Les transferts contraires à la PDPL relèvent en principe d’une amende pouvant atteindre 5 millions de riyals; l’emprisonnement jusqu’à deux ans et l’amende jusqu’à 3 millions visent un autre délit, la divulgation ou publication illicite de données sensibles lorsqu’elle vise à nuire à la personne concernée ou à obtenir un avantage personnel. Ce régime punitif coexiste avec une ambition affichée : faire du pays un hub technologique régional et attirer les géants du cloud. NEOM est actuellement présentée autour de douze secteurs sur son site officiel, mais cette donnée ne constitue pas un objectif national de numérisation de seize secteurs d’ici 2030. Ces deux objectifs peuvent créer des arbitrages réglementaires, et le Moyen-Orient n’est pas le seul à vivre cette tension.

L’essentiel

  • L’article 29 encadre les transferts internationaux; les sanctions sont prévues principalement aux articles 35 et 36, qui instaurent des sanctions, mais aucune source primaire consultée ne démontre qu’ils conduisent de nombreuses entreprises étrangères à refuser d’opérer dans le pays.
  • Le marché régional des data centers devrait connaître une croissance significative d’ici 2029, selon les estimations du secteur, mais le régime impose des exigences de transfert et de protection des données personnelles, sans démonstration primaire d’un surcoût des infrastructures.
  • Riyad veut diversifier son économie loin du pétrole via Vision 2030, mais le modèle de souveraineté numérique choisi peut compliquer l’accès aux investissements technologiques qu’il cherche à capter.
  • Le dilemme n’est pas propre à l’Arabie saoudite : gouvernements du Golfe, Europe et Inde font face à la même équation entre contrôle des données et accès aux capacités mondiales d’IA et de cloud.
  • Des pistes existent, accords de transfert encadrés, cloud souverain en partenariat, mais elles supposent que la souveraineté soit pensée comme un instrument, pas une fin.

La localisation comme pari, pas comme évidence

La localisation des données repose sur une intuition simple : si les données restent sur le territoire national, elles sont sous contrôle national. L’intuition n’est pas fausse. Mais elle suppose que les bénéfices du contrôle l’emportent sur ses coûts, et cette hypothèse mérite d’être examinée.

En Arabie saoudite, le cadre légal s’est durci rapidement. La loi sur la protection des données personnelles de 2021, amendée en 2023, soumet les transferts de données hors du royaume à des conditions de sécurité nationale, de niveau de protection adéquat ou de garanties appropriées selon la réglementation de la SDAIA. L’article 29 encadre les transferts; les violations ordinaires peuvent être sanctionnées d’une amende allant jusqu’à 5 millions de riyals selon l’article 36. Des poursuites pénales sont expressément prévues pour la divulgation intentionnelle de données sensibles visée à l’article 35. Selon le Middle East Institute, des règles de souveraineté numérique trop restrictives peuvent nuire aux ambitions technologiques régionales.

Le cadre saoudien impose des conditions aux transferts internationaux de données personnelles. Il impose des obligations de conformité et peut entraîner des amendes, tandis que la peine pénale de l’article 35 exige une divulgation intentionnelle de données sensibles avec une intention spécifique. Pour une PME ou une start-up technologique étrangère, ce calcul peut rendre l’entrée sur le marché saoudien plus difficile.

9,6 milliards de dollars d’ambition, des règles qui en réduisent l’accès

Le marché des data centers au Moyen-Orient est présenté par les analystes sectoriels comme l’un des plus dynamiques de la décennie, porté par la demande croissante en capacité de calcul pour l’IA, le cloud et les services publics numériques. L’Arabie saoudite entend capter une part de cette croissance.

Les signaux d’investissement sont réels. En 2024, AWS a annoncé prévoir plus de 5,3 milliards de dollars d’investissement en Arabie saoudite. Microsoft et Google ont également suivi avec des engagements comparables dans le cloud. Google, Amazon Web Services et Oracle ont suivi avec des engagements comparables. Ces annonces sont notable.

Elles méritent toutefois d’être lues avec soin.

Les hyperscalers mondiaux ont les moyens de construire des infrastructures localisées. Pour eux, la localisation est un coût d’entrée sur un marché stratégique, absorbable dans des bilans de plusieurs centaines de milliards. Pour les acteurs de taille intermédiaire, les obligations de conformité peuvent créer des obstacles à l’entrée. Le régime prévoit des mécanismes de flexibilité clairs pour certains transferts, de sorte que l’hypothèse d’une absence de tels mécanismes est fausse. L’écosystème technologique que Vision 2030 cherche à développer localement doit pouvoir s’appuyer sur des partenaires agiles et adaptés à ses besoins spécifiques.

