Souveraineté numérique : trois chantiers IT sous la loupe — et les questions que les RSSI n'osent pas poser

# Souveraineté numérique : trois chantiers IT sous la loupe — et les questions que les RSSI n'osent pas poser

En 2026, la souveraineté numérique n'est plus un slogan de conférence. Elle est devenue une exigence contractuelle dans certains secteurs régulés, un critère d'audit dans d'autres, et — depuis que plusieurs DSI français ont été convoqués pour expliquer leur exposition aux clauses CLOUD Act de leurs prestataires américains — un sujet que les directions générales ne laissent plus aux seuls techniciens.

Pourtant, sur le terrain, la réalité est moins propre que les discours. Les équipes IT continuent de travailler quotidiennement avec des outils dont elles ne maîtrisent ni les flux de données, ni les conditions générales, ni les mises à jour unilatérales. Les RSSI réclament une intervention au niveau exécutif ? Bien. Mais avant d'attendre une réponse présidentielle, il serait utile de regarder froidement ce que les trois chantiers prioritaires impliquent concrètement pour les équipes — et de comparer les approches disponibles sans se laisser aveugler par les argumentaires marketing.

Trois chantiers ont émergé comme incontournables dans les discussions entre RSSI de PME et ETI européennes : la gestion des identités et des accès, l'outillage collaboratif du quotidien, et l'observabilité du SI. Pour chacun, deux approches s'affrontent — et méritent d'être disséquées sans complaisance.

Chantier 1 — Gestion des identités : le talon d'Achille qu'on sous-estime

Approche A : IAM hébergé chez l'acteur américain dominant

L'offre dominante US en matière d'IAM (Identity and Access Management) s'est imposée dans les SI européens par capillarité : elle était déjà là, intégrée à la suite bureautique, au MDM, aux outils de développement. Sa force, c'est précisément son ubiquité. Sa faiblesse structurelle, c'est la même chose.

Architecture : l'annuaire est hébergé dans des régions cloud dont la localisation physique peut être certifiée, mais dont la gouvernance juridique reste américaine. Le CLOUD Act ne se préoccupe pas de savoir si vos données sont à Dublin ou à Francfort.

Intégration : native avec l'écosystème de l'éditeur, ce qui crée une dépendance en cascade. Chaque nouveau service IT que vous connectez renforce le couplage. Le jour où vous décidez de migrer, vous découplez non pas un outil, mais une infrastructure entière.

Gouvernance : les politiques de sécurité évoluent selon le calendrier de l'éditeur, avec des changements comportementaux imposés — et parfois des fonctionnalités retirées ou restructurées sans préavis suffisant. Les équipes IT le savent : combien de fois ont-elles dû s'adapter en urgence à une modification de l'interface d'administration ?

Approche B : IAM open source auto-hébergé (ex. Keycloak sur infrastructure européenne)

Keycloak, maintenu par Red Hat (lui-même filiale d'IBM, nuance à ne pas ignorer), reste l'une des rares solutions IAM open source matures disponibles pour des déploiements on-premise ou sur cloud souverain certifié SecNumCloud.

Architecture : le code est auditable. L'hébergement est maîtrisé. La localisation des données n'est pas soumise à une juridiction étrangère si l'infrastructure est européenne. C'est le fondement minimal d'une souveraineté réelle — pas une garantie absolue, mais un point de départ honnête.

Intégration : là où le bât blesse. Keycloak s'intègre bien dans des environnements DevOps standardisés (OIDC, SAML, LDAP), mais la courbe d'apprentissage est réelle. Les équipes IT de PME sans expertise IAM dédiée peuvent se retrouver à gérer une complexité opérationnelle non négligeable. Les connecteurs vers des applications métier legacy nécessitent souvent des développements spécifiques.

Gouvernance : c'est là que la question dérange. Qui, dans votre équipe, est réellement capable de maintenir cette infrastructure dans le temps ? La souveraineté technique a un coût en compétences internes. Sans roadmap claire de recrutement ou de formation, l'auto-hébergement peut vite devenir un risque opérationnel déguisé en vertu politique.

Chantier 2 — Outillage collaboratif : le terrain où l'illusion souverainiste est la plus répandue

Approche A : Suite collaborative hébergée sur cloud certifié par l'acteur américain

Plusieurs acteurs américains proposent désormais des offres « souveraines » en partenariat avec des hébergeurs européens. Le principe : l'infrastructure est européenne, les clés de chiffrement sont gérées localement, et l'éditeur américain s'engage contractuellement à ne pas accéder aux données.

C'est séduisant. C'est aussi, pour beaucoup de juristes spécialisés, insuffisant.

