Cloud Act IA : quels risques pour les données des entreprises ?

Qu'est-ce que le Cloud Act et que permet-il aux autorités américaines ?

Le Cloud Act est une loi fédérale américaine qui permet aux autorités des États-Unis d'exiger l'accès à des données contrôlées par une entreprise américaine, quel que soit l'endroit où ces données sont traitées. Son nom complet est Clarifying Lawful Overseas Use of Data Act, et il a été signé en 2018 [27].

Une réponse à l'affaire Microsoft v. United States

Selon l'analyse publiée sur Cairn, le Cloud Act est une conséquence directe de l'affaire Microsoft v. United States [9]. Cette source universitaire est la plus proche du texte parmi celles du dossier. Les extraits disponibles ne détaillent pas les faits de l'affaire, que nous ne reprenons donc pas ici.

Ce que la loi permet

Les synthèses secondaires convergent sur le mécanisme :

• Les autorités américaines peuvent exiger l'accès à des données contrôlées par une entreprise américaine [3].
• La loi autorise le gouvernement américain à récupérer des données stockées sur des serveurs américains, y compris des données étrangères, sans que les utilisateurs en soient informés [23].
• Une entreprise concernée doit fournir les données demandées, sous peine de sanctions [24].

Les prestataires visés

Le Cloud Act s'applique aux prestataires de services de communication, de traitement ou de stockage électronique, de cloud computing ou de services informatiques à distance [23]. Les fournisseurs de services d'IA en mode cloud relèvent de ces catégories dès lors qu'ils traitent ou stockent des données pour leurs clients. C'est notre lecture de cette définition, que les sources ne formulent pas en ces termes. Le critère décisif est le contrôle exercé par une entreprise américaine, pas la nationalité du client. Le dossier ne précise pas la condition de rattachement qui fait entrer un prestataire dans le champ de la loi (l'extrait de [23] est tronqué). Elle doit être vérifiée sur le texte.

Une loi controversée

Le cabinet Dreyfus & associés souligne que le Cloud Act est controversé, car il entre en conflit avec plusieurs lois nationales et internationales, dont le RGPD [24].

Plusieurs de ces sources sont des synthèses de praticiens ou d'acteurs du marché (cabinets, éditeurs, hébergeurs). Elles ne remplacent pas la lecture du texte américain lui-même. L'appréciation de l'exposition d'une entreprise relève de l'entreprise et de ses conseils.

Mon hébergeur est en Europe : suis-je protégé du Cloud Act ?

Non, pas automatiquement : selon les sources consultées, le critère déterminant est le rattachement du fournisseur au droit américain, pas l'emplacement des serveurs. Le Cloud Act permet aux autorités américaines d'exiger l'accès à des données contrôlées par une entreprise américaine [3]. Cela vaut pour les données de fournisseurs américains même lorsqu'elles sont hébergées en Europe [7]. Un hébergement à Paris ou à Francfort ne suffit donc pas à écarter le risque : le Cloud Act s'applique dès qu'une entité américaine est impliquée [19]. Cette dernière formulation émane d'un prestataire commercial, mais elle rejoint l'analyse d'autres sources, selon lesquelles le Cloud Act et FISA 702 donnent aux autorités américaines un accès étendu aux données stockées dans les services cloud américains, que les serveurs soient ou non situés en Europe [40].

Le piège du fournisseur « européen » adossé à une infrastructure américaine

Une offre commercialisée par une société européenne n'est pas forcément à l'abri. Un guide cite comme erreur classique le fait de penser qu'un fournisseur « européen » est protégé alors qu'il s'appuie sur une infrastructure sous-jacente (IaaS) américaine [28]. Les sources du dossier ne détaillent pas comment le texte s'applique à chaque maillon d'une telle chaîne. Les questions à poser à un prestataire sont donc :

• Quelle est la société mère, et existe-t-il une entité américaine dans le groupe ?
• Sur quelle infrastructure l'offre repose-t-elle réellement ?
• Quels sous-traitants interviennent dans le traitement et le stockage ?

Données chiffrées : une affirmation à nuancer

Une source affirme que l'accès serait possible même sur des données chiffrées [4]. Elle émane d'un acteur commercial, et le dossier ne contient aucune source primaire qui la confirme. Il faut donc la traiter comme une hypothèse à vérifier, non comme un fait établi.

