<div><?xml encoding=”UTF-8″?><p class=”wp-block-paragraph” id=”h-“><strong>Le Cloud and AI Development Act (CADA), le règlement européen sur la souveraineté du cloud proposé le 3 juin 2026, classe les services cloud en quatre niveaux d’assurance souveraineté, du simple hébergement en Union européenne jusqu’à la maîtrise complète de la chaîne d’approvisionnement. Le niveau à atteindre ne dépend pas du secteur d’activité en tant que tel, mais de l’évaluation de risque propre à chaque organisation.</strong></p><p class=”wp-block-paragraph”><strong>Pour un RSSI ou un DSI, la question se pose de façon concrète : à quel niveau se situent, aujourd’hui, la visioconférence, la messagerie et les outils de collaboration déjà déployés ? Voici la grille de lecture, niveau par niveau.</strong></p><p class=”wp-block-paragraph”/><h2 id=”h-les-4-niveaux-d-assurance-en-synthese” class=”wp-block-heading”><span class=”ez-toc-section” id=”Les_4_niveaux_dassurance_en_synthese”/>Les 4 niveaux d’assurance en synthèse<span class=”ez-toc-section-end”/></h2><h3 id=”h-le-tableau-des-exigences-par-niveau” class=”wp-block-heading”><span class=”ez-toc-section” id=”Le_tableau_des_exigences_par_niveau”/>Le tableau des exigences par niveau<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Le <a href=”https://itsocial.fr/cybersecurite/cybersecurite-articles/cloud-and-ai-development-act-le-cadre-devaluation-de-la-souverainete-cloud-a-quatre-niveaux/”>cadre d’évaluation de la souveraineté cloud du CADA</a> distingue quatre niveaux, chacun ajoutant une exigence à la précédente.</p><figure class=”wp-block-table”><table class=”has-fixed-layout”><thead><tr><td><strong>Niveau</strong></td><td><strong>Focus</strong></td><td><strong>Exigences clés</strong></td><td><strong>Qui peut y prétendre</strong></td></tr></thead><tbody WPAuto_Base_Readability=”12.5″><tr WPAuto_Base_Readability=”6″><td><strong>1</strong></td><td>Localisation</td><td>Établissement et données hébergées dans l’UE, auto-évaluation par le fournisseur</td><td>Tout fournisseur présent dans l’UE, y compris une filiale d’un groupe non européen</td></tr><tr WPAuto_Base_Readability=”8″><td><strong>2</strong></td><td>Indépendance démontrée</td><td>Garanties contre l’accès aux données ou l’interruption du service par un pays tiers</td><td>Fournisseurs sous contrôle extra-européen apportant des garanties juridiques, techniques et organisationnelles suffisantes</td></tr><tr WPAuto_Base_Readability=”5″><td><strong>3</strong></td><td>Contrôle européen</td><td>Le fournisseur et ses sous-traitants ne sont plus sous le contrôle d’un pays tiers</td><td>Fournisseurs à capital, gouvernance et personnel européens</td></tr><tr WPAuto_Base_Readability=”6″><td><strong>4</strong></td><td>Souveraineté complète</td><td>Transparence et maîtrise totale de la chaîne d’approvisionnement, sans interférence d’un pays tiers</td><td>Fournisseurs opérant une chaîne intégralement européenne</td></tr></tbody></table></figure><p class=”wp-block-paragraph”/><h3 id=”h-a-quel-niveau-votre-organisation-est-elle-tenue” class=”wp-block-heading”><span class=”ez-toc-section” id=”A_quel_niveau_votre_organisation_est-elle_tenue”/>À quel niveau votre organisation est-elle tenue ?<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Le niveau requis découle de l’<strong>évaluation de risque</strong> menée par chaque organisme, un mécanisme prévu par les articles 29 et 30 du texte consacrés à la commande publique. Il n’existe pas de correspondance automatique entre secteur d’activité et niveau CADA.</p><p class=”wp-block-paragraph”>Des repères se dessinent tout de même:</p><ul class=”wp-block-list”>
