La réponse courte
Le 3 juin 2026, la Commission européenne a proposé le Cloud and AI Development Act (CADA), le vaisseau amiral de son paquet sur la souveraineté technologique. La proposition accélérerait la construction de centres de données dans l'UE — avec l'objectif de tripler la capacité en cinq à sept ans — et instaurerait un cadre unique à l'échelle de l'UE notant les services cloud et IA selon quatre niveaux d'assurance de souveraineté. À ses côtés figurent un Chips Act 2.0 et une stratégie open source de l'UE.
CADA est une proposition, pas encore une loi : il doit encore être adopté par le Parlement européen et le Conseil. Mais la direction est sans ambiguïté. Pour les équipes logicielles qui vendent en France et en Europe, la souveraineté du cloud — où résident les données, qui exploite l'infrastructure et quel droit y accède — passe du confort au critère d'achat formel. Le travail commence maintenant, tant qu'il reste peu coûteux.
Ce que contient réellement le paquet souveraineté
La Commission présente le paquet comme sa réponse à la dépendance de l'Europe au cloud, aux puces et à l'IA hors UE. CNBC a capté le ton politique avec une citation de Bruxelles : les responsables veulent s'assurer que « personne ne détient un interrupteur d'arrêt » sur l'infrastructure numérique critique de l'Europe. Au-delà de la rhétorique, trois chantiers concrets comptent pour les équipes techniques :
- Cloud and AI Development Act (CADA). Un cadre pour financer la capacité cloud et IA européenne et définir comment le secteur public doit évaluer la souveraineté des services qu'il achète.
- Chips Act 2.0. Un programme semi-conducteurs de deuxième génération visant à réduire la dépendance aux pays tiers pour la conception et la fabrication de puces, avec l'intention affichée de prioriser une fonderie de pointe au sein du bloc.
- Stratégie open source de l'UE. Une stratégie pour promouvoir les solutions et développeurs open source européens et intégrer les communautés open source à la normalisation de l'UE.
Le fil conducteur, c'est le contrôle : l'Europe veut pouvoir exploiter davantage de la pile — silicium, centres de données, modèles et logiciels au-dessus — indépendamment d'un unique fournisseur étranger. C'est une ambition de politique industrielle, mais elle atterrit chez les équipes techniques sous forme de questions concrètes : où tournent les charges de travail et qui peut y toucher.
Qu'est-ce que CADA et que changerait-il ?
CADA (formellement COM(2026) 502) fixe trois objectifs. Premièrement, soutenir la recherche, le développement et l'innovation dans les technologies cloud et IA de pointe et durables. Deuxièmement, accélérer le déploiement de centres de données dans l'UE, avec l'objectif explicite de tripler la capacité en cinq à sept ans. Troisièmement — et c'est la partie qui remodèle les décisions d'achat — instaurer un cadre d'évaluation unique à l'échelle de l'UE pour la souveraineté du cloud et de l'IA.
Aujourd'hui, « cloud souverain » ne veut pas dire la même chose en France, en Allemagne et aux Pays-Bas, chacun avec ses propres labels et critères. L'ambition de CADA est un étalon commun sur le marché unique. Pour un fournisseur, c'est en réalité une bonne nouvelle : un seul cadre à satisfaire plutôt qu'une mosaïque. Le hic : cet étalon mesure des choses que beaucoup de SaaS d'origine américaine n'ont jamais eu à exposer — la juridiction qui s'applique à leurs données et la nationalité de l'entité qui exploite leur infrastructure.
CADA s'applique-t-il aux fournisseurs américains ?
Pas comme une interdiction, ni comme une obligation directe à la manière du règlement IA. CADA relève de la commande publique et de la politique industrielle. Il modifie les critères que les organismes publics de l'UE — et, par gravité, les acheteurs privés régulés dans la FinTech, la santé et le secteur public — utilisent pour choisir leurs services cloud et IA. La souveraineté s'ajoute au prix et aux fonctionnalités comme dimension notée.
L'effet pratique sur un fournisseur américain est donc concurrentiel, pas prohibitif. Si un réseau hospitalier européen ou une banque doit atteindre un niveau d'assurance donné, un fournisseur capable de démontrer une résidence des données dans l'UE, des opérations basées dans l'UE et une résistance à la portée juridique extraterritoriale franchira la barre ; celui qui ne le peut pas sera écarté avant la démonstration. Le sous-texte inconfortable pour les fournisseurs américains, c'est la portée de lois comme le CLOUD Act : les acheteurs de l'UE demandent de plus en plus si un gouvernement étranger pourrait contraindre l'accès à leurs données — et une réponse convaincante a désormais une valeur commerciale.
Ce que cela signifie pour le marché français
Pour les acheteurs français, la souveraineté des données n'est pas une idée neuve mais un durcissement d'attentes déjà installées. Les administrations, les banques sous supervision de l'ACPR et les établissements de santé hébergeant des données de santé (agrément HDS) interrogent déjà le lieu de traitement, l'opérateur et la juridiction. CADA fait passer ces questions du niveau national au niveau européen et rend la réponse comparable. Pour les fournisseurs, l'enseignement est clair : arrimer proprement sa posture de souveraineté au RGPD et à SecNumCloud évite d'avoir à la réexpliquer pays par pays.
