Un client m'a appelé un matin de novembre, paniqué. Sa boîte de conseil venait de perdre un appel d'offres public au profit d'un concurrent qui facturait 30 % plus cher. Motif invoqué par l'acheteur : les données du marché devaient être hébergées chez un prestataire certifié, hors du champ d'application d'une loi étrangère. Mon client n'avait jamais entendu parler de ces critères. Il pensait sincèrement que « le cloud, c'est le cloud ». Voilà, en une phrase, ce qu'est la souveraineté numérique : la capacité à garder la main sur vos données, vos infrastructures et vos décisions, même quand tout le monde autour de vous a choisi la facilité.
Points clés à retenir
- La souveraineté numérique n'est pas un thème politique abstrait : c'est un critère d'achat qui élimine déjà des entreprises de certains marchés.
- Le vrai sujet n'est pas « où sont mes données » mais « qui peut y accéder légalement, et sous quelle juridiction ».
- Les lois extraterritoriales étrangères créent une exposition que le chiffrement seul ne règle pas.
- Certifications, open source et hébergeurs locaux sont des leviers concrets, pas des slogans.
- Le coût de la dépendance se mesure rarement en euros, souvent en marges de manœuvre perdues.
- La souveraineté est un curseur, pas un interrupteur : vous arbitrez en permanence entre coût, commodité et contrôle.
Souveraineté numérique : définition et idées reçues qu'il faut tuer
Beaucoup résument le concept à « mettre ses serveurs en France ». C'est une erreur qui coûte cher, parce qu'un serveur physiquement installé à Paris peut très bien être exploité par une entité de droit américain, et donc rester accessible aux autorités de ce pays en vertu de sa législation nationale.
La définition utile tient en trois couches :
- La couche infrastructure : où tournent les machines, qui les exploite, qui en a les clés.
- La couche juridique : quelle loi s'applique, qui peut exiger quoi, et par quel mécanisme de contrainte.
- La couche technologique : maîtrisez-vous les logiciels, ou dépendez-vous d'un fournisseur capable de couper un service du jour au lendemain ?
Franchement, la deuxième couche est celle que tout le monde oublie. Et c'est précisément celle qui a coûté l'appel d'offres à mon client.
Pourquoi cela concerne autant l'État que votre PME
Quand un ministère parle de souveraineté numérique, il pense défense, renseignement, continuité de service public. Quand une PME en parle, elle devrait penser survie commerciale. Le point commun : dans les deux cas, quelqu'un d'autre détient une capacité de décision sur vos affaires.
Un hôpital qui migre son dossier patient vers un service dépendant d'une loi étrangère ne fait pas un choix technologique. Il transfère une partie de sa responsabilité à un tiers qui n'a aucun compte à rendre à ses patients.
Souveraineté numérique et IA : le piège se referme
L'intelligence artificielle générative a fait basculer le débat. Pourquoi ? Parce qu'un modèle d'IA n'a rien d'une base de données que vous pouvez relire. Vous lui confiez des données, il produit des résultats, et vous n'avez aucune idée de ce qu'il en a fait ensuite.
J'ai testé ce principe sur un projet interne : nous utilisions un assistant pour rédiger des comptes rendus de réunions clients. Pratique. Puis un juriste a demandé où passaient les transcriptions. Personne, dans l'équipe, n'a su répondre. Nous avons coupé l'usage ce jour-là, et ça nous a pris un mois pour reconstruire un flux maîtrisé.
Le problème de fond est double :
- Vos données d'entraînement ou d'usage peuvent être réutilisées, agrégées, conservées selon des conditions que vous n'avez ni lues ni négociées.
- Le fournisseur décide unilatéralement des évolutions du modèle, des coupures, des restrictions d'accès.
La souveraineté numérique appliquée à l'IA ne veut pas dire « développer son propre ChatGPT ». Elle veut dire exiger des garanties contractuelles claires, vérifier l'hébergement et la localisation du traitement, et garder la possibilité de sortir sans tout casser. Sur ce dernier point, la plupart des offres du marché sont d'une brutalité que je trouve inacceptable.
| Critère | Service grand public | Offre souveraine |
|---|---|---|
| Juridiction applicable | Souvent hors UE | Droit européen |
| Localisation du traitement | Floue, non garantie contractuellement | Engagée par contrat |
| Réversibilité (portabilité) | Format propriétaire fréquent | Formats ouverts, export documenté |
| Réponse à une demande d'accès étatique | Possible sans vous informer | Encadrée, journalisée |
| Coût direct | Bas, voire gratuit | Plus élevé de 20 à 60 % selon les cas |
En France, où en est-on vraiment ?
La souveraineté numérique en France est devenue un mot d'ordre officiel depuis plusieurs années, avec des traductions très concrètes : doctrine d'hébergement pour les administrations, promotion du cloud de confiance, soutien à des acteurs locaux. Le sujet est passé du cercle des experts à celui des directions générales.
