Cloud Act, Office 365 et Copilot : l'alternative souveraine
Un datacenter à Paris ou à Francfort ne met pas vos données hors d'atteinte du droit américain. Ce qui décide, c'est qui opère le service. Microsoft 365 et Copilot sont édités par une société de droit américain, donc soumis au CLOUD Act. France Nuage est opéré par une société française, hébergé en France, sur une pile open-source que vous pouvez ré-internaliser.
Le CLOUD Act, voté en 2018, autorise les autorités américaines à ordonner à tout fournisseur relevant du droit des États-Unis de produire les données qu'il détient, où que se trouvent physiquement les serveurs. Une région Azure à Amsterdam, un datacenter Microsoft à Paris, et pourtant l'opérateur reste une entreprise américaine, donc l'injonction s'applique. La Section 702 du FISA ajoute la surveillance des cibles situées hors des États-Unis, et l'arrêt Schrems II (CJUE, 2020) a invalidé le Privacy Shield précisément sur ce conflit.
Si vous manipulez des données de santé, des données financières ou des dossiers clients confidentiels, vos équipes juridique et DPO reposent sans cesse la même question. Une autorité étrangère peut-elle contraindre l'accès à ces données ? Avec Microsoft 365 et Copilot, la réponse honnête est oui. France Nuage change cette réponse.
« Non, je ne peux pas le garantir. »
Compte rendu de la commission d'enquête du Sénat (10 juin 2025)
Pourquoi France Nuage sort de la juridiction américaine
Opérateur français, aucun lien américain
France Nuage est opéré par une société de droit français, sans société-mère, filiale ni présence aux États-Unis. Il n'existe aucune personne morale à qui une autorité américaine pourrait notifier une injonction CLOUD Act. La juridiction suit l'opérateur, pas le drapeau sur le bâtiment.
Hébergé en France, sous droit européen
Serveurs, stockage et sauvegardes restent sur le sol français, sous le RGPD et le droit français. Aucun transfert transatlantique dans le chemin des données, ce qui retire le problème Schrems II à la racine au lieu de le recouvrir de clauses contractuelles types.
Open-source et auditable
La suite collaborative souveraine et l'IA privée sont open-source de bout en bout. Votre équipe sécurité lit le code, inspecte le déploiement et vérifie ce qui tourne réellement. Pas de boîte noire, pas de plan de contrôle propriétaire à croire sur parole.
Réversible, sans frais de sortie
Le prix est affiché et forfaitaire. Récupérer vos données ne coûte rien, il n'y a pas de frais d'egress. La sortie reste bon marché et la réversibilité réelle, au lieu d'une clause que vous ne pouvez jamais vous permettre d'utiliser.
Microsoft 365 / Copilot face à une alternative souveraine
| Critère | France Nuage | Microsoft 365 / Copilot |
|---|---|---|
| Juridiction de l'opérateur | France (UE) | États-Unis |
| Soumis au CLOUD Act US | Non | Oui |
| Exposition FISA 702 | Aucune | Oui |
| Traitement IA de vos contenus | Modèles privés, en France | Copilot, hors frontière UE possible |
| Localisation des données | France, par l'opérateur | Résidence UE contractuelle |
| Open-source et auditable | Oui, pile complète | Non |
| Réversibilité | Sans egress, ré-internalisable | Verrouillage propriétaire |
Une région européenne chez un fournisseur américain ne vous protège pas
C'est le point que la plupart des cahiers des charges ratent. Choisir une région européenne pour Microsoft 365 contrôle où les octets sont stockés. Cela ne change rien à qui peut être contraint de les produire. Microsoft est une société américaine, donc un tribunal américain peut émettre une injonction CLOUD Act contre la maison-mère, et celle-ci a l'obligation légale de s'y conformer, y compris pour les données détenues par sa filiale européenne. L'adresse du datacenter est un réconfort, pas un bouclier juridique.
