Souveraineté cloud : le spectacle qui nous rassure
L'illusion de la souveraineté cloud : pourquoi nous nous mentons à nous-mêmes
Nous parlons de souveraineté cloud comme si elle était une réalité tangible. Elle ne l'est pas. C'est une belle histoire que nous nous racontons pour dormir tranquille, pendant que nos données s'échappent par des portes dérobées que nous n'avons jamais vues.
Je ne dis pas cela pour faire peur. Je le dis parce que j'ai passé vingt ans à construire des infrastructures réseau et de sécurité, et parce que j'ai vu de près comment fonctionne vraiment la chaîne d'approvisionnement technologique. Et c'est là que le mensonge commence.
🔍 Le mythe du serveur français dans un datacenter français
Parlons clair : un serveur situé en France, exploité par une entreprise française, n'est pas garant de souveraineté. C'est un début, rien de plus.
Pourquoi ? Parce que la souveraineté réelle implique trois choses simultanément : la possession physique, le contrôle logiciel complet, et l'indépendance de la chaîne d'approvisionnement. Or, nous en maîtrisons rarement plus d'une à la fois.
Prenez un datacenter français hébergeant une infrastructure cloud. Qui fabrique les processeurs ? Pas nous. Qui conçoit les chipsets, les contrôleurs de stockage, les cartes réseau ? Pas nous. Qui produit les systèmes d'exploitation de base, les hyperviseurs, les frameworks ? Souvent pas nous. Et qui contrôle les mises à jour de sécurité critiques, les patches, les backdoors potentiels ? Cela dépend de qui a écrit le code.
Nous avons créé un spectacle de souveraineté : le serveur est ici, donc les données sont sûres. C'est faux. Les données sont au mieux sous surveillance, au pire sous contrôle distant.
🚪 Les portes dérobées que nous tolérons
La vraie question n'est pas "où est mon serveur", c'est "qui peut y accéder sans que je le sache".
Et la réponse honnête est : beaucoup de monde.
Les processeurs modernes contiennent des mécanismes de gestion à distance (Intel ME, AMD PSP). Ces mécanismes existent pour des raisons légitimes : assistance technique, gestion des parcs informatiques. Mais ils créent aussi des vecteurs d'accès que même le propriétaire du serveur ne peut pas désactiver complètement. Cela a été documenté publiquement, encore et encore. Nous le savons. Nous continuons.
Les systèmes d'exploitation propriétaires (Windows, macOS) contiennent des fonctionnalités de télémétrie, d'accès distant, de mise à jour forcée. Nous les acceptons comme des conditions d'usage. Pas de choix réel.
Les logiciels commerciaux, même ceux vendus comme "souverains", dépendent souvent d'appels externes, de vérifications de licence, de communications avec des serveurs tiers. Nous les tolérons parce qu'ils fonctionnent.
Voilà ce que nous appelons "souveraineté". C'est du théâtre. Et nous sommes tous dans le public.
💡 Pourquoi nous nous mentons
Ce qui m'intéresse vraiment, c'est pourquoi nous acceptons ce mensonge avec tant de facilité.
La réponse est simple : la vraie souveraineté coûte cher. Très cher. Elle exige une maîtrise complète de la chaîne d'approvisionnement, de la conception des composants jusqu'au logiciel applicatif. Cela signifie investir massivement en R&D, en manufacturing, en expertise. Cela signifie accepter des performances réduites pendant une décennie. Cela signifie prendre du retard par rapport aux géants du secteur.
Aucun gouvernement, aucune entreprise, aucun État n'est vraiment prêt à le faire. Pas vraiment. Nous préférons les gestes symboliques : "un datacenter français", "une gouvernance française", "des données en Europe". Ces éléments ont une valeur, certes. Mais ils ne sont pas la souveraineté.
