IA juridique et CLOUD Act : le guide pour les juristes français

Alors que la complexité réglementaire ne cesse de croître à l’échelle mondiale, une question revient souvent : « Si vous êtes établis aux États-Unis, le gouvernement américain peut-il accéder secrètement à nos données ? »

Avec plus de la moitié de nos clients établis hors des États-Unis et des bureaux à Londres, Paris, Madrid, Munich et en Australie (pour n’en citer que quelques-uns), notre organisation est pensée pour répondre aux besoins de nos clients partout dans le monde. Notre approche en matière de confidentialité repose sur la rigueur juridique, la transparence opérationnelle et l’engagement à respecter les normes les plus strictes en matière de protection des données. Cette note explique précisément comment nous abordons les demandes d’accès aux données émanant des autorités et pourquoi le scénario évoqué ci-dessus est non seulement improbable, mais aussi incompatible avec nos valeurs en tant qu’entreprise.

Américaine, mais mondiale

Nos racines se trouvent aux États-Unis, mais Harvey est, à tous égards, une entreprise mondiale:

• Plus de 50 % de nos clients sont établis hors des États-Unis.
• Nous proposons un traitement des données dans l’UE et en Suisse, ainsi qu’un traitement en Australie.
• Nous nous engageons à respecter les normes internationales et européennes les plus strictes en matière de protection des données et de confidentialité, où que nos clients se trouvent.

La présente note abordera les points suivants:

• Ce que le droit américain dit réellement sur l’accès des autorités publiques aux données, y compris le Clarifying Lawful Overseas Use of Data (CLOUD) Act, largement mal compris.
• Le fait que les entreprises non américaines qui exercent des activités aux États-Unis sont généralement soumises au CLOUD Act.
• Pourquoi le scénario d’« injonctions secrètes de production de données » tous azimuts est extrêmement improbable pour une entreprise comme la nôtre.
• Les garanties concrètes et à plusieurs niveaux que nous mettons en place (techniques, opérationnelles et contractuelles) pour protéger les données des clients, quelle que soit la juridiction qui frappe à notre porte.

Et ma profession de juriste m’impose de donner cet avertissement : il ne s’agit pas d’un conseil juridique. Cette explication présente, en langage simple (du moins je l’espère), la manière dont nous envisageons les demandes d’accès aux données et ce que nous faisons pour protéger les informations de nos clients.

Poser le cadre : le CLOUD Act

Commençons par le CLOUD Act, le texte qui suscite généralement les plus fortes inquiétudes et le plus de FUD (« peur, incertitude et doute » en anglais). Adopté en 2018, le CLOUD Act a clarifié un point essentiel du droit américain : un tribunal américain peut contraindre un prestataire de services soumis à la juridiction américaine à produire les données qui relèvent de sa « possession, garde ou contrôle », même si ces données se trouvent sur un serveur situé hors des frontières des États-Unis. En substance, il dit : « Si un tribunal américain a déjà compétence à votre égard, vous ne pouvez pas vous soustraire à un mandat valide simplement en stockant des données à l’étranger. »

Le CLOUD Act concerne les données qui sont stockées ou traitées par des fournisseurs de services de communication, principalement dans le contexte d’enquêtes pénales, en particulier d’enquêtes sur des infractions graves allant du terrorisme et des crimes violents à l’exploitation sexuelle des enfants et à la cybercriminalité.

Il faut garder à l’esprit que la portée du CLOUD Act est large. Les prestataires de services ayant des activités aux États-Unis et des clients établis aux États-Unis sont soumis au CLOUD Act, car les tribunaux américains peuvent exercer leur compétence sur ces prestataires, quel que soit le lieu où se trouve leur siège. Les données des entreprises européennes restent accessibles aux autorités américaines au titre du CLOUD Act lorsqu’elles utilisent un prestataire de services cloud ou LLM soumis à la juridiction américaine, même si elles n’ont aucune présence aux États-Unis et traitent et stockent les données dans l’UE.

L’adoption, par la Commission européenne, de la décision d’adéquation relative à l’EU-U.S. Data Privacy Framework (DPF) démontre que la Commission a conclu que des données à caractère personnel peuvent être transférées à des organisations américaines participantes (dont Harvey) tout en maintenant un niveau de protection essentiellement équivalent à celui garanti par le droit de l’UE. Fait important, la décision d’adéquation a été adoptée en pleine connaissance des lois américaines existantes qui régissent l’accès des autorités publiques aux données, y compris le CLOUD Act.