Les quatre niveaux d'assurance de souveraineté
CADA définit la souveraineté du cloud et de l'IA à travers quatre niveaux d'assurance, que les organismes publics appliquent selon leur propre analyse de risque. La proposition les présente comme une échelle : les niveaux supérieurs exigent des garanties plus fortes sur le lieu de stockage et de traitement des données, sur qui exploite et contrôle l'infrastructure, et sur le degré d'isolement du service vis-à-vis d'une juridiction hors UE. Les niveaux bas conviennent aux charges à faible risque ; le niveau le plus élevé vise les données gouvernementales sensibles et d'infrastructure critique.
Les critères techniques précis seront affinés à mesure que la proposition avance dans le processus législatif : traitez donc les niveaux comme une direction plutôt qu'une checklist finalisée. L'intention de conception est toutefois claire et mérite d'être intégrée : elle permet à un acheteur de dire « cette charge exige le niveau 3 » et à un fournisseur de répondre « voici comment nous atteignons le niveau 3 » de façon comparable dans les 27 États membres.
| Dimension examinée par les niveaux | Ce que l'acheteur demande vraiment |
|---|---|
| Localisation des données | Les données sont-elles stockées et traitées dans l'UE, sauvegardes et journaux compris ? |
| Contrôle opérationnel | Qui exploite l'infrastructure au quotidien, et sous quel contrôle capitalistique ? |
| Isolation juridictionnelle | Un gouvernement hors UE peut-il contraindre l'accès à ces données ou à ce service ? |
| Autonomie technique | Le service continue-t-il de fonctionner si un fournisseur étranger se retire ? |
Chips Act 2.0 et la stratégie open source
Deux compléments bouclent le paquet. Le Chips Act 2.0 est un programme semi-conducteurs renouvelé, visant la couche sous tout le reste : il cible la dépendance de l'Europe aux pays tiers pour la conception et la fabrication de puces, et la Commission a indiqué vouloir prioriser la construction d'une fonderie de pointe dans le bloc. Pour la plupart des équipes logicielles, c'est davantage une météo de fond qu'une tâche — mais un rappel que la puissance de calcul, et donc la disponibilité et le prix des GPU pour les charges IA de l'UE, se joue désormais au niveau politique.
La stratégie open source de l'UE est plus proche du terrain des développeurs. Elle promeut les solutions et développeurs open source européens et intègre les communautés open source à la normalisation de l'UE. Si votre produit s'appuie sur des composants open source ou que vous contribuez en amont, attendez-vous à ce que l'open source soit traité comme un atout de souveraineté — une dépendance que l'Europe peut inspecter et contrôler — plutôt qu'un risque. Ce cadrage joue en votre faveur si vous positionnez une pile transparente et portable plutôt que verrouillée sur un unique fournisseur propriétaire.
Ce que cela implique pour les équipes logicielles
Une fois la géopolitique mise de côté, CADA est une contrainte structurante pour l'architecture. La question qu'il pousse chaque acheteur de l'UE à poser — « où résident mes données et qui peut y accéder ? » — beaucoup de SaaS américains y répondent aujourd'hui par un implicite « quelque part dans us-east-1 ». Cette réponse va coûter des contrats.
Les équipes qui s'en sortiront sont celles qui traitent la résidence des données comme une capacité produit de premier plan, pas comme une exception de support. Concrètement : une option de déploiement en région UE avec stockage et traitement dans l'UE, des opérations descriptibles honnêtement et des flux transfrontaliers minimaux. Déplacer ou monter des charges en régions UE représente l'essentiel de l'effort, et c'est exactement le type de travail que notre équipe de migration cloud cadre pour les produits US/UE. Les secteurs régulés le ressentent en premier : un acheteur FinTech ou HealthTech fera du niveau d'assurance une exigence bloquante bien avant une application grand public à faible risque.
Il y a aussi un atout à nommer. Un cadre de souveraineté commun à l'échelle de l'UE est plus facile à adresser qu'un ensemble fragmenté de schémas nationaux. Construire une fois — proprement, et selon le cadrage CADA — son récit de résidence et de documentation permet de le réutiliser sur tout le marché unique au lieu de re-négocier « cloud souverain » pays par pays. Les premiers à bouger transforment un coût de conformité en différenciateur.
La checklist technique et go-to-market
Voici la version actionnable. Menez-la comme un exercice de cadrage dès maintenant, tant que CADA reste une proposition et que vous n'êtes pas sous pression contractuelle.
- Cartographiez la résidence des données et la juridiction. Pour chaque jeu de données, notez où il est stocké et traité (sauvegardes, journaux et analytics compris), quelle entité exploite cette infrastructure et sous quel droit elle relève. Cette seule carte répond à la plupart des questions de souveraineté.
- Montez un chemin de déploiement en région UE. Même si vous ne le proposez pas encore, sachez ce qu'il exige : stockage et traitement dans l'UE, clés de chiffrement résidant dans l'UE et un schéma de flux de données sans détours américains surprises.
