La souveraineté numérique est devenue à la fois un argument commercial et politique presque incontournable, un enjeu réel que nos élus évoquent souvent sans toujours le traduire en actions concrètes. Les offres sont désormais présentées comme locales, européennes, de confiance ou souveraines. Les serveurs sont annoncés en France, les contrats se veulent conformes, les infrastructures affichent des certifications rassurantes et les présentations commerciales se couvrent volontiers de drapeaux européens.
Tout cela compte, bien sûr. Mais cela ne répond pas encore à la question essentielle.
Lorsqu’une situation devient critique, qui décide réellement ? Qui peut accéder aux données, interrompre le service, modifier les conditions contractuelles ou imposer ses propres règles juridiques ? Et surtout, l’organisation qui utilise le service possède-t-elle encore les moyens techniques, humains et contractuels de reprendre la main ?
C’est à cet endroit précis que commence la souveraineté numérique. Non pas dans le vocabulaire utilisé pour vendre une solution, mais dans la capacité réelle à comprendre et à gouverner ses dépendances.
La souveraineté n’est pas d’abord une question informatique
Le mot « souveraineté » est bien plus ancien que le cloud, l’intelligence artificielle ou les débats sur les grandes plateformes technologiques. Il répond depuis plusieurs siècles à une question politique fondamentale : qui dispose du pouvoir de décision en dernier ressort ?
La réponse a changé au cours de l’histoire. Le pouvoir a d’abord été attribué au monarque, avant d’être rattaché à la nation et au peuple. Mais la question, elle, est restée la même : lorsqu’un désaccord, une crise ou une rupture survient, qui conserve la capacité d’arbitrer et d’imposer la décision finale ?
Appliquée au numérique, cette question devient immédiatement concrète. Une organisation peut-elle encore décider librement lorsque ses outils, ses données, ses communications et parfois ses processus métier dépendent d’infrastructures qu’elle ne maîtrise pas réellement ? Peut-elle changer de fournisseur sans interrompre son activité ? Peut-elle récupérer ses données dans un format exploitable ? Peut-elle expliquer sous quelle juridiction elles sont traitées et quelles entités sont susceptibles d’y accéder ?
La souveraineté ne signifie donc pas vivre en autarcie, refuser toute technologie étrangère ou vouloir reconstruire seul l’ensemble de la chaîne numérique. Une entreprise, une administration ou même un État ne peut pas tout produire et tout contrôler.
Être souverain consiste plutôt à choisir consciemment ses dépendances, à connaître leurs conséquences et à conserver une capacité crédible de décision, de négociation et de sortie.
Une coopération choisie reste compatible avec la souveraineté. Une dépendance que l’on ne peut plus quitter finit, elle, par réduire la liberté de décision.
Le numérique est devenu une infrastructure de pouvoir
Pendant longtemps, les grandes questions de souveraineté ont été associées à des domaines très visibles : l’énergie, la défense, l’alimentation, la monnaie ou les capacités industrielles. Le numérique, quant à lui, était encore perçu comme un ensemble d’outils destinés à faciliter le travail et les échanges.
Cette lecture n’est plus adaptée.
Le numérique structure désormais les communications, les systèmes de santé, la logistique, la finance, l’industrie, l’administration, la recherche, l’éducation et une partie croissante des capacités militaires. Il porte les données, organise les accès, automatise les échanges et participe directement à la prise de décision.
L’intelligence artificielle renforce encore cette dépendance. Les systèmes numériques ne se contentent plus de stocker ou de transmettre des informations. Ils commencent à les interpréter, à les synthétiser, à produire des recommandations et parfois à déclencher des actions.
Dans ce contexte, la souveraineté numérique n’est ni une mode politique ni une nouvelle niche de conseil. Elle prolonge une interrogation ancienne : peut-on encore décider librement lorsque les infrastructures qui permettent d’informer, de produire, de communiquer et d’agir dépendent de systèmes que l’on ne sait plus réellement maîtriser ?
Le problème ne commence d’ailleurs pas le jour où un fournisseur devient hostile ou lorsqu’une crise géopolitique éclate. Il commence bien avant, au moment où l’organisation découvre qu’elle ne sait plus fonctionner sans lui.
