Loi européenne sur les données : obligations de bascule pour les portefeuilles cloud

Le 12 septembre 2025 marque le début des obligations centrales du Data Act de l’UE : les fournisseurs de services cloud et edge doivent garantir contractuellement et opérationnellement la portabilité et l’interopérabilité. Pour les DSI et CDO en DACH, la question de la sortie des contrats évolue, passant d’un sujet de marge de négociation à un enjeu de conformité au cœur du portefeuille des prestataires.

Articles associésVous financez les R&D de vos futurs concurrents  /  Modèle modulaire plutôt que mariage de modèles : qui contrôle la chaîne de l’IA ?

Le chapitre VI fait de la portabilité une norme minimale

Le règlement (UE) 2023/2854, publié au Journal officiel le 22 décembre 2023, s’adresse aux fournisseurs de services cloud et edge via son chapitre VI. Selon les informations de la Commission européenne sur digital-strategy.ec.europa.eu (au 15 décembre 2025), ce chapitre impose des normes minimales en matière d’interopérabilité et de portabilité entre les services de traitement des données. Ce texte constitue ainsi un cadre contraignant pour la sortie des contrats, la portabilité des données et le changement de prestataire, et non une simple pratique recommandée.

Qu’entend-on par portabilité selon le Data Act ? La portabilité désigne le passage d’un service de traitement des données à un autre ou le retour vers son propre centre de données. Le Data Act oblige les prestataires à permettre ce changement sur le plan contractuel et à le soutenir techniquement. Les frais associés seront progressivement supprimés.

La notion de service est déterminante pour la gestion d’un portefeuille de prestataires. Selon l’analyse d’Alston & Bird LLP (16 septembre 2025), le champ d’application des services de traitement des données est délibérément large et couvre l’Infrastructure as a Service (IaaS), la Platform as a Service (PaaS) et le Software as a Service (SaaS). Selon les considérants, des services comme le Storage-as-a-Service ou le Database-as-a-Service peuvent également relever de cette définition légale, sous réserve de remplir les conditions requises. Ces règles visent donc un large éventail de services de traitement des données, et pas uniquement les grands hyperscalers.

Les règles de portabilité s’appliquent de manière extraterritoriale. Les prestataires établis en dehors de l’UE sont concernés par Alston & Bird dès lors qu’ils servent des clients dans l’UE. Pour les organisations en DACH, cela signifie que même les contrats mondiaux et les fournisseurs américains ou asiatiques doivent être intégrés dans le processus de conformité dès lors que la prestation est assurée côté européen.

Les contrats doivent régir la sortie, les délais et l’accès aux données

Le chapitre VI s’immisce profondément dans la rédaction des contrats. Après avoir reproduit le règlement sur eu-data-act.com (art. 25, al. 2), le contrat doit prévoir un droit de résiliation : le préavis ou délai de préavis ne peut excéder deux mois, suivi d’une période de transition maximale de 30 jours calendaires. Pendant cette phase, le fournisseur est tenu d’assurer un accompagnement technique et organisationnel du changement.

Si la période de transition de 30 jours n’est pas techniquement réalisable, une exception strictement encadrée s’applique. Le fournisseur doit, selon l’art. 25, al. 4, justifier sa demande dans un délai de 14 jours ouvrés et ne peut fixer une période de transition alternative dépassant sept mois. La continuité du service reste garantie pendant cette période. Cette disposition est pertinente pour les DSI, car les migrations complexes prennent souvent plus de temps, mais l’exception doit être justifiée et plafonnée dans le temps.

Le contrat doit également couvrir d’autres éléments de sortie : l’accompagnement à la sortie, des listes exhaustives des données et actifs numériques portables, un accès aux données d’au moins 30 jours calendaires après la phase de transition ainsi que la suppression complète après l’expiration de ce délai (art. 25, al. 2, lit. b, e, g, h). Sans ces clauses, l’architecture de sortie requise par la loi fait défaut, indépendamment de la qualité de la feuille de route technique en interne.

Équivalence fonctionnelle, données exportables et multi-cloud

L’équivalence fonctionnelle est conçue dans le Data Act comme une obligation IaaS pour le fournisseur source : avec une base de fonctionnalités commune, des résultats comparables doivent être atteignables pour une même entrée (art. 30, al. 1, 2, 5 selon eu-data-act.com). Pour les PaaS et SaaS, d’autres obligations de portabilité et d’interopérabilité s’appliquent ; la mesurabilité précise de l’équivalence fonctionnelle reste peu précisée par la jurisprudence en pratique et devrait être traitée comme un axe prioritaire IaaS dans votre portefeuille.

