Data sovereignty : et si vos données formaient un puzzle que d’autres savent déjà assembler ?

Ce que personne n’a divulgué, tout le monde peut le deviner

Une liste d’ingrédients sur un emballage. Un brevet tombé dans le domaine public. Un communiqué annonçant un nouveau partenariat. Une ligne dans une base de données d’expédition. Prises une à une, ces informations ressemblent à des pièces de puzzle éparpillées sur une table : banales, sans valeur apparente, impossibles à interpréter seules. Aucune n’est confidentielle, et aucune ne déclenche d’alerte de sécurité.

Pourtant, posées côte à côte, ces pièces de puzzle commencent à former une image. Je crois que la souveraineté des données se joue désormais là : non plus seulement dans la protection de chaque fichier, mais dans la maîtrise de ce que leur assemblage permet de comprendre.

Un mot avant d’entrer dans le sujet. Un secret industriel ne se dévoile pas en une seule question posée à une IA. Cependant, nous commençons à observer un mouvement de fond : assembler des informations dispersées devient chaque mois plus simple, plus rapide et plus accessible. C’est assez net pour qu’on s’y arrête, car cela change la manière de penser une stratégie data.

Perec avait raison : une pièce de puzzle, seule, n’apprend rien

Dans La Vie mode d’emploi, Georges Perec remarque qu’une pièce de puzzle, regardée seule, n’apprend rien. Le sens n’apparaît qu’une fois les pièces assemblées. Je ne pensais pas citer Perec dans un article sur la souveraineté des données. Pourtant, il décrit exactement notre situation.

Depuis des années, les entreprises apprennent à surveiller chaque morceau du puzzle : ce fichier, ce partenaire, ce serveur. Elles ont mis en place des politiques d’accès, du chiffrement, des clauses contractuelles. C’est nécessaire, mais cela ne suffit plus. La bonne question n’est plus seulement « cette donnée est-elle protégée ? », mais « que peut-on comprendre en la posant à côté des autres ? ».

L’IA générative, un joueur de puzzle infatigable

Recouper des informations publiques n’a rien de nouveau. Cette pratique a même un nom : l’OSINT, pour Open Source Intelligence, ou renseignement d’origine sources ouvertes. Certains l’avaient donc compris depuis longtemps, l’essentiel de la donnée se trouve en pleine lumière.

Mais reconstituer une image à partir de fragments dispersés demandait des équipes d’experts et des mois de travail. Aujourd’hui, un modèle de langage sait lire un brevet, interpréter une liste d’ingrédients et résumer des centaines de pages en quelques secondes. Il croise des sources de nature très différente : du texte, des tableaux, des données douanières, des offres d’emploi. Surtout, il raisonne par plausibilité. Il n’a pas besoin de certitude pour formuler une hypothèse exploitable, et chaque nouvelle question l’affine.

Le mécanisme est simple. Chaque donnée partagée réduit un peu l’incertitude, comme une pièce de puzzle qui vient se glisser à sa place. L’IA additionne ces avancées à grande échelle, sans fatigue et sans y consacrer un budget. La rétro-ingénierie, longtemps réservée aux acteurs les mieux dotés, devient accessible à presque n’importe qui. Une question s’impose donc : que peut-on déduire de l’ensemble de ce que nous exposons ?

Quand les pièces s’emboîtent

Prenons l’exemple d’une crème cosmétique qui fait la renommée d’une marque. Sur l’emballage, la liste INCI (Nomenclature Internationale des Ingrédients Cosmétiques) est présente et montre l’ordre des ingrédients. Cette dernière indique leurs concentrations relatives, c’est ici une première pièce du puzzle. Les brevets tombés dans le domaine public en fournissent une deuxième, en suggérant les procédés de fabrication. Un communiqué de partenariat désigne le fournisseur d’extraits végétaux, et les données d’expédition révèlent les volumes de matières premières importées. La formule n’est pas reconstituée à l’identique, mais chaque pièce ajoutée réduit l’écart avec l’original. Pour un concurrent, même une composition partielle oriente déjà ses développements.

