Cours ITU Academy et RealTyme : Session 2 : Le défi de la propriété des données

Au cours de la deuxième session de notre cours avec l'Académie de l'UIT, nous avons délaissé les anciens systèmes GSM et de messagerie pour nous concentrer sur une frontière beaucoup plus complexe et en évolution rapide : la propriété des données à l'ère de l'IA. Nos discussions sont passées de ce que nous laissons derrière nous à ce que nous devons concevoir de toute urgence, car les systèmes que nous adoptons aujourd'hui définiront non seulement la manière dont les gouvernements communiquent, mais qui contrôle en fin de compte cette communication.

L'objectif était clair : la souveraineté des données, la conformité et l'augmentation de la surface de risque introduite par les outils améliorés par l'IA. Mais ce qui est ressorti le plus clairement, c'est la prise de conscience que la gouvernance ne peut plus reposer uniquement sur la conformité réglementaire. Il doit être renforcé avec contrôle opérationnel et prospective de conception.

De la commodité pour le consommateur au risque institutionnel

Nous avons commencé la session en revenant sur une tendance croissante : l'adaptation de applications de messagerie destinées aux consommateurs, en particulier ceux à code source ouvert, à l'usage du secteur public. Ces plateformes sont largement disponibles, intuitives et peuvent même être modifiées librement. Dans le monde entier, les gouvernements demandent : « Pourquoi ne pas simplement créer notre propre application de messagerie sécurisée sur la base de quelque chose comme Signal ou Matrix ? »

À première vue, cela semble être un raccourci logique. Mais sous la surface se trouve un idée fausse critique: cette garantie est transférable. Que la sécurité de la plate-forme d'origine s'étend à la version fourchue. Malheureusement, ce n'est pas le cas.

Les logiciels libres, bien que transparents et gérés par la communauté, ne sont pas intrinsèquement sûrs, en particulier à l'échelle et à la sensibilité de leur utilisation par les gouvernements nationaux. Lorsqu'un gouvernement crée une application de messagerie destinée aux consommateurs pour créer une solution sur mesure, il suppose également responsabilité opérationnelle totale pour sa position en matière de sécurité, de performance et de conformité. Sans équipes spécialisées, sans modélisation rigoureuse des menaces et sans audits continus, ces « gains rapides » peuvent facilement devenir passifs à long terme.

Nous avons examiné des exemples où des forks open source étaient déployés dans l'hypothèse d'une sécurité intégrée, pour ensuite exposer les données des utilisateurs, les métadonnées ou les communications internes en raison de mauvaises configurations, de dépendances obsolètes ou d'une absence de responsabilité claire des fournisseurs.

La leçon ? La création d'un outil sécurisé ne consiste pas à copier du code. Il s'agit de maîtriser la sécurité opérationnelle de bout en bout.

Collaboration d'entreprise : riche en fonctionnalités, mais peu souveraine

Au fur et à mesure de notre discussion, nous nous sommes tournés vers l'autre bout du spectre : les plateformes de collaboration d'entreprise. Des outils tels que Zoom, Microsoft Teams et Google Meet sont devenus essentiels pour la collaboration gouvernementale, en particulier dans les environnements hybrides ou distants. Ces plateformes sont améliorées par l'IA, riches en fonctionnalités et sont souvent conformes aux principaux cadres réglementaires.

Pourtant, sous cette surface polie se cachent de sérieuses questions : Où vont les données ? À qui appartiennent les analyses ? Le gouvernement peut-il vraiment appliquer ses propres règles sur les plateformes qu'il ne contrôle pas ?

Au début de ces outils, bon nombre d'entre eux ont été conçus dans une optique de souveraineté des données. L'hébergement sur site et les déploiements privés sont disponibles pour les cas d'utilisation hautement sensibles. Mais dans la course à l'innovation et à l'expansion mondiale, la plupart de ces plateformes ont désormais évolué de manière agressive vers architectures privilégiant le cloud, souvent hébergés dans plusieurs juridictions.

Cela crée un paradoxe : les gouvernements utilisent peut-être des outils techniquement « conformes », mais ils y ont renoncé le contrôle souverain de leurs communications. La conformité, comme nous l'avons souligné au cours de cette session, n'est pas synonyme de souveraineté. Le premier garantit que vous suivez les directives légales, le second vous garantit possédez et gérez votre propre écosystème numérique.

