Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) est une loi américaine adoptée en 2018 qui permet aux autorités des États-Unis d'exiger d'un fournisseur soumis au droit américain l'accès à des données qu'il contrôle, y compris lorsqu'elles sont stockées hors des États-Unis.
Le critère n'est donc pas l'endroit où se trouve le serveur, mais la nationalité ou le rattachement juridique de l'entreprise qui opère le service. Héberger ses données dans un datacenter situé en France chez un fournisseur américain ne suffit pas à les soustraire à cette loi. Le texte prévoit des voies de contestation et des accords bilatéraux entre États.
Le Cloud Act est au cœur du débat européen sur la souveraineté numérique. Il est souvent mis en regard du RGPD et a motivé l'ajout, dans le référentiel SecNumCloud, de critères d'immunité au droit extra-européen.
Pourquoi ça compte quand on recrute
Le sujet relève surtout des achats, du juridique et de la sécurité, mais il oriente des choix techniques qui ont un effet sur les recrutements. Une organisation qui quitte un hyperscaler pour un cloud souverain aura besoin d'ingénieurs à l'aise hors de l'écosystème AWS, Azure ou Google Cloud. Un RSSI ou un architecte qui sait expliquer le Cloud Act sans caricature montre une bonne compréhension des enjeux.