D'un côté le RGPD et le Data Act européens, de l'autre le Cloud Act américain : les entreprises européennes se retrouvent prises en étau entre deux systèmes juridiques opposés. Premier volet de notre série sur la souveraineté numérique.
Comment la souveraineté numérique devient, avant tout, un sujet de conformité pour les entreprises ?
Le 30 mars 2026, Mistral AI annonçait lever 830 millions de dollars de dette afin de financer son premier centre de données en France, afin de « garantir que l’innovation et l’autonomie en matière d’IA restent au cœur de l’Europe », comme l’indiquait son PDG, Arthur Mensch, dans un communiqué de presse. Dans un secteur largement dominé par des acteurs étatsuniens, cette annonce n’est pas anecdotique puisqu’elle participe à la construction d’une filière IA souveraine en Europe, que ce soit sur les plans technologique, énergétique mais aussi de protection des données.
Ces enjeux de protection des données numériques ont commencé à s’imposer à partir du milieu des années 2010 autour de la notion de souveraineté numérique, comme étant la capacité pour un État de conserver la maîtrise de ses données.
En Europe, une première prise de conscience collective de la dépendance croissante aux grandes plateformes et infrastructures numériques étrangères s’est cristallisée en 2013, en réaction à l’affaire Snowden. Dès lors perçue comme un enjeu politique stratégique, l’Union Européenne s’est progressivement dotée d’un arsenal réglementaire fort et contraignant autour d’une doctrine affirmée de protection des données, notamment personnelles.
S’imposant aujourd’hui à toutes les entreprises européennes ou opérant en Europe, ce nouveau cadre réglementaire opère au travers de mise en conformité relative à la protection des données. Concrètement, les entreprises ont été amenées à repenser totalement leur rapport à la donnée, du traitement à l’hébergement, au regard de risques juridiques nouveaux.
Dans cette série d’articles sur la souveraineté numérique nous nous intéresserons à :
Article 1 - Du débat (géo) politique à l’impératif opérationnel et stratégique
Article 2 - Comment l’entreprise fait face au défi opérationnel de la conformité ?
Article 3 - Cloud souverain vs cloud non-souverain. Quelles implications pour les entreprises
La souveraineté numérique, d’abord perçue comme un enjeu politique et géopolitique, s’est progressivement imposée comme un impératif concret pour les entreprises européennes. Depuis l’adoption du RGPD en 2016, l’Europe a construit un cadre réglementaire visant à protéger les données personnelles tout en encadrant leur circulation au sein et au-delà de ses frontières. Confronté depuis lors à des législations extraterritoriales comme le Cloud Act américain, le cadre réglementaire européen a dû se renforcer, complexifiant les exigences de conformité pour les entreprises européennes. D’abord politique, la souveraineté est alors peu à peu devenue, avant tout, un impératif opérationnel et stratégique.
Adopté en avril 2016 (et entré en application en mai 2018), le Règlement général sur la protection des données (RGPD) constitue le texte de référence en matière de protection des données à caractère personnel, au sein de l’Union européenne. Il repose sur une doctrine de protection des données, notamment personnelles, et donne lieu à un socle de droits et de devoirs :
Le RGPD comprend également un ensemble d’articles visant à encadrer strictement les transferts de données personnelles vers des pays tiers (art. 45, 46, 49) et à se prémunir de toutes demandes directes d’autorités étrangères en la matière (art. 48). Ainsi en l’absence d’accord international spécifique, aucune juridiction ou autorité étrangère ne peut justifier légitimement une demande de transfert de données vers son pays.
Le cadre d’application du RGPD est toutefois remis en cause par l’adoption en 2018 du Cloud Act (« Clarifying Lawful Overseas Use of Data Act ») par le Congrès américain, dans le contexte tendu autour de l’affaire Microsoft Ireland.
En 2013, Microsoft reçoit le mandat d’un juge américain ordonnant de remettre le contenu d’une boîte mail d’un utilisateur visé par une enquête pénale. Toutefois, ces emails sont hébergés sur un serveur situé en Irlande, géré par une filiale européenne de Microsoft et donc soumis au RGPD. Microsoft refuse l’accès à ces données puisque le cadre légal alors en vigueur ne permet pas les demandes de transfert de données hébergées hors des États-Unis.
L’affaire, portée à la Cour suprême, motive le Congrès américain à adopter en 2018 le Cloud Act qui les autorise à accéder à des données numériques, qu’elles soient hébergées aux Etats-Unis ou à l’étranger. La localisation physique des serveurs n’étant plus un argument recevable, Microsoft est alors contraint de procéder au transfert de ces données aux autorités américaines.
Ainsi, l’adoption du Cloud Act par les Etats-Unis donne lieu à une extraterritorialisation du risque juridique pour les entreprises américaines opérant au sein de l’Union Européenne. Par extension, cette contradiction réglementaire s’étend également à l’ensemble des entreprises européennes ayant recours aux plateformes numériques et aux clouds américains… soit la quasi-totalité des entreprises européennes.
L’extraterritorialisation du cadre juridique américain par le Cloud Act pousse l’Union européenne à renforcer progressivement son dispositif réglementaire de protection des données personnelles.
Ainsi, depuis la récente entrée en vigueur effective du Data Act le 12 septembre 2025, les entreprises européennes utilisant des clouds ou plateformes numériques américains se retrouvent prises en étau entre deux systèmes réglementaires et de conformité frontalement opposés.
Au cours de la dernière décennie, le débat sur la souveraineté numérique a dépassé la sphère politique ou géopolitique pour devenir un véritable impératif opérationnel et stratégique. L’Union européenne a progressivement renforcé son arsenal réglementaire, du RGPD à la directive NIS 2 et au Data Act, afin de protéger ses entreprises contre les risques juridiques extraterritoriaux. Celles-ci se retrouvent ainsi à naviguer entre différents régimes juridiques opposés, transformant des choix auparavant techniques en décisions à fort enjeu stratégique et de conformité.
.svg)
.svg)
.avif)