Auteur : Noah Phillips, Data Protection Officer et Deputy General Counsel chez Unit4
Le rachat de DigiD par une entreprise américaine n’aura finalement pas lieu, mais l’inquiétude demeure. Le débat sur la souveraineté numérique n’a jamais été aussi actuel. Et il dépasse largement les frontières des Pays-Bas : l’Allemagne mise sur GAIA-X, l’administration française prend ses distances avec Zoom, Teams et Microsoft, tandis que la Cour pénale internationale (CPI) a délaissé MS Office au profit de solutions open source.
Toutes les organisations n’ont pourtant pas besoin d’une souveraineté numérique totale. Le bon choix dépend des risques encourus, de la sensibilité des données et du degré de dépendance à l’égard des fournisseurs. Voici comment procéder à une évaluation réfléchie.
Les différentes dimensions de la souveraineté
La souveraineté numérique recouvre trois dimensions : les données, le cloud et l’intelligence artificielle. La souveraineté des données concerne leur lieu de stockage, les personnes qui peuvent y accéder et la juridiction applicable. Celle du cloud porte sur la maîtrise des infrastructures et des dépendances vis-à-vis des prestataires. Quant à la souveraineté en matière d’IA, elle touche à l’entraînement, à la gestion et au contrôle des systèmes : d’où proviennent les données d’entraînement et qui peut accéder aux informations sensibles et aux requêtes adressées aux modèles ?
Pour une organisation européenne, opter pour une « architecture informatique souveraine » signifie surtout migrer vers une plateforme technologique européenne, dont la technologie et les données hébergées relèvent entièrement de la juridiction d’un État européen. Les données des clients sont ainsi protégées contre les ingérences d’autres pays.
Quel intérêt à changer ?
Avant de faire de la souveraineté technologique une priorité, une organisation doit se demander si elle répond réellement à ses besoins. Quel est l’intérêt concret d’un tel changement ? Pour y voir clair, plusieurs questions méritent d’être posées.
Quelle est la réalité du risque ?
Dans quelle mesure des autorités étrangères ou une évolution de la législation pourraient-elles compromettre votre accès à vos données ou à vos plateformes technologiques ? Les cas connus dans lesquels des autorités étrangères ont exigé, et a fortiori obtenu, l’accès à des données stockées en Europe sont en réalité peu nombreux. Le risque direct d’un accès non souhaité est donc limité.
La dépendance à des plateformes fournies par des entreprises soumises à une législation étrangère suscite néanmoins des inquiétudes légitimes. Une demande d’accès visant des données précises peut être rare, mais une sanction ou un changement de politique peut, d’un seul coup, compromettre l’accès à une plateforme entière. Les sanctions américaines contre la Cour pénale internationale l’an dernier l’ont montré.
Qu’avez-vous à y gagner ?
Une meilleure maîtrise des données et une moindre dépendance ne sont pas les seuls avantages : votre réputation peut également en bénéficier. Les pouvoirs publics et les organisations sont de plus en plus nombreux à vouloir renforcer le secteur technologique européen. Choisir des fournisseurs locaux permet de montrer que votre organisation contribue à son développement.
Toutes les données ont-elles la même importance ?
Certaines données sont plus sensibles ou plus essentielles aux activités de l’organisation que d’autres. En faisant cette distinction, vous pouvez décider de stocker localement les informations les plus critiques et éviter qu’elles ne relèvent de la juridiction d’un autre pays.
Savez-vous d’où viennent vos données ?
Les outils d’IA sont aujourd’hui entraînés à partir de données provenant de sources très diverses, sans que leur origine soit toujours transparente. Pour évaluer la souveraineté d’un système d’IA, il faut déterminer d’où proviennent les données, mais aussi les modèles qui les traitent, et à quelles juridictions ils sont soumis.
Comment vos fournisseurs et vous-même protégez-vous les données ?
Ne vous limitez pas à vos propres mesures de protection : examinez aussi les garanties pratiques, techniques et juridiques proposées par vos fournisseurs technologiques. Sont-elles suffisantes pour vous permettre de faire confiance à une plateforme qui n’est pas souveraine ?
À quoi renoncez-vous ?
La souveraineté numérique a aussi un coût. Les fournisseurs mondiaux dominent le marché du cloud grâce à l’étendue et à la richesse de leurs offres. Une solution locale peut offrir une disponibilité ou une résilience moindres, ou dépendre davantage de systèmes vieillissants. Votre organisation peut-elle assumer ces contraintes ou trouver des partenaires locaux capables de l’accompagner ?
Au-delà de l’effet de mode
Si la souveraineté numérique est au cœur de l’actualité, ce n’est pas sans raison. Les décisions doivent néanmoins reposer sur ce qui compte réellement pour votre organisation, vos collaborateurs et vos clients. Une approche réfléchie, fondée sur différents niveaux de risque, est souvent plus réaliste que la recherche d’une souveraineté totale.
À propos de l’auteur
Noah Phillips est Deputy General Counsel et Data Protection Officer chez Unit4. Il possède 20 ans d’expérience à la croisée du droit, de la protection des données et des technologies. Après avoir dirigé pendant de nombreuses années les activités juridiques commerciales, il a récemment pris en charge une mission stratégique chez Unit4. Il veille à ce que l’innovation s’inscrive dans un cadre responsable au sein de la stratégie d’IA de l’entreprise, contribue à définir des règles solides pour le traitement des données et joue un rôle de premier plan dans ses projets les plus stratégiques. Son travail consiste notamment à concilier la gestion des risques et la conformité avec les besoins de développement de l’organisation.
Avant de rejoindre Unit4, Noah a exercé comme juriste d’entreprise au sein d’un grand cabinet d’avocats britannique, où il conseillait ses clients sur des acquisitions d’entreprises publiques et privées. Il a également été détaché auprès d’un important courtier et cabinet de conseil financier de la City de Londres.
