Bruxelles vient de poser la pièce la plus lourde de son arsenal contre les géants américains du cloud. Le Cloud and AI Development Act (CADA), présenté le 3 juin 2026 par la Commission européenne, introduit un barème à quatre niveaux qui peut fermer aux fournisseurs non européens l’accès aux données publiques les plus sensibles. Trois semaines plus tard, la Commission a aggravé la pression en notifiant à Amazon et Microsoft qu’elle envisage de classer AWS et Azure comme des « gatekeepers » au titre du Digital Markets Act (DMA), une première pour des services cloud. Deux textes, un seul message : l’Europe veut reprendre la main sur l’infrastructure qui fait tourner son administration et, de plus en plus, son intelligence artificielle.
Pour les équipes techniques et les directions des systèmes d’information, la question n’est plus théorique. Les banques, les hôpitaux et les opérateurs d’énergie doivent désormais documenter d’où viennent leurs fournisseurs cloud, qui peut légalement accéder à leurs données, et jusqu’où va leur dépendance à des lois étrangères comme le CLOUD Act américain de 2018. Voici ce que change réellement le CADA, ce qu’il ne change pas, et ce que cela signifie pour le marché cloud européen dans les dix-huit prochains mois.
Qu’est-ce que le Cloud and AI Development Act (CADA) ?
Le CADA est une proposition de règlement européen qui établit un cadre de mesures pour renforcer l’écosystème cloud et IA du continent. Présenté sous forme de projet législatif le 3 juin 2026, le texte vise en priorité les marchés publics : il ne s’agit pas d’interdire AWS, Azure ou Google Cloud en Europe, mais de fixer des règles strictes pour les contrats publics qui traitent des données sensibles. Le document officiel, référencé COM(2026) 502 final au Conseil de l’UE, décrit un cadre de souveraineté cloud composé de quatre niveaux d’assurance croissants, du plus permissif au plus restrictif.
Le texte introduit aussi deux mécanismes moins commentés mais tout aussi structurants : des zones d’accélération pour les data centers, où les autorités nationales devront boucler les permis de construire en douze mois, et un principe de préférence pour l’open source dans les achats publics de logiciels cloud et d’IA. L’objectif affiché est de résoudre en même temps deux problèmes : le manque de capacité de calcul en Europe et la dépendance juridique aux fournisseurs soumis à des lois extraterritoriales.
Quatre niveaux de souveraineté : ce que Bruxelles impose
Le cœur technique du CADA tient dans son échelle à quatre niveaux. Chaque palier ajoute une couche d’exigences sur la localisation des données, l’origine du personnel, la propriété du capital et la certification de sécurité. Plus une administration traite des données critiques, plus elle doit grimper dans l’échelle, et plus les hyperscalers américains ont de mal à répondre au cahier des charges sans restructurer leur offre.
Niveaux 1 et 2 : localisation des données et personnel européen
Au niveau 1 (Baseline), un fournisseur doit traiter et stocker les données du client sur une infrastructure physiquement située dans l’Union. Pour les prestataires non contrôlés par une entité européenne, ce premier palier ajoute une exigence directement inspirée du contentieux transatlantique des données : garantir qu’ils ne peuvent pas être contraints de révéler des vulnérabilités système à un gouvernement étranger, une clause qui vise explicitement l’exposition au CLOUD Act américain.
Le niveau 2 (Enhanced) monte d’un cran : tout le personnel, l’infrastructure et les actifs qui délivrent le service au secteur public doivent être basés dans l’UE, avec une certification cloud européenne et des mesures techniques empêchant tout accès depuis un pays tiers. C’est le seuil à partir duquel une simple filiale européenne d’un groupe américain commence à ne plus suffire.
Niveaux 3 et 4 : propriété européenne obligatoire
Le niveau 3 (Strict) introduit une exigence de propriété : le contrôle du fournisseur doit être européen, avec des dérogations limitées aux pays bénéficiant d’une décision d’adéquation et ouvrant réellement leur marché aux entreprises européennes. Ce niveau cible les prestataires qui « contribuent au maintien de l’ordre public », une catégorie volontairement large qui touche de nombreux montages de cloud souverain actuels, y compris certains partenariats entre hyperscalers américains et opérateurs locaux.
