Cloud Act : vos données hébergées en France sont-elles vraiment protégées ?
Le 10 juin 2025, devant une commission d'enquête du Sénat, le directeur des affaires publiques et juridiques de Microsoft France devait garantir sous serment que les données des Français ne seraient jamais transmises aux autorités américaines sans l'accord de Paris. Sa réponse : « Non, je ne peux pas le garantir », tout en précisant que ce cas ne s'était encore jamais produit. Chez Happy Mining, nous montons des machines de calcul pour l'IA, et cette question revient chaque semaine chez nos clients. Voici ce que dit vraiment le droit, sans dramatiser ni minimiser.
Cet article fait partie de notre dossier sur l'IA locale en entreprise, qui explique comment garder vos données d'IA dans vos murs.
Le Cloud Act, c'est quoi ?
Le Clarifying Lawful Overseas Use of Data Act est une loi fédérale américaine adoptée en mars 2018. Elle permet aux autorités américaines, munies d'un mandat ou d'une réquisition valide, d'exiger d'un fournisseur soumis au droit américain les données qu'il contrôle, où qu'elles soient stockées.
Ce qui compte n'est donc pas l'adresse du datacenter, mais la juridiction de l'entreprise qui l'exploite. Un serveur à Paris exploité par une filiale d'un groupe américain reste concerné. Amazon Web Services rappelle qu'une procédure judiciaire valide est nécessaire : l'accès n'est pas libre, mais il est juridiquement possible.
Pourquoi « hébergé en France » ne suffit pas
- La localisation n'est pas une barrière juridique. Les frontières de données européennes des grands fournisseurs garantissent où les données sont stockées et traitées, pas qui peut les réclamer.
- Le RGPD entre en conflit avec le Cloud Act. Son article 48 prévoit qu'une décision d'un tribunal ou d'une autorité d'un pays tiers exigeant la communication de données n'est reconnue que si elle repose sur un accord international, comme un traité d'entraide judiciaire. Le fournisseur se retrouve pris entre deux droits.
- Tous les géants américains sont concernés. Microsoft l'a dit au Sénat, mais AWS et Google Cloud relèvent du même cadre légal.
Pour une IA, le risque est plus concret encore : pour répondre à vos questions, le modèle doit lire vos documents en clair. Vos contrats, vos fiches clients ou vos plans passent alors par les serveurs du fournisseur.
FISA 702 : expirée en juin 2026, mais toujours active
La section 702 du Foreign Intelligence Surveillance Act autorise la collecte, sans mandat individuel, des communications de non-Américains situés à l'étranger, avec l'aide obligatoire des fournisseurs américains. Dans ses arrêts Schrems I et Schrems II, la Cour de justice de l'Union européenne a jugé que ces pratiques portaient atteinte aux droits des Européens.
En 2026, le Congrès a prolongé la loi de quelques semaines en avril, puis l'a laissée expirer le 12 juin 2026. Mais le tribunal FISA avait renouvelé le programme en mars 2026 pour environ un an : la collecte peut légalement continuer jusque vers mars 2027. Selon le Brennan Center, un vote avant le 17 mars 2027 suffirait à éviter toute interruption. Les turbulences politiques à Washington ne changent donc rien, en pratique, pour les données européennes.
Le Data Privacy Framework tiendra-t-il ?
Le Data Privacy Framework, adopté en juillet 2023, est la troisième tentative d'encadrer les transferts vers les États-Unis, après le Safe Harbor annulé en 2015 et le Privacy Shield annulé en 2020. Le Tribunal de l'Union a rejeté le recours du député Philippe Latombe le 3 septembre 2025, qui a fait appel devant la CJUE le 31 octobre 2025.
En juin 2026, la Cour a autorisé Microsoft à intervenir au soutien de la Commission. La décision est attendue : une entreprise qui s'appuie sur ce cadre vit donc avec une incertitude juridique.
