Le 15 juillet 2026, l'Union européenne a publié au Journal officiel le Cloud & AI Development Act (CADA), un texte distinct de l'AI Act qui cible cette fois l'infrastructure : data centers, capacités de calcul, et souveraineté des fournisseurs cloud. Son entrée en vigueur est fixée au 4 août 2026.
Pour les entreprises françaises, le CADA arrive au même moment qu'une autre échéance européenne majeure : l'article 50 de l'AI Act, applicable dès le 2 août 2026. Ces deux textes forment une vague réglementaire dense sur deux jours, mais ils ciblent des périmètres très différents : l'AI Act régule les systèmes d'intelligence artificielle, le CADA régule les tuyaux qui les font tourner.
Adopté par la Commission européenne le 3 juin 2026 dans le cadre du paquet « tech sovereignty », le CADA est un règlement — pas une directive — ce qui signifie qu'il s'applique directement dans tous les États membres sans transposition nationale. Au 4 août, il est applicable partout en Europe.
Cet article explique ce que le CADA contient concrètement, pourquoi la Commission l'a jugé nécessaire en complément de l'AI Act, et ce que les DSI et acheteurs cloud doivent retenir avant cette date.
Le CADA : une loi d'infrastructure, pas d'algorithmes
Le CADA ne modifie pas les règles de l'AI Act sur les systèmes IA à haut risque ni sur la transparence des LLM. Son périmètre est strictement infrastructurel : il porte sur les data centers, l'approvisionnement en capacités de calcul, les procédures administratives pour la construction de nouvelles infrastructures, et la classification des fournisseurs cloud selon leur degré de souveraineté européenne.
La Commission européenne a présenté le texte comme une réponse directe au déséquilibre structurel entre les États-Unis, la Chine et l'UE en matière de capacité de calcul IA. En 2025, l'Europe concentrait une fraction minoritaire de la capacité mondiale de calcul pour l'inférence et l'entraînement des modèles frontier, contre une large majorité aux États-Unis. Le CADA est conçu pour modifier ce rapport de force à l'horizon 2030.
Ses deux piliers principaux sont :
- Un mécanisme de permis accéléré pour la construction et l'extension de data centers dans l'UE, avec simplification des procédures administratives et création de guichets uniques par État membre.
- Un cadre de classification de la souveraineté cloud à quatre niveaux progressifs, permettant aux acheteurs — publics comme privés — de qualifier formellement leurs fournisseurs selon des critères harmonisés au niveau européen.
Pour les équipes qui construisent des outils internes sur mesure ou des plateformes nécessitant des garanties d'hébergement, le CADA crée un référentiel commun là où chaque État membre avait jusqu'ici ses propres labels et exigences disparates.
Les quatre niveaux de souveraineté cloud
Le cœur du CADA pour les acheteurs cloud est la grille de classification en quatre niveaux de souveraineté, basés sur deux critères combinés : la localisation physique des données et des traitements et le degré de contrôle juridique exercé par des entités de l'UE sur l'infrastructure et l'opérateur.
Cette structuration répond à un problème concret que les DSI français rencontrent depuis plusieurs années : comment qualifier formellement un fournisseur cloud lorsque la localisation des serveurs en Europe ne suffit pas à garantir l'absence d'accès extra-territorial, notamment via des législations comme le CLOUD Act américain ?
Le principe des quatre niveaux
Le CADA organise les fournisseurs cloud sur un spectre progressif :
- Niveau le plus ouvert : hébergement physique en UE possible, mais sans contraintes sur l'actionnariat ni sur les accès extra-territoriaux potentiels. La plupart des offres des hyperscalers américains avec régions européennes entrent dans cette catégorie.
- Niveaux intermédiaires : exigences croissantes de résidence des données en UE, puis d'engagements contractuels sur la non-exposition à des législations extra-territoriales, et enfin de contrôle actionnarial par des entités européennes.
- Niveau le plus souverain : entité juridique et opérationnelle sous contrôle européen, avec des barrières techniques et contractuelles renforcées contre toute ingérence externe. Ce niveau, le plus contraignant, est aujourd'hui le moins peuplé sur le marché.
Cette grille ne crée pas d'obligation immédiate pour les entreprises privées de migrer vers les niveaux supérieurs. Elle crée un référentiel commun qui va progressivement s'intégrer dans les appels d'offres publics, les exigences sectorielles (santé, finance, défense, énergie) et les politiques internes de gestion du risque fournisseur.