La dérive de concentration que génèrent les barrières réglementaires dans les marchés numériques n’est pas propre au Golfe. Elle s’observe chaque fois que les règles du jeu avantagent les acteurs capables d’absorber des coûts de conformité élevés.

Les coûts de conformité s’accumulent rapidement

Pour comprendre pourquoi les règles de localisation pèsent aussi lourd, il faut descendre au niveau opérationnel.

Un éditeur de logiciels qui sert des clients dans vingt pays administre généralement ses données depuis deux ou trois centres de données globaux, avec des pipelines de réplication, des systèmes de backup géographiquement distribués et des APIs qui traversent les frontières en permanence. Lui demander de localiser les données saoudiennes suppose de modifier son architecture, de dupliquer ses systèmes de sécurité, de recruter ou de former des équipes locales pour la conformité, et d’engager un conseiller juridique saoudien pour naviguer dans un cadre réglementaire encore partiellement interprété par les tribunaux.

Les obligations de conformité aux transferts peuvent engendrer des coûts, mais l’affirmation d’exigences générales de localisation est inexacte. Ce chiffre varie selon les secteurs, mais il suffit à dissuader un certain nombre d’acteurs potentiels.

L’incertitude juridique amplifie le problème. Quand une personne physique, y compris un dirigeant s’il commet personnellement l’acte, risque jusqu’à deux ans d’emprisonnement pour divulgation ou publication illégale de données sensibles lorsqu’elle vise à nuire à la personne concernée ou à obtenir un avantage personnel, le calcul risque-bénéfice change de nature. Un directeur juridique d’une entreprise technologique européenne hésitera à exposer ses cadres à un risque pénal dans une juridiction où les recours administratifs et judiciaires disponibles incluent la plainte, l’indemnisation et l’appel de certaines sanctions, même si la probabilité réelle de poursuites est faible. L’existence de la sanction peut modifier le calcul risque-bénéfice.

Les données saoudiennes restent confinées depuis Riyad

La localisation crée un autre problème, plus discret mais structurellement important : elle encadre les transferts de données personnelles, mais ne les interdit pas et ne démontre pas une coupure des capacités globales d’entraînement ou d’inférence.

Les modèles d’IA les plus performants, ceux qui alimentent les assistants médicaux, les outils de diagnostic industriel, les systèmes de recommandation financière, sont entraînés sur des masses de données hétérogènes, souvent transfrontalières. Un modèle de traitement du langage arabe de qualité a besoin de données saoudiennes, égyptiennes, marocaines, irakiennes, libanaises, et de la capacité à les combiner avec des corpus multilingues pour développer des représentations robustes. La réglementation peut encadrer les transferts de données personnelles, mais elle ne les interdit pas et elle prévoit des voies de transfert international.

L’Arabie saoudite a lancé des chantiers ambitieux d’IA dans ses ministères, mais ces projets dépendent précisément de l’accès à des capacités cloud mondiales et à des modèles pré-entraînés; les règles de localisation imposent des conditions aux transferts internationaux mais prévoient des transferts autorisés, et leur effet concret sur cet accès doit être démontré séparément. Le royaume veut à la fois des services d’IA de pointe et le contrôle des données qui les alimentent. Réconcilier ces deux exigences demande une articulation claire de ce qui doit être protégé et comment.

La région n’est pas seule face à ce dilemme. L’Inde a imposé des règles de localisation dans la finance et la santé avant de les assouplir partiellement après avoir mesuré leur impact sur l’attractivité des investissements. L’Union européenne a construit avec le RGPD un cadre qui protège les données des citoyens sans interdire leur traitement transfrontalier, à condition que les garanties juridiques suivent. Ces expériences offrent des leçons, à condition d’être lues correctement.

Les pistes qui permettent de ne pas choisir entre contrôle et capacité

Le dilemme entre souveraineté numérique et accès aux capacités mondiales n’est pas insoluble. Des mécanismes existent pour naviguer entre les deux.

