Plusieurs cadres de souveraineté ont vu le jour au cours des 18 derniers mois, mais c’est le cadre européen de souveraineté du cloud « SEAL » qui mérite la plus grande attention. Il s’agit de la tentative la plus rigoureuse sur le plan structurel à ce jour pour mettre en œuvre l’évaluation de la souveraineté. Sa conception montre comment une autorité de passation de marchés sophistiquée décompose la souveraineté en éléments mesurables. Étudier SEAL de près, c’est étudier le modèle structurel que d’autres juridictions sont susceptibles d’adopter.

En octobre 2025, la Commission européenne a publié la version 1.2.1 du cadre de souveraineté du cloud. En avril 2026, ce cadre est passé du statut de document d’orientation à celui de réalité opérationnelle lorsque la Commission s’en est servi pour attribuer 180 millions d’euros de contrats liés au cloud souverain. Les fournisseurs devaient franchir un seuil de souveraineté défini pour chaque critère avant même que leurs offres ne soient évaluées. Le cadre a fonctionné comme prévu : la plupart des soumissionnaires retenus se situaient au niveau SEAL-3 (résilience numérique), et les critères de rejet ont effectué l’essentiel de la sélection avant même que quiconque ne consulte la colonne des notes pondérées.

C'est cette structure en deux étapes qui a échappé à la plupart des observateurs lors de la première présentation de ce cadre. Le SEAL n'est pas un simple chiffre, mais un seuil d'attribution combiné à une note d'attribution pondérée, et c'est ce seuil qui joue le rôle principal.

Qu'est-ce que le SEAL ?

SEAL est l'acronyme de « Sovereignty Effective Assurance Levels » (niveaux d'assurance effective de la souveraineté). Il s'agit d'une méthodologie de notation allant de 0 à 4, intégrée dans un cadre plus large qui pose huit questions structurelles concernant le service d'un fournisseur :

• SOV-1 Stratégique. Où se trouvent les instances dotées d’un pouvoir décisionnel sur le service et dans quelle mesure cette organisation est-elle stable ?

• SOV-2 - Aspects juridiques. Un gouvernement étranger peut-il contraindre le fournisseur à divulguer des données ?

• Données SOV-3 et IA. Qui détient les clés cryptographiques ? Où s'exécutent les chemins d'inférence de l'IA ?

• SOV-4 est opérationnel. Les clients de l'UE peuvent-ils exploiter, assurer la maintenance et faire évoluer le service indépendamment des ressources situées hors de l'UE ?

• Chaîne logistique SOV-5. Où le logiciel est-il conçu, programmé, packagé et distribué ?

• Technologie SOV-6. Les interfaces sont-elles ouvertes et vérifiables, ou existe-t-il un verrouillage propriétaire ?

• Sécurité SOV-7. L'entreprise dispose-t-elle de certifications reconnues par l'UE, et celles-ci valident-elles aussi bien les opérations que l'architecture ?

• SOV-8 Environnement. Les performances en matière de développement durable sont-elles mesurables et atteintes, ou s'agit-il simplement d'objectifs à atteindre ?

Chaque objectif est noté sur une échelle allant de SEAL-0 (aucune souveraineté significative) à SEAL-4 (souveraineté numérique totale, aucune dépendance critique vis-à-vis de pays tiers). Le pouvoir adjudicateur fixe ensuite deux seuils : un niveau SEAL minimum pour chaque objectif (le seuil plancher) et un seuil minimum pour le score de souveraineté pondéré (le seuil d'attribution).

Pourquoi le terrain compte plus que le score

L'évaluation en deux étapes constitue le choix conceptuel le plus déterminant de ce cadre. Un fournisseur disposant de certifications de sécurité solides, d'opérations bien rodées et d'un écosystème de partenaires étendu peut tout de même être purement et simplement éliminé si un seul objectif de souveraineté se voit attribuer la note SEAL-0, ce qui équivaut à un rejet catégorique.

