Audition, ouverte à la presse, de M. Henri Verdier, ancien ambassadeur pour le numérique et directeur général de la fondation Inria (mardi 10 mars 2026)

M. le président Philippe Latombe. Nous débutons aujourd’hui les auditions de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France.

Nous cherchons à mesurer la vulnérabilité des administrations publiques vis-à-vis de technologies et d’infrastructures digitales développées ou opérées par des acteurs extra-européens, ainsi que la vulnérabilité des données que ces administrations conservent. Il s’agit aussi d’évaluer la dépendance de notre pays à des technologies et services fournis par un nombre très réduit d’entreprises, et d’examiner dans quelle mesure des solutions françaises ou européennes peuvent constituer des alternatives, et à quelles conditions.

Pour notre première audition, je souhaite la bienvenue à M. Henri Verdier, directeur général de la fondation Inria (Institut national de recherche en sciences et technologies du numérique) et ancien ambassadeur pour le numérique.

Monsieur Verdier, je vous remercie de nous déclarer tout autre intérêt public ou privé de nature à influencer vos déclarations. Je vous rappelle que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter serment de dire la vérité, toute la vérité, rien que la vérité.

(M. Henri Verdier prête serment.)

M. Henri Verdier, directeur général de la fondation Inria et ancien ambassadeur pour le numérique. Je m’exprime en tant qu’ancien ambassadeur pour les affaires numériques, ancien directeur de la direction interministérielle du numérique (Dinum) – qui s’appelait alors la direction interministérielle du numérique et du système d’information et de communication de l’État (Dinsic) – et en tant qu’actuel directeur de la fondation Inria. Je précise cependant que je ne parle pas au nom d’Inria dont vous rencontrerez un représentant, je l’espère, pour parler de recherche et de prospective. Je n’ai par ailleurs aucun autre intérêt que mon emploi.

Ce propos liminaire répond déjà à une première série de questions que vous m’avez adressée. Vous touchez à un sujet d’une importance majeure et je ne comprends pas que les gens ne le perçoivent pas. Nous avons tout sous les yeux : l’affaire du juge Guillou, des preuves d’espionnage, des serveurs qui se font débrancher, des dominations sur des segments entiers de l’économie, des réseaux sociaux que nous n’arrivons pas à réguler. Et pourtant, les choses ne bougent pas beaucoup.

Votre première question portait sur l’achat de logiciels. Toutefois il est nécessaire d’élargir la perspective. La dépendance concerne également le hardware que nous ne sommes plus en mesure de produire nous-même, mais aussi la cybersécurité, domaine dans lequel nous accusons un retard de plusieurs années sur l’Agence nationale de sécurité des États-Unis (NSA). Certes nos compétences dans ce domaine sont réelles, néanmoins, certains États disposent de capacités dont il nous est difficile de connaître l’étendue. Cette dépendance s’étend aussi aux infrastructures stratégiques : près de 80 % des nouveaux câbles sous-marins sont déployés par les Gafam, ce qui traduit une privatisation progressive de l’infrastructure physique elle-même. On oublie également que toute une partie de notre économie repose sur des données qui nous semblent aller d’elles-mêmes, par exemple la géodésie, qui permet d’étudier la hauteur du Mont Blanc ou le niveau des marées. Or cette discipline dépend d’une infrastructure américaine qui n’est plus financée depuis près d’une décennie et qui risque à terme de s’effondrer. La dépendance touche aussi les grands services d’accès à l’information : les réseaux sociaux, les moteurs de recherche, et plus largement, tous ces acteurs que les textes européens qualifient parfois d’acteurs systémiques ou de gatekeepers. La domination dépasse donc largement l’achat de logiciels par nos entreprises et nos administrations.

C’est grave car cela se traduit par une domination économique, avec une évasion de valeur puisqu’on achète à l’extérieur, mais surtout par une domination sur les chaînes de valeur, à laquelle nous ne prêtons pas assez attention. Vous souvenez-vous du rapport publié en mars 2025 par l’Agence nationale de sécurité sanitaire de l’alimentation, de l’environnement et du travail (Anses) sur la condition des livreurs Deliveroo ? Il met en lumière la vie infernale de ces travailleurs qui ne rencontrent plus ni collègues, ni supérieurs hiérarchiques. Soumis à un management algorithmique, ils reçoivent des stimulus de data (données) toute la journée et leur salaire horaire a diminué de 35 % en deux ans. Nous sommes tous en passe de devenir des chauffeurs Deliveroo ! Lorsque le numérique, l’intelligence artificielle (IA) et les infrastructures critiques s’introduisent au cœur des chaînes de valeur, les tarifs sont réajustés pour accroître les profits. De ce fait, un certain nombre d’entreprises françaises sont en passe de devenir des sous-traitants d’industries dont la valeur ajoutée réside dans le numérique ou dans l’IA.

La domination se manifeste également par l’imposition de standards technologiques et idéologiques. En matière d’IA, l’Europe peine à imaginer sa propre voie, enfermée dans une logique de course au gigantisme. Celle-ci repose sur l’idée qu’à terme, émergeront fatalement une ou deux gigantesques IA comptant des milliers de milliards de paramètres et mobilisant de gigantesques data centers. Pourtant, la Chine, l’Inde et beaucoup de chercheurs européens considèrent que cette trajectoire n’est pas l’avenir de l’IA. C’est un effet de domination idéologique.

Rappelons également que cette dépendance nous rend particulièrement vulnérables à l’espionnage qui est systématique. Dans le cas des États-Unis, cette pratique s’appuie sur un cadre juridique qui autorise les administrations américaines à accéder aux données sous juridiction américaine. Quant à la Chine, l’espionnage y relève d’un véritable sport national. Cette dépendance nous expose à des risques majeurs en cas de conflit et nous rend vulnérables à des opérations de manipulation de l’information.

Enfin, nous sommes extrêmement fragiles face à des mesures de rétorsion ou de représailles. L’affaire du juge Nicolas Guillou en constitue l’exemple le plus patent. Ce juge français de la Cour pénale internationale (CPI), en faisant son travail, a déplu au président Trump. Ce dernier, de manière unilatérale, a signé un executive order (décret présidentiel) plaçant le juge Guillou sous le coup de sanctions initialement conçues pour lutter contre l’organisation terroriste Daech. Le juge Guillou – et, potentiellement, les membres de sa famille – est désormais privé de l’accès à tout service reposant, directement ou indirectement, sur des infrastructures américaines ou sur des systèmes de paiement américains. En l’espace d’une nuit, il a perdu l’accès à des services tels qu’Uber, Amazon, Netflix, Deliveroo, et même à certains services français, dès lors qu’à un moment donné de la chaîne logistique ou du processus de paiement intervient un acteur soumis au droit américain, comme PayPal. Une telle situation résulte d’une décision entièrement unilatérale et arbitraire.

Ce cas n’est pas isolé. Les sanctions concernent une demi-douzaine de juges de la CPI, ainsi que certains fonctionnaires des Nations unies. Le juge Guillou rappelle d’ailleurs que l’Europe dispose d’un instrument juridique susceptible de répondre à ce type de situation : le règlement de blocage, qui n’a pourtant jamais été activé. On pourrait, à tout le moins, demander aux entreprises européennes d’éviter tout excès de zèle et de ne pas céder à ces injonctions. La situation apparaît ainsi, à bien des égards, particulièrement préoccupante.

J’aimerais vous présenter plusieurs remarques générales qui sont aussi des réponses à vos questions.

Pour commencer, j’insiste sur le fait qu’il faut sortir d’un raisonnement trop général : il n’y a pas un unique problème de vulnérabilité, de dépendance ou de souveraineté. Il faut prendre en compte les spécificités des questions que soulèvent les réseaux sociaux, le matériel informatique, l’accès aux terres rares, les câbles, l’industrie ou l’administration. Et bien sûr, il n’y a pas une unique solution. Il me semble que l’exemple du cloud tend à occuper une place disproportionnée dans le débat public. Il est agaçant de constater que les entreprises françaises ont un niveau technique comparable aux meilleurs standards internationaux, mais qu’elles peinent à déployer des stratégies commerciales et marketing équivalentes à celles de leurs concurrents américains. On voit bien qu’avec des politiques de soutien – discrimination positive ou achat public –, on pourrait faire des progrès substantiels. La situation apparaît toutefois beaucoup plus complexe dans d’autres domaines comme l’IA ou les réseaux sociaux.

Deuxièmement, l’indépendance absolue n’existe pas, y compris aux États-Unis. Quand Donald Trump a annoncé une taxe supplémentaire sur les importations de biens chinois, Pékin a répondu en menaçant d’augmenter le prix des terres rares. Le différend a pris fin en trois semaines. Toutes les puissances se trouvent dans des situations de dépendance réciproque. Le véritable enjeu consiste à parvenir à un équilibre dans les rapports de force, afin de ne pas être traité comme quantité négligeable – ce qui, à l’évidence, n’est pas encore le cas. Il s’agit donc de construire une posture et une capacité d’autonomie stratégique sans pour autant viser une autarcie complète ou la création de filières strictement nationales ou européennes. Il faut rééquilibrer les rapports de force de manière à pouvoir dialoguer d’égal à égal et à ne pas se voir imposer des solutions dont nous ne voulons pas.

Pour parvenir à cette autonomie stratégique, c’est mon troisième point, je voudrais insister sur la diversité des approches à adopter. Rappelons tout d’abord qu’un vrai marché concurrentiel est une forme d’autonomie raisonnable. Une centaine de fournisseurs qui se battent loyalement et tentent de faire la meilleure offre pour remporter le marché, c’est une forme saine de souveraineté. La situation devient problématique lorsque les marchés deviennent monopolistiques, sont biaisés par des enjeux politiques ou reposent sur des modèles économiques prédateurs.

L’intégration verticale à l’échelle nationale peut aussi être une réponse appropriée, comme on l’observe dans le secteur de la défense. Rappelons toutefois que remplacer un monopole américain, adversaire assumé de la démocratie, par son équivalent français, n’améliorerait ni la situation démocratique ni la liberté du marché. Autrement dit, si l’intégration nationale peut parfois représenter une solution adéquate, il est essentiel de maintenir des positions fermes en matière de régulation des monopoles. Il ne suffit pas de changer la nationalité du tyran.

J’observe, en Inde, une approche très intéressante fondée sur le développement des infrastructures publiques numériques, une mise en œuvre réussie de ce que j’appelais il y a quelques années l’État plateforme. Prenons l’exemple du paiement. L’État impose l’existence d’interfaces de programmation d’application (API) gratuites que toutes les banques sont obligées d’implémenter. Les entreprises privées sont ensuite libres de développer leurs propres services de paiement – plus de six cent sont ainsi en concurrence. Google garde une part de marché majoritaire, mais ne possède ni les données ni l’infrastructure et n’a donc pas la capacité d’exclure ou de déconnecter les autres acteurs. Les Indiens se sentent, à raison, en sécurité : le marché et la concurrence fonctionnent mais au sein d’infrastructures sous contrôle public. Ces dernières ne sont d’ailleurs pas coûteuses. Elles reposent sur un design d’API et une architecture logique, sans grands serveurs ni vastes data centers.

Souvent relégués au second plan, les logiciels libres, les standards ouverts et les grands communs numériques, tels qu’OpenStreetMap ou Wikipédia, constituent enfin un élément à part entière de l’arsenal de la souveraineté numérique. Ces ressources ne nous permettent certes pas de contrôler l’ensemble du système, mais elles ont le mérite d’empêcher qu’un acteur unique ne s’en empare. Ces approches peuvent relever de stratégies défensives européennes car nous détenons un savoir-faire ancien en la matière – souvenons-nous que la France a contribué à l’établissement du système métrique il y a plus de deux siècles. Elles offrent en outre des perspectives de coopération avec les économies émergentes, qui se méfient des relations de dépendance vis-à-vis de l’Europe. Le recours à des codes ouverts et à des standards adaptables peut, au contraire, constituer un signal d’ouverture et de partenariat.

Il existe, en définitive, au moins quatre leviers qu’il ne faudra pas hésiter à actionner tous pour s’approcher d’une autonomie stratégique : soutenir l’émergence de start-up, promouvoir l’intégration nationale, renforcer les cadres de régulation et encourager les standards ouverts.

Quatrième point, l’Europe constitue-t-elle l’échelon pertinent pour construire la souveraineté numérique ? L’action européenne peut apparaître décevante, lente ou encore marquée par des divisions internes. Pour autant, s’agissant de la régulation, je demeure convaincu que l’échelle européenne est la plus pertinente, et ce pour au moins deux raisons. La première tient au fait que l’Union européenne avait précisément promis aux entreprises un espace économique débarrassé de la fragmentation des cadres juridiques nationaux, afin qu’elles puissent évoluer au sein d’un marché unifié et soumis à une régulation constante. Il ne faut pas revenir sur cette promesse, d’autant que cette fragmentation demeure l’une des causes de nos fragilités structurelles. La seconde est liée au poids économique du marché européen, suffisamment important pour qu’il soit difficile de s’en passer. Rappelez-vous l’épisode qui a conduit à l’adoption de la directive européenne sur le droit d’auteur. La presse a commencé à revendiquer une rémunération pour l’utilisation de ses contenus auprès de sites comme Google News puisque les lecteurs les consultaient sur les plateformes sans se rendre sur les sites des journaux. L’Espagne fut le premier pays à tenter d’imposer une telle mesure. La réaction de Google fut de couper Google News en Espagne. Lorsque l’Allemagne envisagea une initiative similaire, Google laissa entendre qu’elle réagirait de la même manière. En revanche, lorsque la directive européenne sur le droit d’auteur fut adoptée, Google commença à payer des droits voisins à la presse européenne.

S’agissant des stratégies de recherche, de réindustrialisation, d’innovation, etc., la situation est différente. Nous avons tout intérêt à créer une dynamique européenne forte, ce qui ne signifie pas que les États doivent forcément s’aligner, ni qu’il faut attendre un consensus. Dans la pratique, la France a souvent été en avance de phase, que ce soit en adoptant des textes législatifs ou réglementaires ou en lançant des initiatives comme l’Appel de Christchurch ou l’Appel de Paris. Nous sommes capables de jouer un rôle moteur en Europe.

Mon dernier point répond aux nombreuses questions portant sur l’achat public auquel je rattache les débats actuels sur la Dinum. Tout d’abord, rappelons qu’une des raisons de l’impact de l’achat public aux États-Unis est d’ordre structurel : à la fin de la guerre froide, le complexe militaro-industriel américain s’est reconverti en complexe numérique. Or la dépense militaire américaine s’élève à 1 000 milliards de dollars, tandis que la nôtre n’atteint que 2,6 milliards de dollars. Les ordres de grandeur, les masses financières et l’écosystème de financement aux États-Unis n’ont pas d’équivalent chez nous.

Ensuite, je souhaite revenir sur des affirmations qui me semblent inexactes. Pendant les six années au cours desquelles j’ai exercé la direction de la Dinum, j’ignorais le montant total des dépenses informatiques de l’État. Je connaissais le périmètre sur lequel j’exerçais une autorité, à savoir celui des directions des systèmes d’information (DSI) ministérielles. Mais une part importante des dépenses informatiques se situent hors de ce périmètre : chez les opérateurs de l’État, au sein de grandes infrastructures publiques, sans même évoquer les collectivités locales. À cela s’ajoutent de nombreuses dépenses plus diffuses : lorsque les services de communication font des sites web ou des petites applications qui ne relèvent pas directement du champ d’intervention de la Dinum. Ces dépenses ne sont pas toujours identifiées comme telles dans la comptabilité publique, car l’État ne dispose pas d’une véritable comptabilité analytique. Il y a sans doute des progrès à faire en la matière, car la destination précise d’une partie des dépenses informatiques de l’État demeure difficile à établir. Si l’on se concentre sur le périmètre des directions des systèmes d’information (DSI) ministérielles – qui recouvre principalement les grands systèmes d’information d’infrastructure, tels que les systèmes de paiement, de gestion de la paie, de gestion de carrières ou des mouvements nationaux des enseignants – les dépenses informatiques de l’État s’élèvent à environ 4 milliards par an.

La Dinum n’a pas autorité sur les DSI ministérielles. Sa mission consiste à animer un réseau interministériel. Elle peut édicter des cadres comme le référentiel général de sécurité ou celui relatif à l’accessibilité, mais elle n’intervient ni dans le recrutement ni dans la détermination des budgets. Ses prérogatives demeurent limitées : elle peut notamment suspendre un projet de plus de 8 millions s’il lui semble mal conçu – 8 millions, c’est déjà beaucoup d’argent.

Sur les 4 milliards par an consacrés aux DSI ministérielles, 2 milliards correspondent aux achats de licences comme Microsoft, SAP, Oracle, etc. et l’autre moitié est employée à de gigantesques projets qui durent parfois cinq, dix ou même quinze ans, qu’il s’agisse de concevoir le système de paie des militaires ou de gérer les ressources humaines de l’Éducation nationale – des projets qui sont souvent conduits de manière insatisfaisante. Ces 4 milliards représentent une somme relativement modeste : elle équivaut à environ la moitié de ce que la BNP consacre à l’informatique, sachant que cette banque est réputée pour être l’un des établissements les plus dépensiers dans ce domaine. Cela signifie, à mes yeux, que l’État n’ose pas véritablement s’engager dans le numérique, faute de le maîtriser suffisamment. De nombreux domaines n’ont pas encore été numérisés, précisément parce que cette transformation suscite crainte et appréhension. On sait qu’il faudra deux ans pour lancer un marché public, trois pour analyser les offres, puis cinq pour mettre en œuvre le projet retenu, qui sera un échec. Donc on repousse l’échéance le plus tard possible. À cause de ces réticences, l’État n’a pas vraiment embrassé la révolution numérique.

