Souveraineté numérique : un enjeu de résilience désormais suivi par les conseils d’administration

L’infrastructure numérique critique n’est plus seulement un sujet pour la direction informatique. Cloud, centres de données, réseaux de télécommunications et fournisseurs technologiques spécialisés sont devenus des dépendances opérationnelles : si l’un d’eux devient indisponible, restreint l’accès à ses services ou subit une compromission, c’est l’activité elle-même qui peut être touchée.

Une enquête de Capgemini menée auprès de 1 300 dirigeants de grandes organisations et d’organismes publics dans 11 pays montre que les tensions géopolitiques, les contrôles à l’exportation et les cybermenaces conduisent les décideurs à réexaminer des dépendances technologiques jusqu’ici considérées comme acquises. 5

Une question de continuité d’activité, pas seulement d’informatique

Les conseils d’administration abordent de plus en plus l’infrastructure numérique comme l’énergie ou les chaînes d’approvisionnement physiques : avec une gouvernance renforcée, des scénarios de secours et des investissements dans la résilience. 5

La question à poser est donc très concrète : l’entreprise pourrait-elle continuer à fonctionner si un fournisseur critique devenait indisponible ?

Cette approche change la nature du débat. Il ne s’agit pas simplement d’éviter une panne informatique, mais d’anticiper les effets d’une cyberattaque, d’une contrainte juridique, d’une perturbation géopolitique ou d’une interruption de service chez un prestataire difficile à remplacer.

La souveraineté numérique, c’est conserver des options

La souveraineté numérique est souvent présentée sous l’angle national ou régional. Pour une organisation, elle désigne plus utilement la capacité d’exercer un choix, un contrôle et une gouvernance sur les dimensions liées aux données, aux opérations, à la technique et au droit, tout en continuant à travailler avec des partenaires technologiques mondiaux. 8

Autrement dit, l’enjeu est la substituabilité :

• pouvoir déplacer une charge de travail critique ;
• éviter une architecture dont la migration serait trop coûteuse ou trop complexe ;
• savoir qui contrôle les accès aux données et aux systèmes ;
• être en mesure de reconstruire ou de redéployer un service si un environnement donné échoue.

Capgemini décrit une souveraineté « dès la conception » fondée sur la portabilité, l’optionnalité, la possibilité de basculer entre des solutions et de reconstruire rapidement une pile technologique si nécessaire. 37

Il ne s’agit donc pas de remplacer systématiquement tous les fournisseurs internationaux. Le véritable objectif est de ne pas se retrouver sans solution de rechange praticable.

Les actifs que les entreprises cherchent à maîtriser

Les dépendances les plus sensibles concernent les actifs qu’il est difficile de récupérer, de recréer ou de transférer. Il peut s’agir de données propriétaires ou sensibles, de modèles d’IA, de propriété intellectuelle et de charges de travail indispensables au fonctionnement de l’entreprise.

Le contrôle recouvre plusieurs dimensions : le lieu où résident les données, les personnes ou entités qui y accèdent, l’opérateur de l’environnement, l’architecture technique et le cadre juridique applicable. 31 Un plan de résilience limité à la localisation des données, sans portabilité technique ni capacité opérationnelle de bascule, peut donc laisser subsister une dépendance majeure.

Airbus, exemple d’une stratégie de diversification

Airbus illustre une manière de réduire le risque de concentration sans assimiler la souveraineté à l’autarcie. Le groupe aéronautique a signé un accord pluriannuel avec Scaleway, filiale d’Iliad, pour fournir une infrastructure cloud destinée à des applications industrielles et de défense sensibles, y compris des outils d’IA développés avec Mistral. Cette infrastructure doit héberger des applications critiques liées à la conception des avions, à l’ingénierie, à la production industrielle et aux fonctions de l’entreprise. 18

Airbus présente sa stratégie autour de la continuité opérationnelle, du contrôle des accès aux données, de la réduction de l’enfermement propriétaire (vendor lock-in) et du maintien des capacités technologiques. 24 La logique est celle de la diversification : repérer les systèmes pour lesquels la dépendance devient inacceptable, puis mettre en place une alternative répondant aux exigences techniques, de sécurité et de droit applicables.

Cinq priorités pour les dirigeants

Plutôt qu’une déclaration générale de souveraineté, les équipes dirigeantes ont besoin d’un programme de résilience vérifiable.

1. Cartographier les dépendances critiques. Identifier les fournisseurs, services, flux de données et charges de travail dont l’interruption arrêterait ou dégraderait fortement l’activité.
2. Qualifier les actifs exposés. Distinguer les systèmes courants des données sensibles, de la propriété intellectuelle, des actifs d’IA et des processus essentiels.
3. Évaluer la capacité de substitution. Déterminer si chaque charge de travail critique peut être déplacée, restaurée ou reconstruite, et dans quelles conditions.
4. Préparer des plans de sortie et de continuité crédibles. Une clause contractuelle ne constitue pas à elle seule un plan de sortie : il faut des dispositions techniques, opérationnelles et juridiques réellement applicables.
5. Tester les dispositifs. La portabilité n’a de valeur que si les procédures de migration et de reprise peuvent être exécutées dans un délai acceptable pour l’entreprise.

L’enseignement central est clair : la souveraineté numérique devient une capacité de résilience. Les organisations qui préservent le contrôle de leurs actifs et des alternatives réalistes sont mieux armées face aux défaillances de fournisseurs, aux incidents cyber, aux contraintes juridiques et aux chocs géopolitiques. 58