Souveraineté numérique dans le contexte national : Un cadre stratégique multi-axes

Constat clé : Les fournisseurs de services infonuagiques ne devraient pas être les émetteurs des clés de chiffrement pour les données souveraines. La souveraineté des clés est la pierre angulaire — sans elle, tous les autres investissements en souveraineté (résidence des données, opérations locales, propriété nationale) peuvent être annulés par une simple assignation à comparaître ou une attaque interne.

Introduction : La souveraineté numérique comme impératif stratégique

Au 21e siècle, la souveraineté nationale s'étend au-delà des frontières physiques, dans le domaine numérique. Tout comme le contrôle du territoire est le fondement de l'indépendance politique, le contrôle des données et des infrastructures numériques est le fondement de l'indépendance technologique. L'infonuagique et l'intelligence artificielle (IA) sont devenues aussi essentielles à la survie et à la prospérité d'une nation que les réseaux énergétiques ou les systèmes de défense.¹ Pour les États-nations modernes, l'atteinte de la souveraineté numérique — la capacité de gouverner et de protéger les actifs numériques sans ingérence extérieure — n'est pas une option, mais un impératif stratégique. Elle détermine qui contrôle, surveille et peut accéder aux informations d'une nation.

De manière critique, la souveraineté numérique n'est pas un état binaire, mais un continuum multicouche.¹ Les décideurs politiques doivent comprendre l'interaction des facteurs juridiques, opérationnels et technologiques pour élaborer une stratégie de souveraineté cohérente. Ce document décrit les paramètres de la souveraineté numérique dans un contexte national, en définissant ses dimensions clés et en décrivant un cadre multi-axes et multi-niveaux pour sa mise en œuvre. L'IA est traitée comme l'axe central de l'analyse — la lentille à travers laquelle tous les défis et opportunités de souveraineté sont focalisés. Le secteur de la défense constitue le cas d'étude ultime, exigeant les plus hauts niveaux de souveraineté pour la survie nationale. En examinant des études de cas mondiales — du SecNumCloud de la France au C5 de l'Allemagne et au Gaia-X de l'Europe — nous illustrons comment les nations poursuivent des stratégies de nuage souverain et d'IA.

Définir la souveraineté numérique : dimensions clés

La souveraineté traditionnelle est le droit exclusif d'un État de se gouverner sans ingérence extérieure. La souveraineté numérique applique ce principe à la sphère numérique. Elle peut être comprise à travers quatre dimensions interdépendantes :¹

• Souveraineté juridictionnelle. Toutes les données, les services numériques et les infrastructures sont soumis aux lois et à la juridiction du pays, sans contrôle extraterritorial concurrent. Les lois étrangères (telles que les lois d'accès au nuage d'une autre nation) n'ont aucune portée sur les données nationales. Des mécanismes juridiques protègent contre les assignations à comparaître ou les ordonnances étrangères.
• Souveraineté technologique. La nation possède la capacité nationale de développer, d'opérer et de contrôler les technologies numériques critiques (piles infonuagiques, modèles d'IA, outils de chiffrement) sans dépendance excessive à l'égard de fournisseurs étrangers. Les entreprises nationales devraient posséder ou gouverner l'infrastructure infonuagique et les logiciels clés, empêchant ainsi le verrouillage technologique par des entreprises étrangères.
• Souveraineté opérationnelle. Le pays peut gérer et exécuter ses opérations numériques entièrement sur son propre territoire et par son propre personnel. Les rôles administratifs clés sont occupés par des ressortissants responsables devant les autorités nationales. Les réseaux, les serveurs et les opérations de sécurité sont surveillés et contrôlés depuis l'intérieur du pays, 24 heures sur 24, 7 jours sur 7. Il n'y a pas de "portes dérobées" cachées ni d'accès racine à distance pour les ingénieurs étrangers.
• Souveraineté économique. L'écosystème numérique national (fournisseurs de services infonuagiques, centres de données, industrie de l'IA) génère de la valeur, des emplois et de l'innovation pour l'économie nationale. Cela inclut le soutien aux entreprises technologiques locales et la garantie que les investissements dans l'infonuagique/IA profitent aux intérêts nationaux. Une infrastructure redondante distribuée à l'intérieur des frontières nationales assure la continuité en cas de crise.

Ces dimensions se chevauchent dans la pratique. Un pays pourrait localiser ses données (atteignant un contrôle juridictionnel) mais manquer toujours de souveraineté technologique si le logiciel infonuagique sous-jacent est de propriété étrangère. Inversement, une nation pourrait développer une technologie indigène mais externaliser les opérations à des entreprises étrangères, sapant ainsi le contrôle opérationnel. La véritable souveraineté numérique exige des progrès sur tous les fronts — juridique, technique, opérationnel et économique — pour éliminer les points de dépendance uniques.

