Souveraineté des données
Un datacenter en France ne vous met pas hors du Cloud Act.
La souveraineté se mesure à une seule question : qui peut être légalement contraint de livrer vos données ?
« Nos données restent en France » rassure un COMEX. La formule décrit un lieu de stockage, alors que la vraie question porte sur le droit qui s'applique au prestataire.
Le CLOUD Act américain de 2018 atteint tout fournisseur soumis à la juridiction des États-Unis, y compris sa filiale française et ses serveurs installés à Paris.
Comprendre cette distinction change la façon de choisir son IA.
Ce que dit vraiment le Cloud Act
Le Clarifying Lawful Overseas Use of Data Act (2018) autorise les autorités américaines à exiger d'un prestataire soumis au droit américain les données qu'il détient ou contrôle, où qu'elles soient stockées. Le critère est la nationalité et le contrôle du fournisseur, davantage que la localisation physique des serveurs.
Le texte codifie une mécanique simple. Une entreprise placée sous la juridiction des États-Unis reçoit une injonction et doit livrer les données qu'elle est en mesure de récupérer. La géographie du disque dur n'entre pas dans l'équation, seule compte sa capacité technique et juridique à y accéder.
Cette portée couvre les grands éditeurs américains d'IA et de cloud, leurs filiales européennes, et les revendeurs qui s'appuient sur leur infrastructure. Une « région France » ouverte par un acteur américain reste opérée par une entité qui, elle, répond de la loi américaine.
Pourquoi la localisation en France ne suffit pas
Stocker des données en France réduit la latence et rassure sur le plan commercial. La localisation devient un leurre dès que l'entité qui opère le service dépend du droit américain, car elle peut alors être contrainte de livrer ces données malgré leur stockage sur le territoire français.
Le raisonnement vaut pour trois montages fréquents. La filiale française d'un groupe américain reste rattachée à sa maison mère. Le cloud « souverain » construit sur la technologie d'un hyperscaler américain hérite de ses dépendances. Le prestataire européen qui sous-traite son hébergement à un acteur américain rouvre la même brèche.
La localisation garde son intérêt pour la performance et pour certaines obligations sectorielles. Elle répond à la question « où », alors que la souveraineté répond à la question « sous quel droit et sous le contrôle de qui ».
RGPD et Cloud Act : un conflit de lois que vous portez
L'article 48 du RGPD retire toute force exécutoire, dans l'Union, à une décision de justice étrangère qui exigerait un transfert de données, hors accord international. Cette décision ne constitue jamais à elle seule une base légale de transfert. Le prestataire doit trouver un fondement dans le chapitre V du RGPD. Le fournisseur américain se retrouve face à deux droits contradictoires. En cas de transfert non fondé, le responsable de traitement, c'est-à-dire votre entreprise, porte le risque principal vis-à-vis de la CNIL.
Le RGPD et le Cloud Act se contredisent frontalement sur ce point. Le premier protège la donnée européenne, le second oblige le prestataire américain à coopérer avec ses autorités. Le fournisseur tranche selon le risque qu'il préfère assumer, et vous héritez du risque résiduel.
Le cadre de transfert transatlantique, le Data Privacy Framework adopté en 2023, reste en vigueur à ce jour. Sa solidité fait débat et une invalidation par la justice européenne demeure un scénario ouvert pour les prochaines années. Fonder sa souveraineté sur ce cadre revient à parier sur sa survie.
La souveraineté se règle comme un curseur
Entre le cloud grand public et le serveur installé dans vos murs, chaque palier ajoute du contrôle et retire de l'exposition. Choisir son niveau revient à placer le curseur là où la sensibilité de vos données le justifie.
Cloud grand public américain
Vos données transitent chez un éditeur soumis au droit américain. Le confort d'usage est maximal, l'exposition juridique aussi. Ce niveau convient aux données non sensibles et publiques.
Cloud dédié hébergé en France
Une instance isolée réduit la promiscuité et la latence. La question de la nationalité de l'opérateur reste entière : un opérateur de droit américain conserve son exposition au Cloud Act.
Cloud qualifié SecNumCloud
Le référentiel 3.2 de l'ANSSI impose un hébergement dans l'Union européenne, un siège dans un État membre, une participation extra-européenne au capital plafonnée à 24 % à titre individuel et 39 % au cumul, et une immunité aux lois extraterritoriales. La CNIL en fait son seul marqueur d'un cloud souverain pour les données sensibles.
On-premise, dans votre infrastructure
Les modèles et les données restent sur des machines que vous détenez. Le contrôle physique atteint son maximum. Les processeurs et les cartes graphiques demeurent majoritairement de conception américaine, si bien que la souveraineté porte sur la couche logicielle, l'hébergement et les accès.
Ce que cette distinction change pour une PME-ETI
Une entreprise de santé manipule des données de patients soumises à l'hébergement HDS, une certification qui encadre la sécurité de l'hébergement sans apporter à elle seule d'immunité au Cloud Act, puisque plusieurs hébergeurs américains la détiennent aussi. Un cabinet d'expertise comptable est tenu au secret professionnel. Un industriel protège ses secrets de fabrication. Pour ces trois profils, l'exposition d'un modèle d'IA à une injonction étrangère devient un risque de conformité et de réputation.
Avant de retenir un fournisseur d'IA, cinq vérifications lèvent l'essentiel du doute :
- Où le modèle s'exécute-t-il vraiment : sur une infrastructure que vous contrôlez, ou via un appel à une API tierce, souvent américaine, à chaque requête ?
- Qui détient in fine la société qui opère le service, et sous quel droit tombe-t-elle ?
- Le contrat prévoit-il une immunité explicite aux injonctions extraterritoriales ?
- L'offre est-elle qualifiée SecNumCloud, ou l'hébergement reste-t-il dans vos murs ?
- Où sont stockés les journaux techniques et les sauvegardes, souvent oubliés dans l'analyse ?
L'on-premise apporte le contrôle physique le plus élevé. La conformité RGPD reste un travail distinct, qui couvre la base légale, le registre des traitements, l'analyse d'impact quand elle est requise et les mesures de sécurité. Le contrôle de l'infrastructure facilite cette mise en conformité et ne s'y substitue pas.
Notre position de cabinet
NoBullshit Conseil audite votre exposition et exécute la solution, sans vendre sa propre licence d'IA. Cette neutralité technologique vous laisse le choix du bon palier de souveraineté, du cloud qualifié jusqu'à l'installation dans vos murs.
Nos ventures fournissent la preuve de cette exécution. France-Nuage opère un cloud souverain, Recapro déploie de l'IA on-premise sur du matériel dédié, Cloud-IAM gère la connexion à des services publics comme Chorus Pro. Chaque mission reste supervisée par Jérémy David et François-Guillaume Ribreau.
Parlons de vos freins et de vos enjeux ?
Sans engagement, juste de la valeur.
Contactez Nos Experts
Que vous ayez besoin d'un audit 360°, d'une transformation organisationnelle ou d'un accompagnement IA, nous sommes là pour vous aider.
Contactez-nous
<24h
Temps de réponse garanti
Cette page présente une analyse générale du cadre juridique de la souveraineté des données. Elle ne constitue pas un avis juridique. La qualification de votre exposition et votre mise en conformité RGPD relèvent du responsable de traitement, avec l'appui de votre conseil juridique.