Le cloud n’est plus seulement un choix technologique : il est devenu un sujet de politique industrielle, de sécurité et de compétitivité. C’est précisément pour cette raison qu’il convient d’être précis sur les mots et les limites : lorsque nous parlons de cloud, de quoi parle-t-on réellement ? Et que signifie concrètement « cloud souverain » ? Dans cet entretien avec Michele Zunino, PDG de Netalia, essayons de nous concentrer sur les définitions et les priorités, en passant de la différence entre plateforme cloud et simple infrastructure à la question de la dépendance aux hyperscalers – non seulement en termes de sécurité, mais aussi de disponibilité et de pouvoir de décision – jusqu'aux leviers politiques et industriels pour construire un périmètre de protection crédible pour le système du pays.
Zunino, commençons par l'essentiel : qu'est-ce que le « cloud » aujourd'hui, de manière opérationnelle ? Quels critères minimaux faut-il avoir pour parler de cloud et quand parle-t-on simplement d'infrastructure/logement avec un label ?
Pour moi, le cloud, dans la définition du NIST (National Institute of Standards and Technology), est une infrastructure entièrement partagée qui permet à plusieurs parties d'utiliser les ressources disponibles et de les payer en fonction de leur consommation : je l'utilise quand j'en ai besoin et je ne le paie pas lorsque je ne l'utilise pas. Ce n'est pas du cloud pour construire un système pour moi-même, le mettre dans le centre de données et en avoir un usage exclusif : ce qu'on appelle « cloud privé » perd son sens, car si je l'engage constamment, il devient un coût d'amortissement et non un simple coût d'exploitation, et à ce stade il perd sa raison d'exister. Combien d’entre nous en Italie font réellement ce travail ? À mon avis, très peu : les opérateurs qui répondent à la description du NIST ne sont pas plus de cinq. Mais en Italie, nous parlons d'environ 8 milliards de services cloud, en croissance de 20 % par an : que vaut l'offre de ces opérateurs entièrement « cloud » ? Mon estimation est d'environ 100 millions. Au-delà des chiffres exacts, difficiles à calculer, ce que l’on peut souligner avec certitude, c’est l’énorme écart entre les dépenses et l’offre nationale.
Si en Italie les dépenses en matière de cloud se chiffrent en milliards mais que l'offre nationale de « full cloud » est très réduite, qu'est-ce que cela nous apprend sur notre souveraineté numérique ?
C’est ici que commencent les vraies questions : qu’est-ce que la souveraineté ? Qui doit agir pour le garantir ? Quelle valeur voyons-nous dans la souveraineté ? Je souris quand j’entends parler de « souverainisation », c’est-à-dire prendre les systèmes existants et mettre en place des couches de gouvernance par-dessus eux qui les rendent « comme par magie » souverains. La souveraineté ne part pas de la technologie, elle part de la politique, de la défense d’un intérêt et d’un périmètre.
Quand vous dites que la souveraineté est avant tout politique plutôt que technologique : quel est concrètement le « périmètre d’intérêt » que l’État doit définir et protéger ?
Aujourd’hui, ce périmètre ne peut être que national : la souveraineté européenne n’existe pas encore. Je le voudrais bien, mais la souveraineté numérique européenne ne sera pas le premier élément qui rendra crédible une Europe unie : nous avons d’abord besoin d’une réforme budgétaire et d’une réforme de la défense. Lorsqu’ils existeront, nous pourrons alors « planer au-dessus » d’eux avec la souveraineté numérique. Tant que cette Europe n’émergera pas, la souveraineté numérique ne guidera pas la formation de l’Europe. Pour parvenir à la souveraineté européenne, nous procéderons à mon avis par le bas : les souverainetés nationales sont créées puis façonnées au niveau européen.
Le sujet de la souveraineté numérique est étroitement lié à la relation avec les Big Tech. Quelle idée avez-vous eu ?
Sur la souveraineté numérique et les hyperscalers, je souligne deux thèmes. La confidentialité d’abord : elle est aujourd’hui surtout remise en question par les grands moteurs d’intelligence artificielle qui doivent entraîner des algorithmes sur d’énormes bases de données. Le problème n'est pas simplement « ils volent mes projets » : le problème est que ma base d'informations participe à la création d'une valeur que je ne gouverne pas. Ceux qui gouvernent l’IA profitent des informations que je leur ai fournies, même inconsciemment, et transfèrent cette valeur ailleurs, en la valorisant sur le marché. Le deuxième thème est la disponibilité.
Et c'est ça ?
Si un acteur extérieur avait la capacité d’interrompre le fonctionnement des services essentiels, il pourrait bloquer le pays. Aujourd’hui, une partie importante des applications et même certains systèmes de téléphonie mobile fonctionnent sur des plateformes hyperscalers. Si les hyperscalers « désactivent » la disponibilité, nous devenons aveugles. La question ici est : avons-nous vraiment besoin de toute cette capacité ? Notre capacité à décider en vaut-elle la peine ? Il est contradictoire de penser à des hyperscalers « souverains », car le problème n’est pas seulement la sécurité : c’est la disponibilité, ou l’accès aux données, et nous ne contrôlons pas cette disponibilité. La résidence des données est importante, mais elle ne suffit pas : il n'est pas vrai que « si elles sont en Italie, les données sont souveraines ».
Et alors ?
La solution pourrait être le rapatriement (ou la géopariation, si l'on veut le lier principalement à des raisons d'ordre géopolitique), c'est-à-dire ramener les données et les applications dans un périmètre reconnu, mais sans tout ramener « en interne » : en utilisant des entités qui répondent à des périmètres de protection compatibles avec l'intérêt « national », capables d'offrir un service similaire ou proche des hyperscalers, mais avec des logiques différentes, en maintenant efficacité et rendement et en garantissant la durabilité. Une solution qui répondrait également aux besoins des PME qui ne sont pas en mesure, pour des raisons d’échelle et économiques, de gérer efficacement un système d’information complexe qui nécessite des spécialistes (données, analyses, sécurité, continuité opérationnelle), une gouvernance et une conformité, des compétences et des plateformes intégrées.
En matière de géopatriation, quelles conditions doivent exister pour que ce périmètre soit véritablement protecteur et non seulement narratif ?
Au moins trois choses doivent être faites : qualifier le secteur des TIC : se concentrer et travailler dans les écosystèmes, sans improviser comme des je-sais-tout ; revue des processus : adopter le cloud, c'est repenser les processus de manière nativement numérique, et non simplement « transporter » l'analogique ; marchés publics : les marchés publics doivent orienter les dépenses dans un périmètre d'intérêt. Les grands opérateurs grandissent grâce à une commande interne forte, l'erreur est de prendre toutes nos commandes à l'étranger.