En 2024, le monde devrait générer 149 zettaoctets de données.¹ Pour référence, un zettaoctet équivaut à mille milliards de milliards gigaoctets ! Si chaque octet était un grain de sable, il y en aurait assez pour remplir chaque plage de la planète près de 20 000 fois.² L’exploitation des plateformes cloud va accélérer la création et le traitement de ces données de manière exponentielle avec des échanges numériques qui seront multipliés par 40 dans les prochaines années. Plus de 30 % de l’activité économique mondiale - environ 60 000 milliards de dollars - sera relayée et monétisée par des plateformes numériques dans un délai de six ans. L’enjeu de la souveraineté numérique est crucial pour les entreprises et les institutions. 

Fondamentalement, le cloud est désormais une industrie majeure estimée à près de 600 milliards de dollars en 2023.³ Il s’agit d’un moteur de changement qui a déjà contribué à améliorer la prestation de services, à faciliter la mobilité des salariés et à créer de nouvelles frontières en matière d’analyse de données et d’intelligence artificielle. Le cloud computing a été fondé sur l’idée que la localisation des données n’a pas d’importance, du moins pas autant que les économies d’échelle ou l’agilité nécessaire pour faire tourner rapidement les ressources informatiques à la volée. A mesure que le volume, la valeur et la sensibilité des données stockées augmentent, la « souveraineté du cloud » – le principe selon lequel les données stockées dans le cloud doivent être soumises aux lois du pays dans lequel elles résident physiquement – est devenue une priorité majeure pour les décideurs politiques. 

En 2024, Deloitte prédit que l’accent national mis sur la souveraineté du cloud s’intensifiera dans tous les marchés développés. Par conséquent, le cloud gouvernemental, un sous-ensemble de solutions conçues pour répondre aux exigences strictes de conformité des agences gouvernementales, devrait dépasser 41 milliards de dollars en 2024, soit une hausse de 16 % par rapport à 2023.⁴ De son côté, le marché du cloud distribué, qui peut être une solution pour se conformer aux restrictions relatives à la résidence des données, devrait atteindre 7 milliards de dollars, contre un peu plus de 4 milliards en 2022.⁵ 

Une brève histoire du cloud computing

Le concept du cloud computing remonte aux débuts d’Internet, du temps partagé dans les années 1960⁶ jusqu’aux réseaux privés virtuels (VPN) de télécommunications dans les années 1990.⁷ Mais le milieu des années 2000 a marqué un changement de paradigme avec le lancement d’Amazon Web Services (AWS),⁸qui a permis au plus grand nombre de bénéficier d’un système informatique évolutif et à la demande. Google, Microsoft et d’autres ont rapidement emboîté le pas en lançant leurs plateformes cloud pour consolider le rôle fondamental du cloud dans l’infrastructure numérique moderne.

Au cours des deux dernières décennies, les entreprises, les gouvernements, les institutions et les citoyens ont progressivement déplacé leurs données et leurs charges de travail d'une infrastructure privée (pensez aux racks de serveurs dans une armoire de bureau) vers des centres de données cloud monolithiques. À cette époque, beaucoup ont également adopté une nouvelle génération d’applications cloud-native.   

Alors que de grandes quantités de données étaient stockées et transférées sur les réseaux mondiaux, certains gouvernements et entreprises se sont inquiétés de leur juridiction, de leur gouvernance et de leur propriété, et le terme « souveraineté du cloud » a commencé à gagner du terrain.  

Les contradictions juridiques provoquent des frictions internationales 

Les lois sur la localisation des données peuvent invariablement créer une complexité opérationnelle pour les entreprises mondiales. La réglementation a tendance à changer fréquemment, à mesure que les pays sont aux prises avec la sécurité nationale, la protection des données et les nouvelles technologies. Les entreprises devraient s’appuyer de plus en plus sur les données, l’automatisation et l’IA. Elles devraient réfléchir à la manière dont la réglementation pourrait être modifiée, invalidée ou complétée. Aujourd’hui, la conformité est essentielle, tout comme l’agilité opérationnelle. Il est crucial de s'adapter rapidement aux changements du cadre réglementaire, à l'heure où des centaines de pays développent leurs positions réglementaires, chacune avec ses propres nuances, dont certaines peuvent être incompatibles les unes avec les autres.  

Jusqu’à présent, plusieurs tentatives visant à réguler les flux transatlantiques de données entre l’Union européenne (UE) et les États-Unis ont été invalidées par la Cour de justice européenne (figure 1). Au cours de la dernière décennie, il y a également eu une vague de réglementations liées à la souveraineté, telles que le RGPD de l'UE (Règlement général sur la protection des données), le CLOUD Act américain (Clarifying Legal Overseas Use of Data) et certaines initiatives au niveau des États comme la loi californienne sur les droits à la vie privée (CPRA).   

