CMA UK : AWS et Microsoft mis en demeure sur la portabilité cloud

La CMA resserre l'étau sur AWS et Microsoft dans le cloud britannique

Le 16 octobre 2026, l'autorité britannique de la concurrence et des marchés (Competition and Markets Authority, CMA) a publié simultanément deux rapports distincts qui, ensemble, redessinent le paysage réglementaire du cloud et des logiciels d'entreprise au Royaume-Uni. Le premier dresse un bilan mitigé des engagements pris en mars 2026 par AWS et Microsoft pour améliorer la portabilité cloud. Le second annonce une proposition de désignation de Microsoft au titre du régime de marché stratégique (Strategic Market Status, SMS) dans le domaine des logiciels d'entreprise — une mesure susceptible d'ouvrir la voie aux interventions les plus contraignantes disponibles dans l'arsenal réglementaire britannique.

Sur le front des barrières à la portabilité cloud, la CMA reconnaît que les deux hyperscalers ont accompli des progrès depuis leurs engagements de mars 2026. AWS et Microsoft avaient alors promis de réduire les frais d'egress — les coûts facturés aux clients qui souhaitent transférer leurs données hors d'un cloud provider — et d'améliorer l'interopérabilité pour les clients au Royaume-Uni. Ces engagements faisaient suite à une enquête sectorielle sur le marché cloud britannique publiée en 2023, qui avait identifié des pratiques de lock-in préoccupantes.

Cependant, la CMA estime que les mesures prises restent insuffisantes. Dans son rapport du 16 octobre, le régulateur souligne que des obstacles significatifs persistent : les systèmes de gestion des identités et des accès (IAM) restent difficiles à unifier entre différents providers, les processus de migration de données sont encore complexes, et certaines licences logicielles créent de facto des avantages économiques pour les clients restant chez un provider unique. La CMA a indiqué surveiller activement les progrès des deux sociétés dans les prochains mois et n'exclut pas des mesures contraignantes si les avancées volontaires s'avèrent insuffisantes.

AWS et Microsoft détiennent ensemble environ 70 à 80 % des dépenses cloud au Royaume-Uni, chacun occupant entre 35 et 40 % des parts individuellement. Cette concentration donne aux deux acteurs une influence considérable sur les prix, les conditions contractuelles et les choix technologiques des entreprises britanniques. La CMA observe que la concurrence entre AWS et Microsoft ne suffit pas à corriger les effets de lock-in pour les clients ayant investi lourdement dans les services propriétaires de l'un ou l'autre fournisseur.

La proposition de désignation SMS pour Microsoft constitue la mesure la plus structurelle annoncée le 16 octobre. Cette désignation, si elle est confirmée — la décision finale est attendue en février 2027 — soumet Microsoft à un régime réglementaire spécifique lui imposant des obligations comportementales et structurelles que le droit commun de la concurrence ne permet pas d'imposer. La CMA avait ouvert son enquête en vue de cette désignation en mai 2026, citant les 20 millions d'utilisateurs professionnels de Microsoft au Royaume-Uni et les coûts de migration élevés associés aux produits M365, Windows et Azure.

Les produits concernés par la proposition SMS sont étendus : Windows, Microsoft 365 (Word, Excel, PowerPoint, Outlook), Teams, les outils de sécurité Defender, les produits serveurs et bases de données, et désormais Copilot. La CMA entend examiner en particulier comment Microsoft octroie les licences de ses logiciels aux fournisseurs cloud concurrents — une préoccupation déjà identifiée en Europe concernant les conditions de licences Windows Server et M365 sur d'autres clouds que Azure. Elle souhaite également vérifier si les clients ont la liberté effective de choisir des outils d'IA autres que Copilot sans pénalité économique ou technique.

Microsoft a déclaré accueillir favorablement les conclusions de la CMA sur le cloud, estimant que sa position ne justifie pas la désignation SMS pour ses produits cloud. Concernant les logiciels d'entreprise, la société a indiqué coopérer avec l'enquête. AWS a pour sa part indiqué avoir continué à investir tout au long de 2026 dans de nouvelles capacités d'IA, multicloud et à normes ouvertes, et s'est dit déterminé à travailler avec la CMA.

Le calendrier réglementaire est désormais le suivant : une consultation publique est ouverte jusqu'à fin novembre 2026, permettant aux entreprises, associations sectorielles et autres parties prenantes de soumettre leurs observations sur la proposition SMS de Microsoft. La CMA rendra sa décision finale en février 2027. Si la désignation est confirmée, une phase de remèdes suivra, au cours de laquelle la CMA définira les obligations spécifiques imposées à Microsoft — potentiellement incluant des restrictions sur le bundling de produits, des obligations d'interopérabilité ou des conditions de licence non discriminatoires.

Le cloud européen face au dilemme réglementaire

L'action de la CMA britannique s'inscrit dans un mouvement réglementaire plus large qui traverse l'ensemble des grandes économies. En Europe, le Digital Markets Act (DMA) est entré en vigueur pour ses dispositions principales en mars 2024, désignant plusieurs grandes plateformes comme "gatekeepers". La Commission européenne a conclu qu'Azure et AWS répondent aux critères pour une désignation sous le DMA, ouvrant la voie à des obligations comparables à celles que la CMA envisage outre-Manche. Cette convergence réglementaire transatlantique crée une pression simultanée sur les hyperscalers depuis plusieurs directions géographiques.

La question des barrières à la portabilité cloud dépasse le seul cadre réglementaire : elle touche à la souveraineté numérique des organisations. Les entreprises françaises sont confrontées à une réalité où la migration entre AWS et Azure peut représenter des projets de 18 à 36 mois et des investissements de plusieurs millions d'euros, rendant le lock-in effectif même en l'absence de contrainte contractuelle explicite. L'ANSSI a publié des référentiels de qualification (SecNumCloud) qui intègrent des critères de réversibilité, mais leur adoption reste limitée aux marchés publics sensibles.

Pour les DSI et RSSI européens, les développements britanniques offrent un signal positif dont les effets pratiques resteront toutefois limités à court terme. Les engagements volontaires pris par AWS et Microsoft en mars 2026 — et jugés insuffisants six mois plus tard — illustrent la difficulté d'obtenir des changements structurels via des mécanismes non contraignants. La désignation SMS, si elle aboutit, constituera un précédent utile pour les régulateurs européens qui cherchent à opérationnaliser les dispositions du DMA contre les pratiques de lock-in cloud.

Sur le plan de la sécurité, la concentration cloud elle-même constitue un risque systémique croissant. L'incident impliquant la compromission d'identités applicatives dans un écosystème Microsoft 365 illustre à quel point la dépendance à un écosystème applicatif unique peut amplifier l'impact d'une compromission : un credential volé chez un fournisseur tier génère des accès en cascade dans des dizaines d'organisations. Cette interdépendance architecturale n'est pas indépendante des barrières à la portabilité — elle en est en partie la conséquence.

Ce qu'il faut retenir

• La CMA juge les progrès insuffisants d'AWS et Microsoft sur la portabilité cloud et maintient la pression réglementaire pour plus d'interopérabilité et moins de lock-in.
• Microsoft est proposé pour désignation SMS dans les logiciels d'entreprise, ce qui pourrait imposer des obligations sur M365, Teams, Copilot et les licences Azure — décision finale en février 2027.
• Les entreprises européennes doivent documenter leurs risques de dépendance cloud dans le cadre de NIS2 et DORA, et anticiper que les engagements volontaires des hyperscalers ne garantissent pas la réversibilité.