La souveraineté en 10 questions (version courte, version longue)
Sous vœux rein
Le sujet pourrait presque être l’intitulé du bac de philosophie : la souveraineté, vous avez 4 h. Nous avons eu besoin d’un peu plus de temps pour faire le tour de la question et, à lire nos réponses, vous risquez de vous demander si « vous n'avez jamais vraiment bien saisi la question ». Il y va pourtant de l’avenir de notre indépendance.
Nous commençons par une approche en douceur, avec dix questions autour de la souveraineté (numérique). Dans cette version courte, nous donnons simplement les grandes lignes afin de permettre à tout un chacun de se faire une idée du sujet. La version longue donne plus de profondeur aux réponses, avec les mêmes dix questions.
10 questions et autant réponses, en moins de 10 minutes
C’est quoi la définition de la souveraineté numérique ? C’est compliqué…
En version courte, on pourrait dire « c’est le bordel, mon colonel » ; tout le monde n’est pas d’accord. Un consensus serait de dire : « la possibilité de faire ce qu’on veut, sans que d’autres aient leur mot à dire ». Un exemple totalement au hasard : non, les États-Unis, vous ne pourrez pas accéder à mes données.
Existe-t-il plusieurs « souverainetés » ? Oui !
On peut voir la souveraineté comme un nom auquel on ajoute un adjectif : numérique, données, militaire, surveillance, santé… Vous avez compris l’idée. Dans tous les domaines, on garde la notion de pouvoir décider seul, d’avoir le dernier mot en toute circonstance.
Que permettent les lois extraterritoriales ? Mettre son nez dans les affaires des autres
Les lois extraterritoriales permettent d’agir en dehors des limites territoriales d’un pays… merci Captain Obvious. Elles permettent à des gouvernements, américains et chinois principalement, de s’imposer auprès de sociétés ou de personnes américaines ou chinoises pour récupérer des informations, peu importe où elles se trouvent dans le monde. Cerise sur le gâteau, elles permettent aussi d’interdire aux « cibles » d’en parler à leurs supérieurs, à leurs clients, etc. Bref, d’agir en toute discrétion. En Europe aussi, nous en avons.
Les États-Unis sont-ils les seuls avec un « Cloud Act » ? Bien sûr que… non !
Si vous avez lu la question précédente, vous savez déjà que non. Les Chinois font de même. Comme ce genre d’agissement est généralement couvert par une culture du secret, il est difficile de savoir ce qu’il en est partout dans le monde. Une chose est sûre : ça existe et c’est déjà utilisé, peu importe finalement que 2 ou 150 pays disposent de telles lois.
Existe-t-il un conflit entre le Cloud Act et le RGPD européen ? Bien sûr que… oui !
La problématique est assez simple. D’un côté, il s’agit de récupérer des données en douce ; de l’autre, un règlement européen qui encadre le transfert d’informations et protège les données personnelles des citoyens. Nous sommes presque en face du yin et du yang dans le monde numérique.
La qualification SecNumCloud permet-elle de se protéger ? Oui, mais…
La version 3.2 de SecNumCloud permet de s’assurer que l’hébergeur est immunisé contre les lois extraterritoriales. Si la cybersécurité est renforcée avec la qualification SecNumCloud (l’ANSSI effectue des contrôles poussés, y compris sur site), rappelons qu’aucun système n’est infaillible. Et n’oubliez pas de vérifier vos propres systèmes : rien ne sert de louer une porte blindée avec accès biométrique si la fenêtre ferme par un simple bout de scotch.
Existe-t-il des certifications européennes ? Oui, beaucoup
Oui, en Allemagne, en Espagne, en Italie… mais aucune actuellement au niveau de SecNumCloud de l’ANSSI. Il y a bien EUCS en préparation, mais cette directive européenne est pour le moment dans une impasse à cause de divergences entre les États membres.
La dépendance technologique est-elle compatible avec la souveraineté ? Oui (ouf, sauvé)
Oui, on peut être souverain et utiliser du matériel d’autrui. Heureusement d’ailleurs, sinon la souveraineté n’existerait pas puisque la grande majorité du matériel informatique (processeurs, cartes mères, mémoire, stockage, routeur…) vient des États-Unis et d’Asie. C’est comme tout, cela dépend de ce que l’on en fait.
