Cloud Act : pourquoi héberger en Europe ne suffit pas

Vous demandez à un éditeur où partent vos données. La réponse arrive, rodée : « nos serveurs sont en Europe ». Elle sonne comme une réponse complète. Elle n'en est que la moitié. La localisation des serveurs vous dit où se trouvent les données. Elle ne vous dit rien de qui peut légalement en exiger la communication. Depuis 2018, une loi américaine a fait de cette seconde question celle qui détermine réellement votre exposition, et c'est précisément celle qu'aucun éditeur ne traite spontanément.

Ce guide explique ce que dit le Cloud Act, qui il vise réellement, pourquoi le Data Privacy Framework ne le neutralise pas, et comment vérifier concrètement qu'un outil SaaS ou IA se situe hors du droit américain.

Ce que dit vraiment le Cloud Act

Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) a été promulgué le 23 mars 2018, au sein de la loi de finances américaine. Il n'est pas sorti de nulle part : il a tranché une affaire que la Cour suprême des États-Unis était en train d'examiner.

Cette affaire commence en décembre 2013, quand Microsoft reçoit un mandat fondé sur le Stored Communications Act visant des courriels stockés dans un centre de données de Dublin. Microsoft refuse de les communiquer, au motif qu'un mandat américain ne peut pas atteindre des données stockées en Irlande. Le litige remonte jusqu'à la Cour suprême, qui tient audience en février 2018. Avant qu'elle ne puisse statuer, le Congrès adopte le Cloud Act, et l'affaire est déclarée sans objet.

Ce que le Cloud Act a changé tient en une clause. Il modifie le Stored Communications Act pour qu'un fournisseur soit tenu de conserver, sauvegarder ou communiquer les contenus et les données qui sont en sa possession, sous sa garde ou sous son contrôle, « que ces communications, données ou informations soient situées à l'intérieur ou à l'extérieur des États-Unis ».

Qui y est réellement soumis

Le Cloud Act ne vise pas « les entreprises américaines » comme étiquette. Il atteint tout fournisseur soumis à la juridiction des États-Unis, catégorie bien plus large que ne le supposent la plupart des acheteurs européens. Trois situations sont couramment concernées :

• Une société américaine, quelle que soit la localisation de son infrastructure. C'est le cas évident.
• Une filiale européenne d'une maison mère américaine. C'est le cas qui surprend. Le critère est le contrôle : lorsqu'une maison mère américaine contrôle son entité européenne, les données détenues par cette entité sont généralement considérées comme relevant du contrôle de la maison mère, et une injonction américaine peut les atteindre. Aucune décision de justice n'a tranché directement ce cas de figure, et certains éditeurs contestent le point. La réponse pratique est venue de Microsoft lui-même, voir plus bas. Immatriculer une SAS ou une GmbH ne construit pas, à soi seul, une muraille.
• Une société non américaine disposant d'une présence suffisante aux États-Unis pour être considérée comme soumise à leur juridiction.

La conséquence pratique est inconfortable mais simple : ce qui détermine votre exposition, c'est la nationalité juridique de la société qui exploite le service, et celle du groupe qui la contrôle. La localisation des serveurs est un détail en comparaison.

Ce n'est pas une question abstraite de contrats cloud. Cela concerne chaque outil de votre pile : le CRM qui contient votre pipeline, l'application de prise de notes qui contient vos réunions, l'assistant IA dans lequel vous collez vos documents, l'outil de dictée dans lequel vous dictez vos dossiers. Ce dernier est le cas que presque personne n'anticipe, parce que l'audio dicté est souvent ce qu'un professionnel produit de plus confidentiel dans sa journée.

Un risque qui n'est pas théorique : Microsoft devant le Sénat

Si tout cela reste abstrait, une audition a tranché. En juin 2025, entendu sous serment par une commission d'enquête du Sénat français, le directeur juridique de Microsoft France a reconnu qu'il ne pouvait pas garantir que les données de citoyens français hébergées par l'entreprise ne seraient jamais transmises aux autorités américaines sans l'accord de la France.

Cet aveu vient d'un hyperscaler doté de centres de données européens considérables et de sa propre offre de souveraineté. Ce n'est pas l'argument d'un concurrent, c'est la réponse de l'éditeur lui-même, sous serment. Pour toute organisation qui manipule des dossiers confidentiels, cet échange vaut plus que cent pages marketing sur l'hébergement européen.

