Fonctionnement des registres souverains
Ce module traduit l'architecture des enregistrements souverains en termes compréhensibles par les conseils d'administration, sans pour autant en aplatir le fond. Un enregistrement souverain n’est pas simplement un fichier stocké dans un emplacement sécurisé. C’est un enregistrement qui intègre sa propre gouvernance: sa provenance, la politique qui régit son utilisation, la chaîne des frontières qu’il a franchies, les moyens de vérifier son état actuel et un chemin pour le transférer ailleurs. Nous examinons ensuite ce que l’immuabilité et la suppression contrôlée signifient réellement pour un conseil d’administration, et comment deux organisations souveraines peuvent collaborer sans renoncer à leur souveraineté respective.
4.1 Qu'est-ce qui confère à un enregistrement son caractère souverain ?
Un dossier souverain constitue en soi une preuve suffisante. Plutôt que de se fier à l'assurance donnée par un opérateur quant à l'authenticité, l'exhaustivité et le traitement correct d'un dossier, c'est le dossier lui-même qui possède les caractéristiques permettant à une commission de vérifier ces affirmations. Cinq caractéristiques accompagnent le dossier partout où il va.
- Provenance: qui en est l'auteur, qui en a assuré la gestion et qui l'a approuvé, ces informations étant consignées de manière vérifiable plutôt que simplement affirmées a posteriori.
- Politique — qui est autorisé à consulter, partager, utiliser pour l'entraînement d'un modèle d'IA, exporter ou supprimer ces données ; cette politique est associée à l'enregistrement lui-même plutôt que d'être stockée dans un panneau de paramètres distinct et modifiable.
- Chaîne de vérification — quelles frontières de gouvernance le document a-t-il franchies, et à quel moment, afin que le conseil d'administration puisse retracer son parcours.
- Vérification — déterminer si l'état actuel de l'enregistrement est « à jour », « périmé », « non conforme » ou « invérifiable » ; cette vérification doit pouvoir être effectuée à la demande plutôt que d'être présumée.
- Chemin d'exportation portable — un itinéraire défini permettant de soustraire l'enregistrement, tout en préservant sa gouvernance, au contrôle d'un opérateur donné.
Points clés de l'enseignement
- La souveraineté est une propriété du registre, et non une promesse de la part de l'opérateur : ces cinq propriétés permettent à un conseil d'administration de vérifier plutôt que de se fier à la parole de l'opérateur.
- Le fait que la politique soit associée à l'historique signifie que les autorisations ne peuvent pas être discrètement étendues dans une page de paramètres que le conseil d'administration ne consulte jamais.
- C'est grâce à la possibilité d'exporter les données que le verrouillage ne se traduit pas par une perte de souveraineté : la gouvernance perdure après le transfert.
Sujets de discussion
- En ce qui concerne vos données les plus sensibles, lesquelles de ces cinq propriétés pouvez-vous réellement démontrer aujourd’hui, et lesquelles reposent sur l’assurance donnée par l’opérateur ?
- Où se trouve votre politique actuelle : dans le dossier, ou dans une console distincte où quelqu'un pourrait la modifier sans laisser de trace de gouvernance ?
- Si vous deviez transférer dès demain les archives du conseil d'administration couvrant une année entière vers un nouveau prestataire, quels aspects liés à la gouvernance seraient préservés lors de ce transfert et lesquels seraient perdus ?
4.2 Immuabilité, protection contre la falsification et suppression
L'immuabilité est souvent mal comprise comme signifiant « rien ne change jamais ». Dans un système de registre souverain, elle recouvre une notion plus précise et plus utile pour un conseil d'administration : les modifications sont ajoutées à la fin, attribuables et vérifiables, plutôt que d'être écrasées en silence. Une correction n’efface pas ce qui précède : elle ajoute une nouvelle entrée attribuée, de sorte que l’historique de l’enregistrement reste inviolable. Quiconque modifie l’enregistrement a posteriori laisse une trace indubitable.
Cela ne revient pas à dire « ne jamais supprimer ». Les conseils d’administration ont de réelles obligations d’oubli : la législation sur la protection de la vie privée, les calendriers de conservation et la dignité des membres exigent tous que certains documents soient supprimés. Un système souverain considère donc la suppression comme un acte réglementé : les suppressions préservent la traçabilité (le fait, l’autorité et la raison de la suppression restent vérifiables) et, lorsque cela est nécessaire, garantissent une finalité cryptographique afin que le contenu sous-jacent ne puisse pas être reconstitué. Les conseils d’administration ont besoin à la fois de preuves durables et d’un « oubli » correctement contrôlé — et non des extrêmes simplistes que sont « ne jamais supprimer » ou « supprimer à volonté ».
