Microsoft Data Guardian : contrôle EU sur le cloud souverain

Ce qui s'est passé

Microsoft a annoncé le 20 octobre 2026 un ensemble de mesures d'expansion pour sa plateforme de cloud souverain Azure, avec des annonces majeures attendues lors de la conférence Microsoft Ignite prévue du 17 au 20 novembre 2026 à San Francisco. Ces mesures, qui concernent principalement les clients opérant dans l'Union européenne et l'Espace économique européen, répondent à une pression réglementaire croissante portée par des directives comme NIS2, DORA et le RGPD, ainsi qu'aux inquiétudes persistantes des États européens sur leur dépendance aux hyperscalers américains.

La mesure la plus symbolique est le déploiement du programme Data Guardian. Dans ce dispositif inédit, un partenaire tiers résidant dans l'UE assure la supervision des accès à distance que les ingénieurs Microsoft effectuent sur les systèmes de production des clients entrant dans le périmètre. Concrètement, lorsqu'un technicien Microsoft doit intervenir sur une infrastructure client pour une opération de maintenance ou de dépannage, cette intervention est désormais soumise au contrôle d'un organisme européen indépendant. Ce modèle de surveillance à quatre yeux est une réponse directe aux inquiétudes des responsables de la protection des données et des juristes qui s'interrogeaient sur la capacité des autorités américaines à contraindre Microsoft à divulguer des données hébergées en Europe dans le cadre du Cloud Act.

Parallèlement, Microsoft déploie le Production Touch Ledger, un registre d'accès infalsifiable basé sur des mécanismes cryptographiques. Ce journal enregistre l'ensemble des accès des ingénieurs aux systèmes de production des clients, avec des garanties d'intégrité qui rendent toute modification ultérieure détectable. Les clients disposent ainsi d'une traçabilité complète et vérifiable des interventions techniques sur leurs environnements. Ce registre constitue un élément de conformité potentiellement décisif pour les entreprises soumises à des audits réglementaires réguliers, notamment dans les secteurs bancaire, assurantiel et de la santé.

Sur le plan de la gestion des clés cryptographiques, deux avancées sont désormais disponibles en disponibilité générale. La gestion externe des clés via Azure Managed HSM (Hardware Security Module) permet aux organisations de conserver la maîtrise de leurs clés de chiffrement en dehors de l'infrastructure Microsoft, sur du matériel certifié FIPS 140-2 niveau 3. Les machines virtuelles confidentielles sur Azure Local sont également généralement disponibles, offrant une protection des données pendant leur traitement grâce aux technologies d'exécution de confiance basées sur AMD SEV-SNP ou Intel TDX. Ces deux capacités étaient très attendues par les organisations soumises aux exigences de secret de défense ou de données de santé.

Azure Local, la solution d'infrastructure hybride permettant de déployer des services Azure directement dans les datacenters des clients, bénéficie de plusieurs nouvelles capacités. SQL Server sur Azure Local est désormais généralement disponible en modes connecté et déconnecté, offrant ainsi une option pour les environnements opérationnels classifiés ou air-gapped. DocumentDB et Blob Storage entrent quant à eux en préversion publique sur Azure Local. La multilocataire est annoncée pour Azure Local sans date précise, ce qui représente un frein actuel pour les prestataires de services managés qui souhaiteraient déployer cette infrastructure.

Deux annonces majeures sont réservées pour Microsoft Ignite : la disponibilité générale de Foundry Local et de GitHub Enterprise Local. Foundry Local permettra d'exécuter des modèles d'IA directement on-premises, sans connexion aux serveurs Microsoft, une fonctionnalité très attendue dans des secteurs régulés comme la défense, la santé ou les opérateurs d'infrastructures critiques. GitHub Enterprise Local suivra la même logique pour les environnements de développement logiciel qui ne peuvent pas ou ne veulent pas utiliser des services cloud externes. Microsoft 365 Local est en préversion pour les clients pré-approuvés.