Le critère de la souveraineté juridique (SOV-2) revêt la plus grande importance sur le plan opérationnel. SEAL est un cadre d’évaluation de la souveraineté de l’UE, ce qui signifie que le critère SOV-2 vise à déterminer si le fournisseur est soumis à des contraintes juridiques imposées par des autorités étrangères à l’UE. Les fournisseurs soumis à des régimes de contrainte extraterritoriale qui s’étendent aux opérations de l’UE depuis l’extérieur de celle-ci, notamment le CLOUD Act américain et la section 702 de la loi FISA, obtiennent un score SEAL-0 en matière de souveraineté juridique, quel que soit le niveau de résidance des données dans l’UE, de chiffrement ou d’empreinte opérationnelle qu’ils mettent en place. Ce cadre considère l’autorité juridique extérieure à l’UE comme le fait déterminant : si une juridiction non européenne peut contraindre à la divulgation, les barrières contractuelles ou techniques s’opposant à cette autorité ne modifient pas l’évaluation sous-jacente de la souveraineté aux fins des marchés publics de l’UE.

Cette évaluation dépend de la juridiction concernée. Un responsable des marchés publics fédéraux américains qui lirait le SEAL reconnaîtrait la même logique structurelle à l’œuvre dans ses propres cadres réglementaires. Le FedRAMP, les niveaux d’impact du DoD et les certifications de niveau de classification américain posent tous la question de savoir si le fournisseur est soumis à une contrainte exercée par des autorités étrangères aux États-Unis. Chaque autorité chargée des marchés publics définit son seuil de souveraineté par rapport à sa propre juridiction. Le raisonnement est symétrique. Les conclusions de toute évaluation spécifique dépendent de la souveraineté qui est évaluée et des juridictions qui s’appliquent au fournisseur.

Lors de l'appel d'offres d'avril 2026, plusieurs prestataires majeurs ont été écartés avant même le début de l'évaluation, car leur situation juridique ne répondait pas aux exigences du SEAL-2, malgré leurs solides références en matière de technologie et de conformité.

Ce que la pondération révèle sur les priorités de l'UE

Parmi les vendeurs qui atteignent le seuil minimal, le cadre de référence calcule un « Sovereignty Score » pondéré en utilisant les coefficients suivants :

• SOV-5 Chaîne d'approvisionnement : 20 %

• SOV-1 (stratégique), SOV-4 (opérationnel), SOV-6 (technologique) : 15 % chacun

• SOV-2 (Juridique), SOV-3 (Données et IA), SOV-7 (Sécurité) : 10 % chacun

• SOV-8 Environnement : 5 %

Deux éléments ressortent particulièrement. Premièrement, la chaîne d’approvisionnement est le critère qui pèse le plus lourd dans l’évaluation. Le cadre défini par la Commission, tel qu’il transparaît à travers les facteurs pris en compte, montre clairement que l’UE considère la souveraineté en matière de chaîne d’approvisionnement comme la plus durable : si le statut juridique peut être modifié par un traité et si les activités opérationnelles peuvent être délocalisées, il est en revanche bien plus difficile de modifier à la demande le lieu où les logiciels sont conçus, développés et distribués.

Deuxièmement, la souveraineté juridique ne compte que pour 10 % dans la note, mais elle s’applique pleinement au seuil minimal. Un fournisseur obtenant la note SEAL-4 dans toutes les autres dimensions ne peut pas compenser une note SEAL-0 en matière de souveraineté juridique. Il s’agit là d’un renversement délibéré de la manière dont l’évaluation des fournisseurs est parfois abordée, où les points forts dans un domaine compensent les faiblesses dans un autre. Dans le cadre du système SEAL, l’exposition structurelle à une contrainte juridique étrangère est un critère d’exclusion, et non un élément pouvant être compensé.

Comment le cadre évolue

SEAL a été conçu pour les services cloud, et les attributions d'avril 2026 ont démontré qu'il fonctionnait comme prévu dans le cadre des marchés publics liés au cloud. Cependant, ce cadre ne s'est pas limité au cloud.

La Commission européenne a déclaré publiquement qu’elle appliquait les mêmes critères de souveraineté à l’ensemble des autres services numériques qu’elle fournit aux institutions de l’UE ; la future loi sur le développement du cloud et de l’IA devrait transposer les principes de ce cadre dans une législation européenne contraignante. Les analystes du secteur ont décrit SEAL comme la nouvelle référence en matière d’évaluation de la souveraineté dans le cadre des marchés publics réglementés de manière plus générale. Des articles parus en dehors de l’UE l’ont mentionné comme une référence citée sur des marchés tels que l’Australie.

La raison structurelle de cette extension réside dans le fait que les huit objectifs de souveraineté sont indépendants du domaine concerné. Les questions qu’ils posent (qui détient l’autorité, qui gère les opérations, qui contrôle les clés, d’où provient la chaîne d’approvisionnement) n’ont rien de spécifique au cloud. Elles s’appliquent parfaitement à n’importe quelle catégorie de services numériques : communications sécurisées, gestion des appareils mobiles, critical event management, logiciels de productivité, analyse de données et services d’IA. Partout où un fournisseur propose un service impliquant des données ou des opérations sensibles, les questions structurelles du cadre s’appliquent.

