--- title: "Hébergement en Europe" description: "Ce qu'un hébergement européen protège, et ce qu'il ne protège pas." url: https://meridal.fr/apprendre/hebergement-en-europe/ language: fr written: 2026-10-08 verified: 2026-10-08 license: CC BY 4.0 --- [Apprendre](https://meridal.fr/apprendre/) › [Données, sécurité, confiance](https://meridal.fr/apprendre/dossier/confiance/) Comprendre · Niveau 2, Pratiquer · 12 minutes # Hébergement en Europe Ce qu'un hébergement en Europe protège, et ce qu'il ne protège pas : le lieu des données, l'accès des tiers, le droit qui s'applique ; maillon par maillon, de l'application à l'appel au modèle. Écrit le 8 octobre 2026 · Vérifié le 8 octobre 2026 ## Vous saurez - Distinguer le lieu des données, qui y accède, et le droit qui s'applique - Repérer, maillon par maillon, ce qui peut sortir d'Europe - Savoir ce que garantit SecNumCloud, et quand il en faut - Poser les bonnes questions à un fournisseur ## Dans le parcours [Les règles et les risques](https://meridal.fr/apprendre/parcours/regles/) Étape 6 sur 7 - [← Avant Le RGPD et l'IA](https://meridal.fr/apprendre/rgpd-et-ia/) - [↑ Plus général Données confiées à une IA](https://meridal.fr/apprendre/donnees-confiees-a-une-ia/) - [↓ Plus concret Une étude d'hébergement chiffrée](https://meridal.fr/realisations/hebergement-chiffre/) - [→ Ensuite Le calendrier réglementaire](https://meridal.fr/apprendre/calendrier-reglementaire/) Rappel de la page précédente Répondez de tête, puis ouvrez. [Le RGPD et l'IA](https://meridal.fr/apprendre/rgpd-et-ia/) **1 Qui est responsable des données personnelles que vos salariés confient à un assistant d'IA ?** L'entreprise, responsable du traitement ; l'éditeur d'une offre d'équipe agit en sous-traitant, dans les limites de son contrat. **2 Avant de confier des données personnelles à un outil d'IA, quel document vérifier ?** Le contrat de sous-traitance de l'éditeur : ce qu'il fait des données, où, avec quels sous-traitants, et combien de temps. L'essentiel 1. « Hébergé en France » dit où sont les données ; ni qui peut y accéder, ni quel droit s'applique. 2. Un fournisseur dont la société mère relève du droit américain peut recevoir une demande légale des autorités américaines : la CNIL le rappelle, et Microsoft France l'a reconnu devant le Sénat. 3. Une application compte plusieurs maillons : hébergement, secrets, journaux, sauvegardes, appel au modèle ; chacun peut sortir d'Europe. 4. SecNumCloud, la qualification de l'ANSSI, vise aussi la protection contre les lois extraterritoriales ; une offre posée sur une infrastructure qualifiée n'est pas qualifiée pour autant. 5. La plupart des PME n'en ont pas besoin : elles ont besoin de savoir où va chaque maillon, et de le régler. ## Problème Un fournisseur annonce « vos données sont hébergées en France ». C'est vrai, et c'est souvent tout ce qu'on vérifie. Mais une application d'IA ne tient pas dans un seul serveur : elle appelle un modèle, garde des secrets, écrit des journaux, fait des sauvegardes. Et le droit qui s'applique aux données dépend de qui les détient, pas seulement d'où elles sont. ## Principe Trois questions, distinctes : - **Où sont les données**, au repos et pendant le calcul : une région peut garder les données stockées et laisser partir le calcul, ou des données « système » comme la facturation. - **Qui y accède** : l'opérateur, ses sous-traitants, ses équipes de maintenance. La CNIL note que des prestataires installés en Europe recourent eux-mêmes à des prestataires hors de l'Union. - **Quel droit s'applique** : pour un hébergeur dont la société mère est américaine et soumise au droit américain, la CNIL écrit que cela implique la possibilité légale de demandes de communication des données par l'administration des États-Unis. Devant le Sénat, en juin 2025, le directeur juridique de Microsoft France a répondu qu'il ne pouvait pas garantir que des données ne seraient jamais