En 2026, le cadre européen du cloud repose sur un texte pleinement applicable, le Data Act, et sur plusieurs chantiers inachevés. Le Data Act, applicable depuis le 12 septembre 2025, organise le changement de fournisseur cloud et la suppression progressive des frais associés, totale à compter du 12 janvier 2027 14. Le schéma européen de certification EUCS, en revanche, n'est toujours pas adopté, et la question de la souveraineté s'est déplacée vers une nouvelle proposition législative, le Cloud and AI Development Act, publiée en juin 2026 78.
Pour les DSI et responsables achats, cela signifie deux choses : des droits contractuels déjà mobilisables pour négocier la réversibilité, et un horizon réglementaire encore mouvant sur la certification et les critères de souveraineté. Cet article fait le point sur chacun de ces blocs, à la date de rédaction.
Le Data Act : ce qui s'applique déjà au cloud
Le règlement (UE) 2023/2854 du 13 décembre 2023, dit Data Act, est applicable depuis le 12 septembre 2025 14. Son chapitre VI impose aux fournisseurs de services de traitement de données, notion qui couvre le cloud du IaaS au SaaS, de lever les obstacles au changement de fournisseur et au passage à une infrastructure sur site 1.
Les clauses contractuelles obligatoires
L'article 25 fixe un contenu minimal pour les contrats cloud 2 :
- un délai de préavis maximal de deux mois pour lancer le changement de fournisseur ;
- une période transitoire obligatoire de trente jours calendaires au plus, pendant laquelle le fournisseur doit apporter une assistance raisonnable, maintenir la continuité et un niveau élevé de sécurité ;
- une liste exhaustive des catégories de données et d'actifs numériques exportables ;
- une période de récupération des données d'au moins trente jours calendaires après la période transitoire ;
- l'effacement complet des données exportables une fois le changement achevé avec succès.
La fin des frais de changement
Pendant une phase transitoire, les fournisseurs peuvent facturer des frais de changement réduits, plafonnés aux coûts directement liés à l'opération ; à compter du 12 janvier 2027, ils ne pourront plus en facturer aucun 14. Les obligations d'information précontractuelle sur ces frais s'appliquent déjà. Autre échéance utile : depuis le 12 septembre 2026, l'obligation d'accès aux données « dès la conception » de l'article 3, paragraphe 1, s'applique aux produits connectés mis sur le marché à partir de cette date, et l'interdiction des clauses abusives de l'article 13 s'étendra à certains contrats antérieurs le 12 septembre 2027 4.
Au 12 janvier 2027, les frais de changement de fournisseur cloud disparaissent : c'est le moment de renégocier vos clauses de sortie.
L'omnibus numérique : des ajustements au Data Act en négociation
Le 19 novembre 2025, la Commission a présenté une proposition de règlement « omnibus numérique », COM(2025) 837, visant à simplifier le cadre numérique 3. Pour le cloud, elle prévoit des exemptions ciblées aux règles de changement de fournisseur : pour les services sur mesure, et pour les services fournis par des PME et des petites entreprises de taille intermédiaire, s'agissant des contrats conclus au plus tard le 12 septembre 2025 5. Les contrats existants n'auraient pas à être renégociés avant leur échéance, mais les clauses contraires à la suppression des frais resteraient nulles 5.
La négociation est en cours. Selon Simmons & Simmons, la présidence du Conseil a déposé le 22 juin 2026 un texte de compromis qui autorise explicitement des pénalités de résiliation anticipée proportionnées dans les contrats à durée déterminée, tandis que deux commissions du Parlement européen proposent de supprimer les exemptions ; une lettre d'industriels citée par le cabinet indique que le Parlement ne devrait pas adopter sa position avant début 2027 5. La présidence irlandaise vise un accord d'ici fin 2026, selon McCann FitzGerald 4. Ces modifications ne sont donc pas applicables à ce jour.
EUCS : un schéma de certification toujours en suspens
Le schéma européen de certification de cybersécurité des services cloud (EUCS) a été préparé par l'ENISA dans le cadre du Cybersecurity Act ; un premier projet de schéma candidat a été publié et soumis à consultation publique le 22 décembre 2020 7. Depuis, les discussions ont buté sur l'intégration, au niveau d'assurance le plus élevé, de critères d'immunité aux lois extra-européennes comparables à ceux de SecNumCloud.
À la date de rédaction, l'EUCS n'est pas adopté. L'exposé des motifs de la proposition de Cloud and AI Development Act le dit explicitement, en précisant qu'une fois finalisé, le schéma pourrait être utilisé dans le cadre européen d'évaluation de la souveraineté des services cloud 8. Parallèlement, la Commission a proposé le 20 janvier 2026 une révision du Cybersecurity Act destinée à simplifier le cadre européen de certification et à mieux traiter les risques liés aux chaînes d'approvisionnement des TIC 6.
Le Cloud and AI Development Act : la souveraineté reformulée
Publiée le 3 juin 2026, la proposition de Cloud and AI Development Act, COM(2026) 502, poursuit trois objectifs : soutenir la recherche et l'innovation, accélérer l'implantation de centres de données dans l'Union et instaurer un cadre unique d'évaluation de la souveraineté du cloud et de l'IA, assorti d'un mécanisme d'adoption par le secteur public 8.
Quatre niveaux d'assurance
Le texte crée un cadre européen de souveraineté du cloud composé de quatre niveaux d'assurance, dont les exigences figurent en annexe 8. Le niveau 1 repose sur une auto-évaluation de conformité, les niveaux 2 à 4 sur une évaluation par un organisme d'audit tiers 8. Un mécanisme permet à des services contrôlés depuis un pays tiers de devenir éligibles au niveau 3 sous conditions 8. En matière de marchés publics, les pouvoirs adjudicateurs devraient exiger au minimum le niveau 1, et recourir aux niveaux 2, 3 ou 4 lorsque l'ordre public est en jeu 8.
