Le Cloud and AI Development Act (CADA) est une proposition de règlement européen publiée le 3 juin 2026, dans le cadre du paquet souveraineté technologique. D’application directe dans les 27 États membres, il concerne l’ensemble des entités publiques et institutions de l’Union recourant à des services cloud.
Il vise à développer des capacités cloud et IA européennes, accélérer le déploiement de centres de données, doter le secteur public d’un cloud souverain certifié et réduire les dépendances numériques critiques.
Entrée en application estimée : deuxième trimestre 2029.
Les marchés publics européens ne comportaient aucun critère juridiquement opposable de souveraineté numérique. Le CADA acte un changement de doctrine profond : la commande publique intègre désormais la souveraineté comme critère de sélection à part entière. La logique de marché ouvert cède du terrain à une politique industrielle assumée, orientantstructurellement la demande vers des acteurs européens.
| NIVEAU | CE QUE ÇA CHANGE CONCRÈTEMENT |
|---|---|
| Niveau 1 Auto-évaluation, déclaration UE de conformité, sans audit externe. | Socle minimum obligatoire pour tout achat public de services cloud. Le fournisseur doit être implanté dans l’Union, y maintenir les données de ses clients et rendre compte de ses sous-traitants. Un fournisseur extra-européen pourrait répondre au niveau 1, sous certaines conditions. |
| Niveau 2 Audit indépendant obligatoire. | Fournisseur sous contrôle étranger admis s’il démontre l’absence d’impact sur la sécurité, la continuité et l’autonomie opérationnelle. Certification EUCS «substantiel » ou schéma national (dont SecNumCloud). Données non exploitables pour entraîner des modèles d’IA sous juridiction étrangère |
| Niveau 3 Audit indépendant. Contrôle extra-européen exclu, avec dérogations limitées. | Personnel à citoyenneté européenne. Dérogations possibles : reconnaissance de pays tiers par la Commission, ou absence d’offre conforme pour l’acheteur public. |
| Niveau 4 Audit indépendant. Toute influence extra-européenne exclue, sans aucune dérogation. | Aucun fournisseur soumis à une législation extraterritoriale étrangère admis, y compris via filiale européenne. Certification EUCS « élevé » et maîtrise intégrale de la chaîne logicielle exigées. |
La procédure de reconnaissance (art. 17) est instruite par l’autorité nationale compétente en 60 jours, avec possibilité d’objection des autres États membres ; en cas de désaccord, la Commission statue par décision contraignante. Dans l’année suivant l’entrée en vigueur, chaque État membre cartographie ses usages cloud et fixe le niveau d’assurance requis par usage. Les opérateurs relevant des secteurs critiques au sens de NIS2 peuvent volontairement conduire des analyses d’impact comparables à celles des entités publiques — la Commission pouvant rendre cet exercice obligatoire par acte délégué.
Le fond de la proposition ne cache pas son inspiration française — on y retrouve la logique de la loi SREN, l’architecture du SecNumCloud, la doctrine sur la souveraineté numérique que la France porte depuis plusieurs années. Ce n’est plus aux fournisseurs européens de justifier leur place dans les appels d’offres, c’est aux fournisseurs non-européens de démontrer leur compatibilité avec les exigences de souveraineté. Reste à surveiller les actes d’exécution et les dérogations des articles 18 et 30 : c’est là que se jouera la portée réelle du texte.
2026-2028 : trilogue Parlement européen / Conseil
J+6 mois : désignation par chaque État membre de zones d’accélération pour les centres de données
J+1 an : application du règlement et adoption des stratégies nationales cloud et IA
J+4 ans : premier rapport d’évaluation de la Commission, puis réexamen tous les 5 ans