Accueil Effisyn S.D.S
| Effisyn S.D.S | Les Entretiens | Personnalité du numérique Vu 15463 fois
Article N°28836
Le grand entretien avec Sylvain Rutten - Souveraineté numérique, Open Source et continuité de service
La souveraineté numérique est très à la mode; surtout dans les discours, on peut s'étonner que les actes ne suivent pas. Avec Sylvain Rutten nous balayons les questions soulevées par le numérique, la souveraineté numérique et l'Open source. Sa vision et ses propositions sont claires, je vous invite à lire cet entretien riche et passionnant. Il analyse et propose des solutions réalistes, arriverons nous à agir et cesser notre addiction au numérique américain ? Serons-nous capable de relever le défi, qui reste à notre portée s'il y a une réelle prise de conscience et une véritable envie de passer à l'action.
Lisez, et réagissez!
#SouverainetéNumérique #OpenSource #LoisExtraterritoriales
Lisez, et réagissez!
#SouverainetéNumérique #OpenSource #LoisExtraterritoriales
Le sujet, ô combien brûlant et d’actualité qu’est la souveraineté numérique, vous permet de croiser à l’occasion d’échanges épistolaires sur certains réseaux sociaux des personnalités intéressantes, qui vous donnent envie de partager leur vision du numérique et de l’aspect souveraineté numérique qui couvre beaucoup d’angles. Sylvain Rutten est de ces personnes là. Il s’agit d’un ingénieur système et réseaux qui a de fortes convictions notamment sur l’approche Open Source.
C’est donc avec plaisir que je vous partage cette interview écrite qu’il a accepté de m’accorder pour mon site Effisyn SDS qui se veut média portant la voix des acteurs du numérique français notamment.
Côté passion, j’ai vécu l’âge d’or des consoles et micro-ordinateurs : la Vectrex, puis l’univers Atari et Amiga, avant de passer sur PC, à la fois pour jouer et m’initier à la retouche photo à l’époque un véritable artisanat numérique. J’y ai passé des nuits entières sur Populous et Civilization, mais aussi sur des simulateurs de vol et des sessions de dogfight, qui m’ont donné très tôt le goût des systèmes complexes, de la tactique et de la précision.
Professionnellement, j’ai plus de 25 ans d’expérience dans les systèmes d’information. J’ai commencé par le développement web chez AlloCiné, puis l’administration systèmes et réseaux chez Vivendi. J’ai ensuite exercé comme consultant et architecte d’infrastructures critiques, sur des sujets comme l’Active Directory, le routage BGPi ou les clusters haute disponibilité.
J’ai été responsable SI chez RueDuCommerce, où j’ai introduit l’open source et le peering, puis directeur infrastructures chez Veepee, où j’ai mis en place des PCA/PRAii, géré 2 pétaoctets de données et développé un IaaS/PaaS maison. Chez Maileva, j’ai refusé un basculement imposé vers AWS sans justification stratégique, par conviction sur les enjeux de souveraineté.
Aujourd’hui, je suis consultant indépendant. Mon ambition est de rassembler le monde de l’IT autour d’une charte commune, portée avec NextHop, pour promouvoir un numérique ouvert, réversible, automatisé et souverain.
[SR] : Je défends l’Open Source parce qu’il combine efficacité technique et indépendance stratégique.
1. Transparence : le code est ouvert, ce qui permet de l’auditer. Concrètement, ça veut dire qu’un expert indépendant peut vérifier s’il contient des failles, des portes dérobées ou des comportements contraires à ce que vous attendez. Dans le monde propriétaire, vous devez faire confiance sur parole au fournisseur.
2. Réversibilité : pas de verrou propriétaire. Si un prestataire augmente ses tarifs ou baisse la qualité de service, vous pouvez en changer sans tout reconstruire. C’est la liberté de choisir et de garder la maîtrise de vos outils.
3. Coût total maîtrisé : avec l’Open Source, on paie pour l’expertise, l’intégration et le support, pas pour des licences rigides indexées sur le nombre d’utilisateurs ou de serveurs. Sur 5 à 7 ans, le coût total de possession est souvent plus bas et surtout plus prévisible.
4. Innovation partagée : derrière les grands projets Open Source, il y a des communautés mondiales d’ingénieurs qui corrigent, améliorent et innovent en continu. Cela veut dire que les évolutions ne dépendent pas d’un seul éditeur et que la solution progresse plus vite.
5. Souveraineté : l’Open Source permet un déploiement sur des infrastructures européennes, avec un contrôle complet des clés de chiffrement et des journaux d’activité. C’est un élément clé pour la sécurité et la conformité, surtout pour les données sensibles.
Pour un utilisateur non-expert, tout ça se traduit par un système libre, sans licences contraignantes, qui va à l’essentiel : répondre au besoin réel, sans gadgets inutiles qui ralentissent ou fragilisent l’outil. C’est plus simple, plus transparent et plus durable.
[SR] : L’Open Source n’est pas magique et comporte aussi des contraintes.
1. Courbe d’adoption : si l’équipe n’est pas déjà formée ou équipée, la montée en compétence peut prendre du temps. Cela nécessite un plan d’accompagnement et de formation.
2. Support et maturité variables : tous les projets Open Source n’ont pas le même niveau de stabilité ni la même qualité de documentation. Certains sont très robustes, d’autres encore expérimentaux. Il faut donc bien sélectionner et auditer les solutions avant de les déployer.
3. Gouvernance technique indispensable : la liberté de l’Open Source implique aussi de gérer activement les mises à jour, la sécurité, la compatibilité et l’intégration continue (CI/CD). Sans gouvernance claire, on prend le risque d’un système obsolète ou vulnérable.
4. Angle mort managérial : beaucoup de décideurs publics et privés connaissent mal l’Open Source et subissent le lobbying des grands éditeurs propriétaires. Résultat : des choix défavorables, un sous-investissement dans les compétences internes, et un discours biaisé sur le coût réel.
5. Biais financiers : dans certains comités de direction, l’idéologie OPEX et la pression sur l’EBITDA conduisent à privilégier les solutions SaaS propriétaires, perçues comme plus faciles à budgéter à court terme, mais souvent plus coûteuses et plus contraignantes à long terme.
En résumé, l’Open Source demande un engagement : il faut investir dans les équipes et la gouvernance pour en récolter pleinement les bénéfices.
Les solutions propriétaires posent problème quand elles imposent des formats fermés, des APIiii instables, des frais de sortie élevés ou une opacité sur le code et les données. Dans ces cas-là, vous perdez la maîtrise et la liberté de choix.
Mais un éditeur propriétaire qui joue la transparence, qui respecte les standards ouverts, qui garantit la portabilité et la réversibilité, peut être tout à fait pertinent selon le contexte. Ce n’est donc pas une guerre idéologique, mais une question de gouvernance et de clauses contractuelles.
Après, il faut être lucide : même si la sortie est toujours possible techniquement si l’on dispose de la documentation, la conversion peut être douloureuse dans les usages. Ce sont souvent les interfaces et les habitudes des utilisateurs qui rendent le changement complexe, plus que la migration technique elle-même.
L’enjeu, ce n’est donc pas de brandir un drapeau “propriétaire” ou “open source”, mais de garantir que, quelle que soit la solution choisie, vous gardez le contrôle, la compatibilité et la capacité de changer d’outil sans mettre en péril votre activité.
[SR] : Pour moi, la souveraineté numérique, c’est la capacité pour un pays ou une organisation de décider, de déployer et d’opérer ses systèmes sans dépendre de décisions techniques, juridiques ou commerciales prises ailleurs.
Elle repose sur cinq piliers :
– Matériel et énergie : disposer d’infrastructures matérielles et d’une autonomie énergétique pour les alimenter.
– Logiciels et standards ouverts : éviter le verrouillage propriétaire et garantir l’interopérabilité.
– Données : maîtrise de leur localisation, chiffrement, et gouvernance.
– Compétences : former et retenir les talents capables d’exploiter et de faire évoluer les systèmes.
– Droit : s’assurer que les règles applicables sont celles de notre juridiction, et non celles d’une puissance étrangère.
Un label marketing ne supprime pas une dépendance : si l’adresse IP, la feuille de route, les mises à jour ou le code source sont contrôlés hors UE, on n’est pas souverain. C’est la raison pour laquelle je critique les “clouds de confiance” adossés à des hyperscalers américains ou autres.
Nous vivons aujourd’hui dans une dépendance atlantiste et occidentale. Je ne connais pas les systèmes d’exploitation chinois car je n’y ai pas accès, mais je ne doute pas de leur efficacité. La politique chinoise n’est pas la mienne, et je n’ai pas à la juger mais ils ont sur le plan numérique la même approche que les États-Unis sur bien des points : un contrôle juridique fort et une maîtrise nationale des outils.
