La souveraineté numérique est une asymptote

La souveraineté numérique consiste à maîtriser ses dépendances stratégiques, sans jamais atteindre l'autonomie absolue.

La souveraineté numérique est souvent appréhendée comme une abstraction géopolitique, un objet de colloques, de sommets internationaux ou de rivalités entre puissances. C'est pourtant ailleurs qu'elle se manifeste réellement : dans l'ordinaire des décisions techniques.

Pour un dirigeant, un architecte ou un product manager, elle n'apparaît presque jamais sous les traits solennels de la stratégie. Lorsqu'une dépendance supposée bénigne se transforme en vulnérabilité. Lorsqu'un changement réglementaire, une injonction juridique ou une évolution des conditions d'un fournisseur oblige à reconsidérer des choix effectués plusieurs années auparavant. Le réel finit toujours par présenter la facture.

L'Europe en offre aujourd'hui l'illustration la plus frappante. L'EHDS, l'AI Act, DORA, NIS2 ou encore le Cyber Resilience Act ne ressemblent plus vraiment à des textes de conformité. Ils se comportent déjà comme des contraintes d'architecture produit. Chacun impose ses calendriers, ses responsabilités, ses délais de notification et parfois ses sanctions. Chacun dessine progressivement une nouvelle géographie du possible numérique.

Prenons l'AI Act. Présenté comme le premier cadre juridique complet au monde consacré à l'intelligence artificielle, il concerne l'ensemble des 27 États membres de l'Union européenne. Certaines pratiques sont interdites depuis le 2 février 2025. Les obligations visant les modèles d'IA à usage général sont entrées en application le 2 août 2025. Les exigences de transparence s'imposent depuis août 2026 et les systèmes à haut risque entreront progressivement dans le cœur du dispositif jusqu'en 2028. Les chiffres parlent d'eux-mêmes : certaines infractions peuvent être sanctionnées jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel de l'entreprise. À ce niveau, nous ne parlons d’ores et déjà de stratégie.

L'EHDS procède de la même logique. Publié au Journal officiel européen le 5 mars 2025 et entré en vigueur quelques semaines plus tard, il organise progressivement la circulation des données de santé à l'échelle continentale. Les premières obligations majeures apparaîtront en 2029 pour les résumés patients, les prescriptions électroniques ou les délivrances de médicaments, avant un élargissement aux images médicales, résultats d'examens ou données génétiques à partir de 2031. Autrement dit, des pans entiers de l'innovation en santé sont désormais préconfigurés par un cadre politique européen avant même d'être conçus par les entreprises. Lawrence Lessig l'avait formulé avec une intuition remarquable : Code is Law.

Aujourd'hui, le mouvement semble s'inverser. La loi devient architecture. Le droit se sédimente dans les infrastructures. Le politique descend dans les couches basses du système. Une région cloud, une clé de chiffrement ou une politique de résidence des données ne constituent plus seulement des paramètres techniques. Ils deviennent des instruments de gouvernementalité. Cette évolution reflète une réalité économique massive. Le marché européen du cloud représentait environ 61 milliards d'euros en 2024, soit près de six fois sa taille de 2017. Pourtant, durant la même période, la part de marché des fournisseurs européens est passée d'environ 29 % à 15 %, avant de se stabiliser autour de ce niveau. Dans le même temps, AWS, Microsoft et Google contrôlent ensemble près de 70 % du marché européen.

Voilà peut-être l'un des paradoxes centraux de notre époque. La croissance ne signifie pas nécessairement la maîtrise. L'expansion ne garantit pas l'autonomie. On peut prospérer économiquement tout en approfondissant ses dépendances stratégiques. La souveraineté numérique naît précisément de cette prise de conscience. Derrière chaque architecture se cache une géographie du pouvoir. Derrière chaque dépendance technique se dissimule une asymétrie de juridiction. Car la résidence des données ne constitue qu'une dimension de la souveraineté. Une donnée peut être hébergée dans l'Union européenne tout en demeurant soumise, indirectement, à des mécanismes juridiques ou opérationnels qui échappent à l'Europe. La question n'est donc plus seulement : "Où sont mes données ?"

La véritable question devient : Qui détient les clés ? Qui peut accéder aux systèmes ? Qui contrôle les conditions de continuité ? Et combien coûtera réellement la sortie ?

Toute revue sérieuse de souveraineté devrait d'ailleurs soumettre son infrastructure à trois exercices simples : qu'arrive-t-il lors d'une injonction judiciaire ? lors d'une panne du fournisseur ? ou lors d'une sortie forcée de la plateforme ? Cette réflexion irrigue désormais l'ensemble du corpus réglementaire européen.

DORA, applicable depuis janvier 2025, concerne plus de 22 000 entités financières européennes et impose notamment une surveillance rigoureuse des dépendances aux prestataires ICT critiques. Certaines sanctions applicables à ces prestataires peuvent même atteindre 1 % du chiffre d'affaires quotidien moyen mondial pendant une période pouvant aller jusqu'à six mois.

NIS2 poursuit la même logique à l'échelle de 18 secteurs stratégiques. Certaines organisations doivent désormais signaler un incident significatif dans les 24 heures, transmettre un rapport détaillé sous 72 heures puis un rapport complet sous environ un mois.