Le Sovereign Control Panel, un tableau de bord unifié dans le portail Azure, permettra aux administrateurs de visualiser leur posture de souveraineté en temps réel : contrôles en place, lacunes identifiées, risques potentiels. Cette interface est attendue en préversion publique à Ignite. Elle s'adresse aux responsables de la conformité — CISO, DPO, Risk Officers — qui doivent justifier de la maîtrise de leurs données auprès d'auditeurs réglementaires, d'actionnaires ou d'instances de supervision sectorielle. Plusieurs analystes notent cependant que les annonces du 20 octobre n'évoquent pas le Data Boundary européen, une promesse antérieure de Microsoft qui reste partiellement en suspens.

Pourquoi c'est important

Ces annonces de Microsoft interviennent dans un contexte de tension croissante entre les exigences de souveraineté numérique européenne et la dépendance structurelle des organisations aux hyperscalers américains. La directive NIS2, transposée dans la plupart des États membres de l'UE, impose aux opérateurs d'importance essentielle et aux opérateurs de services importants de mettre en œuvre des mesures de gestion des risques de sécurité qui incluent le contrôle des accès des prestataires tiers. La directive DORA, applicable au secteur financier depuis janvier 2025, établit des exigences similaires avec des dispositions explicites sur la gestion des risques liés aux tiers. Data Guardian et le Production Touch Ledger sont une réponse technique concrète à ces exigences réglementaires.

La question du Cloud Act américain reste le point de tension juridique fondamental. Cette loi de 2018 autorise les autorités américaines à contraindre des entreprises comme Microsoft à fournir des données stockées sur leurs serveurs, même localisés en Europe. Le Data Guardian ne résout pas ce problème juridique — il n'empêche pas une injonction américaine — mais il crée une couche de gouvernance supplémentaire et une visibilité pour les clients européens sur les accès à leurs données. Des observateurs juridiques notent que l'annonce est davantage une réponse aux exigences de gouvernance qu'une garantie juridique absolue contre la surveillance américaine, ce qui reste la critique principale des tenants d'une souveraineté numérique stricte.

Pour les RSSI et les DPO des grandes organisations françaises, ces évolutions modifient concrètement leur posture de dialogue avec Microsoft. La possibilité de démontrer à leurs autorités de contrôle — CNIL, ACPR, ARS selon le secteur — que les accès des ingénieurs du fournisseur cloud sont supervisés par un tiers européen et tracés de manière infalsifiable est un argument de conformité substantiel. Les organisations soumises aux référentiels SecNumCloud de l'ANSSI resteront cependant dans un régime différent : SecNumCloud impose des exigences de localisation et de souveraineté juridique plus strictes que ce que propose Microsoft avec Data Guardian, rendant ces nouvelles fonctionnalités insuffisantes pour les marchés publics les plus sensibles.

L'initiative s'inscrit dans une compétition directe avec les acteurs européens du cloud souverain. Des acteurs comme OVHcloud, Deutsche Telekom avec son offre Open Telekom Cloud, ou les projets soutenus par GAIA-X proposent des alternatives où le cadre juridique est entièrement européen. Microsoft, en déployant Data Guardian et les fonctionnalités Azure Local, cherche à répondre aux objections réglementaires sans céder le marché des administrations publiques et des secteurs critiques. Cette stratégie d'adaptation — plutôt que de localisation juridique complète — reste au cœur du débat sur la souveraineté numérique qui oppose régulièrement la Commission européenne et les grandes plateformes technologiques américaines.

Ce qu'il faut retenir

• Data Guardian instaure une supervision tierce européenne des accès ingénieurs Microsoft — une réponse concrète aux exigences NIS2, DORA et RGPD.
• Azure Managed HSM et VMs confidentielles sont désormais GA : les organisations peuvent conserver leurs clés hors de l'infrastructure Microsoft et protéger les données en cours de traitement.
• Ces mesures ne neutralisent pas le Cloud Act américain : pour une souveraineté juridique complète, les référentiels comme SecNumCloud restent la référence en France.