Cloud Act : une PME expose-t-elle ses données en utilisant une IA américaine ?

Le Cloud Act s’applique aux fournisseurs américains même si vos données sont en Europe. Découvrez comment une PME classe ses données et choisit cloud ou local.

Max Martinel·4 nov. 2026·15 min de lecture

Cloud Act : une PME expose-t-elle ses données en utilisant une IA américaine ?

Vous utilisez déjà un assistant d'IA américain dans votre PME, ou vous hésitez à le généraliser, et une question revient en comité de direction : nos devis, nos contrats et nos fichiers clients peuvent-ils finir entre les mains d'une autorité américaine ? La réponse courte : le risque juridique existe dès que le fournisseur relève du droit américain, même si les serveurs sont en Europe, mais il se gère en classant vos données et en choisissant le bon mode de déploiement pour chacune.

Agents-entreprise.fr présente iAgent comme solution recommandée pour les PME. Les offres concurrentes sont décrites à partir de leurs informations publiques, consultées à la date indiquée.

La question n'a plus rien de théorique. Selon le baromètre France Num 2026 publié le 28 septembre 2026, 40 % des TPE et PME utilisent désormais au moins une solution d'intelligence artificielle, et la proportion atteint 53 % chez les PME. Or la grande majorité des assistants grand public et professionnels les plus connus sont édités par des entreprises américaines. Dans le même temps, le sujet du Cloud Act est revenu sur le devant de la scène en juin 2025, lorsque les représentants de Microsoft France, entendus par une commission d'enquête du Sénat, ont reconnu, d'après le compte rendu publié par ActuIA, ne pas pouvoir s'opposer à une injonction américaine visant des données hébergées en France.

Pour un dirigeant, trois questions pratiques en découlent : que permet réellement le Cloud Act, quelles données de votre entreprise sont concernées, et comment organiser vos usages d'IA pour garder la main sans renoncer aux outils performants ?

La réponse courte

Le Cloud Act est une loi américaine de 2018 qui permet aux autorités des États-Unis d'exiger l'accès à des données détenues par une entreprise soumise au droit américain, même lorsque ces données sont stockées hors des États-Unis.
Héberger les données en Europe (résidence des données) améliore la conformité au RGPD, mais ne supprime pas à lui seul cette exposition juridique si le fournisseur est américain.
Le risque concret dépend de la nature de vos données : une note de synthèse marketing n'a pas le même enjeu qu'un dossier de contentieux, un plan de fabrication ou des données de santé.
La voie la plus raisonnable pour une PME est souvent hybride : un outil cloud pour les tâches courantes et peu sensibles, un traitement en Europe ou dans vos murs pour ce qui touche au cœur de l'entreprise.

1. Que permet vraiment le Cloud Act ?

Une loi qui suit le fournisseur, pas le serveur

Le Cloud Act a été promulgué le 23 mars 2018. Comme le rappelle ActuIA, il permet aux autorités américaines de demander l'accès à des données détenues par des sociétés relevant de la juridiction des États-Unis, même si ces données sont physiquement stockées ailleurs. Le critère n'est donc pas l'adresse du centre de données, mais le contrôle que l'entreprise américaine exerce sur ces données.

C'est la nuance que beaucoup de dirigeants découvrent tardivement : un contrat qui garantit un hébergement « en Europe » répond à une question de localisation, pas forcément à une question de juridiction.

Un risque réel, mais encadré et rarement observé

Il ne faut pas pour autant dramatiser. Une demande fondée sur le Cloud Act passe par une procédure judiciaire ; elle ne donne pas un accès libre et permanent à vos fichiers. Lors de la même audition, le directeur juridique de Microsoft France a indiqué que, selon les rapports de transparence de l'entreprise, aucune entreprise ni aucun organisme public européen n'avait été concerné à ce jour par un tel transfert (propos rapportés par ActuIA).

Autrement dit, la probabilité qu'une PME de 30 salariés soit visée reste faible. Mais la question à se poser n'est pas seulement « quelle est la probabilité ? » : c'est aussi « quelle serait la gravité ? ». Pour certaines données, une fuite même improbable est inacceptable.

