<div><?xml encoding=”UTF-8″?><p class=”wp-block-paragraph” id=”h-“><strong>Cloud Act, Cloud and AI Development Act (CADA) : les deux noms commencent par les mêmes mots, et la ressemblance n’est pas qu’un hasard lexical. Le premier organise l’accès des autorités américaines aux données détenues par leurs fournisseurs cloud, où que soient hébergés les serveurs. Le second construit la réponse européenne : un cadre de souveraineté qui vise, à ses niveaux les plus élevés, à exclure structurellement les fournisseurs soumis à un droit extraterritorial tiers.</strong></p><p class=”wp-block-paragraph”><strong>Si l’accès aux données est organisé d’un côté, de l’autre c’est plutôt l’indépendance qui est recherchée. Pour les organisations utilisatrices d’outils collaboratifs dans le cloud, comprendre cette opposition permet de questionner leurs choix d’hébergement.</strong></p><h2 id=”h-le-cloud-act-americain-ce-qu-il-permet-reellement” class=”wp-block-heading”><span class=”ez-toc-section” id=”Le_Cloud_Act_americain_ce_quil_permet_reellement”/>Le Cloud Act américain : ce qu’il permet réellement<span class=”ez-toc-section-end”/></h2><p class=”wp-block-paragraph”>Le <a href=”https://www.congress.gov/bill/115th-congress/house-bill/4943″ target=”_blank” rel=”noreferrer noopener”>Cloud Act</a> (« Clarifying Lawful Overseas Use of Data Act ») est promulgué en mars 2018 aux États-Unis. Le texte modifie le Stored Communications Act pour poser un principe clair : un fournisseur cloud américain reste soumis aux mandats judiciaires de son pays pour les données qu’il détient, <strong>quelle que soit la localisation de ses serveurs</strong>.</p><blockquote class=”wp-block-quote is-layout-flow wp-block-quote-is-layout-flow” WPAuto_Base_Readability=”12″>
<p class=”wp-block-paragraph”>Contrairement à une lecture parfois répandue, il ne s’agit pas d’un accès libre. Les autorités américaines doivent obtenir un mandat ou une citation à comparaître dans le cadre d’une procédure judiciaire. Mais l’obligation de remise, elle, ne connaît pas de frontière : elle s’applique dès lors que le fournisseur relève du droit américain, même si ses centres de données sont installés en France ou en Allemagne.</p>
</blockquote><h3 id=”h-fisa-702-la-surveillance-en-complement” class=”wp-block-heading”><span class=”ez-toc-section” id=”FISA_702_la_surveillance_en_complement”/>FISA 702 : la surveillance en complément<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>À ce mécanisme judiciaire s’ajoute un second texte, plus ancien et de portée différente : la section 702 du Foreign Intelligence Surveillance Act, qui autorise la collecte de renseignement visant des personnes non américaines situées hors des États-Unis, sans mandat individualisé. Les deux dispositifs se cumulent sans se confondre : le Cloud Act encadre une procédure judiciaire, la FISA organise une surveillance de renseignement.</p><p class=”wp-block-paragraph”>À noter que cette section 702 a <strong>techniquement expiré le 12 juin 2026</strong>, le Congrès n’étant pas parvenu à voter sa reconduction. Les <a href=”https://www.brennancenter.org/our-work/research-reports/section-702-foreign-intelligence-surveillance-act-fisa-2026-resource-page” target=”_blank” rel=”noreferrer noopener”>autorisations déjà validées par la Cour FISA en mars 2026 restent en vigueur jusqu’en mars 2027</a>, si bien que la collecte se poursuit dans les faits malgré l’expiration du texte. L’issue politique du dossier reste donc ouverte.