Le 10 juillet 2026, Londres place Microsoft et Google sous surveillance financière

Le signal est net: à Londres, le cloud n’est plus traité comme un simple service informatique. En plaçant Microsoft, Google, Amazon et Oracle sous surveillance directe pour la stabilité financière, le Royaume-Uni acte qu’une panne, une faille ou une dépendance excessive à ces plateformes peut désormais relever du risque systémique.

Le Royaume-Uni désigne quatre géants du cloud comme acteurs critiques

Le 10 juillet 2026, les autorités britanniques ont officiellement désigné Microsoft, Google, Amazon et Oracle comme critical third parties — des « tiers critiques » — pour le secteur financier. Concrètement, ces groupes entrent dans un cadre de supervision réglementaire directe destiné à protéger la stabilité du système financier britannique.

La portée de cette décision dépasse largement la seule conformité technique. Jusqu’ici, les discussions autour du cloud se concentraient surtout sur la concurrence, la cybersécurité, la souveraineté numérique ou la protection des données. Le Royaume-Uni franchit une étape supplémentaire: il considère désormais que l’infrastructure cloud elle-même peut constituer un point de fragilité pour les banques, assureurs et marchés financiers.

Le message adressé au marché est simple: lorsque des pans entiers de la finance reposent sur un petit nombre de prestataires américains, le sujet n’est plus seulement commercial. Il devient prudentiel.

Du risque opérationnel au risque systémique

Cette bascule réglementaire dit quelque chose de l’état réel de l’économie numérique. Le cloud est devenu la couche invisible qui porte les applications bancaires, les environnements de calcul, les services de données, les outils d’analytique et, de plus en plus, les charges de travail liées à l’IA.

Pour les autorités financières, le problème n’est pas uniquement qu’un prestataire soit dominant. Le problème est qu’une interruption majeure, un incident de sécurité ou une défaillance de gouvernance chez un acteur du cloud peut désormais produire des effets en chaîne sur plusieurs institutions en même temps.

C’est précisément ce type de concentration que vise la notion de critical third party. Les régulateurs ne regardent plus seulement la robustesse des banques elles-mêmes, mais aussi celle de leurs fournisseurs les plus essentiels. Une logique inspirée de la supervision des infrastructures critiques: si un maillon externe devient indispensable au fonctionnement du système, ce maillon entre dans le champ du contrôle.

Dans le cas britannique, le choix des entreprises désignées n’a rien d’anodin. Amazon Web Services, Microsoft Azure et Google Cloud dominent l’essentiel du marché mondial du cloud public. Oracle, moins visible dans le débat grand public, reste très implanté dans les systèmes de données et les environnements critiques des grandes entreprises. Dans la finance, cette dépendance est d’autant plus sensible que les migrations vers le cloud ont souvent concerné des fonctions centrales, pas seulement des usages périphériques.

Pourquoi l’IA accélère la pression sur les régulateurs

L’autre élément clé, encore plus stratégique, est la montée de l’IA. Les modèles, les bases vectorielles, l’entraînement, l’inférence et l’orchestration d’agents reposent sur des infrastructures massives en calcul, stockage et réseau. En pratique, cela renforce encore le poids des hyperscalers.

Autrement dit, la concentration déjà forte du cloud se prolonge dans la chaîne de valeur de l’IA. Une banque qui modernise ses outils de conformité, de détection de fraude, de relation client ou d’analyse de risque via des services d’IA hébergés dépend souvent du même fournisseur pour la donnée, le calcul, les puces, les couches MLOps et parfois même les modèles eux-mêmes.

C’est là que la décision britannique prend une dimension plus large. Elle intervient à un moment où le cloud devient l’ossature du déploiement industriel de l’IA. Réguler ces fournisseurs en tant que tiers critiques revient donc, indirectement, à placer une partie de l’infrastructure de l’IA financière sous regard prudentiel.

L’angle est important pour les lecteurs européens: le débat sur l’IA est souvent réduit aux modèles, aux usages ou aux contenus. Mais la vraie dépendance économique se niche aussi dans l’infrastructure. Sans accès stable et gouverné aux grands clouds américains, une large part de l’innovation IA d’entreprise ralentit, ou s’expose à des risques nouveaux.

