CADA : l'Europe impose un nouveau cadre de souveraineté cloud et IA à la santé numérique

Trois hyperscalers non européens contrôlent aujourd’hui plus de 70 % du marché du cloud sur le continent, contre une part européenne tombée de 29 % en 2017 à 15 % en 2022. C’est ce constat qui a poussé la Commission européenne à présenter, le 3 juin 2026, une proposition de règlement destinée à rebattre les cartes : le Cloud and AI Development Act (CADA). Un an à peine après son entrée dans le débat législatif, ce texte commence déjà à structurer les feuilles de route des hébergeurs de données de santé, comme le détaille DSIH.

Un règlement bâti sur trois piliers

Le CADA s’articule autour de trois axes : le soutien à la recherche et à l’innovation en cloud et en IA, avec la santé explicitement désignée comme secteur stratégique prioritaire ; le déploiement de « zones d’accélération » destinées à tripler la capacité européenne de data centers en cinq à sept ans ; et surtout un pilier autonomie qui introduit un cadre de souveraineté gradué en quatre niveaux d’assurance.

Quatre niveaux d’assurance, une logique de gradation

• Niveau 1 : traitement et stockage des données au sein de l’Union européenne.
• Niveau 2 : indépendance démontrée vis-à-vis des pays tiers.
• Niveau 3 : propriété et contrôle effectifs depuis l’UE.
• Niveau 4 : transparence totale, sans interférence possible d’un pays tiers.

Les entités publiques, dont les établissements de santé, devront recourir à des services reconnus au minimum de niveau 1, et évaluer systématiquement le risque fournisseur avant tout recours à une solution cloud ou IA.

Pourquoi ce texte concerne directement la santé numérique

La santé fait partie des « services sensibles » explicitement ciblés par la Commission, aux côtés des secteurs financier et judiciaire. Pour les établissements de santé, l’enjeu est double : intégrer ces nouvelles exigences dans leurs procédures d’achat, et anticiper une possible exclusion des marchés publics sanitaires européens d’ici 2028-2029 pour les fournisseurs non conformes. Comme le souligne l’avocate Marguerite Brac de La Perrière, citée par DSIH, éditeurs et hébergeurs doivent dès maintenant engager une analyse d’écart avec les quatre niveaux du CADA.

Convergence, mais pas équivalence, avec SecNumCloud et HDS

Le référentiel français SecNumCloud, porté par l’ANSSI, impose déjà la localisation des données en UE, un siège social européen et une immunité aux législations extraterritoriales comme le Cloud Act — des exigences que l’on retrouve, à des degrés divers, dans les niveaux 1 à 4 du CADA, comme le relève CIO Online. Attention toutefois à la confusion : la certification Hébergeur de Données de Santé (HDS v2.0) couvre la localisation, assimilable au niveau 1, sans répondre aux exigences d’indépendance des niveaux 2 à 4. Les hébergeurs déjà engagés dans une trajectoire HDS et SecNumCloud disposent d’une avance, mais devront combler cet écart.

Un calendrier encore long

Le CADA suit la procédure de codécision entre Parlement et Conseil, avec un objectif d’accord fixé au quatrième trimestre 2027 et une application opérationnelle attendue entre 2028 et 2029. Les États membres devront définir des sanctions « effectives, proportionnées et dissuasives ». Un délai qui laisse le temps aux acteurs de la santé numérique française de s’organiser, mais qui, selon IT Social, redistribue déjà les rapports de force entre le label EUCS, dépourvu d’exigence de souveraineté, et la commande publique, où le CADA la réintroduit de fait.

Sources

• DSIH - Cloud et IA, un nouveau cadre européen de souveraineté en construction (1er septembre 2026)
• Commission européenne - Cloud and AI Development Act
• CIO Online - Le cadre européen de souveraineté du cloud ? Un parfum de SecNumCloud
• IT Social - EUCS et CADA : l’Europe abandonne la souveraineté dans son label cloud et la réintroduit dans la commande publique