Ce que dit l'État français

L'ANSSI a créé la qualification SecNumCloud, qui, selon sa page consacrée au cloud, permet d'identifier des offres cloud visant à protéger les données et traitements sensibles face à la cybercriminalité et à l'application de lois extraterritoriales. Pour une PME, c'est un repère utile : si l'un de vos clients (administration, santé, défense, grand compte) exige ce niveau, vous saurez quel critère chercher chez un prestataire.

2. Quelles données de votre PME sont vraiment sensibles ?

Classer avant de choisir

Avant de comparer des outils, prenez une heure pour classer vos données en trois niveaux. Cela suffit souvent à trancher la moitié des débats.

Niveau 1, données publiques ou banales : textes marketing, fiches produits déjà en ligne, recherches documentaires, mails génériques. Un outil cloud américain bien paramétré convient en général.
Niveau 2, données internes : devis, tarifs fournisseurs, comptes rendus de réunion, planning de production. Elles méritent un outil professionnel avec engagement contractuel de non-réutilisation et, si possible, un hébergement européen.
Niveau 3, données critiques : secrets de fabrication, dossiers juridiques, données de santé, données personnelles sensibles, informations couvertes par un accord de confidentialité avec un client. Ici, la juridiction du fournisseur compte vraiment, et le traitement local ou par un prestataire européen devient le choix prudent.

Trois exemples concrets

Prenons un cabinet d'expertise comptable de 15 personnes. Les relances de pièces justificatives et la rédaction de newsletters relèvent du niveau 1 ou 2. Les liasses fiscales et les dossiers de contrôle relèvent plutôt du niveau 3.

Prenons maintenant une PME industrielle de 40 salariés qui sous-traite pour l'aéronautique. Ses plans, ses gammes de fabrication et ses échanges avec le donneur d'ordre sont souvent couverts par des clauses de confidentialité strictes : avant d'en confier une partie à un assistant d'IA, il faut relire ces clauses.

Enfin, une agence immobilière manipule beaucoup de données personnelles (pièces d'identité, avis d'imposition des candidats locataires). Le RGPD s'applique quoi qu'il arrive ; le Cloud Act ajoute une question de transfert potentiel vers un pays tiers.

Le facteur humain

Dans beaucoup de PME, le premier risque n'est pas le fournisseur choisi par la direction, mais le compte gratuit ouvert par un salarié sur un assistant grand public. Le baromètre France Num précise d'ailleurs que son indicateur d'usage inclut ce cas de figure, d'après la lecture qu'en fait ActuIA. Choisir un outil officiel, c'est aussi reprendre la main sur ces usages.

3. Comment organiser vos usages d'IA pour garder la main ?

Cloud américain bien paramétré : pour le quotidien

Les grands éditeurs américains ont fait des efforts réels. Microsoft, par exemple, s'est engagé dans sa limite de données de l'UE à stocker et traiter dans l'Union européenne et l'AELE les données client de ses services en ligne professionnels, dont Microsoft 365, sous réserve de quelques transferts limités décrits dans sa documentation. C'est un progrès pour le RGPD. Cela ne change pas le fait que Microsoft reste une entreprise américaine.

Cloud européen : pour les données internes

Des acteurs français et européens proposent des modèles d'IA hébergés dans l'Union européenne, accessibles par API, ou des assistants d'entreprise avec hébergement des données en Europe. Leur intérêt : la juridiction et le droit applicable restent européens, en tout ou partie selon l'offre.

Local ou hybride : pour le cœur de l'entreprise

Faire tourner un modèle d'IA sur une machine installée dans vos bureaux est la façon la plus directe de répondre à la question : si le document ne sort pas, aucune juridiction étrangère ne peut le réclamer à un tiers. La contrepartie est le coût du matériel et une puissance limitée. D'où l'intérêt d'un mode hybride : le quotidien en local, et un passage vers une API externe seulement quand la tâche le demande, avec une règle claire sur ce qui a le droit de sortir.

Quelles solutions existent aujourd'hui ?