Le problème n’est pas l’OS en lui-même, mais le droit qui encadre sa commercialisation et son usage. C’est pourquoi, à mon sens, l’Open Source est une voie équilibrée et sage : il permet la transparence, la réversibilité, et une gouvernance réellement partagée.
1. Le rez-de-chaussée : le matériel et les câbles (couches L1-L2)
Ici, on parle des serveurs, des composants électroniques, des câbles réseau.
– Double sourcing : ne pas acheter tous ses composants au même fournisseur, pour éviter la dépendance.
– SBOM (liste des composants logiciels embarqués) : savoir exactement quels logiciels tournent dans vos équipements pour détecter une faille ou un élément soumis à une loi étrangère.
– Firmware auditable : le logiciel interne des équipements doit pouvoir être vérifié, pour éviter les portes dérobées.
– Redondance énergie/refroidissement : comme avoir un générateur de secours et une climatisation de secours pour éviter l’arrêt en cas de panne.
2. Le premier étage : le réseau et le transport (couches L3-L4)
C’est la partie qui transporte vos données entre machines.
– Routage dynamique : si une route est coupée, les données passent automatiquement par un autre chemin.
– Anycast : avoir plusieurs points d’accès dans le monde pour répartir et sécuriser le trafic.
– Micro-segmentation : cloisonner le réseau pour éviter qu’une intrusion dans une partie n’ouvre la porte à tout le reste.
– TLS partout : chiffrer toutes les communications, même internes, pour éviter l’espionnage.
– Plan de reprise réseau testé : un “exercice d’incendie” numérique pour voir si le réseau repart vite après une panne majeure.
3. Le deuxième étage : le système et les briques logicielles
– Utiliser des systèmes d’exploitation libres et renforcés comme Linux ou BSDiv, pour ne pas dépendre d’un éditeur étranger et pouvoir auditer le code.
– S’appuyer sur des technologies standards (PostgreSQL, MariaDb pour les bases de données, AMQP pour la messagerie, OIDC pour l’authentification, OpenTelemetry pour la supervision, Kubernetes vanilla pour l’orchestration) afin de rester compatible et portable.
– Portabilité documentée : avoir un mode d’emploi clair pour déplacer l’ensemble vers un autre environnement si besoin.
4. Le dernier étage : les applications et les données (couches L5-L7)
– Exports complets et scripts d’exit testés : pouvoir sortir toutes les données et les paramètres sans blocage technique, et vérifier régulièrement que ça fonctionne.
– Chiffrement côté client (HYOK) : chiffrer les données avant qu’elles n’arrivent chez le fournisseur, et garder les clés en interne.
– Journalisation exportable : garder un enregistrement complet des accès et opérations, que vous contrôlez vous-même.
– Clauses contractuelles opposables : inscrire dans les contrats des obligations claires sur la localisation des données, la réversibilité et l’absence de soumission à des lois étrangères.
– Pour le sensible : exclure les solutions “de confiance” mais dépendantes de fournisseurs soumis à des lois extraterritoriales (Cloud Act américain, par exemple).
En résumé, on ne protège pas seulement avec de la technologie, mais aussi avec des règles et des choix de conception. C’est comme construire un bâtiment solide avec des issues de secours, un plan d’évacuation et un cadenas dont vous gardez la clé.
Pourquoi est-il si difficile à faire comprendre aux différents acteurs économiques et politiques que la souveraineté numérique notamment, c’est remettre la chaîne de valeur majoritairement en France et donc de favoriser l’économie française et nos emplois ?
[SR] : Parce que notre culture économique et politique est verrouillée dans le court-termisme et l’illusion du confort. On raisonne en OPEX, en time-to-market, en slides de consultants, et on se laisse hypnotiser par le marketing des géants du numérique. On ne mesure pas le TCOv sur 5 ou 7 ans, on ne chiffre pas les frais de sortie, on ne teste pas les migrations, on ne capitalise pas sur les retours d’expérience. Résultat : on prend des décisions qui paraissent économiquement optimales à 12 mois, mais qui détruisent notre autonomie à long terme.
Le problème est aussi culturel : en Europe, on a cru que notre libéralisme et nos règles de concurrence étaient universels. On a construit nos politiques comme si le monde entier jouait à armes égales, alors que nos concurrents protègent leurs marchés et leurs entreprises avec des barrières juridiques et réglementaires puissantes. Nous, on reste hors sol.
Et c’est là que l’inculture juridique de l’écosystème devient dangereuse. Beaucoup d’acteurs start-ups, élus, acheteurs publics ne comprennent pas les implications réelles de l’extraterritorialité, du Cloud Act, ou des normes d’exportation de données. Ils vivent dans un monde de Oui-Oui numérique, où tout est interopérable par magie et où la guerre économique serait une fiction. La réalité, c’est que cette guerre est permanente et qu’elle se joue dans nos contrats, dans nos API, dans la gouvernance des protocoles, et dans les clauses que personne ne lit.
La souveraineté, ce n’est pas un mot-clé pour discours politique : c’est la condition pour relocaliser la valeur, garder la main sur nos décisions et éviter que nos impôts financent des infrastructures étrangères. Sans une culture économique et juridique forte, on continuera à perdre cette bataille avant même d’avoir compris qu’elle avait commencé.
Comme le rappelait Alexis de Tocqueville : « La démocratie est un régime qui ne peut subsister que s’il y a un peuple instruit et capable de s’autogouverner. » C’est vrai pour la démocratie, et c’est tout aussi vrai pour le numérique.
Pensez-vous que notre personnel politique est à la hauteur des enjeux qui nous attendent sur le numérique qui est le cœur de l’économie du 21me siècle ?
[SR] : Non, notre personnel politique n’est pas à la hauteur. On reste enfermé dans des cadres anglo-saxons, fascinés par les hyperscalers, incapables d’aligner le discours souverainiste avec les actes. On proclame l’indépendance numérique tout en signant des contrats stratégiques avec des fournisseurs soumis au Cloud Act. On choisit le court terme au détriment de la souveraineté à long terme.
Prenons l’exemple du président Macron : Young Leader de la French-American Foundation (promotion 2012), entouré et soutenu par des acteurs très proches des GAFAM, il a été propulsé politiquement avec des outils comme NationBuilder lors des campagnes de 2017. C’est symptomatique d’une classe dirigeante qui parle indépendance mais avance sous perfusion technologique extérieure.
Et la French Tech ? Le nom est séduisant, la réalité l’est beaucoup moins. On subventionne des start-ups qui reposent sur du cloud et des briques logicielles américaines, et qui deviennent vite dépendantes des géants qu’elles prétendaient concurrencer. Ce n’est pas une politique industrielle, c’est de la vitrine.
Si on était sérieux, on imposerait une préférence européenne opposable dans la commande publique, la réversibilité obligatoire, des lignes rouges sur l’extraterritorialité, et des investissements massifs dans nos compétences et nos capacités de calcul. Ce n’est pas un débat, c’est vital pour l’État et pour nos vies quotidiennes. Et on ne peut pas se contenter de faire confiance quand on n’a aucun moyen de contrôle.
Alors, qu’est-ce qu’on fait, concrètement, si on veut sortir du discours pour entrer dans l’exécution ? On commence par réécrire la commande publique. Aujourd’hui, on achète des abonnements et des promesses ; demain, on achète des capacités mesurables. Un marché numérique doit fixer des obligations de résultat qui ne laissent pas de place au marketing : disponibilité annoncée et tenue, RTO/RPO vérifiés en conditions réelles, patchs critiques déployés en moins de sept jours, chiffrement HYOK (les clés restent entre les mains de l’administration) et, surtout, réversibilité prouvée. Pas une clause décorative : un exercice semestriel d’“exit” avec export intégral (données, métadonnées, configurations), import sur une infra alternative sans aide du fournisseur, procès-verbal à l’appui. Si l’exit échoue, le prestataire corrige à ses frais. C’est simple, opposable, et ça remet le curseur sur la maîtrise plutôt que sur la dépendance.
La même logique vaut pour le droit. Toute prestation touchant à des données sensibles comporte une clause de notification et d’opposition aux injonctions extraterritoriales ; la localisation UE est explicite ; les journaux d’audit sont exportés en continu vers un coffre contrôlé par l’État. J’assume un barème public de souveraineté dans les appels d’offres : on pondère le prix par un score légal et technique (juridiction applicable, contrôle des clés, portabilité réelle, indépendance réseau/DNS), et ce score pèse dans l’attribution. Ce n’est pas de l’idéologie ; c’est de la gestion du risque.
