On ne peut pas revendiquer la souveraineté numérique sans se demander où les données sont physiquement hébergées

Le débat sur la souveraineté numérique s’est considérablement enrichi. Il est désormais question de juridiction, de chiffrement, de fournisseurs Cloud, de contrôle opérationnel, de propriété intellectuelle, de cybersécurité, de compétences et de dépendances technologiques.

A mesure que le débat gagne en sophistication, une question pourtant fondamentale semble parfois reléguée au second plan : Où les données sont-elles physiquement hébergées ?

Pour un État, ce n’est pas un simple détail d’architecture. La localisation physique détermine sur quelles infrastructures reposent les données nationales, sur quel territoire elles se trouvent, quelles dépendances de connectivité existent, quels dispositifs de résilience peuvent être mis en œuvre et, dans une certaine mesure, dans quel environnement juridique et opérationnel ces données évoluent.

Quand bien même la localisation des données ne suffit pas, à elle seule, à créer de la souveraineté numérique, il paraît tout aussi difficile de revendiquer une véritable souveraineté nationale tout en considérant comme secondaire le lieu où sont physiquement hébergées les données les plus stratégiques du pays.

Une donnée a toujours une adresse physique

Le Cloud a progressivement fait disparaître l’infrastructure du champ de vision de l’utilisateur. Les données sont « dans le Cloud ». Les applications deviennent cloud-native. Les workloads circulent entre différentes régions. Les capacités informatiques sont consommées à la demande. Cette abstraction est précisément l’un des avantages du Cloud. Mais pour un État, elle a ses limites.

Derrière chaque service Cloud se trouvent des serveurs. Ces serveurs se trouvent dans des Data Centers. Ces Data Centers dépendent d’une alimentation électrique, de systèmes de refroidissement, de réseaux télécoms, de dispositifs de sécurité et d’équipes d’exploitation.

Les données peuvent également être répliquées sur plusieurs sites. Les sauvegardes peuvent se trouver dans un autre pays. Le dispositif de Disaster Recovery peut dépendre d’une infrastructure située à plusieurs milliers de kilomètres du système principal.

Dès lors, lorsqu’un État définit sa stratégie de souveraineté numérique, la géographie de son infrastructure numérique ne peut pas simplement disparaître derrière la couche Cloud.

Cela ne signifie évidemment pas que toutes les données produites dans un pays doivent impérativement y rester. La véritable question est plutôt :

Quelles données sont suffisamment sensibles, critiques ou stratégiques pour que leur localisation physique devienne elle-même un enjeu de souveraineté nationale ?

C’est là que la distinction devient intéressante.

Le Nigeria fait déjà cette distinction

La politique Cloud du Nigeria constitue à cet égard un cas particulièrement intéressant. La politique nationale établit notamment un système de classification des données et associe certains niveaux de sensibilité à des exigences de résidence. Les données souveraines classifiées aux niveaux les plus élevés doivent être hébergées au Nigeria, sous réserve de certaines exceptions encadrées. Les orientations techniques associées privilégient également des infrastructures Cloud situées sur le territoire national pour certaines données gouvernementales sensibles. Ce choix est important. Le Nigeria ne dit pas : « Toutes les données nigérianes doivent rester au Nigeria. » Il introduit une logique beaucoup plus intéressante : classifier avant de localiser. Plus la donnée présente un caractère souverain ou sensible, plus l’exigence de maîtrise de sa localisation devient forte.

Cette approche permet précisément d’éviter deux extrêmes : considérer que toute donnée doit être localisée ou, à l’inverse, considérer que la localisation physique n’a plus réellement d’importance à l’ère du Cloud. Pour en savoir plus RDV ici notre article

Héberger localement donne quelque chose de très concret à un État

Prenons deux situations.

Dans la première, un gouvernement conserve juridiquement la propriété de ses données, encadre leur utilisation et impose leur chiffrement, mais ses workloads les plus critiques sont exclusivement hébergés dans des Data Centers situés à plusieurs milliers de kilomètres de son territoire.

Dans la seconde, ces workloads sont physiquement hébergés dans le pays, mais sur une infrastructure et des technologies sur lesquelles l’État dispose de peu de contrôle contractuel, technique ou opérationnel.