Comme mentionné, les entreprises mondiales doivent composer avec les variations des lois locales. Le CLOUD Act, par exemple, autorise les autorités américaines à accéder aux données stockées à l’étranger à certaines fins d’application de la loi, mais en vertu du RGPD, les données personnelles ne peuvent être transférées en dehors de l’espace économique européen que si elles bénéficient d’un niveau « adéquat » de protection des données.⁹ Si une entreprise publie des données conformément au CLOUD Act mais enfreint le RGPD, elle s’expose à de lourdes amendes.¹⁰ Dans certains cas, les gouvernements peuvent conclure des accords bilatéraux, comme celui entre le Royaume-Uni et les États-Unis,¹¹ mais cela peut prendre du temps. Au lieu de cela, les entreprises ont souvent recours au cryptage de bout en bout, où seuls l'expéditeur et le destinataire peuvent déchiffrer les données. Cela signifie que même si les fournisseurs de services peuvent transmettre des données aux forces de l’ordre, celles-ci seraient inintelligibles sans les clés de décryptage.  Pour naviguer dans le paysage réglementaire complexe, la gestion des données est cruciale. Les entreprises doivent comprendre la variété des types de données dont elles disposent et quelle classification des données se trouve dans chaque système (par exemple : informations personnelles, données de paiement, informations financières réglementées). Les entreprises devraient également réfléchir à leur « stratégie de sortie » de tout fournisseur de cloud actuel, en cas de futures atteintes à la souveraineté ou d’évolution du paysage réglementaire. Cependant, la durée des contrats cloud, qui peut être de cinq ans ou plus, et les frais de sortie élevés (le prix à payer pour transférer les données d'un fournisseur cloud à un autre) peuvent empêcher les clients de migrer leurs données. 

La localisation : un défi mondial 

La relation entre l’Union européenne et les États-Unis est un exemple marquant de l’évolution des cadres de souveraineté des données, mais ce n’est pas le seul. Partout dans le monde, de nombreux pays ont développé une position sur la localisation des données (liste non exhaustive) :  

Russie : la loi fédérale russe n°242-FZ, l’une des premières et des plus rigoureuses en matière de localisation des données, exige que les données personnelles des citoyens russes soient stockées à l’intérieur de ses frontières.¹² Cela a entraîné des conséquences considérables pour les entreprises et les marques mondiales. Par exemple, LinkedIn voit son accès restreint en Russie depuis 2016 en raison de cette loi.¹³

Chine: la loi chinoise sur la cybersécurité de 2017 impose que « les opérateurs d’infrastructures d’information critiques » stockent sur le territoire chinois les données personnelles et les données commerciales importantes collectées ou générées en Chine.¹⁴ La Chine a depuis consolidé sa position en matière de localisation avec la loi sur la sécurité des données et la loi sur la protection des informations personnelles de 2021 qui impose la classification des données et régit les transferts internationaux en fonction de la classification.¹⁵ 

Arabie Saoudite : le pays a introduit son Cloud Computing Regulatory Framework (CCRF) en 2018,¹⁶ qui spécifie les conditions de souveraineté des données sur les fournisseurs de services cloud et impose la résidence des données pour certains types de données. En 2021, il a introduit sa loi sur la protection des données personnelles, en vertu de laquelle les données personnelles des citoyens ne peuvent être transférées à l'étranger que dans un ensemble limité de conditions.¹⁷  

Les préoccupations en matière de souveraineté risquent de s’intensifier 

La souveraineté des données est déjà un thème important dans les discussions internationales, et son importance est susceptible de croître. Ces facteurs sont susceptibles de devenir plus importants en 2024 et au-delà, depuis les tensions entre les entreprises et les nations concernant les données personnelles, jusqu'à la géopolitique comme la guerre Russie-Ukraine en passant par la complexité du cloud, avec un mélange de structures hybrides et multi-cloud, et jusqu'à la protection des données et les questions de cybersécurité. La dépendance aux données est immense et le cloud sera probablement la solution de facto pour les stocker, les gérer et les analyser.  

