GAIA-X : le SeLoger.com du cloud européen

« Avec GAIA-X, nous avançons à pas de géant en direction d’une économie des données ». C’est par ces mots pleins d’emphase que Peter Altmaier – ministre fédéral allemand de l’Économie et de l’Énergie – a salué le 4 juin 2020 depuis Berlin la première étape de ce qui s’annonce comme un long voyage des Européens vers « une infrastructure de données » commune.

En duplex depuis Paris, le ministre de l’Économie et des Finances, Bruno Le Maire, a pour sa part évoqué « une nouvelle culture de la gestion des données d’entreprise qui s’appuie sur les principes d’ouverture, d’interopérabilité, de transparence et de confiance ». Une allusion à peine voilée aux GAFAM.

Le projet est ambitieux, souverain, technique, économique. Mais concrètement ? Que se cache-t-il derrière ces grands concepts (beaux, mais flous) « d’écosystème numérique européen » et « d’infrastructure de la donnée » ?

Pour le savoir, LeMagIT a posé la question à Servane Augier, Directrice Générale Déléguée d’un des membres fondateurs de GAIA-X, 3DS OUTSCALE.

Dans cet entretien, elle revient sur la Fondation GAIA-X (qui est une association privée), sur le but de cette collaboration entre les acteurs du cloud européens (à savoir compléter leurs offres et créer des consortiums pour mieux répondre aux appels d’offres), sur les chantiers auxquels ils devront s’atteler (dont l’intégration entre des services concurrents), sur le soutien politique (et sa logique légitime), sur la nécessité d’ouvrir le projet aux Américains (qui y collaborent déjà) bien qu’un des objectifs principaux soit de s’affranchir du CLOUD Act, et sur ses prochaines étapes (nouveaux membres, nouveaux services PaaS, voire SaaS, en plus du IaaS).

Dans la première partie de cet échange, Servane Augier décrit dans le détail les bases très concrètes du projet : un moteur de recherche de IaaS européens, une charte et un cahier des charges commun, le chantier d’intégration entre les infrastructures des membres, et des audits à venir.

LeMagIT : Qu’est-ce concrètement que GAIA-X ? Est-ce, au final, un annuaire de prestataires cloud européens comme l’indique le démonstrateur ?

Servane Augier : On pourrait le résumer comme cela. Mais cela va beaucoup plus loin.

Le principe est d’interconnecter tous les fournisseurs de cloud qui respectent un certain nombre de règles. Pour être « GAIA », il y a des règles d’interopérabilité, de réversibilité, de transparence qu’il faut accepter et respecter.

« La solution native d'un fournisseur cloud ne pourra pas être complètement suffisante. Nous aurons tous des efforts à faire pour assurer cette interconnexion. »

Ces règles créent de facto un référentiel de comportement. Mais cela va aussi au-delà, puisque pour être vraiment interopérable il faudra initier des chantiers techniques. La solution native d’un fournisseur cloud ne pourra pas être complètement suffisante. Nous aurons tous des efforts à faire pour assurer cette interconnexion.

Pour répondre à votre question, dans un premier temps, cette interconnexion passe effectivement par un catalogue. Ce catalogue va permettre de remonter des informations. Par exemple une entreprise européenne, qui a un projet et qui a besoin de ressources informatiques, va pouvoir trouver du compute ou du storage, localisé en France ou dans un autre pays, avec telle certification ou telle autre. Et parce qu’elle est bien avertie, elle ne veut pas que ce soit soumis au CLOUD Act. GAIA va faire ressortir toutes les offres qui existent et qui respectent l’ensemble de ses critères.

C’est un peu comme un comparateur d’assurances. Sauf qu’un comparateur va simplement lister les assureurs. Quand il remonte l’information, il ne vous dit pas quelle société a accepté et pratique des critères particuliers de confiance.

Par rapport à un référentiel standard, GAIA impose aussi des règles. Quand vous ferez une recherche, vous saurez donc que tous ceux qui ressortent ont décidé, ont mis en place, et respectent ces règles (d’interopérabilité, de transparence, d’ouverture).

LeMagIT : Il y a un cahier des charges précis ?

« C’est un peu comme un comparateur d'assurances. […] Mais par rapport à un référentiel standard, GAIA impose aussi des règles. »

Servane Augier : Oui, il y a des « policy rules » et des « security rules ». Ces règles sont encore très textuelles, mais elles vont aller jusqu’à des concrétisations techniques, pour l’interopérabilité par exemple.

