Espions, puces et algorithmes : dans les coulisses de la bataille silencieuse pour le contrôle de nos données
En 2024, des agents affiliés à Pékin ont pénétré, sans bruit et pendant plusieurs années, le cœur des réseaux téléphoniques de plusieurs des plus grands opérateurs américains. Ils n’ont pas volé de secrets militaires ni saboté d’infrastructures. Ils ont fait quelque chose de plus discret et, à long terme, de plus efficace : ils se sont installés dans les systèmes mêmes que la justice américaine utilise pour écouter légalement ses propres suspects. L’affaire, révélée fin 2024 sous le nom de Salt Typhoon, a fini par toucher plus de quatre-vingts pays et plusieurs centaines d’entreprises. Elle illustre, mieux qu’aucun rapport officiel, ce que recouvre aujourd’hui l’expression un peu galvaudée de « souveraineté numérique et IA Local » : la capacité, ou l’incapacité, à savoir qui regarde réellement ce qui transite par nos réseaux, nos objets connectés et nos intelligences artificielles.
Car l’intelligence artificielle locale, celle qui tourne directement sur un ordinateur, un capteur ou un objet connecté plutôt que dans un centre de données lointain, n’est plus une simple question technique de latence ou de coût. Elle est devenue, en l’espace de deux ou trois ans, un enjeu de politique étrangère à part entière, mêlé à des questions de protection des données, de guerre commerciale sur les semi-conducteurs et d’espionnage d’État. Pour comprendre pourquoi, il faut d’abord admettre une chose : la géographie de nos données ne nous protège plus vraiment.
Quand la géographie ne protège plus rien
Pendant longtemps, la doctrine officielle de la conformité numérique tenait en une phrase rassurante : « vos données sont hébergées en Europe, elles sont donc protégées par le droit européen ». Cette promesse a pris du plomb dans l’aile. Un rapport juridique commandé par le ministère allemand de l’Intérieur, longtemps resté confidentiel puis publié en décembre 2025, a confirmé ce que les juristes spécialisés répétaient depuis des années : le Cloud Act américain, combiné à la section 702 du Foreign Intelligence Surveillance Act, permet aux autorités des États-Unis d’exiger l’accès à des données hébergées n’importe où dans le monde, dès lors qu’une entreprise américaine, même via une simple filiale locale, en garde le contrôle juridique. Ce n’est plus le lieu de stockage du serveur qui compte, mais la nationalité de la société mère qui l’exploite.
Concrètement, une PME française qui héberge ses données chez un géant du cloud américain à Francfort ou à Paris n’est pas à l’abri d’une injonction venue de Washington. Le chiffrement lui-même ne constitue pas un rempart absolu : selon ce même rapport, un fournisseur qui refuserait de livrer une clé de déchiffrement s’exposerait à des poursuites pour entrave à la justice. C’est ce paradoxe qui pousse de plus en plus d’entreprises, d’administrations et d’opérateurs d’infrastructures critiques à repenser entièrement leur architecture technique, en commençant par la question de savoir qui héberge quoi, et surtout qui garde effectivement la main sur les identifiants de connexion. Pour un revendeur informatique ou un intégrateur qui gère aujourd’hui de la connectivité pour ses clients professionnels, la même question se pose désormais à son échelle : maîtriser sa chaîne d’approvisionnement en connectivité, y compris pour un usage aussi simple qu’une flotte de cartes SIM, est devenu un vrai sujet stratégique, à tel point que certains choisissent de devenir eux-mêmes opérateurs de leurs propres cartes SIM plutôt que de dépendre d’un intermédiaire étranger.
Le mirage de la souveraineté par les puces
Face à ce constat, la tentation est grande de croire qu’une intelligence artificielle « locale », exécutée sur ses propres serveurs ou directement sur ses appareils, réglerait le problème d’un coup. C’est en partie vrai. Mais cette solution bute très vite sur un autre front de la même guerre : celui des semi-conducteurs.
L’année 2026 restera comme celle du grand yo-yo des puces d’intelligence artificielle. En janvier, Washington a autorisé Nvidia à vendre en Chine ses processeurs H200, moyennant une taxe de 25 % reversée au Trésor américain. Quelques semaines plus tard, c’est Pékin qui a fermé la porte, invitant ses entreprises technologiques à privilégier les puces nationales de Huawei, Alibaba ou Baidu. En mai, le département du Commerce américain a de nouveau resserré la vis en exigeant une licence pour toute vente de puces avancées à une entreprise dont la maison mère est chinoise, où qu’elle soit installée dans le monde, après avoir découvert que des centaines de milliers de processeurs avaient transité par des filiales basées en Asie du Sud-Est. Le patron de Nvidia, Jensen Huang, a lui-même reconnu que la part de marché de son entreprise en Chine était tombée de 95 % à quasiment zéro en l’espace d’un an.
