Capacité aujourd'hui, souveraineté toujours : Un modèle axé sur le contrôle pour l'État numérique du Canada

Constat clé : La souveraineté n'est pas un lieu; c'est un problème de contrôle exécutoire. Une base de données peut se trouver à Ottawa chez un fournisseur sous contrôle canadien et n'être canadienne que de nom — ce qui décide de l'accès, c'est qui détient les clés, quelle politique est appliquée en temps réel, si le système peut attester de ces contrôles, et si la Couronne peut se retirer à volonté.

La conversation fédérale du Canada sur la souveraineté numérique a été ancrée dans le lieu d'implantation de l'entreprise et la géographie : qui possède le fournisseur et où se trouvent les données, y compris l'insistance sur la résidence absolue au Canada — même « en transit ». Ce cadrage est compréhensible, mais incomplet. Il surpondère les codes postaux et sous-pondère les seules choses qui décident réellement si les données peuvent être consultées, déchiffrées ou contraintes : qui contrôle les clés; quelles politiques sont appliquées en temps réel; si le système peut produire des preuves fiables (attestation) que ces contrôles sont en place; et si le gouvernement peut se retirer à volonté (sortie). Prise dans son ensemble, la souveraineté n'est pas un lieu; c'est un problème de contrôle exécutoire. Au moment même où les capacités mondiales en matière de données et d'IA se multiplient, le rétrécissement de l'écosystème de fournisseurs éligibles impose une « taxe sur les capacités » cachée à l'économie, aux services et à la posture de sécurité du Canada. Le pays ne devrait ni acheter uniquement des technologies nationales et accepter un déficit de capacités, ni dépendre sans critique des technologies étrangères et accepter une dépendance stratégique. La bonne voie est un modèle « Capacités aujourd'hui, souveraineté toujours » : exiger un contrôle exécutoire sur les données, les clés et les opérations; acquérir les meilleures capacités mondiales; et encadrer leur utilisation par des garde-fous échelonnés et des multiplicateurs économiques nationaux qui augmentent la capacité canadienne sans sacrifier la performance.

1. Le problème politique en termes clairs

La définition de travail actuelle de la souveraineté numérique dans la pratique fédérale se réduit souvent à deux questions : le fournisseur est-il sous contrôle canadien, et les données sont-elles au Canada — au repos, en cours d'utilisation, et même en transit? Cela a l'avantage d'être facile à vérifier sur papier. Cela correspond parfaitement aux listes de contrôle d'approvisionnement et aux diagrammes d'architecture. Pourtant, cela ignore la réalité plus difficile que l'accès aux données est finalement déterminé par la possession cryptographique et l'application des politiques, et non par le code postal. Une base de données peut se trouver à Ottawa et un fournisseur peut être sous contrôle canadien; si un tiers peut contraindre ou obtenir silencieusement des clés de déchiffrement, injecter un accès opérationnel privilégié, ou contourner la journalisation et l'attestation, les données ne sont canadiennes que de nom. Inversement, une charge de travail pourrait s'exécuter sur une infrastructure mondiale mais être cryptographiquement isolée derrière des clés que la Couronne contrôle, protégée par des enclaves matérielles vérifiées, et régie par des processus opérationnels qui empêchent l'accès unilatéral du fournisseur. La géographie n'est pas sans importance; elle n'est tout simplement pas décisive.

La souveraineté, comprise opérationnellement, est la capacité soutenue du gouvernement à décider qui peut accéder, traiter ou déplacer ses données en toutes circonstances, soutenue par des mécanismes qui rendent ces décisions techniquement et légalement exécutoires. Cette capacité doit survivre aux frictions ordinaires des opérations infonuagiques et aux pressions extraordinaires de la crise, de la contrainte légale, de la menace interne ou de la défaillance du fournisseur. Une politique qui élève la propriété de l'entreprise et les contraintes de routage au-dessus du contrôle exécutoire alloue mal l'attention et crée un faux sentiment de sécurité. Elle pousse les dirigeants à célébrer l'adresse du centre de données et la nationalité d'un entrepreneur tout en négligeant le pouvoir d'une session privilégiée, d'un compte d'urgence oublié ou d'une enclave non vérifiée.

