En migrant vers le Cloud, les entreprises s’interrogent sur la souveraineté de leurs données. Face aux promesses des éditeurs, les directions achats doivent distinguer les garanties réelles des arguments marketing.

Q1 : Héberger ses données en Europe suffit-il à garantir leur souveraineté ?

La souveraineté désigne la capacité d’une organisation à conserver la maîtrise de ses données et de ses choix technologiques. Héberger ses données dans l’Union européenne ne suffit pas à garantir cette souveraineté. Le Cloud Act de 2018 permet aux autorités américaines d’accéder aux données  » détenues, sous la garde ou contrôlées  » par les fournisseurs soumis à leur juridiction, quel que soit leur lieu de stockage, ce qui concerne aussi les sociétés ayant une filiale aux États-Unis, voire celles qui ont des activités ciblant le marché américain. Aucune de ces sociétés ne peut s’affranchir de cette loi.

Q2 : Quels sont les risques réels à confier ses données à ces grands éditeurs ?

Pour l’acheteur, le risque ne se limite pas au prix du service. Le choix d’un fournisseur Cloud engage l’entreprise sur plusieurs années et peut créer une dépendance technique difficile à remettre en cause. À cela s’ajoutent des risques juridiques concernant le RGPD, le secret des affaires, la propriété intellectuelle et les engagements contractuels de confidentialité, ainsi que des risques stratégiques lorsque les données concernent la R&D, des informations financières ou des savoir-faire sensibles.

Q3 : Comment l’acheteur peut-il agir pour limiter l’exposition de son entreprise ?

Il convient d’abord d’évaluer l’exposition de votre environnement Cloud aux lois extraterritoriales, aux embargos et aux restrictions à l’exportation. La cartographie des données permet ensuite d’identifier les informations les plus sensibles et, si nécessaire, d’envisager leur maintien sur une infrastructure souveraine. Enfin, le contrat doit être audité et négocié afin de renforcer la transparence, d’encadrer les responsabilités et de sécuriser la réversibilité.

Les chiffres à retenir et le regard de l’expert

  • 264 Mds € versés chaque année par l’Europe aux acteurs US du cloud (CIGREF, 2025).
  • 72 % : part des entreprises non conformes au règlement européen sur l’IA (EY Europe, 2025).
  • 35 M€ ou 7 % du CA : sanction maximale en cas de non-respect de l’AI Act (Art. 99)

« La souveraineté ne se décrète pas par de simples clauses de localisation géographique. L’acheteur IT doit désormais transformer la contrainte réglementaire en un véritable levier de négociation pour préserver l’indépendance de son entreprise. » Claudia WEBER

–

Claudia Weber, Avocat associé fondateur ITLAW Avocats.

Cet article est à retrouver dans la revue Parlons HA, n°1 – Juillet 2026

ITLAW Avocats mobilise ses talents et son expertise en matière de protection des  données personnelles, de projets informatiques  complexes, de  contrats, d’innovation et de  propriété intellectuelle  ainsi que sa connaissance de l’écosystème IT et son expertise en matière de négociation pour vous accompagner dans la sécurisation de vos projets complexes. 

Nous contacter

Nous contacter