Politiques publiques / Numérique et intelligence artificielle
Souveraineté numérique et infrastructures
Un service dépend de ses réseaux, de ses logiciels, de son hébergement et des personnes qui les exploitent. Maîtriser ces dépendances suppose de pouvoir choisir ses prestataires, vérifier leurs engagements et préparer leur remplacement sans perdre les données ni interrompre les fonctions essentielles.
Le domaineVos questionsLes défis futurs et comment les anticiperNotre travailMissions possiblesPublications et formationsPremier échange
La capacité de choisir et de faire fonctionner ses services
La souveraineté numérique concerne la maîtrise des dépendances et des décisions : savoir quels acteurs interviennent, sous quels régimes, avec quels droits et quelles possibilités de remplacement. Elle engage les infrastructures matérielles, les services d'hébergement, les logiciels, les données et les compétences. La localisation d'un centre de données constitue un élément de l'analyse ; elle ne répond pas à toutes ces questions.
Les choix publics doivent rapprocher la sécurité, les besoins des usagers, les coûts, la durée des engagements et les ressources nécessaires à l'exploitation. Une solution peut être performante tout en rendant une sortie difficile. Une architecture mutualisée peut réduire certains coûts, mais demander une organisation précise des accès, des responsabilités et des décisions.
Des règles à apprécier selon l'organisme et l'activité
La doctrine « Cloud au centre » organise les choix numériques de l'État dans son champ d'application. Elle prévoit des exigences particulières pour les données sensibles. Son application doit être examinée avec la nature du produit, des données et des acteurs ; elle ne doit pas être présentée comme le régime uniforme de tout achat numérique d'une collectivité, d'un établissement ou d'une entreprise. La doctrine de l'État.
La FAQ de la DINUM précise que les collectivités territoriales ne relèvent pas du champ de cette circulaire. Leur choix reste à confronter à leurs obligations propres, à la sensibilité du service et aux garanties recherchées. Une doctrine d’achat, une obligation légale et une recommandation technique doivent être distinguées.
Les règles sectorielles, la protection des données et les obligations de sécurité doivent aussi être identifiées. Information classifiée, donnée personnelle et information sensible au sens d'une doctrine d'hébergement ne sont pas des catégories équivalentes.
Les infrastructures et leur ancrage territorial
Les réseaux, centres de données et équipements partagés supposent des droits sur les sites, des raccordements, des contrats et des conditions d'exploitation. Les projets doivent rapprocher la disponibilité des ressources, les besoins des services et les procédures nécessaires. Les questions foncières, énergétiques ou environnementales sont examinées avec les compétences correspondantes, sans réduire le projet à l'achat d'un logiciel. Infrastructures publiques.
Les décisions à préparer
Connaître les dépendances et les accès
L'analyse reconstitue les services utilisés, les fournisseurs, les sous-traitants et les accès d'administration ou de maintenance. Elle examine les données, les clés de chiffrement lorsque leur gestion est pertinente, les documents techniques et les conditions contractuelles. Un stockage situé en Europe n'exclut pas à lui seul l'existence de flux ou d'accès à examiner depuis un pays tiers.
Les transferts de données personnelles hors de l'Espace économique européen doivent être qualifiés et encadrés selon les mécanismes applicables. Les garanties et éventuelles mesures supplémentaires s'apprécient à partir des flux réels et du contexte juridique. Cadre des transferts de données.
Définir des exigences vérifiables pour l'achat
Les exigences de sécurité, de disponibilité, d'accès aux données et de restitution doivent être traduites dans les pièces de l'achat et le contrat. Il faut préciser les preuves attendues, le périmètre du service et les contrôles à la réception. Les critères sont rapprochés du besoin, de la procédure et des conditions de mise en concurrence.
La qualification SecNumCloud concerne une offre et son périmètre. Elle ne doit pas être déduite d'une simple présentation commerciale du fournisseur. L'ANSSI précise qu'elle ne préjuge pas de la sécurité du service numérique du client hébergé sur cette offre : les responsabilités liées à l'application, aux usages et aux accès restent à organiser. Portée de la qualification SecNumCloud.
