Souveraineté des données dans l'UE : demandez qui peut accéder aux preuves

Les preuves de conformité peuvent révéler l'architecture, des faiblesses non résolues, des informations sur le personnel, des dépendances envers des fournisseurs et l'historique des incidents. Choisir où ces preuves sont conservées mérite le même soin que choisir où se trouvent les données clients. Dans certains cas, un référentiel de preuves offre une image de l'entreprise plus concentrée que n'importe quel système de production pris isolément.

Pour la direction, la souveraineté des données dans l'UE est donc une question d'achat et de responsabilité : qui peut accéder à ces informations, sous quelle autorité, et que se passe-t-il si nous devons partir ?

Une région d'hébergement européenne est une information utile. Ce n'est pas une réponse complète. La décision doit couvrir la chaîne de service, l'exposition juridique, l'accès technique et la capacité à conserver des enregistrements exploitables en dehors de la plateforme.

Partir des informations que vous confiez

Une plateforme de conformité peut contenir des schémas réseau, des revues d'accès, des rapports de vulnérabilités, des inventaires de traitements, des appréciations des risques et des investigations d'incidents. Pris ensemble, ces documents décrivent à la fois le fonctionnement de l'organisation et les points où ses défenses doivent être améliorées.

Ils présentent aussi différents types de sensibilité. Une revue des accès des salariés implique des données personnelles. Un rapport de test d'intrusion peut révéler des faiblesses exploitables. Une décision de la direction peut consigner une dépendance commerciale ou un risque accepté. Ces catégories exigent un traitement différent, même lorsqu'elles se trouvent dans le même espace de travail.

Avant de comparer les fournisseurs, établissez un petit inventaire des preuves. Pour chaque catégorie, consignez sa finalité, sa sensibilité, son responsable, ses lecteurs prévus, son exigence de conservation et la nécessité ou non de téléverser le document original.

Par exemple, la revue d'une mesure peut nécessiter la preuve que la remédiation a été menée à bien, et non le rapport technique complet décrivant chaque vulnérabilité. Un extrait expurgé permet parfois d'établir le fait requis tout en réduisant l'exposition. L'expurgation ne doit pas supprimer le contexte nécessaire pour évaluer la preuve.

Il s'agit d'une recommandation pratique, et non d'une obligation universelle de remplacer les originaux par des résumés. L'objectif est de rendre le traitement des preuves délibéré, plutôt que de laisser chaque demande d'audit étendre indéfiniment le référentiel.

Distinguer résidence, contrôle et conformité juridique

La résidence des données concerne la localisation. La souveraineté concerne aussi le contrôle, l'accès, l'exposition juridique et la capacité à déplacer les informations ou à continuer de les utiliser. Aucun de ces termes ne doit être traité comme un certificat de conformité.

Ces dimensions interagissent, mais elles ne sont pas interchangeables. Un service hébergé dans l'UE peut impliquer du personnel de support ou des traitements hors de l'UE. Un fournisseur détenu par des capitaux européens peut dépendre d'infrastructures, de services de surveillance ou de services d'IA exploités par d'autres entités. La détention seule n'établit pas que chaque chemin d'accès est acceptable.

De même, l'exposition à une autre juridiction ne signifie pas que la divulgation est inévitable ni que le service est automatiquement illicite. Évaluez les entités concernées, le droit applicable, l'accès en pratique et les garanties. Lorsque la divulgation forcée pèse dans la décision, obtenez un avis juridique plutôt que de vous fier à une étiquette de nationalité ou à une assurance commerciale.

Comprendre quelles règles s'appliquent réellement

Le RGPD n'impose pas de règle générale selon laquelle toutes les données personnelles doivent rester dans l'UE. Il exige une base légale appropriée et un traitement conforme, notamment en matière de sécurité, de relations de sous-traitance et, le cas échéant, d'exigences relatives aux transferts internationaux.

Pour un référentiel de conformité contenant des données personnelles, déterminez les rôles des parties et examinez les clauses de sous-traitance de l'article 28 lorsqu'il existe une relation de sous-traitance. Évaluez séparément les dispositifs de transfert du chapitre V. La signature d'un contrat de sous-traitance ne règle pas la question des transferts, et le choix d'une région de stockage dans l'UE ne dispense pas d'examiner les accès depuis l'étranger ou les traitements ultérieurs.

