> ## Content Index
> Fetch the complete content index at: https://www.klaerenn.fr/llms.txt
> Use this file to discover other available public pages before exploring further.
# Check out please ?
- URL: https://www.klaerenn.fr/check-out-please/
- Published: 2026-10-20T08:00:00.000Z
- Updated: 2026-10-20T08:00:00.000Z
- Description: Changer de fournisseur de cloud est un droit européen. En partir coûte 115 milliards selon le lobby des géants américains, 86 milliards selon la Commission, 15 % du budget IT selon le Cigref. Trois mesures d'une même porte, et personne pour la payer.
- Author: Franck Rouxel
- Tags: Tribunes
*Changer de fournisseur de cloud est un droit garanti par les textes européens. En partir coûte, selon celui qui compte, 115 milliards d'euros pour le lobby des géants américains, qui y voit le prix de la souveraineté ; 86 milliards pour la Commission européenne, qui a décidé que la sortie se ferait sans elle ; 15 % du budget informatique pour les directions numériques des grandes entreprises françaises, qui y voient leur captivité. Trois mesures d'une même porte, et personne pour la payer. Notre première lecture avait montré qu'un flux vers un fournisseur étranger n'est pas une perte ; notre deuxième avait déplacé le sujet vers le pouvoir de marché que donne le coût de basculement ; celle-ci tombe sur la mesure de ce coût.*
> « This process is not automated and is most often a one-off effort. »
> Commission européenne, évaluation d'impact du Cloud and AI Development Act, annexe 12, 3 juin 2026
### Mêmes prémisses, conclusion inverse
Le 14 octobre 2026, The Register relaie une étude du centre d'études bruxellois ECIPE, financée par CCIA Europe, association professionnelle dont les membres comptent Amazon, Google et Meta[1](https://www.theregister.com/paas-and-iaas/2026/10/14/us-tech-giants-warn-europe-that-ditching-us-tech-giants-could-cost-115b/5303031?ref=klaerenn.fr). L'étude attribue au Cloud and AI Development Act (CADA), le projet de règlement européen sur le cloud et l'intelligence artificielle, un coût de 115 milliards d'euros sur dix ans[2](https://ecipe.org/publications/economic-impact-of-cada/?ref=klaerenn.fr). Le journal résume le paradoxe du commanditaire en une ligne : la souveraineté est séduisante quand elle porte le logo d'un hyperscaler.
Cette série partage les prémisses de l'étude et en tire la conclusion inverse. Le coût de quitter un fournisseur est réel et presque toujours sous-estimé ; le verrou est logé dans la couche logicielle ; et dans un marché captif, rien ne bouge sans obligation. ECIPE en déduit une recommandation qui revient à ne pas sortir. Notre deuxième lecture, en juin dernier, le disait autrement : la rente a pour borne le coût de sortie[3](https://www.klaerenn.fr/une-rente-na-pas-de-nationalite/). Cette semaine, trois institutions ont publié leur mesure de cette borne, et la différence entre leurs lectures se joue sur trois questions : de quelle nature est le chiffre, à qui l'imputer, dans quel ordre agir. La dépendance numérique se mesure moins à ce que l'on paie à l'étranger qu'à ce qu'il en coûte de reprendre sa liberté de décision.
### Ce que dit l'étude
CADA, proposé par la Commission le 3 juin 2026[4](https://digital-strategy.ec.europa.eu/en/library/proposal-cloud-and-ai-development-act-cada?ref=klaerenn.fr), créerait quatre niveaux d'assurance pour les services cloud achetés par les administrations, du plus ouvert au plus exigeant, et pourrait, par son article 31, étendre les mêmes exigences aux entreprises des secteurs essentiels : énergie, banque, transport, santé. ECIPE construit trois scénarios. Le scénario étroit reprend la répartition des charges de travail entre niveaux retenue par la Commission et aboutit à 35,6 milliards d'euros sur 2027-2036, dont 17,4 pour le secteur public. Le scénario central, qui donne les 115 milliards, double la part des charges placées aux deux niveaux les plus exigeants et applique l'article 31 à un quart des entreprises essentielles ; le scénario large, à la moitié, atteint 233 milliards. Dans le scénario central, 69 % du total correspondent à la migration et à la réécriture d'applications, 30 % à une prime de prix récurrente sur les services conformes, 2 % à des retards de numérisation ; les entreprises privées portent 80 milliards, les budgets publics 33,3\. Les 1,9 milliard de retards sont la seule perte explicitement chiffrée. Le reste mesure des dépenses de transition et de conformité, dont l'incidence économique ne se déduit pas du montant brut : elles mobilisent des ressources rares, ingénieurs et capital, et elles produisent en contrepartie des revenus et des actifs, pour une large part européens aux niveaux élevés. Le total ne mesure donc pas une perte de PIB, et ECIPE le sait : il calcule l'effet sur le PIB dans un modèle séparé, interdit de l'additionner au total, et l'évalue à 8,5 milliards d'euros en niveau sous le scénario central, avec une production du secteur des communications en hausse dans 26 États membres sur 27\. Pour l'échelle, notre première lecture[5](https://www.klaerenn.fr/les-264-milliards-de-liceberg-ce-que-letude-asteres-cigref-cache-sur-la-dependance-cloud/) citait en 2025 une perte de PIB de 79 milliards d'euros par an en cas de restriction des flux de données, et la rapportait à Horizon Europe, le programme-cadre européen de recherche, 93,5 milliards sur sept ans ; ECIPE rapporte ses 115 milliards au même programme. Mais le chiffre d'ECIPE comparable aux 79 milliards, une perte de PIB, est 8,5, un dixième. Notre première lecture reprochait à Asterès de compter une dépense comme une perte ; la leçon vaut dans les deux sens. Une dépense n'est par nature ni une perte ni une création de richesse ; tout dépend de ce qu'elle mobilise, de ce qu'elle produit et de ce qui se serait passé sans elle. Le communiqué de CCIA Europe en conclut que l'évaluation officielle, plafonnée à 18 milliards, a manqué 70 % de l'impact réel[6](https://ccianet.org/news/2026/10/eu-cloud-sovereignty-carries-hidden-e115-billion-price-tag-six-times-the-commissions-estimate-study-finds/?ref=klaerenn.fr), puis demande de limiter les restrictions aux charges sensibles et de remplacer les critères de nationalité du capital et du personnel par des « sauvegardes techniques fondées sur le risque ».