<li>La défense, les opérateurs d’importance vitale et les établissements financiers soumis à DORA se dirigent naturellement vers les <strong>niveaux 3 et 4</strong>.</li>



<li>Les administrations générales visent un niveau 1 minimum, avec un niveau 3 comme cible réaliste à moyen terme.</li>
</ul><p class=”wp-block-paragraph”><a href=”https://blog.tixeo.com/cloud-and-ai-development-act-cada-le-reglement-europeen-qui-va-redessiner-la-souverainete-cloud/”><strong>Voir le cadre réglementaire complet du Cloud and AI Development Act</strong></a></p><p class=”wp-block-paragraph”>Reste à détailler ce que chacun de ces niveaux implique concrètement, à commencer par le plus accessible.</p><p class=”wp-block-paragraph”/><h2 id=”h-niveau-1-la-localisation-ne-suffit-pas” class=”wp-block-heading”><span class=”ez-toc-section” id=”Niveau_1_la_localisation_ne_suffit_pas”/>Niveau 1 : la localisation ne suffit pas<span class=”ez-toc-section-end”/></h2><h3 id=”h-ce-que-le-niveau-1-exige-reellement” class=”wp-block-heading”><span class=”ez-toc-section” id=”Ce_que_le_niveau_1_exige_reellement”/>Ce que le niveau 1 exige réellement<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Le niveau 1 impose un établissement dans l’Union européenne, des données hébergées en UE, et repose sur une auto-évaluation du fournisseur. Rien n’empêche, en théorie, la filiale européenne d’un groupe américain d’y prétendre, dès lors que ses serveurs sont physiquement situés dans l’UE.</p><p class=”wp-block-paragraph”>C’est précisément la limite du niveau 1 pour les secteurs sensibles. La localisation ne dit rien du contrôle réel exercé sur l’infrastructure, ni des obligations juridiques auxquelles la maison mère reste soumise à l’étranger.</p><h3 id=”h-sovereignty-washing-l-exemple-seal” class=”wp-block-heading”><span class=”ez-toc-section” id=”Sovereignty_washing_lexemple_SEAL”/>Sovereignty washing : l’exemple SEAL<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Ce risque porte un nom, le <em>sovereignty washing</em> : la pratique consistant à afficher des attributs européens (siège social, data centers, partenariat local) sans que l’indépendance réelle suive (<a href=”https://synthmedia.fr/international/ia-act-regulations-internationales/cloud-souverain-bruxelles-sovereignty-washing/” target=”_blank” rel=”noreferrer noopener”>Synthmedia</a>).</p><p class=”wp-block-paragraph”>L’appel d’offres cloud de la <a href=”https://commission.europa.eu/news-and-media/news/commission-advances-cloud-sovereignty-through-strategic-procurement-2026-04-17_en” target=”_blank” rel=”noreferrer noopener”>Commission européenne d’avril 2026</a> en donne une illustration concrète. Pour permettre aux institutions européennes d’acheter des services cloud souverains jusqu’à <strong>180 millions d’euros sur six ans</strong>, la Commission a appliqué ses propres niveaux d’assurance, ceux-là mêmes que le CADA généralise. Sur les quatre consortiums retenus, celui associant Proximus à S3NS (coentreprise entre Thales et Google Cloud) n’a obtenu que le <strong>niveau 2</strong>, quand OVHcloud, Scaleway, STACKIT et le tandem Post Telecom/CleverCloud ont atteint le <strong>niveau 3</strong> sans dépendance non européenne. Le test porte sur la chaîne opérationnelle, pas sur l’adresse du siège social.</p><p class=”wp-block-paragraph”>Au-delà de la simple localisation, le CADA exige une indépendance réelle dont font l’objet les niveaux 2 et 3.