Qui paie quand ça casse ?

Septième article de ma série sur la souveraineté numérique, née d’une table ronde au salon Tech&Co : neuf articles, un par jour, pour montrer que la souveraineté de vos données tient à la maîtrise que vous en avez, bien plus qu’à leur adresse.

Hier, on préparait votre plan de sortie, au cas où votre fournisseur disparaîtrait. Aujourd’hui, une question encore plus concrète : quand quelque chose casse, qui paie ?

Un cas réel : le risque que plus personne ne veut porter

En Nouvelle-Calédonie, cette question n’a rien de théorique. Les émeutes de mai 2024 ont coûté 942 millions d’euros aux assureurs, pour un territoire qui leur verse environ 200 millions d’euros de primes par an. Un rapport de l’Assemblée nationale relève qu’ils ne garantissent plus le risque « émeutes » en Nouvelle-Calédonie et en Martinique, une garantie que la loi ne les oblige pas à proposer (Vie publique).

Autrement dit, un risque bien réel peut se retrouver sans personne pour le couvrir. Et même quand l’assurance joue, elle rembourse les murs et le matériel, pas vos données, comme on l’a vu hier. Savoir ce qui est couvert, et ce qui ne l’est plus, fait partie de la maîtrise.

Deux questions à vous poser

Je ne vais pas vous faire un cours sur l’assurance. Je voudrais seulement que vous repartiez avec deux questions :

1. Moi, comment suis-je assuré pour ces risques ?
2. Mon fournisseur, local ou non, comment est-il assuré pour me couvrir s’il a un souci ?

La localisation ne répond à aucune des deux. Le contrat et l’attestation d’assurance, si.

Dans la carte des risques, c’est la famille numéro 6, « garanties et assurances », avec un peu de la numéro 7, « propriété intellectuelle ».

Le « tout gratuit » : une bonne intention, un garant oublié

On voit beaucoup de projets miser sur le « tout gratuit », souvent à base de logicielsOutil. Application numérique qui permet de répondre à un besoin. libres. L’intention est bonne : réduire les coûts, ne pas dépendre d’un géant.

Mais un logiciel libre est livré en l’état, sans garantie. C’est écrit dans ses licences, qu’il s’agisse de MIT, d’Apache ou de la GPL. Alors posons les questions qui fâchent :

• Qui garantit le logiciel ? Personne. Le risque est porté par celui qui installe le logiciel et par celui qui l’utilise.
• Quelle assurance prend en charge le risque cyber ? Aucune assurance ne couvre un logiciel en tant que tel. Elle couvre une organisation qui prouve qu’elle maîtrise ce qu’elle fait.
• Comment prouver cette maîtrise ? Mises à jour suivies, briques logicielles dont il dépend surveillées, sauvegardes testées, journaux d’accès. C’est tout à fait faisable avec du logiciel libre, mais il faut quelqu’un dont c’est le métier.
• Si un incident survient, comment êtes-vous indemnisé, et comment indemnisez-vous vos clients ? Sans contrat, pas de recours. Sans assurance, vous payez sur vos fonds propres.

Il y a aussi un risque de propriété intellectuelle : certaines licences libres, comme la GPL, vous obligent à fournir aussi votre propre code, sous la même licence, si vous diffusez un logiciel qui les intègre, même gratuitement. L’AGPL va plus loin : elle s’applique même à un service en ligne. Et certains modèles d’intelligence artificielleL'IA (Intelligence Artificielle) est un ensemble de technologies qui permettent à une machine d'imiter des fonctions cognitives humaines, telles que… dits « ouverts » sont livrés avec des licences qui limitent leur usage, sans aucune garantie derrière.

Je ne suis pas contre le logiciel libre, au contraire. Avec un contrat de support, un éditeur qui vend une édition entreprise, ou un intégrateur assuré, c’est souvent un excellent choix. Le problème, c’est le gratuit sans personne derrière.

Gratuit ne veut pas dire sans coût : ça veut dire sans garant.

Ce qu’il faut exiger quand on développe ou qu’on fait développer

Que vous fassiez développer une application, ou que vous en choisissiez une toute faite, trois garanties comptent :

1. Une garantie cyber : une assurance, ou à défaut un engagement écrit du prestataire, adossé à des mesures de sécurité qu’il peut prouver.
2. Une garantie sur la propriété intellectuelle : à qui appartient le code livré, quelles licences ont été utilisées, et qui répond si un contenu généré par l’intelligence artificielle reprend l’œuvre de quelqu’un d’autre.
3. La preuve des mesures de sécurité : double authentificationLa double authentification (ou 2FA, authentification à deux facteurs) est une mesure de sécurité qui ajoute une seconde vérification à votre mot de passe…, sauvegardes testées, mises à jour, journaux, plan de réponse aux incidents.