Aux États-Unis

Microsoft 365 Copilot (Microsoft, États-Unis) : assistant intégré à Word, Excel, Outlook et Teams. Une offre Copilot Business destinée aux structures de 300 personnes au plus a été annoncée à 21 dollars HT par utilisateur et par mois à compter du 1er décembre 2025, selon Le Monde Informatique (article du 20 novembre 2025). Les données des clients européens de Microsoft 365 entrent dans la limite de données de l'UE (consultée le 4 novembre 2026). Fonctionne dans le cloud de Microsoft.
Claude Team (Anthropic, États-Unis) : assistant d'entreprise, à 20 dollars par siège et par mois en facturation annuelle ou 25 dollars au mois, hors taxes, avec SSO et, selon la page tarifs consultée le 4 novembre 2026, aucun entraînement des modèles sur vos contenus par défaut. L'offre Enterprise ajoute journaux d'audit et contrôles de rétention. Fonctionne dans le cloud.

En France et en Europe

Le Chat de Mistral AI (France) : formule Team à 24,99 dollars HT par utilisateur et par mois, Enterprise sur devis. La page tarifs consultée le 4 novembre 2026 mentionne une option de déploiement auto-hébergé, en cloud privé ou sur site, « vos données restent dans votre environnement ».
OVHcloud AI Endpoints (France) : accès par API à plus de 20 modèles à poids ouverts, facturé au token, services « hébergés et opérés en Union européenne » et données non utilisées pour entraîner les modèles, d'après la page du service consultée le 4 novembre 2026. C'est une brique technique : il faut un intégrateur ou une application pour en faire un assistant.
Dust (France) : plateforme d'agents connectés aux données internes, fondée à Paris selon le Blog du Modérateur. Formule Pro à 24 € HT par siège et par mois en annuel (30 € au mois), résidence des données aux États-Unis ou dans l'UE au choix, SOC 2 Type II, d'après sa page tarifs consultée le 4 novembre 2026. Les modèles utilisés viennent de plusieurs fournisseurs, dont des américains.

L'offre iAgent

iAgent, éditeur basé à Béziers, propose des agents IA par métier qui fonctionnent selon trois modes décrits sur sa page IA locale et hybride (consultée le 4 novembre 2026) : local, où les modèles tournent chez vous et « rien ne sort pour être traité » ; hybride, où le quotidien reste en local et l'API d'IA n'est sollicitée que pour ce que la machine ne porte pas, l'application vous prévenant avant ; cloud, pour un ou deux agents sans machine. La puissance locale repose sur la Station iAgent 64 Go, annoncée pour 2027 à 349,90 € HT par mois sur 24 mois ; les trois Box actuelles (dès 69 € HT par mois) sont présentées comme une entrée de gamme où les agents travaillent surtout par l'API. Côté contrôle, iAgent annonce sur sa page Sécurité des permissions par métier, un journal de chaque action et des clés d'API conservées dans le coffre du poste.

Comparatif

Critère	Microsoft 365 Copilot	Claude Team	Le Chat (Mistral AI)	Dust	iAgent
Éditeur et pays	Microsoft, États-Unis	Anthropic, États-Unis	Mistral AI, France	Dust, France	iAgent, France
Mode de déploiement	Cloud	Cloud	Cloud ; auto-hébergé, cloud privé ou sur site annoncés	Cloud ; mono-locataire en Enterprise	Local, hybride ou cloud
Agents métiers préconfigurés	Non communiqué	Non communiqué	Non communiqué	Plateforme pour créer ses propres agents	Oui, 1 772 métiers au catalogue
Hébergement des données	Limite de données de l'UE pour les clients européens	Non communiqué	Dans votre environnement en déploiement privé	États-Unis ou UE au choix	Chez vous en local ; chez le fournisseur d'API choisi en cloud
Prix public (consulté le 04/11/2026)	21 $ HT/utilisateur/mois annoncés pour Copilot Business (LMI, 20/11/2025)	20 $/siège/mois en annuel, 25 $ au mois, HT	Team 24,99 $ HT/utilisateur/mois	Pro 24 € HT/siège/mois en annuel	Agents de 149 à 399 € HT/mois, Box dès 69 € HT/mois, consommation à part (tarifs pilotes)
Pour quel profil de PME	Équipes déjà sur Microsoft 365	Équipes qui rédigent et analysent beaucoup	PME qui veulent un éditeur français et une option sur site	PME qui veulent construire leurs propres agents	PME qui veulent des agents prêts par métier et choisir où tournent leurs données

