Niveau 3 du CADA : la Commission pourrait l'ouvrir aux clouds étrangers, sous six critères cumulatifs

Le niveau 3 du CADA ferme la porte aux clouds contrôlés depuis un pays tiers, sauf si la Commission européenne décide de l'ouvrir, sans repasser devant le Parlement ^[1]1Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL establishing a framework of measures for strengthening Europe's cloud and AI ecosystem (Cloud and AI Development Act), COM(2026) 502 final, 2026/0138 (COD), Commission européenne (copie publiée par la Eerste Kamer des Pays-Bas ; référence EUR-Lex CELEX 52026PC0502 : https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A52026PC0502)^[2]2ANNEX to the Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL establishing a framework of measures for strengthening Europe's cloud and AI ecosystem (Cloud and AI Development Act) – COM(2026) 502 final, ANNEXES 1 to 3 (Conseil, doc. 10104/26 ADD 1), Commission européenne, transmis par le Conseil de l'Union européenne^[3]3Understanding delegated and implementing acts (EPRS Briefing, PE 690.709), Service de recherche du Parlement européen (EPRS). L'ouverture passerait par un acte d'exécution, validé par un comité de représentants des États membres, sur lequel le Parlement n'a qu'un droit de regard ^[1][4]4Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by Member States of the Commission's exercise of implementing powers – Article 5, Examination procedure (version as adopted by the EU), The National Archives (Royaume-Uni), reproduction du texte publié au JOUE L 55 du 28.2.2011^[5]5Regulation (EU) No 182/2011 – Article 11, Right of scrutiny for the European Parliament and the Council (version as adopted by the EU), The National Archives (Royaume-Uni), reproduction du texte publié au JOUE L 55 du 28.2.2011. Mais la décision d'adéquation dont bénéficient les États-Unis n'est qu'un des six critères cumulatifs à remplir ^[1][6]6Adequacy decisions – How the EU determines if a non-EU country has an adequate level of data protection, Commission européenne. Et le texte prévoit déjà d'autres voies pour un cloud sous contrôle étranger : le niveau 2 et la dérogation de l'article 30(4) ^[1][2].

Le CADA, c'est quoi exactement, et où en est-il ?

Le Cloud and AI Development Act (CADA, loi sur le développement du cloud et de l'intelligence artificielle) est une proposition de règlement du Parlement européen et du Conseil ^[1][7]7Proposal for the Cloud and AI Development Act (CADA), Commission européenne, Shaping Europe's digital future. Elle date du 3 juin 2026 ^[1][7]. Elle suit la procédure législative ordinaire 2026/0138(COD) et fait partie d'un « paquet souveraineté technologique » ^[8]8Procedure file 2026/0138(COD) – Cloud and AI Development Act, Parlement européen, Observatoire législatif (OEIL)^[9]9Commission proposes tech sovereignty package to strengthen Europe's digital autonomy and resilience (IP/26/1187), Commission européenne.

Rien n'est adopté ^[8][9]. Au 22 octobre 2026, l'Observatoire législatif du Parlement (OEIL) indique « Awaiting committee decision », sans projet de rapport ni vote ^[8]. Le Parlement et le Conseil doivent encore négocier le texte, article 18 compris, avant toute adoption ^[8][9]. Une fois adopté, il entrerait en vigueur vingt jours après sa publication au Journal officiel et s'appliquerait un an plus tard ^[1].

Pourquoi ça te concerne ? Le CADA déciderait quels fournisseurs cloud peuvent servir les institutions de l'Union européenne (UE) et les organismes publics, selon des critères qui incluent le contrôle par un pays tiers ^[1][2][10]10Votre point d’accès à l’UE, Actualités, Faits marquants | Union européenne, Union européenne (portail officiel europa.eu). Autrement dit : qui héberge les données des administrations, et sous quel droit. Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi américaine de 2018 ^[11]1118 U.S. Code § 2713 – Required preservation and disclosure of communications and records, Legal Information Institute, Cornell Law School (reproduction du U.S. Code)^[12]12Clarifying Lawful Overseas Use of Data (CLOUD) Act - Amazon Web Services, Amazon Web Services^[13]13AWS European cloud service launch raises questions over sovereignty, Computerworld (Foundry). Sur réquisition légale, il oblige un fournisseur à remettre les données en sa « possession, custody, or control », où qu'elles soient stockées ^[11]. Le CADA ne touche pas à cette loi : il réserve la commande publique sensible aux fournisseurs qui prouvent empêcher l'accès étranger aux données, ou qui échappent à tout contrôle étranger ^[1][2].

