Nous poursuivons nos auditions sur le thème de la souveraineté numérique et des données, en recevant M. Olivier Micheli, président directeur général de DATA4 et de France Data Center, association professionnelle rassemblant les principaux acteurs de cette filière. Nous nous réjouissons de pouvoir échanger avec vous, afin de mieux connaître cette filière et évoquer les moyens de soutenir son développement en France et en Europe.

Je souhaiterais d'abord vous interroger sur trois points.

En premier lieu, que recouvre pour vous la notion de souveraineté numérique ? Ce sujet fait l'objet d'une attention croissante de la part des pouvoirs publics depuis la crise sanitaire, et nous avons eu l'occasion d'entendre, au cours de nos auditions, plusieurs définitions de cette notion très large, que certains rapprochent parfois d'une forme d'autonomie stratégique, ou d'autonomie décisionnelle. J'aimerais donc savoir comment vous appréhendez cette notion, en tant qu'acteur clé du stockage et de la sécurisation des données.

En second lieu, j'aimerais que vous nous présentiez la filière française des data centers, dont vous constituez un acteur important. Comment appréhendez-vous la situation actuelle, marquée par la crise sanitaire et la volonté de tous les États de promouvoir leur souveraineté numérique ? Quelle est la situation de DATA4, et plus généralement des acteurs de ce secteur d'activité ? Quelles sont vos éventuelles difficultés, et vos propositions pour renforcer le rythme d'installation des data centers en France ? Je m'interroge également sur les échanges que vous pouvez entretenir avec vos homologues européens. La structuration d'une filière des data centers européenne est-elle envisageable à terme ?

Enfin, au regard de l'actualité récente, marquée par des cyberattaques sur les systèmes d'information des établissements de santé, et face à la sophistication de la menace, quels risques pèsent sur les data centers et comment assurent-ils la protection des données qu'ils stockent ?

Ma définition de la souveraineté numérique s'articule autour de deux volets, l'un défensif, l'autre offensif.

D'un point de vue défensif, la souveraineté numérique signifie qu'il est important de conserver la maîtrise opérationnelle du numérique. En cas de crise (de fermeture des frontières, de tension internationale, etc.), il faut s'assurer que les entreprises, les administrations et les citoyens aient toujours accès à leur environnement numérique, et notamment à leur environnement numérique essentiel. En d'autres termes, les entreprises pourront-elles continuer à fonctionner en temps de crise ? Auront-elles accès à leurs applications et à leurs données sans trop de difficultés ?

D'un point de vue offensif, la question est de savoir comment créer des champions numériques européens. La plupart des acronymes connus pour désigner les champions du numérique renvoient à des entreprises étrangères : les GAFAM aux États-Unis ; les BATX en Asie et notamment en Chine. Quand un tel acronyme renverra-t-il à des acteurs majeurs, connus et puissants, du numérique en Europe ?

Il est essentiel de travailler sur ces deux volets.

Disposer de data centers localisés en France constitue à cet égard une composante incontournable de la souveraineté numérique.

Le numérique est souvent considéré comme virtuel, de sorte que la question de la localisation des données ne semble pas se poser. En simplifiant à l'extrême, le numérique peut être décomposé en trois couches : les infrastructures numériques, incluant les réseaux et les data centers ; les équipements informatiques, incluant les serveurs et les systèmes d'exploitation (qui sont hébergés dans les data centers ) ; enfin les applications, que nous utilisons quotidiennement. Les applications étant installées sur des serveurs, qui sont hébergés dans des data centers, il est indispensable que ces derniers soient bien maîtrisés. Ils constituent le socle du numérique, et si nous soulignons la nécessité de disposer de data centers en France, c'est qu'il est important de pérenniser ce socle sur le sol français, afin, premièrement, ne pas dépendre d'un acteur tiers qui pourrait décider de l'accès ou non aux data centers en cas de crise.

Deuxièmement, il est essentiel de maîtriser la qualité et la continuité du service assuré par les data centers. Un data center doit fonctionner jour et nuit, 24 heures sur 24. Or, sans électricité, les data centers ne fonctionnent pas. Nous maîtrisons en France le réseau électrique français. Nous connaissons ses forces et ses faiblesses. Nous connaissons son état. En revanche, nous ne maîtrisons pas l'état des réseaux électriques dans les autres pays. En Afrique du Sud, par exemple, des coupures d'électricité ont lieu tous les jours. Par conséquent, les data centers n'y peuvent fonctionner que sur des groupes électrogènes. Tous les pays d'Europe ne sont certes pas dans cette situation. En tout cas, les data centers doivent reposer sur des réseaux électriques fiables et pérennes.

Troisièmement, un data center nécessite des capitaux considérables. Il crée des emplois directs et de très nombreux emplois indirects, avec un impact économique fort. Pourquoi laisser ces capitaux partir à l'étranger, alors que la France, du fait de ses atouts (sur lesquels nous reviendrons plus loin), a la capacité d'en attirer énormément pour construire des data centers sur son sol ?

