DORA et le CLOUD Act : deux raisons de garder l’inférence sur votre matériel
L’un est un régime européen de résilience qui recense chaque dépendance TIC ; l’autre est une loi américaine qui suit la nationalité du fournisseur, pas son centre de données. Les deux pointent dans la même direction pour le Luxembourg réglementé.
Le regard de DORA sur un fournisseur d’IA
Le règlement sur la résilience opérationnelle numérique, applicable depuis le 17 janvier 2025, traite tout prestataire de services TIC comme un tiers à contractualiser, surveiller et, lorsque la fonction est critique ou importante, déclarer dans le registre d’informations. Il exige des stratégies de sortie, une évaluation du risque de concentration et des clauses contractuelles spécifiques.
Un service d’IA hébergé utilisé sur des dossiers clients est un tiers TIC en ce sens. S’il devient critique pour un processus, tout l’appareil DORA s’y applique — et le fournisseur peut lui-même être désigné prestataire tiers critique soumis à la supervision européenne.
La portée du CLOUD Act
Le Clarifying Lawful Overseas Use of Data Act de 2018 permet aux autorités américaines de contraindre les fournisseurs relevant de la juridiction des États-Unis à produire les données en leur possession, garde ou contrôle — quel que soit leur lieu de stockage. Un centre de données européen exploité par une société sous contrôle américain ne met pas les données hors de portée.
Pour une banque luxembourgeoise tenue au secret bancaire, ou un cabinet tenu au secret professionnel, ce n’est pas théorique : c’est une injonction étrangère que l’entreprise ne voit pas, adressée à un fournisseur qu’elle ne contrôle pas.
Du matériel qui vous appartient, au Luxembourg
Une appliance dans votre propre infrastructure n’est pas un service TIC tiers pour l’inférence : aucun prestataire à déclarer, aucun risque de concentration sur un hyperscaler, et une stratégie de sortie triviale puisque rien n’est parti. Une machine détenue par une entité luxembourgeoise, sur le sol luxembourgeois, sans fournisseur sous contrôle américain, n’offre aucune prise à une injonction CLOUD Act.
La relation fournisseur qui subsiste — installation et support — se documente comme tout contrat de maintenance matérielle.
Un accompagnement technique, pas un conseil juridique. Nous travaillons aux côtés de votre DPO et de vos conseils.
Sources officielles
Voyez-le sur vos propres documents.
Trente minutes sur votre cas d'usage, avec un échantillon de vos propres fichiers. Nous venons à vous.