[{"data":1,"prerenderedAt":604},["ShallowReactive",2],{"article-fr-\u002Fkubernetes\u002Fmulti-cloud-illusion":3,"article-sibling-fr-\u002Fkubernetes\u002Fmulti-cloud-illusion":312,"surround-fr-\u002Fkubernetes\u002Fmulti-cloud-illusion":578,"related-fr-\u002Fkubernetes\u002Fmulti-cloud-illusion":585},{"id":4,"title":5,"body":6,"date":290,"description":291,"draft":292,"extension":293,"img":294,"meta":295,"navigation":296,"path":297,"seo":298,"slug":299,"stem":300,"tags":301,"topics":307,"__hash__":311},"content\u002Fkubernetes\u002F2.multi-cloud-illusion.fr.md","L'illusion du multi-cloud pour l'État : la duplication n'est pas la souveraineté",{"type":7,"value":8,"toc":276},"minimark",[9,13,16,21,24,27,31,34,37,40,43,47,50,59,62,66,69,72,76,79,85,89,92,169,172,176,179,182,185,188,192,195,202,208,214,218,221,224,228,273],[10,11,12],"p",{},"Toute discussion de stratégie cloud gouvernementale en Afrique de l'Ouest finit par arriver à la même recommandation : ne mettez pas toutes vos charges chez un seul fournisseur, répartissez-les entre plusieurs. L'argument vient des équipes commerciales des hyperscalers qui veulent vous vendre un second contrat, des cabinets de conseil qui facturent au document de stratégie, et des institutions de financement du développement dont les référentiels « cloud-smart » traitent la diversification de fournisseurs comme un indicateur de modernisation numérique. La promesse est double : la résilience face à la panne d'un fournisseur, et la souveraineté face au pouvoir d'un fournisseur unique sur vos données. Pour un État qui opère sous la loi togolaise 2019-014 sur la protection des données à caractère personnel et le régime de cybersécurité de l'Arrêté 2022-040 pris par l'ANCY, cette seconde promesse est fausse. Le multi-cloud ne divise pas l'exposition juridique entre fournisseurs, il l'additionne. Chaque fournisseur étranger supplémentaire est une juridiction de plus qui peut contraindre à la divulgation, une chaîne de sous-traitance de plus à encadrer au sens de la loi, un jeu de logs de plus à réconcilier pour un audit qui peine déjà avec un seul.",[10,14,15],{},"Ceci n'est pas un argument contre le cloud computing, ni contre la concurrence entre fournisseurs. C'est un argument contre une confusion précise et répandue : traiter le multi-cloud de diversification de fournisseurs, plusieurs hyperscalers indépendants détenant chacun une part des mêmes données régulées, comme une stratégie de souveraineté. La redondance multi-région chez un seul fournisseur responsable est autre chose, et légitime, on y revient plus loin. Choisir plusieurs fournisseurs pour des charges non liées et non sensibles aussi. Ce qui suit vise la version du multi-cloud vendue dans les décks de stratégie IT gouvernementale comme la réponse anti-lock-in et anti-risque-de-souveraineté, parce que c'est celle-là qu'une administration régulée par l'ANCY a le plus de chances de se faire vendre.",[17,18,20],"h2",{"id":19},"ce-que-le-multi-cloud-promet-vraiment","Ce que le multi-cloud promet vraiment",[10,22,23],{},"L'argument le plus solide mérite d'être posé honnêtement avant d'être contesté. Un fournisseur unique est un point de défaillance unique : une panne régionale, un litige contractuel, un changement de tarification ou de conditions peuvent mettre à l'arrêt ou prendre en otage tous les services numériques d'un gouvernement en même temps. Répartir les charges entre deux ou trois fournisseurs supprime cette concentration de risque et donne aux achats un vrai levier de négociation, puisqu'aucun fournisseur ne peut présumer que la relation est acquise. Plusieurs hyperscalers commercialisent désormais une « région locale » sur le continent, ou promettent des engagements de résidence des données qui, sur une diapositive, sont indiscernables de la souveraineté. Les cabinets de conseil emballent cela en architectures « multi-cloud by design », et les projets de transformation numérique financés par des bailleurs listent souvent la diversification de fournisseurs comme une ligne de réduction de risque, parce que c'est mesurable et facile à inscrire dans un document d'évaluation de projet.",[10,25,26],{},"Rien de tout cela n'est malhonnête en soi. Le risque de panne est réel, le levier de négociation est réel, et une « région locale » met effectivement des octets sur des disques physiquement situés dans le pays ou la sous-région. Le problème n'est pas que ces affirmations soient fausses, c'est qu'elles répondent à une question plus étroite que celle à laquelle un État a réellement besoin de répondre. Un argument de résilience face aux pannes et un argument de levier de négociation sont opérationnels et commerciaux. Un argument de souveraineté est juridique : c'est une affirmation sur qui peut être contraint, par quel tribunal, en vertu de quelle loi, de livrer ou de cesser de traiter les données de vos citoyens. Le multi-cloud répond raisonnablement bien aux deux premières questions. Il ne répond pas à la troisième, et le traiter comme s'il y répondait, c'est exactement là que l'illusion s'installe.",[17,28,30],{"id":29},"la-résidence-ne-se-règle-pas-par-la-duplication","La résidence ne se règle pas par la duplication",[10,32,33],{},"L'article 28 de la loi 2019-014 conditionne le transfert de données à caractère personnel « vers un pays tiers » au fait que ce pays offre « un niveau de protection suffisant », et exige une information préalable de l'Instance, l'autorité de protection des données, qui rend un avis motivé. La question que pose la loi n'est pas « où se trouve le disque », c'est « quel système juridique peut atteindre cette donnée, et l'avez-vous déclaré ». La « région locale » d'un hyperscaler répond à la première question et laisse la seconde exactement où elle était.",[10,35,36],{},"L'illustration la plus nette est le CLOUD Act américain, le Clarifying Lawful Overseas Use of Data Act de 2018. Il modifie le Stored Communications Act de sorte qu'un fournisseur soumis à la juridiction des États-Unis, typiquement parce qu'il y est constitué ou y a son siège, doit produire les données qu'il a en « possession, garde ou