Ensuite, il faut des muscles : des capacités locales. On ne construit pas une souveraineté avec des slides : il nous faut un réseau de clouds de proximité opérés sous droit européen, interconnectés, capables d’absorber des charges critiques y compris de l’IA avec des pools GPU mutualisés, des SLA lisibles et des API standard. Pas pour “faire comme les hyperscalers”, mais pour tenir nos services essentiels, nos data-lakes publics, nos modèles d’IA entraînés et inférés en Europe, et garantir la continuité d’activité quand la géopolitique se rappelle à nous. Tant qu’une administration ne peut pas redémarrer demain hors d’un écosystème soumis au Cloud Act, elle n’est pas souveraine ; point.
Rien de tout cela ne tient sans compétences. Plutôt que d’inventer une énième école, l’État passe commande de formations ciblées pour ses agents auprès d’acteurs qui savent déjà former des ingénieurs Epitech, EPITA, les universités ou des grandes écoles comme Telecom ou même l'X. Des parcours multi-annuels co-construits avec les ministères, avec obligations de résultat : des cohortes SRE, SecOps, architectes d’infrastructures souveraines, exploitation Kubernetes upstream, observabilité ouverte, exit drills encadrés, audits d’API, chiffrement HYOK. On ne “valide” pas à l’oral : on fait. Un agent certifie sa compétence quand il a redémarré un service ailleurs en 24 heures lors d’un exercice grandeur nature. Et on aligne la progression de carrière sur ces preuves de maîtrise. C’est la manière la plus rapide de ré-internaliser de la valeur.
Pour financer l’écosystème, je plaide pour sanctuariser une part du budget IT (1 à 2 %) au profit de communs open source essentiels (identité, messagerie, observabilité, ETL, sécurité), non pas en subventions éphémères, mais via contrats de maintenance, bug-bounties et roadmaps partagées. L’objectif n’est pas la posture : c’est d’avoir des briques auditables, interopérables, opérables chez nous, sans renoncer aux standards ni à l’excellence.
La trajectoire doit être lisible. Les douze premiers mois, on réalise l’inventaire des dépendances extraterritoriales, on classe les services par criticité et par réversibilité (ce qui est vital et peu portable doit être internalisé ou basculé sur un cloud de proximité ; ce qui est portable peut rester hybride à condition d’exporter données et journaux en continu). On fixe des jalons trimestriels et on organise un “exit day” par ministère : un jour où l’on sort réellement un périmètre pilote. Pas de maquillage : si ça ne redémarre pas ailleurs, on corrige jusqu’à ce que ça marche. En parallèle, on réécrit les modèles de contrats pour intégrer ces clauses, et on publie le score souveraineté de chaque marché pour rendre les arbitrages explicites devant le citoyen.
Reste l’IA. Là encore, méthode. Avant la production, on exige un DPIA raisonnable, des model/data cards, un red-teaming biais et sécurité régulier, des tests de factualité et de robustesse versionnés. En production, on journalise prompts, sorties et arbitrages, on maintient un human-in-the-loop sur toute décision à effet juridique, et on partage les gains de productivité avec un plan de requalification des équipes. La souveraineté, c’est aussi ça : ne pas externaliser notre jugement.
Si l’on met bout à bout ces briques des contrats opposables, des capacités locales crédibles, des compétences reconstruites par commande publique auprès d’Epitech, EPITA et des universités, et une culture de l’“exit” qui s’exerce vraiment alors on quitte la vitrine pour revenir au service public : un État qui sait où sont ses données, qui détient les clés, et qui peut partir demain matin sans demander la permission. C’est ainsi que l’on aligne, enfin, le discours souverainiste avec les actes.
Le choix de solutions SaaS / Cloud n’implique-t-il pas exposition accrue aux risques géopolitiques ou d’espionnage industriel ?
[SR] : Sur les risques, je n’agite pas des totems : je décris ce qui casse et comment on l’empêche de casser. D’abord, le juridique et le géopolitique. L’extraterritorialité n’est pas une rumeur : un fournisseur soumis au Cloud Act ou à la FISA 702, ou à des lois de sécurité nationale ailleurs, peut être sommé de livrer des données, même hébergées en Europe. Ajoutez l’instabilité réglementaire sanctions OFAC, embargos technos et vous obtenez des coupures ou des restrictions qui tombent sans préavis. Le plus pervers est la zone grise RGPD/Cloud Act : l’utilisateur reste responsable de données qu’il ne maîtrise pas totalement. Ma parade est très concrète : localisation UE explicite, chiffrement HYOK (les clés restent chez nous), journaux d’audit exportés en continu vers un coffre immuable que nous contrôlons, et clauses opposables de notification et d’opposition à toute injonction étrangère. J’y ajoute un plan de continuité juridique documenté : qui fait quoi en J0 si une autorité non-UE demande l’accès, quels flux on gèle, quelle bascule on opère, et avec quelles preuves on conteste. Tant qu’on ne l’a pas joué une fois « à blanc », on est dans la croyance.
Sur le plan technique et opérationnel, la réalité est encore plus crue : une mise à jour ratée ou une panne côté fournisseur peut paralyser un pays entier ; le lock-in se loge dans des API capricieuses, des formats fermés, des services managés qu’on ne peut pas répliquer ; et la chaîne de dépendances est longue un SaaS (Software as a Service) qui se dit souverain peut s’appuyer sur un DNSvi, un CDN ou un service d’authentification opérés hors UE. Ma façon de faire est toujours la même : architecture composable et standardisée, identité OIDCvii sous contrôle, DNS anycast que nous opérons, observabilité ouverte (logs, métriques, traces) que nous rapatrions, et sauvegardes restaurées régulièrement sur une infra alternative. Les SLOviii ne valent que s’ils sont prouvés : je teste les RTO/RPO en conditions réelles, je pratique le chaos engineering sur des périmètres pilotes, et je mène des exit drills semestriels avec export intégral, import « à froid » ailleurs, et procès-verbal à la clé. Sans ça, la portabilité est une promesse marketing.
Reste le stratégique et l’économique : externaliser massivement, c’est perdre des compétences et donc la capacité de redémarrer seul en cas de rupture ; la concentration du marché transforme un incident chez un géant en panne systémique. Je tranche avec une matrice simple : criticité d’un service et réversibilité réelle. Ce qui est vital et peu portable doit être internalisé ou opéré en cloud de proximité sous droit européen, avec HYOK, journaux sortants et équipe interne capable de relancer en 24 heures ; ce qui est important mais portable peut rester hybride à condition d’exporter données et traces en continu et de rejouer l’export tous les trimestres ; le reste s’achète au meilleur coût. En parallèle, je ré internalise de la valeur : une part du budget IT sanctuarisée pour des communs open source (maintenance, bug-bounties, roadmaps partagées) et une commande publique de formation auprès d’Epitech, EPITA et des universités pour certifier des cohortes SRE, SecOps et architectes validation par la pratique : « tu as redémarré ailleurs en 24 h, tu es certifié ».
Au final, une approche souveraine et résiliente n’est pas une posture : c’est un enchaînement vérifiable. Audit de la chaîne complète (y compris les sous-traitants du fournisseur), contrats opposables qui organisent la localisation, l’HYOK, la réversibilité et la notification d’injonctions, architecture hybride qui garde en interne ce qui est critique, normes ouvertes pour garantir la portabilité, et clouds de proximité opérés exclusivement sous droit européen. Quand vous pouvez répondre, preuves à l’appui, à trois questions où sont mes données, qui possède les clés, puis-je sortir demain matin alors vous avez réduit les risques juridiques, techniques et économiques à un niveau acceptable. Sinon, vous avez délégué votre continuité d’activité à quelqu’un qui ne vous doit rien.
[SR] : Sur l’IA, je veux du concret et des garde-fous simples, compréhensibles par tous. Côté éthique et juridique, une règle d’or : la donnée n’est pas un carburant gratuit. On définit clairement le droit d’utiliser ces informations, on collecte le minimum, on limite la durée de conservation, et on chiffre de sorte que nous gardions les clés. Avant toute mise en service, on fait une analyse d’impact sur la vie privée, on tient un registre lisible des données qui ont servi à entraîner le système (d’où elles viennent, ce qu’on a exclu), et on rédige une fiche explicative de son fonctionnement en français clair. Quand c’est sensible, l’entraînement et l’exécution se font en Europe, sur des serveurs que nous maîtrisons. La responsabilité ne flotte pas : on sait qui répond en cas de problème, on garde des traces (entrées, sorties, décisions), et un humain tranche pour tout ce qui a des effets forts (santé, justice, sécurité, finances), avec un droit d’appel et accès aux traces.
