Souveraineté numérique pour les particuliers : ce qu'elle signifie et ce que vous pouvez réellement faire

En résumé. Pour un individu, la souveraineté numérique consiste à pouvoir déterminer où résident ses données, qui peut les lire et ce qu'elles deviennent si une entreprise modifie ses tarifs, ses conditions d'utilisation ou sa stratégie. Cela ne signifie pas tout faire soi-même, mais connaître ses dépendances et les choisir délibérément.

Qu'est-ce que la souveraineté numérique, en termes simples ?

Les gouvernements emploient ce terme pour désigner le contrôle de leurs infrastructures et de leurs données. Pour un particulier, elle se résume à trois questions auxquelles vous pouvez concrètement répondre :

• Où se trouvent-elles ? Quelle entreprise, quel pays, quel appareil détient vos notes, votre liste de lecture, vos photos.
• Qui peut les lire ? Le fournisseur, ses employés, une autorité en mesure de contraindre le fournisseur, ou vous uniquement.
• Pouvez-vous partir ? Pouvez-vous tout exporter, dans un format lisible par d'autres logiciels, le jour où vous le décidez ?

Si vous pouvez répondre à ces trois questions pour les contenus qui vous tiennent à cœur, vous en êtes souverain. Pour la plupart des gens, la réponse sincère aujourd'hui est « aucune idée » pour la majorité d'entre eux. C'est un point que l'on peut corriger, sans forcément tout faire d'un coup.

Pourquoi c'est important aujourd'hui : cinq évolutions majeures

1. Un centre de données européen ne rend pas une entreprise américaine européenne. Le CLOUD Act américain permet aux autorités des États-Unis d'exiger des fournisseurs basés aux États-Unis la transmission des données sous leur contrôle, quel que soit leur lieu de stockage. La compatibilité avec le RGPD fait débat : des barreaux européens soutiennent que transmettre des données personnelles de l'UE sur une telle injonction constituerait une infraction. Des juristes détaillent ce conflit (Linklaters, Cleary Gottlieb, Analyse du CCBE). La leçon pratique : « hébergé dans l'UE » vous indique où se trouve le serveur, mais pas quelles lois s'y appliquent.

2. La passerelle juridique pour les données transmises aux États-Unis fait l'objet d'un recours. Les transferts de données personnelles vers des entreprises américaines certifiées reposent actuellement sur le cadre de protection des données UE-États-Unis (Data Privacy Framework). Ses deux prédécesseurs, le Safe Harbor et le Privacy Shield, ont tous deux été invalidés par la plus haute juridiction de l'UE. En septembre 2025, le Tribunal de l'Union européenne a rejeté un recours contre le nouveau cadre ; le requérant a fait appel, et le pourvoi (affaire C-703/25 P) est toujours en cours à l'heure où nous écrivons (WilmerHale, Digital Policy Alert). Le cadre est valide aujourd'hui. Savoir s'il le restera échappe au contrôle de l'individu, et c'est précisément le sujet.

3. Quitter un service cloud devient un droit garanti par la loi. Le règlement européen sur les données (Data Act) s'applique depuis le 12 septembre 2025. Les fournisseurs de cloud doivent permettre à leurs clients de changer de prestataire avec un préavis maximal de deux mois, ne peuvent facturer que leurs coûts réels de changement jusqu'en janvier 2027, et à partir du 12 janvier 2027 ne pourront plus facturer le moindre frais de changement (Latham & Watkins, McCann FitzGerald). Ces règles s'adressent aux clients du cloud et des infrastructures, pas à votre application de lecture, mais elles montrent l'orientation de la législation : la portabilité est une exigence minimale, pas une faveur.

4. Les services en ligne disparaissent. Mozilla a annoncé en mai 2025 la fermeture de Pocket pour le 8 juillet 2025, suivie d'une période réservée à l'exportation, prolongée par la suite jusqu'au 6 novembre 2025 (9to5Mac, Vice). Si vous n'avez pas exporté à temps, votre bibliothèque avait disparu. Nous avons écrit sur ce qu'il faut rechercher dans une solution de remplacement dans le guide des alternatives à Pocket.

