Souveraineté et conformité

RGPD et CLOUD Act : pourquoi héberger votre IA dans l'UE ne suffit pas

Héberger des données dans l'UE règle une question — où elles sont traitées — et en laisse une autre ouverte : quel gouvernement peut ordonner à la société qui exploite les serveurs de les livrer. Le RGPD répond à la première par ses règles sur les transferts, tandis que le CLOUD Act américain atteint tout fournisseur soumis à la juridiction des États-Unis, où que soient ses serveurs. Une région UE exploitée par un groupe américain reste donc à portée du droit américain, et c'est la société qui opère le service, pas son adresse, qu'il faut vérifier.

Publié le 6 oct. 2026 · vérifié le 20 oct. 2026

Deux questions souvent confondues

« Vos données restent en Europe » ne répond qu'à l'une de trois questions distinctes. Les poser toutes les trois montre vite ce que couvre une promesse de souveraineté.

Où les données sont-elles traitées ? C'est la résidence, qu'une région ou l'adresse d'un centre de données suffit à établir.
Quelle société les contrôle, et aux ordres de qui doit-elle obéir ? C'est la juridiction, qui dépend de l'actionnariat et de la loi à laquelle la société est soumise.
Que garde la société, et combien de temps ? C'est la conservation, qui dépend de sa politique publiée.

Le RGPD et le CLOUD Act régissent chacun l'une de ces questions : un fournisseur peut respecter pleinement le premier et rester tenu par le second.

Comment le CLOUD Act atteint des données stockées en Europe

Adopté en 2018, le CLOUD Act oblige un fournisseur à livrer les données qu'il possède, détient ou contrôle, « regardless of whether such communication, record, or other information is located within or outside of the United States » (18 U.S.C. § 2713). Le critère est le contrôle, pas le lieu : une maison mère américaine qui contrôle des données conservées par sa filiale européenne peut être sommée de les produire.

Le ministère américain de la Justice en donne une lecture large : « U.S. jurisdiction is not limited to U.S. corporations, U.S. headquartered companies, or companies owned by U.S. persons. But neither is U.S. jurisdiction unlimited. » (FAQ du CLOUD Act, 2019). Une société non américaine assez active aux États-Unis peut donc être visée.

La loi permet aussi aux États-Unis de conclure des « accords exécutifs » avec d'autres États (18 U.S.C. § 2523). Seul un « gouvernement étranger qualifié » — en pratique, un pays lié par un tel accord en vigueur — ouvre au fournisseur un recours prévu par la loi contre une injonction contraire à son droit (§ 2703(h)). Selon le ministère de la Justice (page consultée le 6 octobre 2026), le Royaume-Uni (3 octobre 2019) et l'Australie (15 décembre 2021) en ont signé un ; les discussions avec l'UE ont repris en mars 2023, sans accord à ce jour.

Ce que fait le RGPD, et ce qu'il ne fait pas

Le RGPD protège les données personnelles où qu'elles aillent. Son chapitre V (articles 44 à 50) n'autorise un transfert hors de l'EEE que sur une décision d'adéquation, des garanties appropriées (clauses contractuelles types, règles d'entreprise contraignantes) ou une dérogation étroite. Son point de contact le plus direct avec le CLOUD Act est l'article 48 :

« Toute décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant d'un responsable du traitement ou d'un sous-traitant qu'il transfère ou divulgue des données à caractère personnel ne peut être reconnue ou rendue exécutoire de quelque manière que ce soit qu'à la condition qu'elle soit fondée sur un accord international, tel qu'un traité d'entraide judiciaire, en vigueur entre le pays tiers demandeur et l'Union ou un État membre, sans préjudice d'autres motifs de transfert en vertu du présent chapitre. »
— RGPD, article 48

L'article 48 n'empêche pas un tribunal américain de rendre une injonction. Il prive cette injonction d'effet dans l'UE si aucun accord international ne la fonde — ce qui laisse le fournisseur pris entre deux lois. Ce conflit retombe sur celui qui détient vos données.

Le RGPD s'applique aussi aux sociétés américaines actives en Europe, et leurs utilisateurs gardent tous leurs droits. Le problème n'est pas qu'elles y échappent : c'est que le respecter ne les met pas hors du droit américain.

Pourquoi les cadres transatlantiques sont contestés à répétition

L'UE et les États-Unis ont bâti trois cadres pour les transferts vers des sociétés américaines. La Cour de justice a annulé les deux premiers — le Safe Harbor en 2015 (Schrems I, C-362/14) et le Privacy Shield en 2020 (Schrems II, C-311/18) —, chaque fois en raison de la surveillance américaine et des recours offerts aux Européens. Le troisième, le cadre de protection des données UE–États-Unis (Data Privacy Framework), a été adopté le 10 juillet 2023 (décision (UE) 2023/1795).