Implications pour le choix des fournisseurs LLM
Pour les équipes qui pilotent des projets d'automatisation métier s'appuyant sur des API d'inférence LLM, la grille CADA pose une question directe : à quel niveau de souveraineté se situe le fournisseur du modèle que vous utilisez ? Un LLM exécuté sur l'infrastructure d'un hyperscaler américain — même avec des serveurs localisés en France — sera classé au niveau le plus ouvert, ce qui peut être insuffisant pour certains secteurs réglementés ou pour des clients donneurs d'ordre publics.
Tripler la capacité data center européenne : le mécanisme
L'objectif quantitatif du CADA est structurant : tripler la capacité data center européenne d'ici 2030. Cet objectif part du constat que l'Europe ne dispose pas aujourd'hui de la masse critique d'infrastructure pour faire tourner les modèles IA frontier de manière autonome, sans dépendance aux clouds américains ou chinois.
Permis accélérés : comment ça fonctionne
Le mécanisme central pour atteindre cet objectif est la simplification administrative. Le CADA crée une procédure de permis accélérée pour les projets de data centers qualifiés de « stratégiques » par la Commission ou les États membres. Chaque État membre devra mettre en place un guichet unique coordonnant les autorisations urbanistiques, environnementales et énergétiques, afin de réduire les délais d'instruction qui constituent actuellement un frein majeur à la construction d'infrastructure en Europe.
Pour la France, dont la réglementation administrative impose actuellement des délais pouvant dépasser deux ans pour des projets d'infrastructure de grande taille, ce guichet unique représente un changement de méthode significatif.
Durabilité intégrée
Le CADA intègre des exigences de durabilité pour les projets bénéficiant des permis accélérés. Les nouvelles installations devront respecter des critères d'efficacité énergétique et démontrer une trajectoire vers l'alimentation renouvelable. Ces critères s'alignent avec les objectifs du Green Deal européen et conditionnent le bénéfice du régime accéléré.
Pour les entreprises françaises qui envisagent l'hébergement de leurs propres solutions développées sur mesure dans des infrastructures locales, la montée en puissance de l'offre data center souveraine en France sous l'impulsion du CADA est une donnée de moyen terme à intégrer dans les roadmaps infrastructure.
Calendrier et articulation avec l'AI Act
Le CADA suit un calendrier précis qui s'articule avec les autres textes réglementaires en vigueur cet été.
Chronologie confirmée
- 3 juin 2026 : adoption de la proposition par la Commission européenne, dans le cadre du paquet « tech sovereignty ».
- 15 juillet 2026 : publication au Journal officiel de l'Union européenne.
- 4 août 2026 : entrée en vigueur directe dans tous les États membres. Le CADA étant un règlement et non une directive, aucune transposition nationale n'est requise.
- 2030 : horizon cible pour le triplement de la capacité data center européenne.
Deux jours après l'AI Act article 50
Le CADA entre en vigueur deux jours après l'article 50 de l'AI Act, applicable au 2 août 2026. Ces deux textes coexistent sans se contredire, mais leur superposition dans la même semaine de début août représente une échéance réglementaire dense pour les DSI opérant en Europe. Pour les obligations spécifiques de l'article 50 de l'AI Act — transparence GenAI, marquage des contenus synthétiques — vous pouvez vous référer à notre analyse dédiée avec la checklist PME.
Obligations immédiates vs effets à moyen terme
Au 4 août, les obligations directes du CADA pèsent principalement sur les fournisseurs cloud opérant dans l'UE (qui devront déclarer leur niveau de souveraineté selon la grille) et les opérateurs de data centers souhaitant bénéficier de la procédure de permis accélérée. Pour les entreprises acheteuses de services cloud, les effets se feront sentir progressivement : d'abord dans les appels d'offres publics, puis dans les exigences sectorielles, et enfin dans les politiques de gestion du risque fournisseur de leurs clients et donneurs d'ordre.
Lecture pratique pour les DSI et acheteurs cloud
Le CADA ne crée pas d'obligation immédiate pour la plupart des entreprises françaises — mais il structure le terrain sur lequel vos décisions cloud seront évaluées dans les prochains mois et années.
Cartographier vos fournisseurs cloud actuels
La première action utile est de cartographier vos fournisseurs cloud actuels selon la logique des quatre niveaux du CADA, avant même qu'ils ne publient leur classification officielle. Pour chaque service cloud en production, posez-vous trois questions :
- Où sont localisés physiquement vos données et vos charges de calcul IA ?