Chiffrer les données, est-ce suffisant ? Nein, No, Non
Redisons-le encore une fois, doucement, pour être sûr que le message passe : non, car il est impossible de garantir un chiffrement sans faille. Le chiffrement n’est pas suffisant pour assurer la souveraineté, mais c’est un bon point de départ.
Quels sont les liens entre souveraineté et intelligence artificielle ? Une relation maitre/esclave
Les intelligences artificielles se nourrissent de quantités astronomiques de données pour leur entrainement. La souveraineté des données est donc liée à une souveraineté des intelligences artificielles, et vice-versa.
Nous venons à peine d’effleurer ce sujet et certaines questions méritent un développement bien plus long. Reprenons donc depuis le début, avec les mêmes dix interrogations.
C’est quoi la souveraineté (numérique) ?
Cette première question est bien plus complexe qu’il n’y parait. Le Conseil d'État peut en témoigner avec une étude (2024) de pas moins de 594 pages sur cette notion (en remontant jusqu’à… l’Antiquité). Selon l’institution, la souveraineté « est historiquement et juridiquement la capacité d’exercer le "dernier mot", la liberté de choisir […] sans dépendre d’aucune autorité supérieure ».
Commentaires (16)
Abonnez-vous pour prendre part au débat
Déjà abonné ? Se connecter
Cet article est en accès libre, mais il est le fruit du travail d'une rédaction qui ne travaille que pour ses lecteurs, sur un média sans pub et sans tracker. Soutenez le journalisme tech de qualité en vous abonnant.
Accédez en illimité aux articles
Profitez d’un média expert et unique
Intégrez la communauté et prenez part aux débats
Partagez des articles premium à vos contacts
Abonnez-vousModifié le 24/07/2025 à 09h10
OVHCloud est SecNumCloud 3.2 sur quelques services (https://corporate.ovhcloud.com/en/newsroom/news/secnumcloud-qualification-bare-metal-pod/) mais est-ce que cela empêche le Cloud Act de s'appliquer ?
OVHCloud fait du business aux USA et est donc de fait soumis au Cloud Act, même si les données ne sont pas sur le sol US (de ce que je comprends).
AWS a publié un article de blog (https://aws.amazon.com/fr/blogs/security/five-facts-about-how-the-cloud-act-actually-works/) sur le Cloud Act (il y a même une traduction en français et en allemand, preuve que les européens se posent beaucoup de questions !!) et où il vise spécifiquement OVHCloud (en indiquant qu'ils sont soumis, comme toutes les entreprises faisant du business aux US, au Cloud Act).
Bref, je ne comprends pas en quoi SecNumCloud 3.2 est une protection des lois extraterritoriales... Qui va trancher en cas de conflit ?
Le 24/07/2025 à 09h03
Le 24/07/2025 à 11h05
Modifié le 24/07/2025 à 15h09
Une entreprise soumise au Cloud Act ne peut pas obtenir la certification SecNumCloud. SecNumCloud n'est pas un bouclier contre le Cloud Act, c'est un tampon "je possède un bouclier".
Dans le cas des entreprises européennes, elles sont soumises au Cloud Act si elles opèrent aux États-Unis.
OVH n'opère pas aux États-Unis, seule sa filiale OVH US opère là-bas. Évidemment, un serveur hébergé par OVH US aux États-Unis est saisissable par la justice des États-Unis, mais pas un serveur hébergé par OVH tout court en Europe ou ailleurs dans le monde.
Le 24/07/2025 à 09h12
Modifié le 24/07/2025 à 10h43
1) Côté souveraineté : étant pragmatique, je dirais que ça n'est pas un objectif en soit. D'ailleurs c'est rappelé par Seb dans le § La qualification SecNumCloud permet-elle de se protéger ? ==> La vraie question n'est pas vraiment (selon moi) d'être souverain : c'est comme dire "mon système est sécurisé". La vraie question est de savoir contre quoi on veut se protéger. Et là la définition du mot "souverain" devient critique... ou inutile ! Je pense que ce terme s'est imposé pour son côté "imagé" qui correspondait à ce qu'on pressentait comme menaces et comme obligations de protection, mais sans bénéficier d'une définition commune, d'où cette difficulté à savoir ce que cela recouvre. Cela conduit même à l'utilisation d'autres termes, cf. l'offre "maîtrisée" de Guillaume P./Docaposte).
