Référentiels de souveraineté

SecNumCloud, HDS, SEAL, CADA : ce que chaque référentiel prouve

Une qualification, une certification et un niveau d’assurance répondent à des questions différentes. Cette page les explique, puis montre comment Recapro (recapro.ai), logiciel de compte rendu de réunion par IA, répond aux sept questions à poser à tout fournisseur.

Les sept questions Les référentiels

Une certification atteste un niveau de sécurité. La souveraineté se juge aussi sur le droit qui s’applique au fournisseur et sur la question de savoir qui peut couper le service. Héberger des données en Europe ne suffit donc pas lorsque le fournisseur, son fournisseur d’identité ou son modèle d’IA relèvent d’un droit étranger.

Statuts vérifiés le 9 octobre 2026 sur les sources officielles citées dans la page.

Trois dimensions derrière un seul mot

Les grilles européennes évaluent la souveraineté sur trois axes. Localiser les données en Europe couvre au mieux le premier.

01

Juridique

Quel droit s’applique au fournisseur, et quel droit peut le contraindre ?

Un datacenter situé à Paris mais exploité par une société soumise au droit américain reste exposé au CLOUD Act.

02

Opérationnelle

Qui exploite le service, le met à jour, détient les clés et peut l’interrompre ?

Des équipes de support et des clés de chiffrement gérées hors de l’Union suffisent à déplacer le contrôle effectif.

03

Technologique

De quoi la pile est-elle faite, et peut-on l’auditer ou la remplacer ?

Matériel, logiciels, fournisseur d’identité, DNS et modèles d’IA pèsent autant que le lieu d’hébergement.

Pourquoi une région européenne ne protège pas du droit américain

Quatre mécanismes expliquent qu’un hébergement en Europe chez un fournisseur non européen laisse un risque juridique entier.

Le CLOUD Act (2018)

Cette loi américaine permet aux autorités des États-Unis d’exiger d’un fournisseur soumis à leur droit les données qu’il contrôle, quel que soit le pays où elles sont stockées, région européenne comprise.

Source : Clarifying Lawful Overseas Use of Data Act, H.R.4943 (2018)

La surveillance FISA 702

Ce programme de surveillance américain a conduit la Cour de justice de l’Union européenne à invalider le Privacy Shield par l’arrêt Schrems II, le 16 juillet 2020.

Source : CJUE, affaire C-311/18 (Schrems II)

Le risque de coupure

Une sanction ou un embargo peut contraindre un fournisseur non européen à suspendre un service. Après les sanctions américaines de février 2025 visant le procureur de la Cour pénale internationale, l’accès de celui-ci à sa messagerie a été coupé, ce que l’éditeur conteste avoir décidé. L’affaire a fait l’objet d’une question écrite au Parlement européen.

Source : Parlement européen, question écrite P-10-2025-002270

Les dépendances invisibles

Fournisseur d’identité, DNS, CDN, e-mail transactionnel et modèles d’IA restent souvent américains par défaut. Un service hébergé en Europe dont l’inférence passe par un modèle opéré sous droit américain retombe au niveau de ce maillon.

Notre décryptage sur la souveraineté de l’inférence IA

Les référentiels, et ce qu’ils couvrent

Une qualification suppose un audit par un tiers, une certification porte sur un périmètre précis, et un règlement s’impose à ceux qu’il vise.

Les référentiels, et ce qu’ils couvrent
Référentiel	Porteur	Nature	Statut	Ce qu’il couvre
SecNumCloud 3.2	ANSSI (France)	Qualification après audit par un tiers	En vigueur	Sécurité et immunité aux lois extra-européennes, avec siège et droit européens et un capital non européen plafonné à 24 %.
HDS v2	Ministère de la Santé, Agence du numérique en santé	Certification	En vigueur depuis l’arrêté du 26 avril 2024 ; les certifiés v1 avaient jusqu’au 16 mai 2026 pour basculer	Hébergement de données de santé, avec stockage obligatoire dans l’Espace économique européen.
ISO/IEC 27001:2022	ISO	Certification du système de management de la sécurité	En vigueur	Organisation de la sécurité de l’information. La norme ne traite pas du droit applicable au fournisseur.
EUCS	ENISA (Union européenne)	Schéma de certification cyber	Non adopté ; critères de souveraineté retirés du projet en mars 2024	Trois niveaux d’assurance : basic, substantial, high.
Cloud Sovereignty Framework	Commission européenne	Grille d’évaluation pour les marchés publics	Publié le 20 octobre 2025 (version 1.2.1)	Score de souveraineté de 0 à 100 et niveaux SEAL-0 à SEAL-4, sur huit objectifs pondérés.
CADA	Commission européenne	Proposition de règlement	Proposé le 3 juin 2026, procédure législative en cours	Quatre niveaux d’assurance opposables au secteur public et aux entités de l’Union.
RGPD	Union européenne	Règlement 2016/679	Applicable depuis le 25 mai 2018	Transferts hors Union, sous-traitants, durées de conservation des données personnelles.
Data Act	Union européenne	Règlement 2023/2854	Applicable depuis le 12 septembre 2025 ; frais de changement de fournisseur interdits à partir du 12 janvier 2027	Portabilité des données et changement de fournisseur cloud.
DORA	Union européenne	Règlement 2022/2554	Applicable depuis le 17 janvier 2025	Résilience numérique du secteur financier, dont la gestion des prestataires informatiques et cloud.
NIS2	Union européenne	Directive 2022/2555	Transposition due par les États membres au 17 octobre 2024	Gestion des risques et de la chaîne d’approvisionnement des entités essentielles et importantes.