Quatrièmement, conserver les data centers en France permettra d'y disposer d'un bon niveau de connaissances et de compétences. Un data center suppose des techniciens qualifiés et des ingénieurs. Il permet de regrouper au sein d'un même bâtiment un grand nombre de compétences : des ingénieurs et des techniciens spécialisés en génie mécanique et en électricité, des informaticiens, des ingénieurs en télécommunications, des ingénieurs méthodes, etc. Si les data centers partent à l'étranger, la France perdra autant de personnes qualifiées sur ces sujets clés.

Pour toutes ces raisons, nous pensons donc qu'il est essentiel de conserver des data centers en France.

De plus, nos voisins européens s'organisent. Ils ont compris l'importance des data centers. Ils ont compris que les infrastructures numériques comprenaient les réseaux de télécommunications, qui sont clés, mais aussi les data centers, et ils cherchent désormais à attirer des capitaux pour en construire davantage sur leurs territoires.

La filière des data centers en France dispose d'abord d'une très belle association professionnelle, France Data Center, qui comprend plus de 100 membres. Elle existe depuis douze ans et est aujourd'hui très bien organisée, puisqu'elle regroupe l'ensemble des acteurs majeurs du data center en France. Elle a pour objectif à la fois de développer des connaissances et des savoirs, de partager des bonnes pratiques et de travailler à des sujets clés comme l'optimisation de la consommation électrique, l'impact environnemental, etc.

200 data centers commerciaux, mutualisés pour un grand nombre de clients, sont localisés en France, d'une manière qui reflète parfaitement l'organisation très centralisée de notre pays, puisque 75 % de l'activité des data centers est réalisée à Paris et en région parisienne. C'est là que les développements les plus importants ont lieu, même si des développements plus modestes existent aussi en région.

Au total, la France compte environ 5 000 data centers, en comptant les data centers commerciaux et tous les data centers privés : ceux des collectivités locales, des administrations, des entreprises, etc., pour lesquels des salles blanches de quelques mètres carrés seulement sont parfois nécessaires. Cette filière est très active. Elle investit beaucoup, à hauteur d'environ un milliard d'euros chaque année sur le territoire français.

Par ailleurs, la France a la chance de disposer de champions mondiaux dans le secteur des data centers, et ce, sur l'ensemble de leur chaîne de valeur : en amont, avec les concepteurs et constructeurs avec Schneider, Saft (très belle société de batteries), Bouygues, Imogis, etc. ; ensuite au niveau de la maintenance en condition opérationnelle des data centers avec Engie ; enfin, en aval, avec les opérateurs utilisateurs. Or, pour être fort à l'international, il est important d'être fort au niveau national. Pour conserver ces leaders, il est donc essentiel de disposer d'un marché domestique puissant du data center en France, puisqu'il permettra à ces écosystèmes et à ces champions de se développer, de produire de la R&D, et ainsi de s'exporter encore davantage à l'international.

S'agissant de la crise sanitaire, les deux vagues de confinement n'ont pas impacté le secteur de la même manière.

La première vague, de mars-avril 2020, a été difficile à gérer, pour différentes raisons. L'ensemble de l'activité économique de construction a d'abord été arrêtée brutalement. Or, si arrêter des chantiers aussi complexes que ceux des data centers est difficile, les reprendre l'est encore plus : redémarrer un chantier implique des pertes de productivité considérables. Le maintien en conditions opérationnelles des data center s a été difficile également, car un data center ne cesse jamais de fonctionner. DATA4 a donc été obligée de faire venir sur site des employés spécialisés, malgré la crise sanitaire. Or, en mars 2020, la situation était mal connue, les kits de protection étaient peu nombreux et l'anxiété relative à la pandémie était très grande. Nous avions alors demandé au gouvernement son soutien plein et entier à l'égard de notre secteur d'activité. Il s'était en effet engagé auprès des opérateurs de télécommunications, mais non auprès des opérateurs de data centers, et il nous était essentiel de pouvoir continuer à circuler pour accéder à nos data centers. Une grande confusion en avait résulté, même si nous avons finalement réussi à gérer la situation.

Une fois la première crise sanitaire passée, la deuxième vague n'a en revanche pas eu le même impact sur la filière et sur DATA4, et la situation est désormais bien maîtrisée.

Surtout, le trafic internet a augmenté de 30 % durant la crise sanitaire. Du jour au lendemain, toutes les organisations (entreprises privées ou publiques, etc.) ont adopté le travail à distance, et la filière a garanti une continuité de service sans rupture sur l'ensemble du territoire, en parfaite transparence pour l'ensemble des citoyens, des organisations, de l'administration, des collectivités locales, etc. Tout le monde a pu continuer à travailler à distance grâce aux data centers, et nous en sommes naturellement très fiers.

Vous me demandiez également comment renforcer la filière des data centers en France.

Je vous le demandais, parce qu'il résulte de l'arrêt Schrems II, notamment, une volonté de stocker les données sur le territoire national ou européen. S'agit-il pour vous d'une opportunité à investir rapidement, et de quelle manière ?

Oui, complètement.

La France dispose d'atouts magnifiques. Son territoire est parfaitement adapté au développement des data centers, qui constituent des bâtiments techniques hébergeant des serveurs sur lesquels reposent des applications telle que Zoom, que nous utilisons actuellement.