contrôle » en réponse à une procédure légale américaine valide, que ces données soient stockées à l'intérieur ou à l'extérieur des États-Unis. Une région africaine locale exploitée par un hyperscaler dont le siège est américain ne supprime pas cette exposition. La société mère reste une personne morale américaine, et la donnée reste sous son « contrôle » au sens de la loi, quel que soit le pays qui héberge le disque physique. La géographie a changé. La juridiction non.",[10,38,39],{},"Ce n'est pas un problème propre aux États-Unis, ni un problème hypothétique. L'Union européenne, avec un régime de protection des données bien plus mature et bien mieux doté que celui du Togo, s'est heurtée exactement au même mur. Dans son arrêt Schrems II de 2020 (affaire C-311\u002F18), la Cour de justice de l'Union européenne a invalidé le cadre EU-US Privacy Shield parce que le droit de surveillance américain pouvait atteindre les données détenues par des fournisseurs liés aux États-Unis, indépendamment des clauses contractuelles types ou de l'emplacement physique du stockage dans l'UE. Si un bloc économique et juridique de la taille de l'UE n'a pas pu contourner par contrat une portée extraterritoriale, une clause « région locale » dans les conditions d'utilisation d'un seul hyperscaler n'y parviendra pas davantage pour un État ouest-africain.",[10,41,42],{},"Ajoutez maintenant un deuxième et un troisième fournisseur, chacun ayant son siège dans une juridiction différente, chacun régi par son propre régime de divulgation extraterritoriale, et l'arithmétique empire au lieu de s'améliorer. Le multi-cloud ne moyenne pas cette exposition entre fournisseurs : il ajoute une nouvelle juridiction de contrainte potentielle pour chaque fournisseur ajouté, et une nouvelle appréciation d'adéquation au sens de l'article 28 ainsi qu'un nouveau contrat de sous-traitance au sens de l'article 20 à maintenir pour chacun. La redondance au niveau infrastructure devient de la redondance de risque juridique au niveau conformité.",[17,44,46],{"id":45},"le-plan-de-contrôle-na-jamais-quitté-la-maison","Le plan de contrôle n'a jamais quitté la maison",[10,48,49],{},"« Région locale » est presque toujours une affirmation sur le plan de données, l'endroit où les octets sont stockés et calculés. C'est rarement une affirmation sur le plan de contrôle : le système de gestion des identités et des accès, le mécanisme de facturation et de suspension de compte, le service de gestion des clés de chiffrement, le canal de support et d'escalade d'incident, la couche d'orchestration globale qui pousse les changements de configuration à travers les régions. Ceux-là restent généralement exploités depuis, et régis par, la juridiction d'origine du fournisseur, quel que soit l'endroit où se trouvent les disques.",[10,51,52,53,58],{},"Ceci rejoint directement la question d'établissement déjà posée par le décret. ",[54,55,57],"a",{"href":56},"\u002Fblog\u002Fkubernetes\u002Fdecret-2018-062-kubernetes-gap","Le Décret 2018-062 ancre l'imputabilité dans un prestataire « établi sur le territoire national »"," (art. 58), parce que le texte suppose l'existence d'une entité locale légalement responsable que le régulateur peut atteindre et sanctionner. Une « région locale » exploitée par un hyperscaler étranger met la donnée dans le pays sans nécessairement y mettre cet établissement responsable : l'entité qui peut suspendre le compte, faire tourner les clés, ou pousser un changement global de plan de contrôle en réponse à un ordre légal de son gouvernement d'origine, reste dans la plupart des cas la société mère étrangère. L'État a localisé les octets et laissé le levier ailleurs.",[10,60,61],{},"Le multi-cloud ne corrige pas cela, il le multiplie. Au lieu de faire confiance à un seul plan de contrôle étranger, l'État dépend désormais de deux ou trois, chacun avec ses propres défauts de gestion de clés, sa propre pratique de réponse à incident, son propre modèle d'accès support, aucun ne pouvant être unifié par l'État en une seule chaîne de contrôle auditable. Plus de fournisseurs signifie plus de plans de contrôle à qui faire confiance simultanément, pas moins de points de levier étranger.",[17,63,65],{"id":64},"le-multi-cloud-et-le-fardeau-daudit-de-lancy","Le multi-cloud et le fardeau d'audit de l'ANCY",[10,67,68],{},"Un audit ANCY au titre de l'Arrêté 2022-040 fonctionne par domaines de contrôle : journalisation des événements (D1.1.1), résilience des activités (R1), contrôles cryptographiques (G3.1.5), et d'autres déjà cartographiés en détail ailleurs. Chacun de ces contrôles attend une piste de preuve cohérente : une politique de rétention à vérifier, une horloge de notification d'incident à contrôler contre la règle des vingt-quatre heures du décret, un jeu de logs d'audit à échantillonner.",[10,70,71],{},"Un parc multi-cloud casse cette cohérence par construction. Chaque fournisseur expose ses logs d'audit dans son propre schéma, les retient selon sa propre politique par défaut, et rapporte les incidents selon son propre calendrier interne avant même que l'horloge des vingt-quatre heures imposée par le décret ne puisse démarrer. Répondre à un seul contrôle ANCY, « montrez-moi les logs d'accès de cette charge sur les douze derniers mois », signifie désormais construire et maintenir des pipelines d'ingestion et de corrélation séparés par fournisseur, normaliser des formats qui n'ont jamais été conçus pour s'aligner, et espérer que les défauts de journalisation du fournisseur le moins instrumenté ne deviennent pas le plafond de ce que tout le parc peut prouver. Ce n'est pas un désagrément hypothétique, c'est une multiplication directe du coût et du risque d'audit : un auditeur n'a besoin de trouver le trou que chez le fournisseur le moins instrumenté pour faire échouer tout le parc sur un contrôle qu'un déploiement mono-fournisseur aurait pu satisfaire avec un seul tableau de bord.",[17,73,75],{"id":74},"le-coût-caché-le-plus-petit-dénominateur-commun","Le coût caché : le plus petit dénominateur commun",[10,77,78],{},"Une véritable portabilité multi-cloud, celle qui permet de déplacer