Cadre de mise en œuvre de la souveraineté numérique

Constat clé : La souveraineté numérique n'est pas un état binaire, mais un continuum à plusieurs niveaux. Une véritable souveraineté exige des progrès sur tous les fronts — juridique, technique, opérationnel et économique — afin d'éliminer les points de dépendance uniques, la défense étant le cas d'essai ultime exigeant les plus hauts niveaux de contrôle pour la survie nationale.

Introduction : La souveraineté numérique comme impératif stratégique

Au 21e siècle, la souveraineté nationale s'étend au-delà des frontières physiques, dans le domaine numérique. Tout comme le contrôle du territoire est le fondement de l'indépendance politique, le contrôle des données et de l'infrastructure numérique est le fondement de l'indépendance technologique. L'infonuagique et l'intelligence artificielle (IA) sont devenues aussi essentielles à la survie et à la prospérité d'une nation que les réseaux énergétiques ou les systèmes de défense. Pour les États-nations modernes, l'atteinte de la souveraineté numérique — la capacité de gouverner et de protéger les actifs numériques sans ingérence extérieure — n'est pas une option, mais un impératif stratégique. Elle détermine qui contrôle, surveille et peut accéder aux informations d'une nation. À une époque où l'IA est un moteur d'avantage économique et militaire, la souveraineté numérique est fondamentale pour la sécurité nationale et la compétitivité.

De manière critique, la souveraineté numérique n'est pas un état binaire, mais un continuum à plusieurs niveaux. Les décideurs politiques doivent comprendre l'interaction des facteurs juridiques, opérationnels et technologiques pour élaborer une stratégie de souveraineté cohérente. Ce document décrit les paramètres de la souveraineté numérique dans un contexte national, en définissant ses dimensions clés et en décrivant un cadre multi-axes et multi-niveaux pour sa mise en œuvre. L'IA est traitée comme l'axe central de l'analyse — la lentille à travers laquelle tous les défis et opportunités de souveraineté sont focalisés. Cet accent est délibéré : les capacités de l'IA (des grands modèles linguistiques aux algorithmes de défense) cristallisent l'importance du contrôle souverain sur les données, l'infrastructure et l'innovation. En effet, le secteur de la défense constitue le cas d'essai ultime, exigeant les plus hauts niveaux de souveraineté pour la survie nationale. En examinant des études de cas mondiales — du SecNumCloud de la France au C5 de l'Allemagne et à Gaia-X de l'Europe — nous illustrons comment les nations poursuivent des stratégies souveraines en matière d'infonuagique et d'IA. Tout au long, nous maintenons une perspective stratégique et opérationnelle destinée aux hauts décideurs politiques. L'objectif est de doter les décideurs d'un plan directeur pour la souveraineté numérique nationale : un plan qui équilibre la sécurité et l'innovation, et l'indépendance et la coopération internationale.

Définir la souveraineté numérique : dimensions clés

La souveraineté traditionnelle est le droit exclusif d'un État de se gouverner sans ingérence extérieure. La souveraineté numérique applique ce principe à la sphère numérique. Elle peut être comprise à travers quatre dimensions interdépendantes :

• Souveraineté juridictionnelle. Toutes les données, les services numériques et l'infrastructure sont soumis aux lois et à la juridiction du pays, sans contrôle extraterritorial concurrent. Cela signifie que les lois étrangères (telles que les lois d'accès au nuage d'une autre nation) n'ont aucune portée sur les données nationales. Les mécanismes juridiques (comme l'immunité souveraine) protègent contre les assignations ou ordonnances étrangères. La souveraineté juridictionnelle assure l'exclusivité du droit national sur les données et les opérations numériques.

• Souveraineté technologique. La nation possède la capacité nationale de développer, d'exploiter et de contrôler les technologies numériques critiques (piles infonuagiques, modèles d'IA, outils de chiffrement) sans dépendance excessive à l'égard de fournisseurs étrangers. Cela implique la propriété ou le contrôle total de l'infrastructure essentielle et de la propriété intellectuelle. Par exemple, les entreprises nationales devraient posséder ou gouverner l'infrastructure infonuagique et les logiciels clés, empêchant ainsi le verrouillage par les fournisseurs étrangers de technologie. La souveraineté technologique vise à réduire la dépendance à l'égard des technologies externes pour les systèmes stratégiques.

• Souveraineté opérationnelle. Le pays peut gérer et exécuter ses opérations numériques entièrement sur son propre territoire et par son propre personnel. Les rôles administratifs clés sont occupés par des ressortissants responsables devant les autorités nationales. Les réseaux, les serveurs et les opérations de sécurité sont surveillés et contrôlés depuis l'intérieur du pays, 24 heures sur 24, 7 jours sur 7. Il n'y a pas de "portes dérobées" cachées ni d'accès racine à distance pour les ingénieurs étrangers. La souveraineté opérationnelle signifie que les incidents peuvent être traités en interne, et qu'aucune entité étrangère ne peut manipuler ou arrêter silencieusement des systèmes critiques.

• Souveraineté économique. L'écosystème numérique national (fournisseurs de services infonuagiques, centres de données, industrie de l'IA) génère de la valeur, des emplois et de l'innovation pour l'économie nationale. Cela inclut le développement d'entreprises technologiques locales et la garantie que les investissements dans l'infonuagique/l'IA profitent aux intérêts nationaux. La souveraineté économique implique également la résilience — par exemple, une infrastructure redondante distribuée à l'intérieur des frontières nationales pour assurer la continuité pendant les crises. En fin de compte, la souveraineté renforce non seulement la sécurité, mais aussi la prospérité nationale en retenant la valeur numérique sur le territoire.

Ces dimensions se chevauchent en pratique. Un pays pourrait localiser ses données (atteignant un contrôle juridictionnel) mais manquerait toujours de souveraineté technologique si le logiciel infonuagique sous-jacent est détenu par des étrangers. Inversement, une nation pourrait développer une technologie indigène mais externaliser les opérations à des entreprises étrangères, sapant ainsi le contrôle opérationnel. Une véritable souveraineté numérique exige des progrès sur tous les fronts — juridique, technique, opérationnel et économique — afin d'éliminer les points de dépendance uniques. En bref : le contrôle total sur les données, l'infrastructure, la sécurité et la gouvernance est l'objectif final.

Le continuum de souveraineté à plusieurs niveaux

Parce que la souveraineté n'est pas tout ou rien, il est utile de penser en termes de niveaux de souveraineté. De nombreux gouvernements adoptent un modèle à plusieurs niveaux pour classer le degré de souveraineté d'un service infonuagique ou numérique donné. Ce document utilise un continuum à cinq niveaux (Niveau 1 à Niveau 5) pour caractériser la progression de la souveraineté minimale à la souveraineté totale. Chaque niveau représente une intégration plus profonde des principes de souveraineté dans l'infrastructure infonuagique/IA :

1. Niveau 1 — Résidence des données. Les données sont stockées sur des serveurs physiquement situés à l'intérieur des frontières du pays. Certaines charges de travail de base peuvent également être traitées localement. Ce niveau aborde l'emplacement géographique des données mais pas qui possède ou exploite l'infrastructure. Souvent, le Niveau 1 implique l'utilisation du centre de données régional d'un fournisseur de services infonuagiques mondial. Il convient aux informations à faible sensibilité (par exemple, sites web publics, portails de données ouvertes) où le stockage local est préféré pour des raisons de latence ou de conformité. Risques : Le service peut toujours être détenu par une entreprise étrangère et soumis à des lois ou assignations étrangères (par exemple, le U.S. CLOUD Act), et les administrateurs pourraient avoir un accès à distance depuis l'étranger. Essentiellement, au Niveau 1, le pays gagne en localisation des données mais reste vulnérable au contrôle extraterritorial.

2. Niveau 2 — Résidence contrôlée. Le stockage et le traitement des données ont lieu à l'intérieur des frontières nationales. De plus, les clés de chiffrement sont gérées au niveau national (plus de détails sur le chiffrement plus tard). Les services infonuagiques à ce niveau sont généralement conformes à certaines certifications de sécurité locales. Le niveau 2 convient aux charges de travail de sensibilité modérée, telles que les systèmes administratifs internes (paie, approvisionnement). Risques : L'infrastructure ou le logiciel sous-jacent peut toujours être de propriété étrangère. Il peut y avoir une maintenance à distance par du personnel étranger, et l'exposition juridique aux juridictions étrangères persiste si la société mère du fournisseur est à l'étranger. Ainsi, bien que les opérations soient localisées, la dépendance à l'égard des fournisseurs étrangers demeure une lacune.

3. Niveau 3 — Souveraineté juridique et opérationnelle. À ce niveau, le fournisseur de services est une entité juridique domiciliée au pays et exclusivement soumise au droit national. Toutes les opérations et le soutien sont effectués par du personnel basé localement. Les régulateurs ont des droits d'audit complets et une surveillance des opérations infonuagiques. Ce niveau est souvent appelé un « nuage de confiance » — l'influence extraterritoriale étrangère est ostensiblement supprimée en termes juridiques. Le niveau 3 est approprié pour les données personnelles sensibles (dossiers de santé, bases de données d'identification des citoyens) qui nécessitent une conformité rigoureuse et une responsabilisation locale. Risques : Le pays peut toujours dépendre de technologies développées à l'étranger ou de propriété intellectuelle fondamentale (par exemple, logiciels propriétaires, hyperviseur, modèles d'IA). Si les mises à jour logicielles critiques proviennent de l'étranger, il y a une dépendance résiduelle. Le niveau 3 permet un contrôle juridique national et des opérations locales, mais pas une autonomie technologique complète.

4. Niveau 4 — Souveraineté technologique. Une entité nationale possède et exploite l'ensemble de la pile infonuagique — infrastructure, intergiciel, logiciel d'orchestration — à l'intérieur du pays. L'« accès racine » étranger est éliminé : aucune partie extérieure ne peut accéder ou contrôler secrètement les systèmes. La propriété intellectuelle (PI) critique est soit développée au niveau national, soit sous licence de manière à ce que la nation puisse la maintenir et la gouverner de manière indépendante. Des normes ouvertes ou des normes approuvées au niveau national sont utilisées pour assurer l'interopérabilité (afin que le nuage souverain puisse toujours interagir avec les systèmes des alliés si nécessaire). Le niveau 4 convient aux charges de travail critiques telles que les systèmes financiers, les contrôles du réseau électrique ou la formation d'IA à grande échelle sur des données sensibles. Risques : Atteindre le niveau 4 est coûteux et technologiquement difficile — cela nécessite des investissements importants en R&D et un écosystème technologique national mature. Les performances ou les fonctionnalités pourraient être en deçà de celles des hyperscaleurs mondiaux à court terme. Néanmoins, le niveau 4 marque une véritable autonomie technologique.

