IA souveraine ou cloud américain : que choisir en 2026 ?
IA souveraine ou cloud américain : que choisir en 2026 ?
IA souveraine ou cloud américain : que choisir en 2026 ?
Cloud souverain vs cloud américain en 2026 : CLOUD Act, RGPD, SecNumCloud. Le guide complet pour les collectivités qui doivent choisir.
Cloud souverain vs cloud américain en 2026 : CLOUD Act, RGPD, SecNumCloud. Le guide complet pour les collectivités qui doivent choisir.
Cloud souverain vs cloud américain en 2026 : CLOUD Act, RGPD, SecNumCloud. Le guide complet pour les collectivités qui doivent choisir.
15 min
Mis à jour : juillet 2026 | Lecture : 15 minutes
En résumé
En 2026, les collectivités territoriales qui déploient des outils d'intelligence artificielle, notamment pour la transcription et les comptes-rendus de réunion, font face à un choix structurant : hébergement souverain européen ou cloud opéré par un fournisseur soumis au Clarifying Lawful Overseas Use of Data Act (CLOUD Act) américain. Ce choix est devenu juridique, politique et stratégique. Ce guide présente les risques concrets du CLOUD Act, les obligations réglementaires en vigueur et à venir, et les critères objectifs pour sélectionner un hébergement conforme au Règlement général sur la protection des données (RGPD) et adapté aux environnements régulés.
Introduction : le choix de l'hébergement est devenu un sujet de direction générale en 2026
Quand une direction générale des services (DGS) choisit un outil d'intelligence artificielle (IA) pour ses réunions, elle choisit aussi, souvent sans le savoir, à quel droit ses données seront soumises. C'est ce choix invisible qui est devenu le véritable enjeu stratégique en 2026.
Trois facteurs convergent pour faire de l'hébergement des données un sujet de gouvernance, et non plus un simple paramètre technique.
La réglementation se durcit. En février 2026, la commission des lois de l'Assemblée nationale a adopté une proposition de loi étendant aux collectivités territoriales les obligations de recours à des solutions qualifiées SecNumCloud pour leurs données sensibles. Ce texte, déposé par le sénateur Dany Wattebled et rapporté à l'Assemblée par le député Philippe Latombe, concerne les régions, départements, communes de plus de 30 000 habitants, communautés d'agglomération, métropoles et services départementaux d'incendie et de secours (SDIS). Le Sénat a fixé la date d'entrée en vigueur du dispositif au 1er janvier 2030 (source : Sénat, rapport n°199, décembre 2025 ; Banque des Territoires, 26 février 2026).
La menace cyber frappe les collectivités en première ligne. Selon le panorama de la cybermenace 2025 publié par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) en mars 2026, les ministères et collectivités territoriales représentent 24 % des incidents traités par l'agence, ce qui en fait le deuxième secteur le plus touché après l'éducation et la recherche (source : ANSSI, Panorama de la cybermenace 2025, mars 2026). Une commune sur dix de moins de 25 000 habitants déclare avoir subi au moins une cyberattaque en 2024, selon le baromètre de Cybermalveillance.gouv.fr (source : Banque des Territoires, dossier cybersécurité, février 2026). Le coût moyen d'une cyberattaque réussie en France est estimé à environ 59 000 € par organisation (source : cabinet Asterès, étude juin 2023, méthodologie discutée, chiffre à considérer comme un ordre de grandeur). Pour une collectivité, les conséquences sont parfois bien supérieures : la ville de Houilles (Yvelines) a chiffré à 350 000 € les dépenses liées à une seule attaque par rançongiciel en 2021 (source : actu.fr, cité par Avant de Cliquer).
L'adoption de l'IA accélère dans le secteur public. Des outils de transcription, de synthèse documentaire et d'aide à la décision se déploient dans les DGS, les directions des systèmes d'information (DSI) et les directions des ressources humaines (DRH). Or ces outils traitent des données confidentielles (entretiens individuels, comités de direction, commissions paritaires, données médico-sociales) dont l'hébergement doit être maîtrisé. Le cadre législatif européen sur l'IA, le Règlement sur l'intelligence artificielle (EU AI Act), entré en application progressive depuis 2024, renforce les exigences de transparence et de gouvernance sur les systèmes d'IA utilisés par les organismes publics (pour un décryptage complet, voir notre guide de conformité EU AI Act et RGPD 2026).
La question n'est donc plus « faut-il passer au cloud ? » mais « quel cloud, opéré par qui, et soumis à quel droit ? ».
Le CLOUD Act en 2026 : ce que les décideurs publics doivent comprendre
Ce que dit la loi américaine
Le CLOUD Act est une loi fédérale américaine adoptée en mars 2018. Elle autorise les autorités américaines à exiger, par mandat judiciaire, l'accès aux données détenues par tout fournisseur de services soumis au droit des États-Unis, y compris lorsque ces données sont stockées en dehors du territoire américain.
Concrètement, si une collectivité française utilise un service cloud opéré par une entreprise américaine ou sa filiale, les données hébergées sur ce service, même sur un serveur physiquement situé en Europe, peuvent faire l'objet d'une demande d'accès par les autorités américaines, sans notification préalable aux utilisateurs concernés ni coopération avec les autorités françaises.
Un risque juridique confirmé en 2025-2026
En décembre 2025, un rapport juridique commandé par le ministère allemand de l'Intérieur à l'université de Cologne a confirmé l'étendue du risque. Ce rapport conclut que le Stored Communications Act, renforcé par le CLOUD Act et la section 702 du Foreign Intelligence Surveillance Act (FISA) prolongée jusqu'en avril 2026, permet aux agences américaines d'accéder à toute donnée hébergée sur un service géré par une entreprise américaine, quel que soit le lieu de stockage (source : Wikipedia, CLOUD Act, citant le rapport de l'université de Cologne, décembre 2025).
⚠️ Note de transparence : ce rapport est cité via des sources secondaires. La source primaire en allemand n'a pas été directement consultée. L'information est cohérente avec le cadre juridique établi par les arrêts Schrems II de la Cour de justice de l'Union européenne (CJUE) et les analyses du Comité européen de la protection des données (CEPD).
En parallèle, l'Assemblée nationale a lancé en mars 2026 une commission d'enquête sur « les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique », présidée par Philippe Latombe. Le directeur général du Health Data Hub figure parmi les premiers auditionnés, tant la plateforme des données de santé a cristallisé les tensions sur l'hébergement chez des acteurs soumis au CLOUD Act (source : Acteurs Publics, 27 février 2026).