Parallèlement, la Dinum, dont le budget s’élève à 50 millions d’euros, mène de nombreuses actions. Elle a notamment lancé, à mon initiative, le programme des start-up d’État. Mon objectif était de réintroduire au sein de l’administration des méthodes agiles, des politiques publiques fondées sur la donnée (data-driven policies), le développement dit DevOps, ainsi que des pratiques de ressources humaines capables d’attirer une plus grande diversité culturelle et des profils rares ou atypiques. J’étais convaincu – et je le maintiens – que lorsqu’une organisation ne sait plus produire elle-même, elle ne sait plus acheter. Je pourrais citer des dizaines d’exemples de factures vingt fois trop chères, simplement parce que les achats avaient été réalisés à l’aveugle. Je pourrais vous parler de DSI ministérielles comptant près de mille personnes, dont seulement deux développeurs, tous les autres étant des acheteurs. Mon prédécesseur, Jacques Marzin, estimait qu’un certain ratio devrait être respecté : selon lui, il fallait environ un fonctionnaire pour trois développeurs dans les phases de conception, et un fonctionnaire pour cinq développeurs dans les phases d’exécution. Je ne sais pas si ce ratio est le bon, mais il est certain qu’on ne peut pas se contenter de la situation actuelle. J’ai vu des projets dans lesquels l’État avait successivement acheté les spécifications, puis le cahier des charges, puis l’assistance à la sélection du fournisseur, puis la prestation elle-même, et enfin les tests de recette. L’État n’avait strictement rien produit lui-même. À un moment donné, la faiblesse insigne de l’État constitue en elle-même un problème.

L’État n’a pas vocation à se substituer au secteur privé et il n’a jamais été question qu’il devienne, par exemple, un opérateur de cloud. En revanche, dans certaines situations, il faut être capable de faire bouger les lignes. J’en veux pour exemple la messagerie instantanée Tchap, que j’ai contribué à lancer. Ce service, réservé aux fonctionnaires, coûte aujourd’hui 11 centimes par an et par agent public. Il compte 400 000 utilisateurs hebdomadaires sur un potentiel de deux millions de fonctionnaires, dont tous n’ont pas besoin d’une messagerie. On peut considérer qu’il s’agit d’un succès raisonnable. À l’époque où je dirigeais la Dinum, la meilleure offre s’élevait à 20 euros par an et par agent public. Face à un tel écart, il me paraît légitime que l’État envisage une autre stratégie, en soutenant, par exemple, un éditeur de logiciel libre pour qu’il améliore son produit. S’il est évident que l’État a un rôle à jouer dans le dynamisme économique du pays en soutenant les entreprises françaises – je parle en connaissance de cause pour en avoir moi-même créé trois –, il doit les aider à réussir dans la compétition internationale, non les placer dans une situation protégée, à l’abri de toute concurrence, en pratiquant des tarifs trop éloignés des prix de marché. Dans un tel contexte, elles risqueraient de ne jamais trouver d’autres clients. L’exemple de Tchap n’est pas complètement honnête puisqu’il compare une offre datant d’une dizaine d’années avec un service aujourd’hui stabilisé. Néanmoins l’écart de prix était à l’époque considérable, de l’ordre d’un facteur dix.

Pour conclure, le cœur du problème est avant tout d’ordre culturel – et c’est un terrain sur lequel il est possible d’agir. J’espère que vous auditionnerez un jour Guillaume Poupard, qui a dirigé le pôle Sécurité des systèmes d’information du ministère des armées puis pendant quasiment dix ans l’Agence nationale de la sécurité des systèmes d’information (Anssi). Il m’a rapporté une conversation avec le dirigeant d’une entreprise du CAC40 à qui il conseillait de ne pas héberger ses données chez Amazon Web Services, en raison des risques d’espionnage. Son interlocuteur lui avait alors répondu qu’il n’avait pas de preuves. Cela illustre bien l’état d’esprit qui prévaut : on tend à considérer le numérique comme une simple fonction support, un peu ingrate, au même titre que l’immobilier ou la cantine, alors qu’il s’agit d’une fonction éminemment stratégique. Dans les entreprises, ce sujet devrait avoir une place au niveau du comité exécutif ; dans l’administration, il devrait relever de directeurs d’administration centrale, capables d’instruire le ministre sur des décisions stratégiques. À cela s’ajoute une culture, très répandue parmi les DSI, tant dans le secteur privé que dans le secteur public, qui consiste essentiellement à acheter des solutions plutôt qu’à savoir coder soi-même. Lorsque l’on évoque l’existence d’alternatives libres, plus sécurisées et moins coûteuses, à des solutions à 2 millions par an et concentrant une large part des attaques cyber, beaucoup ne disposent pas des compétences pour envisager un tel changement.

Il ne s’agit donc pas seulement de dénoncer la dépendance ou l’inaction de l’État, mais de mener un travail de pédagogie et de sensibiliser au fait qu’un autre monde numérique est possible. Il existe de nombreuses alternatives, déjà mises en œuvre ailleurs et qui ne sont pas nécessairement plus coûteuses. Elles impliquent simplement de travailler autrement, de structurer des équipes différemment, de s’allier avec de nouveaux écosystèmes et de développer de nouvelles logiques de partenariat. C’est une question vitale.

M. le président Philippe Latombe. Vous évoquez la nécessité d’amorcer un travail culturel. En tant qu’ancien directeur de la Dinum et ancien ambassadeur pour le numérique, avez-vous observé, au-delà de la réticence culturelle, un entrisme de la part de certaines sociétés étrangères, qui a pu rendre la réception de votre discours sur les alternatives plus difficile au sein de l’administration ? Avez-vous rencontré le même problème avec vos homologues européens ?

M. Henri Verdier. Pour les administrations, la question se pose certes, mais la difficulté tient surtout au fait que les DSI se comportent avant tout comme des acheteurs publics et n’ont pas les compétences pour procéder autrement. Il est vrai que leur formation continue est assurée par quelques grands acteurs très installés sur le marché, si bien qu’ils ne connaissent même pas l’existence d’alternatives. Le principal enjeu consiste à reconquérir la capacité de produire et de raisonner de manière autonome, de chercher et d’expérimenter de nouvelles solutions. Cela suppose aussi de repenser les dispositifs de formation continue. La question se pose de manière identique dans le privé. Toute structure de plus de mille personnes tend à se ressembler.

En ce qui concerne l’Europe, le problème est plus grave, vous le savez. Il y a plusieurs sujets. Lorsque j’ai commencé à être ambassadeur pour le numérique il y a huit ans, les positions françaises étaient souvent perçues comme cocardières, voire arrogantes. Lorsque nous évoquions la souveraineté numérique européenne, nous étions accueillis avec un sourire sceptique. Les pays du nord de l’Europe, très soucieux des libertés individuelles et de la liberté d’expression, voyaient dans notre discours une tentation bonapartiste. Les pays de l’ancien bloc de l’Est rappelaient volontiers que les États-Unis les avaient libérés et qu’il n’était donc pas question pour eux de les contrarier. Les pays de la façade atlantique de l’Europe, très attachés au libre-échange et au commerce avec les États-Unis, souhaitaient conserver cet équilibre. Quant aux pays du sud de l’Europe, de culture très littéraire, plutôt tournés vers d’autres axes de commerce international comme les routes de la soie, ils étaient préoccupés par d’autres dynamiques. En quelques années, la situation a beaucoup évolué et lors de ma dernière réunion avec mes homologues européens, certains m’ont dit, sur le ton de la plaisanterie, que les analyses françaises s’étaient révélées en partie fondées. L’un d’entre eux a même ajouté que le président Trump avait transformé les Britanniques en Européens et les Européens en gaullistes. La situation évolue donc, même si certains réflexes restent profondément ancrés.

Par ailleurs à Bruxelles, comme vous le savez, il y a plus de lobbyistes que de parlementaires. Leur technique ne consiste pas tant à murmurer des contre-vérités à l’oreille des dirigeants qu’à tout complexifier. Je pense notamment au règlement européen sur l’intelligence artificielle, l’AI Act, qui compte 450 pages et dont plus personne n’est capable d’expliquer le contenu. Ce règlement est le résultat de ce travail de complexification et de ramification infinie. Je ne sais pas si on peut parler d’entrisme, encore moins de corruption, mais il y a un engagement énorme, très financé, et relativement efficace des lobbyistes pour entraver le travail de régulation.

Vous me demandiez enfin dans vos questions écrites : le cadre européen peut-il fonctionner ? On pouvait raisonnablement penser que le règlement sur les services numériques (DSA) et le règlement sur les marchés numériques (DMA) – qui sont des textes magnifiques, très élégants et surtout synthétiques – fourniraient un cadre pour résoudre deux énormes problèmes : la concentration du marché et la régulation des contenus. La beauté du DSA réside dans une forme de neutralité : ni l’État ni l’Europe ne sont les gardiens de la vérité. Ce texte cherche plutôt à créer un cadre de conformité au sein duquel les entreprises choisissent elles-mêmes leurs stratégies. Elles ont pour seule obligation de rendre des comptes sur les moyens déployés pour traiter des problèmes comme les contenus terroristes, le harcèlement, la haine en ligne, etc. On pouvait donc penser que ces textes auraient une efficacité. Pour être allé plusieurs fois à Dublin, je peux vous assurer que les grandes entreprises de la tech se préparaient sereinement à distinguer deux zones dans leurs conditions générales d’utilisation (CGU) : les États-Unis d’un côté, l’Europe de l’autre. Et puis, quelques milliardaires libertariens, au premier rang desquels Peter Thiel et Elon Musk, ont financé la campagne de Trump en contrepartie de la promesse de nommer vice-président J.D. Vance – lobbyiste en chef des entreprises refusant la régulation. À partir de ce moment-là, nous avons entendu des déclarations sidérantes, comme lorsque celui-ci a affirmé, dans un cadre très officiel, que si l’Union européenne sanctionnait financièrement au nom du DSA n’importe quel réseau social américain, les États-Unis iraient jusqu’à se retirer de l’Otan. Le niveau de menace est stupéfiant. Ces propos ont été accueillis avec une certaine distance : il est peu probable que les États-Unis quittent réellement l’Otan. Mais, au-delà de la formule, le message signifiait : je vais être un maverick et je suis prêt à répondre à un différend commercial par des mesures de rétorsion dans n’importe quel autre secteur, sans me fixer aucune limite.

Il est donc difficile de savoir si nos cadres juridiques résisteront face à une telle détermination politique. Une chose est certaine : il faudra du courage et un véritable engagement, quitte à payer le prix de mesures de rétorsion en réponse aux décisions que l’Europe pourrait être amenée à prendre.

Mme Cyrielle Chatelain, rapporteure. Concernant la régulation européenne, l’Union dispose aujourd’hui de plusieurs cadres juridiques : le DSA, le DMA, mais aussi le règlement général sur la protection des données (RGPD), qui a constitué en son temps une innovation majeure. La Commission européenne a publié une proposition dite omnibus numérique. Quel regard portez-vous sur cette initiative ? Peut-on craindre, eu égard à la pression exercée par les États-Unis sur les réglementations européennes, ainsi que des moyens considérables que les Gafam consacrent au lobbying à Bruxelles, que celle-ci conduise à un affaiblissement du cadre juridique européen ? La question se pose d’autant plus que l’on observe, au sein du Parlement européen, certaines situations qui interrogent, telles que le passé de salariée des Gafam de l’une des rapporteures sur ce dossier.

M. Henri Verdier. Il y a d’autres textes juridiques que les trois que vous avez mentionnés, entre autres le Data Act, le Cyber Resilience Act, la directive PSI (Public Sector Information) ou le Chips Act. Concernant le projet d’omnibus numérique, n’étant plus directement en charge de ces questions, je ne l’ai pas examiné en détail. Toutefois, toutes les personnes à qui j’ai posé la question se disent inquiètes, et pas uniquement à cause des lobbyistes américains.

Notons que de nombreuses entreprises américaines, y compris dans le domaine de l’IA, ne sont pas nécessairement hostiles à toute forme de régulation. Beaucoup préféreraient qu’il y ait un cadre unifié et clair, qui leur permettrait de savoir selon quelles règles elles seront jugées, dans l’hypothèse de futures actions de groupe. Toutefois, une idéologie profondément méfiante à l’égard de la régulation a phagocyté la Silicon Valley. On la retrouve dans l’ouvrage de Peter Thiel, De zéro à un, qui contient par ailleurs des réflexions intéressantes sur l’entrepreneuriat. Le livre se conclut sur l’idée que la régulation est un obstacle à l’innovation et que seuls les monopoles disposent des ressources suffisantes pour briser les tabous. Cette vision, formulée il y a vingt ans, a longtemps été enseignée dans toutes les écoles de management.

Il existe des pressions venues des États-Unis, mais aussi, il faut le reconnaître, des lobbys européens. Pour autant, je souhaiterais réfuter l’idée très répandue selon laquelle la régulation serait nécessairement l’ennemie de l’innovation. Dans certains cas, elle peut même constituer un avantage. Ce fut par exemple le cas pour Airbus, qui a pu mettre en avant les normes de sécurité européennes particulièrement exigeantes, pour gagner la confiance de ses clients et reconquérir une part importante du marché mondial face à Boeing.

Il est vrai cependant que la régulation peut être lourde, complexe ou tatillonne. Un conseiller d’État m’avait raconté que le traité de concession du canal de Suez tenait en sept pages tandis que celui d’Eurotunnel en comptait 7 000 – ce dernier a tenu trois mois avant d’aboutir à la banqueroute générale. Lors de ma première visite en Inde, mes interlocuteurs me disaient combien l’idée fondatrice du RGPD – selon laquelle les données doivent circuler avec le consentement de l’utilisateur – leur paraissait remarquable et inspirante. Ils s’étonnaient en revanche de la lourdeur administrative de sa mise en œuvre pour les entreprises européennes. Leur approche consistait plutôt à concevoir un système de gestion du consentement mutualisé (consent management system), soutenu par une infrastructure commune, permettant de faciliter le partage, la révocation et la traçabilité du consentement, afin d’en faire un véritable levier d’innovation.

De ce que j’entends, plusieurs facteurs expliquent la volonté de simplifier certaines procédures et démarches : le rapport Draghi, les inquiétudes croissantes quant à la perte de compétitivité de l’Europe, et l’idée selon laquelle les coûts administratifs et bureaucratiques y contribuent en partie. Ce n’est pas en soi une mauvaise idée, à condition de ne pas jeter le bébé avec l’eau du bain. Il faut non pas renoncer à réguler mais apprendre à le faire de manière élégante et légère. Aujourd’hui, les inquiétudes sont largement partagées.

Mme Cyrielle Chatelain, rapporteure. Dans un entretien en marge du symposium Software Heritage, vous expliquiez que les décisions de l’État, notamment un marché public, sont souvent l’occasion pour les acteurs non retenus d’aller publiquement exprimer leur désaccord, voire, de manière plus discrète, d’aller directement frapper à la porte des responsables politiques, y compris d’un Premier ministre. Quel regard portez-vous sur le poids des lobbys – pour ne pas employer le mot d’ingérence ? Vous avez mentionné l’existence de lobbys européens comme américains : qui sont-ils ? À qui faisons-nous face lorsqu’on cherche à préserver l’autonomie de l’État ?

M. Henri Verdier. C’était dit dans un mouvement d’humeur, mais je l’assume. En revanche, je n’ai jamais dit que les décisions étaient truquées. Le code des marchés publics est tellement pointilleux, il y a tellement de responsabilités pénales susceptibles d’être engagées – jusqu’au payeur public qui est comptable sur ses biens propres – que c’est impossible. Ceux qui perdent le marché vont soit au tribunal administratif si ce sont des grosses entreprises, soit se plaindre dans les médias si ce sont des entreprises plus petites, mais, au cours ma carrière, je n’ai vu aucun exemple de décision biaisée à cause de la pression. En revanche, les visiteurs du soir peuvent influencer les manières de raisonner. Par exemple, en sept ans à la Dinum, j’ai vu passer trois fois l’idée du « 100 % dématérialisé », fondée sur des raisonnements un peu simplistes, du même ordre que ceux promettant de faire ainsi économiser 3 % à la sécurité sociale. Cela reste des cadres de raisonnement soufflés à l’oreille des politiques, sans pour autant truquer les marchés.

Mme Cyrielle Chatelain, rapporteure. Qui murmure ces cadres de raisonnement ? Avez-vous entendu le nom de visiteurs réguliers qui pourraient influencer l’analyse de l’État dans le secteur du numérique ?

M. Henri Verdier. Sans surprise, dès qu’une grande entreprise française emploie plusieurs centaines de milliers de salariés et demande à la diplomatie française et au réseau des services économiques de soutenir son effort d’exportation, elle parle aux politiques. Les entreprises Capgemini ou Atos, par exemple, sont reçues à un très haut niveau et il serait choquant qu’elles ne le soient pas. En fonction de la sensibilité du président en fonction, les start-up ont plus ou moins leurs entrées.

Mme Cyrielle Chatelain, rapporteure. Vous avez écrit en 2017 un plaidoyer pour passer des start-up d’État à l’État plateforme. Vous défendiez le développement par l’État d’outils au service de l’intérêt général pour éviter que les usagers ne soient prisonniers des Gafam. Aujourd’hui, quel bilan faites-vous de l’État plateforme ? Vous avez dit précédemment que tout n’a pas vocation à être internalisé. Quelles sont alors les fonctions stratégiques que l’État doit développer en interne pour continuer à être fort ?