Le 3 septembre 2025, le Tribunal de l'Union a rejeté le recours en annulation formé contre lui par le député français Philippe Latombe (affaire T-553/23), en jugeant que les États-Unis assuraient un niveau de protection adéquat à la date d'adoption de la décision (communiqué n° 106/25). Le requérant s'est pourvu fin octobre 2025 (affaire C-703/25 P) ; en septembre 2026, la Cour de justice n'avait pas encore statué.

Choisir une infrastructure pour plusieurs années en s'appuyant sur ce cadre, c'est parier sur l'issue de ce pourvoi. Un opérateur que ce conflit ne concerne pas évite le pari.

Le critère français : SecNumCloud et la protection face au droit extra-européen

L'ANSSI qualifie des services cloud au titre de SecNumCloud. La version 3.2 du 8 mars 2022 y ajoute la protection vis-à-vis du droit extra-européen (chapitre 19.6). Le siège statutaire, l'administration centrale et le principal établissement du prestataire doivent se trouver dans l'UE. Des entités non européennes ne peuvent détenir, directement ou indirectement, plus de 24 % du capital ou des droits de vote chacune, ni plus de 39 % ensemble, et ne peuvent disposer ni d'un droit de veto ni du pouvoir de désigner la majorité des dirigeants. Enfin, aucun tiers non européen, sous-traitants compris, ne doit avoir la possibilité technique d'obtenir les données — journaux et configuration des accès compris.

La qualification porte sur un service, pas sur une entreprise. Dans le catalogue de l'ANSSI mis à jour le 15 septembre 2026, le service « Cloud de confiance S3NS » de Thales Cloud Sécurisé est qualifié du 17 décembre 2025 au 17 décembre 2028, aux côtés de trois services d'OVH ; aucun service de Scaleway n'y figure. Le « Cloud de Confiance Bleu » de Bleu et l'offre SecNumCloud de Scaleway apparaissent parmi les qualifications en cours (consultées le 6 octobre 2026).

Aucun des services d'IA qu'utilise Evanesca — AI Endpoints d'OVHcloud et Generative APIs de Scaleway — n'est qualifié SecNumCloud : Evanesca applique le principe du chapitre 19.6 — qui contrôle l'opérateur —, pas la qualification ; sa page souveraineté montre ce test modèle par modèle.

Cinq types d'hébergement, et ce qu'il faut demander à chacun

Hébergement	Exposition au CLOUD Act	Preuve à demander
Région UE d'un fournisseur américain	Directe, quelle que soit la région	Rien ne la supprime ; un contrat ne peut que la limiter
« Cloud de confiance » français bâti sur une technologie américaine sous licence	Dépend de la qualification et de l'accès technique du concédant	Le service exact sur la liste de l'ANSSI ; conditions de licence et de mise à jour
Fournisseur sous contrôle européen, service non qualifié	Pas directe ; résiduelle si le groupe a des entités ou une activité aux États-Unis	Registre des sociétés, actionnariat, sous-traitants, lieu d'où le support est assuré
Service qualifié SecNumCloud	La plus faible documentée : le chapitre 19.6 est évalué avant qualification	La fiche du catalogue de l'ANSSI, ses dates et son périmètre
Passerelle d'API ou agrégateur	Celle de la société la plus exposée du trajet	Toute la chaîne, modèle par modèle

Un service d'IA qui achemine votre prompt vers un modèle relève de la dernière ligne : il est aussi exposé que la société la plus exposée du trajet. Ce qui distingue les agrégateurs sur ce point fait l'objet d'un guide à part.