Le conflit direct avec le RGPD
Le CLOUD Act entre en contradiction frontale avec le RGPD. L'article 48 du RGPD stipule que les ordonnances judiciaires de pays tiers ne sont valides pour transférer des données hors de l'Union européenne (UE) que si elles sont fondées sur un accord international, comme un traité d'entraide judiciaire (Mutual Legal Assistance Treaty, MLAT). Or le CLOUD Act contourne explicitement ce mécanisme.
Le CEPD a rappelé que les fournisseurs soumis à la législation européenne ne peuvent pas fonder un transfert de données vers les États-Unis uniquement sur une demande formulée dans le cadre du CLOUD Act.
Les organisations utilisant des clouds américains se trouvent face à un dilemme juridique : se conformer au mandat américain et risquer une violation du RGPD, ou refuser le mandat et s'exposer à des sanctions aux États-Unis. Pour une collectivité territoriale, qui traite quotidiennement des données d'état civil, des données de santé, des procès-verbaux de réunion et des entretiens RH, ce dilemme est inacceptable.
La doctrine française du cloud en 2026 : état des lieux
« Cloud au centre » : un bilan en forte accélération
Depuis 2021, la doctrine « Cloud au centre » impose le recours au cloud pour tout nouveau projet numérique de l'État. Le bilan 2025, présenté par la Direction interministérielle du numérique (DINUM) le 24 mars 2026, révèle une accélération significative (source : numerique.gouv.fr, mars 2026) :
84 millions d'euros de commandes cloud en 2025, en hausse de 62 % par rapport à 2024
847 projets actifs, soit en moyenne deux nouveaux projets par jour
70 % des commandes passées auprès de fournisseurs européens sur le marché « Nuage public », et 99 % sur le seul périmètre de l'État
Hausse de 27 % du nombre de structures publiques utilisant le cloud, incluant des collectivités territoriales
L'État héberge désormais des applications critiques sur des infrastructures cloud françaises : le système d'information du SAMU, le Géoportail de l'Institut national de l'information géographique et forestière (IGN) ou les démarches d'inscription sur les listes électorales. Le gouvernement a également annoncé la migration de la Plateforme des données de santé vers un cloud de confiance d'ici 2027.
SecNumCloud : le standard de référence en France
SecNumCloud est la qualification délivrée par l'ANSSI pour les prestataires de services cloud. Dans sa version 3.2, mise à jour en mars 2022, ce référentiel intègre des critères de protection vis-à-vis du droit extra-européen, y compris le CLOUD Act. Un service qualifié SecNumCloud garantit que les données hébergées ne peuvent être soumises à des lois extraterritoriales, que l'opérateur est sous contrôle capitalistique européen, et que les opérations sont localisées dans l'UE.
Pour les collectivités, la Commission supérieure du numérique et des postes (CSNP) recommande le recours à des hébergeurs de confiance pour toutes les données sensibles ou nécessitant une protection particulière (source : avis CSNP N°2023-06, 12 septembre 2023).
L'extension aux collectivités : la proposition de loi Wattebled-Latombe
La proposition de loi sénatoriale relative à la sécurisation des marchés publics numériques, déposée par le sénateur Dany Wattebled le 7 octobre 2025, adoptée par le Sénat le 17 décembre 2025, puis adoptée en commission des lois de l'Assemblée le 25 février 2026, modifie la loi visant à sécuriser et réguler l'espace numérique (SREN) du 21 mai 2024. Elle soumet aux mêmes exigences que l'État les régions, départements, communes et intercommunalités de plus de 30 000 habitants, métropoles, SDIS et centres de gestion de la fonction publique territoriale (source : Banque des Territoires, 26 février 2026 ; AEF Info, 2 mars 2026).
Deux points essentiels à retenir :
Premièrement, le Sénat a fixé la date d'entrée en vigueur au 1er janvier 2030, pour tenir compte des délais d'adaptation et du coût potentiellement plus élevé des offres souveraines pour les petites collectivités (source : Sénat, rapport n°199, décembre 2025).
Deuxièmement, le processus législatif est toujours en cours à la date de rédaction de cet article (juillet 2026).
Ce que cela signifie pour les collectivités : même si le texte n'est pas encore définitivement adopté, la direction réglementaire est sans ambiguïté. Le Sénat, l'Assemblée en commission, la DINUM, la CSNP et la CNIL convergent. Anticiper cette obligation en choisissant dès maintenant des prestataires conformes évite une migration coûteuse ultérieure.
La certification européenne EUCS en 2026 : un schéma sans garantie de souveraineté
Le European Union Cybersecurity Certification Scheme for Cloud Services (EUCS), piloté par l'Agence de l'Union européenne pour la cybersécurité (ENISA), devait harmoniser les certifications cloud à l'échelle européenne. Après cinq ans de concertation, le projet reste bloqué sur un point central : faut-il inclure des critères d'immunité face aux lois extraterritoriales dans le niveau de certification le plus élevé ?
La France, soutenue par l'Italie et l'Espagne, y est favorable. L'Allemagne et les Pays-Bas s'y opposent. En janvier 2026, la Commission européenne a choisi de relancer l'EUCS en le recentrant sur les risques strictement techniques, tout en annonçant un futur texte séparé, le Cloud and AI Development Act (CADA), pour traiter les aspects de souveraineté (source : IT for Business, février 2026).
La Commission nationale de l'informatique et des libertés (CNIL) a pris position : elle déplore que le projet EUCS ne permette plus aux fournisseurs de démontrer qu'ils protègent les données contre tout accès par une puissance étrangère, et appelle à réintroduire des critères d'immunité, en s'inspirant de SecNumCloud (source : CNIL).
En pratique pour les collectivités : SecNumCloud reste le seul référentiel offrant une protection juridique complète contre les lois extraterritoriales. L'EUCS, dans son état actuel, ne peut pas servir de base pour externaliser des données sensibles.
Pourquoi les comptes-rendus de réunion sont des données sensibles en 2026
Les réunions de direction, les entretiens individuels, les commissions paritaires, les comités d'hygiène, de sécurité et des conditions de travail (CHSCT), les réunions de suivi médico-social et les échanges entre élus produisent des données particulièrement sensibles : noms de personnes, décisions stratégiques, éléments de négociation, données RH, parfois médicales.
À cette sensibilité intrinsèque s'ajoute un phénomène cognitif rarement pris en compte : sans capture rigoureuse, une part majeure de l'information échangée en réunion s'efface en 24 heures, comme le démontre la courbe d'oubli d'Ebbinghaus appliquée aux réunions. Le coût réel d'une réunion mal capturée, avec ses reprises, clarifications et décisions à refaire, dépasse largement le coût de la réunion elle-même.