Ce désalignement est coûteux. Chaque fois que le bassin éligible de technologies est réduit par des critères formalistes, le Canada paie une taxe sur les capacités : moins d'options de pointe aujourd'hui et, plus important encore, un écart de performance croissant demain à mesure que les services mondiaux d'IA et de données s'améliorent. Dans une course définie par des courbes d'apprentissage cumulatives, renoncer aux capacités de pointe ne fait pas que ralentir le progrès; cela aggrave le désavantage. Le coût n'est pas abstrait. Il se manifeste par une prestation de services plus lente, une détection de la fraude plus faible, de moins bons résultats en matière de santé, une productivité à la traîne dans les industries réglementées et une posture de défense contrainte. Lorsque les mécanismes de contrôle peuvent maintenir des capacités de classe mondiale sous un contrôle canadien irrévocable, sacrifier la performance est inutile et stratégiquement nuisible.

2. Des codes postaux au contrôle exécutoire

La définition pratique de la souveraineté pour le gouvernement numérique se réduit à quatre piliers exécutoires : les clés, la politique, l'attestation et la sortie. Ensemble, ils transforment la souveraineté d'un engagement en une propriété du système.

Les clés sont les arbitres ultimes de l'accès. Si la Couronne (ou un dépositaire canadien sous séquestre soumis uniquement à la juridiction canadienne) détient le matériel de chiffrement maître, avec un contrôle partagé et une garde vérifiable, les données restent inaccessibles aux autres par conception. Les modèles « Hold-Your-Own-Key » et « Customer-Managed-Key » n'ont d'importance que lorsqu'ils sont réels — ce qui signifie que le fournisseur ne peut pas utiliser silencieusement une copie fantôme; les modules de sécurité matériels sont ancrés sous garde canadienne; les clés sont générées, tournées et détruites selon les conditions canadiennes; et les opérations cryptographiques sont vérifiables. La différence entre « nous pouvons prouver que nous seuls pouvons déchiffrer » et « nous avons demandé au fournisseur de promettre de ne pas regarder » est la différence entre la souveraineté et la confiance.

La politique est la manière dont l'autorité devient action. Les systèmes souverains intègrent la politique sous forme de code — centrée sur l'identité, à privilège minimum, juste-à-temps et évaluée en continu. Ils limitent les opérations privilégiées à des flux de travail observables et approuvés; lient l'accès élevé à la supervision canadienne; et exigent des approbations multipartites pour tout changement de plan de contrôle qui pourrait exposer des données. La politique n'est pas un classeur PDF; c'est le tissu d'exécution qui régule chaque décision d'accès, avec des preuves émises pour chaque décision prise.

L'attestation est la capacité de vérifier l'intégrité de la plateforme et l'application de la politique. Il ne suffit pas de dire qu'une charge de travail s'exécute dans un environnement sécurisé; le gouvernement doit pouvoir obtenir une preuve cryptographique de l'état de l'environnement — chaînes de démarrage mesurées, micrologiciel vérifié, environnements d'exécution fiables — et lier cette preuve à la libération des clés. Si l'attestation est erronée ou manquante, les clés ne circulent pas et les données ne peuvent pas être déchiffrées. L'attestation s'étend au-delà du matériel. Elle englobe les vérifications de la chaîne d'approvisionnement des images, des versions signées et des ensembles de politiques, ainsi que la surveillance continue de la posture qui rend la dérive visible en quelques minutes, et non lors d'audits annuels.

La sortie est l'ultime filet de sécurité. La souveraineté exige une portabilité crédible et à faible friction des données, des configurations et des guides d'exploitation. Elle exige des contrats et des architectures qui rendent la migration faisable sans coûts de changement punitifs, et qui imposent une assistance à la résiliation, un séquestre des artefacts critiques et la portabilité des journaux dans des formats utilisables. La sortie est plus qu'une éventualité; c'est une fonction contraignante toujours présente qui discipline les fournisseurs et protège la Couronne de la dépendance stratégique.

Lorsque ces quatre piliers sont réels, la géographie devient un contrôle additionnel — et non la pierre angulaire. La résidence au pays, y compris les contraintes de routage en transit, peut réduire la latence et le risque juridictionnel, mais elle ne définit pas la souveraineté. Elles sont une couche d'une pile de contrôle multicouche.

3. La taxe de capacité cumulative

L'instinct du Canada de restreindre l'écosystème éligible aux fournisseurs de propriété nationale ou d'exiger une résidence absolue au pays pour chaque octet et chaque paquet crée une taxe de capacité cumulative. L'effet de premier ordre est évident : moins de choix. L'effet de second ordre est moins visible mais plus dommageable : une concurrence plus faible parmi les fournisseurs restants, une vélocité des fonctionnalités plus lente et un écart de performance croissant à mesure que les plateformes mondiales progressent rapidement. En IA, où la qualité des modèles et des outils s'améliore chaque mois, le coût du retard s'accumule. Un ministère qui ne peut pas accéder à des modèles linguistiques de pointe pour l'analyse de la fraude ou le triage des services laisse une valeur mesurable sur la table. Un organisme de réglementation sans détection d'anomalies moderne ou d'outils d'échange de données sécurisés applique les règles plus lentement et avec moins de précision. Une agence de défense contrainte à utiliser des outils d'une génération derrière ses pairs fait face à un risque opérationnel plus élevé.

