Cloud and AI Development Act : localiser ses serveurs en Europe ne suffit plus
TL;DR — La Commission européenne a publié le 3 juin 2026 le Cloud and AI Development Act (CADA, COM(2026) 502). Ce règlement établit quatre niveaux d’assurance souveraine pour les services cloud et l’infrastructure IA. Le niveau 4, le plus exigeant, impose qu’aucun pays tiers n’exerce de contrôle effectif sur le fournisseur ni sur sa chaîne logicielle. La localisation physique des serveurs en Europe n’est plus un critère suffisant. Pour les neoclouds dont les clients opèrent dans des secteurs réglementés, ce cadre redéfinit dès maintenant les critères de sélection de leurs opérateurs d’infrastructure.
La Commission européenne a publié le 3 juin 2026 une proposition de règlement d’application directe dans les vingt-sept États membres. Le Cloud and AI Development Act (CADA, COM(2026) 502) répond à deux constats documentés depuis plusieurs années : la pénurie de capacité de calcul européenne pour l’IA, et la dépendance structurelle envers un petit nombre d’opérateurs cloud non européens. Son adoption finale est attendue pour fin 2027. Ses principes, toutefois, structurent déjà la rédaction des appels d’offres publics en cours.
Le CADA ne fonctionne pas comme une interdiction : il conditionne l’accès aux marchés publics à des exigences de conformité croissantes selon le niveau de sensibilité du traitement. En cela, il reprend la logique du référentiel SecNumCloud de l’ANSSI et la transpose en droit européen contraignant. La rupture conceptuelle qu’il introduit est précise : résidence des données et nationalité de contrôle du fournisseur sont désormais deux critères distincts.
Le cadre à quatre niveaux du Cloud and AI Development Act
Des exigences graduelles de localisation à la nationalité de contrôle
Le CADA organise les services cloud et les infrastructures IA en quatre niveaux d’assurance, numérotés de 1 à 4. Les niveaux bas imposent des exigences déjà connues : établissement juridique dans l’UE, localisation des données sur le territoire européen, transparence sur la sous-traitance et les flux de données. Ces niveaux restent accessibles à des opérateurs d’origines variées, y compris aux filiales européennes d’opérateurs américains.
Les niveaux intermédiaires introduisent une vérification indépendante, des contrôles de cybersécurité renforcés et une transparence accrue sur la chaîne d’approvisionnement logicielle, notamment sous forme de nomenclatures de composants (software bill of materials). C’est au niveau 4 que la logique change de nature. À ce niveau, le règlement exige que le fournisseur ne soit pas contrôlé par un pays tiers, qu’il détienne un certificat de cybersécurité européen de niveau « élevé » au minimum, et qu’il conserve un contrôle effectif sur l’ensemble de ses composants logiciels. Ainsi, aucun pays tiers ne doit exercer d’influence sur leur conception, leur développement, leur maintenance ou leur évolution.
Ce niveau 4 vise en priorité les cas d’usage les plus sensibles, notamment la défense et la sécurité nationale. Les entités publiques doivent conduire une évaluation des risques pour déterminer quel niveau est requis. En revanche, la logique de conformité se propage à l’ensemble de la chaîne de fournisseurs : un neocloud dont le client institutionnel est soumis au niveau 4 doit lui-même répondre à des exigences équivalentes pour rester qualifiable.
SecNumCloud, le modèle précurseur et ses limites connues
Le CADA s’inspire explicitement du référentiel SecNumCloud de l’ANSSI, dont la version 3.2 date de 2022. Ce référentiel inclut une clause d’immunité aux lois extraterritoriales, Cloud Act américain et FISA 702 en particulier, qui exclut de fait les filiales d’opérateurs américains de la qualification pour les systèmes publics sensibles. L’ANSSI elle-même a toutefois reconnu les limites de qualifications accordées à des entités de droit français qui restent technologiquement dépendantes d’un hyperscaleur américain pour leur couche infrastructure ou logicielle. C’est précisément ce que le niveau 4 du CADA cherche à corriger, en ajoutant l’exigence de contrôle effectif sur la chaîne logicielle complète.
Le Cloud Act américain et la limite de la dépendance technologique
Une portée extraterritoriale documentée
Le Clarifying Lawful Overseas Use of Data Act, dit Cloud Act, a été adopté aux États-Unis en 2018. Il autorise les autorités américaines à exiger d’une entreprise soumise à la juridiction américaine l’accès à des données qu’elle détient ou contrôle, quelle que soit leur localisation physique. Cette obligation s’applique à toute entreprise dont la maison mère est américaine, indépendamment du pays où ses serveurs sont installés.
