Le Cloud Act oblige les entreprises soumises au droit américain à remettre aux autorités américaines les données qu'elles contrôlent, où que ces données soient stockées.
La question utile n'est donc pas « où est le serveur ? », mais « qui le contrôle ? ». Un fichier hébergé à Paris par une société américaine reste à portée d'un mandat américain. Le même fichier hébergé à Paris par une société européenne sans lien avec les États-Unis ne l'est pas.
Pour un enregistrement de réunion, qui contient la voix et les propos de personnes qui n'ont rien choisi, la différence n'est pas théorique.
Ce que dit le texte
Le Clarifying Lawful Overseas Use of Data Act, dit Cloud Act, a été promulgué le 23 mars 2018. Il modifie le Stored Communications Act et pose une règle simple (18 U.S.C. § 2713) : un fournisseur de services doit communiquer les données en sa possession, sous sa garde ou sous son contrôle, qu'elles se trouvent aux États-Unis ou en dehors.
Le texte répond à un litige précis. En 2013, Microsoft avait refusé de livrer à la justice américaine des courriels stockés dans son centre de données de Dublin, au motif qu'ils se trouvaient en Irlande. L'affaire était pendante devant la Cour suprême quand le Congrès a tranché la question par la loi. La Cour a ensuite classé le dossier, devenu sans objet.
Le contrôle, pas la géographie
Le critère retenu est le contrôle exercé par l'entreprise, pas la localisation du disque. C'est pourquoi les promesses de « région européenne » des grands hébergeurs américains ne règlent pas la question : elles disent où les données dorment, pas qui peut être contraint de les réveiller.
Le point a été confirmé sous serment. Entendu par une commission d'enquête du Sénat en juin 2025, le directeur des affaires publiques et juridiques de Microsoft France a répondu qu'il ne pouvait pas garantir que des données de citoyens français ne seraient jamais transmises aux autorités américaines sans l'accord des autorités françaises.
Pourquoi le RGPD ne fait pas écran
Le RGPD et le Cloud Act se contredisent sans s'annuler. L'article 48 du RGPD n'autorise un transfert exigé par une juridiction étrangère que s'il repose sur un accord international, typiquement une convention d'entraide judiciaire. Le Cloud Act, lui, permet de s'en passer.
L'entreprise prise entre les deux doit choisir quelle loi elle enfreint. Le Cloud Act lui laisse une voie de contestation devant le juge américain, mais seulement lorsque le pays concerné a conclu avec les États-Unis un accord exécutif prévu par la loi. Le Royaume-Uni en a un. L'Union européenne en négocie un depuis 2019.
| Texte | Ce qu'il règle | Ce qu'il ne règle pas |
|---|---|---|
| Cloud Act (2018) | L'accès des autorités américaines, dans une enquête pénale, aux données contrôlées par un fournisseur soumis au droit américain. | La localisation des données : elle n'entre pas en ligne de compte. |
| RGPD, article 48 | L'interdiction de céder à une demande étrangère sans accord international. | Ce qui arrive à l'entreprise que le droit américain contraint quand même. |
| Data Privacy Framework (2023) | Les transferts commerciaux de données vers des entreprises américaines certifiées. | Le Cloud Act, qui reste en vigueur. |
Le Cloud Act n'est pas la seule loi en cause
Le Cloud Act encadre les enquêtes pénales : il faut un mandat, délivré par un juge, dans une affaire précise. La section 702 du Foreign Intelligence Surveillance Act (FISA) va plus loin. Elle permet aux services de renseignement américains de surveiller des personnes non américaines situées à l'étranger, en passant par les fournisseurs américains, sans mandat individuel.
C'est cette loi, avec le décret présidentiel 12333, qui a conduit la Cour de justice de l'Union européenne à invalider le Privacy Shield dans l'arrêt Schrems II du 16 juillet 2020. Le Data Privacy Framework qui l'a remplacé en 2023 ajoute des garanties et un mécanisme de recours. Il ne supprime ni la section 702, ni le Cloud Act.
Qui est concerné en pratique
Toute entreprise soumise au droit américain, ce qui inclut les trois premiers hébergeurs du marché : Amazon Web Services, Microsoft Azure et Google Cloud. Elle inclut aussi les éditeurs de logiciels américains qui s'appuient sur eux, et une part importante des services d'IA, dont les modèles de transcription les plus répandus. L'application d'un enregistreur peut être éditée par une société européenne et confier vos fichiers à l'un de ces acteurs : c'est le sous-traitant qui compte.
Ce que ça change pour un enregistrement de réunion
Un enregistrement de réunion n'est pas un fichier comme un autre. Il contient des noms, des chiffres, des intentions, et souvent des propos que personne n'aurait écrits. Pour certains métiers, il contient aussi un secret protégé par la loi : celui de l'avocat, du notaire, du médecin.
La plupart des enregistreurs IA vendus en France transcrivent avec des modèles américains, sur des serveurs américains. Le Cloud Act n'est alors même pas le premier sujet : les données ont déjà quitté l'Union européenne. Nous détaillons ce point pour l'un d'eux dans notre comparatif Notus / Plaud Note.
Trois questions à poser à un fournisseur
- Qui transcrit ? Le modèle qui écoute votre réunion appartient-il à une société soumise au droit américain ?
- Qui héberge ? Pas où, qui. Le siège de l'hébergeur et celui de sa maison mère comptent plus que l'adresse du centre de données.
- Combien de temps ? Un fichier supprimé ne peut être remis à personne. La durée de conservation est la protection la plus simple qui existe.
Ce qui protège vraiment
- Le chiffrement dont vous gardez les clés. Un fournisseur ne peut remettre que ce qu'il contrôle. Si les données sont chiffrées avec des clés qu'il ne détient pas, il ne remet qu'un fichier illisible.
- La suppression. Un enregistrement effacé après production du compte rendu ne peut plus être demandé. C'est la mesure la moins chère et la plus efficace.
- La chaîne complète de sous-traitants. Demandez la liste : hébergeur, modèle de transcription, outil d'envoi des courriels. Un seul maillon américain suffit à rouvrir la question.
Pour les données les plus sensibles, la qualification SecNumCloud de l'ANSSI intègre depuis sa version 3.2 des exigences de protection contre les lois extraterritoriales. C'est aujourd'hui le seul label public français qui réponde explicitement à la question.
À retenir
- Le Cloud Act s'applique aux données contrôlées par un fournisseur soumis au droit américain, où qu'elles soient stockées.
- Un serveur en France ne protège pas si son exploitant relève du droit américain.
- Le RGPD interdit de céder, mais ne protège pas l'entreprise contrainte de le faire.
- Avant la localisation, demandez qui transcrit, qui héberge, et combien de temps.
Sources : Clarifying Lawful Overseas Use of Data Act, 23 mars 2018, 18 U.S.C. § 2713 ; Cour suprême des États-Unis, United States v. Microsoft Corp., 17 avril 2018 ; règlement (UE) 2016/679 (RGPD), article 48 ; CJUE, 16 juillet 2020, C-311/18, Schrems II ; Sénat, commission d'enquête sur la commande publique, audition du 10 juin 2025 ; ANSSI, référentiel SecNumCloud 3.2.
Notus est hébergé en France par un prestataire établi dans l'Union européenne, et transcrit avec Mistral AI, société française. Vos enregistrements ne servent jamais à entraîner un modèle.
Découvrir Notus →