Sept couches, données, équipements, réversibilité, ce que les entreprises doivent vérifier sur leur souveraineté numérique

La souveraineté numérique ne se limite plus au lieu où sont stockées les données. Un article d’IT Social remet au centre du débat une approche en sept couches, qui englobe la résidence des données, les équipements, les logiciels, la cybersécurité, les contrats et la réversibilité. Pour les entreprises comme pour les administrations, cette lecture plus large impose une analyse précise des dépendances techniques, juridiques et opérationnelles.

IT Social détaille sept couches de souveraineté numérique

L’approche par couches permet de sortir d’une vision trop étroite du sujet. La première couche concerne la résidence des données, souvent mise en avant dans les appels d’offres et les politiques internes. Elle répond à une question simple, mais insuffisante à elle seule: dans quel pays les informations sont-elles physiquement hébergées et sous quel régime juridique sont-elles placées?

La deuxième couche porte sur la maîtrise des infrastructures physiques. Les centres de données, les serveurs, les équipements réseau, les baies de stockage et les composants critiques forment le socle matériel du numérique. Une organisation peut héberger ses données sur le territoire national, tout en restant fortement dépendante d’équipements, de firmwares ou de chaînes d’approvisionnement contrôlés ailleurs.

La troisième et la quatrième couches concernent les plateformes cloud et les logiciels. Un service en ligne repose rarement sur un seul fournisseur: hyperviseurs, bases de données, outils d’orchestration, moteurs d’intelligence artificielle, interfaces de programmation et solutions de supervision s’empilent. Cette accumulation crée une dépendance fonctionnelle, parfois plus difficile à mesurer que la localisation d’un serveur.

Les trois dernières couches touchent à la cybersécurité, à la gouvernance contractuelle et à la réversibilité. Elles déterminent la capacité d’une organisation à contrôler les accès, à auditer les traitements, à changer de prestataire et à récupérer ses actifs numériques sans perte majeure. De ce fait, la souveraineté devient un sujet de pilotage permanent, pas seulement un critère d’achat au moment de signer un contrat.

La résidence des données ne suffit plus aux DSI françaises

Dans les directions informatiques, la résidence des données reste un point de passage obligé. Elle pèse dans les secteurs réglementés, comme la santé, la banque, l’assurance, l’énergie ou les services publics. Une donnée stockée en France ou dans l’Union européenne bénéficie d’un cadre plus lisible pour les responsables conformité, notamment au regard du RGPD et des obligations de traçabilité.

Mais la localisation ne règle pas tout. Une base clients peut être hébergée dans un centre de données français, tout en étant administrée via une console opérée depuis un autre pays. Un outil de support peut donner accès à des métadonnées sensibles. Un prestataire peut s’appuyer sur des sous-traitants que le client final connaît mal. La souveraineté juridique dépend donc de la cartographie réelle des accès, pas seulement de l’adresse du bâtiment.

Les DSI doivent de plus tenir compte des lois extraterritoriales, des clauses de support, des procédures d’urgence et des droits d’audit. Le sujet devient concret lorsqu’un incident oblige à mobiliser un support technique mondial ou lorsqu’une enquête impose de prouver qui a consulté quoi, depuis quel environnement et avec quel niveau d’autorisation.

Cette lecture modifie la rédaction des appels d’offres. Les acheteurs demandent davantage de garanties sur les journaux d’accès, la séparation des environnements, la gestion des clés de chiffrement et la chaîne de sous-traitance. Les clauses relatives aux données sensibles s’étendent aux sauvegardes, aux copies temporaires, aux jeux de tests et aux environnements d’entraînement des modèles d’IA. La résidence devient une porte d’entrée, tandis que la maîtrise opérationnelle fournit la preuve.

Équipements et logiciels structurent la dépendance au cloud

La couche matérielle rappelle que le numérique reste un secteur industriel. Derrière un service cloud figurent des processeurs, des routeurs, des systèmes de refroidissement, des fibres optiques et des logiciels embarqués. Les choix d’équipements influencent la sécurité, la performance, la maintenance et la capacité à remplacer un composant en cas de tension sur une chaîne d’approvisionnement.