L'étude a une qualité rare dans ce genre de production : ses paramètres sont clairement définis et publiés. Base publique de 4,1 milliards d'euros de cloud par an reconstruite à partir des avis de marchés ; base privée de 40 800 entités essentielles à 15 millions d'euros de budget informatique chacune, dont 10 % en cloud, part que l'étude qualifie elle-même de non documentée ; primes par niveau de 10, 15, 30 et 40 % ; bénéfices de sécurité et d'autonomie laissés hors chiffrage, de l'aveu de l'auteur. Tout cela se discute, et c'est le mérite du texte.
### D'où viennent les chiffres
Trois strates. La première est héritée de la Commission : la répartition 70/20/9/1 des besoins entre les quatre niveaux, et le coût unitaire du portage, c'est-à-dire du déplacement d'une application d'un cloud à un autre, de 30 000 à 600 000 euros. La Commission tient la répartition de discussions menées avec trois autorités publiques représentant environ 200 pouvoirs adjudicateurs, et l'applique aux 6 400 entités publiques essentielles au sens de NIS2 que compte son modèle[7](https://ec.europa.eu/newsroom/dae/redirection/document/129114?ref=klaerenn.fr) : un échantillon étroit pour un paramètre qui commande le reste du calcul. La deuxième strate est dérivée : part des deux niveaux supérieurs doublée, couverture de l'article 31 fixée à 10, 25 ou 50 %, primes de 10 à 40 % calées sur les prix catalogue des offres souveraines et sur le surcoût d'exploitation de 25 à 40 % que la Cour des comptes attribue à SecNumCloud, la qualification française des clouds de confiance[8](https://www.ccomptes.fr/sites/default/files/2025-10/20251031-S2025-1479-Enjeux-souverainete-des-SI-civils-de-l-Etat.pdf?ref=klaerenn.fr). Ces paramètres font à eux seuls la différence entre 35 et 233 milliards. La troisième strate serait mesurée ; elle est vide. Aucun coût de migration n'a été observé, les 30 000 à 600 000 euros par application sont des barèmes, et l'étude ne cite aucun cas réel chiffré.
Ces hypothèses font tout le résultat. Les 70 % que l'évaluation officielle aurait manqués sont un quart d'article 31 et un doublement des niveaux élevés, appliqués à une décision que la Commission n'a pas prise : l'article 31 se borne à ouvrir la possibilité d'un texte d'application ultérieur.
### Où l'étude est vulnérable, avec elle-même
Première fragilité : son scénario étroit retrouve le chiffre de la Commission, 17,4 milliards publics contre une fourchette officielle de 4 à 18 milliards pour les autorités publiques[9](https://ec.europa.eu/newsroom/dae/redirection/document/129113?ref=klaerenn.fr). La méthode adverse valide l'estimation qu'elle entend disqualifier dès qu'on lui donne les hypothèses de la Commission ; le reste est un choix de curseurs.
Deuxième fragilité : l'affirmation centrale, selon laquelle la Commission aurait omis la réarchitecture et la réécriture de code, est excessive si elle laisse croire que la Commission n'a pas modélisé ces coûts, et exacte sur un seul point, la Commission n'en impute qu'une fraction au règlement. Les annexes de l'évaluation d'impact décrivent le portage jusqu'au « refactor », réécriture majeure ou complète, dans des coûts unitaires « mainly based on human effort (400 to 8000 hours of work) »[7](https://ec.europa.eu/newsroom/dae/redirection/document/129114?ref=klaerenn.fr). Elles calculent même un coût brut de sortie du secteur public bien supérieur à celui d'ECIPE : 86,3 milliards d'euros pour porter vers les niveaux 2 à 4 les applications déjà dans le cloud de 6 400 entités publiques essentielles, 287,6 milliards en incluant le niveau 1\. Puis la Commission tranche. Ce coût « cannot be fully attributed to the policy intervention itself » : une large part de ces portages se produirait de toute façon au renouvellement des contrats, et seules les applications dont le portage vers les niveaux 3 et 4 est directement accéléré par le texte, 1 à 6 % du parc, lui sont imputables, soit 2,5 à 14,8 milliards sur trois ans à partir de 2030\. Deux réserves jouent ici contre la Commission elle-même. On ne change pas de fournisseur au renouvellement d'un contrat aussi aisément qu'elle le suppose, surtout pour les applications intégrées, et la part qu'elle impute au règlement est sans doute sous-estimée pour cette raison. Son barème suppose en outre un catalogue équivalent à l'arrivée ; quand le service n'existe pas chez l'autre, il faut le reconstruire, et la porte coûte plus cher. Le désaccord entre 18 et 115 porte donc sur qui ouvre la porte, le règlement ou le cycle des contrats. Sur son prix et sa composition, les deux calculs se rejoignent.