une charge d'un fournisseur à l'autre sans réécriture, exige de se standardiser sur l'intersection de ce que tous les fournisseurs choisis supportent. En pratique, cela signifie faire tourner des primitives Kubernetes basiques plutôt qu'une base de données managée, une file managée, ou un service de secrets managé, parce que ce sont précisément ces services managés qui diffèrent entre fournisseurs et créent le lock-in. L'équipe doit alors exploiter, patcher et sécuriser en interne ce qu'une offre managée aurait pris en charge, ce qui transfère directement la charge opérationnelle sur une organisation IT étatique qui est, quasiment par définition, plus contrainte en ressources que n'importe lequel des hyperscalers entre lesquels elle essaie de rester portable.",[10,80,81,84],{},[54,82,83],{"href":56},"L'analyse de conformité Kubernetes le montrait déjà"," : un cluster unique bien géré a de vrais gaps, non triviaux, face à la loi 2019-014 et à l'Arrêté 2022-040 : résidence des données contre stockage éphémère, traçabilité des accès aux données personnelles, ambiguïté de l'imputabilité d'un Operator autonome, chiffrement au repos qui n'est pas activé par défaut. Aucun de ces gaps ne disparaît en ajoutant un second cloud. Ils se multiplient par le nombre de fournisseurs, pendant que la capacité d'ingénierie interne disponible pour les combler reste de la même taille. Un État qui parvenait tout juste à combler quatre gaps sur une plateforme se voit demander de combler quatre gaps sur deux ou trois plateformes simultanément, avec le même effectif.",[17,86,88],{"id":87},"quand-le-multi-cloud-est-légitime","Quand le multi-cloud est légitime",[10,90,91],{},"L'argument ci-dessus vise un schéma précis, pas tout usage de plus d'un fournisseur. Les cas suivants sont légitimes, pour des raisons différentes du récit de souveraineté habituellement avancé.",[93,94,95,111],"table",{},[96,97,98],"thead",{},[99,100,101,105,108],"tr",{},[102,103,104],"th",{},"Scénario",[102,106,107],{},"Verdict",[102,109,110],{},"Pourquoi",[112,113,114,126,137,148,159],"tbody",{},[99,115,116,120,123],{},[117,118,119],"td",{},"Contenu public non régulé : sites vitrines, portails d'open data, actifs statiques",[117,121,122],{},"Légitime",[117,124,125],{},"Aucune donnée personnelle ou classifiée en jeu, aucune exposition à l'article 28, le bénéfice de résilience est réel",[99,127,128,131,134],{},[117,129,130],{},"Choisir un second fournisseur uniquement pour la négociation tarifaire sur des charges non sensibles",[117,132,133],{},"Légitime, si nommé honnêtement",[117,135,136],{},"Un levier budgétaire, pas une mesure de souveraineté ; les documents d'achat devraient le dire ainsi",[99,138,139,142,145],{},[117,140,141],{},"Redondance multi-région chez un seul fournisseur responsable, établi localement",[117,143,144],{},"Légitime, souvent le bon défaut",[117,146,147],{},"Résout la disponibilité sans ajouter de nouvelle juridiction étrangère ni de plan de contrôle supplémentaire à qui faire confiance",[99,149,150,153,156],{},[117,151,152],{},"Données personnelles ou étatiques régulées réparties entre plusieurs hyperscalers étrangers comme stratégie de « résilience » ou de « souveraineté »",[117,154,155],{},"Non légitime au sens de cette thèse",[117,157,158],{},"Ajoute des juridictions de contrainte sans en supprimer aucune ; multiplie la surface de non-conformité",[99,160,161,164,166],{},[117,162,163],{},"Une copie de reprise après sinistre à froid des données régulées, hébergée chez un second fournisseur souverain auditable par l'ANCY",[117,165,122],{},[117,167,168],{},"Atteint la redondance tout en gardant l'imputabilité dans une seule juridiction",[10,170,171],{},"Le motif commun aux lignes légitimes est simple : soit la donnée n'a pas d'exposition juridique significative au départ, soit la redondance reste à l'intérieur d'une seule juridiction d'imputabilité. La ligne non légitime est celle où la redondance s'achète au prix d'ajouter des juridictions, et se vend comme si elle supprimait le risque au lieu de le déplacer et de le multiplier.",[17,173,175],{"id":174},"lalternative-bare-metal-souverain","L'alternative bare-metal souverain",[10,177,178],{},"L'alternative vers laquelle pointe cet argument n'est pas « pas de cloud », c'est un fournisseur unique, établi nationalement ou régionalement, exploité éventuellement sur du Kubernetes bare-metal, qui satisfait l'établissement que présume le décret et donne à l'ANCY un parc unique et cohérent à auditer. Le bilan honnête comporte des pertes des deux côtés.",[10,180,181],{},"Ce qui se perd : une élasticité illimitée face aux pics de demande imprévisibles, l'accès aux services managés d'IA et de données les plus avancés que seuls les plus grands hyperscalers exploitent aujourd'hui à grande échelle, et la dépendance à un écosystème de fournisseurs régionaux plus petit et moins mature, avec ses propres contraintes de capacité et de talent. Un fournisseur souverain peut lui-même devenir un point de défaillance unique s'il est sous-doté, et « local » n'est pas synonyme de « bien audité » : un fournisseur souverain a besoin du même audit rigoureux et indépendant qu'un hyperscaler étranger, pas d'un laissez-passer parce qu'il a la bonne adresse.",[10,183,184],{},"Ce qui se gagne : un seul établissement légalement responsable qui satisfait réellement l'article 58 au lieu de le suggérer, un seul plan de contrôle au lieu de plusieurs, une seule piste de preuve pour un audit ANCY au lieu d'un exercice de réconciliation entre fournisseurs, et une structure de coût prévisible plutôt qu'élastique, ce qui compte parce que la plupart des charges étatiques ne sont pas à l'échelle d'Internet et n'ont pas besoin de l'élasticité d'un hyperscaler pour commencer. La conformité cesse d'être un exercice de rattrapage effectué après coup sur une infrastructure conçue ailleurs, et se rapproche d'une propriété de l'architecture elle-même.",[10,186,187],{},"Aucun des deux côtés de cet arbitrage n'est gratuit. La souveraineté par un fournisseur unique et responsable coûte de l'élasticité et l'accès aux services managés de pointe. L'illusion