La chaîne d'Evanesca, maillon par maillon

Éditeur : FLEECE AI, société française sans maison mère ni filiale américaine.
La plupart des modèles : exécutés en France par Scaleway à Paris, avec OVHcloud à Gravelines en relais. OVH Groupe est contrôlé par la famille Klaba, qui détenait 79,0 % du capital et 79,6 % des droits de vote au 5 décembre 2025 (OVHcloud) ; Scaleway se présente comme « a subsidiary of the iliad Group » (Scaleway). Aucune des deux n'a de maison mère américaine.
Pourquoi Evanesca écrit « hors de portée directe » et non « hors de portée » : chaque groupe a une entité enregistrée aux États-Unis — OVH US, dont la FAQ sur le CLOUD Act indique qu'elle « will comply with lawful requests from public authorities », et une « SCALEWAY INC. » dans le Delaware selon le registre américain des adresses IP (ARIN) —, et les autorités américaines peuvent toujours passer par l'entraide judiciaire avec la France.
Ce qui est conservé : Evanesca ne stocke ni prompt ni réponse. OVHcloud ne garde que les données nécessaires à la facturation ; Scaleway peut conserver et lire les requêtes qui provoquent des erreurs ou paraissent abusives, jusqu'à 14 jours (Scaleway).
L'application et le relais d'Evanesca : Vercel, société américaine, dans sa région de Paris. Vos messages y transitent en mémoire et aucune trace n'est gardée, mais, société américaine, Vercel est à portée du CLOUD Act.
Les autres modèles : Mistral Large 4 et Mistral Small 4, exécutés par Mistral AI, société française, dans sa région UE — Mistral AI garde les entrées et sorties de l'API 30 jours pour surveiller les abus (Mistral AI) ; DeepSeek V4.1 Flash, GLM-5.3 et Gemma 4 26B, exécutés par AKI.IO, société allemande installée à Berlin dont les actionnaires ne sont pas publiés, qui annonce faire tourner ses inférences sur des GPU dans des datacenters allemands, sans journaliser, stocker ni analyser prompts et réponses (AKI.IO) ; et Apertus, exécuté par Infomaniak, société suisse, en Suisse, hors de l'UE mais sous une décision d'adéquation de l'UE.
Aucun modèle hors d'Europe : Evanesca n'en sert aucun, pas même en option.

Pages des opérateurs consultées le 6 octobre 2026. Dans le chat, chaque réponse porte un passeport qui nomme le modèle, son opérateur et son pays : la chaîne ci-dessus se vérifie réponse par réponse.

Quatre questions à poser à tout fournisseur

Quelle est la société mère ultime, et où est-elle immatriculée ? Une filiale européenne peut être atteinte par sa maison mère américaine, si celle-ci contrôle les données.
Le service précis que vous utiliserez figure-t-il sur la liste des services qualifiés de l'ANSSI, ou seulement le nom de l'entreprise ? La qualification se donne service par service.
Un tiers non européen — éditeur de logiciel, équipe de support, sous-traitant — peut-il techniquement accéder aux données, aux journaux ou aux réglages d'accès ?
Que prévoit le contrat face à la demande d'une autorité étrangère : qui y répond, et selon quelle procédure ?

Rien de tout cela ne remplace une démarche RGPD. Base légale, minimisation, durées de conservation, registre des traitements et droits des personnes s'appliquent quel que soit l'hébergeur du modèle : l'infrastructure traite un seul risque, l'accès d'un État étranger à ce que contrôle votre sous-traitant. Pour un exemple appliqué à un fournisseur, lisez OpenAI est-il conforme au RGPD ?.

Questions fréquentes

Un datacenter dans l'UE suffit-il à échapper au CLOUD Act ?

Non. Le CLOUD Act oblige les fournisseurs soumis à la juridiction américaine à livrer les données qu'ils possèdent, détiennent ou contrôlent, où qu'elles soient stockées. Un centre de données en France exploité par une société américaine, ou par sa filiale française, reste à sa portée. Ce qui change la réponse, c'est l'opérateur : une société sans maison mère ni contrôle américains.

Le RGPD interdit-il les fournisseurs d'IA américains ?

Non. Il encadre les transferts de données personnelles hors de l'EEE, qui doivent reposer sur un mécanisme comme une décision d'adéquation ou des clauses contractuelles types. Un fournisseur américain peut respecter le RGPD et rester soumis à une injonction américaine : les deux textes répondent à des questions différentes.

Le Data Privacy Framework UE–États-Unis est-il toujours valide ?

Oui, en septembre 2026. Le Tribunal de l'Union a rejeté un recours en annulation le 3 septembre 2025, en jugeant la situation à sa date d'adoption, en juillet 2023. Ce jugement fait l'objet d'un pourvoi devant la Cour de justice (affaire C-703/25 P). Les deux cadres précédents ont été annulés par la Cour de justice.

Quels services cloud sont qualifiés SecNumCloud ?

L'ANSSI les liste service par service dans son catalogue. La version du 15 septembre 2026 compte notamment « Cloud de confiance S3NS » et trois services d'OVH, mais ni AI Endpoints d'OVHcloud ni Generative APIs de Scaleway. Vérifiez le service exact et ses dates de validité.

Qu'est-ce que cela change pour les modèles d'Evanesca ?

Ses modèles tournent chez des sociétés européennes — pour la plupart en France chez Scaleway, avec OVHcloud en relais, les modèles de Mistral chez Mistral AI, d'autres chez AKI.IO en Allemagne, Apertus chez Infomaniak en Suisse. OVHcloud, Scaleway, Mistral AI et Infomaniak n'ont pas de maison mère américaine : hors de portée directe du CLOUD Act. AKI.IO est une société allemande dont les actionnaires ne sont pas publiés. Elle ne sert aucun modèle hors d'Europe. L'opérateur de chaque modèle figure sur la page des modèles.