Le Cloud, l'IA et les technologies de plateforme ouvrent de nouvelles perspectives aux hôpitaux. Mais chaque décision technologique soulève également une question stratégique : quelle maîtrise un hôpital conserve-t-il sur ses données, son exploitation informatique et ses futures décisions technologiques ?
C'est précisément l'enjeu de la souveraineté numérique pour le secteur de la santé. Elle ne signifie pas renoncer au Cloud ou aux fournisseurs de technologies internationaux. Elle signifie connaître les dépendances, les évaluer consciemment et les maintenir sous contrôle.
Cette question me préoccupe bien avant que le Cloud et l'IA ne dominent les discussions dans le secteur de la santé. Je la connais dans un autre contexte, issu de mon expérience dans les achats stratégiques hospitaliers.
Lors d'investissements dans les technologies médicales, les équipements lourds ou les infrastructures, ce qui importait n'était pas seulement ce qu'une solution offrait au moment de son acquisition.
Tout aussi importante était la question suivante : quelles dépendances allions-nous ainsi contracter pour les cinq ou dix prochaines années ? Comment évolueraient les services et les coûts ? Quelles possibilités d'extension resteraient disponibles ? Et quelles alternatives aurions-nous si nos exigences venaient à changer ?
Aujourd'hui, nous parlons de plateformes cloud, de systèmes d'information hospitaliers (SIH), d'espaces de données et d'IA. La logique d'une bonne décision d'investissement, elle, est restée la même.
La souveraineté numérique décrit pour moi avant tout la capacité d'une clinique à conserver le contrôle sur ses données, son exploitation informatique et ses décisions technologiques essentielles. L'indépendance numérique n'est toutefois pas l'objectif en soi, car aucun hôpital ne peut ni ne doit développer et exploiter l'intégralité de sa technologie par ses propres moyens. Ce qui est déterminant, c'est plutôt de conserver des alternatives d'action réalistes, y compris au sein des écosystèmes numériques.
La souveraineté numérique est bien plus que la question de savoir dans quel pays se trouve un serveur. Pour les hôpitaux, elle peut se concrétiser à quatre niveaux.
Souveraineté des données : Qui est autorisé à accéder aux données de santé ? Où sont-elles traitées ? Qui contrôle les clés cryptographiques ? Et est-il possible d'exporter les données intégralement et dans un format réutilisable ?
Souveraineté opérationnelle : Quels services externes sont essentiels à l'approvisionnement ? À quelle vitesse les systèmes peuvent-ils être restaurés ? Quelles sont les possibilités de fonctionnement d'urgence et de reprise en cas de défaillance d'un service ?
Souveraineté technologique : Dans quelle mesure les applications et les services de plateforme sont-ils interchangeables ? Des interfaces ouvertes, des modèles de données standardisés et l'interopérabilité peuvent empêcher que les données et les processus soient durablement liés à des systèmes propriétaires.
Souveraineté décisionnelle : L'hôpital conserve-t-il la capacité de choisir entre des alternatives réalistes lorsque les fournisseurs, les technologies, les coûts ou les exigences réglementaires évoluent ?
C'est précisément ce dernier niveau qui relie la souveraineté numérique à la responsabilité de soins. Car l'informatique est aujourd'hui une condition préalable à la capacité d'un hôpital à remplir sa mission médicale.
La question décisive n'est donc pas : Cloud public ou Cloud privé ? Elle est plutôt : Quel niveau de contrôle nous faut-il pour quelles données et quel processus ?
Un service d'information accessible au public a des exigences différentes de celles d'un système clinique central ou d'une plateforme traitant des données de santé particulièrement sensibles. Un Cloud hybride, par exemple, peut combiner différents modèles d'exploitation et permet d'affecter les Charges de travail en fonction de leur criticité. Les données et applications critiques peuvent être exploitées là où les exigences en matière de contrôle et de souveraineté sont particulièrement élevées. D'autres Charges de travail peuvent exploiter de manière ciblée l'évolutivité et la rapidité d'innovation des services de Cloud public.
