Gaia-X

Le résultat de Gaia-X est un cadre, pas une plateforme. Un fournisseur rédige une auto-description: un document lisible par machine qui indique qui exploite le service, dans quelle juridiction se trouve l'entité exploitante, où les données sont stockées et traitées, quelles certifications s'appliquent et quels sous-traitants interviennent. Des règles de conformité précisent ensuite ce qu'une auto-description valide doit contenir, et une clearing house vérifie une description soumise au regard de ces règles.

L'intérêt pour un acheteur est la comparabilité. Les déclarations de deux fournisseurs sur la résidence, la juridiction et la certification arrivent dans la même structure, de sorte qu'une équipe achats compare des champs au lieu de textes. La page sur le cloud souverain pour les banques traite de ce que ces trois mêmes questions signifient dans un contrat, soit l'autre moitié de l'évaluation.

Gaia-X gère des hubs nationaux qui recueillent les exigences des industries d'un pays et les intègrent au travail de spécification. Le hub allemand est organisé via Gaia-X Hub Germany, qui coordonne des groupes de domaine dans plusieurs secteurs, dont la finance et l'assurance, et c'est par lui que les exigences d'une banque allemande entrent dans le processus. Une association allemande distincte, Gaia-X Deutschland, porte l'organisation nationale derrière ce travail.

Un hub recueille des cas d'usage et les transforme en exigences pour le cadre. Le hub ne procède à aucun achat et il ne certifie aucun fournisseur.

Un espace de données est un ensemble de participants qui échangent des données selon des règles communes d'identité, d'accès et d'utilisation, sans opérateur central détenant les données. Gaia-X fournit pour cela la couche de confiance: l'identité de chaque participant et la description de chaque service sont vérifiables, de sorte qu'un participant sait qui se trouve de l'autre côté d'une demande et à quelles conditions. Gaia-X décrit des espaces de données dans plusieurs secteurs, dont la finance et la banque, à côté de la santé, de l'énergie et de la mobilité.

Les cas financiers suivent les données dont plusieurs institutions ont besoin et qu'aucune ne détient seule. Le reporting de durabilité tire des chiffres des entreprises en portefeuille à travers plusieurs intermédiaires. L'évaluation du crédit exige des données d'entreprise vérifiées, issues des registres et de l'entreprise elle-même. Le travail sur la fraude et les paiements exige des signaux qu'aucune banque ne voit en entier. Dans chaque cas, le plus difficile est de s'entendre sur qui peut utiliser quel champ et dans quel but, et c'est ce qu'un espace de données met par écrit et ce que la page cloud computing dans les services financiers aborde du côté de l'infrastructure.

La presse présente à maintes reprises Gaia-X comme un cloud européen destiné à concurrencer les hyperscalers, et l'autocomplétion allemande reprend les questions qui découlent de cette lecture. La confusion a une origine: le projet a été annoncé en 2020 comme une réponse à la dépendance européenne envers une poignée de fournisseurs non européens, et l'annonce a été lue comme un plan de construction d'infrastructures.

Ce qui a réellement été construit est un organisme de spécification doté d'un processus de conformité. Une banque qui veut de la capacité l'achète à un fournisseur, européen ou non, et utilise les artefacts Gaia-X pour vérifier ce que ce fournisseur déclare. Voir l'association comme un fournisseur conduit une équipe achats à chercher un produit qui n'a jamais été proposé.

Le Data Act de l'UE oblige les fournisseurs de cloud et d'edge à permettre à un client de passer à un autre fournisseur ou à des systèmes sur site, avec des préavis contractuels, une assistance à la transition et la suppression des frais de changement après une phase de transition. L'obligation énonce qu'un client doit être en mesure de partir. Le Data Act de l'UE ne dit pas que le fournisseur cible acceptera les données sous la forme dans laquelle elles arrivent.