Conserver les droits et moyens nécessaires à l'exploitation
Les licences, contrats de développement et prestations de maintenance doivent permettre de comprendre qui peut utiliser, modifier ou reprendre les composants. Un accès au code ne suffit pas si les compétences, la documentation ou les autres dépendances manquent. Les solutions à code ouvert demandent elles aussi un examen de leurs licences et de leurs conditions de maintenance.
Pour une plateforme partagée, il faut préciser la structure porteuse, les règles d'accès, le financement, les décisions de modification et le traitement des incidents. La mutualisation n'efface ni les obligations propres à chaque organisme ni la nécessité d'un interlocuteur responsable de l'exploitation.
Préparer une sortie qui permette de poursuivre le service
La réversibilité doit porter sur les données, les formats, les historiques, les interfaces et les éléments nécessaires à leur reprise. Les délais, l'assistance, les coûts et la suppression des copies conservées par le prestataire sont examinés. Un export doit pouvoir être exploité dans l'environnement de destination, avec les contrôles convenus.
La fin du contrat, une défaillance ou une interruption de service peuvent survenir avant que la solution suivante soit prête. Les engagements doivent donc être rapprochés d'un plan de transition et des fonctions qui doivent rester accessibles.
Le règlement européen sur les données, dit Data Act, encadre aussi le changement de fournisseur de services de traitement de données. Les articles 23 à 31 traitent des obstacles, du contrat, de l’assistance et de la portabilité, avec des régimes particuliers pour certains services. Le champ exact doit être vérifié avant de conclure qu’une clause ou une facturation est permise.
Les défis futurs et comment les anticiper
Des dépendances réparties entre plusieurs couches de services
Un outil peut combiner hébergement, composants logiciels, identité numérique et services d'analyse provenant de différents fournisseurs. La maîtrise ne se mesure pas au seul contrat principal. Les mises à jour, les accès et les possibilités de changement doivent être suivis sur la chaîne utile au fonctionnement du service.
Pour un système d’IA, changer d’hébergeur ne permet pas nécessairement de remplacer le modèle, ses interfaces ou les outils qui l’entourent. Avant le déploiement, distinguer les composants substituables, les droits nécessaires et les fonctions à reconstruire permet de comparer les solutions. Les contrats et les tests de reprise doivent porter sur cette chaîne, avec un scénario de fonctionnement dégradé si un composant devient indisponible.
La hausse des besoins de calcul et les choix d'infrastructure
Les usages d'intelligence artificielle peuvent modifier les capacités nécessaires, les coûts et les flux de données. Le projet doit rapprocher les besoins réels des ressources, des engagements et des alternatives. Les effets énergétiques et les contraintes du site demandent un examen propre au projet, sans annoncer une capacité ou un gain qui n'a pas été établi.
Les évolutions juridiques et les changements de fournisseur
Une modification des garanties de transfert, de la qualification d'une offre ou de la chaîne de sous-traitance peut conduire à revoir l'analyse. Le contrat doit permettre d'obtenir l'information utile et de décider d'une correction, d'une limitation ou d'une transition. Les mécanismes de suivi doivent rester utilisables après le déploiement.
Le Data Act prévoit la suppression des frais de changement de fournisseur à partir du 12 janvier 2027, dans son champ et sous réserve des régimes particuliers. Cela ne signifie pas qu’une migration devient sans coût pour le client : préparation, adaptation des applications et ressources internes restent à apprécier. Pour anticiper cette échéance, comparer les clauses, les prestations facturées et les moyens techniques de sortie permet de construire un budget et un calendrier crédibles.
Préserver les compétences et les moyens de reprise
Une documentation conservée mais jamais utilisée ne suffit pas si l’organisme ne sait plus administrer ses outils ou contrôler le travail du prestataire. Le marché peut organiser la transmission des connaissances, la mise à jour documentaire et des exercices de reprise. Il faut identifier les responsables internes, les compétences à maintenir et les moyens mobilisables en cas de difficulté. La mutualisation peut y contribuer, à condition de préciser les priorités et les capacités disponibles pour chaque partenaire.
