Cloud Act, RGPD, NIS2 : pourquoi héberger vos données chez un acteur américain est devenu un pari risqué

Vos données sont peut-être légales en Europe. Elles restent accessibles depuis Washington.

En 2026, la question n'est plus théorique. Elle est opérationnelle, juridique, et pour certaines ETI, existentielle. Confier son infrastructure à un fournisseur privé américain — qu'il s'agisse du stockage, de la messagerie ou des outils de collaboration — c'est accepter une règle du jeu que vous n'avez pas écrite, que vous ne maîtrisez pas, et que vous ne pouvez pas modifier.

Je vais être direct : il faut arrêter de traiter ce sujet comme une préoccupation d'expert en conformité. C'est un sujet de direction générale.

Le Cloud Act n'a pas disparu. Il s'est banalisé.

Le Cloud Clarifying Lawful Overseas Use of Data Act — adopté aux États-Unis en 2018 — autorise les autorités américaines à exiger d'un fournisseur américain l'accès à des données stockées *n'importe où dans le monde*, y compris sur des serveurs physiquement localisés en Europe. Sans notification préalable à l'entreprise concernée. Sans recours immédiat.

Certains DSI ont longtemps espéré que les accords diplomatiques — notamment le Data Privacy Framework — viendraient neutraliser ce risque. En 2026, cette illusion est difficile à maintenir. Le DPF reste fragile juridiquement, contesté devant les juridictions européennes, et surtout : il ne s'applique pas aux données soumises à des injonctions de sécurité nationale américaine. Le Cloud Act, lui, ne connaît pas de frontière.

Concrètement : si votre CRM, votre ERP ou votre messagerie tourne chez un acteur dont la maison mère est soumise au droit américain, vos données clients, vos contrats, vos échanges internes peuvent être légalement accessibles à une administration étrangère. Sans que vous le sachiez. Sans que vous puissiez vous y opposer efficacement.

C'est un risque de conformité RGPD direct — un transfert de données hors UE non consenti. C'est aussi un risque concurrentiel réel.

NIS2 et DORA ont changé la donne pour les ETI. Beaucoup ne l'ont pas encore intégré.

Avec l'entrée en application effective de NIS2 et de DORA en Europe, le périmètre des entités soumises à des obligations renforcées de cybersécurité s'est considérablement élargi. Des ETI qui ne se percevaient pas comme des opérateurs critiques se retrouvent désormais dans le champ de ces réglementations — soit directement, soit par capillarité, parce qu'elles sont sous-traitantes d'un acteur régulé.

Ces textes imposent notamment une maîtrise documentée de la chaîne de sous-traitance numérique. Ce qui signifie : savoir où sont vos données, qui y a accès, sous quelle juridiction, et être capable de le prouver en cas d'audit.

Or, un contrat avec un fournisseur américain — même avec des clauses contractuelles types validées par la CNIL — ne vous protège pas contre une injonction émise au titre du Cloud Act. Vos obligations réglementaires européennes et la réalité juridique américaine sont structurellement incompatibles. Ce n'est pas une nuance. C'est une faille.

Scaleways, acteur européen de l'infrastructure cloud, l'exprime clairement dans ses communications : la souveraineté ne se décrète pas par contrat avec un fournisseur américain. Elle se construit par le choix de l'architecture.

La dépendance opérationnelle est le vrai verrou.

Le problème n'est pas seulement juridique. Il est stratégique. Après des années de déploiement d'outils américains — souvent par commodité, parfois par mimétisme —, de nombreuses ETI se retrouvent dans une dépendance opérationnelle qui rend toute migration douloureuse.

Formats propriétaires, intégrations natives, habitudes utilisateurs : le coût perçu du changement est élevé. C'est précisément sur ce levier que les acteurs dominants américains ont construit leur position. Ce n'est pas de la supériorité technique. C'est de l'enfermement structurel.

Il faut avoir l'honnêteté de le nommer ainsi pour commencer à s'en extraire.

Certaines ETI européennes l'ont compris et ont engagé des migrations progressives vers des solutions dont les éditeurs sont soumis exclusivement au droit européen. Pas pour des raisons idéologiques. Pour des raisons de gestion du risque — le même raisonnement qui pousse une direction financière à diversifier ses banques ou ses assureurs.

Ce que j'attends des DSI et RSSI en 2026.

Pas une migration totale du jour au lendemain. Pas un rejet idéologique de toute technologie américaine. Mais une cartographie honnête des dépendances critiques, une évaluation du risque d'extraterritorialité, et une roadmap de réduction progressive des expositions les plus sensibles.

Commencer par les données les plus critiques : données clients, données financières, propriété intellectuelle. Identifier quelles briques peuvent être remplacées par des équivalents européens souverains sans rupture opérationnelle majeure. Et documenter ces choix pour répondre aux exigences de NIS2 et DORA.

La souveraineté numérique n'est pas un luxe réservé aux grands groupes ou aux administrations publiques. C'est une composante de la résilience des ETI européennes. Et en 2026, celles qui ne l'ont pas encore intégré à leur stratégie SI prennent un risque que leurs dirigeants n'ont probablement pas mesuré.