Cloud souverain : qui peut accéder aux données de la chaîne
Pour les données de la chaîne d'approvisionnement, ce n'est pas l'emplacement qui compte, mais celui qui peut les demander. Résidence, CLOUD Act et cadre de souveraineté de l'UE 2026.
En ce qui concerne les données de la chaîne d’approvisionnement, la question cruciale n’est pas où elles sont stockées. Elle est de savoir qui peut légalement les réclamer. Cette distinction entre la résidence des données et la souveraineté des données sépare les architectures qui tiennent bon de celles qui s’effondrent soudainement sous la pression réglementaire.
L’essentiel en bref
- La résidence seule ne protège pas contre le CLOUD Act. De nombreuses entreprises européennes ont hébergé leurs données dans des centres de données de l’UE. Toutefois, pour les conglomérats américains, l’accès légal par les autorités américaines demeure possible.
- Les offres de souveraineté américaine ne comblent pas la lacune centrale. Elles améliorent la résidence, le personnel d’exploitation et certaines parties de la télémétrie. La structure de propriété reste inchangée, le CLOUD Act demeure applicable.
- Le cadre de l’UE 2026 évalue la souveraineté réelle. La Commission européenne évalue les fournisseurs en fonction de huit objectifs, la dimension de la chaîne d’approvisionnement étant expressément incluse. Le CLOUD Act est expressément mentionné comme un risque.
Articles liés :CADA : Quand la souveraineté du cloud devient une obligation d’achat / Une région tombe, la moitié de la chaîne d’approvisionnement est menacée
Pourquoi les données de la chaîne d’approvisionnement constituent un cas particulier
Les données de base des fournisseurs, les conditions d’achat, les données d’origine et de douane ainsi que les nouvelles données sur les obligations de diligence raisonnable forment ensemble une image claire de la position concurrentielle. Elles montrent avec qui une entreprise travaille, à quelles conditions et dans quels pays les risques sont présents. La loi sur la chaîne d’approvisionnement et la directive de l’UE sur les obligations de diligence raisonnable exigent en outre des vérifications détaillées tout au long de la chaîne.
Ces informations sont hautement sensibles. Dans le même temps, elles sont créées et stockées dans de nombreuses juridictions. Un seul fournisseur de cloud gère ainsi souvent des données soumises à différentes lois nationales. Qui contrôle ces données connaît la structure et les dépendances d’une entreprise jusqu’aux détails. C’est précisément pour cela que la question de l’accès juridique est plus aiguë ici que pour la plupart des autres charges de travail.
Résidence résolue, souveraineté pas encore
De nombreuses entreprises ont atteint la résidence physique des données en Europe. Les données sont stockées dans des centres de données de l’UE. La souveraineté reste néanmoins non résolue. En vertu de la loi américaine CLOUD Act, les autorités américaines peuvent contraindre tout fournisseur basé aux États-Unis à fournir des données sur lesquelles il a possession, garde ou contrôle. Le lieu de stockage n’a aucune importance dans le monde. Tant que la société mère est un conglomérat américain, l’accès légal est maintenu.
La réalité de cette situation a été illustrée en juin 2025. La filiale française de Microsoft a confirmé sous serment devant le Sénat français qu’elle ne pouvait pas garantir la souveraineté des données face aux autorités américaines. Cela s’applique même aux données stockées en France dans le cadre d’une offre présentée comme souveraine. Les offres des hyperscalers américains présentées comme souveraines réduisent les risques liés à la résidence, à l’emplacement du personnel d’exploitation et à certaines parties de la télémétrie. Elles ne modifient pas la structure de propriété. La faille de la loi CLOUD Act persiste.
Ce qui bouge en 2026
Le 1er juin 2026, la Commission européenne a publié une grille d’évaluation formelle pour la souveraineté du cloud. Le cadre évalue les fournisseurs sur huit objectifs de souveraineté. Une dimension de la chaîne d’approvisionnement est expressément incluse. Le CLOUD Act est expressément mentionné comme un risque juridique. Les fournisseurs américains sont ainsi plafonnés, quelle que soit le nombre de leurs centres de données dans l’UE.
Cela ne reste pas sur le papier. En avril 2026, la Commission européenne a attribué un contrat de 180 millions d’euros pour une solution de cloud souveraine pour les institutions de l’UE. Le contrat a été attribué à quatre fournisseurs européens plutôt qu’aux hyperscalers américains. L’initiative européenne de souveraineté Gaia-X a atteint plus de 400 fournisseurs de services certifiés en 2025. La Commission définit donc la souveraineté non seulement en paroles, mais aussi en actions, avec des financements et un écosystème.
