Cloud Act : définition
Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) est une loi américaine adoptée en 2018. Elle permet aux autorités des États-Unis de contraindre un fournisseur de services soumis au droit américain à communiquer des données dont il a la garde ou le contrôle, quel que soit le lieu où ces données sont physiquement stockées. Un fournisseur relevant du droit américain peut donc être visé par une telle demande même si les serveurs concernés se trouvent en dehors des États-Unis. Cette page est descriptive et ne constitue pas un conseil juridique.
Ce que la loi prévoit
Avant le Cloud Act, la portée des demandes d'accès des autorités américaines faisait débat lorsque les données étaient stockées à l'étranger. La loi a clarifié ce point : ce qui compte est le lien entre le fournisseur et le droit américain, et non l'emplacement des serveurs. Un prestataire soumis à cette juridiction peut être tenu de produire des données stockées dans un centre situé, par exemple, en Europe.
Le texte prévoit des mécanismes procéduraux et, dans certains cas, des accords entre États pour encadrer ces demandes. Il n'autorise pas un accès automatique ou illimité : une base légale et une procédure restent requises. Le point structurant demeure toutefois que le rattachement juridique du fournisseur peut l'emporter sur la localisation physique des données.
Conséquence sur la résidence des données en Europe
La conséquence pratique concerne directement la souveraineté des données. Choisir une région de stockage européenne ne suffit pas à mettre des données hors de portée du Cloud Act si l'entité qui les contrôle relève du droit américain. La résidence en Europe protège l'emplacement, pas nécessairement le contrôle juridique.
Les grands fournisseurs d'infrastructure et d'assistants d'IA (Microsoft, Google, AWS, ainsi que des services comme ChatGPT ou Claude) sont cités ici à titre d'exemples neutres : plusieurs relèvent, à des degrés divers, du droit américain. Cette réalité alimente la réflexion sur l'endroit où une organisation choisit de faire vivre ses informations, un sujet développé dans l'article ta mémoire ne devrait vivre dans aucune IA.
FAQ
Le Cloud Act s'applique-t-il aux données stockées en Europe ?
Il peut s'appliquer si le fournisseur qui contrôle ces données relève du droit américain, même lorsque les serveurs se trouvent en Europe. C'est le rattachement juridique du fournisseur qui est déterminant, pas seulement l'emplacement des serveurs.
La résidence des données en Europe suffit-elle à échapper au Cloud Act ?
Non. La résidence concerne le lieu de stockage. Si l'entité contrôlante dépend du droit américain, la localisation européenne ne suffit pas à écarter une demande fondée sur le Cloud Act.