Catherine F., Directrice d'établissement médico-social et utilisatrice de NeoMeet, souligne l'importance de l'adaptabilité dans ces contextes : « Les vrais plus c'est de pouvoir personnaliser mes templates et de pouvoir générer des comptes-rendus dans plusieurs langues. »
Confier la transcription et l'analyse de ces échanges à un outil d'IA hébergé sur un cloud américain revient à exposer ces données au CLOUD Act. C'est un risque que les décideurs publics (DGS, DSI, délégués à la protection des données ou DPO) ne peuvent pas ignorer, d'autant plus dans les établissements de santé et médico-sociaux où les données sont doublement protégées par le RGPD et par le cadre de l'hébergement de données de santé (HDS).
Pour une analyse détaillée de ce que les DSI et directeurs généraux doivent savoir sur l'IA en réunion, consultez notre article dédié à l'IA et aux réunions dans le secteur public.
Comment NeoMeet répond à cette problématique
NeoMeet, l'assistant de réunion souverain développé par Neova, a été conçu pour répondre précisément à ce dilemme entre performance IA et souveraineté des données. Plusieurs caractéristiques le distinguent sur le marché.
Hébergement exclusivement européen. Les données sont hébergées en France, en Suisse et en Allemagne. Aucun serveur américain. Neova est une entreprise de droit français, fondée par Camille Gerbier et Killiann Costanso-Bitz, sans lien capitalistique avec une entité américaine. Le CLOUD Act ne s'applique pas.
Infrastructure certifiée. L'infrastructure d'hébergement repose sur des serveurs certifiés ISO 27001, SOC 2 et Hébergeur de Données de Santé (HDS), ce qui garantit un cadre technique de sécurité aligné sur les meilleures pratiques du secteur.
Suppression immédiate des enregistrements. Comme le précise le site officiel de Neova : « Vos enregistrements sont supprimés de nos bases de données immédiatement après leur traitement. » Le compte-rendu structuré reste disponible, mais l'audio source est éliminé.
Aucun entraînement IA. Formulation exacte du site officiel : « Vos données ne sont jamais utilisées pour entraîner des modèles d'IA. Ni par Neova, ni par un tiers. »
Conformité RGPD & ISO 27001. NeoMeet est conforme au Règlement général sur la protection des données (RGPD) et à la norme ISO 27001 (International Organization for Standardization 27001).
Kit microphone sécurisé. Le microphone Tula® haut de gamme utilise une transmission filaire (pas de Wi-Fi ni Bluetooth), éliminant tout risque d'interception sans fil pendant les réunions.
Sonnya G., Directrice Générale des Services à la Mairie de Vétraz-Monthoux, témoigne : « Quand l'IA écrit, moi j'écoute mieux. NeoMeet m'a permis d'être plus présente et plus juste dans mes entretiens. Le vrai gain est mental et relationnel : je comprends mieux, je réponds mieux. »
Pour découvrir l'ensemble des offres NeoMeet, consultez la page Offres. Pour organiser une démonstration adaptée à votre organisation, contactez l'équipe Neova.
Comparatif des solutions d'IA de réunion face au CLOUD Act en 2026
Lorsqu'une collectivité compare les assistants de réunion IA disponibles sur le marché, le critère de l'hébergement et de la juridiction applicable est discriminant. Des outils comme Otter.ai (États-Unis) ou Fireflies.ai (États-Unis) hébergent les données hors de l'UE ou sont opérés par des entreprises soumises au CLOUD Act. Plaud (Chine) relève d'un autre cadre juridique extraterritorial. Noota est un concurrent français avec un hébergement en France.
Pour un comparatif complet des fonctionnalités et de la conformité, consultez notre comparatif des 5 assistants IA de réunion conformes RGPD en 2026.
Critère | Cloud américain (Otter.ai, Fireflies) | Cloud français non souverain | Cloud souverain (ex. NeoMeet) |
|---|---|---|---|
Soumis au CLOUD Act | Oui | Variable (dépend de la maison mère) | Non |
Données hébergées en UE | Non (ou partiellement) | Oui | Oui (France, Suisse, Allemagne) |
Conforme RGPD | Risque de conflit juridique | Oui | Oui |
Conforme ISO 27001 | Variable | Variable | Oui |
Suppression des enregistrements après traitement | Variable | Variable | Immédiate |
Données utilisées pour entraîner l'IA | Possible (vérifier les CGU) | Variable | Non (ni Neova, ni tiers) |
Compatible doctrine « Cloud au centre » | Non | Partiellement | Oui |
Adapté au secteur public et médico-social | Non recommandé | Selon les cas | Oui |
Guide pratique : 5 étapes pour choisir son hébergement IA en collectivité en 2026
Étape 1 : Cartographier les données traitées. Identifier quelles données passent par chaque outil : transcriptions de réunion, comptes-rendus, fichiers partagés. Classer ces données en « sensibles » (données RH, médicales, stratégiques, délibérations) et « courantes ». Les réunions de CODIR, les entretiens individuels et les commissions disciplinaires relèvent systématiquement de la première catégorie.
Étape 2 : Vérifier la structure juridique du prestataire. L'entreprise qui opère le service est-elle soumise au droit américain, directement ou via sa maison mère ? Un hébergement en Europe ne suffit pas si l'opérateur est une filiale d'un groupe américain. Poser explicitement la question au prestataire et demander une réponse écrite.
Étape 3 : Exiger les preuves de conformité. Demander la qualification SecNumCloud ou, au minimum, la conformité RGPD et ISO 27001 documentée. Demander le Data Processing Agreement (DPA) ou Accord de traitement des données (ATD). Vérifier la politique de rétention et de suppression des données, et notamment si les enregistrements audio sont conservés après traitement.
Étape 4 : Vérifier les garanties de gouvernance des données. Au-delà de la conformité juridique, examiner les mécanismes concrets qui protègent les données : politique de suppression des enregistrements, engagement de non-réutilisation pour l'entraînement des modèles d'IA, chiffrement des flux, journalisation des accès. Ces garanties doivent être vérifiables et opposables contractuellement, pas seulement affichées sur un site web.
Étape 5 : Anticiper la réglementation. La proposition de loi Wattebled-Latombe prévoit une entrée en vigueur au 1er janvier 2030, mais la direction réglementaire est claire dès aujourd'hui. Choisir dès maintenant un prestataire conforme permet d'éviter une migration coûteuse et de sécuriser les données en attendant l'adoption définitive du texte.
FAQ : Questions fréquentes des décideurs publics sur l'hébergement cloud en 2026
Le CLOUD Act s'applique-t-il aux données hébergées en Europe par un fournisseur américain ?
Oui. Le Clarifying Lawful Overseas Use of Data Act (CLOUD Act) s'applique à tout fournisseur soumis au droit américain, quel que soit le lieu physique de stockage des données. Un serveur situé à Francfort ou Amsterdam mais opéré par une entreprise américaine, ou sa filiale européenne, reste soumis à cette loi. C'est le lien juridique avec l'entreprise qui compte, pas la localisation du serveur.
