La semaine dernière, nous étions à Marseille pour suivre les actions locales en matière d’intelligence artificielle et de cybersécurité. Durant notre voyage, un sujet est revenu à plusieurs reprises : la souveraineté des données, surtout face aux États-Unis et à la Chine qui ont des lois d’extraterritorialité.

• Perdus face au cloud ? On vous explique les notions principales

Territorialité de la donnée : ça « ne veut strictement rien dire »

Lors d’une visite dans le datacenter MRS3 de Digital Realty France, Fabrice Coquio (président de l’entreprise) affirme : « La notion de territorialité de la donnée ne veut strictement rien dire. La notion de souveraineté éventuellement, si tant est qu’on soit capable de définir la souveraineté ».

Pour la territorialité, il reprend la « fable » « du nuage du Tchernobyl qui s’arrête à la frontière » : « ça ne veut rien dire ». C’est la même chose pour les données qui peuvent emprunter de multiples routes avant d’arriver à destination (même pour un voyage France <> France). On le voit d’ailleurs avec les coupures de câbles sous-marins, les routes sont mises à jour dynamiquement afin d’emprunter d’autres chemins.

C’est quoi une donnée souveraine ?

Comparé à la territorialité, Fabrice Coquio voit plus de difficulté à définir ce qu’est une donnée souveraine : « Est-ce que la radio des poumons de Mme Michu est une donnée souveraine ? Non, c’est surtout une donnée personnelle qu’il faut protéger, et heureusement, on a des lois ». Pour le patron de Digital Reality, « la souveraineté nécessite sûrement que chaque entreprise, chaque acteur public, chaque usager décide ce qu’il considère comme étant souverain ».

Difficile en pareille situation d’avoir une approche globale. Il cite un exemple : « Thales estime que dans toutes ses données, c’est environ 14/15 % de souverain… et c’est Thales ! ». Thales construit pour rappel un « cloud de confiance » avec Google dans une coentreprise baptisée S3ns. Elle est en cours de certification SecNumCloud et espère l’obtenir cet été.

• SecNumCloud : S3NS (Thales/Google) passe le « jalon 0 » de la certification ANSSI, sans réserve

De plus, « il y a une notion dynamique de la souveraineté, ajoute Fabrice Coquio. Est-ce que ce que monsieur Thales a considéré comme souverain l’année dernière est encore souverain cette année ? ». On en revient au nœud du problème : « comment on définit une souveraineté ».

La souveraineté, c'est pouvoir décider… seul

Toujours sur la souveraineté, la définition est pourtant simple pour le colonel Michaël Simond (directeur de l'enseignement et de la recherche, École de l’Air et de l’Espace) : « C’est quand on peut décider. Quand on peut décider seul, on est souverain ». Il cite un exemple : « être capable de développer entièrement un aéronef comme le Rafale avec des entreprises françaises, ça fait qu'on peut intervenir n’importe où dans le monde ».

Un autre exemple de l’importance de la souveraineté (sous l’angle de la prise de décision autonome) concerne l’attaque en Irak, menée par les États-Unis sur la base d'arguments de détention d’armes de destruction massive. La France disposait de ses propres outils de renseignement permettant aux autorités de prendre des décisions, sans s’appuyer sur les documents/déclarations d’autres pays.

Un autre cas de souveraineté dont nous avons longuement parlé sur Next est le GPS… dont le nom, d'ailleurs, est américain. Il faudrait parler de système de positionnement par satellite ou GNSS (pour Géolocalisation et Navigation par un Système de Satellites). Le GPS est le Global Positioning System développé par les États-Unis, contrairement à Galileo qui est européen. C’est aussi ça la souveraineté : avoir ses propres données, ne pas dépendre d’un tiers.

• 10 ans de Galileo, et donc des lancements Soyouz depuis le Centre Spatial Guyanais

La souveraineté face aux partenariats internationaux

Le colonel ajoute que « ce n’est pas parce qu'on travaille avec des entreprises américaines qu'on n’est pas souverain ». Utiliser Windows n’est pas antinomique de souveraineté : « ce qui est important, c'est de s’assurer que l’emploi de l’outil informatique peut se faire en toute indépendance ». Un système complètement isolé avec du Windows peut être souverain. De toute manière, il va être compliqué d’utiliser un système d’exploitation souverain : « On n’en a pas ».

