Guide

Comprendre les pièges du « sovereignty-washing »

Dans le discours politique et technique actuel, le mot « souveraineté » est devenu l'argument marketing privilégié des géants du numérique. Du Cloud and AI development act européen aux critères de sécurité du BSI (Office fédéral de la sécurité des technologie de l'information en Allemagne), on assiste à l'émergence d'une tendance insidieuse : le sovereignty-washing (blanchiment de souveraineté).

L'illusion du stockage local

L'erreur fondamentale consiste à confondre la localisation des données avec la souveraineté. Pour beaucoup de fournisseurs, être « souverain » se résume à installer des serveurs sur le sol européen. Or, le stockage territorial n'est qu'une mince couche de vernis.

La réalité est celle d'une dépendance matérielle et logicielle profonde. Comme le souligne l'analyse de Synth Média, même si les données dorment à Francfort ou Paris, elles transitent par des puces NVIDIA et des infrastructures dont les licences et la conception échappent totalement au contrôle européen. La souveraineté ne peut être réelle si la pile technologique, du silicium au logiciel, reste propriété d'entités étrangères.

Le conflit des lois

Le piège le plus dangereux du sovereignty-washing est juridique. De nombreux services se présentent comme « souverains » tout en étant opérés par des filiales ou des co-entreprises de Big Tech américaines.

L'obstacle majeur reste le Cloud Act américain, qui permet aux autorités des États-Unis de contraindre un fournisseur soumis à son droit à fournir des données, peu importe où elles sont stockées dans le monde. Face à cela, les promesses de « garanties techniques » sont souvent insuffisantes. C'est ici que le paradoxe devient flagrant :

« Le cloud a beau être européen dans sa brochure commerciale, son ombre juridique, elle, traverse encore l’Atlantique ».

Le risque d'une fausse sécurité

Le danger du sovereignty-washing n'est pas seulement technique et juridique, il est stratégique. En apposant un label de « souveraineté » sur des solutions qui n'en sont pas, on crée un sentiment de sécurité trompeur.

Ce mirage produit deux effets pervers :

1. L'anesthésie politique : on croit avoir résolu la question de la dépendance alors qu'on a simplement déplacé les serveurs.
2. L'étouffement de l'innovation locale : en validant des solutions de « souveraineté graduée » (où seul un très faible pourcentage d'usages est réellement protégé), on assèche le marché pour les véritables alternatives open-source et les acteurs locaux qui, eux, proposent une indépendance réelle.

L'exemple OpenAI et EPIC

Lors de la création d'un nouvel espace de travail, OpenAI permet désormais aux clients ChatGPT Business de choisir l'Europe pour le stockage des données. À l'instar de Google, Amazon et Microsoft, le géant de l'IA a bien compris qu'il devait fournir quelques efforts pour séduire davantage d'entreprises européennes.

Comme expliqué plus haut, il ne s'agit en réalité que d'un vernis de type sovereignty-washing pour convaincre les dirigeants peu avertis. Quand bien même les donnée seraient localisées sur le sol européen, elles seraient toujours et encore soumises au droit américain. D'ailleurs, OpenAI ne s'en cache pas, les données liées à la sécurité et à la surveillance des abus sont de toute façon stockées aux États-Unis.

Dans le même temps, OpenAI s'intéresse de très près à des données sensibles telles que les données de santé. Après le lancement de ChatGPT Health en janvier dernier, les particuliers peuvent à présent choisir d'y connecter l'app Santé d’Apple et certains dossiers médicaux pris en charge. Début septembre, on apprenait que les organisations de santé pouvaient également y connecter leurs environnements EPIC de dossiers médicaux électroniques. Ainsi, l'extension Healthcare Public Data relie ChatGPT à neuf sources officielles, notamment PubMed et DailyMed.

Dans le contexte de la Suisse romande, quand on sait que le canton de Vaud et une majorité du Grand Conseil veut absolument acquérir le logiciel EPIC pour gérer les dossiers des patients au CHUV et dans les hôpitaux régionaux, on vous laisse imaginer la suite...

Comment identifier le « washing » ?

Pour ne pas tomber dans le piège, il convient de poser trois questions critiques avant toute adoption d'une solution dite « souveraine » :

• L'entité juridique est-elle soumise à une loi extraterritoriale ? Si la maison-mère est américaine ou chinoise, le risque subsiste.
• Qui contrôle la couche matérielle et les licences critiques ? Une souveraineté logicielle sur un matériel propriétaire est une souveraineté fragile.
• L'indépendance est-elle totale ou « graduée » ? Méfiez-vous des niveaux d'assurance qui excluent la majorité des données sensibles.

La véritable souveraineté numérique ne se trouve pas dans un label ou une brochure, mais dans la capacité d'une organisation à maintenir son infrastructure et ses données sans dépendre du bon vouloir d'un acteur tiers ou d'une législation étrangère.