Il ne s'agit que d'une proposition : le Parlement européen et le Conseil doivent encore l'examiner, et le contenu des niveaux pourrait évoluer sensiblement. Son articulation avec SecNumCloud et avec un futur EUCS sera l'un des points à suivre.
Ce que le cadre européen du cloud ne règle pas
Le Data Act organise le changement de fournisseur sur le plan contractuel et tarifaire. Il ne garantit pas que le service cible offre des fonctionnalités équivalentes, ni qu'une application conçue autour de services propriétaires puisse être déplacée sans réécriture. La portabilité des données ne vaut pas portabilité des applications : les configurations, les automatisations, les politiques d'accès et les dépendances entre services restent le principal frein à une sortie rapide.
De même, ni le Data Act ni les propositions en cours ne qualifient à ce jour un service au regard du risque d'accès par des autorités de pays tiers. Tant que l'EUCS n'est pas adopté et que le Cloud and AI Development Act n'est pas voté, la seule référence opérationnelle en France pour ce critère reste SecNumCloud. Les organisations présentes dans plusieurs États membres doivent en outre composer avec des approches nationales qui ne coïncident pas toujours, ce qui plaide pour des exigences contractuelles formulées en termes de résultats (localisation, droit applicable, contrôle des accès) plutôt qu'en renvoyant à un label unique.
Ce qu'il faut faire dès maintenant
- Inventorier les contrats cloud en cours et vérifier leur conformité à l'article 25 du Data Act (préavis, période transitoire, liste des données exportables, effacement).
- Identifier les frais de sortie et de transfert de données facturés aujourd'hui, et planifier leur disparition au 12 janvier 2027 dans les budgets et les négociations.
- Repérer les services potentiellement visés par les exemptions de l'omnibus numérique (services sur mesure, fournisseurs PME) et ne pas présumer leur adoption.
- Conserver SecNumCloud comme référence pour les données sensibles tant que l'EUCS et le Cloud and AI Development Act ne sont pas adoptés.
- Mettre en place une veille sur trois échéances : trilogues de l'omnibus, examen du Cloud and AI Development Act, révision du Cybersecurity Act.
Conclusion
Le Data Act donne dès aujourd'hui aux clients des leviers concrets sur la portabilité et la réversibilité, et sa pleine application tarifaire en janvier 2027 est une échéance de négociation à ne pas manquer. Sur la certification et la souveraineté, en revanche, l'Europe reste en chantier : l'EUCS n'est pas adopté et le Cloud and AI Development Act n'en est qu'au début de son parcours. DATASWING aide ses clients à transformer ce cadre mouvant en clauses contractuelles et en choix d'architecture robustes.
— Questions fréquentes
Ce qu'on nous demande souvent
Quand les frais de changement de fournisseur cloud seront-ils supprimés ?+
Le Data Act interdit tout frais de changement de fournisseur à compter du 12 janvier 2027. Jusqu'à cette date, les fournisseurs peuvent facturer des frais réduits, plafonnés aux coûts directement liés à l'opération de changement, et doivent en informer le client avant la conclusion du contrat. L'omnibus numérique en négociation pourrait créer certaines exemptions.
L'EUCS est-il adopté en 2026 ?+
Non. À la date de rédaction, le schéma européen de certification des services cloud n'est pas adopté, comme le confirme l'exposé des motifs de la proposition de Cloud and AI Development Act publiée en juin 2026. Le premier projet de l'ENISA date de décembre 2020 ; les débats ont achoppé sur les critères de souveraineté.
Qu'est-ce que le Cloud and AI Development Act ?+
C'est une proposition de règlement européen publiée le 3 juin 2026 (COM(2026) 502). Elle vise à accélérer la construction de centres de données et à créer un cadre unique d'évaluation de la souveraineté du cloud, avec quatre niveaux d'assurance utilisables dans les marchés publics. Elle doit encore être examinée par le Parlement et le Conseil.
Le Data Act impose-t-il un délai maximal pour changer de fournisseur cloud ?+
Oui. Le contrat doit prévoir un préavis maximal de deux mois pour lancer le changement, puis une période transitoire obligatoire de trente jours calendaires au plus, pendant laquelle le fournisseur assiste le client. Une période de récupération des données d'au moins trente jours doit suivre, avant effacement des données exportables.
— Sources
Références citées
Les textes réglementaires et documentations évoluent : vérifiez la version en vigueur avant toute décision. Cet article n'est pas un avis juridique.
- [1]
-
[2]
Data Act – article 25, clauses contractuelles relatives au changement de fournisseur ↗Springlex (texte JOUE L 2023/2854) · 2023-12
-
[3]
COM(2025) 837 – Proposition de règlement « omnibus numérique » ↗Eerste Kamer der Staten-Generaal (dossier européen) · 2025-11
-
[4]
Data Act Developments: 2026 and Beyond ↗McCann FitzGerald · 2026
-
[5]
Regulating Data: EU Data Act & More – June 2026 Edition ↗Simmons & Simmons · 2026-06
-
[6]
Strengthening Europe's digital defences: proposal to revise the EU Cybersecurity Act ↗Commission européenne – Digital Skills and Jobs Platform · 2026-01
-
[7]
EUCS – Cloud Services Scheme (candidate scheme v1.0) ↗ENISA · 2020-12
-
[8]
Proposition de règlement Cloud and AI Development Act, COM(2026) 502 – document ST 10104/26 ↗Conseil de l'Union européenne · 2026-06
