Le président russe Vladimir Poutine a signé le 2 novembre le décret n° 802, qui oblige les centres de données privés du pays à réserver 10 % de leur espace et de leur puissance de calcul. C'est une nouvelle sous-commission gouvernementale qui décidera du moment où ces ressources seront mobilisées. Le décret entre en vigueur dès sa publication et les exploitants ont 10 jours pour constituer la réserve. Les organes d'État, les collectivités municipales ainsi que les entreprises et établissements qui en dépendent en sont exclus.
Réserver ne veut pas dire laisser vide. Plusieurs médias russes qui rapportent le texte indiquent que ces ressources peuvent continuer à servir au centre de données au quotidien, mais qu'une fois la décision de la sous-commission prise, l'exploitant doit les remettre sous 24 heures aux ressources d'information russes désignées. Il ne s'agit ni d'une réquisition gratuite, ni d'un tarif au prix du marché : le plafond est fixé par la sous-commission, et le montant exact n'a pas été rendu public.
Le même décret ouvre une autre porte : l'utilisation temporaire de capacités de calcul situées hors de Russie. La condition est une décision de la sous-commission, prise en accord avec le Service fédéral de sécurité (FSB). Le ministère du Développement numérique doit en outre recenser l'espace et la puissance inutilisés dans les centres de données du pays, puis définir des exigences obligatoires de fiabilité et de fonctionnement continu.
Les attaques d'octobre et le décret d'août
Si l'on aligne les jalons des trois derniers mois, l'origine du décret apparaît assez nettement.
- 24 août : Vladimir Poutine signe le décret n° 604 sur le renforcement de la sécurité des infrastructures critiques, qui couvre aussi les centres de données commerciaux et sectoriels. Les entreprises qui ne parviennent pas à protéger ou à rétablir leurs installations s'exposent à une mise sous administration temporaire de l'État de leurs biens.
- 8, 9 et 11 octobre : les centres de données de Yandex à Sasovo, Kalouga et Vladimir sont visés par des attaques de drones ; une partie des services et des ressources en ligne en russe est interrompue.
- 14 octobre : le centre de données de Sber à Balakovo, dans la région de Saratov, est attaqué ; l'entreprise affirme que ses systèmes fonctionnent normalement. Le même jour, le ministre du Développement numérique, Maksout Chadaïev, déclare que l'on aide Yandex à trouver des sites de secours pour transférer ses systèmes critiques.
- 18 octobre : un centre de données de VK, dans la région de Léningrad, est attaqué.
- 2 novembre : le décret n° 802 est publié.
Les médias russes ont aussi relevé, sur la même période, que le ministère du Développement numérique recommande de construire les centres de données critiques sous terre afin de « réduire la probabilité d'être repérés depuis les airs ». Rostelecom s'y est déjà mis, et les experts estiment le surcoût entre 30 % et 40 %. Passer sous terre prendra des années ; la réserve de 10 % est la voie la plus rapide pour le moment.
La clause étrangère se heurte à la localisation des données
La législation russe en vigueur exige que les services qui collectent des données personnelles de citoyens utilisent des bases de données situées sur le territoire. Selon Novaya Gazeta, l'association du commerce électronique, dont font partie Ozon et Wildberries, avait demandé auparavant que les services touchés puissent déplacer leurs systèmes critiques vers des centres de données à l'étranger.
Le décret avance comme justification la riposte à des « actions inamicales de certains pays étrangers » et précise que les capacités situées à l'étranger ne peuvent être utilisées que temporairement. Mais combien de temps dure ce « temporaire », quels pays peuvent être choisis et si l'obligation de localisation des données personnelles sera assouplie en parallèle, les articles disponibles ne le précisent pas.
Les grands modèles sont-ils la « ressource la plus importante » ?
Parmi les trois groupes visés, Yandex et Sber sont aussi les principaux acteurs russes des grands modèles de langage, avec respectivement YandexGPT et GigaChat. Dans les comptes rendus publics, la cible de la mobilisation n'est désignée que comme les « ressources d'information russes » : rien ne distingue la puissance de calcul générale des grappes de GPU, et rien n'indique quelle place occupent l'inférence et l'entraînement des modèles.
Pour les exploitants privés, la difficulté tient à ce que la part réservée fait normalement tourner l'activité de clients. Une fois la décision reçue, il leur faudra la libérer en une journée ; le sort des contrats des clients existants et la question de savoir qui supporte les indemnisations ne sont pas évoqués dans les comptes rendus. Le gouvernement doit en outre arrêter séparément le règlement de fonctionnement et la procédure de décision de la sous-commission. Tant que ces détails ne sont pas connus, les exploitants ne peuvent compter que sur deux données : les 10 % et les 24 heures.
Sources : Reuters, RBC, CocoLoop, Novaya Gazeta, Expert, vc.ru ; les dispositions du décret reposent sur ce que rapportent les médias cités, et les éléments sur les attaques proviennent d'articles de la presse russe et de déclarations des entreprises concernées.