Le Data Privacy Framework répond à une autre question

Quand vous insistez auprès d'un éditeur américain sur la question des transferts, la réponse est en général le Data Privacy Framework (DPF), la décision d'adéquation adoptée par la Commission européenne le 10 juillet 2023. Une société américaine s'auto-certifie, et peut ensuite recevoir des données personnelles depuis l'Union européenne sans formalité supplémentaire. Sur le papier, le transfert est licite. Deux points méritent d'être connus avant de s'y fier.

D'abord, c'est le troisième dispositif du genre, et les deux précédents ont été annulés. Le Safe Harbor a été invalidé par la Cour de justice de l'Union européenne en octobre 2015 (arrêt Schrems I), puis le Privacy Shield en juillet 2020 (arrêt Schrems II), au motif que la surveillance américaine n'offrait pas aux Européens une protection substantiellement équivalente au droit de l'Union. Le DPF a survécu à un premier recours : le 3 septembre 2025, le Tribunal de l'Union européenne a rejeté le recours déposé par Philippe Latombe, député à l'Assemblée nationale et commissaire à la CNIL (affaire T-553/23). Mais cette décision a fait l'objet d'un pourvoi le 31 octobre 2025, aujourd'hui pendant devant la Cour de justice sous le numéro C-703/25 P. En août 2026, le pourvoi n'est toujours pas tranché, et les commentateurs n'attendent pas de décision avant fin 2026 au plus tôt. Fonder sa confidentialité sur un mécanisme déjà invalidé deux fois relève du pari, pas de la garantie.

Ensuite, et c'est plus fondamental, le DPF ne neutralise pas le Cloud Act. Les deux instruments répondent à des questions différentes. Le DPF rend licite le transfert commercial de données vers les États-Unis. Le Cloud Act encadre l'accès des autorités américaines à des données qu'un fournisseur détient déjà. Un éditeur peut être irréprochablement certifié DPF et recevoir malgré tout une injonction américaine valide le contraignant à communiquer. La conformité du transfert ne vous protège pas de l'accès.

L'autre fondement : la section 702 du FISA

Le Cloud Act n'est pas la seule voie. La section 702 du Foreign Intelligence Surveillance Act permet aux agences de renseignement américaines de contraindre les fournisseurs de services de communication électronique à leur remettre les communications de personnes non américaines situées hors des États-Unis. Autrement dit, des Européens. C'est précisément l'insuffisance des garanties entourant cette surveillance qui a conduit la Cour de justice à annuler le Privacy Shield dans l'arrêt Schrems II.

La section 702 traverse une zone de turbulences législatives en 2026. Elle a été renouvelée pour la dernière fois en avril 2024 par le Reforming Intelligence and Securing America Act, assorti d'une clause d'extinction inhabituellement courte de deux ans, et le Congrès n'a pas arrêté de reconduction durable depuis. Cette instabilité ne change rien, en pratique, pour un client européen : comme l'a documenté le Brennan Center, la collecte se poursuit sur le fondement de certifications déjà délivrées par la juridiction FISA, valables jusqu'en mars 2027 indépendamment de l'échéance législative. Miser sur l'extinction de ce fondement n'est pas une stratégie.

Ce que « souverain » veut dire, en quatre vérifications

« Souverain » est devenu un mot de marketing. Voici comment le tester, dans l'ordre qui compte.

1. À qui appartient l'éditeur. Cherchez la société au registre du commerce : forme juridique, siège, capital social, et surtout présence éventuelle d'une maison mère américaine ou d'un groupe contrôlé depuis les États-Unis au-dessus. Une marque européenne peut être une filiale détenue à 100 %. Cette vérification prend cinq minutes et répond à l'essentiel.
2. Qui sont les sous-traitants, et où ils opèrent. L'hébergement propre de l'éditeur ne raconte que rarement toute l'histoire. Demandez la liste des sous-traitants et lisez-la : le fournisseur de modèles, la base de données, la couche d'authentification, le prestataire de paiement. Un seul maillon américain suffit à ramener dans le champ les données qu'il touche.
3. Contenu et données de compte. Les deux sont presque toujours traités différemment. Un éditeur peut réellement traiter vos documents en France et faire malgré tout transiter les données de compte, adresse e-mail, authentification, facturation, par des prestataires américains. Cela peut vous convenir parfaitement, mais vous devez le savoir plutôt que le découvrir. Demandez à l'éditeur de tracer la ligne explicitement.
4. Ce que le contrat engage réellement. Un contrat de sous-traitance au titre de l'article 28 du RGPD doit nommer les sous-traitants ultérieurs, préciser où chacun traite les données, et engager l'éditeur à vous notifier avant tout changement. Un éditeur qui refuse de nommer sa chaîne vous dit quelque chose.