M. Henri Verdier. J’ai été, au cours de ma carrière, d’abord entrepreneur puis directeur de la prospective pendant deux ans pour l’institut Mines-Télécom. En 2012, avec Nicolas Colin, nous avons écrit un livre, L’âge de la multitude, qui voulait montrer la puissance des stratégies de plateforme. Nous analysions comment Google, Facebook et tous les autres avaient le même genre de stratégies, à savoir d’ouvrir leurs actifs (assets) pour stimuler l’innovation d’un écosystème et capturer une partie de la valeur ajoutée de cette innovation. Techniquement parlant, le moteur de recherche de Google, c’est de la capture de liens hypertextes écrits par des millions d’internautes. La stratégie de plateforme suppose des choix technologiques précis, notamment celui de ne plus concevoir l’informatique comme un ensemble monolithique, comparable à une cathédrale, mais plutôt comme un assemblage de modules de petite taille, réutilisables par de multiples applications. Elle repose également sur des échanges de données fluides grâce aux API et sur une capacité accrue à s’ouvrir aux écosystèmes environnants. Je concluais le livre en faisant l’hypothèse que l’État pourrait adopter cette stratégie ; ce serait l’État plateforme. J’ai tenté de mettre en application cette idée lorsque je dirigeais la Dinum, qui continue d’ailleurs dans cette voie. Il en reste de belles initiatives comme FranceConnect, utilisé quotidiennement par 40 millions de Français. J’avais été très frappé d’observer qu’au Royaume-Uni, on se connectait à certains services publics, comme les impôts, avec un compte Facebook. Si le compte est mal paramétré, Facebook ne constitue pas seulement une porte d’entrée : en recourant au protocole Open Graph, la plateforme peut également recueillir des informations sur les pages consultées, les actions réalisées, ainsi que sur l’historique de navigation de l’utilisateur.

Il existe également des évolutions moins visibles mais tout aussi importantes. De grandes API ont considérablement simplifié le fonctionnement interministériel. Dédiées aux données des entreprises, aux données personnelles ou encore aux données géographiques, elles échangent des milliards de données chaque semaine. Elles ont permis de fluidifier et de sécuriser de nombreuses démarches administratives ainsi que des échanges entre administrations. Lorsque j’étais à la tête de la Dinum, j’avais ainsi découvert que certaines administrations utilisaient une copie de rang 7 du fichier Sirene (Système national d’identification et du répertoire des entreprises et de leurs établissements) ou du répertoire de la sécurité sociale. Les données y figurant accusaient parfois jusqu’à six mois de retard parce qu’il était trop complexe d’y accéder en temps réel.

La mise en place d’API s’est accompagnée d’une diffusion progressive des méthodes agiles : plus le système d’information de l’État fournit des modules réutilisables et des données par flux rapides, plus il devient facile de créer des prototypes adaptés à de nouveaux services. Ces méthodes commencent à s’ancrer dans les usages et apparaissent de plus en plus comme une réponse efficace à certains dysfonctionnements.

Il subsiste donc des réalisations solides, ainsi que de belles promesses. Cependant, quand j’ai découvert en Inde les infrastructures publiques numériques, j’ai eu le sentiment qu’ils avaient véritablement réussi à développer l’État plateforme auquel nous aspirions. L’expérience indienne me semble riche d’enseignements. Loin d’être une initiative gouvernementale, elle repose sur un écosystème privé-public, développé à Bangalore, capitale d’un État dirigé par l’opposition.

Si vous souhaitez prendre un rickshaw à Bangalore, vous pouvez le commander par une application qui a coûté environ 5 000 euros au syndicat des conducteurs de rickshaws grâce à l’utilisation d’un standard ouvert appelé Beckn. À l’origine, les conducteurs, pour la plupart analphabètes, se sont demandé pourquoi reverser 40 % de leurs revenus à la plateforme Uber alors qu’ils pourraient disposer de leur propre application de réservation. Le syndicat a passé commande à une petite société locale de services informatiques, pour un coût très modeste, et l’application fonctionne parfaitement. Ce qui a rendu cette initiative possible, c’est l’existence d’un standard ouvert permettant de décrire les mouvements, les trajectoires, les identités, les transactions ou encore les comptes en banque.

L’État plateforme à l’indienne, ce sont des infrastructures logiques, cognitives, qui permettent à chacun d’innover rapidement. Mais ce modèle repose aussi sur une maturité du débat politique que nous n’avons pas encore en France. Les opérateurs et les architectes de ces systèmes vous expliquent qu’il faut commencer par identifier les domaines d’intervention légitimes. Ils citent plusieurs cas de figure : tout d’abord lorsqu’il existe un risque de capture du marché par un monopole ; ensuite lorsque certaines innovations profitent à un si grand nombre qu’il devient plus simple de les financer par de l’argent public – c’est le cas de l’identité numérique par exemple : si chaque utilisation de l’identité devait être facturée individuellement, le marché serait saturé de microtransactions. Ils estiment enfin que l’État doit intervenir dans les marchés bifaces, comportant un risque d’intermédiaire malhonnête. Dans le cas d’Uber, on ne sait jamais si l’application travaille pour le chauffeur ou pour le client, ce qui lui permet potentiellement de prélever une commission sur les deux parties. En cas de litige, la régulation est compliquée. À l’inverse, lorsqu’un acteur assume clairement le fait de servir l’un des deux côtés du marché, les responsabilités sont plus aisées à établir. Il convient donc d’empêcher les acteurs économiques de prendre le contrôle des marchés bifaces. En revanche, il faut laisser l’innovation à l’initiative du marché. Le rôle de l’État consiste simplement à rendre l’innovation possible tout en garantissant que personne ne puisse en tirer une position de monopole. Ces sujets sont discutés en Inde par des milliers de gens, jour et nuit, et replacés dans une réflexion plus large sur l’histoire et l’héritage de l’indépendance, de Gandhi, de Nehru. Il s’en dégage une forme de sagesse collective qui est impressionnante.

M. le président Philippe Latombe. Nous faisons face depuis quelques mois à des fuites de données d’une ampleur préoccupante, notamment au sein du secteur public. L’authentification multifactorielle n’est pas encore la norme. Serait-ce le rôle de la Dinum que d’en imposer une, et, le cas échéant, selon quelles modalités ? Devrait-elle s’appuyer sur des solutions privées ou développer une solution publique, éventuellement adossée à l’identité numérique, afin d’assurer ce niveau supplémentaire de sécurité ?

Depuis plus de cinq ans, la plateforme des données de santé – dite Health Data Hub – a suscité de vives controverses, notamment en raison du choix d’un hébergement confié à Microsoft, non pas à la suite d’un appel d’offres classique, mais par l’intermédiaire de l’Union des groupements d’achats publics (Ugap). Quel regard portez-vous sur le rôle de l’Ugap ? Quelles évolutions pourraient être envisagées afin de garantir davantage d’ouverture, de transparence et de bonnes pratiques dans son fonctionnement ?

M. Henri Verdier. En ce qui concerne les fuites de données, la situation est extrêmement grave. Elle ne me surprend malheureusement pas dans la mesure où nos systèmes reposent sur des bases d’une grande fragilité, avec une surface d’exposition au risque élevée, ainsi que sur une forme d’inconscience – tant dans le secteur public que dans le privé. Cependant, les fuites augmentent aussi parce que les acteurs du cybercrime sont de plus en plus professionnalisés. Il y a aujourd’hui de véritables multinationales du cybercrime extrêmement puissantes avec des centres de recherche et développement, des responsables des ressources humaines et de la formation continue. L’exemple des Conti Leaks en témoigne. Au moment de l’invasion de l’Ukraine, l’organisation cybercriminelle Conti, une des plus importantes au monde, s’est divisée entre Russes d’un côté et Ukrainiens de l’autre. Un compte anonyme s’est alors mis à publier des dizaines de milliers de mails envoyés par des membres de ce groupe criminel, laissant apparaître une bureaucratie du crime très sophistiquée. Enfin, les fuites sont plus visibles puisque la loi fait maintenant obligation de les signaler. Reste que la situation est grave et je ne sais pas si la double authentification suffirait à endiguer le problème, étant donné la faiblesse des infrastructures elles-mêmes. Je confierais le soin de définir et d’imposer un cadre plutôt à l’Anssi qu’à la Dinum. À l’époque, le référentiel général de sécurité avait été élaboré de concert par l’Anssi et la Dinum, mais l’autorité de l’Agence semblait plus efficace. Cette agence dispose d’ailleurs de la capacité de s’opposer à la mise en œuvre d’un projet s’il présente des risques en matière de cybersécurité.

Quant au Health Data Hub, les personnes qui ont choisi l’unique solution référencée par l’Ugap ont agi ainsi pour gagner du temps et éviter la lourdeur des procédures de marché public : trois ans pour élaborer un appel d’offres, le notifier, le publier, analyser les candidatures et répondre aux éventuels contentieux. C’est révélateur des difficultés structurelles de l’achat public. Lorsque j’achevais mon mandat à la Dinum, je m’étais interrogé sur l’opportunité de créer une centrale d’achat dédiée à l’informatique, potentiellement confiée à la Dinum. Les achats informatiques requièrent des connaissances précises. L’Ugap accomplit son travail du mieux possible mais son périmètre d’intervention est trop large, qui va de l’informatique aux papiers peints, en passant par la flotte de véhicules, les vacances, etc. J’avais donc suggéré aux autorités qu’il pourrait être pertinent de disposer d’une centrale d’achat dédiée.

M. Arnaud Saint-Martin (LFI-NFP). Dans certaines situations, malgré les risques de vulnérabilité, la dépendance semble assumée, organisée, voire désirée par les administrations publiques ou même par l’État, sous forme de politiques publiques incitatives. Quel est votre sentiment à ce sujet ? Par exemple, au nord de ma circonscription, un campus géant nommé Campus IA est en cours d’implantation à Fouju. Aux côtés de l’investisseur principal – le fonds souverain MGX, basé à Abou Dabi – qui injecte 35 milliards de dollars, on trouve notamment Nvidia et Mistral AI. J’ai participé à une concertation publique au cours de laquelle j’ai soulevé plusieurs interrogations : les dépendances qu’un tel projet pourrait entraîner ou encore le fait qu’une partie significative de la valeur créée pourrait, à terme, être captée en dehors du territoire français. On m’a répondu que c’était une dépendance assumée et qu’il était nécessaire de s’organiser rapidement pour combler notre retard et accompagner le développement des usages liés à l’IA et au numérique. J’ai reçu la même réponse de la part du ministère chargé du numérique.

Ce premier exemple illustre la course au gigantisme que vous évoquiez et qui est peut-être une impasse, à tout le moins une fuite en avant. Ne sommes-nous pas là en train d’accroître certaines vulnérabilités plutôt que de les réduire ? Par ailleurs, que faut-il penser lorsque des infrastructures particulièrement critiques comme la DGSI (direction générale de la sécurité intérieure) signent des contrats avec Palantir, dont vous avez évoqué la figure controversée du fondateur, Peter Thiel, ainsi que sa philosophie ? N’y a-t-il pas un risque de dépendance accrue vis-à-vis d’acteurs qui ne nous veulent pas forcément du bien ?

M. Henri Verdier. Ce sont des thématiques compliquées. Nous avons face à nous une économie de capital-risque financée par des investissements considérables, dans un pays capable d’émettre autant de dollars qu’il le souhaite – puisqu’il peut en créer lorsqu’il en manque.

Nous sommes confrontés à un dilemme permanent parce que nous avons aussi besoin d’investissement. En ce qui concerne les data centers, le risque qu’ils quittent le territoire du jour au lendemain est assez peu élevé car ce sont des infrastructures physiques lourdes. La France cherche en permanence, d’une part, à assurer son autonomie et à soutenir l’indépendance capitalistique de ses propres entreprises, et d’autre part, à attirer des investisseurs étrangers, en espérant ne pas se tromper. L’histoire de l’industrie regorge néanmoins d’exemples d’erreurs stratégiques, comme la fusion entre Alcatel et Lucent ou l’arrêt par France Télécom des recherches sur Internet – dont l’Inria avait inventé certaines des technologies fondatrices – pour privilégier le Minitel. L’innovation s’est alors poursuivie aux États-Unis. Nous tentons constamment de trouver un compromis.

Quant au contrat entre Palantir et la DGSI, j’ai prêté serment donc je dois dire la vérité : j’ai toujours pensé que c’était une erreur. La DGSI ne faisait pas partie du périmètre d’action de la Dinum, donc je n’étais pas chargé de ce dossier, je n’ai pas effectué d’audit ni participé à la décision. En réponse à mes inquiétudes, il m’a été indiqué que les données sensibles étaient hébergées sur des machines coupées du réseau, ce qui en rend l’accès impossible à Palantir. Je veux bien le croire. Cependant si on en juge une littérature récente, notamment le livre d’Olivier Tesquet et de Nastasia Hadjadji, Apocalypse nerds, le danger se situe aussi ailleurs. Palantir vous permet de stocker cent fois plus de données qu’auparavant et se rend indispensable. Lorsqu’éclate un conflit commercial ou que change la grille tarifaire, si vous êtes en désaccord, l’entreprise peut menacer de vous priver de ses services que vous n’êtes plus capables d’assurer vous-mêmes. J’aurais donc été plus prudent. J’espère qu’on verra bientôt émerger non pas des Palantir européens, car changer la nationalité du tyran ne suffit pas à résoudre le problème de la souveraineté, mais des capacités de traitement de données européennes.

La souveraineté est aussi une condition de la démocratie. Si le peuple souverain n’est pas en mesure de décider librement de protéger ses données personnelles ou de garantir que ses enfants ne verront pas de pornographie, la démocratie devient une coquille vide. Derrière la souveraineté économique, c’est aussi la démocratie qui est en jeu.

M. Hervé Saulignac (SOC). Vous avez défendu l’idée d’un équilibre des rapports de force avec les grandes puissances, qu’elles soient américaine ou chinoise. L’Europe n’ayant pas fait le pari de l’autosuffisance numérique, ne pensez-vous pas qu’il est déjà trop tard ? Vous avez évoqué quelques pistes, notamment les standards ouverts, permettant d’atteindre cet équilibre, pourriez-vous en préciser d’autres ?

Ma seconde question porte sur la multiplicité des acteurs publics impliqués : les autorités de régulation – telles que la Commission nationale de l’informatique et des libertés (Cnil), l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (Arcep) ou encore l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) – ; les directions chargées du pilotage de l’action de l’État, comme la Dinum ; les diverses agences spécialisées ; plusieurs plateformes publiques telles que FranceConnect ou data.gouv ; et de nombreux organismes de recherche. Une refonte de l’architecture et de la gouvernance de ces institutions serait-elle souhaitable pour réduire la dispersion actuelle et les coûts significatifs qui en résultent ?

M. Arnaud Le Gall (LFI-NFP). Le 5 février 2025, le Premier ministre a publié une circulaire relative à la commande publique numérique. L’administration a-t-elle les moyens de l’appliquer ? Et d’ailleurs, y a-t-il une seule personne au sein de l’État qui soit capable de fournir une cartographie globale des solutions numériques utilisées dans l’administration française, au moins au niveau central ?

Le cloud est l’un des nefs de la guerre. Je suis préoccupé par le fait que le Cybersecurity Act 2 semble entériner l’abandon du label de cloud souverain. La première réaction consisterait évidemment à ne pas renoncer à cet objectif et à poursuivre le développement de cloud souverain, garantissant que les données sensibles ne puissent être soumises ni à la législation américaine ni à la législation chinoise – même si les solutions chinoises sont, de fait, beaucoup moins utilisées en Europe. Interrogé par la commission des affaires étrangères sur le recours à des solutions d’Amazon pour la phase test de l’euro numérique que nous jugions scandaleux, Guillaume Poupard avait répondu que, pour une partie de nos partenaires européens, « la souveraineté est un gros mot ».

La seconde piste consisterait à s’interroger plus fondamentalement sur nos besoins. Avons-nous réellement besoin du tout-cloud ? La généralisation des clouds ne constitue-t-elle pas un facteur de vulnérabilité ? Le cloud revient, en pratique, à centraliser des volumes considérables de données dans de très grands centres de calcul. Dans certains cas, ne serait-il pas possible, y compris pour des raisons d’impact environnemental, de réduire le recours au cloud, notamment au sein de l’État ?

Mme Cyrielle Chatelain, rapporteure. Vous avez évoqué la nécessité de disposer d’une capacité de calcul européenne. Quels sont les principaux critères permettant de garantir la souveraineté des data centers ? La seule localisation géographique ne suffit pas, notamment en raison de l’existence de lois extraterritoriales. Quels éléments de vigilance doit-on prendre en compte, lorsqu’on participe, comme M. Saint-Martin, à une concertation publique sur l’implantation d’un data center ?

M. Henri Verdier. J’identifie trois grands ensembles de questions. Le premier concerne l’organisation de l’État sur la question numérique, qui est effectivement très éclatée et a varié au cours du temps selon les ministres, les ambassadeurs ou les responsables de Dinum. Cet éclatement s’explique en partie par le fait que les ministres ou secrétaires d’État chargés du numérique étaient au départ secrétaires d’État à l’économie numérique, ce qui impliquait une forte dimension de politique industrielle, tournée vers l’innovation et les start‑up.

La Dinum s’inscrit dans une autre trajectoire. Jusqu’en 1986, les systèmes d’information de l’État étaient développés de manière très autonome par les informaticiens des différentes administrations. Un décret de décembre 1986 commence à structurer cette gouvernance : les ministres deviennent responsables des systèmes. Puis une circulaire du Premier ministre François Fillon rattache les directions des systèmes d’information aux secrétaires généraux des administrations. Et petit à petit, avec craintes et tremblements, certaines fonctions sont mutualisées à l’échelle interministérielle. Cela se traduit notamment par la mise en place du réseau interministériel de l’État (RIE) et par l’élaboration de référentiels communs, par exemple en matière d’accessibilité. Aujourd’hui, la Dinum joue surtout un rôle de coordination et d’interconnexion entre des systèmes qui restent largement ministériels.