Pour la partie IaaS, les règles de GAIA s’appuieront en partie sur les travaux du projet SWIPO (Switching & Portabilité), qui a déjà édicté un code de bonne conduite pour la portabilité du IaaS (et un autre pour le SaaS).

Nous nous appuyons également sur le code de bonne conduite de CISPE, pour le respect des données personnelles. Et il y aura des engagements sur le RSE (améliorer son empreinte carbone, etc.) qui reprendront les exigences en cours d’élaboration de la commission. Le but n’est pas de réinventer ce qui existe, mais de s’en inspirer le plus possible.

LeMagIT : GAIA est donc un SeLoger.com du cloud européen, mais qui vérifierait les biens proposés selon un cahier des charges strict ?

Servane Augier : Oui, si SeLoger.com allait jusqu’à visiter les maisons.

LeMagIT : Comment GAIA-X va-t-il « visiter » les clouds ?

Servane Augier : Pour le moment, c’est du déclaratif. Ce sont les fournisseurs qui vont dire s’ils sont ISO 27001 sur l’ensemble de leurs services, s’ils ont des centres de données en Allemagne, etc.

Mais ce n’est qu’une première étape. Dans un deuxième temps, il y aura des validations. Tout cela va se mettre en place.

LeMagIT : Il y aura des audits par des tiers indépendants ?

Servane Augier : Ce n’est pas encore fixé. Mais oui, cela va dans ce sens. Sur les parties techniques, nous allons nous appuyer sur un tiers de confiance qui est en train de mettre en place un label européen.

« L’idée est tout de passer d'un stade déclaratif à un stade de preuve. »

Comme pour les « rules », nous n’allons pas réinventer les certifications qui existent déjà. Nous allons par exemple nous appuyer sur SecNumCloud en France et BSI C5 en Allemagne.

Mais l’idée est tout de même de passer d’un stade déclaratif à un stade de « preuve ».

LeMagIT : À son lancement, l’écosystème de GAIA-X semble se cantonner à l’infrastructure (IaaS) et, à terme, à des services d’Intelligence Artificielle. A-t-il vocation à aller jusqu’aux applications (SaaS) et à des services de bases de données (DBaaS) ?

Servane Augier : L’objectif n’est pas d’avoir uniquement de la capacité de calcul, mais d’aller vers tout ce qui permet le traitement de la donnée. Donc oui, l’écosystème va grandir.

Ceci dit, il fallait bien commencer par avoir cette fondation [N.D.R. : l’infra qui sont les racines de l’arbre qui représente le projet] pour ensuite envisager les échanges de données, les services, etc.

LeMagIT : Peut-on envisager d’aller jusqu’au SaaS, par exemple de la BI avec des éditeurs européens ou français comme DigDash ?

Servane Augier : Pourquoi pas ! Pour le moment, nous mettons en place les briques storage, compute, transit (réseau). Et après, nous allons rajouter un ensemble de services – qui toujours devront respecter les règles du cahier des charges. Donc oui, pourquoi pas ? Même s’il est encore un peu tôt.

« GAIA-X ira vers le PaaS et probablement aussi vers le SaaS. Mais toujours avec ces notions de confiance et d'interopérabilité. »

Sur le PaaS, j’ajouterai qu’avec l’interopérabilité que promeut GAIA, des briques qui sont aujourd’hui exclusives à tel ou tel fournisseur pourront à terme être appliquées sur les plateformes d’autres fournisseurs [qui stockent les données]. L’interopérabilité du IaaS c’est bien, c’est nécessaire, mais cela ne sera pas suffisant.

Donc bien évidemment, GAIA-X ira vers le PaaS et probablement aussi vers des briques SaaS. Mais toujours avec cette notion de confiance et d’interopérabilité.

LeMagIT : D’abord le IaaS, dîtes-vous. Quand peut-on espérer la première concrétisation d’interopérabilité réelle des services d’infrastructure ?

Servane Augier : Une première proposition de IaaS début 2021, ce serait bien.

Dans les deux prochaines parties de cet entretien, Servane Augier aborde la délicate question de la relation entre GAIA-X et les acteurs américains du cloud et celle tout aussi délicate du CLOUD Act et de la souveraineté numérique – qui explique le soutien politique en France et en Allemagne.