L’Union européenne veille à ce que le contrôle des données de ses propres citoyens reste entre des mains européennes et ne soit pas confié à des pays situés en dehors de l’UE. Ces efforts ont conduit à ce que les données des citoyens européens doivent être stockées au sein de l’UE et ne puissent être transmises à des pays tiers.
La souveraineté des données remplit-elle son objectif ou fait-elle obstacle aux efforts visant à rendre les données utiles pour ses propres citoyens ? Si les réglementations et les lois relatives aux données et à leur utilisation ne tiennent pas compte de leur complexité inhérente, non seulement le potentiel de ces données à apporter des bienfaits aux citoyens de l’UE ne pourra pas être pleinement exploité, mais elles risquent même de causer du tort. Au lieu de suivre le principe de l’opportunité, l’Europe suit souvent le principe de prévention des risques. Ce dernier peut ainsi entraîner précisément ces dangers-là, et d’autres encore, que l’on cherchait justement à éviter.
Exemple : données médicales
Un modèle d’apprentissage automatique entraîné à partir des données médicales de l’ensemble des citoyens peut identifier de nouveaux schémas concernant les maladies, les facteurs de risque et l’efficacité des traitements, ce qui peut permettre de réaliser des progrès dans le domaine des traitements et du développement de médicaments. En revanche, si les données ne peuvent être regroupées, comparées et analysées parce que cela risquerait de révéler des données à caractère personnel, ces progrès ne pourront pas se concrétiser, ou ne se concrétiseront qu’avec retard.
Je voudrais analyser cette question sous cinq angles différents : juridique, économique, technologique, politique et militaire.
1. Sur le plan juridique
L’UE se vante de ses lois et réglementations strictes, qui accordent la priorité à la protection des données. Cette approche, qui trouve son origine dans l’histoire et découle des leçons négatives tirées de deux idéologies issues de l’espace germanophone – le nazisme et le communisme –, a conduit, dans de nombreux pays européens, à la violation des données à caractère personnel des citoyens, ce qui a entraîné leur persécution, leur incarcération, leur torture, leur privation de droits et leur assassinat ; cette approche est donc compréhensible. Les données ne doivent plus jamais être utilisées à ces fins. C’est si beau, si compréhensible, si louable, si bien.
Mais les implications vont bien au-delà des données à caractère personnel. En effet, même les données générées par des machines, par exemple dans les usines de production, sont toujours à caractère personnel. Une machine est exploitée, entretenue et surveillée par des personnes. Il est donc toujours possible de déterminer qui était responsable de la machine en cas de dommage. C’est là qu’interviennent les salariés, les comités d’entreprise et les syndicats, qui examinent la collecte de données dans les entreprises sous l’angle de la nécessité, du principe de minimisation et de l’attribuabilité. La collecte de données spécifiques est-elle indispensable au bon fonctionnement de l’entreprise ? L’entreprise peut-elle fonctionner avec moins de données ? Et ces données peuvent-elles être attribuées à des salariés, et servir de base à des décisions concernant l’évolution de carrière, le salaire et d’éventuels licenciements ?
Cette interprétation a pour conséquence que la collecte de données au sein de l’UE est fortement limitée. Pas nécessairement parce que la loi ou la réglementation l’impose explicitement, mais parce que, par mesure de prudence, les services juridiques des entreprises et les tribunaux des différents pays les interprètent de manière plus stricte que ce qui était initialement prévu.
Exemple : Vienne
Un exemple à ce sujet nous vient de ma ville natale, Vienne, où l’organisme municipal de gestion immobilière Wiener Wohnen gère 220 000 logements sociaux. Des locataires avaient porté plainte, estimant que leur vie privée était bafouée du fait que leurs noms figuraient sur les plaques de sonnette. Après consultation des délégués à la protection des données de la ville, l’organisme municipal chargé du logement a commencé à remplacer 220 000 plaques de sonnette et à les numérotées « Top 1 », « Top 2 », « Top 3 », etc., au lieu d’y indiquer les noms des locataires. Cette interprétation du RGPD a fait grand bruit à l’échelle internationale, et la Commission européenne s’est vue contrainte de préciser que cette interprétation était erronée.