5. Niveau 5 — Nuage souverain complet. Cela représente une souveraineté absolue dans le domaine numérique. L'infrastructure infonuagique, le matériel, les logiciels et les opérations sont détenus et contrôlés à 100 % par des institutions nationales. Tout le personnel est citoyen (souvent avec des habilitations de sécurité) et toute la gouvernance est nationale. Le nuage répond aux certifications et aux normes de sécurité les plus élevées de la nation (par exemple, les niveaux de sécurité classifiés). Même la chaîne d'approvisionnement et les installations physiques sont sous contrôle national. La redondance et la résilience sont entièrement construites à l'intérieur des frontières nationales, assurant la continuité même si les réseaux mondiaux sont coupés. Le niveau 5 est réservé aux domaines les plus sensibles — défense, renseignement et systèmes d'IA gouvernementaux stratégiques — où toute dépendance étrangère est inacceptable. Risques/Compromis : Les nuages de niveau 5 peuvent être coûteux et plus lents à évoluer. Ils exigent une industrie informatique nationale solide et une main-d'œuvre qualifiée. Cependant, pour les charges de travail de sécurité nationale, le bénéfice d'un contrôle complet l'emporte largement sur le coût. Le niveau 5 est l'« étalon-or » de la souveraineté : aucune entité étrangère n'a de levier sur l'infrastructure techniquement, légalement ou opérationnellement.

Peu de nations atteindront le niveau 5 pour tous les systèmes. Au lieu de cela, les pays doivent mapper chaque charge de travail ou ensemble de données au niveau de souveraineté approprié en fonction de sa sensibilité, de son exposition aux menaces et de sa valeur. Les niveaux inférieurs (1-2) pourraient suffire pour les services publics et à faible risque, tandis que les niveaux supérieurs (4-5) sont obligatoires pour les fonctions critiques et secrètes. Le modèle à cinq niveaux offre un moyen structuré d'évaluer où des mesures de souveraineté plus strictes sont nécessaires. Il sert également d'outil d'analyse comparative : les décideurs politiques peuvent fixer des objectifs (par exemple, « tous les systèmes de données de santé doivent atteindre au moins le niveau 3 ») et identifier les lacunes. De nombreuses nations commencent aux niveaux 1-2 avec des mesures de « souveraineté légère » (exigences de résidence des données, etc.) et développent progressivement leurs capacités vers les niveaux 4-5 pour les infrastructures les plus cruciales.

Le plan directeur multiaxe de la souveraineté

Alors que les cinq niveaux ci-dessus décrivent une progression verticale vers la pleine souveraineté, une stratégie globale est multidimensionnelle. La souveraineté existe « à plusieurs niveaux, à travers des couches de responsabilité et le long de dimensions de sensibilité des données. » Ces axes interactifs forment un plan directeur multiaxe pour la souveraineté numérique nationale :

• Axe vertical — Niveaux de souveraineté (1-5). La profondeur du contrôle souverain mis en œuvre, telle que décrite dans le cadre à cinq niveaux. Les niveaux supérieurs imposent des exigences plus strictes en matière de propriété, de droit et d'opérations.

• Axe horizontal — Classification de la sensibilité des données. Toutes les données ne nécessitent pas le même niveau de souveraineté. Une dimension de classification des données superpose les niveaux. Par exemple, un site web de tourisme public ne gère que des informations publiques et correspond à une faible sensibilité, tandis qu'un système d'IA militaire traite des données de défense très sensibles. Chaque catégorie de données (publiques, administratives internes, personnelles, infrastructures critiques, modèles de défense/IA, etc.) comporte un objectif de souveraineté approprié. Le contenu public général (comme les données ouvertes ou les sites de marketing) peut n'avoir besoin que d'une résidence de niveau 1. Les informations personnelles sensibles (santé, biométrie) pourraient nécessiter le niveau 3 ou 4. Les données de sécurité nationale et de défense exigent sans équivoque le niveau 5, tout comme les modèles d'IA fondamentaux entraînés sur des ensembles de données nationales sensibles. Cet axe horizontal garantit que le « quoi » (type de données) est aligné avec le « comment » (niveau de contrôle).

• Superposition — Maturité de la gouvernance. Une troisième dimension est la maturité des mécanismes de gouvernance et de surveillance. La souveraineté ne concerne pas seulement la technologie et l'emplacement ; elle concerne aussi la qualité de la gouvernance de l'environnement. La gouvernance va des politiques manuelles de base à la surveillance avancée de la conformité en temps réel, basée sur l'IA. Par exemple, un nuage souverain peut commencer par des audits manuels périodiques et évoluer vers un audit automatisé continu et une détection des anomalies à l'aide de l'IA. Une couche de gouvernance très mature signifie que toute violation de politique ou anomalie de sécurité est détectée et traitée en temps réel (ce que nous pourrions appeler la souveraineté dynamique). Cette superposition assure la confiance par la transparence et la responsabilisation, quel que soit le niveau ou le type de données.

En visualisant ces trois axes ensemble, on peut imaginer un cube de souveraineté : l'axe vertical des Niveaux 1 à 5, l'axe horizontal de la sensibilité des données (de faible à élevée), et la superposition de la gouvernance, de la base à celle pilotée par l'IA en temps réel. Ce modèle multi-axes permet aux décideurs politiques de cartographier chaque charge de travail du paysage numérique national à un point approprié dans le cube.

Par exemple, considérons trois applications :

• Un site web national de tourisme (données publiques) : Il pourrait résider au Niveau 1 (hébergement national) combiné à une classification des données de faible sensibilité et à une surveillance minimale. Une résidence de base satisfait la souveraineté pour ce cas d'utilisation.

• Un système de dossiers hospitaliers gouvernementaux (données de santé personnelles sensibles) : Cela justifierait le Niveau 3 (souveraineté juridique et opérationnelle avec personnel local et conformité) combiné à une classification des données "sensibles" et à un audit continu par les régulateurs. Ici, la nature des données et les lois sur la protection de la vie privée exigent des contrôles plus stricts qu'un site public.

• Une plateforme de simulation d'IA de défense (modèles et données hautement classifiés) : Celle-ci devrait fonctionner au Niveau 5 (cloud souverain complet) avec une classification des données de "sécurité nationale" et une gouvernance pilotée par l'IA en temps réel (par exemple, surveillance automatisée de toute anomalie). Dans un tel système, chaque composant — du matériel aux mises à jour des modèles d'IA — est sous un contrôle national strict, et toute déviation déclenche des alertes instantanées.

Ce plan multi-axes met en évidence un principe important : la souveraineté doit être adaptée et basée sur les risques. Tous les systèmes n'ont pas besoin de contrôles maximaux, mais ceux qui en ont besoin doivent les avoir de manière exhaustive. En considérant le niveau, le type de données et la gouvernance ensemble, une nation peut optimiser ses ressources — en appliquant des mesures coûteuses de Niveau 5 uniquement là où c'est vraiment nécessaire — tout en maintenant une posture de risque acceptable à l'échelle nationale. Le plan montre également comment la technologie (l'IA en particulier) peut renforcer la souveraineté : une surveillance avancée et une conformité automatisée peuvent compenser les limitations humaines et offrir une assurance à grande échelle.

Coexistence des niveaux de souveraineté dans une architecture nationale

Aucune nation n'applique un niveau de souveraineté unique de manière uniforme à travers tous ses domaines numériques. Un écosystème stratifié émerge inévitablement, où différents secteurs et charges de travail opèrent à différents points du spectre de la souveraineté. Le défi pour les décideurs politiques est de gérer cette architecture hétérogène afin qu'elle reste cohérente et sécurisée.

En pratique, nous observons un modèle :

• Services publics et commerciaux. Ceux-ci opèrent souvent aux Niveaux 1 à 2, privilégiant l'efficacité des coûts et l'évolutivité par rapport à une souveraineté stricte. Par exemple, un site web municipal ou une plateforme de commerce électronique privée pourrait utiliser un centre de données local (Niveau 1) ou un cloud avec traitement localisé (Niveau 2) pour répondre aux exigences de résidence des données de base, tout en s'appuyant sur des fournisseurs de cloud mondiaux pour les économies d'échelle. La souveraineté ici est "légère" puisque les données sont de faible sensibilité, et l'accent est mis sur l'innovation et le coût.

• Systèmes administratifs gouvernementaux. De nombreux systèmes gouvernementaux internes (systèmes fiscaux, approvisionnement, services citoyens standards) ciblent les Niveaux 2 à 3, atteignant une résidence contrôlée et une assurance juridictionnelle légale. Les gouvernements exigent souvent que ces données soient stockées et traitées au niveau national (Niveau 2) et, de plus en plus, que le fournisseur de cloud soit une entité domiciliée au niveau national (Niveau 3 pour les données personnelles critiques). Ce changement est visible dans les règles d'approvisionnement qui exigent l'utilisation de clouds "fiables" répondant aux certifications nationales (discuté dans les études de cas ci-dessous).

• Infrastructures critiques et industries réglementées. Des secteurs comme la finance, l'énergie, les télécommunications et la santé exigent généralement les Niveaux 3 à 4. Par exemple, les données bancaires pourraient être conservées dans un cloud hautement contrôlé géré par une entité réglementée localement (souveraineté juridique), et la pile logicielle pourrait être une plateforme gérée conjointement ou open source pour permettre un contrôle technologique (se dirigeant vers le Niveau 4). Les hôpitaux avec des données de patients sensibles peuvent également utiliser des clouds certifiés au niveau national, exploités par des entreprises soumises au droit national avec des mesures de sécurité strictes (entre le Niveau 3 et 4). Ces secteurs sont trop sensibles pour être confiés à de pures solutions de cloud mondiales sans garanties souveraines, mais ils exigent également une technologie de pointe — un équilibre qui conduit souvent à des modèles hybrides (par exemple, des fournisseurs de cloud nationaux exploitant des technologies mondiales sous licence, mais avec des dispositions de contrôle local).