Entreprise contre État ? : il existe un équilibre entre la sécurité nationale et la vie privée des individus, et des affaires très médiatisées ont souvent contraint les gouvernements à fixer des limites juridictionnelles strictes sur les données. Par exemple, le cas largement médiatisé en 2016 dans lequel Apple a refusé de contourner le cryptage sur un iPhone, dans le cadre d’une enquête terroriste du FBI.¹⁸ Même si cette affaire n’a pas touché plusieurs juridictions, elle a souligné la complexité d’opposer les intérêts des agences de sécurité de l’État aux droits à la confidentialité des données et aux responsabilités des entreprises technologiques de protéger les données des utilisateurs. Des cas similaires se sont toutefois produits dans d’autres juridictions, comme le différend de 2013 entre Microsoft et le gouvernement américain au sujet de données stockées en Irlande et liées à une enquête sur les stupéfiants.¹⁹ 

Géopolitique : les tensions mondiales entre les grandes puissances ont fait de la technologie et des données le théâtre d’accrochages diplomatiques et commerciales.²⁰La guerre entre la Russie et l'Ukraine a mis au premier plan les problèmes de juridiction en matière de données, l'Ukraine migrant rapidement des données critiques telles que son registre de population, ses propriétés foncières, ses relevés de paiement d'impôts et ses dossiers d'éducation vers le cloud.²¹ D’un autre côté, les fournisseurs de services cloud basés aux États-Unis ont suspendu leurs ventes en Russie peu après l’invasion.²² 

Complexité du cloud : au départ, le cloud consistait à transférer les opérations sur site vers un seul fournisseur de cloud. Cependant, les entreprises d’aujourd’hui exploitent souvent plusieurs plateformes cloud simultanément (une approche connue sous le nom de multi-cloud) pour bénéficier des fonctionnalités de chaque fournisseur, optimisant ainsi les coûts, les performances et l’évolutivité. Une autre approche courante est le cloud hybride, une combinaison de solutions de cloud privé (sur site) et public, qui permet aux applications sensibles aux données de rester en interne tandis que d'autres charges de travail peuvent bénéficier des ressources étendues du cloud public. Si les stratégies multi-cloud et cloud hybride offrent flexibilité et optimisation, elles présentent également des défis. Les données sont dispersées dans divers environnements, potentiellement dans différentes juridictions. Chaque fournisseur de cloud peut disposer de centres de données dans de nombreux pays, chacun ayant ses propres réglementations en matière de protection des données. Cela rend la gestion et la gouvernance de la souveraineté des données plus complexes que jamais. Il ne s’agit plus de se conformer aux règles d’un pays, mais de comprendre un ensemble complexe de réglementations mondiales.  

Protection des données et cybersécurité : l'IA générative, l'apprentissage automatique (machine learning) et l'automatisation (souvent rendus possibles par le cloud computing) sont susceptibles de devenir essentiels au fonctionnement des entreprises, incitant les gouvernements à être encore plus scrupuleux en matière de juridiction en matière de données. Les violations de données sont devenues courantes et la localisation des données atténue les risques dans certains cas. Le piratage de SolarWinds en 2020, qui a touché plusieurs agences gouvernementales américaines, a mis en évidence les vulnérabilités des systèmes cloud centralisés.²³ L’attaque, au cours de laquelle des pirates ont inséré un code malveillant dans une mise à jour logicielle de routine, a montré que la sécurité et la souveraineté doivent être prises en compte dans l’ensemble des chaînes d’approvisionnement, et pas seulement au niveau individuel. Les entreprises doivent comprendre les logiciels en tant que service et les fournisseurs tiers qu'elles utilisent : sur quelle plateforme cloud elles s'exécutent, quel type de données elles traitent, quels sont leurs niveaux de cryptage et quels sont les risques. De tels incidents justifient de manière convaincante que les pays aient davantage de contrôle et de surveillance sur les données concernant leurs citoyens. Les défis en matière de cybersécurité vont s’aggraver : le coût de la cybercriminalité devrait s’élever à 14 600 milliards de dollars en 2024, soit plus du double des 6 000 milliards de dollars d’il y a quelques années en 2021.²⁴ 

La souveraineté s'étend au-delà de la géographie. Cela inclut également le fonctionnement et la gouvernance. On peut citer l’exemple de l’Amsterdam Trade Bank qui a été sanctionnée par le gouvernement américain en 2022 en raison de sa participation russe.²⁵ Ses données résidaient peut-être en Europe, mais le fournisseur de services cloud ayant le contrôle opérationnel était basé aux États-Unis et était toujours en mesure de révoquer l'accès aux comptes de messagerie de l'entreprise et aux données associées. Les fournisseurs de cloud se sont associés à des opérateurs locaux pour surmonter ce type de risque, certains gouvernements et autres entités exigeant qu'il ne suffit pas que les données résident dans une zone géographique, l'opérateur de cette infrastructure cloud doit également être local.²⁶ 

À mesure que le monde devient de plus en plus connecté, la nécessité de délimiter les frontières, d’assurer la sécurité et de protéger les droits des citoyens devient de plus en plus cruciale. L’accent mis sur la souveraineté des données et du cloud devrait s’intensifier dans les années à venir, sous l’effet de la géopolitique, des problèmes de sécurité et de la protection des droits individuels. 