Il faut clarifier trois points sur ce que le CLOUD Act ne fait pas:

• Il ne permet pas la surveillance de masse ni les collectes massives de données. Les autorités chargées de l’application de la loi doivent toujours satisfaire aux critères traditionnels applicables aux mandats judiciaires (c’est-à-dire des motifs raisonnables de croire qu’une infraction précise a été commise ou est en train de l’être et que le lieu à perquisitionner contient des preuves de cette infraction, des déclarations sous serment, une approbation judiciaire indépendante et une désignation précise de ce qui est recherché).
• Il ne prime pas automatiquement sur les lois étrangères incompatibles. Si se conformer à une demande américaine devait enfreindre la loi d’un autre pays (le secret professionnel, par exemple), le prestataire de services pourrait contester la demande ou négocier sa portée.
• Il n’empêche pas les prestataires de services de notifier les clients, sauf si un tribunal rend une ordonnance de non-divulgation, et ces ordonnances doivent être strictement circonscrites et limitées dans le temps.

Un autre sigle qui revient fréquemment autour de cette question est FISA (Foreign Intelligence Surveillance Act). La Section 702 de FISA permet au gouvernement de cibler certaines personnes non américaines situées en dehors des États-Unis pour des raisons de sécurité nationale, mais le gouvernement américain a répondu à la confusion entourant FISA par l’intermédiaire du Data Privacy Framework (DPF).

Les mesures introduites dans le cadre du DPF limitent la manière dont le gouvernement américain peut surveiller certaines personnes non américaines et leur donnent la possibilité d’exercer un recours devant les tribunaux américains. Harvey a été l’une des premières entreprises d’IA à être certifiées au titre du DPF, et nous continuons de nous engager à respecter les principes du DPF.

Les National Security Letters (NSL, « lettres de sécurité nationale ») constituent un autre sujet qui revient parfois lorsque l’on discute de cette question. Les NSL ne peuvent être adressées qu’à certains types d’entités, comme les fournisseurs de services de communications filaires et électroniques, les institutions financières et les agences d’information sur les consommateurs, et Harvey ne fournit pas les types de services qui ont historiquement été considérés comme relevant de ces catégories. Même si une NSL nous était adressée, elle ne pourrait pas nous contraindre à divulguer du contenu ; seulement des informations limitées sur l’abonné.

Pourquoi nous sommes une cible improbable

Nous sommes une entreprise d’IA générative qui accompagne les professionnels du droit, pas un géant des télécoms ni un mastodonte des réseaux sociaux. Nous traitons les prompts générés par les utilisateurs et stockons précisément ce que nos clients nous demandent de stocker, rien de plus. Pour le dire simplement, nous ne sommes pas une cible facile si les agences de renseignement américaines partent à la chasse aux données. En réalité, les entreprises comme la nôtre ont peu de chances de recevoir une ordonnance clandestine de collecte indifférenciée, et voici pourquoi:

• Volume et contexte des données : nous ne détenons que ce que les clients choisissent d’importer. Nous ne conservons pas des années d’e-mails, de photothèques ou de métadonnées téléphoniques. Cela fait de nous une source peu efficace pour les enquêteurs.
• Conservation contrôlée par les clients : nos clients peuvent définir des durées de conservation strictes ou demander la suppression de leurs données à tout moment. Les données conservées peu longtemps offrent moins de gisements à exploiter pour les autorités.
• Secret professionnel et obstacles juridictionnels : le CLOUD Act prévoit des mécanismes permettant de contester les demandes qui violeraient des lois étrangères, notamment le secret professionnel ou la réglementation de l’UE en matière de protection des données. Toute demande légale qui imposerait une violation de ces obligations ouvre la voie à un sérieux bras de fer sur les conflits de lois, ce que les tribunaux américains s’efforcent d’éviter.
• Aucun précédent : à ce jour, nous n’avons jamais reçu de demande portant sur les données de clients de la part du gouvernement américain, ni d’aucun autre gouvernement dans le monde. Nous ne sommes tout simplement pas le type d’entreprise susceptible d’être ciblée.

