Souveraineté numérique : ce que votre CoDir doit décider maintenant
Semaine du G7, VivaTech, annonces autour des modèles d’IA rendus inaccessibles du jour au lendemain : le 15e épisode du Talk-show du CoDir tombait au bon moment. La souveraineté numérique n’est plus un sujet symbolique. Elle est devenue juridique et financière. Quatre experts ont passé 75 minutes à la remettre à sa place : celle d’une décision stratégique de direction générale, pas d’un projet IT.
Autour de la table :
- Sylvain ROMAN, DSI de transition du réseau Parteam
- Nicolas BOITTIN, CEO fondateur de Blue (ex Bretagne Telecom)
- Jean-Michel BREUL, CEO d’Odigo
- Sébastien THOUVENIN, cofondateur de Parteam
- Vincent DIDENO, animation des débats
Un chiffre pour poser le décor. En 2025, les trois géants américains du cloud, AWS, Microsoft Azure et Google Cloud, captaient à eux seuls environ 70% du marché européen des infrastructures cloud.
Dans le même temps, les acteurs européens sont passés de 25% de leur propre marché en 2017 à moins de 15% aujourd’hui (source : Synergy Research Group, 2025). Autrement dit : l’essentiel de vos données vit sur des infrastructures soumises au droit américain.
La question pour les CoDir : la souveraineté est-elle un sujet pour mon entreprise ?
Comme à chaque épisode, le DG du jour a ouvert les débats avec la question à laquelle ce CoDir virtuel devait répondre. Et cette fois, elle était multiple : qu’est-ce que la souveraineté, au juste ? Est-ce qu’un dirigeant de PME ou d’ETI est concerné ? Doit-il s’en préoccuper maintenant, et sur quel périmètre ?
La réponse a structuré tout l’épisode. Et elle tient en une distinction que beaucoup de dirigeants découvrent : la localisation et la juridiction sont deux choses complètement séparées. Ce n’est pas parce que vos données sont hébergées en France qu’elles sont souveraines. Le Cloud Act (2018) et la section 702 du FISA permettent aux autorités américaines d’exiger l’accès aux données de tout acteur américain, ou de ses filiales, où que soient les serveurs, même si les données sont chiffrées.
Souverain de quoi ? Trois souverainetés, trois risques
Pour sortir du « souvereign washing », les 4 spécialistes du jour ont proposé une grille de lecture simple, en trois dimensions :
- la souveraineté des données : où sont-elles stockées physiquement ?
- la souveraineté juridique : qui peut légalement exiger d’y accéder, et sous quel droit ?
- la souveraineté opérationnelle : qui peut, du jour au lendemain, couper l’accès, changer le prix ou arrêter les mises à jour ?
Trois risques en découlent :
- la captation de données
- le « kill switch », l’interrupteur de service, dont l’actualité récente de l’IA a donné une démonstration grandeur nature la suspension de Fable 5 sur ordre de Washington
- la dépendance d’écosystème
(NDLR : depuis la rédaction de cet article Fable 5 est à nouveau disponible)
Le hold-up silencieux : trente ans de dépendance consentie
Comment en est-on arrivé là ? Le diagnostic du plateau est sans complaisance, y compris envers l’industrie IT elle-même. Microsoft gratuit dans les écoles, la culture américaine « biberonnée » depuis l’enfance, la solution de facilité choisie à chaque étape. La grenouille dans la casserole.
Le réveil est d’abord financier. Les témoignages du plateau convergent : hausses spectaculaires des licences après le rachat de VMware par Broadcom (de 200% à 500% constatés sur le terrain selon les intervenants), Power BI dont le tarif s’envole, API d’IA dont le prix du token grimpe une fois les usages installés. La mécanique est toujours la même : une drogue gratuite ou peu chère à l’origine, puis la facture.
Avec un point de contraste souligné sur le plateau : un acteur souverain peut contractualiser ses évolutions de prix. Les positions dominantes américaines, elles, ne garantissent rien : « ce sera mon prix ».
Et la captation de données n’est pas théorique. L’un des intervenants a partagé une expérience vécue : une opération que l’entreprise devait mener dans un cadre légal strict, contournée côté américain, découverte… par les mails. « On nous pompe les données, c’est une évidence. » Autre anecdote révélatrice : lors d’un contrôle sur la dépendance aux États-Unis mené par l’administration française chez un hébergeur, l’agent prenait ses notes sur Microsoft 365.
Le vrai coût de la souveraineté n'est pas celui qu'on croit
C’est l’objection numéro un dans les CoDir : la souveraineté coûte plus cher. Le plateau ne l’a pas éludée, il l’a décortiquée.
Oui, il y a un surcoût technique. Les études évoquées en plateau parlent d’environ 15% de surcoût. Mais le raisonnement à coût complet change la donne : a-t-on vraiment besoin de toutes les options d’une suite dont on n’utilise qu’une fraction ? Que coûtent les hausses tarifaires unilatérales sur la durée ? Que coûte une donnée stratégique captée par un concurrent ?
Le vrai sujet de coût de la souveraineté, c’est la transformation :
- Accompagnement au changement : on ne fait pas abandonner Excel en claquant des doigts dans une DAF
- Gouvernance de la donnée : qui n’a pas de serveurs de fichiers de 40 à 80 téraoctets dont plus personne ne sait ce qu’ils contiennent ?
