SecNumCloud : l'hébergement des données d'entreprise, la règle durcie en 2026

Un arrêté d'août 2026 a refondu le référentiel que doivent respecter les hébergeurs qui traitent des données sensibles. La qualification remplace la promesse commerciale. Pour un dirigeant, la question devient : où vivent les données de mon logiciel, et qui peut me le prouver par écrit ?

SecNumCloud est la qualification délivrée par l'ANSSI qui atteste qu'un hébergement de données d'entreprise respecte un référentiel d'exigences. Un arrêté du 12 août 2026, publié au Journal officiel du 14 août et entré en vigueur le 17 août (Légifrance), approuve une nouvelle version de ce référentiel. La conformité s'atteste désormais par cette qualification, ou par une certification européenne reconnue équivalente.

Ce que le texte dit, et à qui il s'adresse

Le référentiel s'appuie sur le décret n° 2026-272 du 14 avril 2026, qui vise les « données d'une sensibilité particulière ». L'article 2 de l'arrêté vise « un service d'informatique en nuage fourni par un prestataire privé ». En clair, le texte vise les prestataires de nuage et les données sensibles au sens du décret d'avril 2026 ; il ne s'adresse pas au commerce ordinaire. Ce qui change pour vous, c'est le vocabulaire de vos clients : un acheteur public, une collectivité, un hôpital ou un grand groupe qui vous sous-traite un logiciel va commencer à écrire ce mot dans ses appels d'offres, et vous devrez répondre autre chose que « nos données sont en sécurité ». Cet article décrit un état du droit à sa date de parution ; vérifiez votre cas avec votre conseil.

La question qui décide de tout

Quand votre logiciel tourne, trois endroits différents voient vos données, et beaucoup de dirigeants n'en connaissent qu'un. Le premier, c'est l'hébergement de l'application elle-même, celui dont parle l'arrêté. Le deuxième, c'est la sauvegarde, qui part souvent ailleurs sans que personne l'ait décidé. Le troisième, le plus récent, c'est le fournisseur d'intelligence artificielle qui a participé à la construction du logiciel, ou qui continue de travailler dedans. Nous avons détaillé ce troisième point après la note de la CNIL sur les agents : qui répond de vos données quand des agents travaillent reste la question la moins bien traitée des contrats que nous lisons.

Ce que Maestro garde chez vous, et ce qu'il envoie dehors

Nous avons intérêt à être précis, parce que la nuance nous coûte de la simplicité commerciale. Vos projets, vos documents et votre code restent sur votre Mac, dans une base locale, et aucun serveur de Maestro ne les voit. La sauvegarde en ligne est facultative et part vers votre propre compte GitHub, pas chez nous. Vos clés d'accès vivent dans le Trousseau de macOS. En revanche, quand un agent travaille, ce qu'il lit et ce qu'il écrit passe par le fournisseur de l'assistant que vous avez choisi, Claude Code, Codex, Cursor ou Mistral Vibe. Ce trajet-là existe, il est le prix du service, et prétendre le contraire serait mentir. Nous ne recevons que des catégories de panne anonymes, jamais le contenu de vos projets, ce que nous détaillons dans notre page sur vos données.

L'option européenne, ouverte depuis le 11 août

Le 11 août 2026, Mistral a ouvert des points d'accès régionaux, Europe et États-Unis, en se présentant comme « the only European AI lab to offer both: choice of processing region and a committed, SLA-backed service level » (annonce Mistral du 11 août 2026). L'éditeur cite Amadeus, ASML, Capgemini, la Caisse des Dépôts et CMA CGM parmi les entreprises engagées dans son programme de capacité, et vise un gigawatt de puissance de calcul d'ici 2030. Pour un dirigeant qui doit répondre à un acheteur public, ce choix de région de traitement se met dans un contrat, ce qui vaut mieux qu'une mention rassurante sur une page marketing. Nous avions posé la question de fond en septembre : faut-il une IA française pour construire son logiciel, et la réponse honnête dépend de qui vous devez convaincre.

Les trois lignes à exiger par écrit

Demandez à chacun de vos prestataires, avant de signer : dans quel pays sont hébergées les données de production, dans quel pays partent les sauvegardes, et quels sous-traitants voient les données en clair. Ces trois réponses tiennent en un paragraphe et engagent celui qui les écrit. Si votre activité touche la commande publique ou des données sensibles au sens du décret d'avril 2026, ajoutez une quatrième ligne : quelle qualification ou quelle certification atteste l'hébergement, et à quelle date elle expire. Un prestataire qui répond « nos serveurs sont sécurisés » sans nommer ni pays ni certificat vous a répondu, et vous savez quoi en faire.