Cette question n’est pas nouvelle et avait déjà enflammé brièvement les débats en 2016. Guillaume Poupard, alors patron de l’ANSSI, n’avait pas été tendre l’idée d’un OS souverain : « Si c'est redévelopper un OS à partir de rien pour mettre je ne sais pas trop quelle technologie, c’est un non-sens. Si c'est un OS maitrisé par l’État pour y mettre plein de saletés, je m'y opposerai. Nous ne sommes pas en Corée du Nord, mais heureusement dans un État de droit […] L’OS souverain, je n’y crois pas ».

Stéphane Bortzmeyer (spécialiste des réseaux) s’était fendu d’un billet de blog pour résumer la situation. En 2024, quand une pétition est arrivée pour encourager la création d’un Linux souverain, il était remonté au créneau en posant LA question : « Quand on dit OS souverain, c’est bien joli, mais de quoi on parle ? ».

• Au Parlement européen, une pétition veut encourager la création d’un Linux souverain

Choisir ses technologies et ses combats

Il y a aussi le cas de CLIP OS, un projet open source de l’ANSSI. Mais à la question « CLIP OS est-il souverain ? », la réponse sur le site du projet est sans ambiguïté : « Non. Si le développement du projet est initié et réalisé par des agents de l’ANSSI, la majeure partie du code source est issu de projets open source (noyau Linux, suite de compilation GCC, etc.). Le code source de CLIP OS est aujourd’hui ouvert à tous. Le projet est basé sur Gentoo Hardened et suit des principes similaires à Chromium OS ou au projet Yocto ».

Pour en revenir au point de vue du colonel, « souveraineté ne veut pas automatiquement dire "pas de relation ni pas de partenariat avec des entreprises étrangères". Il faut simplement savoir choisir les technologies qui vont nous permettre de travailler et de décider tout seul ».

Ne pas revenir à l’âge de pierre

Pour Kevin Polizzi (président du directoire thecamp et d’Unitel Group), « il y a une définition française de la souveraineté qui est souvent toxique […] Évidemment que si on abandonne les technologies qu'on achète à l’international, on va reprendre un silex et recommencer à zéro ».

Kevin Polizzi, également fondateur de Jaguar Network (devenu Free Pro), ajoute que « la première souveraineté, c'est la connaissance ». Il note un « petit courant d’air frais » sur le cloud, « lié à une réalité de terrain économique et lié aussi à une volonté d’indépendance ou de préservation de notre capacité de décision ». On en revient à la définition de l’armée : la souveraineté, c'est pouvoir décider.

Glissement sémantique vers l’autonomie stratégique ?

Pour Clément Rossi, directeur général, Campus Cyber région sud Euromed, « on assiste d’ailleurs, plutôt dans la sphère politique, à un glissement sémantique : plutôt que parler de souveraineté […] on s’achemine vers de l’autonomie stratégique. Choisir ses dépendances, pouvoir cibler ce qui est critique pour nous et ce qui ne l’est pas ».

La dépendance à des solutions américaines n’est pas sans conséquences, d’autant plus depuis que Donald Trump est de retour à la Maison-Blanche.

Un des intervenants joue de la prospective sur la « guerre » autour du Groenland : « un des moyens de rétorsion de Donald Trump pourrait être de fermer le robinet du cloud et l’accès aux données. Toutes les entreprises danoises pourraient se retrouver du jour au lendemain sans aucun système ». Impossible de dire si Donald Trump ira jusqu’à de telles menaces (et si c’était le cas, les mettre à exécution), mais cela montre bien l’importance de pouvoir décider seul, sans dépendre des autres.

Clément Rossi termine avec une question ouverte : « Est-ce que la souveraineté, c'est notre capacité à agir indépendamment ou est-ce que c’est notre gestion des dépendances. Selon les deux prismes, c'est différent ».