Trois niveaux de protection pour vos données IA
| Option | Où tournent vos données | Exposition au droit américain | Pour quels usages |
|---|---|---|---|
| IA ou cloud d'un fournisseur américain, région Europe | Datacenter en Europe | Oui, via le Cloud Act | Données publiques ou peu sensibles |
| Cloud qualifié SecNumCloud | Datacenter en France, opérateur européen | Exigences d'immunité depuis la version 3.2 (siège et capital européens, aucun accès de fournisseurs non européens), protection forte mais pas hermétique | Données sensibles, secteur public |
| IA sur votre propre machine, dans vos locaux ou hébergée chez nous en France | Un serveur dont vous êtes propriétaire | Aucun fournisseur cloud à réquisitionner pour vos questions et vos documents | Juridique, RH, santé, R&D, fichiers clients |
Même SecNumCloud a ses limites : comme le relève Le Monde Informatique, un opérateur qualifié dépend encore de composants et de logiciels non européens. Une IA locale ne règle pas tout non plus, mais elle supprime l'intermédiaire : une fois le modèle téléchargé, il tourne hors ligne.
Notre solution : l'IA qui reste chez vous
Nous livrons des stations IA prêtes à l'emploi, montées et testées avec des composants neufs : Linux, pilotes NVIDIA, Ollama et une interface de conversation dans le navigateur, déjà installés.
- Station Essentiel 16 Go dès 2 490 € TTC, pour un assistant documentaire et 1 à 3 utilisateurs.
- Station Pro 32 Go à 4 490 € TTC, pour les modèles d'environ 30 milliards de paramètres.
- Station Threadripper 1 à 3 RTX PRO 6000 et serveurs 8 GPU sur devis, pour les modèles de 70 milliards de paramètres et plus.
Produit neuf testé et livré en 7 jours. Vous préférez ne pas l'installer dans vos bureaux ? Nous pouvons héberger la machine en France, avec un accès à distance. Pour un projet précis, appelez-nous au +33 6 32 49 26 41 ou demandez un devis.
À lire aussi
- Souveraineté numérique : l'Europe face aux États-Unis dans l'IA
- ChatGPT Business et RGPD : ce qu'il faut vérifier en entreprise
- Notre assistant IA privé : un ChatGPT interne qui reste chez vous
Questions fréquentes
Le Cloud Act s'applique-t-il aux entreprises françaises ? Il vise les fournisseurs soumis à la juridiction américaine : les groupes américains, leurs filiales, et les sociétés ayant une présence suffisante aux États-Unis. Une PME française qui stocke ses données chez un tel fournisseur est donc concernée indirectement.
Chiffrer mes données suffit-il ? Le chiffrement protège le stockage si vous seul détenez les clés. Mais une IA doit lire vos documents en clair pour y répondre : le traitement a lieu là où tourne le modèle.
Une IA locale est-elle automatiquement conforme au RGPD ? Non. Elle supprime les transferts hors UE et les sous-traitants, mais vous restez responsable du traitement. Nous détaillons ce point dans notre article sur l'IA locale en entreprise.
Sources
- Sénat, commission d'enquête sur la commande publique, audition du 10 juin 2025
- Génération-NT, Microsoft et le Cloud Act
- Département de la Justice des États-Unis, ressources sur le Cloud Act
- Règlement général sur la protection des données, EUR-Lex
- Congressional Research Service, l'expiration de la section 702 (22 juin 2026)
- NPR, la section 702 a expiré : et maintenant ? (12 juin 2026)
- Brennan Center, échéance de mars 2027 (22 septembre 2026)
- heise, l'appel Latombe devant la CJUE
- WilmerHale, la CJUE va réexaminer le Data Privacy Framework
- WinBuzzer, Microsoft intervient dans l'appel (30 juin 2026)
- Le Monde Informatique, SecNumCloud et le droit extraterritorial (8 janvier 2026)