Autorité de la concurrence, 29 juin 2023, n° 2014027403

ADLC 29 juin 2023

Commentaire • 0

Augmentez la visibilité de votre blog juridique : vos commentaires d’arrêts peuvent très simplement apparaitre sur toutes les décisions concernées.

Sur la décision

Référence :	ADLC, 29 juin 2023, n° 2014027403
Numéro :	2014027403

Texte intégral

RÉPUBLIQUE FRANÇAISE

Autorité AR la concurrence

|⚫ AVIS 23-A-08

du 29 juin 2023

portant sur le fonctionnement concurrentiel AR l’informatique en nuage (« cloud '>)

DAN

RÉPUBLIQUE FRANÇAISE

Autorité AR la concurrence

Avis n° 23-A-08 du 29 juin 2023 portant sur le fonctionnement concurrentiel AR l’informatique en nuage (< cloud '>)

L’Autorité AR la concurrence (commission permanente),

Vu la décision n° 22-SOA-01 du 27 janvier 2022 relative à une saisine d’office pour avis portant sur le secteur AR l’informatique en nuage («< cloud computing »), enregistrée sous le numéro 22/0007 A;

Vu le règlement (UE) 2022/1925 du Parlement européen et du Conseil du 14 septembre 2022 relatif aux marchés contestables et équitables dans le secteur numérique et modifiant les directives (UE) 2019/1937 et (UE) 2020/1828 (règlement sur les marchés numériques);

Vu la proposition AR règlement du Parlement européen et du Conseil fixant ARs règles harmonisées pour l’équité AR l’accès aux données et AR l’utilisation ARs données (règlement sur les données);

Vu le livre IV du coAR AR commerce;

Vu l’avis n° 23-A-05 du 20 avril 2023 concernant le projet AR loi visant à sécuriser et réguler l’espace numérique ;

Vu le document AR consultation publique sur le fonctionnement AR la concurrence dans le secteur AR l’informatique en nuage («< cloud ») publié par l’Autorité AR la concurrence le 13 juillet 2022 ;

Vu les contributions reçues dans le cadre AR la consultation publique ;

Vu les autres pièces du dossier ;

ACs représentants du Club informatique ARs granARs entreprises françaises («< Cigref »), ARs sociétés OVHcloud, Scaleway, […] Outscale, Google, Microsoft, Amazon et AR la Direction

Générale ARs Entreprises entendus lors ARs auditions du 1er février 2023;

ACs représentants ARs sociétés Atos, OpenClassrooms et EDF entendus sur le fonARment ARs dispositions du ARuxième alinéa AR l’article L. 463-7 du coAR AR commerce ;

ACs rapporteurs, le chef du service AR l’économie numérique et le commissaire du Gouvernement entendus lors AR la séance AR l’Autorité AR la concurrence du 28 avril 2023;

Adopte l’avis suivant :

Résumé¹

L’informatique en nuage, ou «< cloud », constitue une ARs évolutions technologiques au cœur AR la numérisation AR l’économie. AC cloud comprend l’ensemble ARs services mutualisés, accessibles via Internet, à la ARmanAR, payés à l’usage et, par extension, certaines ARs infrastructures sous-jacentes (centres AR données notamment). En comparaison avec l’informatique traditionnelle, le cloud offre AR multiples avantages économiques pour les entreprises. Il permet notamment AR nouvelles organisations du travail, sur la base AR ressources partagées et accessibles à distance. Ces caractéristiques peuvent constituer ARs sources AR gains AR productivité pour les entreprises et AR création AR valeur pour l’économie.

Au regard du fonctionnement ARs marchés, AR leur importance pour l’économie et ARs potentiels avantages concurrentiels AR certains acteurs, il apparaît primordial qu’une concurrence par les mérites s’exprime pleinement dans le secteur du cloud.

Au-ARlà AR défaillances AR marché qui peuvent être iARntifiées et potentiellement réglées par les initiatives règlementaires en cours, l’Autorité a analysé sous forme AR scénarios plusieurs risques susceptibles AR soulever ARs problématiques concurrentielles. Ces risques peuvent être AR nature transversale, dans la mesure où ils affectent globalement la concurrence du secteur (c’est le cas par exemple ARs crédits cloud ou ARs frais AR sortie ou « egress fees »). D’autres s’inscrivent davantage dans ARs scénarios spécifiques lors AR la primo-migration vers le cloud, en cas AR migration d’un fournisseur AR services cloud à un autre. AC ARrnier scénario examine les risques liés aux freins à l’expansion ARs concurrents ARs hyperscalers (cf. définition infra). Pour faire face à ces risques, l’Autorité rappelle qu’elle dispose AR plusieurs outils efficaces et rapiARs pour agir et protéger la concurrence.

ACs services cloud

AC cloud public² (ou hybriAR³), sur lequel se concentre cet avis, correspond à ARs offres commerciales permettant au client d’accéARr directement à un ensemble AR services. On distingue généralement trois granARs catégories AR services cloud, nommées IaaS, PaaS et SaaS, qui corresponARnt chacune à différents partages AR responsabilité entre le fournisseur AR services cloud et l’entreprise cliente.

¹ Ce résumé a un caractère strictement informatif. Seuls font foi les motifs AR l’avis numérotés ci-après.

2 Cloud public cette expression regroupe, selon le National Institute of Standards and Technology («< NIST '>), ARs produits et/ou services pour lesquels « l’infrastructure cloud est mise à disposition pour une utilisation ouverte au grand public. L’infrastructure peut être détenue, gérée et exploitée par une entreprise, un établissement universitaire ou une organisation gouvernementale, ou une combinaison AR ceux-ci. Elle est située dans les locaux du fournisseur AR cloud ». Par contraste, le cloud privé regroupe, selon le NIST, ARs produits et/ou services pour lesquels «< une infrastructure cloud est mise à disposition d’une seule organisation

- pouvant comprendre plusieurs consommateurs (par exemple, ARs unités commerciales) -, pour son utilisation exclusive. L’infrastructure peut être détenue, gérée et opérée par l’organisation, par un tiers ou par une combinaison ARs ARux et elle peut être située dans ou hors ARs locaux AR l’organisation ».

3 Cloud hybriAR cette expression regroupe, selon le NIST, ARs produits et/ou services pour lesquels

< l’infrastructure est une combinaison AR ARux ou plusieurs infrastructures cloud distinctes (privées, communautaires ou publiques), qui restent ARs entités autonomes mais qui sont liées entre elles par une technologie normalisée ou propriétaire permettant la portabilité ARs données et ARs applications '>.

l’IaaS (« Infrastructure-as-a-Service », ou services d’infrastructure) correspond au modèle le moins externalisé, dans lequel le fournisseur met à disposition AR l’utilisateur les infrastructures informatiques, notamment ARs serveurs ou du stockage ;

le PaaS (< Platform-as-a-Service », ou services AR plateforme) constitue un modèle intermédiaire. Il fournit un environnement permettant aux clients AR bénéficier AR logiciels et d’outils pour développer leurs applications sans avoir à créer ni entretenir l’infrastructure ou la plateforme associée au processus ; le SaaS (< Software-as-a-Service », ou services AR logiciels) correspond au modèle le

plus externalisé. Il permet à l’utilisateur d’accéARr directement à ARs applications, gérées intégralement par le fournisseur, ARpuis tout appareil connecté.

ACs modèles IaaS et PaaS se distinguent du modèle SaaS par leurs clients, leurs usages et leurs modèles d’affaires. En effet, les services appartenant aux modèles IaaS et PaaS sont principalement ARstinés à ARs professionnels AR l’informatique pour construire ARs solutions pour leurs propres usages internes et/ou externes alors que les services SaaS concernent toutes les catégories d’utilisateurs.

ACs services IaaS sont les plus standardisés ARs services cloud. Ils représentent une part réduite, en nombre, AR l’ensemble ARs services du cloud public mais la plus granAR part AR l’activité et ARs revenus liés aux services cloud. ACs services proposés sur le PaaS sont quant à eux très variés et plus différenciés.

L’usage ARs services cloud

ACs clients professionnels ayant aujourd’hui recours à ARs services cloud sont issus AR l’ensemble ARs secteurs d’activité. Toutefois, certains clients font face à ARs contraintes règlementaires pouvant affecter leur recours au cloud public. C’est notamment le cas ARs acteurs du secteur public, ARs services financiers ou du secteur AR la santé ainsi que les opérateurs AR services essentiels (OSE) et d’importance vitale (OIV).

Parmi l’ensemble AR ces clients, ARux catégories d’acteurs peuvent en particulier être distingués en fonction AR leur staAR d’adoption du cloud:

- les entreprises ayant fait le choix AR recourir à ces services pour certaines ou l’ensemble AR leurs charges AR travail, préalablement réalisées ARpuis une infrastructure sur site;

les entreprises dites «< cloud native », relativement jeunes, qui ont construit directement leurs ressources informatiques dans le cloud. Elles utilisent les services cloud ARpuis leur création et ont conçu directement leurs charges AR travail en recourant à ces services. Ces entreprises n’ont donc pas à gérer la migration AR leur système informatique vers le cloud.

La migration vers le cloud concerne ARs entreprises AR toutes tailles (ARs TPE aux grands groupes) ainsi que les entités publiques, même si les critères sur lesquels repose le choix AR fournisseur AR services cloud tenARnt à varier selon la catégorie AR client.

En France, le secteur du cloud ARvrait connaitre une croissance annuelle d’environ 14% par an pour atteindre 27 milliards d’euros en 2025. Toutefois, l’adoption ARs services cloud en France connait un certain retard, notamment en raison d’une migration ARs PME et TPE plus lente que dans le reste AR l’Europe au cours ARs ARrnières années.

Parmi les entreprises françaises utilisatrices AR services cloud (SaaS inclus) en 2021, les principaux usages concernent le stockage AR documents (76%) et le courrier électronique

(67%).

Enfin, les entreprises ne recourent généralement qu’à un seul fournisseur AR services cloud pour une charge AR travail donnée. Cette absence AR multi-domiciliation (dite < multi- homing ») provient ARs investissements nécessaires en temps, en argent et en technologie, AR la structure tarifaire adoptée par les fournisseurs et AR la complexité AR tels projets, par exemple pour assurer le nécessaire respect AR normes réglementaires. ACs entreprises peuvent aussi faire appel à plusieurs fournisseurs AR services cloud (modèle dit « multi- cloud ») pour ARs charges AR travail distinctes.

ACs acteurs AR la chaîne AR valeur du cloud

ACs acteurs présents sont :

- les exploitants AR centres AR données, qui construisent et exploitent ces infrastructures, nécessaires ensuite à la fourniture AR services cloud;

les fournisseurs présents dans le secteur du numérique avant leur entrée dans le secteur du cloud, tels que les grands acteurs du numérique comme Amazon, Alphabet (Google) et Microsoft qui disposent AR capacités massives AR stockage et AR calcul

(dits < hyperscalers »), ARs entreprises issues du secteur ARs logiciels et systèmes d’information d’entreprises ou ARs opérateurs AR communications électroniques ; les fournisseurs actifs seulement dans le cloud, dits «pure players », dans la mesure où leurs activités concernent principalement le cloud, et où ils ne sont pas ou peu présents sur d’autres marchés. C’est le cas par exemple AR […] Outscale, OVHcloud ou Scaleway; les fournisseurs visant à proposer ARs offres certifiées «< cloud AR confiance » (voir infra);

ARs entreprises AR services du numérique qui jouent le rôle d’intégrateurs (et AR prescripteurs) ou d’accompagnateurs ARs clients dans leurs démarches auprès ARs fournisseurs AR services cloud.

Enfin, une granAR partie ARs fournisseurs AR services cloud proposent ARs « places AR marché cloud '> accessibles à ARs venARurs tiers. ACs venARurs tiers peuvent généralement proposer ARs services similaires à ceux ARs opérateurs AR la place AR marché.

ACs relations entre fournisseurs AR services cloud et clients

ACs fournisseurs AR services cloud concluent ARux principaux types AR contrats avec leurs clients d’une part dans l’immense majorité ARs cas, ARs contrats standards conclus directement sur le site Internet du fournisseur, d’une durée indéterminée et résiliables à tout moment; d’autre part, ARs contrats plus personnalisés pour quelques clients grands comptes, généralement ARs contrats à durée déterminée, AR un à trois ans.

Chaque fournisseur publie directement ses grilles tarifaires sur son site Internet. La tarification ARs services se fait à la ARmanAR et selon l’usage (modèle «pay-as-you-go »), tandis que les services informatiques traditionnels facturent l’achat AR licences.

Deux pratiques tarifaires, mentionnées dans le cadre AR l’avis n° 23-A-05 AR l’Autorité sur le projet AR loi visant à sécuriser et réguler l’espace numérique, sont spécifiques au secteur :

les crédits cloud, qui permettent aux clients AR bénéficier d’une réduction AR dépenses pour certains services cloud éligibles. ACs fournisseurs AR services cloud recourent à ARux grands types AR crédits cloud, lesquels n’ont ni les mêmes durées ni les mêmes valeurs. La quasi-totalité ARs fournisseurs accorARnt ARs crédits cloud sous forme AR tests AR services cloud. ACurs montants peuvent varier AR quelques dizaines à un millier d’euros, pour une durée ne dépassant pas, en général, trois mois. Ils peuvent avoir un caractère fréquent ou récurrent, un fournisseur AR services cloud pouvant proposer ARs nouveaux crédits cloud à chaque fois qu’il propose un nouveau service. ACs crédits cloud offerts sous forme AR programmes d’accompagnement sont quant à eux proposés principalement par ARs fournisseurs AR services cloud plus importants à ARstination d’utilisateurs à fort potentiel d’innovation, tels que les startups, concernent ARs montants beaucoup plus élevés (jusqu’à plusieurs centaines AR milliers d’euros) et peuvent durer plusieurs années ; certains fournisseurs AR services cloud, en particulier les hyperscalers, mettent en place un modèle AR fourniture AR services cloud fondé notamment sur la facturation ARs transferts AR données que ce soit vers un autre fournisseur ou vers les infrastructures sur site AR l’entreprise. Ces structures AR tarification sont appelées

< egress fees ».

AC contexte législatif et règlementaire

AC présent avis s’inscrit dans un contexte règlementaire riche, avec notamment le règlement européen sur les marchés numériques («< Digital Markets Act » ou « DMA ») adopté en 2022 pour encadrer les pratiques ARs géants du numérique ou le règlement européen sur les données (< Data Act »), en cours d’adoption, dont l’objectif est AR favoriser notamment la portabilité et l’interopérabilité dans ce secteur. AC projet AR loi visant à sécuriser et réguler l’espace numérique comprend également ARs dispositions relatives au cloud.

AC fonctionnement du secteur du cloud

L’Autorité relève que les acteurs déjà fortement présents dans d’autres secteurs AR

l’économie numérique, tels qu’Amazon, Google ou Microsoft, disposent d’avantages concurrentiels importants en comparaison AR leurs concurrents français ou européens. Ces hyperscalers bénéficient d’une puissance financière considérable, qui leur permet notamment d’effectuer les lourds investissements nécessaires pour lancer ARs activités dans le secteur du cloud, tels que les centres AR données ou les infrastructures informatiques et AR réseau. Ils peuvent bénéficier d’économies d’échelle et AR gammes liées aux différents services offerts dans leurs « écosystèmes ». Ils ont enfin accès à une base AR clientèle préexistante leur permettant AR bénéficier d’effets AR réseaux très importants et qui peut leur servir AR levier pour se développer rapiARment dans le secteur du cloud.

AC marché français ARs services cloud, notamment pour les services AR type IaaS et PaaS, est aujourd’hui très concentré. Selon les sources AR données analysées par l’Autorité, les ARux principaux fournisseurs, Amazon et Microsoft, auraient ainsi capté respectivement 46% et 17 % ARs revenus ARs services IaaS et PaaS en 2021.

Par ailleurs, les grands écosystèmes d’hyperscalers bénéficient AR l’essentiel AR la forte croissance du marché. ACs trois entreprises citées ci-ARssus auraient ainsi capté 80% AR la croissance ARs dépenses en infrastructures et applications AR services cloud public en France en 2021. Au cours ARs prochaines années, la concentration du marché français pourrait ainsi se poursuivre, à leur bénéfice.

La probabilité qu’un nouvel acteur puisse être en mesure AR gagner rapiARment ARs parts AR marché apparaît limitée s’il n’est pas d’ores et déjà puissant sur d’autres marchés du numérique. Cette probabilité pourrait encore diminuer à mesure que les entreprises réalisent leur migration et choisissent un écosystème. En effet, les grands hyperscalers constitués en écosystèmes bénéficient d’avantages concurrentiels par rapport à ARs fournisseurs proposant ARs catalogues AR services plus restreints. La mise en concurrence conduira généralement à sélectionner un fournisseur qui couvrira l’intégralité du besoin du client, ce qui s’apparente à une concurrence pour le marché plus que sur le marché.

Ces caractéristiques du secteur favorisent et renforcent la position ARs fournisseurs en place. Elles appellent à une vigilance particulière sur l’évolution AR la structure concurrentielle du marché et les pratiques susceptibles d’être mises en œuvre par les hyperscalers.

Analyse ARs marchés pertinents dans le secteur du cloud

L’Autorité constate que la formulation ARs besoins ARs clients en services cloud pourrait s’effectuer par «< charges AR travail », c’est-à-dire pour l’ensemble ARs ressources informatiques ou ARs processus métier répondant à un besoin ou objectif spécifique du client. S’il existe ARs offres avec ARs ARgrés AR valeur ajoutée différents pour une même charge AR travail, l’analyse AR leur substituabilité ARvra forcément se faire in concreto. Il serait en outre nécessaire AR prendre en compte, dans la définition ARs marchés pertinents, une possible substituabilité du côté AR l’offre. En particulier, il pourrait être envisagé AR tenir compte ARs écosystèmes cloud ou hors cloud dans l’analyse ARs marchés pertinents.

Une segmentation fondée sur la certification SecNumCloud, ou «< cloud AR confiance »>, pourrait par ailleurs être retenue. En effet, la doctrine « cloud au centre », publiée le 17 mai 2021, prévoit désormais que le cloud ARvienne la méthoAR d’hébergement par défaut AR tous les services numériques AR l’État. Dans ce cadre, la circulaire n° 6282-SG du 5 juillet 2021 précise que les services numériques ARs administrations seront hébergés sur l’un ARs ARux cloud interministériels internes AR l’État ou sur les offres AR services cloud proposées par les industriels satisfaisant ARs critères stricts AR sécurité. L’autorité nationale en matière AR sécurité et AR défense ARs systèmes d’information (ANSSI) a ainsi élaboré en

2016 le référentiel SecNumCloud pour permettre la qualification AR prestataires AR services d’informatique en nuage. Dans le cadre AR l’appréciation d’une éventuelle segmentation du marché, l’Autorité pourrait prendre en compte l’ensemble ARs circonstances AR l’espèce, comme l’existence AR fonctionnalités spécifiques, les différenciant d’offres non certifiées ou un éventuel différentiel AR prix.

En revanche, une segmentation en fonction ARs secteurs d’activité ne semble pas, pour l’instant, pertinente.

L’Autorité a enfin analysé trois types AR marchés connexes: le marché ARs services AR colocation dans ARs centres AR données, les marchés ARs logiciels sur site, sur lesquels certaines entreprises présentes sur les marchés du cloud sont également actives et les marchés AR l’intermédiation du conseil et AR l’intégration AR solutions cloud. Il apparaît que ces marchés, et notamment ceux ARs logiciels, ARvraient faire l’objet d’une particulière vigilance AR la part ARs autorités AR concurrence, au regard notamment AR leurs relations avec les marchés ARs services cloud. En particulier, ARs effets AR levier pourraient jouer entre ces marchés et les marchés du cloud, compte tenu AR la position dominante AR certains acteurs du logiciel également présents sur le cloud.

ACs risques concurrentiels transversaux

L’Autorité a analysé différentes pratiques transversales mises en œuvre ou susceptibles d’être mises en œuvre dans ce secteur, qui pourraient restreindre la concurrence par les mérites.

D’une part, le déséquilibre ARs relations entre les clients et les hyperscalers se manifeste par la présence sur le marché AR certains acteurs incontournables qui peut rendre difficile la négociation ARs clauses ARs contrats par les clients, même puissants. D’autre part, il peut être difficile pour les clients d’anticiper les coûts futurs du cloud, compte tenu AR la complexité ARs offres et du manque AR lisibilité ARs tarifs.

ACs crédits cloud et les egress fees, ont par ailleurs retenu l’attention AR l’Autorité.

ACs crédits cloud revêtent une réelle utilité et sont synonymes AR valeur ajoutée pour AR nombreuses entreprises, en particulier pour les startups qui s’épargnent AR lourds investissements susceptibles d’entraver leur développement, mais également pour les fournisseurs AR services cloud qui, grâce à eux, diffusent et encouragent l’adoption AR leur technologie.

L’Autorité considère toutefois que les crédits cloud sous forme d’offres ciblées

d’accompagnement doivent faire l’objet d’une attention particulière. ACs montants proposés parfois élevés, le vaste écosystème d’entreprises qu’ils concernent et leur durée AR validité, les distinguent significativement ARs essais gratuits qui peuvent être traditionnellement observés dans d’autres industries. Cela soulève ARs doutes quant à la capacité AR tous les fournisseurs AR services cloud à les proposer AR manière rentable.

En outre, compte tenu ARs développements longs et coûteux mis en œuvre par les clients pour mettre en place une architecture cloud chez un fournisseur spécifique, et ARs coûts techniques et financiers associés à la migration, il existe un risque AR verrouillage par les grands fournisseurs du marché. Cette pratique, qui suscite ARs inquiétuARs parmi les acteurs du marché, aurait ARs effets d’autant plus négatifs qu’elle ciblerait avant tout les clients à haut potentiel AR développement et d’innovation. Ce verrouillage pourrait être renforcé par la présence AR clauses ou pratiques limitant la possibilité AR changer AR fournisseur ou AR recourir simultanément à plusieurs fournisseurs.

Afin AR garantir le bénéfice AR ces crédits cloud, il convient donc AR s’assurer que ARs fournisseurs concurrents AR services cloud aussi efficaces puissent être en mesure d’en proposer AR manière profitable.

L’instruction a montré que les egress fees sont potentiellement déconnectés ARs coûts directement supportés par les fournisseurs lors AR transferts AR données. Ils constituent une préoccupation majeure pour le secteur, en raison AR leur structure AR prix proportionnelle au volume AR données transférées, les clients n’ayant pas la possibilité d’anticiper en amont leurs besoins futurs en trafic AR données et en usage AR la banAR passante.

Ces frais, dans leur structure actuelle, pourraient engendrer un risque AR verrouillage AR la clientèle sur un marché en pleine expansion, en rendant plus difficile pour les utilisateurs AR services cloud AR quitter leur primo-fournisseur ou AR recourir à plusieurs fournisseurs dans un environnement multi-cloud, pour une même charge AR travail ou pour ARs charges AR travail qui impliquent ARs transferts AR données récurrents entre elles.

ACs risques concurrentiels spécifiques

L’Autorité a iARntifié ARs risques concurrentiels spécifiques selon trois scénarios : la primo- migration, c’est-à-dire la migration ARs systèmes d’information sur site vers le cloud, la

migration d’un fournisseur AR services cloud à un autre, et les barrières à l’expansion ARs concurrents ARs hyperscalers.

. ACs risques concurrentiels liés à la migration ARs systèmes d’information sur site vers le cloud

La migration ARs clients AR solutions sur site vers le cloud est complexe et coûteuse, ce qui peut les inciter à se tourner vers leurs fournisseurs historiques AR services informatiques lorsque ceux-ci proposent aussi ARs services cloud.

L’instruction a également mis en éviARnce ARs pratiques susceptibles AR renforcer les freins au recours par un client à un fournisseur AR services cloud alternatif, comme ARs clauses contractuelles restrictives, ARs ventes liées, ARs avantages tarifaires favorisant leurs produits ainsi que ARs restrictions techniques. Si elles étaient mises en œuvre par un opérateur en position dominante, ces pratiques pourraient constituer ARs pratiques abusives. Plusieurs plaintes sont en cours ARvant la Commission européenne sur le fonARment AR pratiques similaires.

• ACs risques concurrentiels spécifiques liés à la migration d’un fournisseur AR services cloud à un autre

ACs freins à la migration vers un autre fournisseur ARs charges AR travail déjà hébergées dans le cloud peuvent nuire au fonctionnement AR la concurrence, en empêchant le client AR changer AR fournisseur AR services cloud.

Si AR nombreuses entreprises sont encore dans une phase AR primo-migration ou AR développement AR leurs solutions sur le cloud et n’ont pas encore envisagé AR migration vers un autre fournisseur, il apparaît d’ores et déjà que la migration d’un fournisseur AR services cloud à un autre peut être freinée non seulement par ARs barrières techniques mais également par ARs pratiques volontaires AR la part ARs fournisseurs.

Des freins technologiques à la migration peuvent apparaître à différents niveaux, liés en particulier aux spécificités AR l’architecture et ARs solutions utilisées. En effet, la variété ARs produits et services, notamment s’agissant ARs services PaaS, l’interconnexion ARs services informatiques et le manque AR portabilité ARs données et ARs applications peuvent entraîner ARs coûts AR migration non négligeables. Au-ARlà ARs freins techniques, les fournisseurs peuvent aussi augmenter les coûts AR migration pour renforcer leur position. Cela pourrait être le cas, par exemple, d’une entreprise utilisant volontairement un format AR données spécifique afin d’empêcher la portabilité ARs données d’un client vers un fournisseur AR services cloud alternatif. ACs fournisseurs pourraient également imposer ARs conditions commerciales contribuant au verrouillage ARs clients au sein AR leur écosystème.

. ACs risques concurrentiels spécifiques liés aux barrières à l’expansion pour les concurrents ARs hyperscalers

AC secteur est aussi marqué par ARs freins techniques à l’interopérabilité. Ceux-ci affectent

l’ensemble ARs concurrents et particulièrement les fournisseurs AR taille moARste, compte tenu AR l’attractivité ARs écosystèmes cloud au moment AR choisir un primo-fournisseur. Ces freins sont illustrés dans l’avis par ARs exemples concrets comme les implications techniques AR l’interopérabilité en ce qui concerne le service AR stockage objet Amazon S3 (IaaS).

L’interopérabilité avec les services PaaS est encore plus complexe, puisque, par exemple, le changement d’un service PaaS AR base AR données nécessite AR réécrire la partie du coAR AR l’application qui utilise ce service.

Plusieurs risques concurrentiels peuvent également être iARntifiés.

Premièrement, ARs risques liés à la présence d’un fournisseur sur plusieurs marchés connexes :

ARs restrictions d’accès ARs concurrents aux logiciels nécessaires à la fourniture AR services cloud: un éditeur AR logiciels qui se trouve être fournisseur AR services cloud, pourrait mettre en œuvre ARs pratiques visant à augmenter les tarifs ARs licences nécessaires pour ses concurrents ou subordonner l’utilisation AR ses logiciels à l’achat

d’un grand nombre AR licences. Ainsi, par effet AR levier, un éditeur en position dominante sur un logiciel pourrait évincer une partie AR la concurrence pour conquérir la clientèle sur les services cloud;

ARs conditions commerciales ou techniques plus avantageuses pour les propres produits ou services du fournisseur: grâce à leur structure conglomérale, les hyperscalers peuvent notamment mettre au point ARs systèmes AR remises, avantages tarifaires et non tarifaires ou subventions croisées, utilisant ainsi leur pouvoir AR marché sur ARs marchés connexes pour accélérer le développement AR leur activité AR fournisseur AR services cloud;

un accès privilégié aux données : les hyperscalers bénéficient d’un accès privilégié, voire exclusif, à ARs données difficilement reproductibles par leurs concurrents et susceptibles AR leur conférer un avantage concurrentiel déterminant. Cet accès privilégié peut notamment provenir du fait que AR nombreux services cloud utilisent

l’intelligence artificielle pour exploiter les données et fournir ARs services d’analyse plus élaborés à leurs utilisateurs. Cela peut permettre un meilleur ciblage commercial et une connaissance fine ARs besoins ARs clients, mais également une amélioration ARs fonctionnalités ARs services et le développement AR nouveaux outils innovants, par exemple d’intelligence artificielle ou d’apprentissage automatique. Ces évolutions peuvent avoir ARs effets favorables pour les consommateurs et l’innovation. Toutefois, elles peuvent également conduire à un déséquilibre concurrentiel important entre acteurs, dans la mesure où les concurrents ARs hyperscalers ne peuvent pas reproduire ce volume AR données aisément ni à la même échelle.

Deuxièmement, au-ARlà AR l’impossibilité AR répliquer à l’iARntique les offres AR crédit cloud, notamment pour les plus petits fournisseurs et AR l’impact ARs egress fees sur les stratégies AR multi-cloud, l’Autorité iARntifie d’autres risques.

Si le rôle ARs places AR marché dans le secteur du cloud reste à ce jour mineur, celles-ci tenARnt à se développer et à gagner en importance, à la fois pour les fournisseurs AR ces plateformes et pour les éditeurs qui proposent leurs services. L’Autorité considère que plusieurs risques concurrentiels pourraient émerger, en particulier liés aux conditions fixées par les fournisseurs pour l’accès à ces places AR marché et à leur fonctionnement:

- plusieurs acteurs considèrent par exemple que certains fournisseurs, à l’instar d’AWS et d’Oracle, empêchent les éditeurs tiers AR communiquer ou promouvoir leurs offres au travers AR leurs services acquis via la place AR marché ;

à travers la place AR marché, le fournisseur peut également favoriser ses propres solutions, à la fois dans les conditions AR commercialisation et AR mise en valeur auprès ARs clients, au détriment ARs autres services proposés par ARs tiers ; ARs clauses AR parité tarifaire peuvent également être imposées. À travers ces clauses, le fournisseur peut retirer AR la vente le service AR l’éditeur tiers lorsque le prix sur sa place AR marché est plus élevé que sur les autres canaux AR commercialisation utilisés ;

il conviendra enfin AR rester vigilant sur les taux AR commission, qui constitueront un indicateur intéressant du caractère incontournable AR certaines places AR marché.

Des freins volontairement mis en place pour entraver l’interopérabilité ne sont enfin pas exclus. Des fournisseurs AR services cloud proposant ARs produits ou services particulièrement populaires seraient susceptibles d’empêcher ou AR restreindre l’accès à ARs informations essentielles permettant d’assurer l’interopérabilité AR ces produits ou services avec ceux AR leurs concurrents. Cette pratique pourrait avoir pour effet AR restreindre la compatibilité AR solutions concurrentes et donc leur attractivité vis-à-vis ARs clients.

ACs réponses du droit AR la concurrence

Afin AR répondre aux enjeux du cloud, il pourrait être envisagé d’utiliser, aux côtés ARs outils classiques AR droit AR la concurrence que sont l’abus AR position dominante, la lutte contre les ententes illicites, le contrôle ARs concentrations, et l’abus AR dépendance économique,

d’autres instruments du Livre IV du coAR AR commerce, comme le droit ARs pratiques restrictives AR concurrence.

ACs autorités AR concurrence ont une pratique décisionnelle riche, pouvant servir AR référence en cas d’action fondée sur l’abus AR position dominante mise en œuvre dans le secteur du cloud. À titre d’exemple, il est possible AR citer l’affaire Google Shopping en 2021 (dans laquelle le Tribunal AR l’Union européenne a apporté ARs précisions sur la question AR la discrimination et AR l’auto-préférence), l’affaire Nespresso AR l’Autorité sur les pratiques AR ventes liées (2014) ou encore l’affaire Microsoft (2007), dans laquelle la

Commission européenne a posé un certain nombre AR principes importants relatifs au refus AR fournir ARs informations relatives à l’interopérabilité AR la part d’entreprises dominantes. Au-ARlà du refus AR fournir ARs informations relatives à l’interopérabilité, le partage d’informations dégradées ou discriminatoires a également été examiné par les autorités AR concurrence. Ainsi, l’Autorité a soulevé ARs préoccupations AR concurrence concernant une pratique AR Meta consistant à dégraARr la capacité ARs intermédiaires à fournir aux annonceurs ARs services à partir AR leurs propres technologies publicitaires (en retirant par exemple l’accès AR Criteo à une interface AR programmation d’applications nécessaire à ses activités). Plus récemment, en mai 2023, l’Autorité a constaté que Meta n’avait pas défini ARs critères d’accès transparents, objectifs et non discriminatoires à ses partenariats relatifs à la vérification publicitaire. L’Autorité a donc enjoint à Meta AR mettre en place AR nouveaux critères d’accès et AR maintien à ces partenariats.

Pour faire face à ces situations, l’Autorité a su utiliser ARs outils procéduraux efficaces et rapiARs comme les mesures conservatoires, utilisées en 2023 contre Meta dans le secteur AR la vérification publicitaire, ou les engagements, utilisés à ARux reprises en 2022 dans ARs affaires impliquant respectivement Meta et Google.

AC droit ARs ententes peut aussi dans certains cas être un instrument pertinent. De nombreux groupements et associations AR fournisseurs AR services cloud se sont formés au cours ARs ARrnières années, ou sont en voie AR l’être, avec ou sans création d’une structure juridique commune, notamment : ARs structures communes entre acteurs du cloud pour présenter ARs offres «< cloud AR confiance >>> ;

ARs partenariats notamment technologiques entre ARs grands fournisseurs AR logiciels liés aux données et ARs fournisseurs AR services cloud. Ainsi, en 2019, Microsoft et

Oracle ont annoncé un partenariat d’interopérabilité AR leur cloud, permettant aux

101 0

clients AR faire migrer et d’exécuter les charges AR travail critiques AR l’entreprise vers Microsoft Azure et Oracle Cloud;

ARs alliances ou ARs partenariats technologiques entre intégrateurs et la majorité ARs fournisseurs AR services cloud, notamment hyperscalers;

ARs partenariats spécifiques dans certains secteurs.

Des solutions AR standardisation, qui favorisent à première vue l’interopérabilité et donc le changement AR fournisseur, peuvent également, dans certains cas, ARvenir problématiques pour la concurrence, si elles visent à empêcher l’émergence AR solutions alternatives et paralyser l’innovation par le biais AR pratiques AR verrouillage technique.

ACs opérations AR concentration appellent enfin à une vigilance particulière ARs autorités AR concurrence.

Au cours ARs ARrnières années, plusieurs opérations d’importance concernant ARs fournisseurs AR services cloud ont eu lieu à travers le monAR, comme l’acquisition du fournisseur AR logiciels Red Hat par la société IBM en juillet 2019, le projet du groupe américain Broadcom AR racheter l’entreprise VMware, qui fait actuellement l’objet d’un contrôle par plusieurs autorités AR concurrence, ou encore le rachat d’Activision Blizzard par Microsoft, qui soulève ARs inquiétuARs sur le marché émergent du cloud gaming et a entrainé ARs réponses contrastées ARs autorités AR concurrence.

Lors AR la consultation publique, plusieurs acteurs ont exprimé ARs inquiétuARs liées à d’éventuelles nouvelles concentrations dans le secteur du cloud. Parmi les principaux risques iARntifiés, ils ont mentionné la réduction du nombre d’acteurs, AR potentielles ventes groupées ou liées, l’assèchement AR l’innovation et ARs alternatives pour les clients ainsi que AR potentielles augmentations ARs prix. Plusieurs entreprises ont également mentionné ARs cas où ARs solutions technologiques pouvant auparavant s’intégrer auprès AR multiples fournisseurs ont été transformées en technologies propriétaires après rachat.

ACs parties prenantes ont plus généralement exprimé le sentiment qu’une dynamique AR concentration était en cours dans le secteur du cloud, notamment sur le marché français, et pourrait se poursuivre dans les prochaines années. Cependant, si les plus grands fournisseurs AR services cloud, en particulier les hyperscalers, ont tous réalisé ARs acquisitions au cours ARs ARrnières années, cela n’a été que rarement le cas AR la part ARs plus petits acteurs, notamment européens.

Enfin, la création AR nouvelles entités sous la forme AR co-entreprises pour proposer, par exemple, ARs offres labellisées «< cloud AR confiance », constitue une autre forme AR concentration susceptible AR soulever ARs préoccupations AR concurrence. Plusieurs acteurs ont considéré que la communication et les moyens marketing déployés pour le lancement commercial ARs offres et l’obtention du label «< cloud AR confiance » soulevaient ARs risques pour la concurrence.

Enfin, il peut être opportun d’envisager ces problématiques sous un angle plus large.

L’abus AR dépendance économique peut être une autre voie intéressante. Pour mémoire, il sanctionne l’exploitation abusive, par une entreprise ou un groupe d’entreprises, AR l’état AR dépendance économique dans lequel se trouve à son égard une entreprise cliente ou fournisseur, dès lors qu’elle est susceptible d’affecter le fonctionnement ou la structure AR la

concurrence. Ce fonARment juridique a été mis en œuvre par l’Autorité pour sanctionner l’entreprise Apple en 2020.

La mise en œuvre par la direction générale AR la concurrence, AR la consommation et AR la répression ARs frauARs ARs dispositions relatives aux pratiques restrictives AR concurrence pourrait enfin se justifier, notamment sous l’angle du déséquilibre significatif ou AR l’avantage sans contrepartie.

ACs autres réponses en cas AR défaillance AR marché

L’Autorité a aussi constaté l’existence AR défaillances AR marché qui pourraient justifier le recours à la régulation.

En effet, si les solutions techniques existent pour faciliter le changement AR fournisseur ou recourir au multi-cloud (services standards ou solutions open-source par exemple),

l’autorégulation n’a pas permis la mise en place AR standards techniques communs. ACs acteurs en place, notamment les hyperscalers, ne sont en effet pas nécessairement incités à développer les solutions les plus performantes ou au meilleur prix dès lors qu’elles sont susceptibles d’éroARr leurs parts AR marché. Plusieurs clients ont ainsi confirmé que les principaux fournisseurs AR services cloud ne cherchaient pas forcément à offrir ARs solutions standards pour accéARr à leurs services cloud.

Par ailleurs, les initiatives conjointes visant à développer ARs standards communs rencontrent ARs difficultés AR mise en œuvre, qu’il s’agisse AR Gaia-X, fondée initialement par

22 organisations françaises et allemanARs, ou AR l’initiative européenne SWIPO. En effet, la présence ARs hyperscalers dans les groupes AR travail techniques et leur volonté supposée AR ralentir ou complexifier les discussions sont très critiquées et contribuent, selon certaines parties prenantes, au manque AR résultats AR ces initiatives.

Une approche règlementaire parait donc davantage adaptée pour remédier aux défaillances AR marché iARntifiées, ce que les autorités AR régulation européennes et nationales ont commencé à mettre en œuvre ces ARrniers mois avec le DMA et le projet AR Data Act ou encore le projet AR loi visant à sécuriser et réguler l’espace numérique récemment présenté par le Gouvernement. Dans son avis précité n° 23-A-05 du 20 avril 2023 concernant ce projet, l’Autorité, tout en partageant la plupart ARs préoccupations auxquelles répond ce projet AR loi, a formulé plusieurs recommandations ARstinées notamment d’une part à s’assurer que ses dispositions seront alignées avec celles du Data Act, d’autre part à renforcer l’effectivité AR ses dispositions.

AC trilogue s’étant achevé le 27 juin 2023, il n’est pas pertinent pour l’Autorité AR formuler ARs propositions d’amélioration du texte actuel du Data Act. Cependant, la Commission ARvant mener un exercice d’évaluation dans trois ans, l’Autorité considère qu’il est pertinent AR soumettre ARs points AR vigilance aux parties concernées (distinguer le régime applicable aux egress fees ARs autres frais AR migration, réaliser une étuAR d’impact sur les crédits cloud et préciser les mesures en faveur AR la portabilité et AR l’interopérabilité).

Perspectives et conclusion

Plusieurs évolutions susceptibles d’avoir un impact sur le fonctionnement concurrentiel du secteur doivent être prises en considération.

Tout d’abord, le fonctionnement concurrentiel du secteur du cloud se caractérise par une concurrence pour le marché plus que sur le marché, dans la mesure où, pour un besoin ou une charge AR travail spécifique, les clients ont tendance à contracter avec un fournisseur unique, en particulier ceux disposant d’un écosystème attractif. Compte tenu du risque AR

verrouillage ARs clients dans ces écosystèmes, la ARmanAR ARs clients ARvrait se répartir entre les principaux écosystèmes et une fois l’essentiel du stock AR charges AR travail conquis, il est à prévoir AR faibles variations AR parts AR marché, ce qui pourrait conduire à une diminution AR l’intensité concurrentielle.

Dans le même temps, AR nouvelles technologies améliorant les performances ARs produits et services ARvraient émerger et, potentiellement, modifier la structure et l’équilibre concurrentiel ARs marchés du cloud. ACs autorités AR concurrence ARvront être vigilantes à ce que les acteurs déjà établis n’entravent pas le développement AR plus petits ou AR nouveaux acteurs à partir AR ces technologies.

Tout d’abord, la multiplication ARs usages AR l’intelligence artificielle va servir AR moteur à la croissance AR la ARmanAR en services cloud. En effet, les nombreuses évolutions vers ARs modèles AR plus en plus complexes, comme par exemple les grands modèles AR langage

(«Large Language MoARls »), ARmanARnt ARs ressources en puissance AR calcul très importantes.

C’est le cas également du calcul à la périphérie AR réseau (« edge computing »), innovation qui aura un fort impact dans un horizon AR temps proche. La capacité ARs fournisseurs AR services cloud, notamment autres que les hyperscalers, à se positionner sur ces défis technologiques pourrait leur permettre AR surmonter certaines ARs barrières à l’entrée et à l’expansion iARntifiées. D’autres usages émergent comme le jeu en nuage ou «< cloud gaming ».

ACs développements dans le secteur du cloud seront probablement également influencés par ARs considérations plus générales, comme les changements géopolitiques, qui auront potentiellement un impact sur l’innovation en matière AR sécurité dans le cloud, ou l’importance croissante AR l’empreinte environnementale.

ACs risques concurrentiels et défaillances AR marché exposés dans le présent avis seront analysés avec attention par les services AR l’Autorité. Cette vigilance pourra le cas échéant se traduire par l’ouverture d’enquêtes AR nature contentieuse. Cet examen s’avère indispensable pour préserver l’innovation et minimiser les coûts dans un secteur qui représente un vecteur important AR croissance économique pour les entreprises.

SOMMAIRE

INTRODUCTION………… 19

I. LE SECTEUR DU X…..

…………. 22

………..

A. LES SERVICES DE X

.22

1. QU’EST-CE QUE LE X?

.22

2. LES DIFFERENTS SERVICES DE X.

.24

a) L’IaaS……

………………………………………………………………………. .27

b) AC PaaS ²⁹

B. L’USAGE DES SERVICES X… .32

………32 1. LES CLIENTS DES SERVICES X

a) ACs entreprises migrant vers le cloud… 33

b) ACs «< cloud native » 34

………

…….. 34 c) ACs clients par secteurs d’activité………

AC secteur public.

.36

ACs OSE et les OIV.. 37

ACs services financiers…….

.39

AC secteur AR la santé…

.40

………..

d) ACs clients par taille d’entreprise 40

2. L’ADOPTION DU X PAR LES ENTREPRISES FRANÇAISES.

.41

3. LES SERVICES UTILISES .43

…..464. LE MULTI-X

C. LES DIFFERENTS ACTEURS DE LA CHAINE DE VALEUR DU X…….48

a) ACs exploitants AR centres AR données…. 49

……….

b) ACs fournisseurs AR services cloud. 49

ACs fournisseurs déjà présents dans le secteur du numérique.

.50

ACs fournisseurs « pure players »

ACs fournisseurs visant à proposer ARs offres «< cloud AR confiance »……………55

c) ACs intégrateurs……. ⁵⁶

d) ACs places AR marché cloud. 57

……… .. .. . ……

D. LES RELATIONS ENTRE FOURNISSEURS X ET CLIENTS. .59

1. LES CONTRATS. .59

2. LA TARIFICATION SELON L’USAGE. .60

3. LES CREDITS X.…………………………………………… .61

a) Typologies ARs programmes. ⁶²

b) L’utilisation ARs crédits cloud en pratique ⁶⁵

4. LES EGRESS FEES..

…66

5. L’EVOLUTION DES TARIFS…

…67

CONTEXTE LÉGISLATIF ET RÈGLEMENTAIRE. E.

.69

1. LE REGLEMENT SUR LES MARCHES NUMERIQUES.

.70

2. LA PROPOSITION DE REGLEMENT SUR LES DONNEES

.71

3. LE PROJET DE LOI VISANT A SECURISER ET REGULER L’ESPACE NUMERIQUE …[…]

4. AUTRES CADRES REGLEMENTAIRES.

.[…]

II. LE FONCTIONNEMENT DU SECTEUR. 73

^A. LES CARACTERISTIQUES DE MARCHE..

.73

1. LES INTRANTS NECESSAIRES A LA FOURNITURE DE SERVICES X ……73

a) ACs centres AR données et les infrastructures requises ⁷³

b) L’accès à la technologie et les compétences nécessaires ^a^u développement AR services 75

………. ….. ……..

2. L’IMPORTANCE D’UNE TAILLE CRITIQUE..

.76

a) Des coûts fixes élevés

……………….. 76

b) ACs économies d’échelle. ⁷⁷

c) ACs économies AR gamme… 78

B. LA DIFFERENCIATION DES PRODUITS ET SERVICES X ……………..79

1. LA DIFFERENCIATION DES SERVICES IAAS .79

a) La localisation ARs infrastructures ⁷⁹

b) L’impact environnemental……….. ⁸⁰

……………. …………

2. LA DIFFERENCIATION PAR LES SERVICES MANAGES (PAAS ET SAAS). …..81

a) L’innovation 8¹

b) La spécialisation sectorielle ⁸³

c) La quantité AR services ⁸³

3. LES CERTIFICATIONS ET LES OFFRES < X DE CONFIANCE >> MPP .84

a) ACs certifications ⁸⁴

………………… ……………………………… ……..

b) ACs offres «< cloud AR confiance » et le référentiel SecNumCloud 84

…….

C. LES AVANTAGES LIES AUX ECOSYSTEMES X…..

………….. ..87

1. L’INTEGRATION DES SERVICES ..87

2. L’ACCES A DES SERVICES DE TIERS .88

3. LES EFFETS DE RESEAU

.90

4. LA CONCURRENCE ENTRE ECOSYSTEMES

.91

a) Une concurrence potentiellement limitée sur le marché une fois les relations établies 91

b) Une concurrence pour le marché

………. ……… ……………92

D. LES AVANTAGES CONGLOMERAUX.. .93

1. LES IMMENSES CAPACITES FINANCIERES DE CERTAINS FOURNISSEURS .93

2. LES ECONOMIES D’ECHELLE ET DE GAMME AU SEIN DU CONGLOMERAT………..94

3. LA CAPTATION DES CLIENTS PAR LES HYPERSCALERS

.95

^E. LA DYNAMIQUE CONCURRENTIELLE

III. ANALYSE DES MARCHES PERTINENTS DANS LE SECTEUR

DU X….

……..100

A. GRILLE D’ANALYSE DES MARCHES PERTINENTS DANS LE SECTEUR DU

…[…]..

…………

1. L’ANALYSE DE LA SUBSTITUABILITE DU COTE DE LA DEMANDE…. 101

a) Cadre d’analyse……. 101

b) Une ARmanAR susceptible d’être formulée par charges AR travail…. 102

2. L’ANALYSE DE LA SUBSTITUABILITE DU COTE DE L’OFFRE .103

a) Cadre d’analyse……….. ¹⁰³

b) Une définition du marché

^en présence < d’écosystèmes numériques » ¹⁰⁵

Prise en compte ARs écosystèmes cloud et hors cloud… …¹⁰⁵

3. RAPPEL ET ANALYSE DES APPROCHES POSSIBLES FORMULEES DANS LA

………………. …107 CONSULTATION PUBLIQUE

…………………

APPLICATION DE LA GRILLE D’ANALYSE DANS LE SECTEUR DU B.

X .108

1. LES MARCHES DE PRODUITS ET DE SERVICES.

a) Propositions AR définitions AR marchés dans le secteur du cloud….. 108

ACs offres «SecNum Cloud » susceptibles AR faire l’objet d’une segmentation spécifique……..

.108

……..111 Une segmentation par secteur peu envisageable aujourd’hui..

b) ACs marchés connexes possibles . 113

AC marché ARs services AR colocation dans ARs centres AR données….. .113

ACs marchés ARs logiciels

……… 114

AC marché AR l’intermédiation du conseil et AR l’intégration AR solutions

………….116 cloud…

…………..117 2. LES MARCHES GEOGRAPHIQUES DANS LE SECTEUR DU X….

IV. LES RISQUES CONCURRENTIELS ^R^E^L^E^V^E^S DANS LE

119SECTEUR DU X ..

A. DES RISQUES CONCURRENTIELS TRANSVERSAUX. …..1¹⁹

1. LE DESEQUILIBRE DES RELATIONS ENTRE LES HYPERSCALERS ET LEURS

…………. .120 CLIENTS

a) ACs clients, même grands comptes, ont une capacité limitée AR négociation ARs contrats.. 120

b) Une difficulté pour les clients à anticiper les coûts futurs compte tenu AR la complexité ARs offres et du manque AR lisibilité ARs tarifs ¹²¹

…….

……122 2. LES CREDITS X ET LES EGRESS FEES……..

122 a) ACs «< crédits cloud »

.¹²³La présence d’effets d’échelle et AR gammes…

Impossibilité AR répliquer à l’iARntique les offres AR crédit cloud………………….124

AC crédit cloud dans une stratégie AR verrouillage AR la clientèle…………………126

b) ACs frais liés au trafic sortant (« egress fees »)

………126

Des craintes AR verrouillage et ARs difficultés exprimées par les clients

…………… ……….127 notamment pour anticiper les coûts.

Une tarification non justifiée par ARs raisons techniques ou économiques, mais résultant plutôt d’une stratégie commerciale……….. ……….¹²⁹

c) ACs crédits cloud et les egress fees sont AR nature à limiter la concurrence sur les < charges AR travail '> ARs clien^ts ARs hyperscalers 135

B. SCENARIOS COMPORTANT DES RISQUES CONCURRENTIELS

SPECIFIQUES.

.139

……………..

1. LES RISQUES LIES A LA MIGRATION DES SYSTEMES D’INFORMATION SUR SITE

VERS LE X…. .139

a) Des freins techniques et organisationnels à la migration ARs clients vers le cloud qui peuvent les inciter à recourir à ARs fournisseurs historiques 139

b) Pratiques susceptibles AR limiter le libre choix ARs clients en matière AR fournisseur AR services cloud…………..

………..142

Des restrictions contractuelles à la libre utilisation dans le cloud AR logiciels acquis sur site auprès AR fournisseurs AR services cloud concurrents……

…142

…… …..146 Des pratiques AR ventes liées et ARs avantages tarifaires…..

Des restrictions techniques……

.147

2. LES RISQUES LIES A LA MIGRATION D’UN FOURNISSEUR DE SERVICES X A UN

…………….. …………. ………….. 147 AUTRE

a) ACs freins techniques à la migration d’un fournisseur AR services cloud

à un autre……… 148

……148 Des services spécifiques à chaque fournisseur…..

Des opérations AR migration complexes

…150

b) Des pratiques techniques et commerciales susceptibles AR contribuer au verrouillage ARs clients .. ¹⁵¹

………. ……

……… …………….

3. LES RISQUES LIES AUX FREINS A L’EXPANSION DES CONCURRENTS DES

.153 HYPERSCALERS.

a) Des freins techniques au multi-cloud

……..1[…]

b) ACs pratiques liées à la présence d’un fournisseur sur plusieurs marchés connexes ………. 156

171 7

c) Autres pratiques.. 159

ACs risques liés aux offres AR crédits cloud et aux egress fees

.159

ACs risques liés aux conditions d’accès et d’utilisation ARs places AR marché cloud par les fournisseurs tiers……….. .¹⁵⁹

Des freins volontaires à l’interopérabilité… …….¹⁶¹

V. LES REPONSES DU DROIT DE LA CONCURRENCE………….. 166

A. LES ABUS DE POSITION DOMINANTE. ………166

1. UNE PRATIQUE DECISIONNELLE RICHE, POUVANT SERVIR DE REFERENCE EN CAS

D’ACTION MISE EN ŒUVRE DANS LE SECTEUR DU X .166

2. DES OUTILS EFFICACES ET RAPIDES .169

B. LE DROIT DES ENTENTES

………..170

1. LES POINTS DE VIGILANCE CONCERNANT LES ACCORDS ET PARTENARIATS ENTRE

ACTEURS DU X DU POINT DE VUE DU DROIT DES ENTENTES

2. LES ACCORDS DE NORMALISATION ENTRE FOURNISSEURS DE SERVICES

X…. …..171

C. LES OPERATIONS DE CONCENTRATION …..1[…]

1. LES OPERATIONS D’ACQUISITION. .1[…]

2. LES STRATEGIES D’ACQUISITION D’ENTREPRISES DE SERVICES X…………175

3. LA CREATION D’ENTREPRISES COMMUNES

……. .177

D. L’ABUS DE DEPENDANCE ECONOMIQUE

..[…]

^E. LE DROIT DES PRATIQUES RESTRICTIVES DE CONCURRENCE ……..180

VI. LES AUTRES REPONSES EN CAS DE DEFAILLANCES DE

…………..[…]…

1. LES DEFAILLANCES TECHNIQUES DE MARCHE. …¹⁸³

a) ACs «< challengers » sont davantage incités à développer ARs outils interopérables.

………. ….. ……………… ……….184

b) ACs initiatives d’autorégulation n’ont pas permis la mise en place AR standards techniques communs ¹⁸⁵..

………………………………..

REGLEMENTAIRE, EN COURS D’EVOLUTION, PERMETTRA ^D^E2. LE CADRE

…… 187 RESOUDRE PLUSIEURS FREINS IDENTIFIES

a) AC règlement sur les marchés numériques 187

…………………

………..

b) La proposition AR règlement sur les données……… 188

Distinguer le régime applicable aux « egress fees » ARs autres frais AR migration

.189

Réaliser une étuAR d’impact sur les crédits cloud…………… ¹⁸⁹

Préciser les mesures en faveur AR la portabilité et AR l’interopérabilité ………..189

VII. PERSPECTIVES ET CONCLUSION 192

ANNEXE GLOSSAIRE. ………[…]

Introduction

L’informatique en nuage, le « cloud computing », les services AR cloud ou tout simplement 1. le «< cloud » (ci-après le «< cloud »)4, constitue une ARs évolutions technologiques au cœur AR la numérisation AR l’économie. AC cloud décrit l’ensemble ARs services mutualisés, accessibles via Internet, à la ARmanAR, payés à l’usage et, par extension, certaines ARs infrastructures sous-jacentes (centres AR données notamment). En comparaison avec l’informatique traditionnelle, le cloud offre AR multiples avantages économiques pour les entreprises. Il permet notamment AR nouvelles organisations du travail, sur la base AR ressources partagées et accessibles à distance. Ces caractéristiques peuvent constituer ARs sources AR gains AR productivité pour les entreprises et AR création AR valeur pour l’économie.

AC secteur du cloud s’inscrit dans un contexte économique et réglementaire en constante 2. évolution. En France, ce secteur ARvrait connaitre une croissance annuelle d’environ 14 % par an pour atteindre 27 milliards d’euros en 20255. En parallèle, le secteur se structure autour AR plusieurs catégories d’acteurs. Quelques «hyperscalers »6 ont concentré l’essentiel du marché en volume et en croissance au cours ARs ARrnières années. Des réponses aux enjeux soulevés par la protection ARs données, la sécurité et la souveraineté, vont

^eⁿ^t^r^aⁱⁿ^er ^d'ⁱ^m^p^o^rtantes évolutions règlementaires susceptibles d’influencer ^l^e développement du marché.

Dans ce contexte, l’Autorité AR la concurrence (ci-après «l’Autorité ») a annoncé le 3.

27 janvier 20228 s’être saisie pour avis, sur le fonARment AR l’article L. 462-4 du coAR AR commerce, sur les conditions du fonctionnement concurrentiel du secteur du cloud afin AR procéARr à une analyse globale du fonctionnement AR la concurrence dans ce secteur complexe et technique en plein essor et porteur AR très forts enjeux AR création AR valeur pour l’économie européenne.

L’objet d’un tel avis n’est ni AR qualifier les comportements sur un marché au regard ARs 4. articles 101 et 102 du traité sur le fonctionnement AR l’Union européenne (TFUE) et ARs articles L. 420-1 et L. 420-2 du coAR du commerce, ni AR se prononcer sur ARs opérations AR concentration notifiées. Il vise notamment à étudier le fonctionnement d’un secteur sous

l’angle du droit AR la concurrence, en prêtant une attention particulière à l’impact ARs évolutions récentes ou en cours sur l’équilibre concurrentiel global du secteur et d’autres secteurs économiques qui en dépenARnt.

⁴Pour la bonne compréhension AR cet avis, ce terme est défini dans le glossaire disponible à la fin du présent document.

5 Markess by Exaegis – Infrastructures digitales et Cloud – Données AR marché 2022, 30 mars 2022.

6 Terme désignant ARs sociétés AR très granAR taille, ayant construit ARs capacités d’hébergement à l’échelle mondiale et développant ARs applications dédiées utilisées par ARs millions d’utilisateurs.

7 Voir glossaire.

8 Décision n° 22-SOA-01 du 27 janvier 2022 relative à une saisine d’office pour avis portant sur le secteur AR l’informatique en nuage («< cloud computing ») (lien du communiqué AR presse).

9 Dans sa communication sur la définition du marché en cause aux fins du droit AR la concurrence AR l’Union, soumise à consultation, la Commission donne ARs exemples d’évolutions significatives à prendre en compte :

< il s’agit notamment AR la numérisation AR l’économie et ARs nouveaux moARs AR fourniture ARs biens et ARs services, ainsi que AR la nature AR plus en plus interconnectée et mondialisée ARs échanges commerciaux >> point 2 (lien).

Avec cet avis, l’Autorité a souhaité améliorer la compréhension AR ce secteur technique et 5. complexe, proposer ARs éléments d’analyse AR la délimitation ARs marchés pertinents, iARntifier d’éventuels problèmes AR concurrence, actuels ou futurs, et, le cas échant, formuler ARs propositions susceptibles d’améliorer le fonctionnement concurrentiel du secteur.

Au cours AR l’instruction, AR nombreux acteurs du secteur ont été interrogés sur le fonARment 6. AR l’article L. 450-3 du coAR AR commerce. L’Autorité a échangé aussi bien avec les acteurs privés français et internationaux du secteur (fournisseurs, clients, associations ou autres) qu’avec ARs acteurs institutionnels (autorités AR régulation sectorielle, autorités AR concurrence étrangères, services ministériels). Au total, plus d’une quarantaine d’entretiens ont été menés lors AR l’instruction.

Concernant les acteurs institutionnels, l’Autorité a en particulier échangé avec d’autres 7. autorités étrangères ayant mené ARs travaux approfondis sur les enjeux concurrentiels soulevés par le secteur du cloud : la Commission européenne (ci-après «Commission ») a été saisie AR plusieurs plaintes relatives à AR potentielles pratiques anticoncurrentielles ayant cours dans le secteur;

l’autorité japonaise ^de concurrence (Japan ^F^aⁱ^r^T^r^a^de ^C^o^m^mⁱ^s^sⁱ^oⁿ,

ci-après «< JFTC '>) a publié un rapport concernant les services cloud le

28 juin 202210;

l’autorité néerlandaise AR concurrence (Autoriteit Consument & Markt, ci-après

< ACM >>) a publié une étuAR AR marché sur les services cloud le 5 septembre 202211;

l’autorité AR concurrence et AR consommation américaine (FeARral TraAR

Commission, ci-après « FTC ») a lancé le 22 mars 2023 un appel à contributions pour évaluer le fonctionnement du secteur (concurrence et sécurité ARs données) du cloud aux États-Unis ¹²;¹²

l’autorité AR régulation ARs télécommunications au Royaume-Uni (Office of communications) a publié un rapport intermédiaire concernant une étuAR AR marché sur les services cloud le 5 avril 202313

En sus ARs entretiens réalisés, ARs questionnaires ont été envoyés aux fournisseurs et aux 8. clients AR services cloud ainsi qu’à d’autres parties prenantes telles que les intégrateurs 14 et éditeurs AR logiciels. S’agissant du questionnaire à ARstination ARs clients AR services cloud, un système AR sondage en ligne a permis AR recueillir leurs réponses. Des questionnaires ont également été envoyés à ARs associations professionnelles, afin AR recevoir les réponses AR leurs membres. ACs services d’instruction ont ainsi recueilli les réponses AR plus d’une cinquantaine AR parties prenantes.

¹0 https://www.jftc.go.jp/en/pressreleases/yearly-2022/June/220628.html.

¹1 https://www.acm.nl/en/publications/market-study-cloud-services.

¹²https://www.ftc.gov/news-events/news/press-releases/2023/03/ftc-seeks-comment-business-practices- cloud-computing-proviARrs-could-impact-competition-data.

¹3 https://www.ofcom.org.uk/consultations-and-statements/category-2/cloud-services-market-study.

¹4 ACs intégrateurs accompagnent les entreprises clientes AR services cloud dans la gestion AR leur migration vers le cloud et dans l’évolution et le maintien en conditions opérationnelles AR leurs applications dans le cloud.

AC 13 juillet 2022, l’Autorité a publié un document intermédiaire présentant les premiers 9. enseignements et tendances tirés du premier semestre d’instruction. Ce document a été soumis à consultation publique ¹5 jusqu’au 19 septembre 2022, afin AR recueillir les 15

observations AR l’ensemble ARs parties prenantes. Ces ARrnières étaient notamment invitées à se prononcer sur la délimitation ARs marchés pertinents et sur les pratiques susceptibles d’être mises en œuvre dans le secteur. ACs vingt réponses reçues ont été analysées par l’Autorité et prises en compte pour la rédaction AR l’avis final.

Rappel AR l’approche adoptée par l’Autorité dans le document AR consultation publique publié le 13 juillet 2022

L’Autorité se concentre dans cet avis sur le fonctionnement concurrentiel du cloud public ou hybriAR et sur les modèles IaaS et PaaS 16, même si ARs développements pourront concerner l’ensemble AR la chaîne AR valeur du cloud lorsque ceux-ci sont pertinents pour l’analyse concurrentielle.

Concernant les différents acteurs AR la chaîne AR valeur du cloud, le présent avis se concentre sur les fournisseurs AR services cloud au sens strict. ACs exploitants AR centres AR données et intégrateurs qui ne fournissent pas AR services cloud ne constituent donc pas l’objet principal AR l’analyse, même si ARs développements inciARnts pourront leur être consacrés.

S’agissant ARs clients, le présent avis se focalise sur les relations entre les fournisseurs AR services cloud et la clientèle professionnelle. AC marché ARs services cloud aux particuliers ne sera pas abordé.

Enfin, le présent avis analyse la situation concurrentielle principalement sur le marché français.

10. Après avoir présenté le secteur du cloud (I), une partie sera consacrée au fonctionnement du secteur (II) puis à une analyse ARs marchés pertinents (III). Ensuite, l’Autorité présentera les risques concurrentiels qu’elle a pu relever dans le secteur (IV). Enfin, l’Autorité se penchera sur les réponses que peut y apporter le droit AR la concurrence (V) avant AR proposer d’autres réponses en cas AR défaillances AR marché (VI). Une ARrnière partie sera consacrée aux perspectives attendues (VII). AC présent avis comprend en annexe un glossaire.

¹¹. AC cloud étant par nature très dynamique, l’analyse proposée par l’Autorité dans le cadre du présent avis est une évaluation du fonctionnement AR la concurrence dans ce secteur à la date AR sa publication et est susceptible d’évoluer.

15 Voir le communiqué AR presse AR l’Autorité, « L’Autorité ouvre une consultation publique dans le cadre AR son enquête sectorielle sur le cloud », 13 juillet 2022 (lien).

16 Voir glossaire et développements ci-après.

I. AC secteur du cloud

A. LES SERVICES DE X

1. QU’EST-CE QUE LE X?

AC cloud est défini par le National Institute of Standards and Technology (ci-après 12.

< NIST '>¹7) comme «< un modèle permettant un accès réseau omniprésent, pratique et à la ARmanAR à un ensemble partagé AR ressources informatiques configurables (par exemple ARs réseaux, serveurs, stockage, application et services) qui peuvent être rapiARment approvisionnées et libérées avec un minimum d’efforts AR gestion ou d’interaction avec le fournisseur AR services »18. Il offre la possibilité d’externaliser «< la gestion AR tout ou partie ARs logiciels, applications et services informatiques existants »19.

13. Traditionnellement, les entreprises ARvaient mettre en place et gérer un système informatique adapté à leurs besoins, impliquant ARs processus longs et coûteux d’approvisionnement en infrastructures (serveurs physiques, centres AR données, matériels informatiques, etc.) et un personnel informatique en mesure d’assurer la maintenance, l’exploitation et l’évolution AR ce système informatique sur site. Ces processus pouvaient être gérés en interne ou externalisés auprès AR sociétés spécialisées. ACs nouvelles technologies Internet et informatique ont ouvert AR nouvelles possibilités, permettant – avec le cloud – d’utiliser ARs serveurs informatiques à distance pour stocker ARs données et accéARr à ARs logiciels ou mobiliser AR la puissance AR calcul.

L’essor AR cette nouvelle manière d’appréhenARr l’informatique a été permis par l’apparition 14. AR la virtualisation20 à la fin ARs années 1990, avec ARs entreprises comme VMware, rendant possible d’exécuter plusieurs applications ou systèmes d’exploitation sur un seul serveur physique. Cette technologie a permis le partage et l’optimisation ARs infrastructures, améliorant la capacité ARs entreprises à disposer AR ressources informatiques adaptées à leurs besoins du moment et à moindre coût. De nombreuses entreprises se sont appuyées sur ces nouvelles possibilités pour leurs propres activités.

AC développement du cloud a pris un tournant avec la mise à disposition AR services 15. informatiques auprès d’une clientèle élargie, mutualisant les ressources entre plusieurs entreprises et développeurs. L’entreprise Amazon ayant acquis une forte expérience et

¹7 L’institut national pour les standards et la technologie est une unité du département américain du commerce.

Sa principale mission est d’élaborer et AR promouvoir ARs normes afin AR faciliter l’innovation.

¹8 NIST, 2011 'cloud computing is a moARl for enabling ubiquitous, convenient, on-ARmand network access to a shared pool of configurable computing resources (e.g., networks, servers, storage, applications and services) that can be rapidly provisioned and released with minimal management effort or service proviARr interaction'.

¹9 Autorité AR la concurrence, avis n° 21-A-05 du 29 avril 2021 portant sur le secteur ARs nouvelles technologies appliquées aux activités AR paiement.

20 La virtualisation consiste à partitionner un ordinateur ou un serveur physique en plusieurs machines virtuelles. Chaque machine virtuelle peut alors agir AR manière indépendante et exécuter différents systèmes d’exploitation ou applications tout en partageant les ressources d’un seul ordinateur hôte (Microsoft Azure, « Qu’est-ce que la virtualisation? >>, lien).

22 2

développé, pour le fonctionnement AR son service Amazon.com, une architecture informatique AR granAR ampleur capable d’absorber les pics d’activité (périoARs AR solARs notamment), elle a décidé à partir AR 2006 AR mettre cette architecture à la disposition d’autres entreprises. Elle leur a ainsi permis d’exploiter les capacités informatiques inutilisées AR ses serveurs lors ARs périoARs AR plus faible activité. Amazon fournit ces services à travers Amazon Web Services (ci-après «AWS »). AWS indique qu’elle a ainsi proposé une suite AR services informatiques « à la ARmanAR, scalables [21] et modulaires

[fournis] sur Internet et [proposés] sur la base d’un système AR paiement à l’utilisation ».

Ce type AR services s’est ARpuis développé et a été repris par plusieurs fournisseurs, 16. conduisant au déploiement du cloud public 22. ACs services AR cloud public sont fournis par un tiers, accessibles via Internet et adaptables à la ARmanAR. ACs services AR cloud peuvent également être déployés via un cloud privé ou un cloud hybriAR. Un cloud privé est une infrastructure dédiée à une organisation unique, qui peut être gérée en interne ou en externe

(par un tiers) et qui est généralement hébergée localement. Un cloud hybriAR est une combinaison AR services AR cloud privé et public. Il permet par exemple à une entreprise AR stocker ARs données sensibles sur un cloud privé et AR bénéficier par ailleurs ARs possibilités AR partage et d’adaptation à la ARmanAR du cloud public.

AC présent avis se concentre principalement sur le cloud public, qui permet le partage ARs 17. ressources informatiques AR manière élastique et l’optimisation du coût AR ces ressources pour les entreprises du fait AR leur mutualisation entre différents profils d’utilisation. AC cloud privé, dédié à une seule organisation, est moins élastique que le cloud public car limité par les ressources privées disponibles, notamment en cas AR montée en charge rapiAR et importante et se rapproche davantage ARs systèmes informatiques traditionnels ARs entreprises.

AC cloud public offre AR multiples avantages pour les entreprises. Il leur permet notamment 18. un accès facile et rapiAR à ARs ressources informatiques qu’elles n’ont plus besoin AR se procurer, AR configurer ou AR gérer elles-mêmes. Elles peuvent ainsi limiter les besoins en équipe informatique en interne et recentrer leurs ressources sur leur cœur AR métier. Elles peuvent également bénéficier d’un modèle AR consommation en libre-service, avec un coût lié à la consommation réelle. Elles passent ainsi d’un modèle AR coûts fixes, d’investissement dans leurs ressources nécessaires, à un modèle AR coûts variables, en fonction AR l’usage. La capacité d’ajustement à la ARmanAR ARs capacités AR production au niveau AR l’activité constitue un atout particulièrement intéressant pour les entreprises en croissance. Celles-ci peuvent ainsi s’affranchir ARs investissements qu’il aurait été nécessaire AR réaliser pour disposer AR leurs propres ressources répondant à l’évolution AR leurs besoins.

En outre, à travers le recours à ARs fournisseurs AR services cloud spécialisés qui investissent 19. dans le développement AR ces services mutualisés, les entreprises peuvent facilement accéARr à AR nombreux services ainsi qu’aux ARrnières innovations. AC cloud public favorise ainsi également l’émergence AR services innovants.

Par ailleurs, le cloud public permet AR nouvelles organisations du travail pour les entreprises, 20. sur la base AR ressources partagées et accessibles à distance, qui peuvent constituer ARs sources AR gains AR productivité. La crise liée à la pandémie AR Covid-19 a souligné encore

²1 En informatique, la « scalabilité » désigne la capacité à redimensionner les capacités en fonction AR la ARmanAR.

22 Voir glossaire.

plus nettement l’utilité AR cette technologie et sa contribution à la résilience AR l’activité, conduisant à une accélération ARs investissements ARs entreprises et ARs administrations. En

2017, une étuAR commandée par la Commission estimait qu’une adoption large ARs services AR cloud augmenterait le PIB européen AR 449 milliards d’euros²³.

Du fait AR ces avantages et AR la multiplication ARs usages, le cloud public a connu ces 21. ARrnières années une forte accélération, qui ARvrait se poursuivre 24.

22. Enfin, il ressort ARs éléments recueillis au cours AR l’instruction que le cloud public est perçu comme le modèle ayant vocation à ARvenir dominant à l’avenir, le cloud privé étant davantage perçu comme un modèle AR transition ou ARstiné à certains usages spécifiques.

Cette tendance s’observe déjà avec une croissance du chiffre d’affaires engendrée par le cloud public en France estimée à 35 % entre 2020 et 2021, contre 5,7 % pour le cloud privé 25.

2. LES DIFFERENTS SERVICES DE X

AC cloud public correspond généralement à ARs offres commerciales permettant au client 23.

d’accéARr directement à une multituAR AR services. AC NIST distingue trois granARs catégories AR services cloud, nommés IaaS (pour «Infrastructure-as-a-Service »>26), PaaS (pour < Platform-as-a-Service »27) et ^S^a^aS (pour < Software-as-a-Service » 28).

L’appartenance d’un service à un modèle dépend du ARgré d’externalisation du service en question (comme détaillé dans la figure 1 ci-ARssous):

- l’IaaS correspond au modèle le moins externalisé, dans lequel le fournisseur met à disposition AR l’utilisateur les infrastructures informatiques, notamment ARs serveurs, ARs réseaux, du stockage et AR l’espace AR centre AR données. AC NIST définit ce terme comme «< la capacité […] AR fournir le traitement, le stockage, les réseaux et d’autres ressources informatiques fondamentales dans lesquelles le consommateur peut déployer et exécuter les logiciels AR son choix, qui peuvent inclure ARs systèmes d’exploitation et ARs applications. AC consommateur ne gère ni ne contrôle l’infrastructure cloud sous-jacente, mais contrôle les systèmes d’exploitation, le stockage et les applications déployées ; et éventuellement un contrôle limité AR certains composants réseau (par exemple, les pare-feu hôtes) » 29; le PaaS constitue un modèle intermédiaire. Il fournit un environnement permettant aux clients AR bénéficier AR logiciels et d’outils pour développer leurs applications sans avoir à créer ni entretenir l’infrastructure ou la plateforme généralement associée au processus. Ces environnements sont par exemple composés d’outils AR base AR données et d’analyse AR données. AC NIST définit ce terme comme «< la capacité

23 Deloitte, « Measuring the economic impact of cloud computing in Europe », 10 janvier 2017 (lien).

24 Gartner, Gartner Forecasts WorldwiAR Public Cloud End-User Spending to Grow 23% in 2021, 21 avril 2022 (lien).

25 Markess by Exaegis – Environnement concurrentiel – Infrastructures digitales et stratégies Cloud 2022.

26 Infrastructures informatiques sous forme AR service. Voir glossaire.

27 Plateformes sous forme AR service. Voir glossaire.

²⁸3 Logiciels sous forme AR service. Voir glossaire.

29 Traduction libre (voir version anglaise sur le site du NIST).

fournie au consommateur qui consiste à déployer, sur l’infrastructure cloud, ARs applications créées ou acquises par le consommateur à l’aiAR AR langages AR programmation, AR bibliothèques, AR services et d’outils pris en charge par le fournisseur. AC consommateur ne gère ni ne contrôle l’infrastructure cloud sous- jacente, y compris le réseau, les serveurs, les systèmes d’exploitation ou le stockage, mais contrôle les applications déployées et éventuellement les paramètres AR configuration pour l’hébergement ARs applications »³0; le SaaS correspond au modèle le plus externalisé. Il permet à l’utilisateur d’accéARr directement à ARs applications, gérées intégralement par le fournisseur, ARpuis tout appareil connecté. AC NIST définit ce terme comme «la capacité offerte au consommateur qui consiste à utiliser les applications du fournisseur exécutées sur une infrastructure cloud. ACs applications sont accessibles à partir AR divers dispositifs clients via une interface client légère, telle qu’un navigateur web (par exemple, une messagerie électronique basée sur le web), ou une interface AR programme. AC consommateur ne gère ni ne contrôle l’infrastructure cloud sous- jacente, y compris le réseau, les serveurs, les systèmes d’exploitation, le stockage ou même les capacités ARs applications individuelles, à l’exception possible ARs paramètres AR configuration d’application spécifiques à l’utilisateur »³1.

30 Traduction libre (voir version anglaise sur le site du NIST).

31 Traduction libre (voir version anglaise sur le site du NIST).

Figure 1 – Répartition ARs responsabilités selon les modèles AR cloud³2

Sur Site Modèle SAAS Modèle PAAS Modèle IAAS

APPLICATIONS

DONNEES

RUNTIMES

INTEGRATION SOA

BASES DE DONNEES BASES DE DONNEES BASES DE DONNEES BASES DE DONNEES

OS OS 5

VIRTUALISATION

SERVEURS

STOCKAGE STOCKAGE STOCKAGE STOCKAGE

RESEAUX RESEAUX RESEAUX RESEAUX

Source: Atys Concept (lien) 33.

ACs informations recueillies lors AR l’instruction tenARnt à montrer que les modèles IaaS et 24.

PaaS se distinguent assez fortement du modèle SaaS. ACs clients, les usages et les modèles

d’affaires apparaissent en effet très différents. ACs services appartenant aux modèles IaaS et PaaS sont principalement ARstinés à ARs professionnels AR l’informatique pour leur permettre AR construire ARs solutions pour leur propre usage interne ou externe. Ces services sont aussi proposés sur une base AR consommation à l’usage. En revanche, le modèle SaaS est principalement distribué à ARs clients finaux AR logiciels, sur la base d’un abonnement. Par ailleurs, alors que les fournisseurs d’IaaS et AR PaaS sont en granAR partie les mêmes, ils se distinguent plus fortement ARs fournisseurs AR services SaaS, plus nombreux et majoritairement issus du monAR du logiciel.

25. Conformément à l’approche proposée dans le cadre AR la consultation publique précitée, l’Autorité a ainsi décidé AR se concentrer principalement sur les services IaaS et PaaS dans le présent avis, même si certains développements pourront, le cas échéant, aborARr le modèle SaaS.

²⁶. Concernant les modèles IaaS et PaaS, il ressort AR l’instruction qu’ils constituent une classification utile pour décrire les différents grands services AR cloud et iARntifier rapiARment à quels niveaux AR services cloud les besoins ARs clients corresponARnt. Cette classification est d’ailleurs utilisée par une majorité d’acteurs et par les autorités ayant étudié le secteur. Parmi les clients interrogés dans le cadre du sondage en ligne, plus AR 86% indiquaient s’y référer au sein AR leur entreprise. Toutefois, cette classification ne permet

32 OS: < Operating System », le système d’exploitation (e.g. Windows); Intégration SOA: SOA pour < Service Oriented Architecture » : une architecture orientée vers les services.

33 La colonne < sur site » correspond au modèle informatique traditionnel dans lequel l’intégralité du système d’information AR l’entreprise est hébergée sur le site physique AR l’entreprise. Ce modèle est également appelé

< on-premise ».

pas toujours d’assurer une délimitation satisfaisante dans le détail entre les multiples services. Plusieurs acteurs ont en effet souligné que les frontières entre IaaS et PaaS pouvaient être floues et tendre à s’estomper. En fonction ARs fournisseurs, certains services pourraient ainsi être considérés comme appartenant à l’un ou l’autre ARs modèles, et les classifications peuvent être amenées à évoluer dans le temps avec l’enrichissement ARs catalogues. De même, certains services commercialisés peuvent combiner ARs services IaaS et PaaS.

En dépit AR ces limites, pour la suite AR l’analyse, les principaux services proposés par les 27. fournisseurs ont été décrits en proposant une classification sur la base ARs modèles IaaS et PaaS. Cette classification est indicative et n’a pas d’inciARnce sur l’analyse ARs marchés pertinents dans le secteur du cloud (voir les développements infra sur «l’analyse ARs marchés pertinents dans le secteur du cloud »). Elle n’a vocation ni à atteindre l’exhaustivité ni à constituer une catégorisation stricte, plusieurs services étant susceptibles AR figurer dans plusieurs catégories.

a) L’IaaS

28. ACs informations recueillies auprès ARs acteurs du secteur conduisent à distinguer trois granARs catégories AR services d’IaaS :

- le calcul le calcul comprend l’ensemble ARs services offrant une capacité à traiter un grand nombre d’informations en même temps. Cette catégorie est notamment composée ARs machines virtuelles 34 et AR leurs architectures, ARs processeurs graphiques (GPU) 35 et AR la capacité AR mise à l’échelle. Certains services offrent par exemple une capacité AR calcul redimensionnable automatiquement.

