Cloud and AI Development Act (CADA) : l’UE réintroduit un critère de souveraineté pour les fournisseurs cloud
La Commission européenne a présenté, le 3 juin 2026, un projet de règlement, le Cloud and AI Development Act (CADA), qui réintroduit le critère de souveraineté précédemment retiré de la certification EUCS. L’objectif principal du CADA est de renforcer l’écosystème, les investissements et les infrastructures de l’UE dans les domaines du cloud et de l’intelligence artificielle, tout en réduisant la dépendance stratégique à l’égard des acteurs étrangers.
Le CADA introduit une grille d’évaluation de la souveraineté des fournisseurs de services cloud et d’IA. Son niveau le plus élevé s’inspire du référentiel SecNumCloud de l’Anssi. Ce cadre vise à orienter la commande publique vers des acteurs adaptés à la criticité des services concernés, et se décline en quatre niveaux d’exigences croissantes :
- Niveau 1 : les infrastructures et les données doivent être localisées dans l’Union européenne ;
- Niveau 2 : ajout d’exigences sur l’indépendance à l’égard de pays tiers et la transparence de la chaîne logicielle ;
- Niveau 3 : le fournisseur doit être détenu et contrôlé par une structure de droit européen et soumis à des exigences de gouvernance et de personnel ;
- Niveau 4 : le fournisseur doit garantir une maîtrise complète de la chaîne logicielle et l’absence d’interférence possible d’un pays tiers, avec notamment une imperméabilité aux lois extraterritoriales.
Ce système reprend presque à l’identique les contours du critère de souveraineté qui avait été retiré en 2024 du European Union Cybersecurity Certification Scheme for Cloud Services (EUCS). Ce critère, défendu par la France, avait suscité une longue bataille politique, entraînant la suppression de toute mention de la souveraineté dans l’EUCS, qui s’était recentré sur les enjeux de cybersécurité.
L’UE réintroduit donc cette dimension sous la forme d’un ensemble de critères conditionnant l’accès à certaines commandes publiques, la souveraineté d’une offre étant étudiée directement par les États. Le CADA entame son parcours législatif, et son entrée en vigueur ne devrait pas intervenir avant deux ou trois ans.
Source : INCYBER NEWS
