Souveraineté, ou simplement savoir où vivent vos données

Le mot souveraineté sert aujourd’hui à peu près à tout. La demande, elle, se mesure: selon Gartner, la dépense européenne en infrastructure de cloud dite souveraine progresse de 83 % en 2026, et l’Europe doit dépasser l’Amérique du Nord sur ce poste dès 2027. Ce qui se vend sous ce nom est plus discutable, et le même cabinet le dit à sa façon: traiter la souveraineté comme un simple sujet de sécurité et de conformité ne suffit pas à y répondre.

Les deux constats vont ensemble. La demande est réelle, la réponse qu’on lui vend l’est beaucoup moins, et presque aucune organisation européenne n’est réellement indépendante d’un fournisseur américain.

La question que les clients posent vraiment

Quand on écoute ce qui est demandé plutôt que le mot employé pour le demander, la question est plus étroite et beaucoup plus vérifiable. Où résident les données. Sous quelle base légale. Qui peut y accéder.

Ces trois questions ont des réponses écrites, opposables, et qui ne dépendent d’aucune position politique. C’est de celles-là que nous traitons.

Ce que l’auto-hébergement règle

Les moteurs de flux que nous employons sont ouverts, n8n au premier rang, et s’installent sur une machine contrôlée par le client. Un modèle de langage ouvert, Mistral ou Llama, peut tourner sur ses propres serveurs quand la sensibilité l’exige, ou chez un hébergeur européen quand elle ne l’exige pas.

Les deux se combinent, et c’est souvent la configuration juste. Une question anodine part vers un service mutualisé, une question qui contient un nom de patient reste dans les murs. Le tri se décide une fois, s’écrit, et se vérifie ensuite dans les journaux.

Ce que ça coûte, dit avant

Un modèle auto-hébergé demande une machine, sa mise à jour et sa surveillance. À budget égal, il sera moins performant qu’un service en ligne. Ce n’est pas un détail de mise en œuvre, c’est l’arbitrage central, et il doit être posé avant la signature plutôt que découvert au premier trimestre.

Pour beaucoup d’usages, la bonne réponse est de ne pas auto-héberger. Pour un dossier de patient, une pièce de marché public ou un contrat sous clause de confidentialité, elle l’est.

Affirmer ne suffit pas, il faut pouvoir montrer

C’est le point qui change tout pour un acheteur public. Une déclaration de conformité ne vaut rien sans les éléments qui la soutiennent: où tourne la machine, qui y a accès, ce qui est journalisé, combien de temps c’est conservé, et ce qui se passe quand un prestataire s’en va.

Un dossier de candidature qui apporte ces réponses passe. Un dossier qui écrit « solution souveraine » et rien d’autre ne passe pas, et il ne devrait pas.