Le passage à des communications axées sur le cloud visait à simplifier les opérations. Mais pour de trop nombreuses organisations, cela a ouvert la voie à un nouveau type de risque stratégique : la souveraineté des données à l'ère des communications unifiées basées sur l'IA.
Pendant des années, les entreprises ont donné la priorité aux coûts, à la disponibilité et aux fonctionnalités lors de l'évaluation des plateformes UC et UCaaS. Aujourd'hui, un quatrième facteur s'impose dans les salles de réunion : le contrôle souverain des données, des infrastructures et des risques juridiques.
L'intelligence artificielle influence de plus en plus le fonctionnement des plateformes de communications unifiées, souvent en coulisses. Parallèlement, les régulateurs imposent des règles plus strictes sur la manière et le lieu de stockage, de traitement et d'analyse des données. La souveraineté est désormais un risque réputationnel, juridique et opérationnel qui touche déjà certains des fournisseurs et organismes publics les plus connus au monde.
Alors, sans céder à la panique, discutons de la nature du problème et de son importance pour vous.
Pourquoi l'UCaaS n'est pas automatiquement un choix réglementaire sûr
La plupart des organisations assimilent encore la « résidence des données » à la souveraineté. Il s'agit là d'une idée fausse qui coûte cher.
Il peut être utile de considérer que souveraineté ≠ sécurité ≠ confidentialité.
La souveraineté concerne le contrôle juridique des données, leur lieu de stockage, les personnes qui peuvent y accéder et les lois qui s'y appliquent. La sécurité consiste à protéger les données contre tout accès non autorisé ou toute violation, tandis que la confidentialité consiste à garantir que les informations personnelles sont traitées conformément à la réglementation et aux droits individuels. Par exemple, une plateforme de communications unifiées peut être sécurisée et confidentielle, mais si des gouvernements étrangers peuvent accéder aux données en vertu de lois telles que le CLOUD Act américain, elle n'est pas souveraine.
Le problème fondamental ne réside donc pas seulement dans le lieu de stockage des données, mais aussi dans l'identité de ceux qui les contrôlent, qui peuvent y accéder et selon quelles règles juridictionnelles. De nombreux fournisseurs UCaaS opèrent sous propriété américaine ou hébergent certaines parties de leur architecture dans des environnements multi-locataires avec routage mondial des données.
Ce que cela signifie concrètement :
- Vos données UC peuvent être stockées à Francfort, mais être légalement exposées en Californie.
- Les modules d'IA pourraient traiter vos enregistrements d'appels dans un pays et former des modèles dans un autre.
- Les métadonnées, les journaux ou les données télémétriques de diagnostic peuvent échapper totalement à votre contrôle.
Le modèle de souveraineté de la plupart des plateformes UCaaS a été conçu pour la scalabilité, et non pour la conformité.
Comme le souligne Damovo dans son récent article surla géopatriation pour les communications critiques, la souveraineté doit être conçue de l'intérieur, et non ajoutée après coup lorsque les régulateurs viennent frapper à la porte.
Quand les lacunes en matière de souveraineté font la une des journaux
Plusieurs organisations du secteur public et entreprises ont déjà découvert, de manière très publique, pourquoi la souveraineté des communications unifiées n'est pas facultative.
En 2023, le gouvernement français a interdit à certains organismes publics d'utiliser M365 et Teams dans le cloud. La même année, Zoom a mis à jour ses conditions d'utilisation, a fait face à une levée de boucliers concernant les droits de formation de l'IA, puis les a modifiées et s'est engagé à ne pas former de modèles sur le contenu des clients sans leur consentement.
Plus récemment, en 2025 : Microsoft admet officiellement que la souveraineté ne peut être garantie. En juillet 2025, lors d'une audition devant le Sénat français, un dirigeant de Microsoft a reconnu que même avec des infrastructures centrées sur les données de l'UE, l'entreprise « ne peut garantir » la souveraineté des données lorsque les lois américaines (telles que le CLOUD Act) s'appliquent. Cet aveu a sapé la confiance dans les garanties du « cloud souverain » et a suscité l'inquiétude des organisations publiques et réglementées de l'UE.