Il est intéressant de noter que le débat européen suit de plus en plus cette approche fondée sur les risques. La Commission européenne a proposé en juin 2026 le Cloud and AI Development Act (CADA). Le cadre de souveraineté à l'échelle de l'UE qui y est prévu distingue quatre niveaux de souveraineté – du traitement et du stockage au sein de l'UE jusqu'au contrôle étendu sur les fournisseurs et les chaînes d'approvisionnement logicielles.¹
Pour les hôpitaux, il est possible d'en déduire un principe important : La souveraineté doit correspondre à la criticité. Une souveraineté maximale pour chaque Charge de travail individuelle n'est ni nécessaire ni économiquement viable. Ce qui est déterminant, c'est une architecture qui permet différentes options et n'empêche pas leur adaptation ultérieure.
Une connaissance importante issue des achats stratégiques en milieu hospitalier m'accompagne jusqu'à aujourd'hui : La qualité d'une décision d'investissement ne se révèle souvent que des années après l'acquisition.
Pour un équipement médical de grande taille, les dépendances sont relativement visibles. Les contrats de maintenance, l'approvisionnement en pièces détachées, les mises à jour logicielles et les possibilités d'extension peuvent être évalués en amont.
Dans le cas des plateformes numériques, les dépendances apparaissent souvent là où elles passent d'abord inaperçues : dans les interfaces propriétaires et les formats de données, les modèles de licences, les services de plateforme ou les processus opérationnels. Plus ces composants sont imbriqués les uns dans les autres, plus l'effort et les coûts d'un changement ultérieur peuvent être importants.
C'est pourquoi, selon moi, une question simple doit figurer dès le début de toute décision technologique stratégique :
Comment en sortir ?
Les données peuvent-elles être exportées intégralement et dans un format exploitable ? Les applications et les Charges de travail peuvent-elles être transférées vers un autre fournisseur ? Quel accompagnement est prévu contractuellement pour une migration ? Combien de temps durerait un changement - et l'hôpital pourrait-il continuer à fonctionner normalement pendant cette période ?
La portabilité et une stratégie de sortie solide ne sont donc pas des questions à régler en fin de contrat. Ce sont des critères pour la décision d'investissement initiale. L'EU Data Act mise également sur les possibilités de changement, la portabilité et l'interopérabilité pour les services cloud et de traitement des données.²
Cela vaut également pour le développement continu des SIH. Lorsque les données restent disponibles via des interfaces ouvertes et des modèles standardisés, indépendamment des applications individuelles, les cliniques peuvent plus facilement intégrer de nouveaux Services, des applications d'IA ou des plateformes. Une plateforme de données de santé indépendante des fabricants comme synedra AIM peut créer une infrastructure technologique à cet effet, sans lier durablement les données à des applications individuelles.
La technologie seule ne suffit pas à créer une souveraineté numérique. Les hôpitaux doivent également définir qui évalue les dépendances, qui décide du niveau de souveraineté nécessaire et à quel moment ces décisions doivent être réexaminées.
Pour les décisions technologiques importantes, la direction générale, le DSI, les achats, la sécurité de l'information et la protection des données doivent donc trouver ensemble des réponses aux questions essentielles :
La pertinence de ces questions est également illustrée par le débat actuel autour de la procédure américaine Trump v. Slaughter. Si l'arrêt lui-même ne concerne pas le droit européen à la protection des données et ne remet pas en cause l'EU-US Data Privacy Framework, il montre néanmoins comment les cadres politiques et juridiques peuvent évoluer, même lorsque la technologie utilisée reste inchangée.³
Pour les décideurs des hôpitaux, c'est précisément là que réside le message essentiel : une architecture ne doit pas seulement fonctionner dans les conditions d'aujourd'hui. Elle doit préserver les marges de manœuvre, même si ces conditions changent demain.