Cette bataille n’est pas un simple bras de fer commercial entre deux géants industriels. Elle rappelle une évidence trop souvent oubliée par les promoteurs enthousiastes de la souveraineté numérique : une intelligence artificielle « locale » qui tourne sur des puces conçues à Santa Clara ou fabriquées à Taïwan n’est locale que dans son exécution, pas dans sa dépendance. La véritable autonomie stratégique suppose de maîtriser toute la chaîne, du silicium jusqu’au modèle logiciel, un défi qu’aucune puissance, pas même la Chine ou les États-Unis, n’a encore totalement relevé.
L’IA locale, un bouclier réel mais partiel
Malgré cette limite, l’essor de modèles d’intelligence artificielle capables de fonctionner directement sur un ordinateur portable, un smartphone haut de gamme ou un boîtier industriel change concrètement la donne pour la protection des données. Lorsqu’un modèle de langage traite une information sensible directement sur l’appareil qui la produit, sans jamais la faire transiter par un serveur distant, il réduit mécaniquement le nombre de points où cette donnée peut être interceptée, copiée ou réquisitionnée par une autorité étrangère. C’est tout l’enjeu des architectures dites de périphérie, ou « edge computing », qui rapprochent le calcul de la source de la donnée plutôt que de l’envoyer faire un aller-retour dans un centre de données situé à des milliers de kilomètres.
Cette logique intéresse tout particulièrement les secteurs qui manipulent des objets connectés sensibles : logistique, agriculture de précision, vidéosurveillance, ou encore suivi de flottes et d’actifs mobiles. Un capteur ou un traceur qui analyse localement les données qu’il capte, avant de ne transmettre que le strict nécessaire, expose mécaniquement moins d’informations qu’un dispositif qui relaie en continu un flux brut vers le cloud. Pour les professionnels qui déploient ce type de matériel, la question de la connectivité elle-même devient un maillon de cette chaîne de confiance : un traceur GPS équipé d’une eSIM mal sécurisé peut redevenir une porte d’entrée, même si l’intelligence embarquée à bord traite les données localement. Plusieurs acteurs spécialisés dans la connectivité M2M proposent aujourd’hui à ces intégrateurs de garder un contrôle direct sur le provisionnement de leurs cartes SIM, plutôt que de dépendre d’un opérateur étranger dont les pratiques de conformité restent opaques, une manière concrète de réduire la surface d’exposition sans attendre une hypothétique souveraineté logicielle totale.
Il serait toutefois naïf de présenter l’IA locale comme une solution miracle. Un modèle exécuté sur un appareil doit tout de même être entraîné quelque part, généralement dans d’immenses centres de calcul, souvent situés hors d’Europe. Les mises à jour, les correctifs de sécurité et les journaux de diagnostic continuent fréquemment de transiter vers l’éditeur du logiciel. L’IA locale déplace donc une partie du risque plus qu’elle ne le supprime, ce qui n’enlève rien à son utilité, mais impose de la considérer comme une brique parmi d’autres, et non comme une fin en soi.
Quand les réseaux eux-mêmes deviennent l’arme
L’affaire Salt Typhoon, évoquée en ouverture, mérite qu’on s’y attarde, car elle démontre avec une précision presque clinique ce que signifie concrètement l’expression « guerre hybride ». Selon les conclusions d’une coalition d’agences de renseignement de treize pays publiées à l’été 2025, les intrus n’ont pas eu besoin de failles inconnues sophistiquées pour s’introduire dans les cœurs de réseau des opérateurs télécoms. Ils ont patiemment exploité des vulnérabilités déjà documentées, mais jamais corrigées, dans des équipements de routage standards. Une fois à l’intérieur, ils ont pu accéder aux systèmes que les opérateurs utilisent pour exécuter les écoutes judiciaires légalement autorisées, ce qui leur a potentiellement permis de savoir quelles cibles chinoises étaient déjà surveillées par les autorités américaines.
