Publié le 30 septembre 2026 à 07:00 · Publication originale
Pendant des années, une réponse a suffi dans beaucoup d'appels d'offres:
"Les données restent en Europe."
Le 1er juin 2026, la Commission européenne publie les lignes d'application de son Cloud Sovereignty Framework.
Le cadre ne réduit plus la souveraineté à la localisation des fichiers. Il évalue 48 critères répartis en huit catégories, avec plusieurs niveaux d'assurance.
La juridiction du fournisseur compte. Son exploitation aussi. La chaîne de sous-traitance et la dépendance technologique entrent dans l'analyse.
OpenAI fournit un exemple concret.
Pour certains projets API, un client peut choisir l'Europe pour le stockage et, lorsque le service le permet, pour l'inférence. Mais la documentation précise que la résidence ne s'applique pas aux "system data".
Cette catégorie comprend notamment données de compte, métadonnées, statistiques d'usage, facturation et demandes de support. Elles peuvent être traitées ou stockées hors de la région choisie.
Un même système possède donc plusieurs géographies.
Cloudflare le montre autrement. Sa "Customer Metadata Boundary" permet de maintenir certains journaux clients dans l'Union européenne. Ce réglage est distinct de Regional Services. Par défaut, aucune frontière de métadonnées n'est appliquée.
À ses niveaux les plus exigeants, le cadre européen inclut explicitement métadonnées et télémétrie parmi les données devant rester dans l'Union lorsqu'elles sont considérées sensibles.
Il demande aussi des preuves sur les accès privilégiés, les sauvegardes et les flux impliquant les sous-traitants.
La résidence devient une propriété de l'architecture.
Demander seulement "où sont stockées nos données?" peut donc produire une réponse exacte tout en laissant une partie du système hors champ.
ULTRA®
Un prompt peut rester en Europe tandis qu'un journal indiquant qui a utilisé quel service, à quel moment, suit une autre politique.
La Commission demande, pour les niveaux les plus élevés, des diagrammes montrant où les données sont stockées, traitées, répliquées et sauvegardées. Elle examine aussi les chemins d'accès administratifs et les opérations de support.
Pour le procurement, cela change la lecture d'une garantie de résidence.
Le pays du datacenter reste important.
Mais il ne décrit plus, à lui seul, la géographie réelle d'un système d'IA.
MERCURIO
La souveraineté commence lorsque l'organisation peut reconstruire le trajet complet de ce que son usage du cloud produit.
Sources
Commission européenne, Cloud Sovereignty Framework, version 1.2.1
Commission européenne, Sovereign Cloud Framework explained, 1er juin 2026
Commission européenne, COM(2026) 502
OpenAI, Data controls in the OpenAI platform
Cloudflare, Customer Metadata Boundary
#VOCEASSOCIATION #GouvernanceIA #SouverainetéNumérique #Cloud