Quand on parle de souveraineté numérique, la conversation dérive presque toujours vers le même terrain : les lois et les juridictions. Où sont hébergées les données? Quelle législation s’applique? Le Cloud Act américain peut-il forcer un fournisseur à divulguer nos informations? Ces questions sont légitimes — et au Québec, la Loi 25 les a rendues incontournables. Mais elles ne racontent qu’une partie de l’histoire.
La souveraineté numérique, dans son sens le plus utile pour une entreprise, c’est la capacité de décider. Décider où vivent ses données, oui, mais aussi décider comment elle opère, vers où elle évolue, et avec qui elle collabore — sans qu’un fournisseur, une plateforme ou un écosystème ne décide à sa place.
Cette capacité se joue sur trois périmètres distincts. Une entreprise peut être parfaitement conforme sur le premier tout en ayant abandonné les deux autres sans même s’en rendre compte.
Périmètre 1 : la souveraineté juridique — nécessaire, mais pas suffisante
C’est l’angle classique, celui dont tout le monde parle. La résidence des données, les certifications, les clauses contractuelles, l’exposition aux lois extraterritoriales. Une entreprise québécoise qui traite des renseignements personnels doit savoir si ses données transitent hors du Canada, si son fournisseur infonuagique est soumis à des lois étrangères, et si ses ententes de service respectent ses obligations légales.
Ce périmètre est réel et important. Mais il a un piège : il donne l’illusion que la souveraineté est une question de conformité. Cocher les cases — hébergement canadien, clauses de confidentialité, évaluation des facteurs relatifs à la vie privée — et le dossier est réglé.
Or, une entreprise peut héberger toutes ses données au Canada et n’avoir aucune souveraineté réelle. Parce que la souveraineté ne se mesure pas seulement à l’endroit où dorment les données. Elle se mesure à votre capacité de continuer à avancer dans votre direction, même quand vos fournisseurs prennent une autre route.
Périmètre 2 : la souveraineté opérationnelle — à qui appartiennent vos règles d’affaires et vos données?
Voici la question que trop peu de dirigeants se posent : où vivent vos règles d’affaires — et vos données?
Chaque entreprise a une façon unique de fonctionner. Comment elle prépare une soumission. Comment elle valide un bon de commande. Comment elle calcule ses marges, gère ses exceptions, priorise ses clients. Ces règles, jumelées aux données qu’elles produisent — historique de projets, de prix, de clients, de décisions — forment l’ADN opérationnel de l’entreprise, souvent le fruit de décennies d’apprentissage sur le terrain.
Le problème, c’est que dans la majorité des PME, cet ADN ne vit nulle part chez elles. Les règles sont éparpillées dans les configurations d’un logiciel SaaS, dans les habitudes d’un employé clé, dans un fichier Excel que personne n’ose toucher. Les données, elles, sont enfermées dans le schéma propriétaire du fournisseur — accessibles à travers son interface, mais rarement exportables dans un format complet et exploitable.
Et la vraie crainte n’est pas la disparition du fournisseur — c’est un scénario rare. La vraie crainte, beaucoup plus fréquente et plus insidieuse, c’est le jour où votre vision et votre planification ne cadrent plus avec les siennes. Vous voulez développer un nouveau service, changer un processus, exploiter vos données autrement — et le fournisseur, lui, va ailleurs. Sa feuille de route ne suit pas la vôtre. La fonctionnalité dont vous avez besoin n’est pas prévue, ou arrivera dans deux ans, ou sera réservée au palier supérieur. Vous êtes coincé : vos ambitions avancent au rythme de quelqu’un d’autre.
La souveraineté opérationnelle, c’est reprendre possession de cet ADN :
- Documenter et expliciter ses règles d’affaires, plutôt que de les laisser implicites dans des outils ou des têtes.
- Posséder ses données dans des formats et des structures qu’on contrôle — pouvoir les extraire, les croiser, les exploiter sans demander la permission ni payer pour y accéder. Vos données historiques sont un actif stratégique, pas une fonctionnalité de votre abonnement.
- Encoder ses processus critiques dans des systèmes qu’on contrôle — et c’est exactement là que le logiciel sur mesure prend son sens. Un logiciel bâti autour de vos règles, c’est de la souveraineté encodée. Un logiciel générique auquel vous adaptez vos règles, c’est l’inverse.
- Définir sa propre vision numérique et la garder exécutable, plutôt que de suivre la feuille de route d’un éditeur. Votre trajectoire technologique devrait découler de votre stratégie d’affaires, pas des annonces de Microsoft ou de Salesforce — et surtout, elle ne devrait jamais être bloquée par les priorités d’un tiers.
