Le secteur financier nigérian fait face à l'échéance du 1er janvier 2027 pour se conformer aux règles de localisation des données de la Banque centrale du Nigeria (CBN), et le débat national sur la souveraineté des données dépasse désormais la simple question de l'emplacement des serveurs. Les questions pratiques, plus difficiles, sont désormais au premier plan : qu'advient-il des sauvegardes ? Qui peut accéder aux données ? Où sont-elles analysées ? Les systèmes critiques peuvent-ils fonctionner indépendamment des infrastructures étrangères ? Et le Nigeria dispose-t-il de suffisamment de capacités locales pour gérer cette transition sans augmenter les coûts ni créer de nouveaux risques ?

Ce débat s'inscrit dans un cadre juridique plus large. La loi nigériane sur la protection des données (Nigeria Data Protection Act), promulguée en juin 2023, a créé la Commission nigériane de protection des données et établit des règles générales sur les transferts de données transfrontaliers, tandis que des orientations antérieures — notamment les circulaires de l'Agence nationale de développement des technologies de l'information (NITDA) — demandaient déjà que certaines catégories de données soient stockées dans le pays. La directive de la CBN étend cette logique au système financier, où les données de paiement sont traitées comme sensibles.

Ces questions seront au cœur du débat le jeudi 10 septembre, lorsque TechCabal Insights, en partenariat avec l'Amazon Web Services (AWS) Partner Network, organisera son Power Brunch. L'événement réunira des PDG, des DSI techniques (CTO), des régulateurs, des dirigeants des services financiers, des fournisseurs de cloud, des entreprises d'infrastructure et d'autres leaders technologiques afin d'examiner ce que signifie concrètement la localisation des données.

Pour Femi Olugbesan, cofondateur et directeur de l'information de Descasio et l'un des intervenants de l'événement, la distinction entre localisation et souveraineté est essentielle.

« Changer l'adresse des données ne revient pas à en avoir la souveraineté », a déclaré Olugbesan.

La directive du 15 juin 2026 de la CBN exige que les banques, les fintechs, les opérateurs de monnaie mobile et les réseaux de commutation des paiements conservent dans le pays les données de transactions de paiement générées au Nigeria. Les exigences vont au-delà des bases de données primaires pour couvrir les sauvegardes, la reprise après sinistre et les journaux, et la gestion des données doit également rester sous gouvernance locale.

Cependant, déplacer une base de données d'un environnement étranger vers un centre de données nigérian ne résout qu'une partie du problème. Une banque pourrait héberger ses enregistrements primaires à Lagos tout en envoyant des informations à l'étranger pour l'analytique, le support technique, la surveillance de sécurité ou la sauvegarde. Dans ce cas, les données se trouvent physiquement au Nigeria tandis que des parties importantes de leur cycle de vie opérationnel restent hors du pays.

« Le véritable travail consiste à comprendre la vie complète des données — où elles sont créées, où elles sont sauvegardées, quelles équipes peuvent les consulter, où elles sont analysées et quels modèles d'IA sont autorisés à les traiter », a expliqué Olugbesan.

Cela transforme la localisation, d'un exercice d'hébergement d'urgence, en un projet de transformation de l'entreprise.

La complexité derrière la migration

Pour les organisations qui se préparent à l'échéance, la partie la plus difficile n'est peut-être pas de déplacer les données elles-mêmes.

« Les données peuvent être copiées », a dit Olugbesan. « La partie difficile consiste à déplacer le modèle opérationnel qui les entoure sans casser l'entreprise. »

Les grandes organisations ont accumulé des années de dépendances au sein de leurs environnements technologiques. Les plateformes clients peuvent fonctionner à un endroit et les services d'identité à un autre, tandis que les sauvegardes, la surveillance de sécurité, les connexions de paiement, les outils de reporting et le support des fournisseurs se trouvent ailleurs. Démêler ces connexions devient difficile dès lors qu'une organisation doit tracer une frontière géographique stricte autour de ses données.

Les coûts ajoutent une couche de complexité supplémentaire. La localisation pourrait contraindre les organisations à dupliquer des systèmes, à maintenir des environnements de reprise supplémentaires, à recruter ou reconvertir des équipes techniques et à repenser des applications initialement conçues autour d'une infrastructure cloud mondiale. Une migration précipitée pourrait donc produire des conséquences indésirables : des coûts plus élevés et une résilience réduite.

Au lieu de cela, Olugbesan estime que les organisations devraient commencer par une cartographie des données et des dépendances, classer les informations par niveau de risque et déplacer les charges de travail par étapes contrôlées. Certains systèmes pourraient devoir être localisés immédiatement, d'autres isolés ou repensés, tandis que des exceptions limitées pourraient s'imposer là où des capacités équivalentes n'existent pas encore au Nigeria.

La question plus large est de savoir si la réglementation peut apporter un contrôle accru sans simplement déplacer la complexité existante.

L'infrastructure du Nigeria peut-elle suivre ?

Cette question comptera à mesure que la demande de capacités locales de cloud et de centres de données augmentera.