transmises, tout en s'engageant à contester les demandes infondées. Un transfert de données personnelles hors de l'Union reste possible, à condition d'assurer un niveau de protection suffisant ; vers les États-Unis, seuls les transferts vers des entreprises certifiées au cadre de juillet 2023 se passent d'outils d'encadrement. ## Fonctionnement ![Hébergé en France répond à où sont les données, pas à qui peut y accéder ni à quel droit s'applique ; les cinq maillons d'une application, hébergement, secrets, journaux, sauvegardes, appel au modèle, peuvent chacun sortir d'Europe.](https://meridal.fr/assets/apprendre/medias/apprendre-heberger-trois-questions.svg) *Une question sur trois, et cinq maillons à régler un par un.* Une application d'IA, maillon par maillon : | Le maillon | Ce qui peut sortir d'Europe | Exemple relevé | |---|---|---| | L'hébergement de l'application | La région choisie, et la société qui l'opère | Paris chez Clever Cloud, Scaleway, Azure, Google Cloud ou AWS ; seules les deux premières sont des sociétés françaises (synthèse ci-dessous) | | L'appel au modèle | Le texte envoyé, et le calcul | L'API de Claude n'offre que « global » ou « us » ; OpenAI a une région Europe sur accord ; Mistral, un point d'accès européen à 1,1 fois le prix | | Les secrets | Les clés et mots de passe de l'application | Chez Google Cloud, un secret est répliqué dans plusieurs régions du monde par défaut | | Les journaux | Les traces des appels, qui peuvent contenir des données | Chez Google Cloud, les journaux vont par défaut en zone mondiale ; la CNIL rappelle que certains transferts sont à la main du client, comme l'envoi de journaux | | Les données « système » | Compte, métadonnées, usage, facturation | La résidence européenne d'OpenAI ne s'applique pas aux données système | **SecNumCloud** est la qualification de l'ANSSI pour les services en nuage. Elle vise à protéger les données sensibles contre les menaces et contre l'application de lois extraterritoriales, notamment en gardant minoritaire le capital détenu hors de l'Union. Une offre hébergée sur une infrastructure qualifiée n'est pas qualifiée elle-même. Le catalogue de l'ANSSI, mis à jour chaque mois, fait foi. ## Exemple détaillé Sept hébergeurs d'une application Python, relevés le 7 octobre 2026 : le siège, la région en France, la qualification SecNumCloud d'après le catalogue de l'ANSSI du 15 septembre 2026, et ce qu'il faut savoir. Un avantage À savoir | Outil et offre | Siège | Région en France | Pour démarrer | SecNumCloud | À savoir | |---|---|---|---|---|---| | Clever Cloud application Python, déployée par git | Un avantage : Nantes, France | Un avantage : Paris par défaut (zone par) | Instance pico : 0,00625 € de l'heure ; crédits offerts à l'inscription, sans carte | À savoir : Non qualifié ; l'éditeur dit s'y engager | À savoir : Pas de gestionnaire de secrets dédié trouvé : les variables d'environnement en tiennent lieu | | Scaleway conteneurs sans serveur | Un avantage : Paris, France | Un avantage : Paris (fr-par) par défaut | Gratuit sous 200 000 vCPU-secondes et 400 000 Go-secondes par mois ; puis 0,00001 € la vCPU-seconde, hors taxe | À savoir : En cours de qualification | À savoir : Un conteneur est public par défaut ; ses secrets ne sont pas ceux du gestionnaire de secrets | | OVHcloud AI Deploy, à partir d'une image Docker | Un avantage : Roubaix, France | Un avantage : Gravelines (GRA) | 0,033 € de l'heure hors taxe pour 1 vCPU, facturé à la minute | À savoir : Qualifiés : des offres d'infrastructure (IaaS), pas AI Deploy | À savoir : Web PaaS, l'ancienne offre de déploiement simple, est fermé depuis le 31 janvier 2025 | | Scalingo application Python, déployée par git | Un avantage : Strasbourg, France | Un avantage : Paris, sur Outscale ; une région SecNumCloud sur demande | Conteneur S : 7,20 € hors taxe pour 30 jours | À savoir : La plateforme n'est pas qualifiée ; l'infrastructure