La cybersécurité, c’est encore une autre histoire. Quant à la diplomatie numérique, c’est un domaine à part entière qui recouvre des attributions telles que la gouvernance d’internet, le droit international dans le cyberespace ou l’éthique de l’IA. Par ailleurs, chaque ministère sait désormais que l’avenir des politiques publiques dont il a la charge – qu’il s’agisse d’éducation, de santé ou d’écologie – sera profondément lié aux transformations numériques et à l’intelligence artificielle. Il est donc naturel qu’aucun d’entre eux ne souhaite être entièrement dessaisi de ces questions.

C’est bizarrement parfois au niveau européen que la cohérence apparaît le plus clairement. Lorsqu’un texte est négocié à Bruxelles, la position française est préparée par le secrétariat général des affaires européennes (SGAE) à l’issue d’une concertation interministérielle, puis défendue par la représentation permanente de la France auprès de l’Union européenne. Ce processus aboutit généralement à une position nationale unifiée, négociée et arbitrée en amont.

Dans ces conditions, la cartographie que vous évoquiez est très difficile à établir. La Dinum peut avoir une vision relativement précise des dépenses des DSI des ministères, mais une grande partie des initiatives lui échappe. Si les services d’information de certains ministères développent des outils comme des chatbots, ces projets échappent aux radars de la Dinum. Il en va de même pour de nombreux autres périmètres : les opérateurs de l’État, la sphère de la défense ou encore les activités classifiées. À cela s’ajoute l’absence de véritable comptabilité analytique : les dépenses sont principalement intégrées dans des budgets de fonctionnement, ce qui rend l’analyse très difficile. Établir une cartographie précise supposerait donc une mission d’enquête spécifique, fondée sur une analyse approfondie des données budgétaires et administratives.

Le deuxième ensemble de questions concerne la souveraineté, notamment européenne. Plutôt que de renoncement, je parlerais d’une série d’échecs. La France, qui avait su développer des grands programmes nucléaires ou spatiaux, a connu des revers dans le domaine du numérique, depuis le demi-échec du plan Calcul jusqu’aux tentatives de construire un Airbus du hardware et à la bataille perdue du système d’exploitation. L’une des causes de ces échecs tient sans doute à notre approche traditionnelle de l’innovation, très différente de celle de la Silicon Valley. Leur modèle est profondément darwinien : on lance un grand nombre de projets, on en abandonne rapidement la majorité, et quelques succès majeurs compensent l’ensemble des échecs grâce au capital-risque. Cette dynamique, visiblement efficace, a mis du temps à être comprise en Europe. Nous avons connu quelques réussites ponctuelles, l’arrivée de Price Minister et plus récemment l’arrivée de Criteo ont insufflé une bouffée d’espoir sur le marché – enfin, nous avions une licorne ! Reste que nous avons peiné à trouver une véritable dynamique d’innovation numérique et nous avons perdu vingt ans.

À cela s’ajoutent les divergences culturelles au sein de l’Europe. La notion même de souveraineté numérique a longtemps suscité des réticences chez certains partenaires qui y voyaient plutôt une dérive autoritaire, sur le modèle de la Chine. J’ai ainsi passé beaucoup de temps expliquer qu’il ne s’agissait pas de restreindre les libertés en ligne, de contrôler internet ou de censurer la parole publique, mais de garantir notre capacité d’action et de régulation. Pour rassurer nos collègues, nous avons appris à parler d’autonomie stratégique ou de self-determination plutôt que de souveraineté. Les esprits évoluent, mais là aussi, nous avons perdu vingt ans.

Pour l’avenir, plusieurs orientations stratégiques me semblent importantes. Il faudrait tout d’abord définir quelques priorités industrielles claires. La France dispose par exemple d’acteurs solides dans le cloud, sur lesquels elle pourrait s’appuyer. En ce qui concerne l’intelligence artificielle, on parle constamment des Large Language Model (LLM), un programme d’intelligence artificielle destiné au marché et au marketing. Cependant, pour reprendre les termes de Thierry Breton, il existe un boulevard en Europe pour une IA industrielle, capable de transformer nos systèmes de production. Elle fonctionnerait avec des données qui ne sont pas encore en place publique et il faudrait inventer un business model autre que le placement publicitaire. Ce projet présente un double enjeu pour l’Europe, dans la mesure où il permettrait de développer des IA très européennes et de sauver notre industrie. Si l’Europe se donnait, par exemple, l’objectif de réduire de 30 % la consommation d’énergie et de matières premières de ses usines grâce au numérique, ce serait un progrès industriel et écologique majeur.

Il est également essentiel de soutenir la recherche publique, qui est sérieusement affaiblie par manque de financement, alors qu’elle a joué un rôle décisif dans le développement de technologies aujourd’hui centrales, y compris dans l’IA. Personne ne croyait aux Diffusion Large Language Models (DLLM) il y a vingt ans, à l’exception de quelques laboratoires en France et au Canada. On devrait, en outre, s’inspirer des infrastructures publiques numériques à l’indienne et mener une politique beaucoup plus affirmée de soutien aux grands communs numériques et aux logiciels libres, qui sont des facteurs de souveraineté. Aujourd’hui, nous leur apportons très peu de financement public. Lorsque j’étais ambassadeur, j’ai ainsi soutenu la création d’un European Digital Infrastructure Consortium (Edic) consacré aux communs numériques. Il aura fallu trois ans de négociations avec Bruxelles pour y parvenir, et les moyens qui lui seront alloués restent modestes, de l’ordre de quelques millions d’euros. Pourtant, une part importante de notre liberté numérique repose sur ces infrastructures ouvertes, comme Linux, OpenStreetMap et plus largement sur le fait qu’internet demeure fondé sur des standards ouverts. Parfois, nous perdons la bataille, comme dans le cas de Mozilla : la structure a progressivement été cannibalisée par Google, qui a apporté des moyens considérables – en développeurs comme en financement – jusqu’à la rendre complètement dépendante. Le fait qu’un logiciel soit libre ne signifie pas qu’il soit protégé. Sa pérennité dépend de l’existence d’une communauté active de contributeurs, d’un investissement continu et de financements suffisants.

La commande publique constitue un autre levier important, même si son impact est parfois surestimé. Il faut garder à l’esprit l’écart de moyens entre les États-Unis et l’Europe – je l’ai déjà mentionné en matière de dépenses militaires. En revanche, il serait utile que l’État développe une commande publique plus stratégique et plus ouverte à l’innovation. Pour favoriser une meilleure compréhension, il s’agirait de dialoguer avec plus de start-up, d’entrepreneurs et de chercheurs. Une telle approche serait bénéfique à l’ensemble de l’écosystème.

Pour conclure, je ne pense pas qu’il soit trop tard. J’ai souvent participé à des colloques où l’on débattait longuement pour savoir s’il fallait parler de souveraineté ou d’autonomie stratégique, voire s’il convenait d’adopter une forme de protectionnisme. Or, lorsque l’on échange avec de grands entrepreneurs, un constat plus simple s’impose : l’objectif est avant tout d’augmenter nos degrés de liberté. Cette logique devrait guider nos décisions quotidiennes. Si cette approche devenait un réflexe, elle transformerait progressivement la culture des organisations. Par exemple, si cette commission a mis en place un groupe de travail sur messagerie, on peut légitimement espérer que ce soit sur Signal, sinon cela pose des problèmes d’indépendance et de sécurité. Je peux vous raconter à ce sujet une anecdote assez révélatrice. Lorsque je suis entré à la Dinum en 2015, un gros marché public était sur le point d’être publié. Cela faisait trois ans que le dossier était en préparation, tout avait été validé, y compris par le contrôleur budgétaire et comptable ministériel (CBCM) et le Premier ministre lui-même. Il s’agissait d’un marché relatif à des services de cloud et je savais, parce que je m’étais renseigné, qu’aucun acteur français ne répondrait à l’appel d’offres. J’ai immédiatement tenté d’introduire une clause supplémentaire afin de prévoir, avant signature du contrat, un test de migration, permettant de vérifier que nous pouvions quitter la solution retenue en quinze jours. L’idée était d’ajouter une dernière ligne de défense, autrement dit un degré de liberté supplémentaire. En l’occurrence, cela a été refusé mais cet exemple illustre le type de réflexes qu’il faudrait systématiquement adopter. Si nous développions cette culture, les premiers gains pourraient être rapides et concrets.

Dans l’histoire du numérique, les positions dominantes sont rarement définitives et c’est une bonne nouvelle : les géants d’aujourd’hui peuvent être renversés cinq ans plus tard par de nouveaux géants. L’enjeu est donc de préparer dès maintenant les prochaines batailles technologiques et de les gagner cette fois-ci.

* *

Table ronde, ouverte à la presse, réunissant M. David Chavalarias, directeur de recherche au CNRS, directeur au Centre d’analyse et de mathématiques sociales de l’EHESS, et directeur de l’Institut des systèmes complexes de Paris Île-de-France (ISC-PIF) et M. Robin Berjon, informaticien, directeur de l’agence Supramundane (mardi 10 mars 2026)

M. le président Philippe Latombe. Nous poursuivons nos auditions avec une table ronde visant à dresser un panorama introductif des dépendances et vulnérabilités de la France dans le secteur du numérique. Quelles sont les caractéristiques techniques et organisationnelles de la domination exercée par les Big Tech ? Quels effets cette domination produit-elle ? Comment faire évoluer ce système pour aller vers un cyberespace plus équilibré, mieux gouverné et œuvrant pour le bien commun ?

Pour répondre à ces questions, nous recevons Mme Maud Quessard, directrice du domaine euratlantique à l’Institut de recherche stratégique de l’École militaire (Irsem), M. Robin Berjon, informaticien et consultant, spécialisé dans la gouvernance de la technologie, et M. David Chavalarias, mathématicien, directeur de recherche au Centre national de la recherche scientifique (CNRS) et au Centre d’analyse et de mathématiques sociales de l’École des hautes études en sciences sociales (EHESS), et directeur de l’Institut des systèmes complexes de Paris Île-de-France.

Madame, messieurs, je vous prie de déclarer tout autre intérêt public ou privé qui serait de nature à influencer vos déclarations.

Auparavant, je vous rappelle que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter serment de dire la vérité, toute la vérité, rien que la vérité.

(Mme Maud Quessard, M. Robin Berjon et M. David Chavalarias prêtent successivement serment.)

M. Robin Berjon, informaticien et consultant, directeur de l’agence Supramundane. En matière de dépendances structurelles et de vulnérabilités systémiques, la situation dans laquelle nous nous trouvons n’est pas le fruit du hasard. Elle ne résulte pas d’une quelconque supériorité, culturelle ou autre, des Américains, mais d’un choix politique fait au début des années 1990 et assumé depuis par toutes les administrations.

Au début des années 1990, les États-Unis se sont rendu compte que leurs investissements dans les systèmes militaires n’étaient plus justifiés, du fait de la fin de la guerre froide, et ont décidé de les réorienter vers le secteur de la technologie, particulièrement dans la Silicon Valley. Ces investissements très significatifs, qui s’élèvent à plusieurs centaines de milliards, ont été associés à une politique volontariste visant à permettre aux sociétés informatiques de se développer sans entraves nationales ou internationales, dans un modèle leur confiant la gouvernance de l’internet.

Cette politique a été poursuivie au moins jusqu’à la fin du mandat de Biden – Trump ne l’avait pas remise en cause pendant son premier mandat, mais la situation est un peu plus compliquée depuis sa réélection – et a abouti à un gouvernement privé de la sphère numérique par les Big Tech – le terme de gouvernement se justifie par le fait qu’il s’agit d’infrastructures et non de produits de consommation.

Lorsqu’il est question d’infrastructures numériques, les gens pensent aux data centers, éventuellement au cloud ou à la connectique, c’est-à-dire à des éléments qui ressemblent, d’une certaine façon, à des infrastructures traditionnelles de transport, d’énergie, etc. Or le champ des infrastructures numériques est beaucoup plus vaste.

Une infrastructure est un système à grande échelle qu’il est difficile de remplacer. C’est le cas, par exemple, d’un réseau routier, car en construire un nouveau est complexe. Dans le domaine du numérique, cette complexité est notamment liée aux marchés bifaces ou aux effets de réseaux. Par ailleurs, un système infrastructural soutient un large éventail d’activités sociétales – des activités économiques mais aussi des activités quotidiennes des citoyens –, ce qui permet de capter beaucoup de valeur. Enfin, une infrastructure gouverne ses usagers. Dans la plupart des cas, cette capacité à gouverner est neutralisée par les décisions d’États démocratiques, mais, s’agissant des systèmes numériques, ce travail n’a pas été effectué. Les infrastructures peuvent donc imposer des règles à leurs usagers.

Pour vous faire part de mon expérience, une société relativement puissante comme le New York Times, au sein de laquelle j’ai été vice-président pendant plusieurs années, considère que les règles définies par Google ou Meta sont plus importantes que celles adoptées par tel ou tel pays, parce qu’elles ont davantage d’impact. Nous sommes confrontés à un problème de souveraineté numérique car le droit des États compte moins que le droit de ces gouvernements privés. Cela concerne aussi bien les navigateurs que les systèmes d’exploitation, les app stores, les réseaux sociaux, etc : la liste est très longue. De ce fait, lorsqu’on a affaire à une infrastructure de gouvernance autoritaire, la société elle-même devient, par la force des choses, autoritaire, quelles que soient les institutions qui agissent par ailleurs.

Face au problème difficile que constitue l’insuffisance de la souveraineté, des solutions existent, mais il faut veiller à ne pas commettre certaines erreurs. D’abord, il ne faut pas se fourvoyer dans des approches monistes, qui consistent à croire que l’on pourrait tout résoudre en actionnant un seul levier, comme la régulation, la concurrence, l’investissement, la commande publique, etc. Au contraire, nous devons construire des stratégies cohérentes qui utilisent tous les outils dont nous disposons.

La tentation est également forte de commencer par les couches basses, comme le cloud ou les infrastructures d’hébergement. Or le risque est de s’y trouver coincé, sans réussir à monter en puissance et à accéder aux couches supérieures. Il est plus intéressant de commencer au plus près des consommateurs et des utilisateurs, autrement dit de la production de valeur – comme l’ont fait les Big Tech.

Nous assistons par ailleurs, en particulier à Bruxelles, à une focalisation extrême sur l’intelligence artificielle (IA). Elle est devenue le sujet central, comme si le reste de l’informatique n’existait plus. Pourtant, même si elle est importante, elle ne représente pas plus de 5 à 10 % du problème.

Enfin, certains tiennent des discours défaitistes. Découragés face à la taille des infrastructures, ils préfèrent abandonner et accepter la vassalisation. Puisque les États-Unis ont gagné sur ce terrain, ils pensent que nous avons intérêt à faire autre chose, comme développer le tourisme ou je ne sais quoi d’autre.

Aucune de ces voies n’est la bonne. Des exemples montrent que nous pouvons développer des solutions alternatives, qui commencent à fonctionner. Je participe notamment au projet Eurosky, qui vise à créer un modèle européen permettant le retour à la souveraineté numérique. L’objectif est de disposer, comme dans tous les autres secteurs industriels, d’infrastructures partagées de gouvernance soutenant un monde d’applications concurrentielles. Ce schéma, qui est duplicable dans toute l’économie numérique à des coûts relativement faibles, a déjà été déployé pour les réseaux sociaux. Grâce à des infrastructures souveraines dont la gouvernance est collective et démocratique, on peut parvenir à un réel pluralisme ; un choix est offert en matière de modération des contenus, de recommandations, etc. À l’heure actuelle, 43 millions d’utilisateurs y ont accès. Ce n’est donc pas confidentiel, et le chiffre est en augmentation constante.

Il est possible de définir des stratégies efficaces pour démocratiser la sphère numérique et ouvrir les marchés numériques à la concurrence, ce qui n’est pas le cas aujourd’hui. Des actions collectives doivent être menées en matière de régulation et d’investissement. Les pouvoirs publics ont un rôle à jouer en la matière. Ces actions sont tout à fait réalisables ; leur coût n’est pas énorme au regard des sommes évoquées notamment pour l’IA. L’Europe dispose de solutions techniques performantes et possède toutes les compétences pour mener à bien de tels projets. Il ne lui manque qu’une volonté politique et une stratégie cohérente pour traiter le problème.

M. David Chavalarias, mathématicien, directeur de recherche au CNRS et au centre d’analyse et de mathématique sociales de l’EHESS, directeur de l’Institut des systèmes complexes de Paris Île-de-France. Je poursuivrai le propos de M. Berjon en me concentrant sur ma spécialité, c’est-à-dire l’analyse des réseaux sociaux.

Les réseaux sociaux, et les médias sociaux en général, sont importants car ils constituent une interface directe avec l’opinion publique. Or les démocraties vont là où leur opinion publique – ou, dit autrement, la volonté populaire exprimée par le vote – les emmène. Si vous avez la possibilité d’influencer l’opinion publique, vous disposez d’un certain pouvoir sur les démocraties.

À l’échelle mondiale, le taux de pénétration des réseaux sociaux est compris entre 60 et 70 % – il est souvent plus proche du second chiffre. Les utilisateurs leur consacrent en moyenne deux heures par jour et, selon une étude de Reuters de 2025, ils sont la principale source d’information d’un Français sur cinq. Ces chiffres donnent une idée de l’impact que peuvent exercer les réseaux sur notre société.

La Big Tech emploie trois stratégies pour conquérir les marchés et accroître son influence. La première consiste à investir des domaines d’activité qui ne sont pas encore réglementés, comme les réseaux sociaux à leur début ou les orbites basses utilisées par Starlink. La deuxième consiste à violer la loi suffisamment rapidement pour que le gain excède le coût engendré par la condamnation, lorsque celle-ci surviendra. Plusieurs amendes infligées notamment par l’Union européenne (UE), qui n’étaient pas du tout à la hauteur des bénéfices engrangés par les entreprises concernées, ont montré la pertinence de ce calcul. Enfin, la troisième – la plus inquiétante, à mes yeux – consiste à violer le droit assez vite pour influencer l’opinion publique et obtenir une évolution politique, afin que l’infraction ne soit plus constituée ou que l’on soit pardonné. Nous l’avons vu aux États-Unis concernant les émeutiers du 6 janvier 2021. Dans le même ordre d’idées, pendant la campagne présidentielle, Elon Musk se demandait à combien d’années de prison il s’exposait si Donald Trump n’était pas élu.

