Cloud, local ou hybride en 2026 : 5 arbitrages de souveraineté pour une PME

La souveraineté numérique utile consiste à décider où placer chaque charge de travail à partir de risques explicites, car un cloud européen, une qualification SecNumCloud et un serveur local répondent à des besoins différents sans garantir à eux seuls sécurité, conformité ou disponibilité.

• Juridiction : qui peut légalement ordonner un accès, et qui détient les clés ou le contrôle technique ?
• Données : quels contenus, journaux, secrets et métadonnées quittent l’organisation ?
• Résilience : quelles dépendances peuvent interrompre le service, et quel plan de reprise a été testé ?
• Économie : quel est le coût complet par tâche acceptée sur la durée du contrat ?
• Crypto-agilité : quelles données doivent encore rester confidentielles après 2030 ?

1. Cartographier juridiction, contrôle et continuité

Le CLOUD Act crée un risque juridique réel mais conditionnel : l’article 18 U.S.C. § 2713 oblige un fournisseur couvert à répondre à une procédure américaine valable pour les données sous sa « possession, garde ou contrôle », y compris lorsqu’elles sont stockées hors des États-Unis.

• Un centre de données en France ne neutralise pas automatiquement la juridiction du fournisseur ou de sa maison mère.
• Le texte n’autorise pas un accès libre et systématique des autorités américaines : la nature de la demande, la juridiction et le contrôle effectif doivent être établis.
• Le RGPD continue de s’appliquer aux données personnelles ; une demande étrangère ne rend pas, à elle seule, leur transfert licite dans l’Union européenne.

Une PME peut transformer ce sujet juridique en exigences vérifiables dans son registre d’architecture et ses contrats, puis retenir le niveau de maîtrise adapté à la sensibilité de chaque traitement.

• Localisation : données actives, sauvegardes, journaux, administration et support.
• Contrôle : entités capables d’accéder aux données, gestion des clés et conditions de réquisition.
• Continuité : dépendances réseau, RTO/RPO, export des données, procédure de sortie et test de restauration.
• Assurance : preuves d’audit et qualifications pertinentes ; SecNumCloud ajoute notamment des exigences contre les lois extra-européennes, sans dispenser le client de ses contrôles.

2. Encadrer les données envoyées aux assistants de code

La politique GitHub entrée en vigueur le 24 avril 2026 distingue clairement les offres individuelles des offres d’entreprise, ce qui impose de vérifier le plan, le propriétaire du dépôt et le réglage de confidentialité avant de conclure qu’une interaction peut servir à l’entraînement.

• Individuel : Free, Pro et Pro+ participent par défaut avec possibilité de refus.
• Entreprise : Business, Enterprise et les dépôts détenus par une entreprise sont exclus du changement annoncé.
• Vérification : le réglage du compte et le contrat applicable restent les preuves à conserver.

Offre Copilot	Traitement annoncé des interactions pour l’entraînement	Action de contrôle
Free, Pro, Pro+ individuels	Utilisation par défaut des entrées, sorties, extraits de code et contexte associé	Refuser dans Settings → Privacy si ce traitement n’est pas souhaité
Business, Enterprise	Exclus du changement annoncé en mars 2026	Vérifier l’accord d’entreprise et les politiques du compte
Dépôt appartenant à une entreprise	Interactions exclues du programme annoncé	Confirmer la propriété et les règles de l’organisation

Le risque de propriété intellectuelle dépasse l’entraînement du modèle, car le service traite du contexte pour produire sa réponse et l’environnement de développement peut exposer des secrets, des dépendances ou des instructions malveillantes.

• Minimisation : exclure secrets, clés, données clients et dépôts sensibles du contexte envoyé.
• Rétention : documenter durées de conservation, localisation, sous-traitants et télémétrie.
• Chaîne logicielle : vérifier existence, éditeur, signature et réputation d’un paquet suggéré avant installation afin de limiter le slopsquatting.
• Agentivité : traiter fichiers, tickets et dépendances comme des entrées non fiables, limiter les permissions et faire approuver les actions à impact.
• Contrôle local : bloquer les sorties réseau non nécessaires, car un modèle sur site peut encore transmettre de la télémétrie ou appeler un service externe.

3. Adapter la défense à l’accélération des attaques assistées par IA

Le rapport GTIG du 11 mai 2026 documente un acteur utilisant un zero-day que Google estime développé avec l’aide de l’IA, une formulation qui établit une observation attribuée sans démontrer qu’un système autonome a conçu seul tout l’exploit.

• GTIG observe l’IA comme accélérateur de recherche de vulnérabilités, de développement d’outils et d’obfuscation.
• Le rapport décrit aussi CANFAIL et LONGSTREAM, dont le code leurre semble avoir été généré par LLM.
• L’effet opérationnel principal est une compression possible du délai entre découverte, exploitation et correction.

Réduire ce délai défensif exige des contrôles sur le code et les accès plutôt qu’une simple migration d’hébergement, car un serveur privé mal corrigé et exposé reste vulnérable.

