AWS a tracé une frontière autour du Brandebourg, puis publié la liste des passages autorisés

Résumé

• AWS sépare son nuage souverain européen sur cinq plans : l'entité juridique, les comptes et l'identité, le réseau, le personnel et le contrat. Chaque plan est documenté, aucun n'est simplement suggéré.
• Les six mêmes pages indiquent aussi où la séparation reste incomplète : métriques système internes, consultation d'experts, entités de support en Irlande et au Luxembourg, contractant luxembourgeois, et routage mondial pour certains services de messagerie.

Amazon Data Services European Sovereign Cloud GmbH est l'entité qui possède et exploite l'infrastructure sous-jacente de la première région du nuage souverain européen d'AWS, dans le Land de Brandebourg. La phrase est écrite noir sur blanc dans la FAQ d'aws.eu et reprise dans la FAQ sur la souveraineté numérique européenne. Ce qui compte, c'est ce qui entoure cette phrase.

La séparation existe, et elle est précise

Commençons par l'empilement des sociétés, parce que c'est la chose la plus facile à imiter et la plus difficile à imiter sérieusement. AWS décrit une nouvelle société mère et trois filiales allemandes : AWS European Sovereign Cloud GmbH comme mère, Amazon Data Services European Sovereign Cloud GmbH propriétaire et exploitante de l'infrastructure sous-jacente, AWS European Sovereign Cloud Development Centre GmbH employant le personnel d'exploitation, et Amazon European Sovereign Cloud Trust Services GmbH portant les certificats de confiance. La page de gouvernance ajoute l'affirmation structurante : une société mère contrôlée localement dans l'UE, dirigée par des citoyens de l'Union et soumise aux lois locales, avec un centre opérationnel de sécurité dédié.

Les comptes constituent le deuxième plan. AWS indique que les comptes AWS existants ne peuvent pas servir au nuage souverain, que les comptes souverains sont indépendants et non interopérables avec les autres régions AWS, et le livre blanc d'architecture place la facturation, les comptes et l'identité sur une pile souveraine dédiée, les comptes AWS mondiaux ne pouvant ni configurer ni accéder aux services souverains. Un opérateur qui ne peut pas se connecter depuis le nuage parent, c'est une autre forme de séparation qu'une promesse de résidence des données.

Le réseau est le troisième. Le même livre blanc décrit l'absence de dépendance critique à une infrastructure hors UE, un réseau dédié fourni par des opérateurs européens, des points de présence souverains via AWS Direct Connect, un routage Amazon Route 53 dédié et une autorité de certification racine européenne dédiée. La FAQ reprend le réseau dédié, les points de présence souverains et le Route 53 dédié.

Le personnel est le quatrième plan, et c'est là que la formulation devient prudente. Seules des personnes résidant dans l'UE et s'y trouvant physiquement pilotent les opérations quotidiennes, y compris l'accès aux centres de données, le support technique et le service client, selon la FAQ d'aws.eu. AWS décrit une transition progressive vers des opérations exclusivement confiées à des citoyens de l'Union — une transition, pas un état atteint.

Le cinquième plan est le contrat, et c'est l'instrument le plus solide de l'ensemble. L'avenant AWS European Sovereign Cloud, mis à jour le 14 mai 2026, garantit que seuls les personnels qualifiés du nuage souverain exploitent les services, fournissent le support, exploitent l'infrastructure de calcul et contrôlent les systèmes techniques et opérationnels contenant le contenu client et les métadonnées créées par le client. Il définit ce personnel comme des personnes employées par une entité AWS enregistrée dans l'UE, résidant dans l'UE ou citoyennes de l'Union, et présentes dans l'UE lorsqu'elles exercent leur rôle. Il précise que le personnel AWS hors UE n'a pas accès au contenu client ni aux métadonnées créées par le client, et qu'AWS ne dispose d'aucun moyen technique hors UE pour y accéder, sous réserve des exceptions énoncées. Il s'engage enfin sur une conception permettant un fonctionnement indépendant et indéfini, y compris indépendamment de toute connexion à une infrastructure hors UE.

Ce n'est pas une page marketing. C'est un document auquel des recours sont attachés.

Puis les mêmes documents nomment les passages

Un mur qui liste ses portes inspire plus confiance qu'un mur qui prétend n'en avoir aucune. Voici les portes qu'AWS a peintes elle-même.

La télémétrie opérationnelle. Le livre blanc d'architecture indique que certaines données qui ne sont ni du contenu client ni des métadonnées créées par le client — des métriques système internes — peuvent quitter l'UE pour la gestion de capacité, la surveillance des performances, les fonctions de sécurité et l'assistance au personnel souverain. La garantie contractuelle couvre le contenu et les métadonnées. Les métriques forment une autre catégorie, et AWS l'écrit.