Nous avons aussi choisi nos dépendances
Il serait malhonnête de présenter les grandes plateformes technologiques comme des systèmes qui se seraient imposés uniquement par la contrainte ou par une forme de naïveté collective.
Microsoft 365, Google Workspace, AWS, Azure ou Google Cloud proposent des services puissants, largement éprouvés et souvent remarquablement intégrés. Les utilisateurs les connaissent, les prestataires savent les administrer, les outils communiquent entre eux et les directions disposent d’une certaine visibilité sur leur fonctionnement et leur coût.
Ces solutions ont répondu à de vrais besoins. Elles ont simplifié le déploiement de services complexes, permis à de petites structures d’accéder à des capacités autrefois réservées aux grands groupes et réduit une partie de la charge technique interne.
Nous n’avons donc pas seulement subi ces dépendances. Nous les avons aussi choisies parce qu’elles étaient pratiques, performantes et disponibles.
Mais la qualité d’un service ne supprime pas la dépendance qu’il crée. Elle la rend simplement plus facile à accepter et parfois plus difficile à percevoir.
Un mauvais outil est rapidement remis en question. Un excellent outil, profondément intégré aux processus de l’entreprise, finit par disparaître dans le décor. On ne le considère plus comme un choix d’architecture ou de gouvernance, mais comme une évidence.
Puis, un jour, quelqu’un demande ce qu’il se passerait si les conditions contractuelles changeaient, si les prix augmentaient brutalement, si une fonctionnalité essentielle disparaissait ou si le service devenait inaccessible.
C’est généralement à ce moment-là que l’on découvre que personne n’a réellement préparé la réponse.
Héberger les données en France ne suffit pas
L’une des confusions les plus fréquentes consiste à réduire la souveraineté numérique à la localisation physique des données. Si les serveurs sont installés en France, les données seraient françaises et donc souveraines.
La localisation représente un critère important, mais elle ne suffit pas à établir une maîtrise réelle.
Il faut également identifier l’entité qui exploite le service, la juridiction dont elle dépend, les sous-traitants auxquels elle fait appel, les personnes qui disposent d’un accès administratif, les technologies essentielles utilisées et les mécanismes prévus pour récupérer les données ou transférer le service vers un autre opérateur.
Il faut aussi comprendre qui possède les clés de chiffrement, où sont stockées les sauvegardes, quelles métadonnées sont collectées et par quels systèmes les équipes de support interviennent.
La question juridique ne peut pas davantage être évitée. Un opérateur soumis à une législation extraterritoriale peut se trouver contraint de répondre à certaines demandes de ses autorités nationales, y compris lorsque les données sont physiquement hébergées sur le territoire européen.
Cela ne signifie pas que toutes les données confiées à un acteur américain sont automatiquement consultées ou transmises. Une telle affirmation serait caricaturale et inutilement alarmiste.
Cela signifie simplement que la localisation du serveur et la juridiction de l’opérateur constituent deux dimensions différentes du risque. Elles doivent être examinées selon la nature des données, la criticité du service, les mesures techniques mises en place et les conséquences réelles d’un accès, d’une indisponibilité ou d’une rupture contractuelle.
Ce raisonnement est moins spectaculaire qu’un discours opposant mécaniquement les solutions américaines aux solutions européennes. Il est aussi beaucoup plus utile pour prendre une décision sérieuse.
La souveraineté de façade
Le retour du mot « souveraineté » a naturellement créé un marché. De nombreux acteurs ont compris qu’un datacenter situé en France, une société immatriculée en Europe, un label ou une communication adaptée pouvaient rassurer les clients.
Certaines offres répondent réellement à des exigences élevées de maîtrise technique, juridique et opérationnelle. D’autres se contentent surtout de reprendre le vocabulaire du moment.
Derrière une marque européenne ou une infrastructure locale, les dépendances peuvent rester nombreuses : briques logicielles étrangères, technologies propriétaires, chaînes de sous-traitance complexes, support opéré depuis d’autres juridictions, composants impossibles à auditer ou contrats rendant toute migration particulièrement difficile.
