Hébergé en France, et alors ? Ce que j’ai retenu de Sovereign

Son format hybride est d'ailleurs intéressant. D’un côté, un rapport de fond daté de septembre 2026, signé par le « Sovereign Research Network » et le « Canadian Shield Policy Institute ». De l’autre, un véritable atelier avec des scripts de migration, des comparatifs techniques et un outil d’audit. En gros, on vous explique le problème, puis on vous tend la caisse à outils. J’ai voulu regarder les deux de près, en gardant mon esprit critique bien allumé.

Le constat du rapport est sévère. Nos démocraties ont lâché les commandes de leur informatique. En une quarantaine d’années, elles ont confié infrastructures, communications et une partie de leur propriété intellectuelle à quelques géants privés étrangers. Le récit part des protocoles ouverts et fédérés du monde académique pour arriver aux clouds propriétaires d’Amazon, de Microsoft et de Google. Au passage, les institutions publiques se sont retrouvées verrouillées chez ces fournisseurs.

Le cœur juridique du rapport est de démonter une illusion, croire que la localisation physique des données suffit à les protéger. Le CLOUD Act de 2018, la section 702 du FISA et l’Executive Order 12333 donnent aux autorités américaines des moyens d’accéder aux données des entreprises soumises à leur droit, où que soient les serveurs. Un datacenter en Europe ne change donc rien à l’affaire si la maison mère est américaine. Face à ça, le rapport passe en revue la réponse européenne. L’arrêt Schrems II de la cour de justice de l’UE, la qualification SecNumCloud de l’ANSSI, le Digital Markets Act et le Data Governance Act. À mes yeux, SecNumCloud en est la pièce maîtresse, avec ses critères sur qui détient le capital du prestataire, qui opère le service et à quel droit étranger il doit échapper.

Viennent ensuite les cas concrets et c’est là que le rapport devient vraiment parlant. On y croise Barcelone et ses communs de données chiffrés avec DECODE et Decidim, ou Dataport dans le nord de l’Allemagne avec le déploiement d’openDesk (la suite collaborative souveraine). On y trouve aussi Munich et son parcours avec LiMux, la gendarmerie nationale et son GendBuntu, ou encore le régulateur danois Datatilsynet et sa décision contraignante contre Google Workspace. Le rapport s’appuie aussi sur les travaux critiques de la London School of Economics et du Waag Futurelab d’Amsterdam. De tout cela, il tire une thèse, la souveraineté d’un pays ne se décrète pas d’en haut, elle émerge de l’autonomie numérique et cryptographique de ses citoyens.

Autour du rapport gravitent quatre documents en PDF. Une note comparative sur la souveraineté numérique des villes couvre l’Europe, l’Amérique du Nord et l’Asie-Pacifique, et un guide sur l’IA municipale souveraine traite d’inférence locale et de registres publics des algorithmes. Un guide pour les professionnels indépendants se concentre sur le secret professionnel et la confidentialité des clients, et le référentiel SecNumCloud 3.2 de l’ANSSI complète le lot. Reste l’atelier, la partie la plus geek. Le moteur de migration propose des scripts bash pour passer de Google Drive à Nextcloud, de Microsoft 365 à openDesk, d’AWS S3 à MinIO et de Gmail à Proton ou Tuta. Un explorateur compare aussi les protocoles de stockage décentralisé IPFS, Arweave, Filecoin, Sia et Storj.

Côté IA, un module montre comment faire tourner des modèles à poids ouverts comme Mistral ou Llama avec vLLM ou Ollama, puis brancher dessus de la génération augmentée par recherche (RAG) avec pgvector. Un audit interactif calcule un score de vulnérabilité sur trois axes : juridiction, lieu de stockage et chiffrement. Enfin, un générateur fournit des modèles Docker Compose et Kubernetes pour monter une infrastructure auto-hébergée. Détail pratique, tous ces outils interactifs exigent JavaScript.

Le gros point fort du site, c’est qu’il remplace la question « où sont mes données ? » par « qui peut m’obliger à les livrer ? ». C’est la bonne grille de lecture et elle reste mal comprise. On vante souvent un hébergement en France là où il faudrait regarder la nationalité de l’actionnaire. C’est précisément pour ça que SecNumCloud s’intéresse au capital et pas seulement à l’adresse du datacenter.