La taxe de capacité se manifeste également comme une taxe sur les talents. Les ingénieurs et les scientifiques des données de calibre mondial veulent travailler avec des outils de calibre mondial. Si la pile technologique fédérale exclut les capacités de pointe, retenir et attirer les personnes capables d'utiliser ces outils pour le bien public devient plus difficile. L'approvisionnement qui traite la souveraineté comme une vérification d'adresse plutôt que comme un contrôle exécutoire peut ainsi épuiser à la fois l'ensemble d'outils et les talents désireux de les utiliser.

4. La fausse dichotomie

Le choix n'est pas « acheter uniquement national » versus « externaliser la souveraineté ». Acheter uniquement des technologies canadiennes est insuffisant pour résoudre la question de la souveraineté; cela ne fait que réduire la boîte à outils. Inversement, se fier sans discernement aux technologies étrangères invite à la dépendance stratégique. La voie à suivre est de combiner les meilleures capacités mondiales avec un contrôle canadien irrévocable. Cela signifie accepter la nature mondiale de l'innovation tout en refusant d'externaliser les leviers qui décident de l'accès. Cela signifie construire un plan de contrôle canadien sur un substrat hétérogène de services nationaux et mondiaux, la Couronne — ou des dépositaires canadiens de confiance — détenant les clés, élaborant les politiques, vérifiant l'attestation et préservant les options de sortie.

Cette posture hybride présente un autre avantage : elle accroît la capacité canadienne par l'utilisation, et non par l'isolement. En s'engageant avec des plateformes mondiales sous contrôle canadien, le gouvernement fédéral peut exiger des multiplicateurs économiques nationaux — formation, détachements, partenariats de recherche et localisation de la chaîne d'approvisionnement — sans sacrifier la performance. Il peut établir les conditions dans lesquelles les entreprises canadiennes peuvent se développer sur les marchés mondiaux en se conformant à des normes vérifiables de niveau souveraineté au pays.

5. Un modèle pragmatique

« Capacité aujourd'hui, souveraineté toujours » est un cadre de travail fondé sur des principes et réalisable. Il s'engage sur deux éléments non négociables — une souveraineté exécutoire sur les données, les clés et les opérations; et l'accès aux meilleures capacités mondiales — et les concilie avec des garde-fous échelonnés et des multiplicateurs économiques. Les garde-fous s'adaptent en fonction de la criticité des données et du risque de la mission. Les multiplicateurs transforment les dépenses fédérales en compétences, en propriété intellectuelle et en emplois canadiens. Le résultat est un système qui fonctionne à la pointe tout en restant souverain par conception.

Ce modèle reconnaît que toutes les charges de travail ne sont pas égales. Les contrôles nécessaires pour le contenu web public ne sont pas les mêmes que ceux nécessaires pour les données de sécurité nationale ou les dossiers sensibles des citoyens. Un régime échelonné garantit que la Couronne ne paie pas pour un contrôle maximal là où il est inutile, mais ne sous-protège jamais là où cela compte le plus. Pendant ce temps, les multiplicateurs économiques garantissent que les dollars d'approvisionnement se multiplient au niveau national — en cohortes de formation, en programmes d'apprentissage, en chaires de recherche, en infrastructure cryptographique souveraine et en partenariats qui donnent aux PME canadiennes des rôles significatifs dans la prestation.

L'équilibre n'est pas rhétorique. Il se manifeste dans des architectures qui lient la libération des clés aux autorités d'attestation canadiennes; dans des contrats qui rendent la souveraineté opérationnelle prouvable; dans des piles d'observabilité qui alimentent les centres d'opérations de sécurité contrôlés par le Canada; et dans des normes ouvertes qui maintiennent la crédibilité de la sortie. Avec ce cadre établi, les recommandations suivantes traduisent les principes en pratiques exécutoires sans prescrire une feuille de route étape par étape.