Ce n'est pas une hypothèse. Le 10 juin 2025, devant la commission d'enquête du Sénat, le directeur des affaires publiques et juridiques de Microsoft France a reconnu, sous serment, ne pas pouvoir garantir que les données de citoyens français ne seraient jamais transmises aux autorités américaines. Son collègue directeur technique a précisé que la localisation des données en Europe depuis janvier 2025 relève d'une garantie contractuelle, pas d'une protection juridique. Et en mars 2024, le Contrôleur européen de la protection des données a jugé que l'usage de Microsoft 365 par la Commission européenne enfreignait les règles de protection des données des institutions de l'Union.
Copilot ajoute une exposition, il ne l'enlève pas
Copilot ne se contente pas de stocker, il traite le contenu en clair, vos e-mails, vos documents, vos conversations, pour produire ses réponses. Le chiffrement au repos ne protège pas des données qui doivent être déchiffrées pour être analysées par l'IA. Les données sous-jacentes, et souvent les réponses générées, relèvent donc du même régime juridique que le reste.
Selon plusieurs analyses techniques, un mécanisme de routage peut faire traiter des requêtes Copilot en dehors de la frontière de données européenne, dans des centres situés aux États-Unis, au Canada ou en Australie, lorsque les serveurs européens sont saturés. La réponse « cloud souverain » annoncée par Microsoft déplace des serveurs, mais ne change pas la juridiction de l'opérateur. Une IA privée hébergée en France, sur des modèles ouverts que vous contrôlez, retire le problème au lieu de le déplacer.
Aller plus loin
Messagerie, drive, visio, ERP, CRM open-source, hébergés en France et ré-internalisables.
Private GPT, alternative à Microsoft CopilotUne IA de chat et de RAG sur vos documents, routée vers vos modèles privés, sans fuite vers les IA publiques.
Cloud souverain, natif RGPDL'infrastructure managée sous juridiction européenne, avec un DPA aligné sur l'article 28 du RGPD.
Questions fréquentes
Héberger Microsoft 365 dans une région européenne me protège-t-il du CLOUD Act ?
Non. Choisir une région européenne contrôle où vos données sont stockées, pas qui peut être contraint de les produire. Microsoft est une société américaine, donc un tribunal américain peut émettre une injonction CLOUD Act pour des données détenues par son entité européenne, où qu'elles se trouvent. Microsoft l'a reconnu sous serment devant le Sénat en juin 2025. Pour sortir de cette portée, c'est l'opérateur lui-même qui doit être hors juridiction américaine, ce qui est le cas de France Nuage.
Copilot est-il concerné, ou seulement le stockage Microsoft 365 ?
Copilot est concerné, et davantage. Il traite vos contenus en clair pour générer ses réponses, donc les données ne sont pas seulement stockées mais analysées. Selon plusieurs analyses techniques, certaines requêtes peuvent être routées hors de la frontière de données européenne en cas de saturation. Une IA privée hébergée en France, sur des modèles ouverts, garde le traitement sur le territoire.
Qu'est-ce qui met France Nuage hors de portée du droit extraterritorial américain ?
France Nuage est opéré par une société de droit français, sans société-mère, filiale ni présence aux États-Unis, et hébergé en France sous droit européen. Il n'existe aucune personne morale rattachée aux États-Unis à qui notifier une injonction CLOUD Act ou FISA 702. Une demande devrait passer par l'entraide judiciaire européenne, devant un juge européen. Nous l'énonçons comme une réalité de structure juridique, pas comme une immunité absolue.
Concrètement, par quoi remplacer Microsoft 365 et Copilot ?
Par une suite collaborative souveraine open-source (messagerie, drive, visio, ERP, CRM) hébergée en France, et par une IA privée de type Private GPT pour les usages Copilot. Les deux sont ré-internalisables sur vos propres serveurs, sans format propriétaire ni frais de sortie.
Sortez vos données de la juridiction américaine
Parlons d'une alternative souveraine à Microsoft 365 et Copilot, opérée en France, avec un DPA aligné sur l'article 28 du RGPD et sans transfert transatlantique.