Dans l’économie numérique contemporaine, la donnée s’est affirmée comme un actif immatériel critique et incontournable. Elle constitue le carburant essentiel qui alimente l’intelligence artificielle, guide les choix décisionnels des dirigeants et structure les chaînes de valeur industrielles. Cependant, cette centralité expose les organisations à un paradoxe stratégique majeur : elles doivent impérativement faire circuler ces données pour créer de la valeur, tout en évoluant dans un environnement de menaces complexes où l’intelligence économique et la captation d’informations sont devenues des risques systémiques. Face à une dépendance accrue envers des infrastructures cloud souvent situées hors de nos frontières, les actifs les plus précieux des entreprises européennes se retrouvent exposés à des risques d’exploitation de nature criminelle ou étatique.
C’est pour répondre à ce défi que le Cigref a engagé, dès 2023, un travail d’intelligence collective associant de nombreux dirigeants et experts sectoriels. L’objectif de cette démarche est de dépasser la simple analyse technique pour proposer une réflexion stratégique approfondie et un référentiel commun aux grandes organisations publiques et privées.
L’impasse des approches actuelles : l’angle mort juridique et technique
L’un des enseignements majeurs de nos travaux réside dans la mise en lumière d’un « angle mort » juridique concernant les données non personnelles. Alors que le cadre réglementaire européen s’est fortement structuré autour des données à caractère personnel et de la vie privée, les données industrielles et stratégiques des entreprises restent confinées dans un flou réglementaire préjudiciable à leur compétitivité.
Le rapport démontre que les protections traditionnelles s’avèrent aujourd’hui insuffisantes dans un environnement globalisé :
- L’échec des barrières juridiques classiques : les clauses contractuelles, le secret des affaires ou la propriété intellectuelle sont nécessaires mais inopérants face aux lois non européennes à portée extraterritoriale (telles que la section 702 de la loi FISA américaine). Ces législations d’ordre pénal et de renseignement s’imposent de force aux hébergeurs tiers, primant sur les accords de droit privé.
- La vulnérabilité irréductible du chiffrement « en cours de traitement » : sur le plan technique, si le chiffrement protège efficacement les données au repos et en transit, la donnée en cours d’utilisation doit impérativement être déchiffrée en clair dans la mémoire vive du processeur pour être calculée. C’est à cet instant précis que se crée une vulnérabilité structurelle face à un opérateur cloud soumis à des lois étrangères.
- Les limites des promesses technologiques : le chiffrement homomorphe souffre encore d’une immaturité industrielle, tandis que l’informatique confidentielle (Confidential Computing) ne fait que déplacer la confiance vers des fondeurs et des architectures propriétaires impossibles à auditer réellement.
La primauté du droit et l’ambition d’un cadre réglementaire européen
Ce constat impose une conclusion inconfortable mais structurante : il n’existe pas, à ce jour, de véritable bouclier purement technique. La sécurité ultime de la donnée ne réside pas dans l’épaisseur du blindage cryptographique, mais dans le statut juridique de l’opérateur qui contrôle l’infrastructure. La seule garantie d’immunité véritable est donc de nature juridique, reposant sur le choix de fournisseurs placés exclusivement sous le droit européen.
Bien que la France ait tracé une voie structurante à travers la certification SecNumCloud ou la doctrine « Cloud au centre », le caractère strictement domestique de ces dispositifs engendre une fragmentation normative complexe pour les entreprises multinationales. L’enjeu est désormais de transposer cette dynamique à l’échelle continentale. L’entrée en application du Data Act européen en septembre 2025, combinée aux négociations en cours sur la révision du Cybersecurity Act (CSA 2) et le Cloud and AI Development Act (CADA) en 2026, représente une opportunité historique pour consolider la protection de notre patrimoine informationnel.
La vision du Cigref : concilier sécurité et performance économique
Face à ces enjeux géopolitiques, le Cigref n’appelle pas à une contrainte excessive, mais à une approche fondée sur l’incitation, la responsabilité des acteurs et le respect des réalités métiers. Nos propositions s’articulent autour de quatre piliers :
- Une définition souple de la donnée sensible : laisser aux entreprises la liberté de définir leurs périmètres de sensibilité sous leur propre responsabilité, en fonction d’une analyse fine de leur risque métier.
- Une approche matricielle de la certification : réconcilier de manière fluide les niveaux de protection technique du CSA 2 et les garanties d’assurance juridique contre l’extraterritorialité portées par le CADA au sein du futur schéma EUCS.
- Un soutien économique à la demande : réorienter les financements publics et mettre en place des incitations fiscales (crédits d’impôt, suramortissement) pour aider les entreprises clientes à absorber les surcoûts des offres de confiance (estimés entre 15 % et 20 % par rapport aux hyperscalers).
- Des trajectoires de transition réalistes : instaurer des calendriers progressifs de 3 à 5 ans (et jusqu’à 10 ans pour les actifs les plus critiques) calés sur les renouvellements de contrats, afin de ne pas sacrifier la puissance technologique des organisations européennes.
En diffusant cette note d’information, le Cigref se positionne comme une force de proposition au service d’une régulation équilibrée, faisant de la sécurité des données non seulement un facteur de confiance, mais aussi un socle de la puissance économique européenne.