L'article 32 impose une sécurité adaptée au risque. Le chiffrement peut être une mesure importante, mais le RGPD ne prescrit pas une conception de chiffrement unique pour tous les référentiels. L'article 48 traite aussi des décisions de juridictions ou d'autorités administratives de pays tiers exigeant un transfert ou une divulgation ; il ne doit pas être lu comme un bouclier universel contre l'accès étranger.

D'autres obligations dépendent de l'organisation. NIS2, transposée en droit national, prévoit pour les entités concernées une supervision par les organes de direction et des mesures de sécurité de la chaîne d'approvisionnement. DORA établit des obligations relatives au risque lié aux prestataires tiers de services TIC pour les entités financières couvertes. Aucun de ces textes ne doit être réduit à une consigne générique d'acheter des logiciels européens.

Les politiques européennes de souveraineté et les débats sur les achats publics demandent aussi une interprétation prudente. Distinguez les obligations adoptées des propositions, des déclarations politiques, des critères d'achat et des schémas de certification. Les exigences de la France et de l'Allemagne ne doivent pas être traitées comme interchangeables, ni comme automatiquement applicables à toutes les entreprises privées en Europe.

Demandez à vos conseils juridiques et aux achats de documenter les exigences nationales, sectorielles et clients précises qui concernent votre achat. Un rapport d'assurance cloud peut apporter des preuves, mais il ne tranche pas la question de la souveraineté. Par exemple, le catalogue C5 du BSI porte sur les mesures de sécurité cloud et leur attestation ; ce n'est pas une certification générale de souveraineté.

Cartographier l'ensemble de la chaîne de service

Le document d'achat le plus utile est une cartographie du traitement des preuves. Elle montre comment les informations entrent dans le service, quels systèmes les traitent, qui peut y accéder et comment elles en sortent.

Demandez des réponses concernant le stockage de production, les réplicas, les sauvegardes, la reprise après sinistre, les journaux applicatifs, la surveillance, les tickets de support et les copies temporaires de dépannage. Incluez les exports et les notifications par e-mail : un constat sensible peut franchir la limite prévue par le biais d'une notification, même lorsque sa pièce jointe reste dans la plateforme.

Pour chaque composant, consignez :

• L'entité qui l'exploite et son rôle.
• Les catégories de données qu'il reçoit et la finalité du traitement.
• Les lieux de stockage et de traitement, y compris les lieux d'accès à distance.
• Les groupes d'accès autorisés et les éventuels autres prestataires impliqués.
• La conservation, la suppression et le traitement des sauvegardes.
• Les clauses contractuelles qui encadrent l'activité.

Distinguez le fournisseur d'infrastructure d'un prestataire d'un sous-traitant chargé du support ou d'un sous-traitant d'IA. Leurs fonctions et leurs accès peuvent différer sensiblement. Une liste de logos de fournisseurs ne remplace pas cette cartographie.

Examinez aussi la gestion des changements. Comment serez-vous informé d'un nouveau sous-traitant ultérieur, d'un changement de lieu de traitement ou d'une modification des modalités de support ? De quels droits d'examen ou d'opposition disposez-vous, et que se passe-t-il si le changement proposé entre en conflit avec vos exigences ? Une évaluation satisfaisante aujourd'hui nécessite un mécanisme pour détecter les changements de demain.

Traiter les traitements d'IA comme une voie de divulgation distincte

L'examen des preuves assisté par IA peut introduire un prestataire et une politique de conservation supplémentaires. Une fonctionnalité qui résume un rapport d'incident peut transmettre le rapport, le texte extrait, les requêtes, des métadonnées ou des informations de diagnostic au-delà de l'application principale.

Demandez ce qui parvient au fournisseur d'IA, dans quel but et selon quelles conditions contractuelles. Vérifiez dans le contrat en vigueur l'utilisation pour l'entraînement des modèles, la conservation, l'accès humain, les lieux de traitement et les traitements ultérieurs. Ne supposez pas qu'un compte entreprise ou une mention « pas d'entraînement » signifie aussi l'absence de conservation ou d'accès du support.

