Garder le contrôle lorsque les données circulent

La souveraineté est une question de contrôle, au-delà du lieu

Pendant la plus grande partie de la dernière décennie, le débat sur la souveraineté s'est concentré sur la résidence des données : le pays où se trouvent les serveurs et la région mentionnée dans le contrat cloud. La résidence reste importante, en particulier pour les organisations soumises au droit suisse ou européen de la protection des données, mais elle décrit uniquement l'endroit où les informations sont stockées au repos. La souveraineté pose un ensemble de questions plus large : quel droit s'applique aux données, qui exploite l'infrastructure, où se trouvent les administrateurs, qui détient les clés de chiffrement et quels tiers peuvent y accéder, comme l'a souligné Mani Nagasundaram, de MariaDB, fin octobre dans Interface.

Notre analyse précédente sur ce qu'est la souveraineté numérique et sur les raisons pour lesquelles elle compte davantage en 2026 décrit le même déplacement selon trois dimensions, juridique, technique et opérationnelle, et montre comment la question est passée du lieu de stockage des données à celle de savoir qui peut réellement les lire, en vertu de quel droit et à la demande de qui. Le CLOUD Act américain reste la raison la plus souvent citée pour expliquer l'importance de la dimension juridique, puisqu'il permet aux autorités américaines de contraindre les fournisseurs établis aux États-Unis à divulguer les données placées sous leur contrôle, quel que soit l'endroit où elles sont stockées.

Pour les responsables de la sécurité et de la conformité, la conséquence pratique est un changement dans les questions qu'ils adressent à leurs fournisseurs et à leur propre architecture. Demander où les données sont hébergées produit rapidement une réponse rassurante. Demander qui peut les lire, et en vertu de quelle autorité, produit une réponse plus utile et révèle souvent des dépendances qu'une cartographie de l'hébergement masque. Ces dépendances se multiplient dès que les informations quittent l'organisation.

Le problème de l'échange commence aux limites de l'organisation

La plupart des organisations appliquent des contrôles raisonnables aux informations confidentielles à l'intérieur de leur propre périmètre, avec la gestion des identités, des autorisations fondées sur les rôles et une surveillance. La situation change lorsqu'un dossier de due diligence est transmis à un conseiller externe, un document de sinistre à un expert en sinistres ou une attestation fiscale à un client. Le Verizon Data Breach Investigations Report 2026, qui couvre les incidents survenus entre novembre 2024 et octobre 2025, a relevé l'implication d'un tiers dans 48 % des violations de données, contre 30 % l'année précédente, soit une hausse de 60 %. Le risque lié aux données confiées à des tiers est passé du statut de simple point d'une liste de contrôle des achats à celui de l'une des principales voies par lesquelles des informations confidentielles se retrouvent exposées.

Le point faible se situe généralement au niveau du canal. Les pièces jointes d'e-mails créent des copies que l'expéditeur ne peut plus rappeler, et les liens de partage génériques survivent souvent à la relation d'affaires pour laquelle ils ont été créés. Une fois qu'un document se trouve dans la boîte de réception d'un partenaire, son propriétaire n'a guère de visibilité sur les personnes qui l'ont ouvert, transféré ou enregistré, alors que la responsabilité réglementaire reste du côté de l'organisation qui l'a partagé.

Le partage sécurisé de fichiers avec des parties externes repose donc sur des propriétés qui restent en vigueur après qu'un document a quitté l'organisation : un accès lié à une identité vérifiée, la possibilité de faire expirer ou de révoquer cet accès, un journal d'activité qui consigne ce qui s'est passé et un chiffrement qui protège le contenu tout au long du trajet. La même discipline s'applique à la communication avec la clientèle, où une boîte aux lettres client sécurisée ou un canal de distribution numérique de documents remplace l'e-mail non protégé pour les relevés et les contrats. Elle vaut aussi lorsque les relations prennent fin, car clôturer proprement les accès lors du départ de collaborateurs fait partie du même modèle de contrôle.

