Le débat sur la souveraineté numérique n’est plus réservé aux grandes puissances occidentales. Au Maghreb, et plus précisément au Maroc, la question du cloud souverain s’impose aujourd’hui comme un enjeu stratégique de premier plan. Face à la montée en puissance des géants américains du cloud — Amazon Web Services, Microsoft Azure, Google Cloud — les États cherchent à reprendre la main sur leurs données critiques. La France a tracé une voie avec sa doctrine “cloud de confiance”. Le Maroc semble vouloir s’en inspirer. Mais jusqu’à quel point ?
La souveraineté numérique, un défi universel
Depuis le scandale PRISM en 2013 et les révélations d’Edward Snowden, la notion de souveraineté des données a pris une dimension politique et sécuritaire inédite. Les gouvernements du monde entier ont réalisé que confier leurs données d’État à des hyperscalers soumis au droit américain — notamment le Cloud Act de 2018 — comportait des risques réels pour leur autonomie.
L’Europe a réagi la première, avec le RGPD en 2018, puis avec des initiatives nationales comme le label “SecNumCloud” de l’ANSSI en France. Ce label, particulièrement exigeant, impose aux prestataires cloud une qualification stricte garantissant que les données hébergées ne sont pas exposées à des législations extraterritoriales. C’est sur ce modèle que des projets comme Bleu (porté par Orange et Capgemini avec Microsoft) ou S3NS (Thales avec Google) tentent de construire un cloud souverain à la française.
Le Maroc observe ces développements avec un intérêt croissant, et pour cause : le royaume est engagé dans une transformation numérique accélérée, portée par la stratégie “Maroc Digital 2030” et des investissements massifs en infrastructure.
Le modèle français, une référence assumée
La France est l’un des rares pays à avoir construit une doctrine cohérente autour du cloud souverain. Plutôt que d’interdire les acteurs américains, elle a choisi une approche pragmatique : permettre l’utilisation de technologies étrangères — Microsoft, Google — à condition qu’elles soient opérées par des entités françaises juridiquement imperméables aux injonctions étrangères.
Le label SecNumCloud, pierre angulaire du dispositif
Le label SecNumCloud de l’ANSSI est souvent cité comme le standard de référence en Europe. Il impose notamment que l’opérateur du cloud soit détenu majoritairement par des capitaux européens, que le code source soit auditable, et que les données restent physiquement sur le territoire national. En 2023, plusieurs marchés publics français ont rendu ce label obligatoire pour les données sensibles de l’État.
Ce modèle a séduit des pays africains à la recherche d’un cadre crédible. Le Maroc, qui entretient des liens technologiques et institutionnels forts avec la France, s’en est largement inspiré dans ses réflexions réglementaires récentes.
Une doctrine en trois axes
La stratégie française repose sur trois piliers que le Maroc cherche à adapter à son contexte :
- La localisation des données : obligation d’héberger les données publiques sensibles sur le territoire national
- La qualification des prestataires : un mécanisme de certification équivalent au SecNumCloud, piloté par une autorité nationale
- La neutralité technologique : la possibilité d’utiliser des solutions hyperscalers via des opérateurs nationaux agréés
Le Maroc face à ses propres contraintes
Si la doctrine française offre un modèle séduisant, le Maroc ne peut pas la transposer telle quelle. Le royaume dispose d’un tissu technologique local encore en développement, d’une économie numérique en pleine croissance, mais aussi de capacités d’infrastructure qui restent inégales.
L’état actuel du cloud au Maroc
Le marché cloud marocain a connu une progression significative ces dernières années. Selon les estimations de plusieurs cabinets de conseil, il représentait environ 350 millions de dollars en 2022, avec une croissance annuelle projetée autour de 20 %. AWS, Microsoft et Google y sont tous présents, mais aucun ne dispose de data center local de grande envergure. Les données publiques marocaines transitent donc en grande partie par des serveurs situés hors du territoire.
Conscient de ce risque, le gouvernement marocain a lancé plusieurs initiatives. La Commission Nationale de Contrôle de la Protection des Données à Caractère Personnel (CNDP) joue un rôle de plus en plus actif. La loi 09-08 sur la protection des données personnelles, bien qu’antérieure au RGPD, a été renforcée, et des discussions sont en cours pour l’aligner davantage sur les standards européens.
Des projets de data centers nationaux
Plusieurs projets structurants ont été annoncés. Maroc Telecom, acteur historique du secteur, a investi dans l’extension de ses infrastructures cloud. Inwi et Orange Maroc développent également des offres IaaS et PaaS à destination des entreprises et des administrations. L’ambition affichée est de disposer, d’ici 2027, d’une offre cloud nationale capable d’absorber une part significative des données publiques sensibles.