</p><p class=”wp-block-paragraph”/><h2 id=”h-niveaux-2-et-3-l-independance-operationnelle” class=”wp-block-heading”><span class=”ez-toc-section” id=”Niveaux_2_et_3_lindependance_operationnelle”/>Niveaux 2 et 3 : l’indépendance opérationnelle<span class=”ez-toc-section-end”/></h2><h3 id=”h-niveau-2-independance-juridique-et-supply-chain” class=”wp-block-heading”><span class=”ez-toc-section” id=”Niveau_2_independance_juridique_et_supply_chain”/>Niveau 2 : indépendance juridique et supply chain<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Le <strong>niveau 2</strong> ne demande pas l’absence de tout lien avec un pays tiers, mais la démonstration de garanties suffisantes, contractuelles, techniques et organisationnelles, pour empêcher l’accès aux données ou l’interruption du service par une autorité étrangère. Un fournisseur adossé à une technologie non européenne peut l’atteindre, à condition de documenter précisément sa chaîne logicielle et ses mécanismes de protection. C’est le niveau qu’a obtenu le consortium cité plus haut, malgré une technologie sous-jacente non européenne.</p><h3 id=”h-niveau-3-propriete-et-controle-europeens” class=”wp-block-heading”><span class=”ez-toc-section” id=”Niveau_3_propriete_et_controle_europeens”/>Niveau 3 : propriété et contrôle européens<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Le <strong>niveau 3</strong> marque, selon la Commission européenne elle-même, le premier vrai seuil de souveraineté : le fournisseur et ses sous-traitants ne doivent plus être sous le contrôle d’un pays tiers. Capital, gouvernance et personnel d’exploitation doivent être européens.</p><p class=”wp-block-paragraph”>Le texte prévoit toutefois une dérogation (article 18) permettant à la Commission de reconnaître certains pays tiers comme offrant des garanties équivalentes, sur le modèle des décisions d’adéquation existant en protection des données (<a href=”https://incyber.org/article/cloud-and-ai-development-act-cada-ue-reintroduit-critere-souverainete-pour-fournisseurs-cloud/” target=”_blank” rel=”noreferrer noopener”>Incyber</a>). Plusieurs observateurs y voient un point de vigilance : la porte reste ouverte à une négociation diplomatique plutôt qu’à un critère purement technique.</p><h3 id=”h-ce-que-ca-implique-pour-un-outil-saas” class=”wp-block-heading”><span class=”ez-toc-section” id=”Ce_que_ca_implique_pour_un_outil_SaaS”/>Ce que ça implique pour un outil SaaS<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph” id=”h-pour-un-outil-de-visioconference-ou-de-messagerie-deux-chaines-sont-a-auditer-pas-une-seule-la-premiere-est-l-infrastructure-cloud-sous-jacente-celle-que-les-niveaux-cada-evaluent-directement-la-seconde-est-l-editeur-qui-opere-l-outil-lui-meme-ses-propres-acces-ses-propres-sous-traitants-sa-propre-juridiction-un-hebergement-en-niveau-3-ne-dit-rien-des-garanties-apportees-par-l-editeur-qui-l-exploite-le-niveau-4-est-celui-des-organisations-qui-n-ont-pas-droit-a-l-erreur”>Pour un outil de visioconférence ou de messagerie, deux chaînes sont à auditer, pas une seule. La première est l’infrastructure cloud sous-jacente, celle que les niveaux CADA évaluent directement. La seconde est l’éditeur qui opère l’outil lui-même : ses propres accès, ses propres sous-traitants, sa propre juridiction. Un hébergement en niveau 3 ne dit rien des garanties apportées par l’éditeur qui l’exploite. Le niveau 4 est celui des organisations qui n’ont pas droit à l’erreur.</p><p class=”wp-block-paragraph”/><h2 id=”h-niveau-4-la-souverainete-complete” class=”wp-block-heading”><span class=”ez-toc-section” id=”Niveau_4_la_souverainete_complete”/>Niveau 4 : la souveraineté complète<span class=”ez-toc-section-end”/></h2><h3 id=”h-supply-chain-personnel-inference-ia-les-exigences” class=”wp-block-heading”><span class=”ez-toc-section” id=”Supply_chain_personnel_inference_IA_les_exigences”/>Supply chain, personnel, inférence IA : les exigences<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Le niveau 4 impose une transparence et une maîtrise totales de la chaîne d’approvisionnement logicielle et matérielle, sans interférence possible d’un pays tiers. Les composants critiques ne doivent être sous le contrôle effectif d’aucun acteur étranger. Pour un outil intégrant de l’intelligence artificielle, cela s’étend aux données d’inférence : les transcriptions et résumés de réunion ne doivent pas quitter l’Union européenne.