Le travail du cabinet avec les équipes
Le directeur de mission examine les objectifs et les fonctions essentielles avec les responsables juridiques, techniques et opérationnels. Il propose les vérifications et décisions utiles : obtenir une pièce du fournisseur, revoir un droit d'usage, préciser une obligation ou préparer une alternative. Les expertises techniques nécessaires sont associées dans le périmètre convenu.
Il prend l’initiative d’alerter lorsqu’un changement de sous-traitant, une restriction d’accès ou une modification de licence affecte la solution retenue. Les échanges directs servent à arrêter les mesures et leurs responsables avant le renouvellement du marché ou la migration, avec des points de contrôle pendant la transition.
Le travail combine commande publique, contrats informatiques, protection des données et règles sectorielles. Les conclusions distinguent les obligations applicables, les choix d'organisation et les exigences à négocier. Le suivi porte sur les modifications et les difficultés d'exploitation, avec des restitutions permettant aux équipes de prendre les décisions.
Commande publique · Cybersécurité et continuité des services · Données publiques
Des missions possibles
Ces descriptions présentent des travaux envisageables et des livrables à convenir. Elles ne constituent pas des références de missions réalisées ni des garanties de résultat.
Préparer le choix d'un hébergement
La mission qualifie les données et les services, examine les règles applicables et compare les conditions juridiques des options. Elle peut produire une note de choix, les exigences et preuves à demander, puis les clauses d'accès, de sécurité et de restitution pour l'achat.
Revoir les dépendances d'un système existant
Le cabinet examine les contrats, licences, sous-traitants et droits nécessaires à l'exploitation. Le travail identifie les difficultés de reprise et les obligations à compléter. Les livrables peuvent comprendre une cartographie juridique des dépendances et un plan de corrections discuté avec les équipes techniques.
Structurer une infrastructure ou une plateforme mutualisée
Plusieurs organismes souhaitent partager un équipement ou un service. La mission compare les formes d'organisation, les compétences et les engagements, puis prépare les conventions, les modalités de financement et les pièces contractuelles. Elle précise les responsabilités d'exploitation et les décisions à prendre en cas de modification ou de sortie d'un partenaire.
Organiser une migration ou une fin de contrat
Le travail rapproche les obligations du prestataire des besoins de reprise. Il prépare les demandes de restitution, les clauses et le calendrier juridique de transition, avec les contrôles sur les données et livrables. Les fonctions essentielles et les échéances du service sont suivies pendant la migration.
Traiter un différend avec un prestataire
Une restitution, une indisponibilité ou une modification de service est contestée. Le cabinet reconstitue les engagements et les faits, conserve les preuves utiles et prépare les demandes, négociations ou écritures adaptées. Les mesures urgentes sont appréciées selon la situation et les procédures ouvertes.
Accompagner une contestation de l'achat
La mission examine le besoin, les critères, les pièces et le traitement des offres. Elle prépare les observations, recours ou défenses selon le rôle du client, avec les délais propres à la procédure. L'analyse porte sur les exigences effectivement formulées et leur justification.
Publications et formations
La présentation de XXI Institut situe sa démarche de recherche et de débat public. La réflexion sur l’autonomie technologique et les choix industriels doit être distinguée des obligations applicables à un achat. Ce renvoi général ne désigne pas une publication particulière.
XXI Formations : construire un programme sur mesure — choix d'hébergement, clauses des achats numériques, responsabilités et réversibilité peuvent être travaillés avec vos équipes à partir de leurs projets.
Secteur numérique et intelligence artificielle · La relation client
Préparer un premier échange
Précisez les services concernés, les prestataires, le contrat ou le projet d'achat et les décisions attendues. Signalez les échéances et les difficultés de continuité ou de restitution. Les documents techniques et données protégées sont transmis selon des modalités convenues avec le cabinet.
Revenir au domaine Numérique et intelligence artificielle · Sous-page suivante : Plateformes et régulation numérique