Y voir clair dans la jungle des données du cloud et de l'IA
La maîtrise des données – et, par conséquent, la souveraineté des données – n’est pas un objectif que les organisations atteignent une fois pour toutes avant de l’oublier. Il s’agit d’une responsabilité permanente. Les puissantes plateformes SaaS (Software-as-a-Service) et les applications d’intelligence artificielle rendent cette responsabilité plus complexe que jamais. Malgré tout, les organismes du secteur public peuvent conserver le contrôle, instaurer la confiance et respecter leurs obligations en matière de conformité.
Le modèle SaaS (Software-as-a-Service) offre évolutivité, flexibilité et un investissement initial réduit. L’intelligence artificielle (IA) permet d’analyser, d’organiser et de générer des informations, aidant ainsi les organisations à obtenir des informations précieuses tout en réduisant la charge de travail manuel. Au cœur de ces deux technologies se trouvent les données, qu’il s’agisse d’informations sensibles sur les citoyens, de données publiques ou de dossiers médicaux dans le secteur de la santé.
La question centrale est la suivante : qui conserve le contrôle une fois que ces données quittent l'infrastructure propre à une organisation ? Qui est responsable lorsque des fournisseurs de SaaS ou des modèles d'IA traitent des informations dans des environnements de cloud public ? Et, ce qui est peut-être le plus important, qui est chargé d'assurer la protection de ces données : le client ou le prestataire de services ?
Dans la pratique, la réponse n’est ni simple ni absolue. Elle dépend de la manière dont les responsabilités sont définies, dont les services sont fournis et dont les contrôles de sécurité sont mis en œuvre. Dans un contexte géopolitique de plus en plus complexe et face au débat croissant autour de la souveraineté des données en Europe, les organismes du secteur public doivent bien comprendre où commence et où s’arrête leur responsabilité – et comment ils peuvent garder le contrôle de leurs données.
Qu'est-ce que le contrôle des données ?
Le contrôle des données désigne l'autorité, la responsabilité et les pouvoirs de décision associés aux données tout au long de leur cycle de vie. Il ne porte pas seulement sur la question juridique de la propriété, mais surtout sur l'identité de la personne qui contrôle l'accès, l'utilisation et la protection des données. Dans la pratique, cela nécessite des cadres de gouvernance clairs, des dispositions contractuelles bien définies et des contrôles techniques adaptés.
Le contrôle des données est donc un concept opérationnel, tandis que la souveraineté des données relève d’un principe stratégique plus large. La souveraineté des données signifie que les organisations conservent un contrôle effectif sur leurs données, quel que soit le lieu où celles-ci sont physiquement stockées ou traitées. En Allemagne, la souveraineté technologique et numérique est actuellement renforcée grâce à des initiatives telles que l’« Agenda high-tech allemand » (HTAD) et le programme de modernisation du gouvernement fédéral pour l’administration publique.
Le nuage brouille l'image
Que ce soit dans l'administration publique, les centres d'appels ou tout autre environnement traitant des informations sensibles, les applications SaaS offrent un accès flexible et peuvent s'adapter rapidement pour répondre à l'évolution de la demande. Elles garantissent une innovation continue grâce à des mises à jour régulières et nécessitent généralement un investissement initial nettement inférieur à celui des solutions traditionnelles sur site.
Parallèlement, le transfert des données vers le cloud peut rendre moins évident de déterminer qui détient en fin de compte le contrôle de ces informations. Il en va de même pour les applications d’IA, qui traitent souvent des données dans des environnements de cloud public. Si l’IA permet de tirer des enseignements précieux à partir de grands volumes d’informations, elle impose également des exigences accrues en matière de transparence, de gouvernance et de règles clairement définies pour le traitement et la conservation des données.
Les organismes du secteur public doivent donc mettre en place des politiques claires régissant l'utilisation de l'IA, les données qu'elle est autorisée à traiter et la durée de conservation de ces données.
