États-Unis / Europe : la souveraineté numérique en question

Marc Hecker, directeur exécutif de l'Ifri, reçoit Anne-Thida Norodom et Emma Badaoui, autrices d'une étude sur l'extraterritorialité des données. Elles expliquent comment le droit américain atteint les données européennes, du Patriot Act au Cloud Act, et pourquoi trois géants américains contrôlent plus de 70 % du cloud en Europe. Cloud souverain ou de confiance, « sovereignty washing », risque de coupure des services : elles détaillent aussi les leviers dont dispose l'Union européenne pour reprendre la main.

Le droit américain au-delà de ses frontières

Dans Le Monde selon l’Ifri, Marc Hecker, directeur exécutif de l’Institut français des relations internationales, reçoit Anne-Thida Norodom, professeure de droit public à l’université Paris Cité, et Emma Badaoui, doctorante en droit public à l’Institut de recherche stratégique de l’École militaire (IRSEM) et à l’université de Bretagne occidentale, autrices de l’étude « (Extra)territorialité des données : quelle souveraineté pour l’Europe ? ». Emma Badaoui part du choc politique du retour de Donald Trump à la Maison-Blanche en janvier 2025, qui a révélé la dépendance numérique européenne, et de la stratégie pour une « Union des données » publiée par la Commission européenne en novembre 2025, articulée autour de trois piliers : mutualiser les données pour l’intelligence artificielle, simplifier les règles et renforcer la souveraineté. Anne-Thida Norodom définit ensuite l’extraterritorialité, l’application d’une norme hors du territoire de l’État qui l’a émise, devenue pour les États-Unis un instrument de « guerre par le droit ». Elle retrace l’arsenal américain : le Patriot Act de 2001, la section 702 du Foreign Intelligence Surveillance Act (FISA), adoptée en 2008 et renouvelée en avril 2024, qui autorise la collecte sans mandat des communications de non-Américains détenues par des entreprises américaines, et le Cloud Act de 2018, né pour clore l’affaire Microsoft Irlande, où la justice américaine réclamait des données stockées en Irlande. Elle détaille la réponse européenne : le règlement général sur la protection des données (RGPD), à portée lui aussi extraterritoriale, l’affaire Google Spain et les décisions d’adéquation successives avec les États-Unis, du Safe Harbor invalidé en 2015 au Privacy Shield invalidé en 2020, puis au Data Privacy Framework de 2023, qu’elle juge fragilisé par l’administration Trump.

Pour la juriste, vouloir localiser des données par le droit reste un « vœu pieux » : le droit est territorial, le numérique ne l’est pas, et la souveraineté passe d’abord par la maîtrise des infrastructures.

Cloud souverain, « sovereignty washing » et leviers européens

Emma Badaoui décrit un marché du cloud dominé par trois « hyperscalers » américains, Amazon Web Services, Microsoft Azure et Google Cloud : environ 63 % du marché mondial et plus de 70 % du marché européen, quand la part des fournisseurs européens est passée selon elle de près de 30 % en 2017 à 15 % en 2025. S’y ajoutent l’effet de verrouillage, qui rend tout changement de fournisseur coûteux, et des pannes géantes qui ont montré la dépendance des entreprises et des administrations. Elle met en garde contre le « sovereignty washing », l’équivalent numérique du greenwashing : des offres présentées comme souveraines par des groupes américains, mais toujours soumises au Cloud Act. Elle les distingue des offres certifiées SecNumCloud par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), qui garantissent l’immunité face aux lois extraterritoriales, et des « clouds de confiance » hybrides, comme Bleu (Orange, Capgemini et Microsoft Azure), utiles à court terme mais qui laissent subsister le risque d’un « kill switch ». Ce scénario s’est produit en 2025, rappelle-t-elle, quand des sanctions américaines ont coupé à des juges de la Cour pénale internationale l’accès à leurs messageries et à des services de paiement. Ses pistes : généraliser les garanties de continuité de service, développer des ambassades de données comme l’Estonie depuis 2017 et Monaco depuis 2021, mobiliser l’épargne privée européenne, adopter un « Buy European Tech Act » pour les marchés publics et nouer des partenariats avec le Japon, le Canada, la Corée du Sud ou l’Inde.

Reste un obstacle, selon elle : les divergences entre États membres, visibles dans la négociation de la certification européenne du cloud.

