Depuis des années, l'Europe légifère sur les usages du numérique tout en laissant les infrastructures qui les font tourner aux mains d'acteurs américains. Le Cloud and AI Development Act (CADA), présenté le 3 juin 2026 par la Commission européenne, s'attaque à cette contradiction. Pas un texte de plus sur la modération des contenus ou les biais algorithmiques : un règlement qui vise directement la couche inférieure, là où les serveurs calculent, stockent et font circuler les données d'un milliard et demi d'Européens.
Un double pari, compétitivité et résilience
Le CADA repose sur deux piliers explicitement assumés dans la proposition. Le premier concerne la compétitivité de l'écosystème cloud et IA européen : créer les conditions pour que des acteurs comme OVHcloud, Hetzner ou les clouds souverains nationaux puissent peser davantage face aux géants d'outre-Atlantique. Le second est stratégique : réduire la dépendance de l'Union européenne à des infrastructures contrôlées depuis des juridictions étrangères, avec tout ce que cela implique en matière d'accès aux données, de continuité de service et de pression géopolitique potentielle.
Le texte s'inscrit dans le « Tech Sovereignty Package » annoncé le même jour par la Commission, un ensemble de mesures qui témoigne d'une prise de conscience, tardive selon certains, que la souveraineté numérique ne se décrète pas seulement dans des chartes de valeurs mais se construit dans des centres de données. Le CADA complète ainsi l'AI Act, entré progressivement en vigueur, et le Data Act adopté en 2023, qui encadrait déjà la portabilité et le partage des données industrielles.
Ce que cela change concrètement pour les grands fournisseurs
Amazon Web Services, Microsoft Azure et Google Cloud représentent ensemble une part écrasante du marché cloud en Europe. Leur présence physique sur le continent (datacenters en Irlande, Pays-Bas, Allemagne, France) ne suffit pas, aux yeux de la Commission, à garantir une autonomie réelle : les décisions architecturales, tarifaires et de sécurité restent prises à Seattle, Redmond ou Mountain View.
Le CADA devrait introduire des exigences nouvelles pour ces acteurs opérant dans l'UE, même si le détail complet des obligations techniques reste à préciser dans les textes d'application. La Commission n'a pas encore publié l'intégralité des annexes réglementaires. Ce qui est clair, c'est que le règlement entend agir sur plusieurs leviers : interopérabilité entre fournisseurs (pour limiter le vendor lock-in), exigences de localisation et d'auditabilité pour certaines catégories de données sensibles, et possiblement des conditions préférentielles pour les fournisseurs certifiés européens dans les marchés publics.
Pour les directions juridiques d'AWS ou de Microsoft en Europe, c'est un nouveau chantier de mise en conformité qui s'ouvre, dans un contexte où les tensions commerciales transatlantiques compliquent déjà les négociations sur les flux de données.
Un signal politique autant qu'un texte juridique
La portée réelle du CADA dépendra beaucoup de ce que le Parlement européen et le Conseil en feront. La proposition de la Commission n'est qu'une première étape d'un processus législatif qui prend généralement dix-huit mois à trois ans. Le lobbying des acteurs américains, déjà très actif à Bruxelles sur l'AI Act, devrait s'intensifier.
Reste que le signal envoyé est clair. Après des années à réguler les effets du numérique, l'Europe tente de reprendre prise sur ses fondations. Si le CADA aboutit dans une forme ambitieuse, il pourrait modifier durablement les conditions dans lesquelles AWS, Google et Microsoft opèrent sur le marché européen, et offrir un espace de respiration à des acteurs locaux qui en manquent cruellement. Si les compromis politiques l'édulcorent trop, il rejoindra la longue liste des textes dont l'ambition initiale s'est perdue dans les couloirs du trilogue. La Commission a posé ses cartes ; la partie commence maintenant.