C’est ce que j’appelle la souveraineté de façade : une souveraineté visible dans la communication, mais beaucoup plus difficile à démontrer dans l’architecture réelle.
Le problème n’est pas qu’une solution utilise des composants étrangers. Dans une économie numérique mondialisée, c’est presque inévitable. Le problème apparaît lorsque ces dépendances sont minimisées, masquées ou présentées comme inexistantes.
Un drapeau européen ne remplace pas une cartographie des flux. Un label ne remplace pas une analyse de risques. Et une promesse commerciale ne remplace jamais une capacité de réversibilité éprouvée.
Beaucoup d’organisations possèdent aujourd’hui une souveraineté de façade tout en conservant une dépendance de fond.
La souveraineté absolue est une illusion
À l’inverse, il serait tout aussi trompeur de défendre une vision absolue de la souveraineté numérique.
Une entreprise ne fabrique pas ses processeurs, ne contrôle pas l’ensemble du code présent dans ses logiciels et ne maîtrise pas chaque composant de ses équipements réseau. Même un serveur installé dans ses propres locaux repose sur une chaîne industrielle mondiale : composants électroniques, microcodes, systèmes d’exploitation, mises à jour, outils d’administration et logiciels de sécurité.
Installer une infrastructure sur site ne rend donc pas automatiquement souverain. Cela redonne du contrôle sur certains éléments, mais transfère également à l’organisation la responsabilité de la maintenance, de la sécurité, de la sauvegarde et de la continuité de service.
Un serveur local mal administré, dépendant d’une seule personne et dont la restauration n’a jamais été testée ne constitue pas une victoire stratégique. Il représente simplement un autre type de dépendance, moins visible parce qu’elle se trouve à l’intérieur de l’organisation.
La souveraineté sérieuse ne consiste pas à prétendre que toutes les dépendances peuvent disparaître. Elle consiste à les connaître, à les hiérarchiser et à décider lesquelles sont acceptables au regard du risque.
La question pertinente n’est donc pas de savoir si l’organisation est totalement indépendante. Elle est de déterminer de quoi elle dépend, pour quelles fonctions, avec quelles conséquences et quelle capacité de sortie.
Toutes les données ne présentent pas le même risque
Le débat devient également inefficace lorsque toutes les données sont traitées comme si elles avaient la même valeur.
Une publication destinée à être rendue publique ne présente pas le même niveau de sensibilité qu’un dossier médical, un fichier RH, un plan industriel, un brevet ou une stratégie commerciale confidentielle. Une donnée marketing et une information de défense ne peuvent pas relever des mêmes choix d’hébergement et de protection.
Pourtant, les discours les plus radicaux proposent souvent une réponse uniforme : tout migrer, tout rapatrier, tout héberger localement ou tout interdire.
Ces positions donnent une impression de fermeté, mais elles produisent rarement une stratégie applicable.
La souveraineté numérique n’est pas un état binaire dans lequel une organisation serait entièrement souveraine ou ne le serait pas du tout. Elle constitue un niveau de maîtrise qui doit être adapté à la sensibilité des données, à la criticité des activités et aux risques juridiques, techniques et économiques.
Une plateforme internationale peut être acceptable pour des données publiques ou faiblement sensibles. Des données clients, RH ou de propriété intellectuelle peuvent justifier des garanties supplémentaires. Quant aux données critiques ou stratégiques, elles doivent faire l’objet d’exigences beaucoup plus fortes.
La maturité ne consiste donc pas à refuser le cloud par principe. Elle consiste à cesser de placer toutes les données dans le même environnement, avec le même niveau de contrôle et les mêmes règles d’accès.
Le terrain résiste aux grandes déclarations
C’est généralement au moment de la mise en œuvre que les discours sur la souveraineté rencontrent leurs premières limites.
Prenons une entreprise qui utilise depuis dix ans Outlook, Teams, Word, Excel, SharePoint et OneDrive. Certaines feuilles Excel contiennent des macros indispensables. Des automatisations ont été ajoutées au fil du temps. L’authentification repose sur l’environnement Microsoft. Le CRM échange avec la messagerie, les utilisateurs ont développé leurs habitudes et le prestataire informatique maîtrise parfaitement cette architecture.
