10 critères pour assurer sa souveraineté numérique

Pour faire simple et pragmatique, le sujet de la souveraineté peut se représenter par un triplet d’enjeux, en cinq strates et en dix critères afin de disposer d’une grille de lecture du théâtre d’opérations.

Non pas un, mais trois enjeux !

La souveraineté numérique se caractérise donc par trois enjeux qui ne sont pas forcément cumulatifs, selon les besoins.

Le premier est d’identifier, limiter, contrôler la chaîne des dépendances. Avec une question : êtes-vous dépendant à un acteur, une solution, une tarification, un prestataire de votre prestataire… même sans le savoir ?

La deuxième est de lutter contre le kill switch, ce pouvoir étatique, mais également d’intérêts privés dans une liaison BigState/BigTech. Et ce n’est pas le chiffrement qui résout le problème du kill switch.

Enfin, contrer/freiner l’extraterritorialité des lois, et ce, sur toute la chaîne de sous-traitance et de services.

Un positionnement de chacun, selon cinq strates

La souveraineté numérique n’est pas exclusivement une affaire d’État ou européenne, ou sectorielle, ou individuelle. C’est bien tout ça à la fois. Et dans ce « Mécano » géant, chacun a son rôle à jouer (en tant qu’incitateur ou utilisateur).

À l’Europe de disposer d’une vision commune, d’une mutualisation sur une partie des enjeux d’infrastructures (ce qui coûte et est compliqué à amortir), mais aussi de mobiliser un tissu de PME innovantes, dont le savoir-faire est en attente d’un changement d’échelle, comme l’évoque la chercheuse Ophélie Coelho.

Il faut « une décision politique européenne forte, une feuille de route industrielle claire, un engagement financier à la hauteur et pérenne pour mobiliser les forces et donner de la perspective, une répartition des enjeux pour un esprit collectif et un maillage résilient des acteurs », écrit-elle dans son livre « Géopolitique du numérique ».

D’autre part, une homogénéisation européenne des critères de définition de souveraineté numérique semble nécessaire, tels les 360 points d’exigences du SecNumCloud – dont certains très techniques, et très exigeants.

Au niveau national, et sur la base de ce socle européen, chacun peut garder une part de ses spécificités et de sa légitimité constitutionnelle. Il est difficile de se lancer en solo, mais il faut aussi parfois garder une part de liberté pour assurer l’adhésion.

Et là, l’appui de la commande publique est clairement très inférieur à celui des États-Uniens, qui ont cette logique de soutenir fortement un écosystème.

Ce sont ensuite des secteurs (finance, santé, public, etc.) qui ont un rôle moteur et inspirant à jouer. Une considération qui n’est pas sans rappeler le devoir moral de diligence de l’OCDE des « grands » vis-à-vis des « petits sous-traitants ».

Il y a ensuite le niveau de l’écosystème. Pour une PME ou une PMI, limiter ses dépendances numériques peut sembler plus concret que se prémunir contre un éventuel « kill switch ». Pourtant, l’interruption d’un service essentiel peut la fragiliser tout autant qu’une grande organisation, avec moins de moyens pour y faire face. Quant à l’exposition aux lois extraterritoriales, elle doit s’apprécier selon l’activité, les données traitées et les prestataires impliqués.

Enfin chaque organisme peut (devrait) évaluer à son niveau sa souveraineté numérique (selon des critères écartant les sujets hors de portée), tout au moins sous l’angle de la chaîne des dépendances et de réversibilité. Mais attention pour cette dernière, à ne pas se limiter aux données, mais bien à toute l’intelligence de coordination, d’orchestration et de liaison des données.

Au moins dix critères à considérer

Pour Ophélie Coelho, « tout est important : l’accès à l’information, le potentiel de kill switch sur les différentes couches opérationnelles, les dépendances directes et indirectes à d’autres nœuds logiciels ou d’infrastructure », écrit-elle. « Sur ce dernier point, une autre dimension particulièrement importante avec la régionalisation du cloud et le développement de l’IA générative, c’est le rôle de comptoir technique et électrique que jouent de plus en plus les périphéries numériques (Europe en premier lieu, mais pas seulement) ».

Pour ne rien oublier, il y a 10 critères à prendre en compte, au moins :

1. L’implantation des DC (data centers) : un critère non auto-suffisant, mais toujours la première clé de lecture structurante – notamment sur la question de l’organisation européenne et nationale, mais aussi eut égard à la pression exercée sur le 10^ème critère.
2. L’infrastructure logicielle et technique spécifique : il s’agit de maîtriser les « outils » et « services » spécifiques qui font tourner les DC.
3. La filière GPU et mémoire : sans la capacité de calcul, la puissance apportée par les GPU, difficile d’entrevoir un rôle majeur (notamment dans l’IA).
4. Les suites logicielles : l’Europe a une véritable culture et un tissu open source dont on reproche le manque d’échelle alors qu’il n’attend que ça, de « changer d’échelle » ! Et c’est là que la prise de risque public est attendue, tout autant que la coordination européenne, pour que chacun trouve sa place et des débouchés. Mais attention, l’open source n’a jamais été la solution unique et miraculeuse.
5. La maîtrise des tuyaux : dont, bien évidemment, les câbles sous-marins et dans une moindre mesure les satellites. Cette maîtrise est une question qui se pose à tous (TPE, PME, citoyens) à plus petite échelle et sous une autre forme ; dans notre choix de messagerie, de VPN, ou de messagerie instantanée.
6. La maîtrise des données : ne pas dépendre de l’extérieur pour les données faisant tourner les services… mais dur, dur après des décennies à exporter consciemment ou non nos données apportant un avantage indéniable à certains.
7. La maîtrise capitalistique et des partenariats : surveiller l’entrée du loup dans la bergerie au travers d’un partenariat ou par des prises de position capitalistique, que ce soit directement ou indirectement (via la chaîne de sous-traitance). Prévoir une clause de souveraineté finale pour garantir une souveraineté numérique durable.
8. La capacité à contrer (ou du moins complexifier) l’extraterritorialité des lois : Cloud Act, FISA, Executive order 12333… les outils de pénétration ne manquent pas. Pour bloquer probablement pas, mais pour freiner peut-être.
9. Et quand il manque un ou plusieurs des critères : il faut savoir se rendre indispensable par une compétence de niche pour « peser » dans les discussions, performer sur un sujet ou avoir quelque chose à mettre dans la balance, mais sans dangereusement se déposséder et c’est là qu’intervient le dixième critère.
10. La souveraineté sur les richesses des territoires : le rôle de comptoir et de concentration des DC évoqué par Ophélie Coelho souligne le risque de dépossession et d’assèchement des richesses des territoires (fluides, terres, etc.) dans une danse de négociation biaisée et déséquilibrée. Vous attirez, vous concentrez, mais au final, concrètement, vous êtes écarté et vous perdez à long terme et sur des richesses bien plus essentielles.