Le CLOUD Act : des faits plutôt que des peurs, et ce que change Azure External Key Management

Le Clarifying Lawful Overseas Use of Data Act des États-Unis, plus connu sous le nom de CLOUD Act, est souvent présenté comme une porte dérobée par laquelle les États-Unis pourraient lire les données européennes à leur guise. Cette image est fausse, et les décisions fondées sur elle le sont généralement aussi. Voici comment nous l’abordons, et ce qu’une nouvelle capacité d’Azure change.

Ce que le CLOUD Act est, et ce qu’il n’est pas

Le CLOUD Act n’est ni une loi d’espionnage ni un outil d’accès massif aux données. C’est un instrument de procédure pénale destiné à la collecte ciblée de preuves dans le cadre d’enquêtes concrètes sur des infractions graves, toujours sur la base d’une décision de justice. Il s’applique aux fournisseurs de services établis aux États-Unis, quel que soit le lieu de stockage physique des données.

Cela appelle une gestion des risques sereine, pas la panique. L’Europe dispose de pouvoirs comparables, par le droit pénal national et le règlement e-Evidence de l’Union européenne (UE). Pour la plupart des organisations, le risque lié au CLOUD Act est faible et largement théorique, tant qu’il n’existe aucun contexte pénal.

La bonne question n’est donc pas « le CLOUD Act fait-il peur ? » mais « qui a un accès technique et juridique à mes données, et comment le limiter ? ».

Comment nous limitons l’accès

Nous abordons le CLOUD Act par les faits et par l’architecture, sans rejeter le cloud par principe. L’objectif est de rendre le risque mesurable et maîtrisable. Concrètement, nous conseillons et mettons en œuvre :

• Des clés de chiffrement gérées par le client, pour que les clés qui protègent vos données restent sous votre contrôle, révocables à tout moment.
• Double Key Encryption et Hold Your Own Key pour les informations les plus sensibles, afin que les données ne puissent être lues sans votre coopération.
• Des modèles stricts d’identité et d’accès, pour que seuls les personnes et les services qui ont besoin des données puissent y accéder.
• La classification des données, car toutes les données n’exigent pas le même degré de souveraineté.

Le principe : des mesures techniques avant les promesses contractuelles.

Ce que change External Key Management

Jusqu’à récemment, la plupart de ces contrôles laissaient encore une chose chez le fournisseur : la racine de confiance. Même avec des clés gérées par le client dans un module de sécurité matériel (HSM) dédié, la clé elle-même résidait dans l’infrastructure de Microsoft.

En juillet 2026, Microsoft a publié External Key Management pour Azure Key Vault Managed HSM en préversion publique. Avec lui, la clé qui protège vos autres clés réside dans un HSM que vous possédez et exploitez, dans vos propres locaux ou chez un tiers de confiance. Managed HSM ne détient plus cette clé. Il transmet les opérations cryptographiques à votre HSM via un proxy que vous exploitez, et vous pouvez déconnecter votre HSM à tout moment pour arrêter le déchiffrement dans Azure.

Cela déplace la discussion de la position juridique de Microsoft vers l’incapacité technique de Microsoft. Même muni d’une décision de justice valide, un fournisseur qui ne détient jamais la clé ne peut ni l’extraire ni déchiffrer les données. Pour les conseils d’administration, les comités des risques et les régulateurs attentifs à la souveraineté numérique, cette distinction pèse lourd.

Un rappel à la réalité

• C’est une préversion. Elle doit être activée pour votre abonnement par votre équipe de compte Microsoft, et les fonctionnalités en préversion n’offrent aucune garantie de production.
• Son périmètre est limité. Elle couvre l’encapsulation et la désencapsulation des clés, pour les services Azure qui prennent déjà en charge les clés gérées par le client dans Managed HSM.
• La disponibilité vous incombe. Si votre HSM ou votre proxy est injoignable, les services qui en dépendent s’arrêtent. Il n’existe aucun niveau de service Microsoft pour la clé externe, et chaque opération ajoute un aller-retour réseau.
• La plupart des organisations n’en ont pas besoin. Microsoft lui-même recommande Managed HSM standard pour la majorité des cas. External Key Management s’adresse aux organisations qui ont l’exigence ferme que la racine de confiance cryptographique se trouve hors du fournisseur cloud.

Des faits plutôt que des peurs

External Key Management ne supprime pas tout risque juridique. Il renforce nettement la position des organisations qui doivent démontrer que leurs clés les plus sensibles sont sous leur propre contrôle physique et opérationnel. Une bonne gouvernance, c’est connaître la loi, comprendre comment elle s’applique et concevoir son architecture en conséquence. Si la souveraineté des données figure en haut de votre registre des risques, cela mérite une évaluation, et nous serons heureux d’éprouver le dossier avec vous.

Découvrez notre offre en cybersécurité et conformité et en cloud privé et hybride.