Cloud and AI Development Act : tripler les data centers

Le 3 juin 2026, la Commission européenne a présenté le Cloud and AI Development Act, une proposition de règlement qui veut au moins tripler la capacité des data centers de l’Union en cinq à sept ans. Au 20 octobre 2026, le texte est en cours d’examen article par article au Conseil, et rien n’est adopté. Dans le même temps, deux annonces françaises d’octobre rappellent que la question du cloud « souverain » se tranche déjà dans les contrats.

Cet article de notre rubrique Infrastructure et cloud résume la proposition à partir des pages de la Commission et de la fiche de procédure du Parlement européen. Ce n’est pas un conseil juridique : le texte peut encore changer profondément pendant la négociation.

Que propose le Cloud and AI Development Act ?

Le texte, référencé COM(2026) 502, fait partie du paquet sur la souveraineté technologique présenté avec une nouvelle version du règlement sur les puces. Selon la page de la Commission consacrée au texte, il repose sur trois piliers : la recherche et l’innovation dans le cloud et l’IA, la capacité des data centers, et l’autonomie de l’Union. Les ordres de grandeur sont les suivants :

Pour y parvenir, la proposition simplifie et harmonise les autorisations des data centers, avec des procédures facilitées dans des « zones d’accélération », et veut faciliter l’accès à l’énergie, au foncier, à l’eau et au financement. Elle crée aussi un cadre commun d’achat de cloud pour les administrations, afin qu’elles mettent en commun leur pouvoir d’achat, et soutient les solutions open source.

Les quatre niveaux de souveraineté proposés

C’est la partie qui intéressera le plus un acheteur de cloud. La proposition définit quatre niveaux d’assurance, que les organismes publics choisiraient selon leur propre analyse de risque. Selon la page de la Commission :

1. Niveau 1 : les données sont traitées et stockées dans une infrastructure située dans l’Union.
2. Niveau 2 : le fournisseur démontre son indépendance vis-à-vis des pays tiers et la transparence de sa chaîne logicielle.
3. Niveau 3 : le fournisseur est détenu et contrôlé depuis l’Union, avec des critères supplémentaires, comme la nationalité du personnel ; la Commission peut reconnaître des fournisseurs de pays tiers.
4. Niveau 4 : le fournisseur a une transparence et un contrôle complets sur sa chaîne logicielle, sans aucune interférence d’un pays tiers.

Les États membres pourraient reconnaître un fournisseur à un niveau donné, après audit. La grille vise d’abord le secteur public ; rien n’oblige une entreprise privée à s’y référer, mais elle donne un vocabulaire commun pour poser la question à un hébergeur.

Où en est la négociation ?

Le texte suit la procédure législative ordinaire : le Parlement européen et le Conseil doivent tous deux l’adopter.

1. 3 juin 2026

   La Commission présente la proposition et son analyse d’impact.

2. 16 juin 2026

   Premier examen au groupe de travail « télécommunications et société de l’information » du Conseil.

3. 8, 22 et 29 septembre 2026

   Examen article par article au Conseil, des achats publics à chacun des trois piliers.

4. 6 octobre 2026

   Le groupe de travail entend le service juridique du Conseil sur le texte.

Les dates du Conseil viennent des ordres du jour provisoires publiés par le Conseil de l’Union européenne ; la procédure porte la référence 2026/0138(COD) à l’Observatoire législatif du Parlement. Aucune position du Parlement ni du Conseil n’était adoptée au 20 octobre 2026, et aucune date d’application n’est donc fixée.

Ce que l’actualité d’octobre rappelle

Deux annonces françaises du mois montrent que les entreprises n’attendent pas le texte européen :

• La compagnie de taxis G7 a officialisé le 8 octobre 2026 un partenariat avec S3NS, la coentreprise contrôlée par Thales qui s’appuie sur la technologie de Google Cloud, pour héberger une partie de ses données sur l’offre PREMI3NS, qualifiée SecNumCloud 3.2 en décembre 2025, selon Le Monde Informatique. Le reste de ses données reste dans ses propres centres en France.
• Un consortium mené par Cloud Temple, avec Thales, Bull, Vates et le CEA, a reçu 20 millions d’euros de l’État, au titre de France 2030, pour un projet de 47 millions d’euros qui doit aboutir fin 2028 à une offre française de cloud et d’IA pour les données sensibles, selon Clubic.

Le premier choix est hybride, le second est une offre à venir : la souveraineté se construit aujourd’hui par les contrats et l’architecture, pas par un label unique.

Ce qui reste vrai pour choisir un hébergeur aujourd’hui

Tant que le texte n’est pas adopté, trois repères tiennent pour une équipe de 20 à 500 personnes :

1. Classer ses données avant de choisir. Toutes ne demandent pas le même niveau : les données sensibles ou réglementées justifient une offre qualifiée, le reste peut rester chez un grand fournisseur. La méthode est dans notre guide du socle d’infrastructure cloud, et son équivalent pour les modèles d’IA dans les quatre niveaux de l’IA privée.
2. Vérifier l’offre, pas le fournisseur. En France, la qualification SecNumCloud de l’ANSSI porte sur une offre précise : c’est elle qu’on vérifie dans le catalogue de l’agence, avec ses dates de validité.
3. Garder une porte de sortie. Le Data Act supprime les frais de changement de fournisseur de cloud au 12 janvier 2027, comme le rappelle notre calendrier de la réglementation numérique ; reste le travail de migration, que décrit la migration cloud sans tout casser.

Si vos données passent par des outils d’IA, les obligations de l’AI Act s’y ajoutent, quel que soit l’hébergeur : elles sont rassemblées dans notre guide de l’AI Act et du RGPD pour les PME.

Date à retenir : aucune pour l’instant ; la prochaine étape est l’adoption d’une position par le Conseil puis par le Parlement. Pour poser votre propre socle, données classées et porte de sortie comprise, voyez notre offre stack auto-hébergée.

Questions fréquentes

Sources

1. La page de la Commission consacrée au texte (nouvel onglet)digital-strategy.ec.europa.eu
2. Ordres du jour provisoires publiés par le Conseil de l’Union européenne (nouvel onglet)data.consilium.europa.eu
3. Observatoire législatif du Parlement (nouvel onglet)oeil.europarl.europa.eu
4. Le Monde Informatique (nouvel onglet)lemondeinformatique.fr
5. Clubic (nouvel onglet)clubic.com