Les sources de cette section sont des analyses secondaires et des contenus de prestataires, non le texte de loi lui-même. L'appréciation de l'exposition d'un fournisseur donné relève de l'entreprise et de ses conseils juridiques.

Cloud Act et FISA 702 : quelle différence et pourquoi les citer ensemble ?

Le Cloud Act et FISA 702 sont deux textes américains de nature différente : le premier relève de la justice pénale, le second du renseignement [30]. On les cite pourtant ensemble parce que le débat sur l'accès des autorités américaines aux données cloud, y compris européennes, les associe régulièrement [40].

Deux cadres, deux finalités

Cette distinction compte pour un juriste ou un DPO : la finalité, l'autorité compétente et la procédure ne sont pas les mêmes. Le dossier ne contient pas le texte de la section 702. Son périmètre exact n'est donc pas détaillé ici, et il faut le vérifier sur les textes officiels.

Pourquoi les associer dans le débat

Les deux textes sont réunis parce que, selon l'une des sources du dossier, ils donnent aux autorités américaines un accès étendu aux données stockées dans les services cloud américains, que les serveurs soient ou non situés en Europe [40]. Une autre source souligne que des entreprises américaines (fournisseurs cloud, services technologiques) peuvent être contraintes de fournir des données même stockées hors des États-Unis [38].

Dans les deux cas, le point commun est le rattachement du fournisseur au droit américain, et non l'emplacement physique des données. Pour une entreprise européenne qui recourt à un fournisseur d'IA américain, la question porte donc sur la nature du prestataire plus que sur la localisation de ses serveurs.

Une précaution de lecture

Ces affirmations proviennent de sources web [30][40][38], et non de textes officiels. Le dossier ne comporte pas de source primaire sur ce point. Leur portée précise, et l'application à un fournisseur donné, restent à apprécier par l'entreprise avec ses conseils, au regard des textes eux-mêmes.

Pourquoi le Cloud Act entre-t-il en conflit avec le RGPD ?

Le Cloud Act entre en conflit avec le RGPD parce qu'il peut placer une entreprise européenne devant deux obligations contradictoires. Le Cloud Act et le RGPD incarnent deux visions opposées de la protection des données, ce qui crée un risque juridique [2].

Le dilemme décrit par les sources

Face à une demande des autorités américaines, l'entreprise a deux options. Elle peut se conformer et risquer d'enfreindre le RGPD, ou refuser et s'exposer à des conséquences juridiques aux États-Unis [25][29]. Selon un autre commentateur, elle ne peut pas prévoir avec certitude quelle juridiction prévaudra [16]. Une source indique que les entreprises européennes peuvent s'opposer à un transfert qui violerait des lois locales [10]. Le dossier ne permet pas de dire comment cette opposition serait tranchée.

Ce que prévoit le RGPD

Le RGPD ne permet de transférer ou de traiter des données personnelles dans un pays tiers que si un niveau de protection adéquat est assuré (art. 45) [14]. L'article 48 encadre les transferts demandés par des juridictions étrangères [36]. Il s'applique à toute entreprise, européenne ou non, qui manipule des données d'utilisateurs européens [36].

Conséquences pour l'entreprise

• Sanction : une sanction de la CNIL pour non-conformité au RGPD est possible [18].
• Perte de maîtrise : l'entreprise perd la maîtrise de données parfois sensibles [18].
• Absence de notification : l'entreprise n'est pas forcément informée de la transmission, faute d'obligation de notification [21]. Elle ne peut donc jamais savoir avec certitude si ses données ont été consultées [16].

Un risque à documenter

Selon Intelligence Privée, le G29, aujourd'hui CEPD, a indiqué que recourir à un prestataire soumis au Cloud Act constitue un risque pour la conformité RGPD, « qui doit être documenté et justifié » [20]. Cette source est secondaire et le dossier ne contient pas le texte d'origine. Il faut donc le vérifier auprès du CEPD avant de s'y référer dans un dossier de conformité.

L'appréciation de la conformité d'un traitement donné reste celle de l'entreprise et de ses conseils.

Pourquoi l'IA aggrave-t-elle l'exposition des données ?

