Confirmé le 7 septembre 2026 par Business in Cameroon, le projet de data center IA de 75 millions de dollars (42,25 milliards de FCFA) que l’Américain Cybastion veut construire à Douala est présenté comme un « centre de données souverain ». Mais Cybastion est une entreprise de droit américain — et à ce titre, elle reste soumise au CLOUD Act, la loi de 2018 qui autorise Washington à exiger d’elle des données, où qu’elles soient stockées dans le monde.
Ce qui se passe
Le Clarifying Lawful Overseas Use of Data Act (CLOUD Act) a été adopté par le Congrès américain en 2018, à la suite d’un contentieux opposant Microsoft au gouvernement fédéral, qui réclamait des courriels stockés sur un serveur de l’entreprise en Irlande. La loi tranche la question en fixant un principe simple : ce qui compte n’est pas le lieu où se trouve le serveur, mais la nationalité de l’entreprise qui l’exploite. Toute société dont le siège est aux États-Unis — y compris ses filiales à l’étranger — peut être contrainte par mandat judiciaire américain de transmettre les données qu’elle contrôle, indépendamment du pays où ces données sont physiquement hébergées.
La portée de cette règle n’a rien de théorique. En juin 2025, devant une commission d’enquête du Sénat français, le directeur des affaires publiques et juridiques de Microsoft France a reconnu sous serment que l’entreprise ne pouvait pas garantir la souveraineté des données de ses clients français face à une injonction américaine légalement fondée. Le constat vaut pour n’importe quel client d’une entreprise américaine, en France comme au Cameroun.
C’est dans ce cadre juridique que s’inscrit le projet présenté par Cybastion à Douala. L’entreprise, fondée à Washington en 2019 par le Camerounais-Américain Thierry Wandji Ketchiozo, qualifie son futur data center de « centre de données souverain », un terme censé rassurer sur la localisation et la maîtrise des données qui y seront hébergées. Or Cybastion demeure, par sa nationalité juridique, un opérateur américain — exactement le type d’entreprise que le CLOUD Act habilite les autorités des États-Unis à solliciter, quel que soit l’endroit où elle installe ses serveurs.
Impact Afrique
Un précédent camerounais déjà documenté
L’exposition du Cameroun au CLOUD Act n’est pas une hypothèse. Selon l’opérateur camerounais ST Digital, une banque camerounaise a reçu dès 2018 une demande de communication de données émanant d’autorités américaines, alors que ces données n’étaient pas stockées aux États-Unis et n’avaient aucun lien apparent avec ce pays : seule la nationalité de son hébergeur, une entreprise américaine, justifiait la démarche. C’est précisément ce précédent que ST Digital met en avant pour vendre son propre positionnement de « cloud souverain africain », avec des data centers Tier III à Douala et à Yaoundé, présentés comme non exposés au CLOUD Act parce qu’exploités par une entité soumise au droit local.
Le paradoxe est donc géographique autant que juridique : à Douala même, deux définitions concurrentes de la « souveraineté numérique » coexisteraient — celle de Cybastion, adossée à des capitaux et une gouvernance américains, et celle d’un opérateur panafricain qui construit son argument commercial sur l’absence de lien avec le droit des États-Unis.
Une loi camerounaise récente, mais qui ne couvre pas ce cas
Le Cameroun s’est doté le 23 décembre 2024 de sa première loi consacrée à la protection des données à caractère personnel, la loi n° 2024/017, entrée en application le 23 juin 2026. Elle crée une Autorité de protection des données chargée, notamment, de publier des décisions d’adéquation pour les transferts internationaux. Mais selon une analyse juridique publiée par le cabinet TechHive Advisory, cette loi n’a pas d’applicabilité extraterritoriale : elle encadre le traitement des données sur le territoire camerounais, sans disposition spécifique visant à bloquer ou contester une injonction émise par une juridiction étrangère à l’encontre d’une entreprise opérant au Cameroun. Le texte protège donc la donnée en amont — sa collecte, son traitement, son partage — sans répondre frontalement à la question posée par le CLOUD Act : que se passe-t-il quand l’ordre de transmission vient de Washington et vise une entreprise américaine installée à Douala ?