Stratégiquement et économiquement, l’objectif est d’éviter la dépendance à quelques géants. Concrètement : entraîner et faire tourner les modèles chez nous quand c’est critique, utiliser des formats et outils standards pour pouvoir partir si nécessaire, et tester ce départ régulièrement. Les gains de productivité servent d’abord à requalifier les équipes qui opèrent, pas à les évincer. On investit dans du calcul local, du stockage, et une supervision que l’on contrôle, pour ne pas recréer un verrou technologique.
Sur le plan sociétal, on accompagne les métiers : formation, documentation accessible, et, quand un système touche le public, un registre des usages ouvert et compréhensible. La confiance vient de la transparence : quelles données sont utilisées, quels contrôles existent, quel recours est possible et en combien de temps.
Enfin, le volet cognitif : pas d’« autopilote mental ». L’IA est un copilote, pas un pilote automatique. On fixe des limites : pas de délégation aveugle sur des tâches qui exigent du jugement. On évalue régulièrement la qualité des réponses (exactitude, solidité, absence de biais), on fait des exercices d’attaque contrôlés deux fois par an pour repérer les failles, et on prévoit un bouton d’arrêt d’urgence avec une procédure claire.
Au fond, je tiens à trois questions, sans jargon : où sont les données, qui a les clés, et pouvons-nous couper aujourd’hui pour redémarrer ailleurs demain sans perdre la main ? Si la réponse est oui, preuves à l’appui, alors l’IA nous sert. Sinon, c’est nous qui la servons.
[SR] : La robotique n’est pas une créature autonome ; c’est un outil physique guidé par du code. Le bras, c’est la machine ; le cerveau, c’est le logiciel que des humains écrivent, valident et mettent à jour. C’est là que tout se joue : qui programme ? qui valide ? selon quelles règles ? Tant qu’on répond clairement à ces questions, on garde la maîtrise.
Concrètement, j’exige une gouvernance logicielle simple et ferme : chaque version du code est relue, signée, tracée ; on conserve un journal horodaté des ordres donnés et des décisions prises, comme un enregistreur de vol. Les actions à impact (arrêt d’urgence, mouvement dangereux, tir industriel, etc.) passent en double validation humaine. Et on teste régulièrement un arrêt d’urgence (bouton et procédure) pour vérifier que l’humain peut reprendre la main immédiatement. Sans ces garde-fous, la responsabilité se dilue et quand tout le monde est responsable, plus personne ne l’est.
Il y a aussi un enjeu juridique : la chaîne de décision doit rester traçable jusqu’à un responsable identifié. On sait qui a écrit le code, qui l’a validé, qui a appuyé sur “exécuter” et dans quel contexte. Les cadres juridiques doivent prévoir ces cas où la machine semble “décider” : en réalité, elle applique une politique. La loi doit donc exiger traçabilité, rejeu des décisions et recours possible.
Côté souveraineté, la robotique dépend de pièces et de logiciels souvent venus d’ailleurs. J’impose une liste précise des composants (matériel et logiciel), l’origine des pièces, et un plan B d’approvisionnement. Les mises à jour à distance sont contrôlées : on sait d’où elles viennent, ce qu’elles changent, et on peut les refuser. Idéalement, les serveurs qui pilotent la flotte et stockent les journaux restent chez nous ; et la machine doit pouvoir fonctionner en dégradé sûr, y compris hors ligne si nécessaire.
Sur le plan opérationnel, je veux trois choses :
Au fond, mon test tient en trois phrases, sans jargon : Qui écrit le code ? Qui appuie sur “go” ? Comment j’arrête tout, tout de suite ? Si vous avez des réponses claires, vérifiées en exercice, la robotique est une force. Sinon, vous avez transformé un outil puissant en zone grise de responsabilité et c’est là que commence le risque.
[SR] : Si l’Europe choisit une voie humaniste, alors l’homme doit rester au centre du système. Cela veut dire que dans toutes les décisions critiques qu’elles soient médicales, judiciaires, militaires ou industrielles il doit y avoir un human-in-the-loop, c’est-à-dire un humain capable de comprendre, d’arbitrer et d’assumer la décision finale. Cela suppose aussi une véritable contestabilité : le droit et les moyens techniques de contester une décision automatisée, avec un processus transparent et accessible.
Dans cette vision, la technologie doit être sobre. Sobriété numérique, ce n’est pas un slogan écologique : c’est un impératif de soutenabilité énergétique et de maîtrise de la complexité. Nous devons éviter la course à la puissance brute pour la puissance brute, et concentrer nos ressources sur ce qui augmente réellement nos capacités collectives.
Le futur du travail n’est pas un futur de substitution, où la machine remplacerait l’humain par souci d’économie immédiate. C’est un futur de travail augmenté, où l’IA et la robotique deviennent des leviers pour amplifier notre créativité, notre réactivité et notre intelligence collective, tout en préservant les compétences critiques.
Mais ce futur ne peut exister que si nous investissons dans de véritables communs numériques : des ressources logicielles, des données et des infrastructures qui sont ouvertes, interopérables et gouvernées collectivement, pour garantir que la valeur créée bénéficie à l’ensemble de la société, et non à quelques acteurs monopolistiques.
Ce n’est pas seulement une feuille de route technologique : c’est un choix de civilisation. Soit nous restons des consommateurs passifs des technologies conçues ailleurs, soit nous affirmons un modèle européen qui place la dignité humaine, l’autonomie intellectuelle et la justice sociale au cœur de la transition numérique. Dans ce modèle, la machine sert l’homme, et non l’inverse.
[SR] : Ce n’est pas parce qu’un outil est simple à utiliser qu’il est sans risque. Derrière chaque service en ligne, il y a des choix techniques, juridiques et commerciaux qui peuvent décider à votre place. Si vous ne comprenez pas comment vos données sont stockées, protégées et récupérables, vous prenez le risque de perdre le contrôle le jour où vous voudrez changer ou où les règles changeront pour vous.
La souveraineté numérique n’est pas un luxe réservé aux experts : c’est une responsabilité collective et individuelle. Chacun citoyen, entreprise, collectivité doit s’assurer qu’il garde la main sur ses outils et ses données. Cela implique de poser les bonnes questions, d’exiger la réversibilité, de tester régulièrement la possibilité de quitter un fournisseur, et de privilégier des technologies ouvertes et européennes.
Car au-delà du confort immédiat, il y a un risque plus large : celui de fragmenter la société en deux scénarios dystopiques. D’un côté, le modèle d’Orwell un contrôle total, visible, assumé, où chaque action est surveillée. De l’autre, le modèle d’Huxley un contrôle par l’hyperconsommation, la distraction et l’abondance de faux choix, où l’on accepte notre dépendance parce qu’elle est confortable.
Les deux chemins paraissent opposés, mais la finalité est la même : un individu qui n’a plus la maîtrise de sa vie numérique, et donc de sa liberté. Comprendre comment les choses fonctionnent, c’est déjà choisir de ne pas s’enfermer dans l’un ou l’autre de ces pièges.
Comme l’écrivait Rabelais : « Science sans conscience n’est que ruine de l’âme ».
Je tiens à remercier Sylvain Rutten pour la qualité de cet échange et sa capacité à énoncer clairement des enjeux souvent complexes. Il trace des pistes de réflexions solides et propose même une méthode pour bâtir notre souveraineté ou autonomie stratégique numérique. J’espère que cet entretien permettra d’alimenter la réflexion et de faire bouger les lignes dans le bon sens. Notre avenir numérique est dans nos mains, il faut agir plus et parler moins, mais agir avec conscience.
Il est temps que les acteurs du numériques français acceptent de travailler collectif et pour beaucoup de mettre leur égo de côté, tâche difficile pour des entrepreneurs engagés et passionnés. Mais il serait dommage que cet ensemble de talents ne serve à l’intérêt collectif de notre Nation.
C’est donc avec plaisir que je vous partage cette interview écrite qu’il a accepté de m’accorder pour mon site Effisyn SDS qui se veut média portant la voix des acteurs du numérique français notamment.
Pour nos lecteurs pourriez-vous nous brosser un rapide portrait de votre parcours dans le numérique ?
[SR] : Je suis autodidacte et j’ai commencé l’informatique au début des années 80, avant mes 10 ans, avec un ZX81. Sur cette machine minimaliste, j’ai découvert qu’un ordinateur pouvait être entièrement maîtrisé, ligne de code par ligne de code.Côté passion, j’ai vécu l’âge d’or des consoles et micro-ordinateurs : la Vectrex, puis l’univers Atari et Amiga, avant de passer sur PC, à la fois pour jouer et m’initier à la retouche photo à l’époque un véritable artisanat numérique. J’y ai passé des nuits entières sur Populous et Civilization, mais aussi sur des simulateurs de vol et des sessions de dogfight, qui m’ont donné très tôt le goût des systèmes complexes, de la tactique et de la précision.