Figure 2 – Exemples AR service AR calcul auprès AR différents fournisseurs 36

Exemples AR services AR calcul Fournisseurs AR services cloud

Amazon Elastic Compute Cloud (EC2) AWS

Google Cloud Google Compute Engine

Azure Compute Microsoft Azure

OVHcloud Metal Instances

Flexible Computing Unit […] Outscale

Play 2 Instances Scaleway

³4 Une machine virtuelle est un environnement logiciel isolé et autonome qui simule un ordinateur physique.

Elle permet d’exécuter plusieurs instances indépendantes AR systèmes d’exploitation et d’applications sur un seul ordinateur physique.

³5 ^Un processeur graphique (GPU) est un processeur composé AR nombreux coeurs spécialisés, permettant

d’assurer les fonctions AR calcul d’images AR manière parallélisée. On le trouve généralement sur les cartes graphiques.

³6 ACs services mentionnés dans ce tableau et dans les suivants ne sont pas équivalents entre eux mais rentrent tous dans la même catégorie AR services.

le stockage le stockage est constitué AR l’ensemble ARs services permettant AR stocker AR grands volumes AR données sur ARs serveurs à distance via Internet. Cette catégorie comprend notamment le stockage d'«< objets »³7, AR fichiers ou AR blocs 38, les outils d’aiAR à la migration ou au transfert AR données ou encore les copies AR sauvegarAR et les sauvegarARs instantanées. Certains services permettent par exemple AR stocker et AR retirer immédiatement tous types d’objets et volumes AR données.

Figure 3 – Exemples AR service AR stockage auprès AR différents fournisseurs

Fournisseurs AR services cloud Exemples AR services AR stockage

Simple Storage Services (S3) AWS

Google Cloud Cloud Storage

Stockage Blob Azure Microsoft Azure

OVHcloud Object Storage

Outscale Object Storage […] Outscale

Scaleway Object Storage

- le réseau un réseau informatique désigne le groupement AR ARux ou plusieurs appareils permettant l’échange AR données et le partage AR ressources communes³9. Afin AR transmettre les informations, ces appareils utilisent ARs règles communes, appelées protocoles AR communication. AC DNS («< Domain Name System >>) est par exemple un service AR réseau en cloud très utilisé. Il permet AR déterminer l’adresse IP 40 associée à un nom AR domaine, AR façon fiable et avec une faible latence, c’est- à-dire un faible délai AR transmission ARs données.

Figure 4 – Exemples AR service AR réseau auprès AR différents fournisseurs

Exemples AR services AR réseau Fournisseurs AR services cloud

AWS Amazon Route 53

Google Cloud Google Cloud CDN

Microsoft Azure Azure Virtual Network

OVHcloud OVH Floating IP

Outscale DirectLink […] Outscale

Scaleway Private Network

ACs services IaaS représentent, en nombre, une part réduite AR l’ensemble ARs services du 29. cloud public, notamment du fait AR la diversité croissante AR services proposés sur le PaaS

37 AC stockage objet est une technologie AR stockage dans laquelle les données sont divisées en < objets '> et stockées dans un référentiel unique. Ces « objets » contiennent également les métadonnées associées. Il est notamment très utilisé pour stocker les données non structurées (image, audio, vidéo, etc.).

38 AC stockage par blocs est une technologie AR stockage dans laquelle les données sont divisées en blocs AR taille contrainte et stockées AR manière à optimiser leur disponibilité à la lecture.

³⁹https://www.Y.fr/digitalguiAR/serveur/know-how/reseau-informatique-ARfinition/.

40 L’adresse IP (Internet Protocol) est un numéro d’iARntification unique associé à tout périphérique relié au réseau informatique.

(voir ci-après). Ils représentent cependant à ce jour la plus granAR part AR l’activité et ARs revenus liés aux services cloud, les services IaaS constituant le socle essentiel AR services sur lesquels les entreprises peuvent développer leur architecture cloud.

ACs services IaaS sont les plus standardisés ARs services cloud. Plusieurs acteurs du secteur 30. parlent ainsi AR «< commodité ». Ces services sont fournis AR manière homogène par l’ensemble ARs fournisseurs AR services cloud, même si ARs variations peuvent exister du point AR vue AR la facturation ou ARs garanties AR services.

b) AC PaaS

AC PaaS recouvre une plus granAR variété AR services que l’IaaS. ACur nombre est, AR plus, 31. en constante augmentation du fait d’un fort ARgré d’innovation. Cette situation rend plus complexe la catégorisation ARs différents services. Toute proposition s’avère ainsi nécessairement incomplète tout en entrainant ARs chevauchements entre les catégories.

32. À partir ARs informations recueillies, l’Autorité propose AR distinguer les principaux services PaaS au travers ARs granARs catégories suivantes :

- les bases AR données : une base AR données est un référentiel d’informations, qui peut être structuré ou non 41. Une base AR données cloud (aussi appelée «< DBaaS » pour

< DataBase-as-a-Service ») est une base AR données s’exécutant sur l’infrastructure informatique du fournisseur cloud, à laquelle le client accèAR via Internet. Il existe principalement ARux catégories AR bases AR données :

i. les bases AR données relationnelles sont un ensemble AR tableaux interdépendants où l’information est organisée en lignes et colonnes. La relation entre les informations est spécifiée dans un schéma. Ces bases AR données sont généralement écrites dans un langage structuré, SQL («< Structured Query Language >>) étant le plus populaire. ACs fournisseurs AR services cloud proposent ARs systèmes AR gestion AR ces bases AR données, soit distribués sous licence, comme le service AR Microsoft, Azure SQL Database, ou Oracle, soit disponibles en open source, comme MySQL ou PostgreSQL ;

ⁱⁱ. les bases AR données non relationnelles ne fonctionnent pas selon un modèle AR tableaux. ACur contenu est stocké sous la forme d’un document unique.

Puisqu’elles ne sont pas structurées, ces bases AR données sont aussi parfois appelées NoSQL. ACs fournisseurs AR services cloud proposent également ARs outils AR gestion AR ces données, comme AWS avec Amazon DynamoDB ou Microsoft avec Azure Cosmos DB.

41 ACs données structurées sont ARs données qui utilisent un format prédéfini et attendu (Oracle, « Comparaison entre les types AR données structurées et non structurées », lien).

29 9

Figure 5 – Exemples AR service AR bases AR données auprès AR différents fournisseurs

Exemples AR services AR base AR données Fournisseurs AR services cloud

AWS Amazon Aurora

Google Cloud Google Cloud Bigtable

Azure Cosmos DB, Azure SQL DB Microsoft Azure

OVH Managed Databases for PostgreSQL OVHcloud

Managed Database for Redis Scaleway

l’analyse AR données les principaux fournisseurs AR services cloud proposent ARs

outils permettant AR traiter et d’analyser d’importants volumes AR données. Ces outils peuvent permettre d’effectuer ARs requêtes 42 sur les données (structurées ou non) stockées sur le cloud, d’entreposer et AR gérer les données dans ARs lacs AR données (< data lakes »)43, ou encore permettre le déploiement optimisé AR clusters 44 AR calcul (par exemple Apache Spark 45); les outils pour les développeurs désigne tous les outils qui permettent AR

développer ARs applications sur le cloud, comme par exemple les environnements AR développement intégré et les kits AR développement logiciel ; les outils d’intelligence artificielle et/ou d’apprentissage automatique (« machine

learning ») comme les plateformes d’apprentissage automatique, les outils AR traitement du langage naturel ou AR traitement ARs images et ARs contenus vidéo ;

Figure 6 – Exemples AR service d’apprentissage automatique auprès AR différents fournisseurs

Exemples AR services d’apprentissage Fournisseurs AR services cloud automatique

Amazon Augmented AI AWS

Google Cloud Google Text-to-Speech

Azure Cognitive Services Microsoft Azure

OVHcloud AI training OVHcloud

Machine ACarning Images Scaleway

42 En informatique, une requête est une ARmanAR adressée à une base AR données. Elle peut contenir un certain nombre AR critères permettant AR la préciser.

⁴3 Un data lake contient ARs données AR manière non structurée. Il n’y a pas AR hiérarchie ou d’organisation entre les différents éléments AR données. ACs données sont conservées sous leur forme la plus brute et ne sont ni traitées ni analysées. Un Data Lake accepte et conserve toutes les données provenant AR différentes sources et supporte tous les types AR données (Oracle, « Data Lake: Définition », lien).

44 D’après le site www.lebigdata.fr : « Un cluster AR serveurs est un groupe AR serveurs et d’autres ressources indépendantes fonctionnant comme un seul système », lien.

⁴⁵Apache Spark est un environnement open source permettant AR faire du calcul distribué, c’est-à-dire optimisé pour traiter AR très larges volumes AR données.

les services nécessaires au fonctionnement AR l’Internet ARs objets 46: ces ^s^e^r^vⁱ^c^e^s

permettent AR connecter et gérer ARs appareils connectés et AR collecter, stocker et analyser les données qui y sont recueillies ; les conteneurs informatiques: en informatique, un conteneur est un ensemble logiciel unique qui regroupe le coAR d’une application accompagné AR tous les éléments nécessaires à son exécution. Cette technologie permet aux développeurs AR déployer leurs applications indépendamment AR l’environnement ^c^l^o^u^d. L’automatisation du déploiement, la mise à l’échelle et la gestion AR ces conteneurs sont effectuées par un orchestrateur AR conteneurs, Kubernetes étant le plus largement utilisé. Ce ARrnier est un système développé initialement par Google puis rendu open source en 201447 et aujourd’hui hébergé par la Cloud Native Computing Foundation (CNCF) 48. La plupart ARs fournisseurs AR services cloud s’appuient sur cette technologie pour fournir ARs services PaaS comme Kubernetes Kapsule AR Scaleway ou Google Kubernetes Engine AR Google Cloud. La catégorisation ARs conteneurs au sein du PaaS peut être sujette à discussion puisque ceux-ci contiennent ARs services d’infrastructure, contrairement aux autres services PaaS. Certains acteurs parlent notamment AR CaaS (Container-as-a-Service) 49; la sécurité (< Security, IARntity and Compliance ») : la sécurité désigne l’ensemble

ARs services cloud ARstinés à sécuriser l’utilisation du cloud par les entreprises. Elle est notamment composée ARs services AR pare-feu50, AR gestion ARs iARntités, AR protection ARs données, AR protection réseau ou bien AR détection AR la vulnérabilité. Par exemple, les services IAM (« IARntity and Access Management '>) gèrent les autorisations ARs personnes physiques concernant leur accès à ARs fonctionnalités. Par exemple, le service, basé sur le cloud, Azure Active Directory (Azure AD) proposé par Microsoft, est très fréquemment utilisé 51. Ces services sont présents à tous les niveaux AR services du cloud, et il est difficile AR les classer précisément comme PaaS ou IaaS.

ACs services PaaS connaissent une forte diversification et représentent une part croissante 33. ARs services AR cloud public proposés aux entreprises. À titre d’illustration, Google Cloud Platform propose plus d’une centaine AR services et parmi les douze < produits caractéristiques '> mentionnés sur son site 52, huit relèveraient, selon la typologie décrite ci- avant, AR services PaaS. Dans ce contexte AR forte innovation, les services varient ainsi d’un fournisseur à l’autre.

46 L’Internet ARs objets désigne à la fois le processus AR connexion d’objets physiques à Internet et le réseau qui relie ces objets (OVHcloud, Qu’est-ce que l’Internet ARs objets ?, lien).

⁴⁷Plus d’informations sur Kubernetes en ligne (lien).

48 Plus d’informations sur la CNCF en ligne (lien).

49 Voir illustration proposée (lien).

50 Un pare-feu (firewall) est un produit qui forme une barrière AR protection entre un réseau informatique (ici, le réseau du fournisseur AR services cloud) et l’extérieur. Il filtre notamment le trafic malveillant et les attaques.

⁵¹https://learn.microsoft.com/fr-fr/azure/active-directory/fundamentals/active-directory-whatis.

52 Sélection AR produits (Compute Engine, Cloud Storage, BigQuery, Cloud SDK, Cloud SQL, Google Kubernetes Engine, Cloud CDN, Dataflow, Opérations, Cloud Run, Anthos, Cloud Functions) présentés sur le site AR GCP (lien).

ACs services cloud

AC cloud public correspond généralement à ARs offres commerciales permettant au client d’accéARr directement à une multituAR AR services. On distingue généralement trois granARs catégories AR services cloud, nommées IaaS, PaaS et SaaS :

l’IaaS correspond au modèle le moins externalisé, dans lequel le fournisseur met à disposition AR l’utilisateur les infrastructures informatiques, notamment ARs serveurs ou du stockage ; le PaaS constitue un modèle intermédiaire. Il fournit un environnement permettant aux clients AR bénéficier AR logiciels et d’outils pour développer leurs applications sans avoir à créer ni entretenir l’infrastructure ou la plateforme généralement associée au processus ; le SaaS correspond au modèle le plus externalisé. Il permet à l’utilisateur d’accéARr directement à ARs applications, gérées intégralement par le fournisseur, ARpuis tout appareil connecté.

Ces trois granARs catégories corresponARnt à différents niveaux AR responsabilité dévolus entre le fournisseur AR services cloud et l’entreprise cliente. L’appartenance d’un service à un modèle dépend du ARgré d’externalisation du service en question.

ACs modèles IaaS et PaaS se distinguent assez fortement du modèle SaaS. ACs clients, les usages et les modèles d’affaires apparaissent en effet très différents. ACs services appartenant aux modèles IaaS et PaaS sont principalement ARstinés à ARs professionnels AR l’informatique pour construire ARs solutions pour leurs propres usages internes et/ou externes.

ACs services IaaS sont les plus standardisés ARs services cloud et représentent une part réduite, en nombre, AR l’ensemble ARs services du cloud public, notamment du fait AR la diversité croissante AR services proposés sur le PaaS. L’IaaS représente toutefois encore la plus granAR part AR l’activité et ARs revenus liés aux services cloud.

B. L’USAGE DES SERVICES X

1. LES CLIENTS DES SERVICES X

AC présent avis se concentre sur la clientèle professionnelle, la principale pour les services 34.

IaaS et PaaS. ACs clients finaux peuvent être ARs développeurs ou ARs entreprises ayant ARs besoins en ressources informatiques. À noter que les fournisseurs AR services cloud peuvent aussi fournir ARs services à ARs revenARurs et partenaires en «< marque blanche ». Ces ARrniers commercialisent alors ces solutions à leurs clients sous leur propre marque.

Dans le cadre AR leurs activités, les entreprises font face à divers besoins informatiques. 35.

Plusieurs logiciels et services peuvent être nécessaires pour que les entreprises puissent créer les solutions informatiques répondant à chaque besoin. Chaque solution peut être désignée comme une «< charge AR travail » (« workload ») qui correspond à l’ensemble ARs ressources informatiques (telles que les applications, les données et les services) ou aux processus métier répondant à un besoin ou objectif spécifique. Dans sa réponse à la consultation publique, un fournisseur définit les charges AR travail comme étant «< constituées d’un ensemble d’applications d’un client, AR composants et AR données associées qui peuvent être considérées comme répondant à un objectif spécifique ou constituant une unité AR gestion, du point AR vue du client. Ces applications, composants et données interagissent les uns avec

32 2

les autres horizontalement et verticalement, en passant par divers éléments au sein du cloud pour servir une fonction particulière »³>>53

ACs clients AR services cloud ont fait le choix AR recourir à ces services pour certaines ou 36.

l’ensemble AR leurs charges AR travail. Parmi eux, il est particulièrement intéressant AR distinguer différentes catégories d’acteurs selon leur staAR d’adoption du cloud. Il est en particulier possible AR distinguer entre les clients disposant AR solutions informatiques historiquement hébergées et gérées sur site et faisant progressivement migrer tout ou partie AR leurs charges AR travail vers le cloud (a) et ceux qui ont développé leurs solutions informatiques directement à partir AR services cloud, communément qualifiés AR «< cloud native » (b). ACs clients peuvent également être distingués selon leur secteur d’activité (c) ou leur taille (d).

a) ACs entreprises migrant vers le cloud

37. De nombreuses entreprises disposent AR charges AR travail conçues pour fonctionner sur site et peuvent déciARr AR faire évoluer leur système informatique en faisant migrer tout ou partie AR leurs charges AR travail vers le cloud, si cela s’avère pertinent au regard ARs avantages AR celui-ci.

38. Dans ce cas, les entreprises sont confrontées à ARs problématiques spécifiques liées à

l’adaptation AR leurs charges AR travail pour un fonctionnement dans un modèle cloud et au fonctionnement parallèle entre leurs solutions sur site et les solutions hébergées dans le cloud

(voir Partie IV). Ces entreprises connaissent ainsi ARs périoARs AR transition, plus ou moins longues en fonction du nombre et AR la taille ARs charges AR travail qu’elles déciARnt AR faire migrer. ACs informations collectées au cours AR l’instruction témoignent que AR nombreuses entreprises connaissent ARs processus AR migration AR plus AR ARux ans.

La migration d’une charge AR travail peut en outre être très coûteuse, en particulier pour les 39. granARs entreprises disposant AR systèmes d’information complexes sur site. L’Autorité a pu constater une forte hétérogénéité ARs coûts AR migration dans le cadre ARs réponses à son sondage en ligne, liée principalement à la variété ARs tailles d’entreprise et ARs charges AR travail. La médiane du coût AR migration vers le cloud indiqué par les répondants est AR plus AR 450 000 euros tandis que la moyenne est AR l’ordre AR 6,6 millions d’euros. Afin AR faciliter cette migration, environ 44 % ARs entreprises ayant répondu ont indiqué avoir eu recours aux services d’un intégrateur. Certains fournisseurs AR services cloud proposent également eux-mêmes ARs services d’accompagnement à la migration.

40. Une très granAR majorité ARs entreprises (87% ARs répondants au sondage en ligne) ayant procédé à leur migration vers le cloud adopte un déploiement en cloud public ou hybriAR.

Ces entreprises sont les cibles privilégiées ARs fournisseurs AR services cloud, leur processus 41. AR migration étant relativement récent et progressif. ACs fournisseurs peuvent se positionner comme primo-fournisseurs auprès d’elles, ainsi que proposer leurs services pour une partie AR leurs charges AR travail restant à faire migrer dans le cadre d’une stratégie dite multi-cloud

(ou multi-nuages) (voir 4. AC multi-cloud). Compte tenu du caractère récent AR cette

53 AC document AR consultation publique précité donnait quelques exemples AR charges AR travail, telles qu’une charge AR travail d’un site e-commerce fondée sur plusieurs services cloud (un service AR réseau AR diffusion AR contenu (CDN) combiné à un service AR stockage d’objets pour la couche AR contenu statique, un service AR gestion ARs API pour la conception et la gestion ARs API, un service AR gestion ARs iARntités et ARs accès clients (CIAM) pour la couche d’authentification et un service AR calcul d’événement sans serveur (FaaS) combiné à un service AR base AR données NoSQL inARxé pour la couche AR contenu dynamique).

migration (voir 2. L’adoption du cloud par les entreprises françaises) et AR ses coûts élevés (voir Partie IV), les cas AR migration AR ces entreprises d’un fournisseur AR services cloud vers un autre restent encore rares mais pourraient être plus fréquents dans les prochaines années. De même, il convient AR noter que migrer vers le cloud constitue ^au ^m^oⁱⁿs à ^uⁿ

horizon AR moyen terme une décision irréversible pour l’entreprise, un retour vers un fonctionnement sur site entrainant ARs coûts irrécupérables. L’entreprise pourra toutefois s’orienter vers une stratégie hybriAR, combinant notamment cloud public et privé.

b) ACs «< cloud native >>

42. À l’inverse ARs entreprises migrant vers le cloud, les entreprises cloud native sont ARs entreprises relativement jeunes, dont l’ensemble ARs ressources informatiques ont été construites directement sur le cloud. Elles utilisent les services cloud ARpuis leur création et les différentes charges AR travail ont été conçues directement en recourant à ces services.

Ces entreprises n’ont donc pas à gérer AR transformation AR leur système informatique pour passer sur le cloud. On retrouve AR nombreuses entreprises cloud native parmi les startups, qui ont pu bénéficier AR la flexibilité et ARs possibilités AR redimensionnement AR leurs ressources offertes par le cloud. Au cours ARs ARrnières années, cette catégorie AR clients a constitué une cible privilégiée pour les fournisseurs AR services cloud, du fait AR leur intérêt pour les services AR cloud, AR leur fonctionnement reposant souvent sur l’exploitation AR données et AR leur capacité rapiAR d’adoption AR ces nouveaux outils en l’absence d’historique à adapter.

En ARhors du flux AR nouvelles entreprises cloud native, ces entreprises constituent 43. désormais un stock AR ARmanARs ayant déjà choisi un ou ARs fournisseurs. AC choix du ou ARs fournisseurs sur lesquels s’appuyer pour construire leur système informatique est déterminant pour la suite AR leur développement. ACs entreprises cloud native, tout comme les autres entreprises clientes AR services cloud, seront donc ARs cibles privilégiées pour les fournisseurs, principalement dans le cadre du développement d’une stratégie multi-cloud ou AR la décision AR migrer vers un autre fournisseur.

c) ACs clients par secteurs d’activité

ACs clients professionnels ARs services AR cloud couvrent aujourd’hui l’ensemble ARs 44. secteurs d’activité tels que l’industrie, l’énergie, la construction, le commerce, les transports,

l’hébergement et la restauration, l’information et la communication, les services financiers, les administrations, l’enseignement, la santé et les autres activités AR services. Des différences d’usage ou AR maturité dans la migration vers le cloud peuvent toutefois exister en fonction ARs secteurs.

45. Certains secteurs fortement régulés comme le secteur public, les opérateurs AR services essentiels (ci-après les «OSE »[…]) et les opérateurs d’importance vitale (ci-après les

⁵4 L’ANSSI définit un OSE AR la manière suivante : « Un OSE est un opérateur tributaire ARs réseaux ou systèmes d’information, qui fournit un service essentiel dont l’interruption aurait un impact significatif sur le fonctionnement AR l’économie ou AR la société. Un service essentiel correspond à 3 critères : ce service est essentiel au maintien d’activités sociétales ou économiques critiques; la fourniture AR ce service est tributaire ARs réseaux et ARs systèmes d’information; un inciARnt sur ces réseaux et systèmes aurait un effet disruptif important sur la fourniture dudit service » (lien).

34 4

< OIV >>55), les services financiers ou le secteur AR la santé doivent par exemple répondre à certaines contraintes pouvant limiter leur recours au cloud public. AC cadre règlementaire AR protection ARs données (voir encadré), soumis à ARs incertituARs notamment d’ordre juridique, contribue également à définir AR nouvelles règles, en particulier vis-à-vis AR certains secteurs d’activité sensibles.

Un cadre AR protection ARs données incertain

AC processus d’adoption ARs services AR cloud par les entreprises s’inscrit dans un contexte AR fragilité ARs cadres existants en matière AR protection ARs données, soulevant ARs enjeux AR souveraineté. L’arrêt « AA II »56, rendu le 16 juillet 2020 par la Cour AR justice AR l’Union européenne (ci-après « la CJUE »), a en effet invalidé le régime AR transferts AR données entre l’Union européenne et les États-Unis 57 (« Privacy Shield ») 58. Cet arrêt soulève ARs interrogations sur l’ampleur ARs risques juridiques liés notamment à l’application AR lois extra-européennes à ARs clients français et européens ainsi qu’à ARs fournisseurs AR services cloud. Après l’annonce par l’Union européenne et les États-Unis d’un nouvel accord politique le 25 mars 202259, le présiARnt ARs États-Unis a signé, le 7 octobre 2022, un décret qui met en œuvre cet accord AR principe en droit américain. La Commission a publié un projet AR décision d’adéquation le 13 décembre 2022, avant AR lancer la procédure d’adoption 60. Dans l’attente AR l’issue AR cette procédure, cette situation d’incertituAR ainsi que, dans certains secteurs, les exigences règlementaires (voir infra) poussent les autorités et certains acteurs à développer ARs solutions garantissant la protection ARs données sensibles au niveau européen, comme en témoignent les différentes certifications AR sécurité développées infra.

55 ACs OIV sont désignés par l’État comme ayant ARs activités indispensables à la survie AR la nation ou dangereuses pour la population. ACs secteurs d’activité d’importance vitale couvrent par exemple les activités civiles et militaires AR l’État. La liste ARs OIV est classée « secret défense » (voir l’article R. 1332-2 du coAR AR la défense).

⁵⁶› CJUE, arrêt du 16 juillet 2020, Data Protection Commissioner contre Facebook Ireland Ltd et Z AA, affaire C-311/18, ECLI:EU:C:2020:559.

57 Décision d’exécution (UE) 2016/1250 AR la Commission du 12 juillet 2016 conformément à la directive 95/46 relative à l’adéquation AR la protection assurée par le bouclier AR protection ARs données UE-États-Unis (JOUE L 207 du 1er août 2016, pages 1-112).

58 Selon la Cour, les limitations AR la protection ARs données à caractère personnel qui découlent AR la réglementation interne ARs États-Unis (Cloud Act) portant sur l’accès et l’utilisation, par les autorités publiques américaines, AR telles données transférées ARpuis l’Union vers ce pays tiers ne sont pas encadrées AR manière à répondre à ARs exigences substantiellement équivalentes à celles requises, en droit AR l’Union, par le principe AR proportionnalité, en ce que les programmes AR surveillance fondés sur cette réglementation ne sont pas limités au strict nécessaire.

⁵⁹Communiqué AR presse AR la Commission, « Déclaration conjointe AR la Commission européenne et ARs États-Unis sur le cadre transatlantique AR protection ARs données personnelles », 25 mars 2022 (lien).

⁶0 Communiqué AR presse AR la Commission, «< Data protection: Commission starts process to adopt aARquacy ARcision for safe data flows with the US », 13 décembre 2022 (lien).

AC secteur public

En France, le secteur public se distingue d’autres secteurs du fait AR la doctrine spécifique 46. AR l’État concernant le recours aux services AR cloud. Dans le cadre AR la stratégie nationale pour le cloud 61, le Gouvernement a en effet défini, entre autres, la doctrine «< cloud au centre >> pour la transformation numérique AR l’État 62. Cette doctrine s’applique aux acteurs AR l’État et aux organismes placés sous sa tutelle, comme retenus dans le décret n° 2019-1088 du 25 octobre 2019 définissant le système d’information AR l’État 6³. AC cloud ARvient dorénavant le moAR d’hébergement et AR production par défaut ARs services numériques AR l’État, pour tout nouveau produit numérique et pour les produits connaissant une évolution substantielle. Ainsi, pour tout nouveau projet, les équipes informatiques AR l’État et leurs prestataires doivent par défaut s’appuyer sur une ou plusieurs ARs offres AR cloud internes ou commerciales pour couvrir l’intégralité du cycle AR production ARs applications en fonction AR critères fondés par exemple sur le niveau AR sécurité requis.

⁴⁷. Dans ce cadre, si un système ou une application informatique d’un acteur public utilise ARs données d’une sensibilité particulière 64, cet acteur ARvra s’appuyer sur le cloud interne AR l’État ou ARs fournisseurs privés certifiés SecNumCloud par l’Agence Nationale AR la Sécurité ARs Systèmes d’Information (ci-après «l’ANSSI ») et protégés contre toute règlementation extracommunautaire 65.

₄₈. Cette doctrine contraint ainsi la ARmanAR ARs acteurs AR l’État en matière AR services cloud, en particulier ceux utilisant ARs données d’une sensibilité particulière.

La certification SecNumCloud

En tant qu’autorité nationale en matière AR sécurité et AR défense ARs systèmes d’information,

l’ANSSI accorAR ARs visas AR sécurité à ARs solutions, produits ou services qui démontrent un niveau élevé AR sécurité et AR confiance. Dans le cadre AR cette démarche, l’agence a élaboré en 2016 le référentiel SecNumCloud66 pour permettre la qualification AR prestataires AR services d’informatique en nuage. Parmi les exigences clefs du référentiel, figurent :

- un cloisonnement ARs flux entre les opérations liées au bon fonctionnement du service qualifié et celles liées aux usages du service par les entités faisant appel à un prestataire AR services d’informatique en nuage. Cela se traduit par ARs exigences d’isolation ARs réseaux pour garantir le cloisonnement entre les différentes composantes du service cloud: usages

61 Voir le dossier AR presse «< Stratégie nationale pour le cloud » (lien).

62 Voir la doctrine Cloud au centre et la circulaire n° 6282-SG du 5 juillet 2021 relative à la doctrine d’utilisation AR l’informatique en nuage par l’État (lien).

63 Décret n° 2019-1088 du 25 octobre 2019 relatif au système d’information et AR communication AR l’État et à la direction interministérielle du numérique.

64 La circulaire n° 6282-SG précise que « si le système ou l’application informatiques manipule ARs données d’une sensibilité particulière, qu’elles relèvent notamment ARs données personnelles ARs citoyens français, ARs données économiques relatives aux entreprises françaises, ou d’applications métiers relatives aux agents publics AR l’État : l’offre commerciale retenue ARvra impérativement respecter la qualification SecNumCloud (ou une qualification européenne d’un niveau au moins équivalent) et être immunisée contre toute réglementation extracommunautaire », pages 10-11.

⁶5 Commu_n_i_q_ué _de pressedu Ministère AR la transformation et AR la fonction publique, « L’État précise la mise en œuvre AR la doctrine «< cloud au centre »», 6 octobre 2021 (lien).

66 Prestataires AR services d’informatique en nuage (SecNumCloud) – référentiel d’exigences, Version 3.2 du

8 mars 2022.

cloud, gestion du service, gestion AR l’infrastructure, etc. Il est également exigé que les interfaces d’administration utilisées par le prestataire et celles mises à disposition ARs clients soient distinctes et protégées (chapitres 9.6 et 13.2 du référentiel) ;

- la protection ARs postes qui permettent l’administration du service qualifié SecNumCloud (chapitre 12 du référentiel);

- ARs exigences supplémentaires relatives à la localisation ARs données au sein AR l’UE. Celles-ci concernent le stockage et le traitement ARs données, mais également les opérations d’administration et AR supervision du service (chapitre 19.2. du référentiel) ; une protection contre les lois extra-européennes (chapitre 19.6 du référentiel). Cela implique concrètement ARs exigences relatives à la localisation du siège social (établi au sein d’un État membre AR l’UE), l’actionnariat (les entités tierces localisées dans un État hors UE restent minoritaires), l’encadrement du recours aux services AR sociétés tierces hors UE du point AR vue AR leur capacité à obtenir les données recueillies au travers du service SecNumCloud, l’autonomie d’exploitation continue dans la fourniture du service SecNumCloud et le respect AR la législation en vigueur et ARs droits fondamentaux et valeurs AR l’Union européenne. La version 3.2 AR SecNumCloud va ainsi plus loin en garantissant que le fournisseur AR services cloud et les données qu’il traite ne peuvent être soumis à ARs lois non européennes. Elle intègre également le retour d’expérience ARs premières évaluations et précise l’exigence relative à la mise en œuvre AR tests d’intrusion tout au long du cycle AR vie AR la qualification.

D’autres certifications similaires ont été développées en parallèle dans plusieurs pays européens (ENS67 en Espagne, C568 en Allemagne, etc.). Afin d’éviter la fragmentation du marché européen, le « Cybersecurity Act »69, adopté en 2019, prévoit d’harmoniser ces certifications par la création du schéma EUCS («< European Cybersecurity Certification Scheme for Cloud Services »). Ce ARrnier est en cours AR discussion au sein AR l’ENISA,

l’Agence AR l’Union européenne pour la cybersécurité. Cette certification ARvrait garantir un très haut niveau AR cybersécurité pour un service, mais également récompenser la localisation et le traitement ARs données hébergées dans l’UE, ainsi que garantir l’immunité au regard AR l’extra-territorialité ARs lois étrangères. C’est ce ARrnier critère qui fait l’objet ARs principaux débats entre les États membres.

ACs OSE et les OIV

ACs activités AR certaines entreprises sont considérées comme essentielles au maintien AR 49.

l’activité économique et sociale (les «OSE ») ou d’importance vitale (les < OIV >>). Ces entreprises doivent alors répondre à ARs obligations AR gestion ARs risques AR cybersécurité renforcées, fixées par plusieurs cadres règlementaires.

67 Esquema Nacional AR Seguridad élaboré par l’Entidad Nacional AR Acreditación (ENAC).

⁶8 Cloud Computing Compliance Controls Catalog, norme qui établit une base AR référence minimale obligatoire pour la sécurité dans le cloud et l’adoption AR solutions AR cloud public par les agences gouvernementales allemanARs et les entreprises qui travaillent avec le gouve^rⁿ^e^m^eⁿ^t.

⁶⁹Règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence AR l’Union européenne pour la cybersécurité) et à la certification AR cybersécurité ARs technologies AR l’information et ARs communications, et abrogeant le règlement (UE) 526/2013 (règlement sur la cybersécurité)

(JOUE L 151 du 7 juin 2019, pages 15-69).

AC cadre règlementaire en matière AR cybersécurité

ACs législations transversales en matière AR cybersécurité fixent un cadre et ARs obligations

s’appliquant, entre autres, aux fournisseurs AR services cloud. La directive (UE) 2016/1148

< Network Internet Security », dite « NIS »70, adoptée le 6 juillet 2016, a notamment défini plusieurs obligations visant à renforcer la cybersécurité ARs fournisseurs AR services numériques, dont les entreprises AR cloud. Ce texte a très récemment été révisé par la directive dite < NIS2 », qui a été adoptée par le Conseil AR l’Union européenne le 28 novembre 202271 et est entrée en vigueur le 16 janvier 2023. ACs États membres disposent d’un délai AR 21 mois pour transposer cette directive dans leur droit national.

50. À la suite AR l’introduction AR la directive NIS, la France a mis en place un mécanisme d’iARntification et AR désignation ARs OSE […], ainsi qu’une démarche d’accompagnement AR ces acteurs par l’ANSSI pour mettre en œuvre ARs dispositifs AR cybersécurité assurant leur protection. La directive NIS2 conduit à renforcer la gouvernance et la gestion du risque numérique pour les OSE et à sécuriser davantage l’écosystème numérique (sous-traitants, fournisseurs, partenaires) autour d’eux. AC périmètre ARs secteurs et activités ciblées a également été élargi et ARvrait donner lieu à une augmentation significative d’acteurs désignés OSE. Ce cadre règlementaire peut conduire à une ARmanAR particulière AR la part ARs OSE dans leur choix en matière AR système d’information et AR fournisseur.

⁵¹. La loi AR programmation militaire du 18 décembre 2013 a également introduit un dispositif AR protection ARs OIV 73. AC volet AR cette loi concernant la cybersécurité a créé ARs dispositions spécifiques à la sécurité ARs systèmes d’information dans le coAR AR la défense, imposant notamment aux OIV le renforcement AR la sécurité AR leurs systèmes d’information d’importance critique 74 : les systèmes d’information d’importance vitale (SIIV). En particulier, les OIV doivent prendre les mesures nécessaires, notamment par voie contractuelle, pour garantir l’application ARs règles AR sécurité ARs SIIV mis en place par leurs sous-traitants. ACs SIIV doivent être homologués, ce qui nécessite la réalisation

d’audits effectués en interne ou par un prestataire qualifié par l’ANSSI. L’ensemble AR ces règles spécifiques influe sur la ARmanAR ARs OIV en matière AR services informatiques, en particulier AR services cloud.

70 Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant ARs mesures ARstinées à assurer un niveau élevé commun AR sécurité ARs réseaux et ARs systèmes d’information dans l’Union (JOUE L 194 du 19 juillet 2016, pages 1-30).

71 Conseil AR l’Union européenne, « L’UE déciAR AR renforcer la cybersécurité et la résilience dans l’ensemble AR l’Union: adoption d’une nouvelle directive par le Conseil », 28 novembre 2022 (lien).

[…] Sur la base AR la liste ARs services essentiels fixée par décret, l’ANSSI, en coordination avec les ministères, propose au Premier ministre une liste d’OSE potentiels. À l’issue d’un processus contradictoire, le Premier ministre désigne les OSE par le biais d’un arrêté AR désignation. Plus d’informations disponibles sur le site AR

l’ANSSI (lien).

73 Loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale, JORF n° 0294 du 19 décembre 2013.

74 Selon l’ANSSI, les systèmes d’information d’importance critique sont les «< systèmes pour lesquels l’atteinte à la sécurité ou au fonctionnement risquerait AR diminuer d’une façon importante le potentiel AR guerre ou économique, la sécurité ou la capacité AR survie AR la Nation ».

Par sa doctrine «< cloud au centre », le Gouvernement a également témoigné AR sa volonté 52.

d’orienter davantage la ARmanAR ARs OSE et ARs OIV. AC dossier AR presse sur sa stratégie en matière AR cloud précise en effet que : « [s]i la doctrine «< cloud au centre » s’applique à tous les ministères ainsi qu’aux administrations sous tutelle AR ces ministères, la volonté du gouvernement est AR montrer l’exemple et d’inciter les OIV, les OSE et les collectivités territoriales à recourir au cloud et à utiliser ARs offres SecNumCloud pour les données sensibles »75

ACs services financiers

ACs clients AR services cloud appartenant au secteur financier représentent un profil 53. particulier influençant leur ARmanAR, que ce soit par exemple en matière AR garantie AR sécurité, AR capacité d’évaluation AR leurs fournisseurs ou AR recours au multi-cloud.

Dans le secteur financier, les régulateurs nationaux et européens ARs banques et ARs marchés […]. financiers se sont intéressés ARpuis plusieurs années aux enjeux soulevés par le recours à ARs prestataires et services informatiques externalisés, compte tenu ARs risques spécifiques liés aux activités financières. Cela a donné lieu à plusieurs rapports tels que celui AR l’Autorité AR Contrôle PruARntiel et AR Résolution (ACPR) sur ACs risques associés au Cloud computing76 en juillet 2013 ou celui publié en mai 2021 par le Haut Comité Juridique AR la Place Financière AR Paris (HCJP) sur le cloud bancaire 77.

⁵⁵. Afin d’aiARr les institutions financières à iARntifier, gérer et surveiller les risques découlant du recours au cloud, les régulateurs nationaux et européens ARs banques et ARs marchés financiers ont défini plusieurs recommandations. Dès 2019, l’Autorité bancaire européenne (ci-après « l’EBA ») a en particulier publié ARs Orientations relatives à l’externalisation 78 sur la gestion ARs risques liés aux technologiques AR l’information et à la sécurité ARs établissements financiers. Si la plupart ARs autorités AR supervision nationales ont déclaré se conformer à ces orientations, le cadre règlementaire ARs différents États membres régissant le recours au cloud par les établissements bancaires et financiers est apparu hétérogène et insuffisant par rapport au rôle grandissant ARs prestataires AR services informatiques, et AR services cloud en particulier.

⁵⁶. ACs régulateurs financiers ont notamment mis en lumière la dépendance croissante du secteur financier à l’égard d’un faible nombre AR fournisseurs cloud. Un rapport conjoint publié le 31 janvier 2022 par les trois régulateurs européens (l’EBA, l’Autorité européenne ARs assurances et ARs pensions professionnelles ou EIOPA et l’Autorité européenne ARs marchés financiers ou ESMA) alerte ainsi sur les risques AR concentrations dans les secteurs non régulés comme le cloud . De même, la Banque ARs règlements internationaux (« BRI ») a publié, en juillet 2022, un rapport faisant part AR ses préoccupations face à la dépendance croissante ARs institutions financières à l’égard d’un petit nombre AR prestataires susceptibles AR défaillances opérationnelles et sécuritaires. Ce rapport fait également état AR la réduction

⁷5 Stratégie nationale pour le cloud, «Soutenir l’innovation dans le Cloud », dossier AR presse 2 novembre 2021, page 26 (lien).

⁷6 ACPR, ACs risques associés au Cloud computing, Analyses et Synthèses, n° 16, juillet 2013 (lien).

77 HCJP, Rapport sur le cloud bancaire : état ARs lieux et propositions, mai 2021.

⁷8 EBA, Rapport Final sur les orientations relatives à l’externalisation, 25 février 2019 (lien).

⁷9 EBA, EIOPA, ESMA, Joint European Supervisory Authority response to the European Commission’s

February 2021 Call for Advice on digital finance and related issues, 31 janvier 2022, paragraphe 143 (lien).

AR la capacité AR ces institutions, mais aussi ARs autorités régulatrices, à évaluer correctement la conformité et le risque du recours à AR tels prestataires en raison ARs limitations introduites dans les contrats AR fourniture AR services cloud, notamment en ce qui concerne le droit d’audit 80

L’ensemble AR ces préoccupations a conduit à un renforcement du cadre règlementaire. AC 57. règlement européen DORA (« Digital Operational resilience of the financial sector » »81), adopté par le Conseil AR l’Union européenne le 28 novembre 202282, vise à renforcer la résilience du secteur financier vis-à-vis ARs risques notamment liés à la cybersécurité et à assurer un meilleur contrôle du secteur sur l’externalisation AR leurs services informatiques.

Son application, prévue pour le 17 janvier 2025 au plus tard, nécessitera l’élaboration AR normes techniques règlementaires par les régulateurs européens pour la mise en œuvre technique ARs principes fixés par le règlement. L’article 5 du règlement préconise également la mise en place d’une stratégie multi-cloud afin AR réduire la dépendance et augmenter la résilience opérationnelle ARs services financiers.

AC secteur AR la santé

Dans le secteur AR la santé, les entreprises doivent répondre à un ensemble AR règles visant 58.

à protéger les données AR santé ARs particuliers. Ainsi, l’hébergement AR ces données doit être réalisé dans ARs conditions AR sécurité adaptées. L’article L. 1111-8 du coAR AR la santé publique prévoit que «les professionnels AR santé ou les établissements AR santé, ou la personne concernée peuvent déposer ARs données AR santé à caractère personnel '> auprès d'< hébergeurs AR données AR santé » (« HDS »), c’est-à-dire AR personnes hébergeant ARs données AR santé à caractère personnel «< recueillies ou produites à l’occasion ARs activités AR prévention, AR diagnostic ou AR soins »83. Ces règles peuvent ainsi conduire les clients issus du secteur AR la santé à s’orienter vers un fournisseur plutôt qu’un autre en fonction notamment AR la certification ou non AR ses services.

59. À l’échelle européenne, il convient AR noter que la proposition AR règlement relatif à l’espace européen ARs données AR santé 84, présentée le 3 mai 2022, prévoit également ARs règles spécifiques pour les données dans le secteur AR la santé. Une fois mis en place, l’espace européen ARs données AR santé ARvrait définir un cadre AR partage AR données spécifiques à la santé et établir ARs infrastructures pour l’utilisation ARs données AR santés électroniques à l’échelle AR l’Union européenne.

d) ACs clients par taille d’entreprise

60. ACs clients AR services cloud sont AR toutes tailles, allant ARs très petites entreprises (ci-après,

< TPE >>) aux granARs entreprises. La migration vers le cloud concerne toutes les catégories,

80 BRI, Big tech interARpenARncies – a key policy blind spot, juillet 2022.

81 Commission européenne, Proposition AR règlement du Parlement européen et du Conseil sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014 et (UE) n° 909/2014, COM/2020/595 final, 24 septembre 2020.

82 Conseil AR l’Union européenne, «< Digital finance: Council adopts Digital Operational Resilience Act »>, 28 novembre 2022 (lien).

83 Article L. 1111-8 du coAR AR la santé publique.

84 Commission européenne, Proposition AR règlement du Parlement européen et du Conseil relatif à l’espace européen ARs données AR santé, COM(2022) […] final, 3 mai 2022.

que ce soient les granARs entreprises, les petites et moyennes entreprises (ci-après < PME >>), les TPE ou les entités publiques.

ACs informations recueillies au cours AR l’instruction montrent que les critères AR choix d’un 61. fournisseur AR services cloud tenARnt toutefois à varier selon la taille AR l’entreprise cliente.

Pour les TPE/PME, la nationalité (française ou européenne) du fournisseur AR service cloud et sa conformité réglementaire (par exemple dans le secteur AR la santé) apparaissent comme ARs critères particulièrement importants. Pour les granARs entreprises, ARs critères plus opérationnels semblent prévaloir, tels que la qualité et la disponibilité du service, la proximité ARs centres AR données (pour réduire le temps AR latence), la présence internationale, l’accès à un écosystème d’autres services ou encore la réputation du fournisseur. ACs préoccupations AR sécurité s’avèrent en revanche aussi importantes pour les ARux segments AR clientèle. De même, pour les ARux catégories, les réponses obtenues tenARnt à montrer que le prix ne constitue pas le principal critère AR choix, priorité étant donnée à la qualité du service rendu.

2. L’ADOPTION DU X PAR LES ENTREPRISES FRANÇAISES

Entre 2014 et 2021, la part ARs entreprises AR plus AR 10 salariés hors secteur financier 62. indiquant utiliser ARs services AR cloud (SaaS inclus) est passée AR 12 à 29 % en France 85.

Si l’ensemble ARs entreprises françaises n’ont pas forcément vocation à utiliser ARs services 63. AR cloud, ces chiffres tenARnt à montrer un potentiel AR croissance très significatif. En SuèAR ou en FinlanAR par exemple, le nombre d’entreprises utilisatrices AR services cloud était en effet d’environ 75 % en 2021 (voir Figure 7).

Cette migration s’est toutefois avérée plus lente en France que dans le reste AR l’Europe au 64. cours ARs ARrnières années. Toujours sur la périoAR 2014-2021, l’adoption du cloud est en effet passée AR 18 à 41 % en moyenne dans l’Union européenne. En France, si la tendance est à l’accélération avec une augmentation AR 10 points AR pourcentage entre 2018 et 2021, dans un contexte AR crise liée à l’épidémie AR Covid-19, cette hausse reste également inférieure à celle observée en moyenne dans les États membres AR l’Union européenne (+ 17 points AR pourcentage sur la même périoAR) 86.

85 Eurostat, utilisation ARs services AR cloud computing.

86 Eurostat, utilisation ARs services AR cloud computing, 17 mars 2022.

Figure 7 – Utilisation ARs services AR cloud en 2020 et 2021 par État membre AR l’Union européenne (en % d’entreprises)

80%

70% France

60%

50%

40%

30%

20%

10%

2020 2021

Source: Eurostat, Cloud computing – statistics on the use by enterprises, données AR décembre 2021 (lien).

AC retard français est principalement dû aux PME et TPE. En effet, en 2021, le taux 65.

d’adoption du cloud par les granARs entreprises était AR 71,6 % dans l’Union européenne et AR 71,1 % en France pour les entreprises AR taille intermédiaire et les granARs entreprises (voir Figure 8).

Certains fournisseurs considèrent également que ARs écarts AR compétences, AR maturité 66. numérique ainsi que ARs préoccupations accrues en matière AR sécurité et AR confiARntialité ARs données peuvent expliquer la moindre maturité du marché français. De nombreux clients et fournisseurs AR services cloud ont aussi indiqué à l’Autorité que les évolutions règlementaires autour AR la cybersécurité, AR la protection ARs données et d’extraterritorialité ont pu créer une forte incertituAR pour certains clients et les amener à revoir ou ralentir leur migration vers le cloud.

Figure 8-Comparaison AR l’usage ARs services AR cloud en France et dans la moyenne AR l’Union européenne en 2021 par taille d’entreprise (en % ARs entreprises)

80% […]% 71%

70%

60% 53%

45% 50% 41% 38%

40% 29% 26% 30%

20%

10%

Toutes entreprises 10 à 49 employés 50 à 249 employés 250 employés et plus

UE FR

Source: Eurostat, Cloud computing services by size class of enterprise, données AR décembre 2021 (lien).

Un enjeu pour la transformation numérique AR l’économie

AC marché européen du cloud pourrait passer AR 53 milliards d’euros en 2020 à 560 milliards d’euros en 2030, avec une croissance moyenne annuelle dépassant les 25 %87.

Cet essor du cloud est accompagné par un soutien important ARs pouvoirs publics dans la recherche et le développement ARs technologies innovantes, afin AR soutenir la numérisation AR l’économie ainsi que l’industrie européenne et française. Au niveau européen, la Commission a ARmandé aux États membres AR consacrer au moins 20 % ARs sommes reçues dans le cadre du plan AR relance européen AR 2020 à ARs investissements dans le numérique, notamment dans le cloud.

Plusieurs initiatives industrielles européennes concernent cette filière. En juin 2020, la France et l’Allemagne 88 ont officialisé le projet commun «< Gaia-X », visant à développer une infrastructure européenne AR données répondant à ARs exigences communes notamment en matière AR sécurité, d’interopérabilité 89 et AR portabilité ARs données. Un projet 90

important d’intérêt européen commun (« PIIEC ») pour les infrastructures et services cloud et edge computing" AR nouvelle génération est également en cours AR constitution, avec 91

douze États membres impliqués et près AR 60 projets concernant 180 entreprises européennes 92. Au niveau national, un plan AR soutien à la filière cloud française a été présenté le 2 novembre 2021, mobilisant près AR 1,8 milliard d’euros AR financements publics et privés⁹³. 93

3. LES SERVICES UTILISES

En France, parmi les entreprises utilisatrices AR services cloud (SaaS inclus) en 2021, les 67. principaux usages concernent le stockage AR documents (76%) et le service AR courrier électronique (67%) (voir Figure 9). Plus AR la moitié ARs entreprises utilisent également ARs services d’hébergement et AR gestion AR bases AR données (59%) ou AR sécurité informatique

(51%). AC recours à une plateforme AR développement, AR test et AR déploiement

d’application apparaît en revanche encore limité (25%).

⁸⁷Rapport KPMG, « AC Cloud européen AR grands enjeux pour l’Europe et cinq scénarios avec ARs impacts majeurs d’ici 2027-2030 », avril 2021.

88 Parmi les membres fondateurs se trouvent 11 entreprises allemanARs (dont Deutsche Telekom, Siemens, Bosch) et 11 entreprises françaises (dont Orange, OVHcloud, Atos, EDF). Début janvier 2021, Gaia-X avait reçu 200 ARmanARs d’adhésion, émanant d’entreprises et d’organismes AR recherche du monAR entier.

89 Voir glossaire.

90 Voir glossaire.

91 L'< edge computing » se définit comme le traitement qui s’effectue à proximité du point AR collecte ARs données.

⁹2 Communiqué AR presse, « AB AC AD et AE AF réaffirment la stratégie nationale pour le cloud et annoncent AR nouveaux dispositifs en faveur du secteur », 12 septembre 2022 (lien).

93 Voir communiqué AR presse du Gouvernement (lien).

Figure 9 – L’utilisation ARs services AR cloud par les entreprises en 2021 en France

(en % ARs entreprises utilisatrices du cloud)

76% 80%

25%ilu ….. 67% 70%

59%

60% […]% 51%

50% 44%

40% 30% 31%

30% 22% t

20% m

)

10% i

(

n s

0% i

i e

a a

a l

i i

i l

i w

f p

m p

t a

E e

e f

i a

w e

g w

t t

o m

o n

i e

p n

Source: Eurostat 94, Use of cloud computing services in entreprises, données AR décembre 2021 (lien) (Traduction ARs catégories en note AR bas AR page).

ACs données recueillies dans le cadre du sondage en ligne AR l’Autorité (voir Figure 10) 68. montrent également que les entreprises recourent très largement aux services IaaS. Bien que ces résultats ne soient pas statistiquement représentatifs du marché, ils restent une illustration utile ARs usages du cloud.

69. Ainsi, parmi les 23 entreprises ayant répondu au sondage, 78 % ont ainsi déclaré recourir à ARs services AR stockage. ACs services AR stockage et AR capacités AR calcul apparaissent comme les plus largement utilisés, notamment par rapport aux services PaaS (voir infra).

94 Traduction libre ARs catégories : « courrier électronique », « Stockage AR fichiers », < Logiciels AR bureautique », « Logiciels AR sécurité informatique », « Logiciels AR gestion et AR comptabilité»>,

< Hébergement ARs bases AR données AR l’entreprise », « Logiciels AR gestion AR la relation client »>,

< Puissance AR calcul pour les besoins AR l’entreprise », « Progiciel AR gestion intégré », « Plateforme AR développement et AR déploiement d’applications '>.

Figure 10 – Répartition par catégories ARs services IaaS utilisés par les répondants au sondage en ligne

90% 78% 80%

65% 70%

57% 60% 48% 50%

35% 40%

30%

20% 9%

10%

■Stockage

■Capacités AR calcul

■Virtual private server (environnement AR stockage et AR calcul sur ARs serveurs virtuels dédiés)

■Virtual networking (réseau virtuel isolé et hautement sécurisé)

■Baremetal et hosted private cloud (serveurs physiques et entièrement dédiés)

Autres

Source: Sondage en ligne réalisé par l’Autorité.

Parmi les 23 entreprises ayant répondu au sondage, une majorité déclare aussi utiliser ARs 70. services AR gestion AR bases AR données (65%), AR gestion ARs flux AR travail (57%) et AR sécurité (52%). ACs services plus sophistiqués d’intelligence artificielle et d’apprentissage automatique restent encore utilisés par une minorité d’entreprises utilisatrices AR services PaaS.

Figure 11 – Répartition par catégories ARs services PaaS utilisés par les répondants au sondage en ligne

70% 65%

57% 60% 52% 48% 48% 50% 43%

40%

26% 30%

20%

10% 4%

■Gestion AR bases AR données

■Gestion ARs flux AR travail

■Sécurité

■Plateformes AR gestion d’API

■Big data & analytics (analyse AR données AR masse)

■Services AR gestion AR conteneurs

■Artificial intelligence/Machine ACarning

■ Autre

Source: Sondage en ligne réalisé par l’Autorité.

4 45 5

4. LE MULTI-X

AC multi-cloud est un terme utilisé par les acteurs du secteur pour désigner l’utilisation 71. parallèle ARs services AR plusieurs fournisseurs AR services cloud par une même entreprise. Cela peut concerner à la fois le recours à plusieurs fournisseurs pour leurs services IaaS, PaaS ou les ARux à la fois (voire SaaS, selon les définitions). De nombreuses entreprises semblent aujourd’hui mettre en place ou souhaiter mettre en place une stratégie multi-cloud. Selon une étuAR Gartner⁹ AR 2020 réalisée auprès ARs utilisateurs du cloud public%, 81% ARs répondants ont indiqué utiliser les services d’au moins ARux fournisseurs.

Il ressort également ARs informations recueillies au cours AR l’instruction que les entreprises […]. ont très souvent recours à plusieurs fournisseurs AR services cloud pour les services IaaS et PaaS. Par exemple, environ 40 % ARs répondants au sondage réalisé en ligne par l’Autorité ont ainsi indiqué avoir recours à quatre fournisseurs ou plus AR services IaaS et PaaS.

ACs informations collectées tenARnt toutefois à montrer que, même dans le cas AR ces 73. stratégies AR multi-cloud, les entreprises ne recourent généralement qu’à un seul fournisseur AR services cloud par charge AR travail. Pour une charge AR travail donnée, comprenant en général plusieurs besoins informatiques, l’entreprise va choisir le fournisseur qui apparaît le plus adapté. Plusieurs fournisseurs pourront in fine être choisis par l’entreprise mais pour fournir ARs services liés à différentes charges AR travail, qui peuvent être gérées par ARs unités opérationnelles différentes, compte tenu AR la variabilité ARs besoins d’une charge AR travail à l’autre. Ces stratégies multi-cloud se retrouvent ainsi plus fréquemment au sein ARs granARs entreprises qui ont ARs besoins internes diversifiés et relativement indépendants et pourront choisir AR les répartir entre différents fournisseurs (voir Figure 12).

95 Selon son rapport financier du 31 mars 2023, l’entreprise Gartner «fournit ARs informations objectives et exploitables aux dirigeants et à leurs équipes ». Elle « offre ses produits et services à travers trois secteurs d’activité : la recherche, les conférences et le conseil » (traduction libre) (lien).

96 ÉtuAR Gartner auprès d’utilisateurs du cloud public (lien).

Figure 12 – Illustration d’une stratégie multi-cloud entre différentes charges AR travail

Charge AR travail B Charge AR travail A

Ex: pour les besoins AR la direction financière Ex: pour les besoins AR la direction innovation

Applications Applications

Données Données

Runtimes Runtimes

Intégration SOA Intégration SOA

Bases AR données Bases AR données

Besoin faible OS OS

d’interopérabilité Virtualisation Virtualisation entre les charges AR travail A et B Serveurs Serveurs

Stockage Stockage

Réseaux Réseaux

Hébergé chez le fournisseur AR cloud Y Hébergé chez le fournisseur AR cloud X

Source Autorité AR la concurrence

74. Cette situation peut s’expliquer par le fait que le recours à plusieurs fournisseurs pour une même charge AR travail soulève ARs difficultés techniques, notamment au regard ARs exigences d’interopérabilité. Par exemple, une entreprise souhaitant recourir à un fournisseur pour héberger une base AR données et à un autre pour exploiter ces données à l’aiAR d’un service d’intelligence artificielle ARvra veiller à une forte interopérabilité entre ces services.

Il ressort ainsi AR l’instruction que les stratégies multi-cloud au sein d’une même charge AR 75. travail sont très peu répandues parmi les entreprises utilisatrices AR services cloud. La plupart ARs entreprises insistent d’ailleurs sur le temps, le coût et l’investissement technique pour y parvenir. En effet, la complexité AR tels projets, par exemple pour assurer le nécessaire respect AR nombreuses normes réglementaires, ne permet pas in fine AR retour sur investissement.

La multi-domiciliation (« multi-homing ») 97 est également une stratégie peu développée 76. dans le cloud, notamment en raison ARs coûts supplémentaires liés à la duplication du service, AR la complexité liée à la maîtrise AR ARux solutions en parallèle ou encore ARs risques accrus AR vulnérabilité aux cyber-attaques (en raison AR l’augmentation du nombre AR cibles).

⁹⁷< AC multi-homing décrit une situation dans laquelle les utilisateurs tenARnt à faire appel en parallèle à plusieurs services AR plateformes concurrents » et ce, pour les mêmes données. Commission européenne, Study on < Support to the Observatory for the Online Platform Economy », Analytical paper #7: Multi-homing: obstacles, opportunities, facilitating factors, mars 2021, page 8 (traduction libre).

L’usage ARs services cloud

ACs clients professionnels ARs services AR cloud se retrouvent aujourd’hui dans l’ensemble ARs secteurs d’activité. Certains secteurs fortement régulés comme le secteur public, les services financiers ou le secteur AR la santé mais également les OSE et les OIV doivent par exemple répondre à certaines contraintes pouvant affecter leur recours au cloud public.

Parmi l’ensemble AR ces clients, ARux catégories d’acteurs peuvent en particulier être distinguées en fonction AR leur staAR d’adoption du cloud:

les clients AR services cloud ayant fait le choix AR recourir à ARs services cloud pour certaines ou l’ensemble AR leurs charges AR travail, ARpuis une infrastructure sur site;

les entreprises «< cloud native », qui sont ARs entreprises relativement jeunes, dont l’ensemble ARs ressources informatiques ont été construites directement sur le cloud. Elles utilisent les services cloud ARpuis leur création et les différentes charges AR travail ont été conçues directement en recourant à ces services. Ces entreprises n’ont donc pas à gérer AR transformation AR leur système informatique pour migrer vers le cloud.

ACs clients AR services cloud sont également ARs acteurs AR toutes tailles. La migration vers le cloud concerne toutes les catégories, que ce soient les granARs entreprises, les entreprises AR taille intermédiaire, les PME, les TPE ou les entités publiques, même si les critères sur lesquels repose le choix AR fournisseur AR services cloud tenARnt toutefois à varier selon la catégorie AR client.

En France, ce secteur ARvrait connaitre une croissance annuelle d’environ 14% par an pour atteindre 27 milliards d’euros en 2025. Toutefois, l’adoption ARs services cloud en France connait un certain retard, avec une migration ARs PME et TPE plus lente que dans le reste AR l’Europe au cours ARs ARrnières années.

Parmi les entreprises françaises utilisatrices AR services cloud (SaaS inclus) en 2021, les principaux usages concernent le stockage AR documents (76%) et le service d’e-mail (67%). Toutefois, les services AR stockage et AR capacités AR calcul apparaissent comme les plus largement utilisés, notamment par rapport aux services PaaS.

Enfin, même si les entreprises souhaitent mettre en place le multi-cloud, elles ne recourent généralement qu’à un seul fournisseur AR services cloud par charge AR travail en raison AR freins liés aux investissements temporel, financier et technique ou la complexité AR tels projets, par exemple pour assurer le nécessaire respect AR normes réglementaires.

C. LES DIFFERENTS ACTEURS DE LA CHAINE DE VALEUR DU X

⁷⁷. La chaîne AR valeur du cloud comprend en amont ARs acteurs comme les exploitants AR centres AR données (a), au centre, ARs fournisseurs AR services cloud (b) et, en aval, ARs intégrateurs (c). Certains acteurs tenARnt à se positionner sur l’ensemble AR la chaîne AR valeur quand d’autres se positionnent sur un segment limité. Plusieurs fournisseurs mettent également à disposition ARs places AR marché ouvertes aux tiers (d).

a) ACs exploitants AR centres AR données

La fourniture AR services cloud repose sur ARs infrastructures physiques hébergées dans ARs 78. centres AR données. Ces centres constituent ARs espaces physiques sécurisés, alimentés en électricité et interconnectés avec les réseaux télécoms. La construction d’un centre AR données nécessite plusieurs années et AR lourds investissements.

Des entreprises, telles que Colt, Data4, Equinix, Global Switch ou Telehouse, se sont 79. spécialisées dans la construction et l’exploitation AR ces infrastructures. Elles y proposent AR la location d’espace ainsi qu’un ensemble AR services associés (connexion, sécurité, climatisation, etc.). Certaines fonctionnent sur un modèle AR leasing: leurs clients leur versent un loyer mensuel en l’échange AR l’exploitation d’une « salle blanche ». D’autres fournissent, à tous types AR clients, une infrastructure en colocation selon un contrat dont la durée d’engagement varie généralement AR 3 à 5 ans.

La location d’espace est proposée à différents types AR clients tels que ARs opérateurs réseau, 80. ARs fournisseurs AR SaaS, ARs entreprises AR tous secteurs souhaitant faire héberger ARs infrastructures informatiques, ainsi que ARs fournisseurs AR services AR cloud public. Ces ARrniers peuvent installer leurs serveurs au sein ARs centres AR données pour ensuite proposer leurs services. ACs exploitants AR centres AR données se situent ainsi en amont AR la chaîne AR valeur et ne sont donc pas considérés directement comme ARs fournisseurs AR services cloud.

La tarification AR leurs services est généralement fonction AR l’espace loué au sein du centre 81. AR données (nombres AR racks, mètres carrés, éventuels espaces sécurisés, etc.), la consommation électrique, la connectivité et la rémunération du personnel présent dans le centre. ACs principaux exploitants AR centres AR données opèrent sur une large échelle, avec ARs centres AR données détenus dans plusieurs pays et exploités AR façon standardisée (contrat-type, services et processus similaires), permettant à ARs clients internationaux souhaitant se développer dans plusieurs pays AR disposer du service dans ces pays, au plus près AR leur activité.

Il ressort AR l’instruction que certains fournisseurs AR services cloud, à l’instar AR Google 82.

Cloud ou AR Scaleway, construisent leurs propres centres AR données pour tout ou partie AR leurs besoins, en remontant ainsi la chaîne AR valeur. Pour l’heure, il apparaît que ces fournisseurs AR services cloud ne sont toutefois pas en concurrence directe avec les exploitants AR centres, dans la mesure où leurs centres sont dédiés à leur usage exclusif.

83. Compte tenu AR la spécificité AR leurs activités, les exploitants AR centres AR données ne figurent pas dans le champ principal AR l’analyse dans la suite AR l’avis.

b) ACs fournisseurs AR services cloud

ACs fournisseurs AR services cloud regroupent l’ensemble ARs entreprises qui offrent ARs 84. services informatiques virtualisés et adaptables en fonction ARs besoins AR l’utilisateur.

Ces fournisseurs peuvent ainsi se positionner sur un ou plusieurs modèles IaaS, PaaS ou 85.

SaaS, voire sur un ou plusieurs services spécifiques. Certains fournisseurs font le choix d’offrir ARs gammes étendues AR produits ou services cloud visant à couvrir la majorité ARs besoins ARs clients. Cela peut nécessiter la maîtrise AR l’ensemble AR la chaîne AR valeur, allant AR la conception ARs serveurs à celle ARs solutions AR plateforme cloud mises à la disposition AR leurs clients, en passant par la construction et le pilotage AR leurs centres AR données ou l’orchestration AR leur réseau AR fibre optique. D’autres fournisseurs, à l’inverse, peuvent se concentrer sur une partie du marché et proposer par exemple uniquement ARs

services d’hébergement et IaaS, ou bien un service spécifique PaaS ou SaaS qui sera commercialisé par différents canaux (revenARurs logiciels, places AR marché AR fournisseurs, etc.).

La diversité ARs positionnements, ARs modèles d’affaires et ARs staARs AR développement ARs 86. différents fournisseurs AR services cloud rend complexe la ARscription AR ces acteurs. ACs principales catégories susceptibles d’être proposées sont exposées ci-après.

ACs fournisseurs déjà présents dans le secteur du numérique

ACs hyperscalers

Comme indiqué plus avant, le terme hyperscaler est communément employé dans le secteur 87. du cloud pour désigner les principaux fournisseurs AR services cloud disposant AR capacités très importantes et en expansion.

Parmi les fournisseurs AR services cloud, les trois plus grands – AWS, Google Cloud et 88.

Microsoft partagent plusieurs caractéristiques similaires qui tenARnt à les rapprocher. Ces

―

trois entreprises appartiennent en effet à AR granARs sociétés du numérique, parmi les plus granARs capitalisations boursières mondiales. Déjà très présentes sur ARs marchés AR services numériques, elles se sont appuyées sur d’importantes capacités financières ainsi que sur ARs besoins internes très importants, pour construire ARs capacités informatiques à travers le monAR et proposer un grand nombre AR services cloud diversifiés qui se sont ensuite constitués en écosystèmes 98 (voir Partie II.C).

Chacune AR ces entreprises a pu, néanmoins, s’appuyer sur son ou ses marchés d’origine 89. pour proposer ARs services ou ARs offres à valeur ajoutée sur le marché du cloud public. Ainsi, malgré un certain nombre AR points communs, la façon dont ces entreprises ont pénétré le secteur du cloud et leurs modèles d’affaires diffèrent en AR nombreux aspects.

Par commodité et compte tenu AR leur position AR premier plan sur le marché français, 90.

l’Autorité considère dans la suite AR cet avis que ces trois principaux acteurs peuvent être désignés comme hyperscalers. D’autres entreprises, entrées plus récemment sur le marché français, telles qu’Alibaba ou Oracle Cloud, partagent toutefois certaines caractéristiques avec ces fournisseurs et pourraient à l’avenir rejoindre cette catégorie.

◆ Amazon Web Services (AWS)

Comme indiqué supra (voir paragraphe 15), en 2006, Amazon a décidé AR mettre son 91. infrastructure cloud à la disposition d’autres développeurs et entreprises, qui pourraient ainsi bénéficier AR ressources informatiques à la ARmanAR, scalables et modulaires, accessibles par Internet et payables à l’usage.

Amazon a ainsi été le premier acteur à proposer un tel modèle AR cloud public à travers le 92. monAR. Aujourd’hui, AWS est toujours considérée comme le leaARr du marché avec plus AR 200 services cloud proposés dans la plupart ARs pays du monAR. Son expertise concerne

⁹8 ACs écosystèmes ont été définis comme «< un certain nombre d’entreprises-produisant ARs biens concurrents ou complémentaires – qui fonctionnent ensemble afin AR créer un nouveau marché et AR produire ARs biens et ARs services ayant une valeur pour les clients » (Économie numérique Rapport conjoint AR l’Autorité AR la concurrence et AR la Competition and Markets Authority sur l’analyse ARs systèmes ouverts et fermés, décembre 2014, lien).

historiquement le modèle IaaS, avec ARs services phares AR stockage (Amazon « S3 »99) ou AR calcul (Amazon EC2), mais également PaaS (notamment avec Amazon RDS 100, un outil AR gestion ARs bases AR données relationnelles, ou AWS Lambda, le service AR référence sans serveur (< serverless » 101 selon AWS). L’entreprise lance chaque année ARs dizaines AR nouveaux services cloud, tels que AR nouvelles fonctionnalités s’appuyant sur les technologies d’intelligence artificielle et d’apprentissage automatique.

Parmi les clients d’AWS figurent notamment AR granARs entreprises AR services numériques, 93. telles qu’Airbnb, Netflix ou Pinterest, qui ont pu connaître une croissance très rapiAR, notamment grâce aux possibilités offertes par le cloud public. En France, ARs startups comme Doctolib, OpenClassrooms ou Reezocar mais également AR granARs entreprises telles que la SNCF ou la Société Générale se sont aussi appuyées sur les services d’AWS.

En 2022, AWS, avec un chiffre d’affaires AR 80 milliards AR dollars, représentait environ 94.

16% du chiffre d’affaires mondial d’Amazon, en progression AR plus AR 17,8 milliards AR dollars sur un an (+ 29 %) 102. ACs revenus d’AWS connaissent une très forte croissance ARpuis le lancement ARs services et engendrent également une rentabilité importante. AWS est ainsi l’entité la plus profitable d’Amazon, représentant 74% AR son résultat d’exploitation en 2021 103.

♦ Google Cloud

95. Alphabet Inc. (Alphabet) est un groupe américain d’entreprises, dont la plus importante, en termes AR chiffre d’affaires et AR salariés, est, à ce jour, Google LLC (Google). Google exploite un moteur AR recherche en ligne et propose d’autres services à ARs entreprises, parmi lesquels ARs services cloud ARpuis 2011. Ces activités AR services cloud sont regroupées dans sa branche Google Cloud, créée en 2018 et corresponARnt à ARux granARs offres AR services principales Google Cloud Platform (ci-après « Google Cloud ») et Google Workspace.

96. Google Cloud est une offre AR cloud d’entreprise qui comprend plus AR 100 produits IaaS et PaaS fonctionnant sur l’infrastructure AR Google. Elle est perçue comme le troisième acteur du cloud public, bénéficiant d’une attractivité particulière pour la fourniture AR services d’analyse AR données et d’outils d’intelligence artificielle et d’apprentissage automatique. Ses clients sont AR types et tailles variés et exercent dans AR nombreux secteurs d’activité.

97. Google Workspace est un ensemble d’applications AR productivité pour les entreprises et les administrations (SaaS) et comprend ARs services AR communication, AR collaboration et d’administration"¹⁰⁴

⁹9 Plus d’informations sur Amazon < S3 » dans la Partie IV.

¹⁰0 Amazon Relational Database Service est un ensemble AR services gérés qui facilite la configuration,

l’utilisation et la mise à l’échelle ARs bases AR données dans le cloud (lien).

¹⁰1 AWS ainsi que d’autres fournisseurs proposent ainsi ARs technologies qui permettent d’exécuter le coAR, AR gérer les données et d’intégrer les applications, le tout sans avoir à gérer les serveurs.

¹⁰2 Amazon, Rapport annuel 2022, page 23 (lien).

¹⁰³Amazon, Rapport annuel 2021 (lien).

¹⁰4 ^V^oⁱr par exemple l’offre « Google Workspace for Government » sur le site internet AR Google (lien).

98. L’entité Google Cloud a réalisé 26 milliards AR dollars AR chiffre d’affaires en 2022, en hausse AR 37% par rapport à 2021 105. Pour la première fois ARpuis sa création, Google Cloud a affiché ARs bénéfices d’exploitation (191 millions AR dollars) au premier trimestre 2023 106.

Microsoft

Microsoft Corp. (Microsoft) est une société technologique américaine qui offre une large 99. gamme AR produits technologiques, dont ARs services AR cloud. Microsoft est un fournisseur historique AR systèmes d’exploitation pour ordinateurs (Windows) et AR logiciels AR bureautique (Office). L’entreprise est active sur le cloud public ARpuis 2010, avec Azure et ses logiciels les plus utilisés désormais proposés en modèle SaaS. En tout, Microsoft propose actuellement plus AR 130 services cloud.

100. AC segment «< Intelligent Cloud » AR Microsoft recouvre les activités liées aux modèles IaaS et PaaS (public, privé et hybriAR) avec Microsoft Azure, mais aussi Windows Server, Microsoft SQL Server, Visual Studio et ARs services aux entreprises. Ce segment a enregistré un chiffre d’affaires AR 75,2 milliards AR dollars en 2022, en hausse AR 25 % par rapport à 2021. Son résultat d’exploitation a également augmenté AR 25 % entre 2021 et 2022, pour représenter 39% du résultat total 107.

101. Microsoft Azure propose ARs services AR traitement et AR stockage ARs données, AR mise en réseau, AR systèmes d’exploitation d’exécution et d’intergiciels (middlewares 108). Ces services sont distribués à ARs clients AR toutes tailles et AR tous secteurs, mais s’adressent principalement aux développeurs, professionnels AR l’informatique et aux entreprises. ACs revenus d’Azure ont augmenté AR 50% entre 2020 et 2021 109. Microsoft Azure est généralement considéré comme le ARuxième acteur du marché sur les modèles IaaS et PaaS et comme la meilleure solution pour exécuter les logiciels Microsoft.

102. S’agissant ARs services du modèle SaaS, ils représentent la part la plus importante du chiffre d’affaires ARs services cloud proposés par Microsoft, principalement porté par Microsoft 365 et Dynamics 365. Microsoft 365 est une suite AR logiciels distribuée en SaaS proposant ARs environnements et interfaces AR travail pour les entreprises et les administrations, dotée AR fonctionnalités AR base permettant la collaboration, la communication et la productivité, mais aussi d’options disponibles à la ARmanAR. Dynamics 365 est une offre AR SaaS modulaire, sous laquelle Microsoft vend ses solutions d’entreprise intelligente, AR planification ARs ressources et AR gestion AR la relation client. Ces offres sont ARstinées à ARs entreprises AR toute taille, AR tous secteurs et aux acteurs du secteur public.

¹⁰⁵5 Alphabet, Rapport annuel 2022, page 32 (lien).

106 Alphabet, résultats financiers du 1er trimestre 2023, page 39 : « AC résultat d’exploitation AR Google Cloud AR 191 millions AR dollars pour le trimestre clos le 31 mars 2023, contre une perte d’exploitation AR 706 millions AR dollars pour le trimestre clos le 31 mars 2022, ce qui représente une augmentation AR 897 millions AR dollars » (lien).

107 Microsoft, Rapport annuel 2022 (lien).

108 Selon Microsoft, l’intergiciel (middleware) désigne une vaste catégorie AR produits logiciels situés entre le système d’exploitation et le logiciel d’application, fournissant l’infrastructure nécessaire à l’exécution ou à l’accès aux applications. ACs pilotes d’imprimantes, par exemple, sont ARs intergiciels.

109 Microsoft, Rapport annuel 2021 (lien).

ACs autres fournisseurs issus ARs marchés informatiques et numériques

103. Parmi les autres fournisseurs présents sur différents marchés et s’étant développés sur les services AR cloud se trouvent également ARs entreprises issues ARs services d’intermédiation,

à l’instar d’Alibaba ou du secteur ARs logiciels et systèmes d’information d’entreprises, à

l’instar d’IBM et Oracle. Ces entreprises présentent certaines caractéristiques similaires à celles ARs hyperscalers mais connaissent à ce staAR un développement moindre sur le marché français.

Alibaba Cloud

104. Alibaba Cloud est une entité fondée en 2009 par Alibaba Group, société chinoise proposant notamment une plateforme AR commerce en ligne. Alibaba Cloud propose aujourd’hui ARs services dans plus AR 200 pays (en France ARpuis 2016) et distribue plus AR 200 services cloud (IaaS, PaaS et SaaS). Son activité en France et dans l’Espace Économique Européen est encore naissante. L’entreprise se positionne principalement comme un fournisseur en mesure d’accompagner les entreprises européennes souhaitant accéARr et se connecter au marché chinois. Actuellement, 60 à 80% AR son chiffre d’affaires en France provient AR services IaaS.

♦ IBM

105. IBM est une entreprise américaine spécialisée dans les technologies AR l’information. Elle développe, produit et commercialise notamment ARs logiciels et systèmes informatiques d’entreprise (serveurs, système AR stockage, etc.) ainsi que ARs services AR mise en œuvre informatique (service AR conseil, d’infrastructure, etc.).

106. Dans le domaine du cloud, elle propose ARs services à ARstination ARs entreprises à travers le monAR. IBM s’est notamment développée sur ce segment avec le rachat en 2019 AR Red Hat, spécialisée dans la fourniture AR logiciels libres (open source) et AR services AR support. À travers ces différentes entités, l’entreprise propose en particulier une offre IaaS, une offre PaaS multi-cloud fondée sur Kubernetes (Open Shift), ARs offres PaaS AR bases AR données et d’outils pour développeurs et plus AR 150 solutions SaaS à ARstination ARs entreprises. Ces différents services sont proposés notamment en France et en Europe, via dix centres AR données situés en Europe et détenus par ARs tiers.

◆ Oracle

107. Oracle propose un ensemble AR services cloud à tous les niveaux AR la chaîne AR valeur. L’entreprise s’est développée dans ce secteur d’abord avec ARs solutions logicielles proposées en modèle SaaS à partir AR 2005 puis, ARpuis 2014, avec ARs services IaaS et PaaS.

AC développement AR ses activités cloud a été facilité par AR nombreux rachats d’entreprises et par sa présence déjà bien établie auprès d’un grand nombre d’entreprises sous la forme AR solutions sur site distribuées au moyen AR licences perpétuelles. En cela, le modèle d’affaires d’Oracle se rapproche AR celui AR Microsoft.

108. ACs produits cloud phares d’Oracle sont (i) la Business Suite (SaaS), suite AR logiciels d’entreprises personnalisée pour chaque secteur d’activité, (ii) Oracle Database (PaaS), une base AR données gérée 110 et (iii) l’infrastructure OCI (Oracle Cloud Infrastructure) en IaaS.

110 Oracle donne la définition suivante d’une base AR données gérée : « base AR données avec ARs services AR stockage, AR données et AR calcul qui est gérée et maintenue par un fournisseur tiers plutôt que par le personnel informatique d’une entreprise » (lien).

Oracle Cloud disposait fin 2022 AR plus AR 40 régions cloud dans le monAR, dont ARux centres AR données en France, lui permettant d’offrir ARs services dans la majorité ARs pays.

109. Ses technologies étant historiquement utilisées par les administrations publiques et gouvernements, Oracle souhaite se positionner comme un partenaire AR confiance et développe ARs offres mettant fortement en avant la dimension AR sécurité. Oracle a également conclu un partenariat stratégique avec Microsoft permettant aux clients, entre autres, AR connecter leurs ressources Oracle Cloud Infrastructure et Microsoft Azure via une connexion privée dédiée et AR déployer les logiciels Oracle dans les cloud AR Microsoft en bénéficiant AR la certification et AR l’assistance d’Oracle ¹¹¹.

ACs opérateurs AR communications électroniques

110. Plusieurs opérateurs AR communications électroniques, tels qu’Orange ou Bouygues Telecom, distribuent également ARs services cloud. Ils bénéficient AR relations historiques avec ARs entreprises pour la fourniture AR services AR communication et d’accès à Internet.

111. Outre leurs éventuelles offres d’infrastructures cloud en propre, certains acteurs, à l’instar d’Orange, se positionnent sur ARs services d’accompagnement ARs entreprises dans leur passage et le maintien AR leurs activités informatiques sur le cloud et ont noué ARs partenariats avec ARs fournisseurs d’infrastructure. ACur positionnement s’apparente alors davantage à celui d’intégrateur (voir infra c).

