Données massives : le nouveau front de la sécurité nationale

Une base de données de géolocalisation, vendue par un courtier obscur, peut révéler le domicile d’un agent du renseignement, le trajet quotidien d’un haut fonctionnaire ou l’emplacement d’un site sensible. Ce qui semblait un actif commercial banal est devenu une arme stratégique. En 2025, le contrôle des données massives n’est plus une affaire de juristes : c’est une question de souveraineté, où se croisent espionnage industriel, cyberattaques dopées à l’intelligence artificielle et nouvelles frontières numériques.

La donnée, matière première de la puissance

Le big data désigne ce flot d’informations produit en continu par les transactions, les capteurs connectés, les applications mobiles et les réseaux sociaux, à un volume et une vitesse qui débordent les outils classiques. Bien exploité, il éclaire la décision, du marketing à la santé publique. Mais agrégé, il dessine aussi la carte des vulnérabilités d’une nation.

C’est cette double nature qui inquiète les États. Les services de renseignement analysent des volumes massifs de communications pour détecter des réseaux ou anticiper des crises. La même capacité, retournée, sert à préparer des attaques sophistiquées contre des infrastructures critiques. La ligne entre sécurité collective et vie privée s’en trouve brouillée, ce qui place la question des données au cœur des débats sur l’impact de l’IA sur la sécurité nationale et sur le contrôle social.

L’espionnage industriel chiffré en centaines de milliards

Là où la donnée vaut de l’or, le vol prospère. L’espionnage industriel est devenu une industrie à part entière, et les ordres de grandeur donnent le vertige. Selon plusieurs évaluations relayées par les autorités américaines, l’espionnage économique chinois coûterait à l’économie des États-Unis entre 225 et 600 milliards de dollars par an, en ciblant l’aéronautique, les télécommunications et les énergies renouvelables¹.

Le FBI estime qu’environ 80 % de ses poursuites pour espionnage économique concernent des faits bénéficiant à la Chine, et qu’un lien avec ce pays existe dans près de 60 % des affaires de vol de secrets commerciaux². Surtout, la nature de la menace évolue. Le centre d’analyse ITIF souligne que le vecteur le plus dommageable n’est plus l’intrusion informatique extérieure, mais la menace interne : des ingénieurs et chercheurs employés dans des entreprises occidentales, transformés en relais via des programmes de recrutement de talents³. L’arme la plus efficace n’est pas le pirate à distance, mais l’initié déjà dans la place — une réalité qui transforme aussi le renseignement et la contre-ingérence.

Ce déplacement vers la menace interne complique singulièrement la défense. Un pare-feu arrête une intrusion ; il ne détecte pas un employé légitime qui copie des fichiers auxquels il a un accès autorisé. Les entreprises doivent donc combiner protection technique et vigilance humaine : contrôle des habilitations, traçabilité des accès aux bases sensibles, sensibilisation des équipes. Les fourchettes d’estimation — de 225 à 600 milliards de dollars annuels pour la seule économie américaine — traduisent d’ailleurs la difficulté à mesurer un phénomène par nature dissimulé¹. Ce flou statistique n’est pas anodin : il alimente le débat politique et justifie des mesures de plus en plus contraignantes, parfois au risque de stigmatiser des chercheurs étrangers sur la seule base de leur nationalité.

Quand l’IA arme les attaquants

À ce paysage s’ajoute une accélération technologique brutale. Le rapport annuel d’IBM sur le coût des fuites de données apporte un éclairage nuancé pour 2025 : le coût mondial moyen d’une fuite est tombé à 4,44 millions de dollars, en recul de 9 % et premier repli en cinq ans, grâce à des défenses accélérées par l’IA⁴.

