Votre fournisseur d'IA est-il à portée du CLOUD Act américain ?

Sept questions sur la propriété de votre pile technique. Environ deux minutes. Aucune adresse e-mail, aucun suivi, vos réponses restent dans votre navigateur.

En 2018, les États-Unis ont promulgué le CLOUD Act. Il oblige tout fournisseur soumis à la juridiction américaine à conserver et divulguer les données en sa “possession, sous sa garde ou sous son contrôle”, et ce “que cette communication, cet enregistrement ou toute autre information soit situé à l'intérieur ou à l'extérieur des États-Unis” (18 U.S.C. § 2713). En clair : si l'entreprise peut être contrainte devant un tribunal américain, l'emplacement des serveurs ne règle pas la question. La résidence des données est une question de géographie. Le CLOUD Act, c'est ce qu'ils conservent sur vous.

Ce n'est pas une lecture théorique du texte. Interrogé devant une commission d'enquête du Sénat français le 10 juin 2025 sur le point de savoir s'il pouvait garantir que les données des citoyens français ne seraient jamais transmises aux autorités américaines sans l'accord des autorités françaises, le directeur des affaires publiques et juridiques de Microsoft France a répondu, sous serment : non, il ne pouvait pas le garantir, ajoutant que cela n'était jamais arrivé. Les deux moitiés de cette réponse méritent d'être prises au sérieux. Ce vérificateur porte sur la première moitié : savoir si la voie juridique vers vos données existe tout court.

Répondez aux questions ci-dessous au sujet du service d'IA ou de cloud que votre cabinet utilise réellement, y compris une éventuelle habitude non officielle de ChatGPT, si c'est la réponse honnête. Si vous ne connaissez pas une réponse, dites-le. Ne pas savoir est un constat en soi, et le résultat vous dira exactement quelles questions poser par écrit à votre fournisseur.

Informations générales, pas un conseil juridique. Ce vérificateur reflète des sources publiques à jour en juin 2026 et les réponses que vous donnez, que nous ne pouvons pas vérifier. Il n'évalue ni la licéité de vos dispositions actuelles, ni votre position au regard du RGPD, ni aucun contrat particulier, et un verdict ici ne remplace pas l'AIPD de votre cabinet. Pour les décisions concernant vos obligations en matière de protection des données, adressez-vous à votre délégué à la protection des données ou à un avocat.
JavaScript est désactivé, cette page fonctionne quand même comme feuille de travail. Répondez aux sept questions sur papier, puis lisez le verdict indiqué par les règles. Les règles : si votre réponse à la question 1 ou 2 est oui, votre verdict est À portée directe. Sinon, si votre réponse à la question 3, 4 ou 5 est oui, votre verdict est À portée via la chaîne d'approvisionnement. Sinon, si l'une des questions 1-5 est “pas sûr”, votre verdict est Exposition inconnue. Seules cinq réponses fermes “non” produisent Hors de portée directe. Les questions 6 et 7 ne changent jamais le verdict ; elles vous disent quelles lettres de suivi envoyer. Les quatre verdicts sont imprimés en entier ci-dessous.
1. La société mère ultime de votre fournisseur d'IA est-elle constituée aux États-Unis ?

Remontez la chaîne de propriété jusqu'au sommet. OpenAI (ChatGPT), Microsoft (Copilot), Google (Gemini) et Anthropic (Claude) sont toutes des entreprises américaines. Une filiale britannique, un bureau britannique ou un domaine “.uk” ne change pas l'endroit où la société mère répond devant un tribunal.

2. Votre contrat pour le service est-il conclu avec une entité américaine, ou régi par le droit d'un État américain ?

Vérifiez le bloc signature et la clause de “droit applicable” dans les conditions d'utilisation. De nombreux services d'IA vendus au Royaume-Uni contractent depuis les États-Unis, ou sous le droit de la Californie ou du Delaware.

3. Votre fournisseur a-t-il une présence d'entreprise américaine quelconque, une société mère, un investisseur américain de contrôle, une filiale, une succursale ou un bureau aux États-Unis ?

