Points clés
- Le 3 juin 2026, la Commission européenne a proposé la loi sur le développement de l’infonuagique et de l’IA (CADA), qui classerait les fournisseurs d’infonuagique selon quatre niveaux d’assurance de souveraineté et réserverait les charges sensibles du secteur public et des secteurs critiques aux niveaux deux à quatre.
- Une fuite de la déclaration préparée pour le sommet UE-Canada de Montréal, les 29 et 30 octobre, laisse entrevoir un statut de pays associé pour le Canada en vertu de l’article 18 de la CADA, conditionnel à une décision d’adéquation de l’UE en matière de protection des renseignements personnels et à des limites sur l’accès gouvernemental aux données des fournisseurs.
- Le virage arrive sur votre bureau comme un problème de diligence fournisseurs : les questions de souveraineté que l’UE poserait sur le contrôle d’un fournisseur, l’emplacement des données, le personnel et les procédures d’accès gouvernemental sont celles auxquelles vos dossiers d’approvisionnement devraient répondre dès maintenant.
Un classement des infonuages, avec l’argent des marchés publics en jeu
L’Europe a passé deux décennies à écrire les règles numériques du monde tout en achetant son infrastructure ailleurs. La CADA veut corriger le second problème. Dans le cadre d’un paquet sur la souveraineté technologique adopté le 3 juin 2026, la Commission a proposé la loi sur le développement de l’infonuagique et de l’IA, bâtie autour de quatre niveaux d’assurance pour les services d’infonuagique et d’IA : plus la charge de travail est sensible, plus le niveau exigé est élevé. Les organismes publics et les exploitants de secteurs critiques (énergie, santé, transports, sécurité nationale, défense, justice, application de la loi) seraient limités aux niveaux deux à quatre pour leurs charges sensibles, et le niveau trois, qui pourrait héberger des informations classifiées de l’UE, serait fermé aux fournisseurs contrôlés par un pays tiers. Une précision : il s’agit d’une proposition, qui doit encore passer par le Parlement européen et le Conseil, alors traitez ce qui suit comme des conditions préliminaires contre lesquelles planifier, pas comme un règlement final.
L’histoire est devenue canadienne ce matin, quand Michael Geist a publié une lecture cinglante de la fuite de la déclaration préparée pour le sommet UE-Canada de Montréal, les 29 et 30 octobre. Les deux parties prévoient annoncer un accord sur le commerce numérique et une coopération renforcée en IA, en cybersécurité et en résilience des chaînes d’approvisionnement, selon les reportages sur la fuite. L’angle de Geist : la fuite laisse entrevoir un alignement des cadres réglementaires numériques « par un statut de pays associé pour le Canada » en vertu de la CADA. Lisez son billet pour le procédé rhétorique complet. La substance qui vaut votre temps, c’est la liste des conditions que l’Europe attache à ce statut.
Ce que le statut de pays associé exige vraiment
L’article 18 permettrait à la Commission de désigner des pays tiers associés dont les fournisseurs pourraient être audités au niveau trois malgré un contrôle étranger. Les conditions, telles que Geist les résume à partir de la proposition, se lisent comme une liste de vérification d’approvisionnement avec une colonne vertébrale de souveraineté :
- Le pays doit détenir une décision d’adéquation de l’UE en matière de protection des renseignements personnels.
- Il ne doit avoir aucune mesure lui permettant de contrôler un fournisseur d’une façon qui entre en conflit avec les limites européennes sur l’accès gouvernemental aux données.
- Il ne doit pas imposer de dégradation de service ni appliquer des sanctions qui ne sont pas légitimes en droit européen.
- Il ne doit imposer aucun obstacle à la fourniture de technologies de pointe et garder son marché de l’infonuagique ouvert aux fournisseurs de l’UE, avec un accès équivalent aux marchés publics.
Vient ensuite le détail, au niveau de l’annexe, pour le fournisseur lui-même : établi dans l’UE, avec son infrastructure, son personnel et les données de ses clients situés sur place; personnel citoyen de l’UE; soutien technique effectué dans l’UE par des résidents de l’UE; données qui ne quittent jamais l’UE et ne servent pas à entraîner des systèmes d’IA exploités par des entités de pays tiers; et des mesures démontrées pour empêcher l’accès aux données des clients par le pays tiers, ce qui ici désigne le Canada.
La forme est claire. Le Canada obtient une voie pour ses fournisseurs vers les charges sensibles de l’Europe, mais cette voie passe par le droit de la protection des renseignements personnels et le droit de l’accès gouvernemental, pas par la négociation commerciale. Voilà pourquoi ce sujet appartient à la liste de lecture des équipes de protection des renseignements personnels, pas seulement à celle des équipes de politiques.
