Souveraineté

Les trois dépendances

La première dépendance est technique : si l'outil ne fonctionne que chez un fournisseur, une hausse de prix, un changement de conditions ou une panne interrompt l'activité. La deuxième est juridique : les données confiées à une société soumise à un droit étranger peuvent être réclamées par des autorités qui ne relèvent pas du RGPD. La troisième est économique : un modèle imposé devient un coût fixe que l'entreprise n'arbitre plus, faute d'alternative évaluée à temps. Aucune de ces dépendances ne se voit dans une démonstration commerciale.

Ces trois dépendances ne se recouvrent pas. On peut héberger en Europe un modèle américain, ou faire tourner en local un modèle dont les poids restent sous licence restrictive. La souveraineté n'est donc pas un état binaire mais un curseur, que l'on règle selon la sensibilité des données et la criticité du service rendu. Un même fournisseur peut convenir pour un usage interne anodin et être écarté pour un dossier client nominatif.

Les leviers concrets

Le premier levier est l'hébergement : choisir un fournisseur établi en Europe, avec des garanties contractuelles sur la localisation et l'accès. Certains référentiels publics, comme SecNumCloud en France ou la certification HDS pour les données de santé, donnent des repères vérifiables. Le deuxième levier est le modèle : les poids ouverts, exécutés sur votre infrastructure, réduisent la dépendance sans la supprimer, car l'entraînement initial reste hors de portée d'une PME. Un modèle ouvert ne dispense donc pas de vérifier qui a construit les données et sous quel régime juridique elles ont été collectées.

Le troisième levier est organisationnel : chiffrement des données sensibles, cloisonnement des usages, journalisation des accès, clauses de réversibilité et export des données. Une entreprise qui peut changer de fournisseur en quelques semaines, sans perdre ses historiques ni ses intégrations, dispose d'une souveraineté réelle. Celle qui possède un contrat mais aucun plan de sortie possède surtout une illusion de contrôle, entretenue par la confiance dans un prestataire. La réversibilité se teste avant la signature, en demandant un export complet et le format des historiques conservés.

Le juste niveau d'exigence

Toutes les données ne méritent pas le même traitement. Un brouillon de communication interne peut passer par un service étranger sans conséquence majeure. Un dossier client, un marché public, une donnée de santé ou un secret industriel appellent un hébergement maîtrisé et des engagements écrits. La classification des données précède donc le choix de l'outil, et non l'inverse, même si la pression commerciale pousse souvent à commencer par la démonstration la plus séduisante.

Pour une PME antillaise, la question se pose souvent à l'occasion d'un appel d'offres ou d'une demande de client grand compte. Répondre suppose de savoir citer l'hébergement, le droit applicable et les mesures de sécurité, avec des pièces vérifiables. Cette exigence a un coût, mais elle se prépare : elle devient un argument commercial plutôt qu'une contrainte subie au dernier moment, quand le dossier est déjà presque gagné. Les clients grands comptes demandent de plus en plus ces éléments dans leurs questionnaires de sécurité fournisseur.