Quels sont les risques juridiques concrets si ma collectivité utilise un cloud américain pour ses réunions ?
Le risque principal est un conflit entre le CLOUD Act et le RGPD. Si les autorités américaines émettent un mandat d'accès, le fournisseur se trouve dans l'obligation de communiquer les données, y compris des transcriptions de réunion contenant des données personnelles, sans pouvoir en informer les utilisateurs ni solliciter l'aval des autorités françaises. La collectivité pourrait se retrouver en situation de non-conformité au RGPD, avec un risque de sanction par la CNIL pouvant aller jusqu'à 20 millions d'euros.
Ma collectivité est-elle déjà obligée d'utiliser un cloud souverain ?
La doctrine « Cloud au centre » s'applique formellement à l'État. Pour les collectivités, la CSNP recommande le recours à des hébergeurs de confiance. La proposition de loi Wattebled-Latombe, adoptée en commission en février 2026, vise à rendre cette obligation contraignante pour les collectivités de plus de 30 000 habitants, avec une entrée en vigueur fixée au 1er janvier 2030. Le texte est en cours d'examen parlementaire. En attendant, rien n'empêche, et tout encourage, les collectivités à anticiper.
Un assistant de réunion IA peut-il être utilisé pour des données de santé ou médico-sociales ?
Oui, à condition que l'hébergeur soit conforme au cadre de l'hébergement de données de santé (HDS) et au RGPD, et que les données ne soient pas accessibles à des juridictions extraterritoriales. NeoMeet, avec son hébergement exclusivement européen et son infrastructure certifiée HDS, est adapté aux environnements médico-sociaux. Catherine F., Directrice d'établissement médico-social, utilise NeoMeet pour ses réunions.
Un hébergement en Suisse est-il conforme au RGPD ?
La Suisse bénéficie d'une décision d'adéquation de la Commission européenne au titre du RGPD, ce qui signifie que les transferts de données vers la Suisse sont autorisés sans garanties supplémentaires. La Suisse dispose par ailleurs de l'une des législations les plus strictes en matière de protection des données. NeoMeet est hébergé en France, en Suisse et en Allemagne, trois juridictions garantissant un cadre juridique fort de protection des données.
NeoMeet est-il soumis au CLOUD Act ?
Non. Neova est une entreprise de droit français, fondée en France par Camille Gerbier et Killiann Costanso-Bitz, sans lien capitalistique avec une entité américaine. NeoMeet n'est soumis à aucune loi extraterritoriale américaine. Les enregistrements sont supprimés immédiatement après traitement et aucune donnée n'est utilisée pour entraîner des modèles d'IA.
Comment vérifier concrètement qu'un fournisseur cloud n'est pas soumis au CLOUD Act ?
Trois vérifications sont indispensables. D'abord, examiner la structure capitalistique : le fournisseur doit être contrôlé par des actionnaires européens, sans société-mère ou filiale américaine. Ensuite, exiger une déclaration écrite explicite du fournisseur sur sa non-soumission au droit américain : un simple hébergement en Europe ne suffit pas si l'opérateur reste juridiquement lié aux États-Unis. Enfin, privilégier les fournisseurs qualifiés SecNumCloud, référentiel qui inclut spécifiquement des critères d'immunité aux lois extraterritoriales dans sa version 3.2.
L'EUCS va-t-il remplacer SecNumCloud ?
Pas dans l'immédiat. Le schéma EUCS, dans son état actuel (juillet 2026), ne contient pas de critères d'immunité face aux lois extraterritoriales. La CNIL et la France demandent leur réintroduction, mais aucun consensus européen n'a été trouvé. SecNumCloud reste le seul référentiel offrant cette garantie. La Commission européenne prévoit de traiter les aspects de souveraineté dans un texte séparé (CADA), dont le calendrier n'est pas encore fixé.
Sources
Textes législatifs et réglementaires européens
Règlement (UE) 2016/679, Règlement général sur la protection des données (RGPD), article 48 sur les transferts de données vers des pays tiers
Règlement (UE) 2024/1689, Règlement sur l'intelligence artificielle (EU AI Act)
Proposition de révision du règlement sur la cybersécurité (EUCS), Commission européenne, janvier 2026
Textes législatifs et réglementaires français
Proposition de loi relative à la sécurisation des marchés publics numériques (Wattebled-Latombe), adoptée au Sénat le 17 décembre 2025 (T.A. n°33), adoptée en commission des lois de l'Assemblée le 25 février 2026 (rapport n°2522)
Sénat, rapport n°199 de Mme Olivia Richard, 10 décembre 2025, fixation de l'entrée en vigueur au 1er janvier 2030
Loi n° 2024-449 visant à sécuriser et réguler l'espace numérique (SREN), 21 mai 2024
Circulaire du Premier ministre « Cloud au centre », juillet 2021
Autorités publiques françaises
ANSSI, Panorama de la cybermenace 2025, publié en mars 2026 (cyber.gouv.fr)
DINUM, Bilan 2025 de la doctrine « Cloud au centre », présenté le 24 mars 2026 (numerique.gouv.fr)
CNIL, Communiqué sur les risques d'une certification EUCS sans critères de souveraineté (cnil.fr)
CSNP, Avis N°2023-06 sur la souveraineté numérique, 12 septembre 2023
Cybermalveillance.gouv.fr, 3e édition du baromètre de la maturité cyber des collectivités, 2024
Rapports et études
Université de Cologne, Rapport juridique commandé par le ministère allemand de l'Intérieur sur le CLOUD Act et le FISA, décembre 2025 (cité via sources secondaires)
Cabinet Asterès, « Le coût des cyberattaques réussies en France », juin 2023 (méthodologie discutée par LeMagIT, juin 2024, chiffre de 59 000 € à considérer comme un ordre de grandeur)
Médias spécialisés
Banque des Territoires, « Les collectivités locales bientôt obligées d'utiliser un cloud souverain ? », 26 février 2026
Banque des Territoires, Dossier « Cybersécurité des collectivités : la menace plane plus que jamais », février 2026
Acteurs Publics, « Les parlementaires lancent une commission d'enquête sur la dépendance au numérique étranger », 27 février 2026
AEF Info, « Cloud : les députés adoptent en commission un texte visant à renforcer les obligations des collectivités et Sdis », 2 mars 2026
IT for Business, « EUCS relancé, CADA en coulisses : ce que l'UE prépare vraiment pour le cloud », février 2026
Actu.fr (via Avant de Cliquer), Coût de la cyberattaque de la ville de Houilles, 2021
Cet article fait partie d'une série consacrée à l'IA souveraine et au secteur public. Consultez aussi :
Comparatif des 5 assistants IA de réunion conformes RGPD en 2026
EU AI Act et RGPD 2026 : guide de conformité pour les collectivités
Combien d'informations perd-on après une réunion ? La courbe d'oubli d'Ebbinghaus
Pour une démonstration de NeoMeet, réservez un rendez-vous avec l'équipe Neova.