Le CLOUD Act lie les fournisseurs “soumis à la juridiction américaine”, et savoir si une entreprise non américaine y est soumise est une question factuelle liée à ses contacts avec les États-Unis. Une entreprise qui opère exclusivement en dehors des États-Unis n'est pas soumise à la compétence personnelle américaine ; une entreprise ayant une présence américaine substantielle peut l'être. Si vous avez répondu oui à la question 1, répondez oui ici aussi.

4. Des sous-traitants détenus par des entités américaines traitent-ils vos contenus, par exemple le modèle derrière le service (OpenAI, Anthropic, Google) ou la plateforme d'hébergement (AWS, Microsoft Azure, Google Cloud) ?

Demandez la liste des sous-traitants ; un fournisseur qui traite des données personnelles au titre de l'article 28 du RGPD devrait pouvoir en produire une. De nombreux produits commercialisés comme de l'IA britannique sont une interface au-dessus d'une API de modèle américain ou d'un cloud des géants de la tech, et le sous-traitant est l'endroit où va réellement votre texte.

5. Le matériel qui exécute le modèle d'IA est-il détenu ou exploité par une entreprise américaine, où qu'il se trouve physiquement ?

“Région britannique” signifie généralement un parc de centres de données détenu par une entité américaine qui se trouve par hasard situé en Grande-Bretagne, Azure UK South, AWS London et Google Cloud London en sont tous des exemples. Le bâtiment est en Angleterre ; l'exploitant ne l'est pas. La question juridique suit l'exploitant, pas le code postal.

6. Votre fournisseur publie-t-il, par écrit, qui possède le matériel d'inférence et où vos contenus sont traités ?

Cherchez une page de sécurité ou de sous-traitants comportant des noms d'entreprises et des dates, pas des slogans. “Basé au Royaume-Uni” et “souverain” sont des mots de marketing ; la propriété et l'emplacement des machines sont des faits, et les faits peuvent être énoncés clairement.

7. Votre fournisseur vous a-t-il confirmé par écrit qu'aucune entreprise de sa chaîne de propriété ou de traitement ne peut être contrainte de divulguer vos données en vertu du droit américain ?

Un fournisseur véritablement hors de la juridiction américaine peut l'écrire en une phrase sur papier à en-tête. Un fournisseur qui en relève vous enverra généralement un paragraphe sur le chiffrement à la place. La différence est instructive.

À portée directe.

D'après vos réponses, l'entreprise avec laquelle vous contractez, ou sa société mère, est soumise à la juridiction américaine. En vertu du 18 U.S.C. § 2713, un fournisseur soumis à la juridiction américaine doit divulguer les données en sa “possession, sous sa garde ou sous son contrôle... que ces données” “soient situées à l'intérieur ou à l'extérieur des États-Unis”. La résidence des données au Royaume-Uni ne ferme pas cette voie ; elle détermine où se trouvent vos données, pas qui peut être contraint de les remettre. Pour être tout aussi clair sur ce que ce verdict n'est pas : ce n'est pas un constat que vos données ont été consultées, que l'accès est probable, ou que l'utilisation de ce fournisseur est illégale. Les autorités américaines ont besoin d'une ordonnance juridique qualifiante, les ordonnances peuvent être contestées, et le dirigeant de Microsoft qui a dit au Sénat français qu'il ne pouvait pas garantir la non-divulgation a aussi dit que cela n'était jamais arrivé. Le constat est plus étroit et plus utile qu'une alarme : la voie juridique existe, votre contrat et votre région d'hébergement ne la suppriment pas, et votre AIPD devrait le dire avec ces mots plutôt que de compter sur l'“hébergement au Royaume-Uni” pour répondre à une question à laquelle il ne peut pas répondre.

Que faire ensuite

À portée via la chaîne d'approvisionnement.

Votre fournisseur est peut-être bien britannique ou détenu dans l'UE, mais d'après vos réponses vos contenus passent entre des mains détenues par des entités américaines, une API de modèle, une plateforme cloud, ou du matériel exploité par une entreprise américaine. Le CLOUD Act lie les fournisseurs soumis à la juridiction américaine, et la question pour vos données est posée à chaque maillon qui en a la possession, la garde ou le contrôle, pas au logo sur la facture. Une entreprise britannique qui revend un modèle américain a déplacé le contrat ; elle n'a pas déplacé la juridiction. Comme pour chaque verdict de cette page, ce n'est pas un constat que quoi que ce soit a été consulté. C'est un constat que la voie existe un maillon plus bas dans la chaîne, précisément là où il est le plus facile pour une AIPD de la manquer.