Les entreprises découvrent parfois cette dépendance lors d’un renouvellement d’architecture. Un outil de sauvegarde optimisé pour une plateforme précise, un format propriétaire ou une appliance difficile à migrer peuvent limiter les marges de manœuvre. Le coût réel ne se mesure pas seulement au prix mensuel d’un abonnement, mais à la difficulté de sortir d’un écosystème technique cohérent et fermé.

La couche logicielle est tout aussi déterminante. Les bases de données, les outils d’analyse, les solutions de collaboration, les suites bureautiques et les briques d’intelligence artificielle façonnent les usages quotidiens. Un changement de fournisseur impose de former les équipes, d’adapter les processus métiers, de réécrire des connecteurs et de vérifier la compatibilité avec les archives existantes.

Les standards ouverts et le logiciel libre offrent des leviers, mais ils ne constituent pas une garantie automatique. Une solution ouverte peut dépendre d’une expertise rare, d’un intégrateur unique ou d’une communauté peu active. À l’inverse, certains services propriétaires publient des interfaces documentées et des outils d’export robustes. La souveraineté repose donc sur une évaluation technique détaillée, menée avec les architectes, les juristes, les achats et les métiers concernés.

Réversibilité et contrats deviennent des critères d’achat publics

La réversibilité occupe une place croissante dans les achats numériques. Elle désigne la capacité à quitter un fournisseur, à récupérer les données, à transférer les configurations et à redémarrer le service ailleurs dans des délais acceptables. Le sujet paraît contractuel, mais il devient très technique dès qu’il faut extraire des téraoctets de données, reconstruire des droits d’accès ou valider une nouvelle architecture.

Les contrats les plus solides détaillent les formats d’export, les délais, les coûts de sortie, l’assistance due par le fournisseur et les tests réguliers. Une clause de réversibilité non vérifiée reste fragile. Les administrations et les grandes entreprises commencent donc à demander des exercices pratiques, comparables à des tests de continuité d’activité. Cette méthode permet d’identifier les dépendances cachées avant une crise.

La commande publique accentue cette évolution. Les acheteurs intègrent des exigences sur l’interopérabilité, la localisation des traitements, la documentation des interfaces et la restitution des données. Ces critères ne cherchent pas uniquement à favoriser tel ou tel acteur européen. Ils visent surtout à éviter une captivité durable, coûteuse pour les budgets publics et risquée pour les services essentiels.

Les fournisseurs doivent adapter leur discours. Promettre un cloud local ou une simple conformité documentaire ne suffit plus. Les clients veulent des preuves: audits indépendants, certifications, architecture de chiffrement, gouvernance des accès et simulation de sortie. Cette pression commerciale peut renforcer les offres européennes, à condition qu’elles répondent aussi aux attentes de performance, de disponibilité et de support international.

Les directions générales arbitrent entre risque, coût et continuité

La souveraineté numérique n’est plus un sujet réservé aux équipes techniques. Les directions générales l’abordent sous l’angle du risque d’activité, du coût total de possession et de la continuité de service. Un choix cloud engage parfois plusieurs années de transformation, des milliers d’utilisateurs et des applications critiques. Il doit donc être présenté en comité exécutif avec des scénarios lisibles.

Le premier scénario consiste à garder une forte dépendance à quelques grands fournisseurs mondiaux, avec des garanties renforcées. Cette option apporte puissance industrielle, richesse fonctionnelle et couverture internationale. Elle impose en retour une vigilance élevée sur les clauses contractuelles, les accès de support, les outils propriétaires et la gouvernance des données les plus sensibles.

Le deuxième scénario privilégie une approche hybride, qui répartit les usages entre plusieurs environnements. Les workloads critiques peuvent rester sur des infrastructures maîtrisées, tandis que les services collaboratifs ou analytiques utilisent des plateformes cloud standardisées. Cette répartition limite le risque de rupture totale, mais elle augmente la complexité de supervision, de sécurité et de gestion des compétences.

Le troisième scénario mise sur une stratégie européenne ou nationale plus affirmée. Il répond à des impératifs de contrôle, mais il suppose d’accepter parfois un catalogue plus restreint, des coûts de migration et un effort de conduite du changement. En 2026, la décision la plus robuste consiste souvent à classer les données par criticité, à tester les sorties possibles et à conserver des marges de négociation avec les fournisseurs numériques.