Le niveau 4 (Strictest) exige une propriété européenne totale, sans dérogation, la certification de cybersécurité européenne la plus élevée et une indépendance démontrée envers les gouvernements de pays tiers, jusque dans la conception logicielle et la maintenance. À ce stade, un hyperscaler contrôlé depuis les États-Unis est de fait exclu des charges de travail gouvernementales les plus sensibles, quelle que soit sa présence physique en Europe.
| Niveau | Localisation des données | Personnel et infrastructure | Propriété du capital | Fournisseurs concernés à ce jour |
|---|---|---|---|---|
| Niveau 1 (Baseline) | Obligatoire dans l’UE | Pas d’exigence stricte | Ouverte, avec garanties anti-CLOUD Act | AWS, Azure, Google Cloud (régions UE) |
| Niveau 2 (Enhanced) | Obligatoire dans l’UE | 100% basé dans l’UE | Ouverte, certification EU requise | AWS European Sovereign Cloud, offres souveraines Azure |
| Niveau 3 (Strict) | Obligatoire dans l’UE | 100% basé dans l’UE | Contrôle européen requis, dérogations limitées | OVHcloud, S3NS (Google/Thales), Bleu (Microsoft/Orange/Capgemini) |
| Niveau 4 (Strictest) | Obligatoire dans l’UE | 100% basé dans l’UE | Propriété européenne totale, aucune dérogation | Fournisseurs certifiés Gaia-X, clouds régionaux publics |
AWS et Azure classés « gatekeepers » du DMA : une décision inédite
Le 25 juin 2026, la Commission européenne a notifié à titre préliminaire à Amazon et à Microsoft que leurs services de cloud computing devraient être désignés « gatekeepers » au titre du Digital Markets Act. C’est un tournant dans l’application du DMA. Jusqu’ici, la désignation reposait sur des seuils quantitatifs précis (chiffre d’affaires, capitalisation, nombre d’utilisateurs actifs). AWS et Azure ne franchissent pas ces seuils numériques standards. La Commission a pourtant conclu que les deux plateformes constituent, selon ses termes, « une passerelle importante entre les entreprises et leurs clients dans l’UE », un critère qualitatif qui n’avait jamais servi de base à une désignation de gatekeeper depuis l’entrée en vigueur du règlement (source : AI Weekly).
Concrètement, le statut de gatekeeper impose des obligations d’interopérabilité, de portabilité des données et de non-discrimination envers les concurrents qui dépendent de la plateforme. Pour AWS et Azure, cela veut dire des règles plus dures sur la portabilité des workloads, la transparence tarifaire des frais de sortie et l’accès aux API pour des concurrents européens plus petits. C’est un changement de nature : le DMA ne visait à l’origine que les moteurs de recherche, les magasins d’applications et les réseaux sociaux. L’étendre à l’infrastructure cloud ouvre la porte à d’autres désignations futures, potentiellement Google Cloud.
Le calendrier CADA : de juin 2026 à août 2028
Le texte s’inscrit dans un calendrier serré et déjà partiellement modifié. Le 28 juillet 2026, le règlement « Digital Omnibus » (UE) 2026/1744 est entré en vigueur et a redessiné les échéances de l’AI Act qui accompagnent le CADA. Contrairement à ce que beaucoup d’entreprises pensaient, le 2 août 2026 n’était pas la date limite de déploiement des systèmes d’IA à haut risque : cette échéance a été repoussée. Elle a en revanche bel et bien déclenché les obligations de transparence de l’article 50 de l’AI Act, désormais applicables depuis trois semaines à la date de publication de cet article.
