TL;DR : En 2026, les banques et assurances ne choisissent pas entre cloud souverain, privé et public — elles combinent les trois selon la sensibilité des données. Le cloud souverain gagne du terrain sous la pression de DORA et de l’ACPR, le cloud privé reste le socle historique et le cloud public hyperscaler se cantonne aux charges non critiques, souvent via des offres de confiance localisées.
Le cloud souverain n’a pas supplanté le cloud public dans le secteur financier français — il s’y est ajouté comme brique obligatoire sur un périmètre précis. J’ai accompagné plusieurs DSI de banques régionales et de mutuelles d’assurance dans leurs arbitrages cloud ces deux dernières années, et le constat est sans appel : personne ne mise tout sur un seul modèle.
La question n’est plus « quel cloud choisir » mais « quelle donnée va où, et pourquoi ».
Trois facteurs ont rebattu les cartes depuis 2024 : l’entrée en application de DORA (Digital Operational Resilience Act) en janvier 2025, la montée en maturité des offres de cloud souverain françaises (Bleu, S3NS, OVHcloud), et la pression continue sur les coûts d’infrastructure. Résultat : une architecture hybride assumée, documentée, et de plus en plus pilotée par le RSSI plutôt que par la seule DSI.
Le cloud souverain a longtemps souffert d’un déficit de crédibilité technique face aux hyperscalers américains. Ce n’est plus le cas en 2026. Les offres Bleu (Microsoft/Orange-Capgemini) et S3NS (Google Cloud/Thales) ont atteint un niveau de maturité fonctionnelle suffisant pour héberger des charges critiques, avec une isolation juridique et opérationnelle vis-à-vis du droit extraterritorial américain (Cloud Act).
Pour une banque ou un assureur, le cloud souverain répond à trois exigences concrètes :
En pratique, le cloud souverain héberge aujourd’hui prioritairement : les systèmes cœur bancaire (core banking), les référentiels clients (KYC — Know Your Customer), les moteurs de tarification assurance, et les environnements de conformité AML (anti-blanchiment).
Contrairement à un discours souvent entendu il y a trois ans (« le cloud privé, c’est du passé »), il reste en 2026 la colonne vertébrale de nombreux SI bancaires. Les datacenters privés — internes ou en colocation via des infogérants comme Hexatom, Cheops Technology ou les filiales infrastructure des grands groupes bancaires — continuent d’héberger les applications historiques (legacy) difficilement cloud-natives.
Trois raisons expliquent cette persistance :
Le cloud public hyperscaler (AWS, Azure, Google Cloud) garde une place réelle, mais fonctionnellement circonscrite. Les DSI que j’ai interrogés l’utilisent massivement pour :
| Usage | Cloud recommandé | Justification |
|---|---|---|
| Data & IA analytique (hors données sensibles) | Public hyperscaler | Puissance de calcul, time-to-market |
| Environnements de développement/test | Public ou hybride | Élasticité, coût à la demande |
| Core banking, KYC, AML | Souverain | Contrainte réglementaire DORA/ACPR |
| Legacy applicatif | Privé | Coût de migration, dette technique |
| Sites web, portails clients non sensibles | Public | Scalabilité, CDN natif |
L’enjeu pour la DSI n’est plus d’interdire le cloud public, mais de le gouverner : classification des données en amont, chiffrement systématique avec gestion des clés (BYOK — Bring Your Own Key ou HYOK — Hold Your Own Key), et contractualisation stricte des clauses de réversibilité.
Il faut être direct sur ce point : ce n’est pas la conviction géopolitique qui pousse les banques vers le cloud souverain, c’est la contrainte réglementaire. DORA impose depuis janvier 2025 aux entités financières européennes une gestion renforcée du risque lié aux prestataires tiers de services TIC (technologies de l’information et de la communication), avec :
Concrètement, un DSI qui héberge son core banking chez un hyperscaler américain doit aujourd’hui démontrer une stratégie de sortie crédible et testée. Beaucoup ont choisi de ne pas attendre le contrôle et d’anticiper via une migration partielle vers le souverain.
En conduite de projet, la donnée d’entrée n’est plus « quel cloud provider » mais « quelle classification de donnée ». Un projet de migration cloud dans le secteur financier démarre systématiquement par :
Les organisations les plus matures que j’ai vues opérer ont mis en place une gouvernance multicloud avec un comité mixte DSI/RSSI/Conformité qui valide chaque nouvelle charge applicative selon une grille de décision commune — pas un choix technique isolé.
📌 Vous pilotez une migration cloud dans un établissement bancaire ou assurantiel ? Tenexa a organisé un webinaire dédié à ces enjeux concrets : arbitrages réglementaires, retours de terrain, choix d’architecture.