</p><h3 id=”h-concretement-pour-une-organisation-europeenne” class=”wp-block-heading”><span class=”ez-toc-section” id=”Concretement_pour_une_organisation_europeenne”/>Concrètement, pour une organisation européenne<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Une organisation cliente d’un fournisseur cloud américain reste exposée à ces deux textes par sa maison mère, quels que soient la localisation contractuelle du service ou les engagements de protection affichés. Une filiale européenne, un contrat de droit français, un hébergement dans l’Union : rien de tout cela ne change la nationalité de l’entité qui héberge la donnée.</p><p class=”wp-block-paragraph”>Le réflexe le plus courant, « nos serveurs sont en Europe », ne répond donc pas à la question posée par ces deux textes.</p><p class=”wp-block-paragraph”/><h2 id=”h-le-mythe-du-datacenter-europeen” class=”wp-block-heading”><span class=”ez-toc-section” id=”Le_mythe_du_datacenter_europeen”/>Le mythe du datacenter européen<span class=”ez-toc-section-end”/></h2><h3 id=”h-la-localisation-ne-protege-pas-de-la-juridiction” class=”wp-block-heading”><span class=”ez-toc-section” id=”La_localisation_ne_protege_pas_de_la_juridiction”/>La localisation ne protège pas de la juridiction<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>«EU-hosted» n’est pas synonyme d’«EU-sovereign». C’est l’entité qui <strong>contrôle</strong> le fournisseur, pas la géographie de ses serveurs, qui détermine l’exposition réelle d’une organisation. Une filiale européenne d’un groupe américain reste rattachée, par sa structure capitalistique, au droit dont dépend sa maison mère.</p><h3 id=”h-pourquoi-rgpd-et-clauses-contractuelles-ne-suffisent-pas” class=”wp-block-heading”><span class=”ez-toc-section” id=”Pourquoi_RGPD_et_clauses_contractuelles_ne_suffisent_pas”/>Pourquoi RGPD et clauses contractuelles ne suffisent pas<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Le RGPD encadre les transferts de données hors de l’Union européenne mais n’a pas vocation à neutraliser une obligation légale qui s’impose directement au fournisseur dans son pays d’origine. La <a href=”https://www.cnil.fr/fr/cloud-les-risques-dune-certification-europeenne-permettant-lacces-des-autorites-etrangeres”>CNIL</a> a d’ailleurs alerté sur ce point dans son avis sur le projet de certification européenne EUCS : elle regrette que le texte n’exige plus de garanties contre l’accès de puissances étrangères aux données hébergées, à la différence de la qualification française SecNumCloud.</p><p class=”wp-block-paragraph”>Pour une organisation critique, l’articulation complète des réglementations cloud <em>(RGPD, NIS2, DORA et désormais le Cloud and AI Development Act)</em> mérite d’être posée à plat plutôt que traitée texte par texte. C’est précisément cette faille que le texte européen vient combler.</p><p class=”wp-block-paragraph”/><h2 id=”h-le-cloud-and-ai-development-act-la-reponse-structurelle” class=”wp-block-heading”><span class=”ez-toc-section” id=”Le_Cloud_and_AI_Development_Act_la_reponse_structurelle”/>Le Cloud and AI Development Act : la réponse structurelle<span class=”ez-toc-section-end”/></h2><h3 id=”h-ce-que-le-cada-met-en-place” class=”wp-block-heading”><span class=”ez-toc-section” id=”Ce_que_le_CADA_met_en_place”/>Ce que le CADA met en place<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Proposé par la <a href=”https://digital-strategy.ec.europa.eu/en/policies/cloud-and-ai-development-act” target=”_blank” rel=”noreferrer noopener”>Commission européenne le 3 juin 2026</a>, le <a href=”https://blog.tixeo.com/cloud-and-ai-development-act-cada-le-reglement-europeen-qui-va-redessiner-la-souverainete-cloud/”>règlement européen Cloud and AI Development Act</a> construit un cadre gradué de <strong>quatre niveaux d’assurance souveraineté</strong> : du simple critère de localisation européenne, au premier niveau, jusqu’à l’absence totale d’ingérence d’un pays tiers sur l’ensemble de la chaîne, propriété du fournisseur comprise, au niveau le plus élevé.