Une grande quantité d'énergie est donc nécessaire pour alimenter ces serveurs (qui fonctionnent à l'électricité), mais aussi leurs groupes de refroidissement, car ils dégagent une chaleur considérable. Des réseaux de télécommunication sont enfin requis, puisqu'un data center est une « maison du numérique », où les données sont stockées, traitées et renvoyées vers les différents utilisateurs. La France dispose d'une grande quantité d'énergie décarbonée, à un prix compétitif. Le prix de l'électron est beaucoup plus compétitif en France qu'en Allemagne ou en Italie, en Angleterre, etc. C'est une chance.

Les risques naturels doivent être limités également. La France connaît certes des risques d'inondation, mais son climat est tempéré d'une manière générale, et les risques sismiques y sont faibles. Ils sont plus importants dans d'autres pays voisins.

La France dispose également de bonnes formations, et de deux hubs internet majeurs, à Paris principalement, mais aussi à Marseille, car les routes de l'internet suivent approximativement les anciennes routes commerciales. L'axe Paris-Marseille (ou Marseille-Paris) regroupe ainsi 80 % du trafic internet entre l'Europe et trois régions majeures : l'Afrique, le Moyen-Orient et l'Asie du Sud-Est. La plupart des câbles de ces régions passent en effet par le canal de Suez, remontent par la Méditerranée, avant de s'arrêter en Grèce et en Sicile, puis à Marseille. C'est une grande chance pour la France. Or, là où passent les câbles internet, des data centers sont nécessaires.

Pour autant, des freins existent également au développement des data centers en France. Il a notamment besoin de stabilité, de prévisibilité et de cohérence dans les politiques publiques. En 2019, la réduction de près de 50 % de la taxe sur l'énergie consommée dans les data centers leur a permis de gagner en compétitivité en France, et d'y devenir plus compétitifs que dans certains pays voisins. Deux ans plus tard, toutefois, ce prix préférentiel a été soumis à des conditions très impactantes pour le secteur : mettre en place un système de gestion de l'énergie ; faire partie d'un groupement de bonnes pratiques en consommation de l'énergie ; etc. La réglementation peut donc changer très rapidement en France. En l'occurrence, la loi de finances a évolué. La question est donc de savoir quelle sera l'étape suivante. Ce nouveau cadre sera-t-il pérenne ? Nos investissements se font sur un temps long. Un data center dure près de quarante ans. Il est donc essentiel que les politiques publiques soient stables et cohérentes.

Le décret Tertiaire pose également problème. Il n'est pas du tout adapté aux data centers, puisqu'il vise à réduire le nombre de kilowattheures consommés dans les data centers, ce qui est impossible. Il n'est pas possible de supprimer des serveurs du jour au lendemain pour atteindre un objectif en valeur absolue défini par décret. Certains de ses critères ne sont donc pas pertinents. Or, il est important que la réglementation soit cohérente avec l'activité des data centers.

Nos propositions sont donc les suivantes : il faut adapter le cadre administratif ; gagner en compétitivité pour attirer des capitaux (comme tous nos pays voisins le font) ; passer des commandes publiques aux acteurs français ; enfin, accorder aux data centers le statut d'infrastructure critique. D'autres crises que celle du Covid-19 auront lieu. Comme celle des opérateurs de télécommunications, l'activité des data centers doit être encadrée par un statut permettant de maintenir ces actifs en condition opérationnelle de manière permanente.

Chaque grand pays européen dispose de sa propre organisation professionnelle : l'Angleterre avec techUK, l'Allemagne avec eco, l'Irlande, la Hollande, bientôt l'Espagne et probablement l'Italie. Un ensemble d'actions de concertation et d'échanges ont déjà été lancées, au niveau européen, entre ces différentes organisations professionnelles, mais aussi à l'initiative du CISPE (Cloud Infrastructure Services Providers in Europe), qui regroupe les acteurs du cloud en Europe. Une coordination européenne mensuelle a été mise en place, et des engagements forts de la profession sont constitués volontairement auprès de la Commission européenne, s'agissant notamment de la consommation électrique d'ici à 2025 et 2030.

S'agissant des cyberattaques, il est important de distinguer le contenant et le contenu. Les data centers ne sont qu'un contenant pour les serveurs et les applications, qui en constituent le contenu. Nous ne sommes pas responsables des applications hébergées par les clients dans nos data centers. La responsabilité de la sécurité logique des systèmes d'information que nous hébergeons revient aux administrations, organisations, etc. qui les possèdent. Pour autant, les opérateurs de data centers, et notamment DATA4, ont mis en place un programme complet de sécurisation physique et logique de leurs data centers. En ce qui concerne la sécurité physique, DATA4 a prévu plus de sept barrières de sécurité avant l'accès aux salles informatiques, avec des gardes, des systèmes de vidéosurveillance, etc. Des tests d'intrusion réelle sont réalisés chaque année dans l'ensemble de nos campus, pour tester leur sécurité physique. Un programme de sécurité logique est prévu également, avec des systèmes informatiques embarqués, et un cloisonnement strict entre différents réseaux : les systèmes d'information industriels (portant sur la gestion technique du bâtiment, par exemple) sont ainsi situés sur un réseau cloisonné et non accessible de l'extérieur. Naturellement, nous réalisons chaque année des tests de cyberattaque et nous disposons d'une équipe de plus en plus nombreuse de responsables de la sécurité des systèmes d'information, lesquels, en permanence, testent nos systèmes et étudient leurs failles de sécurité.

