Changer de fournisseur de cloud dans l’UE : ce que l’on sait et ce qu’il faut vérifier

Le règlement sur les données de l’Union européenne comprend des mesures destinées à faciliter le changement de fournisseur de services cloud ou l’utilisation de plusieurs services. La Commission européenne indique que le texte a commencé à s’appliquer dans l’UE le 12 septembre 2025 et qu’il prévoit la possibilité de changer de fournisseur cloud. C’est un point de départ important, mais cela ne constitue pas une garantie de migration automatique, sans frais ni interruption. Ces questions pratiques sont distinctes et ne peuvent être tranchées par la seule existence du règlement.

Les documents réunis pour ce guide ne confirment ni une nouvelle annonce, ni une date supplémentaire d’entrée en vigueur, ni une évaluation indépendante de la mise en œuvre concrète de ces obligations. Le sujet est donc traité comme une présentation prudente d’un cadre déjà applicable, et non comme une nouveauté qui vient d’être annoncée. La distinction compte : un texte peut établir des droits et des obligations, tandis que sa mise en œuvre dépend aussi des services concernés, des contrats et des procédures disponibles. Le cadre juridique et l’expérience réelle d’une migration particulière ne se confondent pas.

Il ne faut pas non plus confondre ce sujet avec une explication générale du cloud. La question est ici plus précise : quels outils juridiques et techniques peuvent aider à transférer des données et des applications d’un fournisseur à un autre, et quels éléments restent à vérifier dans chaque cas. L’existence d’une règle européenne ne prouve pas, à elle seule, qu’une charge de travail est entièrement portable ni que le changement sera simple. Il faut encore déterminer ce que le service permet effectivement et ce qu’implique son transfert.

La Commission décrit le règlement sur les données comme un texte qui établit des règles relatives au changement de fournisseur et à la portabilité entre services de traitement de données, l’interopérabilité constituant un élément central. Dans une publication consacrée à une étude sur l’interopérabilité, elle indique que l’article 35 porte sur des normes et spécifications ouvertes et harmonisées. Selon cette explication, celles-ci doivent aider des services du même type à fonctionner ensemble et permettre de transférer des données et des applications sans compromettre la sécurité. L’objectif énoncé concerne l’interopérabilité entre des services comparables, et non une assurance générale que tout produit peut remplacer n’importe quel autre.

L’étude publiée par la Commission le 23 février 2026 a un objectif précis : contribuer à la mise en place d’un référentiel de l’Union et préparer une première série de spécifications ouvertes et de normes harmonisées répondant aux exigences du règlement sur les données. La Commission explique également qu’elle peut adopter des spécifications communes au moyen d’actes d’exécution si les normes ne suffisent pas, et demander aux organismes européens de normalisation d’élaborer des normes pour combler les lacunes. Il s’agit de moyens annoncés pour soutenir le développement du cadre, pas de la preuve que toutes les questions techniques sont déjà réglées.

L’interopérabilité s’inscrit donc dans un travail technique et réglementaire en cours, et non dans une promesse de compatibilité universelle déjà réalisée. Les documents consultés ne précisent pas quelles spécifications concrètes ont déjà été adoptées, quels services chacune couvre, ni quel calendrier détaillé chaque fournisseur doit respecter. Il convient de distinguer le cadre juridique confirmé de l’état d’avancement de chaque mécanisme technique. Un objectif général ne signifie pas que tous les services ont déjà mis en place la même procédure de changement.

Les informations officielles citées confirment l’objectif de faciliter le changement et la portabilité, mais ne suffisent pas à établir un montant de frais, un délai de migration uniforme ou une procédure unique applicable à tous les services. Elles ne permettent pas non plus d’affirmer que toutes les données, applications, configurations ou dépendances logicielles peuvent être transférées sans modification. Ces éléments peuvent varier selon le type de service et l’architecture utilisée. Un plan de migration doit donc s’appuyer sur le service concerné, et non sur une supposition tirée du terme général « cloud ».