Que demande chacun des quatre niveaux ?

L'article 16 crée un cadre de souveraineté à quatre niveaux d'assurance, dont les critères figurent à l'annexe II ^[1]. Les niveaux sont cumulatifs : viser un niveau, c'est remplir aussi tous ceux du dessous ^[1].

• Niveau 1 : fournisseur établi dans l'UE, infrastructures et données dans l'UE sauf demande contraire de l'acheteur public ^[2]. Un contrôle étranger reste admis ^[2].
• Niveau 2 : un fournisseur « subject to the control of a third country » est admis s'il démontre que l'accès d'un pays tiers aux données des clients « is prevented » ^[2]. La citoyenneté européenne du personnel n'est exigée que si l'organisme public le décide ^[2].
• Niveau 3 : en principe, ni le fournisseur ni ses sous-traitants ne sont contrôlés par un pays tiers ^[2]. Le personnel est composé de citoyens de l'UE, et le support est assuré dans l'UE par des résidents de l'UE ^[2].
• Niveau 4 : aucune dérogation au contrôle européen, et aucun pays tiers ne doit contrôler la conception et l'évolution des composants logiciels ^[2].

Le niveau 1 repose sur une auto-évaluation, les niveaux 2 à 4 sur un audit tiers indépendant, aux frais du fournisseur ^[1].

Qui peut ouvrir le niveau 3, et comment ?

C'est l'article 18 qui autorise la Commission, par actes d'exécution, à désigner des pays tiers dont les fournisseurs pourront être audités au niveau 3 malgré leur contrôle étranger ^[1].

Ces actes suivent la « procédure d'examen » du règlement 182/2011, dite comitologie ^[1]. Un comité de représentants des États membres rend un avis : positif, la Commission adopte l'acte ; négatif, elle ne l'adopte pas ; sans avis, elle peut l'adopter, sauf exceptions ^[4][3]. Le Parlement, lui, ne vote pas ^[1][3]. Il peut seulement signaler un dépassement des compétences d'exécution, et la Commission doit alors réexaminer son projet ^[5][3]. Il n'a ni droit d'objection ni droit de révocation ^[3].

Pour modifier les niveaux eux-mêmes, la Commission passe par des actes délégués ^[1]. Ceux-ci n'entrent en vigueur que si ni le Parlement ni le Conseil n'objectent dans les deux mois ^[1].

L'adéquation du Data Privacy Framework suffit-elle à faire entrer les États-Unis ?

Non, pas à elle seule. L'article 18(1) pose six critères cumulatifs ^[1] :

1. une décision d'adéquation au titre du RGPD (règlement général sur la protection des données) ;
2. aucune mesure de contrôle contraire aux règles d'accès licite aux données non personnelles du Data Act ;
3. aucune mesure permettant d'imposer une dégradation du service, des sanctions ou des embargos étrangers ;
4. aucune entrave à la fourniture de technologies de pointe ;
5. un marché ouvert aux services cloud européens ;
6. un accès équivalent aux marchés publics cloud pour les fournisseurs européens.

La décision d'adéquation UE–États-Unis, le Data Privacy Framework (DPF), date du 10 juillet 2023 ^[14]14PRESS RELEASE No 106/25 – Data Protection: the General Court dismisses an action for annulment of the new framework for the transfer of personal data between the European Union and the United States (Case T-553/23, Latombe v Commission), Cour de justice de l'Union européenne^[6]. Elle couvre les « commercial organisations participating in the EU-US Data Privacy Framework », pas les États-Unis dans leur ensemble ^[6]. Or le considérant 61 du CADA demande de vérifier si l'adéquation vise le pays entier ou se limite à des « certified organisations » ^[1]. La Commission l'écrit d'ailleurs elle-même :

« while the EU-US Data Privacy Framework addresses transatlantic data transfers, it does not remove sovereignty concerns about dependence on third-country providers » — Commission européenne, exposé des motifs du CADA ^[1] (Traduction de la rédaction : « si le DPF encadre les transferts transatlantiques de données, il ne lève pas les préoccupations de souveraineté liées à la dépendance envers des fournisseurs de pays tiers ».)