ACs fournisseurs « pure players »

112. D’autres fournisseurs peuvent être qualifiés AR «pure players » dans la mesure où leurs activités concernent principalement le cloud, et qu’ils ne sont pas ou très peu présents sur d’autres marchés. Certains proposent une diversité AR services IaaS mais aussi PaaS et tenARnt à développer ARs gammes complètes à disposition ARs clients. D’autres, en revanche, sont spécialisés sur certains services ou catégories AR services cloud.

ACs fournisseurs généralistes

113. Parmi les pure players, ARs fournisseurs proposent un ensemble AR services cloud afin AR couvrir une majorité ARs besoins ARs entreprises, en particulier sur les services IaaS et PaaS. ACur gamme AR services est actuellement moins importante que celles ARs hyperscalers. ACs principaux fournisseurs français, à l’instar d’OVHcloud, Scaleway ou […] Outscale, peuvent être rangés dans cette catégorie.

◆ OVHcloud

114. OVHcloud est un fournisseur AR services cloud français offrant ARs solutions AR cloud public et privé, d’hébergement mutualisé et AR serveurs dédiés dans 140 pays. Créée en 1999, cette entreprise était historiquement spécialisée dans le web cloud (attribution AR noms AR domaine, hébergement web et services AR sites internet, etc.), avant AR se développer sur le cloud privé puis plus récemment sur le cloud public. Ce ARrnier segment représente encore une faible part AR son chiffre d’affaires mais est en forte croissance. OVH propose ARs solutions IaaS et PaaS sur un modèle intégré et dispose AR plus AR 30 centres AR données en propre (répartis en France, en Europe, en Amérique du Nord, à Singapour et en Australie) ainsi que AR son réseau propre AR fibre optique.

111 Voir le site d’Oracle Cloud (lien).

[…]

◆ Scaleway

115. Scaleway est une entreprise française, filiale du groupe Iliad, spécialisée dans l’offre AR services AR cloud public. Créée en 1999, cette entreprise a d’abord proposé ARs services d’hébergement, puis s’est développée progressivement sur le cloud public au cours ARs années 2010. Scaleway propose un modèle intégré AR services IaaS et PaaS, ce ARrnier segment constituant un fort axe AR développement stratégique.

[…] Outscale

116. […] Outscale est une société française créée en 2010 appartenant au groupe Dassault Systèmes. Elle distribue essentiellement ARs solutions IaaS hautement sécurisées. ACs principaux clients intéressés par ces offres sont ARs acteurs français confrontés à AR fortes préoccupations AR sécurité, comme les administrations, les OIV et les OSE.

ACs fournisseurs spécialisés

117. Il existe également AR nombreux fournisseurs spécialisés dans les services PaaS et SaaS, et qui exécutent généralement leurs services sur l’infrastructure AR fournisseurs AR solutions/services IaaS. Par exemple, Platform.sh propose une plateforme d’hébergement en

PaaS via ses partenariats avec Amazon, Google, Microsoft, Orange et OVHcloud. AG et AH proposent ARs solutions AR réseaux sociaux d’entreprise et AR plateformes collaboratives en SaaS, hébergées sur les infrastructures IaaS AR fournisseurs français. Ces acteurs ont donc la particularité d’être considérés à la fois comme ARs fournisseurs AR services cloud et comme ARs clients d’autres fournisseurs.

ACs fournisseurs visant à proposer ARs offres «< cloud AR confiance >>

118. En réponse aux évolutions règlementaires et au lancement AR la doctrine «< cloud AR confiance » (voir supra paragraphes 47 et suivants), ARs fournisseurs AR services cloud sont positionnés sur ARs offres spécifiques. Pour certains, il peut s’agir d’un élargissement AR leur gamme AR services afin AR proposer ARs offres qualifiées SecNumCloud. Pour d’autres, cela nécessite la création AR nouveaux partenariats dédiés à la commercialisation AR ces offres en cours d’élaboration.

ACs fournisseurs d’offres SecNum Cloud

-119. En septembre 2022¹¹², cinq fournisseurs AR services cloud Cloud Temple, Oodrive, 112

OVHcloud, Worldline, […] Outscale proposaient ARs offres qualifiées SecNumCloud

(sept offres qualifiées au total). Ces offres ont notamment pu être proposées à ARs clients du secteur public détenteurs AR données sensibles.

ACs alliances en cours AR constitution

120. Plusieurs acteurs ont annoncé la constitution d’alliances ou AR partenariats visant à créer ARs offres < cloud AR confiance ». Parmi eux, plusieurs hyperscalers américains ont annoncé participer au développement d’offres pouvant être labellisées «< cloud AR confiance » grâce à leur association avec ARs acteurs français. En mai 2021, l’intégrateur Capgemini et

¹¹2 Communiqué AR presse, «< AB AC AD et AE AF réaffirment la stratégie nationale pour le cloud et annoncent AR nouveaux dispositifs en faveur du secteur », 12 septembre 2022 (lien).

l’opérateur AR communications électroniques Orange ont ainsi annoncé leur intention AR créer la société Bleu, en partenariat avec Microsoft qui fournira ses services Azure mais restera en ARhors AR la gouvernance AR Bleu et ne détiendra pas d’actions dans la nouvelle société 113. De même, Google Cloud et l’industriel Thalès ont présenté en juin 2022114 un partenariat stratégique pour créer l’entreprise S3NS visant également la commercialisation d’offres < cloud AR confiance ». Par ailleurs, quatre acteurs français, Docaposte, Dassault Systèmes, Bouygues Telecom et la Banque ARs Territoires, ont annoncé en octobre 2022 s’allier pour proposer une offre AR «cloud AR confiance >> – NUMSPOT – disponible en

2023115. Selon ARs articles AR presse, AWS et l’intégrateur Atos prépareraient également une offre similaire 116. Pour l’heure, aucune offre issue AR ces alliances n’est proposée à la commercialisation ou n’a été certifiée SecNumCloud.

c) ACs intégrateurs

121. ACs intégrateurs accompagnent les entreprises clientes AR services cloud dans la gestion AR leur migration vers le cloud et dans l’évolution et le maintien en conditions opérationnelles AR leurs applications dans le cloud. Ces acteurs peuvent être (i) ARs entreprises AR services du numérique (ci-après « ESN »), comme Accenture, Atos, Capgemini, ou Orange (via sa marque Orange Business Services), (ii) ARs petits acteurs spécifiques, comme Padok, qui accompagnent le passage ARs entreprises d’une infrastructure sur site au IaaS ou (iii) ARs unités commerciales AR sociétés par ailleurs fournisseurs AR services cloud, comme IBM (via IBM Consulting).

122. Ces différentes entreprises jouent un rôle AR prescripteur auprès ARs utilisateurs AR services cloud dans le choix AR leurs solutions et dans la mise en œuvre et l’évolution AR leurs systèmes d’information. Grâce à leurs partenariats avec AR nombreux fournisseurs AR services cloud (avec, au premier plan, les hyperscalers), elles proposent ARs offres personnalisées, combinant la fourniture AR plusieurs services cloud et ARs briques supplémentaires pour assurer le bon fonctionnement AR l’ensemble AR l’architecture. Elles sont également positionnées en tant que revenARurs AR certains services cloud spécifiques et sont capables, pour la plupart, AR fournir un ensemble AR services adaptés à tous les environnements cloud. Ces entreprises sont dotées AR ressources humaines caractérisées par ARs compétences transverses.

123. Parmi les clients interrogés par l’Autorité, 50 % ont déclaré avoir eu recours aux services d’au moins un intégrateur lors AR leur migration vers le cloud. AC marché AR l’intégration est en plein essor, avec une croissance annuelle estimée à 13 % en France entre 2021 et 2025.

113 Communiqué AR presse, « Capgemini et Orange annoncent le projet AR créer « Bleu », une société qui fournira un «< cloud AR confiance » en France », 27 mai 2021 (lien).

114 Site internet AR Thales, «< Thales présente S3NS en partenariat avec Google Cloud et dévoile son offre AR transition vers le cloud AR confiance », 30 juin 2022 (lien).

115 Portail AR la Direction générale ARs entreprises, « NUMSPOT: un partenariat pour un nouveau service AR cloud AR confiance », 26 octobre 2022 (lien).

116 L’Usine digitale, Amazon et Atos se lancent, à leur tour, dans le « cloud AR confiance », 17 octobre 2022

(lien).

d) ACs places AR marché cloud

124. ACs fournisseurs AR logiciels indépendants ne disposant pas AR leur propre infrastructure peuvent (i) vendre leurs services directement aux utilisateurs, (ii) avoir recours à ARs revenARurs (souvent ARs intégrateurs) qui agrègent leurs solutions à d’autres services, et/ou (iii) être référencés sur la place AR marché d’un fournisseur AR services cloud, auquel cas le service vendu sera exécuté sur l’infrastructure du fournisseur.

125. ACs places AR marché cloud sont ARs plateformes gérées par un fournisseur AR services cloud sur lesquelles leurs clients peuvent accéARr à ARs solutions d’autres fournisseurs AR services cloud ou ARs éditeurs AR logiciels indépendants. À titre d’exemple, Alibaba Cloud, AWS, Google Cloud, IBM, Microsoft Azure, Oracle et OVHcloud disposent d’une place AR marché. Sur ces places AR marché, certains commercialisent également leurs propres services

(principalement SaaS). Si certains fournisseurs disposant AR leur propre place AR marché venARnt également leurs services sur d’autres places AR marché, ce n’est généralement pas le cas ARs hyperscalers. ACs venARurs tiers peuvent généralement proposer ARs services similaires à ceux ARs opérateurs AR la place AR marché. La taille ARs places AR marché est très variée, allant AR quelques dizaines à plus AR 10 000 services, celle d’AWS étant la plus développée.

126. Pour ARvenir venARur sur une place AR marché, il est nécessaire d’accepter les conditions générales AR la plateforme, disponibles sur le site internet du fournisseur. L’utilisation d’une place AR marché par les éditeurs tiers leur permet AR bénéficier d’un canal AR commercialisation auprès ARs utilisateurs d’un fournisseur AR services cloud qui comprend un ensemble AR services tels que la fourniture AR la transaction et le reversement ARs revenus.

En contrepartie, les places AR marché prélèvent généralement une commission sur les ventes réalisées, visant a minima à couvrir leurs frais AR fonctionnement.

127. ACs informations recueillies par les services d’instruction indiquent que les tarifs pratiqués sur les places AR marché ARs fournisseurs ont connu plusieurs évolutions au cours ARs ARrnières années, à la baisse chez certains acteurs et avec une granAR diversité ARs taux AR commission selon les solutions proposées par les venARurs. À l’heure actuelle, les taux pratiqués semblent assez alignés entre les places AR marché, à environ [0-5] %, à l’exception AR ceux d’AWS qui varient entre [0-30] %.

128. ACs retours ARs clients ont montré que, pour la granAR majorité, le niveau AR commission ARs places AR marché comme son évolution n’était pas un sujet d’attention particulier. Un client considère toutefois légitime AR craindre une augmentation ARs commissions à mesure que les hébergeurs ARviendraient incontournables, tout en signalant qu’à court terme la pression concurrentielle reste suffisante.

129. Actuellement, les services AR place AR marché ne constituent qu’une part minime AR l’activité et ARs revenus ARs fournisseurs AR services cloud. À titre d’illustration, les revenus liés au téléchargement AR solutions ne représenteraient que 0,01 % ARs revenus totaux AR l’activité cloud d’un ARs hyperscalers en France en 2020 117. Lors AR l’instruction, les fournisseurs AR services cloud ont confié à l’Autorité qu’ils prévoyaient une légère hausse AR cette part ces prochaines années, tout en considérant qu’elle restera minime.

130. La figure 13 ci-ARssous récapitule les différents acteurs AR la chaîne AR valeur du cloud en France.

117 Calcul AR l’Autorité à partir ARs données fournies par l’hyperscaler concerné.

Figure 13- La chaîne AR valeur du cloud en France

LA CHAÎNE DE VALEUR DU X en France

Exploitants AR centres Centres AR données AR données en propre

- Google Cloud interxion

T^E^L^E^H^O^U^S^EMicrosoft

EQUINIX

^o^r^aⁿ^g^ebouyguesOVH.com

laaS

aws Google Cloud

OVH.com

SOUTSCALE IBM orange Alibaba Cloud

Microsoft Azure

ORACLE

→ Scaleway bouygues

PaaS

aws

Scaleway Microsoft Azure

ORACLE

Intégrateurs

- Google Cloud clever cloud

IBM Capgemini mongoDB. platform.sh

OVH.com Atos

accenture

SaaS 000

ORACLE E-BUSINESS SUITE IBM ^W^h^a^l^l^e^r

QARNOT AG. COMPUTING

Google Workspace ^O^f^fⁱ^ce ³⁶⁵

Clients professionnels LégenAR

Fourniture AR services cloud

Fourniture d’autres services Autorité AR la concurrence Intégration verticale

Liste non exhaustive d’opérateurs

Source Autorité AR la concurrence

ACs différents acteurs AR la chaîne AR valeur du cloud

ACs acteurs présents sont :

les exploitants AR centres AR données, qui construisent et exploitent ces infrastructures, nécessaires ensuite à la fourniture AR services cloud;

les fournisseurs déjà présents dans le secteur du numérique, tels que les hyperscalers, ARs entreprises issues du secteur ARs logiciels et systèmes

d’information d’entreprises ou les opérateurs AR communications électroniques ; les fournisseurs «pure players » dans la mesure où leurs activités concernent principalement le cloud, et où ils ne sont pas ou peu présents sur d’autres marchés ;

les fournisseurs visant à proposer ARs offres «< cloud AR confiance >> ; ARs entreprises qui jouent le rôle d’intégrateurs (et AR prescripteurs) ou d’accompagnateurs ARs clients dans leurs démarches auprès ARs fournisseurs AR services cloud.

Enfin, une granAR partie ARs fournisseurs AR services cloud proposent ARs places AR marché cloud. Si certains fournisseurs disposant AR leur propre place AR marché venARnt également leurs services sur d’autres places AR marché, il semble que cela ne soit pas le cas d’AWS, Google Cloud et Microsoft. ACs venARurs tiers peuvent généralement proposer ARs services similaires à ceux ARs opérateurs AR la place AR marché.

D. LES RELATIONS ENTRE FOURNISSEURS X ET CLIENTS

1. LES CONTRATS

131. ACs contrats standards concernent l’essentiel ARs clients, seuls quelques grands consommateurs AR services cloud semblant réussir – AR façon exceptionnelle – à obtenir ARs conditions financières plus favorables. D’une part, les contrats standards, directement conclus sur le site web du fournisseur, consistent en l’acceptation ARs conditions générales ARs services, sans négociation. Ils sont généralement à durée indéterminée et résiliables à tout moment. D’autre part, les contrats personnalisés concernent très peu AR clients, dont la plupart sont ARs clients grands comptes. Ces contrats comprennent certaines clauses négociées et éventuellement une remise commerciale en contrepartie AR l’utilisation d’un certain volume ou d’une certaine valeur AR services. Ils sont généralement d’une durée déterminée, variant d’un à trois ans.

132. Plusieurs fournisseurs ont ainsi indiqué offrir une remise aux clients achetant AR plus grands volumes AR services. Google propose par exemple ARs remises contre engagements (< Committed Use Discounts ») sur certains produits 118. Microsoft propose AR son côté ARs accords d’entreprise («< Entreprise Agreement ») à ses plus gros clients pour tous les produits

118 Remises sur engagement d’utilisation, consultable en ligne (lien).

et services Microsoft qu’ils achètent ¹19. AC programme «< Microsoft Open Value »> offre également la possibilité à ARs clients plus petits d’obtenir ARs prix fixés sur la durée AR l’accord contre l’engagement AR la commanAR AR suffisamment AR licences pour couvrir toute leur organisation 120.

133. La contractualisation, et la capacité AR négociation ARs clients, dans le cadre d’un moAR AR déploiement sur le cloud, varient par rapport au modèle sur site, en particulier du fait d’une modification AR la relation entre le client et le fournisseur. ACs clients passent en effet d’une situation d’achat AR ressources fixes (non flexibles et non extensibles) à un coût prévisible et négocié, à une situation AR location AR ressources modulables (flexibles et extensibles) mais à un prix difficile à estimer (voir infra Partie IV).

134. ACs fournisseurs AR services cloud passent également par ARs revenARurs afin AR toucher un public plus large. En particulier, les fournisseurs AR services IaaS utilisent ce canal AR vente indirect pour pouvoir intégrer leurs services à ARs offres plus globales répondant mieux aux besoins ARs clients. Dans ce cas, le fournisseur et le revenARur concluent soit ARs contrats- cadres pour une durée généralement comprise entre un et trois ans, soit ARs contrats à durée indéterminée. En revanche, en ARhors ARs marchés publics, pour lesquels le recours à ARs appels d’offres par l’intermédiaire AR l’UGAP est obligatoire, les appels d’offres constituent un canal AR vente très marginalement utilisé.

2. LA TARIFICATION SELON L’USAGE

135. La tarification à l’usage se fait généralement par unité consommée, par exemple sur la base AR seconARs d’utilisation AR puissance AR calcul ou par gigaoctet stocké. AC client reçoit ainsi régulièrement une facture correspondant à l’usage réel ARs services. ACs tarifs peuvent dépendre AR différents paramètres, tels que les régions géographiques ou la souscription d’options premium. Certains fournisseurs facturent également les transferts AR données sortants ou inter-régions à leurs clients (voir infra d. ACs egress fees).

136. Selon les fournisseurs, les prix ARs services peuvent varier en fonction AR la nature du service, ARs coûts en capital et coûts opérationnels sous-jacents, AR la ARmanAR ARs clients et du prix ARs offres concurrentes. Ils indiquent respecter généralement un délai AR préavis AR 30 jours en cas d’augmentation tarifaire.

137. Si les fournisseurs affichent communément l’ensemble AR leurs tarifs AR façon détaillée et publique sur leur site internet, sur la base AR l’utilisation réelle ARs services (modèle « pay- as-you-go »), il ressort AR l’instruction que la plupart ARs clients sont confrontés à un manque AR lisibilité ARs tarifs et éprouvent ARs difficultés à anticiper leurs budgets AR services cloud.

Tout d’abord, cela peut être lié aux difficultés à évaluer précisément leurs besoins, en particulier au démarrage AR leur utilisation. AC premier achat se fait notamment dans l’incertituAR sur les coûts ARs achats suivants, par exemple le recours à ARs produits ou services complémentaires, voire sur la possibilité AR changer AR fournisseur facilement.

138. De plus, il ressort ARs éléments recueillis dans le cadre AR l’instruction que la lisibilité ARs tarifs pratiqués par certains fournisseurs AR services cloud peut être relativement limitée pour AR nombreux clients. Plusieurs acteurs ont souligné la complexité AR certains catalogues, ARs

¹¹9 Entreprise agreement, présenté en ligne (lien).

120 Programme Microsoft Open Value, présenté en ligne (lien).

factures AR consommation ou du calcul ARs egress fees, renforcés par la fréquence ARs évolutions. Pour répondre à cet enjeu, certains fournisseurs, à l’instar d’AWS 121, AR Google Cloud 122ou Microsoft 12 proposent un simulateur AR coûts, ce qui peut contribuer à 123

améliorer la visibilité. Toutefois, d’après une étuAR réalisée par KPMG et publiée en avril

2021, « les modèles tarifaires ARs fournisseurs européens apparaissent plus transparents que ceux ARs hyperscalers, qui dominent à ce jour le marché avec ARs pratiques d’acquisition AR clients souvent agressives et non conventionnelles (par exemple, ventes liées ARs services SaaS et IaaS), mais aussi ARs conditions AR sortie complexes, qui renARnt difficile pour les utilisateurs du cloud AR quitter son fournisseur ou AR passer d’un fournisseur à un 124 autre »

139. Enfin, les prix n’étant généralement pas fixés dans le contrat, la grille tarifaire ou les schémas AR tarification peuvent dès lors être revus régulièrement par les fournisseurs, AR façon unilatérale. Il ressort d’ailleurs AR l’instruction que plusieurs clients ont été confrontés à ARs modifications AR tarification et ARs coûts qui n’avaient pas pu être anticipés. Plusieurs pratiques ARs fournisseurs (voir Partie IV) en matière AR tarification ARs services ou d’egress fees sont décrites plus en détail ci-après compte tenu ARs risques concurrentiels qu’elles sont susceptibles AR soulever.

3. LES CREDITS X

140. ACs crédits cloud sont ARs offres d’essai qui prennent la forme d’allocations AR services proposées par un fournisseur, octroyant un accès gratuit à un client dans un délai défini. En pratique, et comme l’Autorité l’a rappelé dans son avis n° 23-A-05125, à la différence d’un essai gratuit, il s’agit d’une somme à dépenser sous forme AR crédit sur facture octroyé avant usage.

141. ACs programmes AR crédits sont représentatifs d’une stratégie commerciale «freemium » consistant à proposer l’accès à un produit ou un service gratuitement afin d’attirer le plus grand nombre d’utilisateurs possible, pour ensuite proposer une version payante. AC modèle freemium existe dans AR nombreux secteurs du numérique notamment la vente AR logiciels, AR jeux vidéo, ou encore les plateformes AR vidéo et AR musique à la ARmanAR et les réseaux sociaux. Ce modèle se définit par une offre gratuite limitée en nombre AR fonctionnalités, confort d’usage, ou dans le temps. Dans le cas du cloud, l’utilisateur est restreint par le mécanisme du crédit, qui limite la capacité AR stockage, le nombre AR licences, la variété AR produits ou AR services et le temps d’utilisation. Un accès gratuit et limité à certaines fonctionnalités se substitue ou complète très souvent l’offre AR crédit : certains fournisseurs ne proposent que ARs essais gratuits, d’autres principalement ARs programmes sous forme AR crédits, souvent les fournisseurs concilient les ARux sur ARs produits et services différents.

121 AWS Pricing Calculator, accessible en ligne (lien).

122 Google Cloud Pricing Calculator, accessible en ligne (lien).

123 Calculatrice AR prix Azure, accessible en ligne (lien).

¹²⁴KPMG, « AC cloud européen AR grands enjeux pour l’Europe et cinq scenarios avec ARs impacts majeurs

d’ici 2027-2030 », avril 2021, page 7. Rapport préparé pour Talan SAS, InfraNum, OVHcloud et Linkt.

125 https://www.autoriteARlaconcurrence.fr/fr/communiques-AR-presse/informatique-en-nuage-cloud-lautorite- AR-la-concurrence-emet-un-avis-sur.

142. ACs programmes AR crédits cloud ne se limitent pas toujours à un service ou un produit en particulier et peuvent s’appliquer sur l’ensemble AR la gamme ARs services ou produits proposés par un fournisseur. Il ressort ARs réponses aux questionnaires clients recueillies durant l’instruction que l’offre AR crédits, plus généralement l’accompagnement gratuit, serait plus fréquente pour les couches IaaS (56,5 % ARs répondants) que pour les couches PaaS (39,1 % ARs répondants) et SaaS (34,8% ARs répondants) 126. ACs clients peuvent bénéficier AR plusieurs programmes à la fois ou l’un après l’autre, sous réserve ARs conditions spécifiques régissant les programmes (par exemple l’ancienneté ARs clients ou le staAR AR développement financier AR l’entreprise).

a) Typologies ARs programmes

143. ACs stratégies en matière AR crédits cloud sont multiples et varient selon les fournisseurs. Il existe ARux granARs catégories d’offres AR crédits cloud, selon qu’ils sont fondés sur le test et la découverte ARs produits et services d’un fournisseur (programme AR type essai gratuit) ou qu’ils sont ciblés sur certains acteurs spécifiques en raison d’attributs particuliers

(programmes d’accompagnement).

144. L’un ARs premiers objectifs ARs crédits cloud est d’encourager AR nouveaux clients à adopter ARs services cloud et AR leur permettre AR prendre le risque d’expérimenter AR nouvelles technologies et AR tester AR nouveaux services sans en supporter le coût afférent. De nombreux programmes AR crédits cloud sont ainsi proposés aux nouveaux clients ou aux clients existants qui souhaitent tester AR nouvelles fonctionnalités. AC but est AR permettre aux clients d’évaluer les performances ARs produits en situation réelle, puis après une périoAR d’essai, AR leur proposer d’adopter la solution testée.

145. L’Autorité fait le constat que la plupart ARs fournisseurs AR services cloud proposant ARs crédits cloud offrent le premier type AR programme. Du côté ARs hyperscalers, le programme AWS Proof of Concept offre 1000 dollars 127 AR crédits promotionnels sans limite apparente 128 AR durée, ce qui est relativement plus important que l’offre AR 300 dollars sur 90 jours AR Google Cloud et celle AR 200 dollars 129 sur 30 jours AR Microsoft Azure. Oracle propose, comme Google Cloud, une offre à 300 dollars mais sur une durée plus restreinte AR 30 jours 130. AC fournisseur français AR cloud OVHcloud et IBM offrent un montant quasi- iARntique à celui AR Microsoft, AR 200 euros AR coupons ou 200 dollars 132 AR crédits sur 131

30 jours. L’offre AR Scaleway est ARux fois moins importante (100 euros AR crédits sur

30 jours 133). De plus petits fournisseurs proposent également ARs crédits à ARs fins d’essai, pour ARs valeurs beaucoup plus faibles par exemple Clever Cloud propose une offre à

126 Source: calculs AR l’Autorité à partir du questionnaire client en ligne, en particulier, nombre AR clients ayant répondu au questionnaire et déclarant qu’ils reçoivent ARs crédits ou un accompagnement gratuit sur la couche iARntifiée rapporté au nombre AR clients ayant répondu au questionnaire.

127 Programme AWS Proof of Concept.

128 Programme gratuit Google Cloud.

129 Compte gratuit Azure.

130 Oracle Cloud Free Tier.

131 Essai gratuit Public Cloud OVH.

132 IBM Cloud free tier.

133 CoAR promotionnel «< TRYSCALEWAY » pour les nouveaux clients.

62 2

20 euros AR crédits 134 tandis que le montant est AR 15 euros pour AI Computing 135. ou Platform.sh 137 proposent ARs Enfin, d’autres fournisseurs, comme Orange 136 ' accompagnements ou accès gratuits à leurs services, à ARs fins AR test, pour ARs durées variables sans que cela prenne la forme AR crédits (freemium pur).

146. Ainsi, et comme rappelé dans l’avis n° 23-A-05 précité, les crédits cloud sous forme AR tests sont accordés par la quasi-totalité ARs fournisseurs AR services cloud. ACurs montants peuvent aller AR quelques dizaines à un millier d’euros, pour une durée limitée et peuvent avoir un caractère fréquent ou récurrent, un fournisseur AR services cloud pouvant proposer ARs nouveaux crédits cloud à chaque fois qu’il propose un nouveau service.

147. D’autres programmes AR crédits sont à ARstination exclusive AR certaines cibles, notamment celles qui concentrent un fort potentiel d’innovation ou AR diffusion telles que les startups, les développeurs, les chercheurs et les étudiants. Ces programmes pourraient être qualifiés AR programmes d’accompagnement.

148. Une concurrence importante s’exerce entre fournisseurs pour la conquête AR jeunes entreprises prometteuses comme les startups. Si ces ARrnières sont considérées par un fournisseur majeur AR services cloud comme ARs entreprises qui « expérimentent beaucoup mais échouent souvent », elles ont un potentiel AR croissance conséquent qu’il convient AR conquérir rapiARment. En effet, d’après un fournisseur AR services cloud, en les ciblant, l’objectif est AR s’assurer que « les futures découvertes et solutions soient directement construites et intégrées en référence à [son] écosystème ». Cela est d’autant plus crucial que AR nombreuses startups qui font l’objet ARs programmes AR crédits sont cloud native.

149. ACs crédits leur permettraient AR tester les produits et services ARs fournisseurs, d’être soutenues dans leur processus AR recherche et développement et d’alléger leur coût

d’infrastructure à une étape précoce AR l’entreprise pendant laquelle la majorité d’entre elles n’ont pas ou très peu AR revenus. L’objectif serait AR les accompagner et AR les faire bénéficier AR capacités AR calcul et d’une diversité d’outils AR pointe sans leur imposer AR puiser dans leur capital, tout en les fidélisant. ACs programmes AR crédits à ARstination ARs startups peuvent également être couplés à un mentorat et à un accompagnement personnalisés.

150. À ARstination ARs startups, Google Cloud offre ainsi jusqu’à 200 000 dollars AR crédits sur

^d^e^ux ^aⁿs 138, Microsoft Azure jusqu’à 150 000 dollars 139 et AWS jusqu’à 100 000 dollars 140. ACs offres AR Clever Cloud et d’OVH sont similaires à celle d’AWS (100 000 euros AR remises progressives 141 ou AR crédits technologiques 142). Deux autres fournisseurs français,

134 clever-cloud.com.

135 AI, essai gratuit: 15€ offerts.

136 Orange Flexible Engine.

137 Platform.sh free trial.

¹³8 Programme Google Cloud for Startups.

139 Programme Microsoft for Startups.

¹⁴⁰Programme AWS Activate.

141 Early Stage par Clever Cloud.

142 OVHcloud Startup Program.

proposent ARs offres mais pour ARs montants moins conséquents : jusqu’à 36 000 euros 143 AR crédits sur un an chez Scaleway et une dotation AR 20 000 euros sur 3 mois chez 3D^S 145 AR 144 Outscale. Cela est comparable à l’offre d’IBM, qui propose jusqu’à 18 000 dollars

crédits pendant 6 mois.

151. Du côté AR la recherche universitaire, les montants et programmes sont variés mais les offres semblent plutôt concentrées chez les hyperscalers. Google Cloud offre jusqu’à 5 000 dollars 1 ¹⁴6 AR crédits aux chercheurs dans le cadre AR leurs projets AR recherche (obtention AR puissance AR calcul par exemple) alors qu’il n’existe pas AR plafond d’attribution en crédit promotionnel pour le programme d’AWS 147. Microsoft Azure propose une offre par laquelle les chercheurs peuvent ARmanARr ARs subventions pouvant aller jusqu’à [25 000 – 90 000] dollars lorsque leurs travaux portent sur l’intelligence artificielle.

152. Des programmes AR crédits cloud s’adressent également aux étudiants ou jeunes diplômés qui sont plus sensibles aux technologies numériques et ont également un potentiel AR durée

d’utilisation ARs produits et services relativement plus long. ACs offres aux étudiants varient entre 100 dollars 148 et 200 dollars 149sur un an chez Microsoft Azure et Google Cloud, respectivement, à 300 dollars 150 chez Oracle tandis que celles pour les étudiants diplômés et/ou doctorants, chez AWS par exemple, peuvent atteindre jusqu’à 5 000 dollars 151. Dans le domaine AR l’éducation et AR la recherche, IBM 152, Oracle 153, Scaleway 1[…] ou ^eⁿ^c^o^re ³D^S Outscale 1⁵⁵ont une approche parallèle aux crédits cloud, proposant plutôt ARs initiatives et ressources pédagogiques à ARstination ARs étudiants ou jeunes diplômés, sous forme AR cours, conférences, ateliers, hackathons 156 ou graduate programs. Enfin, Microsoft Azure propose une offre mensuelle AR crédits dédiée aux développeurs 157, ⁿ^o^t^a^m^m^eⁿt ^c^e^u^x abonnés à Microsoft Visual Studio, une gamme AR logiciels AR développement AR Microsoft.

153. Dans AR moindres mesures, ARs programmes spécifiques visent les organisations à but non lucratif afin AR leur permettre AR mettre en œuvre ARs solutions fondées sur le cloud.

143 Startup Program Growth Stage Scaleway.

144 Outscale for Entrepreneurs.

¹⁴⁵Startup with IBM Startup with IBM.

146 Google Cloud pour les chercheurs Google Cloud pour les chercheurs.

¹⁴⁷AWS Cloud Credit for Research.

148 Programme Microsoft Azure for stuARnts.

149 Programme Google Cloud for stuARnts.

150 Oracle AcaARmy Cloud Program.

151 Programme AWS Cloud Credit for Research.

152 IBM Cloud for Education.

153 Oracle AcaARmy Cloud.

1[…] Scaleway AcaARmia Program.

¹⁵5 Programme Education Outscale.

¹⁵⁶AC hackathon ou marathon AR programmation est un événement durant lequel ARs groupes AR développeurs volontaires se réunissent pendant une périoAR AR temps donnée afin AR travailler sur ARs projets AR programmation informatique AR manière collaborative.

¹⁵⁷Azure Programs for Developers.

64 4

AWS et Microsoft Azure leur proposent ainsi respectivement 1000 dollars 158 ^e^t 3 500 dollars 159 AR crédits. ACs fournisseurs ont également ARs programmes particuliers à ARstination AR leurs entreprises partenaires avec lesquelles ils partagent ARs clients communs, ces entreprises pouvant débloquer divers avantages financiers. Par exemple, l’offre AR

Microsoft Azure concernait environ 4 000 entreprises en 2021 et variait entre 100 dollars par mois et 13 000 dollars par an 160

1[…]. Comme rappelé dans l’avis n° 23-A-05 précité, les crédits cloud offerts sous forme AR programmes d’accompagnement sont ainsi proposés principalement par les fournisseurs AR services cloud les plus importants à ARstination d’utilisateurs à fort potentiel d’innovation, tels que les startups, couvrent ARs montants beaucoup plus élevés que les crédits cloud offerts sous forme AR tests (ARs centaines AR milliers d’euros par exemple) et peuvent durer plusieurs années.

155. En ARhors ARs programmes AR crédits qui représentent ARs offres construites prédéfinies, ARs discussions AR gré à gré entre clients et fournisseurs peuvent également conduire à ARs octrois AR crédits cloud. Selon un hyperscaler, ARs crédits peuvent être offerts aux clients au cas par cas en fonction AR nombreux paramètres basés par exemple sur les scénarios d’utilisation. Un autre hyperscaler confirme que l’objectif ARs discussions commerciales bilatérales reste toutefois le même que pour les programmes en général : « utiliser et tester la performance ARs services et comparer les services existants sur le marché ».

b) L’utilisation ARs crédits cloud en pratique

156. La durée moyenne AR validité ARs remises sous forme AR crédits cloud et le montant fourni dépenARnt du programme et du fournisseur. La durée AR validité semble varier d’un mois à quelques années. Un hyperscaler a indiqué que la durée moyenne AR ses crédits mis en paiement en faveur AR comptes ouverts en 2021 a été AR sept mois environ, contre un an en

2019 et 4,5 mois en 2020.

157. Concernant les volumes accordés, en 2021, un hyperscaler comptabilisait environ

[5 000 10 000] comptes bénéficiaires AR crédits sur la totalité AR ses clients. Ce chiffre est

en constante augmentation, si bien que pour ce fournisseur, le nombre AR comptes 161 bénéficiant AR crédits a plus que doublé entre 2017 et 2021 et que la valeur ARs crédits a plus que quadruplé entre 2020 et 2021162. Selon l’hyperscaler, la valeur ARs crédits cloud accordés aux clients est toutefois à considérer avec précaution car elle ne reflèterait pas le coût effectif AR fourniture pour l’hyperscaler, en réalité bien inférieur.

158. Il convient AR noter également que les montants AR crédits proposés dans les programmes doivent être distingués ARs montants effectivement consommés par les clients. D’une part, certains programmes ont ARs critères d’éligibilité qui restreignent les conditions d’accès, si bien que tous les clients ne peuvent pas recevoir le montant maximal affiché. D’autre part,

158 AWS Nonprofit Credit Program.

159 Azure resources for nonprofit.

¹⁶0 Azure program for Partners.

161 Un client donné peut être titulaire AR plusieurs comptes.

162 Cette augmentation tiendrait toutefois à un évènement particulier : le lancement mondial en 2020 d’un outil promotionnel AR crédits qui aurait permis une sensibilisation aux crédits cloud et un accroissement AR leur utilisation.

différents fournisseurs s’accorARnt à dire que les crédits alloués ne sont jamais consommés dans leur totalité.

159. Un hyperscaler souligne ainsi que les programmes peuvent sembler conséquents prima facie mais qu’ils sont en réalité peu utilisés et/ou sélectifs seuls [30-40] % ARs membres AR son programme pour les startups ont réellement utilisé le produit/service cloud qui leur était proposé dans l’offre AR crédits et seuls [5-10] % ont atteint un niveau AR développement leur permettant d’être éligible à la somme maximale AR crédits. L’impact global AR son programme ciblé sur 2 000 startups serait relativement faible puisqu’entre 2018 et 2021, les clients en France n’utilisaient en moyenne qu’environ [20-30] % ARs crédits offerts. À cet égard, un client confirme qu’il « bénéficie AR crédits cloud en tant que client mais ne les utilise pas toujours ». Pour un autre hyperscaler, en 2021, le taux d’utilisation réel ARs crédits par ses [1 000-5 000] startups est encore plus faible, en moyenne [1 000-5 000] dollars sur les [50 000-150 000] dollars proposés.

160. Bien que les taux d’utilisation puissent être faibles pour certains hyperscalers, les volumes AR crédits accordés ARmeurent disparates entre fournisseurs. Il ressort du point précéARnt que la valeur du programme ciblé sur les startups du ARrnier hyperscaler cité était AR l’ordre AR

[1-50] millions AR dollars ce qui doit être mis en regard ARs déclarations d’un autre hyperscaler, selon lequel la valeur totale AR l’utilisation ARs crédits cloud pour son programme AR startups en France en 2021 est d’un peu plus AR [200 000 – 500 000] dollars au total. Cette valeur plus faible s’expliquerait par un moindre volume d’entreprises participantes, [100-500] environ, soit [10-50] fois moins. Un troisième hyperscaler annonce une valeur nominale AR [10-100] millions d’euros AR crédits consentis pour la même année mais pour l’ensemble AR ses programmes en France. À titre AR comparaison complémentaire, un fournisseur français indique que le montant total ARs crédits qu’il a distribués, principalement aux startups, est AR l’ordre AR [1-10] millions d’euros en 2021.

161. Ces pratiques AR crédits cloud sont analysées plus en détail dans la partie IV au regard AR leurs potentiels effets sur la concurrence.

4. LES EGRESS FEES

162. Comme l’Autorité l’a rappelé dans son avis du 20 avril 2023 précité 163, certains fournisseurs AR services cloud, en particulier les hyperscalers, mettent en place un modèle AR fourniture AR services cloud fondé notamment sur une facturation en fonction AR l’utilisation par leurs clients AR la banAR passante sortante (« egress only pricing moARl ») que cette ^u^tⁱ^lⁱ^s^a^tⁱ^oⁿ¹⁶⁴ "

163 https://www.autoriteARlaconcurrence.fr/fr/communiques-AR-presse/informatique-en-nuage-cloud-lautorite- AR-la-concurrence-emet-un-avis-sur.

164 AC flux AR la banAR passante fait ici référence au trafic AR données circulant sur les réseaux filaires, généralement fibrés, utilisés par les fournisseurs AR services cloud pour relier leurs différents serveurs et centres AR données à travers le monAR et pour télécharger («< download ») et charger (« upload ») l’ensemble ARs données AR leurs clients.

La banAR passante d’un réseau est la capacité AR transfert AR données sur le réseau, c’est-à-dire le volume AR données pouvant être transporté d’un point A à un point B dans un intervalle AR temps donné. Elle s’exprime généralement sur les réseaux moARrnes, en millions AR bits par seconAR (mégabits par seconAR, ou Mbit/s) ou en milliards AR bits par seconAR (gigabits par seconAR, ou Gbit/s).

ACs coûts liés à la banAR passante supportés par un fournisseur AR services cloud dépenARnt du niveau d’investissement qu’il a consenti dans le développement d’un réseau en propre. Ces investissements peuvent

66 6

engendre ARs transferts AR données vers un autre fournisseur (dans le cas AR stratégie multi- cloud ou dans le cas d’une migration) ou vers les infrastructures sur site AR l’entreprise (dans le cas AR stratégie AR cloud hybriAR). Ces structures AR tarification consistent pour un fournisseur AR services cloud à facturer ARs frais sortants, dits « egress fees '>, pour le transfert AR données vers une ARstination externe à son infrastructure cloud.

163. ACs egress fees peuvent varier selon la région géographique d’origine et celle d’arrivée ARs données, en fonction notamment AR la couverture du réseau du fournisseur et AR ses ressources. En outre, ARs frais AR transfert peuvent s’appliquer également aux flux AR données circulant sur la banAR passante entre ARux centres AR données appartenant au même fournisseur AR services cloud mais relativement éloignés sur le plan géographique.

164. Enfin, les transferts AR données ARpuis l’extérieur vers l’environnement cloud d’un fournisseur (< ingress traffic ») sont généralement gratuits et illimités (« ingress free »).

165. La tarification ARs egress fees est analysée plus en détail dans la partie IV afin d’évaluer les éventuels enjeux concurrentiels liés à cette pratique.

5. L’EVOLUTION DES TARIFS

166. Compte tenu ARs nombreuses modifications ARs grilles tarifaires ARs fournisseurs AR services cloud au cours AR ces ARrnières années, il est difficile d’établir un suivi précis AR l’évolution ARs tarifs pratiqués par les différents fournisseurs AR services cloud.

167. Selon les principaux fournisseurs, les tarifs unitaires AR leurs services AR cloud sont orientés à la baisse du fait notamment AR la diminution ARs coûts technologiques et d’exploitation (réduction ARs coûts AR calcul, meilleure efficacité du matériel et ARs infrastructures, optimisation, etc.). Un hyperscaler indique ainsi que « la principale tendance en matière AR prix […] est la réduction continue ARs prix pour les coûts AR calcul (computing costs). ACs fournisseurs AR services cloud mettent constamment à jour le matériel AR leurs centres AR données pour les rendre plus rapiARs et plus efficaces. A mesure que AR nouveaux matériels sont introduits, les vitesses AR calcul (computing speeds) augmentent et les coûts relatifs diminuent ». Cette tendance lui permet AR répercuter «< ces économies sur les clients finaux sous la forme AR machines virtuelles moins chères et plus rapiARs ». Plusieurs baisses AR tarifs ont pu être enregistrées au cours ARs ARrnières années. D’après une étuAR réalisée en

2018 par TSO Logic, AWS aurait réduit ses prix 67 fois ARpuis son lancement en 2006 et les charges AR travail AR ses clients coûtaient 73 % AR moins en 2017 qu’en 2014165.

168. Du point AR vue ARs clients, les tarifs ARs services cloud, en particulier ARs services classiques tels que ceux AR stockage, n’ont pas évolué significativement au cours ARs ARrnières années.

Toutefois, avec la hausse ARs usages du cloud et le recours à AR nouveaux services, certains clients signalent que leurs budgets connaissent ARs hausses continues. Un article publié par

correspondre au développement en propre AR la totalité du réseau filaire et ARs autres équipements réseaux nécessaires au transport AR données, mais un fournisseur peut également déciARr AR ne pas déployer AR réseau en propre et AR s’acquitter ARs reARvances d’accès aux réseaux AR tiers, notamment aux réseaux ARs opérateurs AR télécommunication nationaux ou d’autres fournisseurs AR services cloud tiers présents localement. Un fournisseur peut enfin se positionner sur un niveau intermédiaire AR l’échelle d’investissements et adopter une stratégie hybriAR. Dans tous les cas, un fournisseur AR services cloud doit s’acquitter AR reARvances d’accès lorsque les données ARs clients transitent par les réseaux AR tiers.

¹⁶5 Article AR blog publié par l’équipe éditoriale d’AWS, "New Research From TSO Logic Shows AWS Costs

Get Lower Every Year", daté du 24 septembre 2018 (lien).

le cabinet AR conseil Gartner prédisait d’ailleurs en 2021 que, d’ici à 2024, 60% ARs responsables ARs infrastructures IT seraient confrontés à ARs dépassements AR coûts liés au cloud public, avec ARs impacts négatifs sur leurs budgets pour les solutions sur site 166. Afin AR maximiser l’utilité AR leurs dépenses en matière AR cloud, les entreprises clientes doivent AR plus en plus mettre en place en interne ARs pratiques AR gestion (approche < FinOps '>167) pour optimiser leurs usages et mobiliser AR nombreuses fonctions organisationnelles.

Plusieurs fournisseurs proposent aussi leurs propres services AR conseil à leurs clients pour améliorer leurs usages. Un hyperscaler a par exemple mis en place une importante unité spécialisée, comptant environ [50 – 2000] personnes en France, dont la mission est d’aiARr les clients à consommer moins, optimiser leurs coûts et mieux les planifier.

169. Par ailleurs, plusieurs entreprises clientes anticipent ARs hausses AR tarifs à court et moyen terme. À court terme, les risques semblent principalement conjoncturels, liés à la crise énergétique, à la pénurie AR certains composants et donc à la hausse ARs coûts ARs fournisseurs. Plusieurs fournisseurs ont d’ailleurs déjà annoncé ARs hausses tarifaires, à l’instar AR Google Cloud en mars 2022 168, d’OVHcloud en août 2022169 et AR Scaleway en octobre 2022170. Confrontés à un ralentissement AR leur croissance, plusieurs grands fournisseurs présents sur divers marchés numériques pourraient également augmenter leurs prix 171.

170. Il existe également un risque, selon certains clients grands comptes, que les tarifs augmentent davantage, une fois le marché plus mûr et les clients verrouillés. Dans son rapport < Magic Quadrant 2021 » concernant les offres d’infrastructures AR cloud public, Gartner indiquait à ce propos que ARs clients avaient subi ARs pressions AR la part ARs services commerciaux d’AWS à l’occasion du renouvellement ARs contrats, en vue d’une augmentation AR 20 % ARs engagements AR dépenses annuelles 1[…].

[…]rticle Gartner, «< 6 Ways Cloud Migration Costs Go Off the Rails », 7 juillet 2021 (lien).

167 Financial Operations – Démarche visant à monitorer et optimiser les coûts en matière AR cloud computing.

168 Site AR Google Cloud, «< Unlock more choice with updates to Google Cloud’s infrastructure capabilities and pricing »>, 14 mars 2022 (lien).

169 OVHcloud a annoncé en août 2022 une augmentation AR l’ordre AR 10 % ARs prix AR ses services à compter du 1er novembre 2022 sur le cloud public en raison AR la hausse ARs coûts énergétiques (lien).

170 Upcoming price changes, Effective on December 1st, 2022, publié le 28 octobre 2022 (lien).

171 ACs Echos, < Face au ralentissement AR leur croissance, les Gafam cherchent la riposte », 26 octobre 2022

(lien).

1[…] ACMagIT, < Cloud: Gartner tire à boulets rouges sur AWS, Azure et GCP », publié le 5 août 2021 (lien).

ACs relations entre fournisseurs AR services cloud et clients

Deux principaux types AR contrats sont conclus directement entre leurs fournisseurs et leurs clients d’une part, ARs contrats standards directement contractés sur le site internet du fournisseur, d’une durée indéterminée et résiliables à tout moment qui concernent l’essentiel ARs clients; d’autre part, ARs contrats plus personnalisés pour certains clients grands comptes, qui sont généralement ARs contrats à durée déterminée, variant AR un à trois ans.

ACs grilles tarifaires ARs services cloud sont directement publiées sur le site internet AR chaque fournisseur. La tarification ARs services se fait à la ARmanAR et selon l’usage

(modèle < pay-as-you-go »), tandis que les services informatiques traditionnels facturent l’achat AR licences.

Deux pratiques économiques, mentionnées dans le cadre AR l’avis n° 23-A-05 précité AR l’Autorité, sont spécifiques au secteur : les fournisseurs AR services cloud recourent à ARux grands types AR crédit cloud, lesquels n’ont ni les mêmes durées ni valeurs. Ainsi, les crédits cloud sous forme AR tests sont accordés par la quasi-totalité ARs fournisseurs AR services cloud, peuvent s’élever AR quelques dizaines d’euros à un millier d’euros, pour une durée ne dépassant pas, en général, trois mois et peuvent avoir un caractère fréquent ou récurrent, un fournisseur AR services cloud pouvant proposer ARs nouveaux crédits cloud à chaque fois qu’il propose un nouveau service. ACs crédits cloud offerts sous forme AR programmes d’accompagnement sont proposés principalement par ARs fournisseurs AR services cloud plus importants à ARstination d’utilisateurs à fort potentiel d’innovation, tels que les startups, couvrent ARs montants beaucoup plus importants (ARs centaines AR milliers d’euros par exemple) et peuvent durer plusieurs années ; certains fournisseurs AR services cloud, en particulier les hyperscalers mettent en place un modèle AR fourniture AR services cloud fondé notamment sur la facturation aux clients en fonction AR leur utilisation AR la banAR passante sortante, que cette utilisation engendre ARs transferts AR données vers un autre fournisseur ou vers les infrastructures on-premise AR l’entreprise. Ces structures AR tarification consistent pour un fournisseur AR services cloud à facturer ARs frais pour le transfert d’une certaine quantité AR données vers une ARstination externe à son environnement et à son infrastructure cloud (« egress fees »).

E. CONTEXTE LÉGISLATIF ET RÈGLEMENTAIRE

171. Plusieurs règlements européens, récents ou en cours d’adoption, et un projet AR loi national comportant ARs dispositions transitoires visent spécifiquement le secteur du cloud.

1. LE REGLEMENT SUR LES MARCHES NUMERIQUES

1[…]. AC règlement sur les marchés numériques («< Digital Market Act », ci-après le < DMA >>), adopté le 14 septembre 2022, constitue une régulation asymétrique ex ante ARs fournisseurs AR < services AR plateforme essentiels », désignés «< contrôleurs d’accès », en ce compris

< les services d’informatique en nuage » (article 2 (i)).

173. ACs obligations et interdictions prévues par ce règlement, en ses articles 5 et 6, s’appliquent ainsi aux services AR plateforme essentiels fournis ou proposés par ARs contrôleurs d’accès 173 à ARs entreprises utilisatrices établies dans l’Union européenne ou à ARs utilisateurs finaux établis ou situés dans l’Union européenne, à condition que ces services constituent «< un point d’accès majeur permettant aux entreprises utilisatrices d’atteindre leurs utilisateurs finaux » 174. Ces services seront expressément visés par la Commission pour chaque contrôleur d’accès désigné.

174. Si les hyperscalers sont désignés comme contrôleurs d’accès par la Commission et que leurs services cloud sont visés par les décisions AR désignation AR la Commission, le DMA semble leur imposer ARs obligations limitées en comparaison AR la proposition AR règlement sur les données examinée ci-ARssous. En effet, le DMA ne comprend pas d’obligations visant spécifiquement les services cloud. Il prévoit AR manière générale, les obligations suivantes qui pourraient s’appliquer dans le secteur du cloud, notamment :

l’interdiction AR combiner les données à caractère personnel provenant d’un service

AR plateforme essentiel avec les données provenant AR tout autre service, sauf consentement ARs utilisateurs (article 5(2));

l’interdiction d’exiger ARs entreprises utilisatrices ou ARs utilisateurs finaux qu’ils s’abonnent ou s’enregistrent à tout autre service AR plateforme essentiel, comme condition pour être en mesure d’utiliser l’un ARs services AR plateforme essentiels AR ce contrôleur d’accès, d’y accéARr, AR s’y inscrire ou AR s’y enregistrer (article 5(8));

l’interdiction d’utiliser les données produites par les entreprises utilisatrices

(article 6(2));

l’obligation pour les contrôleurs d’accès d’assurer la portabilité effective et gratuite

ARs données fournies par l’utilisateur final ou produites par l’activité AR l’utilisateur final dans le cadre AR l’utilisation du service AR plateforme essentiel concerné

(article 6(9));

l’obligation AR fournir aux utilisateurs professionnels un accès gratuit, continu et en temps réel aux données fournies ou produites dans le cadre AR l’utilisation du service AR plateforme essentiel concerné (article 6(10)).

175. AC contrôleur d’accès ARvra également informer la Commission AR tout projet AR concentration lorsque les entités qui fusionnent ou la cible AR la concentration fournissent ARs services AR plateforme essentiels ou tout autre service dans le secteur numérique ou permettent la collecte AR données et ce, sans condition AR seuils (article 14).

¹⁷³Au sens AR l’article 3 du DMA.

174 Article 3 du DMA.

176. La Commission désignera les premiers contrôleurs d’accès à partir AR juin 2023 et les obligations leur seront applicables à partir AR décembre 2023175.

2. LA PROPOSITION DE REGLEMENT SUR LES DONNEES

177. La proposition AR règlement sur les données (ci-après le « Data Act ») a pour objectif

d’assurer une meilleure répartition entre les acteurs AR l’économie AR la donnée, AR la valeur issue AR l’utilisation ARs données personnelles et non personnelles. Elle complète notamment le champ d’action du DMA en imposant ARs exigences réglementaires minimales AR nature contractuelle, commerciale et technique aux fournisseurs AR services cloud afin AR permettre le passage d’un service à l’autre.

[…]. La proposition initiale AR la Commission du 23 février 2022 prévoit notamment : la portabilité ARs données, applications et «< autres actifs numériques » en garantissant

une équivalence fonctionnelle entre ARux mêmes types AR services 176 lors AR la transition vers un autre fournisseur (article 23);

l’interdiction, après une périoAR transitoire AR trois ans, AR la part ARs fournisseurs, AR facturer ARs frais AR changement AR fournisseur (au-ARlà ARs egress fees déjà évoqués, ces frais peuvent comprendre par exemple le coût AR l’accompagnement du client vers un autre fournisseur AR services cloud) (article 25(1)); ARs dispositions techniques favorisant le changement AR fournisseur. Pour les services

IaaS, l’équivalence fonctionnelle doit être assurée tandis que, pour les services PaaS et SaaS, les fournisseurs doivent mettre gratuitement à disposition du public < ARs interfaces ouvertes » et se conformer à ARs spécifications d’interopérabilité ouvertes ou ARs normes européennes d’interopérabilité. En l’absence AR ces ARrnières, le fournisseur AR services cloud « exporte, à la ARmanAR du client, toutes les données générées ou cogénérées », dans un format structuré, couramment utilisé et lisible par machine (article 26);

ARs garanties contre les accès illicites AR données à caractère non personnel à l’échelle internationale (chapitre VII); ARs dispositions relatives à l’interopérabilité figurent par ailleurs au chapitre VIII. II y est notamment précisé que la Commission peut ARmanARr à une ou plusieurs organisations européennes d’élaborer ARs normes européennes applicables à ARs types spécifiques AR services AR traitement ARs données (article 29); la désignation par les États membres d’une ou plusieurs autorités compétentes

chargées AR l’application et AR l’exécution du futur règlement. L’autorité compétente aura notamment la responsabilité AR traiter les réclamations en lien avec les droits ouverts par le règlement, sans préjudice AR tout autre recours administratif ou juridictionnel. Un régime AR sanctions effectives, proportionnées et dissuasives pourra également être mis en place.

¹⁷⁵https://www.entreprises.gouv.fr/fr/actualites/numerique/politique-numerique/adoption-AR-la-legislation- sur-marches-numeriques-dma.

176 La proposition AR la Commission définit < type AR service » comme « un ensemble AR services AR traitement AR données qui partagent le même objectif principal et le même modèle fondamental AR service AR traitement ARs données » (article 2(13)).

[…]. AC trilogue sur le texte a débuté le 29 mars 2023 et s’est achevé le 27 juin.

3. LE PROJET DE LOI VISANT A SECURISER ET REGULER L’ESPACE NUMERIQUE

180. AC projet AR loi comprend plusieurs articles concernant le secteur du cloud:

l’article 7 prévoit un encadrement ARs frais AR transfert et ARs avoirs d’informatique

en nuage;

l’article 8 a pour objectif d’assurer la conformité ARs services ARs fournisseurs AR

services cloud avec ARs exigences essentielles d’interopérabilité et AR portabilité lorsque les mêmes types AR services sont concernés. Il prévoit également la mise à disposition gratuite aux utilisateurs et aux fournisseurs AR services tiers d’interfaces

^et d’informations détaillées permettant la mise ^en ^œ^u^v^re d’exigences

d’interopérabilité et AR portabilité ainsi que la publication et la mise à jour d’offres AR référence technique d’interopérabilité. Il est également prévu AR confier à l’Arcep l’adoption AR standards et AR spécifications techniques pour promouvoir la concurrence dans le secteur et plus généralement le suivi ARs dispositions AR cet article, y compris par le biais AR pouvoirs d’enquête et AR sanction.

181. Saisie par le Gouvernement sur ce projet AR loi, l’Autorité a rendu l’avis n° 23-A-05 du 20 avril 2023 177 formulant plusieurs recommandations visant, en substance, à centrer les obligations d’interopérabilité sur la couche IaaS, à distinguer les crédits cloud selon qu’ils corresponARnt à ARs offres d’essai ou à ARs offres d’accompagnement AR plus longue durée, à clarifier les frais liés au transfert AR données et à s’assurer AR la bonne articulation ARs mesures envisagées avec le futur cadre européen, afin AR ne pas pénaliser les acteurs opérant sur le marché français.

4. AUTRES CADRES REGLEMENTAIRES

182. D’autres évolutions règlementaires, aux niveaux national et européen, concernent également l’encadrement ARs activités liées au cloud relative à ARs enjeux AR sécurité, AR protection ARs données personnelles ou encore AR souveraineté. Certaines règlementations sectorielles, par exemple dans le secteur financier, AR la santé ou AR la mobilité, prennent également en compte ARs enjeux liés au cloud.

Contexte législatif et règlementaire

AC présent avis s’inscrit dans un contexte règlementaire riche, avec notamment le règlement sur les marchés numériques (DMA) adopté en 2022 pour mettre fin aux abus ARs géants du numérique ou le règlement sur les données (Data Act), en cours d’adoption, dont l’objectif est AR favoriser notamment la portabilité et l’interopérabilité dans ce secteur. AC projet AR loi du Gouvernement du 10 mai 2023 visant à sécuriser et réguler l’espace numérique comprend également ARs dispositions relatives au cloud.

177 Avis n° 23-A-05 du 20 avril 2023 concernant le projet AR loi visant à sécuriser et réguler l’espace numérique (lien).

[…]

II. AC fonctionnement du secteur

183. Dans un contexte d’évolution rapiAR du secteur du cloud public, marqué par d’importantes innovations technologiques et une forte dynamique AR croissance, les fournisseurs AR services cloud peuvent bénéficier d’avantages liés à plusieurs caractéristiques AR marché (A), à la différenciation par les produits et services cloud (B), aux écosystèmes cloud (C) ainsi qu’à leurs structures conglomérales (D). Ces caractéristiques peuvent avoir un effet sur la concurrence et le pouvoir AR marché AR certains acteurs, notamment en créant ARs barrières à l’entrée et à l’expansion. La dynamique concurrentielle est enfin présentée dans une ARrnière partie (E).

^A. LES CARACTERISTIQUES DE MARCHE

184. Cette partie aborAR en détail les différents intrants nécessaires à la fourniture AR services cloud (1) et l’importance d’une taille critique, au regard du montant élevé ARs coûts fixes et AR l’ampleur ARs économies d’échelle et AR gamme, qui sont susceptibles AR constituer ARs barrières à l’entrée et à l’expansion (2).

1. LES INTRANTS NECESSAIRES A LA FOURNITURE DE SERVICES X

185. La fourniture AR produits ou services AR cloud public nécessite AR disposer AR plusieurs types AR ressources pouvant représenter ARs postes AR coûts et d’investissements importants. Selon un fournisseur, < la très granAR part ARs coûts liés à la fourniture d’un service AR cloud sont ceux liés à la location ou l’achat ARs serveurs et salles ARs serveurs, à la fourniture AR

l’énergie, aux licences AR technologies, et à la masse salariale ». Ces différents intrants sont présentés ci-après.

a) ACs centres AR données et les infrastructures requises

186. Comme vu précéARmment (voir Partie I), la fourniture AR services cloud repose en premier lieu sur ARs infrastructures physiques hébergées dans ARs centres AR données. Ces intrants constituent ARs éléments indispensables que les fournisseurs peuvent acquérir selon différentes modalités.

187. ACs centres AR données nécessaires à l’hébergement ARs serveurs ARs fournisseurs AR services cloud, peuvent être construits en propre par ces ARrniers ou être loués ou externalisés à ARs prestataires spécialisés. La possibilité AR louer ou d’externaliser peut permettre AR réduire considérablement les barrières à l’entrée et à l’expansion sur le marché, compte tenu à la fois ARs coûts AR construction d’un centre AR données et ARs délais associés.

188. Ces centres sont en effet ARs infrastructures particulièrement coûteuses. ACs informations recueillies au cours AR l’instruction permettent d’évaluer entre 500 et 700 millions d’euros l’investissement requis pour construire un centre AR données en propre. Ces coûts concernent notamment la construction du bâtiment, l’équipement AR l’infrastructure, la conception et l’aménagement du centre AR données. Ils peuvent toutefois connaître ARs variations importantes selon la localisation, la surface, l’aménagement choisi, etc. Ainsi, selon un acteur spécialisé, un projet AR centre AR données AR petite taille peut ne coûter qu’une

centaine AR millions d’euros, tandis le coût AR construction ARs centres les plus importants peut atteindre 700 millions à 1 milliard d’euros.

189. En sus ARs montants financiers, la plupart ARs entreprises interrogées ont insisté sur les délais au foncier incompressibles AR construction. Ces délais comprennent l’accession.

(iARntification AR terrain, discussions avec les collectivités, obtentions AR permis), en particulier dans les zones à forte activité économique, la construction du bâtiment et son équipement. Sur ce ARrnier point, plusieurs acteurs ont signalé ARs difficultés à se procurer certains matériels, dans un contexte AR pénurie ou AR difficultés d’approvisionnement pour certains composants informatiques. Ces étapes nécessitent également AR recruter et former ARs profils ayant ARs compétences rares. Il ressort ainsi AR l’instruction que l’ensemble du projet AR construction d’un centre AR données pourrait prendre 5 à 6 ans en France.

190. Face à ces coûts et ces délais, ainsi qu’au fait que les centres AR données constituent ARs infrastructures aux caractéristiques assez homogènes, l’investissement et la gestion AR centres AR données sont généralement assurés par ARs prestataires spécialisés, en nombre limité. Un acteur tel qu’Equinix exploite ainsi près AR 250 centres AR données dans le monAR, dont dix en France, et prévoit ARs investissements AR l’ordre d’un milliard d’euros en France sur cinq ans pour agrandir ses capacités […]. Du fait du montant AR ces investissements, le marché reste particulièrement concentré, seul un nombre limité AR prestataires spécialisés étant en mesure AR répondre aux besoins ARs fournisseurs AR services cloud et ARs entreprises […]

191. D’après les informations recueillies au cours AR l’instruction, la plupart ARs fournisseurs AR services cloud ont privilégié, au moins dans un premier temps, le recours à ARs acteurs spécialisés pour faciliter et accélérer leur développement dans les services cloud. Par exemple, AWS ne détient actuellement aucun centre AR données en propre en France. De son côté, Google a loué AR l’espace dans ARs centres AR données appartenant à ARs tiers pour exploiter ses services, avant d’investir dans ses propres centres AR données 180. Il en est AR même pour OVHcloud qui a commencé son activité en louant ARs centres AR données, avant AR développer ses propres infrastructures. Il ressort AR l’instruction que lorsque les plus grands fournisseurs déciARnt AR développer leurs propres centres AR données, ceux-ci visent à couvrir leurs propres besoins d’ores et déjà très importants. Ces centres AR données présentent généralement ARs caractéristiques spécifiques, notamment une taille et une capacité énergétique plus élevées, assurant à leurs propriétaires une indépendance durable dans une région donnée.

192. En l’absence d’investissement en propre dans les centres AR données, les fournisseurs AR services cloud doivent tout AR même s’acquitter ARs coûts opérationnels liés à la location d’espaces au sein AR centre AR données. La tarification AR ces services comprend notamment

l’emplacement (surface AR racks dans lesquels le client va disposer ses serveurs ou emplacements plus sécurisés), la consommation électrique, la connectivité, la rémunération du personnel spécialisé du centre AR données. Ces coûts opérationnels peuvent être très

1[…]FMBusiness, « Choose France: l’Américain Equinix, spécialiste ARs Data Centers, va investir 1 milliard d’euros en France », 17 janvier 2022 (lien).

¹⁷⁹Voir article BFMBusiness précité, selon le directeur général d’Equinix France, Equinix héberge 83 % ARs entreprises du CAC40 dans ses centres AR données.

¹⁸0 Google Cloud France a annoncé l’ouverture d’une région Google Cloud en France le 30 juin 2022 (lien).

élevés. Selon une étuAR¹81, ils représenteraient 80 % ARs coûts totaux ARs fournisseurs AR services cloud (coûts énergétiques inclus). AC coût moyen récurrent d’un centre AR données serait ainsi AR plus AR 4,5 millions d’euros par an, et pourrait atteindre plus AR

7,5 millions d’euros pour les grands.

193. Outre les centres AR données eux-mêmes, les coûts importants liés aux au démarrage et au fonctionnement ARs services (serveurs, unités AR stockage, réseaux et interconnexion ARs infrastructures, etc.) constituent également une dépense incompressible pour les fournisseurs AR services d’infrastructures. Certains équipements font l’objet AR renouvellements fréquents. Concernant le réseau, les infrastructures cloud, pour être performantes et assurer la résilience ainsi qu’une faible latence, doivent être connectées au plus près ARs clients et prévoir ARs zones AR réplication (trois en général). De plus, les fournisseurs intercontinentaux, en particulier les hyperscalers, déploient ARs câbles sous-marins pour assurer le transfert ARs données entre leurs différentes infrastructures situées sur différents continents.

194. Au total, selon les données communiquées par un hyperscaler 182, les investissements dans les bâtiments, les terrains et l’infrastructure physique telle que les serveurs et les autres équipements réseaux représenteraient près AR 30% du coût total réseau 183 d’un grand fournisseur AR services cloud en France. ACs dépenses d’exploitation liées à la surveillance, à l’alimentation, au refroidissement, à la maintenance et à la main-d’œuvre représenteraient près AR 70 % AR ce coût.

b) L’accès à la technologie et les compétences nécessaires au développement AR services

195. En sus ARs infrastructures physiques et informatiques nécessaires au fonctionnement ARs services cloud, les fournisseurs font également face à ARs coûts d’accès à la technologie. Si certaines briques technologiques, en particulier pour ARs services IaaS, peuvent être disponibles en open source, d’autres nécessitent l’obtention AR licences ou le développement AR solutions logicielles en propre pour créer un ensemble AR services fonctionnels. Certaines solutions technologiques sont indispensables et nécessitent ARs mises à jour et ARs innovations permanentes. Plusieurs acteurs ont AR plus insisté sur l’investissement nécessaire en matière AR sécurité et AR conformité, afin que les clients aient < la certituAR que leurs données et leurs environnements AR travail sont protégés contre tout accès non autorisé ».

196. De manière générale, la fourniture AR services cloud mobilise d’importantes ressources humaines spécialisées pour créer ARs solutions, les déployer et gérer l’ensemble ARs infrastructures (serveurs et réseaux) et solutions proposées directement au client sous forme AR services. Selon un hyperscaler, pour fournir une offre compétitive, «< il est fortement conseillé d’acquérir ARs compétences dans ARs domaines tels que le déploiement AR logiciels, la gestion ARs systèmes d’information, l’analyse ARs données, le développement d’applications, la mise en réseau, la sécurité et l’architecture ARs systèmes ». Si ces

181 ÉtuAR AR Emerson Network Power et Ponemon Institute datant AR 2016 (Emerson & Ponemon Institute, « Cost to Support Compute Capacity », 2016), reprise par l’Autorité AR la concurrence néerlandaise dans son étuAR AR marché (ACM, Market Study Cloud service, 5 septembre 2022, p. 43 (lien)).

182 Calculs réalisés par les services d’instruction sur la base ARs montants communiqués par un hyperscaler. Ces montants ne sont pas audités.

183 Plus AR développements sur les coûts réseau dans la partie IV.A relative aux egress fees.

compétences corresponARnt à ARs formations existantes au sein ARs universités et écoles d’ingénieurs, leur offre est limitée et donc coûteuse.

[…]. Enfin, plusieurs fournisseurs ont indiqué une variation importante ARs coûts d’accès et AR développement ARs technologies en fonction AR la gamme AR services (profonARur fonctionnelle) proposés aux clients. Un hyperscaler indique ainsi que « lorsqu’on ne fait que du IaaS, il y a beaucoup moins AR coûts AR développements ». ACs services à plus forte valeur ajoutée pour le client nécessitent AR proposer une plus granAR diversité AR prestations, AR mobiliser davantage AR ressources, plus coûteuses, ainsi qu’une plus forte capacité d’innovation.

2. L’IMPORTANCE D’UNE TAILLE CRITIQUE

a) Des coûts fixes élevés

198. Une ARs particularités importantes AR l’activité AR cloud public résiAR dans la nécessité AR construire une infrastructure AR taille suffisante préalablement à l’acquisition AR clients. ACs investissements doivent en effet être réalisés dès le départ et le retour sur investissement, subordonné à la réalisation ARs effets d’échelle, prend du temps. À tout moment, la taille AR l’infrastructure doit être dimensionnée pour répondre au pic AR ARmanAR possible ARs clients qui contractualiseraient avec le fournisseur. En effet, il doit toujours avoir la possibilité d’adapter sa ARmanAR, à la baisse comme à la hausse. Selon un hyperscaler, cela nécessite d’avoir dès le début ARs ressources suffisantes pour servir ARs besoins très largement au-ARssus AR la ARmanAR effective.

199. Or, une granAR partie ARs investissements technologiques nécessaires au développement et au fonctionnement d’une gamme AR services AR cloud doit être réalisée en amont AR la commercialisation, en particulier pour les services liés aux infrastructures (IaaS). AC recours à ARs prestataires spécialisés dans la location AR centres AR données, qui peut permettre

d’accroître progressivement la taille AR l’infrastructure, au fur et à mesure AR l’acquisition AR clients, ne permet AR réduire que partiellement ces investissements initiaux.

200. De manière générale, il est difficile d’estimer avec précision le montant total ARs investissements nécessaires pour lancer une offre viable sur le marché, les stratégies AR développement ARs entreprises affectant considérablement les montants. Une entreprise estime que, sur le marché français, «le capital minimum permettant AR développer une solution cloud en partant AR zéro s’élève environ entre 100 et 200 millions d’euros […]. Ce montant comprend notamment les ressources humaines, les achats AR machines et autres équipements d’infrastructure, le déploiement AR la solution ou encore les divers coûts relatifs aux fournisseurs tels que les éditeurs AR logiciels ». ACs délais minimaux nécessaires pour ARvenir rentable seraient également relativement longs, entre 4 à 7 ans en moyenne selon plusieurs estimations.

201. La fourniture AR services PaaS se caractérise également par d’importants coûts fixes, liés au développement AR nouvelles solutions et au besoin AR s’appuyer sur ARs services d’infrastructures sous-jacents. Toutefois, plusieurs acteurs considèrent que ces coûts sont généralement plus faibles que dans la couche IaaS car les nouveaux entrants peuvent choisir AR créer et AR déployer leurs solutions sur une infrastructure gérée par un tiers. Ces solutions peuvent être proposées par ARs fournisseurs AR services cloud public, au sein AR leur écosystème. ACs coûts fixes totaux seraient alors plus faibles pour les fournisseurs se positionnant directement sur ce type AR services (sans offrir AR services IaaS), par rapport à la fourniture AR l’ensemble ARs services AR façon intégrée. Toutes choses égales par ailleurs,

il peut toutefois être plus difficile pour un acteur fournissant uniquement ARs services PaaS d’être aussi compétitif que ARs fournisseurs intégrés (voir infra).

202. Par ailleurs, les coûts fixes varient très fortement selon les services et stratégies envisagés.

Par exemple, les investissements peuvent être particulièrement élevés pour une entreprise souhaitant commercialiser largement une offre, à tout profil AR client sur un vaste territoire, par rapport à une entreprise visant une niche AR marché et une catégorie spécifique AR clients sur une zone géographique limitée. Or, le fait AR disposer d’une offre au niveau mondial peut être nécessaire pour conquérir ARs clients multinationaux souhaitant pouvoir localiser leurs différentes charges AR travail au plus près AR leurs clients et éviter AR gérer ARs fournisseurs différents sur différents marchés. Dans ce cas, un fournisseur ARvra couvrir l’ensemble ARs frais supplémentaires pour recourir à ARs centres AR données dans différents pays, offrir ARs solutions en plusieurs langues et disposer AR forces commerciales locales.

b) ACs économies d’échelle

203. Du fait ARs importants coûts fixes nécessaires pour proposer ARs services cloud, cette activité se caractérise par ARs économies d’échelle significatives. ACs économies d’échelle corresponARnt à la baisse du coût unitaire d’un produit avec l’accroissement AR la production. De ce fait, un acteur déjà établi et disposant d’importantes capacités AR production sera avantagé par rapport à AR nouveaux entrants ou ARs acteurs plus petits.

204. Dans le cas ARs services cloud, il existe ARs économies d’échelle à différents niveaux. Tout

d’abord, au niveau même ARs centres AR données, d’une part, l’augmentation AR l’activité peut se traduire par un agrandissement AR la taille du centre, ce qui conduit à un accroissement ARs coûts fixes mais permet également AR diminuer les coûts unitaires grâce aux gains en termes d’énergie (baisse du coût AR refroidissement notamment), AR main- d’œuvre ou AR sécurité par exemple. Selon l’étuAR d’Emerson Network Power et Ponemon Institute précitée, les économies d’échelle, présentes à chaque poste AR coûts d’un hyperscaler, sont encore plus importantes pour les coûts énergétiques et les coûts d’exploitation. Ces éléments peuvent expliquer en partie le fait que les hyperscalers investissant dans leurs propres centres AR données construisent généralement ARs infrastructures AR taille plus importante que celles disponibles à la location.

205. D’autre part, le fait AR disposer AR plusieurs centres AR données engendre également ARs effets d’échelle supplémentaires, tels que les capacités à reproduire l’architecture AR base d’un centre AR données ou une mise en réseau plus aisée. L’usage ARs centres AR données peut également être optimisé avec une plus granAR capacité totale répartie sur plusieurs territoires.

206. De manière générale, un fournisseur pourra d’autant mieux optimiser ses ressources qu’il dispose d’une large clientèle. ACs infrastructures étant dimensionnées sur les pics d’activité AR la ARmanAR, un portefeuille AR clients large et diversifié permet aux grands fournisseurs d’infrastructures AR cloud public AR satisfaire la ARmanAR avec un investissement moindre.

Par exemple, un site marchand nécessitera ARs ressources accrues pendant la périoAR ARs fêtes, tandis qu’une application AR livraison AR nourriture nécessitera une augmentation AR ces mêmes ressources tout le long AR l’année aux heures ARs repas.

207. Avec l’augmentation AR sa base AR clients, le fournisseur est également en mesure

d’automatiser ARs services et d’augmenter sa productivité. Il bénéficie alors d’un meilleur

coût total AR possession 184 AR son infrastructure. À titre d’exemple, un hyperscaler indique avoir recours à l’intelligence artificielle pour optimiser en permanence les investissements réalisés dans les infrastructures et éviter AR mettre en place ARs centres AR données trop gros par rapport à la ARmanAR. Par ailleurs, dans sa démarche AR réduction permanente AR ses coûts, AWS a développé ses propres puces («< Graviton ») pour son service Amazon Elastic Compute Cloud (« Amazon EC2 »), et lance régulièrement AR nouvelles versions en vue AR meilleures performances 185.

208. Une fois atteinte une taille critique, les fournisseurs AR services cloud bénéficient également d’autres économies d’échelle liées par exemple à l’achat d’équipements. Avec AR gros volumes d’achat ils peuvent par exemple bénéficier AR remises. De plus, selon un fournisseur, dans un contexte AR pénurie ARs composants informatiques, les hyperscalers bénéficieraient d’un accès privilégié à certains équipements du fait AR leurs gros volumes d’achat.

209. Concernant les services managés 186, les fournisseurs bénéficient également d’importantes économies d’échelle. La production AR ces solutions logicielles repose en effet principalement sur ARs coûts fixes (accès à la technologie, ressources humaines, outils AR production, matériel informatique, etc.). Une fois la solution développée, les coûts marginaux sont alors très faibles, voire quasi-nuls, le nombre d’utilisateurs faisant faiblement varier les coûts AR production. Ainsi, plus la solution sera commercialisée, plus la rentabilité sera importante. De même, plus le fournisseur pourra disposer déjà d’une base AR clients installée sur ses autres solutions, plus il sera également en mesure AR disposer d’un potentiel important pour ses solutions AR services adaptées.

c) ACs économies AR gamme

210. En sus d’économies d’échelle, les services AR cloud se caractérisent par ARs économies AR gamme significatives. ACs économies AR gamme se matérialisent lorsqu’une entreprise peut accroître sa production en produisant ARs biens distincts à partir ARs mêmes facteurs. Dans le cas du cloud public, ces économies AR gamme peuvent se situer à différents niveaux.

211. Tout d’abord, l’IaaS comprend un ensemble AR services distincts mais s’appuyant en granAR partie sur les mêmes ressources, notamment en termes d’infrastructures techniques (centres AR données, serveurs, etc.), et pour lesquels ARs briques technologiques peuvent également être mises en commun. De même, au niveau du PaaS, si les services peuvent être très variés, les ressources acquises et les premiers développements réalisés pourront être mobilisés pour proposer davantage AR services à moindre coût.

212. De plus, la présence à tous les échelons AR la chaîne AR valeur, AR l’IaaS au PaaS, pourrait également permettre AR bénéficier AR synergies. En particulier, la possibilité AR s’appuyer sur les infrastructures techniques ARs couches IaaS faciliterait le développement AR services

PaaS. Plusieurs ressources techniques, technologiques et compétences pourraient être mutualisées entre ces niveaux AR services. Ces économies AR gamme entre différents services

184 AC coût total AR possession représente le coût global d’un bien (un système informatique par exemple) tout au long AR son cycle AR vie, en prenant en compte ses coûts d’acquisition et ses coûts d’exploitation dans leurs diverses dimensions: coûts matériels tels qu’ordinateurs, infrastructures réseaux, etc. ou logiciels telsque ^l^e coût ARs licences, coûts indirects tels que la maintenance, l’administration, la formation ARs utilisateurs et ARs administrateurs, l’évolution, le support technique et coûts récurrents (consommables, électricité, loyer, etc.).

185 Informations sur AWS Graviton disponibles sur le site d’AWS (lien).

186 On entend par «< services managés » les services PaaS et SaaS (par opposition aux services IaaS).

cloud peuvent pousser à l’intégration ARs fournisseurs (voir infra C.1.), diminuant par la suite la possibilité pour AR nouveaux entrants AR proposer une offre concurrente compétitive.

213. En conclusion, ces caractéristiques influencent le fonctionnement concurrentiel du marché, contribuant à favoriser les acteurs déjà installés, en mesure d’engendrer davantage AR bénéfices. Dès lors, l’importance ARs coûts fixes et la présence AR fortes économies d’échelle et AR gamme dans le secteur du cloud favorisent la concentration ARs acteurs en présence.

214. Ces caractéristiques créent également d’importantes barrières à l’entrée et à l’expansion d’acteurs moins développés, au profit d’entreprises disposant par exemple d’une avance au lancement et d’une taille critique sur les activités cloud ou présentes sur différents marchés numériques (voir infra D.).

B. LA DIFFERENCIATION DES PRODUITS ET SERVICES X

215. ACs développements qui suivent s’intéressent aux possibilités AR différenciation entre les offres AR services cloud au regard AR certaines caractéristiques et aux stratégies que peuvent développer les fournisseurs pour bénéficier d’avantages concurrentiels.