5. Les institutions publiques passent à l'action et prouvent que c'est possible. Le Land allemand de Schleswig-Holstein remplace les logiciels Microsoft au sein de son administration par des outils open source dans le cadre d'un programme intitulé « Digital Souveräner Arbeitsplatz », en commençant par la messagerie et la bureautique ; le Mecklembourg-Poméranie-Occidentale a convenu de coopérer avec lui (rapports : PC-WELT, CIO). La transition est lente et suscite des critiques, et ils n'abandonnent pas Microsoft dans sa totalité. Si une administration publique peut faire évoluer ses pratiques pas à pas, vous pouvez le faire pour une liste de lecture.

La souveraineté est une échelle, pas un interrupteur

Se demander si l'on est « souverain ou non » n'est pas la bonne approche. La vraie question est plutôt : à quel échelon souhaitez-vous vous situer, et pour quel type de données ?

Presque personne n'est au niveau 5 pour l'ensemble de ses données, et personne n'en a l'obligation. Une liste de lecture et un journal intime n'exigent pas le même degré d'exigence. La bonne pratique consiste à savoir où se situe chaque élément.

Local-first : l'approche technique pour rester maître de ses données

En 2019, des chercheurs du laboratoire Ink & Switch ont publié un essai intitulé « Local-first software », posant les bases de ce concept. Leurs sept principes prévoient notamment que le travail ne doit pas dépendre d'un serveur, que le réseau est facultatif, que vos données doivent rester exploitables des « décennies » plus tard même si l'éditeur du logiciel a disparu, que la sécurité et la confidentialité sont assurées par défaut (tout serveur hébergeant une copie ne stocke que des données chiffrées illisibles pour lui), et que vous conservez la propriété et le contrôle absolus de vos données (Ink & Switch, 2019). C'est une grille d'analyse utile pour tout outil que vous utilisez : demandez-vous lesquels de ces sept principes il enfreint.

Une liste d'actions pour un week-end

• Identifiez vos dépendances. Pour vos notes, listes de lecture, mots de passe, photos et outils d'IA : quelle entreprise, quel pays, quel format.
• Testez un export. Ne vous contentez pas de savoir si l'export est possible : exportez réellement et ouvrez le fichier dans une autre application. Faites-le en priorité pour l'élément qui vous manquerait le plus.
• Privilégiez les formats ouverts. Markdown, texte brut, JSON, EPUB, formats standards de calendrier et de contacts. Ils survivent aux applications.
• Choisissez votre propre espace de stockage. Un serveur Nextcloud (auto-hébergé ou chez un hébergeur européen), un bucket compatible S3 dont vous détenez le compte, ou simplement un dossier synchronisé entre vos appareils via Syncthing ou votre client de synchronisation habituel.
• Chiffrez avant tout envoi. La question essentielle pour chaque synchronisation ou sauvegarde : qui détient la clé ? Si la réponse est « le fournisseur », alors ce dernier peut lire vos données.
• Choisissez le mode d'accès à votre IA. Votre propre clé API (vous payez à l'usage et pouvez changer de fournisseur en une minute), un modèle exécuté sur votre propre ordinateur, ou un abonnement groupé. Chacun correspond à un échelon de l'échelle.
• Conservez une sauvegarde testée en restauration. Une sauvegarde jamais restaurée n'est qu'un vœu pieux. Restaurez-la au moins une fois, sur un autre appareil.

Ce que propose AI Summary Helper en la matière, et ses limites

Nous développons AI Summary Helper, une extension de navigateur qui résume des pages web, des PDF et des vidéos tout en conservant une bibliothèque de lecture. Nous nous efforçons de rendre cette montée en échelon possible au sein d'un même outil. Voici ce que cela implique en pratique, sans masquer les limites.

