Cloud souverain France 2026 : OVH, Scaleway, Outscale, Numspot — le comparatif

#Qu'est-ce que le cloud souverain ?

Le terme «cloud souverain» recouvre deux réalités qu'il faut distinguer dès le départ.

La souveraineté juridique : les données sont hébergées dans des datacenters situés en France ou dans l'Union européenne, exploités par des entités soumises exclusivement au droit français ou communautaire. Aucune loi extraterritoriale — Cloud Act américain de 2018, loi chinoise sur la sécurité nationale de 2017 — ne peut contraindre l'opérateur à livrer vos données à une autorité étrangère sans voie judiciaire européenne.

La souveraineté opérationnelle : les équipes, les processus de support et de maintenance, les chaînes logicielles (hyperviseur, orchestrateur, couche réseau) sont maîtrisés par des acteurs dont le capital n'est pas contrôlé par des puissances tierces.

Ces deux dimensions ne coïncident pas toujours. Un datacenter français opéré par une filiale d'un groupe américain ne garantit pas la souveraineté juridique : les contrats-cadres, les services de support, voire les clés de chiffrement peuvent rester soumis au droit américain via la maison-mère.

#Le contexte réglementaire : du Safe Harbour au DPF

Comprendre pourquoi le cloud souverain est devenu un sujet stratégique nécessite de retracer l'histoire des transferts de données personnelles entre l'UE et les États-Unis.

Safe Harbour (2000-2015) : premier accord d'adéquation permettant aux entreprises américaines de recevoir des données personnelles européennes sur la base d'auto-certifications. Invalidé par la Cour de Justice de l'Union Européenne (CJUE) le 6 octobre 2015 suite à l'affaire Schrems I, qui a mis en lumière la surveillance massive révélée par Edward Snowden.

Privacy Shield (2016-2020) : accord de remplacement, plus contraignant sur le papier. Invalidé à son tour par la CJUE le 16 juillet 2020 (arrêt Schrems II). La Cour a estimé que les garanties offertes ne protégeaient pas suffisamment les résidents européens contre l'accès des services de renseignement américains.

Data Privacy Framework (2023-présent) : troisième tentative, signé en juillet 2023. Il introduit un tribunal de recours pour les ressortissants européens (Data Protection Review Court) et des limitations plus strictes sur la collecte des données par les agences de renseignement américaines. Le DPF est actuellement en vigueur, mais des recours juridiques sont déjà en cours devant la CJUE. Max Schrems a annoncé une contestation (potentiel «Schrems III»).

Pour les organisations traitant des données sensibles — données de santé, données financières, secrets industriels — la stratégie d'hébergement ne peut pas reposer sur la pérennité d'un accord politique susceptible d'être annulé par voie judiciaire. Le cloud souverain constitue la réponse architecturale à cette instabilité réglementaire.

Le RGPD (Règlement Général sur la Protection des Données, entré en vigueur en mai 2018) impose par ailleurs que tout transfert de données hors EEE soit encadré par des garanties adéquates. Le recours à un cloud souverain français ou européen simplifie radicalement la conformité RGPD en éliminant la problématique des transferts extraterritoriaux.

#Le visa SecNumCloud de l'ANSSI

L'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) a créé le référentiel SecNumCloud pour qualifier les offres d'informatique en nuage destinées aux administrations et aux organismes d'importance vitale. C'est la certification la plus exigeante du marché français.

Ce que SecNumCloud évalue :

• Localisation des données et des traitements en France ou dans l'UE
• Immunité aux lois extraterritoriales : l'opérateur ne doit pas être soumis à des législations hors UE permettant un accès non judiciaire aux données
• Sécurité technique : gestion des identités, chiffrement, cloisonnement des réseaux, gestion des incidents
• Transparence et auditabilité des systèmes
• Réversibilité et portabilité des données

La version 3.2 du référentiel (en vigueur depuis 2022) renforce l'exigence d'immunité extraterritoriale : même une prise de participation minoritaire d'une entreprise soumise au Cloud Act suffit à rendre une offre non qualifiable.

Durée et portée de la qualification : la qualification SecNumCloud est délivrée pour une offre spécifique (ex. IaaS, PaaS), pas pour un opérateur en général. Un même opérateur peut avoir des offres qualifiées et des offres non qualifiées.