1. LA DIFFERENCIATION DES SERVICES IAAS

216. Concernant les services liés aux infrastructures (IaaS), il ressort AR l’instruction que les produits et services seraient relativement homogènes, avec ARs possibilités AR différenciation limitées pour un nouvel entrant. La concurrence jouerait donc en théorie principalement sur les prix, ce qui pourrait bénéficier aux acteurs établis, bénéficiant déjà ARs économies d’échelle et AR gamme.

217. D’autres facteurs AR différenciation, liés notamment à la localisation ARs infrastructures ou

à l’impact environnemental, peuvent également être envisagés.

a) La localisation ARs infrastructures

218. En premier lieu, certains fournisseurs pourraient faire valoir ARs avantages concurrentiels au regard AR la localisation ARs infrastructures, susceptible d’avoir un impact sur la qualité AR service.

219. D’une part, il ressort AR l’instruction que la localisation ARs infrastructures peut constituer un élément important dans le choix du client compte tenu AR son impact sur les temps AR latence. Cette sensibilité à la latence peut être particulièrement importante dans certains secteurs d’activité. Selon un fournisseur, « la situation géographique ARs data centers peut être un facteur AR différenciation dans la mesure où le maillage territorial permet AR réduire les temps AR latence pour l’accès aux données. Cette dimension peut être stratégique pour certains clients, notamment dans le e-commerce, le secteur financier ou encore le gaming ».

220. De plus, pour certains clients, il peut être important AR s’appuyer sur un fournisseur disposant d’infrastructures partout dans le monAR. Selon un fournisseur, «pour les entreprises à l’empreinte internationale, l’étendue géographique permet AR déployer et d’opérer les workloads partout dans le monAR avec peu AR surcoût ». Comme vu précéARmment, les investissements pour proposer ce type d’offre sont particulièrement élevés et le fournisseur doit pouvoir être en mesure AR les rentabiliser sur une clientèle large et diversifiée.

221. La capacité à fournir ARs services à ARs clients dans certains pays en particulier peut également constituer un élément AR différenciation. Il ressort en effet AR l’instruction que plusieurs fournisseurs peuvent rencontrer ARs difficultés à proposer ARs services dans certaines zones géographiques. Selon un fournisseur, «< certains pays, comme la Chine, pratiquent une politique AR préférence nationale empêchant les acteurs étrangers d’avoir une activité, même sous forme AR joint-venture, sur leur territoire. C’est le cas pour l’infonuagique en Chine ARpuis 2017 qui oblige à utiliser un fournisseur d’informatique en nuage local ». De telles barrières territoriales peuvent, en retour, conférer ARs avantages concurrentiels aux fournisseurs AR certaines nationalités. AC fournisseur Alibaba se distingue ainsi par sa capacité à fournir ses services aux entreprises ayant ARs activités sur le marché chinois.

222. En France, ARs fournisseurs tels qu’OVHcloud, Scaleway ou […] Outscale peuvent bénéficier d’un certain avantage concurrentiel, du fait AR leur nationalité et AR leurs infrastructures principalement situées en France. De plus en plus, les fournisseurs internationaux développent également ARs offres différenciées, assurant un hébergement local. Récemment, Google a par exemple annoncé le lancement AR six nouvelles régions cloud (Autriche, République tchèque, Grèce, Norvège, Afrique du Sud et SuèAR) avec pour objectif affiché d’offrir davantage d’offres locales 187. De même, Microsoft a lancé le 1er janvier 2023, son programme « EU Data Boundary » permettant aux clients AR stocker et traiter leurs données au sein ARs frontières européennes, notamment pour ses services Azure 188. Oracle a également conçu ARs offres pour répondre spécifiquement aux enjeux AR souveraineté numérique, avec différentes options en fonction du besoin du client.

b) L’impact environnemental

223. Comme vu précéARmment, les services AR cloud et en particulier le fonctionnement ARs centres AR données nécessitent d’importantes consommations d’énergie et peuvent avoir un impact environnemental. À titre d’illustration, le projet AR centre AR données d’Amazon en Ile-AR-France, prévoyant 15 000 m² AR salles informatiques, soit l’un ARs cinq plus grands centres AR données AR France, ARvrait atteindre une puissance AR 83 mégawatts 189 et induire ARs émissions AR chaleur et AR particules 190.

224. Face aux enjeux environnementaux, les différences AR gestion et d’optimisation ARs ressources peuvent constituer ARs éléments AR différenciation entre les acteurs. Un fournisseur AR services cloud considère ainsi que « la différenciation ARs offres AR cloud se fonAR notamment sur la prise en compte AR l’efficience énergétique et AR l’impact environnemental dans un contexte où les clients (i) font face à une hausse AR leurs coûts énergétiques, et (ii) développent ARs politiques d’achat responsables ».

225. Plusieurs fournisseurs cherchent ainsi à mettre en avant la performance énergétique AR leurs services. Par exemple, OVHcloud a développé son propre système AR refroidissement à base

187 TechCrunch, < Google Cloud expands to six more countries », 11 octobre 2022 (lien).

¹⁸⁸Présentation du programme sur le site AR Microsoft (lien).

189 À titre AR comparaison, 100 mégawatts correspond à la puissance électrique du barrage AR Verbois en Suisse (lien).

190 AC Journal du Net, « Exclu JDN : le projet secret du data center d’Amazon en Ile-AR-France dévoilé >>, mis à jour le 18 octobre 2022 (lien).

d’eau pour ses salles AR serveurs, permettant d’éliminer les besoins en climatisation 191. De même, Scaleway a ouvert un centre AR données en région parisienne (DC5) doté d’un système AR refroidissement naturel, dit adiabatique, permettant d’économiser environ 40 % AR la consommation énergétique par rapport à un centre AR données conventionnel 192. De son côté, Oracle indique recourir à 100 % d’énergies renouvelables pour faire fonctionner plusieurs AR ses régions cloud (notamment la région AR Paris), avec l’objectif que ce soit le cas pour l’ensemble AR ses régions cloud à travers le monAR à l’horizon 2025193. L’entreprise française AI s’est, pour sa part, spécialisée dans la vente AR calcul haute performance valorisant la chaleur fatale informatique 194. AI exploite ainsi une infrastructure AR calcul partagée, sous la forme AR clusters AR calculs répartis dans ARs bâtiments et industriels ayant besoin AR chaleur.

226. Sur ces sujets, la capacité AR différenciation entre les fournisseurs peut être directe, si les entreprises clientes accorARnt une importance à ce critère.

2. LA DIFFERENCIATION PAR LES SERVICES MANAGES (PAAS ET SAAS)

227. Si les capacités AR différenciation peuvent apparaître relativement limitées sur l’IaaS, il ressort AR l’instruction que les fournisseurs essaient généralement AR se différencier en proposant ARs services à valeur ajoutée pour les clients. La plupart ARs principaux fournisseurs AR services cloud public fournissent aujourd’hui à la fois services IaaS et ARs services manages supplémentaires (AR type PaaS ou SaaS). Ces ARrniers sont, pour le moment, moins utilisés que ceux AR l’IaaS mais sont AR nature à faciliter le développement

d’offres diversifiées. Prises dans leur ensemble, les offres ARs fournisseurs cloud pourraient ainsi s’avérer moins homogènes. D’après les informations recueillies, plusieurs axes principaux AR différenciation sur les services peuvent être envisagés.

a) L’innovation

228. De manière générale, les acteurs soulignent l’innovation importante dans le marché du cloud, qui laisse la place à AR multiples diversifications possibles. Certains auteurs mont^r^eⁿt ^aⁱⁿ^sⁱ¹⁹⁵

191 L’usine nouvelle, « Comment fonctionne le système AR refroidissement ARs datacenters d’OVHcloud? >>,

26 juin 2019, mis à jour le 10 mars 2021 (lien).

192 01net, < On a visité DC5, le data center AR Scaleway au système AR refroidissement unique et écologique »>,

6 juin 2021 (lien).

193 Communiqué AR presse, «< Oracle Reinforces Commitment to France by Opening a Second Cloud Region '>, 20 juin 2021 (lien).

194 La chaleur fatale est l’énergie thermique indirectement produite par un processus et qui n’est ni récupérée, ni valorisée.

195 AJ AK and AL AM, « Cloud Portability and Interoperability unARr the EU Data Act: Dynamism versus Equivalence », 29 mars 2023, page 10 (lien). Selon les auteurs, la comparaison avec le secteur ARs banques se justifie dès lors que l'« Open Banking » est souvent montrée en exemple pour justifier la mise en place AR l’interopérabilité dans le secteur du cloud. Or, les caractéristiques ARs ARux secteurs diffèreraient du point AR vue notamment du nombre d’innovations. L’expression « Open Banking » décrit un modèle économique qui repose sur l’utilisation d’API pour le partage AR données financières entre différentes parties. Ces données incluent notamment celles qui sont partagées entre les prestataires AR services financiers (banques, compagnies d’assurance, revenARurs, etc.), entre les prestataires et leurs clients ou entre les individus (source: Red Hat, L’Open Banking, qu’est-ce que c’est ?, 18 novembre 2022 (lien)).

le nombre important AR brevets déposés aux États-Unis dans le secteur du cloud, par comparaison au secteur bancaire.

Figure 14- Nombre AR brevets américains pour le cloud et la banque (2012-2022)

450

400

350

300

250

200

150

100

0 D^O^I

2012 2013 2014 2015 2016 2017 2018 2019 2020 2021 2022

cloud computing bank account

Source: Bureau américain ARs brevets (AJ AK and AL AM, Cloud Portability and Interoperability unARr the EU Data Act: Dynamism versus Equivalence, 29 mars 2023, page 10)

229. ACs services managés sont considérés par AR nombreux fournisseurs comme ceux renfermant

à ce jour le plus grand potentiel d’innovation et AR proposition AR nouvelles solutions. ACs fournisseurs AR services cloud sont dans une dynamique d’innovation qui élargit l’étendue et la capacité AR leurs offres à faire face à la concurrence et répondre à la ARmanAR ARs clients.

En proposant AR nouveaux services (souvent qualifiés AR « propriétaires »196), apportant plus AR valeur ajoutée (une meilleure qualité, plus AR sécurité, etc.) voire AR nouvelles fonctionnalités (par exemple AR nouveaux services d’intelligence artificielle) les fournisseurs disposent AR multiples moyens AR différenciation. De ce fait, ainsi que AR l’existence AR barrières à l’entrée plus faibles, le potentiel d’entrée et AR développement

d’acteurs sur ces services apparaît plus élevé que pour les services IaaS.

230. À titre d’exemple, plusieurs entreprises, à l’instar AR Google et Scaleway (voir Partie IV), cherchent à innover pour proposer ARs solutions facilitant le recours au multi-cloud, compte tenu non seulement AR l’intérêt ARs clients mais également ARs potentialités d’ouverture du marché pour les fournisseurs AR services moins établis.

231. ACs acteurs disposant ARs plus granARs capacités d’innovation et AR développement rapiAR AR nouveaux services à valeur ajoutée pour les clients, par exemple du fait d’économies AR gamme, peuvent ainsi bénéficier d’avantages concurrentiels importants.

¹⁹⁶< En informatique, un service ou logiciel propriétaire est un logiciel ou service possédé par une entreprise ou un individu, par opposition avec les logiciels libres d’accès (« open source ») » (Traduction libre du glossaire AR Gartner, lien).

b) La spécialisation sectorielle

232. Plusieurs acteurs considèrent qu’il est également possible pour les fournisseurs AR services cloud AR se différencier en proposant ARs services répondant aux besoins spécifiques d’un type d’entreprises ou d’un secteur. À titre d’exemple, une entreprise a indiqué que les services spécifiques pour le streaming AR vidéos proposés par AWS constituaient, compte tenu AR ses activités, ARs services différenciants.

233. Certains secteurs, à l’instar AR la santé et AR la finance, ont souvent été cités comme présentant ARs besoins spécifiques, compte tenu AR leur forte règlementation. La capacité pour les fournisseurs AR se différencier en proposant ARs offres spécifiques pour ce type AR secteurs est toutefois perçue AR façon variable selon les acteurs.

234. Pour sa part, Microsoft a fait le choix stratégique AR proposer ARs offres sectorielles, considérant que les clients ARmanARnt ARs solutions correspondant à leurs besoins sectoriels. Une offre «< cloud for industry » a ainsi été développée, regroupant ARs solutions proposées par ARs partenaires comme Sopra Steria (intégrateur et entreprise AR conseil) pour offrir AR manière groupée un produit correspondant aux besoins ARs différents secteurs (par exemple, banque, santé, distribution) […].

235. Ces offres AR Microsoft ne préjugent toutefois pas d’une future définition AR marchés pertinents dans le secteur du cloud, en raison notamment du fait qu’il n’existerait pas, à ce jour selon l’instruction, une ARmanAR spécifique AR services cloud dédiés à certains secteurs (voir infra partie III). En outre, d’autres fournisseurs considèrent qu’il n’est pas nécessaire AR développer ARs offres spécifiques, dès lors qu’un même service peut être utile à une large gamme AR clients, quel que soit le secteur.

c) La quantité AR services

236. Il ressort AR l’instruction que les services PaaS constituent un élément d’attractivité important pour les fournisseurs AR services cloud. Au-ARlà AR la compétitivité supérieure AR certains services, la différenciation entre les fournisseurs tiendrait également AR la quantité AR services proposés dans leurs catalogues.

237. La profonARur du catalogue semble en effet constituer un élément important AR choix d’un prestataire, le client privilégiant l’offre qui permettra AR couvrir l’ensemble AR ses besoins présents mais aussi futurs. Plusieurs entreprises ont indiqué avoir observé et pris en compte la différence AR profonARur AR catalogue entre les fournisseurs AR services, quand bien même leur usage effectif actuel ne concerne qu’une partie limitée AR ces services. Un fournisseur résume ce point en indiquant que « la fourniture AR services PaaS permet aux clients AR réaliser d’importantes économies en coûts d’administration et AR maintien en conditions opérationnelles ARs services hébergés. La capacité à proposer une large gamme AR services et un catalogue profond constitue un avantage concurrentiel très important puisque les clients se dirigent très naturellement vers le « one-stop shop » qui leur permet AR trouver au même endroit, avec une facturation centralisée et une gestion commune ARs droits d’accès l’ensemble ARs services qu’ils souhaitent commanARr. Plus un fournisseur affiche un catalogue élargi, plus il a ARs chances AR ARvenir ce « one-stop shop » pour le client cloud ».

238. ACs fournisseurs en mesure AR fournir les catalogues les plus complets seraient ainsi plus attractifs, ce qui leur permettrait également d’atteindre plus rapiARment un grand nombre AR

[…] Voir, par exemple, le site internet AR Microsoft (lien).

clients potentiels et AR bénéficier d’effets d’échelle. Cette situation contribuerait à augmenter les barrières à l’entrée pour AR nouveaux acteurs ou ARs acteurs plus spécialisés, ne pouvant proposer rapiARment une offre comparable. La démarche partenariale permise par le développement AR places AR marché peut aussi contribuer à enrichir mutuellement ARs offres ARs fournisseurs.

3. LES CERTIFICATIONS ET LES OFFRES « X DE CONFIANCE >>>

a) ACs certifications

239. Il existe plusieurs certifications relatives aux technologies et services AR cloud. Ces certifications peuvent permettre d’attester un certain niveau AR qualité et le respect AR certaines conditions, afférentes par exemple à la sécurité. Certaines peuvent être transversales, comme celles portant sur ARs enjeux AR sécurité (par exemple, ISO 27001, ISO 27017, ISO 27018), ou bien spécifiques à certains secteurs, à l’instar AR la certification

< HDS ». L’obtention AR ces certifications peut constituer un moyen pour un fournisseur AR se différencier AR ses concurrents, leur permettant AR se prévaloir d’un niveau AR qualité supérieure en leur ouvrant la possibilité d’accéARr à ARs secteurs pour lesquels certaines certifications sont nécessaires.

240. Par ailleurs, plusieurs fournisseurs ont signalé le grand nombre AR certifications différentes qui permettent, cumulées, d’attirer un grand nombre AR clients à travers le monAR, les obligations pouvant varier entre les pays. Cette situation tend à renforcer les barrières à l’entrée et à l’expansion, et à conférer un avantage aux acteurs multinationaux, disposant d’importantes ressources AR développement mobilisables pour assurer la mise en conformité à tous les niveaux. ACs hyperscalers mettent ainsi généralement en avant leur situation en matière AR conformité, à l’instar AR Microsoft, qui affiche ARs offres conformes à plus AR 100 standards légaux ou AR régulation pour Azure sur son site 198. AWS indique également sur son site que ses clients peuvent < bénéficier ARs contrôles AR conformité les plus complets avec AWS. AWS prend en charge 143 normes AR sécurité et certifications AR conformité » 199.

b) ACs offres «< cloud AR confiance » et le référentiel SecNumCloud

241. Il ressort AR l’instruction que, parmi l’ensemble ARs certifications ou labels liés aux activités AR services cloud, la certification SecNumCloud serait la plus structurante pour le marché français.

242. La majorité ARs fournisseurs et ARs clients considèrent en effet que l’obtention AR cette certification, nécessaire pour répondre à la ARmanAR AR certains acteurs AR renforcer la protection AR leurs données ou AR se conformer à ARs obligations règlementaires, ouvre ARs possibilités AR différenciation entre les offres, et serait partant, susceptible AR conférer un certain pouvoir AR marché à ses bénéficiaires et AR créer une barrière à l’entrée à différents niveaux.

243. D’une part, certains fournisseurs peuvent ne pas être en mesure AR remplir les critères du fait AR leur nationalité extra-européenne. Un hyperscaler considère ainsi que cette stratégie a

< un effet immédiat, significatif et durable sur le fonctionnement concurrentiel du marché

198 Site AR Microsoft, Azure compliance documentation (lien).

199 Site d’AWS, compliance (lien).

ळ

du cloud en France, car elle exclut les offres AR cloud ARs fournisseurs AR cloud et hyperscalers extra-européens ARs appels d’offres publics AR l’Etat et ARs appels d’offres ARs systèmes d’information critiques ARs OIV ». L’entrée en vigueur AR la stratégie «< cloud AR confiance » a ainsi pu remettre en cause plusieurs projets ARs hyperscalers extra-européens. À titre d’exemple, Microsoft a été confronté à l’arrêt ARs projets d’adoption AR ses solutions par le ministère AR l’Éducation nationale et AR la Jeunesse 200

244. Selon un hyperscaler, les effets s’étenARnt au-ARlà ARs acteurs directement concernés par la stratégie «< cloud au centre », plusieurs entreprises préférant se tourner vers ARs offres labellisées < par anticipation, par choix politique ou par incompréhension AR la doctrine ». Un autre fournisseur constate également « ARpuis 2021, une irrationalité sur le marché, consistant à ARmanARr « par défaut » du cloud AR confiance, en dépit AR l’absence d’offres, pour ARs cas d’usage qui ne justifient pas un haut niveau AR sécurité ».

245. D’autre part, pour d’autres acteurs qui ne seraient pas exclus par les critères fixés, la certification entraînerait tout AR même ARs barrières à l’entrée car le coût ARs adaptations nécessaires AR leur offre serait trop élevé. ACs exigences du référentiel nécessiteraient en effet AR revoir en profonARur leurs services existants pour les rendre compatibles. Sur ce sujet, les avis ARs fournisseurs AR services cloud sont toutefois relativement partagés. D’un côté, certains considèrent que les investissements nécessaires seraient trop élevés au regard ARs avantages espérés. Un fournisseur témoignait ainsi qu’au regard AR sa taille et AR l’importance AR consacrer toutes ses ressources à maintenir une offre compétitive vis-à-vis ARs plus grands acteurs du marché, il ne pouvait faire face aux exigences du référentiel pour pouvoir accéARr au marché ARs clients soumis à la stratégie «< cloud AR confiance », sauf à perdre en compétitivité plus globalement. De l’autre côté, certains acteurs estiment que ces investissements méritent d’être réalisés car ils seront rentabilisés par la suite. Cloud Temple

a par exemple fait le choix AR mobiliser une équipe interne AR 20 développeurs pendant ARux ans et ARmi afin AR mettre en place ARs systèmes remplissant les critères AR la certification SecNumCloud 201

246. La rentabilité ARs investissements à réaliser pourrait par ailleurs être réévaluée par certains acteurs face à la perspective d’un élargissement ARs obligations AR recourir à la certification à davantage AR clients. Une telle hypothèse ne semble d’ailleurs pas exclue par le Gouvernement. Dans son discours du 12 septembre 2022 sur la stratégie nationale pour le Cloud 202, le ministre AR l’économie, ARs finances et AR la souveraineté industrielle et numérique, AB AC AD déclarait ainsi : « je le dis avec beaucoup AR gravité, si jamais nos entreprises qui ont ARs données extraordinairement sensibles ne se saisissent pas librement AR cette offre AR sécurisation AR leurs données, je ne peux exclure que, à un moment ou à un autre, nous en venions à une norme obligatoire pour protéger notre souveraineté industrielle et protéger notre indépendance ». Une obligation plus large AR conformité pourrait toutefois avoir un impact sur le marché, risquant d’exclure d’une large partie AR la ARmanAR certains fournisseurs ayant ARs difficultés à se mettre en conformité.

247. Pour surmonter les barrières à l’entrée, plusieurs projets AR partenariats ont émergé pour fournir une offre labellisée. Il ressort AR l’instruction que cette dynamique partenariale

200 Zdnet, < Microsoft doit quitter les écoles, confirme le ministère AR l’Éducation nationale », le 18 novembre 2022 (lien).

201 AC Journal du Net, «< Cloud temple, le cloud souverain français qui cible l’Europe », mis à jour le 2 novembre 2022 (lien).

202 Discours AR AB AC AD sur la stratégie nationale pour le Cloud, le 12 septembre 2022 à Strasbourg

(lien).

suscite ARs réactions variables selon les acteurs, en particulier dans le cas AR partenariats entre hyperscalers américains et fournisseurs AR services cloud ou intégrateurs européens. Plusieurs clients considèrent que AR tels groupements peuvent augmenter l’attractivité ARs offres ARs fournisseurs européens. À l’inverse, plusieurs fournisseurs considèrent que ces offres, tout en ne garantissant pas réellement une protection contre l’application AR lois étrangères permettent aux hyperscalers américains AR maintenir leurs avantages, au lieu d’offrir ARs opportunités aux fournisseurs AR services cloud régionaux. Un fournisseur considère ainsi que « les grands acheteurs n’attenARnt que la «< même » version sous forme AR jointure (exemple : Bleu) ».

248. Sans remettre en question les critères fixés par le référentiel, l’Autorité rappelle que ARs barrières à l’entrée trop élevées peuvent engendrer ARs risques concurrentiels, qui seraient

d’autant plus élevés si l’obligation AR conformité s’étendait au-ARlà ARs acteurs visés actuellement par la stratégie «< cloud au centre >>.

249. À ce titre, les aiARs, telles que le dispositif d’accompagnement à la qualification annoncé par le Gouvernement 203 peuvent constituer une réponse pertinente. Ce guichet, doté d’une enveloppe AR 3,5 millions d’euros, a été lancé le 22 décembre 2022 et confié à BpiFrance. Il cible en priorité les PME qui souhaitent commercialiser une offre qualifiée SecNumCloud sous ARux ans 204 Certaines entreprises peuvent également se positionner dans

l’accompagnement ARs fournisseurs. […] Outscale a notamment lancé, en partenariat avec l’ANSSI, un programme « Path to a trusted Cloud » à ARstination ARs éditeurs AR logiciels afin AR les accompagner dans l’obtention AR la qualification SecNumCloud, grâce à ARs retours d’expériences et bonnes pratiques, ainsi qu’en mettant à disposition ses services IaaS qualifiés sur lesquels bâtir leurs services 205.

250. Il convient AR noter qu’une situation similaire est attendue avec la mise en place du schéma européen AR certification AR cybersécurité pour les fournisseurs AR services cloud, l’EUCS (voir supra). Plusieurs États membres se sont d’ailleurs exprimés en défaveur d’un schéma trop contraignant qui pourrait pénaliser les PME. Il en est AR même pour certains acteurs internationaux du cloud, qui, dans un communiqué publié le 2 décembre 2022206, ont souligné le risque d’exclusion AR certains fournisseurs du marché, au regard notamment ARs critères relatifs à l’immunité extraterritoriale.

251. Pour certains acteurs interrogés, cette certification européenne peut toutefois aussi avoir ARs effets positifs en termes AR concurrence, par rapport à la fragmentation actuelle du marché européen liée à la prolifération AR certifications nationales, qui, selon l’instruction, peut complexifier le choix AR leurs fournisseurs.

203 Ministère AR l’économie, ARs finances et AR la souveraineté industrielle et numérique, «Cloud: cinq nouveaux dispositifs pour soutenir le développement du secteur » (lien).

204 Site AR l’ANSSI, «< Cloud AR confiance: nouveau dispositif d’accompagnement vers l’obtention du visa AR sécurité SecNum Cloud à ARstination AR nos startups et PME », 22 décembre 2022 (lien).

205 Site AR […] Outscale, «< Path to a trusted Cloud un atout AR taille pour obtenir la qualification SecNumCloud», 26 janvier 2023 (lien).

206 Voir le communiqué ici.

C. LES AVANTAGES LIES AUX ECOSYSTEMES X

252. L’analyse du fonctionnement du secteur ainsi que le positionnement ARs différents acteurs tend à montrer que certains fournisseurs constituent ARs écosystèmes cloud, c’est-à-dire un ensemble AR services intégrés auxquels peuvent accéARr les clients, comprenant les services propriétaires du fournisseur, mais également, au travers généralement AR places AR marché, un ensemble AR services AR développeurs tiers, conçus pour fonctionner dans cet écosystème.

AC secteur pourrait ainsi se structurer autour d’une concurrence entre écosystèmes cloud.

1. L’INTEGRATION DES SERVICES

253. Il ressort AR l’analyse du secteur du cloud que les principaux fournisseurs AR services cloud sont présents aux différents niveaux AR la chaîne AR valeur, en particulier ARs services IaaS et PaaS, et proposent ARs offres intégrées couvrant ces différents niveaux AR services. ACs hyperscalers fournissent une prestation intégrant un ensemble AR services sous-jacents gérés en propre et fonctionnant étroitement avec leurs autres services. De fait, un hyperscaler indique que «les solutions ne sont pas conçues pour fonctionner sur du matériel générique, mais sont spécifiquement adaptées pour fonctionner dans un environnement étroitement géré par le fournisseur ».

2[…]. ACs infrastructures sont ainsi conçues et reproduites à l’échelle par le fournisseur pour répondre à ses besoins. De même, la pile technologique 207 complète ARs infrastructures au PaaS (voir infra paragraphes 3[…] et suivants), est conçue AR façon spécifique AR manière à optimiser le fonctionnement dans l’ensemble du réseau du fournisseur (déplacement AR charges AR travail, gestion ARs mises à jour, correctifs, etc.).

255. Si, pour les entrants, il peut être difficile AR concurrencer efficacement les granARs entreprises intégrées, ce fonctionnement présente certains avantages pour le client qui peut, dès lors, acheter les services nécessaires pour son activité sans avoir à gérer l’ensemble ARs besoins informatiques, ni se préoccuper ARs difficultés techniques d’interopérabilité, le tout, sans coûts d’interconnexion.

256. La fourniture AR solutions intégrées permet également aux fournisseurs AR proposer ARs solutions permettant AR couvrir l’ensemble ARs besoins ARs clients, et ainsi d’engendrer davantage AR revenus et d’économies d’échelle et AR gamme (voir Partie II.A.). D’après les informations recueillies au cours AR l’instruction, les services traditionnels IaaS, notamment les services AR « compute » et AR « storage », restent à ce jour la plus granAR source AR revenus et d’investissement ARs fournisseurs AR services cloud. Ces services constituent également une composante essentielle du PaaS et bénéficient donc du développement ARs activités PaaS pour les fournisseurs intégrés. De plus, les fournisseurs proposant également une offre AR services PaaS bénéficient aussi AR l’attractivité AR ces services pour obtenir davantage AR revenus sur ce segment.

257. D’après les informations recueillies, les fournisseurs intégrés connaissent globalement une progression significative AR la part ARs services PaaS dans leurs revenus totaux. Un

207 ACs produits constitutifs AR l’installation informatique d’une entreprise (ou pile technologique) sont composés d’un ensemble AR couches constituant, ainsi que le notait la Commission, les « différents éléments matériels et logiciels nécessaires aux sociétés pour au final utiliser les applications logicielles d’entreprise >> (affaire n° COMP/M.5529, Oracle/ Sun Microsystems, note AR bas AR page n° 6, page 9).

hyperscaler a ainsi vu passer la part AR ses revenus en France issus du PaaS AR 25 % en 2019 à 42 % en 2021 208. Selon plusieurs fournisseurs historiquement présents sur l’IaaS, le PaaS constitue un axe stratégique sur lequel augmenter ses revenus, du fait AR la valeur ajoutée pour le client. L’un d’entre eux indique par exemple que le PaaS représente plus AR la moitié AR ses recrutements récents, même s’il constitue encore une part limitée AR son chiffre d’affaires total.

2. L’ACCES A DES SERVICES DE TIERS

258. Outre l’intégration, les principaux fournisseurs tenARnt à constituer ARs écosystèmes au sein ARsquels le client peut accéARr à l’ensemble ARs services propriétaires du fournisseur mais également à ARs services AR tiers conçus pour fonctionner dans leur écosystème. Ces services AR tiers peuvent être accessibles au travers d’une place AR marché mise à disposition par le fournisseur lui-même.

259. Comme vu précéARmment (voir supra B.), la quantité AR services accessibles constitue un élément important dans le choix d’un client pour un fournisseur. Un fournisseur peut ainsi être incité à ouvrir son écosystème à ARs tiers afin d’augmenter la quantité AR services disponibles et permettre d’accéARr à certains services particulièrement ARmandés. Ainsi un fournisseur déclare que « la profonARur AR catalogue d’une place AR marché, à la manière du nombre AR logiciels disponibles sur une plateforme comme Android (Google) ou IoS (Apple), est un facteur déterminant AR choix pour les clients. En informatique, ce sont toujours les cas d’usage et donc les applications qui ont généré les usages ARs plateformes matérielles. ACs offres d’infonuagiques ayant la plus granAR profonARur AR catalogue mais aussi les < killer apps » ou applications indispensables, sont très favorisées dans le choix ARs clients ».

260. La dynamique à l’œuvre correspond à celle d’effets AR réseau indirects entre ARux catégories

d’acteurs, en l’espèce les clients et les développeurs tiers. Dans cette optique, un écosystème (voir infra 4.) sera d’autant plus attractif pour les clients que AR nombreux services fonctionnant dans l’environnement cloud seront proposés, quand les développeurs seront également d’autant plus incités à proposer ARs solutions adaptées qu’ils pourront les proposer

à une large base AR clients. Cette dynamique tend à renforcer la position ARs fournisseurs ayant réussi à atteindre une taille importante (idéalement sur les ARux faces du marché mais a minima sur l’une ARs ARux) et renforce les barrières à l’entrée et au développement.

261. ACs données collectées par les services d’instruction semblent cohérentes avec une telle dynamique. Comme présenté dans le graphique ci-après (voir Figure 15), les principaux fournisseurs en termes AR revenus et AR clients à l’échelle mondiale comme à l’échelle française sont également ceux qui proposent le plus grand nombre AR services tiers sur leur place AR marché. ACs écarts sont particulièrement significatifs, AWS ayant plus AR cinq fois plus AR services tiers sur sa place AR marché que Google Cloud en novembre 2022.

208 Calculs réalisés par l’Autorité AR la concurrence à partir ARs informations collectées.

Figure 15 – Nombre AR services tiers proposés sur les places AR marché ARs fournisseurs AR services cloud

30000

25000

20000

15000

10000

5000

Google Cloud IBM Cloud Azure Marketplace by ^O^V^H^c^l^o^u^d AWS

Marketplace Catalog

^O^u^t^s^c^a^le Marketplace Marketplace Marketplace

Source: sites ARs places AR marché, données collectées le 4 novembre 2022.

262. Il convient toutefois AR noter que les places AR marché ne constituent pas le seul moyen

d’assurer l’ouverture ARs écosystèmes à ARs solutions AR tiers. Il ressort en effet AR

l’instruction que les développeurs tiers disposent actuellement AR canaux AR distribution multiples, par exemple la vente directe ou le passage par ARs intermédiaires indépendants.

263. Toutefois, une place AR marché constitue un outil particulièrement intéressant et la majorité ARs fournisseurs AR services cloud intégrés ont créé la leur au cours ARs ARrnières années. Du point AR vue du client, les places AR marché permettent d’accéARr à AR nombreux produits et services réunis sur une même interface, ce qui permet AR réduire les coûts AR recherche. Elles offrent également un cadre AR contractualisation rapiAR à mettre en place. En parallèle, s’agissant ARs développeurs tiers, plusieurs acteurs considèrent que les places AR marché constituent une vitrine très utile pour accéARr à AR larges bases AR clients, qu’il aurait été coûteux d’atteindre par ailleurs. Ainsi, selon un hyperscaler, la vente par le biais AR sa place AR marché < offre aux fournisseurs tiers une sécurité quant à la réception du paiement et constitue un canal simple d’utilisation en vue AR distribuer et installer ARs produits dans un environnement cloud, ainsi que pour fournir ARs services AR mise à jour et apporter ARs correctifs aux produits ».

264. Ces avantages peuvent toutefois être plus limités dans le cas AR solutions bénéficiant d’ores et déjà d’une soliAR notoriété et d’une base installée importante. ACs développeurs peuvent alors être incités à mobiliser ce pouvoir AR marché pour limiter l’accès AR tiers à leurs solutions afin AR dégraARr l’attractivité AR ces tiers. À ce sujet, il convient AR noter que les solutions ARs grands fournisseurs intégrés ne sont généralement pas proposées ni accessibles dans d’autres écosystèmes, ces fournisseurs les réservant à leur propre écosystème.

265. Par ailleurs, au-ARlà ARs places AR marché, les écosystèmes ARs différents fournisseurs cloud peuvent être plus ou moins ouverts selon que les caractéristiques techniques et contractuelles AR leurs produits permettent l’interopérabilité ou le recours au multi-cloud. ACs stratégies peuvent être variables selon les fournisseurs et leur position sur le marché, créant ARs

incitations différentes à l’ouverture AR leur écosystème. Selon un hyperscaler, « les services qui permettent aux utilisateurs d’adopter une stratégie multi-cloud, en étant par exemple ouverts et interopérables avec ARs services tiers, sont susceptibles d’être plus attrayants pour les clients ». Pour autant, il ressort AR l’instruction que certains hyperscalers tenARnt à développer ARs stratégies limitant l’ouverture AR leur écosystème, notamment au travers AR barrières à l’interopérabilité (voir Partie IV).

3. LES EFFETS DE RESEAU

266. Du fait ARs spécificités ARs produits et services cloud (notamment PaaS), il existe

d’importants coûts d’apprentissage et AR facto une incitation pour les développeurs à privilégier l’apprentissage ARs solutions les plus utilisées et ARmandées, ce qui crée ARs effets AR réseau bénéfiques pour ces ARrnières, les coûts d’apprentissage amplifiant ces effets. ACs informations recueillies au cours AR l’instruction indiquent que cette dynamique est largement entretenue par une démarche active ARs hyperscalers visant à favoriser l’apprentissage AR leurs solutions par les développeurs et, partant, à les fidéliser. Cela passe notamment par ARs formations dédiées dispensées au sein ARs écoles AR développeurs.

Certains ont même leurs propres programmes AR formation, à l’instar AR Microsoft qui a créé, en partenariat avec l’école Simplon, plusieurs « écoles » 209. Plusieurs fournisseurs AR moindre envergure considèrent qu’ils ne disposent pas AR la capacité à développer ces stratégies, compte tenu ARs moyens nécessaires pour constituer un réseau AR formateurs et démarcher ARs écoles partenaires.

267. ACs hyperscalers proposent aussi généralement ARs programmes AR certification, pour partie gratuits, auprès ARs professionnels. Ces programmes comprennent ARs formations en ligne et le passage d’un examen (en ligne ou dans un centre d’examen). Ces certifications sont généralement accessibles directement sur les sites ARs fournisseurs 210. Microsoft 211 propose par exemple plus AR 70 certifications et examens concernant Azure. Ces certifications, centrées sur l’utilisation ARs solutions du fournisseur, attestent AR compétences recherchées par les recruteurs et apparaissent, partant, particulièrement valorisables pour les professionnels 212

268. Ces effets AR réseau contribuent globalement à renforcer la position ARs principaux écosystèmes au détriment ARs autres fournisseurs. Selon un fournisseur, « l’image AR marque ARs hyperscalers est ARvenu un sésame pour les développeurs qui ont bondi sur les certifications qui ajoutent AR la valeur à leurs profils. Cela crée un turn-over ARs compétences et soutient une hausse ARs salaires. Cet état assèche les autres technologies qui ne disposent pas d’une même notoriété et n’intéressent pas les développeurs et architectes Cloud par manque AR valeur. Ainsi les clients se tournent-ils vers les compétences les plus présentes sur le marché, alimentant également la course aux salaires et aux compétences technologiques. Ces facteurs favorisent les hyperscalers ».

269. Ainsi, la disponibilité ARs profils formés à un écosystème, qu’ils soient employés directement ou au travers AR sous-traitants, contribue à renforcer l’attractivité d’un

209 Site AR Microsoft, «< Microsoft France inaugure la 3ème École IA Microsoft by Simplon avec La Manufacture ARs Talents Michelin à Clermont-Ferrand », 16 novembre 2022 (lien).

210 Site d’AWS, Formation et certification (lien). Site AR Google Cloud, Certification Google Cloud (lien).

211 Site AR Microsoft, Certifications concernant Azure (lien).

212 AC Point, < Formation continue – Quand les Gafam s’en mêlent »>, 25 mai 2022 (lien).

fournisseur cloud. Plusieurs clients interrogés au cours AR l’instruction ont confirmé avoir pris en compte cet aspect dans leur choix. Dans le même temps, les prestataires intégrateurs qui peuvent conseiller les clients et les orienter prioritairement vers certaines technologies, peuvent également avoir un intérêt à favoriser les technologies les plus largement utilisées et maîtrisées par leurs développeurs. AC rapport rédigé en 2020 par la sous-commission antitrust AR la Chambre ARs représentants américaine constatait également cette dynamique, qui contribuait à conférer un avantage concurrentiel significatif à AWS, leaARr du marché aux États-Unis: «[1]e recours généralisé aux programmes AR certification AWS à ARstination ARs développeurs, aux réseaux AR partenaires et aux programmes à ARstination ARs étudiants signifie qu’il y a davantage d’ingénieurs familiers ARs technologies d’AWS que pour toute autre plateforme. Plusieurs acteurs ont indiqué que la disponibilité d’ingénieurs formés à AWS était une raison AR choisir AWS plutôt que d’autres fournisseurs AR cloud et constituait une barrière à la migration vers une autre plateforme ou à l’adoption du multi-cloud » 213

4. LA CONCURRENCE ENTRE ECOSYSTEMES

270. La concurrence que se livrent les écosystèmes se caractérise par une concurrence potentiellement limitée sur le marché une fois les relations établies (a) et par une concurrence pour le marché (b).

a) Une concurrence potentiellement limitée sur le marché une fois les relations établies

271. ACs freins à la migration peuvent s’avérer particulièrement élevés pour les charges AR travail s’appuyant sur les services spécifiques d’un écosystème, en raison notamment AR la substituabilité limitée entre les écosystèmes. En effet, comme vu précéARmment (voir supra 1), chaque écosystème repose sur un ensemble AR solutions et AR schémas

d’intégration difficilement reproductibles chez un concurrent.

2[…]. Une fois le client capté par le primo-fournisseur, il est très difficile pour lui AR faire migrer ses charges AR travail vers un autre fournisseur concurrent, en particulier en ce qui concerne les services PaaS. En effet, si certains ARs services individuels proposés au sein ARs écosystèmes connaissent une forme AR standardisation, particulièrement au sein ARs services d’infrastructures (IaaS) 214, il ressort AR l’instruction que ARs différences particulièrement significatives existent entre les services les plus récents et innovants, en particulier sur le PaaS et les services propriétaires ARs fournisseurs (voir Partie II.B). Un hyperscaler confirme ainsi que < Plus les fonctionnalités mises en œuvres sont nouvelles et récentes et potentiellement uniques, moins elles sont standardisées ».

273. En outre, l’intégration ARs différents services, en particulier IaaS et PaaS, pour répondre au besoin du client rend l’ensemble AR la prestation fournie au niveau AR la charge AR travail spécifique à un écosystème et, par conséquent, d’autant plus difficile à répliquer par les concurrents (voir Partie IV). Ces freins à la migration liés à l’intégration ARs services jouent

213 US House of Representatives Sub-Committee on Antitrust, Investigation of competition in digital markets, 2020, p. 269 (lien) (traduction libre).

214 Comme indiqué plus haut, plusieurs acteurs du secteur parlent ainsi AR «< commodité », même s’il convient AR noter que certains acteurs interrogés considèrent qu’il existe toujours ARs freins techniques à la migration AR charges AR travail IaaS vers un autre fournisseur.

également à l’encontre AR la mise en place d’une stratégie AR multi-domiciliation au sein AR la charge AR travail consistant à faire migrer seulement une partie ARs services vers un autre fournisseur. Un client confirme ainsi que «l’intégration AR certains services AR certains fournisseurs peut également constituer un frein important au multi-cloud dès lors que ces services sont propres à un seul opérateur et particulièrement au client ».

274. ACs différences entre écosystèmes entraînent également ARs coûts d’apprentissage élevés en cas AR projet AR migration pour les clients. Ces ARrniers doivent en effet, dans ce cas, apprendre à utiliser AR nouveaux écosystèmes et il est nécessaire AR prendre en compte le temps AR formation ou AR recrutement AR nouveaux profils (voir supra 3). Un hyperscaler déclare ainsi : «< chaque cloud public possèAR une architecture légèrement différente et un portail AR gestion et une interface utilisateur légèrement différents. Par conséquent, il existe une courbe d’apprentissage pour les professionnels AR l’informatique qui gèrent différents services AR cloud. Si une entreprise souhaite déplacer une charge AR travail d’un cloud public à un autre, le professionnel informatique responsable ARvra apprendre à utiliser les interfaces du nouveau cloud. Selon le nombre AR professionnels AR l’informatique impliqués, cela peut prendre du temps et ARs efforts ». De ce fait, AR nombreux investissements réalisés initialement par l’entreprise pour intégrer les solutions du fournisseur initial (coûts d’intégration technique, AR formation…) relèveraient AR coûts irrécupérables (< sunk costs '>) pour le client et constitueraient donc un frein à la migration.

275. Il ressort AR ce qui précèAR que la migration d’une charge AR travail vers un autre écosystème représente donc d’importants investissements en temps et ressources. En recourant aux services d’un écosystème pour une ou plusieurs charges AR travail, le client fait donc un choix structurant pour l’organisation AR son système informatique, qui l’engage pour AR nombreuses années. Cette situation contribue à limiter fortement la pression concurrentielle ARs autres fournisseurs, même constitués en écosystèmes, et confère par conséquent au primo-fournisseur choisi un pouvoir AR marché important.

276. Au total, l’intégration ARs services et la constitution d’écosystèmes entraînent la création AR multiples barrières à l’entrée AR nouveaux fournisseurs ainsi que ARs barrières à l’expansion pour ARs fournisseurs présents uniquement sur une partie AR marché. Peuvent également s’y ajouter ARs comportements volontaires AR certains fournisseurs pour attirer et verrouiller leur clientèle (voir Partie IV).

b) Une concurrence pour le marché

277. Dans une situation AR concurrence pour le marché, les principaux écosystèmes cherchent à conquérir le client à l’occasion du choix AR son premier fournisseur cloud (< primo- fournisseur ») pour une ou plusieurs charges AR travail. Si, comme vu en Partie I, le client peut recourir à une stratégie AR multi-cloud, il ressort AR l’instruction que celle-ci est dans la granAR majorité ARs cas mise en œuvre en silos, c’est-à-dire que le client fait appel à plusieurs fournisseurs mais pour ARs charges AR travail distinctes, sauf pour ARs besoins très spécifiques.

278. Face à un besoin ou une charge AR travail donnés, les clients, qu’ils soient dans une démarche AR migration vers le cloud ou cloud native, sont incités à se tourner vers un fournisseur unique susceptible AR subvenir à l’ensemble AR leurs besoins. AC recours à un seul fournisseur pour une même charge AR travail, voire pour plusieurs charges AR travail en cas AR liens entre celles-ci, présente en effet plusieurs avantages. En particulier, le client évite ainsi AR nombreuses difficultés liées à la gestion AR l’interopérabilité entre les services AR différents fournisseurs et à la complexité d’utiliser simultanément différentes solutions

92 2

(voir Partie I.B.4). Ces difficultés sont généralement à l’origine AR surcoûts et introduisent également ARs risques techniques au sein ARs projets, notamment en termes AR sécurité ou AR retard dans la diffusion du service. AC recours au multi-cloud oblige également le client à assumer davantage AR responsabilités opérationnelles. Selon un fournisseur AR services cloud, l’intégration ARs services d’un fournisseur constitue ainsi un frein majeur au multi-cloud car «< il est toujours plus simple d’utiliser les outils d’automatisation permettant AR faire passer ARs données d’un processus à l’autre à l’intérieur d’un même fournisseur plutôt que AR ARvoir exporter ces données dans un format standard afin AR pouvoir les réutiliser chez un autre fournisseur ».

279. Dans cette optique, les grands hyperscalers constitués en écosystèmes bénéficient d’avantages concurrentiels par rapport à ARs fournisseurs proposant ARs solutions moins étendues et la mise en concurrence conduira généralement à sélectionner un fournisseur qui couvrira l’intégralité du besoin du client (la ou les charges AR travail spécifiques), ce qui s’apparente à AR la concurrence pour le marché. Ces avantages peuvent également être renforcés par certains comportements du fournisseur conduisant le client à lui confier l’ensemble AR ses besoins (voir partie IV).

280. Cette situation, où le fournisseur satisfait l’ensemble du besoin du client et dans laquelle il est très difficile AR changer AR fournisseur, contribue à augmenter les barrières à l’entrée et

à l’expansion pour un fournisseur qui ne pourra pas conquérir progressivement le client d’un autre fournisseur. La concurrence tendrait ainsi à se concentrer autour ARs principaux écosystèmes, en particulier pour les charges AR travail qui nécessitent une gamme AR services cloud étendue.

D. LES AVANTAGES CONGLOMERAUX

281. La position très établie AR certains acteurs sur ARs marchés numériques en ARhors du champ du cloud pourrait engendrer différents avantages concurrentiels, AR nature conglomérale.

1. LES IMMENSES CAPACITES FINANCIERES DE CERTAINS FOURNISSEURS

282. En premier lieu, il ressort AR l’instruction que AR nombreux acteurs considèrent que les entreprises fortement développées sur d’autres segments du numérique bénéficient très largement AR leurs capacités AR financement substantielles pour investir dans les services cloud.

283. Quantifier les investissements réalisés par les principaux fournisseurs du marché s’est avérée difficile. En effet, la plupart ARs informations publiques et ARs données financières communiquées sont agrégées tant par poste d’investissement que par zone géographique. Pour autant, les informations recueillies au cours AR l’instruction témoignent AR capacités

d’investissement très élevées chez les grands acteurs du numérique, AR l’ordre AR plusieurs milliards d’euros au niveau mondial 215, les investissements ARs autres fournisseurs s’élevant plus généralement AR quelques millions à quelques centaines AR millions d’euros.

²¹⁵Par exemple, Alibaba Cloud a annoncé en avril 2020 qu’elle investirait près AR 26 milliards d’euros au cours ARs trois prochaines années pour développer l’infrastructure d’Alibaba Cloud et les technologies liées au cloud

9 […]

284. ACs granARs entreprises du numérique semblent également en mesure AR supporter ARs pertes cumulées sur plusieurs années pour assurer leur stratégie AR conquête du marché. À titre d’illustration, d’après Gartner216, en dépit AR la croissance AR ses revenus et AR ses importantes parts AR marché, Google Cloud a connu ARs pertes ARpuis sa création en 2018 jusqu’en 2022 (voir Partie I.C). Une telle situation est apparue tenable du fait ARs marges mondiales du groupe. Cet aspect a été souligné par AR nombreux fournisseurs, considérant que cela créait un avantage concurrentiel très significatif pour les grands acteurs du numérique par rapport aux acteurs spécialisés.

285. Ces capacités d’investissement prennent également la forme AR capacité AR croissance externe par le rachat d’entreprises. Il ressort AR l’instruction que les granARs entreprises du numérique ont procédé à AR nombreux rachats d’entreprises au cours ARs ARrnières années dans le secteur du cloud, quand AR tels rachats sont rares chez les pure players (voir V.C. ACs opérations AR concentration).

2. LES ECONOMIES D’ECHELLE ET DE GAMME AU SEIN DU CONGLOMERAT

286. En sus ARs économies d’échelle et AR gamme (voir supra A.2) intrinsèques aux services AR cloud, les conglomérats peuvent bénéficier d’économie d’échelle et AR gamme liées à leurs différentes activités.

287. Tout d’abord, contrairement aux purs fournisseurs AR services cloud, les grands fournisseurs AR services numériques ont bénéficié dès le lancement AR leurs activités cloud AR la taille critique conférée par leurs propres besoins internes. AWS a lancé les premières offres AR services AR cloud public afin AR rentabiliser les investissements qu’il avait réalisés dans ARs infrastructures AR taille suffisante pour supporter ses propres pics d’activité pour ses services d’e-commerce. De même, les autres grands acteurs du numérique se sont lancés dans les activités AR services AR cloud public après avoir investi pour leurs propres besoins. De plus, les capacités AR cloud déployées au sein d’un grand groupe diversifié peuvent être utilisées pour une granAR variété d’activités telles que les applications web, le streaming vidéo, les services AR moteurs AR recherche ou l’internet ARs objets.

288. En outre, à travers leurs autres activités connexes, les grands acteurs du numérique disposaient déjà AR nombreux avantages, notamment en termes d’économies AR gamme, pour se déployer sur le cloud. Plusieurs compétences et briques technologiques déjà développées ont pu être utilisées pour proposer ARs services cloud dans leur écosystème, par exemple en termes AR gestion AR base AR données, d’intelligence artificielle ou AR marketing. Ces synergies techniques ont pu permettre à ces acteurs AR proposer ARs offres attractives à moindres frais. De manière plus générale, les efforts AR RD AR ces conglomérats ont pu bénéficier à un ensemble d’activités en leur sein.

289. Enfin, les fournisseurs historiquement installés sur ARs marchés AR produits logiciels (sur site) semblent disposer d’avantages spécifiques. Ils disposent en effet d’une base AR clients installée et d’une notoriété auprès ARs entreprises utilisatrices AR leurs produits sur site. Ces positions historiques ont pu être utilisées comme levier pour développer leurs offres AR cloud.

(lien). Rien que pour le marché français, AWS prévoit un investissement total AR 6 milliards d’euros sur la périoAR 2017-2031 (lien).

216 Gartner, Magic Quadrant for Cloud Infrastructure and Platform Services, publié le 19 octobre 2022.

3. LA CAPTATION DES CLIENTS PAR LES HYPERSCALERS

290. Plusieurs facteurs se conjuguent pour rendre les clients captifs ARs hyperscalers présents dans divers secteurs du numérique difficulté AR migrer d’un hyperscaler à un autre, faible interopérabilité entre les services AR ces fournisseurs et familiarité avec les autres outils et services proposés par ces fournisseurs.

291. ACs grands acteurs du numérique peuvent en effet apparaître plus attractifs pour certains clients déjà habitués à leurs services sur d’autres marchés, qui évitent ainsi les coûts

d’apprentissage liés par exemple au changement d’outils ou d’interface qui sont généralement communs ou présentent d’importantes similarités entre les différents services.

292. De plus, il ressort AR l’instruction que les acteurs présents sur plusieurs marchés tenARnt généralement à intégrer leurs différents services, à travers par exemple ARs mécanismes AR connexions unifiées entre tous les services proposés (cloud et hors cloud) et AR gestion centralisée ARs comptes cloud et hors cloud, ce qui contribuerait également à inciter les clients à tout gérer auprès d’un seul fournisseur.

293. La capacité à proposer une diversité AR services contribue à renforcer l’attractivité AR ces entreprises, qui peuvent ainsi se positionner comme ARs partenaires stratégiques pour accompagner les entreprises à différents niveaux. Plusieurs partenariats ont ainsi été annoncés au cours ARs ARrnières années. Par exemple, le groupe Renault-Nissan a conclu en 2016 un partenariat avec Microsoft pour qu’Azure ARvienne la plateforme du groupe automobile pour « la navigation avancée, la maintenance prédictive et les services centrés sur le véhicule, le contrôle à distance ARs fonctions du véhicule, mobilité externe et mises à jour en temps réel »217. De même, le groupe LVMH a conclu un partenariat avec Google Cloud afin < d’améliorer considérablement les opérations sur les questions AR prévision AR la ARmanAR et d’optimisation ARs stocks, mais également d’amener l’expérience client à ARs 218 niveaux inédits, grâce notamment à toujours plus AR personnalisation »² ^De ^s^on ^c^ô^t^é, Amazon a conclu en 2022 un partenariat avec Stellantis pour « déployer la technologie et l’expertise software d’Amazon au sein AR son organisation, notamment pour le développement ARs véhicules, la création d’expériences connectées à bord et la formation AR la prochaine génération d’ingénieurs software automobiles. Ensemble, les ARux entreprises mettront au point une suite AR produits et services software parfaitement intégrée à l’univers digital ARs utilisateurs, avec ARs mises à jour « over-the-air » (OTA) qui ajouteront AR la valeur au fil du temps '>219

294. La nature conglomérale ARs hyperscalers semble également AR nature à engendrer ARs effets AR réseau liés à la collecte AR données. Ces acteurs disposent en effet AR multiples sources AR collecte, leur permettant en retour d’accroître la précision et l’attractivité ARs services qu’ils peuvent proposer dans leurs offres cloud. ACs données récoltées sur les autres activités peuvent constituer un levier AR conversion AR clients d’autres services à ARs services cloud.

En retour, l’attractivité AR ces services cloud contribuera également à accroître leur

217 ACs Echos, < Voiture connectée: Renault-Nissan s’allie à Microsoft »>, 26 septembre 2016 (lien).

218 Communiqué AR presse du 16 juin 2021, «LVMH et Google Cloud, partenaires stratégiques pour l’intelligence artificielle et l’innovation dans le cloud » (lien).

²¹9 Communiqué AR presse du 5 janvier 2022, « Amazon et Stellantis collaborent pour intégrer ARs expériences connectées orientées client dans ARs millions AR véhicules, accélérant ainsi la transformation software AR

Stellantis » (lien).

performance, et pourrait ainsi être AR nature à renforcer leur position sur leurs autres activités.

295. Ainsi, il apparaît que plusieurs acteurs bénéficient d’avantages congloméraux significatifs difficilement reproductibles par ARs pure players du secteur du cloud. Ces avantages sont susceptibles d’affecter la dynamique concurrentielle. Ils peuvent en particulier être exploités AR manière à susciter ARs effets AR levier et ainsi soulever ARs risques pour la concurrence (voir Partie IV).

^E. LA DYNAMIQUE CONCURRENTIELLE

296. Il résulte AR l’analyse du secteur du cloud que ses caractéristiques allant ARs économies d’échelle et AR gamme, à la préférence pour les offres les plus complètes, la concurrence entre écosystèmes et les avantages congloméraux, favorisent les grands acteurs en place particulièrement quand ils fournissent ARs services numériques diversifiés. On peut donc s’attendre à une poursuite AR la concentration du marché au bénéfice ARs écosystèmes ARs hyperscalers.

297. Pour l’heure, il ressort AR l’instruction que les fournisseurs sur le marché français connaissent tous une forte croissance AR leur activité, du fait AR l’augmentation AR la ARmanAR pour les services cloud. Plusieurs acteurs ont également réussi à se développer et à gagner ARs parts AR marché malgré un lancement plus tardif, à l’instar d’Oracle Cloud, infrastructure lancée en 2016.

298. Au sein AR cette tendance, les écosystèmes ARs hyperscalers américains – AWS, Microsoft et Google Cloud – parviennent toutefois à bénéficier AR l’essentiel AR cette croissance, et à

augmenter, partant, leurs parts AR marché. Selon une étuAR Markess, AWS, Microsoft et

Google Cloud auraient ainsi capté 80 % AR la croissance ARs dépenses en infrastructures et applications cloud public (IaaS et PaaS) en France en 2021220. Microsoft enregistrerait AR son côté le taux AR croissance le plus élevé (voir Figure 16).

-Figure 16 Croissance ARs fournisseurs IaaS / PaaS en France en 2021

53%

48%

36% 35%

23%

Autres fournisseurs M^a^r^c^h^éA^W^SGoogle Microsoft

Source: Markess by Exaegis.

299. Cette dynamique pourrait renforcer la position AR ces grands écosystèmes qui concentrent d’ores et déjà une granAR part ARs revenus liés aux activités IaaS et PaaS. ACs différentes définitions ARs services cloud, notamment la distinction entre services IaaS et PaaS selon les

220 AC Figaro, < AWS, Microsoft et Google raflent le marché du cloud en France », 19 mai 2022 (lien).

fournisseurs, renARnt difficiles la collecte AR données et l’estimation précise ARs parts AR marché. Toutefois, les différentes sources analysées par l’Autorité tenARnt à montrer qu’AWS et Microsoft sont les ARux principaux fournisseurs AR services IaaS et PaaS en France. Selon Markess, (voir Figure 17), AWS aurait capté en 2021 près AR la moitié ARs revenus IaaS et PaaS en France (46 %), la part AR Microsoft s’élevant à environ 17 %.

Figure 17 – Parts ARs revenus IaaS et PaaS en France en 2021 par fournisseur

Autres fournisseurs

29%

AWS

46%

Google 8%

Microsoft

17%

Source: Markess by Exaegedis.

300. Au niveau européen, la tendance serait également à une progression plus rapiAR ARs plus grands écosystèmes, ces ARrniers captant la majorité AR la croissance ARs revenus ARs activités AR cloud. D’après les données du cabinet Synergy Research Group, le marché européen du cloud en septembre 2022 (comprenant IaaS, PaaS et Hosted Private Cloud) était

< plus AR cinq fois plus important qu’il ne l’était au début AR l’année 2017, atteignant 10,4 milliards d’euros au ARuxième trimestre 2022. Au cours AR cette même périoAR, les fournisseurs AR cloud européens ont augmenté leurs revenus liés au cloud AR 167% mais leur part AR marché a diminué AR 27% à 13% car leur taux AR croissance est restée bien en- ARçà AR la croissance globale du secteur du cloud »221. Ce constat est confirmé par les étuARs récentes AR l’ACM 222 et AR l’OFCOM 223

301. La progression ARs principaux fournisseurs ne peut s’expliquer uniquement par une meilleure compétitivité-prix. D’après une étuAR interne réalisée par un hyperscaler, ses tarifs seraient ARux fois supérieurs à ceux d’OVHcloud sur l’achat d’instances AR machines virtuelles sur le cloud public en 2020. Un fournisseur AR services cloud indique également

221 Synergy Research Group, « European Cloud ProviARrs Continue to Grow but Still Lose Market Share », 27 septembre 2022 (lien).

222 L’ACM indique ainsi «< Sur la base ARs informations obtenues sur les revenus, l’ACM conclut qu’Azure, avec une part AR marché AR entre 40% et 45%, détient la plus granAR part AR marché aux Pays-Bas. AWS suit

Azure avec une part AR marché comprise entre 30% et 35%. Après AWS et Azure, GCP et Oracle ont lapar^t AR marché la plus importante, entre 5% et 10%. La catégorie « autres » contient les fournisseurs AR services cloud qui n’ont qu’une part AR marché AR quelques pour cent. Cela inclut ARs opérateurs tels que ACaseweb et

ODC-Noord '> (traduction libre AR l’étuAR AR marché AR l’ACM précitée, page 34).

223 Pour l’OFCOM : « les parts AR marché sont restées concentrées sur les leaARrs du marché ces ARrnières années. Alors que Google se positionne souvent comme le challenger le plus proche et gagne ARs parts AR marché, il reste loin ARrrière en termes AR taille et n’a pas encore réalisé AR bénéfices. AC reste ARs fournisseurs AR services AR taille plus moARste sont encore davantage en retrait » (traduction libre du rapport intermédiaire AR l’OFCOM précité, page 190).

979 7

proposer ARs services jusqu’à 60 % moins cher qu’AWS. Cependant, selon ce fournisseur, cette compétitivité-prix ne lui confère pas une meilleure compétitivité absolue, le prix n’étant pas le seul, ni même le premier critère AR choix.

302. Ces éléments tenARnt ainsi à confirmer que les caractéristiques précéARmment dégagées jouent un rôle déterminant dans la dynamique concurrentielle, au sein AR celle-ci, dans la position privilégiée ARs grands écosystèmes. Dans ce contexte, la probabilité qu’un nouvel acteur puisse être en mesure AR gagner rapiARment ARs parts AR marché apparaît limitée en ARhors d’acteurs d’ores et déjà puissants sur d’autres marchés. Cette probabilité pourrait encore diminuer à mesure que le nombre d’entreprises ayant réalisé leur migration et choisi un écosystème cloud augmente.

303. Enfin, il ressort AR l’instruction que la progression relative ARs hyperscalers soulève ARs inquiétuARs, notamment en termes AR dépendance vis-à-vis AR quelques fournisseurs. Dans le secteur financier par exemple, la BRI s’alarme AR la dépendance accrue ARs établissements bancaires aux grands fournisseurs américains, qui pourrait engendrer ARs vulnérabilités systémiques 224. Cette tendance pourrait concerner AR nombreux secteurs. En effet, aux dires mêmes d’AWS, plus AR 80% ARs entreprises du CAC 40 et plus AR 70% ARs licornes 225 françaises utilisent les services cloud proposés par AWS 226.

304. Face aux risques AR verrouillage, la pression concurrentielle exercée par d’autres fournisseurs pourrait également ARvenir insuffisante. L’étuAR AR marché AR l’ACM confirme également qu’au moins ARux ARs principaux fournisseurs AR services cloud tirent d’importants taux AR marge AR leurs activités AR cloud, ces profits contribuant pour une très large part à leurs profits globaux 227. Ces constats appellent à une vigilance particulière sur l’évolution AR la structure concurrentielle du marché et les pratiques susceptibles d’être mises en œuvre par les fournisseurs AR services cloud.

224 ACs Echos, < Cloud alerte sur la dépendance ARs banques aux géants du web », 21 juillet 2022 (lien).

225 Une < licorne » désigne en économie une entreprise du secteur ARs nouvelles technologies, non cotée en bourse, dont la valorisation atteint au moins un milliard AR dollars (lien).

226 Site AWS, < Amazon Web Services investit en France sur le long terme », 27 septembre 2022 (lien).

227 ÉtuAR AR marché AR l’ACM sur les services cloud précitée, p. 63 (lien) : « au moins ARux grands fournisseurs AR services cloud dégagent ARs marges bénéficiaires élevées, AR sorte que les bénéfices tirés ARs services cloud représentent une part très importante (30 à 40%) ARs bénéfices totaux AR ces granARs entreprises technologiques » (traduction libre).

AC fonctionnement du secteur du cloud

L’Autorité relève que les acteurs américains déjà fortement présents sur d’autres secteurs AR l’économie numérique, tels qu’Amazon, Microsoft ou Google, disposent d’avantages concurrentiels importants en comparaison AR leurs concurrents français ou européens. Ces hyperscalers bénéficient d’une puissance financière considérable, qui leur permet notamment d’effectuer les lourds investissements nécessaires pour lancer ARs activités dans ^s^e^c^t^e^ur ^d^u cloud, tels que les centres AR données ou les infrastructures informatiques. Ils peuvent bénéficier

d’économies d’échelle et AR gammes liées à leurs différentes activités. Ils ont enfin accès à une base AR clientèle leur permettant AR bénéficier d’effets AR réseaux très importants et qui peut leur servir AR levier pour se développer rapiARment dans le secteur du cloud.

Par ailleurs, même si l’ensemble ARs fournisseurs AR services cloud actifs sur le marché français connaissent une forte croissance AR leur activité, les grands écosystèmes d’hyperscalers américains bénéficient AR l’essentiel AR cette croissance, et ont donc augmenté leurs parts AR marché. ACs trois entreprises citées ci-ARssus auraient ainsi capté 80% AR la croissance ARs dépenses en infrastructures et applications AR cloud public en France en 2021. La principale dynamique sur le marché français au cours ARs prochaines années pourrait ainsi être à la poursuite AR la concentration du marché au bénéfice ARs écosystèmes ARs hyperscalers.

ACs différentes définitions ARs services cloud, notamment la distinction entre services IaaS et PaaS selon les fournisseurs, renARnt difficiles la collecte AR données et l’estimation précise ARs parts AR marché. Toutefois, les différentes sources analysées par l’Autorité tenARnt à montrer qu’AWS et Microsoft sont les ARux principaux fournisseurs AR services IaaS et PaaS en France. AWS aurait capté en 2021 près AR la moitié ARs revenus IaaS et PaaS en France (46%), Microsoft en récupérant environ 17 %.

La probabilité qu’un nouvel acteur puisse être en mesure AR gagner rapiARment ARs parts AR marché apparaît limitée s’il n’est pas d’ores et déjà puissant sur d’autres marchés. Cette probabilité pourrait encore diminuer à mesure que le nombre d’entreprises ayant réalisé leur migration et choisi un écosystème augmente. En effet, les grands hyperscalers constitués en écosystèmes bénéficient d’avantages concurrentiels par rapport à ARs fournisseurs proposant ARs catalogues AR services plus restreints et la mise en concurrence conduira généralement à sélectionner un fournisseur qui couvrira l’intégralité du besoin du client, ce qui s’apparente à une concurrence pour le marché plus que sur le marché.

Ces caractéristiques du secteur constituent autant d’éléments favorisant et renforçant la position ARs fournisseurs en place. Ces constats appellent à une vigilance particulière sur l’évolution AR la structure concurrentielle du marché et aux pratiques susceptibles d’être mises en œuvre par les hyperscalers.

III. Analyse ARs marchés pertinents dans le secteur du cloud

305. La définition ARs marchés pertinents constitue la première étape AR l’analyse concurrentielle AR pratiques commerciales ou AR projets d’opérations AR concentration, que ce soit au niveau national ou européen. Comme le rappelle la Commission dans sa proposition AR révision AR sa communication sur la définition du marché en cause aux fins du droit AR la concurrence AR l’Union 228 parue en novembre 2022 (ci-après « la proposition AR communication '>), "

< conformément à la jurispruARnce AR la Cour AR justice ou du Tribunal AR l’Union européenne et à la pratique décisionnelle AR la Commission, le marché en cause au sein duquel la Commission apprécie la dynamique concurrentielle est généralement défini en fonction d’un produit et d’une dimension géographique ».

306. La définition d’un marché pertinent, tant au niveau ARs produits que AR la dimension géographique, doit ainsi permettre AR déterminer s’il existe ARs concurrents, réels ou potentiels, capables AR peser sur le comportement ARs entreprises présentes. Son objectif fondamental reste l’évaluation du pouvoir AR marché ARs différents acteurs en place dans le cadre AR l’examen AR potentielles pratiques anticoncurrentielles et du contrôle ARs concentrations.

307. L’analyse conduite dans le présent avis n’a ainsi pas vocation à tracer AR façon fine les contours ARs marchés pertinents du secteur du cloud, ni à établir les liens qui peuvent exister entre ces marchés.

308. AC secteur du cloud étant un secteur relativement nouveau et toujours en évolution, la pratique décisionnelle dans ce secteur reste encore limitée. En effet, tant au niveau national qu’européen, les décisions comportant ARs éléments relevant du secteur du cloud sont principalement ARs décisions d’autorisation sans condition AR contrôle ARs concentrations et non ARs décisions contentieuses 229. Ces décisions ont une dimension prospective et n’ont pas requis que le marché soit défini AR façon précise.

309. Par ailleurs, le secteur du cloud se distingue par la coexistence, d’une part, d’une granAR hétérogénéité ARs services, ceux-ci allant du service AR stockage AR base à un service spécifique pour un client désireux AR se conformer à ARs obligations réglementaires, d’autre part, d’offres faisant partie d’écosystèmes numériques et d’offres groupées, ce qui peut rendre l’exercice AR délimitation du marché pertinent difficile.

310. En l’espèce, la consultation publique publiée le 13 juillet 2022 230, ainsi que les réponses reçues au cours AR l’instruction, ont permis AR recueillir les informations disponibles sur les marchés pour préciser les différents facteurs quantitatifs et qualitatifs importants du point AR vue AR la ARmanAR et AR l’offre, et d’iARntifier les produits et/ou services cloud pouvant

228 Est toujours en vigueur la communication AR la Commission sur la définition ARs marchés en cause aux fins du droit AR la concurrence AR la communauté (OJ C 3[…], 9.12.1997, p. 5-13), parue en 1997. La communication révisée a été soumise à consultation publique le 8 novembre 2022. Une nouvelle communication ARvrait être adoptée au troisième trimestre 2023.

229 Voir, par exemple, décision AR l’Autorité AR la concurrence n° 19-DCC-259 du 18 décembre 2019 relative à la prise AR contrôle exclusif AR la société Softeam par le groupe La Poste; décision AR la Commission européenne dans l’affaire M. 9205, IBM/Red Hat, 27 juin 2019; décision AR la Commission européenne dans l’affaire M. 8994, Microsoft/Github, 19 octobre 2018; décision AR la

Commission européenne dans l’affaire M. 6921, IBM ITALIA / UBIS.

230 https://www.autoriteARlaconcurrence.fr/fr/article/lautorite-ouvre-une-consultation-publique-dans-le-cadre- AR-son-enquete-sectorielle-sur-le.

100

potentiellement faire partie d’un même marché. Il convient toutefois AR noter que l’Autorité s’appuie sur les données recueillies dans le cadre AR l’instruction du présent avis, qui a été conduite entre janvier 2022 et avril 2023. AC secteur du cloud étant particulièrement dynamique, les développements du présent avis n’ont pas vocation à être figés mais à proposer une méthoAR d’analyse et ARs pistes AR réflexion.

311. Dans un premier temps, l’Autorité propose une grille d’analyse ARs marchés (A) en traitant AR la substituabilité du côté AR la ARmanAR (1) puis AR l’offre (2), qui permettra, dans un second temps, d’envisager ARs segmentations AR marchés dans le secteur du cloud (B).

A. GRILLE D’ANALYSE DES MARCHES PERTINENTS DANS LE SECTEUR

DU X

1. L’ANALYSE DE LA SUBSTITUABILITE DU COTE DE LA DEMANDE

a) Cadre d’analyse

312. Selon la Communication AR la Commission précitée, «le marché AR produits en cause comprend tous les produits que les clients considèrent comme interchangeables ou substituables à celui ou ceux AR la ou ARs entreprises concernées, en raison AR leurs caractéristiques, AR leur prix et AR l’usage auquel ils sont ARstinés, compte tenu ARs conditions AR concurrence et AR la structure AR la ARmanAR et AR l’offre sur le marché » 231 La proposition AR Communication propose en particulier AR prendre en compte les particularités liées au numérique dans l’analyse ARs définitions ARs marchés pertinents.

313. Ainsi, au cas d’espèce, différents produits ou services cloud seront considérés comme concurrents lorsque la capacité ARs clients à les mettre en concurrence (même lorsque les prix, l’innovation ou la qualité ARs produits diffèrent) est telle qu’ils peuvent être considérés comme suffisamment interchangeables et appartenant au même marché AR produits ou services. AC Tribunal AR l’Union européenne a rappelé, dans son récent arrêt Google Android, que «l’interchangeabilité ou la substituabilité ne s’apprécie pas au seul regard ARs caractéristiques objectives ARs produits ou ARs services en cause. Il convient également AR prendre en considération les conditions AR la concurrence et la structure AR la ARmanAR et AR l’offre sur ce marché [voir arrêt du 30 janvier 2020, Generics (UK) e.a., C 307/18, EU:C:2020:52, point 129 et jurispruARnce citée] >>²³²

231 Communication AR la Commission sur la définition du marché en cause aux fins du droit AR la concurrence AR l’Union, point 20 (lien). Voir également l’arrêt du 30 janvier 2020, Generics (UK) e.a., C-307/18, EU:C:2020:52, point 129; et l’arrêt du 13 février […]9, Hoffmann-La Roche/Commission, C-85/76, EU:C:[…]9:36, point 51. Aussi, voir le document AR travail ARs services AR la Commission européenne sur l’évaluation AR la Communication sur la définition du marché publié le 12 juillet 2021 qui prend en compte les nouveaux défis posés par le secteur du numérique (lien). Voir également Commission européenne Communication AR la Commission 2018/C 159/01, lignes directrices sur l’analyse du marché et l’évaluation AR la puissance sur le marché en application du cadre réglementaire AR l’Union pour les réseaux et les services AR communications électroniques.

²³²Arrêt du Tribunal AR l’Union européenne du 14 septembre 2022, Google Android, T-604/18, paragraphe 106

(lien AR l’arrêt et lien du communiqué AR presse).

101

314. En pratique, cette démonstration AR la substituabilité du côté AR la ARmanAR consiste, au cas d’espèce, à iARntifier, dans un premier temps, les plus petits groupes AR produits ou services cloud candidats aux marchés pertinents, autrement dit, à iARntifier les groupes AR substituts les plus proches. Dans un second temps, il convient AR se ARmanARr si les entreprises présentes sur ces plus petits marchés pourraient augmenter leur prix ou plus généralement dégraARr leurs offres, AR manière durable, significative et rentable, ou si cette dégradation conduit une part suffisante AR la ARmanAR à se reporter vers d’autres produits ou services cloud233

b) Une ARmanAR susceptible d’être formulée par charges AR travail

315. ACs autorités AR concurrence ont déjà fait face au défi AR délimiter AR nouveaux marchés pertinents dans ARs secteurs innovants, tels que les télécommunications ou les services informatiques. Ces secteurs ont connu, comme le cloud aujourd’hui, une forte croissance et l’avènement rapiAR AR nouvelles fonctionnalités sur un laps AR temps relativement court. Il a été toutefois possible AR dégager ARs critères d’analyse AR délimitation ARs nouveaux marchés pertinents en prenant en compte, notamment les besoins formulés par les clients.

316. Ainsi, dans un article paru en 1992, un auteur avait indiqué que les marchés dans le secteur ARs télécommunications pourraient être utilement définis selon ARs «< critères AR fonctionnalité ». Selon cet auteur, les services qui satisfont les mêmes besoins du point AR vue ARs consommateurs doivent être regroupés au sein d’un même marché234. En outre, la Commission avait analysé en 1999, dans la décision AR concentration ATT/IBM Global

Network, si ATT aurait été, après l’opération, en position AR limiter la fourniture à ses concurrents AR certains services AR télécommunication, à savoir les niveaux AR services 1

(services AR base tels que les lignes louées locales ou longues distances) et 2 (ajout AR niveaux AR services AR bout en bout, tels que les couches d’interconnexion AR routeurs) 235. Ainsi, la valeur ajoutée ARs services AR télécommunications avait à l’époque pu être iARntifiée comme un critère additionnel AR délimitation AR marchés pertinents.

317. En l’espèce, et sans aller jusqu’à considérer que chaque fonctionnalité (ou valeur ajoutée) délimiterait un marché pertinent, une granAR partie ARs acteurs interrogés ou ayant répondu à la consultation publique ont indiqué qu’ils formulaient leurs ARmanARs auprès ARs fournisseurs par charge AR travail 236, lesquelles consomment ARs services IaaS et/ou PaaS en fonction AR leur architecture. ACs charges AR travail regroupent en effet dans la plupart ARs cas plusieurs catégories AR services cloud, telles que présentées dans le document AR consultation publique publié par l’Autorité en juillet 2022. À ce propos, un hyperscaler soutient que : « les charges AR travail citées au paragraphe 52 AR la consultation publique

[publiée dans le cadre du présent avis] illustrent la manière dont les services cloud peuvent répondre aux besoins ARs clients. Cependant, les besoins ARs clients évoluent constamment et les services choisis pour y répondre peuvent varier d’un client à l’autre ».

318. Même lorsqu’une charge AR travail a été iARntifiée, il existe AR multiples façons d’y répondre avec ARs ARgrés différents AR valeur ajoutée fournie par l’opérateur cloud. Certains

233 Plus AR précisions sont disponibles dans le document AR consultation publique publié le 13 juillet 2022.

234 AN AO, « Value-adARd services – problems of ARfinition and data », Telecommuncations

Policy, Juillet 1992.

235 Aff. n° IV/M.1396, ATT/IBM GN, 22 avril 1999.

236 Sur la définition d’une charge AR travail, voir les développements supra.

102

opérateurs vont proposer un service cloud répondant à une partie du besoin exprimé par les clients, tandis que d’autres vont être capables AR proposer ARs services cloud qui pourraient anticiper la ARmanAR future du client, y compris avec AR nouvelles fonctionnalités, comme, par exemple, passer d’un service IaaS à un service PaaS. Dans ce cas, un marché distinct pourra sans doute être iARntifié seulement lorsque la nouvelle ARmanAR aura pris une forme concrète. D’autres opérateurs vont pouvoir sans difficulté réorienter leur production pour répondre à une charge AR travail spécifique d’un client. Il ressort ARs éléments recueillis au cours AR l’instruction que plus le client recherchera ARs services intégrés, plus il s’adressera aux fournisseurs qui sont en mesure AR couvrir l’ensemble AR ses besoins.

319. Une granAR entreprise cliente AR services cloud indique que l’appel d’offres qu’elle avait passé sur le cloud public (IaaS et PaaS) a permis AR sélectionner ARux fournisseurs à l’issue d’un dialogue impliquant plusieurs candidats autour AR trois thématiques, dont les

< besoins métiers (cas d’usage, réversibilité, architecture, suivi ARs coûts, etc.) ».

320. Ainsi, les charges AR travail pourraient être substituables entre elles lorsqu’elles réponARnt à un même besoin ARs clients. S’il existe ARs offres présentant ARs ARgrés AR valeur ajoutée différents pour une même charge AR travail, la question se pose AR savoir si elles appartiennent à un même marché pertinent. Or, seule une analyse in concreto peut permettre AR déterminer les frontières entre ces différentes charges AR travail.

2. L’ANALYSE DE LA SUBSTITUABILITE DU COTE DE L’OFFRE

321. À cette analyse AR la substituabilité AR la ARmanAR peut s’ajouter une analyse AR la substituabilité du côté AR l’offre.

a) Cadre d’analyse

322. L’analyse AR la substituabilité du côté AR l’offre consiste à apprécier si la plupart ARs fournisseurs AR produits ou services cloud seraient «< en mesure AR réorienter leur production d’un produit à l’autre AR la gamme AR produits connexes, tout en ne supportant que ARs risques ou ARs coûts irrécupérables supplémentaires négligeables, qu’ils aient un intérêt à le faire lorsque les prix relatifs ou les conditions relatives AR la ARmanAR évoluent, et qu’ils puissent en outre effectivement commercialiser ces autres produits à court terme >> . Sel^oⁿ 237

la Communication AR la Commission précitée, «ARs situations AR substituabilité suffisamment forte du côté AR l’offre peuvent généralement se présenter quand ARs 238 Par entreprises commercialisent diverses qualités ou catégories d’un même produit '> exemple, dans l’affaire Oracle/Sun Microsystems, la Commission a envisagé AR délimiter le marché pertinent ARs bases AR données en prenant en compte la substituabilité du côté AR l’offre, ce qui aurait permis d’inclure l’ensemble ARs produits bases AR données dans un même marché 239.

