Que doit-on penser de la loi SREN, de son impact sur les gens qui font le numérique et ceux qui l’utilisent ?
C’est la question que je me suis posée en arrivant aux universités d’été d’Hexatrust qui réunit l’ensemble des acteurs de la Cybersécurité.
Au niveau de l’Europe, l’ambition pour le DSA est de réguler les géants de l’Internet sans introduire de contraintes trop fortes sur l’ensemble de l'écosystème. À cet effet, le concept de Gatekeeper a été inventé. En gros, il met surtout la pression sur les GAFAM et TikTok.
Derrière les grands discours pour réglementer l’anonymat, interdire l’accès des mineurs aux sites pornographiques, ou encore réguler les réseaux sociaux, se cachent des intérêts commerciaux importants .
Par curiosité, j’ai écouté les premiers débats qui étaient retransmis sur le site de l’Assemblée nationale.
Une des choses que j’avais remarquée dans ses discours, c’est qu’il fait très attention à ce qu’il dit. Mais en se voulant plus consensuel, il est plus compliqué à traduire.
Trois choses m’ont interpellé dans cette loi :
Lors d’une prise de parole chez Jean-Marie Cavada, j’avais été étonné que le Ministre parle d’une solution de WEB3 pour gérer l’authentification des mineurs sur les sites pornos sachant qu’il n’existe pas grand-chose aujourd’hui de probant dans le domaine.
Lors du débat sur la loi SREN, j'ai entendu de la part de quelques députés exactement le même discours : « Je connais une super startup qui peut faire des miracles », un discours plutôt étonnant de la part de députés qui doivent respecter un devoir de neutralité.
Pour avoir suivi pendant 20 ans les lois sur le numérique, c’est la première fois que je vois des solutions techniques proposées par des acteurs privés comme réponse à un argument juridique.
Historiquement, l’ANSSI a une mission de protection et de résilience des infrastructures (elle fait d’ailleurs un travail remarquable.) et l’ARCOM et l’ARCEP sont des organismes de régulation respectivement de l'Audiovisuel et des Télécoms.
Avec cette nouvelle loi, elles deviennent des faiseurs de rois.
Pour opérer son business dans le numérique en France, faudra-t-il passer obligatoirement par leurs guichets pour obtenir un tampon ?
D’autre part, ces nouvelles missions sont loin de leurs compétences d’origine.
Ses décisions vont-elles impacter le code des acteurs du numérique ? A-t-elle déjà les compétences pour le faire en interne?
Quel sera-t-il ? Est-ce que cela sera celui des GAFAM ? Que feront les acteurs, notamment ceux du logiciel libre, qui se basent sur d’autres standards techniques ? Seront-ils exclus du marché ?
Comme me le disait un spécialiste du secteur, l’ARCEP a hérité d’un gros dossier en plus de ses compétences traditionnelles. Rappelons que le marché des télécoms ne compte en réalité que 5 fournisseurs : Ericsson, Nokia, Huawei, ZTE et Samsung. Les trois derniers n’existent que par un soutien important de leurs pays d’origine. C’est un marché de gros.
Dans le monde du Cloud, nous avons certes quelques géants mais aussi un écosystème très actif avec des petits acteurs. Parfois trois ingénieurs construisent la petite brique logicielle qui change tout. Attention à ne pas tout casser en décourageant ces acteurs de réaliser leurs projets en France.
Code is law or law is useless new code ?
Pour la première fois, nous allons voter une Loi qui oblige à changer les pratiques techniques dans une direction qui a été choisie dans une forme d'opacité. Pratiques techniques que seuls ceux qui auront leurs entrées, c’est-à-dire les plus gros, pourront faire évoluer à leur avantage.
Quant à l’idée que la France pourrait servir de modèle pour le reste du monde, cela me rappelle le format SECAM de la télévision. La France avait son propre standard, le reste de l’Europe le sien et les États-Unis, le leur. Seuls quelques géants du téléviseur comme Sony supportaient les trois standards.
La question est simple : si on héberge des données de santé ou autres données sensibles, peut-on continuer à le faire chez les GAFAM comme le font Doctolib ou le Health Data Hub?
Le gouvernement est opposé à cet article et sa majorité a proposé des amendements pour le retirer de la Loi SREN.
Ce à quoi la Sénatrice Catherine Morin Desailly m’explique qu’au contraire, un vote favorable à cet amendement du Parlement français serait un levier extraordinaire pour le Ministre dans ses négociations.
