Que deviennent vos documents ?
Avec un service en ligne, vos documents vous échappent dès l'envoi. Même hébergé en Europe, même conforme au RGPD sur le papier, vous ne savez pas ce qui est réellement conservé, ni pour combien de temps.
Pour les prestataires liés aux États-Unis s'ajoute un problème de droit, pas seulement de confiance : le CLOUD Act (2018) vise aussi des données stockées en France si l'entreprise est américaine.
Le cadre juridique qui autorise ces transferts vers les États-Unis a déjà été annulé deux fois par la justice européenne, en 2015 puis en 2020. Le cadre qui l'a remplacé en 2023 est à son tour contesté devant la même juridiction.
Avec un modèle installé chez vous pour le sensible, il n'y a pas de transfert sur ces données. Donc pas de clause à négocier, et rien à refaire à la prochaine décision de justice.
CLOUD Act : Clarifying Lawful Overseas Use of Data Act, 18 U.S.C. § 2713, mars 2018
Accords annulés : Safe Harbor en 2015, Privacy Shield en 2020 · Cadre actuel : décision d'adéquation 2023/1795, pourvoi C-703/25 P pendant devant la CJUE
État des sources au 23 juillet 2026. Je ne suis pas juriste : vérifiez auprès de votre conseil avant toute décision.
Oui. Le CLOUD Act (2018) autorise la justice américaine à demander l'accès à des données stockées en France dès lors que l'hébergeur est une entreprise américaine ou une filiale d'entreprise américaine. L'hébergement physique en Europe ne suffit donc pas, à lui seul, à s'en protéger.
Partiellement, et de façon juridiquement instable. Les deux précédents cadres, Safe Harbor et Privacy Shield, ont été annulés par la Cour de justice de l'Union européenne en 2015 et 2020. Le cadre actuel, le Data Privacy Framework de 2023, fait l'objet d'un recours pendant devant la CJUE.
Oui, pour les données traitées localement. S'il n'y a aucun transfert de données vers un prestataire tiers, ni le CLOUD Act ni les décisions d'adéquation UE-USA ne s'appliquent, puisqu'il n'existe pas de transfert international de données à réglementer.
Le risque existe dès lors que des données couvertes par le secret professionnel transitent vers un service dont l'infrastructure ou l'éditeur est soumis à une juridiction étrangère, notamment américaine via le CLOUD Act. Une IA déployée localement, sans transfert vers un tiers, supprime ce point de friction.
Un hébergement en Europe respecte le RGPD mais peut rester soumis au CLOUD Act si l'entreprise hébergeuse est américaine. Une IA locale, exécutée directement sur l'infrastructure du client, élimine tout transfert de données vers un tiers, qu'il soit européen ou américain.
Décrivez-moi votre cas en quelques lignes. Je vous dirai s'il relève de mon périmètre.
Objet
Cadre juridique
CLOUD Act et transferts hors UE
Établi par
Matthieu Sarrau — Volnys
Entrepreneur individuel
Contact
Réf. SIRET
10812465200018
Siège
47 Rue Vivienne 75002 Paris
Indice · Date
A — 07.2026
Feuille
Accueil · Développement · Juridique · Mentions légales · Présentation