CADA et souveraineté numérique : la localisation des données dans l’UE n’est qu’un point de départ

Conserver ses données dans un centre de données européen est souvent assimilé à la souveraineté numérique. Mais le lieu de stockage n’est qu’une partie de la réalité. Tout aussi important : qui peut accéder à ces données, juridiquement ou techniquement, et qui contrôle en fin de compte l’infrastructure sous-jacente.

C’est là qu’intervient le projet de Cloud and AI Development Act (CADA) de l’Union européenne. Ce nouveau cadre adopte une vision bien plus large de la souveraineté numérique et aura un impact direct sur la manière dont les organisations évalueront à l’avenir leurs fournisseurs de cloud et de logiciels.

Qu’est-ce que le CADA et qu’est-ce qui va changer ?

Le CADA est un projet de cadre européen visant à évaluer la souveraineté numérique des services de cloud et d’IA. Son introduction est actuellement prévue pour 2027.

Au lieu de se limiter à la localisation des données, le modèle proposé prend aussi en compte la protection contre l’accès de pays tiers, la propriété et le contrôle européens, ainsi que la souveraineté sur l’infrastructure et les chaînes d’approvisionnement.

Autrement dit, la souveraineté numérique ne se résume plus au lieu de stockage de vos données. Elle dépend de qui les contrôle en fin de compte.

Les quatre niveaux du CADA en un coup d’œil

Le modèle actuel définit quatre niveaux de souveraineté numérique :

Le constat est simple : la localisation des données dans l’UE n’est pas l’objectif final de la souveraineté numérique. C’est le niveau 1.

Qui sera concerné par le CADA ?

Le CADA concernera en particulier les organisations du secteur public et les entreprises actives dans des secteurs critiques. Selon le cadre actuel, il s’agit notamment des organisations soumises à NIS2, le niveau de souveraineté applicable dépendant de l’évaluation individuelle des risques et de l’impact.

Cela inclut les banques et infrastructures des marchés financiers, les acteurs de la santé et les administrations publiques, ainsi que des secteurs comme l’énergie, les transports et les infrastructures numériques.

Ces secteurs traitent chaque jour des données financières, de patients, de collaborateurs et contractuelles hautement sensibles. La souveraineté numérique deviendra donc un critère de plus en plus important dans le choix des fournisseurs technologiques qui traitent ces informations ou y ont accès.

Que signifie le CADA pour la signature électronique ?

Pour les prestataires de signature électronique, un hébergement dans l’UE ne suffira plus à partir du niveau 2 du CADA.

Le lieu de traitement des documents reste important, mais il faut aussi tenir compte de la capacité du prestataire à accéder à leur contenu, de son exposition aux lois de pays tiers, de sa structure de propriété et de l’infrastructure sur laquelle il s’appuie.

C’est particulièrement important pour la signature électronique, car les documents concernés sont souvent hautement confidentiels : dossiers bancaires et clients, contrats de travail ou rapports médicaux.

Un prestataire de signature électronique peut héberger ses systèmes entièrement en Europe tout en restant soumis à des dépendances juridiques ou techniques hors d’Europe. Les prestataires américains comme DocuSign et Adobe Acrobat Sign, par exemple, sont soumis au CLOUD Act américain et ne remplissent donc pas l’exigence du niveau 2, la protection contre l’accès de pays tiers.

La localisation des données est le point de départ de la souveraineté numérique. Pas son aboutissement.

Une signature électronique Privacy-First conçue pour la souveraineté numérique

Certifaction adopte une approche Privacy-First de la signature électronique. Grâce au zero-document-knowledge, Certifaction ne peut pas accéder au contenu lisible des documents de ses clients. Les documents sont traités localement sur l’appareil de l’utilisateur, qu’il s’agisse d’un ordinateur, d’un smartphone ou d’un autre terminal, et chiffrés de bout en bout avant d’atteindre nos systèmes.

La confidentialité ne dépend donc pas uniquement de règles internes, d’engagements contractuels ou de mesures organisationnelles. Elle est intégrée à l’architecture technique.

Selon notre évaluation interne actuelle des critères du CADA publiés à ce jour, Certifaction remplit les exigences des quatre niveaux de souveraineté.*

La souveraineté numérique va au-delà du lieu de stockage de vos données

La localisation des données dans l’UE est un élément important de la souveraineté numérique. Mais une véritable souveraineté exige davantage : le contrôle de qui peut accéder aux informations confidentielles, de qui détient et contrôle le prestataire, et de qui contrôle l’infrastructure et la chaîne d’approvisionnement.

Avec une signature électronique Privacy-First, vos documents confidentiels restent sous votre contrôle tout au long du processus de signature.

Votre solution de signature électronique est-elle prête pour les exigences à venir ? Si ce n’est pas le cas, parlons-en.

_{*Le CADA est encore un projet de cadre réglementaire, et ses critères et exigences définitifs peuvent évoluer. Cette classification repose sur l’évaluation interne par Certifaction des critères du CADA disponibles à ce jour.}

Sources

• Commission européenne : informations sur le projet de Cloud and AI Development Act (CADA), état de la planification 2026.
• Union européenne : directive (UE) 2022/2555 (directive NIS2), annexes I et II.
• SECJUR: https://www.secjur.com/en/blogs/nis2