Les solutions de souveraineté : une opportunité et un défi pour les fournisseurs de cloud  

Les fournisseurs de services cloud, conscients de l’importance croissante de la souveraineté des données, ont déployé divers produits, services et fonctionnalités. Les solutions cloud gouvernementales en sont un exemple : des environnements de cloud computing spécialisés conçus pour répondre aux besoins stricts de réglementation et de conformité des agences gouvernementales.  

Les fournisseurs de cloud ont étendu leurs services cloud à la périphérie de l'entreprise. Un exemple est un service entièrement géré qui déploie l’infrastructure (et donc les services cloud) sur le site des clients.²⁷ Un autre permet aux entreprises d'exécuter des services cloud à partir de leur propre data centers, garantissant ainsi que les données restent sur site ou dans une juridiction particulière. Les fournisseurs de services cloud ont tendance à proposer un portefeuille de solutions pour répondre aux entreprises qui doivent conserver des données dans certaines régions en raison d'exigences réglementaires.²⁸

Ces produits sont alignés sur le cloud distribué, même s’ils ne sont pas tous strictement étiquetés comme tels. Le cloud distribué fait référence à la distribution des services de cloud public sur différents emplacements physiques, tandis que l'exploitation, la gouvernance, les mises à jour et l'évolution restent sous la responsabilité du fournisseur de cloud public d'origine. En termes plus simples, il s’agit de rapprocher le cloud de l’endroit où les données sont générées et consommées. 

Bien que ces services offrent de nombreux avantages, notamment en matière de latence, ils présentent également certains inconvénients par rapport aux services cloud traditionnels, tels que :  

Coût : les solutions de cloud distribué nécessitent souvent des investissements initiaux dans le matériel et l'infrastructure, contrairement aux services cloud traditionnels, qui sont facturés à l'utilisation. De plus, même si le principal fournisseur de cloud gère la pile logicielle, le matériel sur site peut entraîner des coûts de maintenance supplémentaire. Enfin, les équipes informatiques pourraient avoir besoin d’une formation pour gérer et exploiter efficacement ces nouveaux environnements cloud distribués. 

Complexité : l'intégration de services cloud distribué avec des systèmes sur site existants peut s'avérer complexe. Opérer en mode hybride ou multi-cloud signifie probablement gérer les charges de travail dans différents environnements. 

Services limités : les offres de cloud distribué peuvent ne pas disposer de la suite complète de fonctionnalités disponibles dans le cloud public central. Les fonctionnalités et mises à jour disponibles dans le cloud central peuvent mettre du temps à être disponibles sur les plateformes de cloud distribué. 

Évolutivité limitée : alors que les services de cloud public traditionnels offrent une évolutivité pratiquement illimitée, les solutions de cloud distribué peuvent être limitées par la capacité de l’infrastructure locale. L’augmentation de la capacité peut nécessiter des investissements matériels supplémentaires, alors que dans un cloud traditionnel, il s’agit souvent de provisionner davantage de ressources au travers de logiciels. 

Verrouillage du fournisseur : s'appuyer sur la solution distribuée d'un fournisseur de cloud particulier peut conduire à un verrouillage du fournisseur, ce qui rend difficile le changement de fournisseur ou l'utilisation de stratégies multi-cloud sans efforts et coûts importants. 

Performances : les performances du matériel de cloud distribué sur site peuvent ne pas toujours correspondre aux performances de l'infrastructure du centre de données du fournisseur de cloud. Même avec des déploiements sur site ou en périphérie, il peut y avoir des scénarios dans lesquels les données doivent transiter vers le cloud central, entraînant ainsi des goulots d'étranglement potentiels sur le réseau. 

Pour les fournisseurs de cloud, la demande croissante de cloud souverain pourrait créer une opportunité de vendre davantage de services à forte valeur ajoutée, mais dans l’ensemble, cela pourrait réduire la rentabilité. Pour eux, le résultat économiquement optimal est de vendre un cloud public à grande échelle dans toutes les juridictions, sans restriction. Mais la fragmentation de l’infrastructure cloud mondiale, avec des architectures sur mesure adaptées à des exigences de conformité strictes, peut entraîner une augmentation des coûts opérationnels et une réduction des marges, même si ces services sont vendus à un prix plus élevé. Cela dit, c’est une opportunité pour les fournisseurs de services locaux, ainsi que pour les fournisseurs de matériel traditionnels, d’autant plus que les clients s’appuient de plus en plus sur le cloud hybride (et ont donc besoin de beaucoup d’infrastructures). 

