Operationalizing Digital Sovereignty: The African Blueprint

François Rodriguez soutient que la souveraineté numérique commence par savoir où les données sont physiquement stockées, quelle juridiction régit le prestataire de services et quels logiciels tiers interviennent dans le transit des données. Ces trois couches constituent le fondement de tout cadre de souveraineté digne de ce nom. Sans clarté sur ces trois éléments, un pays ne peut prétendre exercer un contrôle réel sur son environnement numérique.

Il a expliqué que les données cloud ne sont pas abstraites mais résident sur des serveurs physiques quelque part, et que la première question est de savoir où ces serveurs sont situés . La deuxième porte sur la juridiction du fournisseur de services cloud , et la troisième concerne le transit des données via des fournisseurs de logiciels tiers opérant sous une juridiction différente, ce qui crée une lacune en matière de souveraineté .

François Rodriguez distingue le sentiment subjectif d'être souverain de la réalité objective et vérifiable de cette souveraineté. Il soutient que les gouvernements doivent être en mesure d'auditer leurs revendications de souveraineté plutôt que de simplement les supposer. Cette distinction est au cœur de sa conception de la souveraineté numérique comme condition pratique et mesurable.

Il a déclaré qu'il existe deux notions : la volonté de se sentir souverain et la réalité d'être véritablement souverain sur le terrain . Il a souligné que la première dimension de la souveraineté est la vérification - la capacité d'un pays à auditer réellement sa souveraineté .

François Rodriguez avertit que la dépendance à un seul fournisseur crée une vulnérabilité critique : si ce fournisseur retire ses services, cesse de fournir des mises à jour ou fait l'objet de décisions géopolitiques, l'ensemble des opérations numériques du pays peut s'arrêter. Cela fait de l'indépendance opérationnelle une composante essentielle de la souveraineté numérique. Il présente cela comme une menace directe pour les citoyens et le fonctionnement national.

Il a cité des exemples récents et concrets de gouvernements s'étant vu couper l'accès à certains outils d'IA , et a noté que si un fournisseur cesse de soutenir un pays ou décide de ne plus lui fournir de services, les opérations s'arrêtent et les citoyens en sont affectés . Il a également évoqué la question plus large de savoir si un pays contrôle véritablement son indépendance et son autonomie .

François Rodriguez soutient que lors des processus d'approvisionnement, les gouvernements doivent vérifier qu'ils conservent le contrôle sur les clés de chiffrement, les données et la continuité opérationnelle. Il présente cela comme une liste de conditions de souveraineté qui doivent être remplies avant de conclure tout accord de services numériques. Ne pas poser ces questions lors de l'approvisionnement conduit à la dépendance et à la perte de souveraineté.

Il a déclaré que lors des achats publics, les gouvernements doivent veiller à savoir s'ils contrôlent réellement les clés, leurs données et leur destin . Il a directement relié cela au cadre général de gouvernance des données qu'il présentait .

François Rodriguez met en garde contre la simple transposition de cadres réglementaires d'une région à une autre sans examiner s'ils sont architecturalement et contextuellement adaptés. Il prend l'UE en exemple comme région dotée de réglementations strictes qui ne se transposent pas nécessairement à d'autres contextes. Il appelle à une harmonisation adaptée aux spécificités de chaque destination.

Il a noté que l'Afrique a vu la mise en œuvre de réglementations calquées sur celles de l'UE, qui est à l'avant-garde de la réglementation stricte, mais qu'un équilibre doit être trouvé car l'architecture pourrait ne pas convenir à certaines destinations . Il a cité en exemple les corridors commerciaux proposés par l'UE, conçus pour les matières premières, qui ne reflètent pas les routes de l'économie numérique actuelle dans les secteurs de l'agriculture, de la santé et de la finance .

François Rodriguez présente un cadre de cycle de vie des données couvrant la collecte, le stockage, l'utilisation et la suppression comme les quatre piliers d'une gouvernance efficace des données. Il souligne que la minimisation des données — la suppression des données qui ne sont plus nécessaires — est particulièrement importante car elle réduit la surface d'attaque en cas de violation. Il insiste également sur la nécessité de classifier les données et d'appliquer des niveaux de chiffrement appropriés.

Il a décrit le cadre comme suit : comprendre quelles données sont collectées et ingérées, comment elles sont stockées avec une protection appropriée pour les données sensibles , comment elles sont utilisées dans les flux de travail , et quelles données doivent être supprimées, en notant que moins de données stockées signifie moins d'exposition en cas de violation . Il a également insisté sur la nécessité de classifier les données et d'appliquer le niveau de chiffrement approprié .