| Date | Événement |
|---|---|
| 3 juin 2026 | Présentation officielle du CADA par la Commission européenne |
| 25 juin 2026 | Notification préliminaire : AWS et Azure pressentis « gatekeepers » DMA |
| 28 juillet 2026 | Entrée en vigueur du règlement Digital Omnibus (UE) 2026/1744 |
| 2 août 2026 | Déclenchement des obligations de transparence (article 50 de l’AI Act) |
| 2 décembre 2027 | Échéance des obligations pour les systèmes d’IA à haut risque autonomes (annexe III) |
| 2 août 2028 | Échéance pour les systèmes d’IA à haut risque intégrés à un produit |
Ce calage en cascade n’est pas propre au CADA : l’AI Act lui-même a déjà connu plusieurs glissements de calendrier depuis son adoption en 2024. Les entreprises qui hébergent des systèmes d’IA sur AWS ou Azure ont reçu une consigne claire de la part des cabinets de conseil spécialisés : mettre à jour leur registre de risques pour documenter l’exposition juridictionnelle, même si elles ne changent pas de fournisseur dans l’immédiat.
Pourquoi le CLOUD Act américain reste au cœur du problème
Le fil rouge de tout le dispositif CADA, c’est le CLOUD Act de 2018, cette loi américaine qui autorise les autorités fédérales à exiger l’accès aux données détenues par une entreprise américaine, où que ces données soient stockées dans le monde. Une administration française qui héberge ses dossiers chez AWS en région Paris reste, en théorie, exposée à une réquisition américaine, parce que c’est la nationalité de la société mère qui compte, pas l’emplacement du data center.
C’est précisément ce que les niveaux 3 et 4 du CADA tentent de neutraliser en exigeant une propriété européenne du capital, et non plus seulement une localisation européenne des serveurs. Les cabinets de conformité recommandent désormais aux entreprises de documenter un risque spécifique baptisé JURI-001 (exposition juridictionnelle) dans leur registre de risques au titre de l’article 9 de l’AI Act, en précisant le statut CLOUD Act de leur fournisseur et les mesures d’atténuation mises en place, comme les clés gérées par le client ou le calcul confidentiel.
# Exemple simplifie d'entree de registre de risques (article 9 AI Act)
risk_id: JURI-001
description: "Exposition juridictionnelle du fournisseur cloud (CLOUD Act US)"
fournisseur: "AWS / Azure / GCP"
statut_cloud_act: "societe_mere_soumise_juridiction_us"
mesures_attenuation:
- cles_gerees_par_le_client: true
- calcul_confidentiel: true
- niveau_cada_cible: 2 # 1 a 4 selon la sensibilite des donnees
revision_prochaine: "2026-12-02"Ce que le CADA ne change pas : le marché privé reste ouvert
Il faut éviter un raccourci trop répandu depuis l’annonce du texte : le CADA n’interdit pas AWS, Azure ou Google Cloud en Europe. Les entreprises privées restent totalement libres de choisir la plateforme cloud de leur choix, sans restriction liée aux quatre niveaux de souveraineté. Les règles les plus strictes ne s’appliquent qu’aux organismes du secteur public qui traitent des données gouvernementales sensibles, en particulier dans la banque, l’énergie et la santé, où une évaluation obligatoire du risque de souveraineté devient une étape préalable à la signature de tout contrat cloud.
Cette distinction change la lecture du texte. Ce n’est pas une loi anti-hyperscalers au sens large, c’est une loi de commande publique qui redéfinit les critères d’attribution des marchés gouvernementaux. Pour un éditeur SaaS privé qui vend à des entreprises, rien ne change dans l’immédiat. Pour un intégrateur qui répond à des appels d’offres publics dans le secteur de la santé ou de l’énergie, tout change.
Impact pour AWS, Microsoft et Google Cloud en Europe
Les trois hyperscalers américains ont anticipé une partie de ce mouvement réglementaire bien avant la publication du texte. AWS a lancé son AWS European Sovereign Cloud, avec un investissement annoncé de 7,8 milliards d’euros, et a ouvert une zone locale à Athènes en juillet 2026 pour densifier sa présence régionale. Microsoft a construit son offre Bleu avec Orange et Capgemini comme opérateurs locaux, tandis que Google s’appuie sur S3NS, sa coentreprise avec Thales, pour viser une conformité de niveau 3 sur le sol français.