- Séparez le plan de contrôle du plan de données. Les acheteurs acceptent une certaine orchestration globale ; ils refusent que les données clients quittent la région. Concevez pour que les données personnelles et sensibles puissent rester dans l'UE même si l'outillage de gestion ne le fait pas.
- Écrivez votre posture de souveraineté. Produisez un document court et honnête qu'une équipe achats européenne peut rattacher à un niveau d'assurance : résidence, opérateur, juridiction, sous-traitants et continuité en cas de retrait d'un fournisseur.
- Auditez sous-traitants et fournisseurs. Votre souveraineté ne vaut que celle de votre dépendance la plus faible. Listez chaque tiers qui touche aux données clients et où il se situe.
- Traitez l'open source comme un atout. Là où vous vous appuyez sur l'open source ou y contribuez, dites-le — cela se lit comme de la portabilité et de l'inspectabilité, en phase avec la stratégie de l'UE.
- Désignez un responsable et révisez à l'adoption. CADA évoluera durant le processus législatif. Nommez quelqu'un pour le suivre et figer les critères de niveau d'assurance avant qu'ils ne deviennent contractuels.
Rien de tout cela n'est un conseil juridique, et vos obligations exactes dépendront du texte final de CADA et des acheteurs que vous ciblez. Mais le signal stratégique est déjà clair : l'Europe fait de la souveraineté du cloud un critère d'achat noté, et les parties qui touchent les équipes logicielles ordinaires — résidence des données, opérations en région UE et un récit juridictionnel honnête — sont réalisables dès aujourd'hui. Construisez-les.
Foire aux questions
Qu'est-ce que l'EU Cloud and AI Development Act (CADA) ?
CADA est une proposition législative présentée par la Commission européenne le 3 juin 2026 dans le cadre de son paquet sur la souveraineté technologique. Elle vise à soutenir la R&D cloud et IA, à accélérer le déploiement de centres de données dans l'UE (objectif : tripler la capacité en cinq à sept ans) et à instaurer un cadre unique à l'échelle de l'UE évaluant la souveraineté des services cloud et IA selon quatre niveaux d'assurance. En juillet 2026, il s'agit d'une proposition, pas encore d'une loi.
CADA s'applique-t-il aux fournisseurs cloud et logiciels américains ?
Indirectement mais concrètement. CADA n'interdit pas les fournisseurs américains. Il modifie la façon dont les acheteurs publics de l'UE, puis les acheteurs régulés, évaluent les services cloud et IA en ajoutant une évaluation de souveraineté au prix et aux fonctionnalités. Un fournisseur américain capable de démontrer une résidence des données dans l'UE, des opérations basées dans l'UE et une résistance à la portée juridique étrangère est mieux noté et reste éligible à davantage de marchés européens.
Quels sont les quatre niveaux d'assurance de souveraineté ?
CADA définit un cadre unique à l'échelle de l'UE avec quatre niveaux d'assurance que les organismes publics appliquent selon leur propre analyse de risque. Les niveaux supérieurs correspondent à des garanties plus fortes sur le lieu de stockage et de traitement des données, sur l'opérateur de l'infrastructure et sur le degré d'isolement vis-à-vis d'une juridiction hors UE. Les critères précis seront affinés au cours du processus législatif.
Quand CADA entrera-t-il en vigueur ?
Aucune date n'est fixée. CADA a été proposé le 3 juin 2026 et doit encore être négocié et adopté par le Parlement européen et le Conseil avant de s'appliquer. L'objectif de capacité est un objectif politique, pas une échéance de conformité. Considérez 2026 comme une fenêtre de planification, pas comme une date butoir.
Quelle différence entre CADA et le règlement IA ?
Ils répondent à des problèmes différents. Le règlement IA (AI Act) encadre la manière dont les systèmes d'IA peuvent être conçus et utilisés, et est déjà partiellement applicable. CADA relève de la politique industrielle et des achats publics : il finance l'infrastructure cloud et IA européenne et fixe des critères de souveraineté pour l'achat de ces services. Un produit peut être pleinement conforme à l'AI Act et mal noté sur l'échelle de souveraineté de CADA, ou l'inverse.
Que doit faire un éditeur SaaS pour rester compétitif en France ?
Commencez par une cartographie de la résidence des données et de la juridiction de votre stack : où réside chaque jeu de données, qui peut y accéder et sous quel droit. Proposez un déploiement en région UE avec des opérations basées dans l'UE, réduisez les flux transfrontaliers et documentez votre posture de souveraineté en cohérence avec SecNumCloud et le RGPD, afin que les acheteurs européens puissent vous rattacher à un niveau d'assurance. Le faire maintenant coûte bien moins cher qu'un rattrapage sous pression contractuelle.
Sources
Commission européenne — Paquet sur la souveraineté technologique (communiqué IP/26/1187), 3 juin 2026
Commission européenne — Cloud and AI Development Act (Shaping Europe's digital future)
CNBC — Europe unveils tech sovereignty package amid U.S. tech reliance concerns, 3 juin 2026