Cloud and AI Development Act : ce que le règlement européen du 3 juin 2026 change pour l’hébergement de votre GMAO

La part de marché des fournisseurs cloud basés dans l’Union européenne est passée d’environ 29 % en 2017 à environ 15 % en 2022. C’est précisément ce constat qui a conduit la Commission européenne à adopter, le 3 juin 2026, une proposition de règlement sans précédent — le Cloud and AI Development Act — pour reprendre la main sur une infrastructure devenue stratégique.

Pour un responsable maintenance ou une DSI qui déploie ou envisage de déployer une GMAO en mode SaaS, ce texte n’est pas de la réglementation abstraite. Il redéfinit concrètement ce que signifie « héberger de façon souveraine » une application critique, et commence à peser dans les arbitrages d’architecture et les appels d’offres publics. Comprendre ses mécanismes avant que le règlement final ne soit voté, c’est prendre de l’avance sur une mise en conformité que les organisations les plus exposées devront anticiper.

Cet article décrypte le Cloud and AI Development Act (CADA) — sa logique, ses quatre niveaux d’assurance, son champ d’application aux systèmes industriels — et tire les conséquences concrètes pour l’hébergement d’une GMAO ou d’un EAM dans les secteurs régulés. Il ne se substitue pas à un conseil juridique : pour toute décision d’achat ou de conformité, rapprochez-vous de l’ANSSI et des organismes compétents.

1. Le Cloud and AI Development Act : de quoi parle-t-on exactement ?

1.1 Un règlement européen, pas une directive nationale

Le CADA est une proposition de règlement adoptée par la Commission européenne le 3 juin 2026, enregistrée sous la référence COM(2026) 502. Contrairement à une directive — qui doit être transposée dans chaque État membre —, un règlement européen s’applique directement et uniformément dans l’ensemble de l’UE dès son entrée en vigueur. Le texte, en tant que proposition de règlement, est désormais soumis à la procédure législative ordinaire ; son adoption finale est ciblée pour fin 2027 au plus tôt, après négociations entre le Parlement européen et le Conseil, et son entrée en vigueur formelle interviendra après publication au Journal officiel de l’Union européenne, mais ses dispositions clés s’appliquent de façon progressive sur plusieurs années. L’adoption finale par le Parlement européen et le Conseil est ciblée pour fin 2027 : à ce stade, le CADA reste une proposition en cours de négociation législative, pas encore une obligation contraignante.

Son ambition est double. D’un côté, corriger un déficit structurel de capacité en centres de données en Europe, avec un objectif déclaré de tripler cette capacité dans un délai de cinq à sept ans, soutenu par un investissement estimé à 200 milliards d’euros principalement privés, pour répondre aux besoins des entreprises et administrations publiques européennes d’ici 2035. De l’autre, réduire une dépendance à un nombre limité de fournisseurs cloud non européens qui fragilise l’autonomie stratégique de l’Union. Ces deux vulnérabilités sont au cœur du « Tech Sovereignty Package » dont le CADA est l’un des piliers, aux côtés du Chips Act 2.0 et d’une stratégie open source européenne.

1.2 Ce que le texte entend par « service cloud »

La définition retenue par le CADA est délibérément large : un service cloud y désigne tout service numérique offrant un accès distant à la demande à des ressources informatiques évolutives et partagées. Cette définition couvre explicitement l’IaaS, le PaaS et le SaaS — et, selon la proposition, englobe également les systèmes d’IA hébergés et opérés à distance. Une GMAO ou un EAM déployé en mode SaaS, comme IBM Maximo Application Suite, entre donc pleinement dans ce périmètre. Ce point mérite d’être souligné : il ne s’agit pas uniquement d’une réglementation pour les hyperscalers ou les opérateurs d’infrastructure — elle descend jusqu’aux applications métier critiques hébergées en cloud.

1.3 La gouvernance : Cloud Leadership Initiative et fédération EuroCloud

Le texte instaure deux dispositifs de pilotage : une « Cloud Leadership Initiative » et une « AI Leadership Initiative », destinés à coordonner les efforts d’investissement et de normalisation à l’échelle européenne. Il prévoit également la création d’une plateforme d’échange et d’orchestration appelée « fédération EuroCloud », accessible sur la base du volontariat. Cette fédération n’est pas encore opérationnelle : son existence effective dépendra du vote final et des actes d’application subséquents.