Cette controverse montre à quel point le RGPD a engendré une insécurité juridique. Et celle-ci perdure, car bien souvent, avant même que les données ne soient collectées, le RGPD est déjà au cœur des débats, ce qui a pour effet dissuasif d’empêcher le développement de la technologie ou de pousser les développeurs, par crainte, à ne collecter que très peu, voire aucune donnée.
Il en résulte que les données disponibles en Europe sont non seulement peu nombreuses, mais aussi considérablement appauvries. À cela s’ajoute le fait que la réglementation européenne oblige les collecteurs de données à laisser celles-ci devenir obsolètes, c’est-à-dire qu’elles ne peuvent être conservées que pendant une durée déterminée, après quoi elles doivent être supprimées.
Exemple : Ottawa
La ville canadienne d’Ottawa a utilisé pendant plusieurs années des images de Google Street View pour analyser le développement urbain et, plus particulièrement, la gentrification de certains quartiers. Une analyse similaire n’est pas possible en Europe, car les collecteurs de données sont tenus de supprimer ces données au bout d’un certain délai.
Les efforts déployés par l’UE pour parvenir à la souveraineté des données se heurtent à des défis similaires, car elle se concentre avant tout sur elle-même sans avoir une vision d’ensemble, que je souhaite mettre en lumière à travers les aspects suivants.
2. Économique
Les entreprises européennes semblent considérer l’exploitation des centres de données avant tout comme un poste de dépenses et non comme un centre de profit. Comment expliquer autrement la réticence des fournisseurs et la prédominance des centres de données et des opérateurs de cloud américains en Europe ?
Selon les informations fournies par Mordor Intelligence, le classement des principaux fournisseurs de centres de données en fonction du nombre de clients ne comprend aucun opérateur européen, mais – sans grande surprise – trois opérateurs américains : AWS, Microsoft Azure et Google Cloud. Vient ensuite un fournisseur français, OVHcloud, suivi de deux autres opérateurs américains : Oracle et IBM.
Et ce, alors même que l’UE promeut la souveraineté des données et exige que les données européennes soient hébergées en Europe. Or, ce ne sont ni SAP ni Siemens qui prennent les devants dans ce domaine, mais bien ceux que l’on souhaitait en réalité tenir à l’écart.
Là encore, cela empêche de saisir certaines opportunités. L’exploitation de centres de données n’apporte pas seulement des enseignements et de l’expérience, elle génère également une demande pour d’autres produits et services. Cela va des processeurs (CPU/GPU) aux outils permettant d’assurer la fiabilité et le développement de solutions basées sur le cloud. Cela implique des exigences accrues en matière de haut débit et de téléphonie mobile, une résilience face aux cyberattaques, une demande pour une production européenne de processeurs, et crée les conditions nécessaires à la mise en place de modèles d’IA européens incarnant les valeurs, les principes moraux, l’histoire, la culture et les savoirs locaux de l’Europe. Toutes ces exigences ouvrent des perspectives pour de nouveaux secteurs d’activité et de nouvelles entreprises.
Du point de vue de la souveraineté des données, en revanche, la question se limite, conformément au règlement général sur la protection des données, à une simple question d’hébergement. Aucun cadre n’est mis en place pour utiliser ces données au profit de l’Europe. Cette perspective rappelle une décision contradictoire entre les États-Unis et l’Europe. Il s’agissait alors du droit d’auteur sur les bases de données, dont les divergences jurisprudentielles avaient entraîné des dynamiques économiques opposées.
Exemple : base de données
En 1991, la Cour suprême des États-Unis a dû se prononcer sur la question de savoir si les bases de données pouvaient se voir reconnaître une originalité et, partant, bénéficier d’un droit d’auteur. Un opérateur téléphonique local avait refusé d’accorder une licence à un éditeur pour l’utilisation des informations contenues dans son annuaire téléphonique. La maison d’édition a alors repris, sans licence, les entrées de l’annuaire téléphonique dans son propre annuaire et a immédiatement été poursuivie pour violation du droit d’auteur. La Cour suprême a finalement statué qu’un simple recueil de faits n’était pas protégé par le droit d’auteur. Seule une manière originale de collecter ou de classer les données mérite d’être protégée. Un classement purement alphabétique des données ne constitue toutefois pas une originalité.
