La souveraineté numérique entre à l'agenda des conseils d'administration en APAC
Un signal convergent avec celui du Five-Year Plan hongkongais mérite d'être isolé et analysé pour lui-même : selon HR Asia, la souveraineté numérique grimpe rapidement à l'agenda des conseils d'administration en Asie-Pacifique, à mesure que l'adoption de l'IA s'accélère dans la région. C'est devenu un sujet de gouvernance d'entreprise.
Ce glissement, aussi rapide qu'il puisse paraître, est en réalité assez logique une fois qu'on en comprend le mécanisme. Plus une organisation confie de décisions, et plus encore d'exécution de décisions, à des systèmes d'IA, y compris des agents autonomes capables d'agir sans validation humaine à chaque étape, plus les questions de maîtrise des données, de dépendance aux fournisseurs technologiques étrangers et de conformité réglementaire deviennent stratégiques plutôt que simplement opérationnelles.
Un board qui délègue ces questions entièrement à la direction technique prend, de fait, un risque qu'il ne mesure plus lui-même.
C'est exactement le type de sujet où un conseil d'administration a besoin d'un cadre clair avant de se prononcer, plutôt que d'une discussion informelle au fil des réunions :
Où sont physiquement hébergées nos données critiques ?
Qui, en interne comme chez nos prestataires, y a effectivement accès ?
Quels agents IA agissent en notre nom, avec quel périmètre de décision, et surtout avec quelles limites explicites au-delà desquelles ils doivent remonter à un humain ?
Sans ce cadre, posé en des termes précis et vérifiables, la discussion au niveau du board reste nécessairement anxiogène et vague, plutôt que décisionnelle et actionnable.
L'expérience que nous accumulons sur le terrain, à travers nos diagnostics GAME auprès d'organisations de tailles et de secteurs variés, confirme un constat simple : les boards qui abordent la souveraineté numérique sans référentiel structuré ont tendance à osciller entre deux postures également inefficaces :
Le déni, qui consiste à considérer que ces questions relèvent entièrement de la technique et n'ont pas leur place dans les discussions stratégiques.
La panique disproportionnée, qui consiste à multiplier les demandes de garanties sans jamais les traduire en critères opérationnels précis que les équipes peuvent réellement mettre en œuvre et vérifier.
La bonne approche, celle que nous recommandons systématiquement, consiste à doter le board d'un langage commun avec les équipes opérationnelles avant que la question ne soit posée sous la pression d'un incident de sécurité ou d'une demande d'un régulateur.
Ce langage commun repose sur quelques principes simples mais rarement formalisés :
une cartographie à jour des flux de données sensibles et de leur localisation,
un inventaire des agents IA en production avec leur périmètre d'action documenté,
et des indicateurs de dépendance fournisseur qui permettent d'évaluer objectivement le risque de concentration technologique plutôt que de se fier à une impression qualitative.
Il existe également une dimension régionale propre à l'Asie-Pacifique qui amplifie l'urgence de ce sujet. La zone combine en effet une diversité réglementaire particulièrement élevée, entre des cadres comme le PDPA de Singapour, la PDPO de Hong Kong, ou le PIPL chinois, et une dépendance technologique souvent importante à des plateformes cloud et IA développées hors de la région.
Cette combinaison crée un risque spécifique de fragmentation de la gouvernance, où chaque filiale locale applique des règles différentes sans vision consolidée au niveau du groupe, précisément au moment où les boards commencent à exiger cette vision consolidée.
Pour un dirigeant siégeant dans un board en Asie-Pacifique, ou responsable d'une filiale régionale qui doit rendre des comptes à un board, la recommandation est simple à énoncer et exigeante à mettre en œuvre : ne pas attendre que le sujet soit porté à l'agenda par un tiers, qu'il s'agisse d'un régulateur, d'un client exigeant ou d'un incident.
Structurer cette gouvernance en amont transforme un sujet de risque, par nature anxiogène et réactif, en un sujet de pilotage stratégique, par nature valorisant et proactif pour l'organisation qui s'en dote la première.
Concrètement, nous recommandons à tout board qui inscrit ce sujet à son agenda de commencer par une question simple, avant même de discuter des solutions techniques : qui, au sein de l'organisation, porte aujourd'hui la responsabilité de rendre compte au board sur la souveraineté numérique, et cette personne dispose-t-elle réellement des informations nécessaires pour répondre avec précision, plutôt que par approximation ou par confiance implicite dans les équipes techniques ?
Tant que cette responsabilité n'est pas clairement nommée, la souveraineté numérique restera un sujet que le board évoque sans jamais pouvoir réellement le piloter.
Un dernier point mérite d'être partagé avec les boards qui découvrent ce sujet : la souveraineté numérique n'est pas une question binaire, qui se résoudrait par un choix unique entre dépendance totale ou indépendance totale vis-à-vis des fournisseurs technologiques étrangers. C'est une question de degré et d'arbitrage continu, qui se pilote mieux par une série de décisions documentées et régulièrement revues, que par une doctrine générale fixée une fois pour toutes et jamais remise en cause ensuite.
