Un datacenter en France ne vous met pas hors du Cloud Act.

Le CLOUD Act, pour Clarifying Lawful Overseas Use of Data Act, est une loi américaine de 2018 qui autorise les autorités des États-Unis à réclamer à un prestataire soumis à leur droit les données qu'il détient ou contrôle, où que soient stockés les serveurs. Sont concernées les sociétés placées sous la juridiction américaine, leurs filiales européennes et les revendeurs qui s'appuient sur leur infrastructure. La localisation du disque dur reste hors de l'équation, puisque seule compte la capacité juridique du prestataire à accéder aux données. Une entreprise française qui confie ses traitements à un acteur de droit américain demeure dans le champ du texte, même avec des serveurs installés à Paris.

Pas automatiquement. Le CLOUD Act de 2018 permet aux autorités américaines d'exiger d'un prestataire soumis au droit américain les données qu'il contrôle, quel que soit le pays où se trouvent les serveurs. Ce qui compte est la nationalité et le contrôle du prestataire, davantage que l'emplacement de la machine.

L'article 48 du RGPD retire toute force exécutoire à une décision de justice étrangère qui exigerait un transfert de données, hors accord international ; cette décision ne fournit jamais à elle seule une base légale de transfert. Le prestataire américain se retrouve face à deux droits contradictoires. En cas de transfert non fondé, c'est vous, responsable de traitement, qui portez le risque principal vis-à-vis de la CNIL.

Oui. Ces trois services sont opérés par des sociétés de droit américain, si bien que leurs régions françaises et leurs offres présentées comme souveraines restent dans le champ du CLOUD Act. Une région « Paris » ou « France Central » décrit l'endroit où tournent les serveurs, pas le droit qui s'impose à l'opérateur. En 2025, un dirigeant de Microsoft France a indiqué devant le Sénat qu'il ne pouvait pas garantir que des données hébergées en Europe échappent à une demande des autorités américaines. Sortir de ce champ suppose une entité dont le capital et la gouvernance sont réellement européens.

Non, ce sont deux plans distincts. Un datacenter situé en France règle la localisation, alors que la conformité RGPD dépend du droit applicable à l'opérateur et de votre travail de responsable de traitement, de la base légale au registre des traitements. Un hébergement français opéré par une société soumise au droit américain reste exposé au CLOUD Act, malgré la mention « datacenter souverain ». Le marqueur qui aligne les deux plans est la qualification SecNumCloud de l'ANSSI, ou un déploiement dans vos propres murs.

Oui. Une automatisation qui appelle une API d'IA américaine à chaque étape fait transiter vos données hors de votre périmètre, même quand l'orchestrateur tourne en France. L'alternative fait tourner les modèles et les traitements sur une infrastructure que vous contrôlez, cloud qualifié ou serveurs internes, et réserve les appels externes aux tâches sans donnée sensible. C'est le principe de notre approche d'automatisation par l'IA, où la donnée sensible ne quitte pas votre système.

SecNumCloud est le référentiel de l'ANSSI (version 3.2, en vigueur depuis 2022) qui qualifie un cloud de confiance. Il exige un hébergement des données et des journaux dans l'Union européenne, un siège dans un État membre, une participation extra-européenne au capital plafonnée à 24 % à titre individuel et 39 % au cumul, et une immunité aux lois extraterritoriales comme le Cloud Act. La CNIL en fait son seul marqueur d'un cloud véritablement souverain pour les données sensibles.

L'on-premise vous donne le contrôle physique maximal sur vos données. La conformité RGPD reste un travail à part entière, qui couvre la base légale, le registre des traitements, l'analyse d'impact quand elle est requise et les mesures de sécurité. Le contrôle de l'infrastructure facilite cette conformité sans la remplacer.

La souveraineté se raisonne comme un curseur. Même en on-premise, les processeurs et les cartes graphiques restent majoritairement de conception américaine. L'objectif réaliste consiste à maîtriser la couche qui porte vos données et vos modèles : le code, l'hébergement et les accès.

Demandez qui détient in fine la société qui opère le service et sous quel droit elle tombe, si le contrat prévoit une immunité aux injonctions extraterritoriales, et si l'offre est qualifiée SecNumCloud. Vérifiez aussi où sont stockés les journaux techniques et les sauvegardes, souvent oubliés dans l'analyse.

Pour utiliser l'IA sans envoyer vos données aux États-Unis, choisissez un fournisseur et une infrastructure soumis au seul droit européen, avec des modèles exécutés en France ou sur vos propres serveurs. Vérifiez que les journaux techniques, les sauvegardes et les métadonnées restent dans ce même périmètre, et que votre entreprise détient elle-même les clés de chiffrement. Notre comparatif entre IA on-premise et cloud dédié aide à choisir entre ces deux options.

Choisir un hébergeur de droit français comme OVH place déjà vos données hors du champ du CLOUD Act pour la couche d'hébergement, puisque ce prestataire ne tombe pas sous le droit américain. La vigilance porte ensuite sur toute la chaîne de traitement : un modèle d'IA appelé via une API américaine, un service de messagerie ou un outil d'analyse tiers peut rouvrir la brèche que l'hébergement avait refermée. La souveraineté se vérifie maillon par maillon, du stockage aux journaux techniques jusqu'aux appels d'API sortants.

Héberger en France règle la localisation du stockage, mais la souveraineté complète dépend aussi de la nationalité de l'éditeur qui opère le service et de la propriété de la stack. Le CLOUD Act suit la nationalité de la société avant la localisation du serveur, et une suite logicielle propriétaire relie vos fonctions clés à un seul fournisseur, même quand elle est hébergée sur le territoire. La souveraineté se vérifie donc sur trois plans : où vit la donnée, sous quel droit tombe l'opérateur, et à qui appartient le code que vous faites tourner. Une IA construite sur des poids ouverts, hébergée là où vous décidez et dont vous détenez le code, répond aux trois. Voir comment héberger un ERP Odoo en France.