Où se situe probablement votre parc de communications unifiées aujourd'hui ?

Demandez à dix DSI si leur plateforme de communications unifiées est souveraine, et huit vous répondront par l'affirmative. Demandez-leur de le prouver à l'aune du cadre de référence de la Commission européenne en matière de souveraineté du cloud, et la plupart perdront deux niveaux de souveraineté sur-le-champ.

L'UC constitue une cible facile, car le problème de souveraineté se cache dans des éléments que personne ne considère comme des données : les signaux de présence, les métadonnées des appels, les titres des réunions, les transcriptions, l'historique des discussions et les fonctionnalités d'IA qui s'y superposent. Chacun de ces éléments touche à un objectif de souveraineté des données (SOV) et est généralement traité sur une infrastructure que le directeur des systèmes d'information ne contrôle pas.

Où se situent aujourd'hui les piles UC courantes ?

Sans citer de noms de fournisseurs, la tendance est constante.

• La plupart des locataires européens des deux principales suites collaboratives américaines relèvent de SEAL-1. Le droit européen s’applique par l’intermédiaire d’une entité contractante locale ; le service marketing présente les données comme étant « européennes », mais les clés de chiffrement, la gestion des locataires et l’inférence par IA relèvent d’une société mère américaine.
• Une pile UC régionale proposée par un fournisseur européen, dont l'hébergement se limite à l'UE, se situe généralement au niveau SEAL-2. Les données restent dans l'UE, mais le matériel, les micrologiciels et certaines fonctions d'assistance proviennent toujours de fournisseurs situés hors de l'UE.
• Une architecture de communications unifiées (UC) souveraine gérée, avec une conservation des clés au sein de l'UE, un centre de services basé dans l'UE et des protocoles ouverts au niveau de la couche média, peut atteindre le niveau SEAL-3. Le niveau SEAL-4 existe en théorie pour les communications unifiées, mais il est rare dans la pratique et n'est généralement observé que dans les contextes de défense et de renseignement.

Les objectifs SOV qui dominent le système de notation de l'UC

SOV-3, données et IA

C'est l'objectif qui progresse le plus rapidement. La synthèse des réunions, la traduction en direct, l'analyse des sentiments et les assistants de type « copilote » traitent tous le contenu de la réunion, et pas seulement les métadonnées. Si ce traitement s'effectue sur un modèle hébergé en dehors de l'UE, cela revient à divulguer chaque conversation à une juridiction non européenne. Le fait que les clés de l'archive d'enregistrements soient détenues par le client ne change rien si la transcription a déjà été envoyée à un point de terminaison d'inférence situé aux États-Unis.

SOV-2, aspects juridiques et juridictionnels

Les enregistrements d'appels, les transcriptions et les archives de discussions constituent les éléments de preuve les plus précieux qu'une autorité de régulation ou un tribunal puisse demander. Le cadre réglementaire pose la question de savoir si une autorité non européenne pourrait exiger l'accès à ces données. Pour la plupart des suites de communications unifiées (UC) mondiales, la réponse honnête est aujourd'hui « oui », que ce soit par le biais du CLOUD Act américain ou de la relation avec la société mère.

SOV-4, en service

Qui assurera le fonctionnement de la plateforme si le fournisseur cesse de fournir son assistance, modifie ses conditions commerciales ou fait l'objet d'une décision relative au contrôle des exportations ? UC est un service en temps réel. Si la console d'administration des locataires et la procédure d'escalade vers le niveau 3 se trouvent toutes deux en dehors de l'UE, la souveraineté opérationnelle reste une hypothèse, et non une réalité.

SOV-6, technologie

Les normes ouvertes revêtent aujourd'hui une importance bien plus grande qu'auparavant. Une plateforme de communications unifiées reposant sur les protocoles SIP et WebRTC ainsi que sur des API documentées peut être remplacée ou fédérée. Ce n'est pas le cas d'une plateforme reposant sur une pile multimédia propriétaire et un annuaire propriétaire. Ce cadre favorise la portabilité.

Les améliorations qu'il vaut la peine d'intégrer lors du prochain renouvellement

Un parc de matériel UC peut passer de SEAL-1 à SEAL-2, et souvent à SEAL-3, sans remplacement complet. Les mesures pragmatiques à prendre sont les suivantes :

• Transférez les archives d'enregistrement vers un espace de stockage situé dans l'UE et dont les clés sont gérées par le client. Ce simple fait modifie la réponse à plusieurs questions relatives à la norme SOV-3.
• Désactivez toute fonctionnalité d'IA qui envoie par défaut du contenu en dehors de l'UE. Ne réactivez ces fonctionnalités que sur un chemin d'inférence au sein de l'UE, avec un schéma de flux de données écrit.
• Confier l'assistance de niveau 1 et de niveau 2 à une équipe composée de collaborateurs de l'UE, et négocier une procédure d'escalade réservée à l'UE pour le niveau 3.
• Ajouter une clause contractuelle précisant les objectifs du SOV et se réservant le droit de procéder à une nouvelle évaluation au cours de la durée du contrat.
• Pour la fédération avec les partenaires et les clients, privilégiez une connectivité basée sur des normes plutôt que des interconnexions propriétaires.

Sept questions sur l'UC à se poser pour votre prochain renouvellement

1. Où sont stockées les différentes catégories de contenu : enregistrements, transcriptions, discussions, fichiers, informations de présence et métadonnées des réunions ?
2. Qui détient les clés de chiffrement pour chaque catégorie, et pouvons-nous les conserver nous-mêmes ?
3. Quelles fonctionnalités d'IA traitent le contenu des réunions, sur quelle infrastructure et dans quelle juridiction ?
4. Quels sont nos sous-traitants situés en dehors de l'UE, et quels types de données franchissent cette frontière ?
5. Quelle est la répartition géographique de chaque niveau d'assistance, y compris la procédure d'escalade en cas d'urgence ?
6. Comment les mises à jour du micrologiciel des terminaux, des passerelles et des contrôleurs de frontière de session sont-elles signées et distribuées ?
7. Quels sont nos droits de sortie et nos obligations en matière d'extraction des données si nous estimons que la situation en matière de souveraineté s'est détériorée ?

Ce que cela signifie pour les acheteurs

C'est dans le domaine de l'UC que la souveraineté s'érode le plus rapidement et que la plupart des failles peuvent être corrigées au cours du cycle contractuel actuel. Ne considérez pas cela comme une discussion visant à tout remplacer par du neuf. Considérez-la plutôt comme une discussion de renouvellement accompagnée d'un modèle d'évaluation.

Le troisième article porte sur les centres de contact, où les objectifs sont les mêmes, mais où les enjeux sont plus importants, car les données traitées sont souvent des données à caractère personnel soumises à une réglementation.