Ce schéma dépasse largement la cosmétique. Dans l’industrie pharmaceutique, les registres d’essais cliniques, les publications scientifiques et les brevets déposés laissent deviner les molécules, les indications et le calendrier. Les offres d’emploi trahissent les priorités d’un laboratoire, et les appels d’offres à des sous-traitants dévoilent ses besoins de production. Dans l’industrie, un équipementier partage ses volumes avec son transporteur, ses spécifications avec son fournisseur et ses prévisions avec son consultant. Aucun de ces acteurs ne détient le tableau complet, et tous agissent de bonne foi. Mais un outil d’IA alimenté par des fragments issus de chacun peut reconstituer une capacité de production, voire une date de lancement.

Dans chaque cas, personne n’a commis de faute isolée. L’exposition ne vient pas d’une fuite, elle vient de l’organisation elle-même : des partages en silos, où chaque équipe décide de ce qu’elle publie sans voir ce que les autres publient. Chacun pose sa pièce de puzzle sur la table, et le puzzle se construit sans que personne ne l’ait décidé.

Un cadre réglementaire qui regarde les pièces, pas l’image

Et du côté des lois, sommes-nous mieux lotis ? Pas vraiment. Le droit protège mal contre ce type de risque, et c’est un point rarement évoqué.

La directive européenne sur le secret des affaires (2016/943) protège une information qui n’est pas généralement connue ou aisément accessible, et dont le détenteur a pris des mesures raisonnables pour la garder secrète. Or elle reconnaît aussi comme licite l’observation ou l’étude d’un produit mis à disposition du public ou obtenu légalement. Une déduction issue de sources publiques peut donc être difficile à contester. On peut même se demander si l’information ainsi déduite relève encore d’un « secret » au sens de la directive.

Le RGPD pose un problème voisin pour les données personnelles : le recoupement de données apparemment anonymes peut ré-identifier des individus. Le Data Act, qui encourage le partage de données, multiplie quant à lui les points d’exposition potentiels. Quant à l’AI Act, il impose de nouvelles obligations aux fournisseurs de modèles, mais il ne protège pas une entreprise contre l’usage légitime d’un outil accessible à tous.

Ces textes ont chacun leur logique, et aucun ne traite l’agrégation comme un risque à part entière. Les cadres juridiques regardent les pièces une à une. Ils n’ont pas encore appris à regarder l’image.

Un risque business qui s’ignore

Sur le plan business, les conséquences potentielles sont directes : perte d’avantage concurrentiel, érosion des marges, copies plus rapides, négociations fragilisées. Un secret de fabrication est un actif, parfois le plus précieux de l’entreprise. Mais sa valeur peut disparaître sans incident, sans alerte et sans coupable. On ne découvre souvent le problème que lorsqu’un concurrent lance un produit étonnamment proche du sien.

C’est ce qui complique toute stratégie de mitigation sur ce risque : il n’a pas de date, pas de victime visible et pas de propriétaire désigné. Un risque qui n’appartient à personne n’est géré par personne.

Ce que vos pièces savent déjà

Nous avons passé des années à protéger chaque pièce de puzzle. Nous avons rarement regardé l’image qu’elles dessinent ensemble. Or cette image existe déjà, et quelqu’un peut la voir sans jamais entrer chez vous.

C’est peut-être le plus troublant : l’assemblage n’attend pas notre autorisation. Il ne suppose ni intrusion, ni piratage, ni complicité interne. Il suffit de patience, de méthode, et désormais d’un outil que n’importe qui peut ouvrir un lundi matin. Pendant que nous continuons à compter nos fichiers, nos accès et nos serveurs, d’autres regardent le dessin qui se forme.

Cela déplace la question de la souveraineté des données. Longtemps, elle a consisté à savoir où sont stockées nos données et qui y a accès. Elle consiste aussi, désormais, à savoir ce que l’ensemble de nos données, y compris celles que nous avons choisi de rendre publiques, dit de nous. Elle ne se limite plus à l’intérieur de l’entreprise : elle s’étend à ses partenaires, à ses fournisseurs, à ses communications, à tout ce qui forme son écosystème. Votre secret le mieux gardé peut être partiellement dessiné par vos propres brevets, vos propres communiqués et vos propres partenaires.

Alors, que dessine vraiment ce que votre entreprise laisse voir ? Ou encore quelles pièces de puzzle avez-vous posées sur la table sans y penser ? Depuis quand ?

La souveraineté des données commence peut-être là, quand on cesse de se demander seulement ce que l’on cache, pour se demander ce que les autres comprennent de nous au travers de nos traces numériques.