SecNumCloud et cloud de confiance : faut-il l'exiger pour un outil d'IA RH ? (2026)

Accueil / Guides / SecNumCloud et cloud de confiance : faut-il l'exiger pour un outil d'IA RH ?

Au 4 novembre 2026, les textes consultés pour ce guide n'imposent pas de façon générale la qualification SecNumCloud à un employeur privé pour ses données RH. La vraie question est l'exposition des données à des autorités de pays tiers : l'article 48 du RGPD ne reconnaît leurs demandes que sur la base d'un accord international, et la CNIL indique que les mesures contractuelles seules suffisent rarement à empêcher un tel accès.

De quoi parle-t-on

SecNumCloud est un référentiel élaboré en 2016 par l'ANSSI, l'autorité nationale de sécurité des systèmes d'information, pour qualifier des prestataires de services d'informatique en nuage. Selon l'ANSSI, la qualification est valable trois ans avec des audits annuels de surveillance, les offres qualifiées figurent dans sa liste publique, et sa dernière mise à jour renforce la protection contre les lois non européennes : siège dans l'Union, capital majoritairement européen, données et journaux localisés dans l'Union. La page de l'ANSSI ne présente pas cette qualification comme une obligation pour les entreprises privées. L'expression cloud de confiance vise, plus largement, des offres qui cherchent à protéger les données contre l'accès d'autorités étrangères.

Le risque d'accès étranger

L'article 48 du RGPD prévoit qu'une décision d'une juridiction ou d'une autorité d'un pays tiers exigeant la communication de données n'est reconnue que si elle repose sur un accord international. Le guide CNIL d'analyse d'impact des transferts demande d'identifier les lois de surveillance applicables à l'importateur qui pourraient l'obliger à divulguer des données. Il précise que l'accès à distance depuis un pays tiers par une entité distincte est un transfert, et que les mesures contractuelles et organisationnelles seules ne suffisent généralement pas : des mesures techniques sont souvent nécessaires.

Les mesures techniques citées

Pour le chiffrement, le guide CNIL renvoie au cas où les clés sont gérées par l'exportateur ou par une entité de confiance située sur un territoire offrant une protection équivalente. Dans sa foire aux questions sur l'IA générative, la CNIL juge l'hébergement sur site plus sûr pour les données personnelles ou sensibles, et indique que le recours au nuage reste possible à condition de sécuriser l'infrastructure externe. Un outil d'IA doit aussi traiter les requêtes envoyées au modèle : leur localisation compte autant que celle du stockage.

Choisir un niveau adapté

Pour des données RH courantes, l'essentiel est un hébergement et un traitement dans l'Union, un fournisseur et des sous-traitants identifiés, l'absence de réutilisation des données et un contrat conforme à l'article 28. Pour des données très sensibles, comme des dossiers disciplinaires, des signalements ou des données de santé, un hébergement qualifié ou une maîtrise des clés de chiffrement peut se justifier. Les textes publics fixent surtout des règles pour l'État : l'article 31 de la loi du 21 mai 2024 impose aux administrations de l'État qui confient des données d'une sensibilité particulière à un prestataire de nuage des critères de sécurité empêchant tout accès non autorisé d'autorités d'États tiers, et les recommandations de l'ANSSI de juillet 2024 réservent les systèmes sensibles relevant de la doctrine « cloud au centre » de l'État aux offres qualifiées SecNumCloud, qu'elles recommandent aussi pour les systèmes sensibles des opérateurs d'importance vitale et de services essentiels. L'ANSSI rappelle que la qualification ne garantit pas la sécurité des services du client lui-même. L'AIPD est le bon outil pour documenter ce choix et le faire valider par la direction et le DPO.

À faire

Classer les données RH traitées par l'outil selon leur sensibilité.
Demander au fournisseur et à chaque sous-traitant à quel droit étranger ils sont soumis.
Vérifier où sont stockées les données et où sont traitées les requêtes envoyées au modèle.
Évaluer le chiffrement et la détention des clés pour les données les plus sensibles.
Documenter le niveau d'hébergement retenu dans l'AIPD.
Si une offre qualifiée est retenue, vérifier sa présence et son périmètre dans la liste des produits et services qualifiés publiée par l'ANSSI.

Textes de référence

Questions fréquentes

Un hébergement en France garantit-il l'absence d'accès étranger ?

Non à lui seul. Si l'hébergeur ou un sous-traitant est soumis à une loi étrangère, ou si une entité hors Union accède aux données, le risque subsiste. C'est l'objet de l'analyse d'impact des transferts.

Une PME doit-elle exiger SecNumCloud ?

Les textes consultés ne l'imposent pas de façon générale à un employeur privé ; l'ANSSI présente SecNumCloud comme une qualification que les prestataires demandent, et les recommandations publiées visent surtout les systèmes de l'État et des opérateurs sensibles. Le choix dépend de la sensibilité des données et doit être justifié dans l'AIPD.

Le chiffrement suffit-il ?

Le guide CNIL cite le chiffrement avec des clés détenues par l'exportateur ou une entité de confiance comme mesure pertinente. Son efficacité dépend de qui détient les clés et de l'accès du fournisseur aux données en clair.

Qui délivre la qualification SecNumCloud et pour combien de temps ?

L'ANSSI, qui a élaboré le référentiel. Selon sa FAQ, la qualification est valable trois ans, sous réserve d'audits annuels de surveillance, et les offres qualifiées sont publiées dans sa liste des produits et services qualifiés.

Contenu d'information générale, qui ne constitue pas un conseil juridique.

SecNumCloud et cloud de confiance : faut-il l'exiger pour un outil d'IA RH ?