Lecture : la France dispose d’un référentiel exigeant mais national, SecNumCloud. L’Europe, après six ans de blocage sur EUCS, a changé de méthode en 2025 et 2026, avec une grille de score (le Cloud Sovereignty Framework) puis un projet de règlement (CADA).

Les niveaux SEAL du Cloud Sovereignty Framework

La Commission évalue huit objectifs pondérés, de la stratégie (15 %) à la chaîne d’approvisionnement (20 %), puis classe chaque offre sur cinq niveaux.

SEAL-0 Aucune souveraineté. Le contrôle est exclusivement non européen et gouverné hors de la juridiction de l’Union.
SEAL-1 Souveraineté juridictionnelle. Le droit européen s’applique formellement, mais le contrôle reste non européen.
SEAL-2 Souveraineté des données. Le droit européen s’applique et il est opposable ; des dépendances non européennes significatives subsistent.
SEAL-3 Résilience numérique. Les acteurs européens exercent une influence significative, le contrôle non européen reste marginal et l’offre résiste aux perturbations de la chaîne d’approvisionnement venues de pays tiers.
SEAL-4 Souveraineté numérique complète. Contrôle européen complet, sous le seul droit de l’Union, sans dépendance critique non européenne, jusqu’aux puces.

Un acheteur public attribue le niveau SEAL dans une procédure de marché, objectif par objectif. Aucun fournisseur ne peut donc se déclarer SEAL-3 de lui-même. Le premier marché attribué sur cette base, le marché « Sovereign Cloud » de la Commission, date du 17 avril 2026. Il porte sur jusqu’à 180 millions d’euros sur six ans, avec SEAL-2 comme seuil minimal.

Source : Commission européenne, communiqué du 17 avril 2026

Sept questions à poser à tout fournisseur

Elles recouvrent les objectifs SOV-1 à SOV-7 du Cloud Sovereignty Framework et valent pour un cloud, un fournisseur d’identité, un SaaS critique ou un outil d’IA. Voici les réponses de Recapro.

01
Qui détient le capital et le contrôle ?

Recapro est édité par NOBULLSHIT CONSEIL, société française immatriculée en Vendée (SIREN 989 598 727) et soumise au droit français.
Mentions légales
02
Où sont les données, et où sont les opérations ?

Scaleway, à Paris, héberge la base de données, l’authentification, le stockage des fichiers et les API. France-Nuage, en Vendée, assure l’hébergement et la supervision de la flotte. La transcription et le résumé tournent sur nos propres serveurs en France.
Hébergement et architecture
03
Qui détient les clés ?

Les données de service et leurs sauvegardes sont chiffrées au repos sur l’infrastructure Scaleway à Paris, et TLS protège chaque liaison. En offre Cloud, Cloudflare, société américaine, termine ce TLS en bordure de réseau, y compris pour le trafic d’inférence, si bien que le contenu y passe déchiffré en transit. Les jetons d’accès à votre agenda reçoivent en plus un chiffrement applicatif AES-256-GCM. En Forteresse On-Premise, vos réunions restent dans vos locaux.
Chiffrement et protections
04
Quelles dépendances cachées ?

Les grilles européennes pointent le modèle d’IA sous l’objectif SOV-3. Chez Recapro, la transcription et le résumé reposent sur des modèles open-weights exécutés sur nos propres serveurs, sans LLM tiers à l’inférence. Une dépendance reste dans le chemin du contenu, puisqu’en offre Cloud Cloudflare termine le TLS du trafic d’inférence. Nos autres prestataires, américains compris, sont listés avec leur rôle sur la page Sécurité.
Souveraineté et inférence IA
05
Quelle réversibilité ?

Sur simple demande à [email protected], vous recevez l’export complet de vos réunions, transcriptions et comptes rendus. Vous n’avez ni à justifier votre départ, ni à négocier quoi que ce soit.
Nos engagements
06
Quel niveau déclaré, et avec quelles preuves ?

Recapro ne détient aucune certification en propre, qu’il s’agisse d’ISO/IEC 27001, de HDS ou d’une qualification SecNumCloud, et n’a aucun niveau SEAL. Nous publions à la place nos hébergeurs, notre architecture et nos engagements, vérifiables sur la page Sécurité.
Ce que nous publions
07
Quel plan si le fournisseur disparaît ?