- Compétences, formation : les compétences sur les technologies souveraines sont plus rares
- Et une régression fonctionnelle : à accepter collectivement.
Un chiffre partagé en plateau résume l’enjeu de posture : 80% des décideurs considèrent la souveraineté comme un sujet d’importance stratégique.
C’est bien un sujet de CoDir, donc. Pas seulement de DSI : le marketing, les ventes et le positionnement de l’entreprise sont concernés. Être souverain devient un différenciateur commercial, en particulier sur les données de la relation client.
L'IA, nouveau vecteur de dépendance
Impossible de traiter le sujet sans parler d’intelligence artificielle. Le shadow IT version 2026, c’est le collaborateur qui connecte son IA préférée à l’environnement de l’entreprise, le commercial qui envoie ses objectifs ou ses données clients à un chatbot américain. « On donne à manger au loup. Le ver est dans le fruit. »
Les réponses existent et ont été détaillées en plateau :
- effacer les IA sauvages, puis en redonner le contrôle à la DSI avec une politique d’accès par profil : le bon modèle pour le bon usage, comme on gère un annuaire d’entreprise à travers un Hub IA
- mettre en place une gouvernance de l’IA, et s’appuyer sur des architectures où la donnée ne transite jamais par un cloud américain. Des modèles spécialisés et des infrastructures souveraines de calcul se développent, y compris en région.
Six questions pour challenger votre souveraineté :
Qui détient le capital et qui nomme les dirigeants de l'entité qui opère réellement le service ?
Cette entité (ou sa maison mère, ou son fournisseur de licence/technologie) est-elle soumise au droit américain : par nationalité, par cotation, ou par activité substantielle aux États-Unis ?
Qui peut accéder au code source, aux mises à jour et aux clés de chiffrement et sous quelle juridiction ?
En cas d'injonction Cloud Act ou FISA 702 visant la maison-mère, quelle est la chaîne de décision et qui peut légalement refuser ?
Le support technique, l'astreinte et la supervision sont-ils assurés par du personnel soumis à une juridiction non européenne ?
Que se passe-t-il en cas de sanctions, d'embargo technologique ou de rupture commerciale unilatérale : scénario « kill switch » ?
Le plan d'action du CoDir pour regagner sa souveraineté
Si votre CoDir est convaincu de la nécessité de se saisir du sujet, la question qui se pose est : comment s’y prendre pour regagner en souveraineté ?
La dernière séquence a donné la méthode, résumable en six points :
- La cybersécurité comme prérequis. « Quelqu’un qui n’est pas mature en cyber ne peut pas aller sur la souveraineté numérique. » C’est un état d’esprit avant d’être un budget.
- Auditer sa donnée. Cartographier ce qu’on a, où c’est stocké, qui y accède, ce que ça vaut si on le perd. Sans maîtrise de la donnée, aucun projet n’aboutit, IA comprise : « garbage in, garbage out ».
- Prioriser, pas tout faire. L’approche n’est pas un big bang. Identifier les données réellement sensibles, à commencer par celles des clients, et les protéger en premier. On peut par exemple séparer le mail client du mail interne.
- Viser l’hybride. Protéger le critique dans une bulle souveraine, laisser le reste en place, et avancer par effet boule de neige : démarrer petit, engranger un succès, puis étendre.
- Penser « souverain by design ». Tout nouveau projet, tout nouveau produit peut intégrer la dimension souveraine dès la conception, comme on a intégré le privacy by design puis le security by design.
- Porter le sujet au niveau du CoDir. Une suggestion concrète a été lancée en plateau : consacrer un offsite de CoDir à la souveraineté, pour poser les priorités et arbitrer en connaissance de cause.
La réponse à la question du DG ?
En conclusion, voilà ce que notre DG du jour retient de cette question de la souveraineté :
Oui, tout dirigeant est concerné. Oui, il faut y aller maintenant. Et non, ce n’est pas une fatalité : c’est une opportunité. Une opportunité de différenciation commerciale, une opportunité de reprendre le contrôle de ses coûts et de ses risques, et une opportunité pour les DSI de se remettre au centre du jeu.
Avec deux vigilances :
- la souveraineté se pense de bout en bout, une solution souveraine à 100% avec une sauvegarde américaine ne sert à rien
- la souveraineté, comme tout changement, exige un effort.
Pour aller plus loin sur la question de la Souveraineté
Le replay complet de l’épisode est disponible. Vous y retrouverez l’intégralité des échanges, le quizz (saviez-vous que la valorisation de Nvidia dépasse le PIB annuel de l’Allemagne, ou que les entreprises américaines concentrent environ 70% de la capitalisation boursière mondiale ?).
- Accéder au replay complet du 15ème Talk-show du CoDir
- Pour écouter sa version Podcast sur votre plateforme préférée
Pour passer à l’action :
- Nos deux partenaires de l’épisode accompagnent les entreprises sur ces sujets :
- Et pour piloter la transformation elle-même, les managers du réseau Parteam (DSI de transition, DG, DRH, DAF) sont à vos côtés.
Publié par :
