Le Cloud Act expliqué aux dirigeants : ce qu'il permet, ce qu'il ne permet pas

Dès qu'on parle d'IA en entreprise, le Cloud Act revient dans la conversation, souvent sous la forme d'un raccourci : « les Américains peuvent lire toutes nos données ». La réalité est plus nuancée, et elle compte pour vos choix. Ce qui détermine le risque, ce n'est pas seulement l'endroit où sont stockées vos données, c'est la nationalité de l'entreprise qui les détient. Voici ce qu'il faut savoir pour décider, sans paranoïa et sans naïveté.

Ce que dit le Cloud Act

Le Cloud Act (pour Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine adoptée en mars 2018. Elle répond à une question précise : une entreprise américaine peut-elle refuser de transmettre à la justice américaine des données qu'elle stocke à l'étranger ? La réponse de la loi est non. Un fournisseur soumis au droit américain doit produire les données demandées dans le cadre d'une procédure légale, qu'elles soient stockées à Paris, à Dublin ou en Virginie.

Concrètement, cela concerne les grands fournisseurs de cloud, de messagerie et d'IA dont la maison mère est américaine, y compris lorsqu'ils exploitent des centres de données en Europe.

Ce qu'il ne permet pas

Le Cloud Act n'est pas un accès libre et permanent. Il s'inscrit dans des procédures judiciaires, avec un mandat, pour des enquêtes. La loi prévoit aussi qu'un fournisseur peut contester une demande qui contredirait le droit d'un pays partenaire, dans certaines conditions. Et il ne concerne pas les entreprises qui ne sont pas soumises au droit américain.

D'autres textes américains, notamment ceux qui encadrent le renseignement extérieur, posent des questions comparables, et ce sont eux qui sont au cœur des débats européens sur les transferts de données. Pour un dirigeant, l'idée à retenir est la même : un fournisseur américain peut être contraint par son droit national, quel que soit l'endroit où il range vos données.

Pourquoi ça compte encore plus avec l'IA

Avec un assistant IA, vous ne stockez pas seulement des fichiers. Vous envoyez au fournisseur le contenu de vos questions et les documents que vous lui faites lire : un contrat en cours de négociation, une liste de prix, le dossier d'un salarié, un plan industriel. Ces échanges peuvent être conservés pour un temps, selon les conditions du contrat. Le volume et la sensibilité de ce qui transite augmentent nettement.

Pour la plupart des usages, le risque d'une demande judiciaire américaine qui vous viserait est faible. Mais pour certains secteurs (défense, industrie sensible, santé, professions soumises au secret), ou pour des clients qui l'exigent contractuellement, la question n'est pas théorique. Et elle se pose aussi en termes de dépendance : un fournisseur peut changer ses conditions, ses prix ou ses priorités.

Et le RGPD dans tout ça ?

Le RGPD et le Cloud Act ne se répondent pas directement, et c'est bien le problème. Le premier encadre ce que vous, responsable de traitement, faites des données personnelles et à qui vous les confiez. Le second s'impose à votre fournisseur s'il relève du droit américain. Vous pouvez donc avoir un contrat parfaitement conforme au RGPD avec un prestataire qui, dans certaines circonstances, sera tenu par une autre loi. Pour les données personnelles, votre registre de traitements doit de toute façon indiquer les sous-traitants et les éventuels transferts hors de l'Union. C'est un bon point de départ : si vous ne savez pas remplir la ligne, c'est qu'il faut poser la question au fournisseur.

Les trois options, honnêtement

Un fournisseur américain, sous contrat entreprise

C'est souvent le plus simple et le plus puissant. Les offres professionnelles prévoient des engagements sur la non-utilisation de vos données pour entraîner les modèles et sur leur durée de conservation. Elles restent soumises au droit américain.

Un fournisseur européen, hébergé en Europe

Il existe des fournisseurs de modèles et d'hébergement dont la maison mère est européenne. Ils ne relèvent pas du Cloud Act. Vérifiez quand même la chaîne complète : un fournisseur européen qui s'appuie sur un cloud américain réintroduit le problème.

Une IA installée chez vous

Le modèle tourne sur un serveur dans vos locaux, et aucune donnée ne part chez un fournisseur d'IA. C'est ce que nous installons avec notre offre d'IA locale, matériel compris, en trois tailles : un poste, une équipe de 5 à 10 personnes, ou jusqu'à 50. Les modèles utilisés (Mistral, gpt-oss, Gemma) sont ouverts et tournent sans connexion à leur éditeur. Vous gagnez en maîtrise, vous acceptez en contrepartie des modèles un peu moins puissants que les plus grands du marché, et un matériel à entretenir.

Les questions à se poser

• Quelles données confierez-vous à l'IA ? Classez-les : publiques, internes, confidentielles, soumises au secret.
• Vos clients ou vos assureurs vous imposent-ils des exigences sur l'hébergement ?
• Qui est la maison mère de chacun de vos fournisseurs, et de leurs propres sous-traitants ?
• Que se passe-t-il si un fournisseur change ses conditions demain ? Pouvez-vous partir ?

Il n'y a pas de réponse unique : beaucoup d'entreprises combinent un outil américain pour les usages courants et une IA hébergée en France ou chez elles pour les données sensibles. C'est l'approche de notre offre IA souveraine. Pour faire le tri dans vos usages, prenez un rendez-vous de 30 minutes.