Le continuum de souveraineté à plusieurs niveaux

Parce que la souveraineté n'est pas tout ou rien, il est utile de penser en termes de niveaux. Ce document utilise un continuum à cinq niveaux (Niveau 1 à Niveau 5) pour caractériser la progression de la souveraineté minimale à la souveraineté totale.¹ Chaque niveau représente une intégration plus profonde des principes de souveraineté dans l'infrastructure infonuagique/IA.

Niveau 1 — Résidence des données

Les données sont stockées sur des serveurs physiquement situés à l'intérieur des frontières du pays. Ce niveau aborde la localisation géographique des données, mais pas qui possède ou exploite l'infrastructure. Souvent, le Niveau 1 implique l'utilisation du centre de données régional d'un fournisseur de services infonuagiques mondial. Convient aux informations à faible sensibilité (par exemple, sites web publics, portails de données ouvertes). Risques : le service peut toujours être détenu par une entreprise étrangère et soumis à des lois ou assignations à comparaître étrangères (par exemple, le U.S. CLOUD Act), et les administrateurs pourraient avoir un accès à distance depuis l'étranger.

Niveau 2 — Résidence contrôlée

Le stockage et le traitement des données ont lieu à l'intérieur des frontières nationales. Les clés de chiffrement sont gérées au niveau national. Les services infonuagiques sont conformes aux certifications de sécurité locales. Convient aux charges de travail de sensibilité modérée, telles que les systèmes administratifs internes (paie, approvisionnement). Risques : l'infrastructure ou le logiciel sous-jacent peut toujours être de propriété étrangère, et l'exposition juridique aux juridictions étrangères persiste si la société mère du fournisseur est à l'étranger.

Niveau 3 — Souveraineté juridique et opérationnelle

Le fournisseur de services est une entité juridique domiciliée dans le pays et exclusivement soumise au droit national. Toutes les opérations et le support sont effectués par du personnel basé localement. Les régulateurs ont des droits d'audit et de surveillance complets. Souvent appelé « nuage de confiance ». Convient aux données personnelles sensibles (dossiers de santé, bases de données d'identification des citoyens). Risques : le pays peut toujours dépendre de technologies développées à l'étranger ou de propriété intellectuelle essentielle. Si les mises à jour logicielles critiques proviennent de l'étranger, il existe une dépendance résiduelle.

Niveau 4 — Souveraineté technologique

Une entité nationale possède et exploite l'ensemble de la pile infonuagique — infrastructure, intergiciels, logiciels d'orchestration — à l'intérieur du pays. L'« accès racine » étranger est éliminé. La propriété intellectuelle critique est soit développée au niveau national, soit sous licence de manière à ce que la nation puisse la maintenir et la gouverner indépendamment. Les normes ouvertes garantissent l'interopérabilité. Convient aux charges de travail critiques telles que les systèmes financiers, les contrôles de réseau électrique ou la formation d'IA à grande échelle sur des données sensibles. Risques : atteindre le Niveau 4 est coûteux et technologiquement difficile, nécessitant des investissements importants en R&D et un écosystème technologique national mature.

Niveau 5 — Nuage souverain complet

L'infrastructure infonuagique, le matériel, les logiciels et les opérations sont détenus et contrôlés à 100 % par des institutions nationales. Tout le personnel est composé de citoyens (souvent avec des habilitations de sécurité) et toute la gouvernance est nationale. Même la chaîne d'approvisionnement et les installations physiques sont sous contrôle national. La redondance et la résilience sont entièrement construites à l'intérieur des frontières nationales. Réservé aux domaines les plus sensibles — défense, renseignement et systèmes d'IA gouvernementaux stratégiques — où toute dépendance étrangère est inacceptable.

Constat clé : Le continuum de souveraineté à cinq niveaux (de la résidence des données de N1 au nuage souverain complet de N5) offre aux décideurs politiques un outil d'analyse comparative structuré : chaque charge de travail est associée à un niveau approprié en fonction de sa sensibilité, de son exposition aux menaces et de sa valeur.

Peu de nations atteindront le niveau 5 pour tous les systèmes. Au lieu de cela, les pays doivent associer chaque charge de travail ou jeu de données au niveau de souveraineté approprié en fonction de sa sensibilité, de son exposition aux menaces et de sa valeur. Le modèle à cinq niveaux offre un moyen structuré d'évaluer où des mesures de souveraineté plus strictes sont nécessaires. Il sert également d'outil d'analyse comparative : les décideurs politiques peuvent fixer des objectifs (par exemple, "tous les systèmes de données de santé doivent atteindre au moins le niveau 3") et identifier les lacunes.