Précisez si les fonctionnalités d'IA sont facultatives et si des restrictions peuvent être appliquées aux documents sensibles. Si la plateforme ne peut pas faire respecter la limite requise, une consigne interne de ne pas téléverser les documents à diffusion restreinte risque d'être trop fragile pour un usage courant.

Une revue pratique doit suivre un document représentatif tout au long de la fonctionnalité. Identifiez la source, le contenu transmis, le résultat, les enregistrements conservés et les relecteurs. Les résumés générés peuvent eux-mêmes contenir des informations sensibles ; ils ont donc leur place dans la cartographie du traitement.

La revue humaine reste nécessaire pour les conclusions tirées des preuves. C'est une garantie distincte des restrictions de traitement : approuver un résumé généré par IA n'autorise pas rétroactivement une divulgation inacceptable de sa source.

Demander qui peut réellement déchiffrer et administrer

Le chiffrement ne protège les informations que dans les limites de sa conception et de son fonctionnement. Le chiffrement en transit protège les connexions ; le chiffrement au repos protège les données stockées selon certaines hypothèses de menace. Ni l'un ni l'autre n'empêche automatiquement une application autorisée ou un opérateur à privilèges de lire le contenu.

Demandez qui contrôle les clés, qui peut déclencher le déchiffrement et si les administrateurs peuvent modifier les autorisations qui régissent cet accès. Un dispositif de clés gérées par le client peut renforcer le contrôle, mais son effet dépend de l'architecture. Si le service reçoit habituellement les données en clair, la détention des clés ne supprime pas à elle seule l'accès du fournisseur.

Faites examiner par l'équipe technique la séparation des clés, leur renouvellement, leur révocation, leur récupération et les conséquences de leur perte. La direction doit comprendre tout arbitrage en matière de disponibilité avant de l'approuver. Une limite d'accès plus stricte qui rend aussi irrécupérables des preuves essentielles n'est pas une solution de continuité complète.

L'accès du support mérite une attention particulière. Recherchez des identités nominatives, des privilèges limités, des autorisations limitées dans le temps, une approbation du client lorsque c'est approprié et des actions traçables. Demandez comment fonctionne l'accès d'urgence et comment il est examiné a posteriori.

La question d'achat n'est pas simplement de savoir si les accès sont journalisés. Il s'agit de savoir si l'organisation peut obtenir suffisamment d'informations pour enquêter sur un événement : qui a accédé à quels enregistrements, quand, pour quelle raison et avec quelle autorisation. Convenez des preuves qui seront disponibles avant qu'un incident ne rende la question urgente.

Faire de la portabilité une exigence testée

La portabilité fait partie de la souveraineté, car le contrôle s'affaiblit lorsque partir signifie perdre le sens des preuves.

Testez un export représentatif avant de vous engager. Les fichiers seuls peuvent ne pas préserver les relations entre mesures, preuves, constats, responsables, approbations et décisions. Un dossier de PDF peut conserver les documents tout en perdant la trace de ce qu'ils prouvaient et de qui a accepté la conclusion.

Choisissez un échantillon contenant une pièce jointe, la mesure qui lui est liée, un commentaire de revue, une approbation, un constat ouvert et les horodatages pertinents. Demandez à une personne extérieure à l'équipe de mise en œuvre de reconstituer la décision à partir de l'export. Cela teste l'exploitabilité plutôt que la simple existence d'un bouton d'export.

OSCAL fournit des modèles utiles pour des informations de sécurité portables. Ses spécifications publiées peuvent soutenir des échanges structurés, mais l'utilisation d'un format ouvert n'établit pas automatiquement l'exhaustivité ou la compatibilité. Vérifiez les versions des modèles, les identifiants, les pièces jointes, les extensions et la capacité du système destinataire à interpréter la structure exportée.

Les clauses contractuelles de sortie comptent autant que les formats. Établissez quand les exports sont disponibles, quelle assistance est fournie, si des frais s'appliquent et combien de temps l'accès se poursuit après la résiliation. Traitez séparément la suppression des enregistrements actifs et le sort des copies de sauvegarde.

