EU Cloud and AI Act : la souveraineté cloud devient loi

Le Cloud and AI Development Act transforme la souveraineté numérique en obligation légale

Le 4 août 2026, l'Union européenne franchit une étape majeure dans sa stratégie d'autonomie numérique avec l'entrée en vigueur du Cloud and AI Development Act (CADA). Publiée au Journal Officiel de l'UE le 15 juillet 2026, cette régulation — fruit d'une proposition formelle de la Commission européenne datée du 3 juin 2026 — redéfinit les règles du marché cloud européen autour d'un concept central : la souveraineté numérique élevée au rang de cadre juridique contraignant, après des années de déclarations politiques et de recommandations non opposables.

Le CADA introduit un cadre de classification à quatre niveaux pour les fournisseurs de services cloud opérant sur le marché européen. Le premier niveau, dit « EU Location », impose que les données soient traitées et stockées dans une infrastructure physiquement localisée au sein des États membres de l'Union européenne. Ce critère, bien que nécessaire et désormais standard pour la plupart des grands hyperscalers, est considéré par le régulateur comme insuffisant à lui seul et ne constitue que le socle minimal de la classification — un point d'entrée, pas un label de confiance.

Le deuxième niveau, « Independence Measures », exige des fournisseurs qu'ils démontrent une indépendance documentée vis-à-vis de toute influence de pays tiers, accompagnée d'une transparence complète concernant leur chaîne d'approvisionnement logicielle. Ce niveau vise directement la problématique des lois extraterritoriales — le Cloud Act américain de 2018 notamment — qui permettent théoriquement aux autorités américaines d'accéder à des données détenues par des entreprises sous juridiction américaine, y compris lorsque ces données sont physiquement hébergées sur des serveurs localisés en Europe. Les certifications ISO 27001 et SOC 2 existantes ne suffisent pas à répondre aux critères de ce niveau.

Le troisième niveau, « EU Ownership and Control », impose que le fournisseur soit détenu et contrôlé depuis l'intérieur de l'Union européenne, avec des critères additionnels portant sur la nationalité du personnel occupant des fonctions clés et la structure de gouvernance des organes décisionnels. Ce niveau cible explicitement les filiales européennes des hyperscalers américains — AWS Europe, Microsoft Azure Europe, Google Cloud Europe, Oracle Cloud Europe — dont la société-mère reste soumise au droit américain quelles que soient les garanties contractuelles et les dispositifs de « données protégées » proposés par ces acteurs depuis 2022.

Le quatrième niveau, « Strategic Autonomy Cloud », représente le degré le plus exigeant de la classification. Il requiert une transparence totale et un contrôle intégral sur l'ensemble de la chaîne d'approvisionnement logicielle — du système d'exploitation jusqu'aux couches applicatives — sans aucune interférence possible d'entités soumises à une juridiction étrangère. Ce niveau est conçu pour les charges de travail les plus sensibles de l'État : défense, renseignement, données de santé critiques, systèmes de contrôle des infrastructures vitales, données judiciaires et de police. Il constitue la définition juridique européenne de ce que la France connaissait sous l'appellation de « cloud de confiance » ou « cloud souverain » dans sa Stratégie nationale pour le cloud de 2021.

Sur le plan de la mise en application, le CADA prévoit une montée en puissance progressive. Si le règlement entre formellement en vigueur le 4 août 2026, les premières exigences contraignantes pour le niveau 1 ne s'appliqueront qu'à partir de février 2028, laissant dix-huit mois aux organisations et aux fournisseurs pour s'adapter. Le niveau le plus exigeant — Strategic Autonomy Cloud — ne deviendra obligatoire pour les organismes publics traitant les charges de travail concernées qu'en août 2029. Cette progressivité est délibérée : l'expérience du RGPD (2018) et de NIS2 (2024) a montré qu'une mise en application immédiate sur des exigences structurelles crée des chocs de conformité disproportionnés.

Le volet IA du CADA dépasse le seul périmètre des infrastructures cloud. La régulation établit des lignes directrices concernant la localisation des données d'entraînement et des inférences pour les systèmes d'intelligence artificielle utilisés dans des contextes sensibles ou à fort impact sur des personnes physiques. Cette dimension vient compléter l'EU AI Act — qui s'applique aux systèmes IA selon leur niveau de risque — en ajoutant une couche de contraintes spécifiques à l'infrastructure sur laquelle ces systèmes s'exécutent. Un système IA classé haut risque au sens de l'EU AI Act et utilisé par une administration publique sera ainsi soumis à des exigences cumulatives : conformité AI Act sur le modèle lui-même et conformité CADA sur l'infrastructure cloud qui l'héberge.

