LinkedIn DalonCorp

Patriot Act, CLOUD Act, FISA, pourquoi le cloud US est un choix réglementaire

Un article à destination des DSI et RSSI qui évaluent une solution Voice AI en 2026. Les textes cités sont réels ; les implications sont les nôtres.

Le scénario qui inquiète chaque RSSI (et devrait)

Un hôpital européen déploie un assistant vocal pour ses équipes : transcription automatique des consultations, notes dans le dossier patient. Le produit retenu est excellent, l'intégration est rapide, le contrat signé mentionne « données stockées en UE ».

Puis une question tombe lors de l'audit : quel prestataire héberge le fournisseur ? Et surtout : de quelle nationalité est le fournisseur ?

Parce que si ce fournisseur relève du droit américain, la réponse au RSSI est inconfortable : ses données peuvent être réquisitionnées par les autorités américaines, sur la seule base des lois US, sans que l'hôpital ne soit informé, et quelle que soit la localisation des serveurs.

Trois lois, une même extraterritorialité

USA PATRIOT Act (2001)

Le plus ancien et le plus large. Il autorise l'accès aux dossiers, y compris ceux détenus par des entreprises détenues ou contrôlées par des intérêts américains, où qu'ils soient. Une filiale européenne d'un éditeur US est concernée. Le secret (gag orders) empêche l'entreprise de vous prévenir : vous ne saurez jamais.

CLOUD Act (2018)

Le complément décisif : il explicite que le Patriot Act s'applique indépendamment du lieu de stockage. Vos données sont en Irlande ? Sur un GDS européen ? Peu importe : si l'éditeur est américain, ses serveurs dans le monde sont accessibles par mandat. C'est la règle de l'extraterritorialité du prestataire, pas du serveur.

FISA §702 + EO 12333

Le FISA (Foreign Intelligence Surveillance Act) cible les « non-US persons », précisément vos utilisateurs européens. L'Executive Order 12333 étend les capacités hors cadre judiciaire. Ces textes ne s'appliquent pas seulement aux « suspects » : le volume collecté est massif, la surveillance de masse documentée.

Ce que les contrats ne changent pas

Beaucoup de DSI croient se couvrir avec des clauses. Trois rappels :

1. Les Data Privacy Framework (DPF) et SCC couvrent le transfert au sens RGPD, pas la loi d'accès US. L'éditeur n'a pas le droit de vous remettre vos données à une autorité US ; il peut légalement être obligé de le faire sans vous en parler. 2. Le CLOUD Act prévoit même des accords bilatéraux qui court-circuitent l'avis, la jurisprudence évolue, dans le sens d'un accès plus large, pas plus restreint. 3. La CJUE (arrêts Schrems I et II) a invalidé plusieurs cadres de transfert exactement pour cette raison : le droit US n'offre pas un niveau de protection équivalent. Se défier du serveur ne suffit pas ; il faut se défier du contrôle.

Alors, quelles options pour un RSSI ?

OptionCe que ça règleCe que ça ne règle pas
Clause contractuelle renforcéeResponsabilité contractuelleL'accès légal US reste possible (le droit prime)
Fournisseur UE filiale d'un groupe USHébergement EULe lien de contrôle remonte au siège (CLOUD Act le vise)
Open source audité, hébergé on-premAucune juridiction US applicableVous gérez l'infrastructure
On-prem + modèles open source (Ollama) + GPU locauxTout ce qui précède + coût plafonnéUn CAPEX (GPU), et c'est tout

La troisième option est celle qu'exigent déjà la santé, la finance et la défense. Le reste du marché la découvre.

Et la Voice AI dans tout ça ?

La Voice AI agrège les données les plus sensibles qui soient : la voix (biométrique), les transcriptions (contenus de pensée reformulés), les prompts (intentions, contextes privés), et souvent les identités des interlocuteurs. C'est exactement le type de données qui, une fois réquisitionnées, ne peut pas être « rendue ».

C'est pourquoi DalonCorp ne prône pas un « cloud européen » de plus, la question n'est pas la localisation du disque, mais le cadre juridique qui s'y applique. Notre plateforme Voice AI tourne chez vous, sur vos serveurs, avec l'inférence sur vos GPU (Ollama) et l'identité cryptographique locale (NSC, Ed25519).

  • Mode on-premise : aucun octet ne quitte votre infrastructure. Pas de DPF à signer. Pas de question FISA à se poser. Schrems II ne s'applique même pas, il n'y a pas de transfert.
  • Cloud offloading maîtrisé : quand une charge non sensible peut tourner dans le cloud (marges, prototypage), elle y va, et revient on-prem quand le volume ou la réglementation l'exige. Sans réécrire une ligne de code.

Ce qu'il faut retenir

1. La localisation du serveur ne protège pas : c'est la nationalité du fournisseur qui compte (CLOUD Act). 2. Les clauses se défient mutuellement : un DPF ne neutralise pas le Patriot Act. 3. La seule architecture qui neutralise ces lois est celle où le fournisseur n'a pas vos données. C'est toute la thèse de DalonCorp.

Pour aller plus loin