Mis à jour : juillet 2026 | Lecture : 15 minutes
En résumé
En 2026, les collectivités territoriales qui déploient des outils d'intelligence artificielle, notamment pour la transcription et les comptes-rendus de réunion, font face à un choix structurant : hébergement souverain européen ou cloud opéré par un fournisseur soumis au Clarifying Lawful Overseas Use of Data Act (CLOUD Act) américain. Ce choix est devenu juridique, politique et stratégique. Ce guide présente les risques concrets du CLOUD Act, les obligations réglementaires en vigueur et à venir, et les critères objectifs pour sélectionner un hébergement conforme au Règlement général sur la protection des données (RGPD) et adapté aux environnements régulés.
Introduction : le choix de l'hébergement est devenu un sujet de direction générale en 2026
Quand une direction générale des services (DGS) choisit un outil d'intelligence artificielle (IA) pour ses réunions, elle choisit aussi, souvent sans le savoir, à quel droit ses données seront soumises. C'est ce choix invisible qui est devenu le véritable enjeu stratégique en 2026.
Trois facteurs convergent pour faire de l'hébergement des données un sujet de gouvernance, et non plus un simple paramètre technique.
La réglementation se durcit. En février 2026, la commission des lois de l'Assemblée nationale a adopté une proposition de loi étendant aux collectivités territoriales les obligations de recours à des solutions qualifiées SecNumCloud pour leurs données sensibles. Ce texte, déposé par le sénateur Dany Wattebled et rapporté à l'Assemblée par le député Philippe Latombe, concerne les régions, départements, communes de plus de 30 000 habitants, communautés d'agglomération, métropoles et services départementaux d'incendie et de secours (SDIS). Le Sénat a fixé la date d'entrée en vigueur du dispositif au 1er janvier 2030 (source : Sénat, rapport n°199, décembre 2025 ; Banque des Territoires, 26 février 2026).
La menace cyber frappe les collectivités en première ligne. Selon le panorama de la cybermenace 2025 publié par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) en mars 2026, les ministères et collectivités territoriales représentent 24 % des incidents traités par l'agence, ce qui en fait le deuxième secteur le plus touché après l'éducation et la recherche (source : ANSSI, Panorama de la cybermenace 2025, mars 2026). Une commune sur dix de moins de 25 000 habitants déclare avoir subi au moins une cyberattaque en 2024, selon le baromètre de Cybermalveillance.gouv.fr (source : Banque des Territoires, dossier cybersécurité, février 2026). Le coût moyen d'une cyberattaque réussie en France est estimé à environ 59 000 € par organisation (source : cabinet Asterès, étude juin 2023, méthodologie discutée, chiffre à considérer comme un ordre de grandeur). Pour une collectivité, les conséquences sont parfois bien supérieures : la ville de Houilles (Yvelines) a chiffré à 350 000 € les dépenses liées à une seule attaque par rançongiciel en 2021 (source : actu.fr, cité par Avant de Cliquer).
L'adoption de l'IA accélère dans le secteur public. Des outils de transcription, de synthèse documentaire et d'aide à la décision se déploient dans les DGS, les directions des systèmes d'information (DSI) et les directions des ressources humaines (DRH). Or ces outils traitent des données confidentielles (entretiens individuels, comités de direction, commissions paritaires, données médico-sociales) dont l'hébergement doit être maîtrisé. Le cadre législatif européen sur l'IA, le Règlement sur l'intelligence artificielle (EU AI Act), entré en application progressive depuis 2024, renforce les exigences de transparence et de gouvernance sur les systèmes d'IA utilisés par les organismes publics (pour un décryptage complet, voir notre guide de conformité EU AI Act et RGPD 2026).
La question n'est donc plus « faut-il passer au cloud ? » mais « quel cloud, opéré par qui, et soumis à quel droit ? ».
Le CLOUD Act en 2026 : ce que les décideurs publics doivent comprendre
Ce que dit la loi américaine
Le CLOUD Act est une loi fédérale américaine adoptée en mars 2018. Elle autorise les autorités américaines à exiger, par mandat judiciaire, l'accès aux données détenues par tout fournisseur de services soumis au droit des États-Unis, y compris lorsque ces données sont stockées en dehors du territoire américain.
Concrètement, si une collectivité française utilise un service cloud opéré par une entreprise américaine ou sa filiale, les données hébergées sur ce service, même sur un serveur physiquement situé en Europe, peuvent faire l'objet d'une demande d'accès par les autorités américaines, sans notification préalable aux utilisateurs concernés ni coopération avec les autorités françaises.
Un risque juridique confirmé en 2025-2026
En décembre 2025, un rapport juridique commandé par le ministère allemand de l'Intérieur à l'université de Cologne a confirmé l'étendue du risque. Ce rapport conclut que le Stored Communications Act, renforcé par le CLOUD Act et la section 702 du Foreign Intelligence Surveillance Act (FISA) prolongée jusqu'en avril 2026, permet aux agences américaines d'accéder à toute donnée hébergée sur un service géré par une entreprise américaine, quel que soit le lieu de stockage (source : Wikipedia, CLOUD Act, citant le rapport de l'université de Cologne, décembre 2025).
⚠️ Note de transparence : ce rapport est cité via des sources secondaires. La source primaire en allemand n'a pas été directement consultée. L'information est cohérente avec le cadre juridique établi par les arrêts Schrems II de la Cour de justice de l'Union européenne (CJUE) et les analyses du Comité européen de la protection des données (CEPD).
En parallèle, l'Assemblée nationale a lancé en mars 2026 une commission d'enquête sur « les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique », présidée par Philippe Latombe. Le directeur général du Health Data Hub figure parmi les premiers auditionnés, tant la plateforme des données de santé a cristallisé les tensions sur l'hébergement chez des acteurs soumis au CLOUD Act (source : Acteurs Publics, 27 février 2026).
Le conflit direct avec le RGPD
Le CLOUD Act entre en contradiction frontale avec le RGPD. L'article 48 du RGPD stipule que les ordonnances judiciaires de pays tiers ne sont valides pour transférer des données hors de l'Union européenne (UE) que si elles sont fondées sur un accord international, comme un traité d'entraide judiciaire (Mutual Legal Assistance Treaty, MLAT). Or le CLOUD Act contourne explicitement ce mécanisme.
