Cartographier la position réelle d’une entreprise suppose de changer d’échelle. Dans le premier volet des Quatre géographies de l’entreprise, nous avons proposé une carte d’ensemble de la géographie stratégique de l'entreprise : siège, implantations, chaîne de valeur et géographie numérique. Cette nouvelle série zoome sur une fraction de la quatrième géographie : le cloud.
Nous avons choisi ici d’aborder le cloud par sa fonction historique et centrale de stockage et d’accès aux données. Il faut toutefois noter qu'il est aujourd’hui profondément intriqué au reste de l’architecture numérique et que ses fonctions se sont considérablement étendues. Les isoler les unes des autres relève d’un choix d’analyse, non d’une séparation technique. Il s’agit de rendre visibles, couche après couche, les dépendances géographiques et stratégiques que la fluidité du numérique tend précisément à effacer.
Cette cartographie s’inscrit ainsi dans le principe de lucidité offensive. Dans une mondialisation plus fragmentée et conditionnelle, comprendre sa position et ses dépendances n’est pas une fin en soi. C’est le point de départ de l’action.
Dans Les quatre géographies de l’entreprise, nous proposions de regarder l’entreprise contemporaine à travers quatre géographies : celle de son siège, de ses implantations, de sa chaîne de valeur et enfin sa géographie numérique. C’est dans cette dernière que se trouvent ses données, les infrastructures qui les hébergent et les capacités de stockage qu’elle mobilise pour les entreposer.
Cette quatrième géographie a une particularité, presque un paradoxe. Elle est celle que nous utilisons le plus au quotidien tout en étant celle que nous voyons le moins.
Le numérique ne nous apparaît que par ses usages. Nous ouvrons une application, nous interrogeons une IA, nous partageons un document avec l’équipe afin de pouvoir le modifier à plusieurs en temps réel, ou nous retrouvons instantanément une photographie prise plusieurs années auparavant. Entre le terminal que nous avons devant nous et le service auquel nous accédons, l’infrastructure a complètement disparu.
Le cloud pousse cette abstraction encore plus loin. Son nom suggère un espace sans territoire et sans réalité matérielle, disponible partout sans vraiment n’être situé nulle part. Pourtant, les données que nous lui confions ne flottent pas dans un nuage. Elles sont stockées, déplacées, répliquées et sécurisées par des infrastructures physiques, exploitées par des organisations, financées par du capital, alimentées en énergie et soumises à des juridictions.
Derrière le cloud se trouve une véritable géographie physique matériellement présente sur un territoire, et souvent même plusieurs. C’est cette sous-carte de la géographie numérique que nous allons commencer à dessiner.
Derrière le nuage, la réalité matérielle
Une donnée dans le cloud est toujours physiquement stockée quelque part.
Avant de pouvoir offrir des services cloud au grand public il faut d’abord des centres de données et des serveurs pour conserver les données, puis des réseaux pour les rendre accessibles. Il faut aussi des processeurs, de la mémoire et des systèmes de refroidissement pour que l’ensemble fonctionne correctement. Derrière ces équipements se trouvent à leur tour des fabricants de semi-conducteurs, des équipementiers, des matériaux, des ressources critiques et des chaînes industrielles souvent très profondes.
En apparence, le numérique éclipse le monde matériel, mais on aurait tort de s’y laisser tromper. La profondeur matérielle du numérique ne s’arrête d’ailleurs pas à l’industrie. Les infrastructures doivent être alimentées en énergie en permanence. En Irlande, où se sont concentrés de nombreux centres de données, ils représentaient 5 % de la consommation électrique en 2015. Dix ans plus tard, leur part atteignait 22 %, soit davantage que l’ensemble des logements urbains du pays.
À cette chaîne industrielle et énergétique s’ajoute celle des réseaux. Une donnée doit être répliquée dans plusieurs centres de données distants les uns des autres mais doit simultanément paraître disponible partout. Pour cela, elle doit circuler rapidement entre tous les sites où elle existe. Câbles terrestres et sous-marins, points d’interconnexion et réseaux télécoms constituent donc une autre partie de cette infrastructure.
Enfin vient le capital. Les centres de données, les réseaux et les infrastructures énergétiques doivent être construits et donc financés. Entreprises privées, investisseurs institutionnels, fonds souverains, États et institutions financières peuvent ainsi intervenir directement ou indirectement dans des infrastructures situées parfois très loin de leur propre territoire.
La géographie du cloud commence donc par des acteurs. Certains produisent les composants dont dépend l’infrastructure. D’autres la financent. D’autres encore la possèdent ou l’exploitent. Et au bout de cette chaîne se trouvent les entreprises capables d’agréger ces différentes capacités pour les proposer à grande échelle : on les appelle les hyperscalers.