</p><h3 id=”h-niveaux-2-et-plus-l-independance-comme-critere-d-achat” class=”wp-block-heading”><span class=”ez-toc-section” id=”Niveaux_2_et_plus_lindependance_comme_critere_dachat”/>Niveaux 2 et plus : l’indépendance comme critère d’achat<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>À partir du niveau 2, le critère central devient <strong>l’indépendance vis-à-vis des régimes juridiques tiers</strong>. Un fournisseur soumis au Cloud Act, par sa nationalité ou celle de sa maison mère, ne peut structurellement pas prétendre aux niveaux les plus élevés, quelles que soient ses garanties contractuelles ou ses engagements de localisation. C’est l’inverse exact de la logique du Cloud Act : là où l’un organise l’accès par la nationalité du fournisseur, l’autre l’exclut par ce même critère.</p><p class=”wp-block-paragraph”>Le détail des quatre niveaux d’assurance souveraineté et leurs implications pour le choix d’outils collaboratifs sont détaillés dans <a href=”https://blog.tixeo.com/outils-collaboratifs-cloud-souverain-4-niveaux/”>les 4 niveaux d’assurance souveraineté du Cloud and AI Development Act</a>.</p><p class=”wp-block-paragraph”>Posés côte à côte, les deux textes dessinent une opposition frontale.</p><h2 id=”h-cloud-act-vs-cada-le-tableau-comparatif” class=”wp-block-heading”><span class=”ez-toc-section” id=”Cloud_Act_vs_CADA_le_tableau_comparatif”/>Cloud Act vs CADA : le tableau comparatif<span class=”ez-toc-section-end”/></h2><p class=”wp-block-paragraph”>Deux textes, une même question : qui peut légalement atteindre les données d’une organisation européenne ?</p><figure class=”wp-block-table”><table class=”has-fixed-layout”><thead WPAuto_Base_Readability=”1″><tr WPAuto_Base_Readability=”2″><td></td><td><strong>Cloud Act</strong></td><td><strong>Cloud and AI Development Act</strong></td></tr></thead><tbody WPAuto_Base_Readability=”18.5″><tr WPAuto_Base_Readability=”2″><td><strong>Année</strong></td><td>2018 (en vigueur)</td><td>Proposé le 3 juin 2026 (adoption visée après trilogue)</td></tr><tr WPAuto_Base_Readability=”2″><td><strong>Législateur</strong></td><td>Congrès américain</td><td>Commission européenne (Parlement et Conseil à venir)</td></tr><tr WPAuto_Base_Readability=”4″><td><strong>Objet</strong></td><td>Accès aux données par les autorités judiciaires américaines</td><td>Cadre d’assurance de la souveraineté cloud pour la commande publique</td></tr><tr WPAuto_Base_Readability=”6″><td><strong>Portée</strong></td><td>Extraterritoriale, fondée sur la nationalité du fournisseur</td><td>Union européenne, marchés publics (extension possible aux secteurs NIS2 par actes délégués)</td></tr><tr WPAuto_Base_Readability=”8″><td><strong>Qui y est soumis</strong></td><td>Tout fournisseur relevant du droit américain (siège, filiale ou maison mère), où que soient ses serveurs</td><td>Fournisseurs candidats aux marchés publics européens, gradués par niveau d’assurance</td></tr><tr WPAuto_Base_Readability=”6″><td><strong>Logique</strong></td><td>Accès organisé, sous contrôle judiciaire</td><td>Indépendance réelle, à partir du niveau 2</td></tr><tr WPAuto_Base_Readability=”9″><td><strong>Conséquence pour une organisation UE</strong></td><td>Expose ses données au droit américain via son fournisseur, même hébergées en Europe</td><td>Permet d’exiger, par le niveau choisi, l’absence de cette exposition</td></tr></tbody></table></figure><p class=”wp-block-paragraph”/><blockquote class=”wp-block-quote is-layout-flow wp-block-quote-is-layout-flow” WPAuto_Base_Readability=”11″>
<p class=”wp-block-paragraph”>Le <strong>Cloud Act</strong> organise un accès sous contrôle judiciaire, mais sans frontière géographique. Le <strong>CADA</strong> organise, à l’inverse, une réelle indépendance vis-à-vis de cet accès, à condition de retenir un fournisseur positionné sur ses niveaux les plus élevés.</p>