Ce que cela implique pour les organisations qui évaluent des fournisseurs

Pour les organisations dont les marchés publics sont soumis à la réglementation européenne, SEAL constitue désormais un cadre d'évaluation en vigueur. Les fournisseurs sont notés selon ce cadre et les équipes chargées des marchés publics doivent s'attendre à ce que le seuil minimal SEAL-2 serve de filtre important avant même que les discussions relatives à l'attribution du marché ne commencent.

Pour les organisations non soumises aux règles de passation de marchés de l’UE, ce cadre reste précieux en tant que prisme structurel. Les huit objectifs de souveraineté offrent une décomposition plus rigoureuse du débat sur la souveraineté que la plupart des critères internes de passation de marchés. Se poser les mêmes questions dans le contexte d’une administration fédérale américaine, d’un gouvernement allié, d’une entreprise réglementée ou d’une infrastructure critique permet d’aboutir à une évaluation des fournisseurs plus défendable que de se fier uniquement au nombre de certifications ou aux arguments marketing relatifs à la souveraineté. La juridiction du siège social est un élément essentiel, évalué par rapport à la propre juridiction du client, mais la décomposition du modèle SEAL montre clairement que l’évaluation de la souveraineté nécessite également de répondre à des questions concernant les opérations, les clés, la chaîne d’approvisionnement, le coût de sortie et la sécurité démontrée. Chaque autorité chargée des marchés publics fixe son propre seuil légal en fonction de sa propre position juridictionnelle, et les questions opérationnelles s’inscrivent alors dans le cadre de ce seuil.

L’idée centrale que formalise le modèle SEAL est que la souveraineté n’est pas un attribut unique. Il s’agit d’un système de réalités structurelles concernant qui contrôle quoi, réparties entre les dimensions juridique, opérationnelle, de la chaîne d’approvisionnement, technologique, de sécurité et environnementale. Certaines de ces dimensions (la dimension juridique en particulier) constituent des conditions minimales : l’échec sur l’une d’entre elles disqualifie le fournisseur, quelle que soit sa performance dans les autres domaines. D’autres contribuent à une évaluation pondérée parmi les fournisseurs éligibles. Considérer la souveraineté comme s’il s’agissait d’un score unique, ou comme si l’on pouvait la négocier en ajoutant des clauses contractuelles compensatoires, revient à mal comprendre le fonctionnement de ce cadre.

Que faire ensuite ?

Si votre organisation fait appel à des services numériques pour lesquels la souveraineté est un enjeu crucial — ce qui est de plus en plus souvent le cas pour la plupart des marchés publics réglementés —, trois mesures méritent d'être prises dès maintenant :

1. Lisez le cadre. Ce document est accessible au public. Les facteurs contributifs mentionnés sous chaque objectif de souveraineté contiennent les détails opérationnels et sont plus concrets que ne le laissent supposer les grandes catégories d'évaluation.

2. Évaluez vos fournisseurs actuels à l'aune des huit SOV. Pas de manière formelle, ni dans le cadre d'une procédure d'appel d'offres, mais à titre d'exercice interne. Quels sont les résultats de vos fournisseurs actuels ? Quel score obtiendraient-ils selon le SEAL-0, et qu'est-ce que cela implique pour les futurs appels d'offres ?

3. Considérez le seuil minimal comme la question stratégique. Un fournisseur obtenant la note SEAL-0 dans l’un quelconque de ces domaines devra faire face à des négociations d’appel d’offres de plus en plus difficiles. La discussion sur la note d’attribution importe moins que celle portant sur le seuil minimal, et cette dernière porte généralement sur les risques juridiques, l’origine de la chaîne d’approvisionnement ou l’autonomie opérationnelle, autant de facteurs qui sont les plus difficiles à modifier a posteriori.

SEAL est le cadre de souveraineté le plus rigoureux sur le plan structurel actuellement en cours d'élaboration. Son intérêt réside dans la discipline qu'il impose quant aux relations avec les fournisseurs susceptibles de préserver la souveraineté et celles qui ne le peuvent pas. Cette discipline est transposable, et les questions qu'elle formalise survivront à toute pondération ou tout seuil particulier sur lesquels l'UE finira par s'accorder.