François Rodriguez soutient que les gouvernements et les organisations exposent inutilement des données en acheminant de simples requêtes d'IA vers des systèmes d'IA en nuage, alors que celles-ci pourraient être traitées localement sur l'appareil. Il cite des statistiques suggérant que plus de la moitié des requêtes d'IA sont suffisamment simples pour être exécutées localement. Cette dépendance inutile au nuage aggrave les risques liés à la souveraineté.

Il a déclaré que plus de 50 % des requêtes d'IA sont des requêtes simples pouvant être exécutées sur l'appareil - telles que la synthèse, la traduction et l'intégration dans les flux de travail - et peuvent être traitées sur un téléphone mobile . Il a averti qu'en déversant toutes les données dans des IA en nuage, les utilisateurs perdent le contrôle de ce qu'ils y placent, ce qui reflète les risques de souveraineté déjà évoqués .

François Rodriguez décrit un effort multilatéral de renforcement des capacités ayant permis de former plus de 50 pays sur la souveraineté numérique, la cryptographie post-quantique et les communications gouvernementales sécurisées. Il présente les partenariats noués avec l'ITU, Smart Africa et l'accord nouvellement annoncé avec l'AICTO. Ces programmes visent à traduire les cadres théoriques en mise en œuvre concrète.

Il a expliqué que Real Time a formé plus de 50 pays différents dans le cadre du renforcement des capacités couvrant la souveraineté numérique, la transition post-quantique et les communications gouvernementales sécurisées . Il a mentionné le partenariat avec Smart Africa et annoncé la signature d'un accord avec l'organisation arabe des TIC lors de la session elle-même .

François Rodriguez soutient que la menace que représente l'informatique quantique pour les systèmes cryptographiques existants n'est plus une préoccupation théorique lointaine, mais bien imminente, les échéances pointant désormais vers 2030–2031. Il présente cette situation comme une porte que l'on frappe déjà, exigeant une action urgente. Ne pas migrer vers le chiffrement post-quantique expose les données gouvernementales sensibles à un risque de déchiffrement futur.

Il a indiqué que l'informatique quantique était auparavant attendue dans un délai de dix ans, mais que cet horizon s'est rapproché à 2030-2031 au plus tard, ce qui signifie qu'elle frappe déjà à la porte . Il a également souligné que sans chiffrement post-quantique, des adversaires étrangers pourraient accéder à des données non chiffrées .

François Rodriguez met en avant le Quantum Act comme un signal politique et d'investissement indiquant que le développement de l'informatique quantique est activement accéléré, ce qui réduit d'autant le temps dont disposent les gouvernements pour migrer leur infrastructure cryptographique. Il présente cela comme une raison supplémentaire d'agir en urgence dans la planification de la migration post-quantique. Cette loi représente un changement structurel dans le paysage des menaces.

Il a fait référence au Quantum Act, notant qu'un volume important d'investissements a été consacré à l'informatique quantique pour accélérer le développement de cette technologie, qui sera capable de briser la cryptographie existante .

François Rodriguez avertit que les offres d'infrastructures numériques dites gratuites dissimulent souvent des modèles économiques qui extraient de la valeur de manière non monétaire, notamment par le biais des données et de la propriété intellectuelle. Il soutient que l'auditabilité est essentielle pour détecter ce qui est extrait en coulisses. Il soulève la possibilité alarmante que des modèles d'IA puissent être construits à partir des données d'un pays afin de simuler des scénarios stratégiques contre ce même pays.

Il a décrit plusieurs structures de modèles économiques cachés, notamment des modèles freemium où des coûts s'appliquent à partir de certains seuils, ainsi que des périodes gratuites limitées dans le temps qui se transforment finalement en abonnements payants . Il a également mis en garde contre l'extraction covert de données et de propriété intellectuelle, et a cité l'exemple de données de santé utilisées pour construire un modèle d'IA capable de simuler l'impact d'une infection sur la population d'un pays, ce qui pourrait être exploité à des fins stratégiques ou menaçantes .

S.E. Ing. Mohamed Benamor propose une définition concise, en une seule phrase, de la souveraineté numérique : la capacité pleine et entière d'un pays à contrôler ses propres données. Cette définition place la souveraineté dans le contrôle des données comme mesure principale. Elle s'inscrit dans la continuité de l'accent mis par la discussion générale sur les données en tant que fondement de l'indépendance numérique.