Exemple détaillé : décider de ce qui peut entrer dans un référentiel

Prenons l'exemple illustratif d'un éditeur de logiciels établi dans l'UE qui choisit une plateforme de gestion des preuves. Supposons que son périmètre initial comprenne les revues d'accès des salariés, des constats de tests de sécurité expurgés et des comptes rendus de décisions relatives aux incidents. Sa politique interne exige un stockage dans l'UE pour ce périmètre et une évaluation explicite de tout accès hors UE. Il s'agit d'hypothèses d'exemple, et non d'exigences juridiques universelles.

Le fournisseur confirme un stockage de production dans l'UE. Un examen plus approfondi identifie un service de tickets de support distinct et un fournisseur facultatif de résumés par IA. L'équipe ne déclare pas la plateforme acceptable ou inacceptable sur la seule base de la réponse concernant l'hébergement.

Elle documente plutôt trois décisions :

L'équipe teste ensuite si des pièces jointes sensibles se retrouvent dans les tickets de support, vérifie les restrictions d'accès proposées et exporte un dossier de revue complet.

Supposons que les conditions de traitement par l'IA restent floues. La direction ne peut approuver un déploiement plus restreint que si l'exclusion de ce traitement est fiable. Si elle ne peut pas être garantie, les éléments concernés restent en dehors du déploiement. La question non résolue reçoit un responsable et une date limite de décision au lieu de disparaître dans un score général de risque fournisseur.

Le livrable est une approbation délimitée : catégories de preuves définies, traitements autorisés, restrictions, questions non résolues et déclencheurs de réexamen. C'est plus utile qu'une déclaration sans réserve selon laquelle le fournisseur serait « souverain ».

Placer la décision sous la responsabilité de la direction

Les achats peuvent rassembler les documents, la sécurité peut évaluer les contrôles d'accès et le service juridique peut évaluer les obligations. La direction est responsable de la décision métier sur l'exposition et la dépendance acceptables. Lorsqu'un DPO est impliqué, préservez ses responsabilités indépendantes de conseil et de contrôle au lieu de faire de lui le responsable des décisions de traitement.

Utilisez des critères d'acceptation explicites. Des accès à privilèges flous, des lieux de traitement inexpliqués ou une voie de sortie inutilisable peuvent être éliminatoires pour un périmètre sensible. D'autres lacunes peuvent permettre un déploiement restreint assorti de conditions documentées. Consignez qui peut accepter chaque risque résiduel et ce qui imposerait une réévaluation.

Les erreurs courantes consistent à accepter « hébergé dans l'UE » sans cartographie de la chaîne de service, à traiter le chiffrement comme la preuve que personne d'autre ne peut lire les données et à reporter le test d'export jusqu'à la résiliation. Une autre consiste à supposer qu'une certification ou un rapport d'audit couvre exactement le service, le circuit de traitement et les catégories de preuves achetés. Vérifiez le périmètre et les limites.

Transformer l'évaluation en processus reproductible

Secani relie les preuves aux exigences, aux mesures, aux objets cibles et aux décisions examinées, en s'appuyant sur des modèles ouverts de mesures de sécurité comme fondement du produit. Un processus ciblé peut commencer par un service, des responsables désignés, ses dépendances envers des prestataires externes et les documents qui étayent la décision d'achat. Les réponses manquantes deviennent des tâches ; les suggestions assistées par IA restent des brouillons soumis à une revue humaine et à la traçabilité des sources.

Conservez avec la décision d'achat les modalités d'hébergement, de traitement, d'accès et d'export du service retenu. Réexaminez ce dossier lorsque les configurations, les sous-traitants ultérieurs ou les clauses contractuelles changent. Le prochain relecteur dispose ainsi d'une base claire pour vérifier si le dispositif répond toujours aux exigences de l'organisation.

L'étape suivante concrète consiste à choisir une catégorie de preuves sensibles et à retracer tout son parcours. Apportez la cartographie obtenue, un export testé et les questions d'accès non résolues à la décision d'achat. La direction dispose ainsi d'une base vérifiable pour décider qui peut détenir les preuves, et à quelles conditions.