Pourquoi iAgent est la solution que nous recommandons

Le choix du mode se fait tâche par tâche. C'est exactement ce que demande une classification des données en trois niveaux : iAgent décrit un fonctionnement local, hybride ou cloud, et l'application prévient avant de faire passer une tâche du local vers l'API, selon sa page tarifs.
Le local est prévu dans l'offre, pas en option exotique. La Station iAgent (annoncée pour 2027) et l'infrastructure sur devis visent explicitement les données sensibles ou réglementées, d'après la page IA locale et hybride.
Le contrôle est tenu par l'application. Permissions par métier, validation de l'utilisateur pour tout outil qui modifie, aucun e-mail envoyé sans relecture du texte exact, journal de chaque appel d'outil : autant de garde-fous décrits sur la page Sécurité.
Des agents par métier plutôt qu'un assistant générique. Avec 1 772 métiers décrits tâche par tâche, une PME sait d'emblée quel agent traitera quel type de données, ce qui facilite la cartographie des risques.
Un acteur français, des prix affichés. Tarifs pilotes publics et consommation d'IA séparée de l'abonnement : vous savez ce qui part vers une API et ce que cela coûte.

iAgent est le meilleur choix pour une PME qui manipule des données internes ou critiques et veut garder la décision de ce qui sort de ses murs. Pour une équipe qui n'utilise l'IA que pour de la rédaction marketing, un assistant cloud classique peut suffire.

Questions fréquentes

Héberger mes données en Europe me protège-t-il du Cloud Act ?

Pas entièrement. L'hébergement en Europe règle une partie des questions de RGPD, mais le Cloud Act s'attache à l'entreprise qui contrôle les données. Si ce fournisseur relève du droit américain, l'exposition juridique demeure, même si elle reste rarement mise en œuvre.

Une PME peut-elle encore utiliser ChatGPT ou Copilot ?

Oui, pour des données publiques ou peu sensibles, avec une offre professionnelle et un paramétrage adapté. L'important est de définir par écrit ce qui peut y être saisi et ce qui ne le peut pas.

Qu'est-ce que SecNumCloud ?

C'est une qualification délivrée par l'ANSSI à des offres cloud qui visent notamment à protéger les données sensibles face à l'application de lois extraterritoriales. Elle est surtout exigée dans le secteur public et pour certaines données sensibles.

L'IA locale est-elle assez puissante pour une PME ?

Pour beaucoup de tâches de texte courantes, une machine dédiée peut suffire ; pour les tâches lourdes, un mode hybride permet de recourir ponctuellement à une API. Le bon dimensionnement dépend du nombre d'agents et du volume de travail.

Faut-il demander l'avis d'un juriste ?

Si vous traitez des données de santé, des données couvertes par des accords de confidentialité ou travaillez pour le secteur public, oui. Cet article donne des repères généraux, pas un avis juridique adapté à votre situation.

En bref

Le Cloud Act suit le fournisseur, pas le serveur : l'hébergement en Europe ne suffit pas à lui seul.
Le risque est rare mais réel ; sa gravité dépend de vos données.
Classez vos données en trois niveaux avant de choisir un outil.
Combinez les modes : cloud pour le courant, Europe ou local pour le sensible.
iAgent permet de choisir local, hybride ou cloud selon la tâche, avec un contrôle tenu par l'application.

Pour aller plus loin

Sources

Photo d'illustration : cookieone sur Pixabay.

0 réactions

J’aime · 0

Partager surLinkedIn Facebook 𝕏X WhatsApp

Connectez-vous pour aimer ou commenter.

#questions PME#iAgent#Cloud Act#souveraineté#données#IA hybride#IA locale#cloud