• Défense et renseignement. Ce sont les cas d'utilisation les plus exigeants, insistant essentiellement sur la souveraineté de Niveau 5. Les réseaux militaires et de renseignement sont souvent complètement séparés ("air-gapped") des réseaux commerciaux et fonctionnent sur une infrastructure souveraine exploitée par des agences gouvernementales ou des entrepreneurs de défense agréés. Les clouds de défense pour le commandement et le contrôle, la surveillance ou les jeux de guerre améliorés par l'IA sont conçus pour être des écosystèmes nationaux autonomes, sans matériel ou surveillance étrangère. Tout niveau de souveraineté inférieur est considéré comme un risque inacceptable — une interruption étrangère ou une fuite de données pourrait être catastrophique. En effet, les données de défense et les modèles d'IA sont généralement si sensibles qu'ils doivent rester sous contrôle national absolu, souvent même déconnectés de l'internet au sens large. Par exemple, de nombreux pays veillent à ce que les systèmes de données classifiées soient hébergés dans des installations sur site gérées par des ressortissants, utilisant parfois une technologie de cloud souverain qui répond aux exigences de qualité militaire.

Cette coexistence de multiples niveaux de souveraineté doit être activement gérée par la politique nationale. Les politiques et l'architecture doivent garantir que :

• Allocation des charges de travail. Chaque fonction gouvernementale ou ensemble de données est attribué à un niveau de souveraineté approprié (basé sur une évaluation des risques ou un cadre de classification des données). Les charges de travail à haut risque ne devraient pas se retrouver par inadvertance sur des plateformes à faible souveraineté. Une politique claire (potentiellement législative) devrait dicter le niveau requis pour diverses catégories de données — par exemple, "toutes les informations de santé personnelles doivent être sur au moins un service souverain de Niveau 3".

• Interopérabilité et ségrégation. Des systèmes de niveaux différents interagiront (par exemple, un système de défense de Niveau 5 pourrait avoir besoin de recevoir des données non sensibles d'un système public de Niveau 2). L'architecture devrait prévenir les "fuites de souveraineté" — c'est-à-dire éviter qu'un composant de souveraineté inférieure ne devienne un conduit pour compromettre un système de souveraineté supérieure. Une segmentation réseau robuste, des diodes de données et des règles d'interface sont nécessaires afin que toute intégration entre les niveaux ne dilue pas la sécurité et le contrôle de l'environnement plus strict. Par exemple, si un cloud militaire de Niveau 5 extrait des données météorologiques d'une API publique de Niveau 1, il doit le faire de manière à ce qu'aucun contrôle ou information sensible ne retourne vers le côté public.

• Gouvernance unifiée. Un cadre de gouvernance national doit superviser cette mosaïque de systèmes. La fragmentation peut être dangereuse si elle n'est pas gérée de manière cohérente — il devrait y avoir une autorité ou un régime politique global qui établit les règles pour toutes les couches. Cela peut impliquer une politique centrale de souveraineté numérique, un groupe de travail inter-agences, ou une Autorité de souveraineté infonuagique dédiée qui surveille la conformité dans tous les secteurs. Une telle gouvernance garantit que, à mesure que de nouveaux systèmes sont mis en ligne, ils sont classés dans le bon niveau de souveraineté et continuellement audités pour leur conformité. De nombreux pays confient ce rôle à leurs agences ou régulateurs de cybersécurité — par exemple, l'ANSSI française certifie les services infonuagiques (SecNumCloud) et impose ceux qui peuvent être utilisés pour les données gouvernementales, orchestrant ainsi efficacement le paysage multiniveau.

En résumé, une architecture de souveraineté à l'échelle nationale est intrinsèquement multiniveau, reflétant la sensibilité variée des différentes activités numériques. L'art de l'élaboration des politiques dans ce domaine est d'orchestrer ces niveaux afin que les actifs les plus critiques de la nation soient entièrement protégés, sans étouffer l'efficacité et l'ouverture nécessaires pour les domaines moins critiques. Y parvenir exige non seulement des mesures techniques, mais aussi une gouvernance robuste et des stratégies nationales claires.

L'IA comme axe central de la souveraineté numérique

L'intelligence artificielle est au cœur du débat sur la souveraineté et sert d'axe unificateur autour duquel s'alignent d'autres défis. Les systèmes d'IA — en particulier les modèles d'apprentissage automatique avancés — concentrent de nombreuses questions de contrôle des données, de dépendance technologique et de sécurité dans un seul domaine. Si les données sont le nouveau pétrole, l'IA est le moteur qui les utilise; contrôler ce moteur devient aussi stratégiquement important que de contrôler les données elles-mêmes.

Plusieurs raisons font de l'IA un point central :

L'IA repose sur des données massives

L'IA repose sur des données massives — souvent les données les plus sensibles qu'une nation détient. L'entraînement de modèles d'IA de pointe (comme les modèles linguistiques ou les reconnaisseurs d'images) nécessite d'énormes ensembles de données, qui peuvent inclure des informations personnelles, des renseignements stratégiques ou des données commerciales propriétaires. La souveraineté des données est un prérequis à la souveraineté de l'IA : un pays doit s'assurer que les données d'entraînement pour les initiatives nationales d'IA (pour la santé, la défense, etc.) résident dans le pays et ne sont pas détournées vers des juridictions étrangères. Par exemple, un programme national d'IA pour la santé pourrait s'entraîner sur des millions de dossiers de santé de citoyens — de telles données doivent être traitées avec la plus haute souveraineté (Niveau 4–5) pour empêcher l'accès étranger ou l'utilisation abusive. Les poids du modèle eux-mêmes peuvent devenir une propriété intellectuelle sensible que la nation souhaite protéger.

Le traitement de l'IA exige une infrastructure infonuagique avancée

Le traitement de l'IA exige une infrastructure infonuagique avancée — des grappes de GPU, des puces spécialisées et des plateformes évolutives. Actuellement, quelques entreprises mondiales dominent ces capacités. Une forte dépendance à l'égard des services infonuagiques d'IA étrangers peut créer une vulnérabilité stratégique : si la capacité d'IA d'une nation fonctionne principalement sur un nuage appartenant à l'étranger, ce fournisseur de services infonuagiques (ou son gouvernement d'origine) pourrait théoriquement limiter ou surveiller les opérations d'IA. Les décideurs politiques réalisent de plus en plus que dépendre d'une poignée de plateformes d'IA externes n'est pas seulement une question technique ou économique, mais une question de souveraineté. Par exemple, si un modèle d'IA critique est hébergé dans une juridiction avec des lois contradictoires, les données et les résultats pourraient être soumis à des ordonnances de tribunaux étrangers ou à des interventions réglementaires. De plus, des mises à jour opaques des modèles d'IA par des fournisseurs étrangers pourraient introduire des biais ou des défaillances que la nation locale ne peut pas détecter.

L'IA amplifie les conséquences de la perte de contrôle

L'IA peut être un multiplicateur de force tant pour la croissance économique que pour la puissance militaire. Perdre la souveraineté sur l'IA signifie perdre la capacité de diriger cette puissance de manière indépendante. Une nation qui ne peut pas faire confiance à l'intégrité de ses systèmes d'IA (parce qu'ils fonctionnent sur des plateformes "boîte noire" échappant à sa surveillance) risque tout, de la manipulation malveillante des résultats de l'IA à la dépendance vis-à-vis de fournisseurs externes pour des services critiques. D'un autre côté, l'acquisition d'une capacité d'IA souveraine confère un avantage stratégique significatif — permettant à un pays d'innover et de déployer l'IA selon ses propres termes. Il est révélateur que les stratégies nationales d'IA de plusieurs pays fassent désormais explicitement référence à la "souveraineté de l'IA" comme objectif, recherchant une capacité nationale en matière de talents, de calcul et d'algorithmes d'IA. Le concept d'"IA souveraine" a émergé : désignant une IA développée et exécutée à l'intérieur des frontières d'un pays sur une infrastructure sous contrôle local. L'IA souveraine garde les données d'une nation, les décisions des modèles et l'avenir numérique entre ses propres mains.

L'IA dans la défense et la sécurité

L'adoption de l'IA par le secteur de la défense (pour l'analyse de renseignements, les systèmes autonomes, la cyberdéfense, etc.) fait de la souveraineté de l'IA littéralement une question de sécurité nationale. À titre d'exemple, considérons les drones autonomes ou les IA d'aide à la décision utilisés par l'armée — s'ils dépendent d'un nuage externe ou de mises à jour logicielles étrangères, un adversaire pourrait les dégrader ou les saboter à un moment critique. Par conséquent, les projets d'IA liés à la défense exigent souvent la posture de souveraineté la plus élevée (Niveau 5). De nombreuses armées construisent soit des systèmes d'IA isolés (air-gapped), soit insistent sur des solutions de l'industrie nationale pour assurer un contrôle complet. Nous le constatons dans des initiatives telles que les nuages de défense sécurisés, les installations d'entraînement d'IA sur site et les réseaux classifiés pour l'IA. Le cas d'utilisation de la défense souligne que l'IA souveraine n'est pas un luxe, mais la dernière ligne de défense en cas de crise. En effet, pour les modèles d'IA de défense, tout ce qui est moins qu'une souveraineté complète (juridique, opérationnelle, technologique) est considéré comme trop risqué.

Compte tenu de ces facteurs, l'IA agit comme un test de résistance pour le cadre de souveraineté numérique d'une nation. Elle soulève la question sur plusieurs fronts : des ensembles de données sensibles massifs (testant la souveraineté des données), le besoin de matériel avancé (testant la souveraineté technologique), l'exigence de réponse rapide et de contrôle (testant la souveraineté opérationnelle), et des enjeux économiques élevés (testant la souveraineté économique). Pour un pays comme le Canada, assurer la souveraineté en matière d'IA pourrait impliquer des mesures telles que : investir dans une infrastructure nationale de supercalcul d'IA, sécuriser les chaînes d'approvisionnement pour les puces d'IA critiques, promouvoir les écosystèmes logiciels d'IA locaux (afin que les algorithmes et les mises à jour soient transparents et gouvernables), et promulguer des réglementations qui exigent que certaines données d'entraînement d'IA ne quittent jamais le pays.

Il est important de noter qu'adopter la souveraineté de l'IA ne signifie pas s'isoler de l'innovation mondiale. Cela signifie structurer le développement de l'IA de manière à ce que les intérêts nationaux soient protégés. Un modèle est une approche hybride : utiliser des modèles d'IA open source mondiaux et des outils infonuagiques comme base, mais les intégrer dans un environnement infonuagique souverain où les agences nationales peuvent les vérifier et les contrôler (par exemple, télécharger des modèles pré-entraînés de l'étranger mais les déployer dans un nuage domestique après des analyses de sécurité approfondies). De cette façon, les avantages des avancées mondiales de l'IA sont conservés, mais le contrôle opérationnel reste local. De tels mécanismes — décrits comme de l'« IA à isolation physique » (air-gapped AI) dans le jargon de l'industrie — permettent aux nations de déconnecter l'IA critique des réseaux externes et de gérer les mises à jour des modèles selon leur propre calendrier.

