Confier ses données à un fournisseur soumis au droit américain, c'est accepter un risque que l'on ne maîtrise pas. Ici, on documente les signaux qui comptent — coupures de service, accès aux données, batailles juridiques — et les alternatives souveraines qui fonctionnent.
Cette page s'adresse à celles et ceux qui choisissent les outils d'une organisation et portent la responsabilité des données qu'on leur confie : données d'élèves, de patients, d'usagers, de citoyens.
Un risque de coupure
Un service critique hébergé chez un acteur américain peut être suspendu du jour au lendemain, sur décision de Washington — hors de tout contrôle européen.
Un cadre juridique fragile
Les accords qui autorisent l'envoi de données vers les États-Unis ont déjà été invalidés deux fois. Bâtir sa conformité dessus, c'est bâtir sur du sable.
Des alternatives réelles
Des administrations entières migrent vers des solutions souveraines et open source. La question n'est plus « est-ce possible » mais « quand commence-t-on ».
Le premier organisme de recherche français bascule d'Exchange vers Zimbra (20 M€ d'économies sur six ans), abandonne Zoom (400 k€/an) et déploie CNRS-Emmy, une IA bâtie avec Mistral déjà utilisée par plus de 13 000 personnes. Un cas concret où la souveraineté allège la facture au lieu de l'alourdir.
Pour un décideurMigrer vers des briques souveraines peut être un levier d'économies, pas seulement une contrainte de conformité.
Après le Schleswig-Holstein, un nouveau Land allemand délaisse SharePoint et les outils Microsoft au profit de Nextcloud et OpenProject, via l'agence publique DVZ-MV. La bascule concerne déjà 5 000 agents, avec une cible de 50 000 fonctionnaires, sur fond de crainte du CLOUD Act.
Pour un décideurLe mouvement open source des administrations européennes s'élargit et se normalise : ce n'est plus un cas isolé.
Le 29 juin 2026, la Cour suprême américaine (Trump v. Slaughter) a validé la révocation par le président de dirigeants d'agences fédérales, sapant l'indépendance de la FTC — indépendance invoquée 259 fois dans la décision d'adéquation qui fonde le DPF. Max Schrems et d'autres appellent l'UE à préparer « une sortie ordonnée du cloud américain ».
Pour un décideurLe socle juridique des transferts UE–États-Unis se fragilise à nouveau : anticiper une possible invalidation du DPF (clauses contractuelles, hébergement souverain) devient prudent.
Présenté le 3 juin 2026, le Cloud and AI Development Act (CADA) vise à tripler la capacité des datacenters européens et instaure une certification cloud à quatre niveaux reprenant des principes de SecNumCloud (protection contre les lois extraterritoriales). Son article 18 pourrait toutefois ouvrir la certification à des fournisseurs non-européens sous conditions d'équivalence, d'où des critiques de « sovereignty-washing ».
Pour un décideurUn label européen de souveraineté cloud arrive, mais ne pas confondre « conforme CADA » et « hors de portée du CLOUD Act » : tout dépendra des arbitrages à venir.
La direction interministérielle du numérique acte son passage de Windows à Linux et demande à chaque ministère un plan de souveraineté (postes de travail, outils collaboratifs, bases de données…) avant l'automne 2026. C'est la traduction opérationnelle, au sommet de l'État, des alertes sur la dépendance aux géants américains.
Pour un décideurL'État français passe du constat à l'obligation d'agir : DSI et fournisseurs publics doivent intégrer un plan de sortie de dépendance daté.
Dans un rapport du 31 octobre 2025, la Cour des comptes juge la bataille du matériel et du logiciel perdue et désigne la maîtrise des données sensibles comme seul vrai levier ; elle dénonce des clouds ministériels (Nubo, Pi) sous-utilisés et non convergents, et formule cinq recommandations (stratégie chiffrée pilotée par la DINUM, cartographie des données sensibles, outils souverains dès 2026).
Pour un décideurLe juge des comptes valide la priorité aux données sensibles et à une stratégie chiffrée : une caution institutionnelle utile pour justifier des budgets de souveraineté.
Le recours du député Philippe Latombe contre l'accord encadrant les transferts de données UE–États-Unis a été rejeté par le Tribunal de l'UE, mais la contestation se poursuit devant la Cour de justice. Le socle juridique reste fragile.
Pour un décideurLe cadre qui autorise aujourd'hui l'envoi de données vers les USA a déjà été invalidé deux fois (Safe Harbor, Privacy Shield). Bâtir sa conformité dessus, c'est bâtir sur du sable.
Après les sanctions américaines visant la CPI, le compte de messagerie Microsoft du procureur Karim Khan a été désactivé. Un fournisseur privé a exécuté, de fait, une décision politique de Washington contre une institution internationale basée en Europe.
Pour un décideurUn service critique hébergé chez un acteur américain peut être suspendu du jour au lendemain, pour des motifs géopolitiques totalement hors de votre contrôle.
Dans le sillage d'un land allemand (Schleswig-Holstein), le Danemark engage la migration de son administration vers Linux et LibreOffice, explicitement pour reprendre le contrôle de sa souveraineté numérique.
Pour un décideurSortir des solutions américaines n'est pas une utopie : des administrations entières le font. La question n'est plus « est-ce possible » mais « quand commence-t-on ».
Le futur schéma européen de certification cloud (EUCS) a été vidé de ses exigences d'immunité aux lois extraterritoriales. La CNIL met en garde : un cloud « certifié européen » pourrait rester légalement accessible aux autorités étrangères.
Pour un décideurUn label « européen » ne garantit pas l'étanchéité juridique. Il faut regarder qui contrôle réellement l'entreprise et à quel droit elle est soumise.
L'Éducation nationale confirme que les versions gratuites d'Office 365 et Google Workspace ne peuvent plus être utilisées dans les établissements, faute de conformité RGPD — dans le sillage de l'Allemagne, du Danemark et des Pays-Bas.
Pour un décideurLe « gratuit » des GAFAM se paie en données et en risque juridique. Pour des données d'élèves, l'outil par défaut est rarement l'outil conforme.
Aucune entrée pour ce thème pour l'instant.
La souveraineté, ce n'est pas un slogan
Psycajour héberge des données scolaires et de santé sensibles en France, sous certification HDS et sans dépendance aux GAFAM. Cette veille prolonge cet engagement.