Vous avez dit que 75 % des data centers commerciaux étaient situés à Paris. Est-ce lié à l'organisation des voies de l'internet que vous avez mentionnée, ou uniquement à des questions de compétences ou d'accessibilité ? Le numérique est souvent conçu comme une industrie d'avenir susceptible d'échapper à l'attractivité des grandes villes et de réindustrialiser les territoires ruraux. Les data centers commerciaux pourraient-ils donc être situés ailleurs qu'à Paris et créer ainsi un dynamisme économique dans des territoires qui en manquent, comme la Creuse, la Vendée ou l'Aveyron, etc. ?

La première raison pour laquelle les grandes villes comme Paris, Francfort, Londres, Amsterdam, etc. rassemblent de nombreux data centers est qu'elles constituent des hubs majeurs où tout converge, et notamment les réseaux de télécommunications. Il est tout à fait logique, en effet, que les data centers se développent là où sont situés les grands « nœuds » Internet : à Madrid, Milan, Paris, Francfort, etc. Il est possible sur une carte de voir physiquement tous les réseaux de télécommunications converger dans ces villes. Toutes les données y arrivent, et sont donc ensuite stockées dans des data centers.

La deuxième raison est économique. Les sièges sociaux des grandes sociétés françaises sont situés à Paris. Chaque région ou grande métropole en France accueille une grande société, mais Paris en concentre un nombre considérable. De très nombreuses équipes informatiques y sont donc également situées, et elles souhaitent que leurs équipements informatiques soient à proximité, afin qu'elles puissent y intervenir. Même si nous pouvons réaliser de nombreux gestes de proximité pour nos clients, eux-mêmes interviennent également sur site. Or, une société dont le siège social est situé à la Défense ou à Vélizy interviendra beaucoup plus rapidement sur un data center parisien que sur un data center situé dans la Creuse, à Lyon ou à Marseille, etc.

Vous avez parfaitement raison par ailleurs d'évoquer la question des compétences. Notre secteur est confronté à une réelle pénurie de compétences. D'ici 2025, cette pénurie est estimée dans le monde à près de 500 000 salariés spécialisés dans les data centers. Or, c'est à Paris que le plus grand nombre de personnes formées, compétentes et qualifiées (ingénieurs, techniciens, etc.) se trouvent. Ce n'est pas nécessairement là qu'elles sont les plus qualifiées, mais c'est là qu'elles sont les plus nombreuses.

Néanmoins, je crois beaucoup au développement des data centers en région. Ils n'atteindront certes pas la taille des « méga data centers », de plusieurs milliers de mètres carrés, que l'on trouve dans les grands hubs. Toutefois, pourquoi faire remonter les données de Lyon à Paris avant de les faire redescendre à Lyon, ou de Bordeaux à Paris avant de les faire redescendre à Bordeaux, etc. ? Les grandes villes françaises auront ainsi de plus en plus besoin de disposer de leurs propres data centers, de taille plus modeste, mais quand même importante, pour répondre aux besoins de leurs entreprises régionales, mais aussi aux besoins des villes et des territoires intelligents. En effet, tout se numérise : les entreprises, mais aussi les villes et les services, qui sont de plus en plus accessibles par l'intermédiaire de plateformes numériques. Et plutôt que d'être renvoyées vers de grands hubs comme Paris, les données afférentes devront être traitées localement, ne serait-ce que pour des raisons techniques de latence. Pour certaines applications (par exemple celles destinées aux voitures autonomes), le temps de latence entre l'émetteur et le récepteur doit ainsi être le plus court possible. Une distance de 400 kilomètres peut avoir un impact à cet égard. Si tout est traité au niveau de la ville même, le temps de latence sera réduit et la qualité du service encore améliorée.

Je suis plus dubitatif, en revanche, concernant la possibilité d'implanter des data centers dans des régions plus reculées comme la Creuse ou la Corrèze, etc. Je ne saurais toutefois me prononcer sur l'avenir au-delà de 2030. D'ici là, je prévois le développement de méga data centers dans les grands hubs, mais aussi de data centers de taille plus raisonnable dans les grandes villes et métropoles françaises.

Vous venez d'indiquer que l'avenir des data centers tenait aussi à la numérisation des villes et des collectivités pour développer des « villes intelligentes », « smart cities », « données de la ville », etc. Quel développement des besoins en data centers la filière envisage-t-elle par cet intermédiaire : un développement exponentiel ou plus continu ?

En premier lieu, la filière France Data Center ne s'appelle pas Paris Data Center, parce que nous y disposons d'acteurs présents sur l'ensemble du territoire (à Metz, Toulouse, Marseille, Lyon, etc.). Nous pensons donc fortement que l'avenir du data center en France impliquera bien toutes les régions, de Lille à Marseille. Ce point est donc parfaitement partagé.