</blockquote><p class=”wp-block-paragraph”/><h2 id=”h-ce-que-ca-implique-pour-vos-communications” class=”wp-block-heading”><span class=”ez-toc-section” id=”Ce_que_ca_implique_pour_vos_communications”/>Ce que ça implique pour vos communications<span class=”ez-toc-section-end”/></h2><h3 id=”h-visio-et-messagerie-des-donnees-exposees-trois-fois” class=”wp-block-heading”><span class=”ez-toc-section” id=”Visio_et_messagerie_des_donnees_exposees_trois_fois”/>Visio et messagerie : des données exposées trois fois<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Un outil de visioconférence ou de messagerie manipule trois strates de données sensibles :</p><ul class=”wp-block-list”>
<li>les flux échangés en temps réel,</li>



<li>leurs enregistrements,</li>



<li>et les transcriptions générées par l’IA intégrée.</li>
</ul><p class=”wp-block-paragraph”>Chacune de ces strates peut relever d’une juridiction différente selon l’éditeur de l’outil, l’hébergeur retenu et le sous-traitant IA sollicité pour la transcription.</p><p class=”wp-block-paragraph”/><h3 id=”h-trois-questions-de-juridiction-a-poser” class=”wp-block-heading”><span class=”ez-toc-section” id=”Trois_questions_de_juridiction_a_poser”/>Trois questions de juridiction à poser<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Avant de retenir un outil collaboratif, une organisation critique a intérêt à documenter trois points :</p><ul class=”wp-block-list”>
<li>la juridiction du fournisseur lui-même ;</li>



<li>celle de ses sous-traitants IA, notamment pour la transcription ;</li>



<li>celle de sa maison mère, le cas échéant.</li>
</ul><p class=”wp-block-paragraph”>L’indépendance juridique de bout en bout, telle que la posent les niveaux CADA les plus élevés et les référentiels de l’ANSSI, découle directement de ces trois réponses. </p><p class=”wp-block-paragraph”>Une visioconférence certifiée CSPN, chiffrée de bout en bout, conçue et opérée en France, échappe par construction au périmètre du Cloud Act : ni le fournisseur ni sa maison mère ne relèvent du droit américain. Les communications de votre organisation n’ont pas à dépendre d’une juridiction étrangère.</p><p class=”has-text-align-center has-medium-font-size wp-block-paragraph”><strong>Tixeo, visioconférence certifiée CSPN et chiffrée de bout en bout, est conçue, opérée et hébergée en Europe ou déployée en version on-premise au sein des organisations les plus sensibles. </strong></p><div class=”wp-block-cover is-light” style=”min-height:277px;aspect-ratio:unset;”><img fetchpriority=”high” decoding=”async” width=”1024″ height=”682″ class=”wp-block-cover__image-background wp-image-58529 size-large” alt=”outil collaboratif sécurisé” src=”https://blog.tixeo.com/wp-content/uploads/2026/04/illu-workspaces-1024×682.png” data-object-fit=”cover” srcset=”https://blog.tixeo.com/wp-content/uploads/2026/04/illu-workspaces-1024×682.png 1024w, https://blog.tixeo.com/wp-content/uploads/2026/04/illu-workspaces-980×653.png 980w, https://blog.tixeo.com/wp-content/uploads/2026/04/illu-workspaces-480×320.png 480w” sizes=”(min-width: 0px) and (max-width: 480px) 480px, (min-width: 481px) and (max-width: 980px) 980px, (min-width: 981px) 1024px, 100vw”/><span aria-hidden=”true” class=”wp-block-cover__background has-background-dim” style=”background-color:#aaa6a5″/><div class=”wp-block-cover__inner-container is-layout-constrained wp-block-cover-is-layout-constrained”><p style=”display: inline;” class=”WPAuto_Base_Readability-styled”>
</p><div class=”wp-block-buttons is-content-justification-center is-layout-flex wp-container-core-buttons-is-layout-fe48e5de wp-block-buttons-is-layout-flex”><p style=”display: inline;” class=”WPAuto_Base_Readability-styled”>
