Pourquoi le choix géographique d’un cloud n’est plus une stratégie souveraine avec l'IA (1/2)

Le défi de la souveraineté des données ne se limite plus à la seule question du lieu où elles sont stockées. Avec l’IA, les entreprises doivent désormais savoir qui les contrôle. Dix responsables du stockage, de la sauvegarde et du droit dissèquent la notion de souveraineté numérique en matière de sécurité. Des avis tranchés qui s’imposent dans le débat général.

10 experts issus de 3 secteurs liés aux données, réunissant des CEO, directeurs techniques, responsables de la sécurité IT et un avocat d’affaires, apportent leur analyse sur la souveraineté des données et son évolution à venir. Malgré certaines divergences, tous s’accordent sur un point : la souveraineté n’est plus déterminée par la géographie. Elle dépend désormais du contrôle opérationnel, de la juridiction légale et de l’indépendance architecturale. 

 Le piège de la résidence

 « Il est dangereux de croire que le choix d’une région cloud suffit à garantir la souveraineté », prévient d’emblée Aleksander Ragel, co-fondateur de Leil Storage. Cette mise en garde, partagée par les autres intervenants, confirme que les organisations confondent résidence des données et souveraineté des données, deux notions qui désignent en réalité des réalités fondamentalement différentes.

« La résidence relève de la géographie, tandis que la souveraineté concerne les lois qui s’appliquent à vos données », précise Paul Speciale, directeur marketing chez Scality.

De son côté, Alexander Lefterov, fondateur et directeur technique de Tiger Technology, explique pourquoi cette distinction est importante. « En vertu du Cloud Act américain, les autorités américaines peuvent contraindre des fournisseurs détenus par des entités américaines à leur remettre des données stockées à Francfort ou à Dublin sans vous en informer. La souveraineté concerne le contrôle de l’infrastructure, et non l’emplacement physique des serveurs. »

 Les données souveraines sont souvent hébergées à Francfort, Londres ou dans la région cloud « UE-Ouest »

Selon Edwin Weijdema, directeur technique et responsable de la cybersécurité chez Veeam, cette idée fausse va au-delà de la simple localisation physique. « Beaucoup assimilent la souveraineté à la résidence des données, en partant du principe que le fait de conserver les données dans un pays ou une région spécifique garantit automatiquement la conformité et le contrôle. Dans la pratique, la résidence est nécessaire mais non suffisante. La souveraineté dépend également de l’exposition juridictionnelle, de la gestion des accès et des clés, du contrôle opérationnel, ainsi que de la capacité à démontrer une gouvernance de bout en bout. »

 Pour Kim Larsen, RSSI chez Keepit, « la souveraineté ne peut être résolue en construisant un nouveau Microsoft, c’est-à-dire en remplaçant un hyperscaler par un autre. Ce serait passer à côté de l’essentiel. La souveraineté n’est pas une question d’échelle, mais de contrôle. »

« La question n’est plus de savoir où mes données sont stockées, mais qui peut y accéder, qui peut les influencer, de quelle infrastructure dépendent-elles, et comment les préserver de manière indépendante en cas de perturbation », confirme Martin Kunze, fondateur et directeur marketing de Cerabyte.

Bref, le message est clair. La souveraineté des données n’est plus une décision d’achat fondée sur la géographie. Elle devient une discipline architecturale articulée autour du contrôle, de l’indépendance et de la responsabilité.

 La réglementation redéfinit la souveraineté

 Si le contrôle opérationnel définit la souveraineté au sein d’une organisation, le contexte externe évolue également. L’ère d’une approche mondiale unique de la gouvernance des données cède aujourd’hui la place à un paysage réglementaire de plus en plus fragmenté.

« L’UE dispose du RGPD et de la loi sur les données (Data Act) en cours d’élaboration, la Chine a sa loi sur la sécurité des données, l’Inde a la loi DPDP, et les États-Unis présentent un paysage de plus en plus fragmenté de lois sur la protection de la vie privée, tant au niveau des États qu’au niveau fédéral », constate Aleksander Ragel chez Leil Storage. Ces réglementations ne convergent pas, elles divergent, et chaque tension commerciale majeure accélère cette divergence. »

Kim Larsen de la société Keepit, abonde dans ce sens : « l’émergence de blocs de données, sous l’impulsion de réglementations telles que la loi européenne sur les données, va profondément remodeler les flux de données. Les organisations seront confrontées à des contraintes plus strictes quant au lieu de stockage des données et à la manière dont celles-ci circulent au-delà des frontières. »

Paul Speciale, chez Scality, décrit cette évolution comme un abandon de la circulation mondiale sans restriction des données. « L’ancien discours sur la libre circulation des données en vogue dans les années 2010 est remplacé par une circulation assortie de consentements, de contrats et de conditions à chaque frontière. Cela signifie que les organisations opérant à l’échelle mondiale ne peuvent plus partir du principe qu’une seule architecture cloud suffit pour le monde entier. Elles devront concevoir des architectures favorisant l’autonomie régionale tout en assurant une gouvernance mondiale, avec plusieurs plans de données, chacun conforme à son régime local, unifiés par des métadonnées et des politiques plutôt que par la réplication. »

Souveraineté numérique, un concept évolutif

 « Les organisations ne doivent plus considérer la souveraineté comme un exercice ponctuel de mise en conformité », insiste Edwin Weijdema chez Veeam. « Etant donné que la réglementation et le contexte géopolitique ne cessent d’évoluer, les organisations doivent considérer la souveraineté comme une discipline permanente. Les stratégies doivent donc être continuellement réexaminées et adaptées pour rester efficaces ».