Le plan directeur multiaxe pour la souveraineté

Alors que les cinq niveaux décrivent une progression verticale vers une souveraineté complète, une stratégie globale est multidimensionnelle. La souveraineté existe à plusieurs niveaux, à travers des couches de responsabilité et le long de dimensions de sensibilité des données. Ces axes interactifs forment un plan directeur multiaxe pour la souveraineté numérique nationale :

• Axe vertical — Niveaux de souveraineté (1–5). La profondeur du contrôle souverain mis en œuvre, telle que décrite dans le cadre à cinq niveaux. Les niveaux supérieurs imposent des exigences plus strictes en matière de propriété, de droit et d'opérations.
• Axe horizontal — Classification de la sensibilité des données. Toutes les données n'exigent pas le même niveau de souveraineté. Le contenu public général peut n'avoir besoin que d'une résidence de niveau 1. Les informations personnelles sensibles (santé, biométrie) pourraient nécessiter le niveau 3 ou 4. Les données de sécurité nationale et de défense exigent sans équivoque le niveau 5, tout comme les modèles d'IA fondamentaux entraînés sur des jeux de données nationaux sensibles.
• Superposition — Maturité de la gouvernance. La souveraineté ne concerne pas seulement la technologie et l'emplacement ; elle concerne aussi la qualité de la gouvernance de l'environnement. La gouvernance va des politiques manuelles de base à la surveillance avancée de la conformité en temps réel, pilotée par l'IA. Une couche de gouvernance très mature signifie que toute violation de politique ou anomalie de sécurité est détectée et traitée en temps réel.

En visualisant ces trois axes ensemble, on peut imaginer un cube de souveraineté : l'axe vertical des niveaux 1 à 5, l'axe horizontal de la sensibilité des données (de faible à élevée) et la superposition de la gouvernance, de la base à la gestion en temps réel pilotée par l'IA. Ce modèle multiaxe permet aux décideurs politiques d'associer chaque charge de travail du paysage numérique de la nation à un point approprié dans le cube. Par exemple :

• Site web national de tourisme (données publiques) : Niveau 1 avec une classification de faible sensibilité et une supervision minimale. Une résidence de base satisfait la souveraineté pour ce cas d'utilisation.
• Système de dossiers hospitaliers gouvernementaux (données de santé personnelles sensibles) : Niveau 3 avec une classification de données "sensibles" et un audit continu par les régulateurs.
• Plateforme de simulation d'IA de défense (modèles et données hautement classifiés) : Niveau 5 avec une classification de données de "sécurité nationale" et une gouvernance en temps réel pilotée par l'IA, où chaque composant est sous strict contrôle national.

Coexistence des niveaux de souveraineté dans une architecture nationale

Aucune nation n'applique un niveau de souveraineté unique uniformément à tous ses domaines numériques. Un écosystème stratifié émerge inévitablement, où différents secteurs et charges de travail opèrent à différents points du spectre de souveraineté :

• Services publics et commerciaux (Niveaux 1–2). Priorisent l'efficacité des coûts et l'évolutivité par rapport à une souveraineté stricte. Un site web municipal ou une plateforme de commerce électronique privée pourrait utiliser un centre de données local ou un nuage avec un traitement localisé pour répondre aux exigences de résidence des données de base.
• Systèmes administratifs gouvernementaux (Niveaux 2–3). Les systèmes gouvernementaux internes (impôts, approvisionnement, services aux citoyens) visent une résidence contrôlée et une assurance juridictionnelle légale. Les gouvernements exigent de plus en plus que les fournisseurs de services infonuagiques soient des entités domiciliées au pays.
• Infrastructures critiques et industries réglementées (Niveaux 3–4). La finance, l'énergie, les télécommunications et les soins de santé exigent une souveraineté juridique et évoluent vers un contrôle technologique. Ces secteurs adoptent souvent des modèles hybrides — des fournisseurs de services infonuagiques nationaux exploitant des technologies mondiales sous licence, mais avec des dispositions de contrôle local.
• Défense et renseignement (Niveau 5). Les réseaux militaires et de renseignement sont souvent complètement séparés ("isolés") des réseaux commerciaux et fonctionnent sur une infrastructure souveraine exploitée par des agences gouvernementales ou des entrepreneurs de défense habilités. Tout niveau de souveraineté inférieur est considéré comme un risque inacceptable.