Ces montages restent toutefois fragiles face au niveau 4 du CADA, qui exige une propriété européenne sans dérogation. Dès qu’un groupe américain garde un lien capitalistique ou technologique de contrôle avec l’entité locale, même minoritaire, le doute juridique persiste sur sa capacité à répondre au palier le plus strict. Le statut de gatekeeper DMA ajoute une seconde contrainte, cette fois commerciale : plus de portabilité imposée, plus de transparence sur les frais de sortie, ce qui pourrait, à terme, éroder une partie de l’avantage de verrouillage (« lock-in ») qui a fait la rentabilité du cloud américain en Europe depuis quinze ans.
Les gagnants potentiels : OVHcloud, Gaia-X et le cloud souverain
Le texte crée, de fait, un marché captif pour les fournisseurs qui peuvent revendiquer une propriété européenne complète. OVHcloud, déjà en position de force sur le marché français, en profite malgré des tensions tarifaires : le groupe a relevé ses prix de 87% sur certaines gammes en un an, un choix commercial qui montre que la demande dépasse déjà l’offre disponible. Les fournisseurs certifiés Gaia-X, le label de confiance porté par un consortium franco-allemand, deviennent une référence de facto pour documenter la conformité aux niveaux 3 et 4.
Un rapport publié fin juillet 2026 recense onze fournisseurs cloud européens à surveiller, répartis entre plateformes de développeurs et infrastructures pures, du danois à l’allemand en passant par la France (European Tech Map). Le problème pour ces acteurs reste la capacité : la France, l’Allemagne et les Pays-Bas manquent encore de data centers pour absorber une bascule massive des marchés publics, ce qui explique pourquoi le CADA associe son volet réglementaire à un volet infrastructure.
Zones d’accélération : la course aux data centers européens
Le CADA oblige les autorités nationales à boucler les permis de construire pour les nouveaux data centers en douze mois dans des « zones d’accélération » dédiées. C’est une réponse directe au déficit de capacité de calcul européen, régulièrement cité comme le principal frein à une souveraineté numérique crédible. En parallèle, un consortium mené par le Fraunhofer développe depuis août 2026 un plan directeur open source pour une infrastructure cloud-edge européenne, neutre vis-à-vis des fournisseurs, garantissant l’interopérabilité entre plateformes concurrentes (Fraunhofer).
Cette course à l’infrastructure locale intervient alors que les investissements mondiaux dans le cloud lié à l’IA explosent : AWS, Azure et Google misent ensemble près de 595 milliards de dollars de dépenses d’investissement sur la période récente, selon les données déjà publiées sur les résultats des trois groupes. Une partie de cette manne devra désormais transiter par des filiales conformes au CADA si les hyperscalers veulent continuer à capter les marchés publics européens les plus lucratifs.
Comparatif : niveaux CADA contre offres actuelles des hyperscalers
Le tableau ci-dessous met en regard les quatre niveaux du CADA et la situation réelle des principaux fournisseurs actifs en Europe à la date de publication. Il permet de visualiser où chacun se situe et ce qu’il lui reste à prouver pour grimper d’un palier.