Le DPF reste en vigueur, mais il est contesté ^[15]15Trump v. Slaughter: Implications of the US Supreme Court's Ruling for EU-US Data Transfers and the Data Privacy Framework, Faegre Drinker Biddle & Reath LLP^[6]. Le Tribunal de l'UE a rejeté le recours du député Philippe Latombe le 3 septembre 2025 ^[14][16]16European General Court dismisses Latombe challenge, upholds EU-US Data Privacy Framework, IAPP (International Association of Privacy Professionals). Le député s'est pourvu devant la Cour de justice le 31 octobre 2025 ^[17]17Latombe filed appeal against General Court dismissal of challenge to European Union–United States Data Protection Framework adequacy decision in Latombe v Commission, Digital Policy Alert ; le pourvoi était toujours pendant à la mi-septembre 2026 selon le cabinet Faegre Drinker ^[15][18]18Third Time's the Charm? The Fate of the EU–U.S. Data Privacy Framework, Berkeley Technology Law Journal (blog). Le 31 juillet 2026, le Comité européen de la protection des données (EDPB) a demandé à la Commission d'évaluer l'effet sur cette décision de l'arrêt américain Trump v. Slaughter ^[19]19EDPB letter to Commissioner Michael McGrath – Subject: US Supreme Court judgment Trump v. Slaughter (Ref. Ares(2026)7540711), Comité européen de la protection des données (EDPB).

Kenneth Propp est chercheur à l'Atlantic Council et ancien conseiller juridique de la mission des États-Unis auprès de l'UE ^[20]20The EU Cloud and AI Development Act, Lawfare. Pour lui, même avec le DPF, « the anti-kill switch requirement could still block U.S. companies from qualifying for this derogation power » ^[20]. Le critère contre l'interruption forcée du service pourrait donc suffire à les bloquer ^[20]. Et même un pays reconnu laisserait au fournisseur l'obligation de démontrer que l'accès étranger aux données est empêché, avec un personnel composé de citoyens de l'UE ^[2].

Pourquoi un « cloud souverain » américain ne règle-t-il pas la question ?

Amazon Web Services (AWS) a lancé le 15 janvier 2026 l'AWS European Sovereign Cloud ^[21]21AWS Launches AWS European Sovereign Cloud and Announces Expansion Across Europe, Amazon, US Press Center. Selon l'entreprise, il repose sur « a new parent company and three local subsidiaries incorporated in Germany (GmbH) » ^[21]. Elle affirme qu'il n'y a « zero operational control outside of EU borders » ^[21].

Mais AWS écrit elle-même que le CLOUD Act « is also applicable to a cloud service provider that is headquartered in the EU and has operations in the United States » ^[12]. Selon Computerworld, la filiale allemande « is still owned by AWS, a US company » ^[13]. Dario Maisto, analyste chez Forrester, y estime que seuls les tribunaux diront si cette filiale protège réellement ses clients du droit américain ^[13]. AWS déclare qu'à juin 2025, depuis le début de son suivi statistique en 2020, aucune demande n'avait abouti à divulguer des contenus d'entreprise ou d'administration stockés hors des États-Unis ^[12][22]22Amazon: New "European Sovereign Cloud" can't rule out US data access, Trending Topics.

Le considérant 48 du CADA vise ce type d'offres : les versions « souveraines » des fournisseurs « do not address the core sovereignty issues allowing for the extraterritorial reach of third-country laws » ^[1]. Selon Agence Europe et GovInfoSecurity, Henna Virkkunen, vice-présidente exécutive de la Commission, a estimé qu'avec le CLOUD Act, les entreprises américaines peuvent difficilement atteindre le niveau 3 ^[23]23European Commission proposes sovereignty risk assessments for public cloud services (Europe Daily Bulletin No. 13880), Agence Europe^[24]24EU Prepares Path for Shutting Out US Cloud Providers, GovInfoSecurity (Information Security Media Group), article également publié sur bankinfosecurity.com.

Selon l'analyse d'impact de la Commission (juin 2026), 59 fournisseurs dont le siège est hors de l'UE pourraient viser le niveau 2 ^[25]25PART 2/2 COMMISSION STAFF WORKING DOCUMENT IMPACT ASSESSMENT REPORT Accompanying the document Proposal for a Regulation [...] (Cloud and AI Development Act), SWD(2026) 502 final (Conseil, doc. 10104/26 ADD 3), Commission européenne, transmis par le Conseil de l'Union européenne. Elle n'évoque le niveau 3 que pour les 226 fournisseurs dont le siège est dans l'UE ^[25].

Quelles autres portes restent ouvertes ?