En deuxième lieu, il faut bien comprendre que la production de données est en pleine « explosion ». En 2020, la Terre a produit en une année autant de données qu'elle l'avait fait au total jusqu'en 2020. Nous produisons et nous échangeons donc de plus en plus de données. Les data centers résultent alors de nos usages numériques. Plus nous produisons, plus nous avons besoin de stockage, donc de data centers. C'est ce que nous observons. Le développement des data centers est très important dans le monde, en Europe et en France, mais France Data Center pense que la France peut faire davantage. Elle dispose d'atouts magnifiques, mais présente aussi des freins, que j'ai évoqués. De plus, les data centers sont trop souvent mal compris, et ainsi perçus comme des actifs se contentant de rejeter de la chaleur non consommée dans l'atmosphère. Ils sont bien plus que cela. Un travail pédagogique important est à effectuer à cet égard, non pas tant auprès des citoyens qu'auprès du gouvernement, de l'administration et des élus, pour expliquer à quoi servent les data centers et pourquoi il est important d'en posséder. À condition de réaliser ce travail et de lever ces freins, les data centers ont de l'avenir partout en France.

Les data centers sont de grands consommateurs d'électricité, ce qui est beaucoup reproché au numérique depuis quelque temps, maintenant que chacun sait chiffrer l'impact du numérique en termes de production de gaz à effet de serre et de consommation électrique. Investissez-vous dans la réduction de la consommation électrique ? Comment pouvez-vous « verdir » votre activité pour éviter ces critiques, conduisant à limiter le volume de données stockées et le recours aux data centers, qui nuirait à la planète ? Disposez-vous de pistes à cet égard ?

La filière travaille depuis plus de quinze ans sur la réduction de son impact environnemental et l'optimisation de sa consommation électrique. Une étude publiée dans la revue Science a montré que, de 2010 à 2018, le nombre des serveurs a été multiplié par six, pour une augmentation de seulement 6 % de la consommation d'électricité des data centers, précisément parce que l'ensemble du secteur travaille à optimiser cette consommation. Elle y travaille d'abord pour une raison économique : la consommation électrique d'un data c enter représente 30 à 40 % de sa charge financière. La réduire impactera donc directement votre rentabilité.

La filière est également consciente de sa responsabilité. Elle constitue la partie émergée, visible, du numérique. Le numérique est souvent conçu comme virtuel, tandis que les data centers sont réels. Le cloud n'est pas situé dans les nuages, mais bien dans nos data centers, de manière très tangible et concrète. Il est donc facile de cibler les data centers, qui sont des actifs physiques et tangibles.

En matière de performance énergétique, il faut travailler à la fois sur la quantité et sur la qualité.

En termes de qualité, nous pensons qu'il est indispensable de se tourner de plus en plus vers les énergies renouvelables. Depuis 2007, 100 % de la consommation électrique de DATA4 est d'origine renouvelable. Nous avons mené cette conversion en France, en Italie, en Espagne et au Luxembourg, et nous continuerons en ce sens dans les prochains pays où s'étendra l'entreprise. À travers l'engagement volontaire PACTE pris auprès de l'Union européenne, des objectifs chiffrés nous sont fixés pour accroître d'ici 2025 et 2030 notre recours à l'énergie renouvelable.

S'agissant de la quantité d'énergie, les data centers de nouvelle génération de DATA4 utilisent l'air externe pour refroidir les serveurs hébergés dans leurs bâtiments. Le climat tempéré de la France le permet. Un air de très bonne qualité est également requis pour cette technologie, car les serveurs supportent très mal la poussière. L'air très pur dont nous disposons sur notre campus de Marcoussis nous permet d'utiliser l'air externe 85 % du temps pour refroidir les serveurs hébergés dans nos salles informatiques. Cela nous a permis de réduire de près de 20 % la consommation électrique de nos bâtiments, de même que leur power usage effectiveness (PUE). Cet indicateur de performance énergétique rapporte l'énergie qui arrive dans le bâtiment à celle qui est utilisée par le serveur. La finalité d'un data center est en effet d'apporter de l'électricité à un serveur, pour qu'il puisse fonctionner. Plus ce rapport tend vers 1, plus votre data center est vertueux. Grâce à l'utilisation de l'air externe dans le cadre de notre technologie de free cooling, notre PUE est passé de 1,8 à 1,2, ce qui constitue un très bon niveau dans notre industrie. C'est donc sur ce type de technologies que nous travaillons pour réduire la quantité d'énergie consommée dans nos bâtiments.

DATA4 prône aussi très fortement une approche globale, « holistique », de l'ensemble du cycle de vie des data centers : de leur conception à la fin de vie des équipements, en passant par leur construction et leur exploitation. Le free cooling par exemple doit être intégré dès la conception. En construction, nous envisageons de recourir à des matériaux comme le béton vert. C'est en exploitation que des gains d'efficacité énergétique sont particulièrement possibles. Nous travaillons à cet égard sur des solutions consistant à compartimenter et cloisonner des allées de serveurs, pour concentrer la chaleur produite sur certains points précis, et y propulser l'air froid. Cela fait gagner considérablement en efficacité énergétique par rapport à une diffusion homogène de cet air.

La filière travaille donc depuis très longtemps à la fois sur la qualité et la quantité de l'énergie consommée, et sur l'ensemble du cycle de vie des bâtiments.

