C’est devenu l’argument commercial réflexe de tout outil d’IA vendu en France : « vos données sont hébergées dans l’Union européenne ». La formule est efficace parce qu’elle répond à une inquiétude légitime — où vont mes données ? — par une image simple : elles restent près de chez vous. Le problème, c’est que la localisation d’un serveur n’a jamais protégé personne. La souveraineté ne se mesure pas en kilomètres ; elle se mesure en pouvoir : qui peut lire, qui peut contraindre, qui peut changer les règles, et que vous reste-t-il le jour où vous voulez partir. Quatre pouvoirs, dont aucun ne dépend de l’adresse du datacenter.
Ce que l’hébergement européen garantit — et ce qu’il ne garantit pas
Disons d’abord ce qui est vrai : héberger des données dans l’Union simplifie la vie réglementaire. Pas de transfert hors UE à encadrer, une latence moindre, et un signal de bonne volonté du fournisseur. Ce n’est pas rien, et ce n’est pas un mensonge. Mais le RGPD s’applique à vos données où qu’elles soient traitées dès lors qu’elles concernent des Européens — l’hébergement local n’ajoute pas un droit que vous n’aviez pas. Ce qu’il ne change surtout pas, c’est la question décisive : à quel droit le fournisseur lui-même est-il soumis ?
Car un serveur à Francfort ou à Gravelines exploité par une société soumise au droit d’un État tiers reste, juridiquement, à portée de ce droit-là. La géographie de la machine et la nationalité juridique de l’opérateur sont deux choses distinctes — et c’est la seconde qui commande. « Vos données sont en Europe » est une réponse à la question « où sont les disques ? ». La bonne question est : « qui peut donner des ordres à celui qui tient les disques ? ».
Le Cloud Act en une minute
Le CLOUD Act américain, adopté en 2018, dit une chose simple : un fournisseur soumis à la juridiction des États-Unis peut être contraint de remettre des données qu’il contrôle, où qu’elles soient stockées dans le monde. Ce n’est pas une théorie du complot, c’est un texte public, pensé pour les enquêtes pénales, avec ses procédures et ses garde-fous. Mais il pose un principe structurel : pour un opérateur américain — et pour ses filiales — la localisation européenne du datacenter n’est pas une muraille. Elle n’est même pas un obstacle sérieux.
Il ne s’agit pas de dramatiser : pour l’immense majorité des PME, le risque de réquisition américaine est faible. Il s’agit d’être précis sur ce qu’on achète. Quand une plaquette met en avant l’hébergement européen d’un service opéré par un groupe soumis à un droit extraterritorial, elle vend une protection que le montage ne fournit pas. Si votre exigence est contractuelle et symbolique, cela peut suffire. Si elle est réelle — secret professionnel, données stratégiques, exigence d’un donneur d’ordres —, il faut regarder plus haut que l’adresse : la structure capitalistique et le droit applicable, ou mieux, une architecture où la question ne se pose plus.
Le test en trois questions
Première question : quel droit s’applique à votre fournisseur — pas à ses serveurs, à lui ? Qui est la maison mère, de quel État relève-t-elle, et ses engagements de confidentialité résisteraient-ils à une injonction de son droit national ? Un fournisseur européen de droit européen, a fortiori qualifié SecNumCloud par l’ANSSI, ne répond pas à cette question comme la filiale européenne d’un groupe étranger. Ce n’est pas une nuance : c’est toute la différence entre une promesse commerciale et une impossibilité juridique.
Deuxième question : que permettent les conditions d’utilisation — aujourd’hui, et après leur prochaine mise à jour ? Usage de vos contenus pour améliorer le service, revue humaine d’échantillons, journalisation des requêtes, chaîne de sous-traitants : tout cela vit dans des documents que le fournisseur peut réviser unilatéralement. Une conformité qui dépend de la version courante des CGU d’un tiers n’est pas un état, c’est un abonnement. Troisième question : pouvez-vous partir ? Dans quel format récupérez-vous vos données et vos historiques, en combien de temps, et que savez-vous encore faire sans l’outil ? Une dépendance dont on ne peut pas sortir n’est pas un partenariat — c’est une rente, que vous payez.
La souveraineté est un curseur, pas un slogan
Ces trois questions dessinent une échelle honnête, du service grand public opéré sous droit tiers jusqu’à la machine locale, en passant par le cloud européen de droit européen et les offres qualifiées SecNumCloud. Aucun barreau de cette échelle n’est « le bon » dans l’absolu : le bon niveau dépend de la donnée. Votre veille sectorielle peut vivre n’importe où ; vos contrats et vos dossiers clients méritent l’étage au-dessus ; et ce qui relève du secret ou de votre avantage compétitif justifie l’étage où plus personne d’autre que vous ne peut lire — l’IA locale, chez vous, où les trois questions du test reçoivent la même réponse : vous, personne d’autre, et vous restez chez vous.
C’est le sens de notre travail avec AQUIFÈRE et du diagnostic qui le précède : non pas prêcher le local pour tout — ce serait aussi faux que le tout-cloud —, mais placer chaque usage au bon barreau de l’échelle, en connaissance de cause. La prochaine fois qu’une plaquette vous promet des « données hébergées en Europe », vous saurez quoi répondre : très bien — et maintenant, les trois questions.
Où en êtes-vous, vraiment, sur l’échelle de la souveraineté ?
Le Radar IA fait le point en une intervention courte : quels outils vos équipes utilisent réellement, quelles données partent où, sous quel droit — et lesquelles mériteraient de ne plus sortir du tout. Une cartographie factuelle, sans dogme, pour décider en connaissance de cause.
Découvrir le Radar IA →