Lectures complémentaires
- Glossaire du NIST — immuabilité — définition technique de référence, utile pour distinguer ce qui « ne peut pas être modifié » de ce dont « les modifications sont ajoutées et visibles ».
- ENISA — Ingénierie de la protection des données — modèles d'ingénierie permettant de concilier l'intégrité et la traçabilité avec l'obligation de suppression.
Sujets de discussion
- À quel niveau de votre système de gouvernance un enregistrement écrasé à l'insu de tous causerait-il le plus de dommages — et comment le détecteriez-vous actuellement ?
- Comment concilier le droit à l'oubli d'un membre et la nécessité pour le conseil d'administration de démontrer qu'il a agi en bonne et due forme lorsqu'il a supprimé ses données ?
- De quoi disposez-vous actuellement pour prouver qu'un enregistrement supprimé a bel et bien été effacé, et non pas simplement masqué ?
4.3 Fédération bilatérale et partage limité
La souveraineté ne signifie pas l'isolement. Les organisations doivent collaborer : partager les dossiers d'un groupe de travail commun, mener un projet conjoint, transmettre un dossier. La question est de savoir comment y parvenir sans fusionner deux organisations souveraines au sein d’une plateforme partagée où aucune des deux ne contrôle pleinement les données. La réponse souveraine réside dans une fédération bilatérale et délimitée: deux entités souveraines se connectent directement, dans un but spécifique et signé, et chacune conserve son autorité de gouvernance locale ainsi que le pouvoir de révoquer la connexion.
La fédération est bilatérale — il s’agit d’une connexion entre exactement deux parties, et non d’une adhésion à un espace commun — et délimitée — son champ d’application se restreint à l’objectif auquel les deux parties ont souscrit, et non à un canal ouvert. Chaque partie conserve sa propre provenance, sa propre politique et sa propre chaîne de preuves ; rien n’est cédé à un opérateur central. Il en résulte une collaboration contrôlée : un partage réel et vérifiable dans un but convenu, avec préservation de la souveraineté des deux côtés et la possibilité de révoquer à tout moment l’accord si l’objectif prend fin ou si la confiance vient à manquer.
Points clés de l'enseignement
- Bilatéral : une relation entre deux locataires souverains désignés, et non un pool commun qui dilue le contrôle.
- Délimité : circonscrit à un objectif précis et défini, avec une politique et une chaîne de preuves qui s'étendent au-delà de cette délimitation.
- Révocable : chaque partie conserve son autorité en matière de gouvernance locale et peut mettre fin à la connexion sans que cela n'entraîne la suppression de ses propres données.
Sujets de discussion
- Quelles sont les collaborations que votre organisation met actuellement en œuvre et qui, sans que l'on s'en rende compte, impliquent de faire confiance à un opérateur commun plutôt qu'à la partie adverse directement ?
- Dans le cadre d'un groupe de travail conjoint, que spécifierait concrètement un « objectif défini et délimité » — et qui, au sein de votre instance de gouvernance, le signerait ?
- Si un partenariat fédéré venait à prendre fin, dans quelle mesure êtes-vous certain de pouvoir révoquer l'accès de manière irréversible et prouver que la limite a bien été respectée ?
Auto-évaluation
1. Quel ensemble décrit le mieux les cinq propriétés associées à un enregistrement souverain ?
Un enregistrement souverain comporte sa propre provenance, sa propre politique, sa propre chaîne de preuve, ses propres moyens de vérification et son propre chemin d'exportation ; un conseil d'administration peut ainsi procéder à une vérification plutôt que de se fier aux assurances données par l'opérateur.
2. Dans cette architecture, le terme « immuabilité » désigne plus précisément…
L'immuabilité, dans ce contexte, signifie « inviolabilité », et non « ne jamais supprimer » : les modifications sont ajoutées à la fin et clairement visibles, et la suppression reste un acte réglementé et vérifiable.
3. Une fédération bilatérale et délimitée permet à deux entités souveraines de…
La fédération est bilatérale et délimitée : il s'agit d'une collaboration encadrée visant un objectif convenu, dans le respect de la souveraineté et du droit de révocation de chacune des parties.