Troisième fragilité, la plus instructive : les deux chiffrages sont calculés à outillage constant. La Commission l'écrit, annexe 12 : ses coûts supposent « a manual porting process following the traditional software engineering process » ; une partie du portage pourrait être réalisée par génération automatique de code ou par des agents d'intelligence artificielle, « that could have an impact on the costs », mais la littérature manque et le barème reste manuel. ECIPE reprend les barèmes sans la réserve et place ses migrations en 2030-2032, aux heures humaines de 2025\. Le potentiel de baisse de cette friction est déjà revendiqué en production par le premier membre de la CCIA, sur ses propres applications : Amazon annonçait en décembre 2024 que son outil d'intelligence artificielle modernise les applications .NET vers Linux « up to four times faster » et lui a « saved more than 4,500 years of development work » en migrant des dizaines de milliers d'applications vers Java 17[10](https://press.aboutamazon.com/2024/12/new-amazon-q-developer-capabilities-accelerate-large-scale-transformations-of-legacy-workloads?ref=klaerenn.fr). Il s'agit de déclarations de fournisseur, et de montées de version dans la même pile, un exercice plus simple qu'une sortie de fournisseur ; la mesure indépendante reste faible : l'organisme METR trouvait des développeurs expérimentés ralentis de 19 % par les outils d'IA à l'été 2025, puis un gain probable mais non mesurable début 2026[11](https://metr.org/blog/2025-07-10-early-2025-ai-experienced-os-dev-study/?ref=klaerenn.fr). Il n'en reste pas moins qu'une association qui vend l'automatisation de la migration entrante chiffre la migration sortante en heures manuelles.
Quatrième fragilité, de même nature. En février 2026, le même institut, sous la même signature, publiait pour une autre coalition d'acteurs du cloud une note sur la résilience[12](https://ecipe.org/publications/cloud-resilience-and-security/?ref=klaerenn.fr) où l'on lit que « concentration becomes a risk only when portability and switching are restricted », et qu'une portabilité « that requires months of re-engineering offers little resilience ». En février, les mois de réingénierie étaient un défaut du marché, à corriger par la portabilité. En octobre, ils sont le coût de la souveraineté, à éviter en ne bougeant pas.
### Ce qu'elle apporte malgré tout
L'étude établit, mieux que ses adversaires, où se trouve la porte. Sa section 6.3 pose que le logiciel devient la contrainte qui lie, avant les serveurs : un centre de données conforme ne suffit pas tant que la base de données, le service d'identité, les outils de sécurité et les services d'intelligence artificielle restent des dépendances non conformes, et plus le service est intégré, plus vite la migration tourne au redesign. Elle montre aussi que l'offre capable de satisfaire les deux niveaux supérieurs est concentrée chez peu de fournisseurs, en France et en Allemagne, et que les petits États membres devraient l'importer à prix plus élevé.
### Trois mesures d'une même porte
Le 14 octobre également, le Cigref publie son rapport d'orientation stratégique 2026[13](https://www.cigref.fr/wp/wp-content/uploads/2026/10/ROS-2026-Cigref.pdf?ref=klaerenn.fr). Page 56, les coûts de sortie « techniques et commerciaux » d'un fournisseur verrouillé y sont évalués à 15 % du budget informatique, preuve avancée de la captivité des grandes entreprises. Page 35, les exigences réglementaires, CADA compris, doivent servir d'entraînement au marché européen, « en complément d'incitations fiscales », et les grands acheteurs des secteurs essentiels « devraient pouvoir » orienter leurs achats vers des acteurs européens. Page 59, CADA et les initiatives qui l'accompagnent tendent à restaurer « le pouvoir de négociation des acheteurs face aux hyperscalers ». Le rapport recommande à ses membres une « ingénierie de sortie » : des plans de sortie chiffrés et des lignes rouges financières fixées avant de signer.
On tient trois mesures du même objet. Le Cigref dit 15 % du budget informatique et l'appelle captivité. ECIPE dit 79 milliards de migration et de réécriture et l'appelle coût de la souveraineté. La Commission dit 86 milliards pour le seul secteur public, puis décide que la porte se serait ouverte sans elle. Ramenés à l'entreprise, sur les hypothèses d'ECIPE, un peu plus de 10 000 entités privées et 15 millions d'euros de budget informatique annuel, les 52,7 milliards de migration privée font environ 5 millions d'euros par entité, un tiers d'un budget annuel ; le Cigref dit 15 %. Les trois estimations sont fragiles et l'ordre de grandeur est le même. Elles ne sont pas commensurables au sens statistique, puisque populations, horizons et périmètres de coûts diffèrent ; leur convergence porte sur l'échelle de la friction. Quand le captif, le détenteur de la clé et le régulateur décrivent la porte dans les mêmes termes, la porte existe, sous trois étiquettes.
