AWS et Azure désignés "gatekeepers" par la Commission européenne

Ce qui s'est passé

La Commission européenne a franchi une étape décisive en notifiant formellement Amazon Web Services et Microsoft Azure de sa position préliminaire les désignant comme "gatekeepers" au sens du Digital Markets Act (DMA). C'est la première fois que la législation — entrée en vigueur en 2023 et jusqu'ici appliquée aux plateformes numériques grand public — est étendue à des services d'infrastructure cloud B2B. La décision, communiquée fin août 2026, ouvre une période de consultation contradictoire pendant laquelle les deux entreprises peuvent contester les éléments factuels et juridiques retenus par Bruxelles.

Le DMA prévoit des seuils quantitatifs pour la désignation comme gatekeeper : un chiffre d'affaires annuel dans l'Espace économique européen d'au moins 7,5 milliards d'euros ou une capitalisation boursière d'au moins 75 milliards d'euros, combiné à la fourniture d'un "service de plateforme essentiel" à au moins 45 millions d'utilisateurs mensuels actifs dans l'UE et à au moins 10 000 entreprises. Les analystes notent qu'AWS et Azure remplissent les critères de taille mais que la notion d'utilisateurs finaux est moins évidente pour des services d'infrastructure — ce que les deux groupes comptent exploiter dans leurs représentations.

La Commission contourne cette ambiguïté en s'appuyant sur l'article 3(8) du DMA, qui lui permet de désigner un opérateur comme gatekeeper même en l'absence de satisfaction des seuils quantitatifs, dès lors qu'une analyse qualitative démontre un rôle de "passerelle importante" entre les entreprises et leurs clients. Bruxelles cite deux arguments principaux : l'auto-préférence au profit des services IA propriétaires des deux groupes (Azure OpenAI Service pour Microsoft, Bedrock pour Amazon) et le verrouillage des clients via des coûts de sortie élevés, des incompatibilités techniques et des modèles de tarification des egress fees.

AWS et Azure détenaient conjointement environ 65 à 70 % des revenus cloud en Europe au premier trimestre 2026, selon les données publiées par Synergy Research Group et citées dans la décision préliminaire de la Commission. Cette position dominante est jugée structurellement stable en raison des cycles d'investissement longs du cloud — migration d'une charge de travail critique peut prendre de 18 à 36 mois — et des effets de réseau liés aux certifications, aux formations et aux écosystèmes partenaires construits autour de chaque plateforme.

Si la désignation est confirmée, AWS et Azure seraient soumis à une série d'obligations prévues aux articles 5 à 7 du DMA. Parmi les plus significatives : l'obligation d'assurer l'interopérabilité technique avec des services cloud tiers, l'interdiction de favoriser leurs propres services dans les résultats de recherche ou les recommandations, la mise à disposition gratuite des outils de portabilité des données, et la transparence sur la tarification des transferts de données sortantes (egress fees). Pour Microsoft, une obligation supplémentaire pourrait concerner les pratiques de "bundling" — la vente liée de Teams, Defender et Azure — déjà dans le collimateur de la Commission depuis 2023.

Les amendes prévues par le DMA sont particulièrement dissuasives : jusqu'à 10 % du chiffre d'affaires mondial annuel pour une première violation, portées à 20 % en cas de récidive. Pour Microsoft, dont le chiffre d'affaires annuel dépasse 270 milliards de dollars, l'amende maximale théorique se situerait autour de 27 milliards. Amazon, avec un chiffre d'affaires global de plus de 600 milliards de dollars, pourrait théoriquement faire face à des pénalités de 60 milliards. Ces montants hypothétiques servent avant tout d'incitation à la conformité proactive.

