Souveraineté numérique pour l’analytique

Damien a d'emblée écarté le réflexe « sommes-nous souverains ? », trop manichéen pour ouvrir un levier d'action. La bonne question devient : quelles dépendances sommes-nous prêts à accepter au regard de nos contraintes métier, réglementaires et budgétaires ? La souveraineté s'évalue brique par brique sur la chaîne analytique (ETL, entrepôt, moteurs d'analyse, hébergement, catalogues, restitutions, IA), et ne se résume ni à la localisation géographique, ni au seul choix d'un éditeur européen.

L'Europe s'est dotée d'un socle qui va bien au-delà du RGPD : le Data Act encadre les échanges de données industrielles, et l'AI Act se déploie progressivement sur les composants d'intelligence artificielle intégrés aux plateformes. En parallèle, le Cloud Act américain autorise les autorités judiciaires des États-Unis à requérir des données hébergées par un fournisseur états-unien, y compris si ces données reposent physiquement en Europe. Cette notion d'extraterritorialité change la lecture du risque : des données stockées en France chez un éditeur américain restent potentiellement accessibles sous Cloud Act.

L'évaluation DeciVision repose sur deux lectures conjointes. D'un côté le niveau de risque, mesuré après avoir cartographié les briques, qualifié la criticité des données (critique, sensible, intermédiaire, faible) et évalué les dépendances sur six axes (juridique, géographique, technologique, contractuel, opérationnel, réversibilité/interopérabilité). De l'autre le niveau de maturité, positionné sur une échelle à cinq crans qui va de « subir sans savoir où sont ses données » jusqu'à « souveraineté intégrée dès la conception ». L'intersection des deux lectures produit un indice calibré par domaine, pas une note binaire.

Cinq leviers techniques se présentent concrètement. L'hébergement maîtrisé (cloud européen, cloud qualifié SecNumCloud quand c'est requis, bring your own key). La maîtrise du stockage via des standards ouverts comme PostgreSQL, le SQL standard ou le format Parquet. La portabilité des traitements avec des outils communautaires tels que DBT, Talaxie ou Apache Hop. La maîtrise de la couche sémantique via un catalogage indépendant de l'outil (indicateurs, dimensions, règles de sécurité documentés hors Power BI, hors Business Objects). Enfin la facilitation du remplacement de la solution BI, qui passe par la documentation plutôt que par des outils de conversion automatique encore peu fiables.

Les mouvements observés chez les clients DeciVision se concentrent sur deux fronts. Côté restitution, plusieurs organisations du secteur public ont réorienté une partie de leur parc vers des solutions françaises comme DigDash ou européennes comme la gamme SAP. Côté hébergement, la tendance majoritaire n'est pas le rapatriement intégral mais une répartition hybride pilotée par la sensibilité des données : les agrégats et calculs peuvent partir dans le cloud, les données RGPD de détail restent dans le système d'information. Cette lecture par criticité suppose de connaître ses données avant d'arbitrer, pas l'inverse.

Utiliser une solution américaine ne signifie pas être non souverain : tout dépend des données qu'on y expose et de la capacité de bascule qu'on a documentée en amont. La hausse de 30 à 40 % sur les licences Power BI en 2025 a fait de cette capacité un sujet concret, pas théorique. Côté réversibilité, le délai réel se réduit par trois leviers : procédures de sortie testées régulièrement, compétences internes maintenues, et clauses contractuelles de récupération des données et des codes. Côté catalogage, les solutions open source Open Metadata et DataHub couvrent le besoin de base ; les alternatives européennes payantes sont Data Galaxy et My Data Catalog chez Blue Way. Conclusion opérationnelle : commencer la démarche avant la fin de contrat change la nature de la négociation.