Leur nombre est limité. Au deuxième trimestre 2026, AWS (Amazon) représentait 28 % du marché mondial des infrastructures cloud, Microsoft 20 % et Google 15 %. À eux trois, ils concentraient donc près des deux tiers d’un marché qui atteignait 143 milliards de dollars par trimestre.
Ce n’est pas la concentration du marché qui est surprenante, mais ce que cela tend à dévoiler. Derrière l’apparente ubiquité du cloud, une part importante de l’infrastructure repose sur un nombre très réduit d’acteurs.
L’infrastructure devient un accès
Au sommet de la première couche se trouvent donc les hyperscalers. Ils disposent de capacités considérables qu’ils commercialisent comme des grossistes du cloud. D’autres entreprises louent leurs infrastructures pour construire leurs propres services cloud.
C’est donc ici qu’apparaît la deuxième couche de notre carte du cloud, celle des fournisseurs d’accès et de services.
Certains de ces fournisseurs appartiennent aux hyperscalers eux-mêmes. D’autres sont indépendants et ne possèdent pas les infrastructures sur lesquelles ils s’appuient. Ils achètent des capacités en amont pour proposer en aval des services de stockage, de sauvegarde, de synchronisation, de partage ou de sécurisation des données.
C’est la raison pour laquelle nous les distinguons des acteurs de la première couche. Ceux de la deuxième couche ne contrôlent pas nécessairement l’infrastructure, mais ils contrôlent l’accès de leurs clients à ses capacités.
Pour l’utilisateur — État, entreprise ou particulier — c’est généralement sous cette forme que le cloud apparaît. Non comme un centre de données ou un serveur, mais comme un service accessible à la demande.
Applications, logiciels en ligne et solutions SaaS peuvent ensuite intégrer ces capacités dans des offres plus larges. Une application SaaS n’est pas le cloud. Un modèle d’intelligence artificielle non plus. Mais ils peuvent dépendre du cloud pour stocker et accéder aux données nécessaires à leur fonctionnement.
La chaîne des dépendances apparaît alors plus clairement. L’utilisateur du cloud dépend d’un fournisseur de services, celui-ci dépend d’un hyperscaler, et l’hyperscaler dépend à son tour de toute l’infrastructure matérielle qu’il agrège.
La deuxième couche de notre cartographie de la géographie du cloud est donc celle des fournisseurs de services cloud. C’est à cet étage que s’opère le passage du contrôle de la propriété — des infrastructures — au contrôle de l’accès.
Au cœur du cloud, la donnée
La troisième couche de notre cartographie est celle des données elles-mêmes. Après les infrastructures qui permettent de les conserver et les fournisseurs qui organisent l’accès à ces capacités, intéressons-nous maintenant à nos données.
Lorsque l’informatique était essentiellement locale, perdre un ordinateur ou un disque dur signifiait perdre les informations qu’il contenait si aucune sauvegarde n’avait été réalisée ailleurs. Le cloud a permis de dissocier la donnée du terminal qui permet d’y accéder. Il a également permis d’externaliser son stockage, sa sauvegarde, sa sécurisation et sa disponibilité.
Et cette évolution a été accompagnée par une transformation plus profonde encore. Une part croissante de notre histoire est désormais numérique. Pour une entreprise, ce sont ses contrats, ses échanges, ses transactions, ses dossiers clients, ses historiques opérationnels, ses documents de travail, sa propriété intellectuelle, ses archives ou encore une partie des connaissances accumulées qui doivent être stockées durablement sur des disques durs situés en dehors de ses locaux.
Pour les États, les administrations et les institutions, ce sont plutôt des registres, des actes administratifs, des dossiers fiscaux, judiciaires ou sociaux, des données de santé, des archives publiques et, plus largement, une partie de la mémoire nécessaire à la continuité de l’action publique.
Enfin, pour un particulier, ce sont ses photographies, ses communications, ses documents administratifs, ses productions personnelles qui sont concernées, ce qui représente parfois plusieurs décennies d’archives personnelles diverses.
Les données d’une personne ou d’une organisation constituent ainsi progressivement un capital historique. Et celui-ci ne peut pas toujours être reconstitué s’il vient à être perdu. En effet, un serveur détruit peut être remplacé, un centre de données peut être reconstruit, une capacité de stockage peut être recréée ailleurs, mais les informations accumulées pendant des années n’existent que parce qu’elles ont été conservées. Un historique perdu ne se reconstruit pas.
L’incident subi en 2024 par UniSuper permet d’en saisir l’importance. Ce fonds de pension australien avait dupliqué son environnement Google Cloud sur deux sites distincts afin de se protéger contre une panne ou une perte. Une erreur de configuration a pourtant conduit à la suppression de son abonnement Private Cloud et, avec lui, des deux environnements. UniSuper disposait heureusement de sauvegardes chez un autre fournisseur, qui ont permis de limiter les pertes et d’accélérer la restauration.
