Friedrich Merz et le mirage du cloud américain déconnecté

Interrogé lors du Digital-Gipfel (Sommet du numérique) sur ses ambitions et sur le projet des services de renseignement allemands qui prévoient de développer leur nouvelle solution de cloud déconnecté (offline) en partenariat avec Google, Friedrich Merz a insisté sur le fait « que Google investit également en Allemagne et en Europe, et que nous pouvons concrétiser une souveraineté européenne ici avec un fournisseur américain ». L’Allemagne s’appuie sur l’argument d’un cloud déconnecté pour contourner les leviers juridiques américains, mais cette garantie reste fragile.

Le chancelier allemand a ainsi indiqué en début de semaine que Google représentait un partenaire fiable et souverain pour le cloud européen. Cet élan d’atlantisme s’inscrit dans un contexte plus large : l’entreprise, qui a annoncé le 11 novembre 2025 un investissement de 5,5 milliards d’euros étalé sur la période 2026-2029 dans ses infrastructures et ses bureaux en Allemagne, figure parmi les acteurs majeurs des investissements directs à l’étranger (IDE) destinés à soutenir l’emploi et l’industrie sur le territoire allemand.

Cependant, une question se pose : un cloud fourni par Google peut-il être souverain ? L’entreprise demeure pleinement soumise à l’État fédéral américain, et ce pour deux raisons principales.

Le CLOUD Act dispose que la justice américaine peut contraindre tout fournisseur de services de communication ou de cloud soumis à la juridiction des États-Unis à transmettre des données, quel que soit l’emplacement physique des serveurs (qu’elles soient hébergées aux États-Unis ou à l’étranger).

La section 702 de la FISA (Foreign Intelligence Surveillance Act) autorise les agences de renseignement américaines (telles que la NSA ou le FBI) à intercepter et collecter les communications électroniques de personnes non américaines situées hors du territoire des États-Unis. Dès lors que les données transitent par un serveur américain ou sont gérées par un prestataire de télécommunications ou de cloud américain, elles tombent sous le coup de ces programmes de surveillance, sans mandat judiciaire individuel préalable.

Même sans connexion réseau directe, les régulateurs européens de la cybersécurité (notamment l’ANSSI en France) soulignent plusieurs points de friction.

La dépendance technologique : le logiciel, le code source et les correctifs (patchs) de sécurité restent la propriété intellectuelle de Google LLC.

L’obligation de coopération : la section 702 peut contraindre une entreprise américaine à fournir une « assistance technique » aux autorités.

L’absence d’immunité formelle : Google LLC restant une société de droit américain, elle n’est pas « immunisée » par décret ; elle utilise simplement une architecture matérielle qui rend l’interception directe impraticable.

L’inapplication de ces mécanismes repose donc uniquement sur la bonne foi de l’État fédéral américain.