de souveraineté par la duplication multi-cloud coûte plus en effort d'ingénierie et en complexité d'audit qu'elle ne l'annonce, tout en livrant moins d'isolation juridictionnelle réelle que ce que promet l'argument commercial. Entre un vrai coût pour un vrai bénéfice et un bénéfice illusoire pour un vrai coût, le choix n'est pas serré.",[17,189,191],{"id":190},"un-cadre-de-décision","Un cadre de décision",[10,193,194],{},"Avant d'adopter le multi-cloud pour une charge donnée, trois questions tranchent s'il aide ou s'il nuit :",[10,196,197,201],{},[198,199,200],"strong",{},"Quelle est la donnée ?"," S'il s'agit de données personnelles au sens de la loi 2019-014, de données classifiées par l'État, ou de tout ce qu'une appréciation d'adéquation au titre de l'article 28 concernerait, traiter la diversification juridictionnelle comme un passif à minimiser, pas comme un bénéfice à poursuivre. S'il s'agit de contenu public ou non régulé, la question de souveraineté ne s'applique pas et les arguments de résilience et de négociation tiennent seuls.",[10,203,204,207],{},[198,205,206],{},"Où vit réellement le plan de contrôle, et qui peut être contraint d'agir dessus ?"," Nommer honnêtement la juridiction, pour chaque fournisseur envisagé. Si la réponse nomme une juridiction hors de celle à laquelle la charge est censée être souveraine, ajouter un second fournisseur étranger ne change pas cette réponse, il en ajoute une seconde.",[10,209,210,213],{},[198,211,212],{},"Quel est le motif réel ?"," Le levier de coût et la résilience technique sont des raisons d'ingénierie et d'achat légitimes, et devraient être nommées comme telles dans le document de stratégie. Si la justification affichée est la « souveraineté » ou la « réduction du risque juridique », elle doit désigner une exposition précise qu'elle supprime, un article, un contrôle, un transfert qu'elle évite, pas seulement une liste de fournisseurs diversifiée qui a l'air prudente sur une diapositive.",[17,215,217],{"id":216},"limites-de-lanalyse-et-questions-ouvertes","Limites de l'analyse et questions ouvertes",[10,219,220],{},"Ceci est un cadre stratégique, pas un substitut à une évaluation de risque juridique d'un contrat fournisseur précis. Certains hyperscalers proposent désormais des structures d'entité conçues spécifiquement pour réduire l'exposition au CLOUD Act, comme des montages de type « data trustee » opérés via une filiale locale ou régionale avec des barrières contractuelles contre l'accès de la société mère américaine. Savoir si une structure donnée réduit effectivement cette exposition est une question juridique à trancher au cas par cas, qui mérite un examen réel, pas un rejet en bloc au même titre que le marketing ordinaire de « région locale », ni une acceptation aveugle non plus. De même, une stratégie purement bare-metal souveraine échange un ensemble de risques contre un autre : les contraintes de capacité et de talent dans un écosystème local restreint sont de vrais modes de défaillance, et « souverain » est une propriété juridictionnelle, pas une garantie de compétence. Un fournisseur local mal géré n'est pas plus sûr qu'un fournisseur étranger bien géré, il est exposé différemment.",[10,222,223],{},"Le fond de l'argument tient en une phrase. Le multi-cloud répond à une question de disponibilité et, parfois, à une question de négociation, mais il ne répond pas à une question de juridiction, et l'habiller en stratégie de souveraineté multiplie le nombre de systèmes juridiques qui peuvent atteindre vos données au lieu de le réduire. Le remède à un problème de juridiction est une réponse de juridiction : un seul établissement responsable, à l'intérieur du périmètre que la loi définit déjà, pas une liste plus longue de fournisseurs étrangers détenant chacun un morceau de la même exposition.",[17,225,227],{"id":226},"sources","Sources",[229,230,231,241,249,257,265],"ul",{},[232,233,234,235],"li",{},"Loi n°2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel, ",[54,236,240],{"href":237,"rel":238},"https:\u002F\u002Fjo.gouv.tg\u002Fsites\u002Fdefault\u002Ffiles\u002FJO\u002FJOS_29_10_2019-64E%20ANNEE-N%C2%B026%20TER.pdf",[239],"nofollow","Journal Officiel",[232,242,243,244],{},"Décret n°2018-062\u002FPR portant réglementation des transactions et services électroniques au Togo, ",[54,245,248],{"href":246,"rel":247},"https:\u002F\u002Farcep.tg\u002Fwp-content\u002Fuploads\u002F2020\u002F11\u002FDecret_2018_062_PR_portant_reglementation_des_transactions_services_electronique.pdf",[239],"ARCEP",[232,250,251,252],{},"Arrêté n°2022-040\u002FPMRT portant adoption des règles de cybersécurité en République togolaise, ",[54,253,256],{"href":254,"rel":255},"https:\u002F\u002Fcert.tg\u002Fwp-content\u002Fuploads\u002F2022\u002F07\u002F20220705-Arrete-n%C2%B0-2022-040-PMRT-portant-adoption-des-regles-de-cybersecurite-en-Republique-togolaise.pdf",[239],"CERT Togo",[232,258,259,260],{},"H.R.4943, Clarifying Lawful Overseas Use of Data Act (CLOUD Act), 115e Congrès américain, ",[54,261,264],{"href":262,"rel":263},"https:\u002F\u002Fwww.congress.gov\u002Fbill\u002F115th-congress\u002Fhouse-bill\u002F4943\u002Ftext",[239],"Congress.gov",[232,266,267,268],{},"Cour de justice de l'Union européenne, affaire C-311\u002F18, Data Protection Commissioner contre Facebook Ireland et Maximillian Schrems (« Schrems II »), 16 juillet 2020, ",[54,269,272],{"href":270,"rel":271},"https:\u002F\u002Fcuria.europa.eu\u002Fjuris\u002Fliste.jsf?num=C-311\u002F18",[239],"InfoCuria",[10,274,275],{},"Ceci est une analyse stratégique et technique, pas un conseil juridique. Pour une évaluation de risque juridictionnel propre à un contrat fournisseur, consultez un praticien du droit de la protection des données et des marchés publics.",{"title":277,"searchDepth":278,"depth":278,"links":279},"",2,[280,281,282,283,284,285,286,287,288,289],{"id":19,"depth":278,"text":20},{"id":29,"depth":278,"text":30},{"id":45,"depth":278,"text":46},{"id":64,"depth":278,"text":65},{"id":74,"depth":278,"text":75},{"id":87,"depth":278,"text":88},{"id":174,"depth":278,"text":175},{"id":190,"depth":278,"text":191},{"id":216,"depth":278,"text":217},{"id":226,"depth":278,"text":227},"2026-08-07","Le