Deux concepts sont derrière ce que les trois mesurent. La rente, d'abord. Quand quelques fournisseurs tiennent l'essentiel d'un marché et que leurs clients ne peuvent les quitter qu'à grands frais, la concurrence cesse de discipliner les prix sur la clientèle installée. Le coût de sortie ouvre l'espace où la rente s'exerce : toutes choses égales par ailleurs, il élève la prime que le fournisseur peut demander avant que le départ ne devienne préférable. Les travaux de Paul Klemperer sur les coûts de basculement[14](https://ideas.repec.org/a/rje/randje/v18y1987ispringp138-150.html?ref=klaerenn.fr) montrent aussi que les fournisseurs peuvent brader l'entrée pour exploiter ensuite la clientèle acquise ; on parlera de borne par raccourci, le coût de sortie donnant l'ordre de grandeur de la rente soutenable sur une clientèle captive. Il y a deux paiements. Le péage, récurrent, se paie en restant et va au fournisseur ; la porte, ponctuelle, se paie en partant et va aux intégrateurs, aux équipes internes, aux doubles fonctionnements, quand elle ne se consume pas en heures perdues. Le fournisseur encaisse l'ombre de la porte, sous forme de péage, et le péage ne peut durablement dépasser la porte. Les hausses de 8,7 % par an que le Cigref documente, très au-dessus de l'inflation du secteur, sont cette rente à l'œuvre. La contestabilité, ensuite, au sens que William Baumol a donné au mot : un marché est contestable quand un concurrent peut y entrer et en sortir sans coûts irrécupérables, et il se comporte alors presque comme un marché concurrentiel, même avec très peu d'acteurs[15](https://ideas.repec.org/a/aea/aecrev/v72y1982i1p1-15.html?ref=klaerenn.fr). L'une conduit à l'autre sans s'y confondre. Abaisser le coût de bascule, par la portabilité, l'interopérabilité et l'interdiction des frais de sortie, rend le départ du client crédible ; en ouvrant l'entrée et l'expansion d'offres concurrentes, cette mobilité de la demande accroît la contestabilité du marché. C'est la ligne du Data Act, qui supprime les frais de sortie à compter du 12 janvier 2027[16](https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained?ref=klaerenn.fr), et du Digital Markets Act, au titre duquel la Commission a estimé en juin, à titre préliminaire, qu'AWS et Azure devaient être désignés contrôleurs d'accès[17](https://digital-markets-act.ec.europa.eu/?ref=klaerenn.fr). Notre deuxième lecture tenait en une phrase : une rente n'a pas de nationalité, et remplacer un oligopole étranger par un oligopole local déplace le rentier sans toucher à la rente tant que le coût de sortie reste le même.
L'association des titulaires a publié, de sa propre main, la mesure du rempart qui protège leur rente. Les deux hypothèses en présence sur ce qui se passerait sans CADA sont des énoncés sur la contestabilité du marché : le 18 de la Commission suppose un marché où l'on porte ses applications au renouvellement du contrat comme on change d'assureur ; le 115 d'ECIPE suppose un marché où rien ne bouge sans obligation. Sur ce point, l'indice le plus net va dans le sens d'ECIPE : après le rachat de VMware par Broadcom et ses hausses de 40 à plus de 100 %, 86 % des clients interrogés par CloudBolt réduisaient leur empreinte début 2026 et 2 % avaient migré les trois quarts de leur parc[18](https://www.cloudbolt.io/industry-research/cii-the-mass-exodus-that-never-was/?ref=klaerenn.fr).
### Ce que CADA achète
Les quatre niveaux d'assurance sont à lire comme quatre questions posées à un service cloud. Où sont les données : niveau 1, établissement et localisation en Europe. Qui l'exploite et avec quels composants : niveau 2, personnel, certification, inventaire des composants logiciels, audits de code et plans de migration. Qui contrôle le fournisseur : niveau 3, exclusion du contrôle d'un pays tiers sur l'entreprise et ses sous-traitants. Qui contrôle l'évolution du logiciel : niveau 4, démonstration qu'aucun pays tiers ne maîtrise la conception, le développement, la maintenance et l'évolution des composants.
Aux niveaux 3 et 4, CADA achète une juridiction, c'est-à-dire la réduction du risque qu'une décision prise à Washington, ou ailleurs, puisse un matin couper ou lire. Cette réduction a un prix, qu'ECIPE chiffre, et une valeur, celle d'une assurance contre un scénario de réquisition qui a cessé d'être théorique en 2025\. L'épisode survenu au printemps autour de la messagerie du procureur de la Cour pénale internationale, dont Microsoft a contesté la mécanique sans éteindre la controverse[19](https://heise.de/-10387383?ref=klaerenn.fr), a rendu le scénario observable pour tout acheteur public européen ; et la section 702 du FISA, qui autorise la surveillance des personnes non américaines, reste en vigueur de fait jusqu'en mars 2027, comme le rappelle le Cigref.
