Cloud souverain ou vraiment souverain ? Le test du CLOUD Act

Le CLOUD Act, en une phrase

Le CLOUD Act américain autorise les autorités des États-Unis à exiger d'une entreprise américaine la communication de données, quel que soit le pays où ces données sont stockées. Peu importe donc qu'un datacentre soit à Francfort ou à Paris : si le fournisseur relève de la juridiction américaine, l'injonction s'applique. C'est le point de friction, jamais résolu, avec le RGPD et le droit européen. Le cadre transatlantique de protection des données (Data Privacy Framework) atténue le sujet, mais, de l'aveu même des juristes, « le conflit de fond demeure ».

Ce que 2026 a changé côté européen

L'Europe a musclé son arsenal, sans pour autant neutraliser le CLOUD Act.

• Le Data Act européen, applicable depuis le 12 septembre 2025, oblige les fournisseurs de services cloud à prévenir les accès d'autorités de pays tiers aux données non personnelles contraires au droit de l'Union, et impose portabilité et réversibilité face au verrouillage des fournisseurs.
• Le 21 novembre 2025, l'écosystème Gaia-X a publié son Trust Framework 3.0 « Danube », qui permet de fédérer la confiance entre écosystèmes et régimes de conformité, dans un paysage qui compte déjà plus de quinze espaces de données européens.
• La Commission a proposé, le 3 juin 2026, un Cloud and AI Development Act visant, entre autres, à créer un cadre d'évaluation unique, à l'échelle de l'UE, pour mesurer le degré réel de souveraineté d'un service cloud ou d'IA. Le texte doit encore être adopté par le Parlement européen et le Conseil.

Le sens de l'histoire est clair. Mais aucun de ces textes n'abroge l'effet extraterritorial du CLOUD Act : ils encadrent et outillent, ils ne suppriment pas le risque juridique à la source.

Les « clouds souverains » et leur astérisque

D'où la vague d'offres estampillées souveraines. La plus emblématique : l'AWS European Sovereign Cloud, lancé le 15 janvier 2026 en Brandebourg, avec un investissement annoncé de plus de 7,8 milliards d'euros. Il est structuré autour d'une société mère et de filiales de droit allemand (GmbH), dirigé par des citoyens de l'UE, exploité par des résidents de l'UE et séparé physiquement et logiquement des autres régions AWS. L'effort est réel et sérieux.

Il reste un astérisque : la maison mère demeure américaine. Comme le résument les analyses de 2026, dans cette configuration le CLOUD Act continue de s'appliquer. Il en va de même des dispositifs partiels comme l'EU Data Boundary de Microsoft : ils réduisent l'exposition, ils ne l'éliminent pas, et aucun fournisseur sous contrôle américain ne peut garantir de façon absolue qu'une donnée européenne ne sera jamais réquisitionnée.

Une échelle de souveraineté, pas un label

Option	Où vivent les données	Exposition au CLOUD Act
API d'IA publique (acteur US)	Datacentres de l'éditeur, souvent hors UE	Pleine
Cloud « souverain » d'un acteur US (entité UE isolée)	UE, mais maison mère américaine	Résiduelle, non éliminée
Cloud d'un acteur 100 % européen	UE, gouvernance européenne	Faible
IA hébergée chez vous (on-premise)	Votre propre infrastructure	Nulle, rien ne sort

Évaluer la chaîne réelle de traitement

L’auto-hébergement peut réduire l’exposition à certains tiers. L’analyse doit néanmoins couvrir hébergeurs, maintenance, sous-traitants, sauvegardes, accès et contrôle effectif des données. La conclusion juridique porte sur cette chaîne réelle, pas sur le seul lieu du serveur.

Comment lire une promesse « souveraine »

Face à une offre, trois questions suffisent à la situer sur l'échelle :

• Qui contrôle l'entité en dernier ressort ? Une filiale européenne d'un groupe américain reste, in fine, sous droit américain.
• Où vivent les données, et qui détient les clés ? Le chiffrement ne protège que si vous, et vous seul, détenez les clés.
• Que se passe-t-il si vous partez ? Réversibilité, portabilité, absence de dépendance technique : c'est aussi une composante de la souveraineté, désormais appuyée par le Data Act.

Un label « souverain » n'est pas une réponse à ces questions, c'est une invitation à les poser.

Ce qu'il faut retenir

L’auto-hébergement peut réduire l’exposition à certains tiers. L’analyse doit néanmoins couvrir hébergeurs, maintenance, sous-traitants, sauvegardes, accès et contrôle effectif des données. La conclusion juridique porte sur cette chaîne réelle, pas sur le seul lieu du serveur.