Cloud Act contre RGPD

Dans les conférences, les juristes européens répètent que le RGPD figure parmi les lois les plus protectrices de la planète. Ils ont raison. Le texte encadre l’usage des données personnelles, fixe des principes et sanctionne les entreprises trop laxistes. Pourtant, un autre droit se superpose. Invisible du grand public, mais redoutablement concret.

Le Cloud Act, voté à Washington en 2018, ne s’intéresse pas au lieu où les données se trouvent. Il s’intéresse à l’entreprise qui les héberge. Si cette entreprise relève du droit américain, ses données, même stockées en Europe, restent susceptibles de finir dans un dossier de procédure américain.

Le citoyen français lit sur un site « vos données restent dans l’Union européenne ». Il interprète cette mention comme une assurance. En réalité, cette phrase décrit une géographie technique, pas une souveraineté juridique. Une donnée peut dormir en Europe tout en restant accessible en droit aux autorités américaines.

Les géants de l’IA évoluent dans cet entre-deux. Aux régulateurs européens ils affirment que les flux internes se calent sur les exigences du RGPD. Aux États-Unis ils gardent l’obligation d’obéir à la loi américaine. Cette dualité crée un théâtre d’ombres où les promesses publiques s’ajustent selon l’auditoire.

L’Europe tente d’imposer son modèle avec l’AI Act. Les États-Unis avancent avec leurs propres règles toujours en construction. Dans cette bataille, la France renforce ses institutions de contrôle. Mais aucune loi ne modifie un fait simple. Les infrastructures les plus utilisées par les Français appartiennent à des entreprises soumises à un droit extérieur.

Dans cette zone grise, le citoyen navigue avec une confiance fragile. Il pense que la localisation européenne équivaut à une étanchéité totale. Ce n’est pas le cas.

Augustin GARCIA