Une vulnérabilité activement exploitée peut donc aujourd'hui déclencher des obligations réglementaires quasiment au rythme d'un sprint produit. Le temps du droit rejoint le temps de l'ingénierie. C'est probablement là que réside le véritable changement civilisationnel. Le sociologue Ulrich Beck expliquait que les sociétés modernes produisent elles-mêmes leurs propres risques. Plus nos infrastructures gagnent en puissance, plus elles génèrent des vulnérabilités systémiques. La souveraineté numérique est une réponse à cette condition. Mais elle ne doit pas être confondue avec l'autarcie.

L'internet a été conçu pour l'interconnexion. Contrôlez vos données et vous dépendrez toujours d'un cloud. Contrôlez votre cloud et vous dépendrez des semi-conducteurs. Produisez les semi-conducteurs et vous dépendrez encore des logiciels permettant de les concevoir. Chaque dépendance résorbée révèle une dépendance plus profonde. Comme un horizon qui recule à mesure que l'on avance. C'est pourquoi la souveraineté numérique ressemble davantage à une asymptote qu'à une destination.

Les dirigeants semblent d'ailleurs en avoir pleinement conscience. Une étude récente montre que 93 % d'entre eux discutent désormais de souveraineté numérique au niveau du conseil d'administration. Plus révélateur encore : 59 % considèrent qu'une indépendance numérique complète est irréaliste, tandis que près des 2/3 définissent désormais la souveraineté comme une interdépendance résiliente plutôt que comme une autonomie intégrale. Cette formulation est probablement la plus juste. La souveraineté n'est pas la suppression des dépendances. Elle est l'art de choisir ses dépendances. Elle consiste à distinguer l'interdépendance de la sujétion. À réduire les points de fragilité avant qu'ils ne deviennent des points de rupture. À transformer un archipel de dépendances subies en un système de dépendances comprises, cartographiées et gouvernées.

Au fond, la véritable question n'est pas de savoir si nous sommes souverains. Aucun État, aucune entreprise, aucune plateforme ne l'est complètement. La véritable question est bien plus inconfortable :

Quelle dépendance de votre stack demeure aujourd'hui dans votre angle mort stratégique ?

Parce que les architectures numériques ressemblent davantage aux infrastructures impériales qu'aux lignes de code que nous imaginons. Elles distribuent des dépendances, organisent des rapports de force et façonnent discrètement les marges de manœuvre futures. Et c'est souvent lorsque tout semble fonctionner que se logent les fragilités les plus décisives.

Bibliographie indicative

Institutions européennes et textes réglementaires

Commission européenne, AI Act : premier cadre réglementaire complet sur l’intelligence artificielle dans l’Union européenne, portail Shaping Europe’s Digital Future.
Commission européenne, European Health Data Space (EHDS) : vers un espace européen des données de santé, Direction générale de la Santé.
Parlement européen et Conseil de l’Union européenne, Règlement (UE) 2025/327 relatif à l’European Health Data Space.
Parlement européen et Conseil de l’Union européenne, Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA).
Parlement européen et Conseil de l’Union européenne, Directive (UE) 2022/2555 dite NIS2 sur la cybersécurité des réseaux et systèmes d’information.
Agence de l’Union européenne pour la cybersécurité (ENISA) et Commission européenne, documentation relative à la mise en œuvre de NIS2.

Organismes de supervision et régulation

Autorité de contrôle prudentiel et de résolution (ACPR), Digital Operational Resilience Act (DORA) : cadre de supervision et exigences applicables au secteur financier.
Autorité bancaire européenne (EBA), Digital Operational Resilience Regulation (DORA) : règles relatives à la gestion des risques ICT et des fournisseurs tiers.
Autorité européenne des assurances et des pensions professionnelles (EIOPA), Digital Operational Resilience Act (DORA).

Références académiques et intellectuelles

Lawrence Lessig, Code and Other Laws of Cyberspace, Basic Books, 1999. La formule devenue canonique : "Code is Law".
Langdon Winner, The Whale and the Reactor: A Search for Limits in an Age of High Technology, University of Chicago Press, 1986. Notamment l’essai Do Artifacts Have Politics ?
Ulrich Beck, La Société du risque. Sur la voie d’une autre modernité, Aubier, 2001 (éd. française).
Shoshana Zuboff, The Age of Surveillance Capitalism. The Fight for a Human Future at the New Frontier of Power, PublicAffairs, 2019.
Martin Heidegger, La Question de la technique, in Essais et conférences, Gallimard, 1958.
Bruno Latour, Aramis ou l’amour des techniques, La Découverte, 1992.
Régis Debray, Médiologie générale, Gallimard, 1991.
Raymond Aron, Paix et guerre entre les nations, Calmann-Lévy, 1962.

Rapports et analyses sur la souveraineté numérique

EIT Digital, European Digital Infrastructure and Data Sovereignty : A Policy Perspective. Analyse des infrastructures numériques comme facteur de souveraineté économique et stratégique européenne.
Commission européenne, documentation sur la stratégie européenne des données et les espaces sectoriels de données.
Analyses récentes sur la distinction entre data residency, data sovereignty et juridiction numérique, notamment autour des enjeux liés au CLOUD Act et aux fournisseurs hyperscale.