S'agissant de la cybersécurité, nous avons interrogé ce matin un spécialiste des données de santé. Selon lui, il n'existe pas aujourd'hui de plan de continuité d'activité dans les hôpitaux en cas de cyberattaque. Vous avez développé une expertise dans le domaine de ces plans de continuité d'activité. En cas de panne de courant, vous disposez de générateurs susceptibles de prendre le relais. Je suppose que vous avez également mis en place des mesures en cas de coupure des réseaux de télécommunications, et des plans de continuité d'activité en cas de cyberattaque, afin notamment d'isoler les points concernés et d'éviter ainsi la diffusion de l'attaque. Pourriez-vous partager ces compétences avec des acteurs stratégiques comme les hôpitaux, qui sont encore loin d'avoir suffisamment pris en compte ces considérations, alors même qu'ils stockent également des données, en l'occurrence dans des entrepôts de données de santé (EDS) ?

L'association travaille beaucoup sur l'échange de bonnes pratiques. Elle est à cet égard ouverte à tous : collectivités locales, administrations, entreprises, etc. J'encourage les acteurs publics concernés (par exemple les hôpitaux de Paris, s'il s'agit d'eux) à nous rejoindre pour participer à ce partage, afin que les bonnes pratiques soient diffusées autant que possible.

La continuité de service constitue une question de moyens. Généralement, les données essentielles sont stockées sur un site primaire, et il est très important de se doter d'un site secondaire en cas de perte du site primaire, idéalement en « actif-actif », ce qui permet de répliquer les données du site primaire vers un site secondaire en temps réel, de sorte que le site secondaire reprend totalement la charge du premier, de manière parfaitement transparente. « L'actif-actif » s'oppose à « l'actif-passif » où cette réplication n'est pas en temps réel. Naturellement, se doter d'un site secondaire coûte cher, et se doter d'un site secondaire en « actif-actif » coûte encore plus cher. Tout dépend donc des moyens alloués. Pour les infrastructures et activités critiques, nous encourageons en tout cas la création de sites de secours. À DATA4, plusieurs sites sont disponibles et de nombreuses entreprises y installent leur informatique primaire sur un site et leur informatique secondaire sur un autre.

Au-delà du partage de bonnes pratiques, que nous pouvons proposer, des moyens financiers sont donc nécessaires, mais aussi des équipes compétentes en interne qui aient le temps et la capacité de mettre en place ce type de systèmes et surtout de les maintenir en conditions opérationnelles, ce qui prend beaucoup de temps.

Vous l'avez évoqué : le cloud est lui aussi hébergé dans les data centers. Avec Schrems II, la possibilité d'utiliser des clouds souverains ou des clouds américains s'est posée. Quelle vision ont vos clients de l'utilisation du cloud ? Ont-ils commencé à s'interroger sur la localisation des données et la manière de les protéger et de les rendre souveraines au sens de Schrems II ? Ou s'agit-il encore pour eux d'une question mineure, par rapport à la recherche de solutions techniques et la question des coûts ?

Ce n'est pas du tout une question mineure. Tous les clients se posent la question de la localisation des données. Une tendance de fond parmi les entreprises consiste à segmenter les données essentielles et les données accessoires. Une base de données client et les données de R&D notamment n'ont pas la même valeur que les données d'un site institutionnel Internet, même si ce dernier représente l'image d'une société. Selon qu'il s'agit des unes ou des autres, la perte n'a pas le même impact. Toutes les entreprises sont donc engagées dans la segmentation de leurs données, en fonction de leur niveau de criticité, et adaptent les environnements numériques de ces données à cette criticité.

Les réglementations entrent également en compte à cet égard. En Europe comme en France, la réglementation est ainsi très claire concernant le pourcentage d'informations pouvant être stockées dans le cloud ou non.

Il revient ensuite à chacun de déterminer où il localisera ses données en fonction de la segmentation retenue. Le « cloud privé » appartient à l'entreprise : il est hébergé dans ses propres machines et systèmes, fondés sur ses procédures propres, etc. Le « cloud public » quant à lui est hébergé par des plateformes mutualisées, que nous connaissons tous : il existe une très belle solution française, des solutions américaines, etc. Enfin, le « cloud hybride » consiste précisément à choisir entre le cloud privé et le cloud public en fonction de la criticité des données concernées.

Quelle est la définition d'un « cloud souverain », c'est-à-dire d'un cloud de confiance, permettant aux entreprises d'importance vitale, aux administrations, au gouvernement, de stocker leurs données en fonction de leurs besoins ? Je n'ai pas d'avis sur la question de savoir si son acteur doit être américain ou européen, etc. L'important est surtout qu'un cloud souverain doit fonctionner en autonomie, c'est-à-dire ne doit pas dépendre d'un État tiers, afin qu'il puisse continuer à fonctionner en temps de crise. Il doit également pouvoir fonctionner avec des ressources situées en France, ce qui signifie que des ressources capables de gérer les opérations du cloud doivent s'y trouver. Enfin, il est très important que les données soient localisées en France. Il faudrait très rapidement définir la notion de cloud de confiance, ou de cloud souverain, afin que différentes propositions y répondant (donc ne dépendant pas d'États tiers) soient rendues disponibles en France, ce qui ne signifie pas que leurs acteurs doivent tous être français. Une communication devrait alors être réalisée auprès des acteurs concernés, pour leur permettre d'héberger leurs données sur différents types d'infrastructures et de plateformes, en fonction de leur criticité.

