Ce qui change : de la sauvegarde à l’infrastructure d’IA
Le principe n’est pas nouveau. Après les cyberattaques qui ont visé des sites publics, des banques et des médias estoniens entre le 27 avril et le 18 mai 2007, Tallinn a cherché à préserver une copie de ses informations critiques hors de ses frontières. Les analyses du Centre d’excellence de l’OTAN pour la cyberdéfense coopérative décrivent une campagne d’attaques, notamment par déni de service. Elles relèvent des indices de motivation politique, mais ne permettent pas d’attribuer avec certitude l’opération à un État. (ccdcoe.org)
En 2017, l’Estonie et le Luxembourg ont signé un accord pour héberger des données et systèmes d’information estoniens dans un centre de données luxembourgeois. Le projet s’est ensuite développé en infrastructure de sauvegarde, conçue comme un prolongement du cloud de l’État estonien. Un document officiel estonien indique que le pilote mené de 2017 à 2020 a concerné dix bases de données critiques. (valitsus.ee)
L’évolution mise en avant en 2026 concerne l’usage possible de ce modèle pour l’IA. Dans un rapport publié le 11 mai avec Bain & Company, le Forum économique mondial (WEF) présente les ambassades numériques comme une option à examiner parmi plusieurs stratégies d’infrastructure souveraine. Il propose un cadre de confiance pour guider de futurs accords, mais ce document est une recommandation, pas une norme juridique ni la preuve que des infrastructures d’IA de ce type sont déjà déployées à grande échelle. (weforum.org)
Comment cela fonctionne
Une ambassade numérique n’est pas nécessairement installée dans les locaux d’une ambassade diplomatique. Dans le cas estonien, les équipements se trouvent dans un centre de données au Luxembourg. Les données sont transférées et conservées selon des arrangements prévus entre les deux États ; l’accès est réservé aux personnes habilitées. La copie hébergée à l’étranger vise à permettre de restaurer des informations et des services essentiels si les systèmes situés dans le pays deviennent indisponibles.
Le mécanisme repose autant sur le droit que sur la technique. L’accord estonien-luxembourgeois prévoit notamment l’inviolabilité des locaux désignés et encadre l’accès des autorités luxembourgeoises. Cela ne transforme toutefois pas le centre de données en territoire estonien : il reste situé au Luxembourg. Il est plus exact de parler d’un régime de protection et d’immunités convenu par traité que d’une enclave soustraite à toute loi locale. L’accord ne signifie pas non plus, à lui seul, que les règles de protection des données — dont le RGPD lorsqu’il s’applique — cessent de s’appliquer. (legilux.public.lu)
Pour des projets d’IA, le périmètre serait plus large qu’une sauvegarde : il pourrait s’agir de partager des centres de données, des serveurs et des capacités de calcul entre plusieurs États. Le WEF souligne que ce choix doit être évalué au regard des coûts, de la sécurité, de la dépendance envers le pays hôte et des risques de crise. Une telle infrastructure ne devient donc pas « souveraine » par son seul emplacement ou par la propriété des machines : les modalités de gouvernance, d’accès et de décision comptent aussi.
Ce qu’il faut vérifier
Le vocabulaire peut prêter à confusion. L’inviolabilité prévue par un accord international n’équivaut pas automatiquement à une immunité générale pour toutes les données, tous les prestataires ou tous les traitements hébergés. Il faut examiner le texte de chaque accord : quelles installations sont couvertes, qui peut accéder aux équipements, quelles procédures s’appliquent en cas de litige et comment les données sont protégées. Les sauvegardes doivent également être testées et isolées contre les risques de compromission ; leur existence seule ne garantit pas une restauration rapide.
La dimension « IA » reste, elle aussi, à qualifier. Le rapport du WEF expose une option stratégique et un cadre proposé ; il ne confirme pas que chaque pays cité dans les débats dispose déjà d’une ambassade numérique dédiée à l’IA. En parallèle, la Commission européenne a présenté en juin 2026 son paquet sur la souveraineté technologique. Celui-ci comprend notamment une proposition de règlement sur le développement du cloud et de l’IA : à la date de publication, il s’agit d’une proposition législative, et non d’une règle déjà adoptée. (digital-strategy.ec.europa.eu)
Ce que cela change pour les utilisateurs
Pour les citoyens, l’intérêt est indirect : si une administration perd l’accès à ses systèmes à la suite d’une panne majeure, d’une catastrophe ou d’une attaque, une copie de secours à l’étranger peut contribuer à rétablir des services et à préserver des registres essentiels. Elle ne garantit pas que les services resteront accessibles pendant l’incident, ni que les systèmes en production ne seront pas touchés.
Pour les États, les administrations et les opérateurs d’infrastructures, l’enjeu est de trouver un équilibre entre résilience et dépendance. Héberger des données critiques chez un partenaire peut offrir une solution plus réaliste que construire une infrastructure nationale équivalente, mais cela exige un partenaire fiable, des protections techniques solides et des règles compréhensibles en situation de crise. Les ambassades numériques ne suppriment donc pas les interdépendances : elles cherchent à les organiser par des accords explicites.
Source : RSS – linc.cnil.fr
Article original : Consulter la source originale