multi-cloud est vendu aux États africains comme la réponse à la fois à la résilience et à la souveraineté numérique : répartir ses charges entre plusieurs hyperscalers diluerait le risque et le pouvoir du fournisseur. Sous la loi togolaise 2019-014 sur les données personnelles et le régime de cybersécurité de l'ANCY, cette promesse ne tient pas. Cet article défend que le multi-cloud ne divise pas l'exposition juridique, il la multiplie, et se termine par un cadre de décision sur quand il est légitime et quand il ne l'est pas.",false,"md","https:\u002F\u002Fres.cloudinary.com\u002Fdpdwhd6ka\u002Fimage\u002Fupload\u002Ff_auto,q_auto\u002Fv1\u002FBlog\u002Fimages\u002Fhbcudyxllyjvbkjxvs7g",{},true,"\u002Fkubernetes\u002Fmulti-cloud-illusion.fr",{"title":5,"description":291},"multi-cloud-illusion-state-sovereignty","kubernetes\u002F2.multi-cloud-illusion.fr",[302,303,304,305,306],"Multi-Cloud","Sovereignty","Cloud-Act","Kubernetes","Togo",[308,309,310],"kubernetes","cloud","finops","9WnmaOKnivL4yHzZw8UWknQ_n2kC9RMe0hlDzHrmFrE",{"id":313,"title":314,"body":315,"date":290,"description":570,"draft":292,"extension":293,"img":294,"meta":571,"navigation":296,"path":572,"seo":573,"slug":299,"stem":574,"tags":575,"topics":576,"__hash__":577},"content\u002Fkubernetes\u002F2.multi-cloud-illusion.md","The Multi-Cloud Illusion for the State: Duplication Is Not Sovereignty",{"type":7,"value":316,"toc":558},[317,320,323,327,330,333,337,340,343,346,349,353,356,363,366,370,373,376,380,383,389,393,396,466,469,473,476,479,482,485,489,492,498,504,510,514,517,520,522,555],[10,318,319],{},"Every procurement conversation about a government cloud strategy in West Africa eventually reaches the same recommendation: do not put all your workloads with a single provider, spread them across several. The pitch comes from hyperscaler sales teams who want to sell you a second contract, from consulting firms who bill by the strategy document, and from development finance institutions whose \"cloud-smart\" playbooks treat vendor diversification as a proxy for digital modernization. The promise is twofold: resilience against a single provider's outage, and sovereignty against a single provider's power over your data. For a state operating under Togo's law 2019-014 on the protection of personal data and the cybersecurity regime of the 2022-040 order issued by the ANCY, that second promise is false. Multi-cloud does not divide legal exposure across providers, it unions it. Each additional foreign-headquartered vendor is one more jurisdiction that can compel disclosure, one more subcontracting chain to bind under the law, one more set of logs to reconcile for an audit that already struggles with one.",[10,321,322],{},"This is not an argument against cloud computing, and it is not an argument against competition among vendors. It is an argument against a specific and common conflation: treating vendor-diversity multi-cloud, several unrelated hyperscalers each holding a slice of the same regulated data, as a sovereignty strategy. Multi-region redundancy inside one accountable provider is a different thing, and a legitimate one, discussed later. So is choosing several vendors for unrelated, non-sensitive workloads. What follows targets the version of multi-cloud that gets pitched in government IT strategy decks as the anti-lock-in, anti-sovereignty-risk answer, because that is the version an ANCY-regulated administration is most likely to be sold.",[17,324,326],{"id":325},"what-the-multi-cloud-pitch-actually-promises","What the multi-cloud pitch actually promises",[10,328,329],{},"The steelman deserves to be stated honestly before it is challenged. A single provider is a single point of failure: a regional outage, a contract dispute, a change in pricing or terms of service can take down or hold hostage an entire government's digital services at once. Splitting workloads across two or three providers removes that concentration risk and gives procurement real negotiating leverage, since no single vendor can assume the relationship is permanent. Several hyperscalers now market a \"local region\" on the continent or promise data residency commitments that look, on a slide, indistinguishable from sovereignty. Consulting firms package this into \"multi-cloud by design\" architectures, and development-finance-funded digital transformation projects often list vendor diversification as a risk-mitigation line item, because it is measurable and easy to write into a project appraisal document.",[10,331,332],{},"None of this is dishonest on its face. The outage risk is real, the negotiating leverage is real, and a \"local region\" genuinely does put bytes on disks physically inside the country or the sub-region. The problem is not that these claims are false, it is that they answer a narrower question than the one a state actually needs answered. An outage-resilience argument and a negotiating-leverage argument are operational and commercial. A sovereignty argument is legal: it is a claim about who can be compelled, by which court, under which law, to hand over or stop processing your citizens' data. Multi-cloud answers the first two questions reasonably well. It does not answer the third, and treating it as if it does is where the illusion sets in.",[17,334,336],{"id":335},"residence-is-not-solved-by-duplication","Residence is not solved by duplication",[10,338,339],{},"Article 28 of law 2019-014 conditions the transfer of personal data \"to a third country\" on that country offering \"a sufficient level of protection\", and requires prior notice to the Instance, the data protection authority, which issues a reasoned opinion. The question the law asks is not \"where does the disk sit\", it is \"which legal system can reach this data, and did you declare that exposure\". A hyperscaler's \"local region\" answers the first question and leaves the second exactly where it was.",[10,341,342],{},"The clearest illustration is the United States' CLOUD Act, the Clarifying Lawful Overseas Use of Data Act of 