Le 3 août, le gouverneur Greg Abbott a décrété un moratoire sur tout nouveau raccordement de datacenter au réseau électrique du Texas, et demandé à la commission des services publics et à ERCOT, le gestionnaire du réseau, d’auditer chaque projet en file d’attente. Selon Ars Technica, le même gouverneur présentait le Texas, moins d’un an plus tôt, comme l’épicentre du développement de l’IA. Cette décision ne parle pas de vie privée. Elle parle d’électricité. Et c’est ce qui la rend utile : l’endroit où vos dossiers dorment physiquement est une variable réglée par des gens que vous ne rencontrerez jamais, et cette variable bouge.
La souveraineté sert surtout de slogan, et un slogan ne se met pas en œuvre. Dessous, il y a trois questions séparables, auxquelles une petite entreprise répond une par une en un après-midi. Quel État peut contraindre quelqu’un à livrer vos dossiers. Quelle loi encadre ce qu’on a le droit d’en faire. Et si vous pouvez partir — en combien de temps, à quel prix.
La première a une réponse tranchée que les pages commerciales contournent. Le Clarifying Lawful Overseas Use of Data Act, signé le 23 mars 2018, oblige tout fournisseur relevant de la juridiction américaine à conserver et à produire les données en sa possession, sous sa garde ou sous son contrôle, que les serveurs se trouvent aux États-Unis ou ailleurs. La juridiction suit l’entreprise, pas le bâtiment. Une base installée dans une région Sydney ou Auckland opérée par une société américaine reste atteignable par la maison mère ; la même base sur une machine appartenant à une société immatriculée là où vous vivez ne l’est pas. Ce n’est pas un réquisitoire contre les fournisseurs américains — nous en utilisons plusieurs — mais cela fixe ce que « hébergé localement » achète — et ce qu’il n’achète pas.
Le cas calédonien est mal connu de ceux-là mêmes qu’il concerne. Le RGPD ne s’applique pas en Nouvelle-Calédonie en tant que droit européen : le territoire n’est pas sol de l’Union à cet égard. Mais l’ordonnance n° 2018-1125 du 12 décembre 2018 a réécrit la loi Informatique et Libertés de façon que ses dispositions renvoient expressément au texte européen, et depuis le 1er juin 2019 le territoire relève du même régime que la métropole, la CNIL étant compétente pour contrôler et pour sanctionner. Une entreprise de Nouméa vit donc avec des règles de transfert hors territoire, une limitation des finalités, un registre des traitements, et une exposition à des sanctions d’échelle européenne.
La Nouvelle-Zélande, elle, paraît plus stricte qu’elle ne l’est. Le principe 12 du Privacy Act 2020 ressemble à une règle de transfert : les données personnelles ne partent à l’étranger que si le destinataire est tenu à des garanties comparables, par la loi ou par contrat, ou si la personne y a expressément consenti. L’article 11 en retire l’essentiel de la portée : les informations détenues par un mandataire sont réputées détenues par le mandant, et la doctrine du Bureau du commissaire à la vie privée précise qu’aucun accord au titre du principe 12 n’est exigé quand le prestataire agit purement pour votre compte : c’est vous qui restez responsable des données déposées dans le cloud. En clair : rien dans le droit néo-zélandais n’empêche un cabinet de cinq personnes de poser son fichier clients sur un serveur n’importe où sur la planète. Depuis le 1er mai 2026 s’ajoute un devoir à noter : le principe 3A impose d’informer les personnes lorsque vous avez collecté des informations les concernant auprès d’un tiers.
| Kanaky (Nouvelle-Calédonie) | Nouvelle-Zélande | |
|---|---|---|
| Texte applicable | Loi Informatique et Libertés, étendue par l’ordonnance n° 2018-1125 | Privacy Act 2020 |
| Hébergement hors du pays | Un transfert, qui exige une base légale et des garanties | Autorisé, et pas une divulgation quand le prestataire est votre mandataire (art. 11) |
| Autorité | CNIL — pouvoirs de contrôle et de sanction | Commissaire à la vie privée — mises en demeure, pas d’amende générale |
| Sanction maximale | Échelle européenne, jusqu’à 4 % du chiffre d’affaires mondial | 10 000 NZD, et seulement pour les délits d’obstruction de l’article 212 |
| Obligation la plus récente | Alignement sur la métropole depuis le 1er juin 2019 | Principe 3A depuis le 1er mai 2026 — signaler la collecte indirecte |
AWS a ouvert sa région Asie-Pacifique (Nouvelle-Zélande) à Auckland le 2 septembre 2025 : trois zones de disponibilité et un investissement annoncé de 7,5 milliards de dollars néo-zélandais. Pour un cabinet d’Auckland, garder ses données dans le pays est devenu un menu déroulant.
