Le Canada est en train de créer une nouvelle catégorie de gouvernance de la recherche sans l'avoir nommée. Par le biais d'une série d'instruments de politique fédérale, une part croissante de la recherche financée par des fonds publics se trouve désormais dans une zone intermédiaire réglementaire entre la recherche « ouverte » et la recherche « classifiée », soumise à un examen de sécurité sans l'infrastructure formelle qui accompagne les travaux classifiés. On pourrait l'appeler « recherche réglementée ». Le terme n'apparaît dans aucun document de politique fédérale, mais la situation qu'il décrit remodèle déjà la façon dont les universités gèrent les données, structurent les collaborations et conçoivent les contrôles de sécurité de l'information.

Ce qui confère à cette catégorie sa spécificité analytique et ses conséquences opérationnelles, ce n'est pas la présence d'une nouvelle réglementation, mais l'absence d'un concept fondamental. Les États-Unis fondent leur cadre de sécurité de la recherche sur la Directive nationale de décision en matière de sécurité (NSDD) 189, publiée en 1985, qui stipule que les produits de la recherche fondamentale « demeurent sans restriction dans toute la mesure du possible ». Ce principe offre aux institutions américaines un point de référence clair à partir duquel les contrôles de sécurité sont étendus : si la recherche est publiée ouvertement et n'est soumise à aucune restriction d'accès ou de diffusion spécifique, elle est considérée comme fondamentale, et le dispositif de contrôle des exportations, de gestion des informations classifiées et d'exigences d'habilitation de sécurité ne s'applique pas. Le cadre canadien est dépourvu de ce fondement. Aucune loi, directive ou instrument de politique canadien n'établit de principe équivalent. La Loi sur les permis d'exportation et d'importation ne prévoit aucune exclusion pour la recherche fondamentale ; les cadres fédéraux de sécurité de la recherche qui ont suivi ajoutent des exigences d'examen de sécurité sans définir de catégorie de recherche de base qui demeure sans restriction. Il en résulte non pas un déficit de réglementation, mais sa prolifération sans principe directeur.

Instruments séparés, état cumulatif

Chacun des instruments fédéraux qui encadrent actuellement la sécurité de la recherche a été introduit pour répondre à un risque spécifique. Les Lignes directrices nationales sur la sécurité des partenariats de recherche (NSGRP), introduites en 2021, ciblent le risque lié aux partenariats : elles exigent des évaluations des risques de sécurité pour les demandes de subvention impliquant certaines collaborations internationales. La Politique relative à la recherche sur les technologies sensibles et aux affiliations préoccupantes (STRAC), en vigueur depuis mai 2024, cible le risque lié aux affiliations : elle identifie 103 organismes de recherche désignés (NRO) et 11 domaines de recherche sur les technologies sensibles, et interdit le financement des candidats affiliés à des organismes figurant sur cette liste dans les domaines technologiques concernés. Chaque instrument est cohérent en soi. Le problème est que leur effet cumulatif engendre une situation de gouvernance qu’aucun d’eux n’a été conçu individuellement pour gérer.

À compter de mars 2026, les exigences d’évaluation des risques du NSGRP seront étendues aux subventions de partenariat du CRSH (Conseil de recherches en sciences humaines) et aux subventions d’engagement de partenariat du CRSNG (Conseil de recherches en sciences naturelles et en génie du Canada). Le rapport annuel 2023-24 sur la mise en œuvre des politiques de sécurité de la recherche indique qu’environ deux pour cent des demandes visées sont renvoyées à Sécurité publique Canada pour une évaluation de sécurité nationale, un taux qui augmentera à mesure que la couverture du programme s’étendra. Plus important encore que le taux lui-même est la situation structurelle qu’il reflète : un corpus croissant de recherches qui ne sont ni classifiées ni véritablement ouvertes, soumises à un examen de sécurité, mais sans l’infrastructure formelle (habilitations de sécurité, environnements contrôlés, agents de sécurité désignés) qui accompagne les travaux classifiés. C’est cette situation que j’appelle « recherche réglementée », et elle est apparue comme un effet secondaire d’instruments à plusieurs niveaux plutôt que comme un modèle de gouvernance délibéré.

L’architecture des politiques est claire au niveau fédéral. Au niveau institutionnel, où les contrôles de sécurité de l’information doivent être définis et mis en œuvre, ses conséquences sont beaucoup moins évidentes. Lorsqu’une demande de subvention d’un chercheur entraîne une saisine du Programme national de gestion des données de recherche (PNGRD), qu’advient-il des données qu’il a déjà recueillies avec un collaborateur international ? Lorsqu’une restriction du Programme d’accès stratégique aux données (PASD) s’applique à un cochercheur participant à un projet multi-institutionnel, comment définir la portée des contrôles d’accès au réseau ? Lorsqu’un stagiaire postdoctoral affilié à un organisme de recherche national (ORN) se joint à un laboratoire menant des recherches non sensibles et sans lien avec le projet, quelles sont les obligations de l’établissement ? Il ne s’agit pas de scénarios hypothétiques. C’est la réalité quotidienne de la gestion d’un programme de sécurité de l’information en recherche dans une université canadienne.