Cette coexistence doit être gérée activement par la politique nationale. Trois principes sont essentiels :

• Allocation des charges de travail. Chaque fonction gouvernementale ou jeu de données est attribué à un niveau de souveraineté approprié basé sur l'évaluation des risques. Une politique claire devrait dicter le niveau requis pour diverses catégories de données.
• Interopérabilité et ségrégation. Des systèmes de niveaux différents interagiront, mais l'architecture doit empêcher les "fuites de souveraineté" — une segmentation réseau robuste, des diodes de données et des règles d'interface sont nécessaires afin que l'intégration entre les niveaux ne dilue pas la sécurité de l'environnement plus strict.
• Gouvernance unifiée. Un cadre de gouvernance national doit superviser cette mosaïque de systèmes. Une autorité ou un régime politique global établit les règles pour toutes les couches, garantissant que les nouveaux systèmes sont insérés dans le bon niveau de souveraineté et audités en permanence.

L'IA comme axe central de la souveraineté numérique

L'intelligence artificielle est au cœur du débat sur la souveraineté et sert d'axe unificateur le long duquel d'autres défis s'alignent. Les systèmes d'IA — en particulier les modèles d'apprentissage automatique avancés — concentrent de nombreuses questions de contrôle des données, de dépendance technologique et de sécurité dans un seul domaine. Si les données sont le nouveau pétrole, l'IA est le moteur qui les fait fonctionner ; contrôler ce moteur devient aussi stratégiquement important que de contrôler les données elles-mêmes.

L'IA repose sur des données massives — souvent les données les plus sensibles qu'une nation détient. L'entraînement de modèles d'IA de pointe nécessite d'énormes jeux de données, qui peuvent inclure des informations personnelles, des renseignements stratégiques ou des données commerciales propriétaires. La souveraineté des données est un prérequis à la souveraineté de l'IA : un pays doit s'assurer que les données d'entraînement pour les initiatives nationales d'IA résident dans le pays et ne sont pas détournées vers des juridictions étrangères. Les poids du modèle eux-mêmes peuvent devenir une propriété intellectuelle sensible que la nation souhaite protéger.

Le traitement de l'IA exige une infrastructure infonuagique avancée. Une forte dépendance à l'égard des services infonuagiques d'IA étrangers peut créer une vulnérabilité stratégique : si la capacité d'IA d'une nation repose principalement sur un nuage appartenant à des étrangers, ce fournisseur de services infonuagiques (ou son gouvernement d'origine) pourrait théoriquement limiter ou surveiller les opérations d'IA. De plus, des mises à jour opaques des modèles d'IA par des fournisseurs étrangers pourraient introduire des biais ou des défaillances que la nation locale ne pourrait pas détecter.

L'IA amplifie les conséquences de la perte de contrôle. Une nation qui ne peut pas faire confiance à l'intégrité de ses systèmes d'IA (parce qu'ils fonctionnent sur des plateformes "boîte noire" échappant à sa surveillance) risque tout, de la manipulation malveillante des résultats de l'IA à la dépendance envers des fournisseurs externes pour des services critiques. D'un autre côté, l'acquisition d'une capacité d'IA souveraine procure un avantage stratégique significatif. Le concept d'« IA souveraine » a émergé : il s'agit d'une IA développée et exploitée à l'intérieur des frontières d'un pays sur une infrastructure sous contrôle local.⁴

L'IA dans la défense fait de la souveraineté une question de sécurité nationale. Les drones autonomes ou les IA d'aide à la décision utilisés par l'armée — s'ils dépendent d'un nuage externe ou de mises à jour logicielles étrangères, un adversaire pourrait les dégrader ou les saboter à un moment critique. Les projets d'IA liés à la défense exigent souvent une souveraineté de niveau 5. L'IA souveraine n'est pas un luxe, mais la dernière ligne de défense en cas de crise.

Compte tenu de ces facteurs, l'IA agit comme un test de résistance pour le cadre de souveraineté numérique d'une nation. Pour un pays comme le Canada, assurer la souveraineté en matière d'IA pourrait impliquer : d'investir dans une infrastructure nationale de supercalcul d'IA, de sécuriser les chaînes d'approvisionnement pour les puces d'IA critiques, de promouvoir les écosystèmes logiciels d'IA locaux et d'adopter des réglementations qui exigent que certaines données d'entraînement d'IA ne quittent jamais le pays.

Secteur de la défense : le cas d'utilisation ultime de la souveraineté

La défense nationale illustre les enjeux les plus élevés en matière de souveraineté numérique. Les organisations de défense ont été parmi les premières à reconnaître les risques liés aux technologies contrôlées par des étrangers. Dans le contexte du nuage et de l'IA, les exigences de la défense établissent de fait la norme — si le cadre peut satisfaire la défense, il satisfera probablement les secteurs moins critiques.

