Cloud UK : la CMA ouvre une enquête antitrust contre Microsoft

La CMA prend en main le dossier cloud britannique

En octobre 2026, l'autorité de surveillance des médias britannique Ofcom a officiellement renvoyé son enquête sur le marché du cloud computing à la Competition and Markets Authority (CMA), l'autorité nationale de la concurrence. Ce renvoi marque une escalade significative dans la supervision réglementaire du secteur cloud au Royaume-Uni : là où Ofcom menait une investigation sectorielle de marché, la CMA dispose désormais de pouvoirs d'investigation formels pouvant déboucher sur des remèdes contraignants, des amendes ou des injonctions structurelles.

Le contexte est celui d'une concentration de marché exceptionnelle. Selon les estimations publiées par Ofcom, Amazon Web Services et Microsoft Azure représentent chacun environ 40 % des dépenses cloud au Royaume-Uni, soit 60 à 70 % du marché combinés. Cette concentration n'est pas intrinsèquement problématique, mais elle s'accompagne de pratiques commerciales identifiées comme des barrières à la mobilité et à la concurrence : les frais de sortie de données (egress fees), les pratiques de licences, et les obstacles techniques à l'interopérabilité entre fournisseurs.

Les frais de sortie — charges facturées par un fournisseur cloud lorsqu'une entreprise transfère ses données vers un concurrent ou vers son propre datacenter — constituent le point de friction le plus documenté. Ces frais peuvent atteindre plusieurs centimes par gigaoctet et représentent des montants considérables pour les organisations à forte volumétrie de données. En pratique, ils créent ce que les économistes de la concurrence appellent des « switching costs » artificiels, rendant le changement de fournisseur coûteux indépendamment des mérites techniques ou tarifaires comparatifs.

La CMA avait déjà, en mars 2026, obtenu des engagements volontaires de la part d'Amazon et de Microsoft. Ces engagements portaient sur quatre points principaux : la réduction des egress fees, l'extension des fenêtres de migration de 90 à 180 jours, l'interconnexion des datacenters avec des fournisseurs concurrents (notamment Google et Oracle), et des améliorations en matière d'interopérabilité applicative. L'annonce avait été présentée comme une victoire réglementaire signficative.

Cependant, le bilan d'octobre 2026 dressé par Ofcom est sévère. Si les egress fees ont effectivement été réduits et les fenêtres de migration étendues, certains engagements de mars restent non tenus. Plus significativement, l'interconnexion des datacenters entre Amazon et Microsoft n'est toujours pas opérationnelle dans les centres de données britanniques. Ni Amazon ni Microsoft n'a étendu ses efforts d'interconnexion au-delà des deux partenaires initiaux (Google et Oracle). Enfin, l'adoption des nouveaux mécanismes par les entreprises clientes reste limitée, suggérant que les engagements sont trop peu connus ou trop complexes à mettre en œuvre en pratique.

Parallèlement à l'investigation sur le marché cloud proprement dit, la CMA a ouvert une procédure distincte pour évaluer si Microsoft répond aux critères du statut de marché stratégique (Strategic Market Status, SMS) dans son écosystème de logiciels d'entreprise. Ce statut, introduit par le Digital Markets, Competition and Consumers Act (DMCC Act) entré en vigueur en janvier 2025, permet à la CMA d'imposer des obligations comportementales renforcées aux acteurs tech dominants, sans avoir à démontrer un abus de position dominante au sens classique du droit de la concurrence. La CMA avait provisoirement conclu que Microsoft réunit les conditions nécessaires à l'attribution du SMS.

Amazon Web Services semble pour l'instant hors du champ de cette procédure SMS spécifique. La CMA a indiqué que ses services cloud ne répondaient pas, à ce stade, aux mêmes critères de verrouillage écosystémique que l'offre Microsoft (qui combine Azure, M365, Teams, Copilot, Entra, Defender). Néanmoins, AWS reste sous surveillance dans le cadre de l'enquête sur le marché cloud au sens large.

Cette affaire s'inscrit dans un mouvement réglementaire global. L'Union européenne, via le Digital Markets Act (DMA) en vigueur depuis 2023, a désigné six "gatekeepers" dont Alphabet, Amazon, Apple, Meta, Microsoft et ByteDance, et exige d'eux des obligations d'interopérabilité et d'accès aux données. Aux États-Unis, la Federal Trade Commission (FTC) et le Department of Justice (DoJ) mènent plusieurs investigations sur les pratiques cloud. La coordination informelle entre régulateurs de différentes juridictions est croissante, même si les délais et les pouvoirs varient significativement.

Un signal structurant pour les décideurs IT européens

L'ouverture formelle d'une investigation CMA envoie un signal fort au marché, indépendamment de son issue finale. Elle confirme que le statu quo des pratiques cloud des deux hyperscalers dominants est devenu politiquement et réglementairement intenable en Europe. Pour les DSI et RSSI qui préparent leurs stratégies d'infrastructure pour 2027-2028, cette incertitude réglementaire est un facteur à intégrer dans leurs analyses de risque fournisseur.

Les entreprises fortement dépendantes de Microsoft Azure ou d'AWS devraient profiter de cette fenêtre réglementaire pour réexaminer leurs architectures de sortie de données et valider que leurs contrats leur permettent de tirer parti des nouveaux engagements sur les egress fees et les fenêtres de migration. Les fournisseurs cloud alternatifs — OVHcloud, Scaleway, Hetzner, Ionos, ou les offres cloud souveraines de Thales et Orange — bénéficient d'un momentum commercial inédit pour positionner leurs offres auprès des clients soucieux de diversification.

Le dossier a également des implications directes pour les organisations soumises à des obligations réglementaires de portabilité des données. Le RGPD impose en principe la portabilité des données personnelles ; DORA (Digital Operational Resilience Act), applicable au secteur financier depuis janvier 2025, exige la capacité de changer de fournisseur cloud sans discontinuité de service. Si les engagements actuels de Microsoft et Amazon restent insuffisants selon les régulateurs, les organisations financières soumises à DORA pourraient se retrouver en difficulté pour démontrer leur conformité aux exigences de résilience multi-fournisseurs.

À plus long terme, la question est de savoir si le modèle des engagements volontaires peut suffire, ou si la CMA devra recourir à des remèdes structurels plus forts — limitation des egress fees par voie réglementaire, obligation d'interopérabilité technique standardisée, ou même séparation fonctionnelle entre les couches d'infrastructure et de logiciels applicatifs. Ces scénarios, considérés comme hypothétiques il y a deux ans, sont désormais sur la table des discussions réglementaires européennes.

Ce qu'il faut retenir

• La CMA dispose désormais de pouvoirs formels pour imposer des remèdes contraignants à Microsoft (et potentiellement AWS) sur le marché cloud britannique, au-delà des simples engagements volontaires.
• Les engagements pris en mars 2026 restent partiellement non tenus : l'interconnexion datacenter Amazon-Microsoft n'est pas encore opérationnelle au Royaume-Uni.
• Les DSI devraient auditer leurs contrats cloud pour vérifier leur capacité à exploiter les nouvelles conditions de migration et de portabilité, en anticipation d'évolutions réglementaires similaires en France et dans l'UE.