Le CLOUD Act et vos données européennes : l’hébergement en Europe suffit-il ?
En bref
Le CLOUD Act est une loi américaine de 2018 qui permet aux autorités américaines d’obliger un fournisseur américain à remettre les données qu’il détient, conserve ou contrôle, même stockées en Europe. Héberger ses données dans le datacenter européen d’une société américaine ne supprime donc pas le risque. Ce qui protège : des données chez un acteur non soumis au droit américain, ou sur une infrastructure que vous exploitez vous-même.
Que prévoit le CLOUD Act ?
Le Clarifying Lawful Overseas Use of Data Act (CLOUD Act) a été adopté aux États-Unis en 2018. Il prévoit qu’un fournisseur américain de services de communication ou de cloud doit communiquer des données sur injonction américaine valable dès lors qu’elles sont en sa « possession, garde ou contrôle ». Le lieu physique de stockage n’y change rien.
La loi offre aux fournisseurs une possibilité limitée de contester une injonction contraire au droit d’un autre pays, et prévoit des accords entre les États-Unis et d’autres États. Mais la règle demeure : qui est soumis au droit américain peut être contraint de livrer des données, y compris depuis un datacenter européen.
Pourquoi un datacenter européen ne suffit pas
De nombreux fournisseurs cloud américains proposent un stockage en Europe, et certains une offre « souveraine » opérée par du personnel européen. Cela réduit les risques sans régler le fond : tant que la maison mère relève du droit américain, une injonction peut atteindre le groupe.
Microsoft l’a confirmé. En juin 2025, le directeur juridique de Microsoft France a déclaré sous serment devant le Sénat qu’il ne pouvait pas garantir que les données de citoyens français ne seraient jamais transmises aux autorités américaines sans l’accord des autorités françaises. Il a ajouté que ce n’était pas arrivé en pratique. La qualification SecNumCloud de l’ANSSI exige d’ailleurs une protection contre les lois extra-européennes. Voir Microsoft 365 Copilot ou IA privée ?
S’y ajoutent les pouvoirs de renseignement américains, comme la section 702 du FISA. Ils ont conduit la Cour de justice de l’UE à invalider le Privacy Shield en 2020 (arrêt Schrems II). L’actuel cadre de protection des données UE-États-Unis est de nouveau devant la Cour.
Pourquoi c’est encore plus sensible avec l’IA
Pour le stockage, il s’agit de fichiers déposés volontairement. Avec l’IA, il s’agit de tout ce que les collaborateurs saisissent dans un prompt : contrats, courriers médicaux, notes stratégiques, dossiers clients. Ce contenu est traité, et souvent journalisé, par le fournisseur d’IA. Les principaux fournisseurs d’IA sont américains. Pour ChatGPT en détail : ChatGPT est-il conforme au RGPD ?
Pour les organisations soumises au secret professionnel, qui traitent des données sensibles ou dont le superviseur encadre l’externalisation, c’est un risque concret à traiter dans l’AIPD. Voir L’AIPD pour l’IA générative.
Qu’est-ce qui protège vraiment ?
| Mesure | Effet sur le risque CLOUD Act |
|---|---|
| Stockage dans le datacenter européen d’un fournisseur américain | Limité : le groupe reste soumis au droit américain |
| Chiffrement avec des clés que vous seul détenez | Fort pour le stockage ; avec l’IA, le texte doit être déchiffré pour être traité |
| Un fournisseur européen sans maison mère américaine | Important, s’il n’y a pas non plus de sous-traitants américains dans la chaîne |
| Infrastructure et exploitation internes | Maximal : aucun fournisseur ne peut être contraint, puisque personne d’autre ne détient les données |
Pour l’IA, la dernière ligne signifie : des modèles open-weight sur votre propre nœud. Avec werqly, ce nœud est dans votre salle serveur, et les modèles y tournent, nulle part ailleurs. Sans salle serveur, il est installé dans une baie fermée de notre datacenter européen, pour vous seul. Voir Qu’est-ce que l’IA privée ?
Questions fréquentes
Questions sur ce sujet
Le CLOUD Act s’applique-t-il aux données stockées en Europe ?
Oui, si elles sont en la possession, sous la garde ou le contrôle d’un fournisseur soumis au droit américain. Le lieu physique n’est pas déterminant. Un datacenter européen d’un groupe américain ne supprime donc pas le risque.
Le CLOUD Act est-il contraire au RGPD ?
Un conflit peut survenir : le RGPD n’autorise un transfert fondé sur une décision étrangère que par un accord international ou une autre base prévue par le RGPD. Un fournisseur peut alors se retrouver pris entre deux systèmes juridiques. Pour vous, c’est un risque à évaluer dans l’AIPD.
Un cloud « souverain » d’un fournisseur américain protège-t-il ?
Il réduit les risques, par exemple grâce à du personnel et une entité européens. Tant que la maison mère relève du droit américain, un risque résiduel demeure. Son ampleur dépend du montage juridique et technique ; faites-le évaluer au cas par cas.
werqly est-il soumis au CLOUD Act ?
werqly appartient à la société néerlandaise TIMA Labs. Surtout : avec un nœud dans votre salle serveur, werqly ne détient pas le contenu des prompts et documents. Les modèles tournent sur votre matériel ; il n’y a donc rien qu’une autorité étrangère puisse obtenir par l’intermédiaire de werqly.
Sources
- U.S. Department of Justice — The CLOUD Act (ressources)
- Cour de justice de l’UE — Communiqué Schrems II (C-311/18), juillet 2020 (anglais)
- ActuIA — Données sensibles et Cloud Act : Microsoft France admet ne pas pouvoir s’opposer à une injonction américaine
- ANSSI — Qualification SecNumCloud
Cet article est une information générale, pas un conseil juridique. Les règles et les recommandations évoluent ; en cas de doute, consultez les sources citées ou votre juriste ou DPO.