• Sensibilité extrême. Les données militaires et les modèles d'IA de défense sont souvent classifiés aux niveaux les plus élevés. Ils exigent une souveraineté de niveau 5 — un contrôle national absolu. Les nuages de défense garantissent que tous les serveurs sont situés dans le pays, sur des bases militaires ou dans des installations sécurisées, que tous les administrateurs sont des citoyens habilités, et qu'aucun équipement de réseau de fabrication étrangère avec des portes dérobées potentielles n'est présent.
• Continuité sous la contrainte. Un nuage de défense doit fonctionner en période de crise — y compris en temps de guerre — lorsque la connectivité internationale pourrait être coupée. Cela crée un besoin de réseaux entièrement souverains, acheminés au niveau national, et de centres de données redondants. En cas de conflit, on ne peut pas compter sur des techniciens étrangers pour réparer les systèmes.
• Cybersécurité et modèle de menace. Les systèmes de défense sont des cibles privilégiées pour les cyberattaques étatiques. L'infrastructure de défense souveraine peut être renforcée selon les normes nationales et vérifiée en permanence par les agences de sécurité nationale. La souveraineté confère de l'agilité en matière de cyberdéfense — la liberté d'adapter et de sécuriser les systèmes selon ses propres termes.
• Intégration avec l'industrie nationale. De nombreux gouvernements tirent parti des marchés publics de la défense pour développer des capacités nationales en matière de nuage et d'IA. Les projets de défense débouchent parfois sur des offres de nuage souverain plus larges pour d'autres secteurs.

La souveraineté en matière de défense doit coexister avec les opérations de coalition (par exemple, l'OTAN, le NORAD). Les alliés doivent partager des données en toute sécurité, ce qui implique une interopérabilité entre les nuages souverains. La solution réside dans des cadres multilatéraux et des fédérations de confiance où chaque nation contrôle son nœud mais participe à une infosphère partagée par consentement. La perspective stratégique du Canada ici serait d'assurer un contrôle souverain sur ses systèmes, tout en restant entièrement interopérable avec les États-Unis et les autres partenaires des Cinq Yeux pour les opérations combinées.

Le secteur de la défense englobe les exigences maximales de la souveraineté numérique. Les décideurs politiques devraient considérer la défense comme un indicateur : lors de l'élaboration des politiques nationales de souveraineté numérique, demandez-vous : « Cela serait-il acceptable pour nos besoins militaires et de renseignement ? » Si ce n'est pas le cas, alors cela ne répond probablement pas à la véritable souveraineté.

Le chiffrement et la chaîne de confiance

Un thème essentiel dans toute stratégie de souveraineté est le chiffrement — plus précisément, qui contrôle les clés cryptographiques qui protègent les données. Le chiffrement est le pivot de la sécurité des données : même si l'infrastructure est compromise, les données correctement chiffrées restent confidentielles. Cependant, le chiffrement n'est aussi fort que la « chaîne de confiance » qui le sous-tend.

Pour un environnement de nuage ou d'IA souverain, il est impératif que l'émetteur et le détenteur des clés de chiffrement soient sous contrôle national. Le fournisseur de services infonuagiques — surtout s'il s'agit d'une entreprise étrangère — ne devrait pas être l'entité générant ou gérant les clés maîtresses du client. Au lieu de cela, les clés doivent être générées, stockées et administrées par une entité nationale de confiance.⁶

Trois principes sous-tendent cette exigence :

• Défense extraterritoriale. Si un fournisseur de services infonuagiques détient les clés de chiffrement des données gouvernementales, ce fournisseur y a effectivement accès, quel que soit l'emplacement des serveurs. Le CLOUD Act américain peut exiger des entreprises infonuagiques basées aux États-Unis de produire des données même si elles sont stockées à l'étranger — mais si le gouvernement étranger détient les seules clés, le fournisseur ne peut pas déchiffrer les données pour se conformer. La souveraineté des clés est une défense contre la portée juridique extraterritoriale.
• Gestion externe des clés. La meilleure pratique est un système de gestion externe des clés, ce qui signifie que la génération et le stockage des clés se produisent en dehors de l'environnement du fournisseur. Les clés peuvent résider dans un module de sécurité matérielle (HSM) appartenant au gouvernement ou dans un service de séquestre tiers national. Cela garantit que même les initiés du fournisseur ne peuvent pas accéder secrètement aux données.⁶
• Vérifiabilité. La détention des clés au niveau national permet une vérifiabilité plus solide. Les auditeurs nationaux peuvent vérifier les processus de gestion des clés sans dépendre des attestations d'une entreprise étrangère. Les autorités cryptographiques nationales peuvent établir des normes pour maintenir la confiance dans toute la chaîne.