Convergences et divergences avec l’approche française
Les parallèles entre les deux démarches sont réels, mais les différences aussi. La France bénéficie d’un écosystème de cybersécurité mature, de champions nationaux comme Atos, Thales ou OVHcloud, et d’un cadre réglementaire européen (RGPD, NIS2) qui lui confère un levier fort.
Le Maroc, lui, doit construire en parallèle la réglementation, l’infrastructure et la capacité industrielle. C’est un défi considérable, mais pas insurmontable. Le royaume a démontré sa capacité à rattraper son retard dans d’autres secteurs numériques, notamment dans la fintech et la e-administration.
Ce qui rapproche les deux approches
Les deux pays partagent une conviction commune : la souveraineté numérique n’est pas une option, c’est une nécessité stratégique. Ils adoptent tous deux une posture pragmatique — ni rejet des hyperscalers, ni abandon de contrôle — et misent sur la certification nationale des opérateurs comme mécanisme de confiance.
Ce qui les distingue fondamentalement
La France opère dans un cadre supranational européen qui lui donne un poids considérable dans les négociations avec les GAFAM. Le Maroc, en dehors de tout bloc régional comparable en matière numérique, doit négocier seul. Par ailleurs, les enjeux d’inclusion numérique restent prioritaires au Maroc, ce qui peut créer des tensions avec des exigences de souveraineté potentiellement coûteuses.
Vers un cloud souverain africain, le Maroc en tête de pont
L’ambition marocaine dépasse les frontières nationales. Le royaume se positionne depuis plusieurs années comme une plateforme régionale pour l’Afrique subsaharienne, notamment via Casablanca Finance City. Dans cette logique, un cloud souverain marocain robuste pourrait servir de modèle — ou d’infrastructure mutualisée — pour d’autres pays africains confrontés aux mêmes défis.
Des discussions au sein de l’Union Africaine portent sur la création d’un cadre panafricain de gouvernance des données. La Convention de Malabo, adoptée en 2014, reste peu ratifiée, mais les esprits évoluent. Le Maroc, qui maintient des relations technologiques étroites avec des pays comme le Sénégal, la Côte d’Ivoire ou le Rwanda, pourrait jouer un rôle d’architecte régional.
Si la France a construit son modèle cloud souverain en s’appuyant sur l’Europe, le Maroc pourrait, à terme, construire le sien en s’appuyant sur l’Afrique — et c’est peut-être là que réside sa plus grande originalité par rapport au modèle qu’il s’efforce d’adapter.
FAQ — Cloud souverain au Maroc en 2026
Le Maroc dispose-t-il déjà d’une loi sur le cloud souverain ?
Le cadre s’est considérablement durci et structuré fin 2025. Bien que la loi 05-20 sur la cybersécurité posait déjà les bases, le Maroc a franchi une étape décisive en septembre 2025 avec l’adoption d’un référentiel Cloud strict. Ce texte impose désormais la “Cloud First Policy” pour l’administration et définit des critères de qualification pour les prestataires, garantissant que les données sensibles ne peuvent être hébergées qu’au sein du territoire national ou sous juridiction marocaine.
Quelles différences entre cloud souverain et cloud sécurisé ?
Un cloud sécurisé offre des protections contre les cyberattaques (chiffrement, pare-feu). Un cloud souverain y ajoute une protection juridique et géographique. En 2026, cela signifie que même si vous utilisez une technologie étrangère (comme Oracle ou Microsoft), celle-ci doit être opérée localement par un acteur marocain (comme N+One) sous un contrat de droit marocain. L’objectif est de rendre les données insaisissables par des lois extraterritoriales comme le Cloud Act américain.
Les entreprises marocaines sont-elles concernées par ces enjeux ?
Plus que jamais. En 2026, la conformité n’est plus réservée aux seules administrations. Les banques, les opérateurs télécoms, le secteur de l’énergie (comme l’OCP) et les entreprises gérant des données de santé sont désormais tenus par le nouveau référentiel national. Le non-respect de la localisation des données sensibles sur le sol national expose les organisations à des sanctions administratives et pénales importantes prévues par la Direction Générale de la Sécurité des Systèmes d’Information (DGSSI).
Le modèle français est-il vraiment exportable au Maroc ?
Le Maroc s’est inspiré du SecNumCloud français pour bâtir son propre référentiel, mais il l’a adapté à sa réalité économique. En 2026, le pays ne cherche pas à s’isoler des géants mondiaux (hyperscalers), mais à les forcer à s’implanter physiquement. L’ouverture récente de régions Cloud locales par Oracle et Microsoft à Casablanca et Settat prouve que le modèle “technologie mondiale, juridiction locale” est la voie choisie par le Royaume pour concilier innovation et indépendance.