Avec l’arrivée de l’intelligence artificielle, ce périmètre devient encore plus critique. Une entreprise qui confie ses processus à des agents IA doit se demander : ces agents suivent-ils mes règles, ou celles d’une plateforme? Puis-je exécuter les traitements sensibles sur ma propre infrastructure, et réserver le nuage aux tâches qui le permettent? La capacité de router intelligemment ses charges de travail — local pour le sensible, infonuagique pour le reste — est une compétence de souveraineté à part entière.
Périmètre 3 : la souveraineté relationnelle — qui contrôle vos interfaces?
Aucune entreprise n’opère en vase clos. Elle échange avec ses clients, ses fournisseurs, ses sous-traitants, ses partenaires technologiques. Et chacun de ces échanges passe par une interface : un portail, une API, un format de fichier, un protocole.
La question de souveraineté ici est simple : ces interfaces, qui les contrôle?
Quand vos échanges avec un partenaire passent obligatoirement par la plateforme propriétaire d’un tiers, vous avez délégué une partie de votre relation d’affaires. Le tiers fixe les règles, les coûts, les limites. Il peut couper l’accès, modifier les conditions, ou monétiser les données qui transitent.
Le cas le plus fréquent est plus subtil qu’une coupure d’accès : le fournisseur limite les intégrations possibles avec les autres systèmes. Pas d’API, ou une API partielle, ou des connecteurs réservés à ses propres partenaires certifiés. Résultat : vous êtes obligé de fonctionner à l’intérieur du périmètre du fournisseur. Vous voulez connecter votre outil de gestion de projets à votre comptabilité, alimenter vos agents IA avec vos propres données, échanger automatiquement avec un sous-traitant? Impossible — ou seulement si les deux systèmes font partie du même écosystème. Votre architecture numérique n’est plus dessinée par vos besoins, mais par la carte des intégrations que le fournisseur a bien voulu permettre.
À l’inverse, une entreprise souveraine sur le plan relationnel :
- Privilégie les protocoles ouverts et les standards interopérables pour ses intégrations, ce qui lui permet de changer de partenaire technologique sans tout reconstruire.
- Expose ses propres interfaces plutôt que de seulement consommer celles des autres. Offrir une API à ses partenaires, c’est inverser le rapport de force : c’est vous qui définissez le contrat d’échange.
- Négocie ses relations technologiques comme des relations d’égal à égal, avec des portes de sortie claires, plutôt que d’entrer dans des écosystèmes conçus pour rendre le départ coûteux.
L’émergence de protocoles ouverts pour connecter les systèmes d’IA entre eux illustre bien l’enjeu : les entreprises qui adoptent des standards interopérables gardent la liberté de recomposer leur écosystème; celles qui s’enferment dans une plateforme unique remettent les clés de leurs relations d’affaires.
Les trois périmètres se renforcent — ou s’effondrent — ensemble
Ces trois périmètres ne sont pas indépendants. Une entreprise qui maîtrise ses règles d’affaires (périmètre 2) peut plus facilement exiger la conformité juridique de ses fournisseurs (périmètre 1), parce qu’elle n’est pas captive. Une entreprise qui contrôle ses interfaces (périmètre 3) peut relocaliser un traitement sensible sans briser ses intégrations.
À l’inverse, la dépendance se propage. L’entreprise enfermée dans un SaaS propriétaire ne choisit ni où vivent ses données, ni comment évoluent ses processus, ni comment elle échange avec ses partenaires.
La bonne nouvelle : la souveraineté numérique n’exige pas de tout bâtir soi-même ni de rejeter le nuage. Elle exige de savoir ce qui est stratégique — vos règles d’affaires, vos données sensibles, vos relations clés — et de garder le contrôle sur ces éléments-là, tout en restant pragmatique sur le reste.
La question à se poser n’est donc pas « mes données sont-elles au Canada? ». C’est : « si ma vision d’affaires et celle de mon principal fournisseur technologique divergent demain, est-ce que je peux continuer à avancer — ou est-ce que je suis coincé? »
Si la réponse est « je suis coincé », la conversation sur la souveraineté numérique ne fait que commencer.
Somtech Solutions accompagne les entreprises dans la reprise de contrôle de leur ADN numérique : logiciels sur mesure bâtis autour de vos règles d’affaires, agents IA opérant sur votre infrastructure, et intégrations fondées sur des protocoles ouverts.