Mis à jour : février 2026 · ~14 min de lecture
Depuis juillet 2023, le cadre de protection des données UE-États-Unis (Data Privacy Framework ou DPF) autorise à nouveau le transfert de données personnelles vers les organisations américaines certifiées. Le soulagement a été palpable chez les entreprises européennes qui dépendent d’outils IA hébergés aux États-Unis : OpenAI, Microsoft Azure, Google Cloud, AWS.
Mais cette accalmie est trompeuse. Le DPF a survécu à un premier recours devant le Tribunal de l’UE en septembre 2025, puis l’affaire est montée en appel devant la CJUE en octobre 2025. En parallèle, l’administration Trump a fragilisé plusieurs piliers du dispositif en démantelant le Privacy and Civil Liberties Oversight Board (PCLOB). Et le CLOUD Act continue de planer comme une épée de Damoclès sur toute donnée confiée à un fournisseur américain.
Alors, concrètement : une entreprise française peut-elle stocker les données de ses clients sur des services d’IA américains en toute légalité ? La réponse est oui, mais sous conditions strictes — et avec un plan B dans le tiroir.
La saga en trois naufrages
L’histoire des transferts de données UE-USA est une saga de cadres juridiques successivement invalidés par la Cour de justice de l’Union européenne (CJUE). Le problème de fond n’a jamais changé : les lois américaines de surveillance (FISA Section 702, Executive Order 12.333) permettent aux agences de renseignement d’accéder massivement aux données des citoyens étrangers, ce qui entre en conflit direct avec le niveau de protection exigé par le RGPD.
Le DPF repose sur l’Executive Order 14086 signé par Joe Biden en octobre 2022, qui introduit deux innovations majeures : des principes de proportionnalité et de nécessité pour la surveillance américaine, et la création d’une Data Protection Review Court (DPRC) permettant aux citoyens européens de contester l’utilisation de leurs données par les services de renseignement.
Un mécanisme conditionnel, pas un blanc-seing
Le DPF n’autorise pas n’importe quel transfert vers n’importe quelle entreprise américaine. C’est un mécanisme fondé sur l’autocertification auprès du Department of Commerce. Seuls les transferts vers des entités figurant sur la liste officielle des organisations certifiées sont couverts par la décision d’adéquation. En 2025, on y comptait plus de 2 800 entreprises certifiées — parmi lesquelles les principaux fournisseurs d’IA et de cloud : Microsoft, Google, Amazon, OpenAI, Meta, Salesforce, HubSpot ou encore Stripe.
dataprivacyframework.gov/list ?
Les entreprises certifiées s’engagent à respecter des principes similaires au RGPD : limitation de finalité, minimisation, droit d’accès, droit de rectification et de suppression, obligation d’assurer la continuité de la protection en cas de transfert ultérieur à un tiers.
Le DPF résiste à son premier assaut
Le 3 septembre 2025, le Tribunal de l’Union européenne a rendu un arrêt décisif dans l’affaire T-553/23 (Latombe c. Commission), rejetant le recours en annulation introduit par Philippe Latombe, député français et membre de la CNIL.
Latombe soulevait deux griefs principaux. Le Tribunal les a rejetés tous les deux — mais avec une lecture juridique qui ne fait pas l’unanimité.
Le Tribunal s’est largement inspiré de la jurisprudence Big Brother Watch c. Royaume-Uni de la CEDH, plutôt que de la jurisprudence plus exigeante de la CJUE (La Quadrature du Net). Un choix qui ne manquera pas d’être scruté en appel.
La vraie bataille se joue en appel
Philippe Latombe a formé un pourvoi devant la Cour de justice de l’Union européenne le 31 octobre 2025. Cette procédure est potentiellement déterminante.
La CJUE est historiquement bien plus exigeante que le Tribunal sur les questions de surveillance et de droits fondamentaux. C’est elle qui a invalidé le Safe Harbor et le Privacy Shield dans les arrêts Schrems I et Schrems II. Elle pourrait considérer que le Tribunal s’est écarté de sa propre jurisprudence en adoptant un standard moins protecteur.
L’association noyb pourrait également déposer un recours séparé. Une décision de la CJUE n’est pas attendue avant 2027 au plus tôt. En attendant, le DPF reste pleinement valide et utilisable. Mais les entreprises prudentes doivent anticiper un éventuel « Schrems III ».
