← Tous les articles souveraineté des données

Cloud Act : héberger en France ne protège pas vos données

Par Ayoub El Amri · 5 août 2026

Votre prestataire informatique vous a rassuré : vos données sont hébergées en France, dans un datacenter européen, sous contrat de droit français. Le 10 juin 2025, devant une commission d'enquête du Sénat, cette réponse a cessé d'être suffisante.

Ce qui détermine l'accès d'une autorité étrangère à vos dossiers n'est pas l'endroit où ils sont stockés, mais la nationalité de l'entreprise qui les gère. Un fichier posé sur un serveur parisien, administré par une société de droit américain, reste dans le champ du Cloud Act. C'est une question de juridiction, pas de géographie — et c'est précisément la confusion sur laquelle repose l'argument commercial du « datacenter en France ».

Ce qui s'est dit exactement devant le Sénat

Le 10 juin 2025, la commission d'enquête sénatoriale sur les coûts et modalités de la commande publique a entendu deux cadres de Microsoft France : Anton Carniaux, directeur des affaires publiques et juridiques, et Pierre Lagarde, directeur technique du secteur public.

Devant une commission d'enquête, les personnes entendues déposent sous serment — ce détail de procédure explique pourquoi cette audition a eu un tel écho. Interrogé directement sur le sujet, Anton Carniaux a reconnu qu'il ne pouvait pas garantir que des données publiques françaises ne seraient jamais transmises au gouvernement américain, et qu'en cas de décision de justice américaine contraignante, l'entreprise devrait remettre les données.

Il a également indiqué que cela ne s'était jamais produit pour des données françaises, et décrit un processus interne de filtrage des demandes gouvernementales : Microsoft dit rejeter les requêtes non fondées, négocier avec les autorités américaines, et notifier les clients concernés.

Deux choses coexistent donc dans cette réponse, et il faut les tenir ensemble pour raisonner juste : une exposition juridique structurelle, et une absence de cas connu à ce jour. Le premier point est ce qui doit guider vos décisions ; le second est ce qui doit vous éviter de paniquer.

Pourquoi « hébergé en France » ne répond pas à la question

Le Cloud Act — Clarifying Lawful Overseas Use of Data Act — est une loi fédérale américaine de 2018. Elle oblige les entreprises soumises au droit américain à communiquer aux autorités judiciaires les données qu'elles détiennent, y compris lorsque ces données sont stockées à l'étranger.

Le critère de rattachement est l'entreprise, pas le disque dur. D'où une conséquence que la plupart des contrats ne formulent jamais explicitement :

• une donnée stockée à Roubaix mais administrée par une filiale d'un groupe américain entre dans le champ du texte ;
• une certification technique — ISO 27001, hébergement de données de santé, localisation européenne — atteste d'un niveau de sécurité, pas d'une immunité juridique ;
• une clause contractuelle de confidentialité n'a pas le pouvoir d'écarter une obligation légale à laquelle son signataire est soumis.

Ce dernier point mérite d'être posé nettement, parce qu'il est contre-intuitif : un engagement contractuel ne neutralise pas une loi. Une entreprise ne peut pas vous promettre valablement de désobéir à son propre droit national.

Le test en trois questions

Voici la manière la plus rapide que je connaisse d'évaluer un outil, sans compétence juridique particulière. Prenez la liste des logiciels où passent vos dossiers clients — messagerie, stockage de fichiers, visioconférence, outil métier, assistant d'écriture — et posez-vous ces trois questions dans cet ordre.

1. Qui édite le logiciel, et de quel droit relève cette société ? Pas le revendeur, pas l'intégrateur : l'éditeur. Cherchez la maison mère. Si la réponse est une société américaine ou une filiale d'un groupe américain, le Cloud Act s'applique, où que soient les serveurs.

2. La donnée quitte-t-elle votre réseau pour être traitée ? Un traitement à distance implique une transmission. La question n'est pas « est-ce chiffré en transit » mais « qui détient la donnée en clair au moment du traitement ». Pour un assistant qui lit vos documents, la réponse est celle qui compte.