La contestabilité reste hors de ce que CADA achète. Le règlement déplace la demande publique vers des fournisseurs sous contrôle européen et ne touche pas à ce qui rend la sortie coûteuse. L'offre capable de satisfaire les niveaux 3 et 4 étant concentrée, on obtient un oligopole plus petit, protégé par la loi, héritant d'une demande rendue captive par règlement, donc sans incitation à abaisser les coûts de bascule. La rente survit au changement de rentier. L'alternative que les trois textes dessinent tient en deux verbes. Payer la borne : financer la migration vers d'autres fournisseurs dans un marché resté captif, à 115 milliards ou à 35, et transférer la rente. Ou l'abaisser : rendre la sortie bon marché pour tout le monde, et détruire la rente. Abaisser la borne a un effet que la payer n'a pas : cela réduit aussi le coût de la souveraineté. Le niveau 4 gardera un coût propre, audits, gouvernance, contrôle du développement, duplication éventuelle des chaînes techniques ; mais dans un marché où changer de fournisseur coûte moins, changer de juridiction coûte moins.
### Le payeur introuvable
Quatre réponses sont sur la table : la Commission désigne l'acheteur public, avec une transition de douze mois au plus lorsqu'une analyse de risque impose de migrer, tout en précisant qu'aucune mesure n'oblige par elle-même à porter une application. Le Cigref désigne le contribuable, puisque les exigences réglementaires appellent des incitations fiscales et que ses membres « devraient pouvoir » acheter européen : une option, dans les termes du rapport. CCIA Europe ne désigne personne, puisque sa recommandation consiste à ne pas sortir : restrictions limitées aux charges sensibles, critères de nationalité remplacés par des sauvegardes techniques, autrement dit des clouds souverains à moteur américain. Hors d'Europe, même partition : au Québec, le 15 octobre, une coalition de fournisseurs locaux désigne le contribuable, par un crédit d'impôt remboursable de 30 %, modulé par niveau de certification et dégressif sur quinze ans[20](https://moncarnet.com/2026/10/15/souverainete-numerique-un-plan-pour-que-le-quebec-reprenne-le-controle-de-son-avenir-technologique/?ref=klaerenn.fr). Ce 30 % est la prime qu'ECIPE retient pour son niveau 3 et le milieu de la fourchette de la Cour des comptes[8](https://www.ccomptes.fr/sites/default/files/2025-10/20251031-S2025-1479-Enjeux-souverainete-des-SI-civils-de-l-Etat.pdf?ref=klaerenn.fr) : les adversaires s'accordent sur le prix et divergent sur le payeur, et quinze ans de dégressivité disent que la prime est tenue pour durable. Le Québec fournit aussi la pièce comptable que l'Europe n'a pas : son gouvernement avait déjà dépensé 372 millions de dollars pour migrer les données des Québécois vers les clouds de Microsoft et d'Amazon lorsqu'il a annoncé, en février, sa politique de souveraineté numérique[21](https://betakit.com/quebec-has-a-new-digital-sovereignty-plan-will-it-work/?ref=klaerenn.fr). Le coût d'entrée est au grand livre, et c'est le même que le coût de sortie.
Le contribuable est le seul payeur sur lequel deux des quatre parties s'entendent, et il n'est à la table d'aucune. L'issue que personne n'a chiffrée, abaisser la borne, n'est pas davantage à la table.
### L'ordre des opérations
Si le raisonnement tient, l'ordre s'impose : la contestabilité d'abord, parce qu'elle abaisse le prix de la souveraineté ; la souveraineté ensuite, sur un marché où partir coûte moins qu'une réécriture complète. Cette séquence demande deux garde-fous, faute desquels elle rejoint la recommandation de CCIA Europe, qui ne contient ni l'une ni l'autre.
Le premier garde-fou est le temps. Le risque de réquisition n'attend pas que le marché devienne contestable, et la réponse est une question de périmètre. Le Cigref l'a formulée sous le nom de « minimum viable company » : un cœur étroit de données et de processus, sanctuarisé maintenant sur des environnements hors de portée du droit extraterritorial, le reste relevant du droit commun de la concurrence. Dans les scénarios d'ECIPE, c'est le scénario étroit, 17 milliards publics sur dix ans, le chiffre même de la Commission, comme assurance immédiate ; et c'est le refus d'étendre l'article 31 à un quart des entreprises essentielles, extension qui confond l'assurance et la politique industrielle.
Le second garde-fou est l'application : plans de migration du niveau 2 chiffrés et testés en conditions réelles, ce que le Cigref réclame déjà de ses fournisseurs à l'échelle du contrat ; désignation d'AWS et d'Azure confirmée ; Data Act appliqué face à des fournisseurs qui savent recréer un verrou à chaque version. Le test est observable : si les désignations glissent pendant que CADA perd ses niveaux 3 et 4, la séquence aura été celle du lobby.
Au-delà de l'ordre, la couche décide. Un logiciel est une rivière, un flux de versions. Chaque version régénère le verrou, puisque les applications s'adaptent aux nouveaux services. Chaque version transporte aussi les règles du fournisseur, que le client ne peut ni auditer ni geler : c'est le raisonnement qu'a tenu, le 25 septembre, la cour d'appel fédérale du District de Columbia à propos de modèles d'intelligence artificielle fournis au ministère américain de la Défense, en situant le risque dans le canal de mise à jour[22](https://media.cadc.uscourts.gov/opinions/docs/2026/09/26-1049-2194984.pdf?ref=klaerenn.fr). Rente et dépendance sont le même flux vu de deux côtés. Le seul niveau de CADA qui touche ce flux est le niveau 4, le contrôle de l'évolution du logiciel, et c'est celui dont ECIPE maximise le coût : le risque de souveraineté est logé exactement là où la rente est logée.
