Comprendre les enjeux de la souveraineté numérique, le guide essentiel

Un jour, un DSI d'une collectivité territoriale m'a montré sa facture cloud. 1,2 million d'euros sur l'année, hébergée chez trois fournisseurs américains. Puis il m'a posé la question qui tue : « Si demain Washington décide que mes données ne sortent plus, je fais quoi ? »

Il n'avait pas de réponse. Moi non plus, à l'époque. C'est ce jour-là que j'ai commencé à m'intéresser sérieusement à la souveraineté numérique. Pas par militantisme. Par lucidité.

Parce qu'on peut débattre pendant des heures de concepts abstraits. Mais quand vous découvrez que l'outil qui gère vos dossiers d'aide sociale, vos données de santé ou votre comptabilité tourne sur une infrastructure qui échappe au droit français, la discussion change de nature. Elle devient concrète. Parfois brutale.

Ce qu'on entend vraiment par souveraineté numérique

La définition la plus utile que je connaisse tient en une phrase : la capacité d'un État à agir dans le cyberespace et à y faire respecter ses règles. C'est celle qu'utilisent les chercheurs qui travaillent sur le sujet, notamment à Sciences Po. Elle a le mérite d'être claire.

Mais elle cache une complexité que peu de gens mesurent.

Pourquoi cette définition dérange

Dans le monde physique, un État contrôle son territoire. Une frontière, une douane, une police. Dans le numérique, il n'y a pas de frontière au sens classique. Les données circulent en millisecondes entre Francfort, Dublin et Virginie du Nord. Le droit, lui, reste attaché à un territoire.

D'où le nœud du problème : comment appliquer une loi nationale à un flux qui ignore les nations ?

Certains penseurs du sujet vont plus loin. Ils disent que désormais, les instruments de la souveraineté sont devenus indiscernables des outils de la puissance technologique. Autrement dit : celui qui contrôle les câbles, les serveurs et les modèles d'IA contrôle une partie de votre souveraineté, même s'il n'a jamais été élu.

Franchement, cette phrase m'a longtemps paru exagérée. Puis j'ai regardé de plus près où étaient hébergées les données de six PME que je connaissais bien. Résultat : cinq sur six chez un hyperscaler américain. Sans que personne, dans ces boîtes, n'ait jamais eu la sensation de « perdre » quoi que ce soit.

Spoiler : c'est exactement le problème.

Quels sont les principaux enjeux numériques ?

La CNIL, dans sa page dédiée aux grands enjeux numériques, en pointe plusieurs qui structurent le débat actuel. Ils ne sont pas tous de même nature, mais ils se répondent.

L'intelligence artificielle

De plus en plus présente dans notre quotidien, l'IA repose sur un grand nombre de concepts nouveaux — et pose des questions directes en matière de protection des données. La CNIL explique les enjeux associés et la manière dont elle accompagne le déploiement de ces technologies.

Ce qui rend le sujet brûlant, c'est que l'IA n'est pas qu'un outil. C'est un concentrateur de dépendance. Les modèles qui font tourner la plupart des assistants conversationnels grand public sont entraînés et opérés hors d'Europe. Vos prompts, vos données internes, vos process : tout passe par des tuyaux que vous ne contrôlez pas.

J'ai vu une administration tester un assistant interne pour résumer des courriers d'usagers. Aucun problème technique. Mais quand la question « où sont traitées ces données ? » est arrivée sur la table, le projet a été suspendu en trois jours.

La biométrie et les données sensibles

La biométrie regroupe l'ensemble des techniques qui permettent de reconnaître automatiquement un individu à partir de ses caractéristiques physiques, biologiques ou comportementales. Les données biométriques sont des données particulières, au sens fort du terme.

Le sujet touche directement à la souveraineté, parce qu'un système de reconnaissance faciale déployé dans l'espace public n'est pas un simple outil. C'est un dispositif qui doit être adossé à un cadre juridique solide, sinon il glisse vite vers le contrôle de masse.

