La Commission européenne désigne AWS et Azure comme gardiens d'accès sous la DMA

Le 25 juin 2026, la Commission européenne a publié sa décision préliminaire selon laquelle Amazon Web Services (AWS) et Microsoft Azure doivent être considérés comme gardiens d'accès sous le Digital Markets Act (DMA). La notification a été envoyée aux deux entreprises, bien que la désignation finale soit encore en attente d'approbation formelle. Cette mesure suit la même procédure utilisée pour les grands acteurs de consommation comme Google ou Meta, mais s'applique désormais au secteur du cloud.

La décision repose sur des critères qualitatifs : bien qu'AWS et Azure n'atteignent pas les seuils quantitatifs habituels d'utilisateurs finaux, leur position dominante en tant qu'infrastructures critiques de l'UE justifie la désignation. La Commission a indiqué que les deux services « contrôlent une grande partie du marché européen » et que leurs offres d'intelligence artificielle sont un facteur décisif dans la contractualisation des clients d'entreprise.

Cette notification marque le premier cas où la DMA s'étend aux fournisseurs d'infrastructure, élargissant sa portée au-delà des plateformes de consommation. La mesure s'aligne sur d'autres efforts réglementaires récents, tels que le Règlement sur l'IA et la stratégie de souveraineté technologique de l'UE.

Le Digital Markets Act définit les gardiens d'accès comme des plateformes qui remplissent certains critères de taille et de position dominante, avec le pouvoir de contrôler les flux critiques de données ou de services entre utilisateurs finaux et fournisseurs. En pratique, il est attendu que ces acteurs se conforment à des obligations spécifiques pour éviter les pratiques anticoncurrentielles.

Pour AWS et Azure, les obligations principales incluent : l'interopérabilité (permettre aux clients de déplacer les charges de travail sans barrières techniques), la portabilité des données (faciliter l'exportation et l'importation d'informations) et l'absence d'auto-préférence (éviter de favoriser leurs propres services par rapport à ceux de tiers). De plus, on leur exige la transparence des conditions contractuelles et la possibilité d'audit par les autorités compétentes.

Ces obligations sont conçues pour réduire le risque de verrouillage des clients et favoriser un écosystème plus concurrentiel. La Commission a établi que, si la désignation est confirmée, AWS et Azure auront six mois pour adapter leurs services aux exigences de la DMA, avec des amendes possibles allant jusqu'à 10 % des ventes mondiales en cas de non-conformité.

Interopérabilité : Les contrats cloud doivent inclure des clauses permettant aux clients de migrer les ressources entre fournisseurs sans restrictions contractuelles artificielles. Cela implique l'adoption de normes ouvertes et d'API compatibles, réduisant le risque de dépendance exclusive.

Portabilité des données : La possibilité d'exporter les données dans des formats standard et avec une latence minimale est exigée. Pour les entreprises qui dépendent de services d'IA, cela facilite la transition vers des solutions alternatives sans perdre d'informations critiques.

Absence d'auto-préférence : AWS et Azure ne pourront pas prioriser leurs propres services (par exemple, bases de données ou outils d'analyse) par rapport à ceux de tiers dans les contrats d'entreprise. Cette mesure vise à équilibrer le pouvoir de négociation face aux clients d'entreprise qui intègrent généralement plusieurs fournisseurs.

La désignation peut reconfigurer la manière dont les entreprises européennes gèrent leurs infrastructures cloud, réduisant les coûts de changement et encourageant la diversification des fournisseurs.

Pour les fournisseurs de services critiques (CTPP) et le secteur financier, la mesure s'aligne sur le Règlement DORA, renforçant la résilience opérationnelle numérique. L'interopérabilité et la portabilité sont des piliers clés pour répondre aux exigences de tests de résilience et de gestion des incidents du DORA.

Cependant, la transition implique également des défis techniques : l'adaptation des contrats existants, la mise à jour des API et la formation des équipes internes aux nouvelles pratiques de migration. Les entreprises devront planifier une stratégie cloud-agnostic pour tirer le meilleur parti des nouvelles obligations.

La désignation d'AWS et Azure intervient dans le cadre d'un Paquet de souveraineté technologique présenté par la Commission en juin 2026, qui comprend le Règlement sur les puces 2.0 et la Loi sur le développement du cloud et de l'IA.

En outre, la DMA est complétée par la réglementation sur l'IA, où l'UE cherche à réguler les modèles génératifs et leur intégration dans les infrastructures critiques. La convergence de ces réglementations vise à créer un écosystème numérique européen plus autonome et concurrentiel.

Pour les entreprises, cela signifie qu'elles devront surveiller non seulement la DMA, mais aussi l'élaboration des normes sur l'IA et le DORA, car elles partagent toutes des objectifs communs : éviter les pratiques monopolistiques, protéger les données et garantir la résilience opérationnelle.