| Fournisseur | Niveau CADA atteignable aujourd’hui | Point de blocage principal | Statut DMA (gatekeeper) |
|---|---|---|---|
| AWS (régions UE standards) | Niveau 1 | Propriété du capital 100% américaine | Notifié le 25 juin 2026 |
| AWS European Sovereign Cloud | Niveau 2, vise le niveau 3 | Gouvernance encore liée à la maison mère | Notifié le 25 juin 2026 |
| Microsoft Azure / Bleu (Orange-Capgemini) | Niveau 2 à 3 selon l’entité | Dépendance technologique résiduelle à Microsoft | Notifié le 25 juin 2026 |
| Google Cloud / S3NS (Thales) | Niveau 2 à 3 | Licence technologique Google sous-jacente | Pas encore notifié |
| OVHcloud | Niveau 3 à 4 | Capacité d’infrastructure limitée face à la demande | Non concerné (hors seuils DMA) |
| Fournisseurs certifiés Gaia-X (petite échelle) | Niveau 4 | Taille et couverture géographique réduites | Non concerné |
Contexte historique : de Schrems II au CADA
Le CADA ne sort pas de nulle part. Il s’inscrit dans une séquence réglementaire européenne qui dure depuis huit ans. Le RGPD, entré en application en 2018, a posé les premières bases de la protection des données personnelles face aux transferts internationaux. En 2020, l’arrêt Schrems II de la Cour de justice de l’UE a invalidé le Privacy Shield, l’accord qui encadrait les transferts de données vers les États-Unis, précisément parce que le CLOUD Act rendait ces données accessibles aux autorités américaines sans garantie équivalente au droit européen.
Un nouveau cadre transatlantique, le Data Privacy Framework, a suivi en 2023 pour combler le vide juridique, mais sans lever le doute structurel sur l’exposition juridictionnelle. Entre-temps, DORA est entré en pleine application en janvier 2025 pour le secteur financier, et NIS2 a étendu les obligations de cybersécurité aux infrastructures critiques à travers les États membres. Le CADA arrive donc comme la pièce qui manquait : après avoir régulé les données (RGPD), la résilience opérationnelle (DORA) et la cybersécurité (NIS2), Bruxelles régule enfin l’infrastructure cloud elle-même, celle sur laquelle reposent toutes les couches précédentes.
Réactions du secteur cloud et de la cybersécurité
La presse spécialisée européenne a largement documenté la portée du texte depuis juin 2026. Tech Times a qualifié le CADA de « l’assaut le plus complet à ce jour de l’UE contre la domination américaine du cloud », en soulignant que la logique du texte repose sur la souveraineté plutôt que sur une quelconque faute des fournisseurs visés (Tech Times, juin 2026). De son côté, CSO Online a nuancé l’enthousiasme autour du cloud souverain en rappelant qu’une infrastructure localisée en Europe ne règle pas, à elle seule, les problèmes de gouvernance des identités et des accès, qui restent la première cause de fuite de données dans les environnements IA hébergés sur le cloud (CSO Online).
Ce débat résume assez bien la tension actuelle : la souveraineté juridique et géographique ne remplace pas une bonne hygiène de sécurité. Une administration qui migre vers un fournisseur certifié niveau 4 mais qui garde des identifiants mal segmentés ou des clés d’API exposées n’aura rien gagné en matière de risque réel, même si elle a gagné en conformité réglementaire.
Cinq prévisions pour le marché du cloud européen
- Les hyperscalers vont créer davantage d’entités juridiques dédiées. AWS, Microsoft et Google devraient multiplier les coentreprises à gouvernance européenne majoritaire pour viser le niveau 3, sur le modèle Bleu et S3NS.
- OVHcloud et les acteurs Gaia-X vont capter une part croissante des marchés publics. Les secteurs banque, énergie et santé constitueront le premier terrain d’application concret des niveaux 3 et 4.
- Le calendrier du CADA glissera probablement, à l’image des reports déjà observés sur l’AI Act via le Digital Omnibus, plutôt qu’une entrée en vigueur stricte dès l’adoption finale du texte.
- Le statut de gatekeeper DMA pourrait s’étendre à Google Cloud dans les prochains mois si la Commission confirme sa lecture qualitative du critère de « passerelle importante ».
- La pénurie de data centers restera le vrai goulot d’étranglement, indépendamment du calendrier réglementaire, tant que les zones d’accélération n’auront pas produit de capacité supplémentaire mesurable.