Le CEPD a rappelé que les fournisseurs soumis à la législation européenne ne peuvent pas fonder un transfert de données vers les États-Unis uniquement sur une demande formulée dans le cadre du CLOUD Act.
Les organisations utilisant des clouds américains se trouvent face à un dilemme juridique : se conformer au mandat américain et risquer une violation du RGPD, ou refuser le mandat et s'exposer à des sanctions aux États-Unis. Pour une collectivité territoriale, qui traite quotidiennement des données d'état civil, des données de santé, des procès-verbaux de réunion et des entretiens RH, ce dilemme est inacceptable.
La doctrine française du cloud en 2026 : état des lieux
« Cloud au centre » : un bilan en forte accélération
Depuis 2021, la doctrine « Cloud au centre » impose le recours au cloud pour tout nouveau projet numérique de l'État. Le bilan 2025, présenté par la Direction interministérielle du numérique (DINUM) le 24 mars 2026, révèle une accélération significative (source : numerique.gouv.fr, mars 2026) :
84 millions d'euros de commandes cloud en 2025, en hausse de 62 % par rapport à 2024
847 projets actifs, soit en moyenne deux nouveaux projets par jour
70 % des commandes passées auprès de fournisseurs européens sur le marché « Nuage public », et 99 % sur le seul périmètre de l'État
Hausse de 27 % du nombre de structures publiques utilisant le cloud, incluant des collectivités territoriales
L'État héberge désormais des applications critiques sur des infrastructures cloud françaises : le système d'information du SAMU, le Géoportail de l'Institut national de l'information géographique et forestière (IGN) ou les démarches d'inscription sur les listes électorales. Le gouvernement a également annoncé la migration de la Plateforme des données de santé vers un cloud de confiance d'ici 2027.
SecNumCloud : le standard de référence en France
SecNumCloud est la qualification délivrée par l'ANSSI pour les prestataires de services cloud. Dans sa version 3.2, mise à jour en mars 2022, ce référentiel intègre des critères de protection vis-à-vis du droit extra-européen, y compris le CLOUD Act. Un service qualifié SecNumCloud garantit que les données hébergées ne peuvent être soumises à des lois extraterritoriales, que l'opérateur est sous contrôle capitalistique européen, et que les opérations sont localisées dans l'UE.
Pour les collectivités, la Commission supérieure du numérique et des postes (CSNP) recommande le recours à des hébergeurs de confiance pour toutes les données sensibles ou nécessitant une protection particulière (source : avis CSNP N°2023-06, 12 septembre 2023).
L'extension aux collectivités : la proposition de loi Wattebled-Latombe
La proposition de loi sénatoriale relative à la sécurisation des marchés publics numériques, déposée par le sénateur Dany Wattebled le 7 octobre 2025, adoptée par le Sénat le 17 décembre 2025, puis adoptée en commission des lois de l'Assemblée le 25 février 2026, modifie la loi visant à sécuriser et réguler l'espace numérique (SREN) du 21 mai 2024. Elle soumet aux mêmes exigences que l'État les régions, départements, communes et intercommunalités de plus de 30 000 habitants, métropoles, SDIS et centres de gestion de la fonction publique territoriale (source : Banque des Territoires, 26 février 2026 ; AEF Info, 2 mars 2026).
Deux points essentiels à retenir :
Premièrement, le Sénat a fixé la date d'entrée en vigueur au 1er janvier 2030, pour tenir compte des délais d'adaptation et du coût potentiellement plus élevé des offres souveraines pour les petites collectivités (source : Sénat, rapport n°199, décembre 2025).
Deuxièmement, le processus législatif est toujours en cours à la date de rédaction de cet article (juillet 2026).
Ce que cela signifie pour les collectivités : même si le texte n'est pas encore définitivement adopté, la direction réglementaire est sans ambiguïté. Le Sénat, l'Assemblée en commission, la DINUM, la CSNP et la CNIL convergent. Anticiper cette obligation en choisissant dès maintenant des prestataires conformes évite une migration coûteuse ultérieure.
La certification européenne EUCS en 2026 : un schéma sans garantie de souveraineté
Le European Union Cybersecurity Certification Scheme for Cloud Services (EUCS), piloté par l'Agence de l'Union européenne pour la cybersécurité (ENISA), devait harmoniser les certifications cloud à l'échelle européenne. Après cinq ans de concertation, le projet reste bloqué sur un point central : faut-il inclure des critères d'immunité face aux lois extraterritoriales dans le niveau de certification le plus élevé ?
La France, soutenue par l'Italie et l'Espagne, y est favorable. L'Allemagne et les Pays-Bas s'y opposent. En janvier 2026, la Commission européenne a choisi de relancer l'EUCS en le recentrant sur les risques strictement techniques, tout en annonçant un futur texte séparé, le Cloud and AI Development Act (CADA), pour traiter les aspects de souveraineté (source : IT for Business, février 2026).
La Commission nationale de l'informatique et des libertés (CNIL) a pris position : elle déplore que le projet EUCS ne permette plus aux fournisseurs de démontrer qu'ils protègent les données contre tout accès par une puissance étrangère, et appelle à réintroduire des critères d'immunité, en s'inspirant de SecNumCloud (source : CNIL).
En pratique pour les collectivités : SecNumCloud reste le seul référentiel offrant une protection juridique complète contre les lois extraterritoriales. L'EUCS, dans son état actuel, ne peut pas servir de base pour externaliser des données sensibles.
Pourquoi les comptes-rendus de réunion sont des données sensibles en 2026
Les réunions de direction, les entretiens individuels, les commissions paritaires, les comités d'hygiène, de sécurité et des conditions de travail (CHSCT), les réunions de suivi médico-social et les échanges entre élus produisent des données particulièrement sensibles : noms de personnes, décisions stratégiques, éléments de négociation, données RH, parfois médicales.
À cette sensibilité intrinsèque s'ajoute un phénomène cognitif rarement pris en compte : sans capture rigoureuse, une part majeure de l'information échangée en réunion s'efface en 24 heures, comme le démontre la courbe d'oubli d'Ebbinghaus appliquée aux réunions. Le coût réel d'une réunion mal capturée, avec ses reprises, clarifications et décisions à refaire, dépasse largement le coût de la réunion elle-même.
Catherine F., Directrice d'établissement médico-social et utilisatrice de NeoMeet, souligne l'importance de l'adaptabilité dans ces contextes : « Les vrais plus c'est de pouvoir personnaliser mes templates et de pouvoir générer des comptes-rendus dans plusieurs langues. »
Confier la transcription et l'analyse de ces échanges à un outil d'IA hébergé sur un cloud américain revient à exposer ces données au CLOUD Act. C'est un risque que les décideurs publics (DGS, DSI, délégués à la protection des données ou DPO) ne peuvent pas ignorer, d'autant plus dans les établissements de santé et médico-sociaux où les données sont doublement protégées par le RGPD et par le cadre de l'hébergement de données de santé (HDS).