</p><h3 id=”h-qui-est-concerne-nbsp” class=”wp-block-heading”><span class=”ez-toc-section” id=”Qui_est_concerne”/>Qui est concerné?<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Ce niveau est réservé aux usages que l’évaluation de risque classe comme critiques : défense, opérateurs d’importance vitale, établissements financiers sous DORA. Ce sont des organisations pour lesquelles une exposition juridique structurelle à un droit étranger n’est pas une option.</p><h3 id=”h-quelles-preuves-existent-aujourd-hui” class=”wp-block-heading”><span class=”ez-toc-section” id=”Quelles_preuves_existent_aujourdhui”/>Quelles preuves existent aujourd’hui ?<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Aucun schéma d’audit CADA n’est encore finalisé : il dépendra du référentiel européen EUCS, toujours en discussion. En attendant, deux référentiels français donnent déjà une idée concrète de ce que ces exigences recouvrent. La <strong>qualification SecNumCloud</strong>, délivrée par l’ANSSI aux hébergeurs, préfigure une large part des niveaux 3 et 4. La <strong>certification CSPN</strong>, elle, valide la sécurité intrinsèque d’un produit logiciel.</p><p class=”wp-block-paragraph”>Une visioconférence certifiée CSPN, chiffrée de bout en bout, opérée et hébergée en Europe ou sur les serveurs propres des organisations, matérialise déjà une partie de ces exigences, sans attendre l’issue du trilogue européen.</p><p class=”wp-block-paragraph”/><p class=”has-text-align-center has-medium-font-size wp-block-paragraph”><strong>Tixeo est certifié CSPN par l’ANSSI depuis 2017 et propose sa solution collaborative sécurisée dans le cloud souverain ou en version on-premise. </strong></p><p class=”has-text-align-center has-medium-font-size wp-block-paragraph”/><div class=”wp-block-cover” style=”min-height:239px;aspect-ratio:unset;”><img fetchpriority=”high” decoding=”async” width=”1024″ height=”576″ class=”wp-block-cover__image-background wp-image-58527 size-large” alt=”workspaces Tixeo” src=”https://blog.tixeo.com/wp-content/uploads/2026/04/compo-04-avec-menu-DARK-1024×576.jpg” data-object-fit=”cover” srcset=”https://blog.tixeo.com/wp-content/uploads/2026/04/compo-04-avec-menu-DARK-980×551.jpg 980w, https://blog.tixeo.com/wp-content/uploads/2026/04/compo-04-avec-menu-DARK-480×270.jpg 480w” sizes=”(min-width: 0px) and (max-width: 480px) 480px, (min-width: 481px) and (max-width: 980px) 980px, (min-width: 981px) 1024px, 100vw”/><span aria-hidden=”true” class=”wp-block-cover__background has-background-dim” style=”background-color:#797271″/><div class=”wp-block-cover__inner-container is-layout-constrained wp-block-cover-is-layout-constrained”><p style=”display: inline;” class=”WPAuto_Base_Readability-styled”>
</p><div class=”wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-fe48e5de wp-block-buttons-is-layout-flex”><p style=”display: inline;” class=”WPAuto_Base_Readability-styled”>
</p><div class=”wp-block-button is-style-fill”><a class=”wp-block-button__link has-background has-medium-font-size has-custom-font-size wp-element-button” href=”https://www.tixeo.com/certifications-et-conformite/” style=”background-color:#ee861f” target=”_blank” rel=”noreferrer noopener”><strong>Découvrez les exigences de conformité Tixeo</strong></a></div><p style=”display: inline;” class=”WPAuto_Base_Readability-styled”>