Professionnellement, j’ai plus de 25 ans d’expérience dans les systèmes d’information. J’ai commencé par le développement web chez AlloCiné, puis l’administration systèmes et réseaux chez Vivendi. J’ai ensuite exercé comme consultant et architecte d’infrastructures critiques, sur des sujets comme l’Active Directory, le routage BGPi ou les clusters haute disponibilité.
J’ai été responsable SI chez RueDuCommerce, où j’ai introduit l’open source et le peering, puis directeur infrastructures chez Veepee, où j’ai mis en place des PCA/PRAii, géré 2 pétaoctets de données et développé un IaaS/PaaS maison. Chez Maileva, j’ai refusé un basculement imposé vers AWS sans justification stratégique, par conviction sur les enjeux de souveraineté.
Aujourd’hui, je suis consultant indépendant. Mon ambition est de rassembler le monde de l’IT autour d’une charte commune, portée avec NextHop, pour promouvoir un numérique ouvert, réversible, automatisé et souverain.
Vous affichez votre attachement à l’Open Source, pourquoi et surtout quels sont pour vous les avantages de l’approche Open Source pour des non-expert du numérique?
[SR] : Je défends l’Open Source parce qu’il combine efficacité technique et indépendance stratégique.
1. Transparence : le code est ouvert, ce qui permet de l’auditer. Concrètement, ça veut dire qu’un expert indépendant peut vérifier s’il contient des failles, des portes dérobées ou des comportements contraires à ce que vous attendez. Dans le monde propriétaire, vous devez faire confiance sur parole au fournisseur.
2. Réversibilité : pas de verrou propriétaire. Si un prestataire augmente ses tarifs ou baisse la qualité de service, vous pouvez en changer sans tout reconstruire. C’est la liberté de choisir et de garder la maîtrise de vos outils.
3. Coût total maîtrisé : avec l’Open Source, on paie pour l’expertise, l’intégration et le support, pas pour des licences rigides indexées sur le nombre d’utilisateurs ou de serveurs. Sur 5 à 7 ans, le coût total de possession est souvent plus bas et surtout plus prévisible.
4. Innovation partagée : derrière les grands projets Open Source, il y a des communautés mondiales d’ingénieurs qui corrigent, améliorent et innovent en continu. Cela veut dire que les évolutions ne dépendent pas d’un seul éditeur et que la solution progresse plus vite.
5. Souveraineté : l’Open Source permet un déploiement sur des infrastructures européennes, avec un contrôle complet des clés de chiffrement et des journaux d’activité. C’est un élément clé pour la sécurité et la conformité, surtout pour les données sensibles.
Pour un utilisateur non-expert, tout ça se traduit par un système libre, sans licences contraignantes, qui va à l’essentiel : répondre au besoin réel, sans gadgets inutiles qui ralentissent ou fragilisent l’outil. C’est plus simple, plus transparent et plus durable.
Quels en sont les inconvénients ?
[SR] : L’Open Source n’est pas magique et comporte aussi des contraintes.
1. Courbe d’adoption : si l’équipe n’est pas déjà formée ou équipée, la montée en compétence peut prendre du temps. Cela nécessite un plan d’accompagnement et de formation.
2. Support et maturité variables : tous les projets Open Source n’ont pas le même niveau de stabilité ni la même qualité de documentation. Certains sont très robustes, d’autres encore expérimentaux. Il faut donc bien sélectionner et auditer les solutions avant de les déployer.
3. Gouvernance technique indispensable : la liberté de l’Open Source implique aussi de gérer activement les mises à jour, la sécurité, la compatibilité et l’intégration continue (CI/CD). Sans gouvernance claire, on prend le risque d’un système obsolète ou vulnérable.
4. Angle mort managérial : beaucoup de décideurs publics et privés connaissent mal l’Open Source et subissent le lobbying des grands éditeurs propriétaires. Résultat : des choix défavorables, un sous-investissement dans les compétences internes, et un discours biaisé sur le coût réel.
5. Biais financiers : dans certains comités de direction, l’idéologie OPEX et la pression sur l’EBITDA conduisent à privilégier les solutions SaaS propriétaires, perçues comme plus faciles à budgéter à court terme, mais souvent plus coûteuses et plus contraignantes à long terme.
En résumé, l’Open Source demande un engagement : il faut investir dans les équipes et la gouvernance pour en récolter pleinement les bénéfices.
L’affrontement entre solutions propriétaires et solutions Open Source a-t-elle du sens pour vous ? Et pourquoi les solutions propriétaires sont-elles tant décriées par le monde « libre » ?
[SR] : Pas vraiment. Le vrai sujet, ce n’est pas de choisir un camp, c’est de maîtriser le risque. Et ça passe par cinq critères : interopérabilité, réversibilité, sécurité, conformité et coût total de possession.Les solutions propriétaires posent problème quand elles imposent des formats fermés, des APIiii instables, des frais de sortie élevés ou une opacité sur le code et les données. Dans ces cas-là, vous perdez la maîtrise et la liberté de choix.
Mais un éditeur propriétaire qui joue la transparence, qui respecte les standards ouverts, qui garantit la portabilité et la réversibilité, peut être tout à fait pertinent selon le contexte. Ce n’est donc pas une guerre idéologique, mais une question de gouvernance et de clauses contractuelles.
Après, il faut être lucide : même si la sortie est toujours possible techniquement si l’on dispose de la documentation, la conversion peut être douloureuse dans les usages. Ce sont souvent les interfaces et les habitudes des utilisateurs qui rendent le changement complexe, plus que la migration technique elle-même.
L’enjeu, ce n’est donc pas de brandir un drapeau “propriétaire” ou “open source”, mais de garantir que, quelle que soit la solution choisie, vous gardez le contrôle, la compatibilité et la capacité de changer d’outil sans mettre en péril votre activité.
Actuellement le sujet de la souveraineté (numérique) est revenue sur le devant de la scène notamment grâce à / ou à cause de la ré-élection de Trump. Pour vous la souveraineté numérique c’est quoi ?
[SR] : Pour moi, la souveraineté numérique, c’est la capacité pour un pays ou une organisation de décider, de déployer et d’opérer ses systèmes sans dépendre de décisions techniques, juridiques ou commerciales prises ailleurs.
Elle repose sur cinq piliers :
– Matériel et énergie : disposer d’infrastructures matérielles et d’une autonomie énergétique pour les alimenter.
– Logiciels et standards ouverts : éviter le verrouillage propriétaire et garantir l’interopérabilité.
– Données : maîtrise de leur localisation, chiffrement, et gouvernance.
– Compétences : former et retenir les talents capables d’exploiter et de faire évoluer les systèmes.
– Droit : s’assurer que les règles applicables sont celles de notre juridiction, et non celles d’une puissance étrangère.
Un label marketing ne supprime pas une dépendance : si l’adresse IP, la feuille de route, les mises à jour ou le code source sont contrôlés hors UE, on n’est pas souverain. C’est la raison pour laquelle je critique les “clouds de confiance” adossés à des hyperscalers américains ou autres.
Nous vivons aujourd’hui dans une dépendance atlantiste et occidentale. Je ne connais pas les systèmes d’exploitation chinois car je n’y ai pas accès, mais je ne doute pas de leur efficacité. La politique chinoise n’est pas la mienne, et je n’ai pas à la juger mais ils ont sur le plan numérique la même approche que les États-Unis sur bien des points : un contrôle juridique fort et une maîtrise nationale des outils.
Le problème n’est pas l’OS en lui-même, mais le droit qui encadre sa commercialisation et son usage. C’est pourquoi, à mon sens, l’Open Source est une voie équilibrée et sage : il permet la transparence, la réversibilité, et une gouvernance réellement partagée.
Matériel, OS, middleware, applicatif, données : comment limiter lois extraterritoriales et risques?
[SR] : Pour comprendre, imaginez votre système numérique comme une maison à plusieurs étages. Chaque étage a ses risques et ses protections possibles.1. Le rez-de-chaussée : le matériel et les câbles (couches L1-L2)
Ici, on parle des serveurs, des composants électroniques, des câbles réseau.
– Double sourcing : ne pas acheter tous ses composants au même fournisseur, pour éviter la dépendance.
– SBOM (liste des composants logiciels embarqués) : savoir exactement quels logiciels tournent dans vos équipements pour détecter une faille ou un élément soumis à une loi étrangère.