Le premier est le modèle du cloud souverain en partenariat. L’Arabie saoudite a signé des accords avec des fournisseurs de services cloud internationaux visant à déployer des capacités localisées avec des engagements de résidence des données et des clauses de conformité. Si ces accords sont bien structurés et leur application effectivement contrôlée, ils permettent à des hyperscalers de déployer leurs capacités localement tout en répondant aux exigences de souveraineté. C’est un modèle imparfait, les données restent dans des infrastructures opérées par des entités américaines, mais il offre un équilibre opérationnel que l’interdiction pure et simple ne peut pas atteindre.

Le deuxième mécanisme est celui des accords de transfert encadrés, inspirés du modèle européen des clauses contractuelles types ou des décisions d’adéquation. L’idée : définir précisément quelles catégories de données peuvent traverser les frontières, sous quelles conditions contractuelles et avec quelles garanties de sécurité, plutôt que d’interdire en bloc. La SDAIA a publié une réglementation dédiée aux transferts hors du royaume ainsi que des lignes directrices sur les garanties et les règles communes contraignantes.

Le troisième levier est la formation locale. Si l’Arabie saoudite veut réduire sa dépendance aux capacités étrangères à moyen terme, elle doit investir massivement dans des ingénieurs, des architectes de données et des experts en sécurité formés localement. Vision 2030 comprend des volets éducatifs significatifs, et des programmes comme ceux de l’Université du Roi Abdallah pour les sciences et la technologie (KAUST) vont dans ce sens. Mais construire un écosystème technologique souverain prend une génération, pas un mandat politique.

Aucune de ces pistes n’est gratuite, et aucune ne permet d’éviter les arbitrages. Une souveraineté numérique absolue, au sens d’un contrôle total sur toutes les données traitées sur le territoire, peut être difficile à concilier avec une intégration dans les chaînes mondiales de valeur technologique. Les décideurs saoudiens doivent définir précisément ce qu’ils cherchent à protéger, et pour quelles raisons, avant de fixer les règles qui l’entourent.

Un test grandeur nature pour la gouvernance des données du Sud global

L’Arabie saoudite représente un cas d’école, mais ses choix auront des effets au-delà de ses frontières.

Le Golfe dans son ensemble est en train de construire ses cadres de gouvernance numérique simultanément, avec des approches qui divergent. Les Émirats arabes unis ont opté pour un régime plus souple, avec des zones franches numériques, notamment le Dubai International Financial Centre, qui permettent des flux de données plus libres sous des garanties contractuelles. Le Qatar et Bahreïn cherchent leur propre équilibre. Cette divergence régionale crée elle-même un problème : les entreprises qui opèrent dans plusieurs pays du Golfe font face à des régimes incompatibles, ce qui multiplie les coûts de conformité sans produire de protection supplémentaire.

Plus largement, l’Arabie saoudite et ses voisins font partie d’un ensemble de pays du Sud global qui cherchent à articuler des ambitions technologiques fortes avec des exigences de contrôle politique sur leurs données. Les dynamiques d’externalisation technologique et les dépendances qu’elles créent sont perçues comme un risque de souveraineté réel, pas imaginaire. L’enjeu est de trouver les instruments de régulation qui protègent effectivement sans ériger des barrières qui appauvrissent les populations qu’elles sont censées défendre.

Si l’Arabie saoudite calibre son cadre en rendant les sanctions proportionnées, les procédures de transfert praticables et les accords de partenariat cloud contrôlables, elle pourrait offrir un modèle utile à d’autres pays en développement qui cherchent à protéger leurs données sans se couper de l’économie numérique mondiale. Le régime comprend des exemptions et garanties explicites; son effet net sur l’attractivité du marché n’est pas établi par les sources primaires consultées.

Le marché régional des data centers se développera, avec ou sans des règles de localisation intelligentes. La question est de savoir qui en bénéficiera, et dans quelles conditions.

Sources

  1. Middle East Institute, Middle East Cyber Sovereignty Hampers Economic Diversification : https://www.mei.edu/publications/middle-east-cyber-sovereignty-hampers-economic-diversification
  2. Autorité saoudienne des données et de l’intelligence artificielle (SDAIA), Loi sur la protection des données personnelles et règlements d’application 2021-2023 : https://sdaia.gov.sa
  3. Annonce Microsoft, Investissement de 5,3 milliards de dollars en Arabie saoudite (2024) : https://news.microsoft.com
  4. Gartner, Cadres de gouvernance fédérée des données et souveraineté numérique (sans URL garantie)
  5. Institute for National Security Studies (INSS), Recherches sur la souveraineté numérique au Moyen-Orient (sans URL garantie)