Analyse

Finalement pas si parano que ça

Nous paraphrasons volontairement l'excellent article d'Informatique News: Souveraineté numérique : les « paranoïaques » avaient donc raison qui met en lumière une certaine hypocrisie des marchés publics en France. Force est de constater que la situation ici, en Suisse, n'est guère différente.

La localisation ne suffit pas

Un des arguments majeurs en faveur de la souveraineté numérique est la contrainte imposée par le CLOUD act à ouvrir certaines données aux autorités américaines à partir du moment où elles alimentent une solution logicielle américaine. Cette loi s'applique également lorsque les données sont stockées hors des États-Unis.

Il s'agit donc de bien faire la distinction entre protection technique (les données sont stockées localement) et protection juridique (les données restent exposées à un droit extraterritorial).

Même si vous décidez de souscrire à une offre dite "souveraine" d'un GAFAM, le risque subsiste, quel que soit l'emplacement des données. C'est pourquoi l'ensemble des conditions doit être mis dans la balance: le droit applicable, la sous-traitance, la réversibilité et l'accès éventuel par des autorités publiques d'États tiers.

"Dire ça, il y a quelques années, c'était un peu extrémiste. On a été vus comme des paranoïaques. À la lumière de l'actualité récente, ce sont des choses bien concrètes."

Cette tension est d'autant plus forte que la Suisse a récemment renforcé son cadre légal avec la nouvelle Loi sur la Protection des Données (nLPD). Si la nLPD s'aligne sur les standards européens (RGPD), elle place la responsabilité de la conformité sur l'entreprise. Utiliser un prestataire soumis au CLOUD Act crée un conflit juridique insoluble : l'entreprise peut se retrouver à devoir choisir entre violer le droit américain pour protéger ses données, ou violer la LPD en acceptant un transfert non sécurisé vers un État tiers.

Les parlementaires suisses commencent à prendre conscience d'un tel risque et quelques parlementaires ont déjà interpelé le Conseil fédéral à ce sujet (postulat Häberli-Koller en 2025, motion Z'graggen en 2026 par exemple). À ce jour malheureusement, le Conseil fédéral a décidé... de ne rien décider avec une argumentation timide :

"Le Conseil fédéral estime enfin que les mesures de promotion sélectives de certaines technologies ou entreprises ne sont judicieuses ni du point de vue de l’équité ni de celui de l’efficacité. En effet, ce type de mesure crée des dépendances à long terme, comporte un risque élevé de mauvaise allocation de l’argent et engendre une inégalité de traitement par rapport à d’autres entreprises ou branches."

La loi n'est pas un alibi

En France voisine, les autorités se cachent derrière la loi : elle interdit qu'un acheteur public écarte un fournisseur au seul motif qu'il est américain, chinois ou étranger. Le droit de la commande publique impose l'égalité de traitement.

Certes, la loi est la loi. Cependant, comme Informatique News le précise, "cette règle, souvent brandie comme un alibi, ne condamne pas l'acheteur à acheter les yeux fermés".

L’article L. 2112-2 du Code de la commande publique permet d'inscrire des conditions d'exécution liées à l'objet du marché. L'article R. 2152-7 autorise, pour choisir l'offre économiquement la plus avantageuse, des critères non discriminatoires liés au marché, notamment la valeur technique, l'interopérabilité, les caractéristiques opérationnelles, l'assistance technique ou encore la sécurité des approvisionnements.

Autrement dit, l'acheteur ne peut pas écrire : "je refuse les fournisseurs américains". Il peut en revanche écrire : "je veux un prestataire capable de garantir qu'aucune donnée ne sera transmise à une autorité étrangère sans autorisation du client ou des autorités françaises ou européennes compétentes ; je veux un prestataire qui ne coupera pas un service critique sous l'effet d'une sanction extraterritoriale non reconnue par la France ou l'Union européenne ; je veux une chaîne de sous-traitance auditée ; je veux une réversibilité documentée ; je veux un droit applicable cohérent avec mes contraintes."

Ceci n'a rien à voir avec un chauvinisme déplacé ou du protectionnisme technico-économique, n'en déplaise à nos autorités. Il s'agit plutôt d'une gestion éclairée des risques en fonction de la sensibilité des données.

La dépendance invisible aux usages

En privilégiant les solutions américaines, nous entretenons une autre forme de dépendance, plus subtile, celle des habitudes d'usage. Plus le temps passe, plus il devient difficile de s'en affranchir.

En effet, combien nous-sommes à réagir par automatismes ?

• Besoin de noter quelque chose ? Je crée un énième document Word.
• Besoin de conserver quelques chiffres ? Je crée un énième tableau Excel.
• Besoin de communiquer avec les collègues du 3ème ? Je crée un énième canal Slack ou groupe WhatsApp.

"La vraie dépendance, elle n'est pas technique, elle est dans les usages."

Bon nombre de dirigeants d'entreprises sont conscients de cette intoxication progressive. Mais ils savent aussi que leurs équipes ont peur du changement. Et puis, changer pour quoi d'autre ? Les alternatives existent-elles ? Sont-elles suffisamment performantes ? Sont-elles accessibles ?

Autant de questions qu'il faut prendre à bras-le-corps dès à présent. L'attente ne fait qu'aggraver la dépendance et augmenter le coût de sortie.

La souveraineté numérique comme discipline

Paradoxalement, les mauvaises nouvelles telles que le durcissement des lois américaines, la récente activation du kill switch à l'encontre d'Anthropic ou encore l'affaire Nicolas Guillou contribuent à une prise de conscience dans les milieux politiques, économiques voire dans le grand public.

Après les discours parfois paranoïaques ou dogmatiques, la souveraineté numérique devient pragmatique et stratégique. Elle relève désormais davantage d'une "discipline d'architecture, de droit, d'achat, d'exploitation et de conduite du changement".

Face au mélange de risques juridiques, techniques et humains, une approche intuitive ne suffit plus cependant. C'est la raison pour laquelle nous avons développé chez DEEProd une méthodologie complète de transition vers la souveraineté numérique.

Elle permet à toute entreprise, de la TPE à la multinationale, de cartographier ses dépendances, d'évaluer et de comprendre les risques associés et, surtout, de mettre en oeuvre une stratégie adaptée. Cette méthodologie comprend également l'accompagnement au changement et la pérennisation.