La question de la souveraineté numérique est devenue centrale dans la régulation des grandes plateformes technologiques. Lorsqu'il est question d'intelligence artificielle (IA), l'enjeu est d'autant plus aigu: ces systèmes, comme ceux déployés par Meta AI, reposent sur l'analyse et le traitement d'immenses volumes de données, dont une partie provient directement ou indirectement des interactions des citoyens belges avec les services en ligne. Or, le lieu d'hébergement et de traitement de ces données n'est pas neutre. Il détermine le cadre juridique applicable, les conditions d'accès éventuel par des gouvernements tiers (notamment via des lois extraterritoriales), et les capacités de contrôle par les autorités européennes ou belges. Dans ce contexte, le cloud souverain et le stockage de données au sein de l'Union européenne apparaissent comme des conditions minimales pour garantir la protection de la vie privée et la sécurité juridique des utilisateurs. Face à l'expansion des services d'IA dans notre quotidien, il est donc légitime de s'interroger sur les garanties dont dispose l'État belge pour que les données de ses citoyens ne soient pas utilisées ou transférées en dehors des cadres légaux européens. 1. Où sont actuellement hébergées les données générées par les services d'IA de Meta utilisés par les utilisateurs belges? Ces données transitent-elles ou sont-elles stockées hors de l'Union européenne? 2. Le gouvernement fédéral dispose-t-il d'informations précises sur les flux de données entre la Belgique et les infrastructures cloud utilisées par Meta, notamment dans le cadre de l'entraînement ou du déploiement de ses modèles d'IA? 3. Quels leviers juridiques ou politiques l'État belge peut-il mobiliser pour exiger que les données sensibles (personnelles, comportementales, biométriques, etc.) des citoyens belges restent hébergées et traitées dans l'Union européenne? 4. Le gouvernement soutient-il le développement ou la participation de la Belgique à des infrastructures européennes de cloud sécurisé (comme GAIA-X) afin d'offrir des alternatives crédibles aux solutions dominées par des acteurs extra-européens?
B015
1. La société Meta (anciennement Facebook) exploite des centres de données dans plusieurs pays à travers le monde. Selon les informations disponibles, ces installations sont situées en Amérique du Nord, en Europe et en Asie (https://datacenters.atmeta.com/europe/). En Europe, Meta exploite des centres de données au Danemark, en Irlande et en Suède. Les données d'utilisateurs européens des services de réseaux sociaux offerts par la société Meta sont principalement stockées dans des centres de données situés en Europe. Ces données peuvent cependant être appelées à transiter hors de l'Union européenne, notamment vers les États-Unis où Meta a son siège et des installations. En 2023, Meta s'est vu infligé une amende record d'1,2 milliard d'Euros pour des transferts illégaux de données vers les Etats-Unis en raison de l'absence de cadre légal. L'accord-cadre sur la vie privée (data privacy framework) entre les États-Unis et l'Union européenne était alors en négociation. 2. Bien que Meta dispose de centres de données en Europe, il est probable que des données soient transférées vers des centres situés en dehors de l'Union européenne, notamment aux États-Unis, pour des besoins spécifiques d'entrainement ou de déploiement des modèles d'intelligence artificielle (IA) de Meta. Ces transferts sont encadrés par des mécanismes juridiques tels que les clauses contractuelles types et l'accord-cadre sur la vie privée (data privacy framework) conclu entre l'Union européenne et les États-Unis. Sur base du principe du 'guichet unique" (ou one-stop-shop) prévu par le Règlement général sur la protection des données (RGPD), il appartient à la Commission irlandaise de protection des données de vérifier le respect du RGPD. En conséquence, cette autorité est la mieux à même de disposer des informations précises quant aux flux de données opérés par Meta. 3. Contraindre juridiquement les opérateurs à localiser en Europe les données d'utilisateurs de services internet irait à l'encontre du principe d'un internet libre et ouvert. Les obligations de localisation de ce type sont plutôt l'apanage des régimes autoritaires. Dans les démocraties occidentales, il y a un consensus pour considérer que les avantages d'un internet ouvert supplantent les risques. Un internet ouvert permet de diminuer les coûts et de favoriser l'innovation. Toutefois, dans certains secteurs sensibles (défense, santé, etc.), les avantages stratégiques peuvent l'emporter sur les inconvénients pratiques, et des obligations de localisation peuvent se justifier. L'Union européenne n'impose pas de localisation stricte des données des citoyens mais elle régule fortement