Que faire ensuite

Exposition inconnue, ce qui est en soi un constat.

Vous n'avez pas pu répondre à une ou plusieurs des questions qui déterminent si une voie juridique américaine vers vos données existe. Ce n'est pas une critique. La plupart de ces informations sont vraiment difficiles à trouver, et certains fournisseurs le préfèrent ainsi. Mais cela signifie que la position actuelle de votre cabinet est “exposition indéterminée”, et une AIPD muette sur une question aussi élémentaire est incomplète plutôt que rassurante. La bonne nouvelle utile est que chaque lacune de cette page peut être comblée par une courte lettre, et la rapidité et la franchise d'un fournisseur à y répondre vous en diront presque autant que les réponses elles-mêmes.

Que faire ensuite

Hors de portée directe, d'après vos réponses.

D'après ce que vous nous avez dit, aucune entreprise de votre chaîne d'approvisionnement en IA n'est détenue par une entité américaine, ne contracte aux États-Unis ni ne fonctionne sur du matériel exploité aux États-Unis. Si c'est exact, le CLOUD Act n'a aucune voie directe vers vos données : le texte lie les fournisseurs soumis à la juridiction américaine, et d'après vos réponses il n'y en a aucun dans la chaîne. Deux réserves honnêtes s'imposent à côté de cela. Premièrement, cette page ne peut pas vérifier vos réponses, seule la confirmation écrite de votre fournisseur le peut, et si vous n'en détenez pas encore une, c'est l'étape suivante. Deuxièmement, “hors du CLOUD Act” ne signifie pas “au-delà de toute procédure judiciaire” : les autorités américaines peuvent toujours chercher à obtenir des données détenues au Royaume-Uni via les tribunaux britanniques, par entraide judiciaire ou au titre de l'accord d'accès aux données entre le Royaume-Uni et les États-Unis en vigueur depuis octobre 2022, et les autorités britanniques ont leurs propres pouvoirs. La différence est que ces voies passent par le droit britannique et le contrôle britannique, ce qui est précisément pourquoi ce qu'ils conservent sur vous, et non l'emplacement des serveurs, valait la peine d'être vérifié au départ.

Que faire ensuite

Sources

Questions fréquentes

Qu'est-ce que le CLOUD Act américain ?

Le CLOUD Act est une loi américaine de 2018 (18 U.S.C. § 2713) qui oblige tout fournisseur soumis à la juridiction américaine à divulguer les données en sa possession, sous sa garde ou sous son contrôle sur ordre légal, que ces données soient stockées à l'intérieur ou à l'extérieur des États-Unis.

La résidence des données au Royaume-Uni protège-t-elle mes données du CLOUD Act américain ?

Non. La résidence des données concerne l'emplacement des serveurs ; le CLOUD Act concerne qui peut être contraint. Une entreprise détenue par une entité américaine qui conserve vos données dans une région britannique les conserve tout de même à portée d'une ordonnance américaine. La résidence est une question de géographie ; la juridiction est le droit dont elle relève.

Comment savoir si mon outil d'IA est exposé au CLOUD Act ?

Répondez à sept questions sur la propriété de votre fournisseur d'IA et l'endroit où il traite vos données. Ce vérificateur gratuit calcule le résultat dans votre navigateur, aucune adresse e-mail, aucun suivi, et vous donne un lien que vous pouvez partager avec votre DPD.

Inquiété par votre résultat ? Obtenez la note d'une page sur le CLOUD Act.

Une note en langage clair que vous pouvez transmettre à votre DPD, plus comment une alternative britannique supprime l'exposition. Gratuit.

Obtenir la note, gratuitement →

Aucun e-mail, aucune inscription. Téléchargez-la directement depuis notre page de ressources, et nous ne conservons rien.