Garanties techniques et procédurales

Harvey dispose depuis ses débuts de politiques claires sur la manière dont nous traiterions toute demande des autorités chargées de l’application de la loi ; ces politiques sont disponibles sur notre site Web. En bref, si nous recevons une demande (sauf impossibilité légale), nous informons immédiatement tout client concerné et discutons avec lui de la marche à suivre. Et, dans tous les cas, nous contestons toute demande que nous jugeons illicite, trop large ou infondée.

Mais notre approche ne se limite pas à l’angle contractuel. Nous faisons preuve de transparence envers nos clients sur les lieux où leurs données sont traitées et stockées. Nous proposons trois lieux de traitement des données : notre Standard Region (où les données des clients peuvent être traitées aux États-Unis, dans l’UE et en Suisse), notre EU Region (où les données des clients sont traitées dans l’UE et en Suisse) et notre Australian Region (où les données des clients sont traitées en Australie).

Au-delà de ces trois régions de traitement des données, nous offrons aux clients une multitude de choix quant au lieu de stockage de leurs données (les régions possibles couvrant plus de 30 pays). Et, à tout moment, les clients contrôlent les durées de conservation de leurs données.

Que se passe-t-il si nous recevons une demande?

Pourrions-nous recevoir une demande officielle demain ? Oui, c’est possible. Mais si cela arrive, nous avons une marche à suivre claire qui place nos clients au cœur de nos priorités. Imaginons donc un cas où nous recevons effectivement une demande.

Étape 1 : réception et information du client

Sauf interdiction expresse d’un tribunal, nous informons immédiatement le client concerné. Et si une interdiction de notifier un client nous est imposée, nous ferions tout notre possible pour obtenir la levée de l’interdiction. Les injonctions secrètes de production de données ne sont « secrètes » que lorsqu’un juge estime que la notification nuirait gravement à une enquête (par exemple, en cas de risque imminent pour la vie, de destruction de preuves ou d’intimidation de témoins). Même dans ce cas, les ordonnances de non-divulgation sont limitées dans le temps (généralement à un an ou moins).

Étape 2 : vérification

Nous vérifions la validité juridique de la demande. Est-elle signée par un juge ? Cite-t-elle le texte applicable ? Sa portée est-elle excessive ? Si elle ne satisfait pas à l’un de ces critères, nous nous y opposons et explorons toutes les voies de recours possibles.

Étape 3 : évaluation des conflits de lois

La demande entre-t-elle en conflit avec le RGPD, le secret professionnel ou d’autres lois locales ? Le cas échéant, nous la contesterions ou chercherions à en réduire la portée. Au titre du CLOUD Act, les prestataires peuvent demander aux tribunaux de modifier ou d’annuler les ordonnances qui créent des conflits de lois internationaux.

Étape 4 : divulgation minimale

Si nous devons nous conformer à la demande, nous produisons uniquement les données spécifiques désignées dans l’ordonnance : pas de recherche exploratoire, pas de métadonnées supplémentaires.

Notre approche de la confidentialité et de la sécurité

La confidentialité des données n’est pas une question de géographie, mais de gouvernance, de transparence et de contrôle. Nous nous engageons à offrir ces trois éléments à nos clients. Notre approche consiste à intégrer la confidentialité et la sécurité dans Harvey dès la conception, à donner aux clients des options claires sur le lieu et les modalités de traitement de leurs données, et à dire avec une clarté absolue comment nous répondons quand la justice vient frapper à notre porte.

Être établi aux États-Unis ne signifie pas que nous ignorons le droit européen ou les préoccupations internationales en matière de confidentialité. Cela signifie que nous redoublons d’efforts pour atteindre la référence absolue, partout. Nous avons bâti notre infrastructure, nos accords juridiques et notre culture autour d’un objectif : gagner et conserver la confiance de nos clients. Nous devons continuer à gagner et conserver votre confiance en faisant preuve d’une transparence absolue sur la manière dont nous traitons vos données, en investissant dans une sécurité de pointe et en contestant toute demande qui ne respecte pas des garanties procédurales rigoureuses.

En bref, la protection des données ne dépend pas du lieu où votre entreprise a son siège ; elle dépend des systèmes, des engagements et de la culture que vous bâtissez. Nous prenons cette responsabilité au sérieux et sommes toujours heureux d’approfondir l’un ou l’autre de ces points. Écrivez-nous un mot, planifiez une revue de sécurité ou testez-nous sur le CLOUD Act : nous sommes ouverts à la discussion.