S’agissant de l’influence des réseaux sociaux, un point technique est important à comprendre. La plupart des utilisateurs pensent que ces plateformes fonctionnent comme le courrier électronique, c’est-à-dire qu’ils envoient des messages à des gens qui les lisent et qu’eux-mêmes lisent les messages qui leur ont été envoyés. Or, sur ces réseaux, l’information est essentiellement consultée à partir de la page d’accueil et du fil d’actualité, qui présente certes des messages publiés par les personnes auxquelles vous êtes abonné mais aussi des messages émanant d’autres personnes.

À l’Institut des systèmes complexes, nous avons audité le fil de X. Ces travaux ont notamment été menés par Paul Bouchaud. Ils montrent qu’un tiers des messages, en particulier à caractère politique, n’ont pas été sollicités. Concernant les deux autres tiers, le temps que vous passez sur le réseau social ne vous permet d’en lire que 3 %. Si vous êtes abonné à 500, 600 ou 700 personnes, vous ne pouvez pas lire tout ce qu’elles publient : vous ne lisez que ce qui vous est présenté en premier, ce qui représente environ 3 % de ce qui est produit dans votre environnement social.

Le fil d’actualité permet une très forte éditorialisation des réseaux sociaux ; il constitue leur principale porte d’entrée. L’éditorialisation peut en outre être facilement modifiée. Nous avons mesuré que, parmi les 3 % de messages émanant de vos abonnés que vous parvenez à lire, les contenus dits toxiques, c’est-à-dire comportant une dose d’hostilité, d’agressivité ou d’obscénité, étaient surreprésentés. Or, théoriquement, ce biais ne devrait pas exister, ni d’ailleurs le biais inverse qui consisterait à donner l’impression que tout va bien en passant sous silence certains problèmes. À l’échelle de centaines de millions, voire de milliards d’utilisateurs, la perception de la réalité est ainsi déformée : le monde apparaît plus noir, ou votre voisin plus méchant qu’il ne l’est réellement.

Ce phénomène affecte non seulement la circulation des informations, mais également la visibilité des personnes, puisque celles qui s’expriment de la manière la plus toxique sont mises en avant et finissent par être surreprésentées – elles reçoivent plus de connexions entrantes. Les personnes toxiques sont ainsi surreprésentées parmi les influenceurs du réseau en raison de la conception même de ce dernier et non parce qu’elles produisent des contenus intéressants. Pour maximiser l’engagement, c’est-à-dire promouvoir des contenus qui seront cliqués et partagés, le modèle économique de la plateforme encourage ce biais de négativité et de toxicité. Nous avons d’ailleurs pu observer que ce biais était passé de 32 à 49 % après le rachat de Twitter par Elon Musk. Les modifications qu’il a apportées à cette infrastructure ont donc changé la donne.

Les problèmes que je viens d’évoquer sont liés à la conception des réseaux sociaux. Ils ne s’expliquent pas forcément par une intention de nuire, même s’ils ont pour effet de porter atteinte au débat public et, probablement, à la santé mentale.

À cela s’ajoute le fait que certains acteurs reconnaissent désormais officiellement qu’ils utilisent les réseaux sociaux comme une arme politique et d’influence. Elon Musk l’a fait pendant la campagne présidentielle de Donald Trump. Il a notamment posté des messages dans lesquels il indiquait vouloir gaver les utilisateurs de ses idées. Pavel Durov a, pour sa part, contacté tous les usagers espagnols de Telegram pour critiquer la loi interdisant les réseaux sociaux aux mineurs. Sur un coup de tête de l’un de leurs dirigeants, ces infrastructures, qui régulent la circulation d’informations, peuvent servir à influencer les citoyens et à leur demander d’agir d’une certaine façon.

Les recherches se poursuivent sur l’impact que les algorithmes de présentation de l’information peuvent avoir sur les individus. Les résultats d’une étude très récente, menée notamment par Germain Gauthier, ont été publiés le mois dernier dans Nature. Aux États-Unis, des individus qui n’utilisaient pas l’algorithme standard de X y ont été exposés pendant sept semaines. Bien que la période soit assez courte, elle a suffi pour que 5 à 7 % d’entre eux en moyenne changent d’opinion à l’égard de Zelensky ou portent un jugement différent sur le caractère justifié ou non des procès contre Trump ou certaines idées conservatrices.

Cette mesure empirique montre donc qu’un algorithme peut faire changer d’opinion 5 à 7 % des électeurs en moyenne et jusqu’à 15 % des électeurs indépendants, qui, aux États-Unis, peuvent voter pour les Républicains ou les Démocrates en fonction des sujets ou des élections. Avec X, vous avez un média qui a la main sur 32 millions d’utilisateurs réguliers et peut influencer 15 % des indécis, ce qui correspond à peu près à l’écart entre Kamala Harris et Donald Trump dans le vote populaire. Cela donne un ordre de grandeur, d’autant plus qu’il ne s’agit que de X. Les réseaux sociaux sont donc des instruments capables de faire évoluer l’opinion dans un sens ou dans l’autre sur la durée d’une campagne et, même si d’autres effets sont à prendre en compte, de changer le résultat d’une élection.

Depuis l’arrivée d’Elon Musk et, surtout, l’élection de Donald Trump, la plupart des Big Tech, en particulier les Gafam – TikTok est aussi très influent et complètement verrouillé, mais c’est un acteur chinois, ce qui pose d’autres problèmes – ont fermé leur accès aux chercheurs, certainement de manière volontaire. Or, pour travailler sur les réseaux sociaux américains, nous avons besoin de faire de la veille et d’analyser les dysfonctionnements de ces plateformes. Une bataille juridique est en cours, car elles ne respectent pas le droit européen. En cas de risque systémique, par exemple sur l’intégrité des élections, des entités tierces indépendantes, comme des organismes de recherche, devraient pouvoir accéder à certaines données pour quantifier le phénomène et éventuellement émettre une alerte. J’ai moi-même demandé, en vain, à disposer de ces accès, comme plusieurs de mes collègues. En Allemagne, au moment où Elon Musk est intervenu pour soutenir l’AFD (Alternative für Deutschland) et que des armées de robots ont amplifié l’impact de ses messages, des chercheurs ont demandé à accéder aux données de X, mais ils n’y ont pas été autorisés dans les temps. À l’heure actuelle, ces systèmes sont complètement opaques et ne peuvent pas être audités.

Pour réaliser cet audit, nous aurions besoin de deux choses. D’une part, il faudrait idéalement que nous connaissions l’algorithme. Certains acteurs l’ont publié. Curieusement, X l’a fait, à différents moments, sans que nous sachions s’il est complet. Toutefois, il ne nous sert à rien, puisque nous ne disposons pas des paramètres. À titre d’exemple, en France, pour le calcul de l’impôt, l’algorithme prévoit que le pourcentage d’imposition varie en fonction de la tranche de revenu. Si vous ne connaissez pas ces pourcentages – c’est-à-dire les paramètres employés –, vous ne saurez pas si le système favorise les plus riches ou les plus pauvres. En outre, il faudrait pouvoir vérifier que l’algorithme est effectivement appliqué, en observant les entrées et les sorties. Dans le cas de l’impôt, un sondage auprès de la population permettrait de s’assurer que les sommes payées correspondent au modèle théorique. Pour les réseaux sociaux, il conviendrait de savoir quelles informations circulent, comment les messages sont relayés, etc. Avant le rachat de Twitter par Elon Musk, le système était ouvert : nous pouvions effectuer ce suivi. Aujourd’hui, tout est fermé. Pour désopacifier et mener des audits, nous menons donc deux batailles, qui portent sur l’accès aux algorithmes et à leurs paramètres et, surtout, sur l’accès aux entrées et aux sorties.

Mme Maud Quessard, directrice du domaine euratlantique à l’Institut de recherche stratégique de l’Irsem. Je souhaiterais me pencher, en ma qualité d’analyste politique, sur les transformations qu’a connues le cyberespace au cours des quinze dernières années.

Si les États-Unis ont investi massivement dans la technologie depuis les années 1990, le rapport entre le politique et la Silicon Valley a toutefois évolué depuis l’ère Clinton. Les Gafam – qui doivent être distingués des Big Tech – ont été fort utiles pour conduire des délégations technologiques et diplomatiques avec le gouvernement américain, notamment le département du commerce. Ils étaient des partenaires, pas forcément politiques. Ce ne sont pas tout à fait les mêmes acteurs qui sont aujourd’hui à la solde du gouvernement de Donald Trump : nous avons assisté à leur politisation entre ses deux mandats.

Au cours des quinze dernières années, la nature des infrastructures stratégiques a connu une mutation profonde. Elles sont devenues d’autant plus stratégiques qu’elles sont vulnérables. Les data centers, qui ne représentent pas l’ensemble de ces infrastructures, sont très présents dans le débat public. Pourtant, alors que la guerre est de retour en Europe et qu’un conflit est en cours au Moyen-Orient, leur protection est-elle évoquée ?

Contrairement aux infrastructures classiques d’énergie, de transport ou de télécommunication, le système numérique mondial est structuré autour d’acteurs privés transnationaux – pas seulement la Big Tech – qui disposent de la capacité, sans précédent, de contrôler simultanément les infrastructures techniques, les plateformes d’intermédiation et les flux informationnels, c’est-à-dire à la fois le contenant et le contenu. Nous sommes dans une configuration inédite de souveraineté partagée entre États et entreprises technologiques. On parle de Big Tech Nations, dont les architectures techniques sont globalisées.

Dans ce contexte, les questions de dépendance numérique doivent être analysées dans une perspective systémique, qui intègre les trois dimensions complémentaires que sont la gouvernance informationnelle – autrement dit, les données, les plateformes et les algorithmes –, les infrastructures matérielles du numérique – c’est-à-dire les data centers, les câbles sous-marins et les architectures réseau – et le positionnement géopolitique des États dans l’économie numérique mondiale. S’agissant de ce dernier point, l’asymétrie est forte entre, d’un côté, les Big Tech et la puissance américaine et, de l’autre, la capacité des pays européens ou de l’Union européenne à investir.

La dépendance vis-à-vis des Big Tech repose principalement sur le fait que ces grandes entreprises technologiques contrôlent plusieurs couches technologiques. Certains chercheurs parlent de digital stack pour désigner l’ensemble des infrastructures et des services qui structurent l’espace numérique. Ces entreprises contrôlent simultanément les infrastructures physiques, les infrastructures logicielles et les plateformes d’intermédiation. Cette intégration verticale crée des effets de dépendance très puissants car les États et les entreprises utilisent simultanément plusieurs services appartenant au même écosystème technologique. Cette dépendance ne concerne pas seulement les institutions publiques mais aussi tous les acteurs privés. Le marché publicitaire numérique présente, à cet égard, certaines spécificités. Son modèle économique permet à un nombre limité d’acteurs de capter une part majeure des revenus publicitaires numériques, ce qui contribue à la fragilisation des écosystèmes médiatiques nationaux.

S’agissant de l’intelligence artificielle, le fait de se focaliser sur cette question et d’hystériser le rapport à cette technologie dans le débat public européen constitue peut-être une partie du problème. J’ai pu constater sur le terrain que son développement suscitait également une très forte attention aux États-Unis, même avant le retour de Donald Trump et le nouveau rôle assigné à la Big Tech. La dépendance vis-à-vis de cette dernière y a donné lieu à des réflexions depuis plus longtemps que chez nous. L’administration Biden avait notamment créé un poste au Conseil de sécurité nationale consacré aux questions de démocratie et de technologie. L’accompagnement de l’ensemble de la population américaine à un usage raisonné des nouvelles technologies faisait l’objet d’une réflexion au plus haut sommet de l’État.

Nous avons la chance de vivre dans un État jacobin, centralisé, où les ministères de l’éducation nationale, de l’enseignement supérieur et de la culture s’emploient à sensibiliser la population à ces questions, mais ce n’est pas forcément le cas dans tous les pays ; cette approche manque parfois dans le débat public. Nous pourrions partager les réflexions que nous menons en Europe avec des acteurs américains qui n’appartiennent pas à l’administration Trump et qui aspirent à davantage de régulation, notamment des juristes ou des membres du Congrès – le législateur américain ayant déjà travaillé sur ces questions.

Je me suis penchée sur les effets économiques et asymétriques entre l’Europe et les États-Unis. Le cloud constitue un bon point d’entrée, car il s’agit d’une infrastructure technique centrale et transversale à l’ensemble des services numériques. J’ai réalisé un tableau – que je vous communiquerai et dont vous pourrez vérifier les sources – comparant les parts de marché des principaux opérateurs.

AWS (Amazon Web Services) détient 37 à 38 % du marché mondial, alors que l’Européen OVHcloud n’arrive qu’à 1 ou 2 %. Les trois principaux acteurs représentent 73 % du marché mondial. OVHcloud, qui est l’acteur – français – de référence en Europe, est 100 fois plus petit qu’Amazon. Je vais enfoncer une porte ouverte en disant que nous sommes des nains numériques. En tout cas, nous ne pouvons plus attendre pour investir davantage dans la recherche et dans la mise en œuvre de technologies capables de concurrencer les monopoles américains. Les acteurs européens captent moins de 3 % du marché mondial, ce qui correspondrait à une contribution de l’Union européenne au PIB mondial de l’ordre de 7 %, alors qu’elle est de 16 %.

Nous pouvons effectuer la même comparaison s’agissant de l’intelligence artificielle. La situation est presque caricaturale, puisque les États-Unis, qui représentent 26 % du PIB mondial, réalisent 60 % des investissements. La Chine, qui représente 17 % du PIB mondial, est à l’origine de 20 % des investissements. L’Europe, elle, est en décrochage puisqu’avec 16 % du PIB mondial, elle ne réalise que 10 % des investissements. Le budget de l’UE est en négociation pour la période 2028-2034 et se veut beaucoup plus ambitieux. Il nous faudra néanmoins aller bien au-delà et mobiliser des investissements privés.

L’existence de monopoles a des conséquences sur la démocratie, en particulier dans des contextes d’élection ou de guerre. Ils constituent un instrument majeur de la compétition stratégique entre puissances. Nous ne pourrons pas concurrencer directement la Big Tech. En revanche, nous pouvons essayer de nouer des partenariats et des alliances avec des acteurs extra-européens attachés, comme nous, aux valeurs démocratiques.

Avec mon équipe de recherche, nous nous intéressons particulièrement à l’exemple du Brésil, pour une raison qui n’a pas été tellement évoquée jusqu’à présent, qui est la capacité des États à contrôler les Big Tech par la norme. L’une des principales caractéristiques de ces acteurs est le fait qu’ils contournent le droit international et national, avec l’appui du politique. Je les qualifie de « puissances sans principes », plus précisément sans principes normatifs. Or, à la suite de la contestation d’une élection, la Cour suprême brésilienne a suspendu X pendant plusieurs mois. J’ai rencontré des juristes qui ont participé à la mise en place de cette suspension. On voit que c’est possible juridiquement et techniquement, mais il faut une volonté politique en ce sens.

Au-delà des exemples fournis par nos partenaires européens, il est intéressant de regarder ce que font d’autres pays, tout aussi dépendants que nous vis-à-vis de ces infrastructures numériques – que l’on pourrait qualifier de colonisatrices – mais qui réussissent à faire pression sur elles en activant certains leviers. Ce n’est donc pas le combat de David contre Goliath. Si nous voulons tirer habilement notre épingle du jeu et faire pression sur ces acteurs, dans un contexte de guerre hybride, nous devons utiliser tous les moyens à notre disposition, y compris des moyens asymétriques.

M. le président Philippe Latombe. Vos interventions ont essentiellement évoqué le passé, notamment l’élection de Donald Trump. Or elle remonte à près d’un an, ce qui est finalement assez ancien eu égard à l’accélération que nous constatons en matière de technologie.

Au début de l’invasion de l’Ukraine, une entreprise privée a été chargée de récupérer les données des Ukrainiens pour les protéger, ce qu’elle n’a certainement pas fait gratuitement et ce qui soulève des interrogations quant à leur utilisation. En Iran, l’IA est utilisée pour cibler les attaques militaires, Palantir et Anthropic ayant d’ailleurs défendu deux visions totalement différentes de l’utilisation de leur technologie.

La stratégie cyber de Donald Trump, publiée ce week-end, prévoit très clairement de transférer la protection cyber à des entreprises privées et de les autoriser à agir de manière offensive sur des réseaux communs. Cette politique, qui va contribuer au renforcement de ces acteurs, sera-t-elle, selon vous, pérenne ? Pourrait-elle être remise en question par les administrations suivantes ?

Jusqu’à présent, nous avions observé une certaine continuité entre les administrations américaines, au moins depuis Clinton. Trump n’avait pas défait les mesures prises par Biden, de même que les mesures décidées par Trump lors de son premier mandat n’avaient pas été remises en cause par Biden. Assistons-nous à une rupture dans cette trajectoire ou s’agit-il d’un phénomène conjoncturel ? Nous cherchons à identifier les nouvelles dépendances ou vulnérabilités qui pourraient être liées à cette politique.

Mme Maud Quessard. Nous assistons à un transfert de responsabilités et de souveraineté, notamment en ce qui concerne le Cybercom (Cyber Command). Trump se livre actuellement à une privatisation de l’État. La question est en effet de savoir si ce phénomène pourrait devenir structurel. Malheureusement, lorsqu’on détruit entièrement un appareil d’État – ce qui avait commencé avant même la réélection de Trump et s’est poursuivi depuis son retour à la Maison-Blanche, au moyen d’un nettoyage complet et d’une réallocation des responsabilités –, il est très difficile de revenir à la situation antérieure, même en cas d’alternance politique.