• Inventorier les actifs accessibles, leurs dépendances et leur propriétaire opérationnel.
• Réduire l’exposition publique, les privilèges permanents et les secrets accessibles aux agents.
• Détecter les comportements anormaux avec journaux centralisés, alertes et règles testées.
• Corriger selon l’exploitabilité, l’exposition et l’impact métier.
• Répéter des exercices de restauration et de révocation des identifiants compromis.

4. Comparer les architectures avec un coût complet daté

La mise à jour Microsoft du 1er juillet 2026 illustre le risque de prix d’un abonnement, mais la comparaison doit conserver le périmètre officiel : prix catalogue commerciaux mensuels en dollars avec Teams, variations locales possibles et application aux clients existants lors du renouvellement.

• Date : 1er juillet 2026 pour les nouveaux achats, puis renouvellement pour les contrats existants.
• Périmètre : offres commerciales avec Teams présentées ci-dessous.
• Devise : dollars américains hors adaptation au pays, à la devise et au contrat.

Offre	Prix avant le 1er juillet 2026	Prix catalogue annoncé	Évolution annoncée
Microsoft 365 Business Basic	6 $	7 $	16 %
Microsoft 365 Business Standard	12,50 $	14 $	12 %
Microsoft 365 Business Premium	22 $	22 $	0 %
Microsoft 365 E3	36 $	39 $	8 %
Microsoft 365 E5	57 $	60 $	5 %

La fin de support d’Exchange Server 2016 et 2019 le 14 octobre 2025 impose une décision de migration, mais Microsoft cite deux familles de trajectoires qui doivent être comparées : Microsoft 365 et Exchange Server Subscription Edition.

• Chiffrer licences, migration, administration, sauvegardes, antispam, haute disponibilité et compétences internes.
• Comparer les fonctions requises, y compris sécurité, mobilité, archivage et collaboration.
• Tester la réversibilité et la restauration avant d’attribuer une valeur financière à la continuité.

4.1 Calculer le coût d’un LLM local, cloud ou hybride

Un LLM local n’a pas de facture variable par token, mais son coût complet inclut matériel, énergie, capacité inutilisée, exploitation, sécurité, redondance et renouvellement, tandis qu’une API ajoute ses tarifs de tokens, outils, stockage et trafic sortant.

• Mesurer la charge : tokens d’entrée et de sortie, pics, latence, disponibilité et volume de traitements acceptés.
• Mesurer la qualité : taux de réussite sur un jeu de cas métier, coût de revue humaine et besoin éventuel d’un modèle plus puissant.
• Calculer sur une période : coût local annualisé comparé à la facture cloud évitable, avec la même qualité et le même niveau de service.
• Valoriser séparément les contraintes : confidentialité, fonctionnement hors ligne ou latence peuvent justifier le local même sans économie directe.

Dans un scénario de cinq millions de tokens par mois à un prix hypothétique de 0,72 $ par million, la facture API atteint 3,60 $ par mois, ce qui exige d’autres motifs qu’une économie de consommation pour justifier un investissement local de 50 000 à 250 000 €.

• Un point mort crédible doit nommer le modèle cloud comparé, le mélange entrée-sortie et le taux d’utilisation du matériel.
• Une architecture hybride peut router les tâches simples vers un modèle compact et réserver l’API aux cas complexes, mais l’économie doit être mesurée sur les tâches acceptées.
• Il n’existe donc ni économie universelle de 90 %, ni délai de retour générique de 18 à 30 mois.

4.2 Évaluer les agents et la messagerie comme des services complets

Pour un agent ou une messagerie, le lieu d’hébergement ne suffit pas à démontrer souveraineté, conformité eIDAS, disponibilité ou coût inférieur, car ces résultats dépendent du contrat, de l’architecture, des opérations et du cas d’usage.

• Pour un agent, inclure orchestrateur, modèle, connecteurs, journalisation, contrôle humain, gestion des secrets et reprise après erreur.
• Pour la messagerie, inclure délivrabilité, archivage, antispam, sauvegarde, administration, support et continuité.
• Pour le juridique, vérifier rôles RGPD, transferts, sous-traitants et preuves applicables au service précis.
• Pour la décision, piloter une charge représentative puis comparer coût, qualité, risque et réversibilité sur la même période.

5. Planifier la migration post-quantique selon la durée de vie des données

Le scénario « stocker maintenant, déchiffrer plus tard » justifie de protéger en priorité les données dont la confidentialité doit durer, tandis que 2035 est un horizon de migration de la feuille de route européenne et non la date certaine d’arrivée d’un ordinateur quantique cryptographiquement pertinent.

• Inventorier les usages de RSA, de courbes elliptiques, les certificats, VPN, PKI, HSM, signatures et protocoles embarqués.
• Associer à chaque donnée sa durée de confidentialité ou d’authenticité requise, en signalant celles qui dépassent 2030.
• Identifier les dépendances fournisseurs, les possibilités de mise à jour et les cycles de renouvellement incompressibles.
• Prioriser les systèmes critiques et les flux susceptibles d’être captés aujourd’hui pour être déchiffrés plus tard.

