Wero : souveraineté des paiements, serveurs de Bezos, l’oxymore qui coûte cher

Troisième volet d’une série sur la souveraineté des paiements en Europe. → Wero : victoire des nations ou antichambre de la BCE ? → CB + Wero : alliance naturelle ou absorption programmée ?

Le triomphe et la réalité du même jour

Le 21 avril 2026, le Groupe BPCE a annoncé en grande pompe les premières transactions e-commerce Wero en France. L’École du Ski Français comme terrain d’expérimentation, Banque Populaire et Caisse d’Epargne comme porte-étendards. Martina Weimert, directrice générale d’EPI, a sorti ses superlatifs habituels : « une étape clé », « une avancée majeure vers la souveraineté européenne des paiements », 53 millions d’utilisateurs, 130 millions à l’horizon 2027. Le communiqué sent l’encens.

Le même jour, le site allemand Netzpolitik.org (l’équivalent d’un Mediapart spécialisé dans les libertés numériques, avec la rigueur en plus) publiait les conclusions d’une enquête dérangeante : Wero, le champion autoproclamé de l’indépendance numérique européenne, fait tourner son infrastructure critique sur les serveurs d’Amazon Web Services.

Deux communiqués pour un seul mardi. L’un côté cour, l’autre côté jardin. Lequel dit la vérité sur l’état réel de la « souveraineté » de Wero ? La réponse, malheureusement, ne fait aucun doute.

L’aveu arraché à EPI

Netzpolitik n’a pas eu la chose facilement. EPI a d’abord refusé de détailler quels prestataires d’infrastructure Wero utilisait, invoquant des « raisons de sécurité ». Ce n’est qu’acculée par la demande directe des journalistes que l’initiative a fini par concéder : Wero s’appuie sur « une combinaison de prestataires technologiques européens et internationaux, dont des services d’infrastructure et de logiciels managés d’AWS ».

Notez la formulation. « Une combinaison de prestataires européens et internationaux ». L’ordre des adjectifs est là pour flatter. La réalité, c’est qu’on ne sait pas quelle part de l’infrastructure est réellement européenne, ni ce qu’AWS gère exactement. EPI ne le dit pas. Elle ajoute qu’elle « conserve la pleine maîtrise de l’architecture, du modèle de sécurité et des opérations » et applique « des mesures de sécurité multi-niveaux, dont le chiffrement en transit et au repos ».

Ce sont des arguments techniques recevables. Ils ne valent pas un centime face au droit américain.

Dans mes deux premiers articles sur Wero, j’avais salué l’ambition de l’interopérabilité européenne tout en restant prudent sur les fondations. Cette prudence était justifiée. Ce que j’ignorais (ce qu’on ignorait tous), c’est que les fondations en question s’appellent Amazon.

Le CLOUD Act : le droit américain qui n’a que faire des serveurs rhénans

Le Clarifying Lawful Overseas Use of Data Act, adopté aux États-Unis en 2018, est d’une simplicité brutale : il contraint les sociétés américaines de technologie à remettre aux autorités fédérales américaines les données qu’elles hébergent, où qu’elles se trouvent physiquement dans le monde. Peu importe que les serveurs soient à Paris, Francfort ou Séoul. Si l’entreprise est américaine, la juridiction américaine s’applique.

Ce n’est pas une interprétation contestable. C’est ce que conclut un avis juridique commandé par le ministère fédéral allemand de l’Intérieur lui-même à l’Université de Cologne, rendu en mars 2025 et rendu public via la loi sur la liberté d’information allemande. Le porte-parole du ministère a confirmé sans détour que l’utilisation de services cloud américains représente un « risque considérable de fuite de données ».

C’est le gouvernement allemand, dont les banques sont parmi les membres fondateurs d’EPI, qui commandite cet avis. Et les banques membres d’EPI ont quand même choisi AWS.

Face à cet argument, Amazon avance son « AWS European Sovereign Cloud », lancé en janvier 2026 au Brandebourg. L’entité juridique est allemande, le directeur général est un citoyen européen, le conseil de surveillance est composé exclusivement d’Européens. Tout cela est réel. Et tout cela est du sovereignty washing, l’expression est des experts en sécurité informatique, pas la mienne. Car la maison mère reste Amazon.com, société de droit américain. Les obligations légales remontent la chaîne de propriété. Un opérateur européen dans une filiale allemande d’Amazon ne peut pas empêcher un juge fédéral américain d’adresser une injonction à la société mère. La façade rhénane ne change pas le titre de propriété.

