Envoyer un prompt à un modèle hébergé, c’est confier son contenu à un fournisseur. La question n’est pas seulement « où est le datacenter », mais « à quel droit est soumis celui qui l’exploite ».
Textes relevés en octobre 2026. Ce n’est pas un conseil juridique.
Le CLOUD Act vise le contrôle, pas la localisation
Le CLOUD Act a été ajouté au code des États-Unis par la Pub. L. 115-141 du 23 mars 2018. Sa section 18 U.S.C. 2713 précise que les obligations de conservation ou de communication prévues par ce chapitre, déclenchées par un mandat ou une injonction, portent sur les données en « possession, custody, or control » du fournisseur, qu’elles soient situées aux États-Unis ou à l’extérieur.
Le recours spécifique (18 U.S.C. 2703, paragraphe h) permet au fournisseur de contester l’injonction sous 14 jours, pour un client qui n’est ni « United States person » ni résident américain, si la divulgation créerait un risque sérieux de violer le droit d’un « qualifying foreign government ». Ce statut suppose un accord exécutif en vigueur avec les États-Unis. La page du ministère américain de la Justice (mise à jour du 24 octobre 2023) ne mentionne d’accord signé qu’avec le Royaume-Uni et l’Australie ; avec l’Union européenne, seulement des négociations, reprises le 3 mars 2023.
Ce que dit le RGPD
Le chapitre V encadre les transferts hors UE (article 44) : décision d’adéquation (article 45) ou garanties appropriées, comme les clauses types (article 46).
L’article 48 n’admet une décision d’une juridiction ou d’une autorité d’un pays tiers exigeant un transfert ou une divulgation que si elle est fondée sur un accord international, tel qu’un traité d’entraide judiciaire, en vigueur entre ce pays et l’Union ou un État membre, sans préjudice des autres bases de transfert du chapitre V.
Un tel accord existe : l’accord d’entraide judiciaire UE-États-Unis, en vigueur depuis le 1er février 2010, organise des demandes transmises entre autorités. Une injonction CLOUD Act, elle, s’adresse directement au fournisseur.
Le cadre UE-États-Unis en vigueur
La décision d’exécution (UE) 2023/1795 du 10 juillet 2023 constate un niveau de protection adéquat pour les données transférées vers les organisations américaines inscrites sur la « liste du cadre de protection des données », tenue par le ministère américain du Commerce.
EUR-Lex la donne en vigueur. Le Tribunal de l’Union a rejeté le recours en annulation le 3 septembre 2025 (T-553/23) ; un pourvoi est pendant devant la Cour de justice (C-703/25 P) à la date du relevé.
SecNumCloud : l’exigence en plus
SecNumCloud est le référentiel de l’ANSSI pour qualifier des prestataires de cloud (version 3.2). L’ANSSI indique qu’il protège les données sensibles contre « l’application de lois extraterritoriales ».
Le chapitre 19.6 fonde cette protection sur la soumission exclusive du prestataire au droit de l’Union : siège social dans un État membre, entités hors UE minoritaires au capital, recours encadré à des sociétés tierces hors UE, autonomie d’exploitation, indépendance vis-à-vis des ingérences. Selon l’ANSSI, la qualification « ne préjuge pas du niveau de sécurité des services numériques des clients ».
Trois options pour un usage IA
- Cloud qualifié SecNumCloud : à vérifier offre par offre dans le catalogue de l’ANSSI.
- Hébergement dans l’UE : règle la localisation, pas le contrôle. Le contrat de sous-traitance (article 28 du RGPD) et la structure du fournisseur comptent aussi.
- IA locale : pour des données personnelles ou sensibles, la CNIL juge le déploiement sur site « plus opportun et plus sécurisé » (détails dans ce billet). Pour dimensionner, voir la mémoire nécessaire à un LLM local et servir le modèle par une API locale.
Ce qu’il faut retenir
- Le CLOUD Act suit le contrôle du fournisseur, pas l’emplacement des données.
- L’article 48 du RGPD exige un accord international ; l’injonction CLOUD Act ne passe pas par l’entraide de 2003.
- Le cadre UE-États-Unis est en vigueur, avec un pourvoi pendant.
- SecNumCloud traite explicitement le droit extra-européen ; l’hébergement UE seul, non.
In English
A prompt sent to a hosted model is data entrusted to a third party. CLOUD Act, transfers under the GDPR, the EU-US framework, SecNumCloud: what the texts say, and three hosting options. Under a warrant, a provider must preserve or disclose data in its possession, custody or control, whether it sits in the United States or elsewhere.
Sources & vérification
Relevé sur : Textes officiels (EUR-Lex, CNIL, ANSSI), relevé 2026-10
- Règlement (UE) 2016/679 (RGPD), EUR-Lex eur-lex.europa.eu
- Accord d'entraide judiciaire UE-États-Unis, synthèse EUR-Lex eur-lex.europa.eu
- Décision d'exécution (UE) 2023/1795, cadre de protection des données UE-États-Unis, EUR-Lex eur-lex.europa.eu
- Commission européenne, EU-US data transfers commission.europa.eu
- Tribunal de l'Union européenne, arrêt du 3 septembre 2025, affaire T-553/23 infocuria.curia.europa.eu
- Cour de justice de l'Union européenne, fiche de l'affaire C-703/25 P curia.europa.eu
- 18 U.S.C. 2713 (CLOUD Act), govinfo govinfo.gov
- 18 U.S.C. 2703, paragraphe (h), govinfo govinfo.gov
- U.S. Department of Justice, CLOUD Act Resources (mise à jour du 24 octobre 2023) justice.gov
- ANSSI, FAQ avant de se lancer dans la qualification SecNumCloud cyber.gouv.fr
- ANSSI, SecNumCloud pour les fournisseurs de services cloud cyber.gouv.fr
- ANSSI, référentiels d'exigences pour la qualification cyber.gouv.fr
- CNIL, questions-réponses sur l'utilisation d'un système d'IA générative cnil.fr