• Votre bibliothèque reste sur votre appareil. Les articles, résumés, surlignages et notes sont stockés localement dans votre navigateur. Aucun compte n'est requis pour les fonctionnalités principales (politique de confidentialité).
• Vous choisissez comment joindre l'IA. Utilisez votre propre clé API pour le fournisseur de votre choix (pourquoi c'est important), exécutez un modèle local avec Ollama pour que le contenu des pages ne quitte jamais votre machine, ou utilisez notre service hébergé optionnel. Avec un modèle local, la génération du résumé ne nécessite aucune connexion réseau.
• Synchronisez et sauvegardez sur votre propre stockage. Ajoutez un serveur Nextcloud ou tout autre serveur WebDAV, un bucket compatible S3 ou un dossier sur votre ordinateur (étape par étape). Dans les emplacements chiffrés, tout est chiffré dans votre navigateur (AES-256-GCM, clé dérivée de votre phrase secrète) avant de quitter l'appareil, et une seule phrase secrète vous suffit. L'hébergeur ne voit que des fichiers illisibles.
• Publiez sur votre propre site. Un emplacement en clair écrit des fichiers standards et une page de consultation optionnelle pour votre propre site web, uniquement pour les articles que vous étiquetez. Les notes et textes intégraux en sont exclus, sauf activation explicite de votre part.
• Une option UE pour le service hébergé. Si vous utilisez notre service hébergé optionnel, l'option « Préférer les serveurs dans l'UE » dans les paramètres achemine vos requêtes exclusivement vers les points de terminaison situés dans l'UE du fournisseur de modèle, sans jamais basculer ailleurs. Les modèles portent la mention Entreprise de l'UE (Mistral, basée à Paris) ou Serveurs dans l'UE (région UE d'une entreprise américaine), car ces deux cas sont distincts. Les modèles sans passerelle dans l'UE restent sélectionnables mais sont signalés, et le choix Auto ne les sélectionne jamais lorsque cette option est activée.
• Vos applications d'IA, sur votre ordinateur. En option, les applications d'IA de bureau peuvent lire votre bibliothèque via une connexion locale, sans rien faire transiter par nos serveurs (comment cela fonctionne).
• Open source. Le code source est public sur GitHub, ce qui permet de vérifier nos affirmations.

Ce qu'il ne fait pas. La transparence prime sur un discours commercial édulcoré :

• Les racines de votre navigateur restent américaines. Nous proposons l'extension pour Firefox—un choix populaire auprès des utilisateurs soucieux de leur vie privée—ainsi que pour Chrome. Toutefois, Google et Mozilla sont tous deux des entités américaines soumises à la juridiction américaine. Un modèle local retire le fournisseur d'IA de l'équation, mais il n'élimine pas complètement la portée américaine de l'environnement du navigateur lui-même.
• La plupart des fournisseurs d'IA hébergés sont des entreprises américaines. Si vous en utilisez un avec votre propre clé, le texte des pages résumées leur est transmis. Seul un modèle local conserve l'intégralité du texte sur votre machine.
• Notre service hébergé optionnel fait tourner son serveur et sa base de données chez IONOS en Allemagne. Votre texte est néanmoins transmis à un fournisseur de modèles via OpenRouter, une entreprise américaine. L'option UE restreint les serveurs du modèle à l'Union européenne, mais ne modifie pas l'identité des entreprises concernées. Considérez le service hébergé comme une solution pratique assortie d'une option UE, et non comme le choix souverain par excellence : pour cela, privilégiez votre propre clé ou un modèle local.
• La clé de chiffrement d'un emplacement synchronisé est stockée dans le profil de votre navigateur pour permettre la synchronisation en arrière-plan. Une personne ayant accès à votre profil déverrouillé pourrait l'utiliser. De plus, l'hébergeur de stockage voit toujours le nombre de fichiers, leur taille et leurs dates de modification.
• L'architecture de chiffrement est ouverte mais n'a pas fait l'objet d'un audit indépendant.
• Un emplacement en clair (publié) n'est pas chiffré. C'est sa fonction première, et l'écran des paramètres le précise explicitement.