L'incrémentalisme et ses coûts

L'argument le plus convaincant en faveur de l'approche actuelle est que le gradualisme est un choix délibéré : les décideurs politiques privilégieraient une mise en œuvre progressive des instruments précisément parce qu'elle préserve la flexibilité, évite le coût politique d'une directive fondatrice et permet au régime de gouvernance d'évoluer au gré des menaces. Cette position est pertinente. Toutefois, elle entraîne une conséquence structurelle qui mérite une attention accrue : le gradualisme reporte la charge de l'intégration sur les institutions, qui doivent concilier des instruments qui se chevauchent sans cadre conceptuel commun. Le gouvernement fédéral publie les instruments ; les universités, quant à elles, doivent gérer l'ambiguïté.

La plupart des universités canadiennes ne disposent pas des bureaux de conformité en matière de recherche dédiés qui sont la norme dans les grandes universités américaines de recherche de niveau 1 depuis le début des années 2000. Ces bureaux, dotés de spécialistes du contrôle des exportations, d'agents de sécurité des installations et de protocoles établis pour la séparation de la recherche contrôlée et non contrôlée, sont rendus possibles par le cadre de référence clair fourni par la directive NSDD-189. Quelques établissements canadiens commencent à se doter de capacités comparables, mais l'écart est important dans l'ensemble du secteur et se creuse à mesure que les exigences réglementaires s'accumulent plus rapidement que les établissements ne peuvent embaucher les spécialistes et déployer les contrôles techniques nécessaires pour s'y conformer. Les ambitions du Canada en matière de « souveraineté par la conception », renforcées par les 81.8 milliards de dollars de dépenses de défense prévus dans le budget 2025 sur cinq ans, reposent sur un système de recherche capable de gérer en toute sécurité les travaux sensibles tout en demeurant suffisamment ouvert pour attirer les talents et les collaborations internationales. Un tel système ne peut être garanti par des établissements travaillant de manière ponctuelle à partir d'instruments politiques qui se chevauchent.

Un choix délibéré, et non une fatalité

Le Canada doit prendre une décision éclairée, et celle-ci doit être prise au niveau fédéral, dans le cadre de l'architecture de gouvernance de la sécurité de la recherche qui englobe ISDE, les trois agences, Sécurité publique Canada et le Centre canadien pour la cybersécurité. Les établissements ne peuvent régler cette question par le biais de politiques locales. Une option consiste à adopter une mesure analogue à la NSDD-189 : une déclaration claire selon laquelle la recherche fondamentale menée dans les universités canadiennes et destinée à la publication en libre accès est exemptée de restrictions de sécurité, sauf en cas de contrôles spécifiques prévus au niveau contractuel. Cela fournirait aux établissements un cadre de référence solide et permettrait aux programmes de sécurité de l'information de définir précisément la portée de leurs contrôles. L'autre option est de reconnaître que le contexte réglementaire canadien est fondamentalement différent et de mettre sur pied un modèle de gouvernance de la « recherche réglementée » conçu explicitement pour un juste milieu entre la recherche ouverte et la recherche classifiée, avec une infrastructure, un financement et des capacités institutionnelles dédiés.

Chacune de ces options a des implications profondes pour l'architecture de la sécurité de l'information. Une exclusion de la recherche fondamentale simplifie le problème de la délimitation du périmètre, mais exige des mécanismes robustes pour identifier les cas où la recherche dépasse les limites de l'exclusion. Un modèle de recherche réglementée dédié requiert des enclaves de recherche sécurisées conçues à cet effet, du personnel spécialisé et un cadre de conformité qui n'existe pas encore dans la plupart des établissements canadiens. Aucun des deux modèles ne peut être conçu indépendamment des revendications de gouvernance parallèles, notamment les cadres de souveraineté des données autochtones, qui fonctionnent selon des principes distincts des classifications de sécurité étatiques.

Ce que le Canada ne peut se permettre, c'est la situation actuelle : une réglementation croissante sans principe directeur, mise en œuvre par des institutions qui supportent un fardeau d'intégration créé par la politique fédérale sans financement ni planification préalable. Si l'objectif est une souveraineté par la conception, il faut commencer par définir ce que nous construisons et déterminer les principes qui le régissent. C'est une responsabilité fédérale, et le secteur est prêt à y contribuer une fois les bases établies.