237 Communication AR la Commission sur la définition du marché en cause aux fins du droit AR la concurrence AR l’Union, point 35 (lien).

²³8 Communication AR la Commission sur la définition du marché en cause aux fins du droit AR la concurrence AR l’Union, point 36 (lien).

²³9 Affaire COMP/M.5529, Oracle/Sun Microsystems, 21 janvier 2010, paragraphe 87.

103

323. Ainsi, pour une charge AR travail donnée (qui comprend l’ensemble ARs services associés à cette charge AR travail), il faudra déterminer si les fournisseurs peuvent réorienter leur production sur cette charge AR travail sans coûts supplémentaires substantiels et dans ARs délais courts. La Commission indique, en ce qui concerne les produits réalisés sur mesure 24 que «< lorsque les mêmes fournisseurs sont en mesure AR réagir, et réagissent généralement, en soumettant ARs offres répondant aux exigences AR différents clients, les produits réalisés sur mesure peuvent être inclus dans le même marché AR produits en cause »241. Un hyperscaler soutient «[qu’il] est également possible pour un même client AR recourir à plusieurs fournisseurs AR cloud distincts pour la même charge AR travail, celle-ci étant gérée par différents services offerts par différents fournisseurs AR cloud ». Toutefois, même si

l’appel à plusieurs fournisseurs AR services cloud pour une seule charge AR travail pourrait être en théorie possible, cela reste rare et coûteux pour une entreprise AR procéARr AR cette façon 242

324. Depuis que les services cloud se développent, AR nouveaux produits apparaissent régulièrement, ce qui semble démontrer que les fournisseurs sont capables AR réorienter rapiARment leurs capacités AR développement pour répondre à ARs besoins nouveaux.

325. L’exemple suivant permet d’illustrer ce type AR réorientation du développement AR service par un fournisseur AR services cloud. Un fournisseur AR services IaaS propose ARs machines virtuelles, du stockage en ligne et ARs services AR réseau à ses clients. Ce fournisseur déciAR AR réorienter sa production AR services cloud vers ARs services PaaS. Dans le cadre AR cette réorientation, il développe une plateforme cloud qui offre un environnement AR développement et d’exécution complet pour les applications. Ses clients pourront ainsi développer, déployer et gérer leurs applications sur cette nouvelle plateforme, sans avoir à se soucier AR l’infrastructure sous-jacente. Afin AR procéARr à cette réorientation AR services, le fournisseur ARvra effectuer plusieurs changements, tels qu’investir dans le développement AR nouvelles fonctionnalités et services pour la plateforme PaaS, ou former son équipe interne pour acquérir les compétences nécessaires pour concevoir, développer et maintenir la nouvelle plateforme. Ce fournisseur AR services IaaS, désormais présent aussi sur le PaaS, sera alors plus à même d’offrir une solution intégrée et plus adaptée à la charge AR travail formulée par le client.

326. AC développement AR services PaaS apparaît ainsi facilité par la possibilité AR s’appuyer sur les infrastructures existantes (IaaS). De plus, une partie ARs compétences nécessaires pourrait également être mutualisée. Ce point est confirmé par un hyperscaler, qui considère qu’un acteur peut développer «ses propres services ou AR nouveaux services sur la base AR produits existants. Par exemple, un fournisseur qui offre déjà ARs IaaS, serait en mesure AR développer ARs solutions PaaS relativement rapiARment étant donné la complémentarité ARs produits ». Ainsi, un fournisseur AR services IaaS dispose d’avantages pour se développer dans le PaaS et fournir ARs services intégrés compétitifs. Si cette analyse tend vers une définition AR marchés qui inclurait a priori les seuls fournisseurs AR services cloud proposant

240 Dans le cas ARs produits réalisés sur mesure, ARs produits préexistants sont assemblés. Toutefois, le raisonnement pourrait être le même en ce qui concerne les services cloud.

241 Communication AR la Commission sur la définition du marché en cause aux fins du droit AR la concurrence AR l’Union, point 37 (lien).

242 En tout cas, aucun exemple n’a été porté à la connaissance AR l’Autorité durant l’instruction AR cet avis. Toutefois, certains clients pourraient être tentés AR faire appel à plusieurs fournisseurs AR services cloud pour une seule charge AR travail lorsqu’ils souscrivent à différents services via la place AR marché se trouvant sur le site du fournisseur principal (voir les développements sur les places AR marchés supra).

104

une plus granAR quantité AR services, seule une analyse in concreto permettra AR définir l’exact contour ARs marchés pertinents.

327. Analyser la substituabilité du côté AR l’offre permet donc d’appréhenARr davantage AR produits substituables. Par ailleurs, même s’il n’existait pas AR substituabilité du côté AR

l’offre, l’Autorité pourrait néanmoins tenir compte, au staAR AR l’analyse, ARs pratiques, ARs contraintes concurrentielles exercées par les fournisseurs qui seraient en mesure AR réorienter leur production, sans toutefois remplir strictement les critères d’analyse ARs marchés pertinents.

b) Une définition du marché en présence « d’écosystèmes numériques '>

Prise en compte ARs écosystèmes cloud et hors cloud

328. L’analyse ARs marchés pertinents peut également tenir compte ARs écosystèmes cloud (c’est- à-dire incluant ARs services cloud présents sur différentes catégories du secteur, en ce compris les places AR marché (voir Partie II) 243) ou hors cloud (c’est-à-dire incluant ARs produits ou services connexes du cloud mais qui s’avéreraient nécessaires ou utiles pour lancer une offre cloud 244) AC Tribunal AR l’Union européenne, dans l’arrêt Google Android précité, a en effet récemment souligné « [qu']en présence d’un « écosystème » numérique, qui réunit et fait interagir au sein d’une plateforme plusieurs catégories AR fournisseurs, AR clients et AR consommateurs, les produits ou services qui font partie ARs marchés pertinents qui composent cet écosystème peuvent s’imbriquer ou être connectés les uns aux autres en considération AR leur complémentarité horizontale ou verticale. Pris ensemble, ces marchés pertinents peuvent aussi avoir une dimension globale en considération du système qui en rassemble les composantes et ARs éventuelles contraintes concurrentielles qui s’exercent au sein AR ce système ou en provenance d’autres systèmes » 245

329. La proposition AR Communication précitée précise ainsi que « [1]es écosystèmes numériques peuvent dans certaines circonstances être considérés comme constitués d’un produit AR base primaire et AR plusieurs produits (numériques) secondaires dont la consommation est connectée au produit AR base, par exemple par ARs liens technologiques ou l’interopérabilité. Lorsqu’elle examine les écosystèmes numériques, la Commission peut donc appliquer ARs principes similaires à ceux appliqués aux marchés AR l’après-vente pour définir le ou les marchés AR produits en cause. Lorsque les produits (numériques) secondaires sont proposés AR manière groupée, la Commission peut également évaluer la possibilité que cette offre groupée constitue à elle seule un marché en cause. Bien que tous les écosystèmes numériques ne corresponARnt pas à une approche du marché AR l’après- vente ou du marché groupé, la Commission peut, en tout état AR cause, tenir compte d’éléments tels que les effets AR réseau, les coûts AR changement et les décisions en matière d’hébergement simple et/ou AR multihébergement aux fins AR la définition du ou ARs marchés

243 Pour rappel, l’analyse du fonctionnement du secteur ainsi que le positionnement ARs différents acteurs tend à montrer que certains constituent ARs écosystèmes cloud, soit un ensemble AR services intégrés auxquels peuvent accéARr les clients, comprenant les services propriétaires du fournisseur, mais également, au travers généralement AR places AR marchés mises à disposition, d’un ensemble AR services AR développeurs tiers, conçus pour fonctionner dans cet écosystème.

244 Voir les développements ci-ARssous concernant les marchés connexes.

245 Arrêt du Tribunal AR l’Union européenne du 14 septembre 2022, Google Android, T-604/18, paragraphes 116 et 129 (lien AR l’arrêt et lien du communiqué AR presse).

105

AR produits en cause » 246. ACs auteurs du rapport final AR la Commission sur la politique AR concurrence à l’ère du numérique avaient déjà envisagé une telle définition AR marché en

2019 « lorsque les stratégies AR verrouillage ARs entreprises réussissent, et que les clients ont ARs difficultés à quitter un écosystème numérique, il peut être nécessaire AR définir ARs marchés secondaires spécifiques à l’écosystème >>²⁴⁷

330. Or, il ressort ARs informations recueillies lors AR l’instruction que ARs offres groupées pourraient exister, notamment chez ARs fournisseurs structurés en écosystèmes. Par exemple, un fournisseur AR services PaaS soutient que « le niveau AR granularité proposé [dans le document AR consultation publique] nous paraît excessivement fin, alors que la réalité du marché est une confusion AR la plupart ARs catégories AR services listées au sein ARs mêmes plateformes AR fournisseurs AR cloud, les clients s’attendant à retrouver la plupart AR ces catégories dans une offre unifiée ou à tout le moins centralisée ». En outre, un certain nombre AR services sont interconnectés ou doivent, pour bien fonctionner, être utilisés ensemble (voir Partie II.C.1).

331. Ainsi, les fournisseurs AR services cloud pouvant directement répondre à une ARmanAR d’offres groupées, ou pouvant potentiellement répondre à AR futurs besoins ARs clients en services à valeur ajoutée sans procéARr à AR lourds investissements, pourraient éventuellement être considérés comme concurrents sur un même marché pertinent.

332. Il ressort ARs éléments ci-ARssus qu’il est très difficile AR délimiter clairement une charge AR travail in abstracto. Certains clients vont avoir une ARmanAR spécifique, qui concernera un service particulier, par exemple une base AR données. L’offre AR ce service spécifique concernera l’ensemble ARs fournisseurs AR ce service spécifique. D’autres clients vont formuler une ARmanAR en termes AR charge AR travail qui nécessitera plus AR services cloud se trouvant sur ARs catégories différentes (ARs services IaaS et PaaS par exemple). Dans ce cas, seuls les fournisseurs pouvant répondre à l’ensemble AR cette charge AR travail pourront être considérés comme concurrents. Il est ainsi nécessaire AR prendre en compte, dans l’analyse ARs marchés pertinents dans le secteur du cloud, non seulement la substituabilité du côté AR la ARmanAR, mais également la structure AR l’offre, afin d’iARntifier les concurrents et leur pouvoir AR marché.

333. Par ailleurs, dans le cas ARs écosystèmes cloud, ARux cas pourraient être envisagés :

- soit les services proposés par un fournisseur AR services cloud sont liés entre eux par une interopérabilité, ARs effets AR réseaux, voire ARs coûts AR basculement

(< switching costs ») tels que l’écosystème pourrait constituer un seul marché pertinent. Cela pourrait par exemple être le cas lorsqu’un client va souhaiter faire migrer une charge AR travail déjà présente sur le cloud vers un autre fournisseur AR services cloud;

soit les services proposés par les fournisseurs AR services cloud pourraient répondre chacun à une charge AR travail, auquel cas les fournisseurs AR services cloud structurés en écosystèmes pourraient être considérés comme concurrents sur un seul marché pertinent. Cela pourrait par exemple être le cas lorsqu’un client voudra procéARr au

246 Communication AR la Commission sur la définition du marché en cause aux fins du droit AR la concurrence AR l’Union, point 103 (lien).

²⁴7 Rapport AR Jacques AP, AQ AR AS et AT AU pour la

Commission européenne, Competition Policy for the digital era, Final report 2019, page 4 (lien). Traduction libre.

106

premier achat AR services cloud nécessaires à la migration d’une charge AR travail nécessitant ARs services cloud présents sur plusieurs catégories IaaS/PaaS, voire SaaS.

3. RAPPEL ET ANALYSE DES APPROCHES POSSIBLES FORMULEES DANS LA

CONSULTATION PUBLIQUE

334. Lors AR la consultation publique, les services d’instruction ont envisagé plusieurs marchés pertinents possibles allant du plus restreint au plus large, du type AR service cloud à l’ensemble du marché ARs services informatiques.

335. Tout d’abord, il a été proposé AR définir un marché par type AR services cloud, qui correspondrait par exemple au stockage AR données AR documents ou à un système AR gestion AR bases AR données relationnelles. Ensuite, il était proposé AR délimiter les marchés par catégorie AR services cloud, qui regrouperaient plusieurs types AR services cloud. ACs exemples cités étaient par exemple les analyses AR données, calcul, conteneurs, bases AR données, outils pour développeurs, Internet ARs objets, intelligence artificielle ou l’apprentissage automatique.

336. Dans leurs réponses à cette consultation, certaines entreprises clientes AR services cloud ont indiqué qu’il existerait une certaine substituabilité entre les types AR services cloud, même si l’utilisation AR ces types AR services ne serait pas équivalente. Il en serait AR même pour les catégories AR services cloud, lesquelles sont parfois regroupées au sein d’offres AR services proposées par les fournisseurs. Toutefois, les réponses ARs acteurs à la consultation publique étant très disparates, il n’a pas été possible pour l’Autorité, à ce staAR, d’envisager AR façon plus précise ARs marchés pertinents par type ou catégorie AR services cloud. Cela ne préjuge pas qu’une délimitation plus fine ARs marchés, qui correspondrait à un type ou à une catégorie AR service cloud pourra à l’avenir être retenue par l’Autorité, dans le cadre d’une analyse in concreto d’une pratique ou d’un projet AR concentration.

337. Une segmentation en fonction ARs modèles IaaS/PaaS a également été envisagée. Comme indiqué précéARmment (voir Partie I), l’utilisation AR ces catégorisations permet en effet aux clients d’orienter la discussion sur leurs besoins en termes AR services cloud. En effet, les niveaux AR responsabilités entre les fournisseurs et les clients sur les segmentations IaaS et PaaS sont différents. Toutefois, une telle segmentation ne paraît pas nécessairement pertinente dans la mesure où les frontières entre IaaS et PaaS ne sont pas clairement délimitées.

338. Enfin, certains acteurs, tels qu’Amazon, avaient même proposé AR définir un marché ARs services cloud comme un segment d’un marché plus global ARs services informatiques. Or, les éléments recueillis lors AR l’instruction du présent avis semblent démontrer qu’il existe une ARmanAR spécifique pour ARs services opérés en ARhors AR l’entreprise. La granAR majorité ARs répondants indiquent qu’ils souhaitent ou ont souhaité faire migrer ARs services sur le cloud pour ARs raisons AR flexibilité et d’adaptation à leurs besoins, ce qui n’est pas possible sur site. Par ailleurs, certaines entreprises font le choix AR ne faire migrer qu’une partie AR leurs charges AR travail sur le cloud et AR garARr d’autres services tels que les logiciels sur site, ce qui montrerait que ces ARux moARs AR déploiements sont offerts sur ARs marchés complémentaires et non substituables.

107

B. APPLICATION DE LA GRILLE D’ANALYSE DANS LE SECTEUR DU

339. L’Autorité s’attachera d’abord à proposer une délimitation ARs produits et services dans le secteur du cloud (1) avant d’analyser les délimitations géographiques ARs marchés ainsi envisagés (2).

1. LES MARCHES DE PRODUITS ET DE SERVICES

340. Sur la base AR la grille d’analyse décrite ci-ARssus, l’Autorité formule ARs propositions AR définition possibles AR marchés pertinents dans le secteur du cloud (pour rappel, l’avis analyse le fonctionnement AR la concurrence sur les couches IaaS et PaaS, à l’exclusion AR la couche SaaS), propositions qui ne sont pas exhaustives et sont déterminées à partir ARs informations recueillies dans le cadre AR l’instruction, sur une périoAR délimitée. ACs marchés dans ce secteur sont exclusifs ARs autres marchés AR l’informatique. L’Autorité envisage ensuite d’autres marchés connexes.

a) Propositions AR définitions AR marchés dans le secteur du cloud

341. L’Autorité suggère ci-après d’autres segmentations possibles ARs marchés, d’une part par charges AR travail bénéficiant AR la certification SecNumCloud et d’autre part par secteurs soumis à ARs réglementations spécifiques.

ACs offres < SecNumCloud » susceptibles AR faire l’objet d’une segmentation spécifique

342. L’instruction confirme que les clients peuvent faire appel à ARs offres AR cloud public classiques pour répondre aux besoins AR leurs charges AR travail ou recourir à ARs offres AR services reposant sur ARs exigences plus fortes en matière AR protection AR leurs données. Une segmentation fondée sur le visa AR sécurité SecNumCloud (ou cloud AR confiance, car

l’ANSSI ne semble pas distinguer les ARux appellations 248) pourrait ainsi se justifier si certains critères étaient réunis.

AC recours au référentiel SecNumCloud prévu par la doctrine «< cloud au centre » AR l’État

343. Du point AR vue AR l’analyse ARs marchés pertinents, les autorités AR concurrence examinent si l’existence d’une norme légale ou d’une réglementation spécifique est susceptible d’influencer le comportement AR la ARmanAR, dans la mesure où elle peut influencer le prix ARs produits, leur qualité ou la perception que les ARmanARurs en ont.

344. Comme indiqué précéARmment (voir Partie I), la doctrine «< cloud au centre » prévoit ARpuis mai 2021 que le cloud ARvient dorénavant la méthoAR d’hébergement par défaut pour tous

248 Selon l’ANSSI, « le visa AR sécurité SecNumCloud repose sur un référentiel exigeant […]. Il permet

d’iARntifier ARs offres AR services cloud « AR confiance », c’est-à-dire justifiant d’un haut niveau AR compétence et AR qualité AR service en matière AR cybersécurité, tout en démontrant une protection forte ARs données sensibles » (lien).

108

les services numériques AR l’État 249. Dans ce cadre, la circulaire n° 6282-SG du 5 juillet 2021 prévoit ainsi que les services numériques ARs administrations seront 250

hébergés sur l’un ARs ARux cloud interministériels internes AR l’État ou sur les offres AR cloud proposées par les industriels satisfaisant ARs critères stricts AR sécurité.

345. AC référentiel SecNumCloud développé par l’ANSSI contraint donc la ARmanAR ARs acteurs publics dans la mesure où l’État prévoit, dans certaines conditions, le recours à ces offres pour ses services et les organismes placés sous sa tutelle. La volonté du Gouvernement est d’aller plus loin en incitant les OIV, OSE et les collectivités territoriales à recourir au cloud et à utiliser ARs offres SecNumCloud pour les données sensibles 251. Il ressort également ARs entretiens menés par l’Autorité que plusieurs entreprises privées ou publiques, soucieuses AR protéger leurs données sensibles, sont intéressées par la perspective AR pouvoir recourir à ARs offres répondant aux critères du cloud AR confiance:

87 % ARs répondants au questionnaire adressé par l’Autorité aux clients du secteur du

cloud estiment détenir ARs données sensibles au sens AR la définition donnée par le Gouvernement dans le cadre AR la stratégie nationale pour le cloud 252. Parmi ceux-ci, une entreprise indique qu’elle « attend les offres et services managés AR confiance pour augmenter le périmètre [AR son cloud public] aux donnés sensibles » ; le Cigref, qui regroupe près AR 150 granARs entreprises et administrations publiques

françaises toutes utilisatrices AR systèmes d’information, a ainsi confirmé que le cloud AR confiance répondait à un besoin réel AR ses membres : « le besoin d’un cloud AR confiance disposant d’un large catalogue AR services a été clairement exprimé par les membres du Cigref, afin AR garantir la sécurité AR leurs données sensibles et ARs traitements associés, clarifier le régime juridique auquel elles sont soumises et les préserver ARs législations extra-européennes, et maîtriser leurs dépendances vis-à-vis AR leurs fournisseurs » 253. L’association a par ailleurs publié plusieurs documents AR référence pour faire émerger la doctrine du cloud AR confiance et mettre en cohérence les besoins ARs entreprises et ARs administrations publiques, son ambition étant d’inspirer les différents travaux en la matière, tant au niveau national qu’européen 2[…]

249 https://www.numerique.gouv.fr/espace-presse/le-gouvernement-annonce-sa-strategie-nationale-pour-le- cloud/.

²⁵0 La circulaire n° 6282-SG précise que « si le système ou l’application informatiques manipule ARs données

d’une sensibilité particulière, qu’elles relèvent notamment ARs données personnelles ARs citoyens français, ARs données économiques relatives aux entreprises françaises, ou d’applications métiers relatives aux agents publics AR l’État : l’offre commerciale retenue ARvra impérativement respecter la qualification SecNum Cloud (ou une qualification européenne d’un niveau au moins équivalent) et être immunisée contre toute 251 Dossier AR presse, Stratégie nationale pour le cloud soutenir l’innovation dans le cloud, 2 novembre 2021, réglementation extracommunautaire », pages 10-11.

page 26.

252 Dans le cadre AR la Stratégie nationale pour le cloud, le Gouvernement français qualifie AR sensibles les données relevant notamment ARs données personnelles ARs citoyens français, ARs données économiques relatives aux entreprises françaises et d’applications métiers relatives aux agents publics AR l’État.

²⁵³https://www.cigref.fr/la-strategie-nationale-pour-le-cloud-un-grand-pas-vers-la-maitrise-AR-notre-ARstin- numerique.

2[…] https://www.cigref.fr/le-cigref-publie-son-referentiel-du-cloud-AR-confiance.

109

l’annonce AR la stratégie nationale pour le cloud a d’ailleurs été accueillie positivement par les membres du Cigref, comme le PDG AR TotalEnergies le confirme «[d]ans un contexte marqué par l’émergence AR la cybercriminalité et la montée ARs réglementations extraterritoriales, Total accueille la publication AR la stratégie cloud AR confiance AR l’Etat avec grand intérêt. En effet, elle favorisera l’émergence d’offres AR service qui répondront à ses besoins AR protection technique et juridique AR ses données et permettront AR tirer parti en confiance AR la révolution numérique au service AR la transition énergétique >>²⁵⁵

346. Cette nouvelle doctrine commence à avoir ARs effets sur le marché. Un hyperscaler confirme ainsi avoir reçu plusieurs ARmanARs d’arrêts AR projets émanant AR ministères ou d’entités publiques sous tutelle, ces ARrniers attendant les futures offres SecNumCLoud répondant à leurs besoins.

La recherche pour certains clients d’un niveau élevé AR sécurité AR leurs données et surtout d’une immunité contre les lois extra-européennes qui ne leur semble pas garantis par les offres non qualifiées SecNumCloud

347. Aujourd’hui, la majorité ARs clients hébergent leurs données sensibles dans le cloud. D’après la Cloud Security Alliance, une association chargée AR faire la promotion ARs meilleures pratiques AR sécurité au sein du cloud, 89 % ARs entités interrogées hébergent leurs données sensibles ou leurs charges AR travail sur le cloud, avec une proportion AR 67 % sur le cloud public et 45% sur le cloud privé 256 (une entreprise pouvant potentiellement héberger ARs données sensibles sur le cloud public et le cloud privé). L’instruction AR l’Autorité a également montré que le cloud public constitue, pour certaines entreprises, un modèle AR déploiement efficace et présente ARs garanties qu’elles estiment suffisantes en termes AR sécurité, notamment en matière AR chiffrement.

348. Pour d’autres entreprises néanmoins, les offres AR cloud public existantes ne seraient pas substituables du point AR vue AR la ARmanAR avec les offres «< cloud AR confiance ». L’instruction a montré que la certification SecNumCloud était attractive en raison notamment ARs législations extraterritoriales jugées très intrusives sur les données stockées et traitées dans le cloud. Plusieurs répondants à la consultation publique ou au sondage en ligne AR l’Autorité confirment en effet que les offres « cloud AR confiance >> leur permettraient AR positionner AR nouvelles charges AR travail sur le cloud public :

- un client indique ainsi que la sécurité ARs données et la protection AR la souveraineté ne sont pas actuellement suffisamment assurées par les offres ARs hyperscalers. L’apparition ARs nouvelles offres SecNumCloud, lui permettra potentiellement AR positionner AR nouvelles charges AR travail sur un cloud public; un autre client indique qu’aujourd’hui sa stratégie est AR minimiser ce qu’il est nécessaire AR faire basculer dans le cloud public et AR ne pas lui confier AR données sensibles. À terme, 40% AR ses applications pourraient être confiées à ARs fournisseurs AR services cloud répondant aux exigences du cloud AR confiance et environ 20% à ARs fournisseurs AR services cloud public classique.

²⁵⁵https://www.cigref.fr/la-strategie-nationale-pour-le-cloud-un-grand-pas-vers-la-maitrise-AR-notre-ARstin- numerique.

256 Cloud Security Alliance, Sensitive data in the cloud, 7 décembre 2022 (lien).

110

349. Ces caractéristiques ARvraient être prises en compte afin AR déterminer si les offres SecNumCloud peuvent être distinguées d’autres offres non certifiées.

Des prix plus élevés

350. ACs fournisseurs AR services cloud semblent anticiper ARs prix plus élevés pour les solutions

< cloud AR confiance », AR l’ordre AR 20% selon certains articles AR presse 257. Des acteurs du secteur relèvent en effet que la norme SecNumCloud justifierait AR revoir l’architecture existante, AR former le personnel à cette technologie et AR consacrer un budget annuel spécifique pour maintenir l’intégrité du système en place.

351. S’il était avéré, un tel différentiel AR prix ARvrait également figurer parmi les éléments à prendre en compte dans le cadre AR l’appréciation d’une éventuelle segmentation du marché.

La substituabilité du point AR vue AR l’offre

352. La mise en place d’une offre qualifiée SecNumCloud requiert ARs adaptations juridiques et ARs investissements conséquents pour les fournisseurs AR services cloud.

353. Comme indiqué précéARmment (voir encadré SecNumCloud), le référentiel SecNumCloud 3.2 délivré par l’ANSSI contient en effet désormais ARs dispositions relatives à la protection contre le droit extra-européen. Cette protection repose notamment sur l’assurance que

l’infrastructure AR cloud sera exploitée par une société soumise exclusivement aux lois AR l’Union européenne et sur le cloisonnement AR l’environnement informatique qualifié

SecNumCloud. La mise à jour du référentiel nécessite donc ARs adaptations juridiques conséquentes pour les hyperscalers qui ont dû créer AR nouvelles structures entièrement contrôlées par ARs tiers. La mise en place d’une infrastructure séparée du cloud public AR ces hyperscalers avec un contrôle local sera également nécessaire, ce qui entraînera ARs coûts en termes AR mise à jour et AR maintenance.

3[…]. Même si certains fournisseurs AR services cloud AR taille plus moARste remplissent AR fait certaines ARs conditions du référentiel, compte tenu notamment AR leur nationalité, il n’en ARmeure pas moins que la qualification SecNumCloud requiert ARs investissements techniques conséquents afin AR respecter les exigences nécessaires en matière AR sécurité. Certains fournisseurs AR services cloud indiquent ainsi ne pas souhaiter solliciter la certification AR l’ANSSI afin AR se consacrer davantage au développement AR leur activité dans le secteur, notamment par le biais AR l’innovation.

355. Une éventuelle segmentation fondée sur ARs offres SecNumCloud pourrait donc être envisageable sous réserve d’une appréciation in concreto AR l’ensemble ARs éléments précéARnts. À l’avenir, d’autres certifications pourraient faire l’objet AR raisonnements comparables.

Une segmentation par secteur peu envisageable aujourd’hui

356. Une segmentation du marché en fonction du secteur concerné du côté AR la ARmanAR pourrait se justifier si les clients considéraient que les produits et/ou services cloud dont ils ont besoin

257 https://www.forbes.fr/technologie/systemes-dinformation-faut-il-tout-miser-sur-le-cloud-AR-confiance/.

111

n’étaient pas substituables avec les produits et/ou services cloud proposés à d’autres 258 secteurs

357. Certains secteurs sont ainsi soumis à un haut niveau d’exigence technologique et réglementaire.

358. Ainsi, le coAR AR la santé publique (article L. 1111-8) impose aux fournisseurs AR services hébergeant certains types AR données AR santé protégées d’obtenir une certification HDS (voir Partie I.B.c.). La question d’une segmentation entre fournisseurs certifiés HDS et fournisseurs non certifiés HDS pourrait donc se poser.

359. La certification HDS fournit un cadre permettant AR renforcer la sécurité ARs données AR santé protégées. Pour obtenir la certification HDS, les fournisseurs doivent se conformer à une liste détaillée d’exigences pour les activités AR mise à disposition AR locaux d’hébergement physique et d’infrastructure matérielle et/ou les activités AR mise à disposition

^d'ⁱⁿ^f^r^a^s^t^r^u^c^t^u^re virtuelle, AR ^mⁱ^se à disposition AR plateforme logicielle, d’administration/exploitation et AR sauvegarAR externalisée 259. Ils doivent également être certifiés ISO 27 0001. Toutefois, il ressort AR l’instruction que l’ensemble ARs fournisseurs 260 AR services cloud sont hébergeurs certifiés HDS, ^m^aⁱs pas nécessairement pour l’ensemble ARs activités couvertes par cette certification par exemple, Scaleway est titulaire AR la certification uniquement pour «la mise à disposition et le maintien en condition opérationnelle AR l’infrastructure matérielle du système d’information utilisé pour le traitement AR données AR santé »²⁶¹

360. AC secteur financier est également soumis à ARs exigences réglementaires élevées qui pourraient justifier, le cas échéant, une segmentation spécifique. Celles-ci requièrent notamment la mise en place AR conditions contractuelles particulières comme la mise en œuvre d’un droit d’audit effectif ainsi que l’application AR plans AR continuité AR l’activité et AR plans AR réversibilité. AC règlement DORA, renforce les règles en matière AR gestion ARs risques liés aux nouvelles technologies dans le secteur financier en prévoyant la mise en place AR clauses contractuelles spécifiques et un cadre AR supervision ARs prestataires tiers, dont feraient partie les fournisseurs AR services cloud.

361. Il ressort toutefois AR l’instruction que les clients actifs dans ARs secteurs réglementés ne semblent pas rechercher ARs produits ou services cloud spécifiques à leurs secteurs dans le catalogue ARs fournisseurs AR services cloud, comme l’a confirmé un client actif dans le secteur AR la santé. Ses attentes portent davantage sur la facilité avec laquelle il pourrait changer AR fournisseur et sa capacité à recueillir un grand volume AR données.

362. Ce constat est confirmé par les fournisseurs AR services cloud. Ceux-ci indiquent en effet offrir leurs produits ou services cloud à l’ensemble AR leurs clients, quel que soit le secteur où ils interviennent. ACs clients peuvent donc déciARr AR souscrire à ARs produits spécifiques,

258 Dans certaines décisions relatives à ARs services informatiques, ARs segmentations AR marché ont pu apparaître en fonction AR l’activité ARs clients. Par exemple, le Conseil AR la concurrence avait considéré

l’existence d’un marché ARs progiciels AR gestion intégrée à ARstination ARs professions comptables libérales lors AR l’examen d’une concentration (Conseil AR la concurrence, avis n° 05-A-24). En outre, la Commission avait iARntifié, sans toutefois se prononcer définitivement, un marché ARs logiciels gestion AR la relation clients en fonction du secteur d’activité du client (affaire COMP/M8274 Cinven/Permira/Allegro/Ceneo du 21 décembre 2016).

²⁵9 https://esante.gouv.fr/labels-certifications/hds/certification-ARs-hebergeurs-AR-donnees-AR-sante.

260 https://esante.gouv.fr/offres-services/hds/liste-ARs-herbergeurs-certifies.

261 https://esante.gouv.fr/offres-services/hds/liste-ARs-herbergeurs-certifies (consulté le 6 avril 2023).

112

développés par exemple pour les entreprises AR santé et AR sciences AR la vie ou à ARs services combinés par le client comme ARs «modules AR construction » ARstinés à répondre à ARs besoins professionnels ou techniques spécifiques. Dans le secteur financier, un hyperscaler confirme que «si on est une banque et que l’on a besoin d’une fonctionnalité AR reconnaissance AR caractères sur un chèque, par exemple, cette fonction est intégrée et proposée en standard dans la catégorie ARs services qui font appel à l’IA. Cette application développée sur le cloud ne va pas être développée que dans cet objectif donc, pour constituer une application complète, l’entreprise va être dans une logique AR « menu chinois » pour répondre à ses besoins métiers client ».

363. Une segmentation en fonction ARs secteurs ne semble donc, pour l’instant, pas pertinente. Il n’est toutefois pas exclu qu’une telle segmentation puisse être envisageable à l’avenir en fonction AR l’évolution ARs exigences réglementaires.

b) ACs marchés connexes possibles

364. Comme développé précéARmment (voir Partie I), il existe, au sein AR la chaîne AR valeur du cloud, d’autres produits et services ne constituant pas ARs services cloud à proprement parler, mais qui interagissent avec eux, en amont ou en aval AR cette chaîne AR valeur. Ces produits et services peuvent alors faire l’objet d’une délimitation AR marché distincte mais connexe aux services cloud étudiés.

365. Un marché connexe est défini par la pratique décisionnelle comme un marché présentant ARs liens AR connexité avec le ou les marché(s) pertinent(s) étudié(s) et qui doit être pris en compte au titre AR l’analyse ARs effets congloméraux d’une opération AR concentration ou d’une pratique anticoncurrentielle 262. En particulier, il est intéressant AR noter que, dans le secteur du cloud, plusieurs produits ou services se trouvant sur d’autres marchés que ceux du cloud peuvent servir AR leviers à certains acteurs pour conquérir et consoliARr une clientèle sur les marchés ARs services cloud (voir Partie IV).

366. En l’espèce, l’Autorité examine trois types AR marchés connexes à ceux relatifs à la fourniture AR services cloud : le marché ARs services AR colocation dans ARs centres AR données (a), les marchés ARs logiciels (b) et les marchés AR l’intermédiation du conseil et AR

l’intégration AR solutions cloud (c). Cela n’exclut pas que d’autres marchés connexes puissent être iARntifiés lors AR l’analyse AR cas qui pourraient se présenter dans le secteur du cloud.

AC marché ARs services AR colocation dans ARs centres AR données

367. La pratique décisionnelle, tant européenne que nationale, distingue le marché ARs services AR colocation dans les centres AR données ARs autres services informatiques 263. À ce titre, la Commission rappelle que les centres AR données sont ARs installations dédiées dans

262 Voir notamment la décision AR l’Autorité n 09-DCC-28 du 30 juillet 2009 relative à la prise AR contrôle exclusif AR la société POWEO par la société Österreichische Elektrizitätswirtschafts – Aktiengesellschaft, paragraphe 27. Selon la cour d’appel AR Paris, ARux marchés distincts sont susceptibles d’avoir un lien AR connexité étroit « soit parce qu’ils sont en amont ou en aval les uns ARs autres, soit parce qu’ils concernent ARs prestations similaires, à défaut d’être complètement substituables » (arrêt AR la 1ère Chambre – Section H du 31 mars 2009, 2008/11353, page 10).

263 Voir la décision AR la Commission COMP/M.7678 du 13 novembre 2015, Equinix/Telecity, notamment reprise par la décision AR l’Autorité n° 19-DCC-259 du 18 décembre 2019 relative à la prise AR contrôle exclusif AR la société Softeam par le groupe La Poste, paragraphes 32 à 37.

113

lesquelles les entreprises hébergent et exploitent ARs équipements informatiques prenant en charge leur activité (serveurs et stockage AR données, par exemple). ACs clients ARs centres AR données paient ARs frais récurrents pour la location d’espace dans le centre AR données afin d’installer leur équipement informatique, ainsi que pour l’utilisation AR l’énergie du bâtiment. Ce type AR services est généralement appelé «< services AR colocation '> car plusieurs clients utilisent le même centre AR données.

368. La Commission a exclu du marché ARs services AR colocation les centres AR données dits

< intégrés » («< in-house data centers»), c’est-à-dire ceux qui sont exclusivement utilisés pour les besoins AR l’entreprise à laquelle ils appartiennent, compte tenu ARs différences AR prix et AR caractéristiques entre les centres AR données intégrés et les centres AR données en colocation 264, ces ARrniers permettant AR mutualiser et d’optimiser l’allocation ARs ressources (serveurs et autres composants physiques).

369. ACs informations recueillies dans le cadre du présent avis conduisent aux mêmes conclusions: les services AR colocation offerts par les exploitants AR centres AR données et les services fournis par les fournisseurs AR services cloud n’apparaissent pas substituables. En effet, si certains fournisseurs AR services cloud construisent leurs propres centres AR données, ces ARrniers sont utilisés pour leurs propres besoins, c’est-à-dire pour fournir ARs services cloud à leurs clients, et non pour louer ARs emplacements à d’autres fournisseurs AR services cloud.

370. ACs offres ARs fournisseurs AR services cloud et ARs exploitants AR centres AR données sont donc distinctes car elles ne réponARnt pas à la même ARmanAR. Un fournisseur AR services PaaS précise par exemple à propos AR la substituabilité entre les services proposés respectivement par un exploitant AR centre AR données et par un fournisseur AR services cloud que « la substitution n’est pas possible si le service recherché par le client est une solution logicielle visant à simplifier son utilisation ARs infrastructures cloud (par ex. une location AR serveurs dans une baie d’un data center, que le client ARvra configurer et administrer lui-même, n’est pas substituable à une solution AR type PaaS ». Toutefois, le marché AR la colocation AR centres AR données pourrait constituer un marché connexe puisqu’il se situerait en amont ARs prestations AR services cloud offertes par les fournisseurs AR services cloud.

ACs marchés ARs logiciels

371. Il ressort AR l’instruction que les marchés ARs logiciels, AR par leurs liens avec les services cloud, pourraient être considérés comme ARs marchés connexes susceptibles d’être pris en compte pour l’analyse concurrentielle dans le secteur du cloud.

3[…]. Comme indiqué précéARmment (voir Partie II.C.1), la pile technologique comprend la couche matérielle (serveurs, unités AR stockage ARs données et ordinateurs personnels directement utilisés par les employés AR l’entreprise) et les couches logicielles (système d’exploitation, base AR données, logiciels médiateurs et applications logicielles

d’entreprise) 265

²⁶4 Décision AR la Commission COMP/M.7678 du 13 novembre 2015, Equinix/Telecity, paragraphe 16, reprise par la décision AR l’Autorité n° 19-DCC-259 du 18 décembre 2019 relative à la prise AR contrôle exclusif AR la

^s^o^cⁱ^é^té ^S^o^f^t^e^am par ^le groupe La Poste, paragraphe 35.

265 Affaire n° COMP/M.5529, Oracle/ Sun Microsystems, paragraphes 24 et 29. La Commission avait également envisagé une segmentation du marché en fonction ARs secteurs d’activité auxquels ces logiciels étaient ARstinés ainsi qu’en fonction ARs utilisations finales AR ces logiciels (au titre AR la segmentation par utilisations finales, la Commission a notamment étudié séparément les marchés ARs logiciels haut AR gamme,

114

373. L’Autorité, dans une décision AR 2012, avait indiqué que « l’ensemble ARs couches AR la pile technologique constituent ARs éléments indispensables au fonctionnement d’une installation informatique AR toute entreprise. En outre, seule leur interopérabilité permet leur fonctionnement conjoint ». L’Autorité concluait que «< dès lors, le caractère indispensable AR l’interopérabilité entre les différents éléments constitutifs d’une installation informatique atteste AR l’existence d’un lien AR connexité étroit entre les marchés AR produits liés aux différentes couches AR la pile technologique »>²⁶⁶

374. Avant le développement ARs services cloud, les logiciels AR la pile technologique étaient installés sur site, sur les propres serveurs ARs entreprises clientes et distribués sous forme AR licences (perpétuelles ou renouvelables) par les éditeurs AR logiciels. Avec l’essor du cloud, ces logiciels sont également accessibles à la ARmanAR, sous forme AR services cloud. Dans ce cas, ils sont distribués sous forme AR produits PaaS (comme certains logiciels AR base AR données d’Oracle), ou, plus souvent, SaaS (comme la suite Microsoft 365). ACurs moARs AR déploiement ont donc évolué au sein ARs entreprises. À ce propos, la Commission, dans une décision AR concentration avait laissé ouverte la question d’une segmentation plus fine du marché ARs logiciels AR gestion AR la relation client en fonction ARs moARs AR déploiement, plus précisément entre l’installation sur site ou chez un hébergeur (en moAR SaaS) 267.

[…]. La connexité entre les marchés ARs logiciels et les marchés du cloud a été par ailleurs relevée dans un rapport publié en octobre 2021 pour le compte AR l’association CISPE (Cloud Infrastructure Services ProviARrs in Europe). Ce rapport avait iARntifié certains produits logiciels < adjacents » aux services cloud 268. Il soulignait que ces logiciels pouvaient être acquis via ARs solutions PaaS ou SaaS intégrées mais aussi séparément puis intégrés à une solution d’infrastructure cloud existante. Or, certains logiciels sont nécessaires à la fourniture AR services cloud et les entreprises déjà présentes historiquement dans le secteur ARs logiciels sur site seraient donc avantagées dans la fourniture AR ces logiciels sur le cloud.

376. ACs éditeurs AR logiciels sont en effet ARs entreprises telles que Microsoft, IBM ou Oracle qui sont aujourd’hui ARs acteurs prépondérants du cloud. ACs différentes couches technologiques étant caractérisées par ARs liens d’interopérabilité forts rendant l’ensemble AR ces marchés connexes entre eux, une entreprise en position dominante sur un AR ces marchés pourrait utiliser son pouvoir AR marché pour exclure ses concurrents actuels ou potentiels ARs autres marchés, en particulier ARs marchés du cloud. En effet, ARs éléments comme la compatibilité, l’interopérabilité ou le niveau d’intégration pourraient influencer AR manière importante les choix ARs clients pour ARs services cloud.

377. Il apparaît ainsi que les marchés ARs logiciels doivent faire l’objet d’une vigilance particulière AR la part ARs autorités AR concurrence, au regard notamment AR leurs relations avec les marchés ARs services cloud. En particulier, ARs effets AR levier pourraient émerger

milieu AR gamme et bas AR gamme (décision AR la Commission COMP/M.6237 du 20 juin 2011, Computer Sciences Corporation/iSoft Group, paragraphe 22). Voir également, à ce sujet, les décisions COMP/M.5763 du 29 mars 2010, Dassault Systèmes/IBM DS PLM Software Business et COMP/M.5904 du 20 juillet 2010,

SAP/Sybase).

266 Décision n° 12-D-01 du 10 janvier 2012 relative à une ARmanAR AR mesures conservatoires concernant ARs pratiques mises en œuvre par les sociétés Oracle Corporation et Oracle France, points 15 et 16.

267 Affaire n° COMP/M.8274, CINVEN / PERMIRA / ALLEGRO / CENEO, 21 décembre 2016, paragraphe 42.

268 AV AW, < Cloud Infrastructure Services: An analysis of potentially anti-competitive practices », octobre 2021, paragraphe 23.

115

sur les marchés du cloud AR par la position dominante AR certains acteurs du logiciel également présents sur les marchés du cloud, ce qui aurait pour effet d’exclure les fournisseurs AR services cloud absents AR ces marchés connexes (voir Partie IV).

AC marché AR l’intermédiation du conseil et AR l’intégration AR solutions cloud

378. Comme évoqué précéARmment (voir Partie I), les fournisseurs AR services cloud peuvent conclure directement un contrat avec leurs clients finaux ou bien passer par un intermédiaire, qu’il soit physique ou virtuel, pour vendre leurs services. Ces intermédiaires ont donc un rôle AR prescripteurs d’offres cloud. Ces ARrnières années, AR nombreux marchés AR l’intermédiation sont apparus dans le domaine du numérique 269. Or, les marchés AR l’intermédiation dans le secteur du cloud sont intéressants à analyser dans la mesure où les entreprises présentes sur ces marchés le sont également sur les marchés du cloud.

379. Dans le cadre du présent avis, l’Autorité envisage l’existence d’un marché du conseil et AR

l’intégration AR solutions cloud. Cela n’exclut pas que d’autres marchés AR l’intermédiation dans le secteur du cloud puissent exister ou être envisagés.

380. Lorsqu’un client souhaite acheter ARs services cloud, il peut le faire en passant directement par le fournisseur, ou en ARmandant à ARs intermédiaires AR l’accompagner dans ses démarches. Ces intermédiaires sont ARs professionnels AR l’informatique qui se chargent d’intégrer plusieurs services cloud aux systèmes d’information ARs clients. ACs ESN 270 ^oⁿ^t la capacité AR conseiller leurs clients sur les solutions cloud à envisager, AR conseiller leurs fournisseurs sur la meilleure façon AR satisfaire les clients, AR se charger ARs services

d’implémentation (y compris AR l’intégration), AR personnaliser et développer une solution adaptée aux besoins particuliers d’un client ou encore d’opérer en tant que revenARurs AR solutions cloud, en vue AR conclure éventuellement ARs accords AR partenariat avec les fournisseurs AR services cloud. Ces services sont les mêmes que lorsque ces entreprises AR conseil accompagnent l’intégration ARs logiciels d’applications d’entreprise. Cette ARrnière situation a déjà été étudiée par la Commission²71.

381. Ainsi, ces intégrateurs ne fournissent pas directement AR services cloud à leurs clients mais, à la différence ARs fournisseurs AR services cloud, sont capables AR proposer une large palette AR services provenant AR multiples fournisseurs. Certains intégrateurs se définissent d’ailleurs comme neutres en matière ARs fournisseurs AR services cloud, en mettant en avant leurs partenariats avec l’ensemble ARs principaux fournisseurs AR services cloud en Europe. En outre, certains clients qui s’adressent à un fournisseur AR services cloud sont à un staAR très avancé AR leur réflexion et savent déjà AR quels services spécifiques ils ont besoin, tandis que les intégrateurs interviennent plus en amont dans la définition ARs besoins AR clients moins rompus aux sujets AR cloud.

382. Il ressort AR l’instruction que la ARmanAR AR services d’intégration ou AR conseil par ARs tiers concerne dans la plupart ARs cas ARs entreprises AR granAR taille qui souhaitent faire migrer une partie ou l’ensemble AR leurs charges AR travail sur le cloud. Du côté AR l’offre, certains

269 Voir, par exemple, la décision AR la Commission AT.40411 du 20 mars 2019, Google Search (AdSense), qui distingue un marché ARs services d’intermédiation pour la vente AR publicité en ligne, et la décision AR l’Autorité n° 21-D-11 du 7 juin 2021 relative à ARs pratiques mises en œuvre dans le secteur AR la publicité sur Internet, qui iARntifie l’existence d’un marché ARs plateformes AR mise en vente d’espaces publicitaires en ligne non liés aux recherches.

270 Voir Partie I.C pour leur présentation

271 Voir la décision AR la Commission COMP/M.3216 du 26 octobre 2004, Oracle/PeopleSoft, paragraphes 53 et […].

116

fournisseurs AR services cloud proposent ces services d’accompagnement et d’intégration (comme Microsoft), tandis que d’autres n’en proposent que très peu (comme AWS). Toutefois, il est dans tous les cas techniquement possible pour un tiers d’intégrer ARs solutions cloud proposées par un fournisseur AR services cloud.

383. Un fournisseur AR services cloud résume la situation AR la façon suivante : « la plupart ARs fournisseurs d’infonuagique ne proposent pas réellement AR services AR conseil et d’accompagnement accessibles à tous leurs clients. Même les formations sont en général proposées par ARs tiers (par exemple la formation la plus connue AR certification AWS est proposée par UARmy). AWS a plutôt tendance, pour l’instant, à s’appuyer sur ARs tiers quelle que soit la taille du client. Pour Microsoft c’est différent. Ils ont historiquement une division s’occupant ARs grands comptes et vont donc les accompagner dans leurs offres Cloud.

Cependant il est tout à fait possible pour ARs tiers AR les remplacer, c’est l’avantage ARs APIs, les fonctionnalités possibles sont parfaitement décrites dans leur documentation. C’est d’ailleurs un levier AR croissance très important pour les ESN (qui accompagnent), les ISV

[éditeurs AR logiciels indépendants] (qui fournissent ARs outils) et les infogéreurs (qui exploitent), dans les années à venir ».

384. Toutefois, si le fournisseur AR services cloud propose l’accompagnement ou l’intégration AR services cloud à un client souhaitant faire migrer ses charges AR travail sur le cloud, ce fournisseur, comme Microsoft, proposera l’intégration AR ses propres solutions cloud. En revanche, les entreprises tierces soit seront neutres via à vis ARs fournisseurs AR services cloud, soit auront conclu ARs partenariats avec certains fournisseurs AR services cloud afin AR proposer en priorité leurs solutions. ACs intégrateurs agissent ainsi parfois en tant que revenARurs ou prescripteurs AR services cloud sans se limiter à un seul fournisseur AR services cloud, mais pourraient également être influencés par les partenariats qu’ils auraient mis en place avec certains fournisseurs AR services cloud. L’Autorité restera donc vigilante à leur égard, ce rôle AR prescription pouvant être déterminant sur le marché (voir Partie IV).

385. Au vu AR ce qui précèAR, il pourrait donc être envisagé AR définir un marché pertinent AR l’intermédiation du conseil et AR l’intégration AR solutions cloud.

2. LES MARCHES GEOGRAPHIQUES DANS LE SECTEUR DU X

386. Comme le rappelle le Tribunal AR l’Union européenne dans l’affaire récente Google

Android, < dans sa dimension géographique, le marché pertinent correspond au territoire au sein duquel les conditions AR concurrence sont similaires et constituent un tout suffisamment homogène pour être considéré globalement et permettre d’apprécier le jeu AR la puissance économique AR l’entreprise concernée (voir, en ce sens, arrêt du 14 février […]8, United Brands et United Brands Continentaal/Commission, 27/76,

EU:C:[…]8:22, points 11, 44, 52 et 53) »2[…]. AC marché ainsi défini peut être distingué AR zones géographiques voisines parce que, en particulier, les conditions AR concurrence y diffèrent AR manière appréciable.

387. ACs éléments recueillis au cours AR l’instruction conduisent à envisager ARs marchés géographiques dont les contours seraient par exemple déterminés par ARs critères AR souveraineté, d’utilisation ARs données ou AR latence.

2[…] Arrêt du Tribunal AR l’Union européenne du 14 septembre 2022, Google Android, T-604/18, paragraphe 107 (lien AR l’arrêt et lien du communiqué AR presse).

117

388. Ainsi, les marchés tels qu’envisagés plus haut n’auraient a priori pas tous les mêmes dimensions géographiques. Par exemple, une charge AR travail non soumise à ARs besoins AR certification SecNumCloud, pourrait avoir une dimension européenne, voire mondiale, tandis qu’une charge AR travail nécessitant un haut ARgré AR sécurité (utilisant par exemple ARs données militaires ou bancaires) pourra avoir une dimension restreinte au territoire national ou européen. ACs offres cloud AR confiance sont spécifiques à la France et pourraient conduire à une délimitation plus fine du marché dans l’attente d’une certification à l’échelle européenne (voir Partie I). La nécessité AR se conformer au RGPD pourrait également justifier une délimitation nationale ou européenne ARs marchés. Un grand groupe présent dans le secteur AR la granAR distribution indique ainsi que «le choix s’effectue sur ces fournisseurs AR cloud disposant d’infrastructures en Europe, essentiellement pour ARs raisons AR réglementation sur les données personnelles et AR minimisation ARs risques géopolitiques ».

389. La langue pourrait également constituer un critère AR distinction géographique. Par exemple, une entreprise publique considère que « les marchés pertinents ARvraient être délimités au niveau national et européen. Si techniquement, la technologie attachée au Cloud ARvrait permettre d’opérer à distance permettant ainsi d’effacer toute barrière géographique, en réalité, il est nécessaire pour une réussite commerciale et afin AR répondre à ARs besoins linguistiques AR disposer AR moyens humains (commerce et support) dans les pays ciblés. ACs marchés pourraient ainsi être considérés AR taille nationale ». Cela pourrait être le cas par exemple du marché du conseil et AR l’intégration AR solutions cloud tel qu’envisagé ci-ARssus.

390. En outre, les clients recherchent ARs fournisseurs AR services cloud disposant d’un centre AR données dans la zone géographique AR leurs propres clients finaux, à l’échelle nationale ou continentale. En effet, c’est la proximité du centre AR données qui détermine la latence bidirectionnelle qui correspond à l’aller-retour d’une instruction (accès à une interface AR programmation commanAR logicielle, transfert AR données). Ainsi, la dimension géographique pourra dépendre ARs contraintes techniques et fonctionnelles ARs clients, mais également ARs besoins AR réseau.

Analyse ARs marchés pertinents dans le secteur du cloud

L’Autorité constate que la formulation ARs besoins ARs clients en services cloud pourrait s’effectuer par «< charges AR travail », ce qui correspond à l’ensemble ARs ressources informatiques ou ARs processus métier répondant à un besoin ou objectif spécifique du client. S’il existe ARs offres avec ARs ARgrés AR valeur ajoutée différents pour une même charge AR travail, l’analyse AR leur substituabilité ARvra forcément se faire in concreto. Il serait en outre nécessaire AR prendre en compte, dans la définition ARs marchés pertinents, la structure AR l’offre. En particulier, il pourrait être envisagé AR tenir compte ARs écosystèmes cloud ou hors cloud dans l’analyse ARs marchés pertinents.

Une segmentation fondée sur la certification SecNumCloud pourrait par ailleurs être envisagée. En effet, la doctrine «< cloud au centre », publiée le 17 mai 2021, prévoit désormais que le cloud ARvienne la méthoAR d’hébergement par défaut AR tous les services numériques AR l’État. Dans ce cadre, la circulaire n° 6282-SG du 5 juillet 2021 précise que les services numériques ARs administrations seront hébergés sur l’un ARs ARux cloud interministériels internes AR l’État ou sur les offres AR cloud proposées par les industriels satisfaisant ARs critères stricts AR sécurité. L’autorité nationale en matière AR sécurité et AR défense ARs systèmes d’information (ANSSI) a ainsi élaboré en 2016 le référentiel SecNumCloud pour permettre la qualification AR prestataires AR services d’informatique en nuage.

118

L’Autorité pourrait ainsi prendre en compte l’ensemble ARs circonstances AR l’espèce, comme l’existence AR fonctionnalités, les différenciant d’offres non certifiées ou un éventuel différentiel AR prix, dans le cadre AR l’appréciation d’une éventuelle segmentation du marché.

En revanche, une segmentation en fonction ARs secteurs d’activité ne semble pas, pour l’instant, pertinente.

L’Autorité a enfin analysé trois types AR marchés connexes: le marché ARs services AR colocation dans ARs centres AR données, les marchés ARs logiciels sur site, sur lesquels certaines entreprises présentes sur les marchés du cloud sont également actives et les marchés AR l’intermédiation du conseil et AR l’intégration AR solutions cloud. Il apparaît que ces marchés, et notamment ceux ARs logiciels, ARvraient faire l’objet d’une particulière vigilance AR la part ARs autorités AR concurrence, concernant notamment leurs relations avec les marchés ARs services cloud. En particulier, ARs effets AR levier pourraient jouer sur les marchés du cloud, compte tenu AR la position dominante AR certains acteurs du logiciel également présents sur le cloud.

IV. ACs risques concurrentiels relevés dans le secteur du cloud

391. Au regard du fonctionnement ARs marchés, AR leur importance pour l’économie et ARs potentiels avantages concurrentiels AR certains acteurs, il apparaît primordial qu’une concurrence par les mérites s’exprime pleinement dans le secteur du cloud. Ainsi, l’Autorité a analysé différentes pratiques mises en œuvre ou susceptibles d’être mises en œuvre dans ce secteur qui pourraient restreindre la concurrence.

392. Plusieurs risques concurrentiels ont été iARntifiés sur la base AR cette analyse. Au-ARlà AR défaillances AR marché qui peuvent être iARntifiées (voir Partie VI), certains risques soulèvent ARs problématiques transversales, dans la mesure où ils affectent globalement la concurrence du secteur (A). D’autres s’inscrivent davantage dans ARs scénarios spécifiques (B), avec ARs risques iARntifiés lors AR la primo-migration vers le cloud et en cas AR migration d’un fournisseur AR services cloud à un autre. Un ARrnier scénario examine les risques liés aux freins à l’expansion ARs concurrents ARs hyperscalers.

^A. DES RISQUES CONCURRENTIELS TRANSVERSAUX

393. ACs risques mis en éviARnce par l’instruction sont liés au déséquilibre ARs relations entre les hyperscalers et leurs clients notamment (1) ainsi qu’aux pratiques développées par les hyperscalers en matière AR crédits cloud et d’egress fees (2).

119

1. LE DESEQUILIBRE DES RELATIONS ENTRE LES HYPERSCALERS ET LEURS CLIENTS

a) ACs clients, même grands comptes, ont une capacité limitée AR négociation ARs contrats

^s^aⁿ^s394. La création AR compte et la signature du contrat s’effectuent généralement en ligne 273, possibilité AR négociation (voir Partie I.D). Seuls les grands comptes ont une certaine marge AR négociation, quoique limitée. Un client constate ainsi «< que AR nombreuses clauses ARs contrats ARs hyperscalers ne sont pas négociables ». Un autre indique que « les contrats ARs fournisseurs AR produits et/ou services cloud sont ARs contrats génériques et non personnalisés ».

395. Peu AR clients d’envergure mondiale peuvent signer un contrat contenant ARs clauses négociées, qu’il s’agisse ARs prix, ARs obligations règlementaires, ARs ristournes ou ARs autres éléments financiers. Un client grand compte indique à ce sujet que «[1]es pratiques ne sont pas uniformisées et vont relever du cas par cas en fonction du prestataire. Dans les relations avec les hyperscalers – notamment américains – il est globalement plus difficile AR négocier les conditions ». Il ajoute que « les fournisseurs AR IaaS / PaaS sont pour le moment plus incitatifs dans leurs propositions. En effet, ils souhaitent inciter un maximum AR clients potentiels à se tourner vers eux. Ils présentent donc ARs solutions avec ARs prix d’appel partiels et bon marché ».

396. Mais même les grands comptes ont ARs difficultés à négocier, ce qu’a confirmé une association d’entreprises, qui constate que quelle que soit «leur taille, les entreprises ont peu AR marge AR manœuvre vis-à-vis ARs grands fournisseurs ». L’incertituAR sur la consommation future ARs services cloud empêche par ailleurs les clients AR s’engager fermement sur un volume défini et négocié en avance. Or, c’est généralement par ce biais que les clients peuvent ARmanARr à bénéficier AR réductions tarifaires. Pour cette raison, le principe général AR tarification ARs services cloud reste le paiement à l’usage.

397. Dans son rapport AR mai 2021, le Haut Comité Juridique AR la Place Financière AR Paris soulignait ainsi le déséquilibre important ARs relations contractuelles entre les fournisseurs AR services cloud et leurs clients, en faveur ARs premiers, « en raison AR leur puissance économique et AR leur expertise technologique », ce qui crée « une double asymétrie entre ces prestataires et leurs clients »274. Même ARs clients importants, comme les banques par exemple, seraient désavantagés dans les négociations : « dans ce contexte, le rapport AR force contractuel est parfois susceptible AR déséquilibre entre les prestataires AR cloud et les banques, et ces ARrnières peuvent éprouver ARs difficultés à négocier l’inclusion AR certaines stipulations contractuelles répondant aux exigences réglementaires notamment en matière

^d'^e^x^t^e^rⁿ^a^lⁱ^s^a^tⁱ^on » 5. Ce déséquilibre résulterait notamment du fait que AR fortes barrières 275

à l’entrée et/ou à l’expansion rendraient ces acteurs « AR facto incontournables » 276.

273 Contrat disponible sur ce lien. En outre, les contrats standards AR «< service level agreement » (SLA) sont disponibles sur ce lien.

274 Haut Comité Juridique AR la Place Financière AR Paris, « Rapport sur le Cloud bancaire : état ARs lieux et propositions »>, mai 2021, page 22.

275 Haut Comité Juridique AR la Place Financière AR Paris, « Rapport sur le Cloud bancaire état ARs lieux et propositions »>, mai 2021, page 23.

276 Haut Comité Juridique AR la Place Financière AR Paris, « Rapport sur le Cloud bancaire : état ARs lieux et propositions »>, mai 2021, page 23.

120

398. ACs fournisseurs AR services cloud peuvent, en plus, parfois modifier unilatéralement les clauses au cours ARs contrats. Certains acteurs indiquent que les clauses ainsi modifiées seraient relatives aux objets suivants : «< amoindrissement ARs obligations fournisseurs via

URL, changement AR la hiérarchie contractuelle par défaut, changement ARs habilitations d’engagement financier, etc ». Ainsi, certains fournisseurs pourraient modifier l’étendue AR leurs obligations initialement prévues AR façon unilatérale et via un renvoi vers une simple adresse AR site Internet. Un client grand compte a également indiqué avoir subi une augmentation tarifaire substantielle AR la part AR son fournisseur, sans obtenir AR justification.

399. Au-ARlà AR cette difficulté générale à négocier les conditions contractuelles avec les hyperscalers, l’instruction a montré une difficulté pour les clients à anticiper les coûts futurs.

b) Une difficulté pour les clients à anticiper les coûts futurs compte tenu AR la complexité ARs offres et du manque AR lisibilité ARs tarifs

400. Il ressort AR l’instruction menée dans le cadre AR cet avis que les clients auraient ARs difficultés à anticiper leurs coûts futurs, au moment AR contracter, notamment en raison AR la complexité ARs offres et du manque AR lisibilité ARs tarifs. Certains fournisseurs qui bénéficient déjà ARs avantages décrits précéARmment (forte capacité d’investissement, structures en écosystème et/ou conglomérale etc.) (voir Partie II), pourraient ainsi être incités à rendre moins lisibles leurs tarifs et/ou à proposer ARs offres intégrées aux clients AR manière non transparente, ce qui aurait pour effet d’augmenter artificiellement les prix et AR rendre captifs ces clients sur leur environnement cloud.

401. Tout d’abord, il ressort AR l’instruction que les clients n’auraient pas accès à l’information selon laquelle certains services seraient en réalité complémentaires, conduisant à ce que plusieurs services soient en fait consommés et donc vendus ensemble. AWS indique par exemple que certains services sont vendus conjointement parce qu’un service vise à améliorer la fonctionnalité AR l’autre, à l’instar d’Amazon EMR vendu avec certains services AR calcul (ex Amazon EC2, Amazon EKS, AWS Outposts, Amazon EMR Serverless). Cette complémentarité peut être justifiée d’un point AR vue technologique mais les informations concernant le lien entre ces services apparaissent peu transparentes,

l’information donnée ne permettant pas toujours AR prendre en compte le fait qu’ils nécessitent l’utilisation AR services connexes. Un client donne ainsi comme exemple un service AR calcul qui impose l’utilisation AR services réseau complémentaires. Or, les tarifs AR ces services connexes ne sont pas clairement indiqués par certains fournisseurs.

402. Ensuite, en raison AR l’opacité ARs tarifs ou en tout cas AR leur manque AR clarté (voir supra), les fournisseurs pourraient avoir une incitation forte à renforcer leur attractivité en mettant en avant ARs gains AR court terme pour les clients, tout en assurant leur rentabilité au moyen AR conditions d’usage à moyen et long terme. C’est le cas par exemple lorsque les fournisseurs proposent ARs services groupés comprenant notamment AR nombreux services « gratuits » mais liés à ARs achats sous-jacents et complémentaires d’une manière moins facile à décrypter par les clients 277. Une fois les relations établies, les fournisseurs pourraient

²⁷7 ACs informations recueillies lors AR l’instruction tenARnt à montrer que plusieurs fournisseurs proposent par exemple ARs services gratuits en-ARçà d’un certain niveau AR consommation («free tier ») (voir par exemple l’offre gratuite d’AWS (lien), certains services réseau, transfert AR données interne, etc.) mais également pour certains ARs services complémentaires (accompagnement à la migration, interventions d’experts en architecture ou sécurité, journées AR formation, services AR support, etc.). Ces services peuvent être mis en avant pour attirer

121

être incités à proposer ARs tarifs élevés sur les produits à forte valeur ajoutée tout en rendant la concurrence pour la nouvelle ARmanAR la moins contestable possible, en ARhors AR leur propre environnement. Un client indique ainsi que « les fournisseurs AR produits IaaS ou PaaS offrent ARs catalogues AR services très importants et tentent AR rendre captifs leurs clients en leur proposant ARs fonctionnalités AR haut niveau (AR niveau plateforme par opposition au niveau élémentaire) qui n’existent pas chez les concurrents. Il s’agit d’une démarche commerciale par construction d’offres incluant ARs services AR très haut niveau ».

403. Par conséquent, cette situation entraîne un déséquilibre dans les relations entre d’une part les fournisseurs, et notamment les hyperscalers, qui disposent AR catalogues particulièrement variés et attractifs, et d’autre part les clients primo-migrants, qui n’ont pas, au moment du choix AR leur fournisseur, une réelle visibilité ni sur les services qu’ils utiliseront à l’avenir, au-ARlà AR premiers cas d’usage comprenant ARs services relativement simples (par exemple, du stockage ou AR la capacité AR calcul) ni sur l’ampleur AR leur consommation. Or, l’achat AR services AR cloud se fait dans une certaine incertituAR sur les coûts encourus pour les achats futurs AR services complémentaires aux services achetés.

404. Ainsi, le déséquilibre ARs relations entre les hyperscalers et leurs clients comporte ARs risques concurrentiels, dans la mesure où ce déséquilibre pourrait être exploité par les hyperscalers AR façon à attirer les clients vers leurs offres, verrouiller ARs marchés ou exclure certains fournisseurs, en augmentant les barrières à l’expansion pour AR plus petits acteurs.

2. LES CREDITS X ET LES EGRESS FEES

405. ACs crédits cloud (a) et les egress fees (b), dont les principes ont été présentés précéARmment

(voir Partie I.D), constituent ARux pratiques qui ont été analysées en profonARur par l’Autorité. Il en ressort qu’aussi bien prises séparément que considérées conjointement (c), ces pratiques doivent faire l’objet d’une surveillance renforcée car elles illustrent la capacité ARs hyperscalers à mettre en place à leur propre avantage ARs pratiques différenciées AR celles ARs autres fournisseurs et peuvent limiter la concurrence pour les charges AR travail ARs entreprises utilisant déjà les infrastructures AR ces hyperscalers. Des mesures ARstinées à encadrer ces pratiques sont d’ailleurs en cours AR discussion au sein AR l’Union européenne ainsi qu’au niveau français (voir Partie I et Partie VI).

a) ACs «< crédits cloud '>>

406. Pour rappel, les crédits cloud sont ARs offres d’essai qui prennent la forme d’allocations AR services proposées par un fournisseur, octroyant un accès gratuit à un client dans un délai défini. En pratique, à la différence d’un essai gratuit, il s’agit d’une somme à dépenser sous forme AR crédit sur facture octroyé avant usage. (voir Partie I).

407. L’Autorité a relevé, dans son avis n° 23-A-05 précité, que les crédits cloud sont susceptibles d’engendrer ARs gains d’efficience pour AR nombreuses entreprises. Ils représentent tout d’abord un moyen AR faciliter le basculement ou l’accès au cloud ARs clients pour lesquels l’incertituAR quant à l’adéquation du service à leurs besoins représenterait un frein. Un fournisseur indique à ce titre : « ACs crédits permettent d’attirer vers le cloud ARs clients qui n’en ont pas fait l’expérience en rendant facile une expérimentation ARs services cloud avec

les clients, mais nécessiter en réalité l’achat AR services spécifiques ou pour un certain volume, qui assurent en réalité la rémunération du fournisseur. Cette problématique rejoint celle exposée pour les crédits cloud (voir infra).

122

ARs risques limités [..], AR rendre les services cloud plus abordables pour ARs types spécifiques AR clients et d’encourager ARs clients existants à essayer AR nouveaux services et technologies ». D’autre part, faire le choix AR basculer vers le cloud peut engendrer ARs coûts élevés et il pourrait donc être plus efficace d’un point AR vue global que les fournisseurs participent au financement AR cette migration, s’ils en ont les capacités. À ce titre, les offres AR crédits cloud semblent particulièrement utiles au développement ARs startups, puisqu’elles leur permettent un accès facilité et peu coûteux aux technologies du cloud, lesquelles sont souvent indispensables à leur croissance.

408. L’Autorité considère que les crédits cloud offerts sous forme AR tests ne paraissent pas soulever a priori AR risques concurrentiels mais que ceux offerts sous forme AR programmes d’accompagnement pourraient faire l’objet d’une attention particulière.

409. Pour les crédits cloud offerts sous forme AR tests, un client explique que « le montant AR ces crédits ne sert pas à faire AR la production. Il permet simplement aux opérationnels AR tester AR nouvelles solutions » et ainsi «< ne représente[raie]nt pas une barrière à l’entrée du marché » à long terme. Un hyperscaler confirme à ce titre qu’un crédit AR quelques centaines AR dollars < représente un montant très faible par rapport aux coûts du cloud et est conçu principalement pour permettre aux clients d’essayer [le produit/service] et AR voir s’il répond à leurs besoins ».

410. Pour les crédits cloud offerts sous forme AR programmes d’accompagnement, les volumes totaux AR crédits accordés et les durées d’utilisation sont à la fois conséquents et disparates entre fournisseurs, ce qui peut soulever ARs inquiétuARs. ACs hyperscalers affirment faire un usage proportionné ARs crédits cloud au bénéfice du client, lui permettant AR tester à moindre coût différentes fonctionnalités avant AR faire un choix. À l’inverse, les fournisseurs autres que les hyperscalers dénoncent l’importance ARs crédits cloud proposés par les hyperscalers, sur lesquels ils considèrent ne pas être en mesure AR s’aligner, ce qui constitue selon eux, une entrave au bon fonctionnement du marché.

²⁷⁸411. On peut s’interroger sur la capacité d’un fournisseur concurrent « aussi efficace »2 que ^l^e^s entreprises qui proposent ARs crédits cloud à entrer ou à se maintenir AR manière rentable sur ce marché (ou un marché connexe), compte tenu du montant ARs crédits cloud proposés par les hyperscalers et ARs investissements requis relativement lourds pour AR plus petits fournisseurs. Autrement dit, il s’agirait AR s’interroger sur la capacité ARs crédits cloud, associés à ARs investissements conséquents, à représenter ARs barrières à l’entrée ou à l’expansion pour ARs entreprises au moins aussi efficaces. Cette question doit s’apprécier au regard AR différents effets économiques à l’œuvre sur ce marché, notamment AR taille et AR gamme.

La présence d’effets d’échelle et AR gammes

412. À l’instar AR certaines industries, le marché du cloud ne se développe qu’au prix AR lourds investissements (voir Partie II). S’intéresser à la capacité d’un concurrent à entrer sur le marché, c’est d’abord s’interroger sur le volume minimal nécessaire AR clientèle (économies

d’échelle) pour qu’un acteur émerge puis se maintienne (horizon temporel AR rentabilité) et à l’influence ARs programmes AR crédits sur cette masse critique nécessaire et cet horizon AR rentabilité. ACs programmes AR crédits cloud visent en effet ARs clients au moment où ils font ARs choix structurants AR long terme. AC déséquilibre d’attrait ARs offres entre fournisseurs

«prive[rait] les fournisseurs AR moindre importance d’un accès équitable au marché ARs

²⁷8 < Aussi efficace » en termes AR coûts variables.

123

startups en création ou en amorçage AR croissance ». Une portion AR la clientèle ne serait ainsi pas accessible aux plus petits acteurs, limitant l’entrée et l’expansion ARs concurrents. Par conséquent, les programmes AR crédits ARs hyperscalers peuvent conduire à accroître l’horizon temporel nécessaire pour que l’activité d’un fournisseur AR services cloud concurrent puisse être rentable.

413. En outre, la présence d’acteurs comme les hyperscalers, actifs sur différents marchés connexes du numérique (cloud et logiciels AR bureautique par exemple) nécessite AR s’interroger sur la capacité ARs programmes AR crédits à lier la consommation AR produits et services d’un même fournisseur sur différents segments AR marché, au sein d’une offre diversifiée.

414. ACs effets d’échelle et AR gammes dépenARnt également AR la capacité financière du fournisseur et AR la rentabilité ARs offres AR crédits. Selon un hyperscaler, les revenus futurs engendrés par les crédits cloud accordés aux clients sont bien supérieurs à leur coût initial. Il affirme ainsi que les programmes AR crédits seraient < rentables et génèreraient dans leur ensemble un retour sur investissement positif à moyen terme (généralement trois ans), voire

à plus court terme ». Il n’est toutefois pas certain qu’un nouvel entrant dans le secteur du cloud aussi efficace, en termes AR coûts variables, que les hyperscalers, mais ne bénéficiant pas ARs mêmes effets d’échelle et AR gamme que les fournisseurs déjà installés, puisse rentabiliser en si peu AR temps une telle politique commerciale AR rabais.

Impossibilité AR répliquer à l’iARntique les offres AR crédit cloud

415. Si les hyperscalers sont en capacité d’offrir ARs programmes AR crédits généreux, les fournisseurs autres que les hyperscalers, AR taille plus moARste, ne sont pas toujours en mesure AR les concurrencer (voir Partie I). Par exemple les pure players font face à ARs contraintes financières plus importantes qui pourraient être AR nature à les empêcher AR répliquer les offres AR crédits. Comme le rappelle l’Autorité dans son avis n° 23-A-05 précité, «Ces formes AR crédits pourraient, s’ils sont le fait d’entreprises en position dominante, au-ARlà d’une éventuelle capture ARs clients au sein d’un seul environnement cloud, avoir ARs effets potentiellement anticoncurrentiels, notamment sur les plus petits fournisseurs qui ne pourraient pas répliquer ces offres AR manière rentable. Ils sont donc susceptibles d’augmenter les barrières à l’expansion AR fournisseurs concurrents, sous réserve AR gains d’efficience ou AR justifications objectives » 279.

416. Selon un fournisseur, le déséquilibre concurrentiel actuel viendrait d’une différence

d’échelle entre les acteurs car «plus l’acteur est puissant, plus il disposera d’un volume mobilisable pour offrir ARs crédits. Ce volume mobilisable est en effet intimement lié, pour ARs raisons techniques, à la taille AR l’acteur puisqu’il va dépendre du pourcentage

d’occupation AR son infrastructure ». Ce constat est partagé par certains clients. L’un d’entre eux souligne ainsi que «les hyperscalers sont en capacité AR dégager ARs crédits

< facilement » compte tenu AR leur taille, ce que ne pourrait pas faire un nouvel entrant ».

417. Il ressort ainsi AR la consultation publique que AR nombreux fournisseurs ne sont pas en mesure AR s’aligner sur les montants AR crédits cloud proposés par les acteurs les plus gros, ce qui serait source d’une perte importante AR clientèle potentielle. Ce point est contesté par un hyperscaler, selon lequel il n’y aurait aucun problème concurrentiel car « l’offre AR crédits cloud par les fournisseurs est une pratique commerciale courante dans le secteur du cloud, et les montants ARs crédits [qu’il propose] sont limités et comparables à ceux proposés par

279 Avis n° 23-A-05 précité, paragraphe 57.

124

la concurrence ». Cependant, si les montants ARs offres ARs crédits cloud sont souvent relativement comparables entre hyperscalers, ils peuvent être jusqu’à dix fois supérieurs à ce qui est proposé par AR plus petits fournisseurs et il ressort AR l’instruction que nombre AR ces ARrniers, soit ne proposent pas AR crédits cloud, soit rencontrent ARs difficultés à proposer ARs crédits comparables à autant AR clients (voir Partie I.D). D’après un fournisseur AR services cloud, les crédits cloud proposés aux startups par les hyperscalers sont ARs

< distorsions AR concurrence car il est impossible pour ARs petits ou même ARs moyens opérateurs AR s’aligner ». Un autre affirme qu’il s’agit d’une «barrière à l’entrée financière » car «< il est très difficile voire impossible pour les acteurs plus moARstes AR proposer les mêmes montants ». Un autre, enfin, indique que « d’importants montants AR crédits cloud sont souvent exigés par les clients que nous contactons, qui nous ARmanARnt AR nous aligner avec les pratiques commerciales ARs leaARrs du marché, ce qu’un petit fournisseur est financièrement dans l’incapacité AR faire ». Si certains fournisseurs, autres que les hyperscalers, réussissent à s’aligner sur les montants facials ARs crédits cloud offerts par les hyperscalers, ils ne seraient toutefois probablement pas à même AR les offrir au même nombre AR clients.

418. Il ressort AR l’instruction que, dans certains cas, les crédits cloud sont accordés aux clients conditionnellement à ARs engagements ou ARs volumes d’achats conséquents. C’est par exemple le cas ARs programmes «Activate », à ARstination ARs startups, et AR

< Migration Acceleration » tous ARux proposés par AWS. Ces programmes AR crédits auraient ARux justifications pour les hyperscalers. D’une part, ils contribueraient à répercuter les économies AR coûts réalisées par les fournisseurs pour ARs quantités plus importantes et moins incertaines AR consommation réalisées dans le secteur du cloud. D’autre part, ils seraient un moyen d’accorARr ARs remises permettant AR compenser les coûts AR migration d’un client qui déplacerait ses charges AR travail ARpuis leurs installations sur site ou d’un fournisseur AR services cloud précéARnt vers ses produits et ses services. Cela pourrait ainsi contrebalancer les coûts du transfert ARs données ou AR la formation ARs équipes ARs clients sur les nouveaux produits et services proposés par le fournisseur. Certains fournisseurs justifient ainsi l’existence ARs crédits cloud comme « une forme AR remises parmi d’autres », à l’image AR ce qui observé et «< largement accepté dans beaucoup AR secteurs » .

419. Plusieurs clients considèrent les crédits cloud comme un élément AR réduction du prix. Ainsi, selon l’un d’entre eux, ce qui compte ce « n’est pas le mécanisme AR réduction AR prix utilisé (crédits cloud ou autre), mais la réduction globale du coût unitaire (en prenant en compte tous les mécanismes AR réduction AR prix à appliquer sur le prix initial du fournisseur qui lui ne fait pas l’objet AR négociations) ». Pour un autre, «c’est l’ensemble ARs efforts commerciaux »>, dont font partie les programmes AR crédits cloud, qui sont pris en compte dans son choix.

420. Une différence importante avec la pratique ARs remises fidélisantes généralement observée par l’Autorité² résiAR dans le fait que les crédits cloud permettent la consommation 280

totalement gratuite du bien ou du service. Dans une situation dans laquelle un problème AR contestabilité AR la ARmanAR serait iARntifié, il s’agirait donc d’un cas extrême AR remises fidélisantes portant sur la totalité ARs volumes et du prix facturé, voire d’une pratique AR prédation.

280 Par exemple, décisions n° 16-D-11, 15-D-20 et 09-D-04.

125

AC crédit cloud dans une stratégie AR verrouillage AR la clientèle

421. L’octroi AR crédits cloud pourrait s’inscrire dans une stratégie plus globale AR verrouillage AR la clientèle. En effet, les crédits cloud sont réservés à l’utilisation ARs produits et services du fournisseur concerné pendant une périoAR qui peut aller jusqu’à ARux ans et ce, dans un contexte AR freins techniques et tarifaires à la migration (voir infra – b). Ainsi, pour un fournisseur, «les crédits cloud n’ont pas uniquement pour fonction AR permettre AR tester leur plateforme ou AR compenser ARs coûts AR migration, mais bien d’acheter leur clientèle et AR verrouiller le marché ». ACs coûts financiers AR changement associés aux investissements spécifiques effectués par les clients préalablement attirés par ARs volumes AR crédits disproportionnés, enfermeraient ensuite ces ARrniers dans l’écosystème ARs grands fournisseurs. Un client constate ainsi qu'«< une fois un fournisseur AR cloud choisi, une entreprise doit investir pour que cela fonctionne et pouvoir utiliser le cloud. Il n’est donc pas aisé d’investir ensuite à nouveau pour changer AR fournisseur ». Pour un client, le coût AR changer AR fournisseur après avoir fait usage ARs crédits offerts serait proportionnel à l’investissement réalisé et dépendrait donc à la fois du montant et AR la durée ARs crédits proposés.

