Nos données, nos services publics et une part croissante de l’économie reposent désormais sur des infrastructures numériques que nous ne contrôlons pas toujours. Mais contrairement à une idée répandue, la souveraineté numérique ne consiste pas simplement à héberger des serveurs au Québec ou au Canada.

Cette question touche aussi la juridiction applicable, la gouvernance, la dépendance envers les fournisseurs étrangers, la continuité des services essentiels et la capacité réelle d’une organisation à reprendre le contrôle de ses données.

Dans le cadre d’une discussion présentée dans Mon Carnet, Vanessa Henri, directrice générale et avocate chez Ceiba Law, Pierre Trudel, professeur émérite en droit à l’Université de Montréal, et Jean-Sébastien Guy, vice-président exécutif aux revenus chez Micrologic, ont présenté trois regards complémentaires sur cet enjeu devenu stratégique.

Pour Jean-Sébastien Guy, le numérique ne constitue plus un simple secteur économique. Il est devenu le système nerveux de l’ensemble de l’économie. Les transactions bancaires, les dossiers médicaux, les services gouvernementaux, les activités industrielles et les décisions d’affaires dépendent désormais d’infrastructures informatiques.

Lorsqu’elles cessent de fonctionner, les conséquences se font immédiatement sentir. Des avions peuvent rester au sol, des transactions financières peuvent être interrompues et certains services de santé peuvent devenir indisponibles.

Selon lui, la question centrale est donc celle du contrôle. Il compare cette dépendance à une situation où Hydro-Québec appartiendrait à une société étrangère. L’électricité pourrait toujours être produite et distribuée ici, mais les décisions sur les tarifs, la capacité et même la continuité du service pourraient être prises à l’extérieur du pays.

Cette analogie permet de comprendre pourquoi la souveraineté numérique dépasse largement la simple localisation physique des centres de données.

Pour Vanessa Henri, l’enjeu doit d’abord être abordé comme une question de stratégie et de gouvernance. Dans une entreprise, la souveraineté numérique renvoie notamment à la gestion des risques, à la résilience et à la responsabilité des dirigeants.

Qui contrôle les actifs numériques critiques? À quelles lois sont-ils soumis? L’entreprise peut-elle continuer ses activités en cas de panne, de conflit commercial ou de changement juridique? Peut-elle changer de fournisseur sans compromettre ses opérations?

Ces questions devraient, selon elle, être discutées par les conseils d’administration. Ne pas prendre de décision explicite revient malgré tout à accepter une situation par défaut.

La souveraineté numérique touche également la propriété intellectuelle, les données stratégiques et les valeurs d’une organisation. Elle ne peut donc pas être laissée uniquement aux équipes techniques.

Pierre Trudel aborde pour sa part la question du point de vue du citoyen. La souveraineté numérique représente, selon lui, la capacité d’un État démocratique à protéger les droits de sa population dans un univers où une part croissante de la vie sociale, économique et politique se déroule en ligne.

Sans contrôle suffisant sur les infrastructures et les données, un gouvernement peut avoir de la difficulté à protéger la vie privée, la liberté d’expression, les droits de propriété et les droits des personnes vulnérables.

Le problème devient particulièrement important lorsqu’une organisation canadienne confie des données à une entreprise soumise aux lois d’un autre pays. Même si les serveurs sont physiquement situés au Canada, le fournisseur peut demeurer soumis aux lois de son pays d’origine.

Pierre Trudel estime que le contexte géopolitique oblige désormais les organisations à réévaluer des risques autrefois jugés théoriques ou limités. Les autorités étrangères peuvent imposer des obligations à leurs entreprises nationales, y compris lorsque les données sont conservées à l’extérieur de leur territoire.

Dans ce contexte, la localisation des serveurs ne suffit pas à garantir que les lois québécoises ou canadiennes seront les seules à s’appliquer.

Vanessa Henri rappelle également que la Loi 25 du Québec n’est pas une loi sur la souveraineté numérique. Son objectif principal est de protéger les renseignements personnels des individus.

Elle ne protège pas directement la propriété intellectuelle, la viabilité financière d’une entreprise ou sa capacité à continuer ses opérations. La responsabilité d’évaluer ces risques revient donc aux dirigeants et aux conseils d’administration.

Selon elle, le Québec dispose encore de peu de mécanismes juridiques visant expressément la souveraineté des infrastructures numériques, particulièrement dans le secteur privé.

Elle recommande d’adopter une approche fondée sur le niveau de risque. Toutes les données n’ont pas besoin du même degré de protection ou de contrôle.

Une organisation doit d’abord identifier ses actifs les plus importants, parfois décrits comme ses « bijoux de famille ». Il peut s’agir de données médicales, de secrets commerciaux, de code informatique, de systèmes industriels ou d’informations indispensables à la continuité des opérations.

Les mesures de protection doivent ensuite être adaptées à la sensibilité de chaque actif. Certaines données peuvent être confiées à un service externe avec un niveau de risque acceptable. D’autres devraient demeurer beaucoup plus près de l’organisation, avec des contrôles renforcés et des copies de sauvegarde indépendantes.