Invité à formuler une définition en une phrase, il a déclaré directement que la souveraineté désigne la capacité d'un pays à exercer un contrôle total sur ses données .

S.E. Ing. Mohamed Benamor soutient que la tension perçue entre souveraineté nationale et coopération régionale est un faux dilemme. Les pays peuvent conserver un contrôle total sur leurs infrastructures critiques et leurs politiques nationales tout en choisissant de collaborer à l'échelle régionale dans les domaines où l'action collective apporte une valeur ajoutée. Il présente cela comme un équilibre plutôt que comme un choix binaire.

Il a déclaré qu'il s'agissait d'une question d'équilibre plutôt que d'un choix entre deux positions opposées, et que le contrôle national total et les capacités régionales partagées sont deux perspectives légitimes . Il a énuméré les domaines dans lesquels la collaboration régionale crée davantage de valeur, notamment la cybersécurité, la recherche en IA, les infrastructures numériques publiques, l'interopérabilité, le renforcement des capacités et les normes techniques communes .

S.E. Ing. Mohamed Benamor décrit la fonction de l'AICTO non pas comme un plaidoyer en faveur de la centralisation, mais comme un facilitateur de consensus entre des États membres aux priorités divergentes. L'organisation offre une plateforme où des cadres de gouvernance et des normes communes peuvent être élaborés conjointement. Cette approche vise à respecter la souveraineté nationale tout en favorisant la solidarité régionale.

Il a indiqué que le rôle de l'AICTO n'est pas de plaider en faveur de la centralisation, mais de faciliter le consensus , et que l'organisation fournit une plateforme multipartite où les États membres peuvent élaborer conjointement des cadres de gouvernance, des normes communes et des mécanismes de coopération de confiance qui respectent les priorités nationales tout en faisant progresser les valeurs communes . Il a également souligné que l'objectif est de renforcer la souveraineté numérique nationale par la solidarité régionale .

S.E. Ing. Mohamed Benamor recourt à l'analogie du cheval de Troie pour mettre en garde les gouvernements contre l'acceptation d'offres d'infrastructures numériques gratuites sans en examiner les conditions cachées. Il enchaîne ensuite en décrivant la manière dont l'AICTO traduit le dialogue régional en actions politiques concrètes. Il présente des initiatives spécifiques comme illustration concrète de cette approche.

Il a invoqué l'histoire mythique du cheval de Troie pour illustrer le fait qu'un cadeau gratuit mérite toujours un examen approfondi . Il a ensuite décrit les actions concrètes de l'AICTO, notamment la Stratégie arabe de cybersécurité élaborée en 2023 et le Pacte arabe sur l'éthique de l'IA développé l'année suivante, comme exemples de la traduction du dialogue régional en actions .

Gallo Fall soutient qu'un nombre significatif de pays, notamment dans le Sud global, ont déjà perdu tout contrôle effectif sur leurs données et leur infrastructure numérique, sans en être conscients, faute d'outils pour évaluer leur propre posture de souveraineté. Il distingue la cybersécurité en tant que discipline technique de la souveraineté numérique en tant que concept stratégique plus large. L'absence de connaissance de soi constitue en elle-même le problème fondamental.

Il a noté que la cybersécurité se concentre sur la protection des systèmes contre les accès non autorisés, ce qui relève essentiellement d'une discipline technique, tandis que la souveraineté numérique est un concept stratégique plus large - un système peut être parfaitement sécurisé et pourtant ne pas être sous le contrôle du pays . Il a affirmé que de nombreux pays du Sud global ont déjà perdu le contrôle de leurs données et de leur infrastructure numérique parce qu'ils ne savent pas où ils en sont ni quelle est leur posture en matière de souveraineté numérique .

Gallo Fall décrit sa plateforme de renseignement sur la souveraineté numérique comme un outil conçu spécifiquement pour les gouvernements, les ministères et les institutions d'infrastructure critique souhaitant reprendre le contrôle stratégique. La plateforme cartographie les cadres de cybersécurité par rapport aux piliers de la souveraineté et génère des KPIs, des rapports et des recommandations. Sa valeur principale réside dans le fait de donner aux gouvernements une vision claire de leur situation actuelle afin qu'ils puissent commencer à combler leurs lacunes.