Au Royaume-Uni, cette année, une violation des données du ministère de la Défense en 2022 a été révélée, dans laquelle des informations hautement personnelles contenues dans un tableur concernant environ 19 000 Afghans ayant aidé les forces britanniques ont été exposées. Cet incident démontre que le risque pour la souveraineté concerne non seulement le lieu de stockage des données, mais aussi les personnes qui peuvent y accéder, le régime juridique applicable et la question de savoir si l'organisation exerce un contrôle effectif sur les flux de données.
Comment l'IA redéfinit discrètement la souveraineté dans les communications unifiées
Et pour ajouter à la complexité, le risque lié à la souveraineté évolue rapidement en raison de la manière dont l'IA est mise en œuvre au sein des plateformes UC.
Considérez :
- Les moteurs d'acheminement automatiquetransfèrent les données entre les régions en quelques millisecondes pour des raisons de performance.
- Les modèles de transcription et de synthèsetraitent l'intégralité des conversations, créant ainsi des données dérivées qui peuvent ne pas être couvertes par votre SLA initial.
- Les LLM intégrés aux plateformes UCaaSsont souvent formés hors plateforme, à partir d'un corpus de données plus large, y compris le vôtre.
Gartner prévoit que plus de 60 % des fournisseurs de services UCaaS intégreront des assistants IA dans leurs plateformes d'ici 2026. Mais rares sont ceux qui ont révélé comment ces modèles sont formés, où le traitement a lieu ou quelle juridiction régit la couche IA.
Il ne s'agit donc pas d'un déficit fonctionnel, mais d'un déficit souverain.
Les fournisseurs rattrapent leur retard. Voici comment.
En réponse à une surveillance accrue, les fournisseurs revendiquent leur souveraineté. Mais les niveaux de maturité varient :
Microsoft
- En février 2025, introduction de la frontière de données de l'UE, s'engageant à stocker et à traiter les données Microsoft 365 au sein de l'UE.
- Lancement du Microsoft Sovereign Cloud, qui conserve les données en Europe, conformément à la législation européenne, avec des clouds nationaux locaux tels que le Delos Cloud en Allemagne.
- Mais le Cloud Act reste un risque, et beaucoup ne sont pas convaincus que les données ne finiront pas entre les mains des autorités américaines.
Zoom
- Propose un hébergement régional des données et a mis à jour ses politiques en matière d'IA après la controverse. Le projet d'ouverture d'un centre de données au Royaume-Uni en 2026 est considéré comme essentiel pour conquérir de nouveaux clients publics dans le pays.
- Le fait qu'il appartienne à des intérêts américains signifie qu'il reste soumis à la loi UC Cloud. Permettre aux clients de spécifier que les données sont traitées dans des centres de données situés dans l'UE/au Royaume-Uni est considéré comme un moyen de réduire quelque peu le risque lié aux transferts transfrontaliers.
Cisco Webex
- L'un des rares à investir de manière proactive dans les clés de chiffrement appartenant aux clients et les déploiements cloud souverains. Considéré à juste titre comme l'un des fournisseurs les plus fiables d'Europe.
- Offre un niveau de contrôle plus élevé côté client, mais n'est pas encore disponible dans toutes les régions.
RingCentral, 8×8, autres fournisseurs pour PME
- Collaborez avec des fournisseurs d'infrastructures européens, mais reposez-vous fortement sur des modèles multi-locataires partagés, qui peuvent affaiblir la véritable souveraineté.
Le marché a clairement réagi, sans prendre d'initiative, et comme nous l'avons vu, ces revendications ne se traduisent pas toujours par une souveraineté réelle.