2018. It amends the Stored Communications Act so that a provider subject to US jurisdiction, typically because it is incorporated or headquartered there, must produce data in its \"possession, custody, or control\" in response to valid US legal process, regardless of whether that data is stored inside or outside the United States. A local African region operated by a US-headquartered hyperscaler does not remove this exposure. The parent entity remains a US legal person, and the data remains within its \"control\" in the sense the statute uses, no matter which country hosts the physical disk. Geography changed. Jurisdiction did not.",[10,344,345],{},"This is not a uniquely American problem, and not a hypothetical one. The European Union, with a data protection regime far more mature and better resourced than Togo's, ran into exactly this wall. In its 2020 Schrems II judgment (Case C-311\u002F18), the Court of Justice of the European Union invalidated the EU-US Privacy Shield framework because US surveillance law could reach data held by US-linked providers regardless of the standard contractual clauses or the physical location of storage in the EU. If an economic and legal bloc the size of the EU could not contract its way around extraterritorial reach, a \"local region\" clause in a single hyperscaler's terms of service is not going to do it for a West African state either.",[10,347,348],{},"Now add a second and a third provider, each headquartered in a different jurisdiction, each governed by its own extraterritorial disclosure regime, and the arithmetic gets worse, not better. Multi-cloud does not average out this exposure across vendors: it adds a new jurisdiction of potential compulsion for every vendor added, and a new article 28 adequacy determination and a new article 20 processor contract to maintain for each one. Redundancy at the infrastructure layer becomes redundancy of legal risk at the compliance layer.",[17,350,352],{"id":351},"the-control-plane-never-left-home","The control plane never left home",[10,354,355],{},"\"Local region\" is almost always a claim about the data plane, the place where bytes are stored and computed. It is rarely a claim about the control plane: the identity and access management system, the billing and account-suspension mechanism, the encryption key management service, the support and incident-escalation path, the global orchestration layer that pushes configuration changes across regions. Those usually remain operated from, and governed by, the provider's home jurisdiction, wherever the disks sit.",[10,357,358,359,362],{},"This connects directly to the establishment question the decree already raises. ",[54,360,361],{"href":56},"Decree 2018-062 anchors accountability in a provider \"established on the national territory\""," (art. 58), because the text assumes there is a legally accountable local entity the regulator can reach and sanction. A \"local region\" run by a foreign hyperscaler puts data in-country without necessarily putting that accountable establishment in-country: the entity that can suspend the account, rotate the keys, or push a global control-plane change in response to a legal order from its home government is still, in most cases, the foreign parent. The state has localized the bytes and left the lever somewhere else.",[10,364,365],{},"Multi-cloud does not fix this, it multiplies it. Instead of trusting one foreign control plane, the state now depends on two or three, each with its own key management defaults, its own incident response practice, its own support-access model, none of which the state can unify into a single auditable chain of control. More vendors means more control planes to trust simultaneously, not fewer points of foreign leverage.",[17,367,369],{"id":368},"multi-cloud-and-the-ancy-audit-burden","Multi-cloud and the ANCY audit burden",[10,371,372],{},"An ANCY audit under the 2022-040 order works through control domains: event logging (D1.1.1), business continuity and resilience (R1), cryptographic controls (G3.1.5), and others already mapped in detail elsewhere. Each of these controls expects a coherent evidence trail: one retention policy to check, one incident-notification clock to verify against the decree's twenty-four hour rule, one set of audit logs to sample.",[10,374,375],{},"A multi-cloud estate breaks that coherence by construction. Each provider exposes audit logs in its own schema, retains them under its own default policy, and reports incidents on its own internal timeline before the twenty-four hour clock the decree imposes can even start. Answering a single ANCY control, \"show me the access logs for this workload over the last twelve months,\" now means building and maintaining separate ingestion and correlation pipelines per provider, normalizing formats that were never designed to align, and hoping the weakest provider's logging defaults do not become the ceiling for what the whole estate can prove. This is not a hypothetical inconvenience, it is a direct multiplication of audit cost and audit risk: an auditor only has to find the gap in the least-instrumented provider to fail the entire estate on a control that a single-provider deployment could answer with one dashboard.",[17,377,379],{"id":378},"the-hidden-cost-portabilitys-lowest-common-denominator","The hidden cost: portability's lowest common denominator",[10,381,382],{},"Real multi-cloud portability, the kind that lets a workload move between providers without a rewrite, requires standardizing on the intersection of what all chosen providers support. In practice this means running vanilla Kubernetes primitives instead of a managed database, a managed queue, or a managed secrets service, because those managed services are exactly the parts that differ between vendors and create lock-in. The team then has to operate, patch, and secure in-house what a managed offering would have handled, which is a direct transfer of operational burden onto a state IT organization that is, almost by definition, more resource-constrained than any of the hyperscalers it is trying to stay portable