3. Que se passe-t-il si vous coupez internet ? C'est la question la plus révélatrice, et personne ne la pose. Si l'outil cesse de fonctionner, c'est qu'il dépend d'une infrastructure que vous ne maîtrisez pas. S'il continue, la donnée n'est jamais sortie.

Un outil qui échoue à la première question est exposé, quoi qu'en dise la brochure. Un outil qui passe les trois est hors d'atteinte du Cloud Act, parce qu'aucune entreprise soumise au droit américain ne détient jamais vos données.

Ce test ne remplace pas une analyse d'impact, et il ne dit rien de la qualité de l'outil. Il vous dit seulement, en dix minutes, lesquels de vos logiciels posent la question — et donc sur lesquels il vaut la peine de creuser.

Ce que le guide du CNB exige depuis mars 2026

Pour les avocats, le sujet est sorti du registre de la prudence pour entrer dans celui de la déontologie. Le Conseil national des barreaux a publié le 17 mars 2026 son premier guide consacré à la déontologie et à l'intelligence artificielle.

Le guide ne crée pas un droit spécial de l'IA : il applique les principes existants — secret professionnel, RGPD, compétence, prudence, indépendance, information du client — à des outils nouveaux. Trois exigences en ressortent directement :

• aucune donnée couverte par le secret professionnel ne doit être soumise à une IA sans pseudonymisation préalable ;
• aucune donnée client identifiable ne peut passer par un service d'IA à moins que les conditions de traitement ne garantissent une confidentialité absolue ;
• l'avocat doit relire, vérifier et valider chaque contenu produit par un outil avant de l'utiliser ou de le transmettre, et conserver la maîtrise intellectuelle de son travail.

Lisez la deuxième exigence à la lumière de l'audition du 10 juin : si l'éditeur lui-même explique sous serment qu'il ne peut pas garantir la non-transmission, la « confidentialité absolue » est difficile à établir. La conséquence pratique est simple : soit vous pseudonymisez avant, systématiquement, soit le traitement ne sort pas de votre réseau.

Les experts-comptables ne sont pas soumis au même texte, mais la logique de responsabilité est comparable : vous détenez des liasses, des prévisionnels et des stratégies financières, et c'est vous — non votre fournisseur — qui êtes responsable du traitement au sens du RGPD.

Ce que ça ne veut pas dire

Trois précisions, parce qu'un article qui vous laisse dans la panique ne vous sert à rien.

Aucun de ces outils n'est interdit. Le Cloud Act crée une exposition, pas une illégalité. La question est de savoir quelles données vous acceptez d'y exposer.

Une demande américaine est ciblée et motivée. Il ne s'agit pas d'un accès permanent ni d'une surveillance de masse : le risque est structurel, pas quotidien. Et à ce jour, aucun cas de transmission de données françaises n'a été rendu public.

Tout n'a pas le même niveau de sensibilité. Un planning d'équipe et un dossier de contentieux n'appellent pas la même réponse. La bonne démarche est de trier, pas de tout déménager.

Par où commencer

Faites le test en trois questions sur vos cinq outils les plus utilisés. Vous obtiendrez en une demi-heure une carte de votre exposition réelle, et vous saurez sur quoi arbitrer. Pour la plupart des structures, deux ou trois usages seulement méritent de rester entièrement à l'intérieur du réseau — les autres peuvent continuer comme avant.

C'est exactement le raisonnement que suit notre approche de l'IA hébergée chez vous : faire tourner l'assistant sur votre propre infrastructure pour les usages qui touchent aux données sensibles, et ne rien changer là où ce n'est pas nécessaire. Notre propre politique de confidentialité décrit le traitement que nous appliquons à nos données.

---

Sources primaires

• Sénat, commission d'enquête sur les coûts et modalités de la commande publique, audition de Microsoft France du 10 juin 2025 : senat.fr
• Conseil national des barreaux, guide sur la déontologie et l'intelligence artificielle, 17 mars 2026 : cnb.avocat.fr
• Clarifying Lawful Overseas Use of Data Act, loi fédérale américaine, 2018

Consulté le 5 août 2026.