Pour une analyse détaillée de ce que les DSI et directeurs généraux doivent savoir sur l'IA en réunion, consultez notre article dédié à l'IA et aux réunions dans le secteur public.
Comment NeoMeet répond à cette problématique
NeoMeet, l'assistant de réunion souverain développé par Neova, a été conçu pour répondre précisément à ce dilemme entre performance IA et souveraineté des données. Plusieurs caractéristiques le distinguent sur le marché.
Hébergement exclusivement européen. Les données sont hébergées en France, en Suisse et en Allemagne. Aucun serveur américain. Neova est une entreprise de droit français, fondée par Camille Gerbier et Killiann Costanso-Bitz, sans lien capitalistique avec une entité américaine. Le CLOUD Act ne s'applique pas.
Infrastructure certifiée. L'infrastructure d'hébergement repose sur des serveurs certifiés ISO 27001, SOC 2 et Hébergeur de Données de Santé (HDS), ce qui garantit un cadre technique de sécurité aligné sur les meilleures pratiques du secteur.
Suppression immédiate des enregistrements. Comme le précise le site officiel de Neova : « Vos enregistrements sont supprimés de nos bases de données immédiatement après leur traitement. » Le compte-rendu structuré reste disponible, mais l'audio source est éliminé.
Aucun entraînement IA. Formulation exacte du site officiel : « Vos données ne sont jamais utilisées pour entraîner des modèles d'IA. Ni par Neova, ni par un tiers. »
Conformité RGPD & ISO 27001. NeoMeet est conforme au Règlement général sur la protection des données (RGPD) et à la norme ISO 27001 (International Organization for Standardization 27001).
Kit microphone sécurisé. Le microphone Tula® haut de gamme utilise une transmission filaire (pas de Wi-Fi ni Bluetooth), éliminant tout risque d'interception sans fil pendant les réunions.
Sonnya G., Directrice Générale des Services à la Mairie de Vétraz-Monthoux, témoigne : « Quand l'IA écrit, moi j'écoute mieux. NeoMeet m'a permis d'être plus présente et plus juste dans mes entretiens. Le vrai gain est mental et relationnel : je comprends mieux, je réponds mieux. »
Pour découvrir l'ensemble des offres NeoMeet, consultez la page Offres. Pour organiser une démonstration adaptée à votre organisation, contactez l'équipe Neova.
Comparatif des solutions d'IA de réunion face au CLOUD Act en 2026
Lorsqu'une collectivité compare les assistants de réunion IA disponibles sur le marché, le critère de l'hébergement et de la juridiction applicable est discriminant. Des outils comme Otter.ai (États-Unis) ou Fireflies.ai (États-Unis) hébergent les données hors de l'UE ou sont opérés par des entreprises soumises au CLOUD Act. Plaud (Chine) relève d'un autre cadre juridique extraterritorial. Noota est un concurrent français avec un hébergement en France.
Pour un comparatif complet des fonctionnalités et de la conformité, consultez notre comparatif des 5 assistants IA de réunion conformes RGPD en 2026.
Critère | Cloud américain (Otter.ai, Fireflies) | Cloud français non souverain | Cloud souverain (ex. NeoMeet) |
|---|---|---|---|
Soumis au CLOUD Act | Oui | Variable (dépend de la maison mère) | Non |
Données hébergées en UE | Non (ou partiellement) | Oui | Oui (France, Suisse, Allemagne) |
Conforme RGPD | Risque de conflit juridique | Oui | Oui |
Conforme ISO 27001 | Variable | Variable | Oui |
Suppression des enregistrements après traitement | Variable | Variable | Immédiate |
Données utilisées pour entraîner l'IA | Possible (vérifier les CGU) | Variable | Non (ni Neova, ni tiers) |
Compatible doctrine « Cloud au centre » | Non | Partiellement | Oui |
Adapté au secteur public et médico-social | Non recommandé | Selon les cas | Oui |
Guide pratique : 5 étapes pour choisir son hébergement IA en collectivité en 2026
Étape 1 : Cartographier les données traitées. Identifier quelles données passent par chaque outil : transcriptions de réunion, comptes-rendus, fichiers partagés. Classer ces données en « sensibles » (données RH, médicales, stratégiques, délibérations) et « courantes ». Les réunions de CODIR, les entretiens individuels et les commissions disciplinaires relèvent systématiquement de la première catégorie.
Étape 2 : Vérifier la structure juridique du prestataire. L'entreprise qui opère le service est-elle soumise au droit américain, directement ou via sa maison mère ? Un hébergement en Europe ne suffit pas si l'opérateur est une filiale d'un groupe américain. Poser explicitement la question au prestataire et demander une réponse écrite.
Étape 3 : Exiger les preuves de conformité. Demander la qualification SecNumCloud ou, au minimum, la conformité RGPD et ISO 27001 documentée. Demander le Data Processing Agreement (DPA) ou Accord de traitement des données (ATD). Vérifier la politique de rétention et de suppression des données, et notamment si les enregistrements audio sont conservés après traitement.
Étape 4 : Vérifier les garanties de gouvernance des données. Au-delà de la conformité juridique, examiner les mécanismes concrets qui protègent les données : politique de suppression des enregistrements, engagement de non-réutilisation pour l'entraînement des modèles d'IA, chiffrement des flux, journalisation des accès. Ces garanties doivent être vérifiables et opposables contractuellement, pas seulement affichées sur un site web.
Étape 5 : Anticiper la réglementation. La proposition de loi Wattebled-Latombe prévoit une entrée en vigueur au 1er janvier 2030, mais la direction réglementaire est claire dès aujourd'hui. Choisir dès maintenant un prestataire conforme permet d'éviter une migration coûteuse et de sécuriser les données en attendant l'adoption définitive du texte.
FAQ : Questions fréquentes des décideurs publics sur l'hébergement cloud en 2026
Le CLOUD Act s'applique-t-il aux données hébergées en Europe par un fournisseur américain ?
Oui. Le Clarifying Lawful Overseas Use of Data Act (CLOUD Act) s'applique à tout fournisseur soumis au droit américain, quel que soit le lieu physique de stockage des données. Un serveur situé à Francfort ou Amsterdam mais opéré par une entreprise américaine, ou sa filiale européenne, reste soumis à cette loi. C'est le lien juridique avec l'entreprise qui compte, pas la localisation du serveur.
Quels sont les risques juridiques concrets si ma collectivité utilise un cloud américain pour ses réunions ?