Washington fragilise ses propres garanties
Sans attendre les tribunaux, l’administration Trump a posé deux actes qui fragilisent les piliers du DPF.
Le 27 janvier 2025, l’administration a licencié les trois membres démocrates du Privacy and Civil Liberties Oversight Board. Avec un seul membre restant sur cinq, le PCLOB n’a plus le quorum de trois membres nécessaire pour prendre des décisions. Or, cet organisme joue un rôle clé dans la supervision du respect des principes du DPF par les agences de renseignement.
Le 18 février 2025, l’Executive Order 14215 impose à toutes les agences fédérales, y compris la Federal Trade Commission (FTC), de soumettre leurs actions réglementaires significatives à un contrôle présidentiel. La FTC étant l’organe chargé de faire respecter les principes du DPF, cette mesure soulève des questions sur son indépendance — condition essentielle posée par l’article 45(2)(b) du RGPD.
L’épée de Damoclès du CLOUD Act
Le DPF ne résout pas le problème posé par le CLOUD Act (2018). Cette loi fédérale permet aux autorités américaines de contraindre tout fournisseur de services soumis au droit américain à transmettre des données stockées sur ses serveurs, quelle que soit leur localisation géographique — y compris sur des serveurs situés en Europe.
Le conflit avec le RGPD est frontal. L’article 48 du RGPD stipule que les décisions de juridictions étrangères ne sont exécutoires dans l’UE qu’en vertu d’un accord international. Or le CLOUD Act n’est pas un accord international.
Ce que ça change pour votre IA
C’est la question qui préoccupe les entreprises françaises : peut-on utiliser ChatGPT, Copilot, Claude, Gemini ou d’autres IA américaines pour traiter des données personnelles ?
La réponse courte : oui, si le fournisseur est certifié DPF et que vous respectez les obligations du RGPD (base légale, information, contrat de sous-traitance conforme à l’article 28). Mais la réponse longue est plus nuancée.
Le CEPD reste prudent
En novembre 2024, le Comité européen de la protection des données (CEPD) a publié son premier rapport d’évaluation du DPF. Le CEPD salue les efforts déployés pour mettre en œuvre le DPF et le mécanisme de recours via la DPRC. Mais il identifie plusieurs préoccupations persistantes : l’absence de recours effectif en appel des décisions de la DPRC, les incertitudes autour du fonctionnement réel du PCLOB (avant même son démantèlement), et le manque de transparence sur le nombre de plaintes traitées par le mécanisme de recours.
La Commission européenne conserve l’obligation de surveiller l’évolution du cadre américain et peut révoquer la décision d’adéquation si les conditions ne sont plus remplies. Le prochain rapport d’évaluation est prévu pour 2027, année où la CJUE pourrait également se prononcer sur l’appel Latombe.
Huit réflexes de survie
Face à l’incertitude juridique résiduelle, voici les mesures à adopter dès maintenant.
Si le château de cartes s’effondre
L’hypothèse d’un « Schrems III » n’est pas fantaisiste. Si la CJUE invalide le DPF, les conséquences seraient immédiates : tous les transferts fondés exclusivement sur le DPF deviendraient illicites immédiatement. Les entreprises devraient basculer sur des clauses contractuelles types (CCT/SCC) — accompagnées d’analyses d’impact de transfert (TIA) et de mesures supplémentaires. Le coût de mise en conformité serait considérable, surtout pour les PME et les startups.
C’est pourquoi la recommandation unanime des experts est de ne jamais dépendre exclusivement du DPF. Prévoir un mécanisme alternatif (SCCs + TIA) pour chaque transfert reste la stratégie la plus prudente.
Le pari du cloud de confiance
Face aux limites structurelles du DPF et du CLOUD Act, la France développe une approche de cloud de confiance qui tente de concilier l’utilisation des technologies américaines avec la souveraineté des données.
Plusieurs initiatives sont en cours : Bleu (joint-venture Microsoft / Orange / Capgemini), S3NS (Thales / Google) et le programme SecNumCloud de l’ANSSI. L’objectif : héberger les données sur des infrastructures juridiquement françaises, opérées par des entités de droit français, tout en bénéficiant des technologies des hyperscalers américains.
Pour l’IA spécifiquement, Mistral AI propose des modèles déployables sur des infrastructures européennes, et l’initiative Mistral Compute se positionne comme une alternative souveraine.