Une violation de la souveraineté des clés peut annuler toutes les autres mesures de souveraineté. Même un nuage souverain de niveau 5 où toutes les données sont dans le pays, sous des opérations nationales — si les clés de chiffrement maîtresses ont été créées par le fournisseur de logiciels infonuagiques et stockées sur ses systèmes, cela constituerait un point de défaillance unique.

En termes de politique, les gouvernements peuvent l'appliquer par voie de réglementation : « Toutes les données gouvernementales sensibles stockées dans le nuage doivent être chiffrées avec des clés générées et stockées dans des systèmes de gestion de clés approuvés par le gouvernement et situés sur le territoire national. Les fournisseurs de services infonuagiques ne doivent avoir aucune connaissance ni aucun accès à ces clés. »

Le défi de l'intégration et le besoin d'un orchestrateur

Atteindre la souveraineté numérique n'est pas uniquement un exploit technique — c'est en grande partie un défi d'intégration. Bon nombre des composants individuels requis pour la souveraineté existent : serveurs sur site, logiciels infonuagiques open source, réseaux de fibre optique nationaux, modèles d'IA développés localement, outils de chiffrement nationaux. La partie la plus difficile est de faire en sorte que tous ces systèmes développés indépendamment fonctionnent ensemble comme une plateforme nationale transparente, sécurisée et évolutive.

Le rôle d'orchestrateur. Cela fait référence à une entité (ou un groupe coordonné) responsable de rassembler tous les composants souverains et de les exploiter en tant que service pour le gouvernement et les industries critiques. L'orchestrateur pourrait être une agence gouvernementale ou un consortium d'entreprises nationales de confiance travaillant sous mandat gouvernemental. Leurs tâches comprennent : l'intégration des réseaux avec les centres de données; s'assurer que les logiciels de gestion infonuagique, les systèmes d'identité et les services de chiffrement sont interopérables; gérer les mises à jour et les correctifs sur l'ensemble de la pile; et fournir une interface unifiée et une structure de soutien aux utilisateurs.

Il est vital de distinguer la fonction d'orchestration de la fonction de surveillance/audit. Pour maintenir la confiance, trois rôles doivent être structurellement séparés :

• L'orchestrateur exploite et intègre le nuage souverain conformément aux politiques convenues.
• Un organisme d'audit indépendant (par exemple, l'agence nationale de cybersécurité ou un régulateur dédié) surveille en permanence les opérations pour détecter toute déviation par rapport aux politiques, les atteintes à la sécurité ou les défaillances de conformité.⁵
• Les fournisseurs (fabricants de matériel, développeurs de logiciels) fournissent simplement des composants. Ils ne devraient pas s'auditer eux-mêmes, ni exploiter des systèmes critiques sans surveillance.

Constat clé : L'orchestrateur et l'auditeur doivent être structurellement séparés. L'entité exploitant l'infrastructure souveraine ne peut pas être celle qui certifie sa propre conformité — un audit indépendant en temps réel est essentiel pour la confiance.

Du point de vue politique, l'établissement de ces rôles exige de la clarté : définir quelle(s) organisation(s) agira(ont) comme orchestrateur du nuage souverain; doter un organisme d'audit réglementaire de ressources et d'autorité pour exercer une surveillance continue; et clarifier les rôles des fournisseurs avec des normes ouvertes obligatoires et une transparence totale.

Le défi de l'intégration n'est pas seulement technique, mais aussi organisationnel. Les nuages souverains ont besoin d'architectes infonuagiques qualifiés, d'experts en cybersécurité, d'ingénieurs en IA et d'administrateurs qui sont citoyens et potentiellement habilités de sécurité. Une politique de souveraineté devrait inclure le développement de la main-d'œuvre : programmes de formation, salaires compétitifs pour attirer les talents des grandes entreprises technologiques, et peut-être une "académie nationale du nuage". Sans les personnes pour le faire fonctionner, même le nuage souverain le mieux conçu échouera.

Études de cas internationales et contexte mondial

Partout dans le monde, les gouvernements expérimentent des politiques et des cadres pour reconquérir la souveraineté numérique. Bien que l'approche de chaque pays varie, les thèmes communs incluent la localisation des données, la surveillance nationale et la certification nationale des services infonuagiques.