 Tvrtko Fritz, PDG d’euroNAS, met en avant la dimension de l’intérêt national. « Les gouvernements sont susceptibles d’introduire des réglementations supplémentaires régissant les lieux où certaines catégories de données, la propriété intellectuelle et les informations commerciales critiques peuvent être stockées, traitées et consultées ». Il conseille donc aux organisations de « se préparer à un avenir où la souveraineté numérique fera partie intégrante de la stratégie informatique ».

 Valery Guilleaume, PDG de Nodeum, suggère de son côté un « respect rigoureux des réglementations régionales régissant le stockage, le transfert et l’accès aux données ». Dès lors, si la réglementation explique pourquoi la souveraineté évolue, la juridiction explique pourquoi le simple stockage local des données ne suffit plus.

 Pourquoi la juridiction prime sur la géographie

 Les experts interrogés regrettent que « les entreprises se concentrent prioritairement sur le lieu de stockage des données au détriment des systèmes juridiques qui régissent leur accès.

 Comme l’explique Aleksander Ragel, « la juridiction légale prendra davantage d’importance à l’avenir, une dimension que la plupart des entreprises sous-estiment encore ». « Un pétaoctet de données stocké à Francfort a peu d’importance si la société mère de la plateforme de stockage peut être contrainte par un tribunal fédéral américain de remettre ces données, peu importe leur emplacement physique. Le Cloud Act l’a clairement établi, et nous n’avons pas encore vu toutes les implications de cette loi se concrétiser lors de son application.»

 Un autre défi juridique majeur pourrait remettre ces questions au centre de l’attention. « Nous nous dirigeons probablement vers un nouveau moment « Schrems », qui remettra la question des lois américaines en matière d’accès au premier plan », confie Kim Larsen, RSSI chez Keepit. « Même si les données se trouvent en Europe, elles peuvent être soumises à une juridiction étrangère selon le fournisseur. Les organisations devraient donc réagir en réduisant leur dépendance vis-à-vis des fournisseurs soumis à des lois contradictoires, et en concevant des architectures où le contrôle, l’accès et le chiffrement restent fermement entre leurs mains. »

 Paul Haswell, associé chez Hill Dickinson, estime que les organisations devraient considérer la localisation et la juridiction comme indissociables. « Le lieu de stockage des données et les personnes pouvant y accéder ne peuvent être dissociés ; ces deux questions vont de pair. Les organisations auront besoin d’un accès facile et sécurisé à leurs données, et cet accès pourrait dépendre de la garantie que les données sont situées et protégées dans leur propre juridiction. »

 Les organisations devraient donc étendre cette réflexion au processus d’approvisionnement lui-même. « La localisation est visible sur une carte. Alors que la portée juridique demeure invisible. Et une autorité étrangère peut contraindre votre fournisseur sans vous en informer. »

Il devient donc important de considérer l’empreinte juridictionnelle du fournisseur comme un critère d’achat, et non comme une réflexion après coup : « le lieu d’immatriculation de la société mère est tout aussi important que celui où se trouve le centre de données. »

 Ces réflexions mettent ainsi l’accent sur un changement dans la manière dont la souveraineté devrait être évaluée. La localisation des données reste importante, mais elle ne suffit plus à elle seule. Les organisations doivent de plus en plus prendre en compte le lieu où résident leurs données, mais aussi qui détient en dernier ressort l’autorité légale pour y accéder.

 Le défi de l’IA souveraine

 Les experts sont unanimes : la notion traditionnelle de souveraineté des données est dépassée. Le choix du lieu de stockage des données reste important, mais il ne suffit plus. Dorénavant, les organisations devront démontrer qui contrôle leurs données, qui peut y accéder, quels cadres juridiques s’appliquent et si leur infrastructure peut fonctionner indépendamment des juridictions externes.

 Autrement dit, la souveraineté devient un choix architectural plutôt qu'un processus d'approvisionnement. Elle influence la manière dont les organisations conçoivent leurs plateformes de stockage, gèrent leurs clés de chiffrement, abordent la résilience et évaluent leurs fournisseurs de technologies.

 Cette évolution devrait redéfinir les discussions en matière d’achats dans les mois et années à venir, à mesure que les organisations dépasseront la dimension géographique pour se concentrer sur l’indépendance opérationnelle, la sécurité juridique et un contrôle démontrable.

 Le prochain défi pour les organisations consistera à déterminer comment ces mêmes principes s’appliquent à l’IA. Car si l’on attend des organisations qu’elles conservent la souveraineté sur leurs données, que se passe-t-il lorsque des modèles d’IA sont entraînés à partir de celles-ci ? 

Shimon Ben-David, directeur technique chez WEKA, résume : « l’IA souveraine est souvent interprétée à tort comme une obligation de retirer toutes les charges de travail d’IA du cloud et de tout exécuter sur site. Car l’avenir est hybride. »

Suite dans la deuxième partie de l’article où les experts examinent pourquoi l’IA est en train de devenir la prochaine frontière en matière de souveraineté des données, et pourquoi les organisations qui relèveront rapidement ces défis pourront en tirer des avantages au-delà de la conformité.