Le problème d’adéquation du Canada, et le problème d’accès légal
Le Canada détient une décision d’adéquation de l’UE depuis 2001, fondée sur la LPRPDE. La condition d’adéquation signifie que l’UE évaluerait si le cadre canadien actuel satisfait la norme, et cet examen commencerait par le projet de loi C-36, la loi proposée sur la protection de la vie privée des consommateurs et des données. Un projet de loi sur la réforme de la protection des renseignements personnels devient un instrument commercial : si la décision d’adéquation vacille, la voie du statut de pays associé vacille avec elle.
La complication plus dure est le projet de loi C-22, la loi sur l’accès légal qui se dirige vers le Sénat cet automne, qui donnerait aux autorités canadiennes de nouveaux pouvoirs pour obliger les fournisseurs à construire et à maintenir des capacités de surveillance. La CADA demande à un pays de démontrer qu’il n’exerce pas sur les fournisseurs des pouvoirs de contrôle qui entrent en conflit avec les limites européennes sur l’accès gouvernemental aux données, et le Canada a déjà affirmé exactement ce type de portée : la GRC a obtenu l’an dernier une ordonnance judiciaire obligeant OVHcloud, un fournisseur français, à divulguer des données en raison de sa présence au Canada. Justifiée ou non, elle fait désormais partie du dossier que lit l’Europe.
Ajoutez la complication des marchés publics. Les politiques d’achat canadien pour les services d’infonuagique ont été signalées par les États-Unis comme un obstacle au commerce plus tôt cette année, et les conditions du statut de pays associé exigent un accès équivalent aux marchés publics pour les fournisseurs de l’UE. Un gouvernement qui veut un infonuagique souverain chez lui et un accès au marché européen à l’étranger est sur le point de découvrir que ces deux positions se négocient l’une contre l’autre.
En dehors du communiqué, le sentiment des praticiens est sceptique, de façon utile : un label d’assurance n’arrête pas à lui seul l’accès légal étranger, de sorte que « souverain » risque de devenir une étiquette si les règles d’accès ne tiennent pas, et la rhétorique de souveraineté du Canada avance plus vite que les capacités derrière. Ces deux objections fixent la barre pour les questions ci-dessous. Demandez le processus d’accès documenté, pas l’argument commercial.
Quelles questions poser à vos fournisseurs d’infonuagique ce trimestre
Inutile d’attendre le sommet. Les conditions de la CADA vous donnent un questionnaire fournisseur prêt à l’emploi, qui correspond à la diligence que vous devriez déjà faire en vertu de la LPRPDE, de la Loi 25 et des lignes directrices du Commissariat sur les tiers. Posez par écrit, conservez les réponses au dossier du fournisseur :
| Condition de la CADA | Votre question au fournisseur |
|---|---|
| Aucun contrôle par un pays tiers | Qui contrôle ultimement le fournisseur, et par quelle structure d’entreprise? Que change une acquisition? |
| Emplacement dans l’UE de l’infrastructure, du personnel et des données | Dans quelles juridictions nos données reposent-elles, sont-elles traitées et reçoivent-elles du soutien? Nommez les régions, pas le marketing. |
| Soutien technique par des résidents de l’UE | Qui peut toucher à nos données dans un billet de soutien, depuis où, sous quels contrôles d’accès? |
| Données qui ne quittent pas l’UE et ne servent pas à entraîner l’IA d’un pays tiers | Est-ce que certaines de nos données quittent les régions déclarées, y compris pour l’entraînement, les diagnostics ou le traitement par des sous-traitants? |
| Aucun pouvoir d’accès gouvernemental conflictuel | Quel est le processus du fournisseur face aux demandes d’accès d’un gouvernement étranger, et où est-il documenté? |
| Aucune dégradation de service imposée | Un gouvernement peut-il ordonner au fournisseur de dégrader, filtrer ou remettre le service, et que divulguerait-il? |
| L’adéquation comme plancher | Pour les données de l’UE, quel mécanisme de transfert s’applique aujourd’hui, et que change un glissement des décisions d’adéquation? |
Deux de ces questions sont celles auxquelles la plupart des dossiers fournisseurs ne peuvent pas répondre aujourd’hui : qui peut toucher aux données dans un billet de soutien, et que se passe-t-il sur demande d’un gouvernement étranger. Si votre dossier ne peut pas y répondre, le dossier n’est pas terminé.
Mesure concrète : prenez vos cinq fournisseurs d’infonuagique les plus risqués (selon la sensibilité des données, pas selon les dépenses) et soumettez-leur les sept questions ci-dessus avant le sommet du 29 octobre. Quoi que dise le communiqué, vous entrerez au quatrième trimestre avec des dossiers fournisseurs qui répondent aux questions de souveraineté que votre conseil commencera à poser l’an prochain.