Recommandations pour un régime de souveraineté axé sur le contrôle et maximisant les capacités

Recommandation 1 : Définir la souveraineté en termes opérationnels et exiger une preuve de contrôle. La politique fédérale devrait redéfinir la souveraineté numérique comme un « contrôle exécutoire sur l'accès, le traitement et le mouvement des données gouvernementales, attesté en continu par des mécanismes cryptographiques, opérationnels et juridiques relevant de la juridiction canadienne ». Cette définition devrait être liée à un régime de preuve de contrôle selon lequel les ministères doivent obtenir et conserver des preuves vérifiables par machine que les clés sont sous garde canadienne, que la politique est appliquée en tant que code, que l'intégrité de la plateforme est attestée avant la libération des clés, et que les chemins de sortie sont testés. La preuve, et non les assurances, doit être la monnaie d'échange.

Recommandation 2 : Établir une autorité de garde des clés du gouvernement du Canada ancrée dans l'infrastructure HSM canadienne. Créer une autorité centrale de gestion des clés, orientée services, qui génère, stocke et utilise du matériel cryptographique au sein de modules de sécurité matériels certifiés, physiquement situés au Canada et exploités par la Couronne ou des dépositaires canadiens soumis exclusivement au droit canadien. Les clés devraient être divisées en utilisant des contrôles multipartites afin qu'aucune entité unique — fournisseur ou dépositaire — ne puisse agir unilatéralement. Tous les fournisseurs de services infonuagiques et SaaS utilisés pour des charges de travail sensibles s'intégreraient à cette autorité via des interfaces standardisées. Les événements de génération et de rotation des clés devraient être enregistrés de manière immuable, et la libération des clés devrait être conditionnelle à une attestation validée et à des vérifications de politique.

Recommandation 3 : Exiger l'informatique confidentielle et l'attestation à distance pour les charges de travail sensibles. Exiger que le traitement des classes de données désignées s'effectue au sein d'environnements d'exécution fiables qui prennent en charge l'attestation à distance. Lier la libération des clés de déchiffrement à des preuves d'attestation qui vérifient le démarrage mesuré, l'état du micrologiciel et l'identité de la charge de travail, avec une liste d'autorisation maintenue par la Couronne. Lorsque l'informatique confidentielle n'est pas encore viable, appliquer des contrôles compensatoires tels que la cryptographie à seuil, la minimisation robuste des données et des modèles d'architecture qui externalisent le déchiffrement vers des services souverains tout en maintenant l'exposition en clair étroite, limitée dans le temps et observable.

Recommandation 4 : Intégrer la politique en tant que code avec une supervision canadienne des opérations privilégiées. Adopter un modèle axé sur l'identité et le moindre privilège dans tous les environnements, avec une élévation juste-à-temps et des approbations multipartites pour toute action susceptible d'exposer des données ou de modifier les configurations du plan de contrôle. Les sessions privilégiées devraient être gérées par des systèmes contrôlés par le Canada, enregistrées par défaut et soumises à un accès conditionnel basé sur la santé et l'emplacement de l'appareil. Les actions administratives doivent émettre des journaux infalsifiables vers une couche d'observabilité contrôlée par le Canada. Les fournisseurs devraient être contractuellement empêchés d'établir des chemins d'accès hors bande et tenus de divulguer tous les outils administratifs utilisés en soutien.

Recommandation 5 : Traiter la résidence des données au pays et les contrôles en transit comme complémentaires, non définitoires. Continuer de privilégier la résidence des données au Canada et le routage domestique lorsqu'ils offrent des avantages en termes de latence et de juridiction, mais ne pas les considérer comme des conditions suffisantes ou définitoires de la souveraineté. Lorsque le routage domestique en transit est obligatoire, utiliser une connectivité privée et un appairage géorepéré avec des politiques de routage exécutoires, tout en reconnaissant que les garanties de routage sont un complément, et non un substitut, au contrôle cryptographique. Faire de la résidence une couche dans la pile, pas la pile elle-même.

Recommandation 6 : Exiger des obligations contractuelles de contestation et de transparence face à la contrainte légale étrangère. Tous les fournisseurs devraient être tenus d'informer la Couronne de toute demande légale susceptible d'affecter les données ou les opérations canadiennes, de contester ces demandes lorsque légalement permis, et de coopérer avec la réponse juridique de la Couronne. De manière cruciale, concevoir des systèmes de sorte que, même sous contrainte, les fournisseurs ne puissent pas accéder au texte en clair parce qu'ils ne contrôlent pas les clés ou l'accès privilégié unilatéral. Créer des conséquences en cas de manquement à ces obligations et exiger des rapports réguliers sur les demandes reçues et les réponses apportées, avec des droits d'audit indépendants.