Ce que les clients de Damovo font différemment
Chez Damovo, nos clients n'attendent pas que les régulateurs les obligent à repenser leur stratégie. Ils agissent dès maintenant. Voici comment nous les aidons :
- Audits de préparation à la souveraineté
Nous évaluons les plateformes UC en fonction de critères détaillés liés à la souveraineté : exposition juridictionnelle, transparence des flux de données, traitement des données par l'IA et lacunes contractuelles.
- Conception UC géopatriée
Conformément à notre approche axée sur la géopatriation, nous concevons des solutions UC qui privilégient le contrôle juridique, la résilience en matière de conformité et la transparence opérationnelle.
- Analyse du contrat de niveau de service (SLA) du fournisseur
Notre équipe de conseillers travaille avec les équipes chargées des achats et les équipes juridiques pour interpréter les clauses en petits caractères : où vont les données, qui les consulte et en vertu de quelles lois.
- Activation de l'architecture hybride
Nous prenons en charge les modèles UC hybrides dans lesquels les charges de travail sensibles restent sur site et les fonctions non critiques utilisent l'UCaaS, redonnant ainsi le contrôle au client.
- Surveillance juridique continue
Nous suivons activement les changements juridiques et les mises à jour réglementaires de l'UE afin de garantir que nos clients soient toujours à la pointe de la conformité.
Conclusion : le contrôle est la nouvelle capacité
Commencez par une liste de contrôle « Et moi alors ? » :
- Quelles lois s'appliquent à mon organisation (RGPD, exposition au CLOUD Act, règles spécifiques au secteur) ?
- Où chacune de mes charges de travail UC/AI est-elle stockée, traitée, enregistrée et sauvegardée ?
- Que stipule mon contrat fournisseur concernant la formation à l'IA, la télémétrie et les données d'assistance ?
- Interrogez votre fournisseur sur les clés de chiffrement de contrôle et l'accès administrateur, et demandez-lui si ses opérateurs sont basés dans l'UE.
Avec l'accélération de l'IA et l'opacité croissante des plateformes cloud, les organisations qui considèrent la souveraineté comme une décision au niveau de l'architecture protégeront plus que la simple conformité : elles protégeront la continuité, la confiance et le contrôle des utilisateurs.
Damovo est prêt à vous aider à intégrer ce contrôle à chaque niveau de votre environnement UC.
| Vendeur | Résidence des données et options « souveraines » (UE) | Clés contrôlées par le client / contrôle administrateur | IA / posture de formation des modèles (informations publiques) | Risques juridiques principaux / remarques |
| Microsoft (M365, Teams) | La frontière de données de l'UE a été mise en place pour les services cloud de base, conservant la plupart des données relatives aux clients et à l'assistance au sein des régions de l'UE/AELE ; Microsoft Sovereign Cloud et des projets nationaux tels que Delos Cloud visent les charges de travail du secteur public et réglementées nécessitant un niveau de sécurité plus élevé. | Cryptage par clé client et double clé pour M365, extension de la gestion des clés externes et opérations réservées à l'UE dans les offres souveraines.news.microsoft+1 | Déclare que le contenu des clients n'est pas utilisé pour former des modèles de base sans consentement et ajoute des options de traitement réservées à l'UE pour les charges de travail d'IA concernées.news.microsoft+1 | Malgré l'hébergement dans l'UE et les initiatives souveraines, la loi américaine CLOUD Act et la structure des entreprises peuvent encore créer une exposition perçue ; la souveraineté réelle dépend des conditions contractuelles, du contrôle clé et de la séparation opérationnelle.kuppingercole+1 |
| Cisco Webex | Centres de données européens et options axées sur la souveraineté utilisant des partenaires européens de confiance et des instances dédiées pour le secteur public et les industries réglementées.webex+1 | Fonctionnalités clés gérées par les clients expérimentés via Webex Key Management / KMS externe, permettant un contrôle strict au niveau des locataires sur l'accès au contenu.webex+1 | Sécurité des marchés, cryptage et conformité pour ses fonctionnalités d'IA ; les documents publics fournissent moins de détails sur les corpus de formation régionaux, mais mettent l'accent sur le traitement crypté et les contrôles.webex+1 | Basée aux États-Unis, mais capable de réduire son exposition effective lorsqu'elle s'associe à des partenaires basés dans l'UE, contrôles clés en matière de conservation et de localisation des données.kuppingercole+1 |