Architecture : les métadonnées (qui communique avec qui, à quelle fréquence, depuis quel terminal) restent souvent traitées par des services centraux de l'éditeur. Le contenu est peut-être chiffré, mais l'enveloppe, elle, parle.

Intégration : excellente, par définition. C'est le principal argument de vente. La productivité des équipes IT elles-mêmes en bénéficie — administration centralisée, tableaux de bord unifiés, automatisations natives. C'est confortable. Et c'est exactement ce qui rend la migration future difficile à justifier politiquement en interne.

Gouvernance : les conditions contractuelles de ces offres « souveraines » ont évolué plusieurs fois depuis leur lancement. Quelles garanties ont réellement les RSSI que les engagements actuels seront maintenus dans trois ans ?

Approche B : Suite collaborative européenne native (ex. Nextcloud sur infrastructure SecNumCloud)

Nextcloud, développé par une entreprise allemande, propose une suite collaborative (fichiers, agenda, visioconférence, messagerie) déployable sur des infrastructures certifiées SecNumCloud en France ou équivalentes en Allemagne, aux Pays-Bas ou en Suède.

Architecture : souveraineté de bout en bout possible — code open source, hébergement maîtrisé, pas de dépendance à un service tiers américain pour le fonctionnement nominal. C'est une différence architecturale fondamentale, pas cosmétique.

Intégration : c'est le chantier réel pour les équipes IT. Nextcloud s'intègre dans un SI existant, mais demande un effort de configuration et de test que les suites américaines ont éliminé depuis des années. La visioconférence intégrée (via Jitsi ou Talk) tient la route pour des usages courants, mais certains cas d'usage avancés (webinaires massifs, intégration téléphonie) nécessitent des compléments.

Gouvernance : l'éditeur publie une roadmap publique, le code est auditable, et les instances peuvent être mises à jour selon le calendrier choisi par l'organisation — pas celui imposé par l'éditeur. C'est une liberté opérationnelle réelle. Mais elle suppose une équipe IT qui accepte d'en assumer la charge.

Chantier 3 — Observabilité du SI : là où la dépendance est la plus invisible

L'observabilité est peut-être le chantier le plus sous-estimé de la souveraineté numérique. Les outils de monitoring, de logging et de traçabilité collectent en permanence des données sur le comportement interne du SI. Qui traite ces données ? Où sont-elles agrégées ?

| Critère | Plateformes d'observabilité US (SaaS) | Plateformes open source auto-hébergées (ex. Grafana Stack sur infra EU) |

|---|---|---|

| Architecture | Agents déployés localement, données envoyées vers cloud US | Collecte et stockage locaux, pas de flux sortant par défaut |

| Intégration | Native avec les principaux clouds et outils DevOps | Requiert configuration, mais supporte les standards ouverts (OpenTelemetry) |

| Gouvernance des données | Soumise aux CGU de l'éditeur, évolutives | Maîtrisée intégralement par l'organisation |

| Charge opérationnelle IT | Faible à l'usage, forte en cas de migration | Forte à l'initialisation, stabilisée ensuite si les compétences sont internalisées |

La question qui dérange : combien de RSSI savent précisément quelles données de comportement interne leur outil de monitoring envoie vers les serveurs de l'éditeur américain ? La réponse honnête, dans la majorité des PME/ETI interrogées, est : personne n'a vérifié.

Ce que les équipes IT ont réellement à gagner — et à perdre

La souveraineté numérique n'est pas gratuite. Elle a un coût en compétences, en temps de configuration, en friction initiale. Quiconque vous dit le contraire vous vend quelque chose.

Mais la dépendance non maîtrisée a aussi un coût — moins visible, étalé dans le temps, et qui se matérialise au pire moment : lors d'une hausse tarifaire unilatérale, d'une modification contractuelle, d'un incident de sécurité géré selon les priorités de l'éditeur américain, pas les vôtres.

Les RSSI qui réclament une intervention politique au niveau présidentiel ont raison sur le fond : il manque un cadre européen contraignant, des mécanismes d'incitation budgétaire, et une politique d'achats publics cohérente. Mais en attendant, les décisions se prennent dans les salles de réunion des DSI, ligne par ligne, outil par outil.

La vraie question pour 2026 n'est pas de savoir si vos outils sont « souverains » au sens marketing du terme. C'est de savoir si vous êtes en mesure de répondre, sans hésitation, à cette question : si votre prestataire américain change ses conditions demain matin, combien de temps vous faut-il pour fonctionner sans lui ?

Si vous ne connaissez pas la réponse, vous avez votre feuille de route.