D'où une prévision testable, fondée sur les incitations. La juridiction se vend avec une prime, ce sont les clouds « souverains » à logo d'hyperscaler ; la contestabilité supprime la prime. L'incitation des titulaires va donc à concéder la première et à retarder la seconde. Un niveau 3 sans niveau 4 est une juridiction sans contrôle du flux de versions, les mises à jour continueraient de descendre de Seattle ou de Redmond vers l'opérateur européen, et c'est l'équilibre que la recommandation de CCIA Europe dessine déjà. Ce qui se joue dans la négociation se lit à la survie du niveau 4 comme catégorie dotée d'une demande réelle, davantage qu'au duel entre 18 et 115.
La dernière variable est la couche par laquelle on attaque la rivière. Le contrat, avec l'ingénierie de sortie du Cigref, à condition que l'acheteur garde les ingénieurs capables de l'écrire. Le règlement, Data Act et DMA, à condition que l'Europe tienne face à un partenaire qui traite déjà sa réglementation comme une agression. L'architecture, piles logicielles ouvertes et modèles à poids ouverts, que le Cigref cite d'ailleurs à côté de CADA : la seule couche où contestabilité et souveraineté coïncident, puisqu'un flux de versions que chacun peut copier, auditer et geler est contestable par n'importe quel opérateur et souverain pour n'importe quel État. Et l'outillage, quatrième couche, celle qu'aucune décision européenne ne commande. Si les agents d'intelligence artificielle compriment les heures de portage que la Commission et ECIPE comptent à prix constants, la borne descend d'elle-même, à deux réserves près : l'outil appartient aux titulaires et se facture au jeton ; et l'IA recrée du verrou en détruisant l'ancien, par les invites et affinages propres à un modèle et par les agents attachés aux services d'un fournisseur. VMware offre le test grandeur nature, puisqu'Amazon cible ces sorties avec ses outils d'IA. Si fin 2027 les 2 % de clients ayant migré l'essentiel de leur parc n'ont pas bougé, l'outillage n'abaisse pas la borne à la couche infrastructure ; s'ils ont bougé, les 79 milliards sont un chiffre d'avant l'outillage, et le niveau 4 devient abordable par la technique avant de le devenir par la loi.
### Ce que je ne sais pas
- Ce que contient l'annexe technique d'ECIPE, annoncée comme publiée séparément et introuvable en ligne au 17 octobre, et si elle tient compte des dispositions de bascule du Data Act, absentes du corps de l'étude.
- Si un logiciel libre gouverné par une fondation de droit américain satisfait le niveau 4, autrement dit si le droit de copier le code et d'en poursuivre seul le développement vaut contrôle effectif de l'évolution aux yeux d'un auditeur. Personne, à ma connaissance, n'a tranché, et de la réponse dépend que l'architecture soit la première étape de l'ordre.
- La source et la période des 15 % du Cigref, que le rapport ne précise pas.
- La position que le Cigref prendra sur l'article 31 au Conseil, qui dira si ses membres veulent l'option de sortie ou son exercice.
- La vitesse à laquelle les agents de code compriment un portage entre fournisseurs, par opposition à une montée de version dans la même pile : les seules données publiques viennent des vendeurs.
- Combien coûterait de rendre la sortie bon marché, pour tout le monde et pour de bon. Aucune des trois institutions ne l'a chiffré.
### Et donc, la question qui reste
Avant de payer 115 milliards, ou 35, pour changer de rentier, pourquoi le prix d'abaisser la porte n'est-il jamais chiffré ?
Merci de m'avoir lu.
Si vous ne voulez manquer aucune de ces analyses, vous pouvez vous abonner à La lettre Klaerenn : les membres les reçoivent par mail, dès parution. Sur LinkedIn, un algorithme décide de ce que vous voyez. Ici, vous reprenez la main.
S’inscrire
C’est fait — vérifiez votre boîte mail pour confirmer votre inscription.
Désinscription en un clic, adresse jamais partagée.
[Partager](#/share)
---
*Troisième article d'une série sur l'économie de la dépendance au cloud :*
- *Article 1 :* [*Les 264 milliards de l'iceberg*](https://www.klaerenn.fr/les-264-milliards-de-liceberg-ce-que-letude-asteres-cigref-cache-sur-la-dependance-cloud/)
- *Article 2 :* [*Une rente n'a pas de nationalité*](https://www.klaerenn.fr/une-rente-na-pas-de-nationalite/)
---
### Notes
1 « US tech giants warn Europe that ditching US tech giants could cost €115B », The Register, 14 octobre 2026\. [https://www.theregister.com/paas-and-iaas/2026/10/14/us-tech-giants-warn-europe-that-ditching-us-tech-giants-could-cost-115b/5303031](https://www.theregister.com/paas-and-iaas/2026/10/14/us-tech-giants-warn-europe-that-ditching-us-tech-giants-could-cost-115b/5303031?ref=klaerenn.fr)
2 ECIPE, *The Real-World Economic Impact of the Cloud and AI Development Act (CADA)*, Occasional Paper 08/2026, octobre 2026, « independent report funded by the Computer and Communications Industry Association (CCIA Europe) ». Présentation : [https://ecipe.org/publications/economic-impact-of-cada/](https://ecipe.org/publications/economic-impact-of-cada/?ref=klaerenn.fr) ; PDF : [https://ecipe.org/wp-content/uploads/2026/10/ECI\_OccasionalPaper\_08-2026\_LY03b.pdf](https://ecipe.org/wp-content/uploads/2026/10/ECI%5FOccasionalPaper%5F08-2026%5FLY03b.pdf?ref=klaerenn.fr). Le corps de l'étude ne mentionne ni le Data Act ni le Digital Markets Act ; l'annexe technique, annoncée comme « published separately », n'était en ligne ni sur ecipe.org ni sur le site de campagne de l'étude, cada-impact.eu, au 17 octobre 2026\. Ce site, signé ECIPE, publie le rapport et trois fiches (« Hidden Economic Shock & Taxpayer Burden », « Inevitable Private-Sector Spillover », « Asymmetric Penalty for Digital Frontrunners »). [https://www.cada-impact.eu/downloads/](https://www.cada-impact.eu/downloads/?ref=klaerenn.fr)
3 « Une rente n'a pas de nationalité », klaerenn.fr, 11 juin 2026\.
