Souveraineté des données : un sujet qui doit remonter jusqu'au Comex

Les données conditionnent en grande partie les décisions du Comex, et donc la performance de l'entreprise. La souveraineté des données ne peut plus se limiter à un choix d'hébergement technique.

Le Comex, le comité exécutif d'une entreprise, prend chacune de ses décisions à partir de données, traduites en tableaux de bord, en prévisions, en indicateurs de performance. Longtemps reléguée aux équipes techniques, la maîtrise de ces données a surtout été vue comme une ligne sur la feuille de route de la direction des systèmes d'information (DSI). Cette perception doit absolument être réinterrogée. En effet, avec la multiplication des fournisseurs Cloud et la montée en puissance de l'intelligence artificielle générative, la souveraineté des données devient un enjeu business à part entière. Elle touche pleinement à la capacité d'une entreprise à décider librement de son avenir.

Un sujet de pilotage, pas seulement d'hébergement

Au sein des organisations, le réflexe consiste souvent à renvoyer la souveraineté numérique aux équipes techniques, en leur demandant de choisir une solution d'hébergement. C'est prendre le problème à l'envers. La souveraineté concerne avant tout les données, l'essence même du business, des informations clients jusqu’aux contrats.

Si l'entreprise ne maîtrise pas ces données, elle ne maîtrise pas ses décisions. Avec l'intelligence artificielle générative, le Comex demande des analyses en langage naturel, connectées directement aux bases de données, parfois sans passer par la direction des systèmes d'information. Si ces données sont hébergées sans garanties souveraines, c'est toute la gouvernance et la confidentialité de l'entreprise qui se retrouvent exposées.

Des usages quotidiens à sécuriser

La souveraineté ne se joue pas seulement au niveau de l'infrastructure globale, elle se joue aussi dans les usages quotidiens des collaborateurs. Chacun d’entre eux doit garder à l'esprit une question simple avant de partager un document : celle de savoir où il va et qui peut y accéder. Ce défi est renforcé par le Shadow IA, l'utilisation non contrôlée d'outils d'intelligence artificielle générative grand public par les employés. Envoyer des données d'entreprise dans un outil non souverain revient à abandonner une partie de la propriété intellectuelle de l'entreprise. La souveraineté doit donc devenir un réflexe partagé, ce qui suppose un effort de formation, auprès des managers comme des équipes commerciales.

Cartographier ses risques et ses dépendances

Pour reprendre le contrôle, une organisation peut avancer par étapes. La première consiste à catégoriser ses données pour identifier celles qui sont critiques. La seconde consiste à évaluer sa dépendance aux fournisseurs, en se demandant quelle serait son alternative si l'un d'eux augmentait fortement ses tarifs. La troisième consiste à intégrer la souveraineté dès le lancement d'un projet, plutôt que de l'ajouter en fin de parcours. Il s'agit alors de choisir une architecture adaptée, interne, en Cloud public, ou en Cloud souverain. Ce dernier peut être reconnu par des référentiels comme SecNumCloud, le label de cybersécurité délivré par l'agence française de sécurité informatique, ou par les standards de l'ENISA, l'agence européenne de cybersécurité.

Un contrôle à exercer, et à faire vivre dans la durée

Savoir où sont stockées les données est une chose, savoir qui les consulte en est une autre. Mener des audits réguliers des droits d'accès, au moins une fois par an, permet de comprendre qui accède à quoi, mais aussi pourquoi. Ces audits révèlent souvent des failles à corriger. C'est là que le rôle de la direction générale devient déterminant, car la souveraineté doit être portée par un sponsor de niveau Comex, capable d'arbitrer et de débloquer les moyens nécessaires.

Il existe un biais qui consiste à penser que la souveraineté des données n'apporte que des contraintes. C'est l'inverse qui est vrai. Bien maîtriser ses données permet aux outils d'intelligence artificielle de bien fonctionner, et donne à l'entreprise la liberté de choisir les meilleurs outils du marché.