En résumé, l'IA concentre la conversation sur la souveraineté parce qu'elle est à la fois gourmande en données, intensive en calcul et stratégiquement essentielle. Comme l'a observé un leader de l'industrie : "J'ai besoin d'un contrôle physique total et de l'isolation de mes données et de mes clés de chiffrement. Aucun fournisseur de services infonuagiques externe ne peut y avoir accès." Ce sentiment, exprimé par un DSI concernant l'infrastructure de l'IA, reflète le consensus émergent : la véritable souveraineté à l'ère de l'IA va au-delà de la résidence des données — elle exige un contrôle de bout en bout des données, des algorithmes et des clés qui les sécurisent. Les nations qui reconnaissent cela traitent la souveraineté de l'IA comme un changement stratégique permanent, et non comme une phase passagère. Elles acceptent que si l'IA à usage général et non sensible peut encore tirer parti des nuages mondiaux, toutes les applications d'IA touchant aux intérêts nationaux sensibles doivent être placées sur une base souveraine.

Secteur de la défense : le cas d'usage ultime de la souveraineté

La défense nationale illustre les enjeux les plus élevés en matière de souveraineté numérique. Les organisations de défense ont été parmi les premières à reconnaître les risques liés aux technologies contrôlées par l'étranger, et elles ont longtemps recherché des solutions souveraines (de la cryptographie aux communications par satellite). Dans le contexte de l'infonuagique et de l'IA, les exigences de la défense établissent de fait la norme en matière de souveraineté — si le cadre peut satisfaire la défense, il satisfera probablement les secteurs moins critiques.

Les principales caractéristiques du cas d'usage de la défense comprennent :

• Sensibilité extrême. Les données militaires (mouvements de troupes, flux de renseignements, conceptions de systèmes d'armes) et les modèles d'IA de défense (algorithmes d'analyse de champ de bataille, systèmes de reconnaissance de cibles) sont souvent classifiés aux niveaux les plus élevés. Par définition, ils exigent une souveraineté de niveau 5 — un contrôle national absolu. Les nuages de défense sont construits de manière à ce que même les nations alliées n'aient pas d'accès injustifié, sans parler des adversaires. Par exemple, un nuage de défense souverain garantirait que tous les serveurs sont situés dans le pays, sur des bases militaires ou dans des installations sécurisées, que tous les administrateurs sont des citoyens habilités, et qu'aucun équipement de réseau de fabrication étrangère avec des portes dérobées potentielles n'est présent.

• Continuité sous la contrainte. Un nuage de défense doit fonctionner en période de crise — y compris en temps de guerre — lorsque la connectivité internationale pourrait être coupée. Cela entraîne la nécessité de réseaux entièrement souverains, acheminés au niveau national, et de centres de données redondants à l'intérieur du pays. Cela signifie également aucune dépendance à l'égard du soutien étranger : si un conflit survient, on ne peut pas compter sur des techniciens étrangers pour réparer les systèmes. Ainsi, la souveraineté opérationnelle (expertise interne, opérations locales 24h/24 et 7j/7) est obligatoire. De nombreux pays simulent des scénarios où ils sont isolés numériquement (pas d'internet externe) pour s'assurer que leur TI de défense fonctionne toujours — un test solide de souveraineté.

• Cybersécurité et modèle de menace. Les systèmes de défense sont des cibles privilégiées pour les cyberattaques étatiques. S'appuyer sur un service infonuagique étranger pourrait introduire des menaces liées à la chaîne d'approvisionnement (mises à jour de code malveillant, menaces internes de personnel étranger, etc.). L'infrastructure de défense souveraine peut être renforcée selon les normes nationales et vérifiée en permanence par les agences de sécurité nationale. De plus, disposer d'une pile technologique indépendante signifie que l'armée peut modifier ou corriger rapidement les systèmes en réponse à des renseignements spécifiques sur les menaces, sans attendre le calendrier d'un fournisseur mondial. Essentiellement, la souveraineté confère de l'agilité en matière de cyberdéfense — la liberté d'adapter et de sécuriser les systèmes selon ses propres termes.

• Intégration avec l'industrie nationale. La défense stimule souvent le développement technologique national. De nombreux gouvernements tirent parti des marchés publics de la défense pour renforcer les capacités locales en matière d'infonuagique et d'IA. Par exemple, un ministère de la Défense pourrait confier à une entreprise technologique nationale le développement d'une plateforme infonuagique sécurisée pour les forces armées, conservant ainsi le savoir-faire dans le pays et sous la supervision du gouvernement. Ces projets se transforment parfois en offres infonuagiques souveraines plus larges pour d'autres secteurs. Les États-Unis, par exemple, utilisent principalement des fournisseurs de services infonuagiques américains pour le gouvernement (comme AWS GovCloud ou Azure Government), garantissant que les données restent sous le contrôle d'entreprises américaines. La France a de même promu le « cloud de confiance » pour la défense, exigeant que toute technologie étrangère soit sous un service opéré par une entreprise française. Le Canada, à titre d'exemple, s'assurerait que tout nuage utilisé pour, disons, les données des Forces armées canadiennes est soit un système entièrement interne du MDN, soit un service opéré par une entreprise qui répond à des conditions souveraines strictes (contrôle national, aucune exposition juridique étrangère).

• Considérations relatives aux alliances. Ironiquement, la souveraineté de la défense doit coexister avec les opérations de coalition (par exemple, l'OTAN, le NORAD). Les alliés doivent partager des données en toute sécurité, ce qui implique une interopérabilité entre les nuages souverains. Par exemple, les pays de l'OTAN pourraient chacun avoir des nuages de défense souverains mais s'entendre sur des normes d'interface communes ou des solutions inter-domaines pour échanger des informations sélectionnées sans sacrifier la souveraineté. C'est un défi complexe : comment permettre le partage de données avec les alliés tout en empêchant une nation (ou un fournisseur de cette nation) d'exercer un contrôle unilatéral. La solution réside dans les cadres multilatéraux et les fédérations de confiance. L'OTAN explore des réseaux de mission fédérés où chaque nation contrôle son nœud mais participe à une infosphère partagée par consentement. Les politiques doivent donc aborder non seulement la souveraineté isolée, mais la souveraineté en concert — maintenir un contrôle indépendant tout en contribuant à la sécurité collective. La perspective stratégique du Canada ici serait d'assurer un contrôle souverain sur ses systèmes, tout en restant entièrement interopérable avec les États-Unis et les autres partenaires des Cinq Yeux pour les opérations combinées. Cela signifie souvent des règles strictes de séparation des données (ce qui peut être partagé et ce qui ne le peut pas) et des passerelles techniques convenues dans les normes d'alliance).

En résumé, le secteur de la défense englobe les exigences maximales de la souveraineté numérique. Il souligne pourquoi le chiffrement, les chaînes d'approvisionnement sécurisées et le contrôle absolu des opérations sont essentiels (car la vie et la survie nationale en dépendent). Il illustre également le défi de l'orchestration : les environnements informatiques de défense doivent intégrer de nombreux systèmes (plateformes d'armes, bases de données de renseignement, aides à la décision basées sur l'IA) dans une architecture nationale sécurisée. Si une telle architecture peut être orchestrée pour la défense, elle peut également éclairer les approches de souveraineté pour les infrastructures civiles critiques. La défense est ainsi le moteur des cadres d'innovation et de politique qui se répercutent ensuite sur un usage public plus large (à l'instar de la façon dont Internet lui-même a commencé comme un réseau de défense).

Les décideurs politiques devraient donc considérer la défense comme un indicateur précurseur : lors de la conception des politiques nationales de souveraineté numérique, demandez-vous : « Cela serait-il acceptable pour nos besoins militaires et de renseignement ? » Si ce n'est pas le cas, cela est probablement insuffisant pour une véritable souveraineté. Inversement, les technologies ou pratiques éprouvées dans le contexte de la défense (comme la gestion indépendante des clés cryptographiques, la surveillance continue, les architectures de confiance zéro) peuvent être adoptées plus largement pour renforcer la posture de souveraineté au sein du gouvernement et de l'industrie.

Le chiffrement et la chaîne de confiance

Un thème essentiel dans toute stratégie de souveraineté est le chiffrement — plus précisément, qui contrôle les clés cryptographiques qui protègent les données. Le chiffrement est le pivot de la sécurité des données : même si l'infrastructure est compromise, les données correctement chiffrées restent confidentielles et protégées en intégrité. Cependant, le chiffrement n'est aussi fort que la « chaîne de confiance » qui le sous-tend. Si une partie non autorisée contrôle les clés, elle contrôle effectivement les données.

Pour un environnement de cloud ou d'IA souverain, il est impératif que l'émetteur et le détenteur des clés de chiffrement soient sous contrôle national. En pratique, cela signifie que le fournisseur de cloud (surtout s'il s'agit d'une entreprise étrangère) ne devrait pas être l'entité générant ou gérant les clés maîtresses du client. Au lieu de cela, les clés doivent être générées, stockées et administrées par une entité nationale de confiance — qu'il s'agisse du gouvernement lui-même ou d'un service de gestion de clés détenu nationalement qui fonctionne indépendamment de l'infrastructure cloud.

Il existe de solides raisons à ce principe :

• Si un fournisseur de cloud (en particulier un hyperscaler mondial) détient les clés de chiffrement des données gouvernementales ou citoyennes, alors, quel que soit l'emplacement des serveurs, ce fournisseur y a effectivement accès. Cela compromet la souveraineté juridictionnelle et opérationnelle car un fournisseur dont le siège est à l'étranger pourrait être contraint par les lois de son pays d'origine de remettre les clés ou les données déchiffrées. En effet, la souveraineté des données ne peut être atteinte si un fournisseur de cloud a le contrôle total des clés de chiffrement. Par exemple, le U.S. CLOUD Act peut exiger des entreprises de cloud basées aux États-Unis de produire des données même si elles sont stockées à l'étranger — mais si le gouvernement étranger (par exemple le Canada) détient les seules clés, le fournisseur ne peut pas déchiffrer les données pour se conformer. Ainsi, la souveraineté des clés est une défense contre la portée juridique extraterritoriale.

