Le débat sur la souveraineté numérique est omniprésent, mais recouvre des réalités assez différentes selon les acteurs. Quelle est votre définition de la souveraineté ?
Jacques-Philippe Roederer : Chez Cisco, nous définissons la souveraineté technologique comme la capacité à conserver le contrôle de ses données, de son infrastructure et de ses applications critiques.
L’environnement actuel et les retours de nos clients ont renforcé cette conviction. Beaucoup d'organisations cherchent à mieux maîtriser certains actifs stratégiques sans pour autant renoncer aux bénéfices du cloud computing ou à l'ouverture des écosystèmes numériques.
Cisco vient de lancer Sovereign Critical Infrastructure. Que recouvre précisément cette initiative ?
JP.R : Cisco Sovereign Critical Infrastructure est une extension de notre portefeuille technologique conçue pour les organisations qui souhaitent conserver un contrôle total sur leurs infrastructures critiques. Concrètement, il s'agit d'environnements pouvant être déployés sur site, dans les infrastructures du client, y compris dans des configurations totalement isolées (air-gapped), sans dépendance externe.
L'objectif est de permettre aux organisations de conserver la maîtrise de leurs applications et services critiques, en particulier lorsqu'elles doivent continuer à fonctionner de manière totalement autonome en situation de crise. Cela passe par des mécanismes de licences capables de fonctionner sans vérification externe, l'absence d'accès distant de Cisco aux infrastructures déployées et la possibilité d'opérer l'ensemble de la plateforme de manière indépendante, maintenance et mises à jour comprises.
On associe souvent Cisco au réseau, mais cette offre couvre un périmètre beaucoup plus large. Quelles sont les briques concernées ?
JP.R : Historiquement, nous avons toujours considéré que le réseau constituait l'épine dorsale des grandes transitions technologiques, mais les besoins des entreprises dépassent aujourd'hui largement cette seule couche.
Sovereign Critical Infrastructure couvre ainsi une grande partie de notre portefeuille : les infrastructures réseau bien sûr, mais également les plateformes de calcul Cisco UCS, nos solutions de cybersécurité, nos capacités d'observabilité à travers Splunk, les outils de collaboration comme Webex ou encore nos offres dédiées à l'intelligence artificielle.
Cette approche reflète notre stratégie de plateforme. Lorsqu'une organisation identifie un processus métier critique, elle a besoin d'un ensemble cohérent de briques technologiques capables de fonctionner ensemble. Un projet d'IA, par exemple, ne repose pas uniquement sur des capacités de calcul. Il nécessite également du réseau, de la sécurité, de l'observabilité, des mécanismes de gouvernance et de contrôle.
Notre objectif est donc de permettre aux organisations de disposer de toutes ces composantes dans un mode d'exploitation souverain.
La souveraineté numérique est-elle en train de rebattre les cartes entre cloud et infrastructures sur site ?
JP.R : Ce qui change aujourd'hui, c'est l'apparition d'un nouveau critère dans les décisions d'architecture : la criticité des applications et des données. Les organisations cherchent à identifier ce qui relève de leurs activités stratégiques et nécessite un niveau de contrôle maximal, et ce qui peut continuer à bénéficier de l'agilité et de l'évolutivité du cloud.
C'est une réflexion que l'on retrouve aussi bien dans la banque que dans la santé, la défense ou l'industrie. Selon leur profil de risque, certaines applications doivent rester sous contrôle direct total ; d’autres peuvent parfaitement être opérées dans des environnements cloud.
À mon sens, le modèle qui se dessine est celui d'une infrastructure hybride souverain. Le cloud reste un composant essentiel des infrastructures modernes, mais les entreprises veulent pouvoir choisir quels workloads doivent rester sous leur contrôle en fonction de leur niveau de criticité. La souveraineté ne consiste donc pas à opposer cloud et on-premise, mais à appliquer le bon niveau de contrôle au bon usage.