between.",[10,384,385,388],{},[54,386,387],{"href":56},"The Kubernetes compliance analysis already showed"," that a single well-run cluster has real, non-trivial gaps against law 2019-014 and the 2022-040 order: data residence versus ephemeral storage, traceability of access to personal data, the ambiguity of an autonomous Operator's accountability, encryption at rest that is not on by default. None of those gaps disappear by adding a second cloud. They multiply by the number of providers, while the in-house engineering capacity available to close them stays the same size. A state that could barely close four gaps on one platform is being asked to close four gaps on two or three platforms simultaneously, with the same headcount.",[17,390,392],{"id":391},"when-multi-cloud-is-legitimate","When multi-cloud is legitimate",[10,394,395],{},"The argument above targets a specific pattern, not every use of more than one provider. The following cases are legitimate, for different reasons than the sovereignty narrative usually given.",[93,397,398,410],{},[96,399,400],{},[99,401,402,405,407],{},[102,403,404],{},"Scenario",[102,406,107],{},[102,408,409],{},"Why",[112,411,412,423,434,445,456],{},[99,413,414,417,420],{},[117,415,416],{},"Public, non-regulated content: marketing sites, open data portals, static assets",[117,418,419],{},"Legitimate",[117,421,422],{},"No personal or classified data in scope, no article 28 exposure, resilience benefit is real",[99,424,425,428,431],{},[117,426,427],{},"Choosing a second vendor purely for price negotiation on non-sensitive workloads",[117,429,430],{},"Legitimate, if labeled honestly",[117,432,433],{},"A budget lever, not a sovereignty measure; procurement documents should say so",[99,435,436,439,442],{},[117,437,438],{},"Multi-region redundancy inside one accountable, locally-established provider",[117,440,441],{},"Legitimate, often the right default",[117,443,444],{},"Solves availability without adding a new foreign jurisdiction or control plane to trust",[99,446,447,450,453],{},[117,448,449],{},"Regulated personal or state data spread across several foreign hyperscalers as a \"resilience\" or \"sovereignty\" strategy",[117,451,452],{},"Not legitimate under this thesis",[117,454,455],{},"Adds jurisdictions of compulsion without removing any of them; multiplies non-compliance surface",[99,457,458,461,463],{},[117,459,460],{},"A cold disaster-recovery copy of regulated data held with a second sovereign, ANCY-auditable provider",[117,462,419],{},[117,464,465],{},"Achieves redundancy while keeping accountability inside a single jurisdiction",[10,467,468],{},"The pattern across the legitimate rows is simple: either the data has no meaningful legal exposure to begin with, or the redundancy stays inside a single jurisdiction of accountability. The illegitimate row is the one where redundancy is purchased at the price of adding jurisdictions, and marketed as if it removed risk instead of relocating and multiplying it.",[17,470,472],{"id":471},"the-sovereign-bare-metal-alternative","The sovereign bare-metal alternative",[10,474,475],{},"The alternative this argument points toward is not \"no cloud\", it is a single, nationally or regionally established provider, potentially operated on bare-metal Kubernetes, that satisfies the establishment the decree assumes and gives ANCY one coherent estate to audit. The honest accounting has losses on both sides.",[10,477,478],{},"What is lost: unlimited elasticity for unpredictable demand spikes, access to the most advanced managed AI and data services that only the largest hyperscalers currently operate at scale, and reliance on a smaller, less mature regional provider ecosystem that has its own capacity and talent constraints. A sovereign provider can itself become a single point of failure if it is under-resourced, and \"local\" is not a synonym for \"well audited\": a sovereign provider still needs the same rigorous, independent audit that a foreign hyperscaler would need, not a pass because of its address.",[10,480,481],{},"What is gained: one legally accountable establishment that actually satisfies article 58 instead of gesturing at it, one control plane instead of several, one evidence trail for an ANCY audit instead of a reconciliation exercise across providers, and a cost structure that is predictable rather than elastic, which matters because most state workloads are not internet-hyperscale and do not need hyperscaler elasticity to begin with. Compliance stops being a retrofit exercise performed after the fact on infrastructure designed elsewhere, and becomes closer to a property of the architecture itself.",[10,483,484],{},"Neither side of this trade is free. Sovereignty through a single accountable provider costs elasticity and access to frontier managed services. The illusion of sovereignty through multi-cloud duplication costs more in engineering effort and audit complexity than it advertises, while delivering less actual jurisdictional insulation than the pitch implies. Between a real cost with a real benefit and an illusory benefit with a real cost, the choice is not close.",[17,486,488],{"id":487},"a-decision-framework","A decision framework",[10,490,491],{},"Before adopting multi-cloud for a given workload, three questions settle whether it helps or hurts:",[10,493,494,497],{},[198,495,496],{},"What is the data?"," If it is personal data under law 2019-014, state-classified data, or anything an article 28 adequacy determination would touch, treat jurisdictional diversification as a liability to minimize, not a benefit to pursue. If it is public or non-regulated content, the sovereignty question does not apply and the resilience and negotiation arguments stand on their own.",[10,499,500,503],{},[198,501,502],{},"Where does the control plane actually live, and who can be compelled to act on it?"," Name the jurisdiction honestly, for every provider under consideration. If the answer names a jurisdiction outside the one the workload is supposed to be sovereign to, adding a second foreign provider does not change that answer, it adds a second