• La meilleure pratique en matière de souveraineté est un système de gestion de clés externe, ce qui signifie que la génération et le stockage des clés ont lieu en dehors de l'environnement du fournisseur. Les clés peuvent résider dans un module de sécurité matérielle (HSM) appartenant au gouvernement ou dans un service de séquestre tiers national. Selon la Cloud Security Alliance, « une méthode de chiffrement externe est la meilleure — la gestion des clés doit avoir lieu en dehors du cloud du fournisseur et être gérée de manière externe. » Cela garantit que même les initiés chez le fournisseur ne peuvent pas utiliser ou copier secrètement les clés pour accéder aux données.

• La détention des clés au niveau national permet également une meilleure auditabilité. Les auditeurs nationaux peuvent vérifier les processus de gestion des clés (qui a accédé aux clés, quand, dans quel but) sans dépendre des attestations d'une entreprise étrangère. Cela comble une lacune potentielle en matière d'audit. Les autorités cryptographiques nationales peuvent établir des normes (par exemple, seuls certains algorithmes approuvés et HSM certifiés doivent être utilisés) pour maintenir la confiance dans toute la chaîne.

Une violation de la souveraineté des clés peut annuler toutes les autres mesures de souveraineté. Imaginez un cloud souverain de niveau 5 où toutes les données sont dans le pays, sous opérations nationales, etc., mais où les clés de chiffrement maîtresses ont été créées par le fournisseur de logiciels cloud et stockées sur ses systèmes — ce serait un point de défaillance unique. Tout adversaire sophistiqué, ou toute contrainte légale, pourrait l'exploiter pour tout déchiffrer. Inversement, même un cloud de niveau modéré (niveau 2 ou 3) devient significativement plus souverain si les clients contrôlent exclusivement leurs clés (souvent appelé BYOK — Bring Your Own Key — dans le jargon du cloud).

Les fournisseurs de cloud proposent aujourd'hui diverses formes de BYOK ou de clés gérées par le client, mais toutes ne sont pas véritablement externes (dans certains cas, le fournisseur a toujours un accès partiel, ou des méta-clés qui protègent la clé du client). Une stratégie souveraine exigerait un modèle plus rigoureux : le fournisseur de cloud ne devrait jamais avoir un accès non chiffré aux clés maîtresses du client, ni être le seul émetteur de ces clés. Certains pays ont intégré cela dans leur politique. Par exemple, certaines directives nationales imposent une gestion locale des clés de chiffrement de sorte que les hyperscalers ne puissent pas accéder aux données sensibles même s'ils hébergent l'infrastructure. Dans les critères SecNumCloud de la France, les clés de chiffrement des données sensibles doivent être sous le contrôle du client ou gérées par un fournisseur qui répond aux exigences de confiance nationales. Le C5 de l'Allemagne met également l'accent sur le chiffrement des données et la gestion des clés conformément à la loi allemande.

D'un point de vue opérationnel, cela peut nécessiter une infrastructure supplémentaire : des services de gestion de clés (KMS) gérés par une agence gouvernementale ou une entreprise nationale hautement fiable. Ces KMS pourraient s'interfacer avec plusieurs clouds, garantissant que les clés ne quittent jamais la frontière sécurisée nationale. Cela fait partie de ce que nous pouvons appeler une « chaîne de confiance souveraine » — en commençant par le matériel (en utilisant des modules cryptographiques certifiés au niveau national), en passant par le logiciel (bibliothèques de chiffrement nationales ou open source), jusqu'aux politiques (seuls les nationaux peuvent autoriser l'utilisation des clés), le tout ancré dans le droit national. Chaque maillon de cette chaîne devrait être sous contrôle ou supervision locale.

Une implication concrète à souligner : Les fournisseurs de cloud ne devraient pas être les émetteurs de clés de chiffrement pour les données souveraines. Leur rôle peut être d'héberger des données chiffrées et d'effectuer des calculs avec des clés fournies par le client (par exemple, via des paradigmes de calcul confidentiel ou de chiffrement côté client), mais dès qu'ils génèrent ou détiennent les clés, la chaîne de souveraineté est rompue. Un haut fonctionnaire britannique a résumé cette exigence de manière succincte, soulignant la nécessité d'un « contrôle physique et d'une isolation complets » des données et des clés vis-à-vis des fournisseurs externes.

En termes de politique, les gouvernements peuvent l'appliquer par voie de réglementation ou d'exigence contractuelle. Par exemple, une politique gouvernementale en matière de nuage pourrait stipuler : « Toutes les données gouvernementales sensibles stockées dans le nuage doivent être chiffrées avec des clés générées et stockées dans des systèmes de gestion de clés approuvés par le gouvernement et situés sur le territoire national. Les fournisseurs de services infonuagiques ne doivent avoir aucune connaissance ni aucun accès à ces clés. » Les configurations de nuage non conformes seraient simplement interdites pour certaines classifications de données. Cela pourrait nécessiter le développement de services cryptographiques nationaux, mais de nombreux pays en sont déjà capables par l'intermédiaire de leurs agences de cybersécurité ou du secteur privé.

La souveraineté du chiffrement s'étend également au transit et à la sauvegarde : les données en transit devraient être chiffrées de manière à ce que seuls les points d'extrémité (à l'intérieur du pays) puissent les déchiffrer. Et les clés de sauvegarde (pour la reprise après sinistre) doivent également être sous contrôle national. En substance, celui qui détient les clés détient le royaume en termes numériques. La souveraineté exige que ce « qui » soit nous (la nation), et non une entreprise étrangère. C'est pourquoi le chiffrement et la gestion des clés apparaissent fréquemment comme des critères explicites dans les cadres de souveraineté.

En ancrant la gestion des clés au niveau national, une nation améliore considérablement l'intégrité de sa pile de souveraineté. Même si d'autres couches faiblissent (par exemple, un serveur dans un centre de données est saisi ou une base de données est copiée), les données restent inintelligibles sans les clés — qu'un adversaire ne peut obtenir car elles sont protégées au pays. Cela crée un dernier bastion de défense. Sans cette mesure, tous les autres investissements en matière de souveraineté pourraient être rendus caducs par une simple assignation à comparaître ou une attaque interne chez un fournisseur de services infonuagiques.

Le défi de l'intégration et la nécessité d'un orchestrateur

Atteindre la souveraineté numérique n'est pas seulement un exploit technique — c'est en grande partie un défi d'intégration. À l'heure actuelle, de nombreux composants individuels nécessaires à la souveraineté existent : on peut acquérir des serveurs sur site, des logiciels infonuagiques à code source ouvert, des réseaux de fibre optique nationaux, des modèles d'IA développés localement, des outils de chiffrement nationaux, etc. La partie la plus difficile est de faire fonctionner ensemble tous ces systèmes développés indépendamment en tant que plateforme nationale transparente, sécurisée et évolutive. Les décideurs politiques doivent reconnaître que le principal obstacle n'est souvent pas un manque de technologie, mais la complexité d'intégrer de multiples technologies et politiques dans une pile souveraine unifiée.

Considérez ce qu'implique une « pile de souveraineté nationale » : matériel (provenant éventuellement de plusieurs fournisseurs nationaux), logiciels de virtualisation et de gestion du nuage (à code source ouvert ou personnalisés localement), outils de sécurité et de surveillance, cadres de gouvernance des données et applications destinées aux utilisateurs — tous potentiellement provenant de différents endroits. L'intégration de ceux-ci exige une conception architecturale solide et une expertise opérationnelle. C'est ici qu'intervient le concept d'« orchestrateur » national.

Le rôle de l'orchestrateur. Il s'agit d'une entité (ou d'un groupe coordonné) chargée de rassembler tous les composants souverains et de les exploiter en tant que service pour le gouvernement et les industries critiques. L'orchestrateur pourrait être une agence gouvernementale (par exemple, une agence nationale d'infrastructure numérique) ou un consortium d'entreprises nationales de confiance travaillant sous mandat gouvernemental. Leurs tâches comprennent : l'intégration des réseaux avec les centres de données; l'assurance que le logiciel de gestion du nuage, les systèmes d'identité et les services de chiffrement interopèrent; la gestion des mises à jour et des correctifs à travers la pile; et la fourniture d'une interface unifiée et d'une structure de soutien aux utilisateurs (ministères, etc.). Essentiellement, l'orchestrateur est l'intégrateur et l'opérateur de systèmes de l'environnement infonuagique/IA souverain.

Pourquoi ce rôle est-il essentiel ? Parce que sans orchestrateur, chaque ministère ou secteur pourrait tenter ses propres solutions souveraines de manière cloisonnée, ce qui entraînerait des duplications, des incohérences et des lacunes potentielles en matière de sécurité. Un orchestrateur centralisé peut réaliser des économies d'échelle et assurer la cohérence — par exemple, en mettant en œuvre un système commun de gestion des identités et des accès pour tous les nuages gouvernementaux, ou un dépôt fiduciaire de clés de chiffrement commun que toutes les agences utilisent. Il concentre également l'expertise : en embauchant et en formant une équipe spécialisée qui comprend en profondeur la pile technologique et peut réagir aux incidents ou intégrer de nouvelles technologies (comme l'ajout de chiffrement résistant au quantique à terme, ou l'intégration d'un nouvel outil d'IA national).

Cependant, il est vital de distinguer cette fonction d'orchestration de la fonction de surveillance/audit. L'orchestrateur ne doit pas être l'arbitre final de la conformité ni celui qui se certifie lui-même. Pour maintenir la confiance, l'audit en temps réel et la surveillance de la conformité doivent être gérés par une entité indépendante, distincte de l'orchestrateur et de tout fournisseur de technologie. Cela crée un mécanisme de freins et contrepoids :

• L'orchestrateur exploite et intègre le nuage souverain conformément aux politiques convenues.

• Un organisme d'audit indépendant (par exemple, l'agence nationale de cybersécurité ou un régulateur dédié) surveille en permanence les opérations pour détecter tout écart par rapport à ces politiques, toute violation de sécurité ou tout manquement à la conformité.

• Les fournisseurs (fabricants de matériel, développeurs de logiciels) sont à nouveau séparés, fournissant simplement des composants. Ils ne devraient pas non plus s'auditer eux-mêmes, ni exploiter des systèmes critiques sans surveillance.

Cette séparation atténue les risques de collusion interne ou de négligence. Si l'orchestrateur n'avait pas de chien de garde indépendant, il y aurait un danger de complaisance ou de conflit d'intérêts (par exemple, une tentation de dissimuler un incident de sécurité pour sauver la face). Un système d'audit en temps réel — pouvant tirer parti de l'IA pour surveiller les journaux et détecter les anomalies — maintient l'honnêteté de tous. Il devrait avoir l'autorité d'alerter les autorités supérieures ou de déclencher des mesures de protection si quelque chose tourne mal (par exemple, si le compte administrateur de l'orchestrateur fait quelque chose qu'il ne devrait pas, ou si des données commencent à circuler vers un emplacement non autorisé).

