58 % des entreprises françaises naviguent sans stratégie de souveraineté 

La souveraineté des données inquiète les entreprises françaises, sans pour autant s'imposer dans leur gouvernance. Selon le volet français du Global Data Sovereignty Report 2026, réalisé par Vanson Bourne pour Everpure auprès de 300 organisations et publié le 16 octobre, 93 % des répondants anticipent des conséquences financières ou réputationnelles importantes en cas de défaillance. Pourtant, 58 % ne disposent d'aucune stratégie formalisée et 62 % déclarent manquer de visibilité et de contrôle sur les personnes susceptibles d'accéder à leurs données ou de les administrer. Plus préoccupant encore, la même proportion n'a prévu aucune stratégie d'atténuation des risques d'exfiltration liés aux tensions géopolitiques ou d'interruption de service. Ces résultats révèlent néanmoins un décalage entre la perception du risque et sa traduction en mesures opérationnelles.
Le risque géopolitique relégué au second plan

Ce défaut de préparation tient aussi à la hiérarchie des menaces retenue par les entreprises. La cybersécurité constitue le premier moteur de leurs initiatives de souveraineté, citée par 41 % des répondants, devant l'adoption de l'IA (39 %) et les obligations réglementaires (33 %). À l'inverse, seuls 28 % considèrent les perturbations de service liées aux incertitudes politiques ou économiques mondiales comme un facteur déterminant. Plus révélateur, 7 % seulement font de la protection contre les demandes d'accès des gouvernements étrangers une priorité majeure, tandis que 11 % accordent cette importance à la réduction de leur dépendance aux fournisseurs technologiques étrangers. Un angle mort pour les DSI et RSSI, alors que l'hébergement des données sur le territoire européen ne suffit pas à écarter les risques d'accès extraterritorial. La juridiction applicable au fournisseur, ses sous-traitants et les conditions d'administration des infrastructures entrent également en ligne de compte.

Le cloud souverain gagne du terrain

Malgré ces lacunes, les arbitrages technologiques commencent à évoluer. D'après l'enquête, 81 % des organisations françaises accepteraient de renoncer à certaines fonctionnalités avancées pour privilégier un fournisseur cloud local ou souverain. Une disposition déclarée, à distinguer des décisions d'achat effectives. Dans les faits, 34 % limitent déjà l'utilisation de plateformes SaaS reposant sur des infrastructures d'hébergement étrangères. Par ailleurs, 37 % affirment avoir transféré la majorité ou la totalité de leurs données vers des infrastructures locales ou souveraines. Cette proportion pourrait atteindre 53 % d'ici trois ans, selon les projections recueillies. Le mouvement reste donc progressif et ne garantit pas une maîtrise complète des données. "la souveraineté ne concerne pas uniquement le lieu où les données sont stockées", souligne Alex McMullan, directeur technologique international d'Everpure. La capacité à contrôler les accès, les transferts et la continuité des services demeure tout aussi déterminante.

Du lieu de stockage à la maîtrise des accès

Cette distinction impose aux entreprises de dépasser la seule question de la localisation des infrastructures. La réglementation européenne, notamment le RGPD, encadre déjà les transferts de données personnelles hors de l'Espace économique européen, sans supprimer à elle seule les risques de dépendance technologique ou d'interruption de service. Pour les directions informatiques, l'enjeu consiste à cartographier les données sensibles, identifier les juridictions applicables et vérifier les possibilités de réversibilité auprès des fournisseurs. Everpure préconise une approche dite sovereign by design, fondée sur des contrôles adaptés à la criticité des données et des applications. L'enquête ne mesure toutefois ni le coût des migrations ni l'efficacité des stratégies déjà engagées. Elle laisse surtout apparaître une faiblesse persistante dans la maîtrise des accès, bien avant la question du choix d'un cloud souverain.