CLOUD Act : pourquoi un cloud « souverain » ne suffit pas toujours
Une filiale européenne d'un groupe américain reste atteignable. La distinction entre souveraineté juridique, opérationnelle et technologique, et ce que l'on peut réellement garantir.
Le CLOUD Act, Clarifying Lawful Overseas Use of Data Act, adopté aux États-Unis en 2018, permet aux autorités américaines d'exiger d'un fournisseur soumis à la juridiction des États-Unis qu'il produise des données qu'il détient ou contrôle, quel que soit le lieu où ces données sont stockées. Y compris en Europe. Y compris chez une filiale.
C'est la raison pour laquelle « hébergé au Luxembourg » et « souverain » ne sont pas synonymes. On peut stocker une donnée à Bettembourg et rester atteignable depuis un tribunal américain, si l'entité qui l'exploite dépend d'un groupe soumis à cette juridiction. La localisation du serveur ne dit rien de la chaîne de contrôle.
Trois souverainetés, pas une
Pour raisonner clairement, il faut distinguer trois niveaux, qui ne se valent pas.
- La souveraineté juridique : de quelle juridiction relève l'entité qui exploite vos données. Une société de droit luxembourgeois, dont la maison mère n'est pas soumise au CLOUD Act, n'est pas dans la même situation qu'une filiale européenne d'un groupe américain.
- La souveraineté opérationnelle : qui administre concrètement les systèmes, depuis où, avec quels accès. Une infrastructure de droit européen mais administrée par des équipes soumises à une injonction étrangère reste exposée.
- La souveraineté technologique : de quelles technologies vous dépendez, et si vous pourriez vous en passer. C'est le niveau le plus exigeant, et le seul que personne ne peut garantir intégralement aujourd'hui.
Ce qu'une filiale européenne ne résout pas
Créer une filiale européenne, chiffrer les données, obtenir des certifications : ces mesures réduisent le risque, elles ne l'annulent pas. Tant que la clé de contrôle, technique ou capitalistique, remonte vers une entité soumise à une juridiction extraterritoriale, la garantie reste conditionnelle. Un RSSI qui ouvre le dossier le verra. Mieux vaut le lui dire avant qu'il ne le découvre.
Ce que l'on peut réellement garantir
La souveraineté juridique et opérationnelle sont atteignables, et démontrables : entité de droit luxembourgeois, administration depuis le territoire, contrats de droit local, absence de dépendance capitalistique extra-européenne. Nous les garantissons et nous acceptons de le prouver.
Ce que nous mettons en face
Le constat n'a d'intérêt que s'il débouche sur quelque chose. Concrètement, cela veut dire une infrastructure que nous possédons et administrons depuis le Luxembourg, sans intermédiaire soumis à une juridiction extraterritoriale ; une IA souveraine pour que les usages d'intelligence artificielle ne reconstituent pas, à eux seuls, la dépendance qu'on vient d'écarter ; et l'infogérance de l'ensemble par les mêmes équipes, sur le même territoire.
Les deux chantiers qui reviennent le plus souvent sont la sortie de la suite bureautique, la dépendance la plus visible, et la mise en place d'une réversibilité réelle, qui vaut aussi contre nous : vos données restent exportables en format ouvert, y compris pour partir.
La limite que nous n'effaçons pas. La souveraineté technologique intégrale, un parc où aucune brique ne dépend d'une technologie soumise à une juridiction étrangère, est un objectif, pas un état acquis. Certaines couches (processeurs, firmwares, quelques logiciels sans équivalent mature) n'ont pas encore d'alternative pleinement souveraine. Nous retirons les dépendances non européennes pièce par pièce, à mesure que des solutions crédibles existent, et nous documentons ce qu'il reste. Un prestataire qui vous promet une souveraineté technologique totale, aujourd'hui, vous vend une affirmation invérifiable.
The CLOUD Act, the Clarifying Lawful Overseas Use of Data Act, adopted in the United States in 2018, allows US authorities to require a provider subject to US jurisdiction to produce data it holds or controls, regardless of where that data is stored. Including in Europe. Including at a subsidiary.
This is why “hosted in Luxembourg” and “sovereign” are not synonyms. Data can sit in Bettembourg and still be reachable from a US court, if the entity operating it belongs to a group subject to that jurisdiction. The location of the server says nothing about the chain of control.
Three sovereignties, not one
To think clearly about this, three distinct levels must be separated, and they are not equivalent.
- Legal sovereignty : which jurisdiction governs the entity operating your data. A company incorporated under Luxembourg law, whose parent is not subject to the CLOUD Act, is not in the same position as the European subsidiary of a US group.
- Operational sovereignty : who actually administers the systems, from where, and with what access. Infrastructure governed by European law but administered by teams subject to a foreign order remains exposed.
- Technological sovereignty : which technologies you depend on, and whether you could do without them. This is the most demanding level, and the only one nobody can fully guarantee today.
What a European subsidiary does not solve
Setting up a European subsidiary, encrypting the data, obtaining certifications: these measures reduce the risk, they do not remove it. As long as the key to control, technical or capital, leads back to an entity subject to extraterritorial jurisdiction, the guarantee remains conditional. A CISO who opens the file will see it. Better to say so before they find out.
What can genuinely be guaranteed
Legal and operational sovereignty are achievable, and demonstrable: an entity under Luxembourg law, administration from within the territory, contracts under local law, no extra-European capital dependency. We guarantee these, and we accept being asked to prove it.
What we put in its place
The diagnosis is only worth something if it leads somewhere. In practice that means infrastructure we own and administer from Luxembourg, with no intermediary subject to extraterritorial jurisdiction; sovereign AI so that artificial-intelligence use does not, on its own, rebuild the dependency you have just removed; and managed IT for the whole by the same teams, in the same territory.
The two projects that come up most often are leaving the office suite, the most visible dependency, and putting real reversibility in place, which also counts against us: your data stays exportable in an open format, including for leaving.
The limit we do not paper over. Full technological sovereignty, an estate in which no component depends on a technology subject to foreign jurisdiction, is an objective, not a settled state. Some layers (processors, firmware, a few pieces of software with no mature equivalent) have no fully sovereign alternative yet. We remove non-European dependencies piece by piece, as credible options appear, and we document what remains. A provider promising you total technological sovereignty today is selling you an unverifiable claim.