Aucune de ces deux situations ne constitue une souveraineté complète. Mais elles ne créent pas non plus les mêmes dépendances.

L’hébergement domestique permet notamment de réduire certaines dépendances à la connectivité internationale pour des services consommés localement. Il facilite la construction d’architectures nationales de résilience. Il crée une demande pour des capacités Data Center et Cloud locales. Il contribue également au développement de compétences et de capacités opérationnelles dans l’écosystème national. Surtout, il donne à l’État la possibilité d’exercer davantage de contrôle sur une infrastructure présente sur son propre territoire.

Le mot important est ici possibilité. Car la localisation crée certaines conditions du contrôle. Elle ne garantit pas ce contrôle.

Un Data Center situé dans le pays peut lui-même héberger une dépendance

C’est précisément là que l’argument de la localisation doit être nuancé.

Imaginons qu’un workload gouvernemental soit physiquement hébergé à Lagos, Dakar ou Cotonou. Qui possède la plateforme Cloud ? Où le fournisseur est-il juridiquement établi ? Qui administre réellement l’environnement ? Qui contrôle les clés de chiffrement ? Une autorité étrangère peut-elle contraindre le fournisseur à transmettre certaines informations ? Le client peut-il migrer ses workloads sans dépendance technique ou contractuelle excessive ? Qui intervient lorsque la plateforme rencontre un incident majeur ? Et le service peut-il continuer à fonctionner si l’accès à certaines licences, technologies ou expertises étrangères est interrompu ?

Ces questions ne rendent pas la localisation inutile: elles montrent simplement ce qui doit venir en complément.

La doctrine Cloud de l’État français illustre bien cette logique. Pour certaines données particulièrement sensibles, la localisation européenne ne constitue pas l’unique exigence : les questions de cybersécurité et de protection contre certaines législations extraterritoriales entrent également dans l’équation.

Autrement dit, une politique de souveraineté mature ne remplace pas un critère par un autre. Elle additionne les couches de maîtrise: Localisation, Juridiction et Contrôle. Soit trois questions différentes.

Une véritable analyse de souveraineté devrait donc au minimum distinguer trois dimensions:

Où se trouve physiquement la donnée ? C’est la question de la localisation.

À quelles lois et juridictions est-elle exposée ? C’est la question juridique.

Qui peut effectivement accéder, administrer, transférer, restaurer ou supprimer la donnée et le service qui la porte ? C’est la question du contrôle.

C’est pourquoi affirmer que « la localisation des données n’est pas la souveraineté » est exact, mais incomplet. Tout comme le chiffrement à lui seul non plus n’est pas la souveraineté. Ni la propriété nationale d’un opérateur, ni une stratégie Cloud nationale ni la construction d'un Data Center national.

La souveraineté numérique résulte plutôt de la capacité à maîtriser suffisamment l’ensemble de ces dépendances, particulièrement lorsque les conditions normales d’exploitation ne sont plus réunies.

La souveraineté ne signifie pas fermer les frontières numériques

Il serait également dangereux de transformer cette réflexion en plaidoyer pour une localisation systématique des données.

Les économies africaines ont besoin de flux de données transfrontaliers: services financiers, télécommunications, recherche, IA, commerce numérique, multinationales et services publics régionaux reposent de plus en plus sur des architectures distribuées.

Le cadre de politique des données de l’Union africaine cherche d’ailleurs à concilier le développement de systèmes nationaux de gouvernance des données avec la création de conditions permettant des échanges de données sécurisés à l'échelle continentale.

La question pertinente à se poser est : quelles données doivent rester localisées, lesquelles peuvent circuler, sous quelles conditions, avec quelles protections et pour quelles raisons ?

La souveraineté devrait permettre à un État de définir les conditions dans lesquelles ses données circulent, et non conduire automatiquement à empêcher cette circulation.

La question de la souveraineté finit toujours par devenir une question d’infrastructure

Il reste enfin une réalité très concrète. Un État ne peut exiger que ses données critiques restent sur son territoire que s’il existe sur ce territoire des infrastructures capables de les accueillir dans les conditions attendues.

