Depuis avril 2026, l’État n’a plus le droit de mettre ses données sensibles dans le cloud américain. Et vous ?

Ce qui s’est passé, et quand

La doctrine « Cloud au centre » date d’une circulaire du 5 juillet 2021. Elle disait aux administrations de privilégier des solutions souveraines pour leurs données sensibles. C’était une recommandation : rien ne se passait si on ne la suivait pas.

Deux textes l’ont transformée en obligation. La loi SREN, promulguée le 21 mai 2024, a posé le principe. Le décret n° 2026-272 du 14 avril 2026 en a fixé l’application. Publié au Journal officiel le 16 avril, il est entré en vigueur le lendemain. Depuis cette date, les administrations de l’État, leurs opérateurs et six groupements d’intérêt public qui traitent des données sensibles doivent passer par des fournisseurs qualifiés SecNumCloud, le référentiel de l’ANSSI. La qualification exige que le fournisseur soit à l’abri des lois extraterritoriales, avec notamment des règles sur la localisation de son actionnariat : un fournisseur soumis au Cloud Act américain ne peut donc pas l’obtenir.

Dans le même mouvement, l’État équipe ses propres agents. Un assistant d’intelligence artificielle est déployé auprès de plus d’un million d’agents publics, sur une infrastructure souveraine, avec une stratégie assumée de limiter le recours aux solutions non souveraines. La raison affichée est intéressante : l’administration a constaté un usage massif d’outils non sécurisés par ses agents, et veut reprendre la main dessus.

Qui est obligé, qui ne l’est pas

Disons les choses nettement, parce que le sujet se prête aux raccourcis commerciaux.

• Sont obligées : les administrations de l’État, leurs opérateurs, et les six groupements d’intérêt public visés, pour leurs données qualifiées de sensibles. Pour eux, ce n’est plus un arbitrage, c’est le droit.
• Ne sont pas obligées par ce texte : les entreprises privées, quelle que soit leur taille, et les collectivités territoriales, qui ne sont pas dans le périmètre du décret. Une proposition de loi en discussion veut étendre l’obligation aux collectivités de plus de 30 000 habitants ; elle n’est pas adoptée à ce jour.
• Sont concernées en pratique sans être visées : toutes les structures qui travaillent avec le secteur public et dont les interlocuteurs s’alignent sur ces exigences, par contrat ou par prudence.

Si vous êtes une PME, personne ne viendra vous reprocher d’utiliser un outil américain. La question n’est pas là. Elle est de savoir pourquoi l’État, qui n’est pas réputé pour sa vitesse, a jugé nécessaire de se l’interdire à lui-même.

Pourquoi certains métiers étaient déjà concernés

Trois situations n’ont pas attendu 2026 pour poser problème, et aucune ne dépend du décret.

Le secret professionnel d’abord. Un avocat, un expert-comptable ou un notaire sont tenus au secret professionnel. Pour les experts-comptables, c’est l’article 21 de l’ordonnance du 19 septembre 1945, qui renvoie aux peines de l’article 226-13 du code pénal. Ce secret ne s’arrête pas à la porte d’un outil d’intelligence artificielle. Coller une pièce de procédure ou un dossier client dans un assistant grand public, c’est le transmettre à un tiers.

Les données de santé ensuite. Leur hébergement exige la certification HDS. Un assistant grand public n’est pas un hébergeur de données de santé certifié, et il n’a pas vocation à le devenir. Le dossier d’un patient n’a donc rien à y faire, quelle que soit la bonne volonté de celui qui le colle.

Les transferts hors d’Europe enfin. Confier des données personnelles à un fournisseur soumis au droit américain expose à un accès extraterritorial, indépendamment de l’endroit où les serveurs sont physiquement installés. La Cour de justice de l’Union européenne a invalidé deux accords de transfert successifs : le Safe Harbor par l’arrêt Schrems du 6 octobre 2015, puis le Privacy Shield par l’arrêt Schrems II du 16 juillet 2020. Le cadre actuel, le Data Privacy Framework, a été validé par le Tribunal de l’Union européenne le 3 septembre 2025, mais un pourvoi a été formé devant la Cour de justice le 31 octobre 2025. Une entreprise qui construit sa conformité dessus construit sur un sol qui a déjà cédé deux fois.

Le vrai risque est déjà chez vous

Pendant qu’on discute du cadre, l’intelligence artificielle est déjà entrée dans les entreprises. Pas par la porte, par les côtés. Un collaborateur qui colle un contrat dans un assistant gratuit pour en avoir un résumé. Une assistante qui fait rédiger un courrier à partir d’un dossier client. Un conducteur de travaux qui photographie une procédure et demande qu’on la lui explique.

Personne ne fait ça par négligence. Ils le font parce que l’outil est utile et qu’il n’y a rien d’autre. C’est exactement le constat que l’État vient de faire sur ses propres agents, et c’est pour ça qu’il a choisi d’équiper plutôt que d’interdire. L’interdiction ne marche pas : elle rend l’usage invisible, pas inexistant.

Si vous voulez savoir où vous en êtes, la question à poser à votre équipe n’est pas « est-ce que vous utilisez l’IA ». C’est « qu’est-ce que vous y avez mis la semaine dernière ». Les réponses sont souvent instructives.

Ce que « souverain » veut dire en pratique

Le mot est utilisé à tort et à travers. Dans les faits, il recouvre deux situations très différentes, et il vaut mieux savoir laquelle on achète.

• L’installation locale : un modèle ouvert, téléchargé une fois, exécuté sur une machine qui vous appartient, dans vos locaux. Rien ne sort, parce qu’il n’y a aucun flux sortant. Le test est simple : on débranche le réseau et l’outil répond toujours.
• L’hébergement souverain qualifié : le traitement a lieu chez un fournisseur français qualifié SecNumCloud, donc hors de portée des lois extraterritoriales. Les données sortent de vos murs, mais elles restent dans un cadre juridique maîtrisé.
• Ce qui n’est pas souverain, malgré les apparences : un service américain dont les serveurs sont situés en Europe. La localisation des machines ne change rien à la loi applicable à l’entreprise qui les exploite.

Le choix entre les deux premières options dépend de vos usages, de votre volume de documents et du matériel que vous êtes prêt à acquérir. Ce n’est pas une question idéologique, c’est une question d’architecture.

Par où commencer

Par un état des lieux, pas par un achat. Ce que votre équipe utilise déjà, quelles données circulent et par où, ce que votre métier vous impose, et quels usages vaudraient vraiment le coup chez vous. C’est ce que fait un diagnostic de souveraineté et d’IA, et il peut parfaitement conclure qu’il n’y a rien à installer.

Une dernière chose, pour la route. Le décret d’avril 2026 ne vous oblige à rien si vous êtes une entreprise privée. Mais quand l’acheteur public, le donneur d’ordre industriel et l’ordre professionnel convergent sur la même exigence, l’obligation finit rarement par rester là où elle a commencé.