La volonté de rester dans la course entre grandes puissances et en particulier de s’affirmer vis-à-vis de la Chine, qui est le principal compétiteur stratégique des États-Unis, constitue, en revanche, un élément de continuité. Elle n’est pas remise en cause. Cela étant, tous les moyens sont-ils bons pour atteindre cet objectif ? Cela justifie-t-il de placer un commandement militaire, le Cybercom, dans les mains d’acteurs privés ? Il pourrait s’agir d’un point d’achoppement ou en tout cas de discussion dans le pays.

En 2019, lors de son premier mandat, Donald Trump avait déjà étendu les pouvoirs du Cybercom, mais en avait laissé la direction à un militaire très compétent, le général Nakasone, qui avait notamment pour mission de lutter contre les ingérences étrangères. Avec les transformations qu’il a opérées et cette privatisation de l’État, l’objectif de M. Trump n’est plus du tout le même que lors de son premier mandat.

Vous avez évoqué la mise en œuvre d’actions « offensives », ce qui est, à mes yeux, le mot-clé. En effet, un commandement cyber a pour mission de défendre le territoire – même s’il peut, éventuellement, agir de manière offensive. Ce basculement me semble très préoccupant.

Par ailleurs, en cas d’alternance politique, les acteurs de la tech voudront-ils céder la place qui est désormais la leur ? Ce n’est pas certain. Pour conserver leurs positions, ils pourraient s’engager politiquement, comme certains le font déjà, à l’instar de Palantir. Or aux États-Unis – comme dans d’autres pays –, l’engagement politique le plus marquant est le financement des campagnes électorales. Actuellement, il paraît très difficile de gagner une élection sans le soutien de la tech. Quand on voit les montants colossaux que des acteurs comme Google sont capables d’investir, il ne sera pas aisé de mettre fin à la collusion d’intérêts à laquelle nous assistons. Le fait que les acteurs de la Big Tech soient devenus des acteurs politisés constitue, selon moi, un point pivot. Ils ne poursuivent plus uniquement un objectif commercial.

M. Robin Berjon. Les acteurs de la Big Tech ont pris goût à la place qu’ils occupent et se sont d’ailleurs radicalisés au cours des dix dernières années. Même si l’État américain changeait de position à leur égard, rien ne laisse penser que, pour leur part, ils évolueraient. Ils resteront des acteurs politiques. Ils ont accès à l’argent et aux données, et disposent d’une surface d’influence qui leur permet de s’ingérer dans n’importe quelle campagne électorale. Par conséquent, il ne faut pas s’attendre à ce qu’ils cessent d’agir comme ils le font aujourd’hui.

L’Adint (Advertising Intelligence), autrement dit, l’intelligence par les réseaux publicitaires, permet de collecter des données à très grande échelle. Le sujet est souvent abordé sous l’angle du respect de la vie privée et des conséquences pour les médias, mais il l’est plus rarement sous celui de l’espionnage et du renseignement. Or des bases de données rassemblant des informations sur un nombre sans précédent de personnes peuvent désormais être achetées pour des sommes relativement modestes. Elles peuvent donc se retrouver entre les mains de toutes sortes d’acteurs, publics comme privés. Il ne faut pas l’oublier, surtout après la publication du projet d’omnibus numérique. Ce texte serait catastrophique du point de vue de la sécurité car il ouvrirait la voie à un espionnage bien plus efficace que celui, déjà problématique, auquel nous devons faire face à l’heure actuelle.

M. David Chavalarias. J’ai parlé des problèmes posés par X et Telegram mais rappelons que, lors des dernières élections européennes et législatives, Facebook a permis à la Russie d’utiliser sa régie publicitaire pour faire du ciblage politique et favoriser certains partis. Le fait qu’une entreprise américaine vende les données des Français à un pays étranger pour se livrer à de l’ingérence est aussi un problème.

Il ne faut pas avoir peur de dire que le système politique actuel des États-Unis est mafieux. Donald Trump n’hésite pas à menacer de prison les entrepreneurs qui n’iraient pas dans son sens. Les intéressés voient des avantages à collaborer, car ils acquièrent un pouvoir qui était auparavant réservé à l’État. Donald Trump laisse la Big Tech se renforcer et acquérir massivement des données sur les citoyens parce que lui-même s’autorise à accomplir des actes qu’un autre président américain ne se permettrait pas de réaliser. Soit ce régime perdure pendant quelques années – ce qu’on peut ne pas souhaiter –, soit il ne perdure pas mais, comme l’administration suivante ne s’autorisera pas les mêmes méthodes de coercition, le pouvoir gagné par la Big Tech, qui était déjà très puissante avant, ne se dissipera pas très vite. Par conséquent, nous resterons vulnérables vis-à-vis de ces acteurs et de leur projet politique, y compris en cas d’alternance. Nous devons nous y préparer et en tirer les conséquences.

Mme Cyrielle Chatelain, rapporteure. Monsieur Berjon, vous avez évoqué votre expérience au New York Times. Pouvez-vous être un peu plus précis à ce sujet ? Il s’agit certes d’un cas particulier, mais d’autres médias, y compris en France, sont dépendants du secteur du numérique. Quelles demandes les Gafam exprimaient-ils ?

Madame Quessard, pourriez-vous nous apporter quelques précisions sur l’exemple brésilien et notamment sur le partenariat que vous avez évoqué ? La suspension de X y a-t-elle été décidée avant ou après l’élection de Donald Trump ? Si elle lui est antérieure, une telle décision aurait-elle encore été possible après son investiture ? Quels outils peuvent permettre de rééquilibrer le rapport de force ?

M. Robin Berjon. Je précise que je ne m’exprime pas au nom du New York Times : je ne fais que relater mon expérience. J’y ai occupé des fonctions entre 2017 et 2022. En tant que vice-président chargé de la gouvernance des données, j’ai beaucoup travaillé pour préserver l’indépendance des médias vis-à-vis des Big Tech. Ce sujet était déjà très prégnant aux États-Unis à l’époque.

Nous pourrions parler longtemps de ce que les Big Tech imposent aux médias. Il me semble intéressant de se focaliser sur les données. Même si cela peut surprendre, le modèle économique des médias fonctionne bien, que ce soit en matière de publicité ou d’abonnements, lesquels drainent beaucoup d’argent. Néanmoins, les Big Tech perçoivent l’essentiel des revenus, pour plusieurs raisons.

Le marché publicitaire représente entre 600 et 700 milliards par an. Les médias, c’est-à-dire n’importe quel journal qui utilise la publicité pour gagner de l’argent, s’y trouvent en concurrence avec Google et Meta, qui, à eux deux, en captent 450 à 500 milliards. Or ce sont ces mêmes géants de la publicité qui font fonctionner les systèmes de régie publicitaire auquel ils participent également en tant que concurrents. Le mécanisme global est entièrement biaisé.

Lorsqu’une entreprise détient une information que ses concurrents ignorent, elle est avantagée. Or, dans le cadre de ces systèmes publicitaires, les médias sont obligés de partager leurs données – c’est-à-dire ce qu’ils savent de leur audience – avec les Big Tech, qui s’en servent ensuite face à leurs concurrents. Les Big Tech peuvent ainsi maintenir une opacité absolue sur le fonctionnement des réseaux publicitaires, par lesquels transitent pourtant des centaines de milliards de dollars par an. On soupçonne d’ailleurs que ces réseaux sont utilisés pour le blanchiment d’argent, même si personne ne peut le prouver. Nous sommes à la limite de la criminalité – peut-être celle-ci a-t-elle déjà été franchie.

La capacité des médias à refuser de participer à ces systèmes est extrêmement limitée. En effet, non seulement ils n’ont pas le droit de s’accorder entre eux, car cela serait considéré comme une pratique anticoncurrentielle, mais même les plus importants d’entre eux ont une taille beaucoup trop réduite. Lorsque la Californie a adopté une loi sur la vie privée – comparable, dans sa philosophie, au RGPD (règlement général sur la protection des données) mais beaucoup plus restreinte –, le New York Times, le Washington Post, News Corp et de nombreux autres médias américains ont milité en faveur de ce texte. Ils l’ont fait notamment parce qu’il leur permet d’afficher des publicités tout en empêchant les parties tierces comme les Big Tech de réutiliser leurs données. Ils peuvent ainsi protéger leur audience et préserver leur modèle économique – idée qui n’est pas du tout développée en Europe.

Dans un autre domaine, Google profite aussi de son monopole sur les moteurs de recherche pour imposer aux médias l’utilisation de certaines technologies ou la manière de présenter leurs contenus. S’ils ne collaborent pas, ils sont relégués plus loin dans les résultats. Or 40 à 50 % du trafic proviennent de Google. Il en va de même avec Meta, qui est à l’origine de 40 à 45 % du trafic. Si les médias ne respectent pas les exigences qui leur sont imposées en matière de format, de fourniture de données ou de partage d’identité, ils seront sanctionnés par l’algorithme.

La situation est encore plus claire chez X. Dès qu’Elon Musk a mis la main sur Twitter, il a cessé d’envoyer du trafic vers les médias. Lorsqu’un tweet comportait un lien vers un site de médias, personne ne le voyait.

À l’heure actuelle, Bluesky, qui fonctionne à partir d’un protocole ouvert et permet à chacun de partager des liens sans qu’ils soient filtrés et que leur valeur soit abaissée, fournit plus de trafic aux médias que n’importe quel autre réseau social, malgré un nombre d’utilisateurs dix fois plus faible.

Mme Maud Quessard. L’exemple brésilien est particulièrement intéressant parce qu’il s’apparente à un laboratoire, à plusieurs titres.

D’abord, les institutions politiques brésiliennes sont le miroir de celles des États-Unis, le Brésil étant un État fédéral disposant d’une Cour suprême. Alors que la démocratie américaine semble tousser, et que les institutions des États-Unis sont confisquées, il est intéressant de voir comment fonctionne la démocratie brésilienne et quel est son rapport au numérique et aux Big Tech. Rappelons qu’elle a eu son 6 janvier, à grand renfort de mouvements sur les réseaux sociaux.

Ensuite, comme l’a rappelé le Premier ministre canadien dans son discours de Davos, les pays intermédiaires, qui peuvent paraître relativement dépourvus de puissance, doivent se coordonner. L’Europe peut ainsi se rapprocher du Canada ou, pourquoi pas, du Brésil pour repenser la souveraineté numérique, non pas contre la mondialisation mais dans la perspective de nouvelles formes horizontales de coopération, dans lesquelles géopolitique et intelligence artificielle sont entremêlées.

L’exemple du Brésil me paraît stratégique pour explorer ces dynamiques. La décision de suspendre X – il est important de distinguer X de Twitter, qui n’avait pas à sa tête le même fondateur et n’appliquait pas la même politique éditoriale – a été prise en août 2024. Trump n’était pas encore de retour à la Maison-Blanche, mais Elon Musk était tout de même très puissant à ce moment-là. Face aux contournements de la norme et à ce Far West numérique dans lequel nous sommes embarqués, les institutions judiciaires ont montré leur force.

Le Brésil est d’autant plus intéressant que, du point de vue géopolitique, il est pris en tenaille. D’un côté, comme les autres pays d’Amérique latine, il est dépendant de la Big Tech américaine. Ses ingénieurs et ses développeurs ont tous été formés aux États-Unis, dans la Silicon Valley ou sur la côte Est. C’est également le cas de ses juristes. Or la dépendance n’est pas seulement liée aux infrastructures, mais aussi à la manière de concevoir les objectifs et aux personnes avec lesquelles on travaille.

De l’autre côté, le géant chinois commence à grignoter des positions. Il a notamment pour objectif d’installer des data centers dans la région. Le Brésil sera ainsi moins dépendant des data centers américains mais davantage de la puissance chinoise. Ces infrastructures sont en outre très consommatrices d’énergie et doivent être refroidies, ce qui exercera une pression sur la ressource en eau. On peut se demander comment la question environnementale sera gérée dans ce pays très agricole.

Le Brésil est un laboratoire parce que, dans un contexte de prédation économique et géopolitique de la part de deux grands acteurs, il permet d’analyser la réponse d’une démocratie dont les institutions sont calquées sur celles des États-Unis et d’étudier les enjeux liés à la captation des données, à la gestion des infrastructures et à la question environnementale.

Mme Cyrielle Chatelain, rapporteure. Nous avons abordé la question des médias, mais les données jouent aussi un rôle clé dans le modèle économique des Gafam. Pouvez-vous nous apporter des précisions à ce sujet ?

M. Robin Berjon. Les données sont d’abord utilisées pour optimiser un produit et chercher à imposer tel ou tel comportement à ses utilisateurs, lorsque ceux-ci sont très nombreux. C’est une approche assez commune, qui permet d’obtenir des effets d’échelle substantiels.

Par ailleurs, les données sont importantes dans le modèle économique car la réussite d’une campagne publicitaire est évaluée en fonction du taux de conversion. L’objectif est en effet de provoquer un certain comportement – souvent déclencher un acte d’achat – chez les personnes qui ont été exposées aux publicités. Cette conversion est expliquée selon un modèle causal, même si ce n’est pas ainsi qu’elle fonctionne réellement. Le modèle causal revient à considérer que le fait de montrer tant de fois une publicité à tant de personnes va les décider à acheter quelque chose. En fait, il est particulièrement difficile de convaincre quelqu’un en lui montrant un rectangle coloré. La démarche peut être utile pour accroître la notoriété d’une marque, mais des publicités suffisent rarement à provoquer un changement de comportement.

En revanche, avoir accès aux recherches effectuées par les personnes et à leur navigation internet – Chrome traque tout ce que nous faisons –, à leurs données de localisation physique et à de nombreux autres paramètres en grand volume permet de deviner ce qu’elles s’apprêtent à acheter. Il est ainsi possible de leur présenter une publicité correspondante et de se prévaloir d’un lien de causalité entre la publicité et l’achat. Le fait d’avoir montré la publicité n’a apporté aucune valeur à l’annonceur mais les grands acteurs peuvent se targuer d’offrir davantage de conversions que les autres. Tout le système est organisé pour acheminer le maximum de données vers les grands acteurs.

Les données pourraient permettre à un média comme Le Monde ou à un autre titre de cette dimension de mieux comprendre leur lectorat, d’améliorer leurs services et de vendre des publicités en expliquant qu’ils ont accès à des profils de gens plus aisés, plus éduqués ou intéressés par tel ou tel sujet. Malheureusement, ces médias n’en bénéficient pas ; le système est conçu de telle sorte qu’ils transmettent les données à des concurrents qui s’en servent pour détourner le fonctionnement de l’intégralité du marché de la publicité.

M. David Chavalarias. En matière de données, il ne faut pas oublier les enjeux liés aux tuyaux. En effet, ceux qui les possèdent peuvent acheminer les données mais aussi les capter au passage ; ils peuvent également ralentir ou accélérer leur communication. Certains fournisseurs des Gafam ont ainsi été suspectés de favoriser leurs services au détriment d’autres, par exemple pour la vidéo, afin d’obtenir davantage de parts de marché. Enfin, puisque nous parlons de vulnérabilité, il faut évoquer le risque de coupure. Un réseau comme Starlink peut être immédiatement coupé et priver tous ses utilisateurs d’internet. Si une partie de la population française bascule sur ce réseau, Starlink disposera d’un énorme moyen de pression sur les politiques ; c’est le chemin que cet acteur est en train d’emprunter.

Pour revenir aux réseaux sociaux, les données sont essentielles pour le ciblage, notamment des publicités, mais elles jouent également un rôle important en matière de structuration des relations sociales. Moduler la perception d’un environnement ou agir sur la manière dont les personnes se forgent leur conception du monde et se connectent entre elles permet de créer des groupes sociaux plus ou moins polarisés, plus ou moins résilients, etc. Il s’agit d’un pouvoir considérable.

Les données ont été au cœur du modèle économique de ces géants lorsqu’ils visaient des objectifs économiques. Maintenant qu’ils s’assignent également des objectifs politiques, la capacité à structurer le social revêt aussi une importance essentielle dans la mesure où elle permet d’influer directement sur le fonctionnement des démocraties.

M. Hervé Saulignac (SOC). Cette commission d’enquête s’intéresse notamment aux risques qui pèsent sur l’indépendance de la France et sur sa souveraineté politique. Une élection majeure se tiendra l’an prochain en France. Or nous nous souvenons tous de certaines ingérences ou tentatives d’ingérence, par exemple des Macron Leaks. Des leçons en ont-elles été tirées ? Des mesures ont-elles été prises pour nous prémunir contre ces risques ou sommes-nous toujours aussi vulnérables ?

Madame Quessard, vous avez dit que les entreprises de la Big Tech étaient des « acteurs politisés ». Avez-vous connaissance de collusions, d’offres de services ou peut-être de liens directs avec des formations politiques françaises ? Puisque ces acteurs sont désormais politisés, cela n’aurait rien d’étonnant.

M. Arnaud Saint-Martin (LFI-NFP). Pour illustrer les stratégies politiques visant à nous permettre de retrouver une certaine indépendance ou autonomie vis-à-vis de nos dépendances structurelles, je prendrai l’exemple d’un combat mené par « David » Chavalarias contre « Goliath » Musk, à savoir l’opération HelloQuitteX. Quel a été le retour d’expérience de cette campagne ? Dans quelle mesure ce test de migration a-t-il été probant et à la hauteur de vos espérances ? Quelles difficultés avez-vous rencontrées et quel a été le coût politique de l’opération ? Votre neutralité de chercheur a en effet été mise en cause au motif que vous basculiez politiquement vers une autre plateforme. Le Rassemblement national avait tenu des propos en ce sens au sein de la commission des affaires culturelles et de l’éducation de l’Assemblée nationale. L’accusation d’islamo-gauchisme avait été portée contre vous ce jour-là. Pourtant, votre décision me paraissait plutôt salutaire, car nous devons réfléchir à des formes de reprise en main de nature à réduire nos vulnérabilités.