Actuellement en France, les offres ayant obtenu ou en cours d'obtention de la qualification SecNumCloud IaaS/PaaS :

• Outscale (filiale de Dassault Systèmes) : qualification obtenue
• Numspot : qualification en cours (cible annoncée 2025-2026)

OVHcloud et Scaleway ont des certifications importantes (HDS, ISO 27001, CSA Star) mais n'ont pas obtenu la qualification SecNumCloud sur leurs offres commerciales grand public, notamment en raison de la présence d'actionnaires ou partenaires hors UE.

#Comparatif : OVHcloud, Scaleway, Outscale, Numspot

#OVHcloud

Profil : opérateur cloud européen de référence, fondé en 1999 à Roubaix, coté en bourse à Paris depuis 2021. 43 datacenters dans 12 pays, dont 17 en France. Chiffre d'affaires 2024 : ~899,2 M€.

Certifications : ISO 27001, HDS (Hébergeur de Données de Santé), ISO 27701, CISPE Code of Conduct. Pas de qualification SecNumCloud sur les offres commerciales standard.

Services IA : OVHcloud AI Deploy (déploiement de modèles ML en production), AI Training (entraînement sur GPU H100/A100), AI Notebooks. Partenariats avec Mistral AI pour des modèles hébergés en Europe. GPU-as-a-Service H100 disponible.

Pricing (indicatif 2026) :

• Instance compute B2-7 (4 vCPU, 7 GB) : ~0,06 €/heure
• Stockage objet S3 compatible : ~à partir de 45 056 €/GB/mois
• GPU H100 SXM5 (AI Training) : ~21 7 040 €/heure
• Bande passante sortante : gratuite dans les datacenters européens

Forces : tarifs compétitifs, réseau mondial, offre IA mature, support francophone, absence de lock-in propriétaire (OpenStack natif, Kubernetes managé).

Limites : cotation en bourse implique une exposition actionnariale ; certaines offres managées (CDN, WAF) font appel à des partenaires tiers dont la souveraineté n'est pas garantie.

#Scaleway

Profil : filiale du groupe Iliad (Xavier Niel), fondée en 1999, repositionnée cloud developer-friendly depuis 2015. Datacenters à Paris, Amsterdam, Varsovie. Engagement «net zero» carbon avec énergie renouvelable.

Certifications : ISO 27001, HDS, SOC 2 Type II, CISPE. Engagement contractuel de localisation des données en Europe.

Services IA : Scaleway Generative APIs (accès à des LLM open source — Llama 3, Mistral — via API unifiée), GPU H100, A100 à la demande, Managed Inference. Orienté développeurs avec une API compatible OpenAI.

Pricing (indicatif 2026) :

• Instance DEV1-S (2 vCPU, 2 GB) : ~à partir de 400 €/heure
• Stockage objet : ~à partir de 528 €/GB/mois
• GPU H100 PCIe (RENDER-S) : ~212 544 €/heure
• Managed Kubernetes : pas de frais de control plane

Forces : developer experience soignée, documentation excellente, engagement écologique crédible (Scaleway Green IT), tarifs GPU parmi les plus bas du marché européen.

Limites : surface de services managés plus étroite qu'OVHcloud ; pas de présence datacenter en France du Sud ; SecNumCloud non qualifié.

#Outscale (Dassault Systèmes)

Profil : filiale à 100% de Dassault Systèmes depuis 2017. Opérateur cloud B2B spécialisé secteur public et industries critiques. Datacenters en France (région Paris, région Tours), Allemagne et États-Unis (pour les filiales locales, hors périmètre souverain).

Certifications : Qualification SecNumCloud ANSSI sur l'offre IaaS, ISO 27001, HDS, CSA Star Level 2. Référencé sur le catalogue UGAP.

Services IA : offre IA limitée par rapport à OVHcloud et Scaleway ; focus sur l'IaaS sécurisé. Des GPU sont disponibles via partenariat mais la couche IA managée est moins développée. Intégration avec les outils Dassault (3DEXPERIENCE Platform) pour les clients industriels.

Pricing (indicatif 2026) :

• Tarification sur devis pour les marchés publics
• Prix supérieurs de 20 à 40% aux offres OVHcloud/Scaleway équivalentes
• Engagement contractuel minimum recommandé

Forces : seul opérateur IaaS qualifié SecNumCloud, immunité extraterritoriale garantie contractuellement, référencement UGAP facilitant l'achat public.

Limites : coût plus élevé, moindre agilité self-service, catalogue de services managés plus restreint, offre IA moins mature.

