« Cloud souverain », « IA de confiance », « données en France » : les labels se multiplient, leur contenu varie. Une grille objective permet de comparer les offres et de décider en fonction du niveau de sensibilité réel des données.
Trois registres à ne pas confondre
- Juridique : quel droit s'applique et qui peut accéder aux données ;
- Opérationnel : qui exploite, administre, met à jour — et peut interrompre le service ;
- Technologique : qui maîtrise le code, les composants, la capacité de reproduire ou de forker.
Une solution peut être souveraine sur un registre et dépendante sur un autre.
La grille : six critères notés de 0 à 4
| Critère | 0 | 2 | 4 |
|---|---|---|---|
| Juridiction | Loi extraterritoriale, sans protection | Entité européenne, maison mère hors UE | Entité et actionnariat européens, SecNumCloud |
| Opérations | Administration hors UE | Administration UE, support hors UE | Administration et support UE, habilités |
| Technologie | Code fermé, non auditable | Auditable par un tiers | Open source, capacité de fork |
| Données | En clair chez le fournisseur | Chiffrées, clés chez le fournisseur | Clés détenues par le client (HSM propre) |
| Réversibilité | Pas d'export, formats propriétaires | Export possible, non testé | Export testé, formats ouverts, IaC |
| Continuité | Aucun mode dégradé | Sauvegardes hors fournisseur | Mode dégradé opérationnel, multi-fournisseur |
La règle de décision
- S3 ≥ 3 sur tous les critères ;
- S2 ≥ 3 en juridiction, données et opérations ;
- S1 ≥ 2 en réversibilité et données ;
- S0 sans contrainte.
Un écart n'est pas forcément rédhibitoire : il se traite par une mesure compensatoire (chiffrement avec clés maîtrisées, sauvegarde externe) ou une dérogation motivée et limitée dans le temps.
Exiger des preuves
Chaque note doit reposer sur une pièce : attestation de qualification, organigramme capitalistique, localisation des équipes de support, rapport de test d'export. Sans preuve, la note est de 0. C'est la meilleure protection contre le souveraineté-washing.
Services associés : B-05 — évaluation de souveraineté et E-01 — grille d'évaluation pour appels d'offres.