La politique saoudienne Cloud-First est la règle publique qui pousse les entités de l’État à évaluer les solutions cloud avant les infrastructures informatiques traditionnelles sur site lorsqu’elles acquièrent ou modernisent leurs systèmes. Portée par la Communications, Space and Technology Commission (CST) et la Digital Government Authority (DGA), elle traite le cloud computing comme une condition de l’agilité, de la scalabilité et de l’efficacité budgétaire nécessaires aux objectifs de gouvernement numérique et de villes intelligentes de Vision 2030. Elle est aussi devenue un signal de marché majeur pour les investissements hyperscalers dans l’infrastructure saoudienne de centres de données.
Cadre de politique publique
La politique Cloud-First établit une présomption en faveur de l’adoption du cloud dans le secteur public saoudien. Lorsqu’une entité publique lance un nouveau projet informatique ou renouvelle un système existant, elle doit évaluer les options cloud comme architecture par défaut ; un déploiement sur site ne se justifie que lorsque des exigences spécifiques de sécurité, de réglementation ou de technique ne peuvent pas être satisfaites par des services cloud. La politique n’impose pas un recours exclusif au cloud public. Elle couvre un éventail de modèles, dont cloud public, cloud privé, cloud hybride et configurations communautaires, afin de permettre aux agences de choisir le modèle adapté à leur classification des données et à leurs contraintes opérationnelles.
La DGA a publié des lignes directrices d’adoption du cloud qui donnent aux entités publiques des cadres pour évaluer leur maturité, planifier la migration, examiner les fournisseurs et gérer les opérations cloud. Ces documents répondent aux principaux freins : souveraineté des données, exigences de cybersécurité, intégration des systèmes hérités et déficit de compétences.
Environnement réglementaire
La politique Cloud-First s’inscrit dans un environnement réglementaire partagé entre plusieurs autorités. La CST régule les télécommunications et l’infrastructure technologique, y compris les licences de centres de données et l’enregistrement des fournisseurs cloud. La National Cybersecurity Authority (NCA) définit les standards et contrôles de cybersécurité que les prestataires doivent satisfaire pour servir les clients publics. Le cadre de gouvernance des données de la SDAIA, dont la Personal Data Protection Law, fixe les règles de traitement, de localisation et de transferts transfrontaliers qui influencent directement l’architecture cloud.
La convergence de ces domaines a produit un cadre de conformité par couches pour les services cloud en Arabie saoudite. Les fournisseurs qui veulent servir l’État doivent satisfaire les exigences d’enregistrement de la CST, les contrôles de cybersécurité de la NCA, les standards de gouvernance des données de la SDAIA et les exigences propres aux agences lorsque les charges sont particulièrement sensibles. L’objectif est d’éviter que l’adoption du cloud ne compromette la sécurité ou la souveraineté, tout en conservant les gains de flexibilité et d’innovation qui justifient la migration.
Le cadre de classification des Cloud Service Providers (CSP), administré par la CST, classe les fournisseurs selon leurs capacités, leur posture de sécurité et leur conformité aux exigences saoudiennes. Ce système aide les acheteurs publics à identifier des prestataires préqualifiés et réduit la charge de due diligence au niveau de chaque agence.
Investissements hyperscalers
La politique Cloud-First a été un catalyseur décisif des investissements des grands fournisseurs mondiaux de cloud dans l’infrastructure saoudienne de centres de données. Le signal de marché clair, combiné au budget informatique élevé du secteur public et à la croissance de l’économie numérique privée, a attiré les principales plateformes cloud vers des régions dédiées dans le Royaume.
Oracle, Google Cloud, Microsoft Azure et Amazon Web Services ont annoncé ou mis en service des régions cloud en Arabie saoudite, avec plusieurs milliards de dollars d’investissements cumulés dans les centres de données, les réseaux et les capacités opérationnelles locales. Ces investissements donnent aux entités publiques et aux organisations privées un accès à des plateformes cloud de rang mondial hébergées sur le sol saoudien, compatibles avec les exigences de localisation des données et offrant calcul, stockage, bases de données, intelligence artificielle, machine learning et analytique.
Ces engagements dépassent l’infrastructure physique. Ils incluent développement de la main-d’œuvre, appui aux startups et formation aux compétences numériques. Chaque grand fournisseur cloud s’est engagé à former des milliers de Saoudiens aux technologies cloud, créant un vivier de professionnels capables de concevoir, déployer et gérer des systèmes cloud. Ces engagements s’alignent sur les objectifs de saoudisation et traitent le déficit de compétences qui pourrait autrement ralentir l’adoption.
Adoption par le secteur public
L’adoption gouvernementale du cloud progresse dans plusieurs secteurs. La DGA a supervisé la migration de nombreuses applications et charges publiques vers des plateformes cloud, avec des premiers utilisateurs dans la santé, l’éducation, les services municipaux et les services financiers. Absher, plateforme de services aux citoyens, l’application sanitaire Tawakkalna déployée pendant la pandémie de COVID-19 et divers portails d’e-gouvernement ont utilisé l’infrastructure cloud pour atteindre une forte disponibilité et monter rapidement en charge.
Le National Information Centre et le programme Yesser e-Government ont historiquement fourni des services informatiques mutualisés aux entités publiques. Ces capacités sont progressivement augmentées ou remplacées par des solutions cloud. La transition reflète un basculement plus large : de l’infrastructure informatique possédée et exploitée par l’État vers un modèle de consommation de l’IT comme service auprès de fournisseurs commerciaux, avec plus de flexibilité et moins de charge capitalistique et opérationnelle pour chaque agence.
Adoption par le secteur privé
L’influence de la politique Cloud-First dépasse le secteur public. Les organisations privées, notamment dans les services financiers, le commerce de détail, les télécommunications et la technologie, accélèrent leurs propres programmes cloud sous l’effet de la concurrence, des impératifs de transformation numérique et de la disponibilité de plateformes hébergées localement compatibles avec les exigences réglementaires. Le secteur bancaire, supervisé par la Saudi Central Bank (SAMA), est devenu un utilisateur significatif après la publication par SAMA de lignes directrices sur le cloud computing pour les banques.
L’écosystème startup a adopté le cloud avec une intensité particulière : les entreprises technologiques saoudiennes construisent souvent des applications cloud-native dès l’origine plutôt que de migrer des systèmes hérités. Cette dynamique devrait s’amplifier à mesure que l’écosystème startup mûrit et que le cloud-first devient l’architecture par défaut des nouvelles entreprises technologiques.
Signification stratégique
La politique Cloud-First sert plusieurs objectifs stratégiques à la fois. Sur le plan budgétaire, elle permet à l’État de déplacer une partie de la dépense informatique du capex vers l’opex, d’améliorer la flexibilité budgétaire et de recourir à des modèles de consommation à l’usage. Sur le plan capacitaire, les plateformes cloud donnent accès à des technologies avancées, notamment l’IA et le machine learning, dont le développement isolé par chaque agence serait prohibitif. Sur le plan de la résilience, l’infrastructure cloud offre redondance, reprise après sinistre et distribution géographique, améliorant la continuité des services publics.
La politique positionne aussi l’Arabie saoudite comme hub régional d’infrastructure numérique. La concentration de centres de données hyperscalers dans le Royaume, combinée à des conditions réglementaires favorables et à une main-d’œuvre qualifiée, crée les conditions pour que l’Arabie saoudite serve de centre d’hébergement cloud pour des organisations opérant au Moyen-Orient, en Afrique du Nord et en Asie centrale.