Cloud et IA, un nouveau cadre européen de souveraineté en construction

Ce texte, pièce maîtresse du Paquet européen sur la souveraineté technologique, marque un tournant dans l'approche législative de l'Union : là où les réglementations numériques récentes (RGPD, AI Act, Data Act) étaient principalement centrées sur la protection des droits fondamentaux, la gouvernance des données ou la conformité, le CADA place résolument la compétitivité, la souveraineté et l'autonomie stratégique au cœur du dispositif.

Cette inflexion s'explique par un constat alarmant : trois hyperscalers non européens contrôlent plus de 70 % du marché européen du cloud, la part des fournisseurs européens ayant chuté de 29 % en 2017 à 15 % en 2022.

Le CADA ambitionne de renverser cette dynamique en agissant simultanément sur l'offre et sur la demande de services cloud et d'IA.

La proposition définit un champ d'application large et structurant (2), établit un cadre de souveraineté cloud gradué aux implications directes pour les fournisseurs de solutions et leurs clients, notamment dans le secteur de la santé (3), et prévoit un régime de sanctions et un calendrier d'adoption que les acteurs du secteur devront anticiper dès à présent (4).

1.   Un champ d'application large, articulé autour de trois piliers

Le CADA repose sur une double base juridique : les articles 114 et 173, paragraphe 3, du TFUE, visant à la fois l'harmonisation du marché intérieur et le renforcement de la compétitivité industrielle de l'Union. Son champ d'application se déploie autour de trois axes majeurs.

Le premier axe (Titre II) porte sur la recherche, le développement et l'innovation. Le Règlement instaure les « Cloud and AI Leadership Initiatives », qui soutiennent le développement de technologies cloud et d'IA de pointe, en particulier l'IA de frontière (frontier AI), l'IA industrielle et l'IA physique. Le secteur de la santé est expressément mentionné parmi les secteurs stratégiques prioritaires : le considérant 19 de la proposition précise que les avancées en IA doivent améliorer la précision des décisions cliniques et transformer le secteur pharmaceutique. Les États membres devront adopter, dans un délai d'un an suivant l'entrée en vigueur, une stratégie nationale cloud et IA cohérente avec les objectifs du Règlement.

Le deuxième axe (Titre III) concerne le déploiement des capacités de centres de données. L'objectif affiché est de tripler la capacité de l'Union en matière de centres de données dans les cinq à sept prochaines années. À cette fin, les États membres devront désigner des « zones d'accélération » pour les centres de données dans un délai de six mois suivant l'entrée en vigueur du Règlement, avec des procédures d'autorisation simplifiées et des exigences de durabilité harmonisées.

Le troisième axe (Titre IV), le plus structurant pour le secteur de la santé, est consacré à l'autonomie et à l'adoption, avec la création d'un cadre de souveraineté cloud européen, un dispositif de marchés publics renforcé et la création d'une fédération européenne du cloud public (« EuroCloud Federation »).

La définition du « service d'informatique en nuage » retenue par le CADA est celle de la directive NIS2 : un service numérique permettant l'administration à la demande et l'accès distant à un ensemble modulable et élastique de ressources informatiques partagées. Cette définition englobe l'accès à la demande à des systèmes d'IA au sens du Règlement sur l'intelligence artificielle, hébergés et exploités à distance - seule la mise à disposition du système d'IA faisant partie du service, le système d'IA lui-même et son modèle sous-jacent étant exclus du périmètre.

2.   Un cadre de souveraineté gradué aux implications directes pour la santé

L'apport le plus novateur du CADA réside dans l'instauration d'un cadre de souveraineté cloud structuré en quatre niveaux d'assurance (« Union assurance levels »), définis à l'article 16 et détaillés en Annexe II du Règlement. Ces niveaux répondent à une logique de proportionnalité : le niveau 1 exige que les données soient traitées et stockées dans des infrastructures situées dans l'Union ; le niveau 2 impose aux fournisseurs de démontrer leur indépendance vis-à-vis de pays tiers et la transparence sur leur chaîne d'approvisionnement logicielle ; le niveau 3 requiert que les fournisseurs soient détenus et contrôlés depuis l'UE, avec des critères supplémentaires tels que la citoyenneté du personnel - la Commission pouvant toutefois reconnaître des fournisseurs de pays tiers ; le niveau 4, le plus exigeant, impose une transparence et un contrôle complets sur la chaîne d'approvisionnement logicielle sans aucune interférence d'un pays tiers.

Pour les fournisseurs de solutions, les implications sont considérables. Ceux qui souhaitent servir le secteur public européen devront obtenir une reconnaissance à l'un de ces niveaux d'assurance en soumettant une demande auprès de l'autorité nationale compétente de leur État d'établissement.

Le niveau 1 repose sur une auto-évaluation de conformité documentée, tandis que les niveaux 2 à 4 nécessitent un audit indépendant par un tiers. Les fournisseurs doivent en outre respecter des obligations de transparence et notifier tout changement substantiel susceptible d'affecter leur niveau de reconnaissance. La Commission établira et maintiendra un répertoire central des services reconnus.

Pour les clients du secteur de la santé - établissements hospitaliers, agences régionales de santé - les conséquences sont tout aussi significatives. Les entités publiques (et les entités de l'Union) devront réaliser des évaluations de risques afin de déterminer le niveau d'assurance requis pour leurs activités cloud. Les pouvoirs adjudicateurs devront, au minimum, recourir à des services reconnus au niveau d'assurance 1 ; lorsque l'évaluation de risques conclut à une pertinence pour l'ordre public, ils devront se tourner vers des services de niveaux 2, 3 ou 4.

