La souveraineté numérique dans la gestion de patrimoine ne s'arrête pas au cloud
Friedhelm Schmitt
La souveraineté numérique dans le Wealth Management ne se décide pas à l'emplacement du centre de données, mais sur la question de savoir qui conserve le contrôle des données, de la technologie et de la logique de conseil. Un livre blanc récent sur la souveraineté numérique dans le secteur financier résume parfaitement ce changement. Friedhelm A. Schmitt, cofondateur et PDG de fincite, analyse ce que cela implique pour les banques et les gestionnaires de fortune.
Qu'est-ce que la souveraineté numérique ?
La souveraineté numérique n'est pas synonyme d'autarcie, mais représente la capacité à piloter de manière autonome les chaînes de valeur et d'approvisionnement numériques en dépit des dépendances existantes. L'étude (KPMG, 2026) la définit explicitement comme un principe de gouvernance et d'architecture, et non comme un produit prêt à l'emploi. Par conséquent, un label « souverain » sur un cloud ne crée pas encore de souveraineté.
L'enquête distingue quatre dimensions : la souveraineté d'infrastructure et d'exploitation, la souveraineté technologique, la souveraineté des données et la souveraineté de gouvernance. La cybersécurité agit comme une fonction transversale sur ces quatre aspects. Si le contrôle est perdu dans l'une de ces dimensions, des dépendances systémiques apparaissent et peuvent, sous la pression réglementaire ou géopolitique, devenir une question de survie.
Le message clé de l'étude est simple : la souveraineté ne s'achète pas, elle se maîtrise.
Pourquoi la localisation du cloud ne suffit-elle pas ?
L'emplacement d'un centre de données ne constitue pas une preuve de souveraineté juridique. Des lois extraterritoriales telles que le US CLOUD Act et la section FISA §702 permettent aux autorités d'accéder à des données physiquement situées au sein de l'UE, en particulier lorsqu'il existe un lien avec des personnes américaines ou un routage via les États-Unis. La résidence des données (Data Residency) indique où les données sont stockées. Elle ne détermine pas qui peut être contraint de les divulguer.
L'étude oppose deux approches qui, sur le papier, semblent presque identiques :
« Compliance First » (La conformité d'abord) : hébergement dans l'UE, avec des clés gérées par le fournisseur et un serveur rassurant situé dans l'UE.
« Competence First » (La compétence d'abord) : l'établissement détient ses propres clés cryptographiques avec lesquelles les données sont chiffrées et déchiffrées, par exemple via le Confidential Computing et le Hold Your Own Key, ce qui lui permet de rester réellement capable d'agir.
La différence cruciale réside précisément ici : celui qui détient les clés contrôle l'accès. Si elles sont chez le fournisseur, la localisation dans l'UE n'est que de peu d'utilité. Seule la seconde approche est donc souveraine. Un établissement peut être entièrement hébergé dans l'UE et contractuellement en règle, tout en n'ayant aucun contrôle réel sur ses données.
Où réside la véritable dépendance dans la gestion de fortune ?
Sur ce point, Friedhelm A. Schmitt va plus loin que l'étude. Celle-ci mentionne la souveraineté de gouvernance comme quatrième dimension, c'est-à-dire la question de savoir qui décide quelles données entrent dans une décision, et qui vérifie si une recommandation reste compréhensible. Transposé à la gestion de fortune, il ne s'agit plus d'une simple question informatique, mais d'une question de responsabilité de conseil vis-à-vis du client.
Selon lui, la véritable boîte noire n'est pas l'emplacement du serveur, mais la logique par laquelle les données clients se transforment en recommandation d'investissement. Si cette logique de conseil est répartie sur des systèmes fragmentés et propriétaires que seul un fournisseur peut modifier, la question de la souveraineté n'est pas résolue, elle est simplement déplacée.
De la logique de conseil à la réglementation
Pour le choix du système, il en découle une exigence claire : une architecture modulaire et interchangeable plutôt qu'une plateforme monolithique. Le contrôle des interfaces, l'utilisation de standards ouverts et le rejet des solutions de type « boîte noire » sont recommandés afin que les différents composants puissent être remplacés sans interrompre l'activité.
La réglementation DORA renforce ce point. Conformément à l'article 28, elle exige non seulement des clauses de sortie contractuelles, mais aussi des stratégies de sortie testées pour les services de TIC critiques. Un établissement dont la logique de conseil n'est pas transférable ne peut pas fournir cette preuve en cas d'urgence. Selon Friedhelm A. Schmitt, cette exigence se rapproche progressivement du niveau du conseil lui-même, et pas seulement de l'infrastructure sous-jacente.
Avec fincite • cios, fincite développe un logiciel de gestion de fortune modulaire, conçu sur un modèle API-first et compatible avec les systèmes bancaires centraux existants. Cela permet de modifier indépendamment les composants tels que l'onboarding, la construction de portefeuille ou le reporting si un fournisseur ne convient plus ou si une exigence réglementaire l'impose.
FAQ
Que signifie la souveraineté numérique dans le Wealth Management ?
La souveraineté numérique dans la gestion de fortune est la capacité d'une banque à conserver le contrôle de ses données, de sa technologie et de sa logique de conseil. C'est un principe de gouvernance et d'architecture, non un produit, et elle ne dépend pas de la localisation du centre de données.
Pourquoi un centre de données dans l'UE ne suffit-il pas pour garantir la souveraineté numérique ?
Une localisation dans l'UE ne protège pas contre les accès extraterritoriaux. En vertu du US CLOUD Act et de la section FISA §702, les fournisseurs américains peuvent être contraints de divulguer des données, même si celles-ci sont stockées dans l'UE. Ce qui importe, c'est la maîtrise des clés et le contrôle technique, pas seulement la résidence des données.
Qu'impose DORA concernant les stratégies de sortie ?
Conformément à l'article 28, DORA exige des stratégies de sortie testées pour les services de TIC critiques, et pas seulement des clauses de sortie contractuelles. Les établissements doivent être en mesure de prouver qu'ils restent opérationnels en cas de défaillance ou de changement de fournisseur.
Conclusion : La souveraineté est une question de logique de conseil
La souveraineté numérique dans le Wealth Management ne se joue pas sur l'emplacement du serveur, mais sur le contrôle de la logique de conseil. L'étude (KPMG, 2026) montre que la souveraineté est un principe de gouvernance et d'architecture et que la seule résidence des données ne protège pas contre le CLOUD Act et FISA. DORA impose dès aujourd'hui l'obligation de tester la capacité de sortie. Les établissements qui n'ont pas structuré leur logique de conseil de manière modulaire et transférable auront des difficultés à en apporter la preuve en cas d'urgence.
