Les gouvernements de la région Asie-Pacifique affirment de plus en plus leur contrôle sur les données produites par leurs citoyens, leurs entreprises et leurs organismes publics. L’incertitude géopolitique, l’essor de l’IA et les inquiétudes concernant la dépendance technologique à l’étranger ont convaincu de nombreux régulateurs que les données constituent un atout nationwide essentiel.
Et, comme pour les objets physiques, ils pensent que le meilleur moyen de sécuriser ces données est de les conserver sous leur juridiction.
Mais cette croyance repose sur une hypothèse erronée : que la souveraineté est définie par l’endroit où se trouve physiquement un serveur, plutôt que par celui qui contrôle l’accès aux données.
Les régulateurs exercent leur souveraineté numérique de différentes manières.
Le programme sud-coréen d’assurance de la sécurité du cloud (CSAP) exige que les agences publiques se procurent des providers cloud qui stockent les données localement, utilisent des algorithmes de chiffrement développés au niveau nationwide et que le personnel de gestion et d’exploitation réside en Corée.
Le Japon maintient un processus de certification complexe pour les logiciels gouvernementaux qui se déroule presque exclusivement en japonais, ce qui désavantage les fournisseurs non japonais.
La loi indienne sur la safety des données personnelles numériques, promulguée en 2023, permet au gouvernement d’imposer des restrictions sur les transferts transfrontaliers de données vers des pays spécifiques si les autorités fournissent une notification appropriée.
En Asie du Sud-Est, l’Indonésie et le Vietnam proposent régulièrement de vastes mandats de localisation des données. Même les Philippines, longtemps considérées par les entreprises et les universitaires comme l’un des champions de la libre circulation des données dans la région, ont proposé l’année dernière une législation exigeant que les agences publiques (y compris les universités) conservent presque toutes les données sur des serveurs nationaux.
La difficulté de réglementer les flux de données transfrontaliers a été l’un des obstacles à la signature de l’accord-cadre sur l’économie numérique (DEFA) de l’ASEAN, potentiellement le premier pacte régional international sur le commerce numérique au monde. Le DEFA sera signé lors du prochain sommet des dirigeants de l’ASEAN en novembre, un an plus tard que prévu.
Les flux de données transfrontaliers sécurisés sont un ingrédient clé du succès d’un DEFA. Un compromis édulcoré, tel que celui selon lequel les pays membres pourraient retarder leur adhésion à un tel pilier jusqu’à ce qu’ils se sentent prêts, ne ferait que perpétuer le paysage réglementaire fragmenté d’aujourd’hui, ce qui signifierait des frictions continues dans les paiements et le commerce transfrontaliers, et ne laisserait le DEFA que partiellement efficace.
Si l’on n’accepte pas les flux de données transfrontaliers, l’ambition de l’ASEAN d’utiliser le DEFA pour dynamiser son économie numérique à 2 000 milliards de {dollars} d’ici 2030, contre 300 milliards de {dollars} aujourd’hui, semblera fragile.
Quand la safety devient vulnérabilité
La localisation des données est souvent motivée par des craintes en matière de sécurité, mais cette pratique comporte ses propres risques en matière de sécurité.
En septembre dernier, un incendie dans un centre de données sud-coréen a mis hors service 647 providers gouvernementaux. On estime que 850 téraoctets de données gouvernementales pourraient avoir été définitivement perdues faute de sauvegarde externe. La politique même destinée à protéger les données a créé un level de défaillance distinctive. Si les systèmes concernés avaient été conçus en tenant compte des principes de résilience, comme la redondance géographique et les sauvegardes continues, la perte de données aurait pu être atténuée.
Limiter les flux de données transfrontaliers peut également priver les individus de l’accès à des produits et providers innovants, automotive les barrières réglementaires les rendent économiquement irréalisables. Une entreprise locale, en particulier une entreprise à croissance rapide désireuse d’accéder aux marchés internationaux, peut vouloir tirer parti des providers d’IA de pointe d’un fournisseur étranger, mais peut être empêchée de le faire si ce fournisseur n’exécute pas ses fees de travail by way of un centre de données native.
