Souveraineté numérique : et si on arrêtait de regarder le drapeau ?

Choisir un fournisseur « non américain » suffit-il à être souverain ? Pas nécessairement. La vraie question est ailleurs, et elle change la manière de bâtir sa stratégie.

Quand on parle de souveraineté numérique, on entend souvent le réflexe : « privilégions les solutions européennes » ou, à l'inverse, « cessons de dépendre des États-Unis ». Ces deux formulations partent d'une bonne intuition, mais elles passent à côté de l'essentiel. La souveraineté ne se lit pas sur un drapeau. Elle se lit dans une structure juridique, et surtout dans une architecture.

Voici une approche pragmatique, valable que vous opériez en France, en Allemagne, au Canada ou ailleurs.

Pourquoi la souveraineté numérique est devenue un sujet stratégique

La souveraineté numérique recouvre un enjeu simple : qui peut accéder à mes données, à mes systèmes, et selon quelles règles ? En arrière-plan se trouve la question du droit applicable. Une donnée hébergée à Francfort, mais opérée par une entité soumise à une juridiction étrangère, peut tout à fait être réclamée par cette juridiction étrangère, sans que vous en soyez informé.

Ce n'est plus de la théorie. Le contexte géopolitique actuel (tensions commerciales, instabilité des accords transatlantiques sur les transferts de données, montée des contentieux extraterritoriaux) transforme une vulnérabilité dormante en risque opérationnel. Pour un dirigeant ou un responsable IT, la question n'est plus « faut-il s'en préoccuper ? » mais « par où commencer ? ».

Le piège du drapeau : ce que dit vraiment l'extraterritorialité

Aux États-Unis, le CLOUD Act (2018) permet aux autorités américaines d'exiger d'une entreprise soumise à leur juridiction la communication de données qu'elle contrôle, où que ces données soient stockées dans le monde. Le critère n'est pas géographique : il est juridictionnel.

Concrètement, cela signifie qu'une entreprise est soumise au CLOUD Act dans plusieurs cas :

• son siège social est aux États-Unis ;
• elle est filiale d'un groupe américain, même si elle opère exclusivement en Europe ;
• elle est cotée sur un marché américain et y mène des activités substantielles ;
• elle a des opérations significatives sur le sol américain.

D'où une conclusion qui surprend souvent : un éditeur peut très bien afficher un siège hors des États-Unis tout en restant pleinement soumis au droit américain, dès lors qu'il y mène des activités significatives ou qu'il appartient à un groupe qui en mène. Le drapeau institutionnel ne suffit pas. Le droit applicable, lui, suit l'organisation.

D'autres pays ont des dispositifs comparables (la Chine avec sa loi de 2017 sur le renseignement, le Royaume-Uni avec l'Investigatory Powers Act). Le sujet n'est donc pas anti-américain. Il est juridictionnel et géopolitique : à chaque organisation de cartographier les juridictions auxquelles ses fournisseurs sont soumis et de décider lesquelles sont compatibles avec ses obligations et ses risques.

Une stratégie pragmatique en trois niveaux

L'erreur la plus fréquente est de se demander : « Faut-il tout migrer vers du local ? » C'est une question à laquelle on ne peut pas répondre, et qui paralyse. La bonne approche est en trois niveaux, à mener en parallèle, chacun à son rythme.

Niveau 1 : sortir des dépendances critiques bloquantes

Identifier en priorité les charges où l'extraterritorialité crée un risque concret : données personnelles sensibles (santé, ressources humaines), données réglementées (selon votre secteur), informations stratégiques de l'entreprise, communications dirigeantes. Ces charges-là méritent d'être traitées rapidement, par des solutions non soumises à une juridiction étrangère problématique.

Le mot-clé ici n'est pas « tout », c'est « critique ». Un site marketing public n'a pas la même exposition qu'un dossier patient.

Niveau 2 : architecturer pour la portabilité

C'est probablement le niveau le plus structurant, et celui qu'on néglige le plus. Plutôt que de migrer dans l'urgence, on construit l'option de migrer. Concrètement : standards ouverts, formats portables, abstractions logicielles qui isolent les fournisseurs, contrats avec clauses de réversibilité.

L'objectif n'est pas forcément de partir, c'est de pouvoir partir. Une dépendance dont on peut sortir en quelques mois est une dépendance maîtrisée. Une dépendance dont on ne peut pas sortir, même si elle vous convient aujourd'hui, est une vulnérabilité, quelle que soit l'humeur géopolitique du moment.

Niveau 3 : choisir local quand l'écart est faible

Sur de nombreux briques, les alternatives locales (européennes, canadiennes, etc., selon votre zone) sont aujourd'hui matures et n'ont rien à envier à leurs équivalents américains : email transactionnel, stockage objet, hébergement, monitoring, intégration continue, bases de données managées simples. Quand l'écart fonctionnel est faible et que le coût de switch est raisonnable, autant choisir local. Cela soutient l'écosystème, réduit votre exposition juridictionnelle, et n'a pas de contrepartie négative.

À l'inverse, sur certains services (IA générative de pointe, certains services managés très avancés), l'écart reste réel. Y rester temporairement est défendable, à condition d'avoir construit le niveau 2 en parallèle.

Le triplet à se poser pour chaque dépendance

Plutôt que de raisonner globalement « US vs local », posez-vous trois questions, dépendance par dépendance :

C'est la combinaison de ces trois réponses qui détermine la priorité d'action. Une dépendance à forte sensibilité, soumise à une juridiction problématique, et difficile à remplacer ? Action immédiate. Une dépendance à faible sensibilité et facilement substituable ? Vous pouvez attendre.

Ce qu'il faut retenir

La souveraineté numérique n'est pas un état qu'on atteint en cochant des cases « 100 % local ». C'est une propriété d'architecture : la capacité à choisir, et à pouvoir changer d'avis. Elle se construit progressivement, sur trois niveaux qui avancent en parallèle, et elle commence par un travail de cartographie : qui sont mes fournisseurs, à quelles juridictions sont-ils soumis, et quelle serait pour moi la conséquence d'un incident ?

Ce travail-là, aucune réglementation ni aucun fournisseur ne le fera à votre place. Mais une fois fait, il transforme une inquiétude vague en feuille de route concrète, et c'est exactement ce dont les organisations ont besoin aujourd'hui.