one.",[10,505,506,509],{},[198,507,508],{},"What is the real motive?"," Cost leverage and technical resilience are legitimate engineering and procurement reasons, and should be named as such in the strategy document. If the stated justification is \"sovereignty\" or \"reducing legal risk,\" it has to point to a specific exposure it removes, an article, a control, a transfer it avoids, not just a diversified vendor list that looks prudent on a slide.",[17,511,513],{"id":512},"limits-of-the-analysis-and-open-questions","Limits of the analysis and open questions",[10,515,516],{},"This is a strategic framework, not a substitute for a legal risk assessment of any specific vendor contract. Some hyperscalers now offer entity structures designed specifically to narrow CLOUD Act exposure, such as data-trustee arrangements run through a local or regional subsidiary with contractual barriers against the US parent's access. Whether a given structure actually achieves that narrowing is a case-by-case legal question that deserves real scrutiny, not a blanket dismissal alongside ordinary \"local region\" marketing, and not blind acceptance either. Equally, a purely bare-metal sovereign strategy trades one set of risks for another: capacity and talent constraints in a thin local ecosystem are real failure modes, and \"sovereign\" is a jurisdictional property, not a competence guarantee. A poorly run local provider is not safer than a well-run foreign one, it is differently exposed.",[10,518,519],{},"The heart of the argument fits in one sentence. Multi-cloud answers an availability question and, sometimes, a negotiation question, but it does not answer a jurisdiction question, and dressing it up as a sovereignty strategy multiplies the number of legal systems that can reach your data instead of reducing it. The fix for a jurisdiction problem is a jurisdiction answer: one accountable establishment, inside the perimeter the law already defines, not a longer list of foreign providers each holding a piece of the same exposure.",[17,521,227],{"id":226},[229,523,524,531,537,543,549],{},[232,525,526,527],{},"Law n°2019-014 of 29 October 2019 on the protection of personal data, ",[54,528,530],{"href":237,"rel":529},[239],"Official Journal",[232,532,533,534],{},"Decree n°2018-062\u002FPR regulating electronic transactions and services in Togo, ",[54,535,248],{"href":246,"rel":536},[239],[232,538,539,540],{},"Order n°2022-040\u002FPMRT adopting cybersecurity rules in the Togolese Republic, ",[54,541,256],{"href":254,"rel":542},[239],[232,544,545,546],{},"H.R.4943, Clarifying Lawful Overseas Use of Data Act (CLOUD Act), 115th Congress, ",[54,547,264],{"href":262,"rel":548},[239],[232,550,551,552],{},"Court of Justice of the European Union, Case C-311\u002F18, Data Protection Commissioner v Facebook Ireland and Maximillian Schrems (\"Schrems II\"), 16 July 2020, ",[54,553,272],{"href":270,"rel":554},[239],[10,556,557],{},"This is a strategic and technical analysis, not legal advice. For a jurisdiction-specific risk assessment of any vendor contract, consult a data protection and public procurement practitioner.",{"title":277,"searchDepth":278,"depth":278,"links":559},[560,561,562,563,564,565,566,567,568,569],{"id":325,"depth":278,"text":326},{"id":335,"depth":278,"text":336},{"id":351,"depth":278,"text":352},{"id":368,"depth":278,"text":369},{"id":378,"depth":278,"text":379},{"id":391,"depth":278,"text":392},{"id":471,"depth":278,"text":472},{"id":487,"depth":278,"text":488},{"id":512,"depth":278,"text":513},{"id":226,"depth":278,"text":227},"Multi-cloud is sold to African countries as the answer to both resilience and digital sovereignty: spread workloads across several hyperscalers and you dilute risk and vendor power. Under Togo's Law 2019-014 on personal data and the ANCY cybersecurity regime, that promise does not hold. This article argues that multi-cloud does not divide legal exposure, it multiplies it, and closes with a decision framework for when it is legitimate and when it is not.",{},"\u002Fkubernetes\u002Fmulti-cloud-illusion",{"title":314,"description":570},"kubernetes\u002F2.multi-cloud-illusion",[302,303,304,305,306],[308,309,310],"FkthVjtpzKgTkW8mZnFNwM2oePP2go_Kzv3hlffDgPA",[579,582],{"title":580,"path":581},"Décret 2018-062 et Kubernetes : le gap entre le texte et l'implémentation","\u002Fkubernetes\u002Fdecret-2018-062-kubernetes-gap.fr",{"title":583,"path":584},"Architecture de référence pour un cloud gouvernemental souverain","\u002Fkubernetes\u002Fsovereign-govcloud-reference-architecture.fr",[586,596],{"path":584,"title":583,"description":587,"date":588,"tags":589,"topics":592},"Les deux articles précédents ont montré où le droit togolais et Kubernetes ne se rencontrent pas, puis pourquoi le multi-cloud ne répond pas à une question de juridiction. Celui-ci propose ce qu'il faut construire : une architecture de référence pour un cloud gouvernemental souverain en contexte UEMOA. Cahier des charges dérivé du texte, choix de couches justifiés un par un, modèle opérationnel, limites assumées et comparaison honnête avec les alternatives. Un document d'architecture, pas un tutoriel.","2026-08-15",[303,305,590,306,591],"Reference-Architecture","Platform-Engineering",[308,309,593,594,595],"platform-engineering","security","authz",{"path":581,"title":580,"description":597,"date":598,"tags":599,"topics":603},"Le Décret 2018-062, qui précise l'application de la loi togolaise 2017-007 sur les transactions électroniques, impose des obligations de sécurité, de traçabilité, de conservation et de continuité. Mais ces obligations ont été rédigées avec un modèle mental de serveur physique ou de VM. Kubernetes introduit des pods éphémères, un scheduling dynamique, des volumes provisionnés à la volée et des Operators. Cet article cartographie chaque obligation vers son équivalent Kubernetes natif, expose les vrais gaps où l'outil ne répond pas au texte, et propose des patterns d'implémentation. Angle juridico-technique, pas un tutoriel.","2026-07-23",[600,305,601,306,602],"Compliance","Data-Protection","Governance",[308,593,594],1786887554020]