Une journée de travail typique du gouvernement et une surface à risque invisible

Pour mettre cela en évidence, nous avons parcouru un scénario fictif mais très réaliste : une journée typique de la vie d'un fonctionnaire du gouvernement.

En une seule journée, ce fonctionnaire pourrait :

- Passer un appel GSM à un collègue d'un autre service

- Coordonnez en interne à l'aide d'une application de messagerie destinée aux consommateurs

- Participez à une visioconférence avec des fonctionnalités de transcription et d'analyse du comportement pilotées par l'IA

Ces actions peuvent sembler routinières, voire inoffensives. Mais du point de vue des données, chacun laisse derrière lui métadonnées, contenu, et des informations comportementales, disséminés dans divers réseaux et juridictions. Certains sont stockés sur site. D'autres optent pour le cloud. Certains restent cryptés. D'autres peuvent être mis à la disposition des fournisseurs via des journaux de débogage ou une « télémétrie » algorithmique.

Et une fois que l'IA entre en scène, évalue la productivité, effectue une analyse silencieuse des sentiments et classe automatiquement les documents, l'exposition augmente considérablement. La communication de l'officier ne se limite plus au contenu. Cela devient données interprétées, façonné et archivé par des outils dont la logique et la mémoire ne sont peut-être pas contrôlées par le gouvernement.

L'IA : le nouveau système d'exploitation des communications gouvernementales

L'IA n'est pas simplement un ajout aux plateformes de communication ; elle devient rapidement la couche opérationnelle principale. Les systèmes actuels complètent automatiquement les réponses, signalent les anomalies, filtrent les messages et acheminent ou expurgent même les documents en fonction de leur sensibilité présumée.

À bien des égards, cela représente un potentiel extraordinaire pour l'efficacité du secteur public, mais cela entraîne également de nouveaux risques importants. Comme nous l'avons vu, une IA qui n'est pas souveraine ne fait pas qu'aider : elle observe, apprend et potentiellement rapports publiés ailleurs.

Prenons l'analogie que nous avons utilisée au cours de la session : imaginez une maison intelligente où les serrures, les lumières et les routines sont contrôlées par une plateforme cloud. Imaginez maintenant que ce système intelligent envoie des modèles d'utilisation et des informations comportementales à une entreprise ou à un gouvernement d'un autre pays.

Auriez-vous confiance en cette maison intelligente ? Plus important encore, lui feriez-vous confiance pour gérer votre ministère des affaires étrangères?

Sans une IA souveraine, c'est-à-dire une IA entraînée sur des données approuvées, hébergée sur des infrastructures nationales, régie par des cadres vérifiables et protégée contre tout accès non autorisé, les gouvernements risquent de passer le relais renseignement opérationnel sur leur propre comportement interne.

Au-delà de l'utilisateur : l'essor de l'IA agentique

L'une des discussions les plus prospectives de la session 2 a porté sur IA agentique — des systèmes qui ne se contentent pas d'aider les utilisateurs, mais qui agissent en leur nom.

Imaginez-vous en train de dire à votre système :
« Planifiez une réunion ministérielle, prévenez tous les participants, préparez les documents d'information et transférez-les vers l'application de messagerie. »
Les plateformes agentiques peuvent déjà le faire en connectant les calendriers, les documents et les communications au sein d'un flux de travail fluide. Mais la question qui a suivi a donné à réfléchir :

À qui appartient la logique qui décide que est planifié, qui reçoit une notification, et comment ce contenu est prioritaire ?

À mesure que les gouvernements adoptent ces outils, ils risquent d'intégrer logique opérationnelle étrangère au plus profond de leurs processus internes. Et puisque la plupart des systèmes agentiques reposent sur déploiement dans le cloud public, leurs actions sont potentiellement surveillées, formées et améliorées de l'extérieur, en dehors du contrôle souverain.

Cela donne naissance au concept de la gouvernance dès la conception essentiel. Nous devons passer de la simple adoption de ce qui est disponible à en spécifiant ce qui est acceptable, à travers le comportement, l'architecture et les politiques.