Ce que les entreprises doivent faire dès maintenant
Pour les équipes cloud et sécurité, l’urgence n’est pas de migrer dans la panique mais de cartographier l’exposition actuelle. Trois actions concrètes reviennent dans les recommandations des cabinets spécialisés en conformité AI Act et cloud : documenter le statut CLOUD Act de chaque fournisseur utilisé pour des charges de travail sensibles, activer le chiffrement avec des clés gérées par le client partout où c’est possible, et classer chaque contrat public selon le niveau CADA qu’il devra vraisemblablement atteindre avant fin 2027.
Pour les entreprises purement privées, sans contrat public, le CADA n’impose aucune obligation directe à ce stade. Mais ignorer le mouvement serait une erreur stratégique. Les clauses de portabilité issues du statut de gatekeeper DMA vont progressivement changer les contrats standards des hyperscalers, y compris ceux signés par des clients privés, en matière de frais de sortie et d’interopérabilité des API.
Foire aux questions
Qu’est-ce que le CADA en une phrase ?
C’est un projet de règlement européen, présenté le 3 juin 2026, qui fixe quatre niveaux de souveraineté cloud pour les marchés publics sensibles et pousse les fournisseurs à prouver une propriété et une gouvernance européennes aux niveaux les plus stricts.
AWS et Azure sont-ils interdits en Europe ?
Non. Le CADA ne s’applique qu’aux marchés publics traitant des données sensibles. Les entreprises privées restent totalement libres de choisir AWS, Azure ou Google Cloud sans restriction liée au texte.
Qu’est-ce qu’un « gatekeeper » au sens du DMA ?
C’est un statut prévu par le Digital Markets Act qui impose des obligations d’interopérabilité et de non-discrimination à une plateforme jugée incontournable. AWS et Azure ont été notifiés le 25 juin 2026 comme candidats à cette désignation pour leurs services cloud, sur la base d’un critère qualitatif inédit plutôt que des seuils chiffrés habituels.
Quelles organisations sont concernées par les quatre niveaux ?
En priorité les organismes publics dans la banque, l’énergie et la santé, qui doivent réaliser une évaluation obligatoire du risque de souveraineté avant de signer un contrat cloud.
Le cloud souverain européen est-il assez mature aujourd’hui ?
Partiellement. Des acteurs comme OVHcloud ou les fournisseurs certifiés Gaia-X peuvent viser les niveaux 3 et 4, mais la capacité d’infrastructure reste limitée face à la demande, ce qui explique la hausse de prix récente observée chez certains fournisseurs français.
Le CADA remplace-t-il le RGPD ?
Non, il vient s’ajouter au RGPD, à DORA et à NIS2. Le RGPD encadre les données personnelles, DORA la résilience opérationnelle du secteur financier, NIS2 la cybersécurité des infrastructures critiques, et le CADA régule désormais l’infrastructure cloud et IA sous-jacente à ces trois cadres.
Quand le CADA entrera-t-il pleinement en vigueur ?
Le texte est encore au stade de proposition législative et doit suivre le processus normal de négociation entre Parlement européen et Conseil. Les échéances liées à l’AI Act qui l’accompagnent s’étalent déjà jusqu’au 2 décembre 2027 et au 2 août 2028, ce qui donne une idée du rythme probable d’application complète.
Que risque une entreprise qui ignore ces règles ?
Pour un organisme public, le principal risque est de se voir exclu d’un marché ou de devoir résilier un contrat cloud non conforme après l’entrée en vigueur définitive. Pour une entreprise privée, le risque est plus indirect : rater les évolutions contractuelles des hyperscalers liées au statut de gatekeeper DMA.
Related Coverage
- AWS Ouvre un Cloud Souverain en UE : 7,8 Md€ [2026]
- OVHcloud Hausse ses Prix de 87%, RAM x6 sur 1 An [2026]
- Capex Cloud IA : AWS, Azure, Google Misent 595 Md$ [2026]
- ANSSI : Post-Quantique Obligatoire dès 2027 [2026]
- AWS vs GCP vs Azure : GCP Cuts SQL Costs 30% [2026]
- Toute l’actualité Cloud sur shattered.io