Dans une déclaration transmise à plusieurs médias spécialisés, Microsoft a indiqué "coopérer pleinement avec la Commission" tout en soulignant que les services cloud d'infrastructure "diffèrent fondamentalement des plateformes numériques grand public visées par le DMA". Amazon a tenu un discours similaire, rappelant que ses clients disposent d'outils de portabilité et que l'écosystème multi-cloud est déjà une réalité pour la majorité de ses clients entreprise. Les deux sociétés ont jusqu'à fin septembre 2026 pour soumettre leurs représentations écrites formelles, après quoi la Commission rendra sa décision finale, attendue en octobre 2026.

En parallèle, plusieurs associations de cloud européens — dont CISPE, qui représente des fournisseurs comme OVHcloud, Hetzner et Scaleway — ont salué la décision préliminaire et appellent à une application stricte des obligations d'interopérabilité. CISPE avait formellement saisi la Commission en 2022 pour dénoncer les pratiques de licence logicielle de Microsoft qui rendaient leurs offres moins compétitives ; la désignation DMA représente une évolution majeure dans ce bras de fer.

Pourquoi c'est important

L'extension du DMA aux services cloud d'infrastructure constitue un tournant réglementaire dont les implications dépassent largement le cadre européen. Pour la première fois, une législation contraignante cible le cœur de l'économie numérique B2B — l'infrastructure sur laquelle tournent les applications, les bases de données et les systèmes IA des entreprises — et non plus seulement les interfaces grand public. Si la désignation est confirmée et les obligations effectivement appliquées, l'impact sur l'architecture technique des systèmes d'information des entreprises européennes pourrait être considérable : les projets de migration multi-cloud, jusqu'ici freinés par des incompatibilités techniques et des coûts de sortie prohibitifs, deviendraient techniquement et économiquement plus accessibles.

Pour les équipes de sécurité et les DSI, l'obligation d'interopérabilité pose des questions concrètes. Un environnement où AWS et Azure doivent exposer des API standardisées pour faciliter la portabilité des données et des workloads modifie profondément les stratégies de résilience et de continuité d'activité. La capacité à basculer rapidement d'un fournisseur à l'autre — actuellement théorique pour la plupart des architectures complexes — deviendrait un objectif atteignable, réduisant le risque de concentration fournisseur qui préoccupe les régulateurs bancaires (BCE, DORA) et les autorités de cybersécurité (ENISA).

L'argument de l'auto-préférence IA mérite une attention particulière dans le contexte sécurité. Azure OpenAI Service et Amazon Bedrock bénéficient d'avantages structurels dans leurs écosystèmes respectifs — latence réduite, intégrations natives, tarification préférentielle pour les clients cloud — qui pèsent sur les décisions d'adoption des modèles IA dans les entreprises. Si la Commission impose des règles de neutralité sur ce plan, les fournisseurs IA européens (Mistral, Aleph Alpha) et les modèles open source pourraient bénéficier d'un terrain de compétition plus équitable, avec des implications positives pour la souveraineté numérique des organisations.

Enfin, la décision préliminaire envoie un signal aux régulateurs du monde entier. Le DMA a déjà inspiré des législations similaires en Corée du Sud, au Royaume-Uni et au Japon. Une désignation confirmée d'AWS et Azure créerait un précédent que les régulateurs américains — FTC et DOJ, qui scrutent les marchés cloud depuis 2024 — pourraient invoquer dans leurs propres procédures. La géopolitique réglementaire du cloud, déjà tendue, entre dans une nouvelle phase.

Ce qu'il faut retenir

• AWS et Azure font face à une désignation DMA inédite pour des services cloud d'infrastructure B2B, avec des obligations potentielles d'interopérabilité, de portabilité et d'interdiction d'auto-préférence IA.
• La décision finale est attendue en octobre 2026 ; les entreprises européennes doivent anticiper dès maintenant les opportunités que créeraient des obligations de portabilité renforcées dans leurs stratégies multi-cloud.
• Les équipes de conformité doivent surveiller l'évolution du dossier : si la désignation est confirmée, les obligations s'appliqueront dans un délai de 6 mois, avec un impact direct sur les contrats cloud et les architectures de résilience.