Alan, Doctolib, Implicity, Lifen et Resilience Care ont écrit au cabinet d’Anne Le Hénanff et à la DGE. Le gouvernement répond que la qualification ne deviendra pas une obligation générale pour les acteurs de la santé, mais le collectif redoute une exigence de fait dans les appels d’offres.

L’enjeu dépasse les cinq signataires : la lettre pose la question du référentiel qui conditionnera l’accès aux marchés publics hospitaliers pour l’ensemble des éditeurs de santé numérique. Sans évolution réglementaire, la qualification délivrée par l’Anssi pourrait s’imposer par la pratique, un scénario que le collectif veut désamorcer avant qu’il ne se généralise.

Une exigence de fait qui s’installe dans les appels d’offres

Après plusieurs mois d’échanges avec les pouvoirs publics, les cinq entreprises constatent que les discussions récentes laissent penser que SecNumCloud pourrait devenir la référence attendue dans les marchés publics, alors qu’aucun texte ne l’impose. Selon elles, certains établissements hospitaliers commenceraient à intégrer la qualification dans leurs appels d’offres, au risque d’exclure les acteurs s’appuyant sur des infrastructures cloud non qualifiées.

Le collectif rappelle l’état du droit : la réglementation impose le recours à un hébergeur certifié Hébergeur de données de santé (HDS). Le référentiel HDS, révisé en 2024, renforce les exigences de localisation des données dans l’Espace économique européen et de transparence sur les transferts, sans rendre SecNumCloud obligatoire.

Un coût de migration estimé entre 20 % et 50 %

L’argument économique structure la démarche. Une migration vers des offres qualifiées impliquerait, selon les signataires, la réécriture de composants logiciels, l’adaptation des applications, la formation des équipes, des recertifications et des périodes de double exploitation pour assurer la continuité de service. Ils estiment les surcoûts entre 20 % et 50 %.

Les entreprises alertent aussi sur le coût d’opportunité : une généralisation trop rapide mobiliserait leurs équipes d’ingénierie pendant plusieurs années sur des projets d’infrastructure, au détriment du développement de nouveaux services et de solutions d’IA. Elles jugent par ailleurs que les offres qualifiées SecNumCloud ne répondent pas encore à l’ensemble des besoins opérationnels des éditeurs du secteur.

Le collectif distingue plusieurs dimensions de la souveraineté au-delà de la cybersécurité : l’extraterritorialité des législations étrangères, dont le CLOUD Act américain, et la dépendance à des fournisseurs susceptibles d’interrompre leurs services de façon unilatérale.

Des enjeux qui, selon les entreprises, concernent aussi les infrastructures, les systèmes d’exploitation, les services SaaS et les technologies d’intelligence artificielle.

Elles plaident pour un alignement de la doctrine française sur le futur Cloud and AI Development Act (CAIDA) européen, qui prévoit une évaluation graduée des offres cloud à partir de plusieurs niveaux d’assurance et de critères portant sur le contrôle capitalistique, la protection contre les législations extraterritoriales et la continuité de service.

Le gouvernement écarte l’obligation générale, le dialogue s’ouvre

Le cabinet de la ministre déléguée chargée de l’intelligence artificielle et du numérique indique que le courrier a reçu une réponse et qu’une réunion avec les représentants du collectif est programmée. Le gouvernement réaffirme que SecNumCloud ne deviendra pas une obligation générale pour les acteurs de la santé.

Le débat cristallise un arbitrage que les décideurs publics devront trancher : réduire la dépendance aux fournisseurs extra-européens, soutenir l’émergence d’une filière française du cloud et accompagner le développement des usages de l’intelligence artificielle en santé.