– Firmware auditable : le logiciel interne des équipements doit pouvoir être vérifié, pour éviter les portes dérobées.
– Redondance énergie/refroidissement : comme avoir un générateur de secours et une climatisation de secours pour éviter l’arrêt en cas de panne.
2. Le premier étage : le réseau et le transport (couches L3-L4)
C’est la partie qui transporte vos données entre machines.
– Routage dynamique : si une route est coupée, les données passent automatiquement par un autre chemin.
– Anycast : avoir plusieurs points d’accès dans le monde pour répartir et sécuriser le trafic.
– Micro-segmentation : cloisonner le réseau pour éviter qu’une intrusion dans une partie n’ouvre la porte à tout le reste.
– TLS partout : chiffrer toutes les communications, même internes, pour éviter l’espionnage.
– Plan de reprise réseau testé : un “exercice d’incendie” numérique pour voir si le réseau repart vite après une panne majeure.
3. Le deuxième étage : le système et les briques logicielles
– Utiliser des systèmes d’exploitation libres et renforcés comme Linux ou BSDiv, pour ne pas dépendre d’un éditeur étranger et pouvoir auditer le code.
– S’appuyer sur des technologies standards (PostgreSQL, MariaDb pour les bases de données, AMQP pour la messagerie, OIDC pour l’authentification, OpenTelemetry pour la supervision, Kubernetes vanilla pour l’orchestration) afin de rester compatible et portable.
– Portabilité documentée : avoir un mode d’emploi clair pour déplacer l’ensemble vers un autre environnement si besoin.
4. Le dernier étage : les applications et les données (couches L5-L7)
– Exports complets et scripts d’exit testés : pouvoir sortir toutes les données et les paramètres sans blocage technique, et vérifier régulièrement que ça fonctionne.
– Chiffrement côté client (HYOK) : chiffrer les données avant qu’elles n’arrivent chez le fournisseur, et garder les clés en interne.
– Journalisation exportable : garder un enregistrement complet des accès et opérations, que vous contrôlez vous-même.
– Clauses contractuelles opposables : inscrire dans les contrats des obligations claires sur la localisation des données, la réversibilité et l’absence de soumission à des lois étrangères.
– Pour le sensible : exclure les solutions “de confiance” mais dépendantes de fournisseurs soumis à des lois extraterritoriales (Cloud Act américain, par exemple).
En résumé, on ne protège pas seulement avec de la technologie, mais aussi avec des règles et des choix de conception. C’est comme construire un bâtiment solide avec des issues de secours, un plan d’évacuation et un cadenas dont vous gardez la clé.
Pourquoi est-il si difficile à faire comprendre aux différents acteurs économiques et politiques que la souveraineté numérique notamment, c’est remettre la chaîne de valeur majoritairement en France et donc de favoriser l’économie française et nos emplois ?
[SR] : Parce que notre culture économique et politique est verrouillée dans le court-termisme et l’illusion du confort. On raisonne en OPEX, en time-to-market, en slides de consultants, et on se laisse hypnotiser par le marketing des géants du numérique. On ne mesure pas le TCOv sur 5 ou 7 ans, on ne chiffre pas les frais de sortie, on ne teste pas les migrations, on ne capitalise pas sur les retours d’expérience. Résultat : on prend des décisions qui paraissent économiquement optimales à 12 mois, mais qui détruisent notre autonomie à long terme.
Le problème est aussi culturel : en Europe, on a cru que notre libéralisme et nos règles de concurrence étaient universels. On a construit nos politiques comme si le monde entier jouait à armes égales, alors que nos concurrents protègent leurs marchés et leurs entreprises avec des barrières juridiques et réglementaires puissantes. Nous, on reste hors sol.
Et c’est là que l’inculture juridique de l’écosystème devient dangereuse. Beaucoup d’acteurs start-ups, élus, acheteurs publics ne comprennent pas les implications réelles de l’extraterritorialité, du Cloud Act, ou des normes d’exportation de données. Ils vivent dans un monde de Oui-Oui numérique, où tout est interopérable par magie et où la guerre économique serait une fiction. La réalité, c’est que cette guerre est permanente et qu’elle se joue dans nos contrats, dans nos API, dans la gouvernance des protocoles, et dans les clauses que personne ne lit.
La souveraineté, ce n’est pas un mot-clé pour discours politique : c’est la condition pour relocaliser la valeur, garder la main sur nos décisions et éviter que nos impôts financent des infrastructures étrangères. Sans une culture économique et juridique forte, on continuera à perdre cette bataille avant même d’avoir compris qu’elle avait commencé.
Comme le rappelait Alexis de Tocqueville : « La démocratie est un régime qui ne peut subsister que s’il y a un peuple instruit et capable de s’autogouverner. » C’est vrai pour la démocratie, et c’est tout aussi vrai pour le numérique.
Pensez-vous que notre personnel politique est à la hauteur des enjeux qui nous attendent sur le numérique qui est le cœur de l’économie du 21me siècle ?
[SR] : Non, notre personnel politique n’est pas à la hauteur. On reste enfermé dans des cadres anglo-saxons, fascinés par les hyperscalers, incapables d’aligner le discours souverainiste avec les actes. On proclame l’indépendance numérique tout en signant des contrats stratégiques avec des fournisseurs soumis au Cloud Act. On choisit le court terme au détriment de la souveraineté à long terme.
Prenons l’exemple du président Macron : Young Leader de la French-American Foundation (promotion 2012), entouré et soutenu par des acteurs très proches des GAFAM, il a été propulsé politiquement avec des outils comme NationBuilder lors des campagnes de 2017. C’est symptomatique d’une classe dirigeante qui parle indépendance mais avance sous perfusion technologique extérieure.
Et la French Tech ? Le nom est séduisant, la réalité l’est beaucoup moins. On subventionne des start-ups qui reposent sur du cloud et des briques logicielles américaines, et qui deviennent vite dépendantes des géants qu’elles prétendaient concurrencer. Ce n’est pas une politique industrielle, c’est de la vitrine.
Si on était sérieux, on imposerait une préférence européenne opposable dans la commande publique, la réversibilité obligatoire, des lignes rouges sur l’extraterritorialité, et des investissements massifs dans nos compétences et nos capacités de calcul. Ce n’est pas un débat, c’est vital pour l’État et pour nos vies quotidiennes. Et on ne peut pas se contenter de faire confiance quand on n’a aucun moyen de contrôle.
Alors, qu’est-ce qu’on fait, concrètement, si on veut sortir du discours pour entrer dans l’exécution ? On commence par réécrire la commande publique. Aujourd’hui, on achète des abonnements et des promesses ; demain, on achète des capacités mesurables. Un marché numérique doit fixer des obligations de résultat qui ne laissent pas de place au marketing : disponibilité annoncée et tenue, RTO/RPO vérifiés en conditions réelles, patchs critiques déployés en moins de sept jours, chiffrement HYOK (les clés restent entre les mains de l’administration) et, surtout, réversibilité prouvée. Pas une clause décorative : un exercice semestriel d’“exit” avec export intégral (données, métadonnées, configurations), import sur une infra alternative sans aide du fournisseur, procès-verbal à l’appui. Si l’exit échoue, le prestataire corrige à ses frais. C’est simple, opposable, et ça remet le curseur sur la maîtrise plutôt que sur la dépendance.
La même logique vaut pour le droit. Toute prestation touchant à des données sensibles comporte une clause de notification et d’opposition aux injonctions extraterritoriales ; la localisation UE est explicite ; les journaux d’audit sont exportés en continu vers un coffre contrôlé par l’État. J’assume un barème public de souveraineté dans les appels d’offres : on pondère le prix par un score légal et technique (juridiction applicable, contrôle des clés, portabilité réelle, indépendance réseau/DNS), et ce score pèse dans l’attribution. Ce n’est pas de l’idéologie ; c’est de la gestion du risque.
Ensuite, il faut des muscles : des capacités locales. On ne construit pas une souveraineté avec des slides : il nous faut un réseau de clouds de proximité opérés sous droit européen, interconnectés, capables d’absorber des charges critiques y compris de l’IA avec des pools GPU mutualisés, des SLA lisibles et des API standard. Pas pour “faire comme les hyperscalers”, mais pour tenir nos services essentiels, nos data-lakes publics, nos modèles d’IA entraînés et inférés en Europe, et garantir la continuité d’activité quand la géopolitique se rappelle à nous. Tant qu’une administration ne peut pas redémarrer demain hors d’un écosystème soumis au Cloud Act, elle n’est pas souveraine ; point.