Les pouvoirs publics allemands et les collectivités locales sont confrontés à un dilemme
Les organismes du secteur public sont confrontés à des défis particuliers en matière de contrôle et de souveraineté des données. Bon nombre des principaux fournisseurs de technologies actuels ont leur siège social hors d’Europe. Par conséquent, l’utilisation de services de cloud public proposés par des hyperscalers tels qu’AWS, Microsoft Azure et Google Cloud soulève souvent des questions complexes concernant la souveraineté des données européennes, la conformité réglementaire et la juridiction applicable.
Dans le même temps, les fournisseurs européens de cloud souverain n’offrent pas toujours la même gamme de services, la même envergure mondiale ni la même compétitivité commerciale que les plus grands hyperscalers. Les organismes du secteur public doivent donc trouver un juste équilibre entre les capacités technologiques, les exigences réglementaires et le niveau de contrôle qu’ils souhaitent conserver sur leurs données.
La transparence est le point de départ
Dans ce contexte complexe, la première étape pour parvenir à un contrôle efficace des données consiste à comprendre comment, où et par qui celles-ci sont stockées et traitées.
En principe, les organismes du secteur public conservent le contrôle de leurs données. Dans la pratique, cependant, les données sont souvent traitées sur plusieurs plateformes SaaS, services d’IA et environnements cloud, ce qui rend la situation bien plus complexe. L'écosystème qui en résulte, composé de fournisseurs de logiciels, de plateformes cloud et, dans certains cas, de prestataires de services tiers supplémentaires, peut être difficile à superviser. À mesure que la complexité augmente, il devient de plus en plus difficile de définir clairement les responsabilités, notamment en matière de sécurité des données et de conformité réglementaire.
Responsabilité partagée : qui est responsable ?
Le modèle de responsabilité partagée est une approche largement adoptée. Dans le cadre de ce modèle, le fournisseur est chargé d'assurer la sécurité de l'infrastructure sous-jacente, y compris la plateforme cloud et l'application elle-même. Les organismes du secteur public restent toutefois responsables de domaines tels que la gestion des identités et des accès, la configuration des données ainsi que la sécurité des intégrations et des interfaces.
Cette répartition des responsabilités est souvent mal comprise. Si une erreur de configuration entraîne la divulgation de données sensibles, la responsabilité incombera généralement à l’organisme du secteur public plutôt qu’au fournisseur. D’un point de vue réglementaire, la question de savoir si l’incident trouve son origine chez le fournisseur de services cloud ou chez le propriétaire du service revêt souvent une importance secondaire. La question essentielle est de savoir si chaque partie a rempli ses obligations respectives en matière de sécurité. Lorsqu’un fournisseur a manqué à ses propres responsabilités, il peut lui aussi faire l’objet d’un contrôle réglementaire.
La gestion des données relève-t-elle d'un projet ou d'un processus continu ?
Les exigences réglementaires ont clairement placé la protection des données – et en particulier celle des informations sensibles – au cœur des priorités. Cependant, il ne s'agit pas là d'un enjeu qui puisse être traité dans le cadre d'un projet ponctuel. Les plateformes SaaS et les applications d'IA évoluent en permanence, introduisant de nouvelles fonctionnalités et de nouveaux risques.
Par conséquent, la maîtrise des données et la conformité doivent être considérées comme des responsabilités permanentes plutôt que comme des initiatives ponctuelles. Les organisations capables de démontrer clairement qu’elles maîtrisent leurs données renforcent la confiance des autorités de régulation, de leurs partenaires et des citoyens, tout en réduisant les risques à mesure que les technologies SaaS et d’IA continuent d’évoluer.
Que peuvent faire dès maintenant les pouvoirs publics et les collectivités locales ?
Les organismes du secteur public devraient mettre en place un contrôle efficace des données en combinant des garanties contractuelles, la transparence et des contrôles techniques.
Dans la pratique, cela commence par une bonne compréhension des contrats et des responsabilités. Qui est le responsable du traitement des données, et qui est le sous-traitant ? Quels sous-traitants et fournisseurs de services cloud le fournisseur de SaaS ou d’IA utilise-t-il ? Comment le traitement, la conservation et la suppression des données sont-ils gérés, notamment à l’expiration d’un contrat ?