On peut établir une analogie avec les systèmes financiers : les banques (orchestratrices des flux monétaires) ont des contrôles internes, mais une banque centrale ou un auditeur indépendant établit les règles et surveille les transactions pour assurer la confiance dans le système. Dans le contexte de la souveraineté numérique, l'orchestrateur est comme la banque qui gère les actifs de données, et la fonction d'audit indépendante est comme le régulateur qui s'assure que la banque ne fait rien pour mettre en danger les déposants (dans ce cas, les données de la nation).

Du point de vue politique, l'établissement de ces rôles exige de la clarté :

• Définir quelle(s) organisation(s) agira(ont) comme orchestrateur(s) du nuage souverain. Il pourrait s'agir d'un partenariat public-privé, tel qu'une entreprise de télécommunications ou de TI nationale sous contrat gouvernemental, ou une nouvelle entreprise d'État pour l'infrastructure numérique. Certains pays ont opté pour des partenariats avec des conditions — par exemple, les Émirats arabes unis ont utilisé un modèle de construction-exploitation-transfert (Build-Operate-Transfer) où une entreprise privée met en place le nuage mais en cède éventuellement le contrôle à une entité nationale. Quel que soit le modèle, l'entité doit être légalement et opérationnellement liée aux intérêts nationaux (par exemple, propriété majoritaire du gouvernement ou contrôles contractuels stricts).

• Habiliter un organisme d'audit réglementaire avec les ressources et l'autorité nécessaires pour exercer une surveillance continue. Cet organisme pourrait certifier le nuage à différents niveaux (comme le SecNumCloud de la France certifie les fournisseurs à différents niveaux de confiance) et ensuite exiger des vérifications de conformité continues. Il devrait avoir accès aux journaux d'audit, et même à des sondes techniques dans le système pour vérifier la conformité (certains cadres appellent à une « auditabilité claire » où les régulateurs peuvent inspecter les systèmes à tout moment). Il est important que cet organisme soit indépendant de la direction de l'orchestrateur — peut-être en rapportant directement à une autorité centrale (comme un CIO national ou un ministre de la cybersécurité) et n'ayant aucun intérêt commercial dans l'exploitation du nuage.

• Clarifier les rôles des fournisseurs : tous les fournisseurs de technologie devraient adhérer à des normes ouvertes et à une transparence totale pour faciliter l'intégration (si une pièce est une boîte noire, cela complique la tâche de l'orchestrateur et la capacité de l'auditeur à inspecter). La politique nationale peut exiger des normes d'interopérabilité et peut-être exiger un dépôt de code source ou des examens pour les logiciels critiques (pour s'assurer qu'il n'y a pas de vulnérabilités cachées). Cela renvoie à la souveraineté technologique : préférer les solutions open source ou au moins à code source disponible donne plus de contrôle à l'orchestrateur et aux auditeurs.

Enfin, le défi de l'intégration n'est pas seulement technique, mais aussi organisationnel. Des talents humains sont nécessaires pour l'intégration et l'exploitation. Les nuages souverains ont besoin d'architectes cloud qualifiés, d'experts en cybersécurité, d'ingénieurs en IA et d'administrateurs qui sont citoyens et potentiellement habilités de sécurité. De nombreuses nations sont confrontées à des pénuries de talents dans ces domaines. Une politique de souveraineté devrait inclure le développement de la main-d'œuvre : programmes de formation, accélération potentielle de l'habilitation des experts du secteur privé, salaires compétitifs pour attirer les talents des grandes entreprises technologiques, etc. Le développement de cette main-d'œuvre est un investissement à long terme, mais il est crucial. Sans les personnes pour le faire fonctionner, même le nuage souverain le mieux conçu échouera. Ainsi, une partie de l'intégration consiste à intégrer les personnes — rassembler des équipes multidisciplinaires (réseau, systèmes, IA, sécurité) sous une mission unifiée.

En résumé, la couche d'orchestration est l'endroit où la souveraineté se concrétise ou s'effondre. Les gouvernements doivent activement concevoir cette couche, plutôt que de supposer que les forces du marché la résoudront. Laissées à elles-mêmes, les agences pourraient adopter des solutions fragmentées ou opter par défaut pour les options les plus faciles (souvent le nuage étranger) faute d'alternative intégrée. Un mandat clair et un soutien à un opérateur national de nuage souverain, combinés à une surveillance indépendante stricte, créent la structure nécessaire pour mettre en œuvre la souveraineté dans la pratique. Ce modèle orchestrateur/auditeur garantit que, même si divers fournisseurs et technologies sont impliqués, il existe une structure de commandement cohérente et une boucle de reddition de comptes protégeant les joyaux numériques de la nation.

Études de cas internationales et contexte mondial

Partout dans le monde, les gouvernements expérimentent des politiques et des cadres pour reconquérir la souveraineté numérique. Bien que l'approche de chaque pays varie, les thèmes communs incluent la localisation des données, la surveillance nationale et la certification nationale des services infonuagiques. Ci-dessous, nous mettons en lumière quelques études de cas notables — la France, l'Allemagne, l'initiative paneuropéenne Gaia-X — et en mentionnons brièvement d'autres, afin de fournir un contexte mondial aux efforts de souveraineté (le tout d'un point de vue stratégique canadien, sans aborder spécifiquement les réglementations canadiennes).

France — SecNumCloud et « Cloud de confiance »

La France a été un précurseur dans l'affirmation de la souveraineté du nuage grâce à son programme de certification SecNumCloud. Administré par l'agence nationale de la cybersécurité ANSSI, SecNumCloud établit des exigences rigoureuses pour qu'un fournisseur de nuage soit considéré comme « de confiance » pour les données françaises sensibles. Les derniers critères excluent effectivement les nuages sous contrôle étranger de la qualification. Pour obtenir la qualification SecNumCloud, un fournisseur doit, entre autres :

• Localiser toutes les données client et métadonnées dans l'UE (pratiquement, en France ou dans l'UE).

• S'assurer que toutes les opérations administratives et de support sont menées au sein de l'UE par du personnel basé dans l'UE (empêchant la gestion à distance depuis, par exemple, les États-Unis).

• Se conformer à des contraintes de propriété strictes : les actionnaires non-UE ne peuvent détenir plus de 25 % individuellement (et 39 % collectivement) du fournisseur, et ils ne peuvent avoir de droits de veto ou de contrôle du conseil d'administration. Cela garantit que l'entreprise exploitant le nuage est majoritairement européenne et n'est pas soumise à une influence extraterritoriale.

Essentiellement, la France exige une souveraineté juridictionnelle, opérationnelle et corporative pour tout nuage utilisé par son secteur public et ses industries critiques. Cette démarche a été en partie motivée par des préoccupations concernant le CLOUD Act américain et d'autres — en excluant structurellement le contrôle non-UE, la France vise à garantir que seule la loi française/européenne s'applique aux données. La certification SecNumCloud est devenue obligatoire pour les agences publiques françaises lors de l'acquisition de services infonuagiques, et est encouragée pour des secteurs comme la santé, la finance et les transports. La France a également été le fer de lance de l'idée de partenariats « Cloud de confiance » — par exemple, en structurant des accords où la technologie étrangère (comme les logiciels cloud de Microsoft ou Google) peut être utilisée, mais uniquement dans le cadre d'un service opéré par une entreprise française sous la loi française et respectant les conditions SecNumCloud. C'était une manière pragmatique d'obtenir une technologie avancée tout en conservant le contrôle.

Note stratégique : Bien que certains considèrent l'approche de la France comme protectionniste (allant même jusqu'à établir des parallèles avec le modèle chinois d'exclusion de la technologie étrangère), elle établit indéniablement des garde-fous clairs en matière de souveraineté. Le Canada, partageant les valeurs de l'État de droit avec la France, peut étudier les critères SecNumCloud comme un modèle possible pour définir nos propres normes de « nuage de confiance » (en les adaptant à notre contexte). Cela montre une voie : inscrire les exigences de souveraineté dans une certification qui devient effectivement une condition d'accès au marché pour les services de données critiques.

Allemagne — BSI C5 et Sovereign Cloud Stack

L'approche de l'Allemagne a été quelque peu différente, se concentrant initialement sur la sécurité et la conformité à travers le C5 (Cloud Computing Compliance Criteria Catalogue) développé par l'Office fédéral de la sécurité de l'information (BSI). Le C5 est un cadre d'audit garantissant que les fournisseurs de services infonuagiques respectent plus de 100 contrôles de sécurité et mesures de conformité alignés sur les exigences allemandes. Bien que le C5 ne soit pas explicitement une certification de "souveraineté" sur la propriété comme SecNumCloud, il met l'accent sur la protection des données en vertu du droit allemand et la transparence. Il est à noter que les services infonuagiques conformes annoncent souvent le "traitement des données exclusivement dans des centres de données allemands conformément au droit allemand" comme argument de vente. En pratique, les appels d'offres du secteur public allemand exigent souvent l'attestation C5, poussant ainsi indirectement les fournisseurs à localiser les données et à se conformer à la juridiction allemande.

Au-delà du C5, l'Allemagne a investi dans l'initiative Sovereign Cloud Stack (SCS) — une pile technologique infonuagique open source visant à offrir une alternative européenne aux hyperscalers. Le SCS fait partie d'un effort plus large (avec Gaia-X, ci-dessous) pour garantir que l'Europe puisse construire et exploiter ses propres nuages sans dépendre de plateformes étrangères fermées. Un consortium allemand, comprenant le gouvernement et l'industrie, pilote le SCS pour intégrer des technologies ouvertes dans une pile infonuagique prête à l'emploi que tout fournisseur peut déployer, favorisant ainsi un écosystème infonuagique national. L'approche SCS s'attaque directement au défi de l'intégration en offrant un modèle standardisé pour un nuage souverain, réduisant la dépendance à l'égard d'un fournisseur unique.

Le cas de l'Allemagne illustre une voie vers la souveraineté axée sur les normes et l'open source. Plutôt que d'exclure purement et simplement les fournisseurs étrangers par la loi, l'Allemagne a relevé la barre en matière de sécurité et de traitement des données (par le biais du C5) et a simultanément œuvré à l'autonomisation des alternatives nationales (par le biais du SCS et de sa participation à Gaia-X). Des entreprises allemandes comme StackIT (une initiative du groupe Schwarz) ont lancé des services infonuagiques se présentant comme souverains et ayant obtenu la certification C5, ciblant les clients qui souhaitent une "sécurité fabriquée en Allemagne" et une résidence complète des données.

