# Data center : les assureurs suppléent-ils l'absence d'obligation d'extinction automatique ?
> Le rapport du BEA-RI sur l'incendie d'OVH à Strasbourg ne le dit pas, ni dans un sens ni dans l'autre. Il écrit que le droit commun applicable à la majeure partie de l'édifice est essentiellement porté par le Code du Travail, qui ne prévoit pas d'exigences particulières sur l'extinction automatique. Il écrit, en décrivant un livre blanc de la profession, que la mise en œuvre de dispositifs de détection et d'extinction automatique peut être recommandée par les sociétés d'assurance. Il salue l'initiative de la profession et des assureurs dans l'élaboration de guides professionnels, et demande qu'elle soit poursuivie et intègre le retour d'expérience de l'incendie. Aucune phrase du rapport ne la dit suffisante ni insuffisante. Le site n'était pas équipé d'extinction automatique.
- Source : https://probans.org/assurance/assurer-data-centers-ia/extinction-automatique-data-center-bea-ri-ovh-assureurs/
- Catégorie : Assurance
- Auteur : Axel Morel
- Publié le : 2026-10-02
## En résumé
- Le Code du Travail ne prévoit pas d'exigence particulière sur l'extinction automatique. Sous des conditions que le rapport pose (ni ERP ni IGH, bâtiment industriel de moins de 28 m), le Code du Travail « ne prévoit pas d'exigences particulières sur l'éventuelle mise en œuvre de moyens d'extinction automatiques ». La même page rend la détection incendie obligatoire.
- Le texte du rapport ne mentionne les assureurs que deux fois. Une fois comme recommandeurs possibles, dans la description d'un livre blanc de la profession, une fois dans le salut adressé à la profession et aux assureurs. Les deux mentions ne nomment aucun assureur.
- Le rapport ne conclut pas sur le rôle des assureurs. Il considère en revanche que les recommandations de sécurité du guide professionnel devraient être prises en compte dans la certification par l'ANSSI, dont OVH dispose « au même titre que d'autres exploitants de datacenter ». Il constate l'absence d'extinction automatique sur le site et la range parmi les facteurs contributifs, sans la dire déterminante.
Le rapport du BEA-RI sur l'incendie d'OVH à Strasbourg ne le dit pas, ni dans un sens ni dans l'autre. Il écrit que le droit commun applicable à la majeure partie de l'édifice est essentiellement porté par le Code du Travail, qui ne prévoit pas d'exigences particulières sur l'extinction automatique. Il écrit, en décrivant un livre blanc de la profession, que la mise en œuvre de dispositifs de détection et d'extinction automatique peut être recommandée par les sociétés d'assurance. Il salue l'initiative de la profession et des assureurs dans l'élaboration de guides professionnels, et demande qu'elle soit poursuivie et intègre le retour d'expérience de l'incendie. Aucune phrase du rapport ne la dit suffisante ni insuffisante. Le site n'était pas équipé d'extinction automatique.
1. **Le Code du Travail ne prévoit pas d'exigence particulière sur l'extinction automatique.** Sous des conditions que le rapport pose (ni ERP ni IGH, bâtiment industriel de moins de 28 m), le Code du Travail « ne prévoit pas d'exigences particulières sur l'éventuelle mise en œuvre de moyens d'extinction automatiques ». La même page rend la détection incendie obligatoire.
2. **Le texte du rapport ne mentionne les assureurs que deux fois.** Une fois comme recommandeurs possibles, dans la description d'un livre blanc de la profession, une fois dans le salut adressé à la profession et aux assureurs. Les deux mentions ne nomment aucun assureur.
3. **Le rapport ne conclut pas sur le rôle des assureurs.** Il considère en revanche que les recommandations de sécurité du guide professionnel devraient être prises en compte dans la certification par l'ANSSI, dont OVH dispose « au même titre que d'autres exploitants de datacenter ». Il constate l'absence d'extinction automatique sur le site et la range parmi les facteurs contributifs, sans la dire déterminante.
## Un rapport de prévention, daté du 24 mai 2022
Le document est le rapport MTE-BEARI-2022-005 du BEA-RI, daté du 24 mai 2022. Il porte sur l'incendie survenu dans la nuit du 9 au 10 mars 2021 au centre de stockage de données OVH de Strasbourg. L'enquête est menée au titre des articles L. 501-1 à L. 501-19 du Code de l'Environnement.