Les cliniques doivent moderniser leur informatique tout en gardant à l'esprit la rentabilité, la sécurité et les soins. La réforme hospitalière allemande accentue encore cette pression : selon le Krankenhaus-Barometer 2025 de l'Institut allemand des hôpitaux, deux tiers des hôpitaux ont enregistré des pertes en 2024 ; environ 90 % ont signalé une planification incertaine en lien avec la réforme.⁴
C'est précisément dans de telles conditions que les décisions technologiques doivent être durables sur le long terme.
La souveraineté numérique dans le secteur de la santé ne signifie donc pas éviter totalement les dépendances. Elle signifie les connaître, les évaluer et les maintenir sous contrôle.
Pour les DSI et les directions d'hôpitaux, trois questions en découlent, qui devraient selon moi être posées lors de chaque décision technologique majeure :
Si la réponse à cette question est oui, une véritable protection des investissements voit le jour. Car la souveraineté numérique ne se manifeste pas dans la technologie qu'un hôpital utilise aujourd'hui. Elle se manifeste dans les possibilités qui lui resteront ouvertes demain.
La souveraineté numérique dans le secteur de la santé décrit la capacité des hôpitaux et des autres acteurs à conserver le contrôle sur leurs données, leur exploitation informatique et leurs décisions technologiques essentielles. Ce qui est déterminant, ce n'est pas d'éviter totalement les dépendances, mais de les connaître, de les évaluer et de les maintenir maîtrisables.
Les hôpitaux dépendent de systèmes numériques disponibles à tout moment pour assurer leurs soins et traitent des données de santé particulièrement sensibles. La souveraineté numérique les aide à exploiter le Cloud, l'IA et les technologies de plateforme tout en conservant leur capacité d'action à long terme – même lorsque les fournisseurs, les technologies ou les cadres réglementaires évoluent.
L'indépendance numérique vise à réduire autant que possible les dépendances vis-à-vis de fournisseurs ou de technologies spécifiques. La souveraineté numérique va plus loin : un hôpital peut utiliser des services Cloud et des plateformes externes tout en agissant de manière souveraine, à condition que les dépendances restent transparentes et maîtrisables et que des alternatives d'action réalistes existent.
Non. Le niveau de souveraineté requis doit être déterminé par la criticité des données, des applications et des processus. Un service d'information accessible au public répond à des exigences différentes de celles d'un système clinique central traitant des données de santé sensibles. Les modèles de Cloud hybride peuvent combiner différentes formes d'exploitation et affecter les Charges de travail en fonction de leurs exigences.
Le Vendor Lock-in peut être limité notamment par des interfaces ouvertes, des modèles de données standardisés, des systèmes interopérables ainsi que des données et des Charges de travail portables. Les dispositions contractuelles relatives à un changement de fournisseur sont tout aussi importantes. L'essentiel n'est pas d'éviter toute dépendance, mais d'en connaître les impacts et les coûts de transition, et de les maintenir sous contrôle.
La souveraineté numérique se manifeste également dans la capacité d'un hôpital à changer réellement de fournisseur ou de technologie. Une stratégie de sortie devrait donc déjà tenir compte, lors de l'acquisition, des données et Charges de travail pouvant être transférées, des formats dans lesquels elles sont disponibles, du soutien que le fournisseur doit apporter et de la manière dont le fonctionnement de l'hôpital est assuré pendant une migration.
1 Commission européenne : Cloud and AI Development Act (CADA), proposition du 3 juin 2026. Le cadre de souveraineté européen proposé prévoit quatre niveaux de souveraineté basés sur les risques pour le cloud et l'IA.
2 Commission européenne : Data Act / Interopérabilité des Services de traitement des données. Le Data Act traite notamment des possibilités de changement, de la portabilité et de l'interopérabilité entre les Services de traitement des données.
3 Voir la classification relative à Trump v. Slaughter et au cadre de confidentialité des données UE-États-Unis ; le cadre reste en vigueur. L'affaire illustre les possibles évolutions des conditions-cadres politiques et réglementaires.
4 Institut allemand des hôpitaux (DKI) : Krankenhaus-Barometer 2025, publié par la Société allemande des hôpitaux (DKG), décembre 2025.