Gaia-X — Un écosystème infonuagique fédéré européen

Gaia-X est un projet né de l'UE (initié par la France et l'Allemagne en 2020) avec l'objectif ambitieux de créer une infrastructure de données et infonuagique fédérée et interopérable pour l'Europe. Ce n'est pas un fournisseur de services infonuagiques unique, mais plutôt un cadre et un ensemble de normes permettant à de nombreux fournisseurs de s'interconnecter, avec des règles communes garantissant la transparence, la souveraineté des données et l'interopérabilité. L'idée centrale est d'éviter la concentration des données entre les mains de quelques grandes entreprises non européennes en favorisant un écosystème d'offres infonuagiques européennes qui peuvent travailler ensemble. Gaia-X établit des principes d'architecture, un catalogue de services et des labels de conformité — par exemple, un service pourrait obtenir un "label" Gaia-X s'il répond à des critères de souveraineté des données, de sécurité, etc.

De manière cruciale, Gaia-X a été motivé par le renforcement de la souveraineté numérique européenne et la réduction de la dépendance à l'égard des hégémonies infonuagiques étrangères. Il vise à contester la domination des fournisseurs de services infonuagiques non européens en permettant des alternatives locales à grande échelle. Au lieu d'un seul nuage gouvernemental de l'UE, il envisage de nombreux nuages liés par les normes Gaia-X, offrant aux utilisateurs le choix et évitant le verrouillage à un fournisseur ou une juridiction unique. Par exemple, dans le cadre de Gaia-X, une entreprise française pourrait facilement transférer sa charge de travail d'un fournisseur de services infonuagiques basé dans l'UE à un autre si nécessaire, grâce à des interfaces standard — cette fluidité est elle-même une forme de souveraineté (liberté de verrouillage).

Gaia-X est encore en cours de développement, mais il représente une approche multinationale de la souveraineté. En unissant plusieurs pays et entreprises, l'Europe cherche à tirer parti de l'échelle collective pour l'innovation, tout en intégrant ses valeurs (confidentialité des données, contrôle, conformité aux normes de l'UE). À partir de 2025, Gaia-X passe à la phase de mise en œuvre avec le développement de nombreux "espaces de données" (centres de données infonuagiques sectoriels pour la santé, la mobilité, etc.). Il contraint les géants du cloud américains à s'adapter — par exemple, en leur demandant de décrire comment ils protègent les données européennes s'ils veulent participer.

D'un point de vue canadien, Gaia-X offre un aperçu de la manière dont un modèle fédéré pourrait fonctionner entre les provinces ou les alliés. Le Canada pourrait ne pas avoir besoin de tout construire au niveau national s'il peut tirer parti d'une collaboration amicale (par exemple, avec l'UE sur les normes, ou même une zone de souveraineté nord-américaine avec une gouvernance partageant les mêmes idées). Cependant, la souveraineté dans le contexte canadien pourrait se concentrer davantage sur l'assurance d'un contrôle national étant donné notre intégration avec les fournisseurs basés aux États-Unis.

Autres exemples

• Royaume-Uni. Le Royaume-Uni n'a pas établi de label officiel de "nuage souverain" comme la France, mais il suit une approche de classification. Les systèmes gouvernementaux hautement sensibles (SECRET, TOP SECRET) fonctionnent sur une infrastructure entièrement souveraine — souvent sur site ou dans des nuages communautaires réservés au Royaume-Uni (par exemple, le MODCloud pour la défense). Le Royaume-Uni met l'accent sur la diversité des fournisseurs et a montré un intérêt à s'assurer que même en utilisant des fournisseurs majeurs, les données restent sous le contrôle juridique britannique. Après le Brexit, le Royaume-Uni ajuste son régime de protection des données mais s'aligne généralement sur l'idée que les données critiques ne devraient pas être soumises à des lois étrangères.

• États-Unis. Les États-Unis jouissent sans doute d'une souveraineté numérique de facto dans de nombreux domaines puisque leurs entreprises dominent le marché du cloud et qu'ils disposent de solides outils juridiques pour accéder aux données à l'échelle mondiale. L'objectif du gouvernement américain est de sécuriser sa chaîne d'approvisionnement (notamment en interdisant certains matériels/logiciels étrangers pour un usage fédéral) et de créer des régions infonuagiques gouvernementales isolées (comme AWS GovCloud, le contrat cloud JWCC du DoD) qui garantissent que les données gouvernementales sont traitées par des personnes américaines sur le sol américain. Dans un sens, la préoccupation des États-Unis est moins la juridiction étrangère (puisque c'est généralement de leur juridiction que les autres s'inquiètent) et plus le fait de maintenir leur leadership — un aspect de la souveraineté technologique à part entière. Les États-Unis poussent leurs alliés à adopter des cadres qui permettent le partage de données avec les États-Unis en vertu d'accords (comme les accords exécutifs du CLOUD Act, que certains considèrent comme contraires à la pure souveraineté des données de ces alliés). Cela indique la tension géopolitique : souveraineté contre partage de données d'alliance.

• La Chine et la Russie. Ces pays illustrent l'extrémité du spectre de la souveraineté, où l'État exerce un contrôle strict sur l'infrastructure numérique. La Chine exige la localisation des données et impose aux fournisseurs de services infonuagiques étrangers de s'associer à des entités chinoises (ou d'en devenir effectivement) pour opérer en Chine. Elle a bâti un écosystème entier d'équivalents nationaux aux plateformes mondiales (AliCloud, Tencent Cloud, etc.), surveillant et contrôlant étroitement les flux de données (Grand Pare-feu). Cela assure une souveraineté totale au sens du contrôle gouvernemental, bien qu'au détriment de la vie privée et des principes d'un internet ouvert. La Russie a également mis en œuvre des lois sur la localisation des données et a même testé la déconnexion de l'internet mondial (l'initiative de l'« internet souverain »). Bien que le Canada et les démocraties partageant les mêmes idées n'approuvent pas le modèle autoritaire de contrôle numérique, ces cas démontrent la faisabilité d'atteindre une quasi-autonomie totale (bien qu'à un coût élevé et avec un isolement).

• Autres démocraties. L'Australie a renforcé les exigences pour que les données gouvernementales soient hébergées dans le pays par des fournisseurs agréés. L'Inde a débattu de la localisation des données pour ses vastes bases de données citoyennes (tout en tirant parti des fournisseurs mondiaux). De nombreuses nations plus petites explorent des alliances régionales — par exemple, les États du Golfe qui envisagent collectivement des arrangements de nuage souverain, ou les nations africaines qui s'associent pour héberger des données régionalement afin d'éviter la dépendance vis-à-vis des centres de données européens/américains.

La tendance mondiale est claire : les préoccupations concernant l'exposition juridictionnelle et la dépendance numérique ont fortement augmenté ces dernières années, motivées par des événements tels que des cyberattaques majeures, des révélations de surveillance étrangère et des tensions géopolitiques. Les nations réagissent en affirmant un plus grand contrôle sur leur destinée numérique. Ce faisant, elles évaluent les compromis :

• Coût vs. Contrôle. Une souveraineté totale peut être coûteuse (duplication d'infrastructures, renonciation à certaines économies d'échelle). Les pays doivent décider quelles batailles valent le coût. Beaucoup adoptent une approche hybride : une souveraineté élevée pour les joyaux de la couronne, et des nuages commerciaux (avec certaines garanties) pour les besoins moins critiques.

• Innovation vs. Autarcie. Il y a un risque qu'en cherchant à être souverain, on s'isole de l'innovation mondiale. L'UE est confrontée à cette question — comment être ouverte tout en étant souveraine (le concept d'« autonomie stratégique ouverte »). Idéalement, les solutions souveraines peuvent toujours s'intégrer aux réseaux de connaissances mondiaux via des normes ouvertes, prévenant ainsi la stagnation technologique.

• Alliances vs. Autonomie. Les alliés ont besoin les uns des autres, en particulier des pays comme le Canada qui font partie de coalitions de défense et de renseignement. Les efforts de souveraineté ne doivent pas entraver le partage de données bénéfique et l'interopérabilité que les alliances procurent. Cela implique une consultation et un alignement — par exemple, s'assurer que si le Canada établit des normes de chiffrement pour son nuage souverain, elles sont compatibles avec les normes américaines et de l'OTAN pour l'échange sécurisé d'informations.

Pour le Canada, en adoptant une perspective stratégique, les cas internationaux éclairent notre approche. Nous pouvons apprendre de la position ferme de la France sur le contrôle juridique, de l'accent mis par l'Allemagne sur les normes et les technologies ouvertes, et du modèle d'innovation collaborative de l'UE. Nous pouvons également tirer parti de notre position unique : en tant que membre des Cinq Yeux avec des liens étroits avec les États-Unis, nous pourrions ne pas exclure entièrement la technologie américaine, mais nous pouvons exiger des dispositions (comme la gestion des clés et des versions de ces technologies exploitées au Canada) pour affirmer notre chaîne de contrôle. Le monde s'oriente vers la reconnaissance de la souveraineté des données et du nuage comme faisant partie de la politique nationale — le Canada peut et doit se positionner non pas comme un cas isolé, mais comme un leader dans l'articulation d'une vision démocratique et innovante de la souveraineté qui protège les citoyens et favorise la croissance économique.

Considérations stratégiques et politiques

L'élaboration d'une stratégie nationale de souveraineté numérique exige une abstraction politique de haut niveau associée à des plans de mise en œuvre pratiques. Sur la base du cadre ci-dessus, voici des considérations stratégiques et des étapes pour les décideurs politiques :

• Élaborer un cadre de classification de la souveraineté. Définir clairement quels types de données et de systèmes exigent quel niveau de souveraineté. Pour le Canada, cela pourrait impliquer de classer les données en niveaux (publiques, sensibles, secrètes, top secrètes, etc., à l'instar des niveaux Protégé A/B/C et au-delà) et de les associer à des niveaux de souveraineté. Cette politique devrait être transparente afin que toutes les agences et même les opérateurs critiques du secteur privé connaissent les attentes (par exemple, les informations de santé doivent être dans un nuage répondant aux critères X, les données ouvertes municipales peuvent être sur des nuages publics avec une résidence de base, etc.). Cette approche axée sur la classification assure la cohérence et la justifiabilité des décisions.