Existe-t-il suffisamment de capacités Data Center ? Ces infrastructures répondent elles aux niveaux de résilience et de sécurité nécessaires ? La capacité électrique est-elle suffisante ? Existe-t-il plusieurs routes de connectivité ? L’écosystème Cloud local peut-il supporter les workloads concernés ? Les capacités disponibles peuvent-elles évoluer avec la demande ? Peut-on mettre en place une véritable architecture de secours sans recréer exactement les mêmes dépendances que sur le site principal ?

Une politique de localisation qui n’est pas accompagnée d’une politique d’infrastructure risque de devenir difficile à appliquer — ou extrêmement coûteuse. C’est précisément à cet endroit que politique de la donnée et politique d’infrastructure se rencontrent.

On ne peut pas durablement parler de Cloud souverain, d’IA souveraine ou de localisation des données sans finir par parler de Data Centers, d’énergie, de connectivité, de capacité Cloud et de résilience opérationnelle.

Et l’IA rend cette question encore plus importante.

Demain, la question ne sera plus seulement de savoir où sont stockées les données, mais également où elles sont traitées, où les modèles sont entraînés ou exécutés, et où se trouvent les capacités de calcul qui soutiennent les services IA stratégiques d’un pays.

La localisation physique n’est pas l’aboutissement. Elle fait partie des fondations.

Le débat sur la souveraineté numérique devrait donc éviter deux raccourcis.

Le premier consiste à penser qu’une donnée devient automatiquement souveraine dès lors qu’elle est physiquement hébergée à l’intérieur des frontières nationales.

Le second consiste à considérer que la localisation physique serait devenue secondaire parce que la souveraineté pourrait désormais être assurée uniquement par le contrat, le chiffrement ou la gouvernance.

Aucun des deux n’est satisfaisant.

Pour les données stratégiques d’un État, la localisation physique reste une composante importante du contrôle. Mais elle doit être complétée par d’autres formes de maîtrise : juridique, technologique, opérationnelle, cyber, contractuelle et humaine. L’approche nigériane est justement intéressante parce qu’elle commence à traduire cette logique en décisions concrètes : identifier la nature de la donnée, déterminer son niveau de sensibilité, puis appliquer le modèle de résidence et d’hébergement correspondant.

Pour les États africains, la prochaine étape du débat sur la souveraineté numérique pourrait donc commencer par des questions beaucoup plus concrètes.

Où sont-elles physiquement hébergées ? Qui exploite l’infrastructure ? Sous quelle juridiction ? Qui peut y accéder ? Où sont les sauvegardes ? Que se passe-t-il lorsqu’une dépendance devient indisponible ? Et disposons nous réellement des infrastructures nationales permettant d’exercer le niveau de contrôle que nous revendiquons ?

Car la souveraineté numérique est, au fond, une capacité à faire des choix et à pouvoir les faire respecter.

Et le lieu où résident physiquement les données stratégiques d’un État fait partie de ces choix.

UN ENJEU DATA CENTER, CLOUD OU IA EN AFRIQUE?

Infrapick accompagne entreprises, institutions et investisseurs dans leurs décisions d’infrastructure : sélection de Data Centers et stratégie d’hébergement, intelligence opérationnelle, intelligence de marché et due diligence d’investissement, évaluation de la préparation à la souveraineté Cloud & IA, et consultations d’experts à la demande.

À PROPOS DE L'AUTEURE

Ingénieure en télécommunications de formation, Azimath Olayèmi Adjassa évolue depuis plus de quatorze ans dans les domaines des infrastructures numériques, des télécommunications et des environnements critiques.

Ses centres d’intérêt portent notamment sur les interactions entre connectivité, Data Centers, souveraineté numérique et intelligence artificielle.

Elle est consultante Data Center et fondatrice d’Infrapick, une structure de conseils spécialisée dans les décisions d’hébergement et l’intelligence de capacité au sein de l’écosystème africain des infrastructures numériques.

Son approche consiste à accompagner les organisations dans leurs choix d’hébergement tout en améliorant la visibilité des capacités d’infrastructure disponibles pour les opérateurs.

Son ambition est de réduire l’écart entre les besoins des utilisateurs et les réalités opérationnelles du secteur, tout en contribuant à un marché plus transparent et plus accessible, où les décisions d’investissement, d’hébergement et de développement reposent sur des données fiables et une compréhension partagée des enjeux liés aux infrastructures critiques.