Il a décrit la plateforme comme un écosystème de renseignement unifié et continu, conçu spécifiquement pour les ministères gouvernementaux et les institutions d'infrastructure critique qui refusent de perdre le contrôle stratégique de leurs données, de leur infrastructure et de leurs fonctionnalités d'IA . Il a expliqué qu'il l'a construite en cartographiant tous les cadres de cybersécurité et les différents piliers de la souveraineté, et en développant des outils numériques fournissant des KPIs, des rapports et des recommandations pour aider les gouvernements ayant déjà largement perdu leur souveraineté numérique .

Gallo Fall soutient que toutes les données ne présentent pas le même risque stratégique, et que certaines catégories — qu'il appelle les joyaux de la couronne — doivent être traitées comme non négociables et maintenues en permanence à l'intérieur des frontières nationales. Il présente cela comme une question de sécurité nationale et d'intégrité démocratique. Il avertit que des acteurs adverses ciblent activement ces données pour manipuler les élections et construire un avantage stratégique.

Il a déclaré que les nations africaines devraient commencer à classifier leurs données et que certaines données ne devraient jamais quitter le pays, citant notamment les systèmes d'identification nationale, les données biométriques et les listes électorales comme exemples . Il a averti que des acteurs adverses manipulent actuellement les élections à l'aide de ces données et que ces joyaux de la couronne ne doivent pas quitter le pays .

Gallo Fall introduit le concept de colonisation des données pour décrire l'extraction systématique des données africaines par de puissants acteurs extérieurs à leur propre profit stratégique. Il soutient qu'il ne s'agit pas seulement d'un phénomène commercial, mais géopolitique, les acteurs adverses utilisant ces données pour manipuler les élections et construire des modèles d'IA qui servent leurs intérêts. Il appelle les nations africaines à faire preuve de réalisme et de vigilance quant aux données qu'elles cèdent.

Il a déclaré qu'il existe une soif d'obtenir notamment des données africaines, qu'il qualifie de colonisation des données, et que de puissants pays construisent des modèles pour manipuler ces données à leur propre avantage . Il a averti que des acteurs adverses manipulent les élections à l'aide de ces données et que les nations africaines doivent être très prudentes quant à ce qu'elles confient à ces pays puissants .

Thelma Efua Quaye redéfinit la souveraineté non pas comme un isolement total ou un contrôle absolu, mais comme la transparence et le consentement éclairé sur l'utilisation des données. Elle soutient que la souveraineté d'un gouvernement est réelle lorsqu'il sait à quoi servent ses données et conserve le pouvoir d'en approuver ou d'en refuser l'utilisation. Il s'agit d'une définition plus pragmatique et plus accessible que le contrôle national total.

Elle a déclaré que dans le monde d'aujourd'hui, l'isolement total n'est pas réaliste, et que pour elle, la souveraineté pour un gouvernement devrait se traduire par la transparence et la capacité de savoir où se trouvent ses données et à quoi elles servent, avec la possibilité de dire non ou oui .

Thelma Efua Quaye s'appuie sur son expérience en tant que CTO pour illustrer le fait que la possession d'infrastructures ne se traduit pas automatiquement par une exploitation efficace. Elle identifie trois causes profondes d'échec : le manque d'investissement public, le manque de compréhension de l'importance stratégique de l'infrastructure, et l'absence de demande du marché. Elle utilise un exemple concret d'un réseau dorsal national dont le taux d'utilisation est inférieur à 10% pour illustrer son propos.

Elle a relaté son expérience à la tête d'un réseau où le pays possédait l'infrastructure mais dont le taux d'utilisation était inférieur à 10%, la maintenance était déficiente et personne ne répondait aux appels de service . Elle a attribué cela au fait que le gouvernement n'investissait pas parce qu'il ne comprenait pas pourquoi il le devrait, notamment lorsque le secteur privé exploitait déjà un réseau dorsal . Elle a également noté que les centres de données souverains construits dans plusieurs pays affichaient un faible taux d'utilisation parce que l'investissement était motivé par un sentiment de souveraineté plutôt que par une demande réelle du marché .

Thelma Efua Quaye propose un cadre en trois étapes pour permettre aux gouvernements de passer de la simple possession d'infrastructures numériques à leur exploitation et efficace. Ces étapes sont : premièrement, comprendre l'importance stratégique de l'infrastructure afin que l'investissement suive ; deuxièmement, renforcer les capacités des personnes chargées de l'exploiter ; et troisièmement, stimuler la demande du marché pour garantir que l'infrastructure soit réellement utilisée. Elle les présente comme séquentielles et interdépendantes.