</p></div><p style=”display: inline;” class=”WPAuto_Base_Readability-styled”>
</p></div></div><p class=”wp-block-paragraph”/><h2 id=”h-la-grille-d-evaluation-de-vos-outils-collaboratifs” class=”wp-block-heading”><span class=”ez-toc-section” id=”La_grille_devaluation_de_vos_outils_collaboratifs”/>La grille d’évaluation de vos outils collaboratifs<span class=”ez-toc-section-end”/></h2><p class=”wp-block-paragraph”>Le mouvement dépasse déjà le seul calendrier européen. Côté français, la DINUM vise la migration de <a href=”https://itsocial.fr/logiciel-agilite/logiciel-agilite-actualites/la-dinum-lache-windows-pour-linux-et-impose-un-plan-de-souverainete-numerique-a-chaque-ministere-avant-lautomne/” target=”_blank” rel=”noreferrer noopener”><strong>2,5 millions d’agents publics</strong></a> vers des outils souverains d’ici 2027. Le calendrier interne de nombreuses organisations est donc déjà enclenché, indépendamment de la date d’adoption du CADA.</p><p class=”wp-block-paragraph”/><h3 id=”h-sept-questions-a-poser-a-vos-fournisseurs” class=”wp-block-heading”><span class=”ez-toc-section” id=”Sept_questions_a_poser_a_vos_fournisseurs”/>Sept questions à poser à vos fournisseurs<span class=”ez-toc-section-end”/></h3><figure class=”wp-block-table”><table class=”has-fixed-layout”><thead WPAuto_Base_Readability=”1″><tr WPAuto_Base_Readability=”2″><td><strong>Question</strong>s</td><td><strong>Ce qu’une bonne réponse contient</strong></td><td><strong>Ce qui doit alerter</strong></td></tr></thead><tbody WPAuto_Base_Readability=”26.5″><tr WPAuto_Base_Readability=”7″><td><strong>Quelle est la juridiction de l’opérateur et de sa maison mère ?</strong></td><td>Un nom précis, une structure capitalistique documentée</td><td>Une réponse évasive sur l’actionnariat final</td></tr><tr WPAuto_Base_Readability=”8″><td><strong>Où les données sont-elles hébergées ?</strong></td><td>Un ou plusieurs data centers nommés, localisés en UE</td><td>« Nos données sont hébergées dans le cloud », sans plus de précision</td></tr><tr WPAuto_Base_Readability=”9″><td><strong>Où l’inférence IA a-t-elle lieu (transcriptions, résumés) ?</strong></td><td>Un traitement localisé en UE, documenté</td><td>Un silence, ou un renvoi à la politique de confidentialité générale</td></tr><tr WPAuto_Base_Readability=”7″><td><strong>Qui sont les sous-traitants IA, et où sont-ils situés ?</strong></td><td>Une liste nominative et localisée</td><td>Aucun sous-traitant nommé</td></tr><tr WPAuto_Base_Readability=”8″><td><strong>Quelle est la nationalité du personnel d’exploitation ?</strong></td><td>Une équipe identifiée, basée en UE</td><td>Un support technique délocalisé hors UE, sans mention</td></tr><tr WPAuto_Base_Readability=”7″><td><strong>Quelles certifications sont vérifiables ?</strong></td><td>Des certifications ANSSI ou équivalentes, avec référence publique</td><td>Des labels marketing non adossés à un référentiel reconnu</td></tr><tr WPAuto_Base_Readability=”7″><td><strong>Quelles garanties de réversibilité existent en fin de contrat ?</strong></td><td>Un format d’export documenté, des délais contractuels</td><td>Une clause de réversibilité absente ou floue</td></tr></tbody></table></figure><p class=”wp-block-paragraph”/><h3 id=”h-interpreter-les-reponses-selon-le-niveau-vise” class=”wp-block-heading”><span class=”ez-toc-section” id=”Interpreter_les_reponses_selon_le_niveau_vise”/>Interpréter les réponses selon le niveau visé<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Une réponse évasive sur la juridiction de la maison mère ou sur la localisation de l’inférence IA disqualifie d’emblée un outil pour un <strong>niveau 3 ou 4</strong>, quelle que soit la qualité du reste du dossier. À l’inverse, un flou sur la seule réversibilité peut se documenter a posteriori sans remettre en cause le niveau visé.