Mme Maud Quessard. Nous disposons de cas d’étude concernant de possibles ingérences de la part des acteurs de la tech que nous avons nommés, mais pas forcément en France. Vous avez rappelé l’épisode des Macron Leaks, qui remonte à dix ans. Nous ne sommes plus dans le même contexte, que ce soit du point de vue de la technologie, de notre résilience ou de l’environnement politique et géopolitique. Or ces éléments influent sur la capacité à mener des actions d’ingérence, qui ne doivent pas être vues uniquement sous le prisme d’attaques portées par la Russie. Dans le domaine numérique, les ingérences étrangères n’émanent pas d’un seul État et ne sont d’ailleurs pas seulement le fait d’acteurs étatiques.

Nous sommes plus avertis que ce n’était le cas auparavant. L’opinion publique est plus sensibilisée à ces phénomènes. Nous pouvons compter sur le travail remarquable accompli par Viginum (service de vigilance et de protection contre les ingérences numériques étrangères) pour les expliquer, les démonter et les rendre publiques. Cet organisme s’adresse à la fois aux chercheurs, à la jeunesse ou aux milieux politiques.

La politisation des acteurs de la Big Tech et le fait qu’ils puissent être à la solde d’un pouvoir politique est une réalité. Les collusions n’existent pas seulement dans l’imagination des chercheurs : elles sont documentées. Quand Elon Musk faisait encore partie de l’administration Trump, il a pris ouvertement position en faveur de partis d’extrême droite européens.

Même s’ils n’impliquent pas forcément la Big Tech, des liens existent entre la droite nationaliste américaine et les droites nationalistes européennes, qui font l’objet de travaux de plusieurs commissions consacrés aux ingérences ainsi que d’autres enquêtes. Les ingérences ne sont pas seulement numériques ; au-delà des tuyaux et des infrastructures, il faut aussi s’intéresser aux contenus. En ma qualité de politiste, je travaille notamment sur la circulation des idées politiques et, à l’évidence, des liens forts unissent la Hongrie de Victor Orban aux partenaires de l’administration Trump, dont certains appartiennent à la Big Tech. Des études entières, dont je pourrais vous donner les références, traitent de ce sujet.

Lorsqu’on restructure les écosystèmes de propagande ou les écosystèmes sociologiques, on utilise parfois des données, à des fins bienveillantes ou malveillantes, comme dans le cas des ingérences étrangères et politiques. Pour mener une ingérence aussi loin que possible sans forcément proposer du contenu politique, on peut chercher à distraire l’attention ou à la capter au point que nos fonctions cognitives ne sont plus toujours pleinement opérationnelles. Cette question, qui relève plutôt de la santé mentale, a d’ailleurs fait l’objet de travaux. Les entreprises américaines sont moins concernées que la Big Tech chinoise, qui est particulièrement efficace en ce domaine.

M. David Chavalarias. Les collusions sont difficiles à démontrer, mais il existe en tout cas une convergence d’intérêts claire et des prises de position indéniables. On ne peut que s’inquiéter de constater que l’algorithme de X est en mesure d’influencer les opinions et d’entraîner des variations de plusieurs points de pourcentage vers une idéologie particulière.

L’État a créé Viginum, qui est une structure intéressante et très efficace, mais cela ne suffit pas. En effet, tout le reste est fermé ; chercheurs et ONG n’ont plus accès aux plateformes. Viginum ne peut pas tout faire seul.

La solution consiste tout simplement à appliquer les lois existantes. Pourquoi le Kremlin arrive-t-il à faire de la publicité politique en période électorale avec l’aide de Facebook ? La loi permettrait de suspendre Facebook le temps qu’il règle la situation. Pourquoi X et d’autres infrastructures numériques refusent que les chercheurs puissent évaluer les risques systémiques ? En Allemagne, par exemple, ils n’ont pas été autorisés à mener cette analyse en période électorale. À un moment donné, il faut avoir le courage de suspendre les acteurs concernés jusqu’à ce qu’ils apportent les correctifs nécessaires.

L’objectif d’HelloQuitteX était simplement d’appliquer la loi européenne, qui reconnaît le droit des Européens à la portabilité effective de leurs données. Vous pouvez théoriquement aller d’un réseau social ou d’un lieu numérique à un autre sans perdre tout ce que vous avez construit et qui fait votre identité, notamment votre contenu éditorial. On peut dresser un parallèle avec le téléphone portable. Au début, on était confronté à un abus des opérateurs ; en effet, il était impossible de changer d’opérateur sans perdre son numéro, ce qui compliquait considérablement les choses. Puis les régulateurs sont intervenus et ont imposé la portabilité, qui consacre le fait que votre numéro de téléphone vous appartient. Plusieurs textes européens ont repris cette idée pour que les Européens puissent passer de Facebook à X ou de X à Bluesky, par exemple, en emportant une partie de leurs données. Malheureusement, ils ne sont pas appliqués, simplement parce qu’il n’existe pas de dispositif technique capable d’assurer la portabilité.

Avec HelloQuitteX, nous avons voulu anticiper le fait qu’Elon Musk allait être au-dessus de toutes les lois, ce qui s’est révélé exact. J.D. Vance avait annoncé que, si l’on touchait à X et que Donald Trump était élu, les États-Unis sortiraient de l’Otan. Il mettait donc au même niveau le contrôle d’un espace informationnel et une implication militaire au côté d’alliés, ce qui est assez dingue. Dans ce contexte, nous pensions que la loi sur la portabilité devait absolument être respectée, ce qui supposait l’existence d’un dispositif technique, que nous avons donc mis en place.

L’opération a rencontré un certain succès dans la mesure où de nombreux acteurs de la société civile ont trouvé l’initiative intéressante et en ont fait la publicité. Plusieurs dizaines de milliers de personnes ont utilisé ce dispositif technique. En permettant la portabilité, on retire du pouvoir aux Big Tech – puisque la valeur des plateformes repose sur leurs utilisateurs –, mais aussi aux acteurs favorisés par ces plateformes, dont l’extrême droite façon Maga (Make America Great Again, « rendre sa grandeur à l’Amérique ») et son équivalent en Europe. Ils ont réagi de manière assez forte, par des campagnes de harcèlement sur les réseaux sociaux, des attaques à l’Assemblée nationale et dans des médias d’extrême droite, ainsi que des tentatives de poursuites judiciaires, qui n’ont pas eu de suites puisqu’aucune infraction n’avait été commise.

Le retour d’expérience met en lumière le fait que la société civile est en attente d’une solution de ce type, comme en témoigne son engouement pour l’opération. Il montre également que les personnes qui sentent leur influence menacée réagissent et que les acteurs qui cherchent seulement à appliquer la loi – comme je l’ai fait – ne sont pas protégés : nous n’avons bénéficié d’aucun soutien des institutions. La création de votre commission d’enquête confirme néanmoins que ce genre d’infrastructures, qui visent à favoriser la portabilité et la souveraineté numérique, sont désormais considérées comme stratégiques d’un point de vue géopolitique. J’aurais toutefois préféré que l’on avance sur cette question il y a un an, voire avant, puisque des signalements avaient déjà été faits.

Pour résumer, dans le cadre de l’opération HelloQuitteX – qui n’était qu’un jeu de mots utilisé pour la communication, notre plateforme s’appelant OpenPortability –, un agent de l’État a cherché à faire appliquer la loi européenne en développant un dispositif technique assez compliqué – ce travail relevant de la recherche – et a été attaqué par des personnes défendant une entreprise étrangère, qui se livre elle-même à des actes d’ingérence sur le territoire français pour attaquer les chercheurs à l’origine du projet.

Si nous voulons assurer la souveraineté numérique de l’État, il faut protéger ce genre d’initiatives, les soutenir et leur permettre de se développer pour passer à l’échelle. Ce n’est pas un laboratoire isolé – nous n’étions que deux chercheurs – qui devrait mettre en place la portabilité. Le sujet devrait être traité au niveau européen et des moyens suffisants devraient lui être consacrés, d’autant que le problème ne concerne pas seulement les réseaux sociaux mais également d’autres infrastructures.

Comme l’a souligné Henri Verdier lors de son audition, les moyens qui doivent être engagés ne sont pas si importants, que ce soit au regard de l’enjeu – assurer la pérennité de la démocratie – ou même dans l’absolu. Sur un réseau social comme Mastodon ou Bluesky, un compte ne coûte que 1 euro par an et par utilisateur. Ce n’est rien. Si vous enlevez les coûts liés à la publicité, qui sont élevés, le reste n’est pas très cher. Les dysfonctionnements engendrés par des réseaux sociaux qui utilisent la publicité et revendent nos données, notamment à des puissances étrangères, sont manifestement d’un autre ordre de grandeur que 1 euro par utilisateur et par an.

S’il existe une volonté politique, nous pouvons changer les infrastructures numériques à des coûts tout à fait raisonnables par rapport à ceux de la construction de routes, par exemple. À défaut, le prix à payer sera probablement la démocratie. Les choix vous reviennent.

Mme Cyrielle Chatelain, rapporteure. La question de la portabilité renvoie à celle des infrastructures, car elle concerne les réseaux sociaux, le cloud et d’autres outils. Il me semble toutefois que l’opération HelloQuitteX avait aussi une dimension politique, en ce sens que X est un écosystème où se croisent des leaders d’opinion et des journalistes qui craignent, en le quittant, de perdre en visibilité ou en facilité d’accès à l’information. Le fait que des leaders d’opinion comme des ministres ou des chefs de parti quittent X ou que les communiqués de presse de l’Élysée ne soient pas postés en priorité sur X pourrait-il faciliter le basculement vers d’autres plateformes comme Bluesky ?

M. David Chavalarias. Les citoyens ne devraient pas être obligés d’aller sur une plateforme comme X, dont on connaît tous les travers, pour accéder à la parole d’un élu. La question n’est pas tant de quitter X que de donner la possibilité aux Français de s’informer sur un réseau qui ne capte pas leurs données et qui n’essaie pas de les influencer ou d’utiliser leur environnement social pour faire de la politique. Pour ma part, je n’ai pas envie de me soumettre à cela pour écouter un élu.

Par éthique et, si on veut être un peu grandiloquent, pour assurer la survie de la démocratie, les élus ne devraient pas utiliser des réseaux qui violent la loi et qui sont dangereux. Si en plus ils le font de manière prioritaire ou exclusive, le signal envoyé aux citoyens devient totalement contradictoire. Il faudrait que les personnalités politiques privilégient d’autres canaux de communication que ceux appartenant aux entreprises que nous avons citées, qui posent des problèmes d’ordre démocratique et géopolitique.

Mme Maud Quessard. Elon Musk a annoncé la couleur dès qu’il a racheté Twitter, en affirmant que cette plateforme ne serait plus un hébergeur mais un éditeur – personnellement, j’ai beaucoup écrit à ce sujet. À partir du moment où vous publiez du contenu chez un éditeur, il y a forcément une ligne éditoriale qui, en l’occurrence, est immodérée, puisqu’il n’y a ni modérateur ni régulateur. Ce n’est pas du tout la même chose que d’être édité par un grand média traditionnel.

Faire le jeu de cet éditeur soulève une autre question importante, qui fait l’objet de discussions juridiques avec nos collègues américains. Les possibilités offertes par X vont au-delà de la liberté d’expression en ce qu’elles autorisent la révision de l’histoire. Les émeutiers du 6 janvier 2021, qui ont été condamnés avant d’être graciés, alimentent le fil de X en publiant de nombreux contenus factuellement faux. On ne discute pas avec ces personnes mais on voisine avec elles, ce qui pose tout de même un problème juridique et éthique – étant rappelé, toutefois, que nous n’avons pas les mêmes règles de droit de part et d’autre de l’Atlantique.

M. Robin Berjon. X est un média complètement éditorial. Tous les réseaux sociaux dotés d’un système de recommandation sont des médias éditoriaux, mais, s’agissant de X, cette dimension est très marquée. Par conséquent, poster en priorité sur cette plateforme constitue une forme de soutien à sa ligne éditoriale, qui défend ouvertement les ingérences étrangères dans la politique française et européenne. Participer à une telle entreprise est assez grave.

David Chavalarias indiquait qu’il n’avait pas reçu beaucoup de soutien concernant l’opération HelloQuitteX, alors qu’il ne cherchait qu’à appliquer le droit. Je vais vous citer un exemple atroce – je vous prie de m’en excuser, mais il est important de le mentionner – montrant que la situation est comparable à l’échelle européenne. Grok, l’IA de X, et X ont publié des contenus pédopornographiques simulant des actes sexuels entre les victimes mineures de la tragédie de Crans-Montana. Interrogée à ce sujet le lendemain, une représentante haut placée de la Commission européenne a expliqué que celle-ci avait infligé une petite amende à X quelques semaines auparavant et qu’il était préférable de privilégier le dialogue avec les plateformes partenaires plutôt que de devenir une machine à amendes. Si une ligne rouge n’a pas été franchie ce jour-là, c’est qu’il n’en existe aucune.

Si le droit n’est pas appliqué, nous serons incapables de nous défendre face aux ingérences. Il est urgent d’agir, de dépasser les constats et de commencer enfin à appliquer le droit. S’agissant des réseaux sociaux, nous avons le DSA (règlement sur les services numériques) et nous pourrions étendre le DMA (règlement sur les marchés numériques) à l’interopérabilité, pour assurer une meilleure portabilité. Dans le cadre d’Eurosky, nous travaillons beaucoup sur ces questions afin de développer une plateforme européenne compatible avec Bluesky, ce qui permettrait d’être hébergé en Europe et d’interagir avec des utilisateurs dans d’autres pays. Si la portabilité était possible avec les grands acteurs, nous pourrions emmener beaucoup de gens sur des réseaux bien plus sains.

Mme Cyrielle Chatelain, rapporteure. Vous avez indiqué que les plateformes étaient devenues des éditeurs. Or les éditeurs sont comptables des publications diffusées dans leurs livres, dans leurs journaux ou sur leurs sites. À l’heure actuelle, les réseaux sociaux ne sont pas considérés comme des éditeurs. Une évolution législative vous semblerait-elle pertinente, compte tenu du rôle joué par les réseaux, et utile ?

Par ailleurs, nous sommes à la veille de l’adoption d’un omnibus numérique qui pourrait revenir sur certaines règles fondatrices du droit européen, comme le RGPD. Que pensez-vous de ce texte ?

M. David Chavalarias. Je pense que nous sommes tous d’accord pour considérer que les réseaux sociaux sont des éditeurs et qu’en conséquence, ils doivent être soumis à la réglementation applicable aux éditeurs.

Je vais vous citer un exemple qui est à la fois très clair et assez drôle. Grok intervient massivement sur X, en publiant des dizaines de millions de posts et de réponses. Comme il s’agit d’une IA, elle a besoin d’un pré-prompt, c’est-à-dire d’une instruction lui expliquant comment interagir avec les utilisateurs. Or cette instruction, qui est publique, lui demande de partir du principe que tout point de vue subjectif exprimé par un média est biaisé. Elle injecte donc, à l’échelle de Grok, de la méfiance envers les médias.

Ce matin, j’ai demandé à Grok comment il interprétait cette consigne. Il m’a expliqué qu’il s’agissait d’une consigne ferme et que l’ajout de cette ligne dans le système de prompt d’un LLM (Large Language Model, grand modèle de langage) dominant ne créait pas juste un peu de scepticisme, mais inversait le biais de présomption de confiance qui existait jusque-là. On considérait avant que « les médias sont neutres jusqu’à preuve du contraire » et, à présent, que « les médias sont biaisés jusqu’à preuve du contraire ». Il concluait que cela représentait un changement de paradigme informationnel à très grande échelle, en précisant que, sur 300 à 800 millions d’utilisateurs, même un décalage de seulement 5 à 15 % dans la perception des faits peut changer les élections, amplifier les mouvements sociaux ou au contraire les décrédibiliser. Il ajoutait que c’était peu ou prou ce que l’on a observé avec Grok depuis mi‑2025 mais qui pourrait être multiplié par 20 à 100 si la consigne était appliquée sur d’autres LLM.

Cette réponse est celle d’un LLM et doit être considérée comme telle, mais elle contient une certaine part de vérité. Quand on demande à Grok comment il interprète ce pré-prompt, on constate qu’il s’agit bien d’une consigne éditoriale. Elon Musk ne cesse d’ailleurs de répéter que les médias sont morts et qu’il faut aller sur X pour avoir de l’information. Le plan est écrit noir sur blanc et déployé à l’échelle d’une grosse infrastructure comme Grok.

Mme Maud Quessard. « You are the media now » est le meilleur slogan publicitaire qui soit, en ce qu’il est imparable.

M. Robin Berjon. Grok a récemment généré une page Grokipédia – le Wikipédia vu par Grok, qui est parfois assez cocasse – me concernant. Pour résumer, elle disait que j’étais très bon en technologie mais que je m’étais malheureusement fourvoyé dans des questions de souveraineté numérique ! Cela confirme bien son axe éditorial.

Les règles de droit auxquelles sont soumis les éditeurs devraient également s’appliquer aux plateformes, mais peut-être sous une forme adaptée. Lorsqu’on prend des décisions automatiques de recommandation, on ne doit pas nécessairement être soumis aux mêmes responsabilités qu’un éditeur, au sein duquel une rédaction relit tous les textes avant de les publier. Cela étant, beaucoup d’autres règles devraient être appliquées, notamment en matière de concentration et de participation aux campagnes politiques. Jean Cattan a publié un article sur son blog ce matin, dans lequel il s’étonnait de ne voir que Sarah Knafo sur son fil Instagram, alors qu’il ne la suit pas et n’est pas de son bord politique. Cela confirme le rôle que peuvent jouer les plateformes.