Les agents IA élargissent le cercle des systèmes en contact avec des données confidentielles

L'IA agentique introduit un autre type de franchissement de frontières. Un assistant qui résume un contrat ou un agent qui rédige une réponse à un client a besoin d'accéder aux documents sous-jacents, et chaque connexion qu'il utilise devient un chemin par lequel des informations confidentielles peuvent transiter. Le rapport de Verizon constate que la shadow AI, c'est-à-dire l'utilisation par les collaborateurs de services d'IA générative non autorisés, est devenue la troisième action interne non malveillante la plus fréquente dans son jeu de données consacré à la prévention des pertes de données, avec une multiplication par quatre d'une année à l'autre.

Les outils autorisés soulèvent eux aussi des questions. Depuis le 17 avril 2026, Microsoft 365 Copilot permet par défaut que le traitement par les modèles de langage pour les tenants de l'UE et de l'AELE sorte de l'EU Data Boundary en période de forte demande, à moins qu'un administrateur ne désactive ce paramètre, comme l'explique notre CISO Antonio Mecci dans « Quand votre IA quitte le pays sans vous prévenir ». Le stockage reste là où le prévoit le contrat, tandis que le traitement suit la capacité disponible.

La gouvernance de l'IA et des données confidentielles commence par des principes que le droit de la protection des données exige depuis longtemps, notamment la limitation des finalités, la minimisation des données et une base juridique claire pour le traitement. Pour les agents, ces principes se traduisent en trois questions opérationnelles :

1. à quelles informations l'agent peut accéder, et sous quelle identité ;
2. où ces informations sont traitées lorsque le modèle les lit ; et
3. qui détient les clés qui rendent le contenu lisible.

La troisième question est la plus déterminante. Lorsque les clés de chiffrement restent entre les mains du propriétaire des données, une demande adressée au prestataire, qu'elle émane d'un attaquant, d'une intégration mal configurée ou d'une autorité étrangère, ne livre qu'un contenu chiffré, et un agent ne peut travailler qu'avec ce qu'un détenteur de clé a délibérément rendu accessible. C'est pour cette raison que SecureSafe repose sur une architecture zero-knowledge.

La Suisse transforme la souveraineté en politique

Le débat suisse montre à quelle vitesse le sujet passe du principe aux marchés publics. En décembre 2025, le Conseil fédéral a fait de la souveraineté numérique l'un des trois thèmes prioritaires de la Stratégie Suisse numérique 2026, aux côtés du rôle de la Suisse comme État hôte numérique et de l'introduction de l'e-ID. Son rapport sur la souveraineté numérique définit la notion comme la capacité de contrôle et d'action dans l'espace numérique dont l'État a besoin pour accomplir ses tâches.

La mise en œuvre a suivi au cours de 2026. En septembre, la Chancellerie fédérale a lancé un programme consacré aux logiciels de poste de travail souverains afin de vérifier si des outils open source peuvent assurer les fonctions bureautiques essentielles de l'administration fédérale, et en octobre elle l'a désigné comme projet clé. Le 20 octobre, l'Office fédéral de l'informatique et de la télécommunication a lancé l'appel d'offres pour le Swiss Government Cloud, d'un volume maximal de 7 milliards de francs sur 14 ans, selon Swiss IT Magazine.

Une deuxième évolution illustre pourquoi le lieu d'hébergement ne règle qu'une partie de la question. Le 28 octobre, le Conseil fédéral a adopté une solution transitoire permettant aux fournisseurs suisses d'obtenir une autorisation spéciale pour remettre directement des preuves électroniques aux autorités de poursuite pénale de l'UE, y compris des données stockées en Suisse, afin de résoudre un conflit entre les règles européennes sur les preuves électroniques et le droit pénal suisse, comme l'a rapporté Swiss IT Magazine. La mesure est formellement encadrée et limitée dans le temps, et elle souligne que l'hébergement des données en Suisse indique où se trouvent les informations, tandis que les règles d'accès et le contrôle des clés déterminent qui peut les lire.