Et une vérification simple : l’attestation d’assurance de votre prestataire doit couvrir l’activité qu’il exerce pour vous. Une assurance pour de la formation ne couvre pas le développement d’une application.

Ce que garantissent les offres payantes, et ce qu’elles ne garantissent pas

Les grands fournisseurs prennent des engagements que les versions gratuites n’offrent pas. Un exemple, sur l’intelligence artificielle générativeL'IA générative est une catégorie d'intelligence artificielle capable de créer de nouveaux contenus (texte, images, sons, vidéos, code) à partir d'une… :

• Google a annoncé en octobre 2023 qu’il défendrait ses clients payants en cas de réclamation sur la propriété intellectuelle, qu’elle porte sur les données d’entraînement de ses modèles ou sur les contenus générés. L’engagement vaut pour Workspace et une liste de services Google CloudLe cloud (ou informatique en nuage) désigne le fait de stocker ses fichiers et d'utiliser des logiciels à distance, sur des serveurs accessibles via…, sauf si vous cherchez volontairement à enfreindre les droits d’autrui (Google Cloud).
• Microsoft a pris un engagement comparable, limité au droit d’auteur, pour ses offres CopilotCopilot est l'assistant d'intelligence artificielle de Microsoft, intégré à Windows et à la suite bureautique Microsoft 365 (Word, Excel, Outlook… commerciales payantes, en vigueur depuis le 1er octobre 2023, à condition d’utiliser les filtres prévus (Microsoft).

Les conditions précises évoluent : lisez celles de votre contrat. Mais retenez ceci : les versions gratuites et grand public de ces outils n’offrent pas ces engagements.

Ce que les contrats standard des grands fournisseurs ne vous offrent pas, en revanche, c’est le remboursement de vos pertes. Un engagement de disponibilité se compense en avoirs sur votre abonnement, et la responsabilité du fournisseur est plafonnée. Ne comptez donc pas sur « le fournisseur paiera » sans l’avoir lu dans votre contrat.

Leur vraie valeur est ailleurs : des obligations écrites (sécurité, notification des incidents), des certifications et des audits par des tiers. Ce sont exactement les preuves de maîtrise qu’un assureur, un juge ou un acheteur public vous demandera.

En cas d’incident

Si une fuite de données survient :

• c’est vous qui répondez face à vos clients ou à vos usagers, et c’est vous qui devez notifier la CNIL, en principe sous 72 heures, si la fuite présente un risque pour les personnes ;
• vous ne pouvez vous retourner contre votre fournisseur que si un contrat le prévoit : un DPA (l’accord qui encadre ce que le fournisseur fait de vos données personnellesLes données personnelles sont toutes les informations qui permettent d'identifier une personne, directement ou indirectement : nom, adresse, e-mail…), une clause de responsabilité, une assurance ;
• sans tout cela, le coût reste pour vous.

Et la localisation, dans tout ça ?

Ici, elle ne joue aucun rôle. Un fournisseur installé à deux rues de chez vous, sans assurance ni contrat, vous couvre bien moins qu’un fournisseur lointain qui s’engage par écrit et peut le prouver.

La proximité rassure. Elle ne paie pas les dégâts.

Deux exemples concrets

Une petite entreprise qui fait développer une application. Elle demande l’attestation d’assurance de son prestataire et vérifie que le développement y figure. Elle fait écrire dans le contrat à qui appartient le code, et quelles licences sont utilisées. Et elle s’interroge sur sa propre couverture.

Une collectivité qui lance un marché. Elle exige l’attestation d’assurance avec un libellé qui couvre bien l’objet du marché, la liste des composants libres utilisés et leur licence, et une clause de responsabilité en cas d’incident. Elle préfère un logiciel libre avec un support sous contrat à un outil gratuit sans personne derrière.

Téléchargez le mémo

Les deux questions, les garanties à exiger, le risque du « tout gratuit », ce que garantissent les offres payantes et ce qui se passe en cas d’incident : tout tient sur une page. Le mémo est gratuit, sans inscription.

Télécharger « Qui paie quand ça casse ? » (PDF gratuit)

La suite de la série

Chaque jour, un article approfondit une partie de la carte, avec son mémo gratuit.

Rendez-vous demain, avec le vrai coût d’un serveur en Nouvelle-Calédonie, comparé à celui du cloud.

Et si vous voulez faire le point sur les garanties de vos fournisseurs et de vos projets, je vous accompagne : strategiezenit.com.

La souveraineté ne se déclare pas : elle se prouve.