Un modèle de financement qui approfondit la dépendance
Le projet de Douala n’est pas isolé dans le portefeuille de Cybastion. En Côte d’Ivoire, un projet voisin de 170 millions de dollars a été structuré avec le ministère ivoirien des Finances comme emprunteur, la filiale Cybastion Institute of Technology comme exportateur, et la banque américaine Citibank comme prêteuse, sous la couverture de l’Export-Import Bank of the United States (EXIM) — opération distinguée en mai 2026 comme « Industries of the Future Deal of the Year ». Ce montage illustre un schéma plus large : les data centers « souverains » que Cybastion construit en Afrique — Côte d’Ivoire, Gabon, bientôt Cameroun — sont financés par les instruments de politique commerciale du gouvernement américain lui-même, ce qui lie l’infrastructure numérique du pays hôte non seulement au droit américain, mais aussi à des mécanismes de financement états-uniens dont les conditions échappent largement au contrôle camerounais.
Le contexte camerounais rend cette dépendance d’autant plus significative qu’elle est déjà largement entamée. Une étude 2025 du Centre national de développement de l’informatique (Cenadi) constate que les data centers existants au Cameroun restent majoritairement de niveau Tier 1 ou Tier 2, sans certification internationale, incapables de supporter les charges de calcul liées à l’intelligence artificielle — ce qui pousse déjà les acteurs camerounais à héberger leurs données sensibles à l’étranger, souvent chez des fournisseurs américains. Le projet Cybastion réduirait cette dépendance géographique, sans nécessairement réduire la dépendance juridique qui l’accompagne.
Le dilemme
D’un côté, rapatrier physiquement des capacités de calcul à Douala réduirait une dépendance bien réelle : latence, coûts de bande passante, absence de certification internationale des infrastructures locales. De l’autre, si l’opérateur qui construit et exploite cette infrastructure reste une entreprise américaine, le Cameroun troque une dépendance géographique — ses données hébergées loin de son territoire — contre une dépendance juridique qui, elle, ne se voit pas : la possibilité, pour la justice américaine, d’exiger l’accès à des données pourtant stockées à Douala. La « souveraineté » gagnée sur le plan physique et économique n’équivaut pas à une souveraineté juridique, et les deux notions sont aujourd’hui présentées de façon interchangeable dans la communication autour de ces projets.
Et maintenant ?
Le projet de Cybastion reste, à ce stade, une intention d’investissement : ni le financement, ni la gouvernance exacte de la future infrastructure ne sont arrêtés. C’est précisément à ce stade que la question juridique devrait se poser, avant que l’architecture ne soit figée. La loi camerounaise sur la protection des données entre en vigueur le mois prochain ; elle offre l’occasion, pour l’Autorité de protection des données qu’elle instaure, de préciser — via ses futures décisions d’adéquation ou des clauses contractuelles imposées aux opérateurs étrangers — ce qu’un data center installé au Cameroun mais dépendant du droit américain implique réellement pour les administrations et entreprises camerounaises qui y confieraient leurs données les plus sensibles.
Un data center bâti sur le sol camerounais mais gouverné par le droit américain peut-il être qualifié de « souverain » ? Partagez votre avis en commentaire.
Sources : Business in Cameroon (7 septembre 2026) ; Wikipédia, « CLOUD Act » ; Project Syndicate (2 juin 2026) ; ST Digital, blog (16 juin 2026) ; TechHive Advisory (analyse de la loi n° 2024/017) ; Village de la Justice ; Econuma ; We Are Tech Africa (1er septembre 2026) ; Africtelegraph (8 septembre 2026) ; PORTEO Group (mars 2025) ; Jeune Afrique.