectivité, l’enjeu de cybersécurité grandit d’autant.

Sur la régulation, il a une lecture plutôt critique des appels à une « pause » venus de certains acteurs américains, qu’il interprète comme une recherche de cadre plus favorable. D’autres y voient une exigence de sécurité légitime : le débat reste ouvert.

Pour une collectivité, quelques règles simples peuvent être posées dès maintenant :

Une feuille de route progressive

#

gantt
    title Trajectoire indicative pour une collectivité
    dateFormat YYYY-MM
    axisFormat %m/%Y
    section Connaître
    Inventaire applications et hébergeurs   :a1, 2026-11, 3M
    Classification des données              :a2, after a1, 3M
    section Acheter mieux
    Clauses types souveraineté / réversibilité :b1, 2027-02, 4M
    Application aux renouvellements de marchés :b2, after b1, 18M
    section Maîtriser
    Consolidation du socle interne           :c1, 2026-11, 12M
    Charte d'usage de l'IA                    :c2, 2027-01, 4M
    section Mutualiser
    Échanges avec communes et EPCI voisins   :d1, 2027-03, 9M

Conclusion

#

Ce que vous retenez :

• La masse critique est le nerf du cloud européen, et la commande publique peut l’alimenter sans budget nouveau.
• L’exposition au droit extraterritorial se joue à trois niveaux : territoire, entreprise, clients.
• Le cadre se resserre : SREN, SecNumCloud et, demain, le CADA vont concerner directement les communautés d’agglomération.
• Le premier levier est classificatoire : savoir quelles données sont sensibles et où elles vivent.
• Le second est contractuel : réversibilité, formats ouverts, allotissement, transparence de la sous-traitance.
• Le troisième est technique et humain : un socle maîtrisé, construit brique par brique, et des compétences partagées.

Sources

#

• Audition d’Octave Klaba, commission des affaires économiques de l’Assemblée nationale (vidéo) : YouTube
• OVHcloud, qualification SecNumCloud de SNC Cloud Platform (1er septembre 2026) : communiqué
• Acteurs publics, publication du décret d’application de l’article 31 de la loi SREN : article
• Banque des Territoires, extension de l’obligation de cloud souverain aux collectivités : article
• Assemblée nationale, rapport sur la proposition de loi relative à la sécurisation des marchés publics numériques : rapport n° 2522
• Le Monde Informatique, le cadre européen de souveraineté du cloud (CADA) : dossier
• Jones Day, analyse du CADA et de ses niveaux d’assurance : analyse