Il suffit alors qu’une direction annonce vouloir « sortir de Microsoft » pour que le projet soit présenté comme une simple décision stratégique.
Sur une diapositive, cela tient effectivement en une phrase. Dans l’organisation, cela peut représenter plusieurs années de travail.
Il faut identifier les données, documenter les flux, tester les compatibilités, reconstruire les automatismes, former les utilisateurs, récupérer les archives et préserver la continuité d’activité. Il faut également absorber une réalité humaine souvent ignorée : un logiciel utilisé quotidiennement finit par devenir une extension du geste professionnel.
Affirmer qu’un autre outil possède des fonctions équivalentes ne règle pas la question des macros, des raccourcis, des habitudes, des documents accumulés et des intégrations créées au fil des années.
La résistance au changement n’est pas toujours irrationnelle. Elle peut aussi exprimer la crainte légitime de ne plus être capable de travailler correctement.
Une migration menée brutalement peut donc réduire la maîtrise au lieu de l’améliorer. Elle remplace alors une dépendance connue par une architecture mal comprise, instable et peu acceptée par les utilisateurs. Les recherches consacrées aux différents profils d’organisation montrent précisément que la stratégie doit être adaptée à la taille, aux compétences disponibles et à la criticité des outils existants.
Le premier chantier n’est pas toujours l’outil le plus visible
Une démarche sérieuse de souveraineté ne commence pas nécessairement par la suppression d’Excel, de Teams ou de la messagerie existante. Elle commence par l’observation des flux réels.
Où les fichiers sont-ils stockés ? Qui peut les ouvrir ? Comment sont-ils partagés ? Les pièces jointes sensibles restent-elles pendant des années dans les boîtes mail ? Existe-t-il une sauvegarde indépendante des données stockées dans le cloud ? Les accès des anciens collaborateurs sont-ils réellement supprimés ?
Il faut également regarder les usages qui se développent en dehors du système officiel. Les collaborateurs utilisent-ils des outils d’intelligence artificielle non validés ? Des contrats, des données clients ou des informations RH sont-ils copiés dans des assistants grand public afin de gagner quelques minutes ?
Une organisation peut passer plusieurs mois à débattre du choix de son fournisseur cloud pendant qu’un collaborateur transmet, sans intention de nuire, un document confidentiel à un service d’IA gratuit.
La donnée ne quitte pas toujours l’organisation par l’intermédiaire d’une infrastructure officiellement défaillante. Elle passe aussi par les habitudes, l’urgence, le confort, les outils personnels et les connecteurs activés sans véritable gouvernance.
Le sujet n’est donc pas seulement de savoir où sont hébergés les serveurs. Il est de comprendre où vont réellement les données.
La souveraineté commence par la cartographie
Avant de migrer, il faut comprendre ce qui existe. Avant de remplacer un outil, il faut classer les données. Avant de promettre l’indépendance, il faut accepter de regarder les dépendances en face.
La première étape consiste à identifier les données réellement présentes dans l’organisation, et pas seulement celles qui figurent dans les inventaires officiels. Il faut intégrer les fichiers locaux, les espaces personnels, les boîtes mail, les sauvegardes, les exports, les outils SaaS, les historiques d’IA, les bases de test et les archives oubliées.
Il faut ensuite déterminer leur sensibilité réelle. Tout ne peut pas être critique. La classification doit tenir compte de la confidentialité, de l’intégrité, de la disponibilité, des obligations réglementaires et de la valeur métier.
Vient ensuite la cartographie des circulations : dans quels pays les données passent-elles, quels sous-traitants les manipulent, quels connecteurs créent des copies et quelles durées de conservation sont appliquées ?
La question des accès doit également être posée clairement. Elle concerne les administrateurs internes, les prestataires, les éditeurs, les équipes de support et les applications connectées.
Enfin, l’organisation doit examiner ses dépendances techniques et sa capacité réelle de sortie. Existe-t-il un export complet et exploitable ? A-t-il déjà été testé ? Combien de temps faudrait-il pour migrer ? Les métiers pourraient-ils continuer à fonctionner pendant la transition ?