Pour une entreprise de Nouméa, non. La région d’hyperscaler la plus proche reste Sydney, et « local » se résout donc en deux options : une région australienne opérée par une société étrangère, ou l’un des datacenters exploités dans le territoire par des hébergeurs calédoniens, dont plusieurs affichent désormais la certification hébergeur de données de santé. Les deux choix se défendent. Aucun ne va de soi.
Car un serveur à Nouméa n’est pas plus sûr parce qu’il est à Nouméa. Une machine locale sans copie externalisée, dont la restauration n’a jamais été testée et dont une seule personne connaît le mot de passe, garde moins bien un fichier clients que n’importe quelle région d’hyperscaler. Nous avons vu les deux situations la même semaine. Une souveraineté qu’on n’exploite pas est un autocollant sur une baie.
L’Europe a légiféré exactement sur ce point : c’est le seul repère public disponible. Le règlement (UE) 2023/2854, dit Data Act, est applicable depuis le 12 septembre 2025 : les fournisseurs doivent supprimer les obstacles contractuels et techniques au changement de prestataire, avec une résiliation sous un préavis maximal de deux mois. Jusqu’au 12 janvier 2027, un fournisseur ne peut facturer le transfert qu’à hauteur des coûts réellement engagés ; après cette date, ces frais sont purement interdits. Le texte atteint aussi les prestataires non européens qui servent des clients de l’Union.
Aucun législateur de Nouvelle-Calédonie, de Nouvelle-Zélande ou d’Australie n’a fait l’équivalent. La sortie est donc ici une affaire de contrat, et c’est à vous de la poser. Deux chiffres transforment le principe en décision : combien d’heures pour obtenir une copie complète et exploitable de tout ce que vous détenez chez lui, et combien il facture pour vous la remettre. Posez les deux questions par écrit avant de signer. Un fournisseur incapable de répondre à la première a déjà répondu.
Pas directement, et la nuance compte plus en théorie qu’en pratique. Le territoire n’est pas sol de l’Union européenne au sens du règlement, qui ne s’y applique donc pas de plein droit. L’ordonnance n° 2018-1125 du 12 décembre 2018 a réécrit la loi Informatique et Libertés de sorte que ses dispositions renvoient expressément au texte européen : depuis le 1er juin 2019, la Nouvelle-Calédonie relève du même régime juridique que la métropole, et la CNIL est compétente pour contrôler et sanctionner. Pour une entreprise de Nouméa, la réponse opérationnelle est donc : considérez que vous avez des obligations de niveau RGPD, y compris sur les transferts hors du territoire.
Pas du fait d’être à Nouméa. Souveraineté et sécurité sont deux propriétés distinctes, et une petite machine locale perd souvent sur la seconde : pas de copie hors site, restauration jamais testée, mises à jour irrégulières, une seule personne qui détient le mot de passe. Une région d’hyperscaler apporte une durabilité et une hygiène d’exploitation difficiles à reproduire, au prix d’une chaîne juridique qui remonte à sa maison mère. La position défendable consiste à découper par sensibilité plutôt qu’à choisir un camp : les dossiers dont la publication abîmerait l’entreprise sur une infrastructure que vous maîtrisez, le reste là où il fonctionne le mieux.
Le Clarifying Lawful Overseas Use of Data Act du 23 mars 2018 oblige un fournisseur relevant de la juridiction américaine à produire les données en sa possession, sous sa garde ou sous son contrôle, quel que soit le pays où sont installés les serveurs. Conséquence pratique : choisir une région australienne ou néo-zélandaise chez un prestataire américain change la latence et la localisation, mais pas l’identité de celui qui peut être sommé de livrer les données. Si ce risque précis compte pour vos dossiers, la variable à modifier est la nationalité de la société au contrat, pas l’adresse du bâtiment.
En demandant deux chiffres par écrit avant de signer : le délai pour obtenir une copie complète et exploitable de vos données, et le coût facturé pour cette remise. Ajoutez ensuite une clause de réversibilité en quatre lignes — format d’export, délai, coût, certificat de suppression. Le Data Act européen, applicable depuis le 12 septembre 2025, impose déjà cela aux fournisseurs qui servent des clients de l’Union, avec interdiction totale des frais de transfert au 12 janvier 2027 ; aucun texte équivalent n’existe en Océanie, ce qui laisse la question entièrement à votre contrat.
Kanaky Tech est une agence d’automatisation IA du Pacifique — Nouméa et Auckland. Premier pas : un audit gratuit de vos opportunités IA. On regarde comment votre entreprise tourne réellement, on classe ce qui vaut la peine d’être automatisé, et vous repartez avec les conclusions — sans engagement.