</p><div class=”wp-block-button”><a class=”wp-block-button__link has-background has-medium-font-size has-custom-font-size wp-element-button” style=”background-color:#ee861f”><strong>Découvrir la collaboration sécurisée Tixeo</strong></a></div><p style=”display: inline;” class=”WPAuto_Base_Readability-styled”>
</p></div><p style=”display: inline;” class=”WPAuto_Base_Readability-styled”>
</p></div></div><p class=”wp-block-paragraph”/><h2 id=”h-foire-aux-questions-sur-le-cloud-act-vs-le-cada-cloud-and-ai-development-act” class=”wp-block-heading”><span class=”ez-toc-section” id=”Foire_aux_questions_sur_le_Cloud_Act_vs_le_CADA_Cloud_and_AI_Development_Act”/>Foire aux questions sur le Cloud Act vs le CADA (Cloud and AI Development Act)<span class=”ez-toc-section-end”/></h2><h3 id=”h-qu-est-ce-que-le-cloud-act” class=”wp-block-heading”><span class=”ez-toc-section” id=”Quest-ce_que_le_Cloud_Act”/>Qu’est-ce que le Cloud Act ?<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Le Cloud Act (« Clarifying Lawful Overseas Use of Data Act ») est une loi américaine de 2018 qui oblige les fournisseurs cloud relevant du droit américain à transmettre, sur mandat judiciaire, les données qu’ils détiennent, y compris lorsqu’elles sont hébergées hors des États-Unis. Il s’applique par la nationalité du fournisseur, pas par la localisation de ses serveurs.</p><h3 id=”h-le-cada-interdit-il-de-recourir-a-un-fournisseur-soumis-au-cloud-act” class=”wp-block-heading”><span class=”ez-toc-section” id=”Le_CADA_interdit-il_de_recourir_a_un_fournisseur_soumis_au_Cloud_Act”/>Le CADA interdit-il de recourir à un fournisseur soumis au Cloud Act ?<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Non. Le règlement européen ne prononce aucune interdiction : il pose un critère d’achat gradué. Un fournisseur soumis au Cloud Act peut atteindre les premiers niveaux d’assurance souveraineté, mais pas les niveaux 3 et 4, réservés aux fournisseurs indépendants de tout droit extraterritorial tiers.</p><h3 id=”h-le-rgpd-protege-t-il-du-cloud-act” class=”wp-block-heading”><span class=”ez-toc-section” id=”Le_RGPD_protege-t-il_du_Cloud_Act”/>Le RGPD protège-t-il du Cloud Act ?<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Pas directement. Le RGPD encadre les transferts de données hors de l’Union européenne, mais il ne neutralise pas une obligation légale qui s’impose au fournisseur dans son pays d’origine. Les deux textes répondent à des questions différentes.</p><h3 id=”h-un-hebergement-en-europe-suffit-il” class=”wp-block-heading”><span class=”ez-toc-section” id=”Un_hebergement_en_Europe_suffit-il”/>Un hébergement en Europe suffit-il ?<span class=”ez-toc-section-end”/></h3><p class=”wp-block-paragraph”>Non. La localisation des serveurs ne change pas la nationalité de l’entité qui les exploite. Un centre de données européen opéré par la filiale d’un groupe américain reste, par sa structure capitalistique, exposé au Cloud Act.</p><p class=”wp-block-paragraph”>Le Cloud Act organise un accès. Le Cloud and AI Development Act organise une indépendance. Entre les deux, chaque organisation choisit, par les outils qu’elle retient, la juridiction sous laquelle vivent réellement ses échanges. Cette juridiction ne se déduit pas de l’adresse d’un datacenter : elle se documente, fournisseur par fournisseur, sous-traitant par sous-traitant.</p><p class=”wp-block-paragraph”/><p style=”display: inline;” class=”WPAuto_Base_Readability-styled”>
</p></div>
Streaming Film
Nonton Film gratis
Jasa Backlink
Download Anime Batch
Posted inNews
Cloud Act vs Cloud and AI Development Act : ce que lEurope oppose au droit américain
Posted by
No Comments
No Comments