Par ailleurs, les organisations doivent disposer d'une cartographie exhaustive de leurs flux de données. Elles doivent savoir où les données sont créées, où elles sont stockées, traitées et répliquées, quelles fonctions d'IA ont accès à quelles catégories d'informations, et quels systèmes et applications tiers sont intégrés à leur environnement.
Mise en œuvre des politiques internes
Sur cette base, les organismes du secteur public devraient mettre en place des politiques claires en matière de sécurité et de gouvernance de l'IA. Celles-ci devraient définir qui est autorisé à accéder à quelles données et comment cet accès est protégé, par exemple grâce à une gestion centralisée des identités, à l'authentification unique (SSO) et à l'authentification multifactorielle (MFA).
Tout aussi importants sont la définition claire des rôles et des autorisations, la mise en place d'un journal d'audit complet, le chiffrement des données au repos et en transit, ainsi que des contrôles techniques capables d'identifier et de masquer automatiquement les informations sensibles lorsque cela s'avère nécessaire.
Le cas échéant, les logiciels libres peuvent également présenter des avantages, car leur code source est accessible au public, ce qui permet un examen indépendant et une évaluation de la sécurité. Toutefois, cela doit toujours s'inscrire dans le cadre d'une stratégie plus large en matière de sécurité et de gouvernance, plutôt que d'être considéré comme une mesure de sécurité à part entière.
Par ailleurs, les organisations doivent définir des politiques claires en matière de conservation et de suppression des données afin de garantir que les informations ne soient conservées que pendant la durée nécessaire. Les systèmes d'IA nécessitent également des garde-fous bien définis qui précisent quelles données peuvent être traitées, quels cas d'utilisation sont autorisés et comment les données d'entrée, les résultats et les décisions de l'IA sont enregistrés, documentés et conservés.
Travailler ensemble vers un objectif commun
La gestion des données doit être intégrée à l'ensemble de l'organisation. Dès que certains services commencent à adopter de manière autonome des solutions SaaS ou d'IA, des systèmes isolés, dotés de leurs propres politiques en matière de données, autorisations et règles de conservation, peuvent rapidement voir le jour, créant ainsi des angles morts dans la gouvernance et affaiblissant le contrôle exercé par l'organisation.
Les équipes informatiques, de sécurité et de gouvernance doivent donc être associées dès le début chaque fois que de nouvelles exigences sont définies, que des prestataires sont sélectionnés, que des zones de déploiement sont choisies ou que des capacités d'IA sont mises en place.
Parallèlement, les organismes du secteur public ont besoin de rôles et de responsabilités clairement définis. Qui approuve les nouveaux cas d’utilisation de l’IA ? Qui examine les mises à jour logicielles et les nouvelles versions ? Qui est responsable des audits, des preuves de conformité et de la gouvernance au quotidien ? En fin de compte, un contrôle efficace des données ne peut être assuré que si chaque service respecte le même cadre de gouvernance pour l’ensemble des systèmes et des applications.
Quelle est la différence entre le contrôle des données et la souveraineté des données ?
Alors que le contrôle des données est un concept pratique et opérationnel, la souveraineté des données représente un objectif stratégique plus large, tant au niveau politique qu'organisationnel. L'objectif est de garantir que les données sensibles restent sous le contrôle juridique et opérationnel de l'organisation qui en est responsable, quel que soit le lieu où ces données sont stockées ou traitées.
La souveraineté des données vise également à réduire la dépendance vis-à-vis de fournisseurs individuels et à éviter une dépendance excessive à l'égard d'un fournisseur. Cet objectif peut être soutenu par des mesures telles que les normes ouvertes, la portabilité des données, les architectures interopérables et, le cas échéant, l'utilisation de logiciels libres.
Pourquoi la souveraineté des données est-elle importante pour l'Europe ?
Le débat actuel au niveau européen est influencé par les tensions géopolitiques et les évolutions de la législation américaine. En vertu de textes tels que le CLOUD Act et le Foreign Intelligence Surveillance Act (FISA) américains, les autorités américaines peuvent, sous certaines conditions légales, exiger des fournisseurs basés aux États-Unis qu’ils communiquent certaines données, même lorsque celles-ci sont stockées dans des centres de données européens.