Cet épisode n’est pas un exemple de rapport de puissance ; il s’agissait ici d’un incident. Mais il montre que dupliquer une donnée à plusieurs endroits ne suffit pas à la rendre indépendante de l’acteur qui contrôle les différents sites.
L’accès peut donc se perdre par accident. Mais dans d’autres contextes, il peut également être retiré par décision. Cette distinction est essentielle car dans le premier cas, la question est celle de la résilience — comment garantir la conservation et la disponibilité des données lorsqu’une infrastructure ou un opérateur fait défaut ? — tandis que, dans le second, elle devient une question de puissance — qui peut décider unilatéralement que nous n’accéderons plus à nos propres données ?
Pour répondre à cette dernière question, il faut d’abord s’en poser une qui paraît beaucoup plus simple : où sont nos données ?
Où se trouvent vraiment nos données ?
Une donnée peut être créée dans un pays, stockée dans un autre, répliquée dans plusieurs centres distants et administrée par une entreprise dont la maison mère relève encore d’une autre juridiction. La localisation physique de la donnée est difficile à établir car elle est, par nature, diffuse et mouvante. Son origine géographique est claire, mais elle ne permet pas, à elle seule, de décrire sa situation juridique. C’est l’une des particularités que nous avions déjà identifiées dans la quatrième géographie de l’entreprise. Dans le numérique, la localisation physique et la juridiction ne coïncident pas nécessairement.
Prenons une entreprise française. Ses salariés travaillent en France et utilisent une plateforme numérique pour échanger des documents et stocker certaines données. Ces données sont produites en France et les serveurs qui les hébergent peuvent eux-mêmes se trouver en France. Intuitivement, on pourrait donc penser qu’elles ne concernent que le droit français et européen.
Mais imaginons maintenant que la plateforme utilisée appartienne à un groupe américain. Sa maison mère est également soumise au droit américain. Or certaines lois américaines peuvent, sous certaines conditions, lui imposer des obligations concernant des données stockées en dehors des États-Unis. C’est ce que l’on appelle l’extraterritorialité du droit. Dans certaines situations, le droit d’un État peut produire des effets au-delà de ses frontières parce qu’il impose des obligations à des acteurs qui relèvent de sa juridiction.
Pour un dirigeant, la conséquence est simple. Savoir où sont stockées ses données ne suffit pas. Il faut également savoir qui les contrôle et à quel droit cet acteur est soumis.
L’audition de Microsoft France devant une commission d’enquête du Sénat français, le 10 juin 2025, en a fourni une illustration particulièrement claire. Interrogé sous serment sur sa capacité à garantir que les données de citoyens français confiées à Microsoft ne seraient jamais transmises à des autorités étrangères sans l’accord des autorités françaises, Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, a répondu qu’il ne pouvait pas apporter une telle garantie. Il précisait néanmoins que Microsoft conteste les demandes qu’elle juge infondées, cherche lorsque cela est possible à les réorienter vers le client et il indiquait qu’aucune entreprise européenne n’avait été concernée au cours de la période couverte par les rapports de transparence évoqués lors de l’audition.
L’épisode confirme que la question — où sont mes données ? — en appelle immédiatement une autre : de qui dépendent-elles ?
Cette dimension sera l’objet du prochain volet de cette série. Nous y explorerons l’extraterritorialité du droit et, plus largement, les défis juridiques liés à la circulation internationale des données.
Conclusion
Notre cartographie du cloud — comme sous-carte de la Géographie numérique — fait ainsi apparaître une chaîne beaucoup plus profonde que ne le laisse penser la simplicité du service. Derrière une donnée accessible en quelques secondes se trouvent des fournisseurs de services, des hyperscalers, des centres de données, des réseaux, de l’énergie, des semi-conducteurs, du capital, mais aussi plusieurs territoires et plusieurs juridictions.
Le cloud n’a pas fait disparaître la géographie, il l’a simplement rendue moins visible, presque aérienne.
Mais cette cartographie fait apparaître une question plus directement géopolitique. Nous avons vu qu’un accès peut être perdu par accident. Mais que se passe-t-il lorsqu’il est volontairement retiré ? Celui qui contrôle un accès peut le garantir, le conditionner, mais également le restreindre ou l’interrompre. Dès lors, le cloud n’est plus seulement une infrastructure technique dont nous dépendons, elle devient une infrastructure de puissance. Cette capacité à agir sur l’accès — et les rapports de dépendance qu’elle révèle — sera également explorée dans un prochain volet.
