Le CADA doit sortir de la logique du volontariat

“La dépendance européenne au cloud relève d'abord d'une défaillance de marché avant de constituer un problème de sécurité”.  La formule ouvre le rapport Open Source First & the Architecture of European Sovereignty, publié par l'Open Source First Coalition. L’organisation entend réformer le Cloud and AI Development Act (CADA), présenté début juin par la Commission européenne. Plus de 130 entreprises, dont SUSE, Nextcloud, OpenNebula et OpenProject, y défendent cinq amendements. Leur conviction, le CADA ne modifiera pas le fonctionnement du marché tant qu'il ne changera pas les règles de la commande publique. La coalition ne conteste pas l'ambition du règlement. Elle estime que son diagnostic s'arrête au milieu du gué. Selon elle, la dépendance européenne ne résulte pas d'un déficit technologique. Elle découle d'un marché verrouillé par les coûts de sortie, les dépendances propriétaires et des procédures d'achat qui reconduisent les fournisseurs historiques. "Aucun mécanisme n'oblige aujourd'hui les acheteurs publics à examiner une solution open source en premier”, a expliqué Andreas Prins, responsable mondial des solutions souveraines chez SUSE. Cette absence d'obligation entretient le verrouillage du marché.

Les coûts de migration augmentent au fil des années. Les alternatives perdent en visibilité. Les administrations renouvellent leurs contrats avec les mêmes acteurs. “Le paquet européen représente un immense pas en avant”, a reconnu Andreas Prins. Le rapport ne réclame pourtant ni quotas ni subventions. Il défend un changement de méthode. Faire de la commande publique la cheville ouvrière de la politique industrielle européenne. 

De l’incitation à l’obligation 

Le désaccord ne porte pas sur l'ambition du Cloud and AI Development Act. Il porte sur sa traduction juridique. “Le texte va dans la bonne direction, mais il ne va pas assez loin”, a estimé le responsable mondial des solutions souveraines. L'article 41 du règlement "encourage" les acheteurs publics à privilégier les solutions open source lorsqu'elles répondent aux besoins exprimés. Pour la coalition, cette rédaction se limite à une logique d'incitation dont l'expérience a déjà montré ses limites. France, Allemagne, Italie ou Pays-Bas ont tous inscrit l'open source dans leurs stratégies publiques. Mais aucun n'a durablement rééquilibré le marché. Pourquoi ? Tout simplement parce que les administrations peuvent toujours écarter une solution open source sans avoir à s'en expliquer. Une traçabilité sacrifiée sur l’autel d'une liberté d’achat devenue anachronique. Une liberté... ou plutôt le droit de perpétuer la rente des fournisseurs historiques. Leur proposition consiste donc à remplacer cette recommandation par un mécanisme de comply or explain. Chaque acheteur public devrait examiner une solution open source avant toute offre propriétaire et motiver son arbitrage dans un document auditable. “Nous ne retirons aucune option. Nous changeons simplement le menu”, a expliqué Andreas Prins.

La coalition ne cherche pas à imposer une technologie. Les fournisseurs propriétaires resteraient éligibles, mais les solutions ouvertes deviendrait le point de départ de l'analyse. “Il faut créer un mécanisme qui oblige les acheteurs publics à examiner l'open source en premier”, a ajouté Andreas Prins. L'objectif n'est donc pas d'imposer un résultat, mais de modifier la procédure qui y conduit. 

L’Europe vend des briques, les GAFAM vendent un marché 

La réforme proposée par la coalition se heurte pourtant à une objection immédiate. Les administrations européennes ne peuvent pas acheter ce qui n'existe pas. Aucun acteur ne propose aujourd'hui l'équivalent d'AWS, d'Azure ou de Google Cloud. Plus encore, aucun guichet unique ne permet d'assembler simplement des solutions souveraines issues de plusieurs éditeurs. “Aujourd'hui, il n'existe pas d'équivalent européen à AWS Marketplace”, a matelé Andreas Prins, responsable mondial des solutions souveraines chez SUSE. Ce constat nourrit l’amendements sur l’article 43 du CADA. Le texte y propose de créer un catalogue européen des solutions open source. La coalition, elle, réclame une marketplace appuyée sur EuroStack et les alliances d’acheteurs. Les administrations pourraient y retrouver des offres qualifiées, compatibles entre elles et directement achetables. L'enjeu dépasse la visibilité commerciale.

Les grands fournisseurs vendent déjà un écosystème complet. Les acteurs européens vendent encore des briques éparses. “Plus de 140 entreprises collaborent déjà à cette initiative. Nous voulons aboutir dans les douze à vingt-quatre prochains mois”, a précisé Andreas Prins. La coalition ne promet pas un hyperscaler européen. D’après lui, quatre-vingts pour cent des charges de travail resteraient chez les hyperscalers. L'objectif n'est donc pas de les remplacer, mais de permettre aux administrations de déplacer les charges critiques lorsque les circonstances l'imposent. 

Financer les sorties 

Le financement concentre désormais les désaccords. La Commission s'interroge sur la qualité des solutions, leur capacité à monter en charge et le coût d'une migration à grande échelle. “Le coût d'entrée chez un hyperscaler reste très faible. Le coût pour en sortir devient, lui, extrêmement élevé”, a fait valoir Andreas Prins. Les coûts de sortie verrouillent les dépendances. Ils privent les fournisseurs européens des premiers contrats. Et donc, de la croissance nécessaire à leur crédibilité. Le rapport mise donc sur des anchor clients.Autrement dit, s'appuyer sur quelques administrations capables, par leurs premiers contrats, de donner aux fournisseurs européens la taille critique nécessaire pour convaincre d'autres clients. “Nous ne demandons pas de financer les entreprises. Nous nous demandons si l'Union européenne ne devrait pas financer les migrations afin de faire émerger un écosystème”, a plaidé Andreas Prins. Le fonds proposé couvrirait les audits, les migrations, la formation et les coûts de sortie. Pas les éditeurs. Le rapport invoque la directive PSD2, qui avait ouvert le marché bancaire sans subventionner les nouveaux entrants. L'analogie trouve vite ses limites. PSD2 imposait des obligations aux banques. L'Open Source First modifierait les règles de la commande publique. Dans les deux cas, il s'agit de lever une barrière à l'entrée pour rendre le marché de nouveau contestable. L'affaire VMware a rappelé que le véritable verrou n'est pas toujours technologique, mais bien souvent économique. Tant que la commande publique refusera de déboulonner les positions acquises, la souveraineté européenne restera un vœu pieux. Et le CADA risque, lui, de rater son rendez-vous avec l'histoire.