Les versions sous licences des services des GAFAM qui pourraient répondre au test d’immunité aux lois d'espionnage américaines ne sont pas encore prêtes. En off, on parle de 2025 !
Dilemme.
Une loi peut-elle organiser un marché sans bureaucratiser ou limiter les innovations technologiques des acteurs ?
C’est possible. D’une certaine manière, la loi SREN n’est pas différente de la loi Dadvsi en 2004 qui devait réguler l’industrie de la musique en ligne.
Il y a beaucoup d’enseignements à en tirer, surtout sur ce qu’il ne faut pas faire.
Musique en ligne 2004 :
Nous avions 3 types d’acteurs :
J’avais proposé à l’époque que la loi Davdsi fasse trois choses :
À l'époque, empêcher toute copie voulait dire supprimer la rémunération pour copie privée et donc priver l’industrie d’une manne importante. Et il n’était pas possible d'empêcher le téléchargement P2P qui s’appuie sur une base légale (même si contestée à l’époque).
Elle n’a pas su légiférer clairement sur le sort des Webradios en streaming. Elle est rapidement devenue totalement anachronique car le marché de la musique a été profondément bouleversé par l’arrivée du streaming.
Personne à l’époque n’avait imaginé que le streaming deviendrait le principal moyen d’écouter de la musique.
Quid du Cloud ?
Si j’étais le législateur, je m’assurerais de permettre à plusieurs marchés d’être viables. Des marchés qui existent déjà, et d’autres émergents . Si on les fige par la loi, alors on prend un risque.
Pour expliquer ce qui est en jeu, j’ai fait quelques schémas sur ma tablette.
Le marché du Cloud en 2019 :
- Les GAFAM, qui sont très populaires chez les startups et les grands groupes. Ils sont massivement aidés par les États-Unis (plusieurs dizaines de milliards de dollars de commandes pour construire les clouds de la défense, du commerce et de la CIA)
- Les acteurs français et européens du Cloud qui sont souvent en sous-financements et qui ont besoin de contrats pour continuer à embaucher des ingénieurs et des vendeurs. Il faut les soutenir avec la commande publique et leur donner des garanties qu’ils seront bien choisis sur les marchés des données sensibles.
- Les plus petits acteurs et le monde du logiciel libre qui répondent souvent à des besoins non traités par les gros et qui généralement font la vitalité technologique d’un pays.
Mais un cloud sous licence est très compliqué, car il faut dupliquer les services. Les retards s’accumulent. On parle de 2025 pour son lancement commercial.
Le marché du Cloud au Centre en 2021 :
Problème soulevé par de nombreux acteurs : les GAFAM sont soumis aux lois d’espionnage extraterritoriales américaines. Peut-on vraiment y mettre des données sensibles ?
Ce label introduit dans sa version 3.2 la question de l’extraterritorialité. Si les Cloud GAFAM sous licences passent le test, alors ils auront accès aux marchés protégés de l’État.
Il y a également un effet de bord de Secnum Cloud, très coûteux en temps et en argent, qui empêche les petits d’entrer sur le marché protégé de l’État.
Reste le problème des offres de cloud des GAFAM qui ne seraient pas fournies sous licence à des acteurs français (Offres GAFAM classiques) et qui ne pourrons jamais passer le test d’immunité aux lois extraterritoriales de Secnum Cloud.
La Présidente de l’Europe, Ursula von der Leyen s’applique à régler le problème avec un nouvel accord. En attendant que Max Schrems fasse à nouveau casser ce dernier. Allons-nous vers un Schrems III? ?
Pour ceux qui veulent comprendre tout cela plus en détail, lisez mon ebook “Lettre à ceux qui veulent faire tourner la France sur l’ordinateur de quelqu’un d’autre”.
La loi SREN et son impact sur le Cloud 2023 :
Pour équilibrer le marché du Cloud, la loi SREN pourrait faire trois choses :
La bureaucratie est l'ennemie de l'innovation.
Conclusion provisoire
J’ai toujours pensé que pour les petits éditeurs qui vont travailler avec des hébergeurs déjà certifiés Secnum Cloud, une procédure plus légère devrait exister.
Il faut apprendre à légiférer en ayant confiance dans le futur et dans la créativité. C’est ce que l’informatique a toujours su faire.
À vouloir trop bloquer le marché du Cloud dans le présent, on l’empêche d’avoir un futur.
À suivre!