4 Commission européenne, proposition de règlement Cloud and AI Development Act, COM(2026) 502, 3 juin 2026, et évaluation d'impact SWD(2026) 502 (parties 1 et 2, résumé). [https://digital-strategy.ec.europa.eu/en/library/proposal-cloud-and-ai-development-act-cada](https://digital-strategy.ec.europa.eu/en/library/proposal-cloud-and-ai-development-act-cada?ref=klaerenn.fr)
5 « Les 264 milliards de l'iceberg : ce que l'étude Asterès-Cigref cache sur la “dépendance” cloud », klaerenn.fr, 6 juillet 2025\.
6 CCIA Europe, « EU Cloud Sovereignty Carries Hidden €115 Billion Price Tag, Six Times the Commission's Estimate, Study Finds », communiqué, 13 octobre 2026\. [https://ccianet.org/news/2026/10/eu-cloud-sovereignty-carries-hidden-e115-billion-price-tag-six-times-the-commissions-estimate-study-finds/](https://ccianet.org/news/2026/10/eu-cloud-sovereignty-carries-hidden-e115-billion-price-tag-six-times-the-commissions-estimate-study-finds/?ref=klaerenn.fr)
7 SWD(2026) 502, partie 2 (annexes), 253 p. : répartition 70/20/9/1 et ses trois autorités sources (p. 97 et 121) ; coûts unitaires de portage et heures de travail (p. 101 et 125) ; portage manuel et IA agentique (p. 231) ; coût brut de 86,3 et 287,6 milliards, part accélérée de 1 à 6 %, fourchette de 2,5 à 14,8 milliards (p. 239). [https://ec.europa.eu/newsroom/dae/redirection/document/129114](https://ec.europa.eu/newsroom/dae/redirection/document/129114?ref=klaerenn.fr)
8 Cour des comptes, *Les enjeux de souveraineté des systèmes d'information civils de l'État*, observations définitives, octobre 2025, surcoût d'exploitation de 25 à 40 % pour une infrastructure qualifiée SecNumCloud. [https://www.ccomptes.fr/sites/default/files/2025-10/20251031-S2025-1479-Enjeux-souverainete-des-SI-civils-de-l-Etat.pdf](https://www.ccomptes.fr/sites/default/files/2025-10/20251031-S2025-1479-Enjeux-souverainete-des-SI-civils-de-l-Etat.pdf?ref=klaerenn.fr) ; BCG, *Cloud Cover: Price Swings, Sovereignty Demands, and Wasted Resources*, 2025, primes de 10 à 30 %. [https://www.bcg.com/publications/2025/cloud-cover-price-sovereignty-demands-waste](https://www.bcg.com/publications/2025/cloud-cover-price-sovereignty-demands-waste?ref=klaerenn.fr)
9 SWD(2026) 502, partie 1, 105 p. : fourchette de 4 à 18 milliards pour les autorités publiques et encadré sur les coûts de portage (p. 64), observations sur les primes des offres souveraines (p. 25). [https://ec.europa.eu/newsroom/dae/redirection/document/129113](https://ec.europa.eu/newsroom/dae/redirection/document/129113?ref=klaerenn.fr) ; version EUR-Lex : [https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52026SC0502](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52026SC0502&ref=klaerenn.fr)
10 Amazon, « New Amazon Q Developer Capabilities Accelerate Large-Scale Transformations of Legacy Workloads », communiqué, 3 décembre 2024\. [https://press.aboutamazon.com/2024/12/new-amazon-q-developer-capabilities-accelerate-large-scale-transformations-of-legacy-workloads](https://press.aboutamazon.com/2024/12/new-amazon-q-developer-capabilities-accelerate-large-scale-transformations-of-legacy-workloads?ref=klaerenn.fr) ; AWS, « Amazon Q Developer just reached a $260 million milestone ». [https://aws.amazon.com/blogs/devops/amazon-q-developer-just-reached-a-260-million-dollar-milestone](https://aws.amazon.com/blogs/devops/amazon-q-developer-just-reached-a-260-million-dollar-milestone?ref=klaerenn.fr)
11 METR, « Measuring the Impact of Early-2025 AI on Experienced Open-Source Developer Productivity », 10 juillet 2025 (16 développeurs, 246 tâches, +19 % de durée). [https://metr.org/blog/2025-07-10-early-2025-ai-experienced-os-dev-study/](https://metr.org/blog/2025-07-10-early-2025-ai-experienced-os-dev-study/?ref=klaerenn.fr) ; METR, « We are Changing our Developer Productivity Experiment Design », 24 février 2026 (57 développeurs, gain probable, « only very weak evidence »). [https://evals.alignment.org/blog/2026-02-24-uplift-update/](https://evals.alignment.org/blog/2026-02-24-uplift-update/?ref=klaerenn.fr)