C'est là que les deux instruments se rejoignent. Le droit de changer prévu par le Data Act n'est utilisable que si les services sont décrits de façon assez comparable pour identifier un équivalent, et si les formats de données et de métadonnées sont connus à l'avance. Une auto-description Gaia-X est un moyen de détenir ces informations avant que le changement ne soit nécessaire. C'est la même discipline qu'exige la clause de sortie de la page sur le cloud souverain, et la même logique de dépendance qu'applique la page résilience opérationnelle numérique en Europe dans le cadre de DORA.

Non. Gaia-X ne vend aucune capacité et n'exploite aucun centre de données. Une banque achète du cloud à un fournisseur et peut demander à ce fournisseur une auto-description Gaia-X du service, qui est un document sur le service et non le service lui-même. Lorsque la banque veut des fournisseurs européens aux propriétés de souveraineté vérifiées, les propres critères d'achat de la Commission européenne sont la référence la plus proche, et la page sur le cloud souverain les présente.

Des descriptions d'identité et de service vérifiables par machine pour des participants avec lesquels une banque n'a pas de contrat bilatéral. Un contrat fonctionne pour les deux parties qui l'ont négocié. Un espace de données de vingt participants ne peut pas reposer sur vingt accords bilatéraux renégociés à chaque arrivée d'un participant, donc les règles doivent être énoncées une fois et vérifiées automatiquement pour chaque partie. C'est le problème qu'un cadre de confiance traite.

Le cadre gradue la souveraineté au lieu de l'affirmer, avec des niveaux échelonnés, et c'est au niveau supérieur que se situe réellement la demande pour les charges de travail sensibles. Le niveau 3 est réservé aux cas les plus sensibles et exige que le fournisseur ait son siège en Europe, afin qu'un droit extraterritorial comme le CLOUD Act américain ne l'atteigne pas. La demande pour ce niveau vient de l'aérospatiale, de l'énergie et des infrastructures nationales, avec le programme de centrales nucléaires d'EDF cité en exemple.

Pour une banque, les niveaux sont utiles comme outil de tri de son propre parc. La plupart des charges de travail bancaires n'ont pas besoin d'un fournisseur de niveau 3, et une banque qui l'exige partout réduit sa liste de fournisseurs sans gain prudentiel. Celles qui en ont plausiblement besoin sont celles des systèmes dont la compromission concernerait l'État et pas seulement l'établissement.

Une banque qui mise sur Gaia-X doit connaître l'état du déploiement, car la spécification est plus avancée que la pratique. Plus de 150 projets de mise en œuvre sont en préparation, alors que seule une poignée d'espaces de données opérationnels apportent le bénéfice en production. Le premier catalogue multi-fournisseurs a été lancé avec environ 600 services de 15 fournisseurs, avec des objectifs de 1 000 puis 3 000 services.

La lecture honnête est que le cadre de confiance est utilisable aujourd'hui pour demander à un fournisseur des déclarations structurées, et qu'un espace de données qu'une banque veut rejoindre peut encore être un projet et non un service. La question à poser à une initiative d'espace de données est de savoir quels participants sont en production, et ce qu'il advient des données si l'initiative s'arrête.

C'est la question qui décide si un espace de données financier survit à son pilote, et c'est celle à laquelle la plupart des initiatives répondent en dernier. Un espace de données a des coûts de fonctionnement pour l'infrastructure de confiance, l'organe de gouvernance, l'intégration de nouveaux participants et le maintien de la conformité quand les règles changent, et aucun participant ne détient seul l'ensemble qui justifierait de tout payer.

Les modèles utilisés sont des cotisations de membres, des frais par transaction, un consortium finançant un opérateur commun, ou un organisme public qui porte le coût de base. Pour une banque qui évalue une invitation, il s'agit de demander le modèle avant l'intégration, car une initiative sans mécanisme de recouvrement des coûts s'arrêtera, et le travail d'intégration est alors perdu.