Ce qu'un contrat technologique peut importer sans le dire.

Une organisation européenne · acheteur public, opérateur d'importance vitale, direction juridique en renégociation de son socle cloud · adosse une opération critique à une infrastructure opérée par un fournisseur établi sous juridiction étrangère. Le contrat stipule une localisation européenne des données. Il importe, sans le dire, une juridiction que l'organisation n'a pas choisie.

Deux ordres juridiques se referment alors sur la même opération, sans arbitre entre eux. Le premier commande l'accès : le CLOUD Act (18 U.S.C. § 2713) impose au fournisseur soumis à la juridiction américaine de divulguer la donnée sur réquisition, indépendamment de sa localisation physique en Europe. Le second commande l'obstacle : le RGPD (chapitre V) impose à l'organisation de ne pas se prêter à un accès d'État tiers qui ne serait pas fondé sur un instrument reconnu, et le Data Act (chapitre VII) impose au fournisseur de prendre toute mesure adéquate pour empêcher un tel accès. Une clause de localisation ne neutralise ni l'un ni l'autre : elle déplace le serveur, non la juridiction de l'opérateur.

Deux contresens, dans l'ordre où ils se commettent

Le premier contresens tient la localisation pour acquise. Le contrat la stipule, la direction des achats la vérifie, la conformité la documente. Mais un opérateur établi sous droit américain reste tenu de divulguer sur réquisition, quelle que soit la géographie des données. Une audition d'un hyperscaler américain devant le Sénat français, en juin 2025, l'a confirmé sous serment : aucune garantie absolue n'est possible, y compris pour une offre commercialisée comme souveraine.

Le second contresens tient l'expiration de la loi pour la fermeture de l'exposition. La Section 702 du FISA a expiré le 12 juin 2026, faute d'accord au Congrès sur sa réautorisation. Beaucoup y liront un répit. C'est une lecture fausse : les certifications approuvées par la cour FISA en mars 2026 demeurent en vigueur, et la surveillance qu'elles autorisent se poursuit jusqu'en mars 2027, sans qu'aucun acte de prorogation n'intervienne et indépendamment de la péremption du texte qui la fonde. Les directives adressées aux fournisseurs demeurent contraignantes. L'exposition survit à la loi qui la fonde.

Ce que personne ne tient

Dans l'organisation, chaque fonction défend son périmètre. La direction juridique qualifie les clauses. Les achats tiennent le contrat. La sécurité des systèmes tient l'architecture. Aucune n'a mandat sur la contradiction elle-même : l'ordre d'accès étranger d'un côté, l'obligation européenne d'y faire obstacle de l'autre. La contradiction n'appartient à personne ; elle pèse pourtant sur l'organisation entière.

La sanction de cet angle mort n'est pas d'abord l'amende. C'est l'impossibilité de qualifier le contrat : ni la localisation ni les clauses contractuelles types n'excluent la juridiction de l'opérateur. Et le terrain se déplace. Le paquet souveraineté présenté par la Commission européenne le 3 juin 2026, en cours d'examen, fait passer cette exposition du contentieux vers l'éligibilité : au palier sensible de la commande publique, la qualification de l'infrastructure devient une condition d'accès au marché, non une clause technique. La renégociation d'un contrat d'infrastructure cesse alors d'être un acte d'achat : elle engage la souveraineté de l'organisation.

Les variables à instruire

Avant tout arbitrage structurant · revue d'architecture, renouvellement d'un marché public sensible, qualification au titre du paquet souveraineté · trois variables demandent à être instruites.

La première : quelle exposition extraterritoriale s'applique effectivement à l'opérateur de l'infrastructure, et la localisation suffit-elle à la neutraliser, ou seule une indépendance juridique documentée le peut ?

La deuxième : quelle est l'indépendance juridique effective de l'opérateur, au-delà de la structure capitalistique affichée ?

La troisième : quelle capacité de réversibilité opérationnelle l'organisation détient-elle réellement, au-delà de la portabilité contractuelle ?

Ce sont des questions à instruire, non des réponses. Les organisations qui les poseront avant le seuil configureront leur position ; celles qui attendront la stabilisation du régime la subiront.

Une doctrine n'est pas un document : c'est un acte de souveraineté.

Paris, le 11 août 2026