Les entreprises européennes craignent un « kill switch » technologique américain mais manquent de plans de secours

Les trois quarts des entreprises des trois plus grandes économies d'Europe estiment qu'une décision du gouvernement américain ou d'une entreprise pourrait les couper de l'infrastructure numérique dont elles dépendent chaque jour. Une enquête commanditée par le fournisseur suisse axé sur la confidentialité Proton révèle que 74 % des entreprises britanniques, allemandes et françaises craignent une perturbation sévère si les géants technologiques américains coupent l'accès aux services cloud ou d'IA critiques, un niveau d'anxiété à peu près égal à la part de celles qui craignent une cyberattaque classique. Pourtant, la même recherche met en évidence un décalage frappant : la plupart de ces entreprises n'ont aucun plan testé pour faire face à la disparition de cet accès.

Le fossé de la préparation

Les chiffres de Proton montrent que 54 % des entreprises européennes ne pourraient pas rester opérationnelles plus d'un seul jour si elles perdaient l'accès à leur fournisseur cloud. Si les deux tiers affirment qu'ils changeraient de fournisseur si un gouvernement étranger restreignait l'accès à un service numérique essentiel, seulement 28 % disposent d'une solution de continuité pour une panne cloud et seulement 24 % en ont une pour la perte d'outils d'IA. Moins de la moitié, 44 %, testent leurs plans de continuité en conditions réelles. Ces chiffres mettent à nu l'écart entre la rhétorique sur la souveraineté technologique et la réalité d'une dépendance quotidienne aux hyperscalers américains.

L'enquête capture également un changement dans les priorités des conseils d'administration. Selon Raphaël Auphan, directeur des opérations de Proton, 56 % des entreprises européennes estiment désormais que le risque géopolitique a le même poids que le risque cyber dans les décisions d'achat. Il pointe deux points de friction récents : le retrait de Fable 5 et le refus des services Microsoft aux responsables de la Cour pénale internationale. Les deux épisodes ont renforcé la perception que l'accès à une infrastructure contrôlée par les États-Unis peut être révoqué pour des raisons politiques.

Proton observe une hausse des plans de migration structurés

Cette anxiété se traduit par un élan commercial pour les alternatives européennes. Proton, qui propose messagerie, VPN, gestion de mots de passe et stockage cloud, signale une hausse des inscriptions de près de 80 % dans la seule région nordique, elle-même l'une des plus dépendantes de la technologie américaine, avec une croissance similaire sur le continent. Plus révélateur que le volume, selon Auphan, est la nature des conversations. Les organisations approchent Proton avec des feuilles de route structurées de réduction de la dépendance s'étendant jusqu'à 24 mois dans l'avenir. « La question n'est pas de savoir si les organisations européennes s'éloigneront des États-Unis, mais plutôt à quelle vitesse une telle migration se fera », conclut-il.

Pourquoi la migration sera lente

Les analystes sont moins optimistes sur le rythme. Le cœur du problème est simple : la grande majorité de l'infrastructure cloud et d'IA appartient à Google, Microsoft et Amazon. Ces entreprises n'offrent pas seulement des produits que de nombreuses entreprises européennes jugent supérieurs ; elles dépassent aussi leurs rivaux européens d'un ordre de grandeur. Penny Naas, vice-présidente senior pour l'innovation et la compétitivité au German Marshall Fund, note que les fournisseurs américains investissent environ dix fois plus en recherche, développement et nouveaux centres de données que leurs homologues européens. Microsoft seul a injecté 3,2 milliards d'euros dans des centres de données allemands au cours des deux dernières années, tandis que l'ensemble de l'industrie cloud allemande a investi un peu moins de 2 milliards d'euros dans des offres nationales.

Naas décrit les fournisseurs cloud basés dans l'UE comme « de plus en plus de niche », représentant ensemble moins de 2 % du marché européen. Elle soutient que les obstacles locaux, permis, coûts de l'électricité, accès aux puces de pointe, comptent, mais que le problème fondamental est l'insuffisance de capitaux privés. « La demande européenne est alors satisfaite par les fournisseurs américains », dit-elle. Philipp Eckhardt, responsable des marchés financiers et des technologies de l'information au Centre for European Policy, abonde. Il ne voit aucun changement significatif en cours. Les fournisseurs américains « définissent la norme de référence » pour les produits numériques, et changer signifierait accepter des alternatives moins compétitives.

