CLOUD Act et souveraineté des données : pourquoi la résidence des données en Suisse ne suffit pas

La résidence des données en Suisse détermine où se trouvent tes données. Elle ne protège pas du CLOUD Act américain, car cette loi se rattache au contrôle exercé sur les données et non à leur emplacement. Si l'exploitant appartient à un groupe américain, l'obligation de communication s'applique indépendamment de l'emplacement des serveurs. Le 3 juin 2026, la Commission européenne a traduit cette distinction en une grille d'évaluation à quatre niveaux, le Cloud and AI Development Act. Ce n'est pas encore une loi, mais le texte montre précisément quelles preuves les entreprises réglementées devront fournir.

Ce que règle le CLOUD Act

Le Clarifying Lawful Overseas Use of Data Act de 2018 oblige les fournisseurs relevant de la juridiction américaine à communiquer les données qui se trouvent en leur possession, sous leur garde ou sous leur contrôle. Ce qui compte, c'est le pouvoir de disposition. Une filiale européenne reste concernée dans la mesure où la maison mère exerce un contrôle. Ces injonctions s'accompagnent le plus souvent d'une obligation de confidentialité qui interdit au fournisseur d'informer le client.

Pour les entreprises suisses, il en résulte un conflit au sein de leur propre droit. La participation à un acte officiel étranger sur le territoire suisse touche l'article 271 du Code pénal, la transmission de secrets d'affaires à l'étranger l'article 273. Pour les banques s'y ajoute le secret bancaire selon l'article 47 de la loi sur les banques, pour les établissements de santé le secret professionnel selon l'article 321 du Code pénal. Les établissements surveillés satisfont en outre aux exigences de la circulaire FINMA sur l'externalisation en matière de droits d'accès, d'audit et d'instruction.

L'appréciation au cas par cas relève d'un professionnel du droit. La structure reste toutefois toujours la même : un fournisseur soumis à deux ordres juridiques doit, le moment venu, choisir entre eux.

La résidence des données en Suisse suffit-elle ?

La résidence des données répond à la question de l'emplacement. Trois questions qui comptent pour l'autorité de surveillance restent ouvertes : qui contrôle l'exploitant ? Qui peut accéder aux données sur le plan administratif ? À quelle vitesse peux-tu en ressortir ?

Les grands fournisseurs ont réagi. AWS a rendu son European Sovereign Cloud généralement disponible en janvier 2026 avec une première région dans le Brandebourg, séparée physiquement et logiquement des autres régions. Microsoft propose des contrôles de souveraineté européens via le Sovereign Public Cloud, y compris la surveillance des accès administratifs à distance ; Google Cloud travaille avec des partenaires européens comme S3NS et T-Systems.

Ces constructions résolvent des problèmes réels. Elles ne changent pas la propriété.

Ce qu'exigent les quatre niveaux CADA

Le Cloud and AI Development Act, formellement COM(2026) 502, institue quatre niveaux d'assurance de l'Union. Les entités publiques évaluent le risque d'un cas d'usage, puis le classent dans un niveau. Les critères sont cumulatifs.

Deux points comptent ici. Le Level 1 repose sur une auto-déclaration du fournisseur ; ce n'est qu'à partir du Level 2 qu'une preuve auditée est exigée. Et l'affirmation répandue selon laquelle CADA exclurait les fournisseurs américains est inexacte : aux Level 1 et Level 2, ils restent admis.

Pour les plateformes de collaboration, un détail du Level 2 est central. Les données générées par l'utilisation ne doivent entraîner aucun système d'IA d'un acteur d'un pays tiers ni quitter l'Union. La question de la souveraineté se déplace ainsi du stockage des données vers le pipeline des modèles.

Où passe la limite pour les fournisseurs américains

La partie décisive se trouve dans l'annexe d'audit. Si l'auditeur constate qu'un fournisseur est sous le contrôle d'un pays tiers, il exige quatre preuves supplémentaires :

1. une décision de la Commission concernant le pays tiers en question
2. la preuve que le fournisseur est juridiquement, techniquement et opérationnellement hors d'état de donner suite à une demande d'accès
3. la preuve que le client est informé d'une telle demande, avec la confirmation qu'elle a été refusée
4. un registre tenu à jour de toutes ces demandes

Pour un fournisseur relevant de la juridiction américaine, cet ensemble n'est pas réalisable. Le CLOUD Act exige l'exécution, pas le refus. L'obligation de confidentialité interdit d'informer le client. Et un registre de ces demandes contredit cette même obligation.

L'exigence vise la capacité juridique plutôt que la technique. La France suit la même logique depuis des années : SecNumCloud 3.2 exige l'immunité face aux lois extraterritoriales et exclut les exploitants détenus par des intérêts américains, indépendamment de l'emplacement des serveurs.

La notion de contrôle est ici largement conçue. Sont examinés l'ensemble des actionnaires jusqu'aux ayants droit économiques à partir de cinq pour cent, les droits de veto, la nomination des organes de décision ainsi que les dépendances commerciales et financières. Un extrait du registre du commerce ne suffit pas.

Les fournisseurs suisses peuvent-ils atteindre les niveaux supérieurs ?