Il est fréquent d'entendre que les entreprises françaises ne sont pas suffisamment digitalisées ou numérisées, par opposition, par exemple, à l'Allemagne, en raison de la taille des entreprises, mais aussi de leur culture. Partagez-vous ce constat ? Vos data centers sont-ils principalement sollicités par des grands clients ou par une multitude de petits comptes très atomisés, et la taille de vos clients a-t-elle évolué durant les dernières années ?

Nous sommes présents dans différents pays européens voisins, et, si je connais moins la situation de l'Allemagne, la France n'a pas à rougir de sa situation par rapport à l'Italie ou à l'Espagne. Entre l'Europe du Sud et l'Europe du Nord, les pratiques sont toutefois différentes. Le recours à l'externalisation, notamment, est beaucoup plus fréquent en Europe du Nord qu'en Europe du Sud. Dans le domaine du numérique comme dans d'autres, les entreprises des pays du Sud sont ainsi plus réticentes à faire confiance à des sociétés tierces pour héberger et gérer leur informatique. Elles préfèrent s'en occuper elles-mêmes. Cet écart tend toutefois à se résorber sous l'effet des crises successives (financière, sanitaire, etc.) et de la compétition mondiale. Les entreprises ont besoin de se concentrer sur leur cœur de métier, et ont de moins en moins les moyens d'allouer des fonds importants à des activités pour elles accessoires. Elles font donc de plus en plus appel à des sociétés tierces pour gérer ces activités, et pouvoir ainsi concentrer leur énergie et leur capital à innover et se différencier sur leur cœur de métier.

Notre base de clients est très diverse. Nous travaillons avec la plupart des entreprises du CAC40, mais aussi avec de très belles entreprises de taille intermédiaire (ETI) et quelques PME. Nous travaillons donc avec des entreprises de toutes tailles, et toutes externalisent de plus en plus. Nous travaillons aussi avec des entreprises de la Tech, qu'il s'agisse d'intégrateurs, d'entreprises des services numériques (ESN) ou d'acteurs du cloud, et elles aussi externalisent beaucoup. De plus en plus, les entreprises font donc confiance à des acteurs spécialisés dans des télécommunications ou les data centers comme DATA4 pour externaliser leurs systèmes d'information.

Au-delà des questions de taxation, y a-t-il selon vous des freins législatifs ou réglementaires à lever absolument pour améliorer l'écosystème numérique en France ?

Je le répète : disposer d'une stabilité réglementaire est très important, car les investissements dans les data centers se font sur des temps très longs.

Par ailleurs, construire un data center en France est complexe en raison d'un cadre administratif parfois un peu long et lourd. Au-dessus de 400 mégawatts informatiques, par exemple, les installations classées pour la protection de l'environnement (ICPE) passent du régime de la déclaration à celui de l'autorisation. Or, le processus des autorisations ICPE est complexe, et surtout très long : il peut prendre un an. Déjà, construire un data center peut prendre dix-huit à vingt-quatre mois, du fait de la quantité considérable de technologie qu'abrite un tel bâtiment. Y ajouter douze mois de procédure ICPE constitue un frein supplémentaire. Il faudrait donc raccourcir ce délai d'autorisation, assez unique en Europe, pour des installations classées, au fond, bien connues.

D'autres obligations sont ensuite à remplir, d'une manière assez linéaire : après l'obtention du permis de construire et de l'autorisation ICPE, des fouilles archéologiques doivent être réalisées. Il ne s'agit pas de les mettre en cause : elles sont parfaitement légitimes, mais ne serait-il pas possible de les commencer avant, en engageant ainsi parallèlement les différentes procédures, pour gagner du temps ? Si des vestiges romains, etc. importants sont découverts, la poursuite des autres obligations administratives que doivent remplir les opérateurs de data centers, devenue inutile, aura ainsi pu être évitée. C'est donc surtout l'enchaînement linéaire des obligations administratives à remplir qui fait qu'elles prennent du temps. L'obtention du permis de construire prend trois mois, et quand on y ajoute le temps d'obtention d'une autorisation ICPE, etc., les délais deviennent extrêmement longs. Ce cadre administratif n'est donc pas réellement adapté à notre type de développement, et nous gagnerions beaucoup à ce qu'il soit simplifié.

Enfin, comme je l'ai déjà dit, je souhaiterais que les data centers soient reconnus comme des infrastructures critiques et soient soutenus en cas de crise, afin que nous n'ayons pas à craindre qu'une limitation de circulation nous empêche d'accéder à nos bâtiments, et qu'un accès prioritaire au fuel, etc. nous soit accordé. Un ensemble de prérequis sont ainsi indispensables pour opérer des data centers en temps de crise. Les data centers sont des infrastructures critiques et devraient être reconnus comme tels.

Les data centers sont-ils reconnus comme des installations critiques dans d'autres pays que la France ? Ou pensez-vous qu'une réglementation européenne devrait être adoptée pour harmoniser les règles à cet égard entre l'ensemble des pays membres ?