Le Nigeria dispose d'opérateurs de centres de données crédibles et d'un marché d'infrastructure technologique en expansion. Cependant, Olugbesan juge irréaliste de supposer que chaque charge de travail réglementée puisse être migrée localement en même temps tout en bénéficiant de la même gamme de services et de la même maturité que celles disponibles dans les régions cloud mondiales établies.

La capacité ne se réduit pas à un espace serveur. Elle comprend une alimentation électrique fiable, des routes de fibre diversifiées, la sécurité physique et informatique, des équipes d'exploitation qualifiées, des pièces de rechange et des systèmes de reprise après sinistre réellement testés. Pour les charges de travail plus récentes, elle implique également des plateformes de données gérées, le calcul haute performance et un accès local à des capacités GPU pour l'intelligence artificielle.

Si la demande générée par la réglementation dépasse la capacité du marché à ajouter ces éléments, les entreprises pourraient faire face à des prix plus élevés, à des files d'attente de migration plus longues et à une concentration excessive des charges de travail critiques dans une poignée d'installations — un scénario qui pourrait affaiblir la résilience, précisément l'inverse de ce que la souveraineté des données est censée accomplir.

Cette pression crée aussi une opportunité. Une demande prévisible de la part des banques, des fintechs et du gouvernement pourrait débloquer des investissements dans les centres de données, la connectivité, l'énergie, la cybersécurité et les compétences techniques. Le Nigeria pourrait devenir plus qu'un marché de stockage national ; avec les bons investissements, il pourrait s'imposer comme un hub régional du cloud et de l'infrastructure numérique en Afrique de l'Ouest.

Où le Nigeria doit-il tracer la ligne ?

Le Power Brunch se tiendra également dans le contexte d'un débat politique plus large sur la portée de la localisation des données. Le Nigeria n'est pas seul face à ce compromis : des gouvernements comme l'Inde, l'Indonésie et l'Arabie saoudite ont adopté ou envisagé leurs propres exigences de localisation des données, et les fournisseurs de cloud mondiaux ont réagi en créant des régions locales — preuve que réglementation et investissement international dans les infrastructures peuvent, sur certains marchés, coexister.

Olugbesan estime que les régulateurs devraient distinguer les informations véritablement stratégiques des données pouvant traverser les frontières en toute sécurité moyennant des garanties appropriées. Les registres financiers fondamentaux, les données de paiement et de règlement, les informations d'identité nationale, certains dossiers médicaux, les données des infrastructures critiques et les identifiants capables de déverrouiller ces systèmes ont de solides arguments pour rester sous juridiction et contrôle nigérians.

Une exigence générale couvrant chaque catégorie de données pourrait toutefois imposer des coûts élevés sans nécessairement améliorer la sécurité. L'analytique anonymisée, les informations publiques, les données de collaboration à faible risque et certaines activités de traitement temporaires pourraient être gérées à travers les frontières, à condition que le chiffrement, la responsabilité contractuelle, l'auditabilité et des limites de conservation claires soient en place.

La clé, selon Olugbesan, réside dans la classification. Les régulateurs ont besoin de catégories de risque claires et de règles tout aussi claires en matière de stockage, de traitement et d'accès. Les entreprises doivent savoir quelles données sont concernées, ce qui constitue la conformité et quand des exceptions peuvent être accordées. Sans cette clarté, les entreprises peineront à planifier leurs investissements et leurs architectures technologiques autour des règles.

De la conformité à la capacité

En fin de compte, le débat sur la localisation devient un test de la capacité du Nigeria à bâtir une compétence numérique.

Olugbesan souhaite un cadre de mise en œuvre unique et pratique, sur lequel régulateurs et opérateurs peuvent s'appuyer, plutôt que de larges instructions interprétées différemment selon les institutions. Un tel cadre, argue-t-il, devrait être neutre sur le plan technologique, fondé sur les risques et soutenu par des périodes de transition réalistes, des exigences de reporting, des audits et des exceptions transparentes.

Plus important encore, la localisation devrait servir à développer le marché technologique national. Le gouvernement et les grandes institutions réglementées figurent parmi les plus grands acheteurs de technologies du Nigeria, et leurs décisions d'achat pourraient créer une demande fiable pour les services cloud nigérians, les centres de données, la cybersécurité, la connectivité et l'infrastructure d'IA. Selon Olugbesan, la localisation pourrait devenir une politique industrielle si elle est bien menée, offrant aux entreprises technologiques nigérianes une base plus solide pour servir le marché africain au sens large et créant l'infrastructure nécessaire à une IA souveraine.

La souveraineté, en ce sens, ne signifie pas couper le Nigeria de la technologie mondiale. Elle signifie disposer de suffisamment d'infrastructure, de compétences, de sécurité et de gouvernance pour décider de ce qui doit rester sous contrôle nigérian, de ce qui peut traverser les frontières en toute sécurité, et de la manière dont les données stratégiquement importantes peuvent être converties en valeur économique.

C'est la grande question que le Power Brunch du 10 septembre posera aux dirigeants qui façonnent l'économie numérique du Nigeria : le pays peut-il faire respecter la localisation tout en développant la capacité de rendre cette localisation significative ? La réponse déterminera si l'échéance de la CBN devient un simple exercice de conformité ou le début d'un écosystème d'infrastructure numérique nigérian plus performant.