Une mairie utilise des logiciels de paie, d’état civil, de gestion des élections, une messagerie, un site, et de plus en plus un assistant d’IA. Chacun repose sur un hébergeur, des sous-traitants et parfois un modèle d’IA. Cette page dit ce que les textes demandent aujourd’hui à une commune, ce que la qualification SecNumCloud garantit, puis pose six questions qui valent pour n’importe quel outil.
Ce que les textes demandent à une commune au 20 octobre 2026
Je n’ai trouvé aucune obligation, pour une commune, de recourir à un hébergeur qualifié SecNumCloud. Trois textes s’en approchent : deux visent l’État, le troisième n’est pas définitivement adopté.
- La doctrine « cloud au centre » : la circulaire n° 6282-SG du 5 juillet 2021, actualisée en 2023, fait du cloud le mode d’hébergement par défaut des services numériques de l’État. Elle concerne « tous les nouveaux projets numériques ou refontes majeures de systèmes d’information de l’État ou des opérateurs placés sous sa tutelle ». Les administrations choisissent entre les clouds interministériels de l’État et des offres commerciales ; pour les données d’une sensibilité particulière, l’hébergement se fait dans le « cloud de confiance » : un cloud interministériel ou une offre qualifiée SecNumCloud (Assemblée nationale, question écrite n° 1692, réponse du 3 juin 2025).
- L’article 31 de la loi SREN du 21 mai 2024 et son décret n° 2026-272 du 14 avril 2026, publié au Journal officiel le 16 avril 2026. Ils encadrent l’hébergement dans le cloud des données d’une sensibilité particulière des administrations de l’État, de leurs opérateurs et de six groupements d’intérêt public. Aucune collectivité territoriale ne figure dans le texte (Légifrance).
- Une proposition de loi en cours d’examen : la proposition de loi relative à la sécurisation des marchés publics numériques a été adoptée par le Sénat en première lecture le 17 décembre 2025, puis par la commission des lois de l’Assemblée nationale le 25 février 2026 ; l’Assemblée ne l’avait pas votée en séance au 21 octobre 2026 (dossier du Sénat). Dans le texte de la commission de l’Assemblée, l’article 31 s’appliquerait notamment aux régions, aux départements, aux communes de plus de 30 000 habitants, aux communautés de communes de plus de 30 000 habitants, aux communautés d’agglomération, aux communautés urbaines, aux métropoles et à leurs établissements publics administratifs. Les données nécessaires aux compétences essentielles des collectivités (prévention des risques, gestion des crises, ordre public, protection de la santé et de la vie des personnes) y deviendraient des données d’une sensibilité particulière, et une collectivité déjà engagée dans un projet de cloud pourrait déroger pendant dix-huit mois au plus (texte n° 2522). Son état change : vérifiez-le avant de vous y fier.
Le RGPD s’applique en revanche à toutes les communes : contrat de sous-traitance (article 28), encadrement des transferts hors de l’Union (articles 44 à 46). La CNIL le résume dans ses questions-réponses : une infrastructure externe se sécurise par un contrat de sous-traitance qui définit les responsabilités et les accès.
Ce que SecNumCloud garantit
SecNumCloud est une qualification de sécurité délivrée par l’ANSSI. Elle reconnaît des offres cloud d’opérateurs (services IaaS, PaaS ou SaaS) et apporte, selon l’agence, une confiance sur l’offre et sur les pratiques d’exploitation de l’opérateur. Elle vise à protéger les données et les traitements sensibles face à la menace cybercriminelle et à l’application de lois extraterritoriales. Les offres qualifiées sont listées sur le site de l’ANSSI.
Elle ne préjuge pas du niveau de sécurité des services numériques des clients portés par ces offres. L’ANSSI précise aussi que tous les systèmes d’information n’ont pas vocation à recourir au cloud. La décision de migrer relève de la plus haute autorité de l’entité, éclairée par une étude d’impact et une analyse de risques (ANSSI, recommandations pour l’hébergement dans le cloud des systèmes d’information sensibles, version 1.0, juillet 2024).
