Cloud and AI Development Act

Ce que ça change pour une organisation

Le CADA n’est pas encore une loi : le Parlement européen et le Conseil doivent l’adopter selon la procédure législative ordinaire (procédure 2026/0138(COD)), et le texte peut donc encore évoluer. La proposition s’organise autour de trois objectifs : la recherche et l’innovation, la capacité (simplifier et accélérer les autorisations d’implantation de centres de données, améliorer l’accès à l’énergie, au foncier, à l’eau et au financement, avec pour ambition de tripler au moins la capacité des centres de données de l’Union d’ici 5 à 7 ans) et l’autonomie.

Ce dernier volet instaure un cadre unique d’évaluation de la souveraineté du cloud et de l’IA, avec quatre niveaux d’assurance que les organismes publics appliquent selon leur propre analyse de risque : au niveau 1, les données sont traitées et stockées dans l’Union ; au niveau 2, le fournisseur démontre son indépendance vis-à-vis des pays tiers et la transparence de sa chaîne logicielle ; au niveau 3, il est détenu et contrôlé depuis l’Union et remplit des critères supplémentaires, comme la nationalité de son personnel ; au niveau 4, il offre une transparence et un contrôle complets de sa chaîne logicielle, sans ingérence d’un pays tiers. Les États membres peuvent reconnaître des fournisseurs après audit, et la proposition prévoit aussi un cadre commun de commande publique au niveau de l’Union.

Pour une organisation, ces niveaux visent d’abord le secteur public, mais ils fournissent une grille de lecture utile pour qualifier ses propres hébergeurs : savoir où sont traitées les données, qui contrôle le fournisseur et quelle part de la chaîne logicielle dépend de pays tiers.

Exemple

Prenons un exemple générique : un hôpital public qui souhaite héberger des dossiers patients évalue d’abord le risque de souveraineté attaché à ces données, puis détermine le niveau d’assurance que son hébergeur doit atteindre. Un hébergeur qui garantit seulement le traitement et le stockage dans l’Union répond au niveau 1, mais pas aux niveaux supérieurs, qui exigent notamment l’indépendance vis-à-vis des pays tiers (niveau 2) puis la détention et le contrôle depuis l’Union (niveau 3). La Commission a publié cette proposition le 3 juin 2026, avec la proposition de Chips Act 2.0, dans le cadre de son paquet sur la souveraineté technologique.

À ne pas confondre avec

• Le Tech Sovereignty Package : ensemble de mesures présenté le 3 juin 2026, qui comprend deux propositions législatives (le CADA et le Chips Act 2.0), une stratégie européenne pour l’open source et une feuille de route pour la numérisation et l’IA dans l’énergie ; le CADA n’en est qu’un élément.
• Le Chips Act 2.0 : seconde proposition législative du paquet, consacrée aux semi-conducteurs.
• Le CLOUD Act : loi américaine relative à l’accès des autorités des États-Unis aux données, alors que le CADA est une proposition européenne dont l’un des volets évalue l’indépendance des fournisseurs vis-à-vis des pays tiers.