À la Cnam, l’indépendance numérique comme discipline de continuité

Face à la brutalité des hausses tarifaires, à la concentration des dépendances technologiques et au risque désormais tangible de rupture numérique, l’indépendance n’est plus un débat de principe. Sylvain Fievet part à la rencontre des « déterminés » : ces dirigeants qui refusent de subir et réorganisent leur liberté d’action. À la Cnam, Bintou Boïté, directrice déléguée des systèmes d’information, porte cette ligne au cœur d’un système critique, largement internalisé, au service de 60 millions d’assurés et de 45 millions d’usagers du compte ameli.

Tenir la continuité, avant tout

À la Cnam, l’indépendance numérique n’a rien d’un slogan. Elle se rattache d’abord à une obligation simple et décisive : « garantir le mieux possible la continuité de service », explique Bintou Boïté. Le système d’information porte des prestations massives, des téléservices à très large échelle, des données sensibles et un legacy suffisamment important pour rendre toute bifurcation lente, lourde et structurante. Dans ce contexte, la dépendance n’est pas une question de doctrine. C’est une question d’exploitation, de résilience et de capacité à continuer à servir.

Cette ligne explique aussi le choix des mots. Bintou Boïté préfère parler d’indépendance numérique plutôt que de souveraineté. La nuance n’a rien d’académique. Pour elle, « derrière, c’est la notion d’autonomie ». Et elle tranche : « si c’est de dire je quitte un acteur étranger pour aller chez un acteur européen ou un acteur français, mais mettre de nouveau toute une partie de mon activité sous la responsabilité d’un acteur, ce n’est pas une solution ». Le sujet n’est donc pas de changer d’étiquette. Il est de réduire réellement les points de dépendance susceptibles d’entraver le cœur de mission.

Quand la rupture cesse d’être théorique

La prise de conscience, elle, est venue du réel. D’abord d’une panne majeure sur un composant de sécurité, observée avant les Jeux olympiques, qui a montré jusqu’où pouvait aller l’effet systémique d’une dépendance trop concentrée. Ensuite du contexte géopolitique lui-même, qui a rendu crédible l’idée qu’une décision prise ailleurs puisse avoir des effets opérationnels immédiats ici. Bintou Boïté résume ce basculement d’une formule très nette : « cette rupture numérique, elle peut être technique, politique ou financière ».

Le choc économique a achevé de faire du sujet un enjeu de direction générale. La Cnam a observé « une augmentation de 40 % des coûts d’une année sur l’autre », dont « 80 % s’expliquent non par une augmentation de notre part, mais juste parce que le prix bougeait ». Pour une organisation dont la trajectoire budgétaire n’a rien d’extensible, la conclusion est immédiate : à périmètre constant, laisser filer ces hausses reviendrait à accepter une impasse.

La réponse a donc été portée au plus haut niveau. « J’ai fait une note à mon directeur général (…) et il m’a dit : “allez-y. On y va.” », raconte la directrice déléguée des systèmes d’information. Dans la foulée, une équipe dédiée de cinq personnes a été constituée pour traiter explicitement le sujet de l’indépendance numérique. C’est un point majeur : tant que la dépendance reste un irritant technique, elle produit des ajustements marginaux. À partir du moment où elle devient un objet de gouvernance, elle ouvre un espace d’arbitrage, d’investissement et de méthode.

Trois fronts, trois rythmes

Laurent Gibelli, directeur technique et sécurité de la Cnam, apporte à cette démarche une grille de lecture très opérationnelle. « La réponse à l’indépendance numérique n’est pas uniforme et unique. Elle doit être adaptée », explique-t-il. La Cnam distingue ainsi trois grands fronts. D’abord la bureautique, où le sujet principal est l’usage et l’acceptation par les utilisateurs. Ensuite la couche système, middleware et virtualisation, où l’on parle d’outils structurants, de migration lente et de coexistence entre plusieurs mondes. Enfin la cybersécurité, où les briques sont plus spécialisées, parfois plus facilement interchangeables, mais toujours très sensibles.