France — SecNumCloud et "Cloud de Confiance"

La France a été un précurseur dans l'affirmation de la souveraineté infonuagique grâce à son programme de certification SecNumCloud. Administré par l'agence nationale de cybersécurité ANSSI, SecNumCloud établit des exigences rigoureuses pour qu'un fournisseur de services infonuagiques soit considéré comme "de confiance" pour les données françaises sensibles.² Les derniers critères empêchent effectivement les nuages contrôlés par des étrangers de se qualifier. Les exigences comprennent : la localisation de toutes les données clients dans l'UE; s'assurer que toutes les opérations sont menées par du personnel basé dans l'UE; et imposer des contraintes de propriété où les actionnaires non-UE ne peuvent détenir plus de 25 % individuellement (et 39 % collectivement) du fournisseur.²

L'approche de la France établit des garde-fous clairs en matière de souveraineté. Le Canada, partageant les valeurs de l'État de droit avec la France, peut étudier les critères SecNumCloud comme modèle possible pour définir nos propres normes de "nuage de confiance".

Allemagne — BSI C5 et Sovereign Cloud Stack

L'approche de l'Allemagne se concentre sur la sécurité et la conformité à travers le C5 (Cloud Computing Compliance Criteria Catalogue) développé par l'Office fédéral de la sécurité de l'information (BSI). Le C5 est un cadre d'audit garantissant que les fournisseurs de services infonuagiques respectent plus de 100 contrôles de sécurité alignés sur les exigences allemandes.³ Les services infonuagiques conformes traitent les données exclusivement dans des centres de données allemands, conformément à la loi allemande.

Au-delà du C5, l'Allemagne a investi dans l'initiative Sovereign Cloud Stack (SCS) — une pile technologique infonuagique open source visant à offrir une alternative européenne aux hyperscalers. SCS réduit la dépendance à l'égard d'un seul fournisseur en offrant un plan standardisé pour un nuage souverain. Le cas de l'Allemagne illustre une voie vers la souveraineté axée sur les normes et l'open source.

Gaia-X — Un écosystème infonuagique fédéré européen

Gaia-X est un projet né de l'UE (initié par la France et l'Allemagne en 2020) avec l'objectif ambitieux de créer une infrastructure de données et infonuagique fédérée et interopérable pour l'Europe.⁷ Ce n'est pas un fournisseur de services infonuagiques unique, mais plutôt un cadre et un ensemble de normes pour permettre à de nombreux fournisseurs de s'interconnecter, avec des règles communes garantissant la transparence, la souveraineté des données et l'interopérabilité.⁸

Gaia-X a été motivé par le renforcement de la souveraineté numérique européenne et la réduction de la dépendance à l'égard de la domination infonuagique étrangère.⁷ Au lieu d'un seul nuage gouvernemental de l'UE, il envisage de nombreux nuages liés par des normes communes, offrant aux utilisateurs le choix et évitant le verrouillage à un fournisseur ou une juridiction donnée.

Autres approches

Le Royaume-Uni suit une approche de classification où les systèmes gouvernementaux hautement sensibles fonctionnent sur une infrastructure entièrement souveraine, tout en mettant l'accent sur la diversité des fournisseurs et le contrôle juridique britannique. Les États-Unis jouissent d'une souveraineté numérique de facto puisque leurs entreprises dominent le marché infonuagique, se concentrant sur la sécurisation de leur chaîne d'approvisionnement et la création de régions infonuagiques gouvernementales isolées. La Chine et la Russie illustrent l'extrémité extrême de la souveraineté, où l'État exerce un contrôle étroit sur l'infrastructure numérique — démontrant la faisabilité d'une autonomie quasi totale, bien qu'à un coût élevé et avec isolement.

Les nations doivent peser trois compromis fondamentaux :

• Coût vs. Contrôle. La pleine souveraineté peut être coûteuse. Beaucoup adoptent une approche hybride : haute souveraineté pour les joyaux de la couronne, nuages commerciaux avec des garanties pour les besoins moins critiques.
• Innovation vs. Autarcie. Il y a un risque qu'en cherchant à être souverain, on s'isole de l'innovation mondiale. Les solutions souveraines devraient s'intégrer aux réseaux de connaissances mondiaux via des normes ouvertes.
• Alliances vs. Autonomie. Les alliés ont besoin les uns des autres, en particulier les pays comme le Canada qui font partie de coalitions de défense et de renseignement. Les efforts de souveraineté ne doivent pas paralyser le partage de données et l'interopérabilité bénéfiques.

Considérations stratégiques et politiques

L'élaboration d'une stratégie nationale de souveraineté numérique exige une abstraction politique de haut niveau associée à des plans de mise en œuvre pratiques.

Élaborer un cadre de classification de la souveraineté. Définir clairement quels types de données et de systèmes exigent quel niveau de souveraineté. Classer les données par paliers et les associer à des niveaux de souveraineté. Cette politique devrait être transparente afin que toutes les agences et les opérateurs critiques connaissent les attentes.