Elle « a pour seul objet de prévenir de futurs accidents » et « ne vise pas à déterminer des responsabilités ». Le rapport prévient que l'utiliser à d'autres fins que la prévention « pourrait conduire à des interprétations erronées ». Il ne se prononce pas sur les causes précises des départs de feu, qui font l'objet d'une expertise judiciaire.
## Ce que le rapport écrit du droit applicable
Le rapport écrit : « Dès lors que l'édifice ne relève ni des catégories ERP ni des catégories IGH, la majeure partie de l'édifice relève, pour ce qui concerne de la défense incendie et des dispositions constructives, de la réglementation de droit commun applicable à un bâtiment à caractère industriel d'une hauteur inférieure à 28 m. Celle-ci est essentiellement portée par le Code du Travail qui ne prévoit pas d'exigences particulières sur l'éventuelle mise en œuvre de moyens d'extinction automatiques. En revanche, une détection incendie est rendue obligatoire pour permettre l'évacuation des salariés qui interviennent dans le bâtiment » (p. 17).
La formule est bornée : la majeure partie de l'édifice, un droit commun « essentiellement » porté par le Code du Travail. Le Code du Travail n'y est pas dit interdire ni dispenser l'extinction automatique. Il ne prévoit pas d'exigences particulières à son sujet.
Sur les installations classées, le rapport écrit que « les datacenters ne sont pas des installations classées en tant que tels », tout en rappelant que certaines utilités nécessaires à leur fonctionnement (groupes électrogènes, installations de charge de batteries, éventuellement tours aéroréfrigérantes) peuvent l'être (p. 36). Sur le site, une déclaration du 5 août 2016 couvre deux rubriques, les groupes électrogènes et la charge de batteries (p. 11).
Le BEA-RI « ne considère pas que le niveau de risque présentés par les datacenters justifie que ceux-ci soient classés pour faire l'objet d'une réglementation de sécurité au titre du code de l'environnement » (p. 36). Une note évoque un classement fondé sur la consommation énergétique et écrit qu'il ne lui appartient pas de prendre position.
Une figure de la p. 18, que le rapport présente comme un extrait du livre blanc de France Datacenter, porte la case « Pas de contrainte pour l'extinction automatique » en regard des lignes « Habitation » et « CDT ». La case « Installations classées » renvoie, elle, aux rubriques. Cette formule est celle de la figure, non celle du rapport.
En l'absence de réglementation spécifique en matière de défense incendie (hors Code du Travail, IGH ou ERP), le rapport écrit : « il appartient à l'industriel de fixer le niveau de performance qu'il souhaite atteindre », y compris pour le système d'extinction, « tout en veillant à atteindre un niveau de performance suffisant pour apporter à ses clients le niveau de protection et de conservation des données qu'ils attendent » (p. 32). La phrase désigne l'industriel, non les assureurs.
## Les « sociétés d'assurance » : une mise en œuvre qui « peut être recommandée »
Le rapport décrit un livre blanc publié en janvier 2020 par France Datacenter sur la sécurité incendie dans les data centers. Il écrit que ce document « dresse un état des lieux de la réglementation applicable, des dispositifs de détection et d'extinction automatique aujourd'hui disponibles sur le marché et dont la mise en œuvre, même si elle n'est pas imposée par la réglementation, peut être recommandée par les sociétés d'assurance » (p. 17).
C'est donc le rapport, décrivant ce livre blanc, qui écrit que cette mise en œuvre peut être recommandée par les sociétés d'assurance. La page ne donne ni fréquence, ni exemple, ni assureur nommé. La proposition est citée ici en entier : elle porte sur des dispositifs de « détection et d'extinction automatique ».
Le rapport qualifie ce livre blanc de « référentiel de la profession » en matière de sécurité incendie. Il ajoute aussitôt : « On peut toutefois regretter qu'il ne rappelle pas les dispositions du Code du Travail qui peuvent s'appliquer aux datacenters construits sur plusieurs niveaux et dont le plancher du dernier niveau se situe à plus de huit mètres du sol. »
Le rapport écrit plus loin que ce livre blanc recense un ensemble de dispositifs communément déployés au sein de centres de données (inertage gaz, brouillard d'eau ou sprinklage) et précise pour chaque fonction souhaitée la technologie la plus adéquate (p. 33). « Communément déployés » n'est pas un taux : le rapport ne donne aucune proportion de data centers équipés.