2) Une précision sur le modèle de responsabilité partagée, communément cité et intégré chez les fournisseurs de services. Je cite souvent la version Microsoft (https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility) qui complète ce modèle avec un aspect trop souvent oublié : la gestion des droits. En effet, il y a d'une part les droits (comptes applicatifs, identités, etc.) qui correspondent au paramétrage métier, mais il ne faut pas oublier que cela repose sur une infrastructure qui est toujours de la responsabilité du fournisseur ! C'est pour cela qu'AWS propose une version européenne de son cloud, car son IAM (dans la version actuelle globale de son cloud) est basé aux USA (US East - N. Virginia si je ne m'abuse).
En résumé, tout tient finalement dans la formule : "c’est le bordel, mon colonel ".
Modifié le 24/07/2025 à 12h19
Pour précision, on préfère aujourd’hui parler d’autonomie numérique stratégique. On parle également d’hébergement ou de cloud de confiance lorsqu’il s’appuie sur un partenaire privé qualifié SecNumCloud (comme Outscale, OVHcloud, Scaleway…), et de cloud souverain lorsqu’il s’agit d’un cloud opéré par l’État, comme Nubo ou Pi.
J'aime bien présenter plusieurs typologies de risques sur l'aspect "souveraineté numérique" :
* le risque financier qui peut être en lien avec les tensions géopolitiques (par exemple via l’instauration de taxes douanières).
* le risque de déclassement numérique et technologique c’est-à-dire une dépendance indirecte à d’autres États du fait d’un retard technologique. Ce n’est pas un risque nouveau (nous sommes déjà dépendants pour des ressources comme le pétrole ou l’uranium), mais il appelle au développement de notre industrie tech ou au renforcement de partenariats internationaux.
* Le risque souverain (dépassant le numérique) -> Le scénario où l'industrie numérique d'un pays est utilisé dans des négociations géopolitiques apparait comme plausible. Exemple de scénario fictif : embargo sur le cloud Microsoft au Danemark dans le cas d'une négociation avec les Etats-Unis pour le contrôle du Groenland. Exemple réel : fin de Schrem II dans la négociation UE - USA pour la défense de l'Ukraine.
* Le risque de perte de la juridiction de ses données, c'est à dire le fait de devenir juridiquement dépendant d'un autre état. C’est sur ce point, à juste titre, que l’article s’est concentré. Sans protection, les citoyens, les entreprises et les organisations publiques devront se plier aux droits américains dès lors qu'ils utilisent un SN américain. Les citoyens et les entreprises ont la liberté de choisir, l'Administration Publique a le devoir de protéger son économie et ses citoyens. Bref ses intérêts.
Il y aurait beaucoup à dire sur ce sujet… et en même temps, rien de simple. La souveraineté numérique ne peut pas être abordée de manière manichéenne : elle se construit dans un équilibre complexe entre ouverture, coopération internationale et maîtrise stratégique. Au moins, des initiatives existent au sein de l'Etat avec des partenaires européens.
Le 24/07/2025 à 15h12
D'ailleurs ils veulent l'obtenir pour toute leur infrastructure, pas juste une gamme "SecNumCloud" tarifée plus chère, ce qui est louable et je crois que ce sont les seuls à essayer de le faire de cette manière.
Modifié le 24/07/2025 à 19h16
Le 28/07/2025 à 10h57
Peut-on imposer aux différents détenteurs de nos données personnelles de changer de prestataire si ce dernier n'est manifestement pas compatible (au hasard, AWS au Luxembourg), et si oui, sous quelle menace ?
Quid également des prestations de AWS comme serveur mandataire ? A ce titre Amazon voit passer toutes les données en clair il me semble.
Le 28/07/2025 à 15h29
Vraie question.
Le 28/07/2025 à 22h52
Le 28/07/2025 à 23h09
Je rappelle à toute fin utile que tant qu'il n'est pas invalidé (par la CJUE), le Data Privacy Framework autorise le transfert des données personnelles de l'UE aux USA.
Le 29/07/2025 à 15h32
Le 29/07/2025 à 22h34
Il est écrit en version longue :Ils disent "semble", ce qui fait que ce n'est pas établi.
Maintenant raisonnons par l'absurde :
Si c'était vrai, aucune société US ne pourrait traiter des données personnelles d'un ressortissant de l'UE et ce n'est pas le cas.
Le 30/07/2025 à 20h42
Signaler un commentaire
Voulez-vous vraiment signaler ce commentaire ?