Les droits numériques des mineurs

Les mineurs ont des droits numériques, et ils doivent pouvoir les exercer. La CNIL entend les accompagner, avec l'aide des parents comme des professionnels.

On voit rarement ce sujet rangé dans la catégorie « souveraineté ». C'est une erreur. La protection d'une population vulnérable face à des plateformes étrangères, c'est précisément un enjeu de souveraineté opérationnelle.

La blockchain

La blockchain est une technologie au potentiel de développement fort, qui soulève de nombreuses questions, dont parfois celle de sa compatibilité avec le RGPD. La CNIL propose des pistes pour les professionnels qui souhaitent s'en emparer.

Le cas est intéressant parce qu'il révèle une tension intrinsèque : une blockchain est par construction immuable et décentralisée. Le RGPD, lui, suppose un responsable de traitement identifiable et un droit à l'effacement. Les deux logiques ne sont pas faites pour cohabiter.

Quels sont les piliers de la souveraineté numérique ?

On peut discuter longtemps des définitions. Mais quand j'ai dû, pour mon propre travail, expliquer le sujet à un comité de direction non technique, j'ai fini par réduire tout ça à quatre couches. Elles se tiennent les unes les autres.

1. Les infrastructures

Câbles, data centers, réseaux de télécommunications, capacités de calcul. Sans infrastructure, il n'y a pas de souveraineté possible — seulement de la sous-traitance. C'est le pilier le moins visible et le plus structurant. Un pays qui n'héberge rien, calcule rien ne gouverne rien dans le numérique.

2. Les données

Qui stocke, qui accède, sous quelle juridiction. Un point qu'on oublie trop souvent : la question n'est pas seulement « où sont les serveurs », mais à quel droit ces serveurs sont soumis. Un data center situé à Paris mais exploité par une filiale d'un groupe américain reste, dans certaines circonstances, accessible au titre de la législation extraterritoriale du pays d'origine.

3. Le cadre juridique

RGPD, réglementations sectorielles, textes européens sur les données et la cybersécurité. Le droit est l'outil qui donne à l'État un levier d'action sur des acteurs qui n'ont pas de siège sur son sol. C'est la couche que les autres extraits évoquent sous le nom de « conformité » — mais elle mérite d'être nommée pour ce qu'elle est : un instrument de puissance.

4. La maîtrise technologique et industrielle

Capacité à produire ses propres briques, à former ses ingénieurs, à maintenir une industrie de la cybersécurité. Sans cette couche, les trois premières finissent par dépendre de l'étranger pour leur propre maintien. C'est le point le plus fragile aujourd'hui, et probablement celui sur lequel les arbitrages politiques sont les plus difficiles.

Quels sont les 3 types de souveraineté ?

La distinction la plus opérationnelle que j'utilise sépare trois niveaux. Elle n'est pas parfaite, mais elle évite bien des confusions en réunion.

Type	Ce qu'il recouvre	Qui l'exerce
Souveraineté étatique	Capacité de l'État à faire appliquer ses lois dans le cyberespace, y compris contre des acteurs étrangers	Gouvernement, autorités de régulation, justice
Souveraineté économique	Maîtrise des chaînes de valeur numériques : fournisseurs, infrastructures, propriété intellectuelle	Entreprises, groupes industriels, État actionnaire
Souveraineté individuelle	Contrôle effectif des citoyens sur leurs propres données et leurs usages numériques	Chacun, via ses choix d'outils et l'exercice de ses droits

En pratique, ces trois niveaux s'entrechoquent en permanence. Une entreprise qui choisit un outil pour des raisons économiques peut fragiliser la souveraineté étatique. Un citoyen qui exerce ses droits individuels peut contraindre une organisation à repenser tout son système d'information.

Avouons-le : personne ne maîtrise vraiment l'articulation entre les trois. On navigue.

Quels sont les 3 piliers de la transformation numérique ?

On confond souvent la transformation numérique avec la souveraineté. Ce sont deux sujets distincts, mais qui se croisent au moment des choix d'architecture.

