France : SecNumCloud

Qu’est-ce que SecNumCloud ?

SecNumCloud est une qualification délivrée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) aux offres cloud qu’elle juge de confiance. Elle couvre l’infrastructure, les plateformes et les logiciels en tant que service (IaaS, PaaS, SaaS). Elle repose sur un référentiel d’exigences techniques, opérationnelles et juridiques. L’ANSSI recense les offres qualifiées dans un catalogue.

Depuis la version 3.2 du référentiel (2022), SecNumCloud exige expressément une protection contre les lois d’États extérieurs à l’UE susceptibles de permettre un accès aux données, comme le Cloud Act américain. Cela comprend notamment :

• un siège du prestataire dans l’UE et des limites aux participations détenues hors de l’UE,
• aucun accès aux données par des fournisseurs ou prestataires situés hors de l’UE,
• l’exploitation du service avec ses propres moyens et son propre personnel.

L’ANSSI le souligne elle-même : la qualification ne garantit pas la sécurité des applications qu’un client exploite sur le service.

Qui doit utiliser SecNumCloud ?

L’article 31 de la loi SREN du 21 mai 2024 oblige les administrations de l’État, ses opérateurs et certains groupements d’intérêt public à utiliser, pour les données d’une sensibilité particulière, des services cloud protégés contre l’accès d’autorités de pays tiers. Le décret n° 2026-272 du 14 avril 2026 met cette obligation en œuvre. Sont notamment considérées comme particulièrement sensibles :

• les données couvertes par des secrets protégés par la loi,
• les données nécessaires à l’accomplissement des missions essentielles de l’État, comme la sécurité nationale, l’ordre public et la protection de la santé et de la vie.

Des dérogations temporaires sont possibles pour les projets engagés avant le décret. L’article 31 ne vise pas les collectivités territoriales.

Qu’est-ce que cela signifie pour l’IA ?

Une IA qui traite des données sensibles de l’État en tant que service cloud doit respecter ces exigences. Cela ne concerne pas seulement l’hébergement, mais toute la chaîne : si le modèle d’IA tourne chez un autre prestataire, par exemple via une interface d’une entreprise américaine, les données parviennent à ce prestataire.

Voie	Ce qu’il faut vérifier
IA en tant que service cloud d’un prestataire	L’offre est-elle qualifiée SecNumCloud, y compris le modèle d’IA ?
Plateforme d’IA dans un cloud qualifié, modèle chez un tiers	Les saisies quittent-elles l’environnement qualifié ?
IA sur un serveur dans votre propre centre de données	Pas un service cloud d’un prestataire privé ; vos propres exigences de sécurité s’appliquent

Comment cela fonctionne-t-il avec basebox ?

En France, basebox propose uniquement le serveur que le service informatique de votre établissement exploite lui-même ; une certification HDS est prévue, et d’ici là basebox n’exploite aucun serveur en France, ni à distance ni dans son propre centre de données. Notre partenaire matériel FAST LTA livre le serveur en France. Il est installé dans votre centre de données et le modèle d’IA tourne sur ce matériel, sans Internet si vous le souhaitez. Le serveur n’envoie vers l’extérieur ni télémétrie, ni statistiques d’utilisation, ni vérification de licence. basebox n’a aucun accès à vos données. basebox est une entreprise allemande et n’est pas soumise au Cloud Act américain.

L’interface et le support sont disponibles en allemand et en anglais, pas en français.

Pas un conseil juridique : les obligations découlant de l’art. 31 SREN dépendent du référentiel de l’ANSSI et de dérogations au cas par cas. C’est votre administration qui décide si vos données sont considérées comme particulièrement sensibles. État des recherches : 11 octobre 2026.