Rien de tout cela ne tient sans compétences. Plutôt que d’inventer une énième école, l’État passe commande de formations ciblées pour ses agents auprès d’acteurs qui savent déjà former des ingénieurs Epitech, EPITA, les universités ou des grandes écoles comme Telecom ou même l'X. Des parcours multi-annuels co-construits avec les ministères, avec obligations de résultat : des cohortes SRE, SecOps, architectes d’infrastructures souveraines, exploitation Kubernetes upstream, observabilité ouverte, exit drills encadrés, audits d’API, chiffrement HYOK. On ne “valide” pas à l’oral : on fait. Un agent certifie sa compétence quand il a redémarré un service ailleurs en 24 heures lors d’un exercice grandeur nature. Et on aligne la progression de carrière sur ces preuves de maîtrise. C’est la manière la plus rapide de ré-internaliser de la valeur.
Pour financer l’écosystème, je plaide pour sanctuariser une part du budget IT (1 à 2 %) au profit de communs open source essentiels (identité, messagerie, observabilité, ETL, sécurité), non pas en subventions éphémères, mais via contrats de maintenance, bug-bounties et roadmaps partagées. L’objectif n’est pas la posture : c’est d’avoir des briques auditables, interopérables, opérables chez nous, sans renoncer aux standards ni à l’excellence.
La trajectoire doit être lisible. Les douze premiers mois, on réalise l’inventaire des dépendances extraterritoriales, on classe les services par criticité et par réversibilité (ce qui est vital et peu portable doit être internalisé ou basculé sur un cloud de proximité ; ce qui est portable peut rester hybride à condition d’exporter données et journaux en continu). On fixe des jalons trimestriels et on organise un “exit day” par ministère : un jour où l’on sort réellement un périmètre pilote. Pas de maquillage : si ça ne redémarre pas ailleurs, on corrige jusqu’à ce que ça marche. En parallèle, on réécrit les modèles de contrats pour intégrer ces clauses, et on publie le score souveraineté de chaque marché pour rendre les arbitrages explicites devant le citoyen.
Reste l’IA. Là encore, méthode. Avant la production, on exige un DPIA raisonnable, des model/data cards, un red-teaming biais et sécurité régulier, des tests de factualité et de robustesse versionnés. En production, on journalise prompts, sorties et arbitrages, on maintient un human-in-the-loop sur toute décision à effet juridique, et on partage les gains de productivité avec un plan de requalification des équipes. La souveraineté, c’est aussi ça : ne pas externaliser notre jugement.
Si l’on met bout à bout ces briques des contrats opposables, des capacités locales crédibles, des compétences reconstruites par commande publique auprès d’Epitech, EPITA et des universités, et une culture de l’“exit” qui s’exerce vraiment alors on quitte la vitrine pour revenir au service public : un État qui sait où sont ses données, qui détient les clés, et qui peut partir demain matin sans demander la permission. C’est ainsi que l’on aligne, enfin, le discours souverainiste avec les actes.
Le choix de solutions SaaS / Cloud n’implique-t-il pas exposition accrue aux risques géopolitiques ou d’espionnage industriel ?
[SR] : Sur les risques, je n’agite pas des totems : je décris ce qui casse et comment on l’empêche de casser. D’abord, le juridique et le géopolitique. L’extraterritorialité n’est pas une rumeur : un fournisseur soumis au Cloud Act ou à la FISA 702, ou à des lois de sécurité nationale ailleurs, peut être sommé de livrer des données, même hébergées en Europe. Ajoutez l’instabilité réglementaire sanctions OFAC, embargos technos et vous obtenez des coupures ou des restrictions qui tombent sans préavis. Le plus pervers est la zone grise RGPD/Cloud Act : l’utilisateur reste responsable de données qu’il ne maîtrise pas totalement. Ma parade est très concrète : localisation UE explicite, chiffrement HYOK (les clés restent chez nous), journaux d’audit exportés en continu vers un coffre immuable que nous contrôlons, et clauses opposables de notification et d’opposition à toute injonction étrangère. J’y ajoute un plan de continuité juridique documenté : qui fait quoi en J0 si une autorité non-UE demande l’accès, quels flux on gèle, quelle bascule on opère, et avec quelles preuves on conteste. Tant qu’on ne l’a pas joué une fois « à blanc », on est dans la croyance.
Sur le plan technique et opérationnel, la réalité est encore plus crue : une mise à jour ratée ou une panne côté fournisseur peut paralyser un pays entier ; le lock-in se loge dans des API capricieuses, des formats fermés, des services managés qu’on ne peut pas répliquer ; et la chaîne de dépendances est longue un SaaS (Software as a Service) qui se dit souverain peut s’appuyer sur un DNSvi, un CDN ou un service d’authentification opérés hors UE. Ma façon de faire est toujours la même : architecture composable et standardisée, identité OIDCvii sous contrôle, DNS anycast que nous opérons, observabilité ouverte (logs, métriques, traces) que nous rapatrions, et sauvegardes restaurées régulièrement sur une infra alternative. Les SLOviii ne valent que s’ils sont prouvés : je teste les RTO/RPO en conditions réelles, je pratique le chaos engineering sur des périmètres pilotes, et je mène des exit drills semestriels avec export intégral, import « à froid » ailleurs, et procès-verbal à la clé. Sans ça, la portabilité est une promesse marketing.
Reste le stratégique et l’économique : externaliser massivement, c’est perdre des compétences et donc la capacité de redémarrer seul en cas de rupture ; la concentration du marché transforme un incident chez un géant en panne systémique. Je tranche avec une matrice simple : criticité d’un service et réversibilité réelle. Ce qui est vital et peu portable doit être internalisé ou opéré en cloud de proximité sous droit européen, avec HYOK, journaux sortants et équipe interne capable de relancer en 24 heures ; ce qui est important mais portable peut rester hybride à condition d’exporter données et traces en continu et de rejouer l’export tous les trimestres ; le reste s’achète au meilleur coût. En parallèle, je ré internalise de la valeur : une part du budget IT sanctuarisée pour des communs open source (maintenance, bug-bounties, roadmaps partagées) et une commande publique de formation auprès d’Epitech, EPITA et des universités pour certifier des cohortes SRE, SecOps et architectes validation par la pratique : « tu as redémarré ailleurs en 24 h, tu es certifié ».
Au final, une approche souveraine et résiliente n’est pas une posture : c’est un enchaînement vérifiable. Audit de la chaîne complète (y compris les sous-traitants du fournisseur), contrats opposables qui organisent la localisation, l’HYOK, la réversibilité et la notification d’injonctions, architecture hybride qui garde en interne ce qui est critique, normes ouvertes pour garantir la portabilité, et clouds de proximité opérés exclusivement sous droit européen. Quand vous pouvez répondre, preuves à l’appui, à trois questions où sont mes données, qui possède les clés, puis-je sortir demain matin alors vous avez réduit les risques juridiques, techniques et économiques à un niveau acceptable. Sinon, vous avez délégué votre continuité d’activité à quelqu’un qui ne vous doit rien.
En ce moment, la technologie dont on parle c’est l’IA (Intelligence Artificielle), quels sont les enjeux majeurs selon vous, face à la montée en puissance de ces technologies ?
[SR] : Sur l’IA, je veux du concret et des garde-fous simples, compréhensibles par tous. Côté éthique et juridique, une règle d’or : la donnée n’est pas un carburant gratuit. On définit clairement le droit d’utiliser ces informations, on collecte le minimum, on limite la durée de conservation, et on chiffre de sorte que nous gardions les clés. Avant toute mise en service, on fait une analyse d’impact sur la vie privée, on tient un registre lisible des données qui ont servi à entraîner le système (d’où elles viennent, ce qu’on a exclu), et on rédige une fiche explicative de son fonctionnement en français clair. Quand c’est sensible, l’entraînement et l’exécution se font en Europe, sur des serveurs que nous maîtrisons. La responsabilité ne flotte pas : on sait qui répond en cas de problème, on garde des traces (entrées, sorties, décisions), et un humain tranche pour tout ce qui a des effets forts (santé, justice, sécurité, finances), avec un droit d’appel et accès aux traces.
Stratégiquement et économiquement, l’objectif est d’éviter la dépendance à quelques géants. Concrètement : entraîner et faire tourner les modèles chez nous quand c’est critique, utiliser des formats et outils standards pour pouvoir partir si nécessaire, et tester ce départ régulièrement. Les gains de productivité servent d’abord à requalifier les équipes qui opèrent, pas à les évincer. On investit dans du calcul local, du stockage, et une supervision que l’on contrôle, pour ne pas recréer un verrou technologique.
Sur le plan sociétal, on accompagne les métiers : formation, documentation accessible, et, quand un système touche le public, un registre des usages ouvert et compréhensible. La confiance vient de la transparence : quelles données sont utilisées, quels contrôles existent, quel recours est possible et en combien de temps.