Cette affaire illustre un basculement stratégique majeur : l’infrastructure télécom elle-même, longtemps considérée comme une simple tuyauterie neutre, est devenue un objectif de renseignement à part entière. Un réseau mal cloisonné, mal audité ou dépendant d’équipementiers dont la chaîne d’approvisionnement échappe à tout contrôle indépendant, expose non seulement les données qui y transitent, mais la capacité même d’un État à protéger ses propres secrets. Pour les entreprises et les collectivités qui déploient des systèmes de sécurité connectés, alarmes, vidéosurveillance, contrôle d’accès, la leçon est directe : la robustesse d’un dispositif ne se limite plus à son logiciel, elle dépend aussi de qui opère la connectivité qui le relie au monde extérieur, un point sur lequel certains intégrateurs choisissent désormais de sécuriser leurs propres cartes SIM pour alarmes et systèmes de sécurité plutôt que de laisser cette brique à un tiers non identifié.
Le renseignement, premier utilisateur et première cible de l’intelligence artificielle
Il serait incomplet de parler de géopolitique de l’IA sans évoquer le rôle des services de renseignement eux-mêmes, qui sont à la fois parmi les premiers utilisateurs de cette technologie et l’une de ses cibles les plus recherchées. À la Direction générale de la sécurité extérieure française, des équipes spécialisées développent depuis plusieurs années des outils d’intelligence artificielle générative destinés à traiter des volumes de documents que l’analyse humaine ne pourrait plus absorber seule, qu’il s’agisse de synthétiser rapidement des rapports rédigés dans des langues rares ou de réagir en quelques heures à une crise géopolitique naissante. Le budget de l’agence a d’ailleurs bondi de 8 % en 2025, atteignant plus d’un milliard d’euros, une progression largement portée par ses investissements dans le cyber et l’intelligence artificielle.
Du côté américain, l’inquiétude prend une tournure plus offensive. En juin 2026, les agences de cybersécurité et de renseignement des cinq pays membres de l’alliance historique du renseignement occidental ont publié une mise en garde commune, un geste rarissime dans ce milieu habitué à la discrétion : des modèles d’intelligence artificielle capables de mener des cyberattaques dévastatrices de façon largement autonome deviendraient accessibles au public non plus dans plusieurs années, mais dans les prochains mois. Cette alerte conjointe traduit une bascule inquiétante : l’IA n’est plus seulement un outil d’analyse pour les services de renseignement, elle devient un multiplicateur de force potentiel pour n’importe quel acteur malveillant, étatique ou non, capable d’automatiser des attaques qui exigeaient auparavant des équipes entières d’opérateurs qualifiés.
Ce que cette bataille change pour les professionnels de terrain
Que retenir, au fond, de cet enchevêtrement entre intelligence artificielle locale, rivalités entre grandes puissances, droit extraterritorial et espionnage des réseaux ? D’abord, que la souveraineté numérique ne se décrète pas, elle se construit couche par couche : le matériel, le réseau, le logiciel, et enfin les données elles-mêmes. Se concentrer sur un seul de ces maillons, en négligeant les autres, donne une illusion de contrôle plus dangereuse encore que l’absence de contrôle assumée.
Ensuite, que cette bataille, loin de se jouer uniquement à l’échelle des États et des multinationales du numérique, descend chaque année un peu plus vers le terrain : les PME, les intégrateurs, les techniciens indépendants qui déploient des objets connectés pour leurs clients sont désormais eux aussi des maillons de cette chaîne géopolitique, qu’ils le veuillent ou non. Un traceur GPS mal sécurisé, une alarme connectée à un réseau opaque ou une flotte de cartes SIM dont personne ne sait vraiment qui en détient les clés d’administration ne sont plus de simples détails techniques : ce sont des points d’entrée potentiels dans une compétition qui les dépasse largement.
Enfin, si l’intelligence artificielle locale constitue une réponse pertinente et de plus en plus accessible à ces enjeux, notamment parce qu’elle limite la circulation inutile de données sensibles, elle ne dispense personne de s’interroger sur l’ensemble de sa chaîne de dépendances techniques. C’est précisément dans ce mouvement de réappropriation, prudent mais réel, que s’inscrivent aujourd’hui de nombreux professionnels de l’informatique et des télécommunications, qui redécouvrent qu’une infrastructure de connectivité maîtrisée de bout en bout, aussi modeste soit-elle à l’échelle d’une entreprise, reste l’un des rares leviers concrets face à un rapport de force mondial qui, lui, ne se laisse pas facilement influencer.