Pour aller plus loin

• L’étude « (Extra)territorialité des données : quelle souveraineté pour l’Europe ? »
• Le podcast « Le monde selon l’Ifri »
• Le site de l’Ifri

Les références de l’épisode

• Stratégie pour une Union des données : publiée par la Commission européenne en novembre 2025.
• Patriot Act (2001), section 702 du FISA et Cloud Act (2018) : les trois textes qui structurent l’extraterritorialité américaine sur les données.
• Affaire Microsoft Irlande : litige sur des données stockées en Irlande, clos par l’adoption du Cloud Act.
• RGPD : règlement européen adopté en 2016, entré en vigueur en 2018, à portée extraterritoriale.
• Affaire Google Spain : a permis d’appliquer le droit européen au déréférencement face à Google.
• Safe Harbor, Privacy Shield et Data Privacy Framework : décisions d’adéquation successives entre l’Union européenne et les États-Unis.
• SecNumCloud : certification de l’ANSSI qui garantit l’immunité face aux lois extraterritoriales.
• Sanctions contre la Cour pénale internationale (2025) : exemple concret de « kill switch » numérique.
• Rapport Draghi et rapport « Much more than a market » : rapports européens de 2024 cités sur l’investissement.
• Revue Politique étrangère : revue de l’Ifri, dont un numéro spécial paraît pour ses 90 ans.

Au fil de l’épisode

• 00:00:00 : présentation des invitées et de leur étude
• 00:00:47 : la stratégie européenne pour une Union des données
• 00:03:39 : qu’est-ce que l’extraterritorialité du droit
• 00:05:30 : Patriot Act, FISA et Cloud Act
• 00:07:06 : l’affaire Microsoft Irlande
• 00:11:46 : la réponse européenne, du RGPD à l’affaire Google Spain
• 00:14:13 : les décisions d’adéquation avec les États-Unis
• 00:16:54 : un marché du cloud dominé par trois acteurs américains
• 00:19:56 : l’effet de verrouillage et les grandes pannes
• 00:22:14 : la relocalisation des données dans le monde
• 00:27:37 : pourquoi localiser les données par le droit est un vœu pieux
• 00:32:09 : cloud souverain, cloud de confiance et sovereignty washing
• 00:36:50 : les leviers de la souveraineté numérique européenne
• 00:42:03 : les obstacles et les divergences entre États membres

FAQ

Qu’est-ce que l’extraterritorialité des données ?

Selon Anne-Thida Norodom, c’est l’application d’une norme hors du territoire de l’État qui l’a émise, appliquée aux données. Elle passe par les obligations imposées par un État à ses entreprises de transmettre des données même stockées à l’étranger, et par la domination des infrastructures cloud par des entreprises soumises au droit américain.

Qu’est-ce que le Cloud Act ?

Le Cloud Act est une loi américaine de 2018 qui permet aux autorités, dans le cadre d’enquêtes pénales, de contraindre les prestataires cloud immatriculés aux États-Unis à transmettre des données, y compris hébergées hors du sol américain. Il a été adopté pour clore l’affaire Microsoft Irlande.

Qu’est-ce que le sovereignty washing ?

Emma Badaoui désigne ainsi des offres de cloud présentées comme souveraines, souvent par des groupes américains, alors qu’elles restent soumises au moins en partie à des lois étrangères comme le Cloud Act ou la section 702 du FISA. C’est, dit-elle, l’équivalent numérique du greenwashing.

Quelle différence entre cloud souverain et cloud de confiance ?

D’après les autrices, un cloud souverain certifié SecNumCloud par l’ANSSI est immunisé contre les lois extraterritoriales étrangères. Un cloud de confiance associe la technologie d’un hyperscaler américain à un opérateur national chargé de l’hébergement : utile à court terme, il ne supprime pas la dépendance aux briques technologiques américaines.

Que peut faire l’Europe pour sa souveraineté numérique ?

Emma Badaoui propose de garantir la continuité des services en cas de crise, d’investir dans des infrastructures cloud européennes, de créer des ambassades de données, de mobiliser l’épargne privée vers la technologie, de réserver une part des marchés publics aux solutions européennes et de diversifier les partenariats, avec le Japon, le Canada, la Corée du Sud ou l’Inde.