#Numspot

Profil : joint-venture fondée en 2023 par Banque des Territoires (Caisse des Dépôts), Dexia, Docaposte (La Poste) et Bouygues Télécom Entreprises. Conçu spécifiquement pour répondre aux besoins du secteur public français. Infrastructures hébergées en France.

Certifications : qualification SecNumCloud en cours de finalisation (cible annoncée pour 2025, processus toujours en cours en 2026), HDS, ISO 27001.

Services : IaaS (compute, stockage, réseau), PaaS progressif, offre packagée pour collectivités territoriales et établissements de santé. Modèle tarifaire orienté marché public (accord-cadre, BPU).

Forces : actionnariat 100% public français, gouvernance adaptée aux contraintes des marchés publics, interlocuteurs spécialisés secteur public, roadmap alignée avec les exigences NIS2 et DORA.

Limites : offre encore en construction (2026 reste une phase de montée en charge), catalogue moins complet que les opérateurs établis, pas encore de services IA natifs.

#Tableau comparatif synthétique

#Cas d'usage par type d'organisation

#Secteur public et collectivités territoriales

Les administrations, collectivités et établissements publics de santé traitant des données à caractère personnel et des données sensibles (DSI hospitalière, données fiscales, dossiers citoyens) ont une obligation de principe de recourir à des offres qualifiées SecNumCloud dès lors que le niveau de sensibilité le justifie.

Recommandation : Outscale pour les projets en production nécessitant une qualification opposable dès aujourd'hui ; Numspot pour les projets dont le déploiement est prévu 2027 et qui souhaitent bénéficier d'un opérateur structurellement aligné avec la gouvernance publique française.

#PME et ETI soumises au RGPD sans contrainte sectorielle spécifique

Une PME traitant des données clients ou des données RH n'est pas tenue de recourir à SecNumCloud. La conformité RGPD est atteinte dès lors que l'hébergeur garantit contractuellement la localisation des données en France/UE, sans transfert vers des pays tiers.

Recommandation : OVHcloud ou Scaleway selon la maturité DevOps. OVHcloud pour les équipes qui veulent de l'OpenStack managé, une offre bare metal robuste et un support francophone disponible 24/7. Scaleway pour les équipes orientées containers et microservices qui valorisent la developer experience et les GPU accessibles.

#ETI avec projets IA et contraintes réglementaires modérées

Une ETI du secteur finance, assurance, ou industrie souhaitant déployer des modèles IA (LLM interne, vision par ordinateur, prédiction) tout en gardant ses données en France.

Recommandation : OVHcloud AI Deploy. L'offre combine GPU H100 en France, orchestration Kubernetes, déploiement de modèles Mistral et open source via API, et un SLA production. Le tout sur une infrastructure certifiée HDS et ISO 27001, sans exposition au Cloud Act.

#Opérateurs d'importance vitale (OIV) et opérateurs de services essentiels (OSE)

Ces organisations sont soumises à la directive NIS2 (transposée en droit français) et aux exigences de l'ANSSI. Pour les systèmes d'information d'importance vitale (SIIV), le recours à SecNumCloud est recommandé, voire imposé selon les secteurs.

Recommandation : Outscale exclusivement pour les SIIV ; analyse au cas par cas pour les systèmes non-SIIV.

#La recommandation Nehos

Nehos accompagne ses clients sur trois dimensions du cloud souverain.

Architecture cloud souveraine : audit de l'existant, cartographie des données sensibles, sélection de l'opérateur adapté au profil de risque, migration et validation de conformité.

Intégration IA sur infrastructure qualifiée : déploiement de LLM open source (Mistral, Llama) et de pipelines RAG sur OVHcloud AI Deploy ou Scaleway Generative APIs, avec garantie de localisation des données en France. Les modèles propriétaires (GPT-4, Claude) peuvent être utilisés via des architectures hybrides où les données sensibles ne quittent jamais l'infrastructure souveraine.

Conformité RGPD opérationnelle : mise en place du registre des traitements, des DPA (Data Processing Agreements) avec les sous-traitants cloud, des mécanismes de portabilité et d'effacement, et de la procédure de notification de violation de données.

Le cloud souverain n'est pas une contrainte : c'est un avantage concurrentiel pour les ETI françaises qui traitent avec des clients publics ou des grands comptes exigeants sur la localisation des données. Une architecture cloud souveraine bien conçue ne coûte pas plus cher qu'une architecture équivalente sur AWS ou Azure — elle évite les risques juridiques et les coûts de mise en conformité a posteriori.