Recommandation 7 : Rendre la sortie et la réversibilité réelles par l'architecture et le contrat. Structurer les contrats pour exiger l'exportation des données, des configurations, des journaux et des artefacts de modèle dans des formats ouverts et documentés à la demande de la Couronne, avec une assistance à la résiliation tarifée et prénégociée. Concevoir les charges de travail en tenant compte de la portabilité : limites de service modulaires, infrastructure en tant que code stockée dans les dépôts de la Couronne, et schémas de données qui minimisent le verrouillage spécifique au fournisseur. Tester la sortie annuellement pour les systèmes désignés, non pas comme un exercice sur papier, mais comme un essai à blanc qui valide les délais, les coûts et l'intégrité des données.

Recommandation 8 : Créer un régime de garde-fous à plusieurs niveaux aligné sur la criticité des données et le risque de mission. Publier une classification claire et une cartographie des contrôles qui s'étend de l'information publique à faible risque aux charges de travail de sécurité nationale hautement sensibles. Pour chaque niveau, spécifier les exigences de garde des clés, la force d'attestation, les attentes en matière de souveraineté opérationnelle, la profondeur d'observabilité et la fréquence des tests de sortie. Permettre aux fournisseurs d'atteindre des niveaux supérieurs grâce à une combinaison de capacités natives et de superpositions canadiennes, mais exiger des preuves cryptographiques et une attestation indépendante aux niveaux supérieurs. Cela garantit que la Couronne ne paie pas trop cher pour un contrôle maximal là où il est inutile, tout en ne sous-protégeant jamais là où c'est essentiel.

Recommandation 9 : Construire un tissu souverain d'observabilité et de réponse aux incidents. Centraliser la collecte des journaux, des métriques, des traces et des événements de sécurité pour les charges de travail fédérales dans des systèmes contrôlés par le Canada, avec des analyses évolutives et des règles de rétention claires. Exiger des fournisseurs qu'ils transmettent des journaux détaillés et de haute fidélité — y compris les actions administratives et les événements du plan de contrôle — à ce tissu en temps quasi réel. La réponse aux incidents devrait être dirigée par les autorités canadiennes avec le soutien des fournisseurs, et les plans d'action devraient inclure la rotation rapide des clés, la terminaison forcée des sessions, le redéploiement des politiques et la revérification de l'attestation. Rendre la collecte de preuves post-incident automatique et infalsifiable.

Recommandation 10 : Orienter les acquisitions pour récompenser la capacité sous contrôle et exiger des multiplicateurs nationaux. Mettre à jour les cadres d'évaluation afin que la meilleure capacité mondiale sous contrôle exécutoire l'emporte. Le prix, la performance et les preuves de contrôle devraient guider les attributions. En même temps, exiger des multiplicateurs économiques nationaux : des engagements à former des fonctionnaires et des PME canadiens; des partenariats de recherche financés avec des universités et des laboratoires canadiens; des équipes SRE locales pour les systèmes désignés; et des contributions ouvertes qui bénéficient aux écosystèmes canadiens. Conditionner les renouvellements à la livraison de ces multiplicateurs et à des preuves de contrôle démontrables, et non à des allégations marketing.

Recommandation 11 : Gouverner l'IA avec une souveraineté au niveau du modèle et au niveau des données. Pour les systèmes d'IA qui traitent des données sensibles ou prennent des décisions importantes, exiger la lignée des données, le suivi du consentement et des contraintes d'utilisation appliquées en tant que code. Exiger l'accès aux fiches de modèle, aux rapports d'évaluation et aux conclusions des équipes rouges. Lorsque le réglage fin ou l'adaptation de domaine se produit sur des données de la Couronne, conserver les corpus d'entraînement et les poids résultants sous la garde des clés canadiennes, avec un accès cryptographiquement contrôlé pour l'inférence. Pour les modèles de pointe hébergés, appliquer l'inférence via des points d'extrémité attestés et isolés avec un filtrage strict des entrées/sorties régi par la politique canadienne. Préserver le droit de passer à des modèles alternatifs si la performance ou le contrôle diminue.

Recommandation 12 : Séparer les fonctions entre des dépositaires canadiens indépendants. Concevoir la séparation des fonctions de manière à ce qu'aucune partie unique ne puisse compromettre la souveraineté. La garde des clés, l'autorité d'attestation, l'observabilité et le commandement des incidents devraient être détenus par des entités canadiennes distinctes, avec des approbations M-sur-N requises pour les actions exceptionnelles. Cela réduit le risque d'initié et crée des contrôles structurels. Lorsqu'un fournisseur offre des capacités intégrées, superposer des contrôles canadiens pour briser la domination potentielle d'une seule partie sur l'accès ou les preuves.