</p><p class=”wp-block-paragraph”>Ce travail d’audit recoupe les obligations complémentaires de NIS2 et DORA, que toute organisation régulée doit également documenter. Quelques questions reviennent plus souvent que les autres.</p><p class=”wp-block-paragraph”/><h2 id=”h-foire-aux-questions” class=”wp-block-heading”><span class=”ez-toc-section” id=”Foire_aux_questions”/>Foire aux questions <span class=”ez-toc-section-end”/></h2><h3 id=”h-faut-il-attendre-l-adoption-du-cada-pour-auditer-ses-outils-collaboratifs” class=”wp-block-heading”><span class=”ez-toc-section” id=”Faut-il_attendre_ladoption_du_CADA_pour_auditer_ses_outils_collaboratifs”/>Faut-il attendre l’adoption du CADA pour auditer ses outils collaboratifs ?<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Non. Le texte n’est pas encore adopté, le trilogue vise une adoption fin 2027, mais les contrats avec les fournisseurs d’outils collaboratifs s’engagent souvent pour plusieurs années. Auditer maintenant permet de négocier les clauses de réversibilité et de localisation avant la signature, plutôt que de découvrir un problème une fois le contrat en cours.</p><h3 id=”h-les-grandes-plateformes-americaines-peuvent-elles-atteindre-le-niveau-2″ class=”wp-block-heading”><span class=”ez-toc-section” id=”Les_grandes_plateformes_americaines_peuvent-elles_atteindre_le_niveau_2″/>Les grandes plateformes américaines peuvent-elles atteindre le niveau 2 ?<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Oui, sous conditions. Le niveau 2 reste accessible à un fournisseur sous contrôle extra-européen s’il apporte des garanties juridiques et techniques suffisantes contre l’accès ou l’interruption par un pays tiers, comme l’a montré un consortium européen adossé à une technologie américaine lors de l’appel d’offres cloud de la Commission en avril 2026. Le niveau 3 leur reste hors de portée.</p><h3 id=”h-une-entreprise-privee-doit-elle-appliquer-les-niveaux-cada-a-ses-outils-collaboratifs” class=”wp-block-heading”><span class=”ez-toc-section” id=”Une_entreprise_privee_doit-elle_appliquer_les_niveaux_CADA_a_ses_outils_collaboratifs”/>Une entreprise privée doit-elle appliquer les niveaux CADA à ses outils collaboratifs ?<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Pas d’obligation directe aujourd’hui : le texte cible d’abord la commande publique. Mais des actes délégués pourraient étendre les exigences aux secteurs déjà couverts par NIS2 (banque, énergie, télécoms, santé), qui devront alors documenter le niveau de leurs propres outils collaboratifs. Anticiper évite un rattrapage dans l’urgence.</p><p class=”wp-block-paragraph”>Le Cloud and AI Development Act n’est pas encore adopté, mais la grille de niveaux qu’il propose est déjà utilisable pour auditer ses outils collaboratifs. Les réponses qu’un fournisseur ne peut pas donner aujourd’hui sur sa juridiction, ses sous-traitants ou ses données d’inférence ne s’amélioreront pas sous la seule contrainte réglementaire. Le calendrier du trilogue européen n’a, de ce point de vue, rien d’urgent : celui des prochains renouvellements de contrats, lui, ne laisse pas autant de marge.</p><p class=”wp-block-paragraph”/><p class=”wp-block-paragraph”/><p style=”display: inline;” class=”WPAuto_Base_Readability-styled”>
</p></div>
Streaming Film
Nonton Film gratis
Jasa Backlink
Download Anime Batch
Posted inNews
Cloud souverain : les 4 niveaux du Cloud and AI Development Act pour choisir vos outils collaboratifs
Posted by
No Comments
No Comments