Ce que les équipes devraient faire maintenant
La première étape est peu spectaculaire et pourtant souvent négligée : classer les données de la chaîne d’approvisionnement en fonction de leur sensibilité. Toutes les données de fournisseurs ne sont pas aussi critiques. Les données réellement sensibles pour la concurrence et les données de diligence raisonnable méritent la plus grande attention, le reste peut être traité de manière plus pragmatique.
Deuxièmement, il faut garantir la portabilité. Les contrats et l’architecture devraient permettre un changement de fournisseur sans coûts prohibitifs et sans perte de données. Troisièmement, des exigences concrètes de souveraineté devraient être incluses dans les achats : preuves de la structure de propriété, de la législation applicable et des droits d’accès en vigueur. Le label marketing « souverain » ne remplace pas cette vérification.
Il reste honnête : il est ouvert à savoir comment le cadre de l’UE sera appliqué dans la pratique et à quelle vitesse les fournisseurs européens pourront évoluer pour répondre à toutes les charges de travail critiques de la chaîne d’approvisionnement. Les entreprises ayant des chaînes mondiales doivent également clarifier comment elles satisferont de manière cohérente aux différentes exigences nationales de souveraineté. Un standard uniforme pour cela fait encore défaut aujourd’hui.
- La distinction entre résidence des données et souveraineté des données est désormais acquise
- Le cadre de l’UE du 1er juin 2026 fournit une grille concrète avec des dimensions de chaîne d’approvisionnement
- Le contrat de 180 millions d’euros avec des fournisseurs européens établit un signal clair sur le marché
- Les risques liés à la loi CLOUD Act pour les sociétés américaines persistent, même avec des offres « souveraines »
- La mise en œuvre pratique du cadre dans les achats et les audits est encore en suspens
- Les chaînes mondiales avec des données dans de nombreuses juridictions nécessitent toujours une évaluation au cas par cas
Foire aux questions
Qu’est-ce qu’un cloud souverain ?
Un cloud souverain garantit que la maîtrise juridique des données reste entre les mains de l’organisation qui les utilise ou de l’ordonnance juridique européenne compétente. Cela va au-delà de la simple résidence des données. Il est essentiel que ni les autorités étrangères ni le fournisseur lui-même ne puissent forcer l’accès en vertu de lois étrangères. Le contrôle est maintenu même en cas de changement de conditions politiques ou juridiques.
Quelles données de chaîne d’approvisionnement sont particulièrement sensibles ?
Les données de base des fournisseurs, les conditions d’achat, les données d’origine et de douane ainsi que les données de diligence raisonnable conformément à la loi sur la chaîne d’approvisionnement et à la directive européenne sur la diligence raisonnable. Ces données révèlent les relations d’approvisionnement, les conditions et les évaluations des risques, et donc des éléments clés de la position concurrentielle.
Pourquoi les centres de données de l’UE seuls ne suffisent-ils pas ?
La loi CLOUD permet aux autorités américaines d’accéder aux données des sociétés américaines, quel que soit leur lieu de stockage. La filiale française de Microsoft a confirmé en 2025 devant le Sénat que même les données stockées localement sous des offres commercialisées de manière souveraine ne sont pas protégées contre cet accès.
Qu’est-ce que le cadre de souveraineté du cloud de l’UE change concrètement ?
Il évalue systématiquement les fournisseurs en fonction de huit objectifs. La dimension de la chaîne d’approvisionnement et la loi CLOUD en tant que risque sont expressément prises en compte. Les fournisseurs américains obtiennent ainsi une limite supérieure claire, quelle que soit le nombre de leurs centres de données européens.
Comment les entreprises procèdent-elles à la sélection ?
Elles classifient les données, sécurisent la portabilité et écrivent des exigences concrètes concernant la structure de propriété et l’ordonnance juridique dans l’achat. Le label « souverain » ne remplace pas cette vérification.
Sélection de la rédaction
cloudmagazinKRITIS dans le cloud : Ce qui sécurise la migrationcloudmagazinLes certifications C5 obligent les entreprises moyennes à revoir leur chaîne d’approvisionnement cloudcloudmagazinLa souveraineté de l’IA commence par l’infrastructurePlus du réseau MBF Media
MyBusinessFutureBlocage des investissements : Comment l’IA révèle des budgets cachésDigital ChiefsL’informatique décide si le spin-off est rentableSecurityTodayL’AI Act est en réalité une loi sur la sécuritéSource de l’image : Générée par IA (juillet 2026)