Le mécanisme du label exigeant, en gros, qu'un prestataire soit une entité de droit européen, que ses infrastructures soient opérées sur le territoire, et qu'aucune entité non européenne ne puisse exercer de contrôle en cas de demande judiciaire extérieure. C'est cette dernière clause qui fait grincer des dents, parce qu'elle élimine mécaniquement plusieurs acteurs majeurs du marché.
Ce que j'observe sur le terrain :
- Les grands comptes publics ont basculé en premier, contraints par leurs marchés.
- Les ETI avancent lentement, souvent par crainte de la facture.
- Les TPE, elles, n'en parlent presque jamais — jusqu'au jour où un client leur impose le sujet.
Je pense que cette progression à deux vitesses est une erreur stratégique. Attendre d'y être forcé revient à migrer dans l'urgence et à payer deux fois.
Souveraineté numérique européenne : une ambition, des faiblesses
L'Europe a produit un ensemble réglementaire dense : protection des données personnelles, résilience des infrastructures critiques, règles sur les données industrielles, encadrement des marchés numériques. Sur le papier, c'est cohérent. Dans les faits, deux limites sautent aux yeux.
Le cadre européen est-il vraiment souverain ?
Non, pas complètement, et il faut le dire. La puissance de calcul de pointe reste dépendante d'une chaîne d'approvisionnement largement extra-européenne, des puces aux frameworks d'IA. Certifier un hébergeur ne suffit pas à fabriquer un processeur.
Deuxième limite : l'application. Une règle exigeante qu'aucune autorité ne fait respecter n'est qu'un communiqué de presse. J'ai vu des organisations se déclarer conformes en changeant un logo sur leur site, sans modifier une seule ligne de leur architecture. Le contrôle réel reste rare.
Reste que le cadre européen offre un levier précieux : il transforme la souveraineté en obligation opposable. C'est plus qu'un synonyme d'ambition — c'est un instrument de négociation.
Souveraineté numérique et vie publique : ce que ça change pour vous
Un service public qui tombe, c'est une file d'attente qui s'allonge, une prestation bloquée, un dossier perdu. La souveraineté numérique dans la vie publique ne concerne pas seulement les grands systèmes de défense. Elle touche directement l'accès aux droits.
Prenons un exemple que je connais bien. Une collectivité avait confié la gestion de ses inscriptions périscolaires à un outil tiers hébergé à l'étranger. Une panne de fournisseur un lundi matin a bloqué 400 familles. Le problème n'était pas technique. Il était contractuel : personne ne pouvait forcer le prestataire à rétablir le service dans un délai donné.
Voilà la vraie question que chaque responsable devrait se poser : si mon fournisseur disparaît demain, combien de temps puis-je continuer à travailler ? Si la réponse dépasse quelques heures, vous n'êtes pas souverain.
Comment arbitrer concrètement : ma grille en quatre questions
Je n'ai jamais vu une entreprise basculer l'intégralité de son système vers une offre souveraine du jour au lendemain. Ce n'est ni réaliste ni souhaitable. En revanche, j'ai vu des équipes diviser leur facture par deux en ciblant les bons périmètres. L'inverse aussi, d'ailleurs, quand elles ont tout migré sans réfléchir.
Voici les quatre questions que je pose systématiquement :
- Que se passe-t-il si le fournisseur est contraint de transmettre mes données ? Si la réponse est « on ne sait pas », c'est déjà un problème.
- Puis-je récupérer mes données et mes configurations dans un format exploitable ? Comptez le temps réel de reconstruction, pas la promesse commerciale.
- Quel est le surcoût, ramené au chiffre d'affaires, et quel marché public ou privé ce surcoût me débloque-t-il ?
- Ai-je une solution de repli testée ? Une sauvegarde jamais restaurée n'est pas une sauvegarde.
Ma position, et je l'assume : toutes les données ne méritent pas le même niveau d'exigence. Une maquette marketing peut vivre sur un service grand public. Un référentiel client, une donnée de santé ou un code source, non. Le tout-souverain est un fantasme de consultant. Le périmètre ciblé, non.
Un dernier point, que personne ne veut entendre : la souveraineté numérique coûte du temps. Migrer, reformer les équipes, réécrire des contrats, tester des solutions de repli. Sur mon dernier projet de ce type, il a fallu sept mois pour bouger un tiers de notre périmètre applicatif. Sept mois pour un résultat que personne, en interne, n'a jugé spectaculaire.
C'est peut-être ça, le vrai enjeu. La souveraineté numérique ne se voit jamais quand elle fonctionne. Elle se remarque seulement le jour où vous la perdez, et ce jour-là, il est trop tard pour négocier.
