Cloud Act et IA : vos données hébergées en Europe

Héberger une IA en Europe chez un fournisseur américain ne la met pas à l'abri du Cloud Act. L'ANSSI (Agence nationale de la sécurité des systèmes d'information) rappelle que cette loi américaine, comme le FISA, permet aux autorités de ce pays d'accéder aux données conservées dans le cloud par les hébergeurs qui y sont soumis, « y compris en dehors de leurs territoires ». La CNIL juge ce risque généralement limité pour les données ordinaires, mais pas pour les plus sensibles. Cette page résume ces positions officielles ; elle ne constitue pas un avis juridique.

Ce qu'est le Cloud Act

Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) est une loi américaine. Dans son état de la menace sur le cloud du 19/02/2025, l'ANSSI le cite avec le FISA (Foreign Intelligence Surveillance Act) américain et la loi chinoise sur le renseignement comme des législations qui imposent aux hébergeurs de transmettre à leurs autorités les données de leurs clients, « sans voie de recours ou même d'information de ces derniers ».

Ce qui compte n'est donc pas seulement où sont les serveurs, mais à quel droit est soumise la société qui les exploite, y compris par sa maison mère.

La position de la CNIL

Dans une publication du 19/07/2024, la CNIL :

• rappelle que les États-Unis sont un pays « adéquat » depuis la décision de la Commission européenne du 10/07/2023, dans les conditions du Data Privacy Framework ;
• indique que les données détenues par une entreprise soumise à un droit extra-européen, comme un hébergeur dont la société mère est américaine, « peuvent être exposées » à une demande des autorités de ce pays ;
• juge ce risque généralement limité pour les données non sensibles ;
• cite, parmi les traitements les plus sensibles, les grandes bases de données de santé, les données d'infractions et les données relatives à des mineurs, et recommande pour eux un prestataire « exclusivement soumis au droit européen » ;
• précise que la qualification SecNumCloud de l'ANSSI comprend ce critère.

Pourquoi l'IA est un cas particulier

Pour du simple stockage, on peut chiffrer les fichiers avec des clés gardées hors du cloud. Une IA, elle, doit lire les données pour répondre : la question de l'utilisateur et les extraits de documents sont traités en clair par le modèle. Or l'ANSSI souligne que le seul chiffrement n'offre pas une protection adéquate dès lors que les clés sont aussi dans le cloud, « ce qui est généralement le cas lorsque les données chiffrées font l'objet de traitement dans le cloud ».

Autrement dit, régler un cloud américain sur une région européenne répond à la question de la localisation, pas à celle du droit applicable.

Les réponses techniques possibles

Le référentiel SecNumCloud 3.2 impose par exemple que le siège du prestataire soit dans l'Union européenne, que son capital ne soit pas détenu au-delà de certains seuils par des entités non européennes, et qu'un sous-traitant non européen n'ait pas la possibilité technique d'obtenir les données. Voir SecNumCloud et IA générative.

Les questions à poser au fournisseur

1. Quelle est la société qui exploite le service, et quelle est sa maison mère ?
2. Le contrat prévoit-il de vous informer d'une demande d'accès d'une autorité étrangère, quand la loi le permet ?
3. Qui détient les clés de chiffrement ?
4. Le service est-il qualifié SecNumCloud, et sur quel périmètre exact ?

Pour la partie RGPD (règlement général sur la protection des données) des transferts hors d'Europe, voyez l'hébergement des données d'un assistant IA. Pour les réglages européens des grands clouds, voyez Bedrock en Europe, Vertex AI en Europe et Azure en Europe.