## Les « assureurs » : un salut, borné par la phrase suivante
La seconde mention figure à la p. 36 : « Dans la mesure où les datacenters ne sont pas des installations classées et où le code de l'urbanisme permet difficilement de fixer des prescriptions particulières relatives à la prévention incendie, le BEA-RI salue l'initiative de la profession et des assureurs dans l'élaboration de guides professionnels (cf. III.5). Il importe que cette démarche soit poursuivie et intègre le retour d'expérience tel que celui résultant du présent évènement. »
Le verbe est « salue », et la proposition est introduite par « dans la mesure où ». La phrase suivante demande que la démarche soit poursuivie et intègre le retour d'expérience de l'événement. Une recherche de « suffi » sur les 43 pages donne 10 occurrences, dont aucune ne porte sur l'initiative, les guides ou les assureurs.
Le renvoi « (cf. III.5) » mène à la section de la p. 16 à 18 où les assureurs n'apparaissent que comme recommandeurs possibles, dans la phrase citée plus haut. Le seul document professionnel qui y est décrit est le livre blanc de France Datacenter, au singulier. Le rapport associe les assureurs à l'élaboration de guides professionnels sans préciser leur contribution.
Dans la suite de la même section, le rapport écrit que l'incendie « a mis en évidence la vulnérabilité des installations à un aléa technologique et la nécessité d'exiger de la part de ces opérateurs un niveau minimum de sécurité et de résilience au sens industriel du terme ». Il ajoute : « Dès lors, le BEA-RI considère que les recommandations de sécurité résultant de ce guide professionnel devraient être prises en compte dans le cadre de cette certification par l'ANSSI » (p. 36). Cette certification est le visa de sécurité de l'ANSSI dont OVH dispose « au même titre que d'autres exploitants de datacenter ». Le passage relève de la section VII, non des recommandations de sécurité de la section VIII.
## Deux mentions dans 43 pages
Dans la couche texte des 43 pages, le mot « assurance » apparaît une fois (p. 17) et le mot « assureur » une fois (p. 36). Le texte du rapport ne mentionne donc les assureurs que deux fois. Les deux mentions ne nomment aucun assureur. Je n'y ai trouvé ni « prime » ni « assurantiel ».
Ce décompte mesure la place que le rapport donne aux assureurs. Il ne dit rien du rôle que les assureurs jouent ou non.
Le seul passage du rapport qui parle d'indemnisation (p. 19) mentionne plusieurs procédures civiles pour traiter les demandes d'indemnisation des préjudices subis par les clients d'OVH et par OVH lui-même, et un collège d'experts judiciaires désigné par le Tribunal de Strasbourg. Il ne parle pas d'assurance.
## Ce que le rapport constate sur le site
Le rapport constate l'absence d'extinction automatique à trois endroits. Les « salles énergie », où le feu a pris, « étaient équipées d'une détection incendie mais ne disposaient d'aucun système d'extinction automatique » (p. 4). Le site est équipé d'un système de détection combiné à la présence permanente de personnel formé aux extincteurs, mais « n'est toutefois pas équipé de système d'extinction automatique » (p. 12). Enfin, « OVH a choisi de n'équiper aucun des cinq bâtiments de son datacenter de Strasbourg de système de protection incendie automatique » (p. 29).
Le bâtiment SBG5 n'était pas encore en exploitation au moment de l'incendie (p. 11). La détection, elle, est rangée parmi ce qui a contribué à limiter les conséquences de l'accident (p. 30), et le rapport écrit que les systèmes en place ont « parfaitement fonctionné » (p. 33).
Le rapport présente cette absence comme un choix de l'exploitant. Il ne la qualifie ni d'irrégulière ni d'infraction.
## Un facteur contributif, et l'un des quatre éléments que cite la synthèse
Le rapport range l'absence d'extinction automatique dans la section « VI.2.1 Ont contribué à la propagation de l'incendie », sous l'intitulé « Facteurs contributifs ». Il définit un facteur contributif comme un « élément qui, sans être déterminant, a pu jouer un rôle dans la survenance ou dans l'aggravation de l'accident » (p. 3).
Dans sa synthèse, il écrit : « Malgré l'arrivée rapide des secours, la conception du bâtiment, l'absence de système d'extinction automatique, le délai de mise en sécurité électrique du site et les moyens en eau sur la zone n'ont pas permis d'éviter l'embrasement généralisé de SBG2 et la propagation de l'incendie à des bâtiments voisins » (p. 4). La phrase énumère quatre éléments sans les hiérarchiser.