En bureautique, la difficulté est autant culturelle que technique. Laurent Gibelli le dit sans détour : « l’adoption du produit va être le facteur discriminant ». Bintou Boïté, elle, met des mots très concrets sur ce qui bloque les transformations mal accompagnées : « on va perdre son Teams, on va perdre son Zoom », et l’utilisateur finit par dire « là il faut cliquer dix fois ». Autrement dit, la conviction stratégique ne suffit pas. Si le changement n’est pas porté, expliqué et absorbé dans les pratiques, il se retourne contre lui-même. « Si on l’ignore, (…) on va aller sur des échecs retentissants. »

Sur les briques d’infrastructure, la temporalité change. La virtualisation ou le middleware se traitent dans le temps long, avec des programmes de deux à trois ans, des dispositifs duals et une vigilance constante sur la réversibilité. Laurent Gibelli l’assume : il faut « avoir un coup d’avance » et penser la sortie dès l’entrée en relation. C’est aussi ce qui conduit la Cnam à accepter la coexistence entre ancien et nouveau pour passer ce qu’il appelle « la bosse de chameau » : ce moment où l’on finance en parallèle deux solutions, le temps d’assurer la continuité et de reconstruire les compétences.

Le vrai coût du changement

La force du retour d’expérience de la Cnam tient aussi à sa lucidité économique. Bintou Boïté ne cherche pas à masquer le prix de cette autonomie relative : « On va prendre une solution qui est peut-être un peu moins bonne, un peu plus chère (…) mais souveraine ». Et elle ajoute aussitôt que ce surcoût doit être compris comme un investissement : pendant un à deux ans, la solution doit progresser, être ajustée, parfois contournée sur certains points, jusqu’à atteindre un niveau satisfaisant. « Ce coût-là, c’est un investissement qu’on fait sur l’avenir. »

Laurent Gibelli complète ce diagnostic par une liste de coûts souvent invisibles dans les business cases trop rapides : adaptation des interfaces, compatibilité avec les autres applications, tests à refaire, coordination entre sécurité, réseau, exploitation, équipes techniques et partenaires, sans oublier la reprise du volet juridique. Son point est très juste : « il y a un sujet qu’on aborde rarement », celui de « la coordination entre les équipes et tous les tests qui sont à refaire ». C’est souvent là que se joue, loin des discours, la réussite ou l’échec d’une trajectoire de sortie.

L’open source, utile mais pas magique

Le regard porté par la Cnam sur l’open source mérite, lui aussi, d’être relevé. L’institution estime aujourd’hui son patrimoine réparti autour d’un tiers d’open source, un tiers de licences perpétuelles et un tiers de souscription. Mais Bintou Boïté refuse toute naïveté : « l’open source d’un jour peut devenir payant le lendemain ». Il reste donc un levier important, mais pas une réponse automatique à la question de l’autonomie.

La marche suivante, pour elle, est ailleurs : dans la contribution. « Aujourd’hui on est plutôt utilisateur (…) je pense qu’à un moment se posera la question du passage en contributeur ». Autrement dit, l’autonomie ne se réduit pas à consommer autrement. Elle suppose, à terme, de participer à la fabrication des briques jugées stratégiques, de nourrir des communautés et de mutualiser certains efforts avec d’autres acteurs publics ou privés.

Avec l’IA aussi, la liberté d’action se prépare

Sur l’intelligence artificielle, la Cnam avance avec la même logique : ne pas subir demain faute d’avoir compris aujourd’hui. Bintou Boïté le formule clairement : « l’indépendance, ça repose aussi beaucoup sur la compétence des équipes et la capacité des équipes à appréhender les nouvelles technologies ». C’est le sens des investissements réalisés on-premise ces dernières années : cloud privé, capacité d’IA interne avec une vingtaine de GPU, plateforme de gestion des données non structurées opérationnelle depuis 2024, et une IA d’entreprise non ouverte sur Internet pour traiter les cas d’usage en gardant la main sur les données et les conditions d’exploitation.

Là encore, le discours reste pragmatique. « Je ne dis pas qu’on va transformer les data centers de l’assurance maladie en concurrents de Google », prévient-elle. Mais elle tient à un principe : avant de déléguer, il faut comprendre. Avant d’externaliser, il faut pratiquer. Avant d’acheter des promesses, il faut disposer en interne du niveau de compétence qui permet d’arbitrer lucidement. C’est une manière très concrète de relier souveraineté, compétence et liberté d’action.

Mutualiser pour ne pas subir

La dernière leçon de ce cas Cnam est peut-être la plus politique au bon sens du terme. Pour Bintou Boïté, « pour s’en sortir, il ne faut pas attendre que les prescriptions viennent d’en haut ». La dynamique doit aussi venir des praticiens, des opérateurs publics, des partenaires privés, des communautés techniques et des espaces de mise en commun. « La capacité qu’on aura collectivement (…) de les mettre en commun, de les mutualiser, de les partager, c’est aussi comme ça qu’on peut gagner du temps », dit-elle. Toute la force de cette chronique est là : montrer que l’indépendance numérique n’est pas une proclamation. C’est un patient travail d’organisation, de compétence et de coalition.