Cette logique s’applique également aux services publics. Les besoins d’un hôpital ou d’un réseau énergétique ne sont pas comparables à ceux d’un service gouvernemental qui diffuse des renseignements déjà publics.

Jean-Sébastien Guy identifie quatre piliers permettant d’évaluer le niveau réel de souveraineté d’un service infonuagique.

Le premier est la résidence des données. Il faut déterminer où les données sont stockées, mais aussi où se trouvent les copies de sauvegarde et les systèmes de redondance.

Le deuxième est la souveraineté opérationnelle. Il faut savoir qui administre les systèmes, qui possède les accès privilégiés et sous quelles normes travaille le personnel responsable des infrastructures.

Le troisième pilier est juridique. Il concerne les lois auxquelles le fournisseur est soumis. Une entreprise étrangère peut demeurer assujettie aux obligations de son pays, même lorsque ses centres de données sont situés au Canada.

Le quatrième pilier est technologique. Une souveraineté technologique complète demeure difficile à atteindre puisque les chaînes d’approvisionnement informatiques sont mondiales. Les serveurs, les puces, les logiciels et les équipements réseau proviennent de plusieurs pays.

L’objectif réaliste consiste donc à conserver une maîtrise suffisante des clés de chiffrement, des accès, de l’architecture et de la portabilité des données.

Le chiffrement reste essentiel, mais il ne règle pas à lui seul la question de la souveraineté. Il protège la confidentialité des données, sans nécessairement garantir l’autonomie opérationnelle ou juridique de l’organisation.

Une entreprise peut posséder des données parfaitement chiffrées tout en demeurant entièrement dépendante d’un fournisseur pour y accéder ou pour faire fonctionner ses systèmes.

Cette dépendance devient encore plus importante avec l’intelligence artificielle. Certaines organisations utilisent des modèles directement intégrés à une plateforme infonuagique. Elles peuvent alors devenir dépendantes à la fois du fournisseur de stockage, du modèle d’IA, du prix des jetons et des outils nécessaires pour exploiter leurs propres données.

Vanessa Henri constate que plusieurs entreprises commencent à s’interroger sur cette concentration des risques. Certaines découvrent que leurs besoins pourraient être satisfaits par de plus petits modèles, des modèles locaux ou des solutions développées dans d’autres juridictions.

La souveraineté ne signifie donc pas nécessairement tout construire localement. Elle peut aussi passer par la diversification des fournisseurs, l’interopérabilité et la capacité de transférer rapidement ses données et ses applications.

Les trois invités s’entendent sur une approche progressive.

Une organisation ne peut pas remplacer l’ensemble de ses systèmes du jour au lendemain. Elle peut toutefois commencer par inventorier ses actifs numériques les plus critiques et se poser trois questions simples.

Où se trouvent les données? À quelles lois sont-elles soumises? L’organisation conserverait-elle réellement le contrôle en cas de panne, de conflit ou d’interruption du fournisseur?

Lorsqu’une réponse n’est pas claire, documentée et défendable devant un conseil d’administration, l’organisation vient probablement d’identifier son premier chantier.

Jean-Sébastien Guy suggère notamment de créer une copie indépendante des données les plus critiques dans une infrastructure souveraine, sans nécessairement modifier immédiatement tous les systèmes existants.

Pierre Trudel estime de son côté que les gouvernements devront adopter des exigences plus strictes pour les organismes publics et parapublics. Il propose également de développer des alliances entre pays de taille moyenne afin de mutualiser certaines infrastructures, compétences et solutions.

Cette coopération permettrait de réduire la dépendance envers un petit nombre de géants technologiques.

Vanessa Henri insiste finalement sur le rôle des dirigeants. Leur responsabilité n’est pas seulement de gérer les opérations quotidiennes, mais de préparer l’organisation pour les cinq ou dix prochaines années.

Ils doivent examiner plusieurs scénarios, tester des solutions de rechange et demander des preuves avant d’accepter qu’une migration serait impossible ou trop coûteuse.

Dans cinq ans, les progrès du Québec et du Canada pourraient se mesurer à leur capacité d’offrir de véritables choix aux organisations.

La souveraineté numérique ne signifie pas l’absence totale de dépendances. Dans une économie ouverte, cette indépendance complète serait difficile à atteindre. Le véritable objectif consiste plutôt à éviter qu’un seul fournisseur, un seul pays ou une seule infrastructure puisse bloquer l’ensemble d’un service essentiel.

Le progrès se mesurera également à la capacité des gouvernements d’appliquer leurs propres lois aux grandes entreprises technologiques, sans devoir constamment se demander si celles-ci accepteront de s’y conformer.

Enfin, le développement d’infrastructures locales pourrait contribuer à créer des emplois spécialisés, soutenir l’innovation et conserver davantage de propriété intellectuelle et de capitaux au pays.

La souveraineté numérique n’est donc pas uniquement une question de serveurs, de nuage informatique ou de cybersécurité. Elle concerne la capacité stratégique du Québec et du Canada à protéger leurs citoyens, leurs entreprises, leurs services publics et leur économie dans un monde devenu profondément dépendant du numérique.

Source :

** Micrologic est le partenaire estival de Mon Carnet.