La Chine comprend cela. Voilà pourquoi elle investit massivement dans ses propres architectures de processeurs, ses propres systèmes d'exploitation, sa propre stack logicielle. Ce n'est pas parfait, c'est plus lent, c'est moins mature. Mais c'est indépendant. Et l'indépendance, c'est le début de la souveraineté.
L'Europe, elle, préfère négocier. Nous demandons à Microsoft, à Google, à Amazon de respecter nos données. Nous créons des certifications, des labels, des frameworks de conformité. C'est mieux que rien. Mais c'est aussi très fragile : il suffit d'un changement politique, d'une pression géopolitique, d'une loi d'un autre pays, pour que tout s'effondre.
🛡️ Ce que nous pourrions faire (et ne faisons pas)
Il existe des chemins vers une souveraineté plus réelle. Pas parfaite, mais réelle.
Premièrement, investir massivement dans les architectures ouvertes : RISC-V au lieu d'ARM ou x86, Linux plutôt que Windows, logiciels open-source avec audit public. Ce n'est pas une panacée, mais c'est un progrès. Nous pouvons au moins vérifier ce que fait le code. Nous pouvons le modifier si nécessaire. Nous ne sommes pas prisonniers d'une roadmap imposée d'en haut.
Deuxièmement, accepter les coûts. Une véritable souveraineté technologique coûte 2 à 3 fois plus cher qu'une dépendance confortable. Les gouvernements doivent le comprendre, et les citoyens aussi. Nous ne pouvons pas avoir la souveraineté au prix du cloud américain.
Troisièmement, créer des écosystèmes régionaux fermés mais sains. Pas isolationnistes, mais indépendants. L'Europe a les talents, les ressources, l'expertise. Nous manquons juste de volonté politique et de patience.
Quatrièmement, cesser de faire du marketing avec le mot "souveraineté" quand nous ne faisons que de la conformité. C'est malhonnête. C'est aussi dangereux : cela crée une fausse confiance, et la fausse confiance est pire que l'absence de confiance.
🌍 La réalité inconfortable
Voici ce que j'ai appris en vingt ans : la technologie suit le pouvoir, pas l'inverse.
Les États-Unis dominent le cloud parce qu'ils dominent la technologie. Ils dominent la technologie parce qu'ils ont investi massivement pendant soixante ans, depuis les transistors jusqu'à l'IA. Cet avantage ne disparaîtra pas en quelques années.
La Chine rattrape son retard, non pas avec des gestes symboliques, mais avec des investissements systématiques et à long terme.
L'Europe, elle, essaie de négocier. Nous créons des règles, des labels, des certifications. C'est important, mais c'est réactif, pas proactif. Nous réagissons à ce qui existe déjà, au lieu de construire ce qui n'existe pas encore.
Et dans ce contexte, parler de "souveraineté cloud" comme si c'était une réalité, c'est se faire du mal à soi-même. Cela nous permet d'éviter les vraies questions : Sommes-nous prêts à investir ? Sommes-nous prêts à accepter des performances réduites ? Sommes-nous prêts à créer une véritable alternative technologique ?
Si la réponse est oui, alors nous devons arrêter de faire du théâtre. Si la réponse est non, alors soyons honnêtes : nous sommes dépendants, et c'est un choix conscient. Ce choix a des avantages (performance, coût, innovation rapide). Il a aussi des risques. À nous de les gérer.
Mais prétendre que nous avons la souveraineté alors que nous ne l'avons pas, c'est dangereux. C'est comme croire qu'on est sûr parce qu'on a mis un verrou sur la porte d'entrée, alors que les fenêtres sont grandes ouvertes.
📢 À vous de jouer
Alors, ma question pour vous : dans votre organisation, parlez-vous vraiment de dépendance technologique et de ses risques ? Ou faites-vous comme tout le monde : vous rassurez-vous avec des labels et des certifications, sans vous demander ce qu'ils signifient réellement ?
Je crois qu'il est temps de se poser les vraies questions. Pas pour faire peur, mais pour agir intelligemment.