Le niveau exigé est fixé par les États membres et les institutions de l'UE, au moyen d'analyses de risque menées tous les deux ans ^[1]. La Commission peut imposer un autre niveau si elle juge le choix inadapté ^[1]. Les activités sans lien avec l'ordre public utilisent au minimum le niveau 1 ; celles qui y contribuent devraient acheter du niveau 2, 3 ou 4 ^[1]. Le texte permet donc à une activité d'ordre public de se contenter du niveau 2, qui admet le contrôle étranger moyennant des mesures d'atténuation ^[1][2].

L'article 30(4) permettrait aussi aux acheteurs publics, « on an exceptional basis and where duly justified », de ne pas acheter de service reconnu à l'un des quatre niveaux ^[1]. Trois cas sont prévus : aucun service reconnu adéquat, un appel d'offres infructueux dans l'année, ou un coût disproportionné ^[1].

Qu'en disent les parties ?

• Commission : elle veut un cadre unique « while keeping most of our market open to like-minded partners » ^[9].
• Parlement : les rapporteurs Diego Solier (Groupe des Conservateurs et Réformistes européens, ECR) et Reinier Van Lanschot (Groupe des Verts/Alliance libre européenne) ont été nommés le 24 juin 2026 ^[8][26]26Les groupes politiques du Parlement européen, Parlement européen. Rapporteurs des commissions industrie et marché intérieur, conjointement compétentes, ils n'ont publié aucun projet de rapport ^[8].
• Pays-Bas : le gouvernement soutient les critères de réciprocité, demande des actes d'exécution praticables et rapides, et juge qu'un niveau 2 obligatoire pourrait restreindre le choix ^[27]27Fiche 2: Cloud & AI Development Act (BNC-fiche, appréciation du gouvernement néerlandais), Gouvernement des Pays-Bas (ministère des Affaires économiques et du Climat), publié par la Eerste Kamer.
• France et Conseil de l'UE : je n'ai trouvé aucune position officielle sur le CADA au 22 octobre 2026 ; aucune position du Conseil n'est enregistrée ^[8].
• Comité économique et social européen (CESE) : il veut orienter la commande publique « toward European providers » ^[28]28OPINION – European Economic and Social Committee – Cloud and AI Development Act (INT/1126, EESC-2026-01043-00-00-AC-TRA), Comité économique et social européen (CESE).
• CCIA Europe (Computer and Communications Industry Association), association professionnelle dont font partie Amazon, Apple, Google et Meta ^[29]29Members - CCIA, CCIA (Computer and Communications Industry Association). Sur l'article 18, elle estime que « no major technology-producing nation meets it today, including the European Union itself » ^[30]30Discriminatory EU Cloud and AI Development Act Risks Severe Market Fragmentation, CCIA (Computer & Communications Industry Association) Europe.
• CISPE (Cloud Infrastructure Services Providers in Europe), dont AWS et Microsoft ne sont qu'observateurs ^[31]31CISPE – The Voice of Cloud Infrastructure Service Providers in Europe, CISPE^[32]32Members – CISPE, CISPE (Cloud Infrastructure Services Providers in Europe) : selon MLex, « Most independent providers can't meet the conditions for digital sovereignty » ^[33]33EU's Cloud and AI Development Act will increase dependency on US tech, CISPE warns, MLex (Law360).
• États-Unis : je n'ai pas trouvé de position officielle sur le CADA ; au 24 juin 2026, Kenneth Propp notait que l'administration n'avait « not yet resorted to trade retaliation », notamment face au DMA et au DSA ^[20].

Qu'est-ce que ça change pour toi ?

Rien d'immédiat : le CADA n'est qu'une proposition ^[8], et la Commission ne prévoit pas les premières analyses de risque avant 2029 ^[25]. Mais si tu travailles pour un acheteur public ou que tu héberges ses données, voici les questions que pose le texte, à adresser à ton fournisseur cloud :

• Qui contrôle ta société mère, et dans quel pays ?
• Ton support est-il assuré dans l'UE, par des résidents de l'UE ^[2] ?
• Quelles mesures empêchent un accès étranger à tes données, et une interruption forcée du service ^[2] ?
• Publies-tu des statistiques sur les demandes d'accès des autorités étrangères, comme AWS le fait ^[12] ?

Premier pas : relis ton contrat d'hébergement avec ces quatre questions, et suis l'avancée de la procédure 2026/0138(COD) sur l'OEIL ^[8].