2. Les quatre niveaux d’assurance souveraineté : un cadre structurant pour vos achats cloud

2.1 La logique des niveaux : du minimum obligatoire à la souveraineté totale

Le CADA organise la souveraineté cloud selon quatre niveaux d’assurance (« Union assurance levels »), pensés pour les organismes du secteur public à partir de leurs évaluations de risque. Ces niveaux sont progressifs : chaque palier supérieur intègre les exigences du précédent et y ajoute des contraintes supplémentaires. La règle de base est simple : tout fournisseur cloud souhaitant fournir des services au secteur public — sauf exceptions très limitées — devra satisfaire au niveau 1, le seuil minimal. Les fournisseurs sont reconnus dans ce cadre par les États membres après audit.

Les niveaux se déploient ainsi :

• Niveau 1 — localisation des données : socle universel obligatoire, garantissant que les données restent sur le territoire européen.
• Niveau 2 — indépendance vis-à-vis des pays tiers et transparence de la chaîne d’approvisionnement logicielle.
• Niveau 3 — « résilience numérique » : le fournisseur doit être détenu et contrôlé depuis l’UE ; le personnel d’exploitation doit être citoyen de l’UE ; la proposition précise également que l’assistance technique et opérationnelle doit être réalisée exclusivement sur place par des résidents de l’UE.
• Niveau 4 — pleine transparence et contrôle total de la chaîne d’approvisionnement logicielle, sans aucune interférence de pays tiers. Le niveau le plus exigeant, destiné aux cas d’usage les plus sensibles.

2.2 Ce que cela signifie pour le choix de votre hébergeur GMAO

Pour un directeur technique ou une DSI qui évalue l’hébergement de son IBM Maximo, cette grille n’est pas théorique. Elle traduit des exigences concrètes d’architecture : où sont stockées les données ? Qui opère le service au quotidien ? Le prestataire est-il soumis à des lois extra-européennes — comme le Cloud Act américain — qui pourraient ouvrir l’accès à vos données à des juridictions étrangères ? Autant de questions que le CADA formalise en critères vérifiables.

Dans ce contexte, le choix d’une architecture Single Tenant hébergée en France par un opérateur de droit européen n’est plus simplement un argument commercial sur l’isolation et la performance. Il devient un positionnement de conformité. L’article dédié à l’architecture Single Tenant et souveraineté des données détaille pourquoi cette isolation physique constitue un avantage structurel dans ce contexte réglementaire.

3. Qui est concerné dans l’industrie et les infrastructures critiques ?

3.1 Le secteur public d’abord — mais pas seulement

L’impact immédiat du CADA concerne en priorité les organismes du secteur public : collectivités, établissements publics, opérateurs de services essentiels sous statut public. Les États membres devront, après l’adoption finale, procéder à des évaluations des risques pour déterminer le niveau d’assurance applicable à leurs activités d’achat de services cloud à chaque cas d’usage et procéder aux achats de services numériques en conséquence. Pour les responsables de parcs d’actifs publics — réseaux d’eau potable, gestion des déchets, ports — cela signifie que le prochain renouvellement ou déploiement de GMAO devra s’inscrire dans ce cadre.

Mais le texte ne s’arrête pas aux frontières du public. La proposition CADA habilite la Commission à adopter des actes délégués imposant aux entreprises privées des secteurs régulés par la directive NIS2 — énergie, transports, eau, banque, télécommunications, santé — des évaluations de risque de souveraineté comparables pour leurs dépendances cloud. Autrement dit, les opérateurs industriels critiques du secteur privé sont dans le viseur du règlement, avec un calendrier d’application qui dépendra de l’avancement des négociations.

La convergence entre le CADA et NIS2 mérite d’être soulignée : les secteurs listés sont exactement les mêmes. Si votre organisation est déjà soumise à NIS2, le CADA s’inscrit dans la même logique de renforcement de la résilience numérique — et votre GMAO, en tant qu’outil de traçabilité des actifs et des interventions, est à l’intersection des deux textes. Pour approfondir ce point, l’article sur la conformité OT et traçabilité réglementaire pose les bases de ce que NIS2 attend concrètement de vos systèmes industriels.

3.2 Les fournisseurs cloud de pays tiers : un champ d’application sans exception majeure

L’un des points les plus structurants du CADA est qu’il ne réserve pas les niveaux d’assurance aux seuls fournisseurs européens. La Commission peut reconnaître des fournisseurs de pays tiers à certains niveaux — mais cette reconnaissance suppose un audit et une démonstration formelle d’indépendance vis-à-vis des législations extra-européennes. Pour un hyperscaler américain ou asiatique, atteindre le niveau 3 ou 4 sera extrêmement difficile, voire structurellement impossible en l’état actuel de leur organisation. C’est un rééquilibrage délibéré du marché en faveur des acteurs européens.