Les services d'IA hébergés chez des fournisseurs américains sont décrits comme accessibles aux autorités américaines au titre du Cloud Act, même lorsque leurs serveurs sont situés en Europe. Selon une source commerciale, ce texte permet aux autorités américaines d'accéder aux données des systèmes d'IA hébergés chez des fournisseurs américains, quelle que soit la localisation des serveurs [31]. Le mécanisme est celui décrit plus haut : le texte permet d'exiger l'accès à des données contrôlées par une entreprise américaine [3]. Un modèle d'IA, ses requêtes et ses données associées sont donc exposés dans les mêmes conditions que n'importe quel service cloud.

Une dépendance mal mesurée

Le risque est renforcé par un manque de visibilité sur ce qu'on utilise. Golem.ai, éditeur d'IA, estime que près de trois entreprises sur quatre restent exposées à des législations étrangères susceptibles de contraindre l'accès, l'exploitation ou le transfert de données sensibles [17]. Selon la même étude, cette vulnérabilité est accentuée par une méconnaissance généralisée des véritables lieux d'hébergement des modèles d'IA [17]. Il s'agit d'un constat d'acteur commercial, à lire comme tel. Il souligne toutefois un point pratique : une entreprise ne peut évaluer son exposition si elle ignore où et par qui son modèle est réellement hébergé.

Des usages déjà intégrés aux outils quotidiens

Deux exemples reviennent dans les sources, toutes deux commerciales :

• Les suites bureautiques dotées d'IA. France Nuage, qui promeut une alternative, affirme qu'Office 365 et Copilot restent soumis au Cloud Act américain, même hébergés en Europe [34].
• L'IA juridique. Un guide destiné aux avocats français, publié par l'éditeur d'IA juridique Harvey, indique que les données des entreprises européennes restent accessibles aux autorités américaines au titre du Cloud Act lorsqu'elles utilisent un fournisseur américain [35].

Ces affirmations décrivent un risque juridique, pas une pratique avérée d'accès aux données. Leur portée concrète dépend du contrat, de l'architecture technique et du rattachement du fournisseur, et relève de l'appréciation de l'entreprise et de ses conseils.

Le risque est-il réellement aussi élevé que certains le disent ?

Le risque est réel selon une partie des sources, mais son ampleur fait débat, et la question appelle une réponse nuancée plutôt que binaire.

Les sources qui jugent le risque élevé

Pour LeMagIT, dans un marché du cloud B2B largement dominé par des éditeurs américains (Microsoft, Amazon, Google, Salesforce, Oracle), le Cloud Act « représente un risque réel pour la souveraineté des données des entreprises européennes » [26]. Patrick Blum, cité par Hosteur, parle d'un « vrai danger » [13].

Les points de vue plus nuancés

• L'analyse contextualisée de Sciences Po (HAL) cite une tribune de Maxwell intitulée « Le Cloud Act américain ne permet pas d'espionner les entreprises européennes » [32]. Les extraits disponibles ne détaillent pas son argumentation.
• Une autre source, un billet LinkedIn, indique que les entreprises européennes peuvent s'opposer à un transfert de données vers les États-Unis au titre du Cloud Act si celui-ci viole des lois locales [10].

Une issue imprévisible

Pouvoir s'opposer à un transfert ne garantit pas d'obtenir gain de cause. Une entreprise européenne ne peut pas prévoir avec certitude quelle juridiction prévaudra en cas de conflit [16].

Lire les sources avec recul

Plusieurs sources viennent d'acteurs du cloud ou d'alternatives dites souveraines, par exemple un hébergeur [13] ou un site qui propose une alternative à Microsoft 365 [34]. Leur lecture n'est pas neutre. Un même constat circule d'ailleurs en termes quasi identiques d'un site à l'autre [26][13][37], ce qui n'ajoute pas de preuve indépendante.

Vérifier le cadre en vigueur

Le blog d'Oxeva sur les transferts vers les États-Unis écrit que, « dans l'attente d'un nouvel accord », ces transferts sont « pour l'heure illégaux » sauf clauses contractuelles types [39]. Cette formulation renvoie à un état du droit antérieur et ne doit pas être reprise telle quelle. Le cadre applicable aux transferts doit être vérifié sur les textes officiels (EUR-Lex, Légifrance) et auprès des autorités de protection des données.