Ces recommandations visent les systèmes d’information de niveau Diffusion Restreinte, les systèmes d’information sensibles des opérateurs d’importance vitale et des opérateurs de services essentiels, et les systèmes d’information d’importance vitale. Une commune peut s’en servir comme repère, sans y être tenue.
Six questions à poser, avec la preuve à demander
1. Qui héberge, et dans quel pays est le serveur ?
Le nom de la société qui héberge, le pays du serveur, le centre de données si le contrat le dit. La preuve : le contrat d’hébergement ou l’accord sur le traitement des données. « Hébergé en Europe » ne répond pas à la question : le pays, la société et le contrat se lisent.
2. Qui peut accéder aux données ?
La liste des comptes d’administration, leur mode d’authentification, la séparation entre les données de chaque client. L’ANSSI rappelle que le client garde la charge de configurer le filtrage et le contrôle d’accès pour que seules les personnes légitimes accèdent aux interfaces d’administration. La preuve : une description écrite des accès, mise à jour.
3. Quels sous-traitants, dans quels pays, avec quel préavis ?
Un outil repose souvent sur plusieurs sociétés : hébergeur, envoi des courriels, mesure d’audience, modèle d’IA. L’article 28 du RGPD interdit au sous-traitant d’en engager un autre sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement ; avec une autorisation générale, il l’informe de tout changement pour qu’il puisse s’y opposer. La preuve : la liste des sous-traitants dans l’accord, avec leur pays de traitement et le délai de préavis avant un changement.
4. Quel droit s’applique ?
L’ANSSI note que certains fournisseurs de cloud peuvent être soumis à des législations extraterritoriales qui leur imposent de transmettre à leurs autorités nationales les données de leurs clients. Le critère est le droit auquel le fournisseur et ses sous-traitants sont soumis, pas seulement le pays du serveur. Pour les transferts vers les États-Unis, une décision d’adéquation du 10 juillet 2023 (cadre de protection des données UE-États-Unis) permet les transferts vers les entreprises qui y adhèrent. Le Tribunal de l’Union a rejeté un recours contre elle le 3 septembre 2025, et un pourvoi a été formé devant la Cour de justice. Hors de ce cadre, l’article 46 du RGPD exige des garanties, comme les clauses contractuelles types. La page IA souveraine pour mairie détaille le cas des modèles d’IA.
5. Où l’IA calcule-t-elle ?
Si l’outil contient de l’IA, le modèle est exploité par un éditeur qui a ses propres lieux de calcul. Un éditeur peut proposer plusieurs points d’accès : l’un calcule dans l’Union européenne, un autre ne s’engage sur aucun lieu. La preuve : le contrat dit lequel est utilisé. Sans cette ligne, le lieu de calcul n’est pas fixé.
6. Comment la commune récupère-t-elle ses données ?
La réversibilité est la possibilité de récupérer ses données et de changer de fournisseur. L’ANSSI recommande une clause de réversibilité pour limiter la dépendance à une seule offre. Depuis le 12 septembre 2025, le règlement européen sur les données (règlement (UE) 2023/2854, article 25) encadre le changement de fournisseur de services de traitement de données. Le préavis est de deux mois au plus, la période de transition de trente jours au plus, puis la commune dispose d’au moins trente jours pour récupérer ses données. Les frais de changement, y compris de sortie des données, sont supprimés à partir du 12 janvier 2027 (Commission européenne, Data Act). La preuve : le format de restitution, le délai et le coût, écrits au contrat.
Un hébergeur qualifié suffit-il ?
Non. L’ANSSI écrit que l’hébergement d’un site web sur une offre qualifiée n’enlève pas la nécessité de sécuriser le site web en lui-même, et que l’application des correctifs de sécurité relève du client. Les mesures sur les comptes, les droits, les journaux et les sauvegardes sont décrites sur la page sécuriser la base de données d’une collectivité.