Il serait en effet intéressant d'approcher cette question à l'échelle européenne. Lors de la première vague de la crise sanitaire, une coordination très forte s'est établie entre les différentes organisations professionnelles, et nous nous sommes rendu compte que la plupart des pays (l'Italie, l'Espagne, l'Angleterre, etc.) avaient très rapidement reconnu aux data centers le statut d'installations critiques, pour garantir le fonctionnement de ces bâtiments. Nous n'avons pas réussi à l'obtenir en France. Le gouvernement a signé une lettre de soutien très appuyé au secteur des télécommunications. Nous avons demandé à disposer des mêmes garanties et du même soutien : nous ne l'avons pas obtenu, probablement en raison d'une mauvaise compréhension persistante en France de la nature des data centers, de leur impact et de leur criticité.

Voulez-vous dire qu'il a manqué au gouvernement et à l'administration une prise de conscience de la nécessité des data centers, et de la nécessité d'en permettre le fonctionnement ?

C'est exactement ce que je veux dire.

Est-ce valable à tous les niveaux, ou le secrétaire d'État au numérique notamment, qui connaît mieux le milieu que certains de ses collègues, s'est-il montré plus réceptif ?

Heureusement, nous travaillons extrêmement bien avec la direction générale des entreprises (DGE), qui est à l'écoute, et avec laquelle nous avons eu beaucoup d'échanges et pu travailler sur de très nombreux sujets, notamment relatifs au numérique. La DGE ne travaille cependant pas de manière isolée. Elle a donc fait ce qu'elle a pu. Or, de manière générale, la prise de conscience de l'importance des data centers pour le territoire français n'est pas suffisante. Pourtant, la France est un pays d'infrastructures (électriques, de transport, de télécommunications, etc.) dont elle peut être fière. Mais les infrastructures numériques ne sont souvent vues, en France, qu'à travers le prisme des réseaux de télécommunications. Or, ceux-ci ne servent à rien sans data centers. C'est un ensemble qui doit fonctionner de manière cohérente. Les réseaux acheminent des données, qui sont stockées dans des data centers, puis sont redistribuées. Nous passons donc notre temps à expliquer l'importance des data centers, non pas parce que nous travaillons dans ce secteur, mais parce qu'il faut que l'ensemble soit cohérent pour fournir une continuité de service aux citoyens, aux entreprises, aux administrations, etc. Pour l'instant, la prise de conscience n'est pas assez rapide en France. C'est la mission de France Data Center que de l'accélérer, et nous constatons qu'elle est plus rapide dans les autres pays.

Ce point est bien noté. Nous examinerons s'il doit être traité au niveau européen ou national.

Y a-t-il d'autres sujets que vous souhaiteriez aborder, et que nous n'aurions pas évoqués ?

Quatre marchés principaux, dits « tiers un » (la France, l'Allemagne, l'Angleterre et la Hollande), sont distingués en Europe du reste des marchés, dits « tiers deux ». Si la Hollande (plutôt que l'Espagne ou l'Italie, par exemple) fait partie des marchés « tiers un », c'est parce que l'un des principaux nœuds de télécommunications au monde est historiquement situé à Amsterdam. Un grand nombre de data centers se sont donc développés en Hollande, qui vient ainsi de passer devant la France, à la troisième place du classement des pays où se développent le plus de data centers. La France y occupe désormais la quatrième place, dont l'Irlande se rapproche très rapidement.

En tant que président de France Data Center et de DATA4, qui constitue une très belle société de data centers française, je souhaite vous sensibiliser sur le fait que ces infrastructures sont critiques, attirent de nombreux capitaux, développent des compétences et des savoirs. La France doit donc veiller à ne pas être déclassée de ce point de vue, et s'organiser pour permettre à la filière de se développer encore plus, et de ne pas perdre des parts de marché vis-à-vis d'autres acteurs qui ont compris l'intérêt stratégique de disposer de data centers et de données sur leurs territoires, et l'intérêt économique d'attirer ce type d'investissements.

Que pourrions-nous faire en termes de formation pour vous aider ? Suffirait-il à court terme de créer quelques filières dans les écoles d'ingénieur, ou faut-il mener un travail à plus long terme ?

La formation est toujours un processus long, malheureusement. Il existe en France des filières « télécom », mais pas vraiment de filière data center. DATA4 et France Data Center avaient été consultés par l'Université de Rennes, qui envisageait de créer une formation dans les data centers. C'était une très bonne idée, qui n'a malheureusement pas abouti à ma connaissance. France Data Center est évidemment disponible pour travailler avec le gouvernement à définir des filières spécialisées dans le data center. Une excellente initiative comme « les plombiers du numérique » a commencé dans les réseaux avant de s'étendre aux data centers. Elle est désormais partenaire de France Data Center. DATA4 a reçu une vingtaine de jeunes techniciens venus se former aux métiers de base du data center. Il ne s'agit pas d'ingénieurs, ni même de techniciens qualifiés, mais cela permet d'aider des jeunes en difficulté et de leur faire découvrir les data centers. Des actions, qui vont au-delà de simples expérimentations, sont ainsi lancées et sont très bénéfiques, mais des formations doivent également être créées pour permettre à des ingénieurs et techniciens d'accéder à notre secteur, qui se développe très fortement et a besoin de compétences fortes. La question de la formation est donc très importante.

Nous reviendrons vers vous à l'issue de l'ensemble des auditions, mais j'ai bien noté vos suggestions concernant le statut d'infrastructures critiques, les fouilles archéologiques, etc. La question de la stabilité des normes notamment est récurrente, ce qui signifie que votre avis à ce sujet est totalement partagé.