Quand la gouvernance tue un bon projet — Retour d’expérience Intel SGX & Cosmian à l’Académie de Normandie

Le contexte : une fusion au plus fort de sa complexité

En juin 2021, je suis DSI de l’Académie de Normandie, en plein pilotage de la fusion historique des académies de Caen et de Rouen — la première fusion inter-académique nationale, représentant 600 000 élèves et 60 000 agents. C’est dans ce contexte que je porte, en parallèle, un projet d’innovation sur la protection des données sensibles dans les lycées.

Le projet associe l’Académie de Normandie, la Région Normandie et le CRIANN (Centre Régional Informatique et d’Applications Numériques de Normandie), avec deux acteurs technologiques français : Cosmian pour la sécurisation des calculs collaboratifs, et Intel pour les serveurs SGX hébergés au Centre de Données Régional normand.

Le défi technique : croiser des données sensibles sans les exposer

L’objectif est ambitieux : détecter des événements anormaux sur les réseaux des lycées — contenus illicites, cyber-malveillance, propos suicidaires, risques de radicalisation — en croisant les logs réseau de trois entités distinctes, sans qu’aucune d’elles n’accède aux données brutes des autres.

La réponse technique repose sur Intel SGX (Software Guard Extensions) et la solution Cosmian de calcul collaboratif confidentiel : les modèles d’IA s’entraînent et s’exécutent dans des enclaves sécurisées au niveau matériel. Les données restent chiffrées pendant tout le traitement. Personne ne voit les données de l’autre — mais la détection fonctionne.

Architecture du POC — source : Cosmian / Intel, juin 2021

La conférence J’Innov — juin 2021

Le 22 juin 2021, je présente ce projet en 50 minutes à J’Innov, avec les équipes de Cosmian et d’Intel. C’est la première présentation publique de ce POC, deux jours après la note formelle adressée à la Rectrice.

Pourquoi le projet n’a pas abouti

La Rectrice avait donné son accord. Un conseiller technique avait été désigné pour suivre le dossier. Les deux serveurs Intel SGX étaient prêts à être installés au CRIANN.

Mais en pratique, la Région Normandie et le CRIANN étaient absents des réunions de pilotage. Pas de lien hiérarchique entre partenaires publics souverains. Pas de mécanisme de redevabilité inter-institutionnelle. Un accord de principe ne vaut pas un engagement opérationnel.

Le contexte aggravait la situation : la fusion des deux académies mobilisait une énergie institutionnelle considérable. Un projet porté par le seul DSI, sans portage politique suffisamment élevé pour contraindre tous les acteurs à honorer leurs engagements, ne pouvait pas prospérer dans cet environnement.

Ce que j’en retiens aujourd’hui, en tant que consultant

Dans le secteur public, un bon projet technique ne suffit pas. Il faut :

Un sponsor au bon niveau — pas seulement une validation rectrice, mais un portage qui crée une obligation réelle pour tous les partenaires, y compris ceux qui n’ont aucun lien hiérarchique avec l’initiateur du projet.

Un mécanisme de redevabilité formalisé — convention inter-institutionnelle, comité de pilotage avec relevés de décision opposables, escalade définie en cas d’absence.

Un timing institutionnel lisible — lancer un projet collaboratif multi-acteurs pendant la plus grande réorganisation académique nationale de ces vingt dernières années, c’est choisir le moment le plus défavorable possible. La bande passante organisationnelle est une contrainte réelle.

Ce projet m’a appris autant sur la gouvernance que sur la technologie. C’est cette expérience de terrain — la réussite comme l’échec — que j’apporte aujourd’hui à mes clients.