12 ECIPE, *Cloud Resilience and Security: Why Exit, Portability, and Lifecycle Design Matter*, Policy Brief, février 2026, note commandée par l'Open Cloud Coalition. [https://ecipe.org/publications/cloud-resilience-and-security/](https://ecipe.org/publications/cloud-resilience-and-security/?ref=klaerenn.fr)
13 Cigref, *De la prospective à l'action : recommandations stratégiques pour 2040*, rapport d'orientation stratégique 2026, 14 octobre 2026, 134 p., pagination imprimée. [https://www.cigref.fr/wp/wp-content/uploads/2026/10/ROS-2026-Cigref.pdf](https://www.cigref.fr/wp/wp-content/uploads/2026/10/ROS-2026-Cigref.pdf?ref=klaerenn.fr)
14 Paul Klemperer, « The Competitiveness of Markets with Switching Costs », *RAND Journal of Economics*, vol. 18, n° 1, 1987, p. 138-150\. [https://ideas.repec.org/a/rje/randje/v18y1987ispringp138-150.html](https://ideas.repec.org/a/rje/randje/v18y1987ispringp138-150.html?ref=klaerenn.fr)
15 William J. Baumol, « Contestable Markets: An Uprising in the Theory of Industry Structure », *American Economic Review*, vol. 72, n° 1, 1982, p. 1-15\. [https://ideas.repec.org/a/aea/aecrev/v72y1982i1p1-15.html](https://ideas.repec.org/a/aea/aecrev/v72y1982i1p1-15.html?ref=klaerenn.fr)
16 Règlement (UE) 2023/2854 du 13 décembre 2023 (Data Act), chapitre VI, changement de fournisseur de services de traitement de données ; suppression des frais de bascule à compter du 12 janvier 2027\. [https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained](https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained?ref=klaerenn.fr)
17 Règlement (UE) 2022/1925 du 14 septembre 2022 (Digital Markets Act). [https://digital-markets-act.ec.europa.eu/](https://digital-markets-act.ec.europa.eu/?ref=klaerenn.fr) . Sur l'avis préliminaire de juin 2026 visant AWS et Microsoft Azure et sa confirmation attendue à l'automne, voir le rapport du Cigref cité en note 13, p. 71.
18 CloudBolt, *The Mass Exodus That Never Was: The Squeeze Is Just Beginning*, enquête auprès de 302 décideurs informatiques, janvier 2026\. [https://www.cloudbolt.io/industry-research/cii-the-mass-exodus-that-never-was/](https://www.cloudbolt.io/industry-research/cii-the-mass-exodus-that-never-was/?ref=klaerenn.fr)
19 heise online, « Criminal Court: Microsoft's email block a wake-up call for digital sovereignty », mai 2025\. [https://heise.de/-10387383](https://heise.de/-10387383?ref=klaerenn.fr) ; heise online, « Microsoft denies mail blockade at the International Criminal Court », mai 2025\. [https://heise.de/-10429628](https://heise.de/-10429628?ref=klaerenn.fr)
20 Mon Carnet, « Souveraineté numérique : un plan pour que le Québec reprenne le contrôle de son avenir technologique », 15 octobre 2026, sur la feuille de route 2027-2030 de Données Souveraines Québec. [https://moncarnet.com/2026/10/15/souverainete-numerique-un-plan-pour-que-le-quebec-reprenne-le-controle-de-son-avenir-technologique/](https://moncarnet.com/2026/10/15/souverainete-numerique-un-plan-pour-que-le-quebec-reprenne-le-controle-de-son-avenir-technologique/?ref=klaerenn.fr)
21 BetaKit, « Québec has a new digital sovereignty plan. Will it work? », 19 février 2026, citant Le Journal de Montréal pour les 372 millions de dollars. [https://betakit.com/quebec-has-a-new-digital-sovereignty-plan-will-it-work/](https://betakit.com/quebec-has-a-new-digital-sovereignty-plan-will-it-work/?ref=klaerenn.fr) ; Noovo Info, « Québec va de l'avant avec sa souveraineté numérique », 13 février 2026\. [https://www.noovo.info/nouvelles/politique/article/quebec-va-de-lavant-avec-sa-souverainete-numerique/](https://www.noovo.info/nouvelles/politique/article/quebec-va-de-lavant-avec-sa-souverainete-numerique/?ref=klaerenn.fr)
22 Cour d'appel des États-Unis pour le circuit du District de Columbia, Anthropic c. Department of War, n° 26-1049, arrêt du 25 septembre 2026\. [https://media.cadc.uscourts.gov/opinions/docs/2026/09/26-1049-2194984.pdf](https://media.cadc.uscourts.gov/opinions/docs/2026/09/26-1049-2194984.pdf?ref=klaerenn.fr)