Le CLOUD Act permet aux autorités américaines de demander à toute entreprise américaine de livrer des données stockées n'importe où dans le monde — sans passer par les canaux diplomatiques traditionnels (MLAT). AWS, Google, Microsoft sont des entreprises américaines. Leurs filiales européennes restent soumises à cette loi via la maison mère. Le RGPD dit que les données des Européens sont protégées. Le CLOUD Act dit que les entreprises américaines doivent les livrer si demandé. La CJUE a tranché dans l'arrêt Schrems II (16 juillet 2020) : la surveillance américaine (FISA §702 · Executive Order 12333) est incompatible avec les droits fondamentaux européens. Le Privacy Shield a été invalidé. Son successeur (Data Privacy Framework, 2023) fait face aux mêmes critiques structurelles.

Pour qu'une donnée soit traitée — lue par une application, indexée par un algorithme — elle doit être déchiffrée en mémoire vive (RAM) sur le processeur de la machine. Ce processeur appartient à l'hyperscaler. Il est soumis au CLOUD Act. Le chiffrement protège la donnée au repos sur le disque. La donnée en cours de calcul est en clair dans la RAM d'un serveur américain. Le BYOK est un tunnel sécurisé qui livre les marchandises en clair directement dans l'usine du fournisseur. Tant que la puce physique appartient à un tiers soumis au CLOUD Act, la souveraineté sur la donnée est inexistante au moment du calcul. Et Intel ME / AMD PSP (documentés dans La Boîte Noire Matérielle, 4p) sont des sous-processeurs non auditables, actifs serveur éteint, soumis au droit américain.

En mai 2019, le gouvernement américain inscrit Huawei sur sa liste d'entités restreintes. Google suspend les services Android (Google Play, Gmail, Maps) pour les nouveaux appareils Huawei sur ordre gouvernemental. En 90 jours, le deuxième fabricant de smartphones mondial perd l'accès à l'écosystème applicatif dominant. Ce n'est pas un scénario hypothétique — c'est une décision exécutive documentée. Toute organisation dont les outils critiques dépendent d'un écosystème américain est exposée à la même décision.

En mars 2022, Visa et Mastercard suspendent leurs opérations en Russie dans les 48 heures suivant les sanctions. Les systèmes de paiement par carte — infrastructure critique du commerce quotidien — sont coupés par une décision privée d'entreprises américaines. La dépendance à une infrastructure de paiement étrangère s'est révélée être un levier de paralysie économique immédiate.

Les restrictions d'exportation américaines (EAR) ont progressivement coupé l'accès de la Chine aux puces avancées fabriquées par TSMC et aux équipements ASML. Documenté dans Le Goulot de Taïwan (6p). La chaîne d'approvisionnement en semiconducteurs est un levier géopolitique — celui qui contrôle la fabrication des puces contrôle la capacité industrielle des nations.

L'invalidation du Privacy Shield par la CJUE démontre que les accords politiques de protection des données sont structurellement insuffisants face aux lois de surveillance américaines. Son successeur (Data Privacy Framework, 2023) fait face aux mêmes critiques. La dépendance juridique n'est pas résolue par des accords diplomatiques — elle exige une indépendance infrastructurelle réelle.

Face à la pression réglementaire européenne, les hyperscalers ont créé des structures juridiques locales. Bleu (Microsoft + Orange + Capgemini) · S3NS (Google + Thales). Ces entités opèrent des serveurs physiquement en France, avec du personnel français, sous droit français. Leur communication : 'Vous êtes souverains.' C'est vrai sur le plan juridique de l'entité. C'est faux sur le plan technique du code.

Même si les serveurs sont isolés géographiquement et opérés par du personnel local, le catalogue de services cloud et le code des orchestrateurs (hyperviseur, scheduler, gestion des identités) dépendent d'un flux continu de code, de correctifs de sécurité, et de télémétrie provenant de l'éditeur américain — Microsoft ou Google.

L'infrastructure locale est une extension logique déportée. Elle obéit au code source. En cas de crise géopolitique majeure : 1) l'arrêt des mises à jour de sécurité rend la plateforme vulnérable · 2) l'arrêt du flux de licence désactive les services. La souveraineté de droit s'effondre devant le monopole du code source.

La qualification SecNumCloud exige une immunité aux lois extraterritoriales. Aucun hyperscaler américain ne peut garantir l'immunité au CLOUD Act pour ses entités filles tant que la maison mère reste américaine. Microsoft peut créer Bleu — Microsoft Corporation reste soumise au CLOUD Act. C'est le paradoxe Cloud Souverain (physique ✓ / juridique ✗) documenté dans Le Cloud-Washing — appliqué à l'échelle nationale.

L'ultimatum du 8 septembre 2026 pose quatre demandes à AWS, GCP et Azure. Sous l'angle technique et financier : du FinOps. Sous l'angle géopolitique : des mesures de sécurité nationale d'urgence.

1 · Commits résiliables : un État dont les infrastructures numériques sont engagées sur 3 à 5 ans sans sortie possible n'a pas de liberté de manœuvre diplomatique. L'engagement pluriannuel non résiliable est l'équivalent d'une dette souveraine sur une infrastructure critique.

2 · Suppression des egress fees : le coût de sortie sur les données est une rançon qui pénalise la migration vers l'indépendance. Pour une administration publique, c'est de l'argent du contribuable versé pour rester captif.

3 · Portabilité des données garantie : sans portabilité technique réelle, le changement de fournisseur est théoriquement possible et pratiquement impossible.

4 · Clarification de la position CLOUD Act : une organisation publique européenne doit savoir si, en cas de demande américaine, son fournisseur livrera ses données. L'ambiguïté délibérée est inacceptable pour une administration publique.