CADA : comment l'UE inscrit le principe « AI first » dans son droit

Une analyse publiée le 6 août 2026 par le Future of Privacy Forum met en lumière un pan du CADA (Cloud and AI Development Act) resté dans l'ombre depuis sa présentation par la Commission européenne début juin 2026. Au-delà de la souveraineté cloud, le texte codifie pour la première fois dans le droit de l'UE le principe « AI first » et fait de l'ouverture des données — y compris personnelles — à l'entraînement de l'IA un objectif stratégique. Pour les DPO, c'est un signal à ne pas manquer : ce virage est le pendant réglementaire du Digital Omnibus, qui veut justement assouplir le RGPD sur ce même terrain.

Ce qui s'est passé

Le CADA, présenté début juin 2026 dans le cadre du paquet « souveraineté technologique » de l'UE, poursuit deux objectifs : renforcer la compétitivité et la capacité d'innovation de l'UE dans le cloud et l'IA, et accroître sa résilience et son autonomie stratégique. Jusqu'ici, l'attention s'est concentrée sur le second volet — les niveaux d'assurance de souveraineté cloud pour la commande publique. L'analyse de la juriste Gabriela Zanfir-Fortuna (FPF) montre que le premier volet est tout aussi structurant : le CADA est le premier texte de régulation tech de l'UE à poser des obligations positives visant à faciliter l'innovation, plutôt qu'à l'encadrer par des interdictions ou des exigences de conformité.

Concrètement, le texte crée des « Cloud and AI Leadership Initiatives », impose à chaque État membre d'établir un « Centre pour l'IA » et une stratégie nationale cloud et IA, et instaure des « zones d'accélération » pour les datacenters avec permis simplifié. Fait notable : les titres II et III du CADA ne comportent quasiment aucune obligation pour les entreprises — l'essentiel du poids réglementaire repose sur les États membres et la Commission, sur le modèle de l'AI Action Plan américain ou de l'AI Promotion Act japonais.

Pourquoi c'est important pour les DPO

Le CADA inscrit dans la loi le principe « AI first », lancé par Ursula von der Leyen en octobre 2025 : face à un problème, la première question doit être « comment l'IA peut-elle aider ? ». Ce principe figure désormais explicitement dans les objectifs des Centres pour l'IA et dans le contenu obligatoire des stratégies nationales (article 7 du CADA). Le texte comble aussi un vide de l'AI Act en donnant une définition juridique à l'« IA frontière » et aux « agents IA ».

Le point le plus sensible pour la conformité RGPD concerne les données. Le CADA érige l'accès aux données — personnelles et non personnelles — pour l'entraînement de l'IA en objectif stratégique de l'UE, notamment via l'obligation pour les États membres d'inclure dans leur stratégie nationale des mesures « pour prévenir les goulots d'étranglement » dans l'accès aux données. Cette dynamique s'appuie directement sur le Digital Omnibus, qui propose une nouvelle base légale d'intérêt légitime par défaut pour l'entraînement et le fonctionnement des systèmes d'IA, ainsi qu'une exception à l'article 9 du RGPD pour les données sensibles dans ce même contexte.

Ce que ça change pour les organisations

Trois points de vigilance à intégrer dans votre veille réglementaire :

D'abord, le CADA et l'AI Act Omnibus — qui reporte les obligations pour les systèmes à haut risque à décembre 2027, voire août 2028 — convergent vers un assouplissement global du cadre européen de l'IA. Les DPO ne doivent pas y voir un simple report de calendrier, mais un changement de philosophie : l'UE bascule d'une logique de risque vers une logique de promotion, sans pour autant abandonner l'AI Act.

Ensuite, si le Digital Omnibus aboutit dans sa version actuelle, la base légale de traitement pour l'entraînement de systèmes d'IA pourrait évoluer significativement — avec un intérêt légitime facilité et une porte ouverte sur les données sensibles. Il est encore tôt pour ajuster vos registres de traitement, mais c'est le moment d'anticiper la discussion avec vos équipes IA/data.

Enfin, les futures « zones d'accélération » de datacenters et les niveaux d'assurance cloud (déjà couverts dans notre précédent article sur le CADA) restent le levier le plus concret à court terme pour challenger vos prestataires cloud sur leur exposition au Cloud Act américain.

Ce que Leto pense de cette décision

Le CADA est trop souvent lu comme un texte d'infrastructure — datacenters, souveraineté, marchés publics. L'analyse du FPF a le mérite de révéler sa dimension la plus engageante pour les DPO : un texte qui, sans toucher une ligne du RGPD, prépare le terrain politique pour justifier qu'on l'assouplisse ailleurs. Le vrai enjeu n'est donc pas le CADA isolément, mais sa lecture conjointe avec le Digital Omnibus. Les deux textes avancent en parallèle et se renforcent mutuellement : l'un fixe l'ambition politique (« AI first », accès aux données), l'autre prépare les outils juridiques pour la concrétiser. Ignorer le CADA parce qu'il semble technique serait une erreur — c'est le contexte qui donne son sens au débat sur l'intérêt légitime pour l'IA.

Sources : Future of Privacy Forum — CADA: An (E)U-turn on AI regulation