- L'entité contractante est-elle soumise à une législation extra-territoriale susceptible d'imposer un accès à vos données (CLOUD Act, FISA, etc.) ?
- Avez-vous des données ou des contrats soumis à des obligations sectorielles (DORA, HDS, Secret Défense) qui impliquent un niveau de souveraineté minimal ?
Implication sur vos projets IA
Pour les projets s'appuyant sur des API d'inférence LLM externes, le CADA pose une question stratégique que la plupart des entreprises n'ont pas encore formalisée : dans quelle mesure votre fournisseur de modèle IA correspond-il au niveau de souveraineté requis par vos clients, vos régulateurs ou votre politique de sécurité interne ? Un audit de votre stack IA sous l'angle du CADA est une démarche préventive qui sera de plus en plus demandée dans les appels d'offres publics.
Anticiper les opportunités côté infrastructure
Pour les DSI travaillant sur des projets d'hébergement ou d'infrastructure, le mécanisme de permis accélérés crée une perspective concrète : l'offre cloud souveraine française et européenne devrait se densifier à l'horizon 2027-2028, avec des options mieux caractérisées et des délais de mise en service réduits. Anticiper ce mouvement dans vos roadmaps infrastructure est plus facile maintenant qu'en urgence lors d'une mise en conformité obligatoire. Pour discuter de l'architecture adaptée à votre contexte, nos équipes sont disponibles.
FAQ — Cloud & AI Development Act au Journal officiel de l'UE le 15 juillet : 4 niveaux de souveraineté cloud et data centers triplés — en vigueur le 4 août 2026
Le Cloud & AI Development Act est-il un texte différent de l'AI Act ?
Oui, complètement différent. L'AI Act régule les systèmes d'intelligence artificielle (risques, transparence, interdictions). Le CADA régule l'infrastructure : data centers, capacités cloud, classification des fournisseurs selon leur niveau de souveraineté. Les deux textes sont complémentaires mais distincts — un projet IA peut être conforme à l'AI Act et nécessiter une qualification CADA pour certains secteurs ou clients.
Les PME françaises ont-elles des obligations directes dès le 4 août 2026 ?
Non, pas d'obligations directes immédiates pour les PME. Les obligations directes au 4 août concernent les fournisseurs cloud et les opérateurs de data centers. Les PME seront impactées indirectement : leurs fournisseurs cloud devront publier leur classification, et les acheteurs publics commenceront à intégrer les niveaux CADA dans leurs marchés, ce qui peut indirectement impacter les prestataires IT et éditeurs qui leur fournissent des services hébergés.
Qu'est-ce qui distingue les différents niveaux de souveraineté cloud selon le CADA ?
Le CADA classe les fournisseurs cloud sur un spectre de quatre niveaux progressifs, combinant deux critères : la localisation physique des données en UE et le degré de contrôle juridique exercé par des entités européennes. Le niveau le plus ouvert n'impose aucune contrainte sur l'actionnariat. Le niveau le plus souverain exige à la fois un contrôle juridique européen et une indépendance opérationnelle à l'égard des législations extra-territoriales étrangères.
Les offres cloud souveraines existantes comme S3NS ou Bleu seront-elles conformes au CADA ?
Les grandes offres cloud souveraines opérant en France — qui combinent localisation en France, entité juridique européenne et barrières contractuelles contre les accès extra-territoriaux — visent en principe les niveaux intermédiaires à supérieurs de la grille CADA. Leur classification officielle sera publiée par les fournisseurs eux-mêmes selon les modalités du règlement. Il est recommandé d'attendre ces déclarations officielles avant de positionner définitivement un fournisseur dans votre cartographie CADA.
Le CADA a-t-il un impact sur le choix de fournisseur de modèle LLM pour mes agents IA ?
Indirectement, oui. Si vos agents IA font appel à des API d'inférence hébergées chez un fournisseur de niveau minimal du CADA, et que votre secteur ou vos donneurs d'ordre publics exigent un niveau supérieur, vous devrez soit changer de fournisseur d'inférence, soit envisager des déploiements sur infrastructure souveraine. Anticiper cette exigence dans vos architectures d'agents réduit le risque d'une refonte coûteuse sous contrainte réglementaire ou contractuelle.