Les trois piliers classiques de la transformation numérique sont : les processus, les compétences et les outils. Un projet qui en néglige un seul s'enlise.

Les processus

Digitaliser une organisation sans revoir ses processus revient à automatiser le désordre. J'ai vu une PME industrielle déployer un ERP flambant neuf en gardant exactement les mêmes circuits de validation qu'avant. Résultat : un outil moderne au service d'une organisation bloquée. Six mois pour rien.

Les compétences

Le mur le plus fréquent. On achète des outils, on ne forme personne. Le fournisseur facture, la direction communique, et les équipes bricolent. La souveraineté numérique commence aussi là : une équipe qui comprend ce qu'elle manipule est une équipe qui peut dire non à un fournisseur.

Les outils

C'est ici que les deux sujets se rejoignent. Le choix d'un outil n'est jamais neutre : il engage une dépendance, un coût de sortie, une exposition juridique. La transformation numérique qui ignore cette dimension prépare, mécaniquement, une perte de souveraineté à retardement.

Mesurer les dépendances : le vrai chantier

Il existe un Observatoire, lancé par le Haut-commissariat au Plan, dont la mission est précisément de mesurer ces dépendances. L'annonce est récente. C'est une bonne nouvelle, parce qu'on manquait cruellement d'instruments pour objectiver le problème.

Mais je reste prudent. Un observatoire mesure ; il ne décide pas. Et la tentation, dans ce genre de dispositif, c'est de produire des rapports élégants que personne ne lit.

Ce que je regarde, de mon côté

Pour mes propres projets, j'ai fini par établir une petite grille à quatre questions, que je pose systématiquement avant tout choix d'outil :

• Où sont physiquement hébergées les données, et sous quelle juridiction ?
• Qui peut légalement y accéder, sans mon consentement ?
• Quel est le coût réel de sortie si je veux changer demain ?
• Existe-t-il une alternative européenne crédible, même imparfaite ?

La quatrième question est souvent la plus inconfortable. Parce qu'on découvre que l'alternative existe, mais qu'elle demande un effort d'intégration, un budget supérieur, ou une perte de fonctionnalités. Et là, il faut choisir en conscience.

Mon avis, tranché : dans la majorité des cas où j'ai vu des organisations se poser ces questions, elles ont fini par basculer au moins une brique critique vers un fournisseur européen. Pas par idéologie. Parce que le coût de la dépendance finit toujours par se manifester — facture, panne, ou changement de loi.

Pourquoi le sujet devient urgent, pas théorique

Quand j'ai commencé à m'intéresser à tout ça, la souveraineté numérique était un sujet de colloque. Aujourd'hui, c'est un sujet de comité de direction. La différence tient à trois glissements concrets.

Le premier : le cloud est devenu le socle de tout. Plus une administration n'héberge en local. Ce basculement s'est fait vite, souvent sans analyse juridique.

Le deuxième : l'IA a fait entrer de nouveaux acteurs, encore moins contrôlables que les hébergeurs classiques.

Le troisième : la pression géopolitique. Les révélations de l'affaire Snowden ont ouvert les yeux ; les tensions internationales depuis les ont maintenus grands ouverts.

Ce que ça change concrètement

Pour une entreprise, cela signifie qu'un choix technique n'est plus un simple arbitrage budgétaire. C'est un choix de risque. Pour une collectivité, c'est une question de continuité de service public. Pour un particulier, c'est la question de savoir si ses données de santé peuvent servir à autre chose que son suivi médical.

Aucune de ces questions n'a de réponse simple. Mais elles ont toutes, désormais, une personne responsable identifiable. Et c'est peut-être le seul progrès vraiment mesurable des dernières années.

Ce DSI qui m'avait montré sa facture cloud a finalement réparti ses charges sur deux fournisseurs, dont un européen. Ça lui a coûté environ 15 % de plus la première année. Il m'a dit, six mois après : « C'est le meilleur chèque que j'ai signé. »

Je ne sais pas si son cas est représentatif. Mais je sais que sa question n'était pas rhétorique.