Des représentants d’opérateurs cloud américains ont confirmé, lors d’auditions parlementaires en France, que leurs filiales européennes ne pouvaient garantir l’immunité face à une injonction émise en vertu du Cloud Act. En conséquence, la localisation des serveurs en Europe constitue un élément de conformité réglementaire nécessaire pour les niveaux 1 à 3 du CADA, mais insuffisant pour atteindre le niveau 4.
Pourquoi la filiale européenne ne suffit pas
Un opérateur cloud américain peut constituer une entité juridique française, désigner des administrateurs européens et héberger l’ensemble de ses données en France. Ces dispositions satisfont les niveaux 1 à 3 du CADA. Elles ne permettent pas d’atteindre le niveau 4, car la chaîne de contrôle capitalistique reste soumise au droit américain. Par ailleurs, si cet opérateur s’appuie sur des composants logiciels développés et maintenus par sa maison mère américaine, le niveau 4 est également hors d’atteinte pour la dimension logicielle.
De ce fait, la certification ne se mesure plus seulement à la géographie des données, mais à deux critères cumulatifs : l’absence de contrôle d’un pays tiers sur l’entité juridique, et l’absence de dépendance d’un pays tiers sur la chaîne logicielle. C’est la double exigence que le niveau 4 du Cloud and AI Development Act formalise en droit européen applicable.
Anticiper le CADA dans les décisions d’infrastructure
La proposition CADA est encore en examen au Parlement européen. Toutefois, plusieurs organisations anticipent ses exigences dans leurs procédures de sélection de prestataires. Cette anticipation répond à une réalité opérationnelle simple : les engagements d’infrastructure dans le secteur datacenter s’étendent sur plusieurs années. Un engagement signé en 2026 sera toujours actif lors de l’entrée en vigueur du règlement. Anticiper le niveau de conformité requis évite d’avoir à migrer sous contrainte réglementaire.
C’est pourquoi le niveau CADA applicable devient un critère d’évaluation anticipé pour les neoclouds qui construisent leur feuille de route infrastructure sur le moyen terme. En pratique, cela revient à identifier dès aujourd’hui si la chaîne de contrôle de leur opérateur d’infrastructure est compatible avec les exigences de leurs clients les plus réglementés, et à documenter cette conformité dans leur propre dossier de qualification.
Voltekko et la conformité CADA niveau 4
Voltekko est un opérateur français de colocation pour l’infrastructure IA haute densité. Son soutien financier est assuré par REED, filiale du Groupe Société Générale. Son partenaire opérationnel est EQUANS, filiale de Bouygues. Ces deux entités sont de droit français et ne relèvent d’aucune juridiction extraterritoriale étrangère. Voltekko ne dépend d’aucun hyperscaleur non européen pour ses opérations ou sa chaîne logicielle. À ce titre, sa structure est compatible avec les exigences de contrôle définies par le niveau 4 du Cloud and AI Development Act.
Questions fréquentes
Qu’est-ce que le Cloud and AI Development Act ?
Le Cloud and AI Development Act (CADA, COM(2026) 502) est une proposition de règlement européen d’application directe, publiée le 3 juin 2026. Il établit quatre niveaux d’assurance souveraine pour les services cloud et les infrastructures IA. Ce cadre conditionne l’accès aux marchés publics à des exigences croissantes de sécurité, de résilience et de souveraineté. L’adoption finale est attendue pour fin 2027, mais ses principes influencent déjà les procédures de qualification en cours.
La localisation des serveurs en Europe suffit-elle pour le niveau 4 du CADA ?
Non. La localisation physique des serveurs en Europe est nécessaire aux niveaux inférieurs, mais elle ne suffit pas pour le niveau 4. À ce niveau, le CADA exige que le fournisseur ne soit pas contrôlé par un pays tiers, et qu’aucun pays tiers n’exerce de contrôle effectif sur sa chaîne logicielle. Un fournisseur dont la maison mère est américaine reste soumis au Cloud Act, quelle que soit la localisation de son infrastructure. Il ne satisfait donc pas les critères du niveau 4.
Le CADA s’applique-t-il uniquement aux marchés publics ?
La proposition CADA conditionne directement l’accès aux contrats publics selon le niveau d’assurance requis. Toutefois, ses effets dépassent ce périmètre. En effet, les neoclouds dont les clients institutionnels sont soumis à un niveau d’assurance élevé doivent eux-mêmes répondre à des critères équivalents pour conserver leur qualification fournisseur. Ainsi, la conformité CADA se propage progressivement de l’aval vers l’amont dans la chaîne de valeur des services cloud et d’infrastructure IA destinés aux entités régulées.
Contacter Voltekko pour en savoir plus sur notre infrastructure et sa conformité souveraine.