« Souverain » est devenu un mot marketing, ce qui le rend inutile pour décider quoi que ce soit. Voici donc un test concret. Passez votre installation actuelle au crible de ces douze contrôles. Ils prennent cinq minutes, ne demandent aucun e-mail, et vous diront honnêtement quelle part de votre stack est réellement sous votre contrôle — par opposition à simplement hébergée au bon endroit.
L'auto-diagnostic en 12 points
Pour chaque point, un « oui » assuré est bon signe. Un « non » ou un « pas sûr » est l'endroit où se loge votre exposition.
- 1. Juridiction du prestataire — chaque prestataire détenant vos données est-il constitué sous une loi à laquelle vous faites confiance, plutôt qu'une filiale d'une société étrangère ?
- 2. Exposition au CLOUD Act — pouvez-vous dire, pour chaque système, qu'aucun prestataire dont le siège est aux États-Unis ne contrôle les données, même dans une région de l'UE ?
- 3. Localisation des données — savez-vous réellement dans quel pays chaque jeu de données est stocké, et pouvez-vous le prouver ?
- 4. Clés de chiffrement — détenez-vous vos propres clés, de sorte que l'accès soit votre décision plutôt qu'un réglage par défaut du prestataire ?
- 5. Portabilité du prestataire — pourriez-vous changer de prestataire sans tout reconstruire, et existe-t-il une voie de sortie écrite ?
- 6. Maîtrise de l'e-mail — votre e-mail est-il sur une infrastructure que vous maîtrisez ou chez un prestataire européen, avec SPF, DKIM et DMARC appliqués ?
- 7. Sauvegardes — les sauvegardes sont-elles détenues quelque part que vous maîtrisez, restaurables sans le prestataire d'origine, et réellement testées ?
- 8. Flux de données IA — lorsque votre équipe utilise l'IA, savez-vous si vos documents quittent votre périmètre, et où ils vont ?
- 9. Identité & accès — gérez-vous votre propre identité (comptes, MFA, arrivées/départs) plutôt que de dépendre d'une seule plateforme étrangère ?
- 10. Verrouillage — vos systèmes centraux sont-ils open source ou fondés sur des normes ouvertes, pour que vous ne soyez pas l'otage de la feuille de route et des prix d'un seul fournisseur ?
- 11. Documentation — un nouveau partenaire pourrait-il reprendre votre stack à partir d'une documentation écrite que vous possédez, sans le fournisseur actuel dans la pièce ?
- 12. Sous-traitants — disposez-vous d'une liste à jour de qui touche réellement à vos données, et sous quelle loi ils opèrent ?
Quel est votre score ?
Personne ne marque douze sur douze, et ce n'est pas nécessaire. L'objectif n'est pas un score parfait — c'est de savoir où se trouve votre véritable exposition, et de décider quelles lacunes valent la peine d'être comblées. Le profil de risque d'une banque diffère de celui d'un studio de design.
Majorité de « oui »
Vous êtes en réelle bonne posture — plus souverain que la plupart. Il vaut la peine de refaire le point périodiquement à mesure que vous ajoutez des outils, car chaque nouveau SaaS ajoute discrètement des sous-traitants et des flux de données.
Une poignée de « non » ou de « pas sûr »
Normal, et corrigeable. Les réponses « pas sûr » sont celles à traiter en premier — l'incertitude cache généralement la plus grande exposition. Choisissez les deux ou trois qui comptent le plus pour votre secteur et comblez-les délibérément.
Si vous souhaitez un regard extérieur, c'est exactement ce que fait notre audit gratuit souveraineté & IA : nous passons votre stack au crible en profondeur et vous remettons une série écrite et priorisée de prochaines étapes — sans engagement.
Questions fréquentes
- Dois-je donner mon e-mail pour obtenir ceci ?
- Non. Tout l'auto-diagnostic est sur cette page, gratuit, sans rien à remplir — c'est tout l'intérêt du principe « confidentialité d'abord ». Si vous souhaitez l'appliquer à votre stack spécifique, l'audit gratuit fait exactement cela.
- Quelle est la différence entre hébergé en Europe et souverain ?
- Héberger en Europe satisfait à la résidence des données — où se trouvent les données. La souveraineté concerne le contrôle et la juridiction : qui peut contraindre l'accès, si vous détenez les clés, et si vous pouvez partir. La région UE d'un cloud américain est résidente mais pas souveraine.
- Un score parfait est-il l'objectif ?
- Non. L'objectif est une carte honnête de votre exposition afin de combler les lacunes qui comptent pour votre entreprise. Différents secteurs justifient différents niveaux de rigueur.