CLOUD Act

Passé aux États-Unis en 2018, le CLOUD Act permet à l'administration américaine d'exiger les données détenues par une entreprise relevant de la juridiction américaine, où que ces données soient physiquement stockées. Le lieu de stockage, la garantie habituellement invoquée d'un centre de données européen, n'est pas la variable déterminante. C'est la juridiction de la société mère qui compte.

Cette distinction a tranché un contrat. Le 16 juillet 2026, Airbus a retenu Scaleway, la filiale cloud et IA d'iliad, comme son « cloud de confiance » pour la conception aéronautique, l'ingénierie, la production et la propriété intellectuelle, concluant un appel d'offres ouvert début janvier 2026 qui comparait dix candidats. Les garanties juridiques et de gouvernance, y compris l'immunité face aux législations extraterritoriales, ont été le plus discriminant des trois critères. Microsoft, Google et AWS offrent une capacité qu'aucun fournisseur européen n'égale sur tous les plans, et aucun d'eux ne peut exempter un client du CLOUD Act.

Vincent Strubel, directeur général de l'ANSSI, a fait le même constat côté régulateur le 6 janvier 2026. Les exigences de SecNumCloud (un fournisseur européen par le siège social et la capitalisation, des données inaccessibles aux sous-traitants non européens, une autonomie opérationnelle) existent pour résister aux injonctions du CLOUD Act ou du FISA. Strubel a lui-même posé la limite : « SecNumCloud ne signifie pas l'absence de dépendance. »

Cette loi a resurgi dans la réaction européenne à l'AI Kill Switch Act, où Virkkunen l'a invoquée. L'argument de souveraineté qu'elle ancre n'est pas resté cantonné à la couche infrastructure : la dépendance passe désormais par le modèle et l'agent, et aucun dispositif de qualification ne couvre encore ce terrain.