Outscale l'est, jusqu'au 30 novembre 2026 | Garde les journaux un an | | Microsoft Azure App Service | À savoir : Redmond, États-Unis | Un avantage : Paris (francecentral) | Plan F1 gratuit ; B1 Linux : 0,0158 € de l'heure | À savoir : Non qualifié ; « Cloud de Confiance Bleu », de Bleu SAS, en cours de qualification | À savoir : Devant le Sénat, en juin 2025, Microsoft France n'a pas pu garantir que des données ne seraient jamais transmises aux autorités américaines | | Google Cloud Cloud Run | À savoir : Mountain View, États-Unis | Un avantage : Paris (europe-west9) | Gratuit sous 180 000 vCPU-secondes et 2 millions de requêtes par mois ; prix publiés en dollars | À savoir : Non qualifié ; « S3NS », offre de Thales, qualifiée jusqu'au 17 décembre 2028 | À savoir : Par défaut, les secrets sont répliqués dans le monde et les journaux rangés en zone mondiale | | AWS ECS Express Mode | À savoir : Seattle, États-Unis ; contrat EMEA au Luxembourg | Un avantage : Paris (eu-west-3) | Fargate : 0,0486 $ par vCPU-heure, plus le répartiteur de charge | À savoir : Non qualifié | À savoir : App Runner, le service simple, est fermé aux nouveaux clients depuis le 30 avril 2026 | ## Risques | La confusion | Ce qu'il faut savoir | |---|---| | « Hébergé en France, donc sous droit français » | Le droit dépend aussi de la société qui opère, et de sa maison mère | | « Notre fournisseur est européen » | Il peut lui-même recourir à des prestataires hors de l'Union | | « Le service tourne sur une infrastructure qualifiée » | Cela ne qualifie pas le service lui-même | | « Les engagements du fournisseur suffisent » | Les promesses d'immunité ou de juridiction européenne sont des déclarations commerciales ; la qualification, elle, se lit au catalogue de l'ANSSI | | « L'offre souveraine d'un grand fournisseur » | AWS a ouvert en janvier 2026 une région européenne séparée, opérée par des résidents de l'Union ; c'est une offre distincte de ses régions habituelles | ## Mise en place 1. **Classer les données** : celles qui n'exigent rien de particulier, celles qui doivent rester en Europe (un contrat, un client, la loi), celles qui relèvent d'un régime à part, comme les données de santé. 2. **Poser cinq questions à chaque fournisseur** : où sont les données au repos ; où se fait le calcul ; quels sont ses sous-traitants ; quelle société, et quelle maison mère, détient le service ; quelle certification ou qualification, lue à la source. 3. **Régler chaque maillon** : la région de l'hébergement, le point d'accès européen du modèle quand il existe, la réplication des secrets, la région des journaux : [le déploiement en région européenne](https://meridal.fr/apprendre/deploiement-en-europe/) le fait chez sept hébergeurs. 4. **Réserver SecNumCloud** aux cas qui l'exigent : données sensibles, marché public qui la demande, secteur réglementé. 5. **Écrire le résultat** dans le registre des traitements : [le RGPD et l'IA](https://meridal.fr/apprendre/rgpd-et-ia/). Réalisation · cabinet de cession d'une trentaine de personnes, 2026 Faire tourner les automatismes sans aucun poste, chiffré à l'euro Deux hébergements comparés sur les tarifs publics relevés le jour même, la cause des pannes reproduite, la bascule chiffrée tâche par tâche. La première version recommandait une machine Windows ; le chiffrage complet a inversé la recommandation, et la seconde version le dit. Pour la cible retenue, par an : 760 € d'écart avec l'autre hébergement Source : rapport exécutif, migration sans poste, version 2, 3 septembre 2026. Limite : la dépense en ligne réelle n'a pas pu être relevée, faute d'accès. [Lire la réalisation](https://meridal.fr/realisations/hebergement-chiffre/) ## Exercice Une PME a Microsoft 365, une petite application chez Clever Cloud, à Paris, qui appelle l'API de Claude, et ses journaux partent dans un outil de suivi américain. Quels maillons sortent d'Europe ? **Ouvrir la correction** **L'appel