Pour celles et ceux qui construisent

Si vous concevez ou développez vous-même des produits numériques, les choix d'architecture que vous faites façonnent cette réalité pour vos utilisateurs. Vous décidez s'ils peuvent exporter leurs données ou s'ils sont enfermés dans votre écosystème. Pour découvrir l'autre versant de cette équation—comment construire en gardant ces principes à l'esprit—lisez mon essai associé : La souveraineté numérique vue par le designer (philwornath.com) ↗.

Foire aux questions

Stocker mes données dans l'UE est-il suffisant ?

Cela aide pour la latence et certaines questions juridiques, mais cela ne règle pas la question de savoir qui peut contraindre l'accès : cela dépend de la juridiction de l'entreprise juridiction, et pas seulement de celle du serveur localisation. Un chiffrement dont vous détenez les clés change davantage la donne qu'un code postal.

Un modèle d'IA européen équivaut-il à une exécution sur des serveurs dans l'UE ?

Non. Une entreprise établie en Europe, comme Mistral à Paris, est soumise au droit de l'UE et au droit national. Le modèle d'une entreprise américaine exécuté dans une région de l'UE se trouve physiquement en Europe, mais l'entreprise sous-jacente reste américaine, ce qui nous ramène au CLOUD Act évoqué plus haut. Les deux options peuvent être pertinentes, sans qu'aucune ne constitue une garantie absolue. C'est pourquoi nous les distinguons clairement. Vérifiez les conditions d'utilisation et l'hébergement actuels du fournisseur, car les partenariats et les investisseurs évoluent.

Faut-il nécessairement s'auto-héberger pour être souverain ?

Non. L'auto-hébergement est un moyen d'atteindre les échelons 3 et 4. Choisir un hébergeur européen, ou un bucket rattaché à votre propre compte avec un chiffrement de votre côté, vous permet d'atteindre une grande partie de cet objectif avec bien moins d'efforts.

Les modèles d'IA locaux sont-ils assez performants pour résumer des articles ?

Pour des résumés d'articles courants, des modèles ouverts de taille intermédiaire exécutés sur un ordinateur portable récent donnent des résultats tout à fait exploitables. La qualité et la rapidité dépendent de votre matériel et du modèle choisi. La démarche la plus honnête consiste à faire un essai sur vos propres lectures pour vous faire un avis.

Le chiffrement suffit-il à lui seul ?

Non. Il protège vos contenus contre les indiscrétions du fournisseur de stockage, mais ne vous prémunit pas contre une phrase secrète trop faible, un appareil compromis ou l'analyse des métadonnées (taille des fichiers, fréquence de modification). Utiliser une phrase secrète aléatoire de plusieurs mots, conservée dans un gestionnaire de mots de passe, constitue le strict minimum.

Que se passe-t-il si l'outil que j'utilise disparaît ?

C'est précisément l'intérêt du test de sortie. Si vos données reposent sur des formats ouverts dans un espace de stockage que vous contrôlez, le pire des scénarios se résume à changer d'application, sans jamais perdre vos données.

Sources

• Linklaters : U.S. CLOUD Act and GDPR, is the cloud still safe ?
• Cleary Gottlieb : U.S. CLOUD Act's potential impact on the GDPR
• eucrim : CCBE assesses the US CLOUD Act
• WilmerHale : European Court of Justice to review challenge to the EU-US Data Privacy Framework
• Latham & Watkins : EU Data Act switching requirements
• McCann FitzGerald : EU Data Act, switching cloud provider
• 9to5Mac : Mozilla announces shutdown of Pocket
• Ink & Switch : Local-first software (Onward! 2019)
• PC-WELT : Schleswig-Holstein, Open Source statt Microsoft

Les détails juridiques et politiques évoluent. Il s'agit d'une information générale et non d'un conseil juridique ; consultez les sources pour connaître la situation actuelle.