Le risque principal est un conflit entre le CLOUD Act et le RGPD. Si les autorités américaines émettent un mandat d'accès, le fournisseur se trouve dans l'obligation de communiquer les données, y compris des transcriptions de réunion contenant des données personnelles, sans pouvoir en informer les utilisateurs ni solliciter l'aval des autorités françaises. La collectivité pourrait se retrouver en situation de non-conformité au RGPD, avec un risque de sanction par la CNIL pouvant aller jusqu'à 20 millions d'euros.
Ma collectivité est-elle déjà obligée d'utiliser un cloud souverain ?
La doctrine « Cloud au centre » s'applique formellement à l'État. Pour les collectivités, la CSNP recommande le recours à des hébergeurs de confiance. La proposition de loi Wattebled-Latombe, adoptée en commission en février 2026, vise à rendre cette obligation contraignante pour les collectivités de plus de 30 000 habitants, avec une entrée en vigueur fixée au 1er janvier 2030. Le texte est en cours d'examen parlementaire. En attendant, rien n'empêche, et tout encourage, les collectivités à anticiper.
Un assistant de réunion IA peut-il être utilisé pour des données de santé ou médico-sociales ?
Oui, à condition que l'hébergeur soit conforme au cadre de l'hébergement de données de santé (HDS) et au RGPD, et que les données ne soient pas accessibles à des juridictions extraterritoriales. NeoMeet, avec son hébergement exclusivement européen et son infrastructure certifiée HDS, est adapté aux environnements médico-sociaux. Catherine F., Directrice d'établissement médico-social, utilise NeoMeet pour ses réunions.
Un hébergement en Suisse est-il conforme au RGPD ?
La Suisse bénéficie d'une décision d'adéquation de la Commission européenne au titre du RGPD, ce qui signifie que les transferts de données vers la Suisse sont autorisés sans garanties supplémentaires. La Suisse dispose par ailleurs de l'une des législations les plus strictes en matière de protection des données. NeoMeet est hébergé en France, en Suisse et en Allemagne, trois juridictions garantissant un cadre juridique fort de protection des données.
NeoMeet est-il soumis au CLOUD Act ?
Non. Neova est une entreprise de droit français, fondée en France par Camille Gerbier et Killiann Costanso-Bitz, sans lien capitalistique avec une entité américaine. NeoMeet n'est soumis à aucune loi extraterritoriale américaine. Les enregistrements sont supprimés immédiatement après traitement et aucune donnée n'est utilisée pour entraîner des modèles d'IA.
Comment vérifier concrètement qu'un fournisseur cloud n'est pas soumis au CLOUD Act ?
Trois vérifications sont indispensables. D'abord, examiner la structure capitalistique : le fournisseur doit être contrôlé par des actionnaires européens, sans société-mère ou filiale américaine. Ensuite, exiger une déclaration écrite explicite du fournisseur sur sa non-soumission au droit américain : un simple hébergement en Europe ne suffit pas si l'opérateur reste juridiquement lié aux États-Unis. Enfin, privilégier les fournisseurs qualifiés SecNumCloud, référentiel qui inclut spécifiquement des critères d'immunité aux lois extraterritoriales dans sa version 3.2.
L'EUCS va-t-il remplacer SecNumCloud ?
Pas dans l'immédiat. Le schéma EUCS, dans son état actuel (juillet 2026), ne contient pas de critères d'immunité face aux lois extraterritoriales. La CNIL et la France demandent leur réintroduction, mais aucun consensus européen n'a été trouvé. SecNumCloud reste le seul référentiel offrant cette garantie. La Commission européenne prévoit de traiter les aspects de souveraineté dans un texte séparé (CADA), dont le calendrier n'est pas encore fixé.
Sources
Textes législatifs et réglementaires européens
Règlement (UE) 2016/679, Règlement général sur la protection des données (RGPD), article 48 sur les transferts de données vers des pays tiers
Règlement (UE) 2024/1689, Règlement sur l'intelligence artificielle (EU AI Act)
Proposition de révision du règlement sur la cybersécurité (EUCS), Commission européenne, janvier 2026
Textes législatifs et réglementaires français
Proposition de loi relative à la sécurisation des marchés publics numériques (Wattebled-Latombe), adoptée au Sénat le 17 décembre 2025 (T.A. n°33), adoptée en commission des lois de l'Assemblée le 25 février 2026 (rapport n°2522)
Sénat, rapport n°199 de Mme Olivia Richard, 10 décembre 2025, fixation de l'entrée en vigueur au 1er janvier 2030
Loi n° 2024-449 visant à sécuriser et réguler l'espace numérique (SREN), 21 mai 2024
Circulaire du Premier ministre « Cloud au centre », juillet 2021
Autorités publiques françaises
ANSSI, Panorama de la cybermenace 2025, publié en mars 2026 (cyber.gouv.fr)
DINUM, Bilan 2025 de la doctrine « Cloud au centre », présenté le 24 mars 2026 (numerique.gouv.fr)
CNIL, Communiqué sur les risques d'une certification EUCS sans critères de souveraineté (cnil.fr)
CSNP, Avis N°2023-06 sur la souveraineté numérique, 12 septembre 2023
Cybermalveillance.gouv.fr, 3e édition du baromètre de la maturité cyber des collectivités, 2024
Rapports et études
Université de Cologne, Rapport juridique commandé par le ministère allemand de l'Intérieur sur le CLOUD Act et le FISA, décembre 2025 (cité via sources secondaires)
Cabinet Asterès, « Le coût des cyberattaques réussies en France », juin 2023 (méthodologie discutée par LeMagIT, juin 2024, chiffre de 59 000 € à considérer comme un ordre de grandeur)
Médias spécialisés
Banque des Territoires, « Les collectivités locales bientôt obligées d'utiliser un cloud souverain ? », 26 février 2026
Banque des Territoires, Dossier « Cybersécurité des collectivités : la menace plane plus que jamais », février 2026
Acteurs Publics, « Les parlementaires lancent une commission d'enquête sur la dépendance au numérique étranger », 27 février 2026
AEF Info, « Cloud : les députés adoptent en commission un texte visant à renforcer les obligations des collectivités et Sdis », 2 mars 2026
IT for Business, « EUCS relancé, CADA en coulisses : ce que l'UE prépare vraiment pour le cloud », février 2026
Actu.fr (via Avant de Cliquer), Coût de la cyberattaque de la ville de Houilles, 2021
Cet article fait partie d'une série consacrée à l'IA souveraine et au secteur public. Consultez aussi :
Comparatif des 5 assistants IA de réunion conformes RGPD en 2026
EU AI Act et RGPD 2026 : guide de conformité pour les collectivités
Combien d'informations perd-on après une réunion ? La courbe d'oubli d'Ebbinghaus
Pour une démonstration de NeoMeet, réservez un rendez-vous avec l'équipe Neova.