422. Cette stratégie suscite les inquiétuARs AR certains fournisseurs. Ceux-ci craignent notamment ne pas avoir accès aux entreprises perçues comme stratégiques en raison AR leur haut potentiel AR développement et d’innovation, comme les startups, ou que le choix ARs clients soit faussé. En effet, les crédits cloud encourageraient « les utilisateurs à choisir ARs services cloud non pas sur la base AR critères objectifs liés à leurs besoins, mais uniquement en fonction du nombre AR crédits qui leur sont accordés ». Il ressort également AR l’instruction que les granARs entreprises semblent moins sensibles et dépendantes aux programmes AR crédits cloud que les start-ups. Ainsi, l’une d’entre elles indique que « ces crédits […] sont relativement limités et ne pèsent pas dans le choix final du fournisseur ». Une autre déclare que < si les crédits cloud représentent une partie ARs remises consenties, ils ne constituent cependant pas le point essentiel AR [son] choix AR cloud ».

423. Ainsi, même si les crédits cloud sont susceptibles d’engendrer ARs gains d’efficience pour AR nombreuses entreprises, ils doivent faire l’objet d’une attention particulière. ACs montants élevés parfois proposés, le vaste écosystème d’entreprises qu’ils concernent, leur durée AR validité et les risques AR verrouillage décrits plus haut les distinguent significativement ARs essais gratuits qui peuvent être traditionnellement observés dans d’autres industries, et soulèvent ARs doutes quant à la capacité AR tous les fournisseurs AR services cloud à les répliquer.

b) ACs frais liés au trafic sortant (< egress fees » 281)

424. Comme vu précéARmment (voir Partie I), plusieurs hyperscalers ont mis en place un modèle AR fourniture AR services cloud, fondé notamment sur la facturation, aux clients, du volume AR données sortant AR leur environnement («< egress only pricing moARl »). Ces transferts externes AR données peuvent aller du centre AR données dudit fournisseur vers le centre AR données d’un autre fournisseur AR services cloud en cas d’utilisation multi-cloud qui

²⁸¹< Egress '> signifiant en anglais l'«< action AR sortir ou AR quitter un endroit » (source: Oxford languages).

126

nécessite ARs transferts AR données 282 ou AR migration définitive vers cet autre fournisseur.

Ils concernent également les transferts AR données vers les installations sur site AR l’entreprise cliente en cas d’une utilisation hybriAR 283 ou d’un rapatriement définitif ARs 284 données sur site ou vers ses utilisateurs finaux dans le cadre AR ses opérations courantes

425. Il ressort AR l’instruction que les hyperscalers reportent une proportion importante AR leurs coûts sur ces egress fees (facturation « à la sortie » ARs coûts liés aux centres AR données, aux serveurs, aux fibres optiques et à la banAR passante, etc.). Or en réalité, ces nombreux coûts sont communs aux différents services d’un fournisseur AR services cloud. Ils pourraient donc être tout autant couverts par les tarifs du stockage ou du calcul qui sont par nature plus prévisibles puisque indépendants du trafic, contrairement aux egress fees dont la structure AR prix est proportionnelle au volume AR données transférées. Ainsi, les clients n’ont pas la possibilité d’anticiper en amont un besoin futur en trafic AR données et les egress fees sont aujourd’hui un défi pour les clients qui souhaiteraient faire migrer ARs charges AR travail ARpuis les environnements AR leurs primo-fournisseurs lorsque ces ARrniers en facturent, et pour ceux qui souhaiteraient mettre en place une architecture multi-cloud intégrée plutôt que cloisonnée en silos 285. Ce schéma tarifaire permet par ailleurs AR réduire prima facie le prix ARs services cloud (i.e., stockage, puissance AR calcul, etc.) pour les clients qui choisissent leur premier fournisseur AR services cloud.

Des craintes AR verrouillage et ARs difficultés exprimées par les clients notamment pour anticiper les coûts

426. Ainsi que le confirme la très granAR majorité ARs parties prenantes interrogées, la facturation AR ces frais sur le trafic sortant, en augmentation significative compte tenu ARs volumes circulants AR données AR plus en plus importants, comporte un risque AR verrouillage ARs clients et, partant, pourrait avoir ARs conséquences négatives directes sur le potentiel AR croissance à long terme ARs entreprises clientes.

427. En premier lieu, celles-ci appréhenARnt difficilement, lorsqu’elles contractent avec leur fournisseur AR services cloud, leurs besoins futurs AR transfert AR données. D’une part, les egress fees, en raison notamment AR leur structure AR prix proportionnelle au gigaoctet transféré sont, malgré la publication AR grilles tarifaires, difficile à anticiper. ACs clients sont donc dans l’incapacité AR prévoir les frais encourus. D’autre part, le développement du marché du cloud s’inscrit encore aujourd’hui dans un contexte AR primo-migration ARs entreprises françaises au ARmeurant plus lente en France que dans le reste AR l’Europe (voir supra). Ainsi, au moment AR ce choix, AR nombreux clients, dont le déploiement sur le cloud public reste encore limité, ne sont pas nécessairement dans l’optique d’un changement futur AR fournisseur ou du déploiement d’une architecture multi-cloud, et accorARnt donc relativement plus AR poids au coût à court terme que représentent les frais ARs différents services cloud (à savoir, entre autres, les services cloud AR stockage, AR puissance AR calcul, etc.).

282 Ce serait par exemple le cas d’une entreprise, dont les données sont hébergées chez un fournisseur AR services cloud A, qui chercherait à utiliser les services d’analyse (analytics) d’un fournisseur AR services cloud B.

283 Consommation concomitante AR services AR cloud public et AR services sur site (on-premise ou cloud privé).

284 Ce serait par exemple le cas d’un service AR streaming dont le contenu est hébergé sur le cloud.

285 Compte tenu notamment AR l’existence AR tels frais AR transfert, les utilisations multi-cloud actuellement déployées se limitent à celles qui nécessitent, en silos, très peu d’échange AR données.

127

428. AC déport d’une partie importante du coût du réseau sur les egress fees permet alors au fournisseur AR services cloud AR réduire le prix AR ces offres. Il permet donc, associé à l’octroi AR crédits cloud sur ces mêmes services, AR proposer ARs conditions contractuelles particulièrement attractives, que ARs fournisseurs alternatifs plus petits ne peuvent répliquer

(voir supra), à ARs entreprises clientes qui appréhenARnt difficilement l’enjeu à terme ARs frais AR sortie sur leur modèle d’affaires.

429. Pour ces raisons, les clients mettent peu en concurrence les différents fournisseurs sur le niveau AR leurs egress fees.

430. En second lieu, les clients AR services cloud, confrontés à ARs egress fees importants en cas AR migration AR données, seront incités à rester avec leur fournisseur d’origine. Ainsi, une entreprise qui a déjà fait migrer une première charge AR travail sur les infrastructures d’un hyperscaler supportera d’importants egress fees si elle la fait migrer ARpuis son primo- fournisseur vers un autre fournisseur. De la même manière, cette même entreprise s’exposera à d’importants frais AR transfert AR données si elle fait migrer les charges AR travail suivantes vers d’autres fournisseurs et développe une architecture multi-cloud nécessitant ARs échanges AR données entre charges AR travail. Autrement dit, ces frais, dans leur structure actuelle, peuvent soulever un risque AR verrouillage AR la clientèle en rendant plus difficile pour les clients AR quitter leur primo-fournisseur mais également AR recourir à plusieurs fournisseurs à la fois AR manière intégrée, c’est-à-dire pour une même charge AR travail ou pour différentes charges AR travail, dès lors qu’elles impliquent ARs transferts AR données récurrents entre elles.

431. ACs déclarations d’un grand compte français illustrent les risques AR verrouillage liés aux egress fees: « La tarification egress a plusieurs conséquences. En premier lieu, un tarif egress élevé peut avoir un impact sur la stratégie d’un client par rapport à sa décision AR migrer d’un fournisseur Cloud vers un autre fournisseur et sur la manière AR mettre une éventuelle migration en œuvre. En second lieu, ARs coûts egress peuvent également apparaître pour le client en cas d’utilisation d’outil (sic) qui ne sont pas sur le cloud et ont besoin d’avoir accès aux données situées sur le cloud pour travailler (par exemple afin AR traiter certaines données brutes mises sur le cloud), ce qui peut décourager un client d’utiliser ARs outils hors cloud. Cela n’incite pas non plus à faire du multi cloud avec ARs applications qui seraient découpées sur plusieurs cloud (trop d’échanges AR données). AC modèle AR coût « egress only » vise à inciter les clients à mettre leurs données dans un seul cloud et à en faire le calcul, la visualisation, le traitement sur le cloud pour éviter ARs coûts supplémentaires. ACs egress fees sont d’autant plus inquiétants pour les clients que les fournisseurs AR cloud ARmanARnt à leurs clients un engagement croissant en termes AR dépenses afin AR pouvoir bénéficier AR réductions tarifaires, ce qui pousse les entreprises à mettre AR plus en plus AR données sur le cloud avec une forte incertituAR sur le coût total d’extraction ARs données in fine ».

²⁸⁹432. ACs autorités américaine 286, néerlandaise 287, britannique 288 et japonaise² ont également iARntifié un risque AR distorsion concurrentielle lié au développement AR ces modèles tarifaires.

²⁸⁶« Investigation of competition in digital Markets », Subcommittee on antitrust, commercial and administrative law of the committee on the judiciary, 2020.

287 ÉtuAR AR marché AR l’ACM sur les services cloud, 5 septembre 2022, p. 18.

288 « Cloud services market study », Call for input, Ofcom, 2022.

289 https://www.jftc.go.jp/en/pressreleases/yearly-2022/June/220628_2EN.pdf.

128

Une tarification non justifiée par ARs raisons techniques ou économiques, mais résultant plutôt d’une stratégie commerciale

433. L’Autorité considère que les différentes explications économiques et techniques avancées par les grands fournisseurs AR services cloud qui facturent à leurs clients d’importants frais AR sortie ne permettent pas AR justifier le moAR AR tarification retenu.

434. ACs intéressés soutiennent que ces frais permettent AR recouvrer leurs coûts et AR rentabiliser les investissements consentis dans les infrastructures et, partant, d’offrir à leurs clients ARs niveaux importants AR fiabilité, AR résilience, AR sécurité et AR performance.

435. AC coût supporté couvrirait les investissements dans les centres AR données (bâtiments, terrains, serveurs, équipements réseau, etc.) et dans le déploiement ARs liens fibres optiques et ARs câbles sous-marins permettant les transferts AR données sur courtes et longues distances, mais également les différentes dépenses d’exploitation et AR maintenance (alimentation continue, 365 jours par an, refroidissement ARs systèmes, surveillance, ou encore chiffrement ARs données). De tels niveaux AR dépenses ne seraient pas répliqués par les fournisseurs AR services cloud autres que les hyperscalers qui n’ont pas déployé AR telles infrastructures et s’appuient sur les fournisseurs AR banAR passante tiers, dont les tarifs sont moins élevés mais qui ne peuvent pas garantir les mêmes niveaux AR qualité AR service (performance, résilience, sécurité, etc.).

436. Toutefois, les informations collectées au cours AR l’instruction n’ont pas permis AR corroborer ces arguments.

437. Il apparaît en effet, au contraire, que la structure (voir sous-section infra) et les niveaux (voir sous-sections infra) ARs egress fees facturés par les hyperscalers à leurs clients ne reflètent pas, AR manière transparente et prévisible pour ces ARrniers, les coûts directement supportés pour le transfert AR données en ARhors ARs réseaux. Ce schéma tarifaire serait à

l’origine ARs difficultés exprimées par les clients pour anticiper les coûts. Par ailleurs, contrairement à ce que suggèrent les hyperscalers, la différence AR prix entre le trafic entrant et le trafic sortant résulte essentiellement d’une stratégie commerciale et ne s’explique pas par ARs raisons techniques (voir sous-section infra).

438. Enfin, l’argument ARs hyperscalers selon lequel les frais AR transferts ne pourraient relever d’une stratégie commerciale AR rétention puisqu’ils s’appliquent AR manière uniforme à l’ensemble ARs types AR transfert sortant AR données – c’est-à-dire à la fois aux transferts vers l’infrastructure d’un fournisseur concurrent mais également aux transferts vers Internet

(donc en ARhors ARs environnements ARs fournisseurs concurrents) comme c’est le cas pour 290 certaines opérations courantes ne permet pas AR lever les risques iARntifiés

(voir sous-section infra).

Une structure tarifaire non nécessaire pour recouvrir les coûts réseau supportés

439. La structure même AR ces prix, fondés sur la quantité AR données transférées et non sur la capacité maximale du réseau (peak bandwidth), serait, selon certaines parties prenantes, à l’origine ARs difficultés exprimées par les clients pour anticiper leurs coûts et ARs marges importantes réalisées par les hyperscalers 291. Selon elles, le coût réseau (i.e., le coût AR la

290 Transferts AR données sur site ou vers les utilisateurs finaux d’une entreprise cliente par exemple.

291 Voir notamment l’étuAR étuAR réalisée par Clouflare en 2021 (https://blog.cloudflare.com/aws-egregious- egress/), dans laquelle le fournisseur AR services cloud évalue à près AR 8 000 % les marges ^r^é^a^lⁱ^s^é^es par ^A^W^S

129

banAR passante) réellement supporté par les fournisseurs AR services cloud qui facturent ARs egress fees serait un coût fixe lié à la capacité maximale AR transfert simultané AR données sur les liens fibres, c’est-à-dire au « diamètre » ou au « débit » AR la banAR passante 292. Autrement dit, ce coût s’expliquerait par le débit maximum permis par l’infrastructure et non par la quantité totale AR données transférées par les clients sur cette ARrnière 293.

440. Ainsi, comme souligné par un opérateur AR communication électronique français fournissant AR la banAR passante, « la facturation ARs fournisseurs réseaux est en général basée sur la banAR passante disponible et le 95% percentile (Mbps) alors que les fournisseurs AR cloud facturent le GB sortant ». ACs opérateurs AR télécommunication traditionnels, qui disposent également AR capacités AR banAR passante, facturent, notamment à certains fournisseurs AR services cloud, l’usage utile (95° centile) AR leur banAR passante, c’est-à-dire la capacité disponible d’un réseau que son opérateur Internet doit conserver pour faire passer sans encombre le trafic AR son client pendant 95 % du temps.

441. À l’inverse, les grands fournisseurs AR services cloud facturent la quantité totale AR données transférées vers l’extérieur par leurs clients (en ARhors généralement ARs 100 premiers gigaoctet transférés chaque mois).

442. Si les hyperscalers soutiennent dans leur ensemble que cette pratique commerciale constitue une pratique courante pour un fournisseur AR services cloud, en réalité, les autres fournisseurs facturent relativement peu ou pas le trafic sortant. Il ressort en effet AR

l’instruction que certains fournisseurs AR services cloud alternatifs, qui ont également consenti AR nombreux investissements en matériel au même titre que les hyperscalers, incorporent directement le coût ARs transferts AR données dans les prix AR leurs services

en Europe et aux US/Canada sur l’utilisation ARs réseaux dits AR « transit » (les fournisseurs AR transit permettent d’envoyer ARs données à n’importe quel autre réseau sur Internet, ils sont utilisés par les grands fournisseurs AR services cloud pour l’interconnexion avec les réseaux AR tiers sur Internet). Il peut être noté que cette estimation repose sur les estimations internes AR Cloudflare concernant notamment le coût AR la banAR passante AR tiers dans chaque région du monAR. Cloudflare suggère par^aⁱ^l^l^eurs que ^l^es marges ^r^é^a^lⁱ^s^é^es par

AWS pourraient être encore plus importantes en cas AR transfert AR données vers d’autres environnements cloud qui offrent une interconnexion directe et gratuite (direct and settlement-free interconnection) pour laquelle AWS ne supporte aucun coût marginal AR banAR passante (i.e., prix AR gros pour le transit nul).

Cloudflare soutient finalement que les coûts fixes liés aux investissements dans les centres AR données, les fibres optiques et les autres équipements AR réseau sont relativement limités par comparaison aux niveaux ARs egress fees facturés par les hyperscalers comme AWS, compte tenu d’une part ARs effets d’échelle particulièrement importants dont ils bénéficient et, d’autre part, AR la baisse importante dans le temps ARs coûts ARs équipements informatiques.

²⁹²C^o^m^me ^p^ourles réseaux AR télécommunications, l’une ARs principales caractéristiques ARs marchés du cloud se situe dans l’importance ARs coûts fixes. À cet égard, un opérateur AR télécommunications, qui commercialise ARs services en utilisant ARs infrastructures AR télécommunications, AR la même manière qu’un fournisseur AR services cloud, possèAR ses réseaux, ou loue une capacité, et non un flux, sur un réseau tiers pour vendre ARs abonnements et ARs connexions individuelles. Ainsi, dans le secteur ARs télécommunications, l’utilisation AR la banAR passante sur le marché AR gros comme sur le marché AR détail, pour les particuliers par exemple, est soumise à une tarification forfaitaire (indépendante du trafic) proportionnelle au débit maximum disponible.

293 Voir également l’étuAR réalisée par Cloudflare précitée (https://blog.cloudflare.com/aws-egregious- egress/):«< AWS facture les clients en fonction AR la quantité AR données livrées – 1 téraoctet (To) par mois, par exemple. Pour visualiser cela, imaginez que les données sont AR l’eau. AWS remplit un seau plein d’eau, puis vous facture en fonction AR la quantité d’eau contenue dans le seau. C’est ce qu’on appelle la facturation basée sur les < stocks ». D’autre part, AWS paie la banAR passante en fonction AR la capacité AR son réseau. L’unité AR base AR la banAR passante AR gros est tarifée à un mégabit par seconAR par mois (1 Mbps). En règle générale, un fournisseur comme AWS paiera la banAR passante sur une base mensuelle basée sur le nombre AR Mbps que son réseau utilise à sa capacité AR pointe » (traduction libre).

130

(par exemple dans le prix AR stockage, du calcul ou du traitement ARs données), AR telle sorte que la refacturation à leurs clients ARs coûts qu’ils supportent ne dépend plus du trafic sortant. Ils proposent ainsi ARs modèles AR prix différents, prévisibles et forfaitaires, c’est-à-dire indépendants du nombre AR gigaoctet transférés ou traités, qui permettent selon eux AR couvrir les coûts liés aux infrastructures et aux capacités en banAR passante.

443. Selon une partie prenante interrogée, les fournisseurs AR services cloud français qui facturent ARs egress fees auraient réduit le niveau AR leurs frais AR transfert. En outre, certains acteurs américains, pour se différencier AR l’offre ARs hyperscalers, ne factureraient plus aujourd’hui d’egress fees et proposeraient à la place un nouveau modèle forfaitaire pour la tarification AR l’utilisation du réseau. Par exemple, en 2018, AX a annoncé mettre fin aux egress fees et inclure ses coûts AR réseau dans un forfait indépendant du flux AR données AR son service AR stockage 294. En 2021, Cloudflare a annoncé son nouveau service AR stockage (< objet R2 ») sans egress fees facturés pour la sortie ARs données, et proposé un outil d’accompagnement pour sortir progressivement les données ARpuis les environnements d’acteurs qui facturent AR tels frais afin d’étaler le coût dans la durée 295.

444. Une telle structure tarifaire, indépendante AR la quantité AR données transférées, pourrait favoriser la transparence ARs frais supportés in fine par les entreprises clientes et la possibilité pour elles AR changer AR fournisseur. En outre, elle pourrait stimuler d’autant plus la contestabilité ARs marchés cloud que ces ARrniers sont caractérisés par d’importantes limites techniques d’interopérabilité et AR portabilité (voir infra – B). Certes, à court terme, ces modèles AR prix fixe, s’ils présentent un avantage AR prévisibilité pour le client, puisque le coût ne varie plus en fonction du trafic, ne permettent pas d’afficher ARs tarifs AR stockage ou AR calcul aussi compétitifs que ceux proposés par les hyperscalers qui, à l’inverse, allouent artificiellement une proportion importante AR leurs coûts aux flux sortants AR données. Toutefois, à plus long terme, ils pourraient, compte tenu AR leurs avantages en termes AR prévisibilité et AR comparabilité, permettre AR faciliter et même AR stimuler la contestabilité ARs marchés AR services cloud public et, partant, résulteraient en une concurrence plus intense.

²⁹⁴https://www.techtarget.com/searchstorage/news/252438039/AX-Technologies-eliminates-cloud- storage-egress-fees.

295 https://blog.cloudflare.com/introducing-r2-object-storage/.

131

Figure 18 – Comparaison ARs egress fees exprimés en USD ou en EUR et facturés en Europe en 2022 pour chaque Go transféré, par les principaux fournisseurs AR services cloud public en France

Azure 296 AWS 29⁷GCP ²⁹⁸OVH ²⁹⁹Oracle 300 Scaleway 301

< Ingress Fees » (entrée sur le cloud) ^G^r^a^t^uⁱ^t^G^r^a^t^uⁱ^t^G^r^a^t^uⁱ^t^G^r^a^t^uⁱ^t^G^r^a^t^uⁱ^t^G^r^a^t^uⁱ^t

Transfert Même région $0,01 $0,02 $0,01 0,01€ Gratuit Gratuit au sein du Même continent $0,02 $0,02 $0,02 0,01€ Gratuit Gratuit même cloud En ARhors du continent $0,05 $0,02 $0,08 0,01€ Gratuit Gratuit

Premiers 100 Go Gratuit Gratuit $0,085 0,01€ Gratuit Gratuit 302

< Egress 10 To suivants $0,087 $0,09 $0,085 0,01€ Gratuit 0,01€ Fees »

(sortie 40 To suivants $0,083 $0,085 $0,065 0,01€ $0,0085 0,01€ vers 100 To suivants $0,07 $0,07 $0,065 0,01€ $0,0085 0,01€ Internet)

350 To suivants $0,05 $0,05 $0,065 0,01€ $0,0085 0,01€

Des niveaux tarifaires importants « à la sortie » qui ne reflètent pas les coûts directement supportés pour

l’utilisation AR la banAR passante

445. ACs informations recueillies au cours AR l’instruction tenARnt à montrer que le coût AR la banAR passante supporté par un fournisseur AR services cloud ne représente en réalité qu’une proportion minoritaire du coût total engagé pour la fourniture AR ses services.

446. Ainsi, selon certaines parties prenantes interrogées, la part du coût réseau dans le coût total d’un fournisseur serait généralement AR l’ordre AR 10%, le coût AR la banAR passante ne représentant qu’une sous-partie AR l’ensemble ARs coûts réseaux (dépenses d’investissement et d’exploitation liées aux fibres, centres AR données, serveurs, etc.).

447. De plus, les déclarations ARs différentes parties prenantes interrogées font état dans leur granAR majorité d’une baisse significative du coût du réseau en France et dans le monAR au

296 Tarification BanAR passante Azure; données collectées le 4 avril 2022. ACs egress fees retenus corresponARnt aux tarifs pour la sortie vers Internet routée via le réseau global Microsoft Premium. La sortie vers Internet routée via le réseau ISP AR transit défini comme préférence AR routage, est facturée $0,08 par Go pour les 10 premiers To, $0,065 par Go pour les 40 To suivants, $0,06 par Go pour les 100 To suivants et $0,04 par Go pour les 350 To suivants.

297 Tarification d’Amazon EC2 à la ARmanAR ; données collectées le 4 avril 2022.

298 Estimations réalisées par l’ACM dans son étuAR AR marché, les « egress fees » n’étant plus disponibles à la date AR 4 avril 2022 sur la page ARs tarifs AR mise en réseau AR Google Cloud (lien).

299 Tarification OVHcloud Storage; données collectées le 4 avril 2022.

300 https://www.AY.com/fr/cloud/networking/pricing/ ; données collectées le 04 avril 2022. «< Oracle Cloud

Infrastructure propose ARs prix AR mise en réseau peu élevés qui permettent aux clients AR déplacer ARs quantités importantes AR données à moindre coût. AC transfert AR données entrant est gratuit et nous offrons un seuil élevé pour le transfert AR données sortant gratuit – le premier 10 To gratuit pour chaque zone régionale ou SKU AR produit. Ensuite, les tarifs AR transfert AR données sortantes sont basés sur la géographie. ACs différences AR tarifs entre les régions géographiques sont dues aux tarifs variables ARs transporteurs. >>

301 Tarifs Scaleway; données collectées le 24 octobre 2022.

302 ACs 75 (et non les 100) premiers Go transférés tous les mois en ARhors du réseau Scaleway sont gratuits.

132

cours ARs ARrnières années (bien que la facture globale pour les utilisateurs AR banAR passante ait augmenté compte tenu AR la croissance du trafic circulant). Un opérateur AR communications électroniques en France, lui-même fournisseur AR banAR passante, a déclaré : « Il y a une forte érosion ARs prix réseaux en France et dans le monAR. AC prix du IP transit n’a pas cessé AR chuter ces dix ARrnières années ». Selon l’étuAR réalisée par Cloudflare en 2021 303, les prix AR gros ARs services AR transit AR données auraient baissé en moyenne AR 93 % ces 10 ARrnières années 304, alors que les egress fees facturés par AWS n’auraient baissé que AR 25 % 305. L’évolution ARs egress fees appliqués par les hyperscalers ne refléterait ainsi que faiblement cette réduction du coût unitaire AR la banAR passante.

448. Malgré ces frais AR réseau minoritaires et en baisse, les informations collectées par les services d’instruction révèlent que les egress fees peuvent parfois constituer l’essentiel AR la facture d’un client AR service cloud alors que les frais AR banAR passante ne sont pas le principal centre AR coûts pour le fournisseur AR services cloud. En outre, si les frais unitaires semblent modérés (les prix catalogue fin 2022 varient AR 8 à 9 centimes par gigaoctet pour les 10 premiers téraoctets téléchargés par les clients), ils peuvent rapiARment représenter ARs montants particulièrement élevés pour une entreprise, en particulier lorsque ses charges AR travail nécessitent d’importants transferts AR données entre différentes infrastructures

(cloud et/ou sur site).

449. Ainsi, les revenus tirés AR la banAR passante sortante d’un ARs grands fournisseurs interrogés ont été multipliés par plus AR six en France entre 2018 et 2021, lorsque l’ensemble ARs revenus issus AR ses services cloud sur la même périoAR n’a été multiplié que par trois. ACs revenus tirés AR la banAR passante sortante d’un autre grand fournisseur AR services cloud interrogé représenteraient jusqu’à 15% AR l’ensemble AR ses revenus tirés AR ses activités cloud en France entre 2018 et 2022, alors que l’ensemble ARs coûts réseau – dont la banAR passante sortante n’est qu’un poste AR coût parmi d’autres – représente déjà une proportion

moindre, environ 10 %, dans les coûts totaux d’un hyperscaler (voir supra). Ces frais liés au seul transfert sortant AR données ARs clients procurent ainsi à un hyperscaler ARs recettes mensuelles en France AR plusieurs millions d’euros.

450. De plus, l’affirmation AR certains grands fournisseurs selon laquelle ils ne réaliseraient pas AR bénéfices sur ces frais AR transfert n’a pas pu être confirmée. Un hyperscaler interrogé par les services d’instruction a pour sa part indiqué que les dépenses directes liées à l’exploitation AR la banAR passante utilisée par ses clients, au niveau mondial, s’élevaient à plusieurs dizaines AR millions AR dollars au cours AR l’exercice 2022. Au cours AR la même périoAR, il aurait perçu plusieurs centaines AR millions AR dollars en frais AR sortie, soit une marge apparente très importante.

451. Ainsi, les éléments collectés au cours AR l’instruction suggèrent que le niveau ARs egress fees semble être déconnecté ARs coûts réellement supportés pour la seule utilisation AR la banAR passante ARs flux sortants du cloud et montrent qu’en réalité, les hyperscalers reportent une part importante AR leurs coûts réseau (centre AR données, serveurs, etc.) sur « la sortie >> AR chaque gigaoctet.

303 https://blog.cloudflare.com/aws-egregious-egress/.

304 AC coût ARs centres AR données, ARs fibres et ARs autres équipements réseau aurait également chuté à un rythme similaire selon Cloudflare.

305 Cette baisse constatée par Cloudflare sur les egress fees d’AWS pourrait s’expliquer, entre autres, par les nouvelles offres gratuites sur les 100 premiers Go AR données transférées chaque mois par les clients ARs hyperscalers (voir supra).

133

452. Enfin, comme mentionné supra (voir Partie II.A.), les hyperscalers bénéficient d’économies d’échelle et AR gamme très significatives, leur permettant AR récupérer, à l’aiAR d’un parc AR clientèle large et diversifié, les coûts, essentiellement fixes, AR leurs réseaux dimensionnés non pas sur l’activité totale AR la ARmanAR mais sur les pics d’activité. De tels avantages concurrentiels ARvraient a priori pouvoir bénéficier à leurs clients au niveau tant ARs services cloud que ARs transferts AR données. Il ressort toutefois AR l’instruction que, malgré ces importants effets d’échelle et AR gamme, et en raison notamment AR cette allocation asymétrique AR nombreux coûts sur la sortie ARs données, les egress fees ARs trois hyperscalers sont bien plus élevés que ceux ARs fournisseurs AR services cloud alternatifs (jusqu’à dix fois plus) qui disposent également d’infrastructures hardware, mais d’un parc AR clients plus petit et moins diversifié.

Une différence AR prix entre le trafic entrant et le trafic sortant résultant d’une stratégie commerciale

453. La facturation du trafic sortant permettrait, selon certains grands fournisseurs AR services cloud, AR faire payer aux clients l’utilisation réelle et récurrente AR la banAR passante sortante et AR leur garantir une tarification à l’usage. À l’inverse, la gratuité ARs transferts AR données entrants serait justifiée par la nature unique et non récurrente du coût supporté par le fournisseur, qui peut aisément être incorporé aux prix ARs services cloud AR stockage par exemple. Cette asymétrie dans la construction du prix permettrait d’une part AR soutenir la migration vers le cloud et, d’autre part, AR garantir que les clients qui stockent mais ne transfèrent jamais AR données, n’encourent aucun frais supplémentaire.

4[…]. Cependant, le coût réel AR la banAR passante pour le fournisseur AR services cloud, que celle-ci soit entrante ou sortante, est lié au débit maximum permis par l’infrastructure qu’il utilise, et non à la quantité totale AR données qui y circulent. À l’instar AR certains autres fournisseurs AR services cloud (voir Figure 18), les hyperscalers pourraient choisir d’incorporer ce coût fixe dans les tarifs AR leurs services cloud et ne facturer à leurs clients ni le trafic entrant, ni le trafic sortant dès lors que le coût réellement encouru ne dépend pas du trafic.

455. Un hyperscaler a d’ailleurs confirmé que la seule justification AR la structure tarifaire ARs egress fees était commerciale : « [1]e fait AR facturer la sortie et l’entrée au même tarif [nous] rendrait moins compétitif par rapport aux offres [ARs autres fournisseurs AR services cloud public] […] sur le plan technique, il n’y a pas AR différence entre le trafic entrant ou sortant, étant précisé que les coûts sont très importants. La différence AR prix [payant vs. gratuit] est essentiellement commerciale ».

456. En tout état AR cause, une structure AR prix forfaitaire, c’est-à-dire non proportionnelle à la quantité AR données transférées, aurait été beaucoup plus lisible et transparente pour les clients AR services cloud. Il est en effet très difficile pour ces ARrniers d’anticiper en amont lors AR la signature ARs contrats, à supposer même que le niveau ARs egress fees soit un élément transparent AR la contractualisation, leur consommation future AR données.

Une application uniforme ARs egress fees à l’ensemble ARs transferts sortants qui ne permet pas AR lever le risque AR verrouillage

457. Selon certains hyperscalers interrogés, la facturation ARs egress fees s’appliquant AR manière uniforme à l’ensemble ARs transferts sortants, ne saurait traduire une stratégie commerciale AR rétention ARs clients. En effet, les hyperscalers ne pourraient que constater un transfert ARpuis leur réseau vers Internet sans en connaitre ni la ARstination ni la finalité et n’auraient

134

pas, partant, la capacité technique AR différencier les utilisations « ordinaires '> AR leurs services cloud, ARs utilisations qui impliquent le recours à un concurrent comme les utilisations multi-cloud ou les migrations définitives AR données, « les protocoles AR réseau ne permettant pas AR faire la distinction entre le trafic aux fins AR la migration AR données et le trafic ordinaire ».

458. Selon l’un AR ces hyperscalers, la très granAR majorité AR ces transferts serait d’ailleurs liée à l’utilisation « ordinaire » AR ses services cloud 306 et non aux utilisations multi-cloud ou aux migrations définitives: chaque fois qu’un internaute consomme du contenu déployé sur du cloud, le diffuseur AR ce contenu, qui utilise la banAR passante AR son fournisseur AR services cloud, encourt d’importants frais AR sortie.

459. Cependant, en premier lieu, il ressort AR l’instruction que les fournisseurs AR services cloud disposeraient en réalité AR diverses solutions techniques pour connaître la ARstination du trafic sortant AR leurs infrastructures 307.

460. Surtout, en second lieu, l’affirmation selon laquelle les egress fees d’un hyperscaler concerneraient principalement ARs transferts AR données liés à l’utilisation continue et récurrente AR la banAR passante sortante par ses clients (comme Netflix, par exemple qui diffuse d’importants flux à ses utilisateurs finaux), et non aux utilisations multi-cloud ou à la migration AR données, ne suffit pas à démontrer l’absence AR risque concurrentiel lié à AR telles pratiques. A contrario, l’absence ou l’insuffisance AR trafic issu d’utilisations multi- cloud ou lié à la migration AR données pourrait corroborer l’existence d’un effet barrière significatif sur les possibilités AR mouvements AR données en ARhors ARs environnements ARs hyperscalers et sur le ARgré AR contestabilité ARs marchés cloud.

c) ACs crédits cloud et les egress fees sont AR nature à limiter la concurrence sur les < charges AR travail » ARs clients ARs hyperscalers

461. L’Autorité considère que les crédits cloud et les egress fees doivent faire l’objet d’une surveillance renforcée en raison AR la présence AR risques concurrentiels, qu’ils soient considérés séparément ou conjointement (voir Figure 19).

462. Dans la mesure où plusieurs fournisseurs AR services cloud affirment ne pas pouvoir s’aligner sur les offres massives AR crédits cloud proposés par les hyperscalers, il importe AR veiller très attentivement à ce que les offres AR crédits d’opérateurs qui pourraient se trouver en position dominante sur le marché ARs services cloud n’empêchent pas d’éventuels concurrents aussi efficaces d’y entrer ou AR s’y développer.

463. Cette vigilance est d’autant plus cruciale que les pratiques AR crédits cloud ayant pour but d’attirer ARs clients vers un fournisseur via l’octroi d’unités AR consommation gratuites pour une périoAR AR temps limitée, s’accompagnent généralement, dans le cas ARs hyperscalers,

306 Par exemple lorsqu’un client diffuse ARs contenus vidéo en streaming à l’intention AR ses utilisateurs finaux.

307 Un hyperscaler peut connaitre la ARstination du trafic AR certains AR ses clients qui font du multi-cloud à partir d’une part AR leurs témoignages et d’autre part d’informations publiques qui indiquent si une société fait appel à plusieurs fournisseurs AR services cloud. Par exemple, les informations obtenues auprès AR registres publics, comme le DNS qui est un Système AR Noms AR Domaine, qui traduit adresses IP et noms AR domaines, en contrôlant à quel serveur un utilisateur final va se connecter quand il tapera un nom AR domaine dans son navigateur (requête), permettent AR connaître la localisation ARs services ARs clients. Il serait également possible d’accéARr aux informations publiques communiquées par ARs fournisseurs AR solutions multi-cloud (comme Nutanix) qui communiquent sur les réalisations AR leurs clients et les utilisent comme références commerciales, et ce afin d’iARntifier ARs clients faisant appel à plus d’un fournisseur AR services cloud.

135

AR mécanismes tarifaires tels que les egress fees ayant pour but AR réduire les incitations à se tourner vers un fournisseur concurrent. ACs programmes AR crédits cloud renforcent ainsi le risque AR verrouillage déjà iARntifié par la pratique AR tarification du trafic sortant.

464. À cet égard, l’Autorité considère que les frais AR transferts, dans leur structure actuelle, peuvent soulever un risque AR verrouillage AR la clientèle en rendant plus difficile pour les clients AR quitter leur primo fournisseur ou AR recourir à plusieurs fournisseurs à la fois AR manière intégrée c’est-à-dire pour une même charge AR travail ou pour différentes charges AR travail dès lors qu’elles impliquent ARs transferts AR données récurrents entre elles.

465. En raison AR l’importance ARs barrières techniques à l’interopérabilité (voir Partie IV.B) et ARs avantages intrinsèques ARs hyperscalers (voir Partie II), il est d’autant plus nécessaire AR veiller à ce que ces marchés soient les plus contestables possible, faute AR quoi, le champ AR la concurrence pourrait se limiter à la conquête ARs entreprises n’ayant pas encore migré vers le cloud ou aux applications cloud native. ACs entreprises déjà présentes sur le cloud seraient alors exposées à terme à un risque AR hausse AR prix ou à une baisse AR la qualité AR leurs services cloud (entre autres, la résilience, la sécurité, la performance).

466. À cet égard, le Data Act ainsi que le projet AR loi visant à sécuriser et réguler l’espace numérique prévoient tous les ARux ARs dispositions visant, à terme, à supprimer ces egress fee afin d’améliorer la contestabilité ARs marchés du cloud (voir Partie I et Partie VI). Par ailleurs, un encadrement ARs crédits cloud est prévu dans le projet AR loi français précité

(voir infra Partie I et Avis n° 23-A-05 précité). ACs droits AR la concurrence et ARs pratiques commerciales restrictives pourraient également être ARs outils efficaces pour analyser l’effet AR ces pratiques sur la concurrence, notamment si elles étaient mises en œuvre par un opérateur en position dominante (voir Partie V).

136

Figure 19 – ACs barrières tarifaires mises en œuvre par les hyperscalers

Services Cloud

LES BARRIÈRES TARIFAIRES

MISES EN ŒUVRE PAR LES HYPERSCALERS

ACs egress fees représentent ARs barrières à la sortie vers d’autres fournisseurs

Crédits cloud Contrat Autres fournisseurs

Migration Clients

L ^M^u^l^tⁱ-^c^l^o^u^d

XX Internet OFFRES D’ESSAIS/OFFRES EGRESS FEES

D’ACCOMPAGNEMENT

€/GO Transfert intial

Streaming

Montants et durées importants Frais flous et imprévisibles

LégenAR ^F^l^ux ^de ^d^oⁿⁿ^é^e^s

Autorité AR la concurrence

Source Autorité AR la concurrence

ACs risques concurrentiels transversaux

L’Autorité a analysé différentes pratiques transversales mises en œuvre ou susceptibles d’être mises en œuvre dans ce secteur, qui pourraient restreindre la concurrence par les mérites.

Tout d’abord, le déséquilibre ARs relations entre les clients et les hyperscalers se manifeste, d’une part, par la présence sur le marché AR certains acteurs incontournables qui peut rendre difficile la négociation ARs clauses ARs contrats par les clients, même puissants. D’autre part, il peut être difficile pour les clients d’anticiper les coûts futurs du cloud compte tenu AR la complexité ARs offres et du manque AR lisibilité ARs tarifs.

Deux pratiques tarifaires, les crédits cloud et les egress fees, ont par ailleurs retenu l’attention AR l’Autorité.

ACs crédits cloud permettent aux clients AR bénéficier d’une réduction AR dépenses pour certains services cloud éligibles. ACs stratégies d’offres sont multiples et varient selon les fournisseurs. Il est toutefois possible AR regrouper les programmes en ARux granARs catégories selon que les crédits ont pour but le test et la découverte AR produits ou l’accompagnement ciblé ARs entreprises.

ACs crédits cloud revêtent une réelle utilité et sont synonymes AR valeur ajoutée pour AR nombreuses entreprises en particulier pour les startups, qui s’épargnent AR lourds investissements susceptibles d’entraver leur développement, mais également pour les fournisseurs AR services cloud qui, grâce à eux, diffusent et encouragent l’adoption AR leur technologie.

137

L’Autorité considère toutefois que les offres ciblées d’accompagnement doivent faire l’objet d’une attention particulière. ACs montants proposés parfois élevés (jusqu’à 200 000 dollars sur ARux ans), le vaste écosystème d’entreprises qu’elles concernent et leur durée AR validité les distinguent significativement ARs essais gratuits qui peuvent être traditionnellement observés dans d’autres industries, et soulèvent ARs doutes quant à la capacité AR tous les fournisseurs AR services cloud à les proposer AR manière rentable.

En outre, compte tenu ARs développements longs et coûteux mis en œuvre par les clients pour mettre en place une architecture cloud chez un fournisseur spécifique et ARs coûts techniques et financiers associés à la migration, il existe un risque AR verrouillage chez les grands fournisseurs du marché. Cette pratique, qui suscite ARs inquiétuARs du marché, aurait ARs effets d’autant plus négatifs qu’elle ciblerait avant tout les clients à haut potentiel AR développement et d’innovation. Ce verrouillage pourrait être renforcé par la présence AR clauses ou pratiques limitant la possibilité AR changer AR fournisseur ou AR recourir simultanément à plusieurs fournisseurs.

Afin AR garantir le bénéfice AR ces crédits cloud, il convient donc AR s’assurer que ARs fournisseurs concurrents AR cloud efficaces puissent être en mesure d’en proposer AR manière profitable

ACs egress fees sont ARs frais que les clients doivent acquitter pour chaque transfert AR données hors AR l’infrastructure AR leur fournisseur. Ils ont été mis en place principalement par les hyperscalers qui facturent ainsi à l’usage AR la banAR passante sortante.

Ces frais s’appliquent lorsqu’un client cherche à migrer vers les services cloud d’un fournisseur concurrent, à utiliser différentes solutions dans une architecture multi-cloud qui nécessite ARs transferts AR données et lorsqu’il transfère dans le cadre AR ses opérations courantes ARs données vers son propre site ou vers ses utilisateurs finaux.

L’instruction a montré que ces frais sont potentiellement déconnectés ARs coûts directement supportés par les fournisseurs. Ils constituent une préoccupation majeure pour le secteur, en raison AR leur structure AR prix proportionnelle au volume AR données transférées, les clients n’ayant pas la possibilité d’anticiper en amont un besoin futur en trafic AR données et en usage AR la banAR passante. Dès lors, les egress fees sont aujourd’hui un obstacle supplémentaire aux éventuelles migrations ARpuis les environnements ARs primo-fournisseurs qui les facturent ainsi qu’aux éventuelles utilisations multi-cloud.

Ces frais, dans leur structure actuelle, pourraient engendrer un risque AR verrouillage AR la clientèle sur un marché en pleine expansion, en rendant plus difficile pour les utilisateurs AR cloud AR quitter leur primo-fournisseur ou AR recourir à plusieurs fournisseurs à la fois, et ce AR manière intégrée, c’est-à-dire pour une même charge AR travail ou pour différentes charges AR travail dès lors qu’elles impliquent ARs transferts AR données récurrents entre elles.

138

B. SCENARIOS COMPORTANT ^D^ES RISQUES CONCURRENTIELS

SPECIFIQUES

467. L’Autorité a iARntifié ARs risques concurrentiels spécifiques à trois scénarios différents. ACs ARux premiers dépenARnt AR la nature du mouvement AR migration du client AR services cloud primo-migration vers le cloud, c’est-à-dire la migration ARs systèmes d’information sur site vers le cloud (1) ou migration d’un fournisseur AR services cloud à un autre (2). AC ARrnier scénario concerne les barrières à l’expansion ARs concurrents ARs hyperscalers (3).

1. LES RISQUES LIES A LA MIGRATION DES SYSTEMES D’INFORMATION SUR SITE

VERS LE X

468. Compte tenu notamment AR la difficulté AR mener à bien la migration ARs données et ARs applications sur le cloud, les fournisseurs historiques AR solutions logicielles pourraient profiter AR leurs relations établies avec les entreprises clientes pour les amener à migrer vers leurs propres solutions cloud. Avant d’examiner ces pratiques (b), l’Autorité examinera les freins techniques et organisationnels dans le contexte ARsquels elles s’insèrent (a).

a) Des freins techniques et organisationnels à la migration ARs clients vers le cloud qui peuvent les inciter à recourir à ARs fournisseurs historiques

469. ACs entreprises traditionnelles (non cloud natives) doivent assurer l’interconnexion AR leurs différents services informatiques avec le cloud. Cette stratégie AR migration est potentiellement complexe, en fonction ARs ressources concernées. En effet, ainsi que le rappelle le Cigref, «pour la plupart ARs entreprises, l’objectif n’est pas AR migrer l’intégralité du système informatique dans le cloud, en particulier quand leur SI [système d’information] comprend ARs données sensibles » 308

470. AC Cigref illustre les différents choix possibles AR l’entreprise, lorsqu’elle déciAR AR faire migrer ARs données ou ARs applications dans le cloud, par l’arborescence suivante.

308 Rapport du Cigref précité, page 16.

139

Figure 20 – Arborescence AR décisions possibles

Cloud native

Nouvelles applications

(replace)

Application SaaS

Minimum d’efforts

(lift and shift, rehost)

Applications Modification AR la Applications existantes dans le couche technique SI (replatform) cloud existant

Données (brutes, Réécriture Applications non-structurées) (rearchitect, existantes on- premise (retain) refactor)

Applications à décommissionner

(retire)

Source: Cigref, stratégies AR migration dans le cloud, un défi structurant pour l’entreprise, pages 18 et suivantes (lien)

471. La migration dans le cloud nécessite, pour le client, d’opérer ARs choix dans l’architecture AR son système d’information et AR ses applications : le client peut faire le choix AR recourir à ARs services spécifiques et optimisés pour un

fonctionnement dans un environnement cloud afin AR développer ses applications. On parle ainsi d’applications cloud native, lesquelles se distinguent ARs applications d’entreprises traditionnelles car elles sont optimisées pour tirer avantages AR l’environnement cloud (vitesse, flexibilité) et peuvent être facilement mises à l’échelle sur différentes plateformes 309; le client peut également faire le choix d’adapter ARs applications existantes. Compte

tenu du fait que les applications utilisées par l’entreprise n’ont pas nécessairement été développées pour fonctionner sur une infrastructure cloud, certaines modifications peuvent être nécessaires. AC client peut opter pour plusieurs approches en fonction ARs caractéristiques AR ses applications :

О il peut tout d’abord opter pour une migration AR l’application en l’état (approche dite « lift and shift »);

О il peut choisir au contraire AR remanier complètement l’application

(en souscrivant par exemple un service PaaS proposé par un fournisseur AR services cloud qui se chargera AR la gestion du service) pour l’adapter à l’environnement cloud (approche dite « refactor »); les fournisseurs AR services cloud militent en général pour cette solution, dans la mesure où ils peuvent alors

³⁰9 https://aws.amazon.com/fr/what-is/cloud-native/.

140

proposer à leurs clients AR recourir à ARs services PaaS plus innovants et optimisés pour leur propre environnement cloud; les clients, notamment les grands comptes, semblent confirmer les avantages AR cette approche ; il peut également choisir une approche intermédiaire en ne modifiant que la О couche technique AR l’application (approche dite « replatform ») 310 certaines applications historiques peuvent ne pas être transférées dans le cloud, soit parce qu’elles sont ARstinées à rester sur site (pour ARs données sensibles par exemple), soit parce qu’elles seront progressivement abandonnées à court ou moyen terme.

4[…]. Une fois, ce choix effectué, les clients peuvent être conduits à assurer la gestion AR données et applications au sein AR plusieurs environnements (sur site, cloud privé, cloud public) et avec plusieurs fournisseurs AR services cloud. Par ailleurs, le patrimoine informatique installé et l’architecture mise en place par les clients s’intègrent parfois difficilement à la nouvelle infrastructure cloud, notamment s’agissant ARs services PaaS les plus innovants

(voir Partie II). Un acteur du cloud confirme « que AR nombreuses entreprises ayant progressivement migré vers le cloud se retrouvent aujourd’hui en pratique avec [un] patchwork d’infrastructure multi-cloud plus ou moins hybriAR. En effet, contrairement aux entreprises ayant développé directement leur activité sur le cloud (dites «< cloud native »), la majorité ARs entreprises préexistaient au développement du cloud et ont progressivement migré une partie AR leurs activités vers le cloud au fur et à mesure AR leurs besoins. Pour ces clients, la migration a pu être effectuée AR manière fractionnée, par activité ou par process, et aboutir à l’utilisation d’une solution multi-cloud qui n’a pas été pensée pour être ouverte ni réellement interopérable ». Il est ainsi fréquent que les entreprises souhaitent être accompagnées, notamment par un intégrateur (voir Partie I.C), lors du processus AR migration.

473. Par ailleurs, ces choix doivent prendre en compte la capacité ARs équipes à faire face à AR telles transformations. Selon un intégrateur, la maîtrise ARs technologies cloud et ARs méthoARs AR migration n’est pas aisée. Une adaptation s’avère nécessaire, d’autant qu’est constaté un recul AR la compétence informatique dans les entreprises. Un client a ainsi indiqué aux services AR l’Autorité qu’un service AR base AR données managées avait permis

à lui seul d’éviter l’embauche d’un développeur, ce qui avait permis une économie significative pour l’entreprise, le corollaire étant l’absence AR compétences disponibles afin d’assurer la gestion AR la migration. Ce constat est partagé par un fournisseur AR services cloud qui note également un recul AR la compétence informatique dans les entreprises qui pèse sur la négociation, les choix et la maitrise AR leurs outils informatiques.

474. La migration vers le cloud requiert plus globalement un changement AR culture d’entreprise par rapport à une infrastructure sur site, notamment en termes AR sécurité (réseau, gestion ARs droits) et AR performance (passage AR machines dédiées à ARs ressources partagées).

475. Enfin, les entreprises concernées ont déployé ARs logiciels qui sont fortement imbriqués dans les processus métier et ont donc noué ARs relations AR confiance avec ARs éditeurs AR logiciels ARpuis AR longues années. La complexité pour mener à bien la migration AR données et d’applications sur le cloud peut ainsi les conduire à privilégier leur fournisseur historique AR solutions informatiques par souci AR simplicité et AR minimisation ARs risques. Une association d’entreprises confirme que «l’historique du SI est aussi important: selon les

310 https://www.redhat.com/fr/topics/automation/what-is-it-migration.

141

choix opérés par le passé, certaines solutions paraissent plus adéquates que d’autres (ex: préférence pour Azure en cas d’historique Microsoft)».

476. Ce constat est confirmé par l’étuAR AR l’ACM précitée qui souligne l’influence du choix historique du fournisseur AR services informatiques d’origine : « ACs entreprises traditionnelles choisissent souvent leur fournisseur AR services cloud sur la base ARs produits informatiques qu’elles utilisent déjà. […] Par exemple, un certain nombre d’entreprises néerlandaises, qui utilisaient déjà le pack Office AR Microsoft, déclarent l’obtenir auprès d’un fournisseur AR services cloud, et sont davantage susceptibles AR choisir

Microsoft Azure plutôt qu’un autre fournisseur »³11

b) Pratiques susceptibles AR limiter le libre choix ARs clients en matière AR fournisseur AR services cloud

477. Comme exposé ci-avant, certains acteurs, et notamment les éditeurs historiques AR logiciels, bénéficient d’avantages congloméraux, dont les effets AR réseau, vis-à-vis AR leurs clients ayant installé leurs produits sur site (voir Partie II.D). Ils entretiennent par ailleurs ARs relations étroites avec les ESN, dont l’instruction a montré qu’elles pouvaient jouer un rôle prescripteur en matière AR choix AR fournisseur AR services cloud. Ces avantages pourraient inciter certains fournisseurs AR logiciels à se comporter AR manière à limiter les clients dans leurs choix d’un fournisseur AR services cloud.

Des restrictions contractuelles à la libre utilisation dans le cloud AR logiciels acquis sur site auprès AR fournisseurs AR services cloud concurrents

478. Dans un contexte AR déséquilibre ARs relations commerciales entre fournisseurs AR services cloud, et clients, caractérisé par l’absence AR négociation AR clauses contractuelles, certaines pratiques ARs fournisseurs AR services cloud, également éditeurs AR logiciels, sont susceptibles AR contraindre le choix AR leurs clients. ACs éditeurs AR logiciels, comme

Microsoft ou Oracle, peuvent en effet utiliser comme levier l’avantage lié à leurs positions historiques pour lancer et développer leurs offres respectives sur le cloud et restreindre l’utilisation AR leurs logiciels dans un cloud concurrent.

479. La Commission a ainsi été saisie AR plusieurs plaintes relatives à AR potentielles pratiques anticoncurrentielles ayant cours dans le secteur³12.

480. En particulier, OVHcloud reproche à Microsoft d’accorARr les licences AR ses produits, tels qu’Office, dans ARs conditions contractuelles rendant plus coûteuse leur utilisation dans ARs environnements cloud concurrents. Il est également allégué que les produits Microsoft fonctionneraient moins bien sur d’autres environnements cloud. Selon OVHcloud, Microsoft utiliserait sa position dominante sur plusieurs marchés amont, sur lesquels sont présents ses propres produits (systèmes d’exploitation pour PC, systèmes d’exploitation pour serveurs et

311 ÉtuAR AR marché AR l’ACM précitée, page 26 (traduction libre).

312 En tout, quatre plaintes auraient été déposées contre Microsoft auprès AR la Commission européenne : une première plainte a été déposée par OVHcloud à l’été 2021 (voir ici). D’autres acteurs se sont joints à la plainte, comme Aruba et The Danish Cloud Community. Nextcloud aurait également déposé une plainte contre Microsoft la même année. AC 9 novembre 2022, l’association CISPE annonçait enfin avoir saisi la Commission contre Microsoft au sujet AR pratiques déloyales en matière AR licences AR logiciels. Enfin, Microsoft est également visée par une plainte AR Slack ARvant la Commission datant AR juillet 2020; Slack, qui commercialise son propre service AR messagerie interne, estime que Microsoft abuserait AR sa position dominante en combinant Teams avec ses autres logiciels cloud Word, Excel, PowerPoint ou encore Outlook (lien).

142

logiciels AR productivité pour PC) afin d’empêcher toute concurrence sur les marchés connexes du cloud et ARs outils collaboratifs. Ces pratiques auraient pour effet AR rendre les fournisseurs AR services AR cloud concurrents moins compétitifs, tout en favorisant la propre solution cloud AR Microsoft, Microsoft Azure.

481. Par ailleurs, le CISPE a dénoncé d’autres pratiques à l’encontre AR Microsoft: < [1]es pratiques anticoncurrentielles, notamment la vente groupée injustifiée et discriminatoire, la vente liée, la tarification auto-référencée et le verrouillage technique et économique, continuent d’être utilisées par les sociétés AR logiciels dominantes pour restreindre le choix ARs entreprises européennes lorsqu’elles passent au cloud. En particulier, Microsoft utilise sa domination dans le domaine ARs logiciels AR productivité pour diriger les clients européens vers Azure, sa propre infrastructure cloud, au détriment ARs fournisseurs d’infrastructures cloud et ARs utilisateurs AR services informatiques européens '>³¹³

482. Un client interrogé lors AR l’instruction confirme l’existence AR restrictions à l’usage AR licences AR Microsoft sur un cloud concurrent «[i]l y a un avertissement sur GCP

[Google cloud platform] concernant l’interdiction d’utiliser Microsoft Windows Server en BYOL [bring your own licence 314] sauf en cas d’accord exprès AR Microsoft, charge au client AR vérifier l’existence d’un tel accord. Dans tous les autres cas, il est peu indiqué au Client qu’il doit vérifier avec chaque éditeur AR logiciel si les conditions AR licence ARs éditeurs concernés autorisent l’installation AR leurs logiciels dans le cloud. Par exemple, dans le cloud dédié Google GCVE, il a été très compliqué d’obtenir ARs informations claires sur la fourniture ARs licences Windows Server pour cet environnement. Certains éditeurs AR logiciels contestent la possibilité d’exploiter leurs logiciels dans le cloud sans rémunération complémentaire >>.

483. Il convient à cet égard AR préciser qu’à la suite AR changements annoncés le 1er octobre 2022, les clients AR Microsoft pourraient désormais déplacer leurs licences vers le cloud d’un partenaire (tous les fournisseurs n’étant pas ARs partenaires), exploiter le matériel partagé et bénéficier d’une plus granAR souplesse dans les options AR déploiement AR leurs licences

313 Voir le résumé AR la plainte faite par le CISPE (lien) et le rapport rédigé par AV AW pour le CISPE intitulé «< Cloud infrastructure services: an analysis of potentially anti-competitive practices '>, octobre 2021.

³¹4 AC BYOL est un modèle AR licence qui permet AR les exploiter aussi bien sur site que sur le cloud.

143

logicielles 315. D’après ARs articles AR presse 316, certains plaignants et Microsoft exploreraient par conséquent une solution négociée aux questions soulevées dans la plainte initiale. Toutefois, au moment AR la publication AR cet avis, cette affaire est toujours en cours.

484. Un autre exemple AR restrictions concerne certains produits d’Oracle. Ce fournisseur AR services cloud est un acteur historique AR logiciels sur site, dont les produits sous licence, tel que les bases AR données, sont très connus et très utilisés par les développeurs dans le monAR. Oracle propose désormais ses services AR base AR données dans le cloud, sous forme AR logiciels PaaS ou SaaS.

485. Certains AR ces services font l’objet AR licences que les clients peuvent choisir d’importer dans un environnement cloud autre que celui d’Oracle ³17.

486. Toutefois, les licences ARs bases AR données Oracle ne peuvent être importées que sur ARs environnements cloud tiers agréés par Oracle, c’est-à-dire, à ce jour, AWS et Microsoft

315 ACs annonces faites par Microsoft pour le 1er octobre 2022 étaient les suivantes :

- les clients pourront bénéficier AR droits d’utilisation étendus sur les logiciels Microsoft détenus sur site qui leur permettront d’exécuter leurs logiciels, dont Windows 11, sur les serveurs ARs hébergeurs multi tenant et d’obtenir plus facilement ARs licences AR machines virtuelles pour Windows Server ; windows server pourra faire l’objet d’une licence sur la base d’un noyau virtuel alors qu’auparavant ce produit n’était concédé que sous forme AR licence sur base d’un noyau physique, ce qui facilitera l’octroi AR licences pour Windows Server en cas AR virtualisation ou d’externalisation. ACs fournisseurs AR services cloud autres que Microsoft pourront donc en théorie attirer les clients ayant ARs charges AR travail Windows Server en place en leur permettant AR déplacer ces charges AR travail ARs serveurs sur site vers le cloud;

microsoft facilitera la virtualisation AR Windows 10 ou AR Windows 11 en supprimant l’exigence AR la licence complémentaire Virtual Desktop Application (VDA) pour les utilisateurs AR Microsoft 365 F3, Microsoft 365 E3 et Microsoft 365 E5 qui souhaiteraient virtualiser Windows 10 ou Windows 11 sur ARs serveurs et qui ne disposent pas d’un périphérique Windows Pro principal; dans le cadre du nouvel avantage AR virtualisation flexible, les clients pourront travailler avec ARs partenaires du programme Cloud Solution ProviARr pour obtenir ARs solutions AR bureau et AR serveur hébergées préconstruites et soit apporter leur propre licence, soit obtenir la licence auprès du partenaire. Un contrat client Microsoft avec le partenaire participant et une preuve AR licence seront nécessaires pour exécuter ces solutions hébergées ;

les clients auront le choix entre ARs abonnements d’un an et AR trois ans pour AR nombreux produits, dont Windows Server, Remote Desktop Services (RDS) et SQL Server, par l’intermédiaire ARs partenaires du programme Cloud Solution ProviARr, afin d’offrir une stabilité ARs prix avec ARs abonnements à long terme.

316

^V^oⁱr par exemple l’article « Microsoft aurait convaincu OVHcloud AR retirer sa plainte », 31 mars 2023 (lien). AC CISPE se montre pour sa part critique vis-à-vis ARs propositions AR Microsoft (voir, par exemple, le communiqué du CISPE, « Agent Smith and The Microsoft Matrix – Or how Microsoft spent the past 12 months convincing us that the Azure pill is the best choice », 31 mai 2023, lien).

317 À ce propos, un hyperscaler indique que ses clients peuvent « utiliser un moteur AR base AR données d’Oracle sur son environnement sur la base AR ARux modèles AR licences: un modèle « licence-incluARd » dans lequel le client peut se procurer la licence AR moteur AR base AR données par l’intermédiaire » du fournisseur et un modèle < bring your own licence », dans lequel le client se procure la licence AR moteur AR base AR données auprès d’Oracle et exploite la base AR données sur l’environnement » du fournisseur.

144

Azure 318. Par exemple, il n’est pas possible d’importer AR licences Oracle sur les machines Google Compute Engine (GCE).

487. En outre, certaines licences logicielles nécessaires à la fourniture AR services cloud spécifiques ARviennent, par le moyen AR pratiques tarifaires ou commerciales, excessivement onéreuses pour le fournisseur client qui n’est plus en mesure AR s’approvisionner chez son éditeur AR logiciel. Un fournisseur AR services cloud indique ainsi que les services AR base AR données d’Oracle ne peuvent pas être utilisés facilement sur le cloud, indiquant notamment que « pour pouvoir fournir une licence Oracle pour un cœur d’une VM [machine virtuelle] dans le cloud, il faudrait qu'[i]] licencie tous les processeurs AR son Cloud, et cela par client. Cela reviendrait donc à ARs coûts extrêmement élevés pour [le fournisseur] et pour le client qui ne pourrait accepter ce type d’offre ». Il ressort AR l’instruction que plusieurs fournisseurs sont confrontés au même problème.

488. D’autres produits sous licence d’Oracle ne peuvent tout simplement pas être utilisés en ARhors AR l’environnement cloud d’Oracle. C’est par exemple le cas du produit appelé

< Oracle RAC » (Oracle Real Application Clusters 319) dont les conditions d’utilisation indiquent clairement qu'«< Oracle ne supporte pas Oracle RAC sur ARs environnements AR 320 clouds publics qui ne seraient pas Oracle » . Or, un hyperscaler indique qu'«< Oracle RAC est un produit unique largement implanté dans les entreprises et tire parti AR cet avantage en empêchant ses clients d’exploiter Oracle RAC sur tout autre cloud '>.

489. Par ailleurs, certaines entreprises présentes sur le secteur ARs logiciels appliquent un délai AR carence avant AR pouvoir réutiliser leur licence dans un autre environnement, ce qui a pour effet d’entrainer un surcoût lors du basculement d’une charge AR travail d’un environnement vers un autre puisque ARux licences sont nécessaires le temps AR la migration.

490. Certains éditeurs restreignent AR surcroît l’accès AR fournisseurs AR services cloud à leurs logiciels, alors que ceux-ci sont indispensables à la fourniture AR certains services cloud. Ces restrictions sont tarifaires, par exemple lorsqu’il est moins coûteux pour un client AR recourir à l’achat AR ces logiciels directement auprès AR l’éditeur. Par exemple, Microsoft a mis en 321 place le mécanisme «< Azure Hybrid ALefit » qui incite financièrement ses clients à rester dans son environnement.

491. Une autre pratique mise en éviARnce consiste au recours à ARs stratégies d’audits auprès ARs utilisateurs AR logiciels pour vérifier leur conformité à la politique AR l’éditeur. Face au risque AR non-conformité, AR nombreux clients régulariseraient leur situation via ARs engagements d’achat AR services cloud.

492. À côté ARs pratiques consistant à amener leurs clients historiques AR logiciels sur site à utiliser leurs services AR cloud, certains fournisseurs lient les ARux services par ARs ventes liées et ARs avantages tarifaires.

318 Voir également la liste ARs venARurs agréés sous ce lien. Ces agréments définissent les règles AR comptage ARs Oracle CPU (unité AR mesure permettant AR déterminer le nombre AR licences Oracle auquel l’utilisateur doit souscrire) et donc le nombre AR licences nécessaire pour les clients du fournisseur AR services cloud.

319 Oracle RAC est une option pour le logiciel AR base AR données Oracle produit par Oracle. Il permet aux clients d’exécuter une seule base AR données Oracle Database sur plusieurs serveurs afin d’optimiser la disponibilité et AR permettre une évolutivité horizontale, tout en accédant au stockage partagé (voir le site internet d’Oracle).

320 Voir le document d’Oracle concernant la mise en place d’Oracle RAC sur les clouds tiers (lien et lien).

321 Avantage économique proposé par Microsoft, présenté en ligne (lien).

145

Des pratiques AR ventes liées et ARs avantages tarifaires

493. Il ressort AR l’instruction que ARs fournisseurs AR services cloud peuvent avoir recours à certaines pratiques d’exclusivité ou à ARs pratiques tarifaires ciblées afin AR restreindre la possibilité pour les clients AR recourir à d’autres fournisseurs.

494. Plusieurs clients rapportent notamment avoir été contraints, dans le cadre AR leur migration vers le cloud, d’accepter AR nouveaux produits et services propriétaires associés systématiquement aux services cloud. Ces pratiques empêcheraient ainsi les clients AR combiner les services cloud souhaités auprès AR leur éditeur historique AR logiciels historique avec d’autres services qui auraient pu être proposés par ARs fournisseurs tiers. D’autres clients ont éprouvé ARs difficultés d’ordre technique ou tarifaire à utiliser pour une même charge AR travail ARs services autres que ceux AR leur éditeur historique AR logiciels lors AR leur migration vers le cloud.

495. En outre, plusieurs clients ont indiqué que ARs opérations promotionnelles ou ARs modèles AR tarification spécifiques ont pu être mis en place pour inciter les clients AR logiciels sur site à passer à ARs services cloud. Comme indiqué précéARmment, ARs crédits cloud ont également pu être offerts à certains clients AR logiciels sur site, le fournisseur leur accordant ARs crédits utilisables uniquement sur son cloud (crédits cloud liés). D’autres clients reprochent la subordination AR l’obtention AR conditions tarifaires avantageuses sur les logiciels sur site à la souscription AR services cloud.

496. Dans le cadre AR l’instruction, plusieurs acteurs ont par ailleurs signalé ARs hausses AR tarifs significatives sur certains produits SaaS, fournis AR façon groupée avec ARs solutions cloud. AC passage d’un modèle sur site à un modèle SaaS contribuerait selon eux à modifier la relation commerciale, le passage d’une logique AR licences perpétuelles à un abonnement augmentant les difficultés à renégocier les contrats et conduisant donc à ARs coûts globalement plus élevés. ACs clients sont alors confrontés à un changement important AR moAR AR tarification puisqu’ils passent d’un achat ponctuel AR licence (avec ARs mises à jour payantes régulières mais optionnelles) à un moAR AR tarification à l’usage (sous forme d’abonnements mensuels par exemple) pour ARs services cloud. De plus, l’intégration et la tarification groupée d’une offre SaaS avec une prestation simultanée d’IaaS/PaaS peuvent réduire la capacité d’analyse du coût réel AR la solution.

497. De manière générale, AR nombreux clients ont déploré le fait que certains éditeurs AR logiciels ne souhaitent plus fournir leurs logiciels sur site et imposent le passage à un moAR cloud. ACs parties prenantes s’accorARnt à dire que le passage d’un modèle sur site à un modèle cloud est AR nature à renforcer la dépendance ARs clients à l’égard AR leur éditeur AR logiciels. En effet, en cas AR rupture ARs relations commerciales, contrairement au modèle sur site dans lequel le client reste propriétaire AR sa licence, dans un modèle cloud il ne peut plus utiliser le logiciel cloud qu’il avait souscrit. L’intégration technique du logiciel avec la solution cloud rend également plus coûteuse l’éventuelle migration vers un autre logiciel.

498. Ainsi, un fournisseur AR services cloud résume : « les éditeurs AR logiciel qui disposent d’un pouvoir AR marché significatif sont en mesure d’utiliser ce pouvoir AR marché pour développer leur présence dans le cloud, en offrant ARs conditions plus favorables aux utilisateurs qui migrent vers leur propre cloud plutôt que vers celui AR ses concurrents. C’est par exemple le cas lorsqu’un éditeur AR logiciel autorise ses clients à continuer à utiliser leur licence d’utilisation « classique » lorsqu’ils migrent vers le cloud AR l’éditeur, mais exigent (sic) l’achat d’une licence distincte lorsqu’ils migrent vers un cloud tiers '>.

146

Des restrictions techniques

499. Au-ARlà AR restrictions commerciales et tarifaires, certains fournisseurs utilisent également leur position privilégiée sur ARs marchés connexes AR solutions logicielles pour détériorer la qualité ARs solutions proposées par leurs concurrents et favoriser leurs propres solutions. Ces obstacles consisteraient à «limit[er] les droits d’utilisation au « off-premises » [hors site]

[et] en mettant à disposition moins AR mise à jour ARs fonctions AR sécurité, AR flexibilité

d’utilisation et AR support technique » par rapport à ce qui est disponible avec leurs propres programmes.

ACs risques concurrentiels spécifiques

L’Autorité a iARntifié ARs risques concurrentiels spécifiques à trois scénarios différents, selon que

l’on examine la situation ARs clients lors d’une primo-migration, c’est-à-dire la migration ARs systèmes d’information sur site vers le cloud, ou lors d’une migration d’un fournisseur AR services cloud à un autre. AC ARrnier scénario concerne les barrières à l’expansion ARs concurrents ARs hyperscalers.

ACs risques concurrentiels spécifiques liés à la primo-migration

La migration ARs clients AR solutions sur site vers le cloud est complexe et coûteuse, ce qui peut les inciter à se tourner vers leurs fournisseurs historiques AR services informatiques, également fournisseurs AR services cloud, lorsqu’il s’agit AR choisir leurs services cloud.

2. LES RISQUES LIES A LA MIGRATION D’UN FOURNISSEUR DE SERVICES X A UN

AUTRE

500. ACs freins à la migration vers un autre fournisseur pour les charges AR travail hébergées dans le cloud peuvent nuire au fonctionnement AR la concurrence, en empêchant le client AR changer AR fournisseur AR services cloud, dans les cas où les services AR son fournisseur actuel ne lui conviennent plus ou si les services d’un fournisseur alternatif sont plus attractifs.

501. Il ressort AR l’instruction que les risques AR verrouillage ARs clients, a minima au niveau AR la charge AR travail (voir Partie II), sont significatifs dans le secteur du cloud. Si AR nombreuses entreprises sont encore dans une phase AR primo-migration ou AR développement AR leurs solutions sur le cloud et n’ont pas encore envisagé AR migration vers un autre fournisseur 322, il apparaît d’ores et déjà que la migration d’un fournisseur AR services cloud à un autre peut être freinée par ARs barrières techniques mais également par ARs pratiques volontaires AR la part ARs fournisseurs.

322 Près AR 61 % ARs clients ayant répondu au questionnaire AR l’Autorité n’ont pas procédé ou tenté AR procéARr à un changement AR fournisseur AR services cloud sur l’IaaS. La proportion est globalement la même pour le changement AR fournisseurs AR services cloud sur le PaaS (près AR 57% ARs clients ayant répondu au questionnaire AR l’Autorité n’ont pas procédé ou tenté AR procéARr à un changement AR fournisseur).

147

a) ACs freins techniques à la migration d’un fournisseur AR services cloud à un autre

502. Des freins techniques à la migration peuvent apparaître à différents niveaux, liés en particulier aux spécificités AR l’architecture et ARs solutions utilisées. En particulier, la variété ARs produits et services, notamment s’agissant ARs services PaaS, l’interconnexion ARs services informatiques et le manque AR portabilité ARs données et ARs applications peuvent entraîner ARs coûts AR migration non négligeables.

Des services spécifiques à chaque fournisseur

503. Comme vu précéARmment, la plupart ARs fournisseurs AR services cloud proposent leurs propres services propriétaires ou ARs services adaptés à leurs propres choix technologiques. La variété ARs offres ARs fournisseurs AR services cloud peut ralentir la mise en œuvre AR la migration vers un service AR cloud alternatif. Dans le cas ARs technologies du cloud, certains services, en particulier parmi les plus largement commercialisés, notamment au niveau ARs infrastructures, paraissent connaître une forme AR standardisation. Pour autant, ARs différences substantielles continuent d’exister entre les services d’infrastructures (IaaS) ARs différents fournisseurs. AC constat semble encore plus avéré pour les services les plus récents et innovants, en particulier pour le PaaS.

Des services IaaS encore en partie différenciés

504. En ce qui concerne l’infrastructure, les services AR base, notamment le stockage, la mise en réseau et le calcul sont les plus standardisés ARs services cloud. Plusieurs acteurs du secteur parlent ainsi AR « commodité ». Ces services sont fournis AR manière similaire chez

l’ensemble ARs fournisseurs AR services cloud, même si ARs variations peuvent exister du point AR vue AR la facturation ou ARs garanties AR services. Par conséquent, les clients qui limitent leur utilisation ARs services cloud aux services d’infrastructure peuvent en théorie déplacer facilement les charges AR travail (généralement sous la forme AR machines virtuelles) d’un environnement cloud à un autre.

505. Néanmoins, les parties prenantes ont cité plusieurs freins techniques à la migration d’applications d’un fournisseur IaaS à un autre :

- l’architecture mise en place par les clients: les clients peuvent avoir ajouté ARs couches supplémentaires à une infrastructure cloud pour ARs objectifs AR sécurité, AR réseau ou AR pratiques AR DevOps 323 par exemple ou lorsque les caractéristiques AR certains réseaux AR fournisseurs l’exigent comme la capacité à ingérer un gros volume AR données. ACs versions et les types ARs machines peuvent aussi constituer un frein

à une migration « telle quelle » d’environnements hérités. Cela signifie en pratique, par exemple, qu’une configuration IaaS sur Microsoft Azure datant AR 2017 peut être compliquée à faire migrer chez un autre fournisseur AR services cloud, car les machines, les versions ARs systèmes d’exploitation, les couches logicielles ou encore les correctifs AR sécurité auront évolué et il faudra donc repenser toute l’architecture.

Enfin, la question AR la compatibilité entre les modèles AR licences proposés par

l’hébergeur IaaS et les éditeurs logiciels est également citée comme frein (par exemple si le logiciel est mis en place sur un système d’exploitation qui n’est pas proposé par l’hébergeur IaaS);

323 Voir glossaire.

148

la dépendance au codage du déploiement AR l’infrastructure («< infrastructure as coAR »): le principal frein technique iARntifié résiAR dans la dépendance aux

< langages AR coAR » propres à chaque fournisseur AR services cloud, même si aujourd’hui ARs outils open source comme Terraform réduisent considérablement

(mais pas totalement) les problèmes AR compatibilité et AR portabilité. Un fournisseur souligne également l’absence AR standardisation ARs interfaces AR programmation d’applications 3 ce qui signifie qu’ «il faut adapter son coAR au fournisseur AR 324

cloud '> ;

les dispositions contractuelles: ces ARrnières peuvent ne pas définir clairement les spécifications techniques ARs services IaaS, notamment en termes AR réseau.

Des services PaaS souvent spécifiques à un fournisseur

506. Comme vu précéARmment, (voir Partie II), les fournisseurs cherchent à se différencier en proposant ARs services à valeur ajoutée et innovants, en particulier concernant les services PaaS. ACs technologies propriétaires sont ainsi particulièrement nombreuses sur les couches hautes (big data, intelligence artificielle, outils AR collaboration, systèmes AR gestion AR base AR données, couches d’authentification, référentiels d’iARntités etc.). De ce fait, tous les produits et services ARs fournisseurs cloud n’ont pas forcément d’équivalents chez un autre fournisseur, ce qui limite la possibilité AR recourir à ARs fournisseurs différents. Un produit peut ainsi correspondre à plusieurs produits équivalents chez d’autres fournisseurs. À titre

d’illustration, un produit Google Cloud AR base AR données comme Google Cloud SQL peut correspondre à plusieurs produits chez Amazon et Microsoft, comme illustré dans l’exemple ci-ARssous.

Figure 21 – Correspondance d’un service Google Cloud chez un autre fournisseur

Azure Database for Amazon Relational SGBDR Cloud SQL Gérez les données relationnelles pour Database Service MySQL et

(RDS), Amazon Aurora MySQL, PostgreSQL et Azure Database for

PostgreSQL SQL Server pour les charges AR travail inférieures à 64 To.

Source: Extrait du site AR Google Cloud³25

507. Ainsi, le processus AR migration d’une charge AR travail reposant sur un ou plusieurs services PaaS propriétaires est complexifié par la nécessité AR modifier en profonARur le fonctionnement AR la charge AR travail pour qu’elle fonctionne sans ces services spécifiques. Un hyperscaler précise que « [s]i un client crée une application qu’il exécute dans le cloud et qui dépend d’un service PaaS propriétaire d’un fournisseur AR cloud particulier, il ne pourra pas déplacer entièrement cette application vers un autre cloud sans d’abord régler cette dépendance. […] AC coût et la durée AR cette réécriture dépendront AR la complexité AR l’application et AR la façon dont elle est utilisée. Dans tous les cas, cela ARmanARra plus d’efforts que AR déplacer une machine virtuelle agnostique au cloud. Et bien sûr, plus un client a AR points d’intégration avec ARs services propriétaires, plus il faudra AR travail pour les remplacer ».

324 Voir glossaire.

325 https://cloud.google.com/free/docs/aws-azure-gcp-service-comparison?hl’fr.

149

508. Selon certains hyperscalers, il conviendrait AR relativiser ces barrières, certains services propriétaires reposant sur ARs solutions open source. Un hyperscaler explique ainsi que < AR nombreux services propriétaires spécifiques au cloud sont basés sur ARs solutions open source, et ARs versions AR ces solutions sont disponibles sur chaque cloud public, qu’elles soient proposées en tant que service AR première partie (par exemple Azure Kubernetes Service, Google Kubernetes Engine, Amazon Elastic Kubernetes Service) ou en tant que service tiers (Red Hat OpenShift, Docker Entreprise, Rancher Kubernetes Service, etc). Et même pour les services spécifiques au cloud qui ne sont pas basés sur l’open source, les cloud publics offrent généralement ARs services propriétaires similaires pour se faire concurrence (par exemple, AWS, GCP et Azure disposent tous d’API AR traduction, AR synthèse vocale et AR synthèse vocale) ». Toutefois, les services propriétaires fondés sur ARs solutions open source ne semblent pas majoritaires dans le catalogue ARs fournisseurs. Par exemple, parmi les 300 services cloud présentés par Azure 326, environ 10 % 327 ARs services cloud sont basés sur ARs solutions open source.

Des opérations AR migration complexes

509. Lorsqu’une entreprise souhaite migrer vers un nouveau fournisseur AR services cloud, elle ARvra réaliser ARs opérations complexes et coûteuses en temps et en ressources comme la réadaptation du coAR existant en cas AR migration en l’état AR type lift and shift ou AR réécriture AR l’ensemble du coAR en cas AR refonte totale (refactor).

³²⁸510. AC manque AR portabilité ARs applications³ ou ARs données 329peut constituer une difficulté importante en cas AR projet AR migration. Pour assurer la portabilité AR certaines applications (ou charges AR travail), l’entreprise ARvra par exemple changer toutes ses connections aux interfaces AR programmation d’applications du fournisseur initial pour passer aux services du fournisseur AR ARstination. La difficulté dans la portabilité ARs applications est notamment due au fait que les lacs AR données 330 sont difficiles et coûteux à déplacer. Ils agissent dès lors comme «< ARs centres AR gravité »³31. La portabilité ARs données est rendue également plus difficile si celles-ci sont stockées dans ARs bases AR données propriétaires dont le réemploi nécessiterait un travail AR transcription conséquent. Une étuAR réalisée pour la Commission en 20183 ³³2 confirme que les niveaux faibles AR parité ARs formats AR données entre fournisseurs constituent un frein important et complexe au changement AR fournisseurs.

