La portabilité des données, un élément essentiel pour soutenir l’émergence des clouds souverains

Michael Cade, Global Field CTO chez Veeam partage son expertise et son analyse du sujet

Afin d’atténuer les risques qui pèsent sur les données en les gardant dans des juridictions spécifiques et de se mettre en conformité avec les exigences réglementaires correspondantes, les entreprises s’appuient de plus en plus sur des environnements cloud localisés. Toutefois, pour assurer le bon fonctionnement d’un cloud souverain, il faut bénéficier d’une bonne portabilité des données, à savoir la capacité de transférer des données entre plusieurs emplacements et systèmes différents. De manière générale, il est important, pour les entreprises modernes, d’avoir toujours une longueur d’avance, et non d’attendre que les réglementations les obligent à agir.

Transférer les données dans des environnements hybrides n’est pas une tâche facile, comme le constatent les entreprises. En plus de relocaliser les données primaires, il faut pouvoir assurer leur protection, et ce quel que soit les ensembles de données associés, aussi bien les sauvegardes que les informations sur lesquelles travaillent les applications d’IA. Beaucoup d’entreprises se concentrent sur la RAG (génération augmentée de récupération) ou vers les agents d’IA pour nourrir leurs données propriétaires avec des informations, sans avoir à créer des modèles ex nihilo, tandis que d’autres privilégient la protection des données d’entraînement des LLM (grands modèles de langage).

La résilience des données doit toujours être la priorité des entreprises, quel que soit l’emplacement où sont stockées les données, et ce même si la souveraineté des données est une approche adaptée pour faire face aux pressions auxquelles sont confrontées les entreprises aujourd’hui.

Il s’agit d’un schéma fréquent : le cloud offrira aux entreprises davantage d’options et de flexibilité, mais pour en tirer le meilleur parti, elles devront toutes travailler ensemble pour adopter une approche cohérente.

Où en est le cloud souverain ?

Les entreprises doivent faire preuve d’une meilleure considération de leurs données, en plus de mieux les maîtriser : c’est ce que conseillent les autorités régulatrices, dans le contexte de mondialisation croissante. C’est dans cette logique que l’UE s’est montrée stricte et a introduit le RGPD, qui prône la souveraineté des données et prévoit que s’appliquent les lois du pays où sont stockées les données, indépendamment du pays où elles sont collectées. Le règlement se concentre également sur la chaîne de contrôles des données dans l’UE, pour s’aligner avec les exigences des directives NIS2 et DORA concernant la gestion des risques portant sur les données, notamment lorsqu’elles sont détenues ou traitées par des tiers. 

Respecter les lois sur la protection de la confidentialité est désormais une priorité pour les entreprises et les gouvernements, dont les données circulent en-dehors des frontières, puisque celles-ci sont de plus en plus traitées par des tiers, en particulier des fournisseurs de services cloud.

Les mouvements de données entre les pays et continents fait de l’instabilité du monde une réalité, surtout pour les gouvernements qui les poussent à déployer des clouds souverains pour protéger leurs données sensibles. Certains Etats vont plus loin, en investissant dans des infrastructures souveraines, au détriment des infrastructures étrangères de cloud et de données, en raison de la dépendance des services cloud envers l’infrastructure des datacenters. Ils peuvent ainsi éviter d’avoir recours à des fournisseurs étrangers pour stocker leurs données sensibles.

Toutes les réponses ne se trouvent pas dans le cloud souverain. Identifier l’emplacement du stockage des données et les réglementations nationales en vigueur est possible dans le cas de l’utilisation de fournisseurs multinationaux de services cloud, mais sans assurer que rien ne changera. Pour respecter la souveraineté des données, il ne suffit pas de changer la localisation des données primaires, il faut aussi se préoccuper des données associées, notamment les sauvegardes et les ensembles de données d’entraînement des grands modèles de langage (LLM). Enfin, pour faire une mise à niveau des données sans gérer une grande quantité d’ensembles de données d’entraînement d’IA,  les entreprises peuvent aussi avoir recours à la génération augmentée de récupération (RAG) ou aux agents d’IA.

Donner une plus grande marge de manœuvre

La stratégie de résilience des entreprises doit intégrer la portabilité des données, qui plus est avec un effacement progressif de la limite entre protection des données et restriction involontaire au-delà du point d’utilisation. Les entreprises ne peuvent pas adopter un environnement de cloud hybride pour profiter des clouds souverains et de la localisation du stockage des données si elles ne sont pas capables de garantir la portabilité de leurs données.

Il faut savoir que, même si certains fournisseurs de SaaS (Software-as-a-Service) et de DRaaS (Disaster Recovery-as-a-Service) peuvent faciliter le processus, cette responsabilité ne peut pas être entièrement déléguée à un tiers. Il revient aux entreprises de planifier et gérer le processus, avec une approche pratique, afin de sécuriser les données à chaque étape, sous peine de ne pas pouvoir recourir aux clouds souverains pour se mettre en conformité avec les différentes réglementations portant sur la souveraineté des données et leur localisation.

Dans le cas d’activités réalisées sur plusieurs pays ou continents, les entreprises doivent avoir recours à des environnements cloud différents pour prendre en charge chaque cloud souverain. Cela signifie une complexification de la surveillance et de la gestion des données au sein de chaque juridiction, avec la prise en compte de différents environnements cloud, et des réglementations correspondantes selon le pays concerné. De plus, en renforçant la résilience de leurs données, les entreprises augmentent aussi le risque de fragmenter leurs données.

La portabilité des données constitue donc un élément essentiel de toute solution mise en place par les entreprises dans ce contexte complexe, avec la nécessité de pouvoir transférer les données facilement entre les différentes plateformes et clouds, pour faire face aux enjeux de souveraineté des données. La portabilité permettra aussi aux entreprises d’anticiper leurs futurs efforts de mise en conformité pour s’aligner avec l’évolution des réglementations, ce que ne pourront pas faire les entreprises avec une capacité réduite de portabilité.

Le cloud au cœur de la stratégie

Les flux d’informations étant un véritable commerce aujourd’hui, dans une logique de mondialisation des données croissante, ils génèrent leur propre valeur économique. . Il faut s’attendre à voir la souveraineté des données érigée comme priorité absolue pour faire face au facteur de l’instabilité mondiale.

La souveraineté des données est étroitement liée à l’efficacité opérationnelle, pour les entreprises. Si ces dernières veulent sécuriser leurs données, elles doivent connaître avec précision l’endroit et la manière dont leurs données sont stockées. Cette connaissance permet aussi d’identifier les opérations ou les processus où la résilience des données pourrait être défaillante et d’aborder la question de la portabilité de ses données. Il est possible d’intégrer la sécurité, la conformité et la souveraineté directement dans les opérations, dans une stratégie de refonte de la résilience des données, pour améliorer la gestion grâce à une évaluation des risques, la réalisation d’audits de conformité et la mise en œuvre de stratégies intégrant plusieurs fournisseurs.

En conservant les données sensibles sur site, dans le respect des exigences de souveraineté, et réservant le cloud aux données moins sensibles, les entreprises peuvent bénéficier des environnements de cloud hybride au maximum. Mais pour profiter de cette approche, il faut au préalable avoir misé sur la portabilité des données de façon prioritaire. Les organisations doivent se montrer proactives pour tirer parti de la flexibilité, la longévité et la sécurité du cloud, sans attendre que les réglementations les y obligent.