Dissonance cognitive et problème du passager clandestin

Eckhardt identifie deux freins comportementaux. Premièrement, une forme de dissonance cognitive : de nombreuses organisations pensent qu'un « kill switch » pourrait toucher les autres mais pas elles. Deuxièmement, une dynamique de passager clandestin. Une entreprise qui investit pour réduire sa dépendance en supporte l'intégralité du coût, tandis que les bénéfices, un écosystème plus résilient, profitent aussi aux concurrents. « Par conséquent, aucune entreprise n'investira tant que les autres ne le feront pas… personne ne change son comportement », dit-il. À son avis, seule la régulation peut briser l'impasse, par exemple en obligeant les fournisseurs d'infrastructures critiques à se diversifier ou à développer des solutions de secours.

Le paquet Souveraineté Technologique récemment dévoilé par l'UE est largement vu comme un pas dans cette direction. Aimilia Givropoulou et Sivan Pätsch d'OpenForum Europe le qualifient de « plan le plus ambitieux que l'UE ait fait pour répondre à ses dépendances numériques ». Elles soulignent trois éléments : l'open source intégré dans un cadre cohérent de politique industrielle ; le problème de la capture de valeur explicitement nommé et soutenu par une action politique ; et la loi sur le développement du cloud et de l'IA, qui introduit des niveaux d'assurance de souveraineté offrant aux organismes publics un moyen structuré d'évaluer le risque.

Le paquet Souveraineté et ses exemptions

Le paquet comprend la loi Chips 2.0 et la loi sur le développement du cloud et de l'IA. Pourtant, la législation contient des issues délibérées. La loi Chips autorise les marchés publics auprès de pays avec lesquels l'UE a des partenariats stratégiques. La loi sur le développement du cloud et de l'IA crée quatre niveaux d'assurance de souveraineté ; le niveau le plus bas permet des fournisseurs non européens si un organisme public les « exige explicitement ». L'article 30 exempte les autorités contractantes des exigences du règlement si leur respect entraînerait un « coût disproportionné ». Eckhardt argue que ces exemptions sont nécessaires : des règles de souveraineté générales rendraient les marchés plus coûteux, alourdiraient la charge bureaucratique et risqueraient de gaspiller l'argent des contribuables. Mais elles signifient aussi que l'UE ne peut pas revendiquer une souveraineté technologique pleine et entière de sitôt.

Chloe Teevan, directrice adjointe de la géostratégie au Centre européen de gestion de la politique de développement, ajoute une dimension géopolitique. L'Europe a délibérément cultivé des partenariats avec des puissances moyennes, l'Inde, l'Asie du Sud-Est et d'autres, pour diversifier les chaînes d'approvisionnement critiques. « Il est vital que lorsque l'UE signe de nouveaux accords commerciaux avec des pays comme l'Inde, elle ne sape pas ces accords en rendant une coopération significative impossible », dit-elle. La question des marchés publics a donc de multiples facettes et ne peut être réduite à un choix binaire UE contre États-Unis.

Ce que les entreprises doivent faire maintenant

En attendant que le cadre politique mûrisse, Proton conseille aux entreprises d'agir par elles-mêmes. Auphan fixe deux priorités. Premièrement, se diversifier hors de la juridiction américaine dans la mesure du possible : « N'utilisez pas une seule plateforme détenue par les États-Unis pour l'ensemble de votre messagerie, votre stockage cloud et votre collaboration. Seule une diversification en dehors de la juridiction américaine apporte une solution. » Deuxièmement, tester des scénarios complets de « kill switch », où de nombreux ou tous les services numériques deviennent hors ligne simultanément, avant qu'ils ne se produisent. « Critiquement, testez le kill switch avant d'en avoir besoin », dit-il. « Notre recherche montre que la plupart des organisations ont une forme de plan de continuité, mais moins de la moitié l'ont jamais testé en conditions réelles. »