Enfin, le volet cognitif : pas d’« autopilote mental ». L’IA est un copilote, pas un pilote automatique. On fixe des limites : pas de délégation aveugle sur des tâches qui exigent du jugement. On évalue régulièrement la qualité des réponses (exactitude, solidité, absence de biais), on fait des exercices d’attaque contrôlés deux fois par an pour repérer les failles, et on prévoit un bouton d’arrêt d’urgence avec une procédure claire.
Au fond, je tiens à trois questions, sans jargon : où sont les données, qui a les clés, et pouvons-nous couper aujourd’hui pour redémarrer ailleurs demain sans perdre la main ? Si la réponse est oui, preuves à l’appui, alors l’IA nous sert. Sinon, c’est nous qui la servons.
Il y a un autre domaine qui fait moins de bruit, mais qui lié à l’IA pourrait être la prochaine révolution industrielle, c’est la robotique, où se situe la France et pour vous quels enjeux économiques, industriels et technologiques et donc de souveraineté ?
[SR] : La robotique n’est pas une créature autonome ; c’est un outil physique guidé par du code. Le bras, c’est la machine ; le cerveau, c’est le logiciel que des humains écrivent, valident et mettent à jour. C’est là que tout se joue : qui programme ? qui valide ? selon quelles règles ? Tant qu’on répond clairement à ces questions, on garde la maîtrise.
Concrètement, j’exige une gouvernance logicielle simple et ferme : chaque version du code est relue, signée, tracée ; on conserve un journal horodaté des ordres donnés et des décisions prises, comme un enregistreur de vol. Les actions à impact (arrêt d’urgence, mouvement dangereux, tir industriel, etc.) passent en double validation humaine. Et on teste régulièrement un arrêt d’urgence (bouton et procédure) pour vérifier que l’humain peut reprendre la main immédiatement. Sans ces garde-fous, la responsabilité se dilue et quand tout le monde est responsable, plus personne ne l’est.
Il y a aussi un enjeu juridique : la chaîne de décision doit rester traçable jusqu’à un responsable identifié. On sait qui a écrit le code, qui l’a validé, qui a appuyé sur “exécuter” et dans quel contexte. Les cadres juridiques doivent prévoir ces cas où la machine semble “décider” : en réalité, elle applique une politique. La loi doit donc exiger traçabilité, rejeu des décisions et recours possible.
Côté souveraineté, la robotique dépend de pièces et de logiciels souvent venus d’ailleurs. J’impose une liste précise des composants (matériel et logiciel), l’origine des pièces, et un plan B d’approvisionnement. Les mises à jour à distance sont contrôlées : on sait d’où elles viennent, ce qu’elles changent, et on peut les refuser. Idéalement, les serveurs qui pilotent la flotte et stockent les journaux restent chez nous ; et la machine doit pouvoir fonctionner en dégradé sûr, y compris hors ligne si nécessaire.
Sur le plan opérationnel, je veux trois choses :
- un mode manuel toujours disponible et testé ;
- une bascule sûre quand les capteurs sont incertains (la machine ralentit ou s’arrête, elle ne “devine” pas) ;
- des exercices réguliers où l’on coupe le réseau, casse un capteur, injecte une mauvaise mise à jour et l’équipe reprend la main, rétablit, documente. On ne découvre pas la procédure le jour du problème.
Au fond, mon test tient en trois phrases, sans jargon : Qui écrit le code ? Qui appuie sur “go” ? Comment j’arrête tout, tout de suite ? Si vous avez des réponses claires, vérifiées en exercice, la robotique est une force. Sinon, vous avez transformé un outil puissant en zone grise de responsabilité et c’est là que commence le risque.
On a beaucoup parlé de technologie, mais quelle place pour l’homme dans le monde de demain (entre transhumanisme et totalitarisme numérique)?
[SR] : Si l’Europe choisit une voie humaniste, alors l’homme doit rester au centre du système. Cela veut dire que dans toutes les décisions critiques qu’elles soient médicales, judiciaires, militaires ou industrielles il doit y avoir un human-in-the-loop, c’est-à-dire un humain capable de comprendre, d’arbitrer et d’assumer la décision finale. Cela suppose aussi une véritable contestabilité : le droit et les moyens techniques de contester une décision automatisée, avec un processus transparent et accessible.Dans cette vision, la technologie doit être sobre. Sobriété numérique, ce n’est pas un slogan écologique : c’est un impératif de soutenabilité énergétique et de maîtrise de la complexité. Nous devons éviter la course à la puissance brute pour la puissance brute, et concentrer nos ressources sur ce qui augmente réellement nos capacités collectives.
Le futur du travail n’est pas un futur de substitution, où la machine remplacerait l’humain par souci d’économie immédiate. C’est un futur de travail augmenté, où l’IA et la robotique deviennent des leviers pour amplifier notre créativité, notre réactivité et notre intelligence collective, tout en préservant les compétences critiques.
Mais ce futur ne peut exister que si nous investissons dans de véritables communs numériques : des ressources logicielles, des données et des infrastructures qui sont ouvertes, interopérables et gouvernées collectivement, pour garantir que la valeur créée bénéficie à l’ensemble de la société, et non à quelques acteurs monopolistiques.
Ce n’est pas seulement une feuille de route technologique : c’est un choix de civilisation. Soit nous restons des consommateurs passifs des technologies conçues ailleurs, soit nous affirmons un modèle européen qui place la dignité humaine, l’autonomie intellectuelle et la justice sociale au cœur de la transition numérique. Dans ce modèle, la machine sert l’homme, et non l’inverse.
Si vous aviez un message fort à faire passer à nos lecteur quel serait-il ?
[SR] : Ce n’est pas parce qu’un outil est simple à utiliser qu’il est sans risque. Derrière chaque service en ligne, il y a des choix techniques, juridiques et commerciaux qui peuvent décider à votre place. Si vous ne comprenez pas comment vos données sont stockées, protégées et récupérables, vous prenez le risque de perdre le contrôle le jour où vous voudrez changer ou où les règles changeront pour vous.La souveraineté numérique n’est pas un luxe réservé aux experts : c’est une responsabilité collective et individuelle. Chacun citoyen, entreprise, collectivité doit s’assurer qu’il garde la main sur ses outils et ses données. Cela implique de poser les bonnes questions, d’exiger la réversibilité, de tester régulièrement la possibilité de quitter un fournisseur, et de privilégier des technologies ouvertes et européennes.
Car au-delà du confort immédiat, il y a un risque plus large : celui de fragmenter la société en deux scénarios dystopiques. D’un côté, le modèle d’Orwell un contrôle total, visible, assumé, où chaque action est surveillée. De l’autre, le modèle d’Huxley un contrôle par l’hyperconsommation, la distraction et l’abondance de faux choix, où l’on accepte notre dépendance parce qu’elle est confortable.
Les deux chemins paraissent opposés, mais la finalité est la même : un individu qui n’a plus la maîtrise de sa vie numérique, et donc de sa liberté. Comprendre comment les choses fonctionnent, c’est déjà choisir de ne pas s’enfermer dans l’un ou l’autre de ces pièges.
Comme l’écrivait Rabelais : « Science sans conscience n’est que ruine de l’âme ».
Je tiens à remercier Sylvain Rutten pour la qualité de cet échange et sa capacité à énoncer clairement des enjeux souvent complexes. Il trace des pistes de réflexions solides et propose même une méthode pour bâtir notre souveraineté ou autonomie stratégique numérique. J’espère que cet entretien permettra d’alimenter la réflexion et de faire bouger les lignes dans le bon sens. Notre avenir numérique est dans nos mains, il faut agir plus et parler moins, mais agir avec conscience.
Il est temps que les acteurs du numériques français acceptent de travailler collectif et pour beaucoup de mettre leur égo de côté, tâche difficile pour des entrepreneurs engagés et passionnés. Mais il serait dommage que cet ensemble de talents ne serve à l’intérêt collectif de notre Nation.
i Le routage BGP (Border Gateway Control) est un protocole d’échange de route externe important pour internet (Wikipédia)
iiPRA : Plan de Reprise d’Activité / PCA : Plan de Continuité d’Activité
iiiAPI = Application Programming Interface ensemble de classe, méthodes, fonctions et constantes permettant à un logiciel d’offir des services à d’autres logiciels (Wikipédia)
vTCO (Total Cost of Ownership) : Coût total d’Acquisition, sert à analyser le coût global d’achat d’un bien ou service tout au long du cycle de vie
Emmanuel MAWET
Réagissez, commentez !
- Aucun commentaire pour l'instant