Chez Marianne : ce qu’elle est et ce qu’elle n’est pas
Marianne est en test : aucune commune ne l’a en service. Voici ce qu’elle répond, au 20 octobre 2026, à celles des six questions qui la concernent.
| Question | Marianne |
|---|---|
| Hébergeur | OVHcloud, hébergeur français, sur un serveur situé en Allemagne |
| Sauvegardes | Quotidiennes sur le serveur, avec une copie hors site en France |
| Accès | Administration du serveur par clé cryptographique, réservée au président de Civik-ia |
| Sous-traitants | Listés dans l’accord sur le traitement des données remis à la mairie (hébergeur, éditeur du modèle d’IA et, à l’ouverture de l’espace mairie, service d’envoi des codes de connexion) |
| Modèle d’IA | Mistral Small, de Mistral AI, société française, dans une version datée choisie par Civik-ia |
| Lieu de calcul du modèle | Non fixé par contrat |
| Fin de contrat | Sur demande, restitution des données et de la base de connaissances en CSV, JSON ou PDF dans les trente jours suivant la fin du contrat, puis suppression (accord sur le traitement des données, article 14) |
| Qualification | Aucune : Marianne n’est pas hébergée sur une offre qualifiée SecNumCloud |
Marianne est hébergée chez OVHcloud, hébergeur français, sur un serveur situé en Allemagne, et s’appuie sur Mistral AI, société française. Le lieu de calcul du modèle n’est pas fixé par contrat. L’identité de chaque sous-traitant, sa prestation et son lieu de traitement se lisent dans l’accord sur le traitement des données ; Mistral AI recourt à ses propres sous-traitants, dont elle publie la liste. Le détail est sur la page guichet citoyen IA et sur la page Conformité RGPD.
Questions fréquentes
Une commune est-elle obligée d’utiliser un hébergeur SecNumCloud ?
Je n’ai trouvé aucune obligation de ce type (recherche du 20 octobre 2026). La doctrine « cloud au centre » et l’article 31 de la loi SREN visent l’État, ses opérateurs et six groupements d’intérêt public. Une proposition de loi adoptée par le Sénat le 17 décembre 2025, que l’Assemblée nationale n’avait pas votée au 21 octobre 2026, étendrait cette exigence aux régions, aux départements, aux communes et aux intercommunalités de plus de 30 000 habitants, pour leurs données d’une sensibilité particulière.
Que garantit une qualification SecNumCloud ?
C’est une qualification de l’ANSSI qui reconnaît une offre cloud et les pratiques d’exploitation de son opérateur, avec une protection contre les lois extraterritoriales. Elle ne garantit pas la sécurité des services que le client construit ou configure sur cette offre.
Qu’est-ce que la réversibilité d’un contrat ?
C’est la possibilité de récupérer ses données et de changer de fournisseur. Depuis le 12 septembre 2025, le règlement européen sur les données fixe un préavis de deux mois au plus, une transition de trente jours au plus et au moins trente jours pour récupérer les données.
Un logiciel hébergé en Europe est-il souverain ?
Pas nécessairement. L’hébergement n’est qu’un critère. Les accès, les sous-traitants, le droit qui s’applique à chacun, le lieu de calcul d’une éventuelle IA et la sortie des données comptent autant. Le mot « souverain » n’a pas de définition légale pour une commune : il se vérifie critère par critère.
Qui décide du choix de l’hébergement dans une commune ?
L’ANSSI écrit, pour les systèmes d’information qu’elle vise, que la décision de migrer vers le cloud relève de la plus haute autorité de l’entité, éclairée par une étude d’impact et une analyse de risques. Dans une commune, le contrat suit les règles de la commande publique et se signe par le maire, autorisé par le conseil municipal ou par délégation de celui-ci (article L. 2122-22 du code général des collectivités territoriales). Le délégué à la protection des données y est associé en temps utile (article 38 du RGPD), et le choix se garde par écrit.