La plupart des entreprises brésiliennes qui ont migré vers le cloud au cours des dix dernières années ont pris une décision implicite qui n'a jamais été présentée comme une décision : que leurs données clients, leurs contrats, leurs opérations et leur stratégie doivent résider sur des serveurs américains, selon les lois des États-Unis, sous réserve des ordonnances d'un tribunal dont leurs experts juridiques ne connaissent pas l'existence. Cette décision a été prise dans la liste de contrôle d'un appel d'offres d'infrastructure, entre le coût par gigaoctet et le SLA de disponibilité. Personne n’a parlé de géopolitique.
Le problème c'est qu'elle est exactement ça. Et l’environnement a suffisamment changé pour qu’ignorer cette dimension constitue, dans de nombreux secteurs, un risque dont le conseil d’administration devrait être conscient.
Ce que signifie réellement la souveraineté numérique
La souveraineté numérique n’est pas un concept unique : il s’agit d’un ensemble de contrôles sur les données, les infrastructures et les capacités technologiques. Au niveau le plus élémentaire, il s'agit de savoir où se trouvent physiquement les données et quelles lois s'y appliquent. Au niveau le plus avancé, il s’agit de garantir qu’un État-nation ou une entreprise ait la capacité d’exploiter ses systèmes technologiques critiques indépendamment des décisions de tiers – qu’il s’agisse d’autres gouvernements, de fournisseurs privés ou de régulateurs étrangers.
Pour les entreprises privées, le véritable terrain se situe entre ces extrêmes. Il ne s’agit pas de construire sa propre infrastructure comme une banque centrale, mais de comprendre que contracter avec un fournisseur de cloud américain met les données à la portée du CLOUD Act – une loi américaine qui permet au gouvernement américain d’exiger l’accès aux données stockées par des fournisseurs américains, même sur des serveurs en dehors des États-Unis. Il ne s’agit pas d’une hypothèse théorique ; a déjà été exercé. Et aucune clause de votre contrat SaaS ne change ce fait.
LGPD, RGPD et la régulation comme vecteur de souveraineté
La loi générale sur la protection des données a été le tournant le plus visible dans le débat sur la souveraineté numérique au Brésil. Il a établi que les données personnelles des Brésiliens sont soumises à des règles de traitement qui doivent être respectées, quel que soit le lieu où se trouve le siège de l'entreprise ou où se trouvent les serveurs. Les transferts internationaux de données nécessitent désormais des garanties adéquates.
Le RGPD européen est allé plus loin et plus tôt. Ce que l'Europe a construit avec le Règlement général sur la protection des données est, en fait, une affirmation selon laquelle les données des citoyens européens ne sont pas soumises à la juridiction américaine – et que les entreprises qui pensaient utiliser le Privacy Shield comme raccourci ont été surprises lorsque la Cour de justice européenne a annulé cet accord à deux reprises. Chaque retrait a obligé les entreprises à revoir leurs architectures de données.
La norme qui ressort de ces réglementations n’est pas seulement la protection de la vie privée des individus. Il s’agit de la construction d’une infrastructure réglementaire qui définit où les données peuvent aller et dans quelles conditions. Cela affecte directement les décisions d’architecture du système.
La réponse de l'industrie : le cloud souverain
Le marché du cloud a répondu avec une nouvelle catégorie : le cloud souverain. Le principe est simple : offrir la même élasticité et les mêmes services qu'un cloud public, mais avec la garantie que les données restent dans une juridiction spécifique, exploitée par des entités locales, sans accès des gouvernements étrangers.
En Europe, le projet Gaia-X est la tentative la plus ambitieuse : une fédération de fournisseurs européens construisant une infrastructure de données avec des normes d'interopérabilité ouvertes et une gouvernance partagée entre les pays membres. OVHcloud est l’exemple le plus visible d’un fournisseur de cloud européen qui s’est explicitement positionné comme une alternative souveraine aux big tech américaines.
Au Brésil, le scénario est encore fragmenté. Il existe des fournisseurs locaux comme Ascenty, Localweb et braziliancloud.com ; il y a la présence de fournisseurs internationaux avec des régions locales (AWS São Paulo, Google Cloud São Paulo, Azure Brasil Sul) — qui offrent la localisation géographique des données mais n'éliminent pas la juridiction américaine. La différence entre « données au Brésil » et « données de droit brésilien avec fonctionnement national » est réelle et sous-estimée.
Comment un leader devrait voir cela
La première étape consiste à cesser de traiter la souveraineté numérique comme une question de conformité et à la placer à l’agenda des risques stratégiques. La conformité LGPD est le plancher, pas le plafond. L’important est de répondre : si demain la relation commerciale ou diplomatique avec le pays de notre principal fournisseur de cloud se complique, quel est notre risque ?
Pour les entreprises des secteurs réglementés – soins de santé, finance, défense, infrastructures critiques – cette question a des réponses aux conséquences concrètes. Pour les entreprises d’autres secteurs, la réponse éclaire les décisions architecturales qui modifient le niveau de risque de l’entreprise. La distinction entre les données qui peuvent se trouver dans un cloud international et les données qui nécessitent une protection juridictionnelle supplémentaire devrait exister dans toute stratégie de données sérieuse.
Le deuxième mouvement est de comprendre que la souveraineté numérique a des gradations, et que la décision n'a pas besoin d'être binaire entre « tout dans l'AWS américain » et « tout dans son propre centre de données au Brésil ». Il existe des architectures hybrides dans lesquelles les données les plus sensibles résident chez des fournisseurs bénéficiant de garanties juridictionnelles locales, et les charges de travail moins critiques utilisent l'élasticité des cloud internationaux. Cette segmentation intentionnelle est plus honnête (et plus défendable) qu’une architecture unique qui traite toutes les données de manière équivalente.
La troisième dimension, rarement évoquée dans les entreprises brésiliennes, est la dépendance technologique en tant que risque opérationnel. Lorsque l’ensemble de votre pile de données, d’IA, de communication et de collaboration passe par cinq sociétés américaines, votre capacité à fonctionner dépend de la continuité de ces relations commerciales. C'est un poste qui mérite d'être connu du conseil d'administration, et pas seulement du CTO.
A lire aussi
- Résidence des données : ce que signifie en pratique garantir que les données restent au Brésil
- LGPD deux ans après : ce qui a vraiment changé dans les entreprises brésiliennes
- Cryptage des données
- Données synthétiques et confidentialité : former et tester sans exposer les données personnelles
- Qu'est-ce que les données synthétiques et pourquoi sont-elles importantes pour les dirigeants
- Protection contre les fuites de données : Guide de sécurité