Définition
Cloud souverain : définition et trois notions à distinguer
Cloud souverain, cloud de confiance, résidence des données : ce que recouvrent ces mots pour héberger une IA, d'après l'ANSSI, la CNIL et les clouds.
Mis à jour le
On appelle couramment « cloud souverain » un service de cloud dont les données restent dans l'Union européenne et dont l'exploitant n'est soumis qu'au droit européen. Le terme n'apparaît pas dans les textes officiels que nous avons lus pour cette page, qui parlent plutôt d'offre « de confiance », de qualification SecNumCloud ou de prestataire « exclusivement soumis au droit européen ». Pour héberger une IA, il vaut mieux séparer trois notions.
Trois notions différentes
| Notion | Question à laquelle elle répond | Exemple d'engagement officiel |
|---|---|---|
| Résidence des données | Dans quel pays ou quelle zone les données sont-elles stockées et traitées ? | La « EU Data Boundary » de Microsoft : stockage et traitement dans l'Union européenne et l'AELE (Association européenne de libre-échange) |
| Protection juridique | À quel droit l'exploitant est-il soumis ? | Chapitre 19.6 du référentiel SecNumCloud : siège dans l'Union, capital non européen plafonné |
| Qualification de sécurité | Un organisme public a-t-il vérifié le service ? | Qualification SecNumCloud délivrée par l'ANSSI, que son guide sur l'IA appelle une « offre de confiance » |
Un service peut cocher la première case sans la deuxième. C'est le sens de l'avertissement de la CNIL du 19/07/2024 : un hébergeur dont la société mère est américaine peut être exposé à une demande des autorités de ce pays, même pour des données hébergées en Europe.
Résidence n'est pas souveraineté
Les grands clouds proposent des engagements de résidence de plus en plus fins. Google indique par exemple que son point d'accès multirégional « eu » couvre strictement les États membres de l'Union, à l'exclusion du Royaume-Uni et de la Suisse. Microsoft inclut au contraire la Norvège et la Suisse dans sa EU Data Boundary. Ces engagements disent où tournent les calculs ; ils ne changent pas le droit auquel l'exploitant est soumis.
Ce qu'en retenir pour une IA
Demandez toujours séparément : le lieu de traitement des requêtes, la nationalité juridique de l'exploitant, et la qualification éventuelle avec son périmètre. Les pages Cloud Act et SecNumCloud détaillent les deux dernières questions ; la EU Data Boundary illustre la première.
Questions fréquentes
Un cloud hébergé en France est-il forcément souverain ?
Non. Un centre de données en France règle la localisation. La question du droit applicable dépend de la société qui exploite le service et de sa maison mère : c'est ce que vise le chapitre 19.6 du référentiel SecNumCloud.
Sources
Pages consultées pour écrire cet article :
- https://cyber.gouv.fr/documents/388/secnumcloud-referentiel-exigences-v3.2.pdf
- https://messervices.cyber.gouv.fr/documents-guides/Recommandations_de_sécurité_pour_un_système_d_IA_générative.pdf
- https://www.cnil.fr/fr/cloud-les-risques-dune-certification-europeenne-permettant-lacces-des-autorites-etrangeres
- https://learn.microsoft.com/en-us/privacy/eudb/eu-data-boundary-learn
- https://docs.cloud.google.com/vertex-ai/generative-ai/docs/learn/data-residency