les transferts hors Union européenne via la réglementation européenne en matière de protection des données personnelles. Cette régulation stricte se justifie en raison du niveau élevé de protection des données en Europe. La régulation vise justement à assurer que ce niveau de protection élevé accompagne les données où qu'elles soient localisées physiquement. À ce jour, les transferts de données vers Meta AI relèvent d'une décision d'adéquation de la Commission européenne du 10 juillet 2023 portant sur le cadre de protection des données UE - États-Unis (Data Privacy Framework). Conformément à ce cadre, les transferts de données de l'Union européenne vers les États-Unis sont permis pour les organisations reprises sur une liste tenue à jour, parmi lesquelles figure Meta Platforms, Inc. La certification actuelle de Meta au cadre de protection des données UE - États-Unis, et donc son maintien sur cette liste, est valable jusqu'au 22 juillet 2025 et doit être renouvelée pour le 23 juillet 2025. Cette certification est gérée par la Commission fédérale du commerce des États-Unis (US Federal Trade Commission). La Commission européenne suit de manière permanente l'évolution de la situation (notamment les conditions dans lesquelles les transferts ultérieurs sont effectués, les droits individuels sont exercés et les autorités publiques américaines ont accès aux données transférées), dans le but de déterminer si les États-Unis continuent d'assurer un niveau de protection adéquat. Il est également prévu que les Etats membres et la Commission s'informent mutuellement de tout élément pertinent à cet égard, ce qui constitue donc un premier levier pour la Belgique, en cas d'indices de violation du RGPD. Notons que, vu la portée extraterritoriale du RGPD, celui-ci continue à s'appliquer aux traitements de données transférées vers les Etats-Unis. Comme indiqué précédemment, il incombera à l'autorité irlandaise de protection des données notamment d'examiner la conformité des traitements de données à caractère personnel pour l'entrainement des systèmes d'IA de Meta. Il existe toutefois d'autres leviers pour attirer la création de centres de données: une infrastructure adaptée (énergie verte, connectivité réseau performante), des incitants économiques et fiscaux, la stabilité politique, un climat tempéré (idéal pour le refroidissement des centres de données), un cadre réglementaire favorable (accès à la propriété foncière) sont autant de moyens d'attirer des investissements et l'établissement de centres de données en Europe. 4. GAIA-X est une initiative européenne lancée en 2019, principalement par l'Allemagne et la France, dans le but de créer une infrastructure de données européenne sécurisée, transparente et souveraine. L'initiative est gérée par une association à but non lucratif: GAIA-X AISBL, basée en Belgique. Gaia-X se recentre aujourd'hui sur la promotion d'un standard technique commun visant à aligner objectifs, technologies et modèles de gouvernance autour d'un cadre unifié pour la transparence numérique, l'interopérabilité et la confiance. L'initiative stimule la création de hubs chargés de promouvoir ses travaux, ainsi que le déploiement de data spaces et de clearing houses (une clearing house joue le rôle de tiers de confiance pour l'échange de données. Elle permet, p. ex., de vérifier les droits d'accès aux données, d'assurer la traçabilité des échanges (qui a accédé à quoi, quand, comment), de gérer des contrats automatisés). En Belgique, le hub national est animé par Agoria, une clearing house est opérée par Proximus, et le pays participe activement au Government Advisory Board. En tant qu'acteur neutre, Gaia-X devrait permettre à chaque initiative de contribuer à des infrastructures numériques partagées, réduisant ainsi la fragmentation et maximisant l'impact collectif. Nous attendons, dans le futur, des résultats concrets de cette initiative. Par ailleurs, dans le cadre de l'étude des différentes options pour la mise en oeuvre d'une stratégie Cloud fédérale, plusieurs solutions seront examinées. L'une des pistes possibles consiste à s'appuyer sur un contrat-cadre global négocié par Belnet au début de cette législature à l'échelle européenne, offrant une gamme complète de services cloud pour l'ensemble du gouvernement fédéral. Cette approche permettrait de bénéficier de conditions économiques avantageuses grâce à l'échelle du contrat et la possibilité de prévoir des mini-compétitions. Elle inclut également des services de grands fournisseurs internationaux ainsi que des solutions de stockage cloud proposées par des acteurs locaux belges, offrant ainsi des options sûres et contrôlées. Belnet pourrait être envisagé comme le point de contact central pour la gestion de ces services pour les services gouvernementaux fédéraux.