Recommandation 13 : Investir dans une dorsale cryptographique nationale et des services de confiance. Financer un réseau canadien de modules de sécurité matériels (MSM), une autorité d'horodatage, un service de signature de code et un service de vérification d'attestation que les partenaires fédéraux, provinciaux et d'infrastructures critiques peuvent utiliser. Normaliser les API afin que les fournisseurs s'intègrent une seule fois et servent de nombreux organismes publics. Étendre les services aux PME qui fournissent des services au gouvernement afin d'élever le niveau de contrôle dans l'ensemble de la chaîne d'approvisionnement nationale. Ces investissements se multiplient : chaque charge de travail liée aux services de confiance nationaux devient plus facile à gouverner et plus facile à déplacer.

Recommandation 14 : Institutionnaliser la surveillance continue des contrôles. Passer des audits périodiques à la vérification continue. Exiger des tableaux de bord qui affichent, en temps quasi réel, l'état de la garde des clés, la réussite/l'échec de l'attestation, les événements d'accès privilégié, les dérives de politiques et les métriques de préparation à la sortie. Rendre ces tableaux de bord accessibles aux DSI des ministères, aux autorités de sécurité et aux organismes centraux. Intégrer des garde-fous automatisés qui bloquent les déploiements sans attestation valide ou qui forcent la rotation des clés lorsque des anomalies sont détectées. Traiter la santé des contrôles comme un objectif de niveau de service (SLO) de premier ordre, au même titre que la disponibilité et la latence.

Recommandation 15 : Calibrer les contraintes en transit en fonction du risque, et chiffrer partout. Maintenir un chiffrement de bout en bout avec confidentialité persistante pour tout le trafic, et préférer la connectivité privée pour les niveaux sensibles. Lorsque la politique exige un routage national en transit, s'assurer que les routes sont épinglées et surveillées, avec des métadonnées de session cryptographiques enregistrées sur la plateforme d'observabilité souveraine. Reconnaître que même un routage parfait n'est pas un contrôle si les clés peuvent être contraintes ; insister pour que les clés de chiffrement ne soient libérées que sous contrôle et attestation canadiens. Éviter de transformer la politique de routage en un substitut rituel au contrôle réel.

Recommandation 16 : Intégrer les personnes à la souveraineté dès la conception. La souveraineté opérationnelle dépend autant des processus humains que du code. Élaborer des programmes de développement des talents en cryptographie, sécurité infonuagique, SRE et sécurité de l'IA au sein de la fonction publique, et créer des parcours de détachement avec des fournisseurs qui transfèrent le savoir-faire au gouvernement plutôt que de le retirer. Exiger des fournisseurs qu'ils dotent les rôles de soutien critiques au Canada et qu'ils forment des équipes canadiennes pour les opérations pratiques, tout en maintenant l'accès privilégié sous surveillance et enregistrement canadiens.

Recommandation 17 : Aligner la responsabilité et les incitatifs sur la réalité du contrôle. Les contrats devraient aligner la responsabilité sur le lieu de contrôle. Si la Couronne détient les clés et applique la politique, elle assume certaines responsabilités ; les fournisseurs restent responsables de l'intégrité de la plateforme, de la fidélité de l'attestation et de toute déviation par rapport aux contraintes opérationnelles convenues. Introduire des crédits de performance non seulement pour la disponibilité, mais aussi pour les SLO de contrôle — attestation en temps opportun, qualité des journaux, latence de libération des clés et réactivité du soutien à la sortie. Lier les renouvellements et les expansions à une performance de contrôle avérée au fil du temps.

Recommandation 18 : Élargir les modèles souverains au-delà des frontières intergouvernementales et sectorielles. Développer des modèles réutilisables — architectures de référence, clauses contractuelles et cartographies de contrôle — que les provinces, les municipalités et les secteurs réglementés peuvent adopter. Cela fédère le paradigme de contrôle dans l'ensemble du secteur public canadien tout en respectant les différences de juridiction. Encourager les exercices intersectoriels qui testent la réponse aux incidents, la rotation des clés entre les domaines et la sortie coordonnée pour les plateformes partagées.