4. Marchés publics cloud : le critère « valeur ajoutée de l’Union » change les règles du jeu

4.1 Un critère non-prix dans les appels d’offres

Le CADA introduit une nouveauté notable dans la commande publique : les autorités publiques devront prendre en compte la « valeur ajoutée de l’Union » comme critère non-prix dans les marchés publics portant sur des services cloud et IA. Concrètement, cela revient à évaluer dans quelle mesure le fournisseur contribue à la chaîne d’approvisionnement technologique européenne :

• Intègre-t-il des technologies développées dans l’UE ?
• Conduit-il des activités d’innovation sur le territoire européen ?
• Utilise-t-il des composants matériels conçus ou fabriqués dans l’UE ?

Les recitals interprétatifs de la proposition suggèrent une pondération maximale de 15 points sur 120 dans la notation globale — soit un poids « accessoire et non décisif », pour reprendre la formulation du texte. Cela reste néanmoins suffisant pour faire basculer un appel d’offres serré entre deux offres techniquement équivalentes.

4.2 L’impact pratique pour les DSI du secteur public

Pour une DSI de collectivité ou d’établissement public qui renouvelle son contrat de GMAO, ce critère crée une nouvelle dimension dans l’analyse des offres. Jusqu’ici, la localisation des données et l’hébergement en France étaient souvent présentés comme des « plus » sans poids formel dans la notation. Le CADA leur donne une assise réglementaire progressive. Anticiper cette évolution dans les spécifications techniques des appels d’offres — avant même que le règlement soit définitivement adopté — est une posture de DSI avertie.

Sur ce sujet, l’approche pour choisir une GMAO adaptée à votre organisation prend une dimension nouvelle : les critères de souveraineté, d’hébergement et de certification européenne doivent figurer dès la phase de cadrage fonctionnel, pas seulement dans les annexes techniques.

5. Ce que le CADA change concrètement pour votre déploiement GMAO

5.1 De l’argument marketing à la contrainte de conformité

Pendant des années, l’hébergement en France ou l’architecture Single Tenant ont été présentés comme des arguments différenciants — appréciables mais non obligatoires. Le CADA opère un glissement : ces caractéristiques deviennent progressivement des prérequis de conformité pour les organisations soumises au règlement. La question n’est plus « est-ce que je préfère un hébergement souverain ? » mais « de quel niveau d’assurance mon cas d’usage a-t-il besoin, et mon prestataire actuel peut-il y répondre ? »

Cette question se pose avec une acuité particulière pour les organisations dont la GMAO gère des actifs opérationnels critiques : une panne ou une compromission de l’outil de maintenance sur un réseau d’eau, une installation de production d’hydrogène ou un terminal portuaire n’est pas un incident informatique ordinaire. C’est une atteinte directe à la continuité du service.

5.2 Les questions à poser à votre prestataire SaaS dès maintenant

Sans attendre l’adoption finale du CADA, voici les questions concrètes à adresser à tout prestataire SaaS hébergeant votre GMAO ou votre EAM :

• Localisation des données : où sont physiquement hébergées vos données ? Dans quel pays, dans quel datacenter, sous quelle juridiction ?
• Propriété et contrôle : le prestataire est-il soumis à des législations extra-européennes susceptibles d’autoriser l’accès à vos données sans votre consentement ?
• Chaîne d’approvisionnement logicielle : quels composants tiers — notamment américains ou asiatiques — entrent dans la composition du service ? Sont-ils auditables ?
• Personnel d’exploitation : qui opère le service au quotidien, et depuis où ? Cette question devient critique pour les niveaux 3 et 4 du CADA.
• Capacité à évoluer : si vos obligations de conformité montent en niveau, votre prestataire est-il structurellement capable de vous suivre ?

Ces questions ne sont pas théoriques. Sur le terrain, la connaissance la plus précieuse d’une organisation de maintenance est souvent dispersée entre la GMAO, des fichiers locaux, des emails et des notes personnelles. Centraliser cette intelligence dans un système SaaS souverain, c’est à la fois résoudre un problème d’efficacité opérationnelle et préparer sa conformité réglementaire.