• Exiger des niveaux de souveraineté pour les secteurs critiques. Par le biais de lois ou de directives, s'assurer que les secteurs d'infrastructures critiques et les ministères gouvernementaux respectent les exigences minimales de souveraineté. Par exemple, exiger que toute utilisation du nuage par le gouvernement fédéral soit au moins de niveau 3 (fournisseur de confiance en vertu du droit canadien) à une certaine date, avec des niveaux supérieurs pour les agences de sécurité nationale. De même, les régulateurs bancaires et des télécommunications pourraient intégrer des critères de souveraineté (peut-être par des mises à jour des règlements ou des lignes directrices) afin que ces industries privées améliorent également leur position. Les normes nationales de cybersécurité (similaires au C5 de l'Allemagne ou aux règles sectorielles) peuvent inclure des règles de localisation des données et de gestion des clés dans le cadre de la sécurité de base.

• Construire ou désigner un orchestrateur de nuage souverain. Comme discuté, choisir le modèle pour savoir qui intégrera et exploitera l'infrastructure souveraine. Cela pourrait impliquer de financer une nouvelle société d'État pour l'infrastructure numérique ou d'élargir une existante (comme SPC — Services partagés Canada — pour qu'elle dispose de capacités d'orchestration de nuage). Alternativement, un partenariat avec un consortium d'entreprises canadiennes (fournisseurs de télécommunications, opérateurs de centres de données, etc.) pour former une coentreprise qui exploiterait un service de « Nuage Souverain Canada » pourrait fonctionner, à condition que les conditions de gouvernance assurent la surveillance gouvernementale et l'isolation juridique de l'influence étrangère. Le gouvernement devrait être prêt à investir du capital d'amorçage ou des contrats à long terme pour rendre cela viable, car la pure demande du marché pourrait ne pas suffire initialement à justifier l'échelle nécessaire.

• Habiliter une surveillance indépendante. Éventuellement créer une Commission de la souveraineté numérique dédiée ou élargir le mandat du commissaire à la protection de la vie privée / du CST (Centre de la sécurité des télécommunications) pour auditer et certifier en permanence la conformité des services infonuagiques. Cet organisme maintiendrait la chaîne de confiance — certifiant les fournisseurs à certains niveaux (à l'instar de la façon dont l'ANSSI française procède avec SecNumCloud, ou dont le BSI audite les rapports C5), et assurant une surveillance continue. Il devrait rendre compte périodiquement à une haute autorité (Parlement ou Cabinet du Premier ministre) de l'état de la souveraineté, en soulignant toute faiblesse ou violation. Pour sa crédibilité, cet organisme doit être perçu comme objectif et rigoureux, incluant une expertise technique en sécurité infonuagique et en IA.

• Tirer parti des alliés et de la souveraineté à plusieurs niveaux. Coordonner avec les alliés sur les normes et la reconnaissance mutuelle lorsque cela est possible. Par exemple, si le Canada définit une exigence de nuage souverain, pourrions-nous reconnaître certains nuages certifiés européens comme répondant à certains critères pour les données moins sensibles, et vice versa ? Ou travailler au sein des Cinq Yeux pour développer une approche « souveraine par conception » qui permette toujours un partage sélectif. La coopération internationale peut réduire la duplication (par exemple, le partage des meilleures pratiques en matière d'audit ou le financement conjoint de technologies souveraines open source). Cependant, le Canada devrait également affirmer ses besoins : au sein des alliances, faire pression pour des accords qui respectent le contrôle des données de chaque nation (par exemple, mettre à jour les arrangements des Cinq Yeux pour gérer les problèmes de l'ère infonuagique afin que les nations membres n'espionnent pas les données infonuagiques des autres via des portes dérobées, etc. — en fait, un pacte de non-abus). Il s'agit d'une diplomatie délicate mais nécessaire pour concilier souveraineté et partage de renseignements.

• Investir dans la capacité nationale. La souveraineté a une dimension économique — utilisez-la pour catalyser l'industrie technologique nationale. Les politiques peuvent inclure des incitations pour les jeunes entreprises de nuage locales, des subventions pour le développement d'outils d'IA souverains (comme des algorithmes d'apprentissage sécurisés, des modèles audités pour les biais) et un soutien aux PME qui occupent des niches dans la pile de souveraineté (comme les fournisseurs canadiens de produits de chiffrement, les solutions de surveillance, etc.). Les marchés publics sont un levier : en choisissant des fournisseurs nationaux qui répondent aux critères de souveraineté, le gouvernement devient un client principal qui les aide à croître et à servir ensuite le marché privé également. De plus, le capital humain doit être abordé : bourses d'études, programmes de formation spécialisés, peut-être une « académie nationale du nuage » pour former des ingénieurs en nuage/sécurité certifiés pour le service gouvernemental. Cela non seulement comble les pénuries de talents, mais crée également des emplois — transformant la souveraineté en un multiplicateur économique plutôt qu'en un simple coût.

• Planifier l'évolution et la mise à l'échelle. La souveraineté numérique est une cible mouvante. La technologie évoluera (pensez à l'informatique quantique impactant le chiffrement, ou aux nouveaux paradigmes d'IA) tout comme les environnements de menaces. Le cadre politique devrait intégrer des mécanismes adaptatifs. Une idée est une Feuille de route de la souveraineté mise à jour annuellement, qui suit les progrès (par exemple, combien de systèmes sont passés du niveau 1 au niveau 3, etc.) et révise les objectifs en fonction des capacités actuelles. Elle devrait également prévoir les besoins futurs — par exemple, si les fournisseurs de nuage commencent à offrir un chiffrement résistant au quantique, la politique nationale pourrait en exiger l'adoption d'abord dans les systèmes de niveau 5, puis progressivement dans d'autres. En planifiant l'évolutivité et la pérennité, nous évitons d'être enfermés dans les définitions actuelles uniquement.

• Aborder les compromis ouvertement. Enfin, communiquer avec les parties prenantes et le public sur le pourquoi et le comment des efforts de souveraineté. Si certaines mesures entraînent des coûts plus élevés ou une commodité réduite (peut-être une certaine latence due à un routage uniquement local, ou des frais de nuage plus élevés comme prix de ne pas utiliser les centres de données étrangers les moins chers), les dirigeants devraient le présenter comme un investissement nécessaire dans la sécurité nationale et l'indépendance numérique — analogue à la construction d'une capacité de défense nationale. Souligner que la souveraineté permet l'innovation à long terme (en favorisant un écosystème local) et protège les citoyens (en gardant leurs données sous des normes nationales). Bâtir la compréhension aide à assurer un soutien politique durable.

En substance, l'approche stratégique du Canada devrait être celle d'une « souveraineté intelligente » : affirmer le contrôle là où cela compte le plus (IA, défense, données personnelles critiques), coordonner avec les alliés pour éviter l'isolement, et utiliser le processus pour stimuler notre propre croissance technologique. C'est un exercice d'équilibre de haut niveau — équilibrer le coût par rapport à la sécurité, l'ouverture par rapport à l'autonomie, et les capacités actuelles par rapport aux aspirations futures. Mais avec une conception et une exécution minutieuses des politiques, le résultat est un cadre de souveraineté qui protège les citoyens tout en favorisant l'innovation et la croissance économique. La souveraineté numérique, bien menée, devient un atout stratégique.

Conclusion : La souveraineté comme atout stratégique

La souveraineté numérique n'est pas une réalisation ponctuelle mais un effort continu — un équilibre dynamique qui doit être géré activement face à l'évolution de la technologie et des menaces. Elle exige de naviguer entre les compromis et de faire des choix stratégiques, mais les récompenses sont immenses. Une nation qui maîtrise la souveraineté numérique sécurise non seulement ses données et ses systèmes, mais aussi son avenir numérique — garantissant que l'innovation profite au pays et s'aligne sur ses valeurs, plutôt que de le laisser dépendant de puissances extérieures.

À la base, la souveraineté est une question de contrôle et de responsabilité. Dans le monde physique, les frontières et les lois d'une nation affirment le contrôle sur son territoire et sa population. Dans le monde numérique, un cadre de souveraineté affirme le contrôle sur les données et la technologie. Les pays qui y parviendront non seulement protégeront mieux la vie privée et la sécurité de leurs citoyens ; ils gagneront également de l'influence sur la scène internationale. Ils peuvent s'engager en toute confiance dans le commerce et la coopération numériques depuis une position de force, sachant que leur infrastructure critique est protégée. La souveraineté peut ainsi être utilisée comme un atout stratégique — stimulant le développement économique national (par la croissance technologique locale) et fournissant une influence géopolitique (alors que d'autres se tournent vers des réseaux souverains interopérables parmi des partenaires de confiance).

La quête du Canada en matière de souveraineté numérique doit être envisagée sous cet angle : comme un élément fondamental de notre sécurité nationale et de notre prospérité au 21e siècle. C'est une mesure proactive, nous préparant à un monde où les données sont militarisées et où le leadership technologique définit le pouvoir. En établissant une souveraineté multicouche à travers les dimensions juridictionnelles, opérationnelles, technologiques et économiques, et en intégrant ces couches via un plan directeur national multi-axes, le Canada peut s'assurer de rester l'auteur de sa propre destinée numérique. Ce faisant, nous rejoignons une cohorte de nations qui reconnaissent qu'à l'ère de l'IA et du nuage, l'indépendance et l'innovation vont de pair.

En fin de compte, tout comme les nations indépendantes exploitent leur souveraineté dans le domaine physique pour le bien collectif, nous pouvons exploiter la souveraineté numérique pour créer une nation numérique sécurisée, dynamique et autodéterminée. Le chemin sera complexe — exigeant l'orchestration des technologies et des politiques, l'investissement dans les personnes et la coopération avec les alliés — mais la destination est claire : un Canada qui se tient droit dans le monde numérique, avec ses valeurs défendues et ses intérêts protégés, quoi qu'il arrive dans le paysage technologique mondial.

Sources : Cadre de souveraineté infonuagique (document fourni par l'utilisateur), décrivant les niveaux et les dimensions de la souveraineté infonuagique; ITIF (2025) sur le programme français SecNumCloud; StackIT sur la norme allemande C5 (2023); Broadcom, "Règles locales, nuages locaux : IA souveraine" (2025); BCG, "Les nuages souverains redéfinissent la sécurité nationale" (2025); Cloud Security Alliance, "Souveraineté dans le nuage" (2023) et son blog sur la souveraineté des données (référence Thales CPL); Polytechnique Insights, "Gaia-X : une initiative pour un nuage européen souverain" (2025); et le site officiel de Gaia-X.