Standards disponibles et trajectoire d’hybridation

Les trois standards NIST finalisés en août 2024 donnent des briques de référence pour l’encapsulation de clés et la signature, tandis que FN-DSA fondé sur Falcon reste en cours de normalisation dans FIPS 206 au 6 septembre 2026.

• Établissement de clés : ML-KEM est la brique finalisée.
• Signatures : ML-DSA et SLH-DSA sont finalisés avec des propriétés différentes.
• Alternative compacte : FN-DSA n’est pas encore un standard final.

Algorithme normalisé	Usage	Statut NIST
ML-KEM, issu de CRYSTALS-Kyber	Établissement de clés	FIPS 203 final
ML-DSA, issu de CRYSTALS-Dilithium	Signature numérique	FIPS 204 final
SLH-DSA, issu de SPHINCS+	Signature fondée sur le hachage	FIPS 205 final
FN-DSA, issu de Falcon	Signature compacte	FIPS 206 en développement

Jalons ANSSI et européens à distinguer

Les dates publiques structurent un programme de migration graduelle selon les risques et le périmètre réglementaire, sans créer une obligation identique pour toutes les PME.

• À partir de 2027 : l’ANSSI vise des obligations PQC pour l’entrée en qualification des produits, et non le retrait de tous les produits déjà qualifiés.
• Après 2030 : l’ANSSI estime déraisonnable l’achat de produits sans PQC et demande d’anticiper les données à protéger au-delà de cette date.
• D’ici 2030 puis 2035 : la feuille de route européenne organise en priorité les cas à haut risque, puis les cas à risque intermédiaire.
• Pendant la transition : l’ANSSI recommande fortement l’hybridation classique et post-quantique lorsqu’une protection quantique est nécessaire.

La crypto-agilité se mesure à la capacité de remplacer un algorithme ou un protocole sans reconstruire le système, ce qui dépend davantage de l’inventaire, des interfaces et des contrats que du seul choix cloud ou local.

• Prévoir versions d’algorithmes, rotation de clés et renouvellement des certificats sans dépendance codée en dur.
• Tester tailles de clés et signatures, fragmentation réseau, performance, HSM et compatibilité des équipements.
• Exiger une feuille de route PQC datée des fournisseurs et une clause de mise à jour ou de sortie.

Conclusion : cinq décisions, une architecture par risque

La décision robuste attribue chaque traitement à l’environnement qui satisfait ses contraintes documentées, puis réévalue ce choix à chaque renouvellement de contrat, changement de menace ou évolution réglementaire.

• Établir les contraintes avant de sélectionner un fournisseur ou du matériel.
• Conserver les preuves techniques, juridiques et financières ayant motivé le choix.
• Programmer une revue lorsque l’une de ces preuves change.

Décision	Question de preuve	Option possible
Juridiction	Qui contrôle les données et sous quelles lois ?	Cloud public, offre qualifiée, privé ou local
Données de code	Qu’est-ce qui est envoyé, conservé ou réutilisé ?	Paramètres, contrat entreprise, isolement local
Cybersécurité	Quels actifs sont exposés et combien de temps faut-il pour corriger ?	Durcissement, segmentation, détection, reprise
Coût	Quel coût complet par tâche acceptée ?	SaaS, API, local ou routage hybride
Post-quantique	Combien de temps les données doivent-elles rester protégées ?	Inventaire, hybridation et renouvellement planifié

La Méthode Junyr™ traite ainsi la souveraineté comme un arbitrage d’architecture gouverné par les données, les risques et l’économie, avec SecNumCloud lorsqu’une qualification répond au besoin, du local lorsqu’il apporte un contrôle utile et de l’hybride lorsque les charges ont des contraintes différentes.

• Classifier avant de migrer.
• Demander des preuves contractuelles et techniques avant d’accepter une promesse commerciale.
• Mesurer une charge représentative avant de chiffrer un retour sur investissement.
• Conserver une voie de sortie testée pour les données, les modèles et les opérations.

Situer votre prochain arbitrage en 30 minutes

Réservez l’audit de maturité IA Junyr : une visio gratuite de 30 minutes, sans engagement, pour situer votre prochain chantier.

---

Paul-Antoine TUAL · AI Transformation Leader · Fondateur de Croissance & Transitions et de la Méthode Junyr™

Sources

• 18 U.S.C. § 2713 — données sous possession, garde ou contrôle
• ANSSI — FAQ SecNumCloud
• CNIL — sécurité dans le cloud
• GitHub — mise à jour 2026 de l’utilisation des interactions Copilot
• Google Threat Intelligence Group — suivi des menaces IA, 11 mai 2026
• Microsoft — tarifs et périmètre Microsoft 365 au 1er juillet 2026
• Microsoft — fin de support d’Exchange Server 2016 et 2019
• ANSSI — FAQ sur la cryptographie post-quantique
• Commission européenne — feuille de route de transition post-quantique
• NIST — standards FIPS 203, 204 et 205