| Zoom | Hébergement régional des données pour les réunions, les enregistrements et certaines fonctionnalités d'IA, avec une présence élargie dans l'UE et au Royaume-Uni, notamment un centre de données britannique dédié à la collaboration axée sur l'IA.zoom+2 | Chiffrement et certaines options de clé client pour des charges de travail spécifiques, bien que la propriété des clés soit moins centrale dans le positionnement que pour Webex ou certains fournisseurs axés sur la sécurité. | Après une vague de protestations contre ses conditions d'utilisation en 2023, Zoom s'engage désormais à ne pas utiliser le contenu de ses clients pour entraîner des modèles d'IA sans leur consentement et décrit les options régionales pour le traitement par AI Companion.axios+2 | Siège social aux États-Unis et infrastructure mondiale ; la souveraineté dépend de la configuration du routage des données et de limites contractuelles claires en matière d'IA, de télémétrie et de transferts transfrontaliers.zoom+1 |
| Mitel | Accent mis sur le cloud hybride, sur site et privé hébergé par des partenaires ; Mitel Secure Cloud introduit des niveaux hébergés « fiables » et « souverains », des instances dédiées, des options d'hébergement national ou régional via des partenaires siliconangle+3 | Accent mis sur les environnements dans lesquels les clients ou les partenaires locaux exploitent l'infrastructure et contrôlent l'accès ; les produits UC et centres de contact incluent le chiffrement et le renforcement de la sécurité, et les niveaux souverains sont conçus pour les opérations nationales.mitel+3 | Les messages publics concernent davantage les déploiements sécurisés et réglementés que les assistants IA multi-locataires à grande échelle ; l'IA et l'analyse sont généralement intégrées dans des solutions spécifiques, ce qui peut réduire l'exposition involontaire à la formation de modèles entre locataires.mitel+1 | L'architecture et le modèle commercial favorisent les clouds privés nationaux ou gérés par des partenaires et les solutions classiques sur site, ce qui correspond bien aux exigences strictes en matière de souveraineté ; l'exposition juridique dépend de l'entité qui héberge et traite les données (Mitel, partenaire ou client).maintel+2 |
| Avaya | Propose des déploiements hybrides, qui peuvent être hébergés dans des centres de données situés dans l'UE ou dans les installations des clients/partenaires afin de répondre aux exigences en matière de résidence et de souveraineté des données, y compris pour les services financiers sensibles au regard de la directive DORA.avaya+1 | Prend en charge les déploiements dédiés, à locataire unique et sur site où les clients ou partenaires contrôlent l'infrastructure et l'accès ; les recommandations d'Avaya en matière de sécurité mettent l'accent sur un renforcement important, le protocole TLS, le protocole SRTP et des protections multicouches pour les composants UC et SBC.avaya+2 | Le positionnement récent de la plateforme « Infinity » met en avant sa capacité à fonctionner au niveau national, dans des clouds souverains ou des enclaves sécurisées, avec un mode mono-locataire par défaut pour les grandes entreprises et le secteur public, ce qui permet de contenir les données destinées à l'IA et à l'analyse dans des environnements définis.activatecx | Tout comme Mitel, la force d'Avaya réside dans ses modèles privés, hybrides et gérés par des partenaires plutôt que dans les solutions UCaaS hyperscale. Les transferts transfrontaliers pour les services cloud sont gérés via des clauses contractuelles types (SCC) et des mécanismes similaires. L'exposition globale dépend donc du déploiement choisi et des sous-traitants.avaya+3 |
Contactez Damovo pour planifier un audit de préparation à la souveraineté.