En principe oui, mais pas automatiquement. L'article 18 permet à la Commission de reconnaître des pays tiers comme associés. Les fournisseurs de ces États peuvent alors être audités au regard du Level 3. Sont notamment exigés une décision d'adéquation au titre du RGPD, l'absence de pouvoirs d'accès étatiques en contradiction avec le droit de l'UE et l'absence de pouvoir de perturber le service ou d'appliquer des sanctions.

Pour les États-Unis, cela échoue sur les pouvoirs d'accès et de sanction. La Suisse dispose d'une décision d'adéquation et remplit de manière plausible les autres critères selon l'état actuel du droit. Une reconnaissance n'existe toutefois pas.

Indépendamment de cela, tous les niveaux exigent un établissement dans l'Union, le Level 3 en plus la citoyenneté de l'Union pour le personnel. Pour les clients suisses en Suisse, le droit suisse reste donc la référence. Ce que CADA montre avant tout, c'est la direction que prend cette référence : loin de l'emplacement des données, vers le contrôle exercé sur l'exploitant.

Pour l'administration fédérale, le même principe s'applique déjà. La directive W012 l'oblige depuis le 1er janvier 2026 à évaluer et à documenter la souveraineté numérique dans les nouveaux projets informatiques, comprise comme capacité de contrôle et d'action. Elle n'est pas contraignante pour ton entreprise, mais reste utilisable comme grille d'évaluation face à l'audit interne.

Sept questions à poser à ton fournisseur

La question 7 est la plus souvent oubliée. Pour l'application principale, la documentation existe le plus souvent ; pour chaque extension, elle reste ouverte individuellement.

Quand Collabase convient comme alternative suisse

Collabase est une plateforme suisse de collaboration B2B. Docs couvre le travail de connaissance et la documentation, Projects la gestion de projets et de portefeuilles, Registry la gestion structurée des actifs et des données de référence. AI et Automation font partie de la plateforme. Le traitement des données et des informations a lieu entièrement en Suisse, comme condition de base et non comme option payante.

Mesuré aux sept questions : nous sommes sous contrôle suisse, ce qui fait disparaître le conflit de normes. Nous assurons l'exploitation et le support depuis la Suisse. Les fonctions d'IA font partie de la même architecture, raison pour laquelle la question 4 ne passe pas par une chaîne de tiers. Et comme nous concentrons l'étendue fonctionnelle sur le cœur plutôt que sur des centaines d'extensions de place de marché, la question 7 reste répondable.

Où sont les limites : celui qui sert des donneurs d'ordre publics de l'UE examine les niveaux de l'Union séparément, car ils présupposent un établissement dans l'Union. Et pour le développement logiciel avec des flux de travail Git, Collabase n'est pas la réponse adéquate.

Questions fréquentes

CADA est-il déjà du droit en vigueur ?

Non. Il s'agit d'une proposition de la Commission du 3 juin 2026 dans la procédure législative en cours. Le règlement deviendrait applicable un an après son entrée en vigueur. Les niveaux les plus stricts sont politiquement contestés et peuvent encore changer.

Un centre de données en Suisse protège-t-il du CLOUD Act ?

Uniquement si l'exploitant est lui aussi exclusivement sous contrôle suisse. Le CLOUD Act se rattache au pouvoir de disposition sur les données.

CADA exclut-il les fournisseurs américains d'Europe ?

Non. Aux Level 1 et Level 2, ils restent admis, au Level 2 sous des obligations de preuve considérables. Les Level 3 et Level 4 leur sont fermés.

CADA s'applique-t-il aux entreprises privées ?

Pour l'instant, les évaluations d'impact sont volontaires pour les entreprises des secteurs NIS2. La Commission peut les rendre contraignantes pour les secteurs hautement critiques par voie d'actes délégués. En font partie l'énergie, la santé et le secteur bancaire.

La directive W012 s'applique-t-elle à nous ?

Elle n'est contraignante que pour l'administration fédérale centrale et pour les projets à partir du 1er janvier 2026. Comme grille d'évaluation, elle reste utilisable en dehors de ce cadre.

Ce qu'il faut faire ensuite

1. État des lieux. Quels services sont en usage, qui les exploite, à qui appartient l'exploitant, quelles extensions tournent en parallèle ?
2. Répondre aux questions de contrôle. Ce que le fournisseur ne peut pas prouver figure au procès-verbal comme point ouvert.
3. Mettre les contrats à jour. Vos contrats règlent-ils la marche à suivre en cas de demande de communication étrangère et l'information du client ?
4. Classer les fonctions d'IA. Quelles données d'utilisation alimentent les modèles, et où tournent ces derniers ?
5. Décider avant la migration. Celui qui est de toute façon devant un changement de plateforme clarifie la question de la souveraineté au préalable. Cela concerne aussi tous ceux qui doivent migrer d'ici 2029 en raison de la fin de vie d'Atlassian Data Center. Les corrections après coup sont la voie la plus coûteuse.

Si tu veux vérifier où votre plateforme se situe sur ces sept questions, ou si un changement est de toute façon à l'ordre du jour : parle-nous-en. Nous situons votre statu quo et te montrons quelles étapes valent concrètement la peine pour votre entreprise.

Sources : proposition de Cloud and AI Development Act, COM(2026) 502 final de la Commission européenne, directives W012 sur la souveraineté numérique dans l'administration fédérale de la Chancellerie fédérale (en allemand).