Recommandation 19 : Traiter la minimisation des données et la limitation de la finalité comme des multiplicateurs de contrôle. Réduire le rayon d'impact de toute compromission en ne collectant et ne conservant que ce qui est nécessaire, en segmentant les données par finalité et en tokenisant ou anonymisant chaque fois que possible. La souveraineté est plus facile à garantir lorsqu'il y a moins de données sensibles en jeu, et lorsque les données qui doivent exister sont partitionnées de manière à ce qu'aucune compromission unique n'entraîne une exposition systémique. Intégrer ces principes dans les revues de conception et les livrables d'approvisionnement.

Recommandation 20 : Communiquer la souveraineté et la performance de manière transparente. Publier un rapport annuel indépendant sur l'état de la souveraineté numérique et de la capacité fédérale, avec des tableaux de bord au niveau du système qui équilibrent les preuves de contrôle et les résultats de service. La transparence discipline l'écosystème et renforce la confiance du public. Elle aide également le marché à comprendre ce que la Couronne valorise : un contrôle réel et une performance mesurable, et non l'image de marque ou les promesses.

6. Répondre aux objections courantes

Une objection à un modèle axé sur le contrôle est qu'il est plus difficile à acquérir et à vérifier que les règles basées sur l'adresse. En pratique, c'est différent plutôt que plus difficile. Cela déplace l'effort de la conformité ponctuelle à une liste de contrôle vers l'assurance continue — exactement là où l'effort devrait être dans des systèmes qui changent quotidiennement. Les outils existent : la gestion moderne des clés, l'informatique confidentielle, les chaînes d'approvisionnement signées et la surveillance continue mûrissent rapidement. Le rôle de la Couronne est de codifier les attentes, de consolider la demande et de faire de l'intégration avec les services de confiance canadiens la voie par défaut pour les fournisseurs qui souhaitent servir des missions publiques.

Une autre objection est que le contrôle ne peut jamais être absolu, de sorte que la géographie et la propriété corporative offrent des protections nécessaires de type bretelles et ceinture. La réponse est oui — et. La géographie est une ceinture ; le siège social peut être des bretelles ; aucun des deux n'est le pantalon. Un centre de données canadien exploité par une entreprise canadienne est une préférence judicieuse lorsqu'il n'entraîne pas de compromis en matière de capacité. Mais lorsque cette préférence évince des capacités de pointe qui peuvent être placées sous contrôle canadien, la politique devient autodestructrice. Le gouvernement devrait préserver la géographie comme une couche précieuse, et non l'élever au rang de dogme.

Une troisième objection est que l'exigence de contrôle cryptographique et d'attestation effraiera les fournisseurs. En réalité, cela triera le marché. Les fournisseurs capables d'opérer à la pointe tout en respectant les contrôles de niveau souverain remporteront des contrats. Ceux qui ne le peuvent pas s'adapteront ou se retireront. Le résultat est un écosystème plus sain, calibré aux besoins du public. Et parce que les normes de contrôle seront publiées et réutilisables, les PME canadiennes pourront développer des offres qui s'intègrent dans le même tissu de confiance, multipliant ainsi la participation nationale plutôt que de l'étrangler.

7. La logique économique des multiplicateurs

Les multiplicateurs économiques nationaux sont souvent mal interprétés comme une taxe sur la capacité. Ils n'ont pas à l'être. Lorsqu'ils sont liés à une formation, une recherche et une livraison locales réelles, les multiplicateurs transforment les dépenses fédérales en capacité canadienne qui perdure au-delà de tout contrat unique. Un fournisseur qui s'engage à former une cohorte d'ingénieurs SRE et de cryptographes canadiens, à financer des chaires de recherche conjointes en systèmes vérifiables et à constituer des équipes d'intervention en cas d'incident au Canada ne fait pas que rédiger un chèque; il accroît le bassin de personnes et d'institutions qui rendent la souveraineté durable. Lorsque ces engagements sont suivis et appliqués parallèlement aux contrôles techniques, ils deviennent partie intégrante d'une stratégie cohérente : des outils mondiaux entre les mains des Canadiens, effectuant un travail canadien, produisant des connaissances canadiennes et renforçant les entreprises canadiennes.

Les multiplicateurs contribuent également à résoudre une contrainte pratique : la rareté mondiale des compétences spécialisées. Le gouvernement fédéral peut utiliser les marchés publics pour créer une demande prévisible de formation et pour structurer des détachements qui transfèrent les connaissances opérationnelles à la fonction publique. Au fil du temps, cela réduit la dépendance à l'égard d'un fournisseur unique et rend la sortie moins intimidante. La capacité acquise ne réside pas seulement dans les outils; elle réside dans les équipes.

