Cloud Act et IA en entreprise : ce que vos outils IA exposent vraiment
Les données confiées à ChatGPT Enterprise, GitHub Copilot ou Claude Code sont traitées par des fournisseurs soumis au droit américain. La localisation européenne ne suffit pas, à elle seule, à écarter les risques liés à la chaîne juridique du fournisseur.
Publié le 10 mai 2026 · Mis à jour le 3 août 2026 · Équipe Souver
En résumé : le Cloud Act (loi américaine de 2018) permet aux autorités US d'exiger les données détenues par toute société de droit américain, où que soient les serveurs. Le RGPD ne prime pas dessus. Un LLM opéré par OpenAI, Anthropic, Google ou Microsoft y est donc soumis même hébergé en France. Une architecture et une chaîne de sous-traitance françaises réduisent cette exposition. Les configurations souveraines de Souver sont définies dans le devis et le DPA.
- ✓Inférence française selon l'offre
- ✓Infrastructure GPU SNC 3.2
- ✓Flux documentés dans le DPA
- ✓Hors juridiction Cloud Act & FISA
Qu'est-ce que le Cloud Act ?
Le Clarifying Lawful Overseas Use of Data Act (Cloud Act), promulgué aux États-Unis en 2018, autorise les autorités américaines à exiger d'une entreprise soumise au droit américain qu'elle transmette des données stockées sur ses serveurs, quelle que soit leur localisation géographique. Un simple datacenter en France ne suffit pas : si l'opérateur est une société américaine ou contrôlée par des intérêts américains, le Cloud Act s'applique.
Ce que le Cloud Act permet concrètement
Les autorités américaines (FBI, DOJ, agences de renseignement) peuvent émettre une National Security Letter ou un mandat FISA contraignant Microsoft, Google, Amazon, OpenAI ou Anthropic à livrer les données de vos utilisateurs sans vous en informer préalablement. Cette obligation prévaut sur les contrats privés et sur le RGPD.
Pourquoi le RGPD ne suffit pas
Le RGPD est une réglementation européenne de droit civil. Le Cloud Act est une loi fédérale américaine de droit pénal. En cas de conflit, la loi pénale américaine prime sur les contrats de droit civil européens. Les clauses contractuelles types (CCT) et les engagements de confidentialité de vos fournisseurs US ne vous protègent pas contre une injonction Cloud Act.
Pourquoi le Cloud Act concerne spécifiquement vos outils IA
L'IA générative crée un vecteur d'exposition inédit : vous envoyez activement vos données les plus sensibles vers des serveurs tiers à chaque utilisation.
Les prompts contiennent vos données les plus sensibles
Un développeur qui utilise GitHub Copilot ou Claude Code envoie son code propriétaire, ses architectures système et ses secrets de configuration vers des serveurs Anthropic ou Microsoft soumis au Cloud Act. Un analyste financier qui interroge ChatGPT Enterprise expose ses modèles de valorisation et ses données clients.
Les LLMs US sont structurellement soumis au Cloud Act
OpenAI (Microsoft), Anthropic, Google DeepMind, tous sont constitués en droit américain. Même si leur inférence est parfois déployée en Europe, la société opératrice reste soumise au Cloud Act. Un datacenter en Irlande ne change rien à la juridiction applicable sur les données traitées.
Le risque est opérationnel, pas seulement théorique
Les secteurs réglementés (finance, santé, défense, secteur public) font face à des audits de conformité de plus en plus précis sur la gestion des risques tiers liés à l'IA. DORA exige la cartographie et la maîtrise de tous les prestataires IT critiques. Un LLM soumis au Cloud Act constitue un risque tiers non maîtrisé documentable dans un rapport d'audit.
Secteurs les plus exposés
Ces secteurs combinent des obligations réglementaires fortes et des données à très haute valeur stratégique, les deux critères qui rendent le risque Cloud Act IA concret et documentable.
Finance (DORA)
DORA impose de documenter et maîtriser toute la chaîne de sous-traitance IT. Un LLM soumis au Cloud Act constitue un risque tiers non contrôlé.
Santé (HDS)
Données patients, diagnostics assistés par IA : leur transmission à un LLM US expose l'établissement à un risque juridique majeur et à la perte de la certification HDS.
Défense & BITD
Secrets industriels, spécifications techniques, code embarqué : le moindre prompt envoyé à Claude Code ou GitHub Copilot peut exposer des données sensibles aux autorités américaines.
Secteur public
La doctrine Cloud de l'État impose de n'utiliser que des solutions immunisées contre les lois extraterritoriales pour les données sensibles ou de souveraineté.
Énergie & NIS2
Opérateurs soumis à NIS2 : la cartographie des actifs et les données d'exploitation envoyées à un LLM US créent une exposition documentée dans les rapports d'audit.
Comment se protéger du Cloud Act pour l'IA
Réduire l'exposition suppose d'examiner l'opérateur, l'infrastructure, les sous-traitants et les flux réels. Souver permet de contractualiser un périmètre d'inférence français. Pourquoi cette souveraineté est devenue un enjeu stratégique, à la lumière de l'audition d'Arthur Mensch à l'Assemblée nationale.
Inférence souveraine
Infrastructure GPU SNC 3.2
Frontière et Contrôle peuvent utiliser une infrastructure SNC 3.2 en France. Le fournisseur et le service qualifié retenus sont identifiés dans le devis.
Localisation des données
Localisation contractualisée
Les données d'inférence restent en France dans la configuration souveraine. Les flux annexes du site, du paiement ou du support sont documentés séparément.
Chaîne juridique
Chaîne juridique documentée
Le contrat identifie les rôles, sous-traitants, localisations et garanties applicables. Cette documentation alimente votre propre analyse DORA, HDS, NIS2 et Cloud Act.
Alternative souveraine à
Claude Code · ChatGPT · Copilot
Souver propose des agents pour les développeurs et les équipes métier, avec des modèles SOTA et un périmètre d'inférence français selon l'offre.
Questions fréquentes
- Le RGPD protège-t-il contre le Cloud Act ?
- Non. Le RGPD encadre les données personnelles au sein de l'UE, mais il ne prime pas sur le Cloud Act américain. Un fournisseur de droit américain peut être contraint de livrer vos données aux autorités US, même si les serveurs sont en France. Le Cloud Act s'applique dès qu'une société est constituée sous droit américain.
- Un LLM hébergé en France est-il soumis au Cloud Act ?
- Pas nécessairement : cela dépend de la nationalité juridique du fournisseur, pas de la localisation physique des serveurs. Si le modèle est opéré par une société américaine (OpenAI, Anthropic, Google, Microsoft), le Cloud Act s'applique même si les GPU sont en France.
- Quels secteurs sont les plus exposés au risque Cloud Act IA ?
- Finance (DORA), santé (HDS), défense et BITD, secteur public et toute entreprise manipulant des secrets industriels ou des données stratégiques. Dans ces secteurs, l'IA soumise au Cloud Act crée un risque de conformité réel et documentable.
- Comment Souver réduit-il l'exposition au Cloud Act ?
- Les configurations souveraines visent une inférence en France sans API américaine. Le devis et le DPA documentent le fournisseur, la localisation, les flux annexes et la chaîne de sous-traitance afin que le client puisse conduire sa propre analyse juridique.
Votre organisation utilise des outils IA soumis au Cloud Act ?
Un appel de 30 min avec notre équipe technique permet d'évaluer précisément votre exposition, d'identifier les flux à risque et de définir une migration vers une infrastructure souveraine. Sans engagement.
Périmètre français · Infrastructure SNC 3.2 selon l'offre · Chaîne de sous-traitance documentée