Exiger des niveaux de souveraineté pour les secteurs critiques. Par le biais de lois ou de directives, s'assurer que les secteurs d'infrastructures critiques et les ministères gouvernementaux respectent les exigences minimales de souveraineté. Exiger que toute utilisation du nuage par le gouvernement fédéral soit au moins de niveau 3 d'ici une certaine date, avec des niveaux plus élevés pour les agences de sécurité nationale.

Mettre en place ou désigner un orchestrateur de nuage souverain. Choisir le modèle pour déterminer qui intégrera et exploitera l'infrastructure souveraine. Cela pourrait impliquer le financement d'une nouvelle société d'État pour l'infrastructure numérique ou l'expansion de Services partagés Canada. Le gouvernement devrait être prêt à investir du capital d'amorçage pour rendre cela viable.

Habiliter une surveillance indépendante. Créer une Commission de la souveraineté numérique dédiée ou élargir le mandat du CST (Centre de la sécurité des télécommunications) pour auditer et certifier continuellement la conformité des services infonuagiques. Cet organisme devrait rendre compte périodiquement à une haute autorité de l'état de la souveraineté, en soulignant toute faiblesse.

Tirer parti des alliés et de la souveraineté à plusieurs niveaux. Coordonner avec les alliés sur les normes et la reconnaissance mutuelle. Travailler au sein des Cinq Yeux pour développer une approche "souveraine par conception" qui permette toujours un partage sélectif. Affirmer les besoins du Canada : dans les alliances, faire pression pour des accords qui respectent le contrôle des données de chaque nation.

Investir dans la capacité nationale. Utiliser la souveraineté pour catalyser l'industrie technologique nationale. Les politiques peuvent inclure des incitatifs pour les jeunes entreprises locales du nuage, des subventions pour le développement d'outils d'IA souverains et un soutien aux PME qui comblent des lacunes dans la pile de souveraineté. Les marchés publics deviennent un levier : en choisissant des fournisseurs nationaux qui répondent aux critères de souveraineté, le gouvernement devient un client principal.⁵

Conclusion : La souveraineté comme atout stratégique

La souveraineté numérique n'est pas une réalisation ponctuelle, mais une entreprise continue — un équilibre dynamique qui doit être géré activement face à l'évolution de la technologie et des menaces. Elle exige de naviguer entre les compromis et de faire des choix stratégiques, mais les récompenses sont immenses. Une nation qui maîtrise la souveraineté numérique sécurise non seulement ses données et ses systèmes, mais aussi son avenir numérique — s'assurant que l'innovation profite au pays et s'aligne sur ses valeurs.

La quête de souveraineté numérique du Canada devrait être considérée comme fondamentale pour notre sécurité nationale et notre prospérité au 21e siècle. C'est une mesure proactive, nous préparant à un monde où les données sont militarisées et où le leadership technologique définit le pouvoir. En établissant une souveraineté multicouche à travers les dimensions juridictionnelles, opérationnelles, technologiques et économiques, et en intégrant ces couches via un plan directeur national multi-axes, le Canada peut s'assurer de rester l'auteur de son propre destin numérique.

En fin de compte, tout comme les nations indépendantes exploitent leur souveraineté dans le domaine physique pour le bien collectif, nous pouvons exploiter la souveraineté numérique pour créer une nation numérique sécurisée, dynamique et autodéterminée. Le chemin sera complexe — exigeant l'orchestration des technologies et des politiques, l'investissement dans les personnes et la coopération avec les alliés — mais la destination est claire : un Canada qui se tient droit dans le monde numérique, avec ses valeurs défendues et ses intérêts protégés, quoi qu'il arrive dans le paysage technologique mondial.

Notes

1. Cadre de souveraineté infonuagique (document-cadre confidentiel décrivant les niveaux et les dimensions de la souveraineté infonuagique).
2. ITIF, "France's Cloud Service Restrictions," 2025.
3. StackIT, "German C5 Standard," 2023.
4. Broadcom, "Local Rules, Local Clouds: Sovereign AI," 2025.
5. BCG, "Sovereign Clouds Reshaping National Security," 2025.
6. Cloud Security Alliance, "Sovereignty in the Cloud," 2023.
7. Polytechnique Insights, "Gaia-X: A Bid for a Sovereign European Cloud," 2025.
8. Site officiel de Gaia-X, énoncés de mission et de présentation.
9. Blogue de la Cloud Security Alliance, "Data Sovereignty" (référence Thales CPL sur les clés de chiffrement).
10. Extraits supplémentaires du cadre de souveraineté (modèle multi-axes, défis, éléments de feuille de route).