AWS le sait d’ailleurs très bien. Le groupe affirme n’avoir jamais divulgué de données stockées hors des États-Unis en réponse à une demande liée au CLOUD Act, « du moins depuis 2020, date à laquelle nous avons commencé à les recenser statistiquement ». La nuance temporelle dans cette phrase devrait alarmer tout directeur juridique sérieux. Et la précision « liée au CLOUD Act » laisse entière la question des autres fondements légaux disponibles dans l’arsenal du DOJ américain.

L’hypocrisie face à l’euro numérique

C’est ici que le dossier devient franchement insupportable.

En novembre 2025, EPI avait envoyé aux décideurs européens une lettre au vitriol contre le projet d’euro numérique porté par la Banque Centrale Européenne. Argument central : le projet aurait été « conçu sans cadre stratégique clair » et entraînerait « une duplication des structures et des inefficacités inutiles », puisque l’Europe dispose déjà d’une infrastructure de paiement instantané fonctionnelle. Traduction sans diplomatie : circulez, nous sommes là, pas besoin de la BCE.

Cette lettre avait été saluée par certains comme un acte de lucidité entrepreneuriale contre la technocratie de Francfort. J’avais moi-même accordé à cet argument une certaine légitimité dans mes articles précédents.

Mais regardons ce qu’EPI a omis de préciser dans ce courrier. L’euro numérique, par construction, aurait été porté par l’infrastructure de l’Eurosystème : banques centrales nationales, BCE, institutions publiques européennes. C’est-à-dire une infrastructure nativement souveraine, sans exposition au CLOUD Act, sans dépendance à un hyperscaler américain, sans Jeff Bezos dans la boucle.

EPI a donc torpillé une solution publique européenne (imparfaite, lente, technocratique, certes) au nom de la concurrence et de l’efficacité opérationnelle, pour lui préférer une solution privée qui s’avère aujourd’hui hébergée chez Amazon. Le contraste est proprement saisissant : on refuse à la BCE le droit de construire une infrastructure souveraine, on lui interdit de « dupliquer les structures existantes », et on construit soi-même une alternative dépendante d’une entreprise dont le fondateur est désormais dans l’orbite politique de Donald Trump.

C’est donner des leçons de souveraineté en habitant une maison de verre.

Le double paradoxe qui achève l’argumentaire

La communication d’EPI repose sur un postulat martelé à chaque conférence de presse : Wero nous émancipe de Visa et Mastercard, deux sociétés américaines qui captent des milliards de commissions sur les transactions européennes et sur lesquelles nous n’avons aucune prise réglementaire sérieuse.

L’argument est juste. La conclusion (choisir AWS) ne l’est pas.

Car le raisonnement substitue une dépendance américaine à une autre. Pire : il la dégrade. Visa et Mastercard sont des réseaux de traitement. Ils voient passer des métadonnées de transactions. AWS, lui, héberge. Il stocke. Il a accès non seulement aux rails, mais à l’entrepôt : potentiellement aux données transactionnelles elles-mêmes, aux profils d’usage, aux historiques, aux alias de comptes.

Il y a une nuance technique qu’on doit ajouter pour être honnête : Visa et Mastercard, après des décennies de bras de fer réglementaire avec l’Europe, ont fini par accepter des contraintes strictes sur les flux de données, des mécanismes d’audit, des engagements contractuels contraignants. Cette dépendance a été subie, puis encadrée sur le temps long. Wero, en choisissant AWS dès la genèse, n’a pas subi une dépendance : il l’a installée dans son ADN. Il ne s’agit plus d’une contrainte historique dont on cherche à s’extraire, mais d’un choix architectural fondateur.

Et EPI le sait. Dans ses réponses à Netzpolitik, l’initiative reconnaît elle-même les « demandes d’accès extraterritorial potentielles » comme un « risque juridique et géopolitique pertinent » et dit disposer de « plans d’urgence et de sortie pour les services technologiques critiques ». Des plans dont elle refuse de révéler le contenu, les étapes, ou la date d’activation.