Les entreprises doivent agir et non réagir 

Pour les entreprises opérant dans l’économie numérique mondiale d’aujourd’hui, il est essentiel de respecter les réglementations sur la manière dont les données sont stockées, gérées et traitées, non seulement pour éviter des répercussions juridiques et des amendes importantes, mais également pour maintenir la confiance avec les clients et les partenaires. À mesure que les paysages géopolitiques évoluent, que les réglementations peuvent être mises à jour et que les préoccupations concernant la confidentialité des données s’intensifient, la capacité d’une entreprise à gérer les problèmes de souveraineté des données et du cloud peut avoir un impact direct sur sa réputation sur le marché, ses opérations et ses résultats. Les entreprises doivent agir pour se positionner au mieux.  

Premièrement, ils doivent procéder à un audit complet des données. Cela devrait inclure l’identification des sources de données et leur classification en fonction de leur sensibilité. Par exemple, les données personnelles des utilisateurs peuvent être traitées différemment des données analytiques ou des métadonnées anonymisées. Les entreprises devraient également envisager une stratégie de résidence des données si elles n’en ont pas. Cela implique de décider où résideront les données en fonction des besoins de performances techniques (comme la latence) et des exigences réglementaires, et peut impliquer l'utilisation de data centers locaux, du cloud distribué ou de régions cloud. Enfin, les entreprises doivent revoir leurs politiques de stockage et de transfert de données et garantir le cryptage des données inactives et en transit. Si les données traversent les frontières, le chiffrement peut offrir une couche de protection supplémentaire contre tout accès non autorisé.  

Une pratique exemplaire impliquerait également d'investir dans la compréhension des réglementations locales, ce qui pourrait impliquer l'engagement d'experts locaux, ainsi que la formation du personnel de plusieurs départements (par exemple : informatique, juridique, opérationnel), en particulier à mesure que les réglementations changent et évoluent. Au-delà de cela, les entreprises doivent être aussi transparentes que possible avec leurs partenaires, en communiquant clairement aux clients et aux chaînes d'approvisionnement comment et où leurs données sont stockées et traitées. Pour les chaînes d’approvisionnement en particulier, les entreprises doivent s’assurer de comprendre comment et où les fournisseurs stockent et traitent les données. Enfin, les entreprises doivent également développer une stratégie en cas de rapatriement de données pour les scénarios dans lesquels les données doivent être replacées d'un cloud ou d'un serveur étranger vers un serveur local. Si possible, ils doivent s’assurer que tous les contrats avec les fournisseurs de cloud comportent des dispositions autorisant des modifications.  

La souveraineté est un parcours qui devrait être intégré aux stratégies cloud actuelles, et tous les utilisateurs du cloud devront peut-être concevoir des plateformes durables et souveraines. Ce voyage devrait comprendre quatre étapes :  

1. La phase de conseil : l’entreprise doit définir sa position et concevoir sa stratégie en matière de souveraineté (qui inclurait la catégorisation des données et des charges de travail), et développer des preuves de concept pour se préparer à la souveraineté.  
2. La mise en œuvre : l’entreprise doit structurer la souveraineté et mettre en pratique des contrôles de données  
3. L’exploitation : l’entreprise doit gérer son écosystème de souveraineté, élaborer des méthodes pour améliorer l’observabilité et la surveillance des risques, et envisager l’automatisation et l’optimisation des coûts.²⁹ 
4. La nomination : la souveraineté doit être gérée de manière transversale dans les entreprises. Elle doit regrouper l’ensemble des parties prenantes (CISO, CIO, CTO …) sous la supervision à terme d’un Chief Sovereignty Officer qui veillera à l’applicabilité des différentes dimensions liées à la souveraineté numérique. 

La souveraineté du cloud est un enjeu stratégique majeur pour les entreprises multinationales. Bien faire les choses peut renforcer la confiance des clients, réduire le risque de répercussions juridiques et sécuriser les actifs de données d’une entreprise. Et il est peu probable que le paysage réglementaire ne change pas. Si les octets de données sont comme des grains de sable sur une plage, alors les changements réglementaires sont la marée qui peut venir les perturber, les remodeler et les emporter. Les entreprises doivent garantir la conformité et favoriser la confiance. Une façon d’y parvenir est de rester constamment vigilant, de toujours apprendre et d’être prêt à s’adapter à mesure que la marée réglementaire évolue.