Souveraineté numérique : identité, cloud et IA, héberger en Europe ne suffit plus
Nos clients nous le disent : des données hébergées en Europe par un acteur américain ne sont pas souveraines. Et l'identité est la première brique à protéger.
La souveraineté des données est devenue un sujet de comité de direction. Chez nos clients, la question ne se limite plus à « où sont stockées mes données ? » mais « quel droit s'applique à celui qui les héberge ? ». Un datacenter situé à Paris ou à Francfort ne protège pas des lois extraterritoriales si l'opérateur relève d'une juridiction non européenne.
Pourquoi la localisation ne suffit pas
Le Cloud Act américain permet aux autorités des États-Unis d'exiger d'un fournisseur soumis à leur droit la communication de données qu'il contrôle, y compris lorsqu'elles sont hébergées hors des États-Unis. D'autres textes, comme la section 702 du FISA, encadrent la collecte de renseignement. Les accords de transfert de données entre l'Europe et les États-Unis ont déjà été invalidés deux fois par la justice européenne, et le cadre actuel reste contesté.
Pour une donnée sensible, le critère pertinent est donc double : la localisation de l'hébergement et l'immunité de l'opérateur face aux lois extraterritoriales. C'est précisément ce qu'exige la qualification SecNumCloud de l'ANSSI.
L'identité, première brique de la souveraineté
On parle souvent de souveraineté pour les données métier, plus rarement pour l'identité. C'est pourtant elle qui détient les clés : le fournisseur d'identité connaît tous vos utilisateurs, leurs droits, leurs connexions, et c'est lui qui ouvre l'accès à l'ensemble du SI. Un IDP soumis à une juridiction étrangère, c'est une porte d'entrée unique sur laquelle vous n'avez pas le dernier mot.
- Fournisseur d'identité auto-hébergé (Keycloak notamment) sur une infrastructure européenne ou qualifiée SecNumCloud.
- Maîtrise des clés de chiffrement et de signature des jetons (HSM, gestion de clés hors du fournisseur).
- Annuaires et référentiels d'habilitations hébergés sous juridiction européenne.
- Architecture hybride : SaaS pour les usages standards, socle souverain pour les populations et applications sensibles.
Le cloud : choisir selon la sensibilité
Tout ne doit pas migrer vers un cloud souverain, et tout ne peut pas rester chez un hyperscaler. L'approche efficace consiste à classer les données et les applications, puis à placer chaque usage au bon niveau : cloud public, offres de confiance, cloud qualifié SecNumCloud ou hébergement interne. La réversibilité doit être pensée dès le départ, car changer d'IDP ou de cloud sans plan de sortie coûte cher.
L'IA : la nouvelle frontière de la souveraineté
Avec l'IA générative, la question se pose à nouveau, en plus urgent. Chaque requête envoyée à un modèle hébergé à l'étranger peut contenir des données clients, des contrats ou du code. Les agents IA, qui disposent d'accès à vos systèmes, aggravent l'enjeu.
- Modèles européens ou modèles open-weight hébergés sur une infrastructure maîtrisée pour les cas d'usage sensibles.
- Passerelle d'IA centralisée : authentification des utilisateurs et des agents par votre IDP, filtrage, journalisation.
- Identités dédiées et droits minimaux pour chaque agent, sans clé d'API partagée.
Ce sujet, nous le traitons sur le terrain
- Nous aidons nos clients à classer leurs données et usages pour décider ce qui doit être souverain, et ce qui peut rester en SaaS.
- Nous concevons et déployons des socles d'identité souverains, notamment Keycloak sur cloud européen ou qualifié SecNumCloud.
- Nous construisons des architectures hybrides et des plans de réversibilité, y compris depuis des solutions américaines que nous maîtrisons.
- Nous sécurisons l'accès à l'IA : passerelle authentifiée, identités d'agents, traçabilité, modèles hébergés en Europe.
Une question technique sur ce sujet ? Nos experts seront ravis de vous aider à y répondre.