L’argument du time-to-market et son antidote

Il faut être intellectuellement honnête : EPI a probablement un argument. On peut l’imaginer sans peine, il n’a pas été formulé publiquement, mais il est structurel. Lancer une infrastructure de paiement à l’échelle européenne, avec 53 millions d’utilisateurs, des exigences de disponibilité 99,99 %, des transactions en moins de dix secondes, des pics de charge imprévisibles, c’est un défi technique colossal. AWS offre l’élasticité, la redondance, les certifications, le support. Aucun acteur cloud européen n’avait en 2023-2024 le niveau de maturité opérationnelle comparable à cette échelle. Il fallait aller vite pour exister face à PayPal et Apple Pay. On prend AWS maintenant, on migre vers OVHcloud ou Scaleway plus tard.

C’est un argument recevable. Il a une date de péremption.

OVHcloud est qualifié SecNumCloud, le référentiel de l’ANSSI qui garantit l’immunité aux lois extraterritoriales et la localisation des données en France. Scaleway poursuit sa qualification. Ces acteurs existent, ils montent en puissance, ils sont viables. La question n’est donc pas « peut-on migrer ? » mais « quand migre-t-on, et vers qui ? »

EPI ne répond pas à cette question. Elle ne cite aucun prestataire européen cible. Elle ne donne aucune date. Elle parle de « plans de sortie » sans les montrer. Un plan de migration sans roadmap publique, sans jalons, sans engagement contractuel visible n’est pas une feuille de route : c’est une promesse en l’air, dont la fonction principale est de couper court aux questions gênantes.

Sans date de migration vers une infrastructure SecNumCloud, l’argument du time-to-market n’est plus une justification provisoire. C’est l’excuse permanente d’un statu quo qui arrange tout le monde, sauf les 53 millions d’utilisateurs dont les données transitent.

Conclusion : les fondations comptent plus que le drapeau

La métaphore s’impose d’elle-même. Construire Wero sur AWS, c’est comme bâtir un ministère de la Défense européen sur un terrain loué à une puissance étrangère. On peut mettre des gardes européens à la porte, un drapeau étoilé sur le toit, nommer un directeur général citoyen de l’Union. Le propriétaire a toujours le double des clés. Il peut couper l’eau quand il le décide, ou quand un juge fédéral le lui demande.

Et en 2026, le risque n’est plus seulement théorique. La souveraineté numérique est devenue un levier de pression géopolitique concret. Lorsque Washington décide de sanctionner une politique européenne (sur les tarifs douaniers, sur l’Ukraine, sur la régulation des GAFA), avoir la main sur l’infrastructure du système de paiement le plus prometteur du continent représente un kill switch redoutable. Ce n’est plus de la paranoïa : c’est de la géopolitique élémentaire à l’heure où Jeff Bezos dîne à Mar-a-Lago.

La DGFIP envisage d’intégrer Wero pour le règlement des impôts, des taxes municipales, des hôpitaux. Permettons-nous d’apprécier l’ironie dans sa plénitude : l’État français pourrait se retrouver à verser des commissions indirectes à Amazon pour collecter ses propres impôts, tout en sachant (via l’avis de l’Université de Cologne, commandé par son voisin allemand) que ces données fiscales sont potentiellement accessibles aux autorités américaines sur simple injonction. La souveraineté fiscale de la République hébergée chez celui dont on cherche précisément à s’autonomiser financièrement.

Wero a réussi quelque chose de réel : agréger les banques européennes, proposer une alternative crédible au duopole Visa/Mastercard, atteindre 53 millions d’utilisateurs. Ce n’est pas rien. Dans mes deux articles précédents, j’ai défendu ce projet face à ses détracteurs et face à ceux qui préféraient l’usine à gaz de l’euro numérique.

Mais la crédibilité sur le fond impose la rigueur sur la forme. Et sur la forme, Wero ne tient pas encore son propre argument. Le vrai test de maturité du projet ne sera pas le passage à 100 millions d’utilisateurs. Ce sera le jour où l’on pourra ouvrir l’application, faire un virement, et savoir avec certitude que la transaction n’a jamais touché un serveur soumis au droit américain.

Ce jour-là, la « solution forte et indépendante » méritera pleinement son slogan. Pas avant.