J’apprécie aussi l’honnêteté des cas d’étude. Le rapport met GendBuntu, réussite souvent citée, à côté de Munich, passée à Linux dans les années 2000 avant de décider de revenir à Windows. Ce contraste rappelle qu’une migration est d’abord un projet politique et humain, et que la technique ne suit que si le portage et l’accompagnement des agents sont là. Autre atout, le pont entre théorie et pratique. Beaucoup de rapports sur la souveraineté s’arrêtent aux recommandations. Ici, on peut passer de l’analyse du CLOUD Act à une migration de S3 vers MinIO sans quitter le site.

Le volet IA tombe aussi à pic. Confier ses documents internes à une API d’IA opérée par une entreprise américaine pose exactement le même problème juridique que de les stocker sur son cloud. Faire tourner un modèle ouvert en local, c’est appliquer la logique du rapport à la technologie du moment. Enfin, l’audit en trois axes est un bon modèle mental, même sans lancer l’outil. Le chiffrement y joue un rôle clé. Si c’est moi qui garde les clés, la nationalité de l’hébergeur pèse beaucoup moins lourd, même si les métadonnées restent exposées. C’est là que la thèse de l’autonomie cryptographique des citoyens prend tout son sens.

Le site a aussi ses angles morts, et certains comptent. Le premier tient à sa signature. La page d’accueil ne dit presque rien de qui compose le « Sovereign Research Network » et le « Canadian Shield Policy Institute ». Pour un document qui adopte tous les codes du rapport académique, jusqu’à se présenter comme un quatrième volume, j’aimerais savoir qui le signe avant de le citer dans un cadre professionnel.

Le deuxième concerne la promesse de scripts « prêts pour la production ». Migrer une collectivité de Microsoft 365 vers openDesk, ce n’est pas un script bash mais de la formation, des droits d’accès, des formats de fichiers et des habitudes à changer. Le cas munichois, cité par le rapport lui-même, le montre parfaitement. J’ajoute une règle d’hygiène de base, un script qui manipule vos accès Google ou Microsoft se lit ligne par ligne avant d’être lancé. La version texte du site ne permet d’ailleurs pas d’en juger la qualité, puisque toute la partie interactive passe par JavaScript.

Le troisième, souverain, d’accord, mais vis-à-vis de qui ? Proton est suisse et Tuta allemand, donc hors de portée directe du CLOUD Act, mais pour un utilisateur français ou canadien, ce sont toujours des prestataires étrangers. Dans les faits, la souveraineté défendue ici signifie surtout « hors juridiction américaine », ce qui se tient, à condition de l’assumer.

Le quatrième, décentralisé ne veut pas dire souverain. Avec IPFS, Filecoin, Sia ou Storj, les données vivent sur des nœuds répartis dans le monde entier, souvent rémunérés en jetons crypto. Le chiffrement côté client limite les risques, mais la question de la juridiction devient franchement floue. Quant à Arweave, sa promesse de stockage permanent se marie mal avec le droit à l’effacement prévu par le RGPD. Parfait pour des archives publiques, beaucoup moins pour des données personnelles.

Le dernier est plus philosophique. L’idée d’une souveraineté nationale qui émergerait de l’autonomie des citoyens est séduisante, mais les preuves apportées sont surtout institutionnelles : des villes, une gendarmerie, un régulateur. Soyons honnêtes, la plupart des gens n’auto-hébergeront jamais un Nextcloud sur Kubernetes et la bascule à grande échelle viendra plutôt de communs publics clés en main (à la manière d’openDesk pour les administrations).

Sovereign est une ressource remarquablement complète pour comprendre pourquoi « hébergé en France » ne veut pas dire « protégé ». Il mêle analyse juridique, retours de terrain et outils concrets, un trio encore rare sur ce sujet. Je le recommanderais d’abord aux DSI et aux techniciens du secteur public comme des PME. Ensuite aux professions tenues au secret, comme les avocats, les médecins ou les experts-comptables, qui y trouveront un guide dédié. Et enfin à tous les curieux qui veulent comprendre ce que change vraiment le CLOUD Act.

Le rapport pour le pourquoi, les notes PDF pour le comment, et les outils comme un point de départ plutôt qu’un bouton magique. Au fond, la souveraineté numérique n’est pas une question d’adresse mais une question de clés. Qui les détient et qui peut vous obliger à les rendre.