Un petit article de fond pour changer de tous les sujets tech que vous subissez sur vBlog. Bon, je ne suis ni juriste ni expert de ce genre de choses, ceci dit, tout ce qui tourne autour de la souveraineté m’intéresse, donc j’ai tenté à mon petit niveau d’extraire des recommandations, directives, phrases dont on pourrait débattre dans les discussions internes que l’on a forcément à ce sujet. C’est pas mal dans les diners mondains en tout cas 🙂
Le 3 juin 2026, la Commission a sorti son Cloud and AI Development Act, le CADA pour les intimes, une sorte de grand plan pour un cloud et une IA made in Europe. Côté presse, « l’article 41 » est présenté comme un « open source first » pour les achats publics (pour ce que j’ai pu voir et lire en tout cas). Côté texte, la réalité est plus nuancée je pense, et c’est ce que je vous propose de décortiquer un peu.
Pour un architecte qui construit des plateformes Proxmox, Kubernetes ou autre, la question est réelle : cet article change-t-il la façon dont un acheteur public arbitre entre une stack open source et une stack propriétaire ?
Ce que dit le texte (de ce que j’ai compris)
On nous a vendu un « open source first », et quand on ouvre le texte, l’article 41 fait un peu « les gars, c’est bien, continuez comme ça » (je l’ai d’ailleurs dit dans le titre de la partie suivante, ça colle bien). En clair : l’UE et les pays membres doivent pousser les administrations vers l’open source, sans jamais les y obliger, du moment qu’elles peuvent justifier leur choix (sécurité, coût, fonctionnalités). Et rien là-dedans sur les achats publics, c’est ailleurs que ça se joue.
Bref, on est dans l’encouragement, pas dans l’obligation. Certains médias sont plus catégoriques (Open Source For You parle de « would require »), mais quand on lit l’article lui-même, ça ne tient pas.
Autour de l’article 41, le texte ajoute du concret mais léger : les initiatives « Cloud and AI Leadership » doivent promouvoir les technologies fondées sur des standards ouverts, des spécifications ouvertes et l’open source, et créer un catalogue d’outils logiciels incluant l’open source ; l’accès au code source permet l’auditabilité, favorise la réutilisation et réduit la dépendance à un fournisseur unique ; chaque État membre devrait adopter une stratégie nationale soutenant des stacks « built upon open hardware and software » ; Jones Day mentionne aussi un investissement de 2 Md€ dans la stratégie open source de l’UE (maintenance, accélérateurs, je sais pas ce que çan veut dire, personnellement, « Open Internet Stack »). On a pas le détail sur où ni comment ces 2 myards seront employés … (pas retrouvé dans le texte)
Pondération, préférence ou simple encouragement (style : c’est bien les gars, continuez comme ça) ?
Pas de barème là-dedans, l’open source first ressemble plus à une orientation qu’à une règle de notation. Le seul chiffre que j’ai trouvé concerne autre chose : la « valeur ajoutée européenne » dans les appels d’offres, plafonnée à 15 points sur 120 (et encore, le texte parle d’une possibilité, pas d’une obligation). J’ai relu les critères : l’open source n’y figure pas … mouaaais
Reste le « dûment justifié » du texte : l’acheteur garde la main tant qu’il explique ses choix (fonctionnalités, sécurité, coût). Et comme le droit de la commande publique reste neutre côté technologie, difficile d’écarter le propriétaire d’office dans un appel d’offres. Ça, c’est mon analyse, pas le texte … forcément 🙂
Et en France ?
La France a déjà une doctrine de préférence, sans contrainte forte : une circulaire du Premier ministre de 2021 (Jean Castex) relançait l’usage des logiciels libres et de l’open data dans l’administration (article de Next), et le socle interministériel de logiciels libres (SILL) sert de référentiel aux administrations.
Ceci étant : SecNumCloud 3.2 (arrêté du 12 août 2026) porte sur la qualification du fournisseur (sécurité, protection contre les droits extra-européens) … bon apparemment ce n’est pas si simple que ça d’après ce que j’ai pu lire …. on s’enlise …
Par ailleurs Le CADA européen vise le modèle logiciel (open source) et la transparence de la chaîne d’approvisionnement, en plus de la nationalité et du contrôle du fournisseur.
Un fournisseur peut donc être qualifié SecNumCloud tout en reposant sur des briques propriétaires, et c’est justement là que le CADA met son nez, mais avec le SBOM et l’audit de code, pas avec l’article 41.
Et concrètement ça donne quoi ?
L’effet pratique ne vient pas vraiment de l’article 41 mais des niveaux de souveraineté, qui classent les offres cloud de 1 à 4. Dès le niveau 2, le fournisseur doit fournir un SBOM complet et laisser auditer le code de ses composants de sécurité venant de fabricants hors UE. Au niveau 4, il doit même prouver qu’aucun pays tiers ne contrôle vraiment la conception et la maintenance de ses composants.
Et concrètement, pour une stack de virtualisation ou de conteneurs ?
Hyperviseur et orchestrateur : KVM/QEMU, libvirt, Kubernetes, containerd partent avec un avantage d’auditabilité (code lisible, SBOM générables). Un hyperviseur propriétaire devrait fournir un accès au code ou une garantie équivalente pour viser les niveaux supérieurs.
SBOM de bout en bout : c’est dans la proposition dès le niveau 2, donc il faut pouvoir produire une nomenclature complète, images de conteneurs et dépendances transitives comprises … bon courage !
NDLR : c’est quoi un SBOM ? C’est la liste d’ingrédients d’un logiciel : tous les composants et dépendances qu’il embarque, avec leurs versions et leur origine. Un peu comme l’étiquette au dos d’un paquet de gâteaux, sauf qu’ici on découvre qu’il y a 400 ingrédients ^^ . Pour une stack Proxmox ou Kubernetes, ça veut dire sortir la liste de l’hyperviseur, de l’orchestrateur et de toutes les images de conteneurs qui tournent dessus.
Stockage et SDN : le sujet est plus flou. Les piles Ceph ou OVN/OVS s’alignent bien, mais les offres propriétaires de stockage ou de SDN embarquées dans un cloud public devront documenter leur chaîne logicielle.
Maintenance : « open source first » ne résout pas la question du support et de la durée de vie des composants. L’investissement européen annoncé (2 Md€) vise la maintenance, mais son calendrier et ses termes exacts restent à préciser à mon avis.
Ce qu’il reste à trancher
Pour finir : le CADA n’est qu’une proposition de la Commission. Il doit encore passer en trilogue (NDLR : la négociation à trois entre la Commission, le Parlement européen et les États membres, où on se dispute le texte article par article avant le vote final. Je vous dis, ça fait bien dans un dîner d’affaires), sans date annoncée. Autrement dit, le « encourager » de l’article 41 peut encore devenir plus costaud, plus mou, ou disparaître en route. Pour l’instant, c’est un coup de pouce, pas une règle. J’avoue que malgré les nombreuses lectures que j’ai pu faire depuis 15 jours … j’ai l’impression d’être dans un autre monde :(.
On n’est pas sorti du sable … Vos avis en commentaires ! ^^
Références
– The EU Cloud and AI Development Act in Depth – Inside Global Tech (11 juin 2026)
– European Commission’s Proposed Cloud Sovereignty Framework – Jones Day (juin 2026)
– Open-Source-First Procurement Policy Proposed By EU – Open Source For You (4 juin 2026)
– Proposition COM(2026) 502 – texte de la Commission sur EUR-Lex (juin 2026)
– Castex signe une circulaire pour relancer l’open data et les logiciels libres – Next