au modèle**L'API de Claude n'offre que « global » ou « us » : le calcul peut se faire hors d'Europe. Pour l'éviter, passer par une région européenne d'un grand nuage qui propose Claude, ou par un autre modèle avec un point d'accès européen. **Les journaux**Envoyés à un outil américain, ils sortent d'Europe avec ce qu'ils contiennent : c'est un transfert à la main de l'entreprise. **L'hébergement**Clever Cloud, société française, à Paris : il reste en Europe. Pour Microsoft 365, il faut regarder les réglages de Copilot, dont le routage flexible : [Microsoft 365 Copilot : mise en place](https://meridal.fr/apprendre/microsoft-365-copilot/). Exemple fabriqué. ## Vérification **1 Comprendre Un fournisseur héberge vos données à Paris. Sont-elles à l'abri des lois d'un autre pays ?** Pas forcément : si sa société mère relève du droit américain, une demande légale des autorités américaines reste possible. Le lieu ne dit pas le droit. **2 Appliquer Que demander à un fournisseur d'IA pour savoir ce qui sort d'Europe ?** Où sont les données au repos, où se fait le calcul, quels sont ses sous-traitants, qui détient le service, et quelle qualification, vérifiée à la source. **3 Comprendre Une application tourne chez un hébergeur qualifié SecNumCloud. L'application est-elle qualifiée ?** Non : une offre posée sur une infrastructure qualifiée n'est pas qualifiée elle-même, dit l'ANSSI. ## Lectures suivantes ↑ Plus général [Données confiées à une IA Comprendre · Niveau 1 · 8 minutes](https://meridal.fr/apprendre/donnees-confiees-a-une-ia/) ← Avant [Le RGPD et l'IA Comprendre · Niveau 2 · 12 minutes](https://meridal.fr/apprendre/rgpd-et-ia/) Vous êtes ici Hébergement en Europe → Ensuite [Le calendrier réglementaire Retenir · Niveau 1 · 5 minutes](https://meridal.fr/apprendre/calendrier-reglementaire/) Les règles et les risques · étape 7 sur 7 ↓ Plus concret [Une étude d'hébergement chiffrée Réalisation](https://meridal.fr/realisations/hebergement-chiffre/) [Tout le dossier « Données, sécurité, confiance »](https://meridal.fr/apprendre/dossier/confiance/) Les pages qui renvoient ici - [Fraudes assistées par l'IA](https://meridal.fr/apprendre/fraudes-et-ia/) - [Déploiement en région européenne](https://meridal.fr/apprendre/deploiement-en-europe/) - [Modèles sur un cloud européen](https://meridal.fr/apprendre/modeles-sur-un-cloud-europeen/) **Limites et sources** Cette page n'est pas un conseil juridique : un transfert de données personnelles s'analyse avec votre délégué à la protection des données ou votre conseil. Les qualifications SecNumCloud se lisent au catalogue de l'ANSSI, mis à jour chaque mois ; la synthèse cite celui du 15 septembre 2026. 1. CNIL : [transférer des données hors de l'UE](https://www.cnil.fr/fr/les-outils-de-la-conformite/transferer-des-donnees-hors-de-lue) ; ANSSI : [FAQ SecNumCloud](https://cyber.gouv.fr/enjeux-technologiques/cloud/faq-qualification-secnumcloud/) ; Sénat : [audition de juin 2025](https://www.senat.fr/compte-rendu-commissions/20250609/ce_commande_publique.html). 2. La synthèse des hébergeurs : `apprendre/donnees/hebergeurs.json` ; le relevé complet : `apprendre/recherches/2026-10-07-deploiement-europe.json`. Écrit par Meridal, avec l'aide de l'IA ; chaque fait vérifié à sa source et relu avant publication. Texte et schémas sous licence [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr) : reprenez-les en citant Meridal. Le code sous licence MIT. Service correspondant Choisir un outil ou un abonnement 275 € à 850 € [Voir le service](https://meridal.fr/offre/#choisir) ## Un premier échange de 30 minutes En visio et sans frais : vous décrivez votre situation, nous vous indiquons ce qui est réalisable, avec quels outils et pour quel ordre de prix. Vous pouvez aussi nous écrire ; chaque message reçoit une réponse écrite. [Réserver 30 minutes](https://meridal.fr/contact/#reserver) [Écrire un message](https://meridal.fr/contact/)