Pourquoi la souveraineté des données relève du contrôle et non de la géographie

Sammy Zoghlami, SVP EMEA, Nutanix analyse le sujet et livre ses conseils

Selon Gartner, les dépenses mondiales consacrées au cloud souverain atteindront 80 milliards de dollars en 2026, soit une hausse de 35,6 % sur un an. Les organisations investissent massivement dans des infrastructures hébergées sur leur territoire. Pourtant, selon le Data Threat Report 2026 de Thales, seules 47 % des données sensibles dans le cloud sont chiffrées, un chiffre en baisse par rapport à l’année précédente. Les investissements dans la géographie progressent plus vite que ceux consacrés au contrôle, et c’est dans cet écart que les stratégies de souveraineté échouent le plus souvent.

La résidence n’est pas la souveraineté

La résidence des données définit où elles sont stockées et traitées. La souveraineté détermine qui détient l’autorité juridique et opérationnelle sur ces données : qui peut y accéder, les déplacer, en exiger la divulgation ou modifier les personnes autorisées à effectuer ces actions.

Le CLOUD Act américain en est une illustration. Une organisation peut héberger ses charges de travail à Francfort auprès d’un fournisseur soumis à la juridiction américaine et respecter les exigences de résidence des données. Cela ne signifie pas pour autant que ces données relèvent d’un contrôle souverain européen. Le serveur est local. La juridiction ne l’est pas.

Le même principe s’applique aux plateformes de gestion hébergées à l’extérieur, aux systèmes d’identité contrôlés par une maison mère étrangère ou aux accès accordés à des tiers. L’infrastructure peut être locale, tandis que le contrôle s’exerce ailleurs.

Le test ne correspond pas au fonctionnement normal

Les limites d’une stratégie fondée avant tout sur la localisation apparaissent sous pression. Lors d’un audit, les régulateurs veulent savoir qui a accédé aux systèmes, quelles modifications ont été effectuées, à quel moment et avec quelles autorisations. Selon le rapport 2025 Cost of a Data Breach d’IBM, 97 % des violations de données liées à l’IA se sont produites dans des organisations dépourvues de contrôles d’accès adéquats, révélant des lacunes de gouvernance plutôt que d’infrastructure.

La reprise après un incident constitue un autre test. Restaurer rapidement les systèmes ne suffit pas si les procédures contournent les contrôles d’accès ou dépendent d’une intervention externe. De même, lorsque les fournisseurs font évoluer leurs offres ou leurs modèles tarifaires, seules les organisations qui conservent une véritable liberté d’action disposent d’une souveraineté effective.

Sammy Zoghlami, SVP EMEA, Nutanix

Ce que le contrôle exige réellement

La souveraineté repose sur des disciplines opérationnelles.

Le contrôle des accès est fondamental : qui peut administrer les systèmes, approuver les changements et auditer les actions ? Les accès fondés sur les rôles, le moindre privilège, l’authentification multifacteur et la séparation des responsabilités restent essentiels.

Le contrôle cryptographique est tout aussi déterminant. Chiffrer les données sans maîtriser les clés ne garantit pas la souveraineté : cela transfère simplement leur responsabilité à celui qui les détient. La véritable question est donc de savoir qui contrôle les clés, comment leur accès est gouverné et ce qu’il advient de cette responsabilité lorsqu’une relation avec un fournisseur évolue.

Une organisation doit également pouvoir superviser, maintenir et restaurer ses environnements sans dépendre de services qu’elle ne contrôle pas, tout en conservant la possibilité de changer de direction sans perturbations disproportionnées.

L’IA renforce les enjeux

À mesure que les obligations de l’AI Act européen concernant les systèmes à haut risque approchent, les régulateurs ne s’intéresseront plus seulement au lieu de stockage des données d’entraînement. Ils examineront aussi qui contrôle les poids des modèles, qui peut consulter les prompts d’inférence et quelles données de télémétrie sont renvoyées au fournisseur.

Pour les charges de travail d’IA sensibles, notamment celles impliquant des dossiers médicaux, des décisions financières, des données biométriques ou des services aux citoyens, le périmètre de souveraineté doit couvrir l’ensemble de l’environnement d’inférence, et pas uniquement les données sous-jacentes. Les mêmes mécanismes qui définissent une véritable souveraineté des données sont précisément ceux qui seront attendus pour les systèmes d’IA à haut risque.

Une approche proportionnée au risque

Toutes les charges de travail n’exigent pas le même niveau de souveraineté. Une plateforme marketing n’a pas les mêmes exigences qu’un système de transactions financières ou qu’une base nationale de données de santé. L’approche la plus efficace consiste à appliquer les contrôles les plus stricts aux systèmes les plus critiques, tout en conservant une flexibilité adaptée pour les autres.

La géographie est un facteur, pas une stratégie

La localisation physique reste importante pour répondre aux exigences de résidence des données, de sécurité de la chaîne d’approvisionnement et de certaines charges de travail réglementées.

Mais la souveraineté n’est pas un bâtiment. C’est une capacité opérationnelle : maîtriser les accès, conserver le contrôle des clés cryptographiques, rester indépendant dans les opérations quotidiennes, démontrer sa gouvernance lors des audits et conserver la liberté de changer de cap lorsque les circonstances l’exigent.

Les organisations qui réussissent cette démarche la considèrent comme une discipline d’ingénierie, plutôt que comme une simple décision d’achat.