L’export complet reste disponible sur demande. En déploiement air-gap, le serveur Forteresse fonctionne dans votre réseau, sans connexion à nos services, avec les modèles installés chez vous.
Le déploiement air-gap

Où en est Recapro, au 9 octobre 2026

Ce que nous détenons, ce que nous ne détenons pas, et ce que portent nos hébergeurs sur leur propre périmètre.

SecNumCloud: Aucune qualification et aucune démarche en cours. Scaleway, l’un de nos hébergeurs, figure parmi les prestataires en cours de qualification ; la qualification n’était pas délivrée au 9 octobre 2026.
HDS: Recapro est HDS-ready, sans certification HDS revendiquée. Scaleway est certifié HDS sur son propre périmètre, ce qui ne couvre pas l’application Recapro.
ISO/IEC 27001: Aucune certification en propre. Scaleway revendique ISO/IEC 27001 sur son infrastructure.
Niveau SEAL: Aucun. Recapro n’a jamais été évalué dans un marché public utilisant le Cloud Sovereignty Framework, et un niveau SEAL ne s’attribue pas soi-même.
Inférence IA: Modèles open-weights exécutés sur nos propres serveurs en France, sans LLM tiers à l’inférence.

Liste ANSSI des prestataires en cours de qualification SecNumCloud (consultée le 9 octobre 2026)

Questions fréquentes

01

Qu’est-ce que SecNumCloud ?

SecNumCloud est la qualification délivrée par l’ANSSI aux offres cloud. Elle combine un audit de sécurité approfondi mené par un tiers et des critères d’immunité aux lois extra-européennes, à savoir un siège dans l’Union, le droit européen applicable et un capital non européen plafonné à 24 %. Elle vaut trois ans, avec des audits de surveillance annuels.

02

Qu’est-ce qu’un niveau SEAL ?

Un niveau SEAL (Sovereignty Effectiveness Assurance Level) mesure, de SEAL-0 à SEAL-4, la souveraineté effective d’une offre cloud selon le Cloud Sovereignty Framework publié par la Commission européenne le 20 octobre 2025. Un acheteur public l’attribue objectif par objectif lors d’un marché, et aucun fournisseur ne peut se l’attribuer lui-même.

03

Recapro est-il qualifié SecNumCloud, certifié HDS ou ISO 27001 ?

Non. Recapro ne détient ni qualification SecNumCloud, ni certification HDS, ni certification ISO/IEC 27001, et n’a pas de niveau SEAL. Recapro est HDS-ready, sans certification revendiquée. Nous publions à la place nos hébergeurs, notre architecture et nos engagements sur la page Sécurité.

04

Un hébergement en Europe protège-t-il du CLOUD Act ?

Pas à lui seul. Le CLOUD Act vise le fournisseur soumis au droit américain, quel que soit le lieu de stockage des données, si bien qu’une région européenne chez un hyperscaler américain reste exposée. La protection vient d’un fournisseur et d’une chaîne de prestataires relevant du droit européen, modèle d’IA compris.

05

Qu’est-ce que CADA ?

Le Cloud and AI Development Act (CADA) est une proposition de règlement présentée par la Commission européenne le 3 juin 2026. Il transpose la logique des niveaux SEAL en quatre niveaux d’assurance, de « base » à « maximal », opposables au secteur public et aux entités de l’Union. La procédure législative est en cours et rien n’est encore imposé au secteur privé.

06

Qu’est-ce que le sovereignty washing ?

Le sovereignty washing consiste à présenter une offre comme souveraine sur la foi d’un hébergement européen ou d’un logo, alors que le fournisseur, ses opérations ou ses dépendances relèvent d’un droit étranger. Pour le déjouer, demandez les rapports d’audit, la répartition du capital, la liste des sous-traitants et l’origine du modèle d’IA.

07

Quelle différence entre SecNumCloud et HDS ?

SecNumCloud qualifie la sécurité et l’immunité extraterritoriale d’une offre cloud, sous l’autorité de l’ANSSI. HDS certifie un hébergeur de données de santé ; sa version 2, issue de l’arrêté du 26 avril 2024, impose le stockage dans l’Espace économique européen. Une offre peut détenir l’une sans l’autre.

08

Le Data Act change-t-il quelque chose pour la réversibilité ?

Oui. Applicable depuis le 12 septembre 2025, le Data Act encadre le changement de fournisseur cloud et interdit les frais de changement à partir du 12 janvier 2027. Chez Recapro, l’export complet de vos réunions, transcriptions et comptes rendus est déjà disponible sur simple demande.

09

Pourquoi le modèle d’IA compte-t-il dans la souveraineté ?

Pendant l’inférence, le modèle lit vos données en clair. Si ce modèle est opéré par un acteur soumis au droit américain, le service retombe au niveau de ce maillon, même hébergé en France. Recapro exécute des modèles open-weights sur ses propres serveurs, sans LLM tiers à l’inférence.

Aller plus loin sur la souveraineté

Les référentiels posent les questions. L’architecture de déploiement y répond.