Le vocabulaire de l'IA

Souveraineté : le mot garantit-il ce qu'on lui fait dire ?

La souveraineté numérique désigne la capacité à maîtriser ses données et les infrastructures qui les traitent, sans dépendre d'une puissance étrangère. Appliqué à un produit, le mot recouvre des réalités très différentes : hébergement en Europe, éditeur européen, ou immunité aux législations extraterritoriales. Ce sont trois choses distinctes.

Les trois questions derrière le mot

Où les données sont-elles physiquement stockées et traitées ? C'est la plus simple et la plus souvent mise en avant. Un centre de données situé en France est un fait vérifiable.

Qui contrôle l'entreprise qui exploite ce centre ? Une filiale européenne d'un groupe non européen héberge en Europe et reste soumise, par sa maison mère, à d'autres obligations.

Quel droit s'applique à l'entreprise et à ses dirigeants ? C'est la question la plus importante et la moins traitée, parce que la réponse ne dépend pas de la géographie mais du rattachement juridique.

Pourquoi l'hébergement ne suffit pas

Certaines législations permettent à une autorité d'exiger d'une entreprise relevant de sa juridiction la remise de données qu'elle détient, où qu'elles soient stockées. La localisation du serveur ne fait pas obstacle à une demande adressée à l'entreprise elle-même.

C'est ce qui explique l'apparition de dispositifs plus exigeants, où l'exploitant est une entité de droit européen indépendante, avec un personnel et une gouvernance distincts.

Ces montages existent et leur portée exacte se discute. Un cabinet qui souhaite une position ferme sur ce point doit examiner le rattachement juridique de chaque maillon de la chaîne, pas seulement du fournisseur avec lequel il contracte.

Le cas particulier des modèles

Un point est rarement soulevé et il est décisif : même avec un hébergement et un éditeur européens, le modèle appelé peut être développé et exploité ailleurs.

Il faut donc poser la question au niveau où elle se joue : quel modèle est appelé, par qui est-il exploité, et sous quelle juridiction ? Une réponse portant uniquement sur l'hébergement laisse la question entière.

Ce que le mot ne recouvre pas et qu'on lui prête

Trois attentes lui sont couramment associées à tort.

Qu'il garantisse la confidentialité : un dispositif souverain applique les mêmes règles d'accès que les autres, et son personnel d'exploitation dispose des mêmes accès techniques.

Qu'il exclue toute demande d'autorité : il déplace la question vers les autorités françaises et européennes, qui disposent elles aussi de moyens de réquisition.

Qu'il implique une conformité au règlement européen : ce sont deux sujets distincts, et un dispositif souverain non conforme est parfaitement possible.

Ce que ça ne résout pas

La souveraineté ne dit rien de la sécurité. Un dispositif souverain mal administré est moins sûr qu'un dispositif étranger bien tenu, et les incidents constatés relèvent bien plus souvent d'erreurs de configuration que de demandes d'autorités.

Elle ne dit rien non plus du secret professionnel à l'intérieur du cabinet : les cloisons entre équipes se posent identiquement quelle que soit la nationalité du fournisseur.

Et elle a un coût, en prix comme en fonctionnalités, qui doit être arbitré au regard du risque réellement couvert.

Pourquoi ça compte pour un juriste

Parce que c'est un argument commercial fort, souvent adressé aux organisations les plus prudentes, et qu'il recouvre des niveaux d'engagement très inégaux.

Les trois questions du début suffisent à trancher, et elles se posent en une minute. Un fournisseur qui répond aux trois décrit une position ; un fournisseur qui répond à la première en croyant répondre aux trois n'a pas compris ce qu'on lui demandait.