C’est à ce niveau que la souveraineté cesse d’être un discours pour devenir une pratique de gouvernance.
La souveraineté ne commence pas au discours. Elle commence à la cartographie.
Choisir ses dépendances au lieu de les subir
Une organisation mature n’a pas nécessairement besoin de tout remplacer immédiatement. Elle doit commencer par identifier ce qu’elle ne peut plus se permettre de subir.
Elle peut conserver certaines plateformes internationales pour des usages peu sensibles, tout en isolant les données critiques. Elle peut diversifier ses fournisseurs, sauvegarder ses données sur une infrastructure indépendante, imposer des formats ouverts ou renforcer les clauses de réversibilité.
Elle peut limiter l’envoi de documents sensibles en pièces jointes, encadrer l’utilisation de l’intelligence artificielle et tester des solutions alternatives sur un périmètre limité avant d’envisager une migration plus large.
Elle peut également conserver une partie de ses outils bureautiques tout en déplaçant certains flux de données vers une infrastructure mieux maîtrisée.
Cette démarche est moins spectaculaire qu’une annonce de rupture totale. Elle est pourtant souvent plus efficace.
La souveraineté numérique n’est pas un grand soir informatique. Elle se construit par une succession de décisions cohérentes, capables de réduire progressivement les dépendances les plus critiques sans mettre en danger la continuité d’activité.
Il ne s’agit pas d’être anti-américain
Le débat sur la souveraineté est parfois enfermé dans une opposition stérile.
D’un côté, certains considèrent que toute technologie américaine représente par nature une menace. De l’autre, certains affirment que les contrats, le marché et les mécanismes techniques auraient déjà réglé l’ensemble du problème.
Ces deux positions évitent le travail réel d’analyse.
Les États-Unis défendent leurs intérêts économiques, technologiques et stratégiques. La Chine fait de même. Les grandes entreprises technologiques protègent leur marché, leurs technologies et leurs obligations juridiques.
Il n’y a rien d’anormal à cela.
Ce qui serait anormal, ce serait d’attendre d’un fournisseur étranger qu’il place spontanément les intérêts stratégiques d’une entreprise française, d’un hôpital européen ou d’une administration locale avant les siens.
Ce n’est pas son rôle.
C’est à l’organisation cliente de faire le sien, en évaluant ses risques, en fixant ses exigences et en préparant ses solutions de repli.
La souveraineté numérique n’est donc pas dirigée contre un pays. Elle vise à conserver une capacité de décision. Elle ne consiste pas à refuser les technologies étrangères, mais à éviter de leur abandonner aveuglément ce que nous ne serions plus capables de reconstruire, de déplacer ou même de comprendre.
Une discipline de maîtrise
Pendant des années, les organisations ont accumulé les outils, les clouds, les abonnements, les connecteurs, les comptes, les plateformes et les automatismes. Chaque ajout répondait à un besoin, et chaque décision paraissait raisonnable lorsqu’elle était prise isolément.
Mais l’ensemble est devenu de plus en plus difficile à expliquer.
L’arrivée de l’intelligence artificielle ajoute désormais une nouvelle couche à des architectures qui étaient parfois déjà mal comprises. Une architecture peut pourtant continuer à fonctionner longtemps après avoir cessé d’être réellement maîtrisée.
C’est ici que le risque apparaît. Pas nécessairement dans la technologie elle-même, mais dans la perte progressive de la capacité à la gouverner, à l’auditer et à l’arrêter.
La souveraineté numérique n’est donc pas un produit que l’on achète. Ce n’est ni un logo, ni un datacenter, ni une nationalité affichée sur une page commerciale.
Elle désigne la capacité à savoir ce que l’on confie, à qui, sous quelle juridiction, avec quelles dépendances et selon quelles conditions de sortie.
Elle accepte la coopération, les compromis et même certaines dépendances. Mais elle refuse de les laisser devenir invisibles.
Car une dépendance connue peut encore être pilotée.
Une dépendance ignorée finit toujours par décider à notre place.
La souveraineté numérique ne consiste pas à tout contrôler. Elle consiste à savoir ce que nous ne contrôlons pas, puis à décider lucidement si nous pouvons encore l’accepter.