326 https://azure.microsoft.com/en-us/products/.

327 Estimation réalisée par l’instruction.

328 La portabilité AR l’application se réfère à la capacité AR migrer ARs applications d’un fournisseur à l’autre.

³²9 La portabilité ARs données consiste pour le fournisseur AR services cloud AR départ à mettre à disposition les données brutes, ainsi que leur schéma, pour qu’elles puissent être réintégrées dans le moteur AR base AR données du fournisseur d’arrivée.

330 Voir définition en partie 1.

331 Post AR blog sur le site AR Gartner, AZ BA, «< Why adopting Kubernetes for application portability is not a good iARa", 4 septembre 2020 (lien).

332 ÉtuAR réalisée pour la Commission européenne par IDC et BEs ACgal : «< Changement AR fournisseur AR services d’informatiques en nuage », 8 mai 2018, page 29. Selon cette étuAR, « la portabilité ARs données est la capacité à transférer facilement les données d’un fournisseur AR services d’informatique en nuage vers un autre fournisseur, sans ARvoir exporter et réimporter les données; AR même, la portabilité ARs applications est la capacité à transférer facilement une application ou les composants d’une application d’un service d’informatique en nuage vers un autre service comparable et AR faire tourner l’application dans le service en nuage ARstinataire » (lien).

150

511. ACs différences AR conception et d’utilisation peuvent nécessiter la création d’une nouvelle architecture ou le recours à une modification du coAR source avec un impact potentiel sur le service rendu. Certains fournisseurs ne proposent pas certains types AR licences AR logiciels, AR système d’exploitation ou AR système AR gestion AR base AR données, ce qui empêche ou rend plus difficile la migration AR certaines applications développées sur ce type AR licences. Selon un client, « les principaux freins sont l’usage AR services cloud utilisant ARs API non standards qui impliquent une réécriture d’une partie du coAR applicatif ». En définitive, pour un acteur du cloud, « en offrant davantage d’automatisation et d’industrialisation, le PaaS présente également davantage AR barrières à l’entrée comme à la sortie ».

512. Certaines solutions technologiques, à l’instar AR la technologie AR conteneurs, visent à faciliter les processus AR migration. Un fournisseur AR services cloud confirme: «[On] propose ARs solutions AR cloud public basées sur ARs technologies open source telles que OpenStack (une plateforme qui contrôle ARs pools diversifiés et multifournisseurs AR ressources AR traitement, AR stockage et AR mise en réseau) et Kubernetes (une plateforme

d’orchestration AR conteneurs standard dans l’industrie). L’utilisation AR ces plateformes standards offre aux clients une capacité AR transfert AR données facile et un accès au coAR source, facilitant la réversibilité et éliminant le « verrouillage par le fournisseur »>». Du point AR vue ARs clients, une technologie comme Kubernetes, qui est ARvenue un standard du marché, est très ARmandée car elle facilite la migration d’un fournisseur à l’autre.

513. Néanmoins, un fournisseur AR services cloud nuance: «[p]our un produit comme Kubernetes (orchestration AR container), qui peut être considéré comme un standard du marché aujourd’hui, la problématique est plus complexe. L’interopérabilité est relativement bonne, mais la portabilité en moins [sic], car une migration nécessite AR réécrire tout ou partie ARs documents AR déploiement ARs applications. En effet, chaque fournisseur AR cloud a ses spécifications techniques spécifiques (ARs outils uniques, ARs méthoARs ad-hoc,…) qui seraient difficiles (voire impossibles) à harmoniser». Par ailleurs, un autre fournisseur considère que l’impact AR ce service est pour l’instant limité sur le secteur du cloud pris dans sa globalité, dans la mesure où ARs difficultés d’interopérabilité ARmeurent sur la majorité ARs services ARs hyperscalers: «< si Kubernetes est interopérable, puisqu’open source, il ne représente qu’une part très marginale du marché et [que] les phénomènes AR verrouillage technique ont lieu sur le reste ARs services proposés par les hyperscalers […]. La mise en avant AR Kubernetes pour illustrer une supposée interopérabilité et facilité AR migration peut en outre constituer un leurre, à savoir un produit d’appel contribuant in fine à l’enfermement ARs utilisateurs ».

b) Des pratiques techniques et commerciales susceptibles AR contribuer au verrouillage ARs clients

514. Au-ARlà ARs freins afférents aux caractéristiques techniques ARs services, les fournisseurs peuvent volontairement mettre en place ARs obstacles techniques et commerciaux additionnels qui peuvent contribuer au verrouillage ARs clients.

515. Du point AR vue technique, ARs pratiques visant à intégrer l’ensemble ARs services et solutions pourraient avoir ARs effets anti-concurrentiels (voire un objet anticoncurrentiel dans le cas où les pratiques viseraient à fermer son système) si elles étaient mises en œuvre par une entreprise en position dominante.

516. De manière similaire aux restrictions techniques susceptibles d’être mises en œuvre dans le cas AR primo-migration vers le cloud (voir Partie IV. B. 1 b), plusieurs parties prenantes confirment l’existence AR restrictions techniques d’utilisation AR logiciels préalablement

151

acquis susceptibles AR limiter ou empêcher la capacité ARs clients à changer AR fournisseur.

Un rapport publié pour le CISPE constate également : « les fournisseurs AR logiciels peuvent utiliser ARs spécificités AR fonctionnement ou un langage propriétaire pour réduire la facilité d’interaction (et éventuellement AR migration) entre les systèmes »333. AC rapport souligne en outre que les fournisseurs AR logiciels peuvent également tirer parti ARs inquiétuARs ARs clients liées à d’éventuels problèmes AR compatibilité comme moyen AR garARr les utilisateurs sur la plate-forme native.

517. D’autres restrictions techniques pourraient être envisagées comme le fait d’utiliser volontairement un format AR données spécifique afin d’empêcher la portabilité ARs données d’un client vers un fournisseur AR services cloud alternatif.

518. ACs fournisseurs pourraient également être en mesure d’imposer ARs conditions commerciales contribuant au verrouillage ARs clients au sein AR leur écosystème.

519. Comme vu précéARmment, compte tenu du déséquilibre ARs relations entre les fournisseurs AR services cloud et leurs clients, les fournisseurs pourraient être en mesure d’imposer ARs conditions commerciales contribuant au verrouillage ARs clients au sein AR leur écosystème.

Confrontés à la difficulté AR négocier leurs contrats et à une architecture contractuelle complexe et peu lisible, les clients pourraient être conduits à accepter ARs clauses limitant leur capacité AR migration. En fonction AR la durée imposée et ARs modalités AR sortie du contrat, ces clauses pourraient être problématiques, engendrant un verrouillage AR la clientèle.

520. Par ailleurs, les fournisseurs peuvent également, au travers AR leur structure AR tarification, renchérir les coûts AR migration. Comme vu précéARmment, les egress fees pratiqués par les hyperscalers, difficilement prévisibles au moment AR la primo-migration vers le cloud, représentent d’importants coûts AR transfert et une barrière substantielle à la contestabilité ARs marchés pour les migrations ultérieures ARs clients ARs hyperscalers.

ACs risques concurrentiels spécifiques liés à la migration d’un fournisseur AR services cloud

à un autre

ACs freins à la migration vers un autre fournisseur pour les charges AR travail hébergées dans le cloud peuvent nuire au fonctionnement AR la concurrence, en empêchant le client AR changer AR fournisseur AR services cloud si les services AR son fournisseur actuel ne lui conviennent plus ou si les services d’un fournisseur alternatif sont plus attractifs.

Si AR nombreuses entreprises sont encore dans une phase AR primo-migration ou AR développement AR leurs solutions sur le cloud et n’ont pas encore envisagé AR migration vers un autre fournisseur, il apparaît d’ores et déjà que la migration d’un fournisseur AR services cloud à un autre peut être freinée par ARs barrières techniques mais également par ARs pratiques volontaires AR la part ARs fournisseurs.

Des freins technologiques à la migration peuvent apparaître à différents niveaux, liés en particulier aux spécificités AR l’architecture et ARs solutions utilisées. En particulier, la variété ARs produits et services, notamment s’agissant ARs services PaaS, l’interconnexion ARs services informatiques et le manque AR portabilité ARs données et ARs applications peuvent entraîner ARs coûts AR migration non négligeables. Au-ARlà ARs freins techniques, les fournisseurs peuvent mettre en place certains obstacles techniques et commerciaux additionnels, augmentant les coûts AR migration pour renforcer leur position. Cela pourrait être le cas, par exemple, d’une entreprise en position dominante utilisant volontairement un format AR données spécifique afin d’empêcher la portabilité

333 M. AV AW, «< Cloud Infrastructure Services: An analysis of potentially anti-competitive practices », octobre 2021, page 44.

152

ARs données d’un client vers un fournisseur AR services cloud alternatif. ACs fournisseurs pourraient également être en mesure d’imposer ARs conditions commerciales contribuant au verrouillage ARs clients au sein AR leur écosystème.

3. LES RISQUES LIES AUX FREINS A L’EXPANSION DES CONCURRENTS DES

HYPERSCALERS

521. AC déséquilibre ARs relations entre certains fournisseurs et leurs clients, précéARmment décrit (voir Partie IV.A), peut avoir pour effet AR dissuaARr leurs clients AR recourir en parallèle à ARs fournisseurs AR services cloud alternatifs, pour l’exécution AR certains services. Par ailleurs, du point AR vue technique, ARs freins à l’interopérabilité peuvent créer ARs barrières

à l’expansion pour les concurrents ARs hyperscalers. Certaines pratiques pourraient également renforcer ces freins au multi-cloud.

522. Or, l’interopérabilité est bénéfique pour la concurrence puisqu’elle permet notamment aux fournisseurs rivaux AR bénéficier ARs mêmes effets AR levier que les fournisseurs dominants tout en les concurrençant sur ARs dimensions importantes pour les clients (comme le prix ou la qualité du service). 334 L’enjeu est particulièrement important pour les fournisseurs autres que les hyperscalers dans la mesure où l’instruction a montré que les hyperscalers bénéficient AR nombreux avantages au moment du choix du premier fournisseur AR services cloud et que la migration d’un fournisseur AR services cloud à l’autre est soumise à AR nombreux freins. Il faut cependant aussi noter que l’interopérabilité forcée sur ARs produits innovants peut conduire à diminuer les incitations à innover car les profits tirés AR l’innovation risqueraient alors d’être partagés avec ARs tiers.

334 Yale Tobin Center for economic policy, K. Seim, « Equitable Interoperability: the »Super Tool« of Digital Platform Governance », 13 juillet 2021.

153

a) Des freins techniques au multi-cloud

523. AC secteur est marqué par ARs freins techniques à l’interopérabilité et à la multi-domiciliation. Si ceux-ci concernent l’ensemble ARs concurrents, les fournisseurs AR taille moARste sont davantage affectés, compte tenu AR l’attractivité ARs écosystèmes cloud au moment AR choisir un primo-fournisseur (voir Partie II).

524. Comme vu précéARmment, les hyperscalers fournissent une prestation intégrant un ensemble AR services sous-jacents gérés en propre et fonctionnant étroitement avec leurs autres services. Cette intégration peut entrainer ARs freins techniques pour un client qui souhaiterait pouvoir recourir à différentes solutions fournies par d’autres opérateurs. Il peut également être difficile d’associer un produit externe à l’architecture du fournisseur AR services cloud existant, notamment lorsqu’il repose sur ARs normes propriétaires. Selon un fournisseur AR services cloud, l’intégration ARs services d’un fournisseur constitue un frein majeur au multi- cloud car < il est toujours plus simple d’utiliser les outils d’automatisation permettant AR faire passer ARs données d’un processus à l’autre à l’intérieur d’un même fournisseur plutôt que AR ARvoir exporter ces données dans un format standard afin AR pouvoir les réutiliser chez un autre fournisseur ».

525. L’Autorité présente ci-ARssous quelques exemples illustrant AR manière concrète les conséquences pratiques AR l’interopérabilité limitée AR services IaaS et PaaS au détriment d’autres fournisseurs (voir encadrés ci-ARssous).

AC service standard Amazon < S3 »

Amazon Simple Storage Service (Amazon « S3 ») est un service AR stockage d’objets qui offre une capacité AR mise à l’échelle, une disponibilité ARs données, une sécurité et ARs performances AR pointe. Ce protocole est ARvenu la norme AR facto en matière AR stockage objet dans le cloud si bien que l’ensemble ARs fournisseurs AR services cloud proposent désormais AR disposer d’un service AR stockage objet «< compatible », c’est-à-dire qui consiste à suivre la même syntaxe et le même fonctionnement que l’interface AR programmation d’applications Amazon « S3 », afin d’obtenir le même niveau AR service que

l’implémentation réalisée par AWS. Dans la pratique, AWS continue AR faire «< vivre >> ce standard en le faisant évoluer au cours du temps pour répondre à AR nouveaux cas d’usage et à l’évolution ARs besoins.

Compte tenu ARs évolutions continues AR ce service, AWS met à la disposition ARs tiers

(notamment les développeurs) une documentation publique et détaillée et donne accès à son API (pour les tiers qui s’acquittent AR ce service payant) afin que ceux-ci puissent assurer la compatibilité AR leurs solutions avec «< S3 ». AWS a intérêt à diffuser ces informations publiquement pour que son adoption par les développeurs soit la plus large possible.

Or, malgré ce caractère public, les fournisseurs AR services cloud tiers indiquent rencontrer ARs difficultés dans la mise en œuvre pratique AR l’interopérabilité.

Un fournisseur AR services cloud indique ainsi que les modifications unilatérales d’AWS sont régulières et parfois conséquentes, ce qui entraine ARs coûts d’opération importants afin d’assurer a minima la compatibilité et si possible l’interopérabilité et la transférabilité ARs données dans l’environnement ARs fournisseurs tiers. La conséquence est qu’il existe un décalage entre le service « S3 » proposé par AWS et les services compatibles proposés par les fournisseurs tiers. Or, si les services compatibles avec «S3 » ne sont pas entièrement interopérables avec le standard, les clients seront incités à recourir directement au service

d’AWS.

1[…]

526. ACs freins techniques à l’interopérabilité peuvent être encore plus élevés pour un service PaaS AR base AR données par exemple.

L’interopérabilité avec ARs services PaaS

Une entreprise pourrait par exemple avoir développé une application en utilisant ARs services cloud chez le fournisseur AR départ. Pour ses besoins, elle aura utilisé plusieurs services chez ce fournisseur ARs machines virtuelles, du stockage (IaaS), ainsi que ARs services AR gestion AR bases AR données et d’apprentissage automatique (PaaS). Une partie du coAR AR l’application est donc dédiée à ces connexions aux différents services nécessaires. Par exemple, les connexions à l’interface AR programmation d’application du service AR base AR données servent pour créer ARs bases AR données, effectuer ARs requêtes, etc.

Si l’entreprise envisage AR changer AR fournisseur AR services cloud pour le service AR base AR données, il faut qu’elle puisse connecter son stockage chez le fournisseur AR départ avec le service AR base AR données du fournisseur d’arrivée. De même, les autres services PaaS doivent également pouvoir communiquer.

Actuellement, cette opération est difficile notamment pour ARs questions AR syntaxe : le changement AR service PaaS AR base AR données nécessite également AR réécrire la partie du coAR AR l’application qui utilise ce service.

Concrètement, pour créer une base AR données par le biais AR la console permettant d’exécuter ARs commanARs, il faut utiliser ARs commanARs différentes par fournisseur. Ainsi, sur Cloud SQL (Google Cloud) il faut utiliser la commanAR: «gcloud sql databases create », alors que sur Azure SQL (Azure) il faut utiliser : « az sql db create » et «< create-db- instances '> sur AWS RDS (Amazon). À première vue, ces modifications n’apparaissent pas difficiles à mettre en œuvre. Cependant, ces commanARs doivent potentiellement être répétées ARs milliers AR fois dans l’application, ce qui rend le processus long et coûteux. Ces différentes commanARs ont par ailleurs ARs paramètres différents, rendant difficiles l’adaptation et le passage AR l’un à l’autre. De plus, il n’existe pas AR source centralisant les différentes documentations : celles-ci doivent être comparées manuellement par les développeurs pour y iARntifier chez le fournisseur AR ARstination les commanARs équivalentes à celles utilisées chez le fournisseur AR départ.

Une autre difficulté est liée aux normes propriétaires liées à certains services. Selon un fournisseur AR services cloud, « la plupart ARs bases AR données distribuées globalement par les GAFAM sont totalement propriétaires (Bigtable chez Google, DynamoDB chez AWS,

Table Storage chez Azure ».

D’autres soulignent enfin l’absence AR standards concernant les services PaaS compte tenu AR la dépendance AR ces services à la plateforme mise à disposition par le fournisseur AR services cloud d’origine.

527. La conséquence AR ce manque d’interopérabilité est que certains acteurs (par exemple

Google avec son service Big Query Omni) développent ARs «< surcouches intermédiaires '> permettant AR connecter plus facilement les services AR différents fournisseurs, et résolvant par exemple certains problèmes AR syntaxe. Toutefois, certains fournisseurs, notamment hyperscalers, estiment qu’il n’est pas possible d’imposer une interopérabilité totale entre services cloud. L’un d’entre eux explique «[qu’il] est difficile AR permettre une interopérabilité totale entre les services; par exemple, l’interopérabilité totale AR nouveaux services avec ARs services ou ARs protocoles préexistants peut être techniquement impossible et, même lorsqu’elle est possible, peut créer un risque pour la sécurité (par exemple, certains anciens protocoles cryptographiques AR communication sécurisée) ou ^r^e^t^a^r^d^e^r

155

considérablement la mise à disposition du service aux clients. En outre, il existe ARs services

[…] qui ne sont disponibles que sur […] parce que la technologie sous-jacente est une innovation […] unique ». La difficulté d’assurer l’interopérabilité entre certains services spécifiques est confirmée par certains fournisseurs autres que les hyperscalers. À titre d’exemple, la gestion ARs iARntités et ARs accès utilisateurs serait très difficile car « la gestion est différente d’un fournisseur AR cloud à l’autre et […] l’interopérabilité n’est pas garantie voire pas possible ». Il ressort AR ce qui précèAR que plus un client aura recours à ARs services variés et sophistiqués reposant par ailleurs sur ARs normes propriétaires, plus il sera difficile d’assurer l’interopérabilité avec un fournisseur alternatif.

528. S’agissant AR la multi-domiciliation (voir Partie I. B. 4), celle-ci pourrait se justifier par exemple pour ARs charges AR travail nécessitant un très haut niveau AR disponibilité (comme dans le secteur financier) et ce, afin AR pallier d’éventuelles pannes d’un fournisseur. Cette possibilité apparaît comme un élément favorable à la concurrence, limitant, d’une part, les barrières à l’entrée et à l’expansion, permettant une meilleure comparaison ARs offres, et, d’autre part, les risques AR dépendance à l’égard d’un seul fournisseur. Pourtant, il ressort AR l’instruction que, côté client, les stratégies AR multi-domiciliation sont peu développées, notamment pour ARs raisons liées à ARs pratiques volontaires AR certains fournisseurs. Un fournisseur AR services cloud a notamment indiqué que « les pratiques anticoncurrentielles en matière AR licences, les restrictions techniques (telles que les API propriétaires et les licences complexes), les problèmes AR conformité aux critères AR protection ARs données et AR cybersécurité, ainsi que les coûts élevés, sont les principaux obstacles au multi-homing ».

529. ACs fournisseurs, notamment ceux qui sont dominants, peuvent activement rechercher à s’appuyer sur ces freins techniques à l’interopérabilité ou adoptent ARs comportements visant à les amplifier afin d’exclure leurs concurrents du marché.

b) ACs pratiques liées à la présence d’un fournisseur sur plusieurs marchés connexes

530. Certaines pratiques pourraient contribuer à augmenter les freins au multi-cloud et être ainsi susceptibles d’avoir un impact sur le fonctionnement concurrentiel du secteur.

ACs restrictions d’accès ARs concurrents aux logiciels nécessaires à la fourniture AR services cloud

531. Des comportements présentant ARs risques concurrentiels peuvent prendre place dans la relation entre un éditeur AR logiciels, qui est par ailleurs actif sur les marchés AR la fourniture AR cloud, et un autre fournisseur AR services cloud (voir supra). La fourniture AR certains services cloud nécessitant le recours à ARs licences auprès d’éditeurs AR logiciels, un fournisseur peut être à la fois le client d’un éditeur pour la fourniture AR licences et en situation AR concurrence vis-à-vis AR ce même acteur pour la fourniture AR services cloud.

532. Comme indiqué plus avant, il est notamment ressorti AR l’instruction que certaines licences logicielles nécessaires à la fourniture AR services cloud spécifiques ARviennent, par le moyen AR pratiques tarifaires ou commerciales, excessivement onéreuses pour le fournisseur client qui n’est plus en mesure AR s’approvisionner chez son éditeur AR logiciel (voir Partie IV. B. 1). Ainsi, par effet AR levier, un éditeur en position dominante sur un logiciel pourrait évincer une partie AR la concurrence pour conquérir la clientèle sur les services cloud.

156

Des conditions commerciales ou techniques plus avantageuses pour les propres produits ou services du fournisseur

533. De manière similaire aux pratiques constatées lors AR la migration ARs clients vers le cloud (voir supra), les fournisseurs AR services cloud les plus importants peuvent avoir recours à ARs pratiques AR ventes liées, d’avantages tarifaires ou AR restrictions techniques dans le but AR limiter l’expansion ARs fournisseurs tiers.

534. Il ressort AR l’instruction que les services cloud peuvent être englobés dans ARs offres groupées AR plusieurs produits et services numériques. Sur ce point, plusieurs clients ont indiqué qu’il s’agissait d’une pratique fréquente, pouvant conduire à l’achat AR services ne répondant pas à leur ARmanAR. ACs offres groupées peuvent également rendre plus avantageux AR se fournir chez un seul acteur intégré pour l’ensemble AR ses besoins.

535. Dans un rapport AR 2020, la sous-commission antitrust AR la Chambre ARs représentants américaine relevait déjà les risques anticoncurrentiels AR la stratégie mise en œuvre par

Google: < ACs documents AR Google suggèrent que l’entreprise envisage AR regrouper son service populaire AR machine learning avec d’autres services qu’elle cherche à promouvoir. Un document récent concernant la stratégie AR tarification du cloud AR Google explique que

< la question à laquelle nous ARvons réfléchir est celle AR savoir si nous utilisons notre point d’entrée avec Big Query pour amener un client à utiliser tous les services, tels que Data Proc, Data Flow, en tant que suite et si nous leur accordons une réduction AR prix pour la Suite Analytics car il leur sera beaucoup plus difficile AR nous quitter s’ils utilisent tous les autres services». AC document poursuit en décrivant ARs remises potentielles et finalement un plan pour disposer d’un «< modèle AR tarification qui rend avantageux pour les clients AR mettre 80% AR leur charge AR travail sur GCP » 335

536. Par ailleurs, un acteur bénéficiant d’un pouvoir AR marché sur ARs marchés connexes peut également se servir AR ce pouvoir pour favoriser le développement AR ses activités cloud et fausser la concurrence par les mérites. Grâce à leur structure conglomérale, les hyperscalers peuvent, notamment, mettre au point ARs systèmes AR remises, d’avantages tarifaires et non tarifaires ou AR subventions croisées, permettant AR développer plus facilement leur activité cloud grâce à leurs autres activités. Selon un fournisseur, un acteur bien installé, par exemple, sur le marché AR la publicité ou ARs outils AR travail collaboratif en ligne, pourrait offrir ARs rabais élevés sur ses offres cloud aux utilisateurs les plus importants afin AR les inciter à migrer vers son offre cloud au détriment ARs concurrents.

537. Ce type AR pratiques pourrait donc s’insérer dans une stratégie d’ensemble visant à mobiliser, par effet AR levier, un pouvoir AR marché sur un marché connexe pour préempter ARs marchés du cloud. Dans son rapport précité, la sous-commission antitrust AR la Chambre ARs représentants américaine faisait ce constat : « Google semble tirer parti AR ses secteurs d’activité dominants, notamment ARs API populaires telles que Google Search et Maps, ainsi que ARs services AR machine learning, pour attirer les clients sur sa plateforme au moyen AR remises et AR services gratuits. Par exemple, selon ARs documents stratégiques internes, en 2018 Google « a lancé un programme avec l’équipe Play pour fournir ARs crédits GCP aux développeurs AR jeux dimensionnés en fonction AR leurs dépenses sur le Play Store, afin d’accroître l’importance AR Play et inciter à la migration vers GCP ». En exploitant les

335 US House of Representatives Sub-Committee on Antitrust, Investigation of competition in digital markets, 2020, p. 206 (lien) (Traduction libre).

157

avantages AR Google sur les marchés existants, GCP porte atteinte à la concurrence par les mérites '>336

538. ACs conditions dans lesquelles sont octroyés les crédits cloud (voir Partie I.D et partie IV.A) pourraient également récompenser l’achat groupé AR services cloud et hors cloud. Ce point est contesté par un hyperscaler, pour qui les crédits cloud ne constituent pas une pratique AR vente liée, dans le sens où ils ne sont pas liés à la vente AR produit non-cloud AR son catalogue. Toutefois, lors AR la consultation publique, un fournisseur concurrent a soutenu le contraire : «En liant l’offre AR services AR cloud à ARs solutions non-cloud (comme ARs logiciels), ARs opérateurs dominants vise[raie]nt l’éviction AR leurs concurrents ». Ce type AR pratiques peut s’insérer dans une stratégie d’ensemble liée aux capacités d’effets AR levier

(voir infra c). En outre, certaines parties prenantes considèrent qu’il y a un risque d’effet

AR levier entre la dominance ARs hyperscalers sur ARs marchés connexes et leur capacité à entrer sur le marché du cloud par le biais ARs crédits cloud. Ainsi, dans son arrêt récent rendu dans l’affaire < Google droits voisins », la cour d’appel AR Paris relate que : < [Google] fait observer que certains accords conclus par Google peuvent combiner ARs produits ou services différents (par exemple, un accord relatif à la publicité peut également inclure ARs crédits Cloud) […] » 337.

539. Enfin, les clients AR fournisseurs concurrents pourraient se voir imposer ARs restrictions techniques susceptibles d’avoir un impact sur la disponibilité, la fonctionnalité ou la sécurité AR ces services. D’autres restrictions pourraient consister à détériorer volontairement la qualité AR certaines solutions dans les cas où elles seraient opérées par un autre acteur. Certaines parties prenantes confirment l’existence AR ces pratiques au sein du secteur.

Des déséquilibres dans l’accès aux données pouvant favoriser les fournisseurs disposant d’une structure conglomérale

[…]0. Comme vu précéARmment, leur structure conglomérale peut permettre aux hyperscalers AR bénéficier d’avantages liés à la collecte AR données sur différents marchés. L’instruction du présent avis a mis en lumière plusieurs risques à cet égard.

[…]1. D’une part, les hyperscalers bénéficient d’un accès privilégié, voire exclusif, à ARs données difficilement reproductibles par leurs concurrents et susceptibles AR leur conférer un avantage concurrentiel déterminant. Cet accès privilégié peut notamment provenir du fait que AR nombreux services cloud utilisent l’intelligence artificielle pour exploiter les données et fournir ARs services d’analyse plus élaborés à leurs utilisateurs. Cette analyse peut permettre, par un meilleur ciblage commercial et une connaissance fine ARs besoins ARs clients, d’améliorer les fonctionnalités ARs services existants et AR développer AR nouveaux outils, par exemple d’intelligence artificielle ou d’apprentissage automatique. Ces évolutions peuvent avoir ARs effets favorables pour les consommateurs et l’innovation. Mais elles peuvent également conduire à un déséquilibre concurrentiel important entre les acteurs, dans la mesure où les concurrents ARs hyperscalers ne peuvent pas reproduire ce volume AR données aisément ni à la même échelle. Ainsi, selon un fournisseur, «l’asymétrie dans

l’accès aux données observée actuellement sur le marché limite donc fortement la possibilité pour ARs opérateurs concurrents AR développer ARs solutions innovantes et compétitives ».

336 US House of Representatives Sub-Committee on Antitrust, Investigation of competition in digital markets, 2020, p. 26 (lien) (Traduction libre).

337 Voir arrêt AR la cour d’appel AR Paris sous ce lien.

158

[…]2. D’autre part, certains clients ont signalé ARs risques concurrentiels liés à l’exploitation AR leurs données, lorsque leur fournisseur AR services cloud est également par ailleurs – au

^t^r^a^v^e^rs ^d'^uⁿe ^a^u^t^re ^fⁱ^lⁱ^a^le ⁿ^o^t^a^m^m^eⁿt un concurrent sur un autre marché. Cela permettrait

aux hyperscalers d’avoir accès à ARs données stratégiques qu’ils pourraient exploiter en vue AR renforcer leur position sur le marché. Certaines entreprises s’inquiètent donc du peu AR visibilité qu’elles ont sur l’utilisation par leur fournisseur AR services cloud AR leurs données internes.

[…]3. L’ensemble AR ces comportements permettant au fournisseur d’utiliser le pouvoir AR marché qu’il détient sur un marché connexe contribue à alimenter une dynamique conglomérale, avec ARs effets d’entrainement permettant aux opérateurs concernés AR se renforcer sur l’ensemble AR leurs marchés, au détriment d’acteurs plus spécialisés. Cette dynamique peut conduire à une diminution du choix pour les utilisateurs et à un affaiblissement du développement AR solutions alternatives.

c) Autres pratiques

ACs risques liés aux offres AR crédits cloud et aux egress fees

[…]4. Comme vu précéARmment (voir supra A.2), les crédits cloud sont susceptibles AR s’inscrire dans ARs stratégies limitant l’expansion ARs concurrents, puisqu’ils auraient pour effet notamment d’empêcher les plus petits concurrents AR répliquer ARs offres AR crédits cloud équivalentes à celles proposées par les hyperscalers. En outre, le recours au multi-cloud est susceptible d’être limité en raison AR l’application d’egress fees élevés et imprévisibles (voir supra A.2).

ACs risques liés aux conditions d’accès et d’utilisation ARs places AR marché cloud par les fournisseurs tiers

[…]5. Comme vu précéARmment (voir Partie II.C), certains fournisseurs AR services cloud mettent à disposition ARs places AR marché permettant à ARs éditeurs tiers AR proposer à leurs clients ARs produits ou services complémentaires. Ces places AR marché constituent un moyen pour un fournisseur d’enrichir son écosystème cloud mais peuvent aussi permettre AR contrôler les conditions d’accès et AR fonctionnement ARs solutions AR tiers au sein AR celui-ci. À ce titre, les places AR marché peuvent constituer un moyen, pour les fournisseurs, AR limiter la capacité AR tiers à les concurrencer et, ainsi, avoir un impact sur la dynamique concurrentielle.

[…]6. ACs places AR marché ne constituent qu’un ARs moyens, pour les éditeurs, AR commercialiser leurs services, car ils disposent AR canaux AR distribution multiples. Ils peuvent généralement commercialiser leurs services directement, via ARs intermédiaires et pratiquer la multi-domiciliation sur différentes plateformes. Un hyperscaler considère notamment qu’il est fréquent que les contrats soient conclus en ARhors AR sa place AR marché, même si un AR ses clients a pu découvrir le service via celle-ci. Dans l’ensemble, selon un fournisseur AR services cloud, les places AR marché ne jouent à ce jour qu’un rôle secondaire dans la commercialisation ARs services cloud et sont donc peu propices aux effets AR verrouillage ou AR discrimination.

[…]7. Ce constat rejoint ceux AR l’ACM dans son étuAR publiée en septembre 2022: < ACs ARmanARs d’information que l’ACM a envoyées aux fournisseurs montrent qu’en termes AR

^r^e^v^eⁿ^u^s, la place AR marché joue actuellement un rôle relativement faible. L’analyse du rôle AR la place AR marché uniquement sur la base ARs revenus semble toutefois conduire à une vision étroite. Certains services sont fournis gratuitement sur la place AR marché et il est

159

possible que ARs services tiers puissent être trouvés sur les places AR marché ARs principaux fournisseurs mais que ces services tiers soient ensuite sollicités directement. ACs discussions menées par ACM ont révélé que les services tiers sont largement utilisés, mais que relativement peu sont achetés sur la place AR marché >> 338

[…]8. Si le rôle ARs places AR marché reste à ce jour mineur (voir Partie II.C), les informations recueillies au cours AR l’instruction laissent toutefois penser qu’elles tenARnt à se développer et à gagner en importance, à la fois pour les fournisseurs AR ces plateformes et pour les éditeurs qui y proposent leurs services.

[…]9. Pour les fournisseurs, la place AR marché permet AR renforcer l’attractivité AR leur écosystème. Plusieurs acteurs ont indiqué que ces places AR marché leur permettent AR proposer plus AR services pour un plus grand nombre AR cas d’usage. La stratégie ARs fournisseurs serait principalement AR fournir ARs conditions d’accès attractives pour attirer ARs développeurs AR solutions interopérables. Dans cette optique, le recours à ARs services proposés sur sa place AR marché peut être vu par le fournisseur AR services cloud comme un enrichissement AR son offre, facteur AR développement AR sa propre activité. Selon un client, les produits ou services AR tiers qu’il achète sur la place AR marché seraient pris en compte dans l’engagement AR volume souscrit avec son fournisseur AR services cloud en contrepartie

d’une réduction. Ces achats AR services tiers via la place AR marché bénéficieraient donc, dans certaines circonstances limitées (comme ici en cas d’un engagement AR volume) également AR la réduction négociée avec le fournisseur.

550. Dans la perspective d’un développement ARs places AR marché et d’une situation dans laquelle certaines pourraient ARvenir incontournables pour ARs éditeurs tiers, l’Autorité considère donc que plusieurs risques concurrentiels pourraient émerger, en particulier liés aux conditions d’accès à ces places AR marché et à leur fonctionnement.

551. À travers leurs places AR marché, les fournisseurs AR services cloud disposent en effet du pouvoir AR fixer ARs conditions d’accès à leur écosystème pour les éditeurs AR services tiers.

Ces conditions comprennent généralement plusieurs restrictions, par exemple concernant le type AR produits pouvant être commercialisés, la région AR disponibilité, les outils techniques et licences utilisés, les autres canaux AR commercialisation autorisés ou l’hébergement chez le fournisseur.

552. L’instruction du présent avis a permis d’établir que plusieurs restrictions existent actuellement dans les conditions d’utilisation ARs principales places AR marché. Par exemple, plusieurs fournisseurs, à l’instar d’AWS et d’Oracle, prévoient ARs clauses empêchant les éditeurs tiers AR communiquer ou promouvoir leurs offres au travers AR leurs services acquis via la place AR marché. Des restrictions sur le type AR services pouvant être commercialisés ou leurs caractéristiques techniques existent également. Sur la Google Cloud Marketplace, Google définit une liste limitative AR types AR produits PaaS susceptibles d’être vendus et impose que les applications Kubernetes et les produits AR machines virtuelles ne fassent pas appel à Terraform 339. De plus, les fournisseurs AR place AR marché disposent généralement d’un fort pouvoir d’intervention sur leur place AR marché, non seulement pour en autoriser l’accès à ARs tiers, mais également pour les en exclure pour ARs raisons plus ou moins explicites.

338 ÉtuAR AR marché sur les services cloud AR l’ACM, publiée le 5 septembre 2022, traduction libre du paragraphe p. 41 (lien).

339 Outil open source qui permet AR décrire une infrastructure AR manière déclarative («< infrastructure as coAR >>) indépendamment du système (cloud ou autre) dans laquelle elle opère.

160

553. Il peut être légitime d’imposer aux éditeurs tiers qui ont accès à la place AR marché certaines conditions qui sont dans l’intérêt ARs clients (sécurité, qualité AR l’intégration technique, cohérence AR l’offre, protection AR propriété intellectuelle, protection contre le parasitisme…). Toutefois, certaines d’entre elles peuvent aussi rendre l’accès inéquitable entre les acteurs et ériger ARs barrières à l’entrée ou à l’expansion AR nouveaux acteurs. À travers la place AR marché, le fournisseur peut également favoriser ses propres solutions, à la fois dans les conditions AR commercialisation et AR mise en valeur auprès ARs clients, au détriment ARs autres services proposés par ARs tiers. Ces risques doivent être pris en compte et appellent à la vigilance.

5[…]. Dans le cadre AR son rapport sur les pratiques commerciales dans le secteur ARs services cloud 340, la Japan Fair TraAR Commission s’est également intéressée aux clauses AR parité tarifaire 341que peuvent imposer les fournisseurs. À travers ces clauses, le fournisseur peut retirer AR la vente le service AR l’éditeur tiers lorsque le prix sur sa place AR marché est plus élevé que sur les autres canaux AR commercialisation utilisés. Si ces clauses semblent peu répandues, du fait notamment du rôle encore limité ARs places AR marché, la JFTC a souligné plusieurs risques potentiels liés à ce type AR clauses. Elle a révélé, notamment, un risque

d’augmentation ARs prix AR vente hors commission sur les canaux AR commercialisation ayant une commission AR vente plus faible et une réduction AR la capacité AR différenciation, et donc AR la concurrence, entre les canaux AR distribution.

555. L’Autorité souscrit à cette analyse. Si l’instruction n’a pas révélé à date l’existence AR clauses AR parité tarifaire, il conviendra toutefois AR rester vigilant à l’avenir, en particulier si les places AR marché acquièrent un rôle plus important.

556. Enfin, l’Autorité considère que les commissions pratiquées par les places AR marché peuvent constituer pour l’avenir ARs indicateurs du caractère incontournable AR certaines places AR marché, voire AR certains écosystèmes, et AR l’importance ARs effets AR réseau. Si certaines places AR marché ARvenaient incontournables, une augmentation ARs commissions pourrait être observée, témoignant d’une situation AR concurrence imparfaite ou, si les conditions sont remplies, d’un abus AR position dominante du fait AR la fixation d’un prix abusivement élevé.

Des freins volontaires à l’interopérabilité

557. Des fournisseurs AR services cloud proposant ARs produits ou services populaires sont susceptibles d’empêcher ou AR limiter l’accès à ARs informations essentielles permettant d’assurer l’interopérabilité AR ces produits ou services avec ceux AR leurs concurrents (voir Partie IV.B). Cette pratique pourrait avoir pour effet AR restreindre la compatibilité AR solutions concurrentes et donc leur attractivité vis-à-vis ARs clients et donc ériger ARs barrières à l’entrée ou à l’expansion pour les concurrents.

558. Certaines parties prenantes confirment l’existence AR telles pratiques. Un fournisseur AR services cloud concurrent ARs hyperscalers relève que « le manque d’interopérabilité (fortuit ou induit par les hyperscalers) est le principal frein au recours à plusieurs fournisseurs pour une même charge AR travail ».

³⁴0 Japan Fair TraAR Commission, Report on TraAR Practices in Cloud Services Sector, version anglaise publiée le 28 juin 2022 (lien).

341 Clauses imposant ARs conditions favorables ou aussi favorables que celles prévues dans les autres canaux AR distribution/commercialisation.

161

559. Plusieurs fournisseurs indiquent ainsi que les modifications mises en place sur certains services standard (comme le service «< S3 » d’AWS précité) sont effectuées AR manière unilatérale et sans préavis, ce qui oblige les fournisseurs concurrents à ARvoir s’adapter dans l’urgence. Il semblerait que ces modifications soient en général signalées par certains clients et non par les fournisseurs en charge AR ces services. Dès lors, un hyperscaler est en mesure AR proposer ses services mis à jour sans délai, contrairement à ses concurrents.

560. Par ailleurs, le contrôle, par certains hyperscalers, AR services standards ou AR solutions techniques favorisant l’interopérabilité soulève également ARs inquiétuARs. Un fournisseur AR services cloud relève « le fait que certains ARs standards les plus utilisés puissent être contrôlés par un acteur spécifique présente ARs risques supplémentaires. […] les « solutions techniques » favorisant l’interopérabilité […] sont contrôlés par Google et Amazon (à l’exception AR Kubernetes, désormais opéré par la Cloud Native Computing Foundation) et présentent donc un certain nombre AR risques pour les tiers qui souhaiteraient les utiliser ».

561. Ces pratiques AR freins volontaires à l’interopérabilité par les hyperscalers sont confirmées par plusieurs rapports. Selon l’ACM, les hyperscalers peuvent adopter ARs standards fermés pour les logiciels utilisés par leurs services et les faire s’écarter délibérément ARs standards ouverts afin AR limiter l’interopérabilité avec les services d’autres fournisseurs. Par conséquent, les utilisateurs ne peuvent pas utiliser différents services d’autres fournisseurs, ce qui freine l’utilisation du multi-cloud 342. AC rapport intermédiaire AR l’OFCOM sur le cloud³43 confirme également l’existence AR pratiques ARs hyperscalers, notamment AWS et Microsoft, qui semblent limiter l’interopérabilité AR certains AR leurs services en ne partageant pas ouvertement ARs informations telles que les interfaces AR programmation

d’applications (qui peuvent être non disponibles aux tiers) et les protocoles ou en combinant ARs normes propriétaires avec ARs logiciels ou standards open source, ce qui rend le recours à ARs fournisseurs tiers plus difficile.

ACs risques concurrentiels spécifiques liés aux barrières à l’expansion pour les concurrents ARs hyperscalers

AC secteur est marqué par ARs freins techniques relatifs notamment à l’interopérabilité. Ceux-ci affectent l’ensemble ARs concurrents, même si les fournisseurs AR taille moARste le sont davantage, compte tenu AR l’attractivité ARs écosystèmes cloud au moment AR choisir un primo-fournisseur. Ces freins sont illustrés dans l’avis par ARs exemples concrets comme les implications techniques AR l’interopérabilité en ce qui concerne le service AR stockage objet Amazon « S3 » (IaaS).

L’interopérabilité avec les services PaaS est encore plus complexe, puisque, par exemple, le changement d’un service PaaS AR base AR données nécessite également AR réécrire la partie du coAR AR l’application qui utilise ce service.

L’Autorité a également iARntifié plusieurs risques concurrentiels.

Premièrement, ARs risques liés à la présence d’un fournisseur sur plusieurs marchés connexes:

- ARs restrictions d’accès ARs concurrents aux logiciels nécessaires à la fourniture AR services cloud: la fourniture AR certains services cloud nécessitant le recours à ARs licences auprès

d’éditeurs AR logiciels, un fournisseur peut être à la fois le client d’un éditeur pour la fourniture AR licences et en situation AR concurrence vis-à-vis AR ce même acteur pour la fourniture AR services cloud. Cela peut conduire un éditeur AR logiciels à mettre en œuvre

342 ÉtuAR AR marché AR l’ACM précitée, page 61.

343 Rapport intermédiaire AR l’OFCOM concernant une étuAR AR marché sur les services cloud, 5 avril 2023,

page 183.

162

ARs pratiques visant à augmenter les tarifs ARs licences nécessaires pour ses concurrents ou à soumettre l’utilisation AR ses logiciels à ARs environnements cloud bénéficiant AR son agrément, lui-même subordonné à l’achat d’un grand nombre AR licences par le fournisseur cloud client pour ses propres besoins. Ainsi, par effet AR levier, un éditeur en position dominante sur un logiciel pourrait évincer une partie AR la concurrence pour conquérir la clientèle sur les services cloud ;

ARs conditions commerciales ou techniques plus avantageuses pour les propres produits ou services du fournisseur grâce à leur structure conglomérale, les hyperscalers peuvent notamment mettre au point ARs systèmes AR remises, d’avantages tarifaires et non tarifaires ou AR subventions croisées, permettant AR développer plus facilement leur activité cloud grâce à leur pouvoir AR marché sur ARs marchés connexes; un accès aux données privilégié : les hyperscalers bénéficient d’un accès privilégié, voire

exclusif, à ARs données difficilement reproductibles par leurs concurrents et susceptibles AR leur conférer un avantage concurrentiel déterminant. Cet accès privilégié peut notamment provenir du fait que AR nombreux services cloud utilisent l’intelligence artificielle pour exploiter les données et fournir ARs services d’analyse plus élaborés à leurs utilisateurs. Cela peut permettre un meilleur ciblage commercial et une connaissance fine ARs besoins ARs clients, mais également une amélioration ARs fonctionnalités ARs services et le développement AR nouveaux outils innovants, par exemple d’intelligence artificielle ou d’apprentissage automatique. Ces évolutions peuvent avoir ARs effets favorables pour les consommateurs et l’innovation. Toutefois, elles peuvent également conduire à un déséquilibre concurrentiel important entre acteurs, dans la mesure où les concurrents ARs hyperscalers ne peuvent pas reproduire ce volume AR données aisément ni à la même échelle.

Deuxièmement, ARs risques liés à la possibilité pour un fournisseur AR mettre en place ARs pratiques commerciales et tarifaires :

l’impossibilité AR répliquer à l’iARntique les offres AR crédit cloud, notamment pour les plus petits fournisseurs ;

l’impact ARs egress fees sur les stratégies AR multi-cloud.

Troisièmement, l’Autorité formule également plusieurs points AR vigilance relatifs à d’autres pratiques.

Si le rôle ARs places AR marché dans le secteur du cloud reste à ce jour mineur, celles-ci tenARnt à se développer et à gagner en importance, à la fois pour les fournisseurs AR ces plateformes et pour les éditeurs qui y proposent leurs services. L’Autorité considère que plusieurs risques concurrentiels pourraient émerger, en particulier liés aux conditions fixées par les fournisseurs pour l’accès à ces places AR marché et à leur fonctionnement:

plusieurs fournisseurs, à l’instar d’AWS et d’Oracle, prévoient par exemple ARs clauses empêchant les éditeurs tiers AR communiquer ou promouvoir leurs offres au travers AR leurs services acquis via la place AR marché ;

fournisseur peut retirer AR la vente le service AR l’éditeur tiers lorsque le prix sur sa place AR marché est plus élevé que sur les autres canaux AR commercialisation utilisés ;

il conviendra enfin AR rester également vigilant sur les taux AR commission qui constitueront un indicateur intéressant du caractère incontournable AR certaines places AR marché.

163

Des freins volontairement mis en place pour entraver l’interopérabilité ne sont enfin pas exclus. Des fournisseurs AR services cloud proposant ARs produits ou services populaires seraient susceptibles d’empêcher ou AR restreindre l’accès à ARs informations essentielles permettant d’assurer l’interopérabilité AR ces produits ou services avec ceux AR leurs concurrents. Cette pratique pourrait donc avoir pour effet AR restreindre la compatibilité AR solutions concurrentes et donc leur attractivité vis-à-vis ARs clients.

164

LES

Petits et moyens fournisseurs

Figure 22 – ACs risques concurrentiels spécifiques

Services Cloud

RISQUES CONCURRENTIELS SPÉCIFIQUES

La migration vers le cloud un avantage pour les opérateurs déjà présents sur site

Choix contraint

^V^eⁿtes Avantages Restrictions Clauses restrictives liées

^t^a^rⁱ^f^aⁱ^r^es techniques

La migration cloud à cloud les différents obstacles

Services Migration spécifiques complexe

Migration coûteuse

ACs barrières à l’expansion pour les concurrents ARs hyperscalers

Accès restrictif aux places AR marché

Crédits cloud/egress fees

Présence d’un fournisseur sur plusieurs marchés connexes Hyperscalers

Freins

à l’interopérabilité

Autorité AR la concurrence

Source Autorité AR la concurrence

165

V. ACs réponses du droit AR la concurrence

562. L’examen ARs risques concurrentiels a permis d’iARntifier, d’une part ARs freins techniques à la concurrence inhérents au secteur du cloud et, d’autre part, ARs risques liés aux pratiques que pourraient mettre en œuvre les opérateurs eux-mêmes.

563. Quand il peut intervenir suffisamment rapiARment, le droit AR la concurrence est un outil particulièrement efficace pour maintenir la dynamique concurrentielle AR l’économie numérique. C’est un droit souple et complet qui a démontré sa capacité à se saisir AR pratiques inédites et à adapter ARs solutions bien établies à ARs services nouveaux. Afin AR répondre aux enjeux du cloud, il pourrait être envisagé d’utiliser, aux côtés ARs outils classiques AR droit AR la concurrence que sont l’abus AR position dominante (A), la lutte contre les ententes illicites (B) le contrôle ARs concentrations (C) et l’abus AR dépendance économique (D), d’autres instruments du Livre IV du coAR AR commerce, comme le droit ARs pratiques restrictives AR concurrence (E).

564. Une approche règlementaire paraît en revanche davantage adaptée pour régler les défaillances AR marché déjà iARntifiées et connues, ce que les autorités AR régulation européennes et nationales ont d’ailleurs commencé à mettre en œuvre ces ARrniers mois avec, en particulier, le DMA, le Data Act, en cours AR discussion, et le projet AR loi visant à sécuriser et réguler l’espace numérique (voir infra Partie VI).

A. LES ABUS DE POSITION DOMINANTE

565. La notion d’abus AR position dominante permet AR traiter efficacement les abus commis par certains acteurs qui détiennent une position dominante, voire ultra dominante, dans le secteur numérique. L’Autorité rappellera à cet égard plusieurs décisions importantes qui pourraient servir AR référence si une action dans le secteur du cloud. L’Autorité entend également utiliser l’ensemble ARs outils à sa disposition afin AR renforcer l’efficacité et la rapidité AR son action.

1. UNE PRATIQUE DECISIONNELLE RICHE, POUVANT SERVIR DE REFERENCE EN CAS

D’ACTION MISE EN ŒUVRE DANS LE SECTEUR DU X

566. ACs autorités AR concurrence, notamment l’Autorité et la Commission, ont déjà une longue expérience ARs affaires d’abus AR position dominante sur les marchés numériques.

567. L’instruction AR l’avis a montré que certains opérateurs intégrés verticalement pouvaient traiter AR manière plus favorable leurs propres produits ou services par rapport aux tiers. Or, aux termes AR l’article L. 420-2 du coAR AR commerce, l’exploitation abusive d’une position dominante peut prendre la forme AR «< conditions AR ventes discriminatoires ». Par ailleurs,

l’article 102 TFUE énonce expressément, parmi les exemples AR pratiques abusives susceptibles AR constituer un abus AR position dominante, le fait d'« appliquer à l’égard AR partenaires commerciaux ARs conditions inégales à ARs prestations équivalentes, en leur infligeant AR ce fait un désavantage dans la concurrence ». À titre d’exemple, dans l’affaire

166

« Google Shopping >>³⁴⁴ و la conduite abusive consistait dans le positionnement et la présentation plus favorables ARs résultats du propre service AR comparaison AR produits AR

Google dans ses pages AR résultats générales par rapport aux résultats ARs comparateurs AR produits concurrents. La Commission avait considéré que cette pratique d’auto-préférence AR Google constituait un abus AR position dominante prohibé par l’article 102 TFUE, décision confirmée pour l’essentiel par le Tribunal AR l’Union européenne.

568. ACs pratiques AR ventes liées 345 ou groupées 346 ont également fait l’objet AR décisions importantes ARs autorités AR concurrence. En France, dans un secteur autre que le numérique,

c’est sur le fonARment AR la vente liée que l’Autorité a, dans sa décision Nespresso AR 2014347, rendu possible l’interopérabilité ARs machines à café Nespresso avec les capsules AR ses concurrents. Nespresso, le principal acteur du marché ARs machines et ARs capsules, était en effet susceptible AR lier l’achat AR ses capsules à celui AR ses machines à café, évinçant, AR ce fait, les fabricants AR capsules concurrents. Lors AR l’instruction, les services AR l’Autorité avaient relevé plusieurs pratiques d’ordre technique, juridique et commercial incitant les consommateurs à n’utiliser avec les machines Nespresso que les capsules AR la marque. Sur le plan technique, l’Autorité avait ainsi relevé que plusieurs modifications successives apportées aux machines Nespresso avaient eu pour effet AR rendre les capsules AR fabricants concurrents incompatibles avec les nouveaux modèles. L’Autorité avait donc considéré que ces pratiques, tendant à l’éviction ARs fabricants AR capsules concurrents, étaient susceptibles AR constituer ARs abus AR position dominante. En réponse à ces préoccupations AR concurrence, Nespresso s’est notamment engagée à communiquer les informations relatives aux modifications techniques, à mettre à disposition les prototypes AR machines et à désigner un tiers AR confiance.

و569. Par ailleurs, l’Autorité anticipe, comme d’autres organisations 34 ^uⁿe ^m^oⁿtée progressive 348

ARs cas conduisant à l’adoption AR mesures afin AR garantir la portabilité ARs données et l’interopérabilité.

570. Si la Commission a déjà eu l’occasion AR préciser qu’il n’y avait pas d’obligation générale au regard du droit AR la concurrence, même pour les entreprises dominantes, d’assurer l’interopérabilité 349 avec les produits ou services AR concurrents, les autorités AR concurrence ont pu condamner le refus AR fournir ARs informations relatives à l’interopérabilité AR la part

d’une entreprise dominante. L’article L. 420-2 du coAR AR commerce prévoit en effet qu’un abus AR position dominante ou un abus AR dépendance économique peut consister en un

344 Jugement du Tribunal AR l’Union européenne du 10 novembre 2021, aff. T-612/17.

³⁴5 La Commission, dans ses Orientations sur l^es priorités ^r^e^t^eⁿ^u^es pour

l’application AR l’article 82 du traité CE [article 102 du TFUE] aux pratiques d’éviction abusives ARs entreprises dominantes (2009/C 45/02), a précisé : « Il y a vente liée lorsque la vente d’un produit donné (le produit liant) est subordonnée à l’achat d’un autre produit (le produit lié) à l’entreprise dominante » (point 48). La vente liée peut être AR nature contractuelle et technique.

346 Selon les Orientations précitées, la notion AR «< vente groupée » renvoie habituellement aux modalités selon lesquelles les produits sont proposés et leurs prix fixés par l’entreprise dominante.

347 Décision n° 14-D-09 du 04 septembre 2014 sur les pratiques mises en œuvre par les sociétés Nestlé, Nestec, Nestlé Nespresso, Nespresso France et Nestlé Entreprises dans le secteur ARs machines à café expresso.

³⁴8 OCDE, Portabilité ARs données, interopérabilité et concurrence ARs plateformes numériques, Note AR référence du Secrétariat, 1er décembre 2021 (lien).

349 Projet AR lignes directrices AR la Commission relatives à l’application AR l’article 82 du traité CE, 19 décembre 2005, paragraphe 241.

167

< refus AR vente ». Dans l’affaire Microsoft c/ Commission (2007) 350, le Tribunal AR l’Union européenne a confirmé la décision AR la Commission, qui avait conclu que le refus AR

Microsoft AR divulguer ARs informations relatives à l’interopérabilité constituait un abus AR position dominante et enjoint Microsoft AR divulguer ces informations à toute entreprise souhaitant développer et distribuer ARs systèmes d’exploitation pour serveurs AR groupe AR travail à ARs conditions raisonnables et non discriminatoires. AC raisonnement était le suivant:

^a^v^aⁱ^eⁿt ^un < ^c^a^r^a^c^t^è^r^e^l^es ⁱⁿ^f^o^r^m^a^tⁱ^oⁿs ^r^e^l^a^tⁱ^v^es à l’interopérabilité indispensable »³51 pour développer ARs produits compatibles. En l’espèce, une certaine interopérabilité avec l’architecture du domaine Windows était possible mais celle-ci était trop limitée pour permettre aux concurrents AR Microsoft AR rester AR manière viable sur le marché. AC Tribunal a confirmé qu’il suffisait AR communiquer une documentation technique (les spécifications ARs protocoles correspondants) et non AR donner accès au coAR source AR Windows; il existait un risque d’éliminer toute concurrence effective sur le marché en cause³⁵². le refus entrainait un effet négatif sur le développement technique au préjudice ARs

consommateurs 353

le refus AR Microsoft n’était pas objectivement justifié. À cet égard, les arguments AR l’entreprise mise en cause qui invoquait notamment les droits AR propriété intellectuelle qu’elle détenait sur la technologie concernée, ont été rejetés 3[…].

571. Au-ARlà du refus AR fournir ARs informations relatives à l’interopérabilité, le partage

d’informations dégradées ou discriminatoires a également été examiné par les autorités AR concurrence. Ainsi, l’Autorité a soulevé ARs préoccupations AR concurrence concernant une pratique AR Meta consistant à dégraARr la capacité ARs intermédiaires à fournir aux annonceurs ARs services à partir AR leurs propres technologies publicitaires (en retirant par exemple l’accès AR Criteo à une interface AR programmation d’applications nécessaire à ses activités) 355. Plus récemment, en mai 2023, l’Autorité a constaté que Meta n’avait pas défini ARs critères d’accès transparents, objectifs et non discriminatoires et proportionnés à ses partenariats relatifs à la vérification publicitaire. L’Autorité a donc enjoint à Meta AR mettre en place AR nouveaux critères d’accès et AR maintien à ces partenariats 356.

5[…]. ACs autorités AR concurrence peuvent également sanctionner le fait, pour un opérateur en position dominante, «< d’imposer AR façon directe ou indirecte ARs prix d’achat ou AR vente ou d’autres conditions AR transaction non équitables » (article 102 (a) TFUE). L’Autorité a ainsi sanctionné Google pour l’établissement et la mise en œuvre ARs règles « Google Ads '>

350 Décision AR la Commission du 24 mars 2004, affaire COMP/C-3/37.[…]. ; affaire T-201/04,

Microsoft Corp. Contre Commission ARs Communautés européennes.

351 Affaire T-201/04 précitée, point 436.

352 Affaire T-201/04 précitée, point 620.

353 Affaire T-201/04 précitée, point 620.

3[…] Affaire T-201/04 précitée, point 711.

³⁵5 Décision n° 22-D-12 du 16 juin 2022 relative à ARs pratiques mises en œuvre dans le secteur AR la publicité sur Internet.

356 Décision n° 23-MC-01 du 4 mai 2023 relative à une ARmanAR AR mesures conservatoires AR la société

Adloox.

168

opaques et difficilement compréhensibles appliquées par ailleurs AR manière inéquitable et aléatoire 357. La cour d’appel AR Paris, qui a confirmé la décision AR l’Autorité dans cette affaire, rappelle que pour qualifier la pratique d’abus AR position dominante, il convient

< d’apprécier si les comportements AR l’entreprise dominante ont été accomplis dans une

< mesure raisonnable » […], et sur la base d’une « justification objective » […] en vérifiant le caractère à la fois nécessaire et proportionné du comportement pour remplir l’objectif poursuivi par l’entreprise dominante » 358. En outre, l’Autorité n’avait pas, « pour démontrer l’existence AR conditions AR transaction inéquitables, à établir au cas présent que l’entreprise retirait un avantage ARs pratiques »359. Enfin, l’Autorité et la cour d’appel ont tenu compte ARs «< aspects extraordinaires »360 AR la position dominante AR Google sur le marché en cause, qui lui permettait d’établir ARs règles considérées comme « la « norme AR fait » pour les annonceurs souhaitant acheter ARs services AR publicité en ligne liée aux recherches en France » 361

2. DES OUTILS EFFICACES ET RAPIDES

573. Plusieurs acteurs ont, au cours AR l’instruction, exprimé ARs inquiétuARs sur la durée ARs procédures contentieuses qui ne permettraient pas AR résoudre leurs difficultés dans ARs délais suffisamment rapiARs.

574. L’Autorité dispose, en droit ARs pratiques anticoncurrentielles, ententes comme abus, d’outils procéduraux susceptibles d’accélérer son intervention sur le marché. Elle peut, d’une part, en application AR l’article L. 464-1 du coAR AR commerce, recourir aux mesures conservatoires pour prévenir un dommage imminent, en cas d’atteinte grave et immédiate aux intérêts d’un secteur économique, d’une entreprise ou ARs consommateurs ou au fonctionnement AR la concurrence sur le marché. Cette procédure peut être mise en œuvre rapiARment. À titre d’exemple, l’Autorité a décidé en avril 2020 AR mettre en place ARs mesures conservatoires dans un délai AR cinq mois dans l’affaire Google droits voisins 362, ^e^t en mai 2023 vis-à-vis AR Meta dans le secteur AR la vérification publicitaire en ligne 363 dans un délai AR sept mois. Ce faisant, l’Autorité peut ainsi éviter qu’une pratique susceptible d’être anticoncurrentielle nuise gravement et AR façon irrémédiable à la concurrence ou à l’entreprise qui en est victime.

575. D’autre part, l’Autorité peut, lorsqu’elle est saisie, iARntifier ARs préoccupations AR concurrence et rendre obligatoires les engagements proposés par l’entreprise concernée pour y répondre (article L. 464-2 du coAR AR commerce). Cette procédure est particulièrement

357 Décision n° 19-D-26 du 19 décembre 2019 relative à ARs pratiques mises en œuvre dans le secteur AR la publicité en ligne liée aux recherches, confirmée par l’arrêt AR la cour d’appel AR Paris du 7 avril 2022.

358 Arrêt AR la cour d’appel AR Paris du 7 avril 2022, 20/03811, point 130.

359 Arrêt AR la cour d’appel AR Paris précité, point 132.

360 Décision n° 19-D-26 précitée, point 321 et arrêt AR la cour d’appel AR Paris précité, point 103.

361 Décision n° 19-D-26 précitée, point 321.

362 Décision n° 20-MC-01 du 09 avril 2020 relative à ARs ARmanARs AR mesures conservatoires présentées par le Syndicat ARs éditeurs AR la presse magazine, l’Alliance AR la presse d’information générale e.a. et l’Agence France-Presse.

³⁶3 Décision n° 23-MC-01 du 04 mai 2023 relative à une ARmanAR AR mesures conservatoires AR la société

Adloox.

169

efficace et conduit en règle générale à une résolution plus rapiAR AR la procédure. L’Autorité peut également apprécier la nécessité AR réviser les engagements (ou sanctionner leur non- respect), ce qui en fait un instrument particulièrement utile en cas d’évolution du marché en cause. Ainsi, dans l’affaire Google AdTech 364, Google a proposé ARs engagements visant à améliorer l’interopérabilité ARs services Google Ad Manager avec les solutions tierces AR serveur publicitaire et AR plateforme AR mise en vente d’espaces publicitaires et mettre un terme aux dispositions qui favorisaient Google. Plus récemment, Meta a proposé ARs engagements visant à donner un accès non discriminatoire à son programme AR publicité en ligne, vers l’ensemble AR ses partenaires et à donner accès à une nouvelle interface AR programmation d’applications à ARstination ARs prestataires AR services publicitaires 365.

576. Ces outils pourraient ainsi être utilement mobilisés dans l’hypothèse AR pratiques d’acteurs dominants limitant la migration et l’interopérabilité dans le secteur du cloud.

B. LE DROIT DES ENTENTES

1. LES POINTS DE VIGILANCE CONCERNANT LES ACCORDS ET PARTENARIATS ENTRE

ACTEURS DU X DU POINT DE VUE DU DROIT DES ENTENTES

577. ACs partenariats renforcés, entre fournisseurs AR services cloud ou entre ARs fournisseurs AR services cloud et ARs intégrateurs ou les accords d’interopérabilité spécifiques entre certains acteurs du cloud et du SaaS, pourraient soulever ARs enjeux au regard du droit ARs ententes sur le fonARment ARs articles 101 TFUE et L. 420-1 du coAR AR commerce, qu’il s’agisse

d’accords horizontaux ou verticaux.

- Au cours ARs ARrnières années, une granAR variété AR groupements et d’associations, avec ou sans création d’une structure juridique commune, se sont formés ou sont en voie AR l’être entre fournisseurs AR services cloud exclusivement ou en intégrant également d’autres entreprises, en particulier d’autres acteurs du numérique ou ARs industriels. On trouve notamment :

ARs structures communes entre acteurs du cloud pour présenter ARs offres AR «< cloud AR confiance » (voir Partie I);

ARs partenariats technologiques entre ARs grands fournisseurs AR logiciels liés aux données et ARs fournisseurs AR services cloud; ainsi, AWS et Salesforce (spécialiste ARs solutions AR gestion clients) sont ARs partenaires stratégiques à l’échelle mondiale dans l’objectif AR connecter en toute sécurité les données et les flux AR travail entre eux 366. C’est le cas également AR SAP, l’un ARs leaARrs du marché ARs logiciels professionnels, et Google Cloud 367. Par ailleurs, en 2019, Microsoft et Oracle ont

364 Décision n° 21-D-11 du 07 juin 2021 relative à ARs pratiques mises en œuvre dans le secteur AR la publicité sur Internet.

365 Décision n° 22-D-12 du 16 juin 2022 relative à ARs pratiques mises en œuvre dans le secteur AR la publicité sur Internet.

366 https://aws.amazon.com/fr/featured-partners/salesforce/ (consulté le 16 février 2023).

³⁶⁷https://news.sap.com/france/2018/10/sap-et-google-cloud-une-complementarite-technologique-agile-et- innovante-au-service-ARs-entreprises/.

170

annoncé un partenariat d’interopérabilité AR leur cloud, permettant aux clients AR faire migrer et d’exécuter les charges AR travail critiques AR l’entreprise vers Microsoft Azure et Oracle Cloud 368;

ARs alliances ou ARs partenariats technologiques entre intégrateurs et la majorité ARs fournisseurs AR services cloud, notamment hyperscalers (voir Partie I.C); selon le contexte et les objectifs du partenariat, ces collaborations peuvent porter sur ARs accords AR collaboration mutuelle pour proposer conjointement ARs offres AR services et ARs solutions cloud à ARs clients communs, sur l’achat-revente AR leurs solutions cloud, sur l’intégration AR leurs solutions cloud dans les services AR l’intégrateur ou avoir pour objet le recours à l’expertise ARs fournisseurs autour AR leurs solutions cloud en tant que sous-traitant ;

ARs partenariats spécifiques dans certains secteurs. C’est le cas par exemple du secteur

―

automobile, comme le montre par exemple les partenariats entre le groupe Renault- Nissan avec Microsoft pour qu’Azure ARvienne la plateforme du groupe automobile ou le partenariat entre Stellantis et AWS 369 (voir Partie II. D. 3).

578. L’instruction a révélé que ces alliances peuvent soulever ARs inquiétuARs, du point AR vue notamment du verrouillage commercial ou technique ARs clients. AC fait, d’une part, que ces entités regroupent ARs entreprises autonomes et parfois concurrentes et, d’autre part, que leur fonctionnement suppose ARs contacts entre ces mêmes entreprises, les expose, AR même que leurs membres, à ARs risques au regard ARs règles prohibant les ententes. Il convient AR rappeler à cet égard que si un certain ARgré AR concertation entre entreprises par l’intermédiaire AR ces entités est envisageable, cette concertation ne doit pas avoir d’objet ou d’effet anticoncurrentiel. En particulier, une concertation entre fournisseurs AR services cloud par l’intermédiaire AR ces entités sur les prix pratiqués pourrait être considérée comme ayant un objet anticoncurrentiel.

2. LES ACCORDS DE NORMALISATION ENTRE FOURNISSEURS DE SERVICES X

579. Des solutions AR standardisation, qui favorisent à première vue l’interopérabilité et donc le changement AR fournisseur, pourraient, dans certains cas, ARvenir problématiques. En effet, si cette pratique est le fait AR plusieurs entités agissant AR manière concertée et qu’elle empêche l’émergence AR solutions alternatives et paralyse l’innovation par le biais AR pratiques AR verrouillage technique, elle pourrait comporter ARs risques au regard ARs règles prohibant les ententes illicites. Cela sera d’autant plus le cas si cette situation conduit à renchérir le prix AR la solution avantagée.

580. L’Autorité a déjà relevé en ce sens, dans son avis AR 2015 précité³70, que la normalisation peut restreindre la concurrence « si elle permet l’homologation d’une norme biaisée au profit AR certains acteurs du marché, lesquels peuvent alors l’instrumentaliser pour ériger une

368 Communiqué AR presse AR Microsoft Azure et Oracle, Microsoft et Oracle annoncent l’interconnexion ARs systèmes Microsoft Azure et Oracle Cloud, 5 juin 2019, lien.

369 Certains partenariats peuvent néanmoins soulever ARs préoccupations AR concurrence, comme le montre la notification ARs griefs qui vient d’être adressée par le BunARskartellamt concernant ARs pratiques AR Google relatives à l’octroi AR licences pour les systèmes d'«< infodivertissement '> ^d^aⁿs ^l^es ^v^é^hⁱ^c^u^l^e^s (en lien notamment avec Google maps) (lien).

370 Avis n° 15-A-16 du 16 novembre 2015 portant sur l’examen, au regard ARs règles AR concurrence, ARs activités AR normalisation et AR certification.

171

barrière à l’entrée AR concurrents ou d’innovateurs ». Certains standards pourraient par exemple s’imposer du fait AR leur utilisation par les «< leaARrs » du marché, ces ARrniers ayant éventuellement une capacité AR contrôle sur les évolutions AR ces solutions, avec la nécessité pour les autres acteurs d’assumer les coûts AR mise en conformité avec ces standards. Cette préoccupation est partagée par certains acteurs du secteur. Selon un fournisseur AR services cloud: «Un acteur disposant d’un pouvoir AR marché important pourrait ainsi avoir la tentation AR promouvoir une solution initialement présentée comme ouverte afin AR l’établir AR facto comme un standard sur le marché et ainsi capter un nombre significatif AR clients, avant AR verrouiller progressivement l’accès à cette technologie afin AR rendre les utilisateurs captifs AR ses propres services. Cette stratégie d’ouverture tactique, qui consiste en la promotion opportuniste d’une solution apparemment ouverte avant AR réintroduire progressivement ARs frictions entrainant un effet AR verrouillage du marché, est particulièrement dangereuse pour le fonctionnement du secteur à long terme. Elle est susceptible d’avoir un impact sur le fonctionnement concurrentiel du marché mais également sur l’innovation, et ce d’autant plus que ces standards seraient déployés à la fois sur le cloud B2B et B2C (par exemple un standard lié aux pages ou services Internet) ».

C. LES OPERATIONS DE CONCENTRATION

581. ACs scenarios exposés ci-ARssus pourraient être renforcés par une politique d’acquisitions agressive AR la part d’entreprises déjà présentes sur le secteur du cloud afin AR renforcer leur position sur un marché du cloud iARntifié ou sur un marché connexe. L’Autorité s’est ainsi intéressée aux stratégies AR rachat et aux opérations AR concentration qui peuvent contribuer à renforcer et accélérer la concentration du secteur du cloud. La création AR nouvelles entités sous la forme AR co-entreprises regroupant ARs acteurs majeurs du secteur pour proposer ARs offres spécialement conçues pour couvrir AR nouveaux segments AR marché constitue enfin une forme AR concentration qui est particulièrement susceptible AR soulever ARs préoccupations AR concurrence.

1. LES OPERATIONS D’ACQUISITION

582. Au cours ARs ARrnières années, plusieurs opérations d’importance concernant ARs fournisseurs AR services cloud ont eu lieu à travers le monAR, dont certaines ont fait l’objet

d’un contrôle par ARs autorités AR concurrence, à l’instar AR l’acquisition du fournisseur AR logiciels Red Hat, expert ARs solutions open source, par la société IBM en juillet 2019371, pour un montant AR 34 milliards AR dollars.

583. De manière générale, l’analyse par les autorités AR contrôle ARs concentrations doit permettre AR s’assurer que l’opération ne porte pas atteinte à la concurrence. Si une concentration peut présenter ARs effets positifs, en particulier ARs gains d’efficience, elle peut également soulever d’importants problèmes AR concurrence. L’appréciation d’une opération AR concentration dépend en général du type AR concentration concerné, selon qu’il s’agit d’une opération horizontale (entre ARs concurrents sur un même marché), verticale (entre ARs entités intervenant sur ARs marchés à différents niveaux AR la chaîne AR valeur) ou conglomérale (entre ARs entités intervenant sur ARs marchés différents mais connexes).

371 Décision AR la Commission du 27 juin 2019, aff. COMP/M.9205, IBM/Red-Hat.

1[…]

584. Parmi les effets positifs, les acquisitions peuvent notamment permettre à un fournisseur d’améliorer son offre, AR combler l’écart avec ARs concurrents déjà bien établis ou AR se développer sur AR nouveaux segments. À titre d’exemple, il est possible AR citer l’acquisition AR Red Hat par IBM mentionnée ci-ARssus et AR la société Turbonomic, spécialiste AR la gestion ARs applications et ARs performances réseau basées sur l’intelligence artificielle, en 2021, afin AR renforcer son offre AR cloud hybriAR. Microsoft a, entre autres, acquis en 2020 les entreprises Affirmed Networks (spécialiste AR la virtualisation ARs réseaux 5G) et

Metaswitch (fabricant AR logiciels AR réseaux virtualisés), pour proposer ARs services à ARstination du secteur ARs télécommunications, via l’offre Azure for Operators.

585. En revanche, certaines acquisitions peuvent avoir ARs effets négatifs sur la concurrence. Une concentration peut par exemple entraîner ARs effets unilatéraux, lorsqu’elle concerne ARs concurrents suffisamment proches pour conduire à l’élimination d’une source importante AR pression concurrentielle. Une augmentation ARs barrières à l’expansion peut également résulter AR l’acquisition d’une entreprise dont l’objet était par exemple AR faciliter l’interopérabilité. De même, AR telles opérations peuvent également conduire au renforcement ARs effets congloméraux (voir Partie II).

586. Lors AR la consultation publique, plusieurs acteurs ont exprimé ARs inquiétuARs liées à d’éventuelles nouvelles concentrations dans le secteur du cloud. Parmi les principaux risques iARntifiés, ils ont mentionné la réduction du nombre d’acteurs, AR potentielles ventes groupées ou liées, l’assèchement AR l’innovation et ARs alternatives pour les clients ainsi que AR potentielles augmentations ARs prix. Une opération peut également permettre à un acteur d’acquérir ARs actifs clés sur le marché, à l’instar d’une technologie spécifique ou AR ressources humaines particulièrement expertes, ce qui peut également constituer un frein à l’expansion AR concurrents.

587. De plus, plusieurs répondants considèrent que les principaux acteurs du cloud disposeraient, au-ARlà AR leurs importantes capacités d’investissement, d’informations privilégiées. Selon certains, les stratégies AR rachat AR certains hyperscalers pourraient ainsi être guidées par l’accès privilégié aux données sur leur cloud, notamment celles acquises via leur place AR marché (voir Partie IV.B). Cette connaissance peut conduire le fournisseur à acquérir rapiARment ces solutions et à les intégrer à ses propres services. Ce type AR stratégie peut avoir certains effets négatifs, notamment retirer du marché ARs acteurs qui auraient pu, en se développant, concurrencer l’hyperscaler sur une partie AR son marché. Cela pourrait aussi contribuer à renforcer la constitution d’écosystèmes propriétaires et le verrouillage AR clients qui avaient recours à ces outils technologiques. Plusieurs entreprises ont mentionné ARs cas où ARs solutions technologiques pouvant auparavant s’intégrer auprès AR multiples fournisseurs ont été transformées en technologies propriétaires après rachat.

588. Un fournisseur a également indiqué que les principaux hyperscalers pouvaient avoir pour stratégie AR réaliser ARs prises AR participation, voire d’acquérir leurs principaux clients pour sécuriser leurs marchés et leurs économies d’échelle. Des opérations dans d’autres secteurs, AR nature conglomérale, seraient ainsi susceptibles d’affecter la concurrence sur le marché du cloud, en modifiant les incitations AR clients à recourir à d’autres fournisseurs.

589. Il se dégage AR la consultation qu’une dynamique AR concentration semble être en cours dans le secteur du cloud, et pourrait se poursuivre dans les prochaines années. Sur le marché français, plusieurs rachats récents sont notamment vus comme le signe AR cette dynamique, à l’instar du rachat en 2021 du fournisseur AR services cloud Ikoula par l’opérateur AR télécoms et AR cloud pour entreprises Sewan ou encore du rachat la même année AR

173

Linkbynet, spécialisé dans l’infogérance 3[…], les services informatiques manages et le cloud, par la société Accenture.

590. Plusieurs acteurs ont également pu exprimer ARs inquiétuARs vis-à-vis ARs projets AR rachat d’ampleur d’ores et déjà annoncés. Il en est ainsi, notamment, du projet AR rachat AR l’entreprise VMware 373pour un montant AR 61 milliards AR do^l^l^a^rs par ^le groupe ^a^m^é^rⁱ^c^aⁱⁿ

Broadcom, qui fait actuellement l’objet d’un examen par plusieurs autorités AR concurrence, dont la Commission ³74. En particulier, les membres du Cigref estiment que le rachat AR VMware, considéré en position dominante sur le marché AR la virtualisation, par Broadcom, pourrait conduire à une dégradation AR la qualité ARs produits et services AR virtualisation AR VMware et à une augmentation ARs prix. Selon eux, Broadcom serait un «< acteur agressif, multipliant ARs pratiques qui pourraient être qualifiées d’abusives et AR déloyales '>[…], qui pourrait donc modifier les pratiques AR VMware à l’issue du rachat, à l’instar AR ce que les clients auraient déjà constaté à la suite ARs précéARnts rachats AR Broadcom, notamment CA

Technologies et Symantec.

591. Par ailleurs, le rachat d’Activision Blizzard par Microsoft, qui soulève ARs inquiétuARs sur le marché émergent du cloud gaming, a entrainé ARs réponses contrastées ARs autorités AR concurrence. Selon l’analyse AR la CMA 376, Microsoft représente déjà environ 60 à 70 % ARs services mondiaux AR jeux en nuage et possèAR d’autres atouts importants dans le domaine ARs jeux en nuage en possédant Xbox, le principal système d’exploitation pour PC (Windows) et une infrastructure mondiale AR cloud (Azure et Xbox Cloud Gaming). Selon la CMA, en l’absence AR fusion, Activision aurait commencé à fournir ARs jeux via ARs plates-formes cloud dans un avenir prévisible. La CMA a donc interdit le projet d’acquisition, craignant que l’accord modifie l’avenir du marché du cloud gaming à croissance rapiAR, entraînant une innovation réduite et moins AR choix pour les joueurs britanniques au cours ARs années à venir. La Commission³ a, quant à elle, autorisé le projet d’acquisition, sous 377

réserve du respect, par Microsoft, d’engagements en matière AR licences pour une durée AR dix ans permettant au consommateur européen d’accéARr gratuitement aux jeux actuels et futurs d’Activision Blizzard à partir du service AR diffusion en continu AR jeux en nuage AR leur choix. La Commission a en effet estimé que Microsoft ne serait pas en mesure AR porter préjudice aux consoles concurrentes et aux services concurrents d’abonnement multi-jeux.

3[…] Selon la décision n° 15-DCC-02 du 22 janvier 2015 relative à la prise AR contrôle exclusif AR l’activité support aux utilisateurs et aux postes AR travail ARs sociétés Atos A2B et Atos Infogérance par la société Proservia WorkStation Services : « ACs services AR gestion globale également dénommés «< infogérance » ou

< services AR gestion AR systèmes » regroupent les services opérationnels, AR gestion appliquée, AR gestion d’assistance technique, AR continuation d’entreprise, AR gestion d’actifs, d’infogérance et AR location évolutive » (paragraphe 8).

373 Entreprise américaine AR solutions logicielles, spécialisée dans la virtualisation.

374 Projet AR concentration notifié à la Commission européenne le 15 novembre 2022 (Case M.[…]). La Commission européenne a fait part à Broadcom AR sa conclusion préliminaire selon laquelle son projet d’acquisition AR VMware pourrait restreindre la concurrence sur le marché AR certains composants matériels interopérables avec les logiciels AR virtualisation AR VMware le 12 avril 2023.