Les données exportables incluent, selon McCann FitzGerald LLP (17 septembre 2025), les données d’entrée et de sortie ainsi que les métadonnées issues de l’utilisation par le client. Sont notamment exclus les actifs protégés par la propriété intellectuelle et les secrets commerciaux du fournisseur, ainsi que les données d’intégrité critiques pour la sécurité du service. La limite de portabilité suit donc les données exportables et les actifs numériques du client, et non une reproduction intégrale de la plateforme du fournisseur.

Le changement de fournisseur ne se limite pas à une migration complète. Selon Alston & Bird, le régime couvre également le multi-cloud, l’exploitation en parallèle et les migrations on-premises. Pour les responsables digitaux, cela recentre l’attention : la capacité de sortie devient une option de portefeuille à côté des configurations dual-vendor et des déconnexions progressives, et non plus seulement un plan d’urgence en cas de sortie totale.

Les frais de changement de fournisseur disparaissent en 2027, mais le verrouillage contractuel persiste

Sur le plan économique, le Data Act distingue clairement les frais de changement de fournisseur des autres coûts. Les frais de changement, y compris les coûts de transfert de données (data egress) pour la migration, seront totalement supprimés à compter du 12 janvier 2027, conformément à l’art. 29. Jusqu’à cette date, seuls des frais couvrant les coûts réels sont autorisés. Ceux qui changent de fournisseur avant 2027 devront donc encore composer avec des coûts de sortie basés sur les dépenses ; à partir de cette date, ce levier économique disparaîtra pour le fournisseur.

Les pénalités de résiliation anticipée et les frais de service réguliers restent autorisés. Ils doivent être distingués des frais de changement. Le verrouillage économique via les durées de contrat et les investissements préalables n’est donc pas aboli. Les comités de direction devraient analyser les décisions budgétaires et d’approvisionnement en parallèle : des frais de sortie moins élevés ne remplacent pas une évaluation des durées minimales de contrat, des paiements anticipés et des risques d’amortissement.

La Commission européenne a publié des conditions contractuelles types non contraignantes, ou clauses contractuelles standard pour les contrats cloud, notamment sur le changement de fournisseur et la sortie. Maples Group fait état (17 avril 2026) d’un projet en date du 19 novembre 2025. Ces clauses servent de référence et d’ancrage pour les négociations ; elles ne créent pas de droit automatique. Elles peuvent accélérer la rédaction des contrats, mais ne remplacent ni l’examen du modèle de service concret ni la prise en compte des délais légaux dans votre contrat-cadre.

Contrôle, sanctions et tensions du monde réel

Pour les infractions aux règles de commutation, c’est l’État membre concerné qui fixe les sanctions. Le règlement exige des mesures efficaces, proportionnées et dissuasives, mais, selon Alston & Bird, ne définit pas de montants unifiés de sanctions financières au niveau de l’UE pour le chapitre VI. Dans le cadre des discussions allemandes sur la transposition, un projet de texte désigne l’Agence fédérale des réseaux (Bundesnetzagentur) comme autorité compétente ; des amendes pouvant aller jusqu’à 4 % du chiffre d’affaires mondial annuel ou 5 millions d’euros sont évoquées (Latham & Watkins LLP, 19 août 2025, version du projet au moment de la publication).

Des limites pratiques subsistent. Latham & Watkins souligne que les délais stricts et les obligations de portabilité entrent en tension avec les architectures multi-systèmes réelles. Les effets pro-concurrentiels ne sont donc pas garantis : des droits sur le papier peuvent buter sur des dettes d’intégration, des modèles de données et des dépendances entre services. Pour la direction, cela implique un mandat de pilotage : la conformité contractuelle, la préparation technique à une sortie et la stratégie d’approvisionnement doivent être gérées de manière coordonnée.

Les sources examinées laissent notamment en suspens la question de l’application du chapitre VI aux contrats conclus avant le 12 septembre 2025 ; Greenberg Traurig a souligné ce point de controverse en septembre 2025. L’appréciation des produits SaaS ou AI-as-a-Service au regard de la définition légale relève également du cas par cas. Ces deux aspects doivent être intégrés à l’audit juridique et d’achat, mais ne peuvent être considérés comme des hypothèses globales pour l’ensemble du portefeuille.

Foire aux questions

Plus de contenus du réseau MBF Media

Source de l’image : Générée par IA (août 2026)