Comme notre directeur de cours, François Rodriguez, l'a noté au cours de la session :

« Les gouvernements d'aujourd'hui ne se contentent pas de choisir des outils. Ils façonnent la logique qui régira leurs décisions de demain. Si cette logique n'est pas souveraine, le résultat ne l'est pas non plus. »

À une époque où les systèmes d'IA peuvent prendre des décisions en matière de planification, signaler la tonalité des messages et évaluer la productivité des réunions, même une gouvernance passive ne suffit pas. Vous devez définir et appliquer activement la logique de votre système ou accepter que quelqu'un d'autre l'ait déjà fait.

Souveraineté et conformité : posséder ou louer votre infrastructure numérique

Cette session nous a mis au défi de repenser la différence fondamentale entre conformité et souveraineté. Si la conformité est votre objectif code du bâtiment, votre souveraineté vous appartient titre foncier.

La conformité signifie que votre maison numérique est équipée d'issues de secours, de serrures et de détecteurs de fumée. Mais cela ne signifie pas que quelqu'un d'autre ne détient pas la clé ou ne voit pas à travers vos fenêtres. La souveraineté signifie que vous choisissez où votre maison est construite, qui y entre et ce qui s'y passe.

Trop souvent, les gouvernements confondent conformité et contrôle. Mais la complexité croissante de l'IA, de l'hébergement dans le cloud public et de la réglementation mondiale des données exige une posture plus affirmée : souveraine-by-design systèmes de communication.

Ces systèmes doivent être :

- Hébergé sur une infrastructure cloud locale ou nationale

- Transparence dans les contrats fournisseurs et les journaux d'audit

- Gouverné par des politiques d'IA qui anticipent non seulement les menaces actuelles, mais aussi les menaces futures

- Doté d'une visibilité en temps réel sur le traitement, le stockage et l'inférence des données

Conception d'une architecture souveraine : de la politique à la plateforme

Un environnement de communication véritablement souverain doit être conçu intentionnellement. Cela signifie que :

- Hébergement des données dans le pays ou dans des régions fiables

- Conserver la propriété de la clé cryptographique

- Veiller à ce que tous les modèles d'IA soient formés localement et explicables

- Audit du comportement des fournisseurs et des journaux de service en temps réel

Il ne s'agit pas uniquement d'une question de sécurité. Il s'agit de autodétermination institutionnelle à l'ère du numérique.

Le changement post-quantique : pourquoi il faut agir dès maintenant

Nous avons conclu la session par un avertissement prospectif : l'informatique quantique n'est pas dans quelques décennies, mais elle existe déjà. Bien qu'elles ne soient pas encore généralisées, les avancées informatiques dans ce domaine constituent une menace existentielle pour les normes de cryptage actuelles.

La plupart des communications gouvernementales reposent aujourd'hui sur le RSA, l'ECC ou d'autres méthodes de cryptographie à clé publique qui ne survivra pas l'ère quantique. Et parce que les communications sensibles doivent rester protégées non seulement aujourd'hui, mais pour les décennies à venir, la transition vers cryptographie post-quantique doit commencer immédiatement.

Il ne s'agit pas d'un vulnérabilité rétrospective en attente d'être exploité.

Réflexions finales : concevoir pour la souveraineté, pas seulement pour la fonction

La session 2 a clairement rappelé que communication gouvernementale moderne n'est plus seulement une question de rapidité, de commodité ou même de conformité réglementaire. Il s'agit de concevoir des systèmes en tenant compte de la souveraineté, à partir de zéro.

Les applications grand public, même celles dérivées de l'open source, doivent être abordées avec rigueur et prudence. Les outils de collaboration d'entreprise offrent des fonctionnalités impressionnantes, mais souvent au détriment du contrôle des données. L'IA améliore tout ce qu'elle touche, mais elle doit être recruter, pas un espion.

Parce qu'à l'ère de l'IA agentique, de l'analyse comportementale et du déchiffrement quantique, la conformité à elle seule ne suffit pas. Ce qui compte, c'est qui gère l'infrastructure et à qui l'infrastructure sert en fin de compte.

L'avenir n'attendra pas. Et nous ne devrions pas le faire non plus.

Vous avez manqué la session 1 ? Faites le point sur les risques liés à l'héritage et à la messagerie ici.

Pour demander un briefing privé ou participer à nos futures sessions de formation et de cours pour une communication sécurisée, contactez notre équipe.

Restez à l'affût pour la session 3 !