La consultation d'experts. Le livre blanc restreint le personnel du nuage souverain, y compris le support et les opérateurs de centres de données, aux personnels qualifiés, tout en notant que les équipes techniques mondiales d'AWS peuvent être consultées par des mécanismes contrôlés. Une consultation n'est pas un accès. Ce n'est pas rien non plus.

Des entités de support hors d'Allemagne. La page des sous-traitants, dans l'état où elle était publiée le 28 juillet 2026, nomme Amazon Development Centre Ireland Limited et Amazon Web Services EMEA SARL comme entités AWS assurant un support à la demande du client, avec la précision qu'elles ne traitent pas de données client sauf si le client accepte de les partager pendant le support. Un ticket de support est un point de décision, pas une fuite automatique.

Le contractant. Pour les comptes associés à un client situé dans l'UE, la partie contractante est Amazon Web Services EMEA SARL, dont le siège est au Luxembourg. L'exploitation est au Brandebourg ; la signature est au Luxembourg.

Le routage de la messagerie. La même page nomme Key-Systems GmbH en Allemagne pour l'enregistrement de domaines Amazon Route 53, et avertit que pour certains services de messagerie, des fournisseurs en aval peuvent acheminer et traiter des données au niveau mondial si nécessaire. C'est une exception propre à un service, divulguée par le fournisseur plutôt que découverte par le client.

Les exclusions. L'avenant s'applique aux comptes du nuage souverain européen et exclut expressément AWS Training & Certification et AWS Professional Services. Une garantie de souveraineté délimitée par le périmètre d'un service est honnête ; l'acheteur qui suppose qu'elle couvre les personnes chargées de la migration a fait une inférence, il n'a pas lu une clause.

Il y a aussi une dérive de version à signaler. Le livre blanc décrit un conseil consultatif de quatre membres ; la page de gouvernance actuelle en annonce cinq. Le livre blanc emploie par endroits un langage prospectif là où la FAQ utilise désormais le présent. Ni l'un ni l'autre n'est un scandale. Les deux rappellent que ces documents vivent et que la date de votre due diligence compte.

Ce que le contrat ne peut pas montrer

L'avenant est un instrument privé entre deux parties. L'instrument public de responsabilité, pour l'adressage, c'est l'enregistrement au registre : quelle personne morale détient les numéros, dans quelle juridiction, et quel système autonome les annonce. Cela, n'importe qui peut le vérifier, pas seulement un client doté d'un service juridique.

J'ai tenté de lire cette couche pour cette entité et je n'ai pas pu : les tentatives d'inspection des données de plages IP publiées par Amazon et de l'enregistrement correspondant dans la base du RIPE NCC n'ont renvoyé aucun contenu lisible. Cet article n'affirme donc rien sur le statut de membre, les numéros de système autonome, les préfixes annoncés ou l'entité détentrice des adresses de cette région.

Cette lacune est une limite de consultation, pas la preuve d'une absence — et c'est exactement la lacune que la due diligence de l'acheteur doit combler, parce qu'une garantie sur un personnel strictement européen n'est pas une affirmation sur le détenteur des adresses utilisées.

Toute la démonstration tient dans cette distinction. Un contrat peut promettre que personne hors UE ne touche à vos données. Il ne peut pas, à lui seul, vous dire que l'espace d'adressage dont dépend votre charge de travail appartient à l'entité que vous croyez.

Ce qu'un acheteur doit faire de tout cela

Lisez l'avenant comme une spécification de périmètre, pas comme un certificat. Trois conséquences en découlent.

Premièrement, chiffrez les exclusions. Formation et services professionnels sortent de la garantie, ce qui signifie que le conseil et la migration autour d'une charge souveraine héritent d'un modèle d'accès différent de celui de la charge elle-même. Si votre argument de souveraineté dépend de qui peut voir les données pendant la transition, la transition n'est pas couverte.

Deuxièmement, lisez la page des sous-traitants le jour de la signature, pas le jour du cadrage. Elle portait une date au 28 juillet 2026. Les entrées de support, les agents d'enregistrement et les exceptions de messagerie changent au rythme du fournisseur.

Troisièmement, séparez les deux questions que vous posez réellement. « Qui peut accéder à mes données » trouve sa réponse dans l'avenant, et une bonne réponse. « Qui contrôle la continuité des adresses et de l'identité dont ma charge dépend » trouve sa réponse dans les enregistrements de registre et le routage, et une réponse publique. AWS a documenté la première question avec un luxe inhabituel de détail. La seconde reste du ressort de l'acheteur — avec un lien, une date et un examen de l'enregistrement — et aucune quantité de langage contractuel ne la remplace.