## Des enseignements, pas des recommandations
Parmi ses enseignements de sécurité, le rapport écrit que les installations les plus sûres et résilientes allient des dispositions constructives offrant une bonne tenue au feu, un système de protection incendie automatique et une stratégie de mise en sécurité et d'intervention. Il ajoute que ces enseignements ne sont pas à prendre individuellement, mais dans une approche globale et cohérente (p. 32).
Le rapport distingue deux catégories. Un enseignement de sécurité est un « élément de retour d'expérience tiré de l'analyse de l'évènement ». Une recommandation de sécurité est une proposition d'amélioration adressée à une personne physique ou morale, qui dispose de deux mois pour faire part de ses suites (p. 3). L'extinction automatique figure dans les enseignements, non dans les recommandations.
Les recommandations de sécurité de la section VIII sont adressées à deux destinataires, la DGPR et OVH. Aucune ne nomme l'extinction automatique, aucune ne s'adresse aux assureurs ni à France Datacenter.
## Ce qu'un lecteur qui doit décider peut en faire
Ne pas citer ce rapport comme preuve que les assureurs suppléent l'absence d'obligation d'extinction automatique, ni comme preuve qu'ils ne la suppléent pas : il écrit qu'une mise en œuvre « peut être recommandée » et il « salue » une initiative, sans la dire suffisante ni insuffisante.
Citer la proposition sur les sociétés d'assurance en entier, avec « détection et extinction automatique », et en précisant que c'est le rapport qui décrit le livre blanc. Citer le salut avec la phrase qui le suit.
Dire « le texte du rapport ne mentionne les assureurs que deux fois », non « aucun assureur n'est cité ». Borner toute lecture au site de Strasbourg et au droit français que le rapport décrit.
## Mes réserves
- **Un rapport de prévention, non un jugement.** Il ne vise pas à déterminer des responsabilités et ne se prononce pas sur les causes précises des départs de feu.
- **Une description de seconde main.** Ce que la pièce dit du livre blanc de France Datacenter est ce que le rapport en écrit. Je n'ai pas lu le livre blanc.
- **Un décompte du texte.** Les deux mentions des assureurs sont celles de la couche texte des 43 pages. Les photographies et les figures, hors la figure de la p. 18, n'ont pas été lues. Les deux mentions ne disent pas si OVH ou ses clients étaient assurés, ni par qui.
- **Une absence constatée, non une cause établie.** Le rapport range l'absence d'extinction automatique parmi les facteurs contributifs. La pièce ne dit rien de l'effet qu'aurait eu une extinction automatique.
- **Un site et une date.** Strasbourg, mars 2021, le droit français que le rapport décrit. Le texte du rapport ne contient aucune occurrence de « intelligence artificielle », « IA », « AI » ni « GPU » : la pièce ne dit rien des data centers d'IA.
## Sources
- [Bureau d'enquêtes et d'analyses sur les risques industriels (BEA-RI), Conseil général de l'environnement et du développement durable (24 mai 2022). Rapport d'enquête sur l'incendie au sein du centre de stockage de données OVH situé à Strasbourg (67) le 10 mars 2021. N° MTE-BEARI-2022-005, 43 pages, PDF. Folios imprimés relevés : p. 2 et 3 (nature, objet, définitions) ; p. 4 (synthèse) ; p. 11 et 12 (site, déclaration, équipements) ; p. 16 à 18 (droit applicable, livre blanc de France Datacenter, figure de la p. 18) ; p. 19 (indemnisation) ; p. 29, 30 et 33 (absence d'extinction automatique, détection) ; p. 32 (enseignements) ; p. 36 et 37 (installations classées, salut aux assureurs, recommandations de la section VIII) ; texte entier (décomptes de « assurance », « assureur », « suffi », « prime », « assurantiel », « intelligence artificielle », « IA », « AI », « GPU »). Le livre blanc de France Datacenter n'a pas été lu.](https://www.igedd.developpement-durable.gouv.fr/IMG/pdf/rapport_ovh_67_vdif_cle01cf13.pdf)
---
Publié sur Probans : https://probans.org/assurance/assurer-data-centers-ia/extinction-automatique-data-center-bea-ri-ovh-assureurs/