Cloud de Microsoft en hausse, données suisses: une question de contrat
Azure progresse de 48 % sur le trimestre. Les résultats publiés ne disent toutefois rien de ce que les clients suisses doivent savoir sur les sites de données, les accès et les exceptions.
Microsoft a annoncé le 28 octobre 2026, pour le premier trimestre de son exercice 2027, un chiffre d'affaires de 92,3 milliards de dollars, soit 19 % de plus qu'un an auparavant. Azure a progressé de 48 % au cours du trimestre clos fin septembre. Selon Bloomberg, les analystes tablaient sur 44 %. Ces chiffres montrent la dynamique économique de l'activité cloud. Ils ne disent en revanche rien des garanties de protection des données dont bénéficie une entreprise suisse pour son application concrète.
Cette seconde question ne concerne pas seulement les grands groupes. Quiconque externalise des données clients, des dossiers du personnel ou de la correspondance commerciale doit savoir quelles données vont où. L'expression «cloud suisse» peut désigner un emplacement physique. Elle ne répond pas encore à toutes les questions sur le traitement, l'exploitation et l'accès.
La Suisse et l'Europe ne sont pas la même promesse
Microsoft exploite, selon ses propres indications, des régions cloud près de Zurich et de Genève depuis 2019. Dans sa présentation de la souveraineté suisse de février 2026, l'entreprise mentionne en outre l'EU Data Boundary. Celle-ci englobe l'UE et l'AELE, Suisse comprise. Garder des données à l'intérieur de cette frontière ne signifie donc pas automatiquement les stocker et les traiter exclusivement sur sol suisse.
Microsoft renvoie en outre à des autorisations d'accès, à des options de chiffrement et à des clés contrôlées par le client. Ce sont des indications du fournisseur sur ses possibilités, et non une preuve indépendante que chacune d'elles figure et est activée dans chaque contrat client. Pour un achat, une promesse précise est donc plus importante que le mot général de «souveraineté»: quels types de données, quels services et quels processus d'exploitation sont effectivement couverts?
Avec Azure, la configuration est aussi déterminante
La documentation Azure distingue les services régionaux des exceptions. Pour de nombreuses offres régionales, le client peut choisir la région de déploiement; l'unité géographique fixe le cadre de la résidence des données. Une réplication à l'intérieur de cette unité peut servir à la résilience. Le choix de l'emplacement et la copie de sauvegarde doivent donc être examinés ensemble.
Les applications d'IA sont particulièrement concernées. Pour les déploiements dits «Global» d'Azure OpenAI Service, les entrées et les sorties peuvent, selon la documentation de Microsoft, être traitées dans le monde entier. Pour les déploiements «DataZone», c'est une zone de données définie qui s'applique, et non obligatoirement un pays unique. Le stockage local des données au repos et le lieu du traitement en cours sont donc deux propriétés distinctes. Celui qui active un service devrait consigner les deux séparément et ne pas déduire l'ensemble des étapes de traitement de l'emplacement de stockage.
Les services connectés ont eux aussi leurs propres chemins de données
Un autre point de contrôle est l'identité numérique. La documentation de Microsoft sur Entra ID décrit la localisation des données en fonction de la configuration du tenant du client. Elle mentionne en outre des exceptions et des fonctions optionnelles. Lors d'une collaboration entre tenants, les données de comptes utilisateurs et d'appareils ainsi que des configurations peuvent par exemple être traitées sur le site d'un tenant étranger participant.
Conséquence pratique: il ne suffit pas de contrôler le stockage d'une application. L'authentification, la collaboration et les fonctions supplémentaires font elles aussi partie de la vue d'ensemble. Une organisation devrait traiter les modifications de ces paramètres comme des modifications du flux de données. Une architecture documentée à l'origine peut perdre sa valeur probante si de nouvelles fonctions s'y ajoutent plus tard.
La responsabilité reste chez le client
Le Préposé fédéral à la protection des données et à la transparence (PFPDT) rappelle que la responsabilité d'un traitement licite ne disparaît pas avec l'externalisation. Les clients doivent sécuriser contractuellement le traitement par un sous-traitant et examiner séparément toute communication de données à l'étranger. Le PFPDT cite notamment la confidentialité, le lien avec les instructions, la sécurité et les sous-traitants ultérieurs. L'effacement ou la restitution des données à la fin du contrat font aussi partie de l'examen.
La sortie du système est un test concret. Dans sa présentation suisse, Microsoft indique que l'export de données est possible. Un bouton d'export ne répond toutefois pas à la question de savoir si une entreprise peut continuer à exploiter son application à un coût raisonnable. Lors d'un essai propre, elle devrait donc non seulement sauvegarder des fichiers, mais aussi consigner les autorisations et les configurations nécessaires, puis tester la restauration. Il ne s'agit pas d'une affirmation sur un défaut existant, mais d'une exigence vérifiable posée à son propre plan d'urgence.
Pour les entreprises suisses, il en résulte un ordre précis: d'abord déterminer les données et le besoin de protection, puis recenser les services et les chemins de données prévus, et enfin comparer les promesses à la configuration effective. Les points ouverts doivent être traités avant la validation du contrat, et non seulement lors de l'analyse d'un incident. La croissance de Microsoft peut illustrer la demande. En revanche, la question de savoir si une externalisation donnée répond aux exigences propres se décide dans le contrat et dans l'exploitation – pas en Bourse.
Sources
- Microsoft: résultat trimestriel FY2027 Q1, 28 octobre 2026
- Microsoft Suisse: souveraineté numérique, 25 février 2026
- Microsoft Azure: résidence des données et exceptions
- Microsoft Learn: stockage et traitement des données pour Entra ID
- PFPDT: cloud computing et responsabilité des clients
- Bloomberg: le chiffre d'affaires cloud de Microsoft dépasse les attentes, 28 octobre 2026
- Photo de titre: NOIRLab/NSF/AURA/T. Slovinský, Wikimedia Commons
- Licence de la photo de titre: CC BY 4.0
- Image de l'article: Alexander-design, Wikimedia Commons / Pixabay
- Licence de l'image de l'article: CC0 1.0