5.3 L’IA hébergée est également dans le périmètre

Un point que les responsables maintenance sous-estiment souvent : les modules d’IA générative intégrés à une GMAO — assistant de diagnostic, génération automatique de comptes-rendus, capitalisation du savoir — entrent eux aussi dans le champ du CADA dès lors qu’ils sont hébergés et opérés à distance. La proposition inclut explicitement les « systèmes IA hébergés et opérés à distance » dans sa définition des services cloud soumis aux niveaux d’assurance.

Concrètement, si votre organisation déploie une solution d’IA de maintenance pour assister ses techniciens terrain — et que cette solution est hébergée par un prestataire non européen ou sans garantie formelle de localisation des données —, elle peut potentiellement ne pas satisfaire aux niveaux d’assurance requis par le CADA. Cela concerne autant les modules IA natifs d’une suite comme IBM Maximo Application Suite que les assistants IA tiers connectés à votre GMAO.

Questions fréquentes

Le CADA s'applique-t-il aux logiciels SaaS industriels comme une GMAO, ou seulement aux infrastructures cloud génériques ?

Le CADA définit le terme « service cloud » de façon délibérément large : il englobe tout service numérique offrant un accès distant à la demande à des ressources informatiques évolutives, y compris l’IaaS, le PaaS et le SaaS. Les systèmes IA hébergés et opérés à distance entrent également dans ce périmètre. Une GMAO ou un EAM déployé en mode SaaS — comme IBM Maximo Application Suite — relève donc bien du champ d’application du règlement, dès lors que l’organisation cliente opère dans un secteur régulé ou gère des infrastructures critiques.

Mon organisation est une ETI industrielle privée, pas une entité publique. Suis-je concernée par le CADA ?

Dans l’immédiat, l’impact direct du CADA concerne en priorité le secteur public et les entités qui lui fournissent des services cloud. Cependant, la proposition habilite la Commission européenne à adopter des actes délégués imposant aux entreprises privées des secteurs régulés par NIS2 — énergie, transports, eau, banque, santé, télécommunications — des évaluations de risque de souveraineté comparables pour leurs dépendances cloud. Pour une ETI industrielle opérant dans ces secteurs, l’enjeu est donc réel, même si le calendrier d’application au privé dépendra de l’avancement des négociations législatives.

Qu'est-ce que la « valeur ajoutée de l'Union » dans les marchés publics cloud, et comment l'évaluer en pratique ?

Le CADA introduit un critère non-prix appelé « valeur ajoutée de l’Union » dans les appels d’offres publics de services cloud et IA. Concrètement, il s’agit d’évaluer dans quelle mesure le fournisseur contribue à la chaîne d’approvisionnement technologique européenne : intègre-t-il des technologies développées dans l’UE, conduit-il des activités d’innovation en Europe, utilise-t-il des composants matériels conçus ou fabriqués dans l’UE ? Selon les recitals interprétatifs de la proposition, ces critères sont « accessoires et non décisifs », avec une pondération suggérée d’environ 15 points sur 120 dans la notation globale.

La « fédération EuroCloud » envisagée par le CADA est-elle déjà opérationnelle ?

Non. La plateforme d’échange et d’orchestration appelée « fédération EuroCloud » dans le texte de la proposition est un dispositif envisagé, accessible sur la base du volontariat. Elle n’existe pas encore sous forme opérationnelle à ce stade : son existence effective dépendra du vote final du règlement et des actes d’application qui suivront, avec une adoption finale du CADA ciblée pour fin 2027.

Conclusion

Le Cloud and AI Development Act n’est pas encore une contrainte définitive — mais il dessine clairement la direction que prend la réglementation européenne sur l’hébergement des applications critiques. Pour les organisations industrielles et les acteurs du secteur public qui gèrent des actifs via une GMAO ou un EAM en SaaS, le message est lisible : la souveraineté des données et la résilience opérationnelle ne seront plus des options, elles deviendront des critères de conformité auditables.

Anticiper ce mouvement ne signifie pas refaire son architecture dans l’urgence. Cela signifie poser les bonnes questions à son prestataire actuel, intégrer les niveaux d’assurance du CADA dans les prochains appels d’offres, et s’assurer que le choix de son hébergement GMAO peut évoluer avec le cadre réglementaire. Les organisations qui font ce travail maintenant auront une longueur d’avance significative lorsque les obligations deviendront effectives.

Si vous souhaitez évaluer comment votre déploiement GMAO se positionne face à ces nouvelles exigences de souveraineté, demandez une démo à l’équipe Odexio.