Cloud de confiance et SecNumCloud : guide pour ton SaaS
Début octobre 2026, l'actualité française a donné le ton. Le 8 octobre, G7 (la compagnie de taxis) annonce un partenariat avec S3NS pour déployer ses usages data et IA dans un environnement qualifié SecNumCloud 3.2. Dans la foulée, Cloud Temple prend la tête d'un consortium soutenu par France 2030.
Pour toi qui construis un SaaS, ce n'est pas du discours sur la souveraineté. Ça touche directement tes appels d'offres, ton architecture et ta facture cloud.
Ce que montre le cas G7
Le groupe a retenu PREMI3NS, l'offre de cloud de confiance de S3NS. S3NS est une société française contrôlée par Thales qui repose sur les technologies Google Cloud. Son offre a obtenu la qualification SecNumCloud 3.2 en décembre 2025.
Le point important : G7 n'a pas tout migré. Il garde une partie de ses données dans ses propres datacenters et utilise le cloud qualifié pour les traitements intensifs et l'IA. C'est une architecture hybride, pas un basculement complet.
Les premiers usages annoncés :
- un agent vocal pour les chauffeurs, dont les premiers véhicules doivent être équipés d'ici fin 2026 ;
- l'analyse de plus d'un million d'évaluations clients par an ;
- le suivi d'activité en temps réel et l'amélioration des prévisions.
Le consortium Cloud Temple : une filière qui se structure
Le consortium réunit Cloud Temple, Thales, Bull, Vates et le CEA, dans le cadre de l'appel à projets « Renforcement de l'offre de services cloud » opéré par Bpifrance. Le financement : 20 M€ de France 2030, pour 47 M€ mobilisés d'ici fin 2028, le reste venant des partenaires industriels.
Ce qui nous intéresse ici : le périmètre ne se limite pas à l'hébergement. Il couvre les infrastructures de calcul, la virtualisation, la cybersécurité et le contrôle des logiciels d'administration. Pour un SaaS, cela signifie plus d'options françaises à comparer dans les années qui viennent. On voit d'ailleurs apparaître d'autres offres du même type, comme celle d'Orange autour de SecNumCloud ou l'offre hybride d'IONOS Cloud avec Softeam.
Le bémol, comme le souligne la presse spécialisée : ces offres doivent encore passer de projets à services commercialisables, à des conditions économiques compétitives. Compare les prix réels, pas les slides.
Le contexte : des capex qui explosent
David Linthicum (InfoWorld, 16 octobre 2026) estime que les cinq plus gros acteurs cloud et IA (Microsoft, Alphabet, Amazon, Meta, Oracle) prévoient entre 660 et 690 Md$ d'investissements en 2026, presque le double de 2025. Résultat : tensions sur la capacité, hausse des prix et délais allongés.
Son conseil, qui est une opinion et pas un fait établi : ne pas s'engager sur des capacités long terme que la demande ne justifie pas, et garder une architecture qui permet de changer de fournisseur. C'est exactement le terrain du reste de cet article.
Étape 1 : classer tes données avant de choisir
Commence par un inventaire simple, par niveau de sensibilité :
- Données publiques ou produit : un hébergement européen standard suffit souvent.
- Données personnelles de tes clients : RGPD, contrats de sous-traitance, localisation en Union européenne.
- Données sensibles ou d'administration publique, secteurs régulés : une qualification de type SecNumCloud est souvent exigée par l'acheteur, à vérifier dans le cahier des charges.
Si tu ne sais pas quel niveau s'applique, c'est que tu n'as pas encore fait l'étape 1. Ne choisis pas ton cloud avant.
Étape 2 : raisonner en architecture hybride
Le cas G7 donne un pattern réutilisable :
- Le noyau sensible (données, clés, authentification) reste sur l'environnement qualifié.
- Les traitements lourds ou l'IA tournent là où c'est le plus efficace, sous contrôle.
- Les échanges entre les deux zones passent par des flux explicites, avec données pseudonymisées quand c'est possible.
- Les identités, les clés de chiffrement et les journaux d'audit sont gérés et centralisés, et ne dépendent pas d'un seul fournisseur.
Étape 3 : rendre la sortie possible
Un fournisseur qualifié aujourd'hui peut ne plus l'être dans trois ans, ou ne plus répondre à tes besoins. Prépare la sortie dès maintenant :
- limite les services managés propriétaires dans le cœur métier quand un équivalent standard existe ;
- conteneurise les services et décris l'infrastructure en code, versionnée dans Git ;
- garde des sauvegardes hors du fournisseur principal ;
- teste au moins une fois par an un déploiement complet sur un second environnement.
Une sauvegarde non testée n'est pas une sauvegarde. Une sortie non testée n'est pas une option.
Étape 4 : négocier avec des questions précises
Avant de signer, demande au fournisseur :
- les certifications ou qualifications valides, avec leur périmètre exact ;
- la localisation des données, des sauvegardes et des sous-traitants ;
- les conditions de réversibilité (format des données, délais, coûts de sortie) ;
- les SLA réels de disponibilité et de restauration ;
- les engagements de capacité réservée, et ce qui se passe si ta demande baisse.
Checklist
- Inventorier les données par niveau de sensibilité
- Lister les clients et appels d'offres qui exigent une qualification
- Identifier les services propriétaires dans le cœur applicatif
- Vérifier qu'un déploiement sur un second environnement est faisable
- Tester une restauration de sauvegarde ce trimestre
- Revoir les engagements de capacité avant toute signature
Conclusion
La souveraineté n'est pas un label qu'on achète. C'est une architecture et une discipline de sortie. Le cas G7 montre le bon réflexe : hybride, ciblé, mesuré. Et si tu veux savoir où ton infrastructure actuelle se situe par rapport à cette grille, c'est précisément le type d'audit qu'on mène chez KODY.
Sources : Le Monde Informatique (articles sur G7 et S3NS, et sur Cloud Temple, octobre 2026) ; InfoWorld, « The $690 billion cloud spending spree », 16 octobre 2026.