Mais la même technologie sert les assaillants. IBM relève que 16 % des fuites impliquent désormais une attaque assistée par IA, dont 37 % par hameçonnage généré automatiquement⁵. L’IA générative a réduit de seize heures à cinq minutes le temps nécessaire pour rédiger un courriel d’hameçonnage convaincant, démultipliant l’échelle des campagnes⁵. Plus inquiétant encore, la gouvernance peine à suivre : 97 % des organisations victimes d’un incident lié à l’IA reconnaissaient manquer de contrôles d’accès adéquats, et l’usage d’« IA fantôme » non autorisée alourdit la facture moyenne de 670 000 dollars⁴. La course entre attaquants et défenseurs se rejoue à grande vitesse, comme dans le champ des technologies quantiques.

La donnée devient un bien sous contrôle à l’exportation

Face à ces risques, la réponse réglementaire a changé de nature. Les États-Unis ont franchi un seuil inédit. À la suite d’un décret de 2024, le ministère de la Justice a publié une règle finale, entrée en vigueur le 8 avril 2025, qui interdit ou restreint pour la première fois les transferts massifs de données sensibles d’Américains vers des « pays préoccupants »⁶.

Le dispositif vise nommément la Chine, la Russie, l’Iran, la Corée du Nord, Cuba et le Venezuela, ainsi que les entités sous leur contrôle⁷. Il cible particulièrement les courtiers en données, les contrats de prestation, d’emploi et d’investissement, et instaure de fait des contrôles à l’exportation sur les données génomiques, de géolocalisation, biométriques, de santé et financières⁷. L’application effective a démarré le 8 juillet 2025⁶. Le message est clair : certaines catégories de données sont désormais traitées comme des biens stratégiques, au même titre que des composants sensibles relevant des technologies à double usage.

Vie privée et sécurité : l’Europe maintient la pression

L’autre versant du contrôle des données concerne les droits des citoyens, et l’Europe campe sur sa ligne. En 2025, les autorités de protection des données ont infligé 1,2 milliard d’euros d’amendes au titre du RGPD, portant le cumul à environ 7,1 milliards depuis 2018⁸. La sanction la plus lourde de l’année a frappé la maison mère de TikTok, condamnée à 530 millions d’euros pour des transferts internationaux illicites⁸.

La pression de fond s’intensifie : le nombre quotidien de notifications de violations a dépassé pour la première fois la barre des 400, atteignant 443 incidents par jour, en hausse de 22 %⁸. Cette inflation traduit une tension structurelle. La sécurité nationale pousse à collecter et croiser toujours plus de données ; la protection des libertés impose des garde-fous. L’enjeu n’est pas de choisir un camp, mais de tenir les deux : un État qui surveille sans limite fragilise la confiance qui fait sa force.

Le contraste entre les deux rives de l’Atlantique est révélateur. Washington raisonne d’abord en termes de souveraineté et de menace extérieure, ciblant les transferts vers des puissances adverses. Bruxelles privilégie la protection de l’individu, quel que soit le destinataire des données. Ces deux philosophies ne s’opposent pas frontalement, mais elles dessinent des régimes juridiques distincts, auxquels les entreprises mondiales doivent se conformer simultanément. Pour une multinationale, gérer ses flux de données revient désormais à naviguer entre des cadres concurrents, sous peine de sanctions lourdes de part et d’autre. La donnée, jadis simple ressource circulant librement, devient un objet de droit profondément territorialisé.

Le signal à surveiller : la donnée comme territoire

Le contrôle des données massives est en train de redessiner les frontières. Hier, on protégeait des sites et des secrets ; demain, on défendra des flux, des bases et des modèles. Trois courbes méritent l’attention : le volume des poursuites pour menace interne, la part des attaques assistées par IA et la diffusion, hors des États-Unis, de réglementations sur les transferts massifs. Si l’Europe ou d’autres puissances adoptent à leur tour des « contrôles à l’exportation » de données, c’est une nouvelle géographie numérique qui prendra forme. La donnée n’est plus seulement un actif : elle devient un territoire que les États entendent gouverner.