Là souveraineté numérique figure à l’ordre du jour des conseils d’administration, sous l’effet des tensions géopolitiques, de l’évolution des réglementations et de la dépendance croissante à l’égard des grands fournisseurs technologiques internationaux. Cependant, un dilemme se pose pour les organisations : un contrôle accru sur les infrastructures, les données et les opérations peut entraîner des coûts plus élevés, moins de flexibilité et un accès plus limité à l’innovation.
C'est le « paradoxe stratégique » décrit par Deloitte dans une analyse dédiée au cloud souverain. Le cabinet de conseil invite les entreprises à dépasser l'idée d'autonomie absolue et à identifier les domaines dans lesquels la dépendance à l'égard de tiers génère des risques excessifs, en les distinguant de ceux dans lesquels elle représente un compromis durable en échange de vitesse, de capacité de calcul et de services avancés.
La question centrale change donc de perspective. La question à se poser n'est plus celle de l'opportunité de devenir souverain, mais où et dans quelle mesure la souveraineté est réellement nécessaire.
Souveraineté numérique, le contrôle va au-delà de la localisation des données
Deloitte définit la souveraineté numérique comme la capacité de garder le contrôle sur les technologies, les informations et les opérations les plus importantes pour une organisation. Ce résultat résulte de la combinaison de mesures juridiques, opérationnelles et techniques capables de limiter l’exposition aux influences extérieures et de répondre aux exigences réglementaires et géopolitiques.
Le choix du pays dans lequel résident les données, selon le cabinet de conseil, n'est qu'une partie du problème. Il est nécessaire de déterminer qui peut accéder aux informations, en vertu de quelles lois et dans quelles circonstancesainsi que la manière dont le cryptage, les droits d’accès et l’exposition éventuelle à des juridictions étrangères sont gérés.
Une infrastructure située en Europe, par exemple, peut continuer à être soumise à des règles extraterritoriales si le prestataire qui la contrôle relève d'un système extérieur à l'Union. C'est dans ce contexte que Deloitte rappelle l'US CLOUD Act, la législation qui peut sous certaines conditions obliger les entreprises américaines à fournir aux autorités des données stockées en dehors des Etats-Unis.
Les quatre dimensions indiquées par Deloitte
L’analyse identifie quatre composantes de la souveraineté numérique. Le premier concerne les données et comprend leur résidence, le lieu où elles sont traitées, les mécanismes de protection et les lois applicables. Pour les entreprises, cela signifie connaître toute la chaîne de gestion de l’information, au-delà de l’adresse physique du data center.
La deuxième dimension est opérationnelle. Les organisations doivent savoir qui gère les systèmes critiques, où se trouve le personnel autorisé, qui peut intervenir en cas d'accident et quels sujets ont accès à l'infrastructure. Ce sont des aspects décisifs pour la continuité des services, notamment dans les domaines des télécommunications, de l'administration publique, de la santé, de l'énergie et des services financiers.
La souveraineté technique, quant à elle, concerne la possibilité de changer de fournisseur et de transférer des applications et des données sans faire face à des coûts ou à une complexité insoutenables. Des standards ouverts, des architectures interopérables et une gestion directe des clés et identités cryptographiques peuvent contribuer à préserver cette liberté de choix.
Le quatrième volet combine la conformité réglementaire et la compétence. Les contrats, les fournisseurs, les modèles d'accès et de gouvernance doivent être évalués en tenant compte à la fois des règles du pays dans lequel l'organisation opère et des règles auxquelles sont soumis ses partenaires technologiques. La conformité formelle doit donc s'accompagner de la capacité à identifier les risques et à démontrer comment ils sont gérés.
Hyperscalers et fournisseurs européens, le choix dépend des charges de travail
Deloitte conteste une lecture binaire du marché, fondée sur l'alternative entre un environnement entièrement souverain et le recours à de grands opérateurs mondiaux. Les hyperscalers offrent des économies d’échelle, des outils avancés et des systèmes de sécurité matures. Les abandonner complètement pourrait ralentir le développement des services et réduire l’accès aux dernières innovations.
Les fournisseurs de cloud souverains, pour leur part, étendent rapidement leurs capacités et peuvent offrir un meilleur contrôle sur la localisation des informations, les activités opérationnelles et les juridictions applicables. Leurs écosystèmes et catalogues de services, note Deloitte, pourraient encore ne pas atteindre l'étendue de ceux proposés par les plus grands fournisseurs mondiaux.
D’où l’étape suggérée dans l’analyse : au lieu de se demander « Quel fournisseur devrions-nous choisir ? », les organisations devraient se demander « Quelles charges de travail doivent se trouver à quelle place ? ». Les applications, ensembles de données et ressources technologiques nécessitent différents niveaux de protection et d’autonomie.. Le choix du lieu doit donc être décidé en fonction de la criticité de la charge de travail individuelle, des risques associés et du degré de surveillance réellement nécessaire.
Cette approche conduit vers des architectures hybrides et multicloud, dans lesquelles les composants les plus sensibles peuvent être confiés à des environnements aux exigences plus strictes, tandis que les autres services continuent de bénéficier de l'évolutivité et des fonctionnalités offertes par les plateformes mondiales.
La dépendance vis-à-vis du fournisseur limite les choix futurs
Les décisions prises aujourd’hui peuvent restreindre les options disponibles demain. Selon Deloitte, la dépendance vis-à-vis d'un fournisseur tend à se développer progressivement : les applications intègrent des services propriétaires, les intégrations se multiplient et la migration vers une autre plateforme devient progressivement plus coûteuse et complexe.
Concevoir dès le départ des applications critiques avec des critères de portabilité permet de réduire cette dépendance. Des normes ouvertes, des interfaces interopérables et une protection adéquate des données, de l'identité et du cryptage facilitent le changement de fournisseur lorsque la technologie, la réglementation ou le scénario géopolitique évoluent.
Il s'agit pour Deloitte d'utiliser consciemment les plateformes des hyperscalers, tout en préservant la possibilité de changer de cap. La souveraineté numérique prend ainsi le sens d’une capacité stratégique : connaître les dépendances, protéger les actifs essentiels et maintenir ouvertes davantage d’alternatives technologiques.
Une carte des priorités pour commencer le voyage
La première étape consiste à identifier les données, applications et capacités pour lesquelles le contrôle direct produit un avantage concret. L'évaluation doit ensuite établir le niveau approprié en fonction des risques juridiques, techniques, opérationnels et géopolitiques.
Le dernier élément concerne l'adaptabilité de l'architecture. Des systèmes conçus pour évoluer permettent aux entreprises de réagir aux changements réglementaires, aux transformations des marchés et aux nouvelles tensions internationales. La souveraineté devient alors un choix gradué, lié à la valeur et à la sensibilité des actifs, plutôt qu'une exigence uniforme appliquée à l'ensemble du patrimoine technologique.
Voir l’article original en italien