Ce que la supervision directe va changer

La désignation comme critical third party ne signifie pas que Microsoft, Google, Amazon et Oracle deviennent des établissements financiers. En revanche, elle permet aux régulateurs britanniques d’exiger davantage sur la résilience opérationnelle, la gestion des incidents, les tests, la gouvernance et la continuité d’activité.

L’enjeu est double.

D’abord, réduire le risque de panne ou de défaillance étendue. Les institutions financières sont déjà tenues de maîtriser leurs prestataires critiques, mais ce modèle atteint ses limites lorsque des centaines d’acteurs dépendent des mêmes plateformes. Une banque peut auditer son propre contrat; elle ne peut pas, seule, neutraliser le risque systémique créé par une concentration sectorielle.

Ensuite, corriger l’asymétrie de pouvoir entre clients financiers et hyperscalers. Dans la pratique, les très grands fournisseurs cloud imposent souvent leurs architectures, leurs clauses et leurs calendriers. Une supervision directe donne aux autorités un levier supplémentaire pour imposer des garanties minimales là où la négociation privée ne suffit plus.

Ce point est loin d’être théorique. Les autorités financières, en Europe comme au Royaume-Uni, s’inquiètent depuis plusieurs années de la difficulté à organiser une véritable exit strategy en cas de problème majeur, tant les dépendances techniques peuvent être fortes: formats propriétaires, services managés profondément intégrés, coûts de migration élevés, pénurie de compétences multi-cloud.

Une décision britannique, un avertissement global

Le Royaume-Uni n’invente pas ce débat, mais il lui donne une traduction politique très claire. L’Union européenne a déjà avancé sur la résilience numérique du secteur financier avec DORA (Digital Operational Resilience Act), qui prévoit lui aussi une attention particulière aux fournisseurs TIC critiques. La décision britannique rend toutefois la cible plus visible: ici, les noms sont posés noir sur blanc, et ce sont les plus grands acteurs américains du cloud.

Cette explicitation compte. Elle transforme un débat technique en fait politique. Quand Microsoft, Google, Amazon et Oracle sont officiellement considérés comme des points névralgiques de la stabilité financière, il devient plus difficile de soutenir que le cloud relève uniquement du choix opérationnel des entreprises.

Pour la France et l’Europe, le sujet touche directement à la souveraineté numérique. Non pas au sens abstrait, mais dans une dimension très concrète: quelle marge de manœuvre reste-t-il aux économies européennes lorsque les services essentiels de la finance et de l’IA reposent sur quatre groupes étrangers soumis à d’autres juridictions, d’autres intérêts industriels, d’autres rapports de force géopolitiques?

La réponse n’est pas forcément la sortie du cloud américain. Elle passe plus vraisemblablement par un triptyque: exigences accrues de résilience, diversification des architectures, et montée en puissance de solutions européennes sur certains segments critiques. Mais la décision britannique montre que le temps de la simple vigilance est passé.

Le prochain test: de la désignation aux contraintes réelles

L’étape décisive commence maintenant. Une désignation n’a d’effet que si elle débouche sur des obligations concrètes, des contrôles effectifs et des scénarios de crise testés dans la durée.

Le point à surveiller sera donc le contenu opérationnel de cette supervision: fréquence des audits, exigences de continuité, obligations de transparence sur les incidents, capacité des régulateurs à mener des tests de résilience et, surtout, possibilité d’imposer des correctifs quand un risque structurel est identifié.

La conséquence mesurable la plus probable est une hausse des coûts de conformité et de résilience pour les hyperscalers opérant avec le secteur financier britannique. Pour les banques et assureurs, l’effet devrait se traduire par des exigences contractuelles plus strictes, davantage de plans de secours et une pression accrue pour limiter les dépendances techniques irréversibles.

Le prochain jalon attendu sera donc moins symbolique que pratique: voir si cette surveillance directe produit de nouvelles contraintes applicables aux plateformes cloud les plus exposées. Si c’est le cas, le précédent britannique pourrait rapidement servir de modèle ailleurs en Europe — avec une implication majeure pour le cloud IA, désormais traité non plus comme un simple outil, mais comme une infrastructure d’importance systémique.