Le terme « cloud » regroupe des services aux fonctions différentes. Une application prête à l’emploi, une plateforme de déploiement logiciel et une infrastructure de calcul ne proposent pas nécessairement les mêmes possibilités d’export ou de remplacement. La description de la Commission porte sur les services de traitement de données et l’interopérabilité entre services du même type ; elle ne doit pas être interprétée comme la preuve que des produits de catégories différentes sont interchangeables. Un passage entre deux services comparables peut soulever des questions différentes d’un transfert entre des services conçus pour des rôles distincts.

Les sources réunies ne nous ont pas non plus permis de vérifier le détail des exceptions juridiques, l’application d’éventuels frais à chaque étape ou les conséquences d’une clause contractuelle donnée. Il serait imprudent de transformer ces lacunes en affirmation générale sur ce qu’un fournisseur peut facturer ou refuser. Pour décider, il faut consulter le texte applicable du règlement, le contrat en vigueur et la documentation technique du service concerné. Sans ces vérifications, toute affirmation générale concernant une migration individuelle dépasserait les informations disponibles.

Pour une entreprise ou un particulier, la première vérification pratique consiste à déterminer ce qui doit être transféré et sous quelle forme il peut être exporté. Une copie des fichiers n’inclut pas nécessairement les bases de données, les autorisations, les journaux, les sauvegardes, les configurations ou les relations entre les composants. La portabilité des données et la possibilité d’exécuter une application dans un autre environnement sont liées, mais ce n’est pas la même chose. Il est utile d’examiner séparément ce qui peut être extrait et la capacité de l’environnement de destination à l’utiliser comme prévu.

Avant de commencer, il est conseillé de demander au fournisseur des informations précises par écrit. Une première liste de contrôle peut comprendre les points suivants. Elle sert à formuler des questions sur le service concerné ; elle ne signifie pas que les réponses ou la procédure seront identiques chez tous les fournisseurs :

• Quelles données et quels composants peuvent être exportés, dans quels formats et au moyen de quels outils.
• Quels frais, délais, limites de volume et conditions d’accès sont prévus par le contrat.
• Quelles dépendances techniques ou fonctions propriétaires pourraient imposer des modifications dans le service de destination.
• Comment vérifier l’intégrité des données, la sécurité et la continuité pendant le transfert.
• Quelles étapes permettent de clôturer l’ancien service et de gérer les copies qui y restent, sous réserve des obligations applicables.

La Commission présente l’interopérabilité comme un moyen de faire fonctionner ensemble des services du même type et de rendre les logiciels et les données plus portables sans réduire la sécurité. Cette formulation décrit l’objectif réglementaire. Elle ne fournit pas, à elle seule, de résultats de tests concernant des fournisseurs précis, de mesures de réussite des migrations ni de preuves indépendantes du niveau de conformité du marché. La différence entre un objectif et des éléments attestant de sa mise en œuvre est importante pour évaluer ce qu’un utilisateur donné peut attendre.

Dans les recherches disponibles, l’étude européenne constitue une source institutionnelle sur l’élaboration de normes et de spécifications. Il existe également des analyses juridiques indépendantes du cadre de changement et des commentaires de fournisseurs sur les services cloud, mais aucune donnée vérifiable sur des déploiements réels n’est présentée ici pour établir comment toutes les migrations se déroulent. Cette limite est importante : l’intention du règlement ne doit pas être confondue avec une expérience utilisateur documentée pour chaque fournisseur. Des commentaires généraux ne remplacent pas des informations propres au service sur les démarches qu’un client devrait réellement effectuer.

La conclusion utile doit rester circonscrite. L’UE dispose d’un cadre qui couvre le changement de fournisseur de services de traitement de données, et la Commission considère l’interopérabilité comme un élément central. Pour savoir ce qu’un utilisateur donné peut faire — et à quel coût, dans quel délai ou avec quels risques — il faut vérifier le service, le contrat et les spécifications techniques qui s’y appliquent. Tant que ces éléments ne sont pas établis, il est plus exact de parler de droits et d’objectifs réglementaires que de promettre une sortie facile ou sans friction.