8. À quoi ressemble le succès

Un régime réussi de « Capacité aujourd'hui, souveraineté toujours » serait perçu différemment par les cadres et les ingénieurs. Les cadres verraient des tableaux de bord qui rendent compte non seulement de la disponibilité des systèmes, mais aussi de la santé des contrôles de souveraineté : quelles clés sont où, quelles attestations ont été validées, où un accès privilégié a eu lieu, à quelle vitesse les sorties ont été testées et validées. Ils verraient des résultats d'approvisionnement où la meilleure capacité mondiale l'emporte parce qu'elle se soumet au contrôle canadien, et où les multiplicateurs nationaux sont visibles dans les cohortes formées, les nouveaux laboratoires et les PME fournissant des composants critiques.

Les ingénieurs feraient l'expérience d'une plateforme qui privilégie le contrôle : le déploiement d'une charge de travail la lie automatiquement à la garde des clés canadiennes; les portes de politique sont évidentes et appliquées; les échecs d'attestation arrêtent la libération des clés; les journaux s'écoulent vers un plan d'observabilité souverain; et l'accès privilégié nécessite une approbation canadienne et laisse une trace. Ils auraient accès à des outils modernes d'IA et de données, enveloppés de garde-fous qui rendent l'utilisation sûre le chemin le plus facile. La réponse aux incidents serait plus rapide car les éléments constitutifs — rotation, révocation, revérifications d'attestation — sont intégrés et répétés.

Les citoyens rencontreraient des services plus rapides, plus fiables et manifestement privés. Le gouvernement serait en mesure de montrer, et non pas seulement de dire, que les données sensibles sont restées sous contrôle canadien, que les décisions ont été prises par des systèmes et des personnes responsables devant les institutions canadiennes, et que la dépendance à l'égard des technologies mondiales n'a pas compromis la souveraineté mais, au contraire, a accru la capacité selon des conditions canadiennes exécutoires.

9. Conclusion

Le défi de la souveraineté numérique du Canada n'est pas un paradoxe à endurer; c'est un problème de conception à résoudre. L'accent actuel mis sur le lieu d'implantation de l'entreprise et la géographie, y compris la résidence absolue au Canada pour les données au repos et en transit, se concentre sur l'endroit où se trouvent les données et qui est propriétaire du fournisseur, au lieu de savoir qui peut réellement accéder, déchiffrer ou contraindre les données. En pratique, la souveraineté vit ou meurt sur la question du contrôle exécutoire : clés sous garde canadienne; politique appliquée comme code avec supervision canadienne; attestation qui lie la vérité à la divulgation des secrets; et sortie qui maintient la Couronne libre. Lorsque ces piliers sont réels, la géographie devient une couche utile plutôt qu'une fondation mal placée.

L'alternative — confiner les marchés publics aux fournisseurs nationaux dans l'espoir que la propriété équivaut au contrôle — impose une taxe sur la capacité qui s'aggrave d'année en année à mesure que les capacités mondiales en matière d'IA et de données s'accélèrent. Le Canada ne devrait pas renoncer à des capacités de pointe lorsque des mécanismes de contrôle peuvent maintenir ces capacités sous un contrôle canadien irrévocable. Il ne devrait pas non plus accepter une dépendance stratégique en faisant confiance à des technologies étrangères sans contraintes exécutoires. Un modèle « Capacité aujourd'hui, souveraineté toujours » résout la fausse dichotomie. Il impose la souveraineté comme une propriété opérationnelle et insiste sur une performance qui égale les meilleures au monde, enveloppée de garde-fous étagés et multipliée par des investissements nationaux qui développent les compétences, la propriété intellectuelle et les entreprises canadiennes.

Le test de ce modèle est simple. Si un fournisseur disparaissait demain, le gouvernement pourrait-il continuer? Si une autorité étrangère frappait à la porte, le fournisseur pourrait-il se conformer sans le consentement canadien? Si l'intégrité d'une plateforme dérivait, les clés se retiendraient-elles jusqu'à ce que la vérité revienne? Si la réponse à ces questions est oui, la souveraineté est un communiqué de presse; si la réponse est non, la souveraineté est une propriété. Le Canada peut choisir cette dernière option. En adoptant le contrôle exécutoire comme élément central, en exigeant des preuves plutôt que des promesses, en calibrant les garde-fous en fonction du risque et en orientant les dépenses vers le développement de la capacité nationale, le gouvernement fédéral peut offrir la capacité aujourd'hui et la souveraineté toujours — avec confiance, de manière mesurable et durable dans l'intérêt national.