Le piège propre aux outils d'IA

Il existe un mode de défaillance sur lequel les acheteurs européens d'outils d'IA butent systématiquement, et il mérite d'être énoncé à part.

Un éditeur peut être une véritable société européenne, héberger son application sur une véritable infrastructure européenne, et envoyer malgré tout chacun de vos documents aux États-Unis. Cela se produit au moment de l'appel au modèle. Si l'intelligence du produit provient d'une API exploitée par OpenAI, Anthropic, Google ou un cloud contrôlé depuis les États-Unis, alors votre contenu quitte le périmètre européen à l'instant précis où le produit devient utile. L'hébergement européen est bien réel, et il est aussi hors sujet : il abrite l'interface, pas la charge utile.

Pour la dictée vocale, c'est presque la norme. La plupart des outils du marché, y compris plusieurs présentés comme respectueux de la vie privée, transcrivent en appelant une API de reconnaissance vocale américaine. L'audio dicté, souvent ce qu'un professionnel produit de plus confidentiel dans sa journée, part directement dans le champ d'application.

Six questions à poser par écrit à tout éditeur

1. Quelle entité juridique édite le service, et est-elle contrôlée par une maison mère non européenne ?
2. Où mon contenu est-il traité, et par quelles sociétés ? Pas « en Europe », mais la liste nominative.
3. Quels modèles d'IA utilisez-vous, et qui les exploite ? Le point de rupture propre aux produits d'IA.
4. Lesquelles de mes données sont du contenu, lesquelles sont des données de compte, et sont-elles traitées différemment ?
5. Êtes-vous, ou l'un de vos sous-traitants, soumis au Cloud Act ou à une autre loi extraterritoriale ? Un éditeur européen sans maison mère américaine peut répondre non, simplement.
6. Fournissez-vous un DPA au titre de l'article 28 nommant vos sous-traitants et vous engageant à notifier tout changement ?

Les réponses doivent arriver par écrit et sans détour. Là où ce n'est pas le cas, vous avez votre réponse quand même. Pour le versant RGPD de la même analyse, notre guide sur la dictée vocale et le RGPD traite des obligations qui pèsent sur l'outil lui-même, et notre article sur l'AI Act explique pourquoi la réglementation de l'IA ne dit rien de tout cela.

La position de Fast Dictate

Fast Dictate est conçu pour répondre à ces six questions sur une page plutôt qu'au cours d'un rendez-vous commercial.

• L'éditeur est une société française. Synapse Crew SAS, immatriculée au RCS de Paris, sans maison mère américaine. Elle n'est pas soumise au Cloud Act.
• Offre Pro : le contenu dicté reste en France. Audio et transcriptions sont traités exclusivement sur des serveurs situés en France, sur une infrastructure certifiée ISO/IEC 27001:2022.
• Les modèles tournent en France également. La transcription et le post-traitement linguistique sont opérés sur une infrastructure française, sans aucun appel à une API d'IA hors de France pour traiter ce contenu. C'est le point où la plupart des outils fuient, nous l'énonçons donc explicitement.
• Zéro conservation sur toutes les offres. L'audio est transcrit puis immédiatement supprimé, et n'est jamais réutilisé pour entraîner des modèles.
• La nuance honnête sur les métadonnées. Les données techniques de compte, adresse e-mail, authentification, statut d'abonnement, passent par des sous-traitants internationaux encadrés par les clauses contractuelles types de la Commission européenne. Aucun contenu dicté ne transite par eux. Le détail complet figure sur notre page Sécurité, et le DPA est fourni aux clients de l'offre Pro.

Questions fréquentes