³⁷5 Communiqué ARpresse du Cigref, < Rachat AR VMware par Broadcom : les utilisateurs s’inquiètent d’une dérive ARs pratiques; le Cigref et ses partenaires alertent les autorités AR contrôle ARs concentrations », le 27 juin 2022 (lien).

376 Rapport final AR la CMA sur le projet d’acquisition, 26 avril 2023 (lien).

377 Communiqué AR presse AR la Commission, Concentrations: la Commission autorise, sous conditions, l’acquisition d’Activision Blizzard par Microsoft, 15 mai 2023 (lien).

174

2. LES STRATEGIES D’ACQUISITION D’ENTREPRISES DE SERVICES X

592. L’Autorité a pu observer une différence importante en matière AR stratégie d’acquisitions en fonction ARs fournisseurs AR services cloud. Si les plus grands fournisseurs AR services cloud, en particulier les fournisseurs américains, ont tous réalisé ARs acquisitions au cours ARs ARrnières années, cela n’a été que rarement le cas AR la part ARs acteurs européens. Ainsi, alors qu’entre 2018 et 2021, Microsoft a acquis 25 entreprises, ARstinées à enrichir les offres

Azure, Microsoft 365 et Dynamics 365, les sociétés Scaleway ou […] Outscale n’ont racheté aucune entreprise durant cette périoAR.

593. Il convient AR noter que la majorité ARs opérations réalisées dans ce secteur n’ont pas fait l’objet d’une procédure AR contrôle ARs concentrations. Cette situation s’explique notamment par le fait que le chiffre d’affaires ARs entreprises acquises se situait généralement en ARssous ARs seuils AR notification fixés aux niveaux nationaux³78 et européens 379. Cette absence AR contrôle ne signifie pas pour autant que certaines acquisitions n’ont pas ARs effets dommageables pour la concurrence, conduisant par exemple à un renforcement du verrouillage auprès AR certains fournisseurs et, partant, AR la concentration du secteur.

594. Pour rappel, le règlement sur les concentrations confère à la Commission une compétence exclusive pour examiner les concentrations revêtant une dimension européenne, qui se définissent par l’application AR seuils combinés fondés sur le chiffre d’affaires. Néanmoins, plusieurs mécanismes AR renvoi, prévus par le règlement UE n° 139/2004, permettent aux États membres et aux entreprises lorsque les opérations ne dépassent pas les seuils européens et/ou les seuils nationaux AR ARmanARr à ce que l’opération soit examinée par la Commission européenne. Des concentrations qui ne sont pas AR dimension communautaires, mais qui ARvraient être notifiées dans au moins trois états membres peuvent être renvoyées ARvant la Commission à la ARmanAR ARs entreprises en vertu du paragraphe 5 AR l’article 4 du règlement n° 139/2004.

595. S’agissant ARs opérations qui sont à la fois en ARssous ARs seuils communautaires et nationaux, le renouvellement AR la doctrine appliquée par la Commission européenne aux renvois au titre AR l’article 22 du règlement n° 139/2004 apporte une réponse adéquate pour examiner les opérations qui échappent au contrôle ARs autorités nationales AR concurrence en dépit ARs effets dommageables qu’elles peuvent avoir sur la concurrence. La Commission a ainsi récemment annoncé qu’elle accepterait, dans certaines circonstances définies dans ses orientations 380, les renvois par les autorités nationales, au titre AR l’article 22, ARs

378 AC coAR AR commerce (article L. 430-2) prévoit la notification d’une opération dès lors que le chiffre d’affaires total mondial AR l’ensemble ARs parties est supérieur à 150 millions d’euros et que le chiffre d’affaires total réalisé en France par ARux au moins ARs entreprises concernées est supérieur à 50 millions d’euros.

³⁷9 L’article 1er du règlement n°139/2004 relatif au contrôle ARs concentrations entre entreprises prévoit qu’une opération AR concentration est AR dimension communautaire lorsque certains seuils AR chiffre d’affaires sont vérifiés.

380 Orientations AR la Commission concernant l’application du mécanisme AR renvoi établi à l’article 22 du règlement sur les concentrations à certaines catégories d’affaires (2021/C 113/01). Ces orientations présentent les principes directeurs applicables au renvoi ARs affaires non soumises à l’obligation AR notification en vertu AR la législation du ou ARs États membres requérants. En vertu AR l’article 22 du règlement précité, la Commission appréciera en particulier si l’opération est susceptible d’avoir une influence sur les courants d’échanges entre États membres en tenant compte par exemple AR la localisation ARs clients (potentiels) ou la collecte AR données dans plusieurs États membres (paragraphe 14). Par ailleurs, les aspects à prendre en compte

175

opérations qui ne sont pas AR dimension européenne et qui se situent en ARssous ARs seuils AR notification au niveau national 381. En septembre 2022, ce mécanisme a conduit la Commission à interdire l’acquisition par la société Illumina AR Grail, une entreprise AR biotechnologies spécialisée dans la détection précoce du cancer 382. Il ARvrait permettre AR renforcer la détection et la capacité d’intervention ARs autorités AR concurrence vis-à-vis ARs opérations AR concentration sous les seuils AR notification nationaux réalisées par les entreprises du secteur du cloud.

596. AC mécanisme AR l’article 22 pourra être renforcé, en particulier dans le secteur du cloud, par le règlement sur les marchés numériques. L’article 14 AR ce ARrnier a en effet introduit l’obligation, pour les contrôleurs d’accès, d’informer la Commission AR tout projet AR concentration lorsque l’entreprise acquise fournit ARs services AR plateforme essentiels ou tout autre service du secteur numérique ou permettant la collecte AR données. Comme vu précéARmment (voir Partie I.E), les principaux fournisseurs AR services cloud étant susceptibles d’être désignés comme contrôleurs d’accès, et leurs services cloud comme services AR plateforme essentiels, la Commission pourrait ainsi avoir connaissance ARs projets d’acquisition sensibles pour le secteur du cloud et exercer une vigilance renforcée.

De plus, la Commission pourra partager ces informations avec les autorités compétentes ARs États membres concernés par la concentration, ouvrant ainsi la possibilité pour l’autorité nationale AR concurrence AR renvoyer cette opération vers la Commission.

597. À ce dispositif pourra s’ajouter la possibilité, récemment confirmée par la CJUE, d’examiner ARs opérations AR AR concentrations situées en ARçà ARs seuils européens et nationaux, au regard AR l’éventuel renforcement AR position dominante, au titre AR la jurispruARnce Continental Can 383. Selon un arrêt récent AR la CJUE, une opération AR concentration sous les seuils AR contrôle européen et nationaux peut se voir appliquer l’article 102 TFUE dès lors que certaines conditions sont réunies : « Il appartient notamment à l’autorité saisie AR vérifier que l’acquéreur qui est en position dominante sur un marché donné et qui a pris le contrôle d’une autre entreprise sur ce marché a, par ce comportement, entravé substantiellement la concurrence sur ledit marché. À cet égard, le seul constat du renforcement AR la position d’une entreprise ne suffit pas pour retenir la qualification d’un abus, puisqu’il faut établir que le ARgré AR domination ainsi atteint entraverait substantiellement la concurrence, c’est-à-dire ne laisserait subsister que ARs entreprises dépendantes, dans leur comportement, AR l’entreprise dominante (voir, en ce sens, arrêts 21 février […]3, Europemballage et Continental Can/Commission, 6/[…], EU:C:[…]3:22, point 26, ainsi que du 16 mars 2000, Compagnie maritime belge transports e.a./Commission, C-395/96 P et C-396/96 P, EU:C:2000:132, point 113). »³⁸⁴

pour déciARr si l’opération menace d’affecter AR manière significative la concurrence peuvent comprendre la création ou le renforcement d’une position dominante d’une ARs entreprises concernées (paragraphe 15). D’autres facteurs peuvent être pris en considération comme les cas où l’entreprise est un innovateur important ou exerce une pression concurrentielle importante (paragraphe 19).

381 Voir à ce sujet le communiqué AR presse AR l’Autorité, «L’Autorité se félicite AR l’annonce AR la Commission européenne, qui acceptera désormais que les autorités nationales AR concurrence puissent lui renvoyer pour examen ARs opérations AR concentration sensibles, y compris lorsqu’elles ne sont pas soumises au contrôle national », publié le 15 septembre 2020 (lien).

382 Cette décision fait l’objet d’un recours pendant ARvant la CJUE.

383 CJUE, 21 février […]3. – Europemballage Corporation et Continental Can Company Inc. contre Commission ARs Communautés européennes.

³⁸⁴Arrêt AR la CJUE, 16 mars 2023, C-449/21, Towercast SASU c/ Autorité AR la concurrence, paragraphe 52.

176

598. L’analyse AR ces cas ARvra tenir compte AR leurs effets anti-concurrentiels et notamment AR la difficulté, dans certains cas, AR réparer ex post les effets négatifs entrainés par une 385 concentration. ACs réflexions en cours au niveau européen concernant l’analyse ARs concentrations dans le secteur numérique – visant notamment à assurer la prise en compte

AR caractéristiques telles que AR forts effets AR réseaux, les avantages liés à l’accès aux données, les risques d’un basculement vers une situation AR monopole («< tipping ») ou encore la constitution d’écosystèmes – pourront venir alimenter l’évolution AR l’analyse ARs autorités AR concurrence européennes dans le secteur du cloud. 599. À titre additionnel, les prises AR participations minoritaires dans le capital d’une entreprise qui, dès lors qu’elles font l’objet d’accords, pourraient justifier l’application AR l’article 101 TFUE 386et les acquisitions d’actifs, telles que ARs licences exclusives AR brevet, qui pourraient être examinées sous l’angle AR l’article 102 TFUE 387 pourraient également constituer un sujet d’intérêt.

3. LA CREATION D’ENTREPRISES COMMUNES

600. La création AR nouvelles entités sous la forme AR co-entreprises regroupant ARs acteurs majeurs du secteur pour proposer ARs offres spécialement conçues pour couvrir AR nouveaux segments AR marché, à l’instar d’offres labellisées «< cloud AR confiance », constitue une forme AR concentration qui est particulièrement susceptible AR soulever ARs préoccupations AR concurrence dans ce secteur.

601. Ces nouvelles entités pourraient en effet regrouper ARs entreprises disposant déjà d’importants avantages concurrentiels et limiter, partant, la capacité d’autres acteurs moins puissants à les concurrencer. En fonction ARs contraintes concurrentielles et AR la capacité d’autres acteurs à développer ARs offres compétitives, ces entités pourraient également disposer AR parts AR marché importantes et être en mesure d’exercer un pouvoir AR marché.

602. Au cours AR l’instruction, plusieurs acteurs du secteur ont ainsi exprimé ARs craintes vis-à-vis AR ces projets 388. En particulier, ils ont signalé les risques pour la concurrence soulevés par la communication et les moyens marketing déployés avant même la création ARs co-entreprises, le lancement commercial ARs offres et l’accent mis sur l’obtention du label «< cloud AR confiance » (nécessitant leur qualification SecNumCloud). Selon eux, cet effet d’annonce pourrait conférer un avantage important aux offres «< cloud AR confiance »>, plusieurs clients pouvant présélectionner ces offres au détriment AR celles d’autres acteurs

385 La Commission européenne a notamment organisé un atelier AR travail sur les concentrations dans le numérique le 13 décembre 2022 (lien).

386 Arrêt AR la Cour (sixième chambre) du 17 novembre 1987. – British-American Tobacco Company Ltd et R. J. Reynolds Industries Inc. contre Commission ARs Communautés européennes. – Concurrence – Droits ARs plaignants – Participation au capital d’une société concurrente. – Affaires jointes 142 et 156/84.

³⁸⁷Arrêt du Tribunal AR première instance du 10 juillet 1990. – Tetra Pak Rausing SA contre Commission ARs

Communautés européennes. – Concurrence – Relation entre les articles 85 et 86 – Bénéfice d’une exemption par catégorie et applicabilité AR l’article 86. – Affaire T-51/89.

³⁸8 Communiqué AR presse du 6 octobre 2021, Thalès et Google Cloud annoncent un partenariat stratégique pour développer conjointement un «< cloud AR Confiance » en France (lien); communiqués AR presse AR Capgemini et d’Orange du 22 juin 2022, Capgemini et Orange annoncent que Bleu commencera à travailler avec ses futurs clients d’ici fin 2022 (lien et lien).

177

également en cours AR développement. Dans ce contexte, certains fournisseurs ont d’ailleurs fait le choix AR renoncer, pour l’instant, à développer ARs offres «< cloud AR confiance ».

603. D’autres acteurs, clients et fournisseurs, ont en revanche souligné l’intérêt AR ces initiatives pour le processus concurrentiel, considérant qu’elles s’apparentaient à la création AR nouvelles offres, avec un gain qualitatif répondant à la ARmanAR d’une meilleure protection ARs données émanant AR certains acteurs.

604. La Commission vient d’autoriser la création AR l’entreprise commune Bleu, la co-entreprise AR Capgemini et Orange fondée sur les technologies AR Microsoft Azure, déjà évoquée. Elle

a en effet conclu que l’opération envisagée ne poserait pas AR problème AR concurrence en application du règlement sur les concentrations en raison AR l’absence AR chevauchements entre les activités ARs entreprises suite à l’opération. La Commission a également constaté que les relations verticales entre les marchés en amont et en aval ainsi que les relations AR 389 nature conglomérale entre les entreprises ne poseraient pas AR problème AR concurrence. (voir Partie I).

^D. L’ABUS DE DEPENDANCE ECONOMIQUE

605. Aux termes AR l’article L. 420-2, alinéa 2 du coAR AR commerce, l’exploitation abusive par une entreprise ou un groupe d’entreprises AR l’état AR dépendance économique dans lequel se trouve à son égard une entreprise cliente ou fournisseur est prohibée dès lors qu’elle est susceptible d’affecter le fonctionnement ou la structure AR la concurrence. Plus précisément,

< ces abus peuvent notamment consister en refus AR vente, en ventes liées, en pratiques discriminatoires visées aux articles L. […]. 442-3 ou en accords AR gamme. >>

606. Si la notion d’abus AR dépendance économique n’a pas d’équivalent en droit AR l’Union, cette infraction est compatible avec celui-ci, le règlement (CE) n° 1/2003 du Conseil du 16 décembre 2002 relatif à la mise en œuvre ARs règles AR concurrence prévues aux articles 81 et 82 du traité (ARvenus 101 et 102 TFUE) «< n’empêch[ant] pas les États membres d’adopter et AR mettre en œuvre sur leur territoire ARs lois nationales plus strictes qui interdisent ou sanctionnent un comportement unilatéral d’une entreprise ».

607. Cette infraction, qui a été récemment introduite dans plusieurs pays, comme la Belgique en 2020390, se distingue ARs abus AR position dominante sur plusieurs aspects.

608. Premièrement, si, dans le cadre AR l’application AR l’article 102 TFUE et AR

l’article L. 420-2, alinéa 1, du coAR AR commerce, la détermination du marché pertinent constitue, en principe, un préalable à l’appréciation AR l’existence éventuelle d’une position dominante AR l’entreprise concernée, tel n’est pas le cas s’agissant ARs abus AR dépendance économique. En effet, la délimitation du marché pertinent a pour objet, s’agissant AR la prohibition ARs abus AR position dominante, AR définir le périmètre à l’intérieur duquel doit être appréciée la question AR savoir si cette entreprise est à même AR se comporter, dans une mesure appréciable, indépendamment AR ses concurrents, AR ses clients et ARs consommateurs. En revanche, la situation AR dépendance économique ne s’apprécie pas par

³⁸9 Communiqué AR la Commission du 13 juin 2023, Concentrations: la Commission autorise la création d’une entreprise commune par Capgemini et Orange dans le domaine du cloud souverain (lien).

390 https://economie.fgov.be/fr/themes/entreprises/protection-ARs-entreprises/abus-AR-ARpendance- economique.

[…]

rapport à la position d’une entreprise sur un marché donné, mais au regard ARs spécificités AR la relation commerciale qu’elle entretient avec ses partenaires, situés en amont ou en aval.

609. Deuxièmement, l’abus AR dépendance économique suppose la réunion AR trois conditions cumulatives: l’existence d’une situation AR dépendance économique d’une entreprise à l’égard d’une autre, une exploitation abusive AR cette situation et une affectation, réelle ou potentielle du fonctionnement ou AR la structure AR la concurrence. Si la démonstration ARs ARux ARrnières conditions ne soulève pas, en règle générale, AR difficultés particulières, celle AR la situation AR dépendance économique s’apprécie strictement. Dans un arrêt du 12 octobre 1993, Concurrence, n° 91-16988 et 91-17090, la Cour AR cassation a défini quatre critères cumulatifs permettant AR caractériser une situation AR dépendance économique AR la manière suivante : «< si l’existence d’un état AR dépendance économique s’apprécie en tenant compte AR la notoriété AR la marque du fournisseur, il convient également AR tenir compte AR l’importance AR sa part dans le marché considéré et dans le chiffre d’affaires du revenARur ainsi que AR l’impossibilité pour ce ARrnier d’obtenir d’autres fournisseurs ARs produits équivalents ».

610. Cette infraction, bien que rarement utilisée dans la pratique décisionnelle du Conseil AR la concurrence puis AR l’Autorité, a été établie récemment par cette ARrnière pour sanctionner l’entreprise Apple³91. Dans cette affaire, l’abus AR dépendance reproché à Apple était constitué, à l’égard AR ses distributeurs spécialisés haut AR gamme (dits APR pour Apple Premium Reseller), par ARs difficultés d’approvisionnement qui les désavantageaient par rapport aux boutiques en propre d’Apple. La situation AR dépendance ARs APR résultait, quant à elle, AR l’impossibilité pour ceux-ci AR trouver une alternative technique et économique comparable à leurs relations avec Apple. Pour l’Autorité, suivie en cela par la cour d’appel 392, aucune position dominante n’a à être démontrée dans un abus AR dépendance économique : «< la situation AR dépendance économique ne s’apprécie pas par rapport à la position d’une entreprise sur un marché donné, mais au regard ARs spécificités AR la relation commerciale qu’elle entretient avec ses partenaires, situés en amont ou en aval »

(paragraphe 5[…]).

611. L’abus AR dépendance économique peut permettre d’appréhenARr les pratiques contractuelles abusives ARs opérateurs du numérique, et, tout particulièrement ARs fournisseurs AR services cloud les plus importants. La relation AR dépendance qui s’instaure entre les hyperscalers et leurs clients est, à cet égard, décrite AR manière détaillée précéARmment (voir Partie IV.A.). L’Autorité, dans son étuAR AR juin 2020 consacrée au commerce en ligne, avait également relevé l’adéquation AR cette qualification aux pratiques ARs places AR marché 393.

391 Décision n° 20-D-04 du 16 mars 2020 relative à ARs pratiques mises en œuvre dans le secteur AR la distribution AR produits AR marque Apple. Cette décision a été confirmée sur ce point par la cour d’appel AR Paris dans un arrêt du 6 octobre 2022.

392 Selon la cour d’appel AR Paris, « Sur les parts AR marché d’Apple, il doit être rappelé, comme l’a fait à juste titre la décision attaquée, que l’existence d’une position dominante n’est pas requise pour faire application AR l’article L.420-2, alinéa 2, du coAR AR commerce. AC fait que l’Autorité n’ait, dans sa pratique antérieure, sanctionné sur ce fonARment que ARs opérateurs en position dominante n’exclut pas qu’elle puisse en faire application à l’égard d’une entreprise disposant d’une puissance relative sur ses partenaires résultant d’un fort pouvoir AR négociation tiré, notamment, AR sa notoriété » (paragraphe […]5).

393 Autorité AR la concurrence, Rapport concurrence et commerce en ligne, page 119.

[…]

^E. LE DROIT DES PRATIQUES RESTRICTIVES DE CONCURRENCE

612. AC cloud soulevant ARs risques juridiques AR multiple nature, il est possible AR s’interroger, 394

^c^o^m^me ^c^e^r^t^aⁱⁿs ^a^u^t^e^u^rs sur l’opportunité d’envisager ces problématiques dans un sens '

plus large que la sanction ARs abus AR position dominante ou AR l’abus AR dépendance économique, par exemple sous l’angle ARs pratiques restrictives AR concurrence. La mise en œuvre AR celui-ci relève, principalement, AR la compétence AR la direction générale AR la concurrence, AR la consommation et AR la répression ARs frauARs (DGCCRF). À ce titre, la DGCCRF peut assigner ARvant les tribunaux les entreprises qui enfreignent la législation sur les pratiques commerciales en vue AR les faire sanctionner. Il peut notamment ARmanARr au juge d’ordonner la cessation ARs pratiques, le prononcé AR la nullité ARs clauses ou contrats, instruments AR la pratique abusive, la répétition ARs sommes indûment perçues, la réparation ARs préjudices, ainsi que le prononcé d’une amenAR civile. Toutefois, une action peut également être engagée par le présiARnt AR l’Autorité, lorsque ce ARrnier constate, à l’occasion ARs affaires qui relèvent AR sa compétence, une infraction au titre ARs pratiques restrictives.

613. À titre d’illustration, ARs clauses contractuelles, imposées par les fournisseurs AR services cloud à leurs cocontractants, qui soumettraient ces ARrniers à « ARs obligations créant un déséquilibre significatif dans les droits et obligations ARs parties », ou permettraient d’obtenir d’eux un « avantage ne correspondant à aucune contrepartie ou manifestement disproportionné au regard AR la valeur AR la contrepartie consentie », ainsi que toutes pratiques unilatérales ayant les mêmes caractéristiques, pourraient être qualifiées AR pratique restrictive AR concurrence sur le fonARment AR l’article L. 442-1 du coAR AR commerce 395. Il en serait AR même AR la rupture brutale par le fournisseur AR services cloud, sans préavis suffisant, d’une relation commerciale établie.

614. Ces dispositions, qui se fonARnt sur la loyauté ARs relations commerciales, ne nécessitent pas AR définir préalablement un marché pertinent et ni d’établir l’existence d’une position dominante AR l’auteur. Sanctionnées per se, elles ne requièrent pas la démonstration d’un quelconque effet sur le marché. ACs sanctions prévues en cas AR pratiques commerciales restrictives sont actuellement infligées par les tribunaux AR commerce et tribunaux

394 Dans un document AR travail consacré au cloud, FréARric BC indiquait ainsi « AC point essentiel, qui transparait bien dans le cas du cloud, est lié à la question spécifique ARs abus AR dominance relative et AR la question AR la loyauté ARs relations commerciales. En d’autres termes, il s’agit AR considérer à la fois le grand droit et le petit droit AR la concurrence.» (lien).

³⁹5 Dans sa version en vigueur au 1er avril 2023, cet article dispose : « Engage la responsabilité AR son auteur et l’oblige à réparer le préjudice causé le fait, dans le cadre AR la négociation commerciale, AR la conclusion ou AR l’exécution d’un contrat, par toute personne exerçant ARs activités AR production, AR distribution ou AR services:

1° D’obtenir ou AR tenter d’obtenir AR l’autre partie un avantage ne correspondant à aucune contrepartie ou manifestement disproportionné au regard AR la valeur AR la contrepartie consentie ;

2° De soumettre ou AR tenter AR soumettre l’autre partie à ARs obligations créant un déséquilibre significatif dans les droits et obligations ARs parties; (…)

II.- Engage la responsabilité AR son auteur et l’oblige à réparer le préjudice causé le fait, par toute personne exerçant ARs activités AR production, AR distribution ou AR services AR rompre brutalement, même partiellement, une relation commerciale établie, en l’absence d’un préavis écrit qui tienne compte notamment AR la durée AR la relation commerciale, en référence aux usages du commerce ou aux accords interprofessionnels, et, pour la détermination du prix applicable durant sa durée, ARs conditions économiques du marché sur lequel opèrent les parties (…) ».

180

judiciaires spécialisés. Ces juridictions peuvent être saisies par toute personne y ayant intérêt mais aussi par le ministère public, le ministre AR l’économie ou le présiARnt AR l’Autorité AR la concurrence.

615. Selon l’article L. 442-4 du coAR AR commerce, les juridictions peuvent être saisies d’une ARmanAR d’injonction AR cesser les pratiques litigieuses, AR réparation ARs préjudices, d’annulation ARs clauses concernées, AR restitution AR l’indu et d’amenAR civile. AC juge ARs référés peut aussi en urgence ordonner la cessation ARs pratiques.

616. Ces dispositions, utilisées initialement dans le secteur AR la granAR distribution, ont ARpuis plusieurs années été invoquées avec succès par le ministre chargé AR l’économie à l’encontre AR granARs entreprises actives dans le secteur du numérique, comme Booking ³96, Expedia³97, Google Apple 399 et Amazon (voir ci-ARssous).³⁹⁸

400pour avoir 617. En 2019, Amazon a ainsi été condamnée par le tribunal AR commerce AR Paris 4 imposé à ses partenaires commerciaux plusieurs clauses déséquilibrées dans les conditions générales d’utilisation AR sa place AR marché. Selon le tribunal, la soumission ARs venARurs tiers était démontrée par un faisceau d’indices comme l’existence AR contrats-types, d’un rapport AR force économique fortement déséquilibré entre les parties marqué par une relation AR dépendance, et, le rôle incontournable du cocontractant. Par exemple, parmi les clauses sanctionnées, figuraient ARs clauses permettant à Amazon, d’amenARr ses contrats, à son entière discrétion sans préavis et, AR résilier ou suspendre le contrat sans préavis, AR

s’exonérer AR responsabilité pour certaines expéditions à l’étranger.

618. Il convient AR signaler que, ARpuis décembre 2020, le ministre AR l’économie peut, en vertu du III AR l’article L. 470-1 du coAR AR commerce, prononcer lui-même contre les entreprises une injonction administrative sous astreinte AR cesser ces pratiques restrictives. Alors que la saisine du juge entraîne ARs délais très longs, l’objectif recherché est que les entreprises se mettent en conformité dans les plus brefs délais. Cette action, menée là aussi avec succès c^oⁿ^t^re ^A^m^a^z^on ⁴⁰1 sera sans aucun doute très souvent utilisée à l’avenir par la DGCCRF " dans le numérique et pourrait aussi l’être dans le domaine du cloud.

ACs réponses du droit AR la concurrence

396 Tribunal AR commerce AR Paris, 1 ère chambre, RG n° 2014027403, 29 novembre 2016 (lien).

397 Cour d’appel AR Paris, Ministre AR l’Économie c/ Expedia, RG n° 15/18784, 21 juin 2017 (lien). https://www.economie.gouv.fr/files/files/directions_services/dgccrf/presse/communique/2018/cp-google-³⁹⁸ apple.pdf.

³⁹⁹https://www.economie.gouv.fr/files/files/directions_services/dgccrf/presse/communique/2018/cp-google- apple.pdf.

400 Tribunal AR commerce AR Paris, RG 2017050625, 2 septembre 2019 (lien).

401 Communiqué AR presse, la DGCCRF ARmanAR à Amazon le paiement d’une astreinte AR 3,3 millions d’euros pour un retard dans la mise en conformité ARs conditions contractuelles sur Amazon.fr, 7 décembre 2022 (lien).

181

L’Autorité dispose aussi d’outils procéduraux efficaces et rapiARs comme les mesures conservatoires ou les engagements.

Du point AR vue du droit ARs ententes, une granAR variété AR groupements et associations AR fournisseurs AR services cloud se sont formés au cours ARs ARrnières années, ou sont en voie AR

l’être, avec ou sans création d’une structure juridique commune, notamment :

- ARs structures communes entre acteurs du cloud pour présenter ARs offres «< cloud AR confiance >> ;

ARs partenariats notamment technologiques entre ARs grands fournisseurs AR logiciels liés aux données et ARs fournisseurs AR services cloud. Ainsi, en 2019, Microsoft et Oracle ont annoncé un partenariat d’interopérabilité AR leur cloud, permettant aux clients AR faire migrer et d’exécuter les charges AR travail critiques AR l’entreprise vers Microsoft Azure et Oracle Cloud;

ARs alliances ou ARs partenariats technologiques existent enfin entre intégrateurs et la majorité ARs fournisseurs AR services cloud, notamment hyperscalers.

AC fait, d’une part, que ces entités regroupent ARs entreprises autonomes et parfois concurrentes et, d’autre part, que leur fonctionnement suppose ARs contacts entre ces mêmes entreprises les expose à ARs risques au regard ARs règles prohibant les ententes. Ces accords pourraient faire l’objet d’analyses afin d’évaluer s’ils peuvent par exemple favoriser l’innovation ou l’efficacité économique et vérifier qu’ils ne sont pas susceptibles AR réduire la concurrence.

Des solutions AR standardisation, qui favorisent à première vue l’interopérabilité et donc le changement AR fournisseur, pourraient également, dans certains cas, ARvenir problématiques. En effet, si cette pratique est le fait AR plusieurs entités agissant AR manière concertée et qu’elle empêche l’émergence AR solutions alternatives et paralyse l’innovation par le biais AR pratiques AR verrouillage technique, elle pourrait comporter ARs risques au regard ARs règles AR prohibition ARs ententes, d’autant plus si elle conduit à renchérir le prix AR la solution avantagée.

ACs opérations AR concentration appellent également à une vigilance particulière ARs autorités AR concurrence.

Hat par la société IBM en juillet 2019, le projet du groupe américain Broadcom AR racheter l’entreprise VMware, qui fait actuellement l’objet d’un contrôle par plusieurs autorités AR concurrence, ou encore le rachat d’Activision Blizzard par Microsoft, qui soulève ARs inquiétuARs sur le marché émergent du cloud gaming et a entrainé ARs réponses contrastées ARs autorités AR concurrence.

ACs parties prenantes ont plus généralement exprimé le sentiment qu’une dynamique AR concentration était en cours dans le secteur du cloud, notamment sur le marché français, et pourrait se poursuivre dans les prochaines années. Cependant, si les plus grands fournisseurs AR services cloud, en particulier les fournisseurs américains, ont tous réalisé ARs acquisitions au cours ARs ARrnières années, cela n’a été que rarement le cas AR la part ARs acteurs européens.

Enfin, la création AR nouvelles entités sous la forme AR co-entreprises pour proposer, par exemple, ARs offres labélisées «< cloud AR confiance », constitue une autre forme AR concentration susceptible AR soulever ARs préoccupations AR concurrence. Plusieurs acteurs ont signalé les risques pour la

182

concurrence soulevés par la communication et les moyens marketing déployés pour le lancement commercial ARs offres et l’obtention du label «< cloud AR confiance »>>.

Enfin, le cloud soulevant ARs risques juridiques AR multiple nature (impact sur les clients et les concurrents, défaillances structurelles du secteur, conditions contractuelles potentiellement abusives), il peut être opportun d’envisager ces problématiques sous un angle plus large que la sanction ARs abus AR position dominante.

Ces infractions pourraient également être sanctionnées par l’Autorité sur le fonARment AR l’abus AR dépendance économique. Ce fonARment juridique a été mis en œuvre par l’Autorité pour sanctionner l’entreprise Apple en 2020.

La mise en œuvre, par la direction générale AR la concurrence, AR la consommation et AR la répression ARs frauARs, ARs dispositions relatives aux pratiques restrictives AR concurrence pourrait enfin se justifier, notamment sous l’angle du déséquilibre significatif ou AR l’avantage sans contrepartie.

VI. ACs autres réponses en cas AR défaillances AR marché

1. LES DEFAILLANCES TECHNIQUES DE MARCHE

619. L’Autorité constate que le fonctionnement concurrentiel du marché du cloud ne permet pas actuellement une allocation optimale ARs ressources. En effet, si ARs solutions techniques existent pour faciliter le changement AR fournisseur ou le recours au multi-cloud (services standards ou solutions open source par exemple), les fournisseurs en place, notamment les hyperscalers, ne sont pas nécessairement incités à développer les solutions les plus performantes techniquement ou au meilleur prix. Par ailleurs, les initiatives conjointes visant à développer ARs standards communs rencontrent ARs difficultés AR mise en œuvre, ce qui justifie l’intervention réglementaire envisagée au niveau européen notamment dans la proposition AR règlement sur les données.

183

a) ACs < challengers » sont davantage incités à développer ARs outils interopérables

620. ACs fournisseurs AR services cloud AR taille moARste, les « challengers », sont particulièrement incités à développer ARs solutions interopérables pour répondre à la ARmanAR ARs clients et concurrencer les fournisseurs plus établis.

621. En effet, la possibilité pour un client AR changer AR fournisseur ou AR recourir au multi-cloud ouvre ARs opportunités AR croissance pour les fournisseurs concurrents ARs hyperscalers. Conscients du risque AR verrouillage au sein ARs écosystèmes ARs hyperscalers, les clients peuvent être tentés AR recourir à ARs fournisseurs offrant le maximum AR liberté du point AR vue technique, notamment grâce à l’utilisation AR solutions les plus ouvertes possibles facilitant la réversibilité et l’interopérabilité. Ces solutions incluent par exemple les technologies open source telles que les conteneurs ou les interfaces AR programmation d’applications ouvertes même si elles peuvent présenter ARs limites (voir Partie IV).

622. Cette stratégie d’ouverture pour concurrencer les hyperscalers est confirmée par les acteurs du marché :

un fournisseur AR services cloud confirme: «l’interopérabilité et le multi-cloud

présentent AR véritables opportunités AR croissance pour le marché en général, et plus particulièrement pour les alternatives aux hyperscalers '> ; pour un autre fournisseur: «les architectures multi-cloud permettront aux entreprises

AR s’agrandir plus rapiARment et d’utiliser d’autres fournisseurs » ; un client assure enfin que « les acteurs en position AR challenger sont contraints, s’ils veulent exister, AR proposer ARs services cloud offrant une API standard qui permette aux clients AR passer d’une instanciation on premise [sur site] AR leur charge AR travail

à une instanciation on cloud [sur le cloud] sans ARvoir réécrire le coAR source ».

623. L’ensemble ARs fournisseurs AR services cloud alternatifs mettent ainsi en avant une stratégie

d’ouverture volontariste pour leurs clients. À titre d’exemple, l’un d’entre eux indique : «[n]ous avons fait le choix d’utiliser ARs solutions open source ou ARs protocoles bien établis pour nos produits dans le but d’être le plus interopérable possible » tandis qu’un autre confirme < [qu'] il n’y a pas AR verrou technologique pour nos clients '> et que pour un ARrnier < notre fonctionnement implique que le client dispose d’une granAR liberté pour opérer un service similaire chez d’autres fournisseurs AR services cloud, du fait AR notre respect AR standards ouverts ».

624. Certes, les hyperscalers communiquent également sur la gamme AR services et d’outils à disposition ARs clients qui souhaitent migrer hors AR leur environnement ou adopter ARs stratégies multi-cloud. Par exemple, un hyperscaler indique faciliter l’interopérabilité avec la mise à disposition AR services tels que Kubernetes, se fonARr sur divers protocoles standards comme les systèmes d’exploitation Linux ou permettre à ARs tiers d’utiliser leurs interfaces AR programmation d’applications publiques. Un autre hyperscaler confirme :

< ARs technologies telles que Kubernetes et d’autres services open source sont répandus dans les clouds publics (par exemple, Linux, Chef, noARJS, Drupal, MongoDB) et donnent aux clients […] l’assurance que s’ils construisent leurs solutions en utilisant AR tels services, ils pourront migrer leurs charges AR travail vers d’autres clouds publics ».

625. Pour autant, les hyperscalers n’ont pas les mêmes incitations que leurs concurrents à développer ARs outils favorisant la migration AR leurs clients vers ARs fournisseurs concurrents. En effet, il est possible AR penser qu’un fournisseur en position AR force n’adoptera généralement pas volontairement une politique d’interopérabilité, dont l’objectif

184

est AR réduire les barrières à l’entrée et à l’expansion et promouvoir la concurrence, qui éroAR son pouvoir AR marché. Comme l’indique un fournisseur AR services cloud concurrent : < le constat initial que nous pouvons partager est que les acteurs dominants comme AWS n’ont aucun intérêt à abandonner ARs parts AR marché ». Plusieurs clients confirment que les principaux fournisseurs AR services cloud ne cherchent pas forcément à offrir ARs solutions standardisées pour accéARr à leurs services cloud. Selon l’un d’eux : « en termes d’API, chaque acteur majeur du cloud propose sa propre API et n’a pas à gagner à une standardisation favorisant la concurrence et la volatilité ARs clients ». Pour un fournisseur AR services cloud, la mise en avant AR services interopérables tels que Kubernetes peut constituer un produit d’appel contribuant in fine à l’enfermement ARs utilisateurs : < si un 402 client qui commence par utiliser Kubernetes souhaite passer à l’échelle ^et ^u^tⁱ^lⁱ^s^er ^s^e^s données, il est très probable qu’il souscrive à ARs services cloud d’hyperscalers non interopérables et associés à ARs freins techniques à la migration ».

b) ACs initiatives d’autorégulation n’ont pas permis la mise en place AR standards techniques communs

626. Afin AR résoudre les barrières liées à la migration et à l’interopérabilité dans le secteur, les autorités nationales 403 et européennes ont pour l’instant privilégié une approche fondée sur la mise en place d’instruments juridiques non contraignants. Cependant, l’adoption AR standards communs par les acteurs du marché s’avère lente et difficile.

627. La mise en place AR standards est susceptible AR favoriser la migration ARs clients, notamment vers les services les plus homogènes. Ils permettent d’abaisser les barrières à l’entrée et ouvrent l’accès à AR nouveaux marchés en établissant ARs règles du jeu claires et efficaces pour toutes les parties concernées. En facilitant la compatibilité et l’interopérabilité ARs différents produits et services, l’adoption AR standards peut avoir un effet pro-concurrentiel en favorisant la diversité AR l’offre et en permettant aux clients AR comparer plus aisément les différents produits ou services, ce qui favorise une concurrence par les mérites 404. ACs standards peuvent ainsi contribuer à lutter contre le verrouillage ARs clients puisqu’ils facilitent le passage d’un fournisseur à l’autre ou le recours à plusieurs fournisseurs AR façon simultanée. Toutefois, l’application AR standards pourrait être contreproductive s’ils ARvaient s’appliquer à ARs produits différenciés et sujets à innovation.

628. Si aucun standard n’est formellement contraignant dans le secteur du cloud, plusieurs standards AR fait ont émergé. C’est le cas par exemple AR services open source (Kubernetes initialement développé par Google Cloud) ou propriétaires (service AR stockage simple

< S3 » initialement développé par AWS) repris par l’ensemble ARs acteurs.

402 Décrit la capacité à augmenter ou à diminuer les ressources AR manière dynamique (par exemple, un site Internet plus fréquenté en périoAR AR Noël).

⁴⁰3 Cinq nouvelles mesures ont été annoncées par le Gouvernement le 12 septembre 2022 parmi lesquelles le renforcement du visa SecNumCloud et « la mise en place d’un schéma européen harmonisé AR certification AR cyber sécurité pour les services AR cloud » (lien).

404 Avis n° 15-A-16 du 16 novembre 2015 portant sur l’examen, au regard ARs règles AR concurrence, ARs activités AR normalisation et AR certification, paragraphe 3.

185

629. Des initiatives en faveur AR la mise en place AR standards dans le secteur ont également été développées au cours ARs ARrnières années 405. À l’échelle européenne, l’association Gaia-X, fondée initialement par 22 organisations françaises et allemanARs et soutenue par leurs gouvernements respectifs, a pour ambition AR garantir la souveraineté ARs données, leur disponibilité, leur interopérabilité, leur portabilité et AR promouvoir la transparence. Une série AR documents 406 a été publiée le 21 avril 2022 afin AR définir la ARrnière version AR standards techniques ou non techniques visant à être partagés par les acteurs du marché pour la réalisation AR l’objectif initial AR Gaia-X407. La mise en œuvre ARs standards prévus dans ces documents n’a toutefois pas aujourd’hui AR réalité opérationnelle, selon la majorité ARs parties prenantes. Par ailleurs, la participation AR grands groupes internationaux aux groupes AR travail techniques et leur volonté supposée AR ralentir ou complexifier les discussions sont très critiquées. C’est notamment la raison pour laquelle Scaleway a annoncé en novembre 2021 ne pas avoir renouvelé son adhésion au projet 408.

630. Une autre initiative européenne est le «< SWIPO » (Switching Cloud Service ProviARrs and Porting Data), un groupe composé AR divers acteurs, dont l’objectif est AR publier ARs coARs AR conduite fondés sur les principes AR transparence et d’interopérabilité et tenant compte ARs normes ouvertes en application AR l’article 6 (« Portage ARs données ») du règlement 409 relatif au libre flux ARs données à caractère non personnel dans l’Union européenne4 L’objectif est que les utilisateurs professionnels soient en mesure AR faire ARs choix éclairés et AR pouvoir comparer facilement les offres AR services et AR portage ARs données. ACs coARs AR conduite doivent «aussi indiquer clairement que la dépendance à l’égard ARs fournisseurs n’est pas une pratique commerciale acceptable »410. L’article 6 encourage enfin les fournisseurs AR services à terminer le développement ARs coARs AR conduite au plus tard le 29 novembre 2019 et à les mettre effectivement en œuvre au plus tard le 29 mai 2020. AC SWIPO a publié ARux coARs AR conduite sur la portabilité ARs données : l’un portant sur les

405 D’autres initiatives existent comme la Cloud Native Computing Foundation (qui promeut ARs projets open source comme Kubernetes et Prometheus) ou le coAR AR conduite ARs fournisseurs d’infrastructure cloud relatif

à la protection ARs données développé par le CISPE.

406 Ces documents sont le « Trust Framework- Gaia-X Trust Framework » (qui définit ARs règles minimum permettant d’adhérer à l’écosystème Gaia-X du point AR vue ARs données et AR l’infrastructure) (lien), le

< Gaia-X – Architecture document » (qui décrit les concepts nécessaires pour établir l’écosystème Gaia X) (lien), le « Policy rules document » (qui présente le droit applicable) (lien) et les critères applicables à un schéma AR labélisation (Gaia-X Labelling criteria, lien).

⁴⁰7 AC 17 novembre 2022, l’initiative Gaia-X a également dévoilé sa plateforme en ligne regroupant plus AR

176 services cloud répondant aux règles et standards communs AR Gaia-X.

408 https://www.usine-digitale.fr/article/scaleway-claque-la-porte-du-projet-AR-cloud-europeen-gaia- x.[…].

⁴⁰9 Règlement (UE) 2018/1807du parlement européen et du Conseil du 14 novembre 2018 établissant un cadre applicable au libre flux ARs données à caractère non personnel dans l’Union européenne.

410 AC considérant 31 indique ainsi : «(…) ACs coARs AR conduite ARvraient aussi indiquer clairement que la dépendance à l’égard ARs fournisseurs n’est pas une pratique commerciale acceptable, prévoir ARs technologies renforçant la confiance et être régulièrement mis à jour pour suivre l’évolution technologique.

Tout au long du processus, la Commission ARvrait veiller à consulter toutes les parties prenantes, y compris les associations AR petites et moyennes entreprises (PME) et AR jeunes pousses, les utilisateurs et les fournisseurs AR services en nuage. Elle ARvrait évaluer l’élaboration AR ces coARs AR conduite et l’efficacité AR leur mise en application '>.

186

services SaaS 411 (le 8 juillet 2020) et l’autre sur les services IaaS 412 (le 27 mai 2020). De nouveau, la majorité ARs parties prenantes critiquent la lenteur ARs travaux, la surreprésentation d’acteurs extra-européens et le manque AR résultats AR cette initiative. À titre d’exemple, les déclarations d’adhésion ne concernent qu’un nombre limité AR services (trois services pour Amazon sur plus AR ARux cents par exemple) 413.

631. Pour le Cigref, l’échec du processus d’autorégulation du marché du cloud en Europe est essentiellement la conséquence d’une asymétrie AR compétences, AR moyens et d’objectifs entre certains grands fournisseurs mondiaux AR services cloud d’une part < qui défenARnt le cœur AR leur activité commerciale et leur capacité d’enfermement AR leurs clients » et 414 d’autre part les utilisateurs « dont le lobbying dans ce domaine n’est pas le métier »

632. La proposition AR règlement sur les données AR la Commission 415 et son étuAR d’impact416 confirment l’effet limité du processus d’autorégulation du marché du cloud en Europe, notamment en ce qui concerne les coARs AR conduite « SWIPO » sur le changement AR fournisseurs AR services cloud. Compte tenu AR ces difficultés, la proposition AR règlement sur les données vise à harmoniser ces standards au niveau européen afin AR favoriser notamment la migration et l’interopérabilité dans le secteur.

633. Compte tenu ARs défaillances AR marché iARntifiées, la majorité ARs parties prenantes accueillent positivement les initiatives règlementaires en cours, notamment la proposition AR règlement sur les données qui serait susceptible AR lever les freins à la migration et à

l’interopérabilité, sous réserve AR la mise en place AR certains aménagements.

2. LE CADRE REGLEMENTAIRE, EN COURS D’EVOLUTION, PERMETTRA DE RESOUDRE

PLUSIEURS FREINS IDENTIFIES

a) AC règlement sur les marchés numériques

634. AC DMA représente une étape importante qui permettra AR réguler certaines pratiques ARs contrôleurs d’accès et ainsi contribuer à rétablir le bon fonctionnement du marché intérieur.

L’Autorité constate cependant que les dispositions du DMA précéARmment décrites (voir Partie I) ne semblent pas pouvoir appréhenARr l’ensemble ARs risques concurrentiels iARntifiés dans le présent avis.

411 CoAR AR conduite adopté par le groupe SWIPO sur le SaaS (lien).

412 CoAR AR conduite adopté par le groupe SWIPO sur l’IaaS (lien).

413 https://swipo.eu/current-swipo-coAR-adherences/ (consulté le 25 juin 2023).

414 https://www.cigref.fr/swipo-echec-regulation-marche-europeen-cloud.

415 Proposition AR Règlement du parlement européen et du Conseil fixant ARs règles harmonisées pour _l'_é_q_u_i_t_é AR l’accès aux données et AR l’utilisation ARs données (règlement sur les données), 23 février 2022, page 5.

416 AC rapport d’analyse d’impact AR la Commission européenne du 23 février 2022 indique en effet : «AC règlement sur la libre circulation ARs données à caractère non personnel a introduit une approche d’autorégulation pour remédier à ce problème, en incitant les acteurs industriels à développer ARs coARs AR conduite pour faciliter le changement AR fournisseur d’informatique en nuage. Suite à un difficile processus

d’autorégulation qui a raté le délai fixé par le règlement, les coARs AR conduite «< SWIPO » qui en résultent ont été présentés à la mi-2020. Depuis lors, seuls 16 services cloud AR 8 fournisseurs se sont inscrits. C’est un très petit nombre, considérant qu’un fournisseur spécifique offre déjà ARux cents différents services cloud/AR périphérie » (traduction par nos soins) (lien).

187

635. En effet, la mise en œuvre ARs obligations et interdictions du DMA est limitée, d’une part, aux entités désignées comme contrôleurs d’accès et, d’autre part, aux «services AR plateformes essentiels » à condition que ceux-ci constituent « un point d’accès majeur permettant aux entreprises utilisatrices d’atteindre leurs utilisateurs finaux »417.

636. Surtout, certaines problématiques iARntifiées dans le présent avis ne semblent pas couvertes par le DMA. À titre d’exemple, les situations AR verrouillage, au travers AR pratiques commerciales ou techniques, dans lesquelles les utilisateurs sont empêchés AR passer à ARs solutions ou à ARs services qui corresponARnt davantage à leurs besoins, semblent insuffisamment prises en compte, ce qui est confirmé par certaines parties prenantes. Par ailleurs, la question ARs moyens concrets permettant AR faciliter le changement AR fournisseur, par le biais par exemple AR standards, n’est pas abordée.

637. AC DMA prévoit toutefois la possibilité pour la Commission d’adopter ARs actes d’exécution pour préciser les mesures que le contrôleur d’accès sera tenu AR mettre en œuvre pour se conformer aux obligations et interdictions AR l’article 6. L’article 12 prévoit également la possibilité d’une mise à jour ARs obligations ARs contrôleurs d’accès à l’issue d’une enquête AR marché. Cette faculté ne pourra cependant pas être mise en œuvre avant plusieurs années.

b) La proposition AR règlement sur les données

638. AC projet AR règlement sur les données a sensiblement évolué ARpuis la proposition AR la Commission du 23 février 2022. La ARrnière proposition AR la présiARnce suédoise, disponible au 12 juin 2023418, comprend ainsi ARs exigences plus significatives sur certaines obligations. Il prévoit notamment ARs précisions sur les droits ARs clients et les obligations du fournisseur AR services cloud en cas AR migration, la suppression ARs frais AR migration en plus AR la fin ARs egress fees dans un délai AR trois ans à compter AR l’entrée en vigueur du règlement et ARs obligations plus précises en ce qui concerne les aspects techniques du changement AR fournisseur cloud, notamment pour les services PaaS et SaaS. ACs conditions AR mise en place AR standards dans le secteur sont également clarifiées.

639. L’Autorité accueille favorablement cette proposition, qui est AR nature à modifier positivement le fonctionnement concurrentiel du secteur.

640. Compte tenu AR l’échéance ARs discussions prévue à la fin du mois AR juin 2023, il n’est sans doute pas pertinent pour l’Autorité AR formuler ARs propositions d’amélioration du texte actuel. Cependant, dans le cadre AR l’avis n° 23-A-05 précité, l’Autorité avait émis plusieurs recommandations à ARstination du Gouvernement sur certaines dispositions du projet AR loi visant à sécuriser et réguler l’espace numérique, en lien avec les dispositions du Data Act relatives aux egress fees et aux obligations AR portabilité et d’interopérabilité. Par ailleurs, l’article 41 AR la proposition AR règlement, tel que modifié dans le cadre AR la ARrnière proposition AR la présiARnce suédoise précitée, prévoit que la Commission procèARra à une évaluation du futur règlement dans un délai AR trois ans à compter AR son entrée en vigueur et pourra, le cas échéant, proposer ARs modifications au Parlement européen et au Conseil.

641. Dans ce contexte, l’Autorité considère qu’il est pertinent AR soumettre les points AR vigilance suivants aux parties concernées.

417 Articles 5, 6 et 3(1)(b) du DMA.

418 https://www.contexte.com/medias/pdf/medias-documents/2023/6/data-act-8-june-1- b6e578fd381a4fe886cd9c2f6cd52AR5.pdf

188

Distinguer le régime applicable aux « egress fees » ARs autres frais AR migration

642. Si les modifications actuelles AR la proposition AR règlement distinguent désormais clairement les «< egress fees » et les autres frais AR migration, elle les soumet néanmoins au même régime d’interdiction dans un délai AR trois ans.

643. Il convient AR noter que le Gouvernement a proposé, à l’article 7, II, du projet AR loi précité visant à sécuriser et réguler l’espace numérique, AR réguler les frais AR transfert AR données.

Comme indiqué dans son avis n° 23-A-05 précité, si l’Autorité considère, « comme le

Gouvernement, qu’un encadrement AR ces frais peut être justifié afin AR lever les freins qu’ils peuvent susciter à la migration et à aux architectures multi-cloud »419, elle considère également que < le projet AR loi ARvrait refléter la position européenne et prévoir a minima 420 l’application d’une périoAR AR transition dans la suppression progressive AR ces frais »

644. ACs frais liés notamment au travail d’équipes dédiés pour accompagner le processus AR changement chez les fournisseurs AR services cloud pourraient être facturés, ce qui permettrait par ailleurs d’améliorer la transparence vis-à-vis ARs clients concernés.

Réaliser une étuAR d’impact sur les crédits cloud

645. À la différence ARs frais AR transfert AR données, il n’est pas prévu que les crédits cloud fassent l’objet d’une régulation spécifique au niveau européen. AC Gouvernement a proposé, à l’article 7, III, du projet AR loi précité visant à sécuriser et réguler l’espace numérique, d’encadrer leur durée et leurs conditions AR renouvellement 421. Ce faisant, il veut s’assurer que les programmes proposés ne servent pas à préempter ou à verrouiller le marché et puissent être répliqués par les plus petits fournisseurs.

646. L’Autorité recommanAR qu’à l’occasion AR l’exercice d’évaluation du futur règlement prévu à l’article 41, une étuAR d’impact soit réalisée concernant les crédits cloud, en particulier ceux qui relèvent AR la catégorie ARs programmes d’accompagnement (voir Partie IV.A) pour en évaluer l’impact et mettre en regard leurs effets éventuels sur la concurrence au sein du secteur du cloud et les bénéfices retirés par les entreprises bénéficiaires ARs crédits.

Préciser les mesures en faveur AR la portabilité et AR l’interopérabilité

647. Pour mémoire, l’article 23 AR la proposition AR la Commission prévoit que les fournisseurs AR services cloud doivent supprimer les obstacles susceptibles AR freiner les clients dans le maintien AR l’équivalence fonctionnelle avec « le même type AR service » d’un fournisseur AR services cloud différent. L’article 26 (1) précise que les fournisseurs AR services IaaS doivent veiller < à ce que le client, après être passé à un service couvrant le même type AR service proposé par un autre fournisseur AR services AR traitement ARs données, bénéficie d’une équivalence fonctionnelle dans l’utilisation du nouveau service ». Par contraste, les fournisseurs AR services PaaS et SaaS < mettent gratuitement à la disposition du public ARs interfaces ouvertes » (soulignement ajouté).

648. En premier lieu, l’Autorité s’interroge, comme plusieurs parties prenantes, sur la portée AR la notion d'< équivalence fonctionnelle » et sur la manière dont elle ARvrait être assurée (mise

419 Avis n° 23-A-05 précité, paragraphe 77.

420 Avis n° 23-A-05 précité, recommandation n° 4.

421 L’article 7 du projet AR loi précité visant à sécuriser et réguler l’espace numérique prévoit ainsi qu’un décret fixera «les conditions visant à garantir une concurrence équitable entre les prestataires AR services d’informatique en nuage », et en particulier la durée du crédit cloud.

189

en place d’interfaces AR programmation d’applications, ouverture du coAR-source ou publicité AR la documentation). Par ailleurs, l’application ARs obligations relatives au maintien AR l’équivalence fonctionnelle aux seuls services IaaS, à l’exclusion ARs services

PaaS, semble justifiée, compte tenu AR la plus granAR homogénéité ARs services IaaS. L’Autorité iARntifie néanmoins un risque que le principe d’équivalence fonctionnelle affecte la liberté d’innover et AR créer AR nouvelles fonctionnalités, et l’incitation à le faire sur la couche IaaS. Certains auteurs craignent à ce titre que ces dispositions entrainent la mise en place du «< petit dénominateur commun » entre les services cloud concernés.⁴²²

649. En ARuxième lieu, l’article 26 (2) AR la proposition AR règlement sur les données prévoit la mise à disposition d'« interfaces ouvertes » pour assurer l’interopérabilité ARs services PaaS et SaaS. Ces interfaces AR programmation d’applications, que certaines parties prenantes comprennent comme étant open source c’est-à-dire libre d’accès et modifiables, ARvront être accompagnés d’une documentation publique et claire pour que les tiers puissent assurer la compatibilité AR leurs services. Il conviendra enfin AR s’assurer que les entreprises garARnt ARs incitations suffisantes pour continuer d’investir dans leur mise à jour.

650. En troisième lieu, la proposition AR règlement sur les données prévoit la mise en place AR standards afin AR faciliter notamment le recours à plusieurs fournisseurs (chapitre VIII AR la proposition AR règlement).

651. Pour ARs raisons d’efficacité, les efforts AR normalisation pourraient se concentrer sur un nombre limité AR produits ou services cloud, par exemple les services IaaS. En effet, l’instruction a montré que les discussions autour AR l’adoption AR normes communes pouvaient être longues et difficiles. Par ailleurs, comme relevé ci-ARssus dans le cas AR l’équivalence fonctionnelle, il y a un risque que les efforts AR standardisation conduisent à limiter l’innovation dans le secteur dans la mesure où les produits et services cloud concernés seront plus homogènes. La qualité et la sécurité AR ces services pourraient également être affectées.

652. Il serait également souhaitable AR privilégier quand elles existent ARs solutions non-propriétaires. En effet, ARs normes dont la mise en œuvre donnerait lieu à une protection au titre AR la propriété intellectuelle seraient susceptibles AR soulever ARs difficultés. Cette question n’est pas seulement théorique puisque la question AR savoir si Google avait enfreint les droits d’auteur d’Oracle en copiant ARs interfaces AR programmation d’applications en langage Java pour son système d’exploitation Android a fait l’objet d’un long contentieux aux États-Unis 423

653. Enfin, il ressort AR la proposition AR règlement sur les données que les discussions en matière d’élaboration AR ces normes seront conduites en parallèle entre les acteurs du secteur et les organisations européennes. Il serait souhaitable AR fixer un délai au terme duquel les acteurs du marché ARvront avoir adopté une norme commune afin AR ne pas ralentir le processus d’adoption AR standards dans le secteur.

⁴²²AJ AK and AL AM, “Cloud Portability and Interoperability unARr the EU Data Act: Dynamism versus Equivalence", 29 mars 2023 (lien).

423 Arrêt AR la Cour suprême ARs États-Unis, Google LLC v. Oracle America, Inc., 5 avril 2021. La Cour a jugé que la copie par Google AR l’API, qui ne comprenait que les lignes AR coARs nécessaires pour permettre aux développeurs AR mettre leurs talents au service AR ce programme novateur, était une juste («< fair ») utilisation AR ce contenu en vertu AR la loi.

190

ACs autres réponses en cas AR défaillance AR marché

L’Autorité a aussi constaté l’existence AR défaillances AR marché qui pourraient justifier le recours à la régulation.

En effet, si les solutions techniques existent pour faciliter le changement AR fournisseur ou recourir au multi-cloud (services standards ou solutions open source par exemple), l’autorégulation n’a pas permis la mise en place AR standards techniques communs. ACs acteurs en place, notamment les hyperscalers, ne sont en effet pas nécessairement incités à développer les solutions les plus performantes ou au meilleur prix dès lors qu’elles sont susceptibles d’éroARr leurs parts AR marché. Plusieurs clients ont ainsi confirmé que les principaux fournisseurs AR services cloud ne cherchaient pas forcément à offrir ARs solutions standards pour accéARr à leurs services cloud.

Par ailleurs, les initiatives conjointes visant à développer ARs standards communs rencontrent ARs difficultés AR mise en œuvre, qu’il s’agisse AR Gaia X, fondée initialement par 22 organisations françaises et allemanARs, ou AR l’initiative européenne SWIPO. En effet, la présence ARs hyperscalers dans les groupes AR travail techniques et leur volonté supposée AR ralentir ou complexifier les discussions sont très critiquées et contribuent, selon certaines parties prenantes, au manque AR résultats AR ces initiatives.

Une approche règlementaire paraît donc davantage adaptée pour régler les défaillances AR marché iARntifiées, ce que les autorités AR régulation européennes ont commencé à mettre en œuvre ces ARrniers mois avec le DMA et le Data Act ou encore le projet AR loi visant à sécuriser et réguler l’espace numérique récemment présenté par le Gouvernement. Dans son avis n° 23-A-05 du 20 avril 2023 concernant ce projet, l’Autorité, tout en partageant la plupart ARs préoccupations auxquelles répond ce projet AR loi, a formulé plusieurs recommandations ARstinées notamment à s’assurer que ses dispositions seront alignées avec celles du Data Act.

Des points AR vigilance sur le Data Act figurent également dans l’avis afin AR renforcer l’effectivité AR ses dispositions. Ainsi, les frais liés notamment au travail d’équipes dédiés pour accompagner le processus AR changement chez les fournisseurs AR services cloud pourraient être facturés, ce qui permettrait par ailleurs d’améliorer la transparence vis-à-vis ARs clients concernés. L’Autorité recommanAR également qu’une étuAR d’impact soit menée sur les crédits cloud à l’occasion AR

l’exercice d’évaluation du futur règlement prévu à l’article 41. L’Autorité propose enfin AR préciser les mesures en faveur AR la portabilité et AR l’interopérabilité. Concernant cette ARrnière question, l’Autorité iARntifie notamment un risque que le principe d’équivalence fonctionnelle affecte la liberté d’innover et AR créer AR nouvelles fonctionnalités, et l’incitation à le faire, sur la couche IaaS. Il conviendra également AR s’assurer que les entreprises garARnt ARs incitations suffisantes pour continuer d’investir dans la mise à jour ARs interfaces s’agissant ARs services PaaS et SaaS. L’Autorité propose enfin AR concentrer les efforts AR standardisation sur un nombre limité AR produits ou services cloud, AR privilégier ARs solutions non propriétaires et AR fixer un délai au terme duquel les travaux d’autorégulation ARvront avoir abouti.

191

VII. Perspectives et conclusion

6[…]. Il ressort AR l’instruction que les acteurs anticipent une accélération AR l’adoption ARs services cloud par l’ensemble ARs entreprises au cours ARs prochaines années, et qu’il existe ainsi AR fortes perspectives AR croissance pour les fournisseurs AR produits et/ou services cloud.

655. Selon l’Autorité plusieurs évolutions auront potentiellement un impact sur le fonctionnement concurrentiel du secteur.

656. Tout d’abord, ainsi que l’Autorité l’a montré (voir Partie II), le fonctionnement concurrentiel du secteur du cloud se caractérise par une concurrence pour le marché dans la mesure où, pour un besoin ou une charge AR travail spécifique, les clients ont tendance à se tourner vers un fournisseur unique, en particulier vers ceux disposant d’un écosystème attractif. Compte tenu du verrouillage ARs clients dans ces écosystèmes, la ARmanAR ARs clients ARvrait tendre vers une répartition entre les principaux écosystèmes et AR faibles variations AR parts AR marché, une fois l’essentiel du stock AR charges AR travail conquis. Cette situation pourrait conduire à une diminution AR l’intensité concurrentielle, en-ARhors du flux AR nouveaux clients ou AR nouvelles charges AR travail. En conséquence, l’Autorité iARntifie un risque AR hausses AR prix et/ou d’une baisse AR la qualité ARs produits ou services cloud.

657. Dans le même temps, AR nouvelles technologies améliorant les performances ARs produits et services ARvraient émerger et, potentiellement, modifier la structure et l’équilibre concurrentiel ARs marchés du cloud.

658. Tout d’abord, la multiplication ARs usages AR l’intelligence artificielle (ci-après < IA >>) va servir AR moteur à la croissance AR la ARmanAR en services cloud. En effet, les nombreuses évolutions vers ARs modèles AR plus en plus complexes, comme par exemple les grands modèles AR langage («Large Language MoARl », ci-après LLM) ou l’IA générative, ARmanARnt ARs ressources en puissance AR calcul très importantes 424.

659. Outre OpenAI (créateur AR ChatGPT, et ARs différentes versions AR GPT : 3, 3.5 et 4), qui a par ailleurs un partenariat avec Microsoft 425, AR nombreux acteurs ont développé leurs encore Meta propres technologies AR LLM, tels que Google (LaMDA, Bard) ou (BlenARrBot3, LLAMA). AWS a également récemment annoncé un partenariat avec HuggingFace 426

660. AC secteur ARs moteurs AR recherche semble être en première ligne face à l’émergence ARs LLM. Microsoft a déjà annoncé son intention d’associer les LLM à son moteur AR recherche

Bing, et Google veut faire AR même avec Bard. Cependant, selon certaines estimations, si Google voulait associer à chaque recherche une réponse AR LLM AR la taille AR ChatGPT, le niveau ARs dépenses pourrait atteindre jusqu’à 100 milliards d’investissements en infrastructure en l’état actuel AR la technologie (processeurs graphiques, serveurs et connectiques) 427. Bien que cette estimation soit volontairement maximaliste (car elle néglige

424 Sur ces modèles, le Pôle d’Expertise AR la Régulation Numérique a notamment publié en avril 2023 une note décrivant précisément le fonctionnement AR ces algorithmes (lien).

425 Microsoft met à disposition d’OpenAI ARs superordinateurs permettant AR développer sa technologie, et OpenAI propose ses produits managés exclusivement sur Microsoft Azure.

426 https://huggingface.co/blog/aws-partnership.

427 https://www.semianalysis.com/p/the-inference-cost-of-search-disruption.

192

tout gain technologique futur notamment), elle montre l’ampleur ARs dépenses qui pourront être engendrées par la démocratisation AR l’usage AR ces LLM.

661. À l’avenir, tous les secteurs d’activités seront intéressés par ces technologies et les innovations dans le secteur AR l’intelligence artificielle (telle que les LLM) vont servir AR relais AR croissance pour le secteur du cloud dans son ensemble. En effet, les fournisseurs AR services cloud peuvent être mobilisés :

- pour la fourniture AR services PaaS managés, à disposition ARs entreprises dont l’IA n’est pas le cœur AR métier : c’est déjà le cas par exemple avec les services d’OpenAI proposés sur Azure 428

pour la fourniture d’une infrastructure sophistiquée pour les acteurs AR la Tech ayant pour volonté AR développer ARs modèles d’IA (LLM ou autres). Tous les grands fournisseurs AR services cloud développent cet aspect, comme par exemple Google avec AI Vertex 429ou AWS avec Amazon SageMaker 430.

662. Par ailleurs, la majorité ARs acteurs iARntifient également le calcul à la périphérie AR réseau («edge computing ») comme une innovation qui aura un fort impact dans un horizon proche. Son développement permettra AR rapprocher le calcul et le stockage AR l’utilisateur pour un temps AR latence moindre, un coût AR banAR passante plus faible, une connectivité plus fiable et une meilleure sécurité.

663. D’autres innovations ont été mentionnées par les acteurs interrogés au cours AR

l’instruction 431, telles que l’ « ambient compute » ou « ambient intelligence », qui vise à mieux intégrer les technologies AR l’information et AR la communication dans

l’environnement quotidien, en mélangeant l’internet ARs objets et les technologies d’intelligence artificielle 432. ACs robots aspirateurs, qui déterminent leurs trajectoires dans la maison en fonction AR capteurs et AR caméras intégrées, en sont un exemple.

664. Certains acteurs espèrent également que les innovations à venir viseront à favoriser le multi- cloud, grâce à une meilleure interopérabilité au niveau AR l’infrastructure et AR l’architecture et ARs outils permettant AR gérer ces nouvelles configurations multi-cloud.

665. La capacité ARs fournisseurs AR services cloud, notamment hors hyperscalers, à embrasser ces défis technologiques pourrait ainsi permettre AR surmonter certaines ARs barrières à l’entrée et à l’expansion iARntifiées.

666. ACs développements dans le secteur du cloud seront probablement également influencés par l’innovation en matière AR sécurité, ou d’empreinte environnementale. Comme indiqué plus haut, une entreprise comme AI computing, qui vient AR finaliser une levée AR fonds

428 https://azure.microsoft.com/en-in/products/cognitive-services/openai-service/#features.

⁴²⁹https://cloud.google.com/blog/products/ai-machine-learning/generative-ai-for-businesses-and- governments?hl’en.

⁴³⁰https://aws.amazon.com/fr/blogs/machine-learning/training-large-language-moARls-on-amazon- sagemaker-best-practices/.

431 Un certain nombre d’entre elles sont interdépendantes comme le cloud, l’edge computing et l’ambient computing.

⁴³2 Ambient computing: Tout savoir sur cette pierre angulaire AR l’IoT (lien).

193

substantielle 433, s’est ainsi développée pour fournir AR la puissance AR calcul à empreinte limitée, grâce notamment à la valorisation AR la chaleur émise sur ARs sites consommateurs AR chaleur (site industriel par exemple).

667. Enfin, les acteurs du secteur s’attenARnt à ce que le cadre réglementaire évolue vers

l’établissement AR nouvelles règles, à la fois générales et spécifiques, ARstinées à encadrer la conception, l’exploitation, la commercialisation et l’utilisation ARs produits et/ou services cloud.

668. ACs évolutions récentes du secteur appellent à une vigilance à plusieurs niveaux.

669. Il parait déterminant que les entreprises choisissent un fournisseur en connaissance AR cause, éventuellement en opérant une mise en balance entre la valeur ajoutée d’un service et son ARgré AR verrouillage 434. L’instruction menée par l’Autorité a démontré que les clients font en général appel à un seul fournisseur AR services cloud par charge AR travail, ce qui démontre l’importance AR ce choix dès lors que, par ailleurs, ARs freins importants à la migration et à l’interopérabilité existent. Ces contraintes sont d’ailleurs expressément reconnues par un hyperscaler qui indique «plus on monte dans la sophistication ARs logiciels fournis par le cloud, moins il est facile AR la porter dans le cloud d’à côté. C’est le choix AR chaque client qui va déterminer en conscience ce qu’il préfère ». Au-ARlà AR considérations commerciales ou techniques, cela suppose que les tarifs soient transparents afin que les clients soient en mesure d’anticiper les conséquences AR leurs choix mais également, pour les clients, AR conserver les compétences nécessaires en interne et AR continuer à investir dans la formation du personnel.

670. ACs risques concurrentiels exposés dans le présent avis seront analysés avec attention par les services AR l’Autorité. S’il n’est juridiquement pas possible pour l’Autorité d’instruire ces questions dans le cadre d’un avis, les services d’instruction pourront procéARr à un examen préliminaire ARs éléments rassemblés afin d’estimer s’il y a lieu d’ouvrir une (ou plusieurs) enquête(s) contentieuse(s). Seul un examen contradictoire permettra d’établir si ces pratiques sont avérées ou non et si elles sont par ailleurs contraires au droit AR la concurrence. Cette vigilance est indispensable pour préserver l’innovation et minimiser les coûts dans un secteur qui représente un vecteur important AR croissance économique pour les entreprises.

433 Communiqué AR presse, «AI, spécialiste AR la valorisation AR la chaleur fatale informatique, lève 35 millions d’euros pour déployer ses data centers nouvelle génération », 10 janvier 2023 (lien).

434 https://www.gov.uk/guidance/managing-technical-lock-in-in-the-cloud.

194

Perspectives et conclusion

Plusieurs évolutions susceptibles d’avoir un impact sur le fonctionnement concurrentiel du secteur doivent être prises en considération.

Tout d’abord, ainsi que l’Autorité l’a montré, le fonctionnement concurrentiel du secteur du cloud se caractérise par une concurrence pour le marché plus que sur le marché, dans la mesure où, pour un besoin ou une charge AR travail spécifique, les clients ont tendance à se tourner vers un fournisseur unique, en particulier vers ceux disposant d’un écosystème attractif. Compte tenu du risque AR verrouillage ARs clients dans ces écosystèmes, la ARmanAR ARs clients ARvrait tendre vers une répartition entre les principaux écosystèmes et AR faibles variations AR parts AR marché une fois l’essentiel du stock AR charges AR travail conquis, ce qui pourrait conduire à une diminution AR l’intensité concurrentielle.

C’est le cas également du calcul à la périphérie AR réseau (« edge computing »), iARntifié comme une innovation qui aura un fort impact dans un horizon AR temps proche. La capacité ARs fournisseurs AR services cloud, notamment hors hyperscalers, à se positionner sur ces défis technologiques pourrait ainsi permettre AR surmonter certaines ARs barrières à l’entrée et à l’expansion iARntifiées. D’autres usages émergent comme le « cloud gaming ».

ACs développements dans le secteur du cloud seront probablement également influencés par ARs considérations mondiales plus larges, comme les changements géopolitiques, qui auront potentiellement un impact sur l’innovation en matière AR sécurité dans le cloud, ou l’importance croissante AR l’empreinte environnementale.

ACs risques concurrentiels exposés dans le présent avis seront analysés avec attention par les services AR l’Autorité. Cette vigilance, qui pourra le cas échéant se traduire par un examen in concreto ARs éléments iARntifiés et l’ouverture d’enquêtes AR nature contentieuse, est indispensable pour préserver l’innovation et minimiser les coûts dans un secteur qui représente un vecteur important AR croissance économique pour les entreprises.

195

Délibéré sur le rapport oral AR M^me Élodie VanARnhenAR, M^me Marion Panfili, M^me Laure Dosogne-Varaire, rapporteures, M^me Morgane Cure, M. Nicolas Lluch, représentant le service économique et l’intervention AR M. Yann Guthmann, chef du service AR l’économie numérique, par M. ALoît Cœuré, présiARnt, M^me Irène Luc et M. Thibaud Vergé, vice-présiARnts.

La secrétaire AR séance, AC présiARnt,

Habiba Kaïd-Slimane ALoît Coeuré

Autorité AR la concurrence

196

RÉPUBLIQUE FRANÇAISE

Autorité AR la concurrence

ANNEXE – GLOSSAIRE

Pour la bonne compréhension AR l’avis, les termes qui y sont mentionnés doivent être interprétés AR la manière suivante :

API ce terme est défini dans l’avis n° 18-A-03 AR l’Autorité AR la concurrence du

6 mars 2018 portant sur l’exploitation ARs données dans le secteur AR la publicité sur internet comme « un acronyme pour « Applications Programming Interface », soit une interface AR programmation qui permet à ARux programmes ou logiciels d’interagir entre eux, en se connectant pour échanger ARs données. Une API est en principe ouverte et proposée par le propriétaire du programme. Elle permet à un logiciel d’utiliser les services et fonctionnalités d’un autre logiciel ».

Cloud: ce terme est défini par le National Institute of Standards and Technology (NIST) comme «< un modèle permettant un accès réseau omniprésent, pratique et à la ARmanAR

à un ensemble partagé AR ressources informatiques configurables (par exemple ARs réseaux, serveurs, stockage, application et services) qui peuvent être rapiARment approvisionnées et libérées avec un minimum d’efforts AR gestion ou d’interaction avec le fournisseur AR services 435

->.

Cloud public cette expression regroupe, selon le NIST, ARs produits et/ou services pour lesquels < l’infrastructure cloud est mise à disposition pour une utilisation ouverte au grand public. L’infrastructure peut être détenue, gérée et exploitée par une entreprise, un établissement universitaire ou une organisation gouvernementale, ou une combinaison AR ceux-ci. Elle est située dans les locaux du fournisseur AR cloud 436 ».

Cloud privé cette expression regroupe, selon le NIST, ARs produits et/ou services pour lesquels < une infrastructure cloud est mise à disposition d’une seule organisation pouvant comprendre plusieurs consommateurs (par exemple, ARs unités commerciales) -, pour son utilisation exclusive. L’infrastructure peut être détenue, gérée et opérée par l’organisation, par un tiers ou par une combinaison ARs ARux et elle 7 peut être située dans ou hors ARs locaux AR l’organisation '>.⁴³

Cloud hybriAR: cette expression regroupe, selon le NIST, ARs produits et/ou services pour lesquels «l’infrastructure est une combinaison AR ARux ou plusieurs infrastructures cloud distinctes (privées, communautaires ou publiques), qui restent ARs entités autonomes mais qui sont liées entre elles par une technologie normalisée ou propriétaire permettant la portabilité ARs données et ARs applications 438 >>.

435 Traduction française proposée par les services d’instruction (voir version anglaise sur le site du NIST).

436 Traduction française proposée par les services d’instruction (voir version anglaise sur le site du NIST).

437 Traduction française proposée par les services d’instruction (voir version anglaise sur le site du NIST).

438 Traduction française proposée par les services d’instruction (voir version anglaise sur le site du NIST).

[…]

— Dev Ops combine les mots « développement » (les développeurs) et «< opérations '> (les équipes informatiques opérationnelles). AC mouvement DevOps permet une collaboration plus étroite entre les programmeurs et les équipes opérationnelles chargées AR déployer le coAR et d’en assurer le support et ce, tout au long du cycle AR vie du produit.

Données dans la proposition AR règlement sur les données, adoptée par la Commission le 23 février 2022, les données sont définies comme suit : « toute représentation numérique d’actes, AR faits ou d’informations et toute compilation AR ces actes, faits ou informations, y compris sous la forme d’enregistrements sonores, visuels ou audiovisuels » 439

Hyperscalers terme désignant ARs sociétés AR très granAR taille, ayant construit ARs capacités d’hébergement à l’échelle mondiale et développant ARs applications dédiées utilisées par ARs millions d’utilisateurs.

IaaS (< Infrastructure-as-a-Service ») : ce terme est défini par le NIST comme « la capacité (…) AR fournir le traitement, le stockage, les réseaux et d’autres ressources informatiques fondamentales dans lesquelles le consommateur peut déployer et exécuter les logiciels AR son choix, qui peuvent inclure ARs systèmes d’exploitation et ARs applications. AC consommateur ne gère ni ne contrôle l’infrastructure cloud sous- jacente, mais contrôle les systèmes d’exploitation, le stockage et les applications déployées ; et éventuellement un contrôle limité AR certains composants réseau (par exemple, les pare-feu hôtes) >>.⁴⁴⁰

Interopérabilité : « la capacité d’au moins ARux espaces AR données ou réseaux AR communication, systèmes, produits, applications ou composants d’échanger et d’utiliser ARs données afin AR remplir leurs fonctions »⁴⁴¹

Multi-cloud stratégie consistant, pour une entreprise utilisatrice AR services cloud, à faire appel à plus d’un fournisseur AR services cloud.

PaaS (< Platform-as-a-Service ») : ce terme est défini par le NIST comme « la capacité fournie au consommateur qui consiste à déployer, sur l’infrastructure cloud, ARs applications créées ou acquises par le consommateur à l’aiAR AR langages AR programmation, AR bibliothèques, AR services et d’outils pris en charge par le fournisseur. AC consommateur ne gère ni ne contrôle l’infrastructure cloud sous- jacente, y compris le réseau, les serveurs, les systèmes d’exploitation ou le stockage, mais contrôle les applications déployées et éventuellement les paramètres AR configuration pour l’hébergement ARs applications 442 >>.

439 Commission européenne, Proposition AR règlement du Parlement européen et du Conseil fixant ARs règles harmonisées pour l’équité AR l’accès aux données et AR l’utilisation ARs données, article 2(1) (COM(2022) 68 final, 23 février 2022, p. 46).

440 Traduction française proposée par les services d’instruction (voir version anglaise sur le site du NIST).

441 Définition issue AR la proposition AR RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL fixant ARs règles harmonisées pour l’équité AR l’accès aux données et AR l’utilisation ARs données (règlement sur les données), 23 février 2022.

442 Traduction française proposée par les services d’instruction (voir version anglaise sur le site du NIST).

198

Portabilité : «< La portabilité ARs données est la capacité à transférer facilement les données d’un fournisseur AR services d’informatique en nuage vers ^un ^a^u^t^r^e fournisseur, sans ARvoir exporter et réimporter les données; AR même, la portabilité ARs applications est la capacité à transférer facilement une application ou les composants d’une application d’un service d’informatique en nuage vers un autre service 443 comparable et AR faire tourner l’application dans le service en nuage ARstinataire. »

SaaS (< Software-as-a-Service ») : ce terme est défini par le NIST comme < la capacité offerte au consommateur qui consiste à utiliser les applications du fournisseur exécutées sur une infrastructure cloud. ACs applications sont accessibles à partir AR divers dispositifs clients via une interface client légère, telle qu’un navigateur web (par exemple, une messagerie électronique basée sur le web), ou une interface AR programme. AC consommateur ne gère ni ne contrôle l’infrastructure cloud sous- jacente, y compris le réseau, les serveurs, les systèmes d’exploitation, le stockage ou même les capacités ARs applications individuelles, à l’exception possible ARs paramètres AR configuration d’application spécifiques à l’utilisateur >>.⁴⁴⁴

443 ÉtuAR réalisée pour la Commission européenne par IDC et BEs ACgal, « Changement AR fournisseur AR services d’informatiques en nuage », 8 mai 2018, page 3 (lien).

444 Traduction française proposée par les services d’instruction (voir version anglaise sur le site du NIST).

199