Présenté par la Commission européenne en juin 2026, le règlement établissant un cadre de mesures pour le renforcement de l’écosystème européen du cloud et de l’IA (CADA) vise à accélérer le déploiement des centres de données et à réduire les dépendances de l’Union à l’égard de fournisseurs issus de pays tiers. La Commission présente ce texte comme essentiel pour la souveraineté de l’Union (EUROPE 13880/2). La Présidence irlandaise du Conseil de l'UE a rendu sa première copie en vue d'établir une position commune du Conseil. Daté du 30 octobre, son texte de compromis porte sur le troisième pilier du règlement, consacré à l’autonomie. S’il conserve l’architecture globale, il enlève aux États membres plusieurs obligations.
Pour rappel, ce pilier instaure un label de souveraineté cloud à quatre niveaux, plus ou moins strict selon le degré de protection face aux pays tiers. Les administrations publiques devront recourir à un service labellisé au moins au niveau d'assurance 1, et aux niveaux 2 à 4 pour les activités sensibles.
Pays « associés ». Sur cet aspect, la Présidence irlandaise du Conseil renforce le contrôle des États membres sur les pays tiers dits « associés ». Ce statut, accordé par la Commission, permet aux fournisseurs contrôlés depuis ces pays d’obtenir le niveau d’assurance 3. Cette exception suppose des prérequis, notamment la réciprocité dans l’accès aux marchés publics. Désormais, trois États membres ou plus « peuvent demander à la Commission de réexaminer le statut d’associé d’un pays tiers ». La Commission disposerait d'un délai de trois mois pour se prononcer. En cas de retrait du statut, les services des fournisseurs concernés perdent leur reconnaissance au niveau 3.
Sanctions. Au-delà des pays associés, un nouvel article précise la procédure de révocation d’un service labellisé par une autorité compétente d'un État membre. Cette dernière doit en informer ses homologues en leur transmettant un résumé des faits et ses conclusions. Elles disposent de 30 jours pour s’y opposer. En cas de désaccord, la Commission peut être saisie. En cas de retrait, il ne prendrait effet qu’après « une période de transition suffisante d’au moins 12 mois ».
Sur le volet des sanctions, le compromis introduit un plafond harmonisé d’amendes « d’un million d’euros ou de 1% du chiffre d’affaires annuel mondial », le montant le plus élevé étant retenu.
Marchés publics. Le texte irlandais étend les obligations d’achat de services labellisés aux « entités adjudicatrices » de secteurs comme l’eau et l’électricité, mais retire du champ des analyses de risque les activités relevant de la sécurité nationale et de la défense. Le délai accordé à une administration pour migrer vers un service cloud labellisé s'allonge, passant de 12 à 18 mois.
Recul de la Commission. Le texte de la Présidence rogne plusieurs prérogatives de la Commission. L'institution ne peut plus imposer aux États membres, par « actes d’exécution », les niveaux d’assurance qu’elle a retenus pour leurs activités publiques. La Commission perd la possibilité d'imposer aux entreprises privées hautement critiques des secteurs couverts par la directive NIS2 de mener des analyses de risque. Le texte précise qu’il n’existe « aucune habilitation permettant à la Commission d’étendre le champ d’application au secteur privé par voie d’acte délégué ».
Lire le compromis : https://aeur.eu/f/o7q (Louis Dubar)