La localisation peut également être anticoncurrentielle. Contrairement aux grands hyperscalers, les petites entreprises de logiciels en tant que service construisent rarement leurs propres centres de données et sont donc celles qui supportent de manière disproportionnée les coûts de mise en conformité. Il ne s’agit pas seulement de startups locales, voire régionales : Zoom entre dans cette catégorie.
L’Asie-Pacifique est également l’une des régions les plus diversifiées en termes de tradition et de langues, et de nombreux gouvernements souhaitent protéger cette diversité en soutenant les modèles d’IA dans leurs propres langues locales. Pourtant, rendre obligatoire le stockage native des données empêchera les meilleurs grands modèles linguistiques du monde d’utiliser le contenu nationwide pour améliorer leur précision dans les langues à faibles ressources.
Redéfinir la souveraineté numérique
La véritable souveraineté n’est pas une query d’isolement. Il s’agit plutôt de garantir que le consumer – et peut-être même les agences gouvernementales elles-mêmes – soient responsabilisés. Cette approche est plus sophistiquée qu’une exigence générale de localisation.
Premièrement, la confiance doit passer par des garanties methods plutôt que par des restrictions géographiques. Le chiffrement moderne de bout en bout garantit qu’aucun tiers ne peut accéder aux clés nécessaires aux flux de données en temps réel en transit. De plus, les clés gérées par le consumer garantissent que seul le propriétaire des données peut accéder aux données, quel que soit l’endroit où elles sont stockées, ce qui rend l’emplacement physique des serveurs peu pertinent. L’structure de sécurité est plus importante que la géographie des serveurs.
Les normes mondiales peuvent permettre aux régulateurs d’évaluer rapidement les processus de confidentialité et de sécurité d’une entreprise, même si les serveurs sont situés ailleurs.
Troisièmement, les pays devraient adopter une stratégie consistant à s’appuyer sur plusieurs fournisseurs de cloud. Cela évite la dépendance à l’égard d’un seul écosystème et garantit la concurrence.
Les régulateurs devraient également instituer un cadre nationwide de classification des données basé sur les risques, similaire au RGPD de l’Union européenne ou à la loi sur la safety des données personnelles de Singapour. Ces lois donnent des critères objectifs pour diviser les données en niveaux distincts, entre les données véritablement sensibles qui nécessitent un traitement spécial et d’autres données qui peuvent être transférées au-delà des frontières avec des protections adéquates.
Les nations devraient à juste titre maintenir un contrôle souverain sur les données véritablement sensibles, comme les communications militaires et les dossiers médicaux. Mais la plupart des données collectées par les agences publiques – comme les statistiques sur l’emploi ou le logement, ou les enregistrements d’entreprises – n’atteignent pas ce seuil.
Une voie à suivre
Quelques accords commerciaux peuvent servir de modèles pour une approche plus équilibrée de la souveraineté des données. Les accords sur l’économie numérique Australie-Singapour et UE-Singapour restreignent les exigences injustifiées en matière de localisation des données, tout en maintenant des protections pour répondre aux préoccupations légitimes en matière de sécurité.
Des initiatives telles que le système World Cross-Border Privateness Guidelines (CBPR) et le Knowledge Free Flows with Belief de l’OCDE (initié par le Japon) démontrent également qu’une mobilité fiable des données et de solides protections de la vie privée ne s’excluent pas mutuellement.
Alors que les négociateurs de l’ASEAN s’efforcent de finaliser le DEFA et que les gouvernements de la région Asie-Pacifique s’efforcent de tirer parti des improvements technologiques et de l’IA pour stimuler la croissance économique, ils sont confrontés à un choix : adopter la souveraineté numérique par l’isolement, ou y parvenir grâce à une conception stratégique et des contrôles methods.
Le premier offre l’phantasm de contrôle tout en créant de nouvelles vulnérabilités. Cette dernière offre une véritable sécurité et un contrôle sélectif lorsque cela est nécessaire, tout en préservant l’accès à l’innovation mondiale et en accélérant la voie vers la prospérité nationale.
Les opinions exprimées dans les commentaires de Fortune.com sont uniquement les opinions de leurs auteurs et ne reflètent pas nécessairement les opinions et croyances de Fortune.