En reprenant plus de contrôle sur les infrastructures, ne risque-t-on pas de réintroduire une complexité opérationnelle que le cloud était justement censé réduire ?
JP.R : Le paradoxe est que le cloud n'a pas forcément simplifié les infrastructures autant qu'on l'imaginait. Les entreprises ont rarement remplacé leurs environnements historiques. Elles ont plutôt ajouté de nouvelles couches technologiques – plusieurs clouds, puis des architectures distribuées et des microservices – pour finalement se retrouver avec des architectures souvent plus complexes qu'auparavant.
L'enjeu n'est donc pas tant la complexité que la capacité à choisir le bon modèle d'exploitation pour la maîtriser. Certaines organisations souhaitent exploiter elles-mêmes leurs environnements critiques, d'autres préfèrent s'appuyer sur des partenaires ou des services managés. Notre rôle est de leur laisser ce choix.
Pour cela, nous nous appuyons sur un large écosystème de partenaires en France, capables d'intervenir aussi bien sur l'intégration que sur les services managés. Certains proposent également des offres de cloud souverain et peuvent héberger ou exploiter des environnements critiques pour le compte de leurs clients.
Le principal frein n'est-il pas finalement humain plutôt que technologique ?
JP.R : La question des compétences est effectivement centrale. Nous le constatons particulièrement dans des domaines comme la cybersécurité ou l'intelligence artificielle. C'est pourquoi nous avons développé plusieurs dispositifs d'accompagnement, qu'il s'agisse de Cisco University, de nos partenaires de formation ou encore de nos services d'expertise.
Enfin, nous avons lancé une offre baptisée Critical National Services Centers, qui complète Sovereign Critical Infrastructure. Elle permet aux organisations qui le souhaitent de bénéficier d'un accompagnement et de services d'exploitation dans un cadre souverain. Les données de support sont anonymisées et chiffrées, les opérations sont réalisées par des équipes basées en France et les systèmes utilisés sont séparés des environnements globaux de Cisco.
En d'autres termes, l'objectif n'est pas d'imposer un modèle unique. Une organisation peut choisir d'exploiter elle-même ses infrastructures critiques, de s'appuyer sur un partenaire ou de recourir à des services souverains opérés. L'essentiel est qu'elle conserve la maîtrise de ce choix.
Avec l’essor de l’IA, qu’est-ce qui change concrètement dans la manière dont les organisations doivent penser la protection, le contrôle et l’exploitation de leurs données ?
JP.R : L'IA amplifie considérablement des problématiques qui existaient déjà autour de la donnée. Pendant longtemps, les entreprises se sont principalement préoccupées de la localisation de leurs données. Avec l'IA, la question devient beaucoup plus large : comment ces données sont-elles exploitées ? Qui y accède ? Comment les modèles sont-ils entraînés ? Comment garantir leur intégrité ?
C'est un sujet majeur car la valeur d'une entreprise repose de plus en plus sur ses données et sa capacité à les exploiter. Or cette exploitation n'a de sens que si les données sont fiables, protégées et non altérées.
L'IA augmente également les enjeux de sécurité. Si l'on se projette vers des modèles plus agentiques, où plusieurs agents collaborent autour d'un même utilisateur ou d'un même processus métier, le nombre d'interactions avec les données explose. La surface d'exposition s'élargit mécaniquement et les entreprises doivent être capables de contrôler précisément quels utilisateurs, quels agents ou quels modèles ont accès à quelles informations.
C'est précisément pour répondre à ces nouveaux enjeux que nous avons développé des solutions comme Cisco AI Defense. L'objectif est de permettre aux organisations de mieux contrôler les données utilisées par les modèles, de limiter les risques liés aux sources non fiables et de prévenir les situations où des informations sensibles pourraient être exposées ou utilisées de manière inappropriée.
Au fond, l'IA déplace le débat. La souveraineté ne concerne plus uniquement l'endroit où les données sont stockées, mais également les conditions dans lesquelles elles sont traitées, partagées et exploitées.