Que prépare l'Union européenne face à ces risques ?

L'Union européenne avance sur plusieurs fronts : un règlement dédié au cloud et à l'IA, des textes de droit des données qui s'opposent aux demandes d'accès étrangères, et un projet de coopération judiciaire. Le dossier ne permet pas de détailler leur contenu ni de dire où ils en sont au 13 octobre 2026.

Les réponses citées par le dossier

• Le règlement sur le développement de l'informatique en nuage et de l'IA. La Commission européenne indique qu'il « renforcera la souveraineté et la compétitivité de l'Europe » [1]. Un article de blog d'un éditeur de visioconférence, donc un acteur commercial, présente ce que l'Europe oppose au droit américain avec le « CADA » [7]. Les extraits disponibles ne précisent ni les obligations imposées aux fournisseurs ni le calendrier.
• Le Data Act et le RGPD. Selon un éditeur de solutions de sécurité, ces deux textes s'opposent aux exigences d'accès du Cloud Act [8]. C'est la lecture d'une source commerciale, non d'une institution.
• Le projet e-evidence. Une analyse académique le met en regard du Cloud Act [9]. Elle parle d'un « projet » : le dossier n'indique pas son stade d'avancement.

Un cadre distinct : l'AI Act

Le règlement européen sur l'IA ne traite pas de l'accès des autorités étrangères aux données. Il repose sur une approche par niveaux de risque, qui impose transparence, documentation et supervision humaine aux systèmes d'IA [5]. Il est présenté comme une réglementation phare de l'Union pour encadrer le développement et l'utilisation de l'IA [6]. Il complète donc l'analyse d'exposition juridique sans la remplacer.

Où vérifier l'état du droit

Avant toute décision, il faut consulter les textes officiels : la page de la Commission consacrée au règlement cloud et IA [1], puis EUR-Lex et le Journal officiel de l'Union européenne pour les versions adoptées et leur date d'application. L'appréciation de la conformité reste celle de l'entreprise et de ses conseils.

Comment réduire l'exposition de ses usages d'IA, et qui apprécie la conformité ?

Réduire l'exposition de ses usages d'IA suppose de maîtriser la chaîne de prestataires, au-delà du seul lieu d'hébergement. Les sources convergent sur quatre pistes, à appliquer outil par outil.

• Documenter et justifier chaque recours à un prestataire. Selon Intelligence Privée, le G29 (aujourd'hui CEPD) a indiqué que le recours à des prestataires soumis au Cloud Act constitue un risque pour la conformité RGPD, « qui doit être documenté et justifié » [20].
• Analyser les tiers et l'infrastructure sous-jacente. Un piège classique consiste à croire qu'un fournisseur « européen » est à l'abri alors qu'il s'appuie sur une infrastructure (IaaS) américaine [28].
• Réduire la dépendance aux infrastructures soumises au droit américain. Pour les institutions comme pour les entreprises, c'est l'enjeu identifié face à un risque double : perte de contrôle sur les données et affaiblissement de la souveraineté numérique [22].
• Envisager des alternatives ou un cloud européens [11][15]. Ces deux sources sont des acteurs commerciaux. Celle de [15] affirme qu'avec un cloud européen les fichiers restent protégés des lois étrangères. Cette promesse doit être vérifiée contractuellement et techniquement, jusqu'aux sous-traitants.

Hébergement et rattachement juridique

L'IA d'Oupi est hébergée en France (engagements de confiance). Selon les sources, ce critère ne suffit pas : héberger des données à Francfort ou à Paris ne protège pas du droit américain [19]. Le rattachement juridique du fournisseur et de sa chaîne technique compte tout autant [28]. Ces deux éléments restent à examiner pour tout prestataire d'IA, Oupi compris.

Qui apprécie la conformité ?

Cet article explique des textes et rapporte des analyses. Il ne constitue pas un avis juridique. L'appréciation de la conformité relève de l'entreprise, responsable de ses traitements, et de ses conseils : DPO, juristes, avocats. C'est à eux de qualifier le risque propre à chaque usage et à chaque prestataire, et de documenter la décision retenue [20].