Du côté des fournisseurs, l'impact est asymétrique et stratégiquement favorable aux acteurs européens. AWS, Microsoft Azure et Google Cloud ont investi des dizaines de milliards en Europe au cours des cinq dernières années pour proposer des zones de résidence des données, des engagements contractuels de localisation et des opérateurs souverains locaux (Bleu en France pour Microsoft, S3NS pour Google via Thales). Mais le CADA va structurellement plus loin : les niveaux 3 et 4 imposent des critères de propriété et de gouvernance que ces acteurs, en raison de leur structure capitalistique américaine, ne peuvent pas atteindre quelle que soit leur volonté. Les clouds souverains européens — OVHcloud, Outscale (filiale de Dassault Systèmes), Scaleway, Cloud Temple, IONOS, Hetzner — se trouvent en position favorable pour capter la demande institutionnelle sur ces deux niveaux supérieurs.

Pourquoi le CADA redéfinit le marché cloud et la stratégie IT des organisations européennes

Le CADA représente l'aboutissement d'une réflexion stratégique européenne accumulée depuis plus d'une décennie. L'affaire Snowden (2013) a révélé l'ampleur de la surveillance américaine sur les communications mondiales, y compris celles transitant par des infrastructures nominalement européennes. L'arrêt Schrems I de la Cour de justice de l'UE (2015) a invalidé le Safe Harbor, suivi par l'arrêt Schrems II (2020) qui a annulé le Privacy Shield. Chaque tentative de construire un accord transatlantique stable sur les transferts de données a finalement été fragilisée par la contradiction entre le droit extraterritorial américain et les garanties de protection des données exigées par la Charte des droits fondamentaux de l'UE. Avec le CADA, Bruxelles opère un changement de paradigme en ancrant les exigences de souveraineté dans un cadre réglementaire de droit primaire plutôt que dans des accords diplomatiques susceptibles d'être remis en cause par les tribunaux ou par des changements politiques.

Pour les organisations françaises, le CADA s'articule naturellement avec le référentiel SecNumCloud de l'ANSSI, qui qualifie des fournisseurs cloud selon des critères de sécurité élevés incluant déjà des exigences de souveraineté opérationnelle. La Stratégie nationale pour le cloud publiée en 2021 avait positionné la France comme précurseur européen dans cette approche avec le label « cloud de confiance ». Le CADA européen vient harmoniser et étendre à l'échelle communautaire une logique déjà expérimentée au niveau national, créant à terme une cohérence réglementaire qui simplifiera la conformité pour les organisations françaises déjà engagées sur la voie SecNumCloud — leurs investissements actuels s'inscrivent dans un continuum réglementaire, pas dans une impasse.

L'impact budgétaire sur les administrations publiques françaises et européennes sera significatif à moyen terme. Une part importante des dépenses cloud actuelles du secteur public est orientée vers des solutions américaines, notamment pour les outils de productivité et de collaboration (suites Microsoft 365 et Google Workspace) et les plateformes d'infrastructure (AWS, Azure). Le CADA n'impose pas une migration immédiate et totale, mais il structure les prises de décision futures autour de la classification. Les workloads contenant les données les plus sensibles devront progressivement migrer vers des offres qualifiées aux niveaux 3 et 4 avant les échéances de 2028 et 2029, ce qui implique une cartographie exhaustive du patrimoine applicatif cloud dès aujourd'hui. Sans anticipation, le choc de conformité de 2028 sera comparable à celui qu'ont connu les administrations publiques non préparées avant l'entrée en application du RGPD en mai 2018.

La tension géopolitique autour de ce texte sera un enjeu majeur des prochains mois. Les États-Unis ont régulièrement présenté les initiatives européennes de souveraineté numérique — de NIS2 à la Data Governance Act — comme du protectionnisme technologique dissimulé sous des arguments de sécurité. Le CADA, en créant structurellement des catégories de certification auxquelles les entreprises américaines ne peuvent accéder pour des raisons liées à leur constitution même — et non à leurs pratiques de sécurité — risque d'alimenter de nouvelles tensions dans un contexte de relations transatlantiques déjà éprouvées par les débats sur les droits de douane numériques et la taxation des GAFAM. La réaction de Washington constituera un indicateur important de la trajectoire politique du texte dans sa phase d'application.

Ce qu'il faut retenir

• L'EU Cloud and AI Development Act (CADA) entre en vigueur le 4 août 2026 avec un cadre à 4 niveaux de souveraineté cloud — les premières obligations contraignantes pour le secteur public s'appliquent à partir de février 2028.
• AWS, Azure et GCP ne peuvent structurellement pas prétendre aux niveaux 3 et 4 en raison de leur propriété américaine, créant une opportunité de marché pour les clouds souverains européens (OVHcloud, Outscale, Scaleway, Cloud Temple).
• Engager dès maintenant une cartographie des workloads cloud par niveau de sensibilité pour identifier ce qui devra migrer avant 2028 — attendre les échéances réglementaires reproduira le scénario RGPD de 2018.