En pratique, s'agissant de la localisation des données, le secteur de la santé n'a pas attendu le CADA : le référentiel de certification Hébergeur de Données de Santé (HDS), dans sa version 2.0 prise en application de l'article L1111-8 CSP, impose déjà que l'hébergement physique des données de santé à caractère personnel soit réalisé exclusivement dans l'Espace économique européen (EEE). Le niveau 1 d'assurance du CADA (traitement et stockage dans l'Union) n'ajouterait donc rien de nouveau pour les acteurs de santé déjà certifiés HDS. En revanche, les niveaux 2 à 4 du CADA vont bien au-delà du référentiel HDS actuel en imposant des exigences d'indépendance vis-à-vis de pays tiers, de contrôle capitalistique européen et de maîtrise complète de la chaîne d'approvisionnement logicielle - des dimensions que le référentiel HDS v2 n'adresse pas encore avec la même rigueur.

Les lecteurs familiers du référentiel SecNumCloud de l'ANSSI ne manqueront pas de relever les convergences frappantes entre ce dispositif national et le cadre de souveraineté du CADA. SecNumCloud v3.2 impose déjà la localisation des données dans l'Union européenne, un siège social et un capital situés sur le territoire de l'UE, une immunité aux législations extraterritoriales (Cloud Act, FISA 702) et un encadrement strict des accès à distance hors UE - autant d'exigences que l'on retrouve, à des degrés divers, dans les niveaux 1 à 4 du CADA.

La différence est toutefois fondamentale : SecNumCloud est un référentiel national français de qualification, tandis que le CADA crée un cadre européen harmonisé directement applicable dans les vingt-sept États membres.

Là où le schéma européen de certification cloud (EUCS) de l'ENISA s'est enlisé - la révision du Cybersecurity Act ayant renoncé aux critères de souveraineté - le CADA change de méthode en passant par un règlement d'harmonisation du marché intérieur. Pour un fournisseur déjà qualifié SecNumCloud, le CADA représente donc moins un bouleversement qu'une reconnaissance à l'échelle européenne d'exigences qu'il satisfait déjà largement au plan national ; pour les autres, l'effort d'adaptation sera d'autant plus substantiel.

Les entités du secteur privé relevant de la directive NIS2 - y incluant les opérateurs de services essentiels du secteur de la santé - pourront volontairement conduire des évaluations d'impact similaires à celles imposées au secteur public. La pression du marché et des régulateurs rendra probablement cette démarche incontournable. Le cadre conçu pour les marchés publics « retombera » indirectement sur le secteur privé.

Enfin, le volet marchés publics du CADA impose aux pouvoirs adjudicateurs d'appliquer des critères de « valeur ajoutée européenne » dans l'achat de services cloud et de systèmes d'IA, récompensant les contributions à l'innovation européenne et à la résilience des chaînes d'approvisionnement. Pour un centre hospitalier universitaire procédant à l'acquisition d'une plateforme d'IA d'aide au diagnostic, ces critères viendront s'ajouter aux exigences classiques de la commande publique. 

3.   Sanctions et calendrier : anticiper dès à présent

En matière de sanctions, l'article 24 du CADA confie aux États membres le soin d'établir les règles relatives aux sanctions applicables aux fournisseurs de services cloud en infraction au chapitre sur la souveraineté. Les sanctions devront être « effectives, proportionnées et dissuasives ». Les critères d'imposition prennent en compte la nature, la gravité, l'ampleur et la durée de l'infraction, les mesures correctives prises, les antécédents, les avantages financiers tirés de l'infraction et le CA annuel du contrevenant dans l'Union.

 Fait notable, les destinataires de services cloud disposeront d'un droit à indemnisation pour tout dommage subi du fait d'une infraction par les fournisseurs à leurs obligations au titre de ce chapitre - un levier contentieux qui pourrait être actionné par des établissements de santé confrontés à une interruption de service ou à un transfert non autorisé de données de santé.

 S'agissant du calendrier, la proposition a été publiée le 3 juin 2026 par la Commission. Elle suit la procédure législative ordinaire (codécision) et doit désormais être examinée par le Parlement européen et le Conseil. La feuille de route interinstitutionnelle « One Europe, One Market » du 23 avril 2026 inscrit le CADA dans un objectif d'accord pour le quatrième trimestre 2027, avec une application opérationnelle attendue entre 2028 et 2029.

 Si le texte n’est qu'une proposition de la Commission, les fournisseurs de solutions cloud et d'IA intervenant dans le secteur de la santé ont intérêt à engager sans tarder une analyse d'écart (gap analysis) entre leurs pratiques actuelles et les quatre niveaux d'assurance du CADA, et à planifier les ajustements nécessaires pour ne pas se trouver exclus des marchés publics de santé européens à l'horizon 2028-2029.

Les établissements de santé, pour leur part, devront anticiper l'intégration de ces exigences de souveraineté dans leurs procédures d'achat et leurs évaluations de risques fournisseurs, en sus de leurs obligations existantes au titre du RGPD, de NIS2 et de l'AI Act.

 Le CADA s'inscrit ainsi dans un mouvement tectonique de la politique numérique européenne : la construction d'un écosystème cloud et IA souverain, compétitif et durable, où les exigences de souveraineté deviennent centrales.

1.   Proposal for the Cloud and AI Development Act (CADA)