Elle a exposé explicitement les trois étapes : comprendre l'importance de l'infrastructure afin que l'investissement soit réalisé , renforcer les capacités pour permettre l'exploitation , et stimuler la demande du marché par des mécanismes tels que les startups et les usines d'IA . Elle a résumé ces éléments comme les trois actions qu'un gouvernement devrait entreprendre pour passer de la possession à l'exploitation des infrastructures .

Thelma Efua Quaye soutient que toute offre d'infrastructure numérique gratuite doit être accueillie avec une profonde méfiance, car le coût est toujours présent, même s'il n'est pas monétaire. Elle formule cela comme un principe fondamental : si vous n'êtes pas celui qui mange, vous êtes probablement celui qui est mangé. Les gouvernements doivent identifier ce à quoi ils renoncent en échange du prétendu cadeau.

Elle a déclaré sans détour qu'elle ne croit pas qu'il existe quoi que ce soit de gratuit, et que si vous n'êtes pas celui qui mange, vous êtes probablement celui qui est mangé . Elle a ensuite invité les gouvernements à réfléchir à ce qu'ils donnent en échange - que ce soient des données, la souveraineté ou la liberté - même si aucune somme d'argent ne change de mains .

Thelma Efua Quaye utilise un exemple récent et concret tiré du Ghana pour illustrer l'importance de lire les petits caractères de toute offre numérique gratuite. Dans ce cas, une subvention du gouvernement américain au service de santé ghanéen semblait gratuite, mais exigeait en réalité les données des citoyens comme coût caché, ce qui a conduit le Ghana à annuler l'accord. Elle présente cela comme un modèle du type d'examen rigoureux que tous les gouvernements devraient appliquer.

Elle a décrit une situation récente au Ghana impliquant le service de santé et le gouvernement américain, dans laquelle une subvention était proposée gratuitement, mais la contrepartie était les données des citoyens . Le gouvernement ghanéen a identifié cette condition et a annulé l'accord . Elle a utilisé cet exemple pour illustrer les clauses cachées que les gouvernements doivent examiner attentivement .

Maryna Veuthey utilise un exercice interactif avec le public pour mettre en évidence une lacune critique en matière de sensibilisation : la plupart des gouvernements et des responsables ne connaissent pas les conditions contractuelles régissant leurs relations avec leurs fournisseurs de services cloud ou de logiciels, notamment s'ils peuvent résilier le contrat dans un délai de 30 jours et quelles seraient les implications juridiques pour leurs données. Cette méconnaissance constitue en elle-même un risque pour la souveraineté. Elle la présente comme un test pratique permettant de déterminer si la souveraineté est réelle ou simplement supposée.

Au cours de l'exercice avec le public, elle a demandé aux participants de lever la main s'ils pouvaient changer ou résilier un contrat avec un fournisseur de services cloud ou de logiciels dans un délai de 30 jours, en sachant ce qu'il adviendrait de leurs données et quelles en seraient les implications juridiques . L'exercice visait à révéler combien peu de responsables connaissent réellement la réponse à cette question, illustrant ainsi concrètement la lacune en matière de connaissance contractuelle .

Maryna Veuthey utilise l'exercice avec le public pour révéler que la migration post-quantique n'est pas encore budgétisée par les gouvernements, malgré l'urgence du calendrier évoqué plus tôt lors de la session. Elle met en contraste l'omniprésence des discussions sur l'IA avec la relative négligence à l'égard de la préparation post-quantique. Elle présente le post-quantique comme le prochain défi majeur que les gouvernements ne prennent pas encore suffisamment au sérieux dans leur planification financière.

Au cours de l'exercice, elle a demandé aux participants de lever la main si la migration post-quantique était déjà budgétisée et pas seulement discutée , et anticipait qu'aucune main ne serait levée . Elle a fait remarquer que si l'IA est omniprésente et que les gens s'y habituent, le post-quantique est une tout autre affaire qui n'a pas encore été prise en compte dans les budgets .

Un membre du public intervient lors de l'exercice interactif pour clarifier et affiner la question posée, en soulignant que l'enjeu crucial n'est pas simplement de savoir si un contrat peut être résilié, mais quels droits juridiques un gouvernement conserve sur ses données après la résiliation. Cette contribution met en évidence que la connaissance contractuelle doit aller au-delà des clauses de sortie pour englober les droits de récupération des données et les conséquences juridiques. Elle souligne la complexité des relations avec les fournisseurs que les gouvernements négligent souvent.

Lors de l'exercice en salle, un participant a repris et renforcé la question du modérateur en la reformulant ainsi : si vous pouvez résilier le contrat, que devient alors les données et quelles sont les implications juridiques .