À première vue, cette décision semblait empêcher la création de bases de données, car il n’était pas possible de protéger le travail qui y était consacré. C’est pourquoi l’UE a décidé en 1992 que les bases de données seraient protégées par le droit d’auteur pendant une période de 15 ans. C’est exactement le contraire qui s’est produit. Dans un Analyse de l’Union européenne Cette étude, datant de 2005, a examiné les répercussions de la jurisprudence des années 1991 et 1992. Cette étude a conclu, d’une part, que l’impact économique de la protection juridique n’était pas vérifiable et, d’autre part, que la stimulation prévue de la création de bases de données en Europe ne s’était pas concrétisée. 100 créateurs de bases de données américains ont connu une croissance, tandis que le volume des bases de données de leurs concurrents européens n’a pas augmenté, voire a diminué.
Tout semble indiquer que la quête de la souveraineté en matière de données freine également la dynamique économique de l’espace européen.
3. Sur le plan technologique
Un représentant d’ASML, le premier fabricant mondial néerlandais de machines de lithographie pour puces électroniques, a révélé à l’automne 2026 qu’aucune commande de ces machines n’avait été passée cette année-là en Europe. Alors qu’une course effrénée à l’IA et aux centres de données fait rage entre les grandes puissances, l’UE reste profondément endormie. Aucune capacité n’est mise en place pour le développement et la production de GPU.
À quoi cela sert-il aux Européens de se vanter sans cesse de leurs capacités technologiques s’ils ne les mettent jamais en pratique pour le bien-être des gens ? Comme si le simple fait de se vanter de ses capacités remplaçait l’action concrète.
Les centres de données, qui sont principalement exploités par des entreprises américaines avec des processeurs et des cartes graphiques conçus aux États-Unis, et sur lesquels tournent des logiciels américains et sont entraînés des modèles d’IA, ne témoignent pas des capacités technologiques des Européens, mais d’une dépendance vis-à-vis du capital, du savoir-faire et de la capacité de mise en œuvre des Américains.
Il ne faut pas oublier les services supplémentaires dont les centres de données ont besoin : ils consomment beaucoup d’électricité et d’eau pour leur refroidissement. Comme le montre l’article La haine des centres de données, aux États-Unis, des centres de données d’une puissance totale de 31,7 GW sont déjà en construction, et 191 GW supplémentaires sont en projet.
En raison des besoins extrêmes en énergie et en refroidissement, les entreprises recherchent déjà des alternatives. Une solution sérieusement envisagée par des entreprises telles que Google, Amazon ou SpaceX consiste à installer des centres de données en orbite, où l’énergie solaire est suffisante et où règne une température suffisamment basse, même si les détails techniques restent encore à résoudre. Le PDG de SpaceX, Elon Musk, prévoit ainsi un million de centres de données sous forme de satellites dans l’espace, qu’il souhaite disposer tous les 30 à 40 kilomètres.
L’Europe peut-elle suivre le rythme ? Pas sur le plan technologique pour l’instant, car elle ne dispose pas de la fusée capable de mettre en orbite des centres de données de cette taille et en si grand nombre.
4. Politique
Le paradoxe européen qui me laisse perplexe est que, d’une part, l’UE insiste pour que des centres de données soient construits en Europe afin que les données des utilisateurs et des entreprises européens puissent y être stockées et utilisées. D’autre part, les habitants s’opposent à l’implantation de centres de données sur leur territoire. Ainsi, les habitants de Groß-Gerau, en Hesse, ont empêché la construction d’un centre de données d’une valeur de 2,5 milliards d’euros, et à Linz, en Haute-Autriche, une opposition commence également à se manifester contre un centre de données prévu depuis des années et dont la construction vient d’être lancée.
Cette aversion pour les centres de données n’est pas le fruit du hasard : elle semble être, pour les citoyens, le seul moyen concret d’exprimer leur mécontentement face aux changements radicaux qu’entraîne l’IA. Au détriment de leur propre économie et de leur propre souveraineté en matière de données. On veut les services numériques d’une économie numérique moderne, on veut des sources d’énergie propres, mais surtout pas de centre de données ni d’éolienne chez moi.
