CLOUD Act américain : ce qu'il signifie pour l'IA en Europe

Que régit le CLOUD Act américain ?

Le Clarifying Lawful Overseas Use of Data Act (CLOUD Act) est en vigueur depuis mars 2018. Son cœur figure au 18 U.S.C. § 2713 : les fournisseurs de services de communication et de calcul doivent remettre sur injonction les données qu’ils possèdent, conservent ou contrôlent, que ces données se trouvent aux États-Unis ou à l’étranger. Il s’agit d’enquêtes des autorités de poursuite pénale, avec une décision de justice ou une procédure comparable.

Le CLOUD Act permet aussi des accords avec d’autres États qui organisent l’accès réciproque aux preuves électroniques. Le gouvernement américain a signé de tels accords avec le Royaume-Uni (2019) et l’Australie (2021). Des négociations avec l’UE sont en cours depuis 2019 et ont repris en 2023 ; selon nos recherches, aucun accord n’existait à la date de rédaction.

Qui est concerné par le CLOUD Act ?

Fournisseur	CLOUD Act applicable ?
Entreprise américaine avec un centre de données aux États-Unis	oui
Entreprise américaine avec un centre de données dans l’UE	oui, si elle contrôle les données
Filiale européenne d’un groupe américain	en règle générale oui, si le groupe a accès aux données
Entreprise européenne sans lien avec les États-Unis	non
Entreprise européenne qui utilise un modèle ou un centre de données d’un fournisseur américain	oui, pour les données chez le fournisseur américain

Pour l’IA, la dernière ligne est importante. De nombreuses offres d’IA d’entreprises européennes envoient les requêtes à des modèles qui fonctionnent chez des groupes américains, y compris dans leurs centres de données européens. Le fournisseur avec lequel vous avez signé le contrat est alors européen, mais le traitement dans le modèle ne l’est pas.

Comment le CLOUD Act s’articule-t-il avec le RGPD ?

L’article 48 du RGPD dispose que les décisions de juridictions et d’autorités d’un pays tiers exigeant le transfert de données à caractère personnel ne sont reconnues que si elles reposent sur un accord international, par exemple un traité d’entraide judiciaire. Une injonction au titre du CLOUD Act n’est pas un tel accord. Un fournisseur peut donc se retrouver pris entre deux ordres juridiques : le droit américain exige la remise des données, le RGPD ne la permet pas sans autre condition.

Le EU-US Data Privacy Framework ne change rien de fondamental à cela. La décision d’adéquation de la Commission européenne du 10 juillet 2023 autorise les transferts vers des entreprises américaines certifiées et s’appuie sur de nouvelles garanties américaines, surtout vis-à-vis des services de renseignement. Le Tribunal de l’UE a rejeté un recours contre elle le 3 septembre 2025 (affaire T-553/23) ; le pourvoi devant la Cour de justice (C-703/25 P) était pendant à la date de rédaction.

Comment vérifier un fournisseur d’IA au regard du CLOUD Act ?

• Propriétaire : à qui appartient le fournisseur ? A-t-il une société mère ou un actionnaire majoritaire aux États-Unis ?
• Modèle d’IA : où et chez qui fonctionne le modèle qui traite vos requêtes ? Cela figure dans la liste des sous-traitants ultérieurs.
• Autres services : hébergement, sauvegarde, recherche web, traduction : ces prestataires font aussi partie de la vérification.
• Contrat : comment le fournisseur traite-t-il les demandes de remise de données ? Vous informe-t-il, dans la mesure où cela est permis ? Conteste-t-il les injonctions injustifiées ?
• Données : pour les données de santé, les données sociales et les données couvertes par le secret professionnel, le risque d’accès s’évalue autrement que pour des textes publics. Pour le secret professionnel, voir le § 203 StGB (disposition du Code pénal allemand sur le secret professionnel) et l’IA.

Comment cela fonctionne-t-il avec basebox ?

basebox est une entreprise allemande et n’est pas soumise au CLOUD Act américain. Avec le serveur, le modèle d’IA fonctionne sur du matériel qui vous est réservé, dans votre établissement, sans Internet si vous le souhaitez. Dans le cloud, le modèle d’IA fonctionne sur nos serveurs dans le centre de données de Munich-Est. Il en va autrement des modèles de fournisseurs américains : le CLOUD Act s’applique à eux même dans des centres de données européens.

• App avec un modèle externe : elle est optionnelle et fonctionne chez Google Vertex dans l’UE. Google étant une entreprise américaine, le CLOUD Act s’applique à cette app. Votre administrateur ne la partage qu’avec des groupes choisis ; vous décidez avec votre délégué à la protection des données (DPO) si vous l’utilisez et pour quelles données (comparaison).
• Demandes des autorités : basebox ne remet des données que si une décision d’une autorité ou d’un tribunal l’y oblige, et vous en informe au préalable dans la mesure où cela est admissible et possible dans le cas d’espèce. Avec le serveur sans contrat d’exploitation, basebox n’a pas accès à vos données.

Pas un conseil juridique : cet article donne un aperçu du CLOUD Act américain et de son rapport avec le droit européen de la protection des données. La situation juridique évolue : le pourvoi contre le Data Privacy Framework et les négociations sur un accord UE-États-Unis relatif aux preuves électroniques sont en cours. Ce qui fait foi, ce sont votre délégué à la protection des données et les contrats conclus. État des recherches : 11 octobre 2026.