L’attitude imprévisible de l’actuelle administration américaine montre à quel point l’exploitation de centres de données en Europe par des prestataires américains pose problème. Même si les filiales européennes de Microsoft ou de Google sont juridiquement distinctes de leurs sociétés mères américaines, nous avons dû constater que celles-ci accèdent sans autre aux données européennes lorsque le gouvernement américain serre la vis.
Alors que l’UE prône et impose la souveraineté des données, les États membres manquent de volonté politique pour mettre réellement en place les infrastructures nécessaires à cet effet. Le soutien apporté aux centres de données dans leur propre circonscription électorale est trop important et représente donc un risque trop grand pour leur réélection.
5. Sur le plan militaire
Depuis quelques jours, la nouvelle tactique de l’armée ukrainienne consiste à mener des attaques contre les centres de données du géant russe de l’Internet Yandex. Dès le printemps 2026, l’Iran avait déjà mené des attaques contre des centres de données d’AWS et d’Oracle à Bahreïn et aux Émirats arabes unis. Ces attaques ont entraîné la perte irrémédiable de données. La situation de Yandex en Russie est encore plus dramatique. Les centres de données y sont beaucoup plus concentrés et le groupe, sur lequel s’appuient des dizaines de milliers d’entreprises russes pour leurs applications métier, les chauffeurs de taxi et les services de livraison, l’ensemble de la logistique de la Fédération de Russie, mais aussi les services de télécommunications et d’Internet, ainsi que les services d’IA et la recherche sur Internet, exploite cinq grands centres de données concentrés. À ce jour, trois d’entre eux ont été détruits. Or, ceux-ci fonctionnaient déjà à 95 % de leur capacité, ce qui signifie que les centres restants ne peuvent pas compenser si facilement ces pertes. De plus, une reconstruction dans un délai court est impossible, d’autant plus que les sanctions occidentales rendent difficile l’approvisionnement en processeurs nécessaires à cet effet, et ce, uniquement à des prix exorbitants. La Fédération de Russie ne disposant pas de sa propre production de puces, elle dépend de fournisseurs étrangers.
À cela s’ajoute le fait que, d’une part, la législation russe interdit la sauvegarde de données dans des pays alliés et que, d’autre part, les sanctions occidentales rendent également impossible la sauvegarde de ces données de ce côté-là. L’une des conséquences immédiates, qui, pour une fois, ne touche pas uniquement les citoyens russes : les campagnes de désinformation et de fausses informations sur les réseaux sociaux occidentaux, orchestrées par des bots russes, ont chuté de près de 100 % suite à la destruction des centres de données de Yandex.
L’exemple de la Russie montre ainsi à quel point la quête de souveraineté en matière de données et l’absence de décentralisation des centres de données peuvent représenter un risque militaire considérable. Une souveraineté des données qui insiste sur l’exploitation de centres de données en Europe, mais qui ne prend pas en compte un tel scénario, engendre des risques. La mise en miroir des données et la mise en place de centres de données européens en dehors de l’UE, par exemple en Afrique, aux États-Unis, en Asie ou même dans l’espace (en orbite), ne devraient pas être taboues et devraient constituer un élément stratégique de la souveraineté et de la sécurité des données.
Conclusion
Considérer la souveraineté des données comme un simple défi juridique, sans tenir compte des aspects économiques, technologiques, politiques et militaires dans un contexte géopolitique tendu, nuit davantage à l’Europe qu’elle ne lui profite. L’aspect juridique passe au second plan face aux autres enjeux, mais cette prise de conscience n’a pas encore atteint les gouvernements et les entreprises européens.
Il faudrait se concentrer sur la manière dont l’Europe peut s’affranchir de sa dépendance vis-à-vis des fournisseurs américains dans les domaines des centres de données, des modèles d’IA, de la production de puces et des logiciels, et mettre en place un cadre financier, technique, réglementaire et entrepreneurial permettant de mettre fin à cette dépendance.