Pour ce qui est de l’omnibus, le texte est tellement mauvais – concernant presque l’intégralité de ses dispositions – que je ne sais pas quoi vous dire. Si l’on cherchait à couler ce qu’il reste de l’industrie technologique en Europe, on ne pourrait pas mieux faire. Le Conseil a heureusement commencé à refuser certains des amendements les plus problématiques, ce dont je me félicite.

La situation est regrettable à plusieurs titres. D’abord, nous avons besoin de simplification. J’ai été chargé de l’application du RGPD pendant cinq ans ; j’ai constaté que certaines dispositions sont purement bureaucratiques et beaucoup trop complexes pour les PME, qui ne parviennent généralement pas à s’y conformer. Des évolutions qui ne nuiraient à personne seraient possibles, notamment à l’article 30 ou aux articles 12 à 19.

Ensuite, nous aurions pu profiter de l’occasion pour améliorer les règles et, en particulier, pour éliminer le principal obstacle à la mise en œuvre du RGPD en Europe, qui tient au fait que son application relève de la responsabilité de chaque pays. La plupart des Big Tech se sont domiciliées en Irlande, qui n’applique tout simplement pas le texte. Elle n’a pas mené une seule enquête sur Google, ce qui est assez drôle pour quiconque a travaillé dans le domaine de la protection des données. L’une des commissaires irlandaises est une ancienne de Meta. Pour lutter contre cette privatisation de l’application du RGPD aux Big Tech, la solution, qui serait relativement simple à appliquer, consisterait à profiter de l’omnibus pour transférer à Bruxelles, au niveau du CEPD (Comité européen de la protection des données), le contrôle des grands acteurs, qui traitent un volume substantiel de données. Cela permettrait d’éliminer les biais constatés en Irlande, qui n’a aucun intérêt à revoir ses pratiques puisque les Big Tech représentent 20 % de sa base d’imposition. Cette évolution aurait un effet majeur sur l’économie européenne car elle permettrait à nos entreprises d’être en concurrence avec les Gafam sur un pied d’égalité, ce qui serait déjà beaucoup.

M. le président Philippe Latombe. Votre proposition consiste-t-elle à rattacher les contrôleurs d’accès, au sens du DSA et du DMA, au CEPD et à maintenir l’application des règles nationales au reste de l’activité ? L’omnibus prévoit en effet de réintégrer les dispositions de la directive ePrivacy dans le RGPD et de renvoyer toute la partie concernant les cookies, dont nous n’avons pas parlé mais qui sous-tend peu ou prou vos propos, aux juridictions nationales. Le pouvoir de Dublin, qui n’a pas du tout la même vision que nous, serait ainsi renforcé concernant les cookies. La politique que nous avions construite en ce domaine avec la Cnil (Commission nationale de l’informatique et des libertés), qui prévoyait notamment des sanctions substantielles, serait remise en cause. Comment trouver le bon niveau, qui nous permettrait de conserver des responsabilités à l’échelon national, afin de bénéficier de l’inventivité de certaines institutions – en France, les autorités administratives indépendantes – et d’un enrichissement mutuel avec les autres autorités européennes ?

M. Robin Berjon. Intégrer dans le RGPD les responsabilités prévues par la directive ePrivacy en matière de stockage d’informations sur le terminal constitue une mise en cohérence. Nous avions toujours des hésitations dans le cadre de l’application des différentes dispositions.

Dans l’ensemble, je reconnais que la Cnil a fait du bon travail s’agissant des cookies, mais le montant des amendes qu’elle peut infliger est limité : il me semble qu’il ne peut pas excéder quelques dizaines de milliers d’euros.

M. le président Philippe Latombe. Pour Google et d’autres, les montants étaient plutôt de quelques centaines de millions d’euros. Google a reçu une amende de 250 millions il n’y a pas très longtemps. Si ces questions sont traitées à Dublin, nous savons ce qui se passera.

M. Robin Berjon. Même des centaines de millions sont des montants beaucoup trop faibles pour influer sur les pratiques de ces entreprises.

Je suis d’accord avec vous sur le fait qu’il ne faut pas que ces questions continuent à être traitées à Dublin. Le modèle des gatekeepers pourrait être appliqué aux volumes de traitement de données pour ramener le contrôle des grands acteurs à Bruxelles et éviter que tout aille en Irlande. Dans ce contexte, l’intégration de la directive ePrivacy dans le RGPD pourrait être conservée. Les États conserveraient leur liberté d’action à l’égard des plus petits acteurs.

Mme Cyrielle Chatelain, rapporteure. Considérez-vous que les plateformes respectent le RGPD et, si ce n’est pas le cas, quelles améliorations seraient possibles sur la base de la réglementation actuelle ?

S’agissant des infrastructures, vous avez cité des chiffres impressionnants dans vos réponses à notre questionnaire, en indiquant par exemple que 80 % des nouveaux câbles étaient posés par les Gafam. Vous avez également évoqué les investissements, notamment chinois, dans les data centers. En France, nous observons aussi des investissements émiriens ou américains. Dans une perspective de reprise de contrôle des infrastructures, à quoi devons-nous être attentifs ? L’élément le plus important est-il la localisation ou la détention ?

Des mobilisations locales ont commencé à voir le jour contre les data centers, y compris aux États-Unis, en raison de leurs conséquences sur l’accès à l’eau ou le prix de l’énergie. Pensez-vous qu’elles permettront d’ouvrir le débat sur l’utilité de ces infrastructures ?

Enfin, puisque nous sommes face à des monopoles, la mobilisation d’outils de lutte contre la concentration vous semble-t-elle pertinente ?

Mme Maud Quessard. Mes collègues me contrediront peut-être, mais je ne pense pas que nous puissions maîtriser les câbles. À ma connaissance, Meta dispose d’un monopole dans ce domaine. En cela, c’est une Big Tech très puissante.

S’agissant des data centers, nous devons être attentifs à leur localisation et à leur protection. Dans un contexte de guerre, un data center peut devenir une cible stratégique et donc un point de vulnérabilité. Qu’a-t-on prévu pour protéger ces installations, quand bien même elles ne se trouveraient pas sur le territoire national ? Comment lutter contre des projets consistant à immobiliser la France en ciblant un data center plutôt qu’en menant des opérations à distance comme celles que nous avons déjà observées par ailleurs ? Vous avez évoqué tout à l’heure la guerre en Ukraine et la question des données. Or le risque n’est pas seulement leur captation, mais leur disparition, si tout explose. À mon sens, nous ne pouvons pas ne pas nous y préparer : l’actualité nous le rappelle chaque jour.

Aux États-Unis, les mouvements d’opposition aux data centers émanent de la société civile. Ils se calment, de manière assez cynique, lorsque l’installation de ces infrastructures est prévue dans les pays du Sud, ce qui apparaît comme une solution plus pratique. Pour cette raison, le Brésil me semble constituer un laboratoire intéressant.

Pour le moment, les questions environnementales sont complètement laissées de côté par l’administration et par la tech. Nous assistons à une fuite en avant dans ce domaine, car tout le monde cherche à implanter ses infrastructures. Lutter contre ces projets peut donner l’impression de se battre contre des moulins à vent, mais on peut quand même compter sur certains acteurs et partenaires, qui n’appartiennent pas seulement à la société civile. Je pourrais vous dresser une liste d’États qui souhaitent continuer à mener des politiques environnementales fortes et qui pourraient être amenés à se soucier de la question des data centers.

Nous devons travailler avec les juristes américains. Un grand nombre de lobbyistes représentent les Big Tech et Microsoft, l’un des Gafam les plus importants, à Bruxelles. Visiblement, c’est efficace. Par conséquent, nous aurions peut-être intérêt à pratiquer davantage de lobbying pour défendre notre vision de la réglementation et de la protection de l’environnement et de nos données. Ces questions ne relèvent pas uniquement du numérique mais touchent aussi à la santé et à la sécurité de nos concitoyens.

M. David Chavalarias. Certains volets du RGPD, concernant, notamment, la portabilité, sont en partie respectés, ce qui a permis aux utilisateurs de réclamer leurs archives sur X afin d’utiliser OpenPortability dans le cadre de l’opération HelloQuitteX. Néanmoins, nous n’en sommes pas encore à la portabilité effective des données. Dans le cas de X, cette possibilité a été volontairement supprimée. À l’époque de Twitter, des API (Application Programming Interfaces, interfaces de programmation d’application) gratuites et très efficaces permettaient de transférer les données d’une plateforme à une autre. Elles ont été délibérément fermées. Autrement dit, X a décidé d’empêcher la portabilité effective des données qui existait du temps de Twitter.

Concernant les infrastructures, nous ne devons pas forcément chercher à reproduire ce que les Américains ont fait, c’est-à-dire créer des mastodontes. Comme le dit Henri Verdier, il ne faut pas courir la mauvaise course. Dans le cas des réseaux sociaux, des évolutions technologiques majeures permettant la décentralisation sont intervenues au cours des dernières années. Au lieu d’utiliser une grosse machine détenue par un seul acteur qui regroupe l’ensemble des utilisateurs et des données, vous pouvez avoir 10 000 machines détenues par autant d’acteurs différents. Mastodon fonctionne ainsi, par exemple. Comme les machines utilisent les mêmes protocoles, les utilisateurs peuvent discuter et créer un écosystème. Il faut sortir de cet ancien monde, fondé sur des colonies numériques dans lesquelles un grand acteur refuse la portabilité pour rester propriétaire de ses utilisateurs, et changer de paradigme pour aller vers des écosystèmes numériques reposant sur des protocoles.

L’État a un rôle important à jouer pour favoriser l’émergence de standards et la stabilisation de protocoles ouverts. Comme il l’a fait pour les télécommunications en adoptant une loi grâce à laquelle les utilisateurs conservent la propriété de leur numéro de téléphone, il doit imposer des règles permettant de casser les monopoles et de retrouver une libre concurrence, qui favorisera sans doute l’innovation. Certains acteurs chercheront à faire du profit tandis que d’autres privilégieront les biens communs numériques, mais leurs services seront interconnectables, ce qui permettra aux seconds de se développer. Des investissements assez mineurs suffiraient pour les aider à créer un environnement performant, ce qui résoudrait un certain nombre de problèmes ou, à tout le moins, irait dans le bon sens.

Mme Cyrielle Chatelain, rapporteure. Vous avez affirmé que l’omnibus numérique était la meilleure manière de couler l’industrie de la tech en Europe. Pouvez-vous expliciter votre propos ?

M. Robin Berjon. S’agissant du RGPD, je ne me suis pas livré à un audit du fonctionnement interne des Big Tech, mais il me semble assez clair que, dans l’ensemble, elles ne le respectent pas. Elles réalisent beaucoup trop de traitements. Il suffit de regarder comment Google Chrome obtient – j’emploie des guillemets – le « consentement » des utilisateurs pour tracer l’intégralité de leurs comportements en ligne. Plusieurs solutions sont envisageables, mais tant que le contrôle sera effectué à Dublin et que les Big Tech seront domiciliées en Irlande, elles ne se conformeront jamais à la réglementation, tout simplement parce qu’elles n’ont pas besoin de le faire.

L’omnibus numérique risque de couler les entreprises européennes parce qu’il part d’une théorie complètement fausse selon laquelle plus les données circulent, plus on crée de la valeur. Les personnes qui défendent cette idée estiment que le RGPD a empêché les données de circuler – ce qui est faux – et qu’en fluidifiant leur circulation, tout le monde bénéficiera de cette économie numérique fondée sur les données. Or nous savons, notamment grâce aux travaux de juristes américains comme Lina Khan, qu’accroître la circulation des données favorise les grands acteurs et crée un phénomène de concentration. Si le texte proposé aujourd’hui était adopté en l’état, ce serait un énorme cadeau fait à Google et à Meta, qui pourraient collecter un nombre supérieur de données encore plus facilement. À l’inverse, les entreprises européennes ne pourraient plus tirer avantage de leur accès à certains publics et aux données qu’elles collectent elles-mêmes pour leurs propres besoins.

Certaines infrastructures peuvent contrôler leurs usagers et suivre leur activité de manière très fine et très granulaire, comme les moteurs de recherche ou les réseaux sociaux, qui sont capables d’émettre des recommandations très personnalisées. L’enjeu est de les mettre en concurrence avec des écosystèmes pluralistes – afin, éventuellement, que ceux-ci se substituent aux premiers –, ce qui soulève des questions de portabilité et d’interopérabilité.

S’agissant du cloud et de la connectivité, même si l’on peut intervenir à la marge sur la performance, le problème majeur est le kill switch, c’est-à-dire le risque de voir l’accès au service coupé du jour au lendemain, comme on l’a vu dans le cadre des sanctions prises par l’Ofac (Office of Foreign Assets Control) à l’encontre du juge Nicolas Guillou. Nous devrions développer des outils de dissuasion pour faire en sorte que de telles mesures ne soient jamais appliquées.

S’agissant des mouvements de mobilisation contre les data centers, je ne connais pas très bien le sujet mais j’ai noté que l’implantation d’une telle infrastructure dans une région donnée entraînait une augmentation du coût de la vie, notamment du coût de l’électricité et parfois de l’eau. En outre, les emplois promis ne sont jamais pérennes : ils disparaissent au bout de quelques mois ou quelques semaines.

Nous aurions intérêt, sans aucun doute, à mobiliser les outils de lutte contre la concentration. Peut-être suis-je naïf mais, si nous prenions conscience de la valeur qui pourrait être créée au sein de l’économie européenne en libérant les flux qui sont captés par quelques-uns, avec toutes les conséquences positives que cela entraînerait en matière d’emplois et de croissance, j’ose espérer que certains agiraient et appliqueraient les outils dont nous disposons.

Grâce à son monopole sur la recherche en ligne, Google perçoit environ 225 milliards de dollars de revenus annuels – ces chiffres sont globaux, mais l’Europe représente une part élevée du total. Il conserve son monopole parce qu’il achète aux navigateurs et aux fournisseurs de systèmes d’exploitation pour mobile le droit d’être le moteur de recherche par défaut. Pour le mobile, Google contrôle à peu près 100 % de l’écosystème, puisqu’il a son propre système en plus de celui d’Apple, à qui il verse plus de 20 milliards par an juste pour cela. Par ailleurs, au moins 92 % des navigateurs sont financés directement par Google dans ce cadre.

Google a organisé le marché de la recherche en ligne en payant systématiquement la quasi-totalité des autres acteurs. Ces pratiques ont été déclarées illégales aux États-Unis, mais le juge s’est malheureusement pris les pieds dans le tapis au moment de définir les mesures de réparation et rien ne s’est passé. Ces pratiques sont également illégales selon le DMA, mais la Commission européenne continue de prendre le thé avec les représentants de Google. Elle leur demande seulement de changer deux ou trois choses de temps en temps et met en avant les actions publiques qu’elle mène, à savoir des rencontres qui permettent à la société civile d’exprimer ses doléances. Cela ne va pas au-delà. Pourtant, si nous pouvions appliquer le droit pour restructurer ne serait-ce que les marchés de la recherche en ligne et de la publicité, nous libérerions plusieurs milliards par an, au bénéfice de l’écosystème européen. Le coût de ces mesures serait très faible, puisqu’il suffirait d’appliquer le droit de façon stratégique et un peu intelligente.

M. le président Philippe Latombe. Je vous remercie pour vos analyses. Si les prochaines auditions de notre commission suscitent des réactions de votre part, n’hésitez pas à nous le faire savoir en nous transmettant des contributions écrites.

* *

Audition, ouverte à la presse, de M. Emmanuel Marcovitch, président de section à la première chambre de la Cour des comptes, conseiller maître, M. Patrice Huiban, conseiller référendaire et M. Laurent Zerah, conseiller référendaire en service extraordinaire (mardi 17 mars 2026)

Mme Cyrielle Chatelain, rapporteure, présidente. Je commence par excuser le président Philippe Latombe, qui ne pourra nous rejoindre qu’un peu plus tard dans la journée. Nous recevons ce matin M. Emmanuel Marcovitch, président de section à la première chambre de la Cour des comptes, et MM. Patrice Huiban et Laurent Zerah, conseillers référendaires.

Le 31 octobre dernier, la Cour des comptes a publié un rapport intitulé « Les enjeux de souveraineté des systèmes d’information civils de l’État », sur lequel vous avez tous les trois travaillé. En Europe, la France semble être plutôt force motrice dans la volonté de se libérer d’une trop grande dépendance aux technologies extra-européennes. La Cour souligne cependant que « l’ambition affichée par la France en matière de souveraineté numérique peine à être satisfaite ».

Je vous remercie de nous déclarer tout intérêt public ou privé de nature à influencer vos déclarations.

L’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter serment de dire la vérité, toute la vérité, rien que la vérité.

(MM. Emmanuel Marcovitch, Patrice Huiban et Laurent Zerah prêtent successivement serment.)

M. Emmanuel Marcovitch, président de section à la première chambre de la Cour des comptes. Je vous remercie de nous avoir conviés pour évoquer le rapport que la Cour des comptes a publié en octobre dernier sur les enjeux de souveraineté des systèmes d’information civils de l’État, et qui examine à quel degré l’État maîtrise les technologies numériques qu’il utilise pour ses besoins propres, dans l’objectif de conserver une pleine autonomie de l’action publique. Nous avons examiné trois niveaux : les matériels, les logiciels et les données.

Ces enjeux sont particulièrement sensibles dans un contexte international marqué par la multiplication de cyberattaques, d’ingérences étrangères, de tensions géopolitiques et par la promulgation de lois extraterritoriales, notamment par les États-Unis, pays dont les opérateurs du numérique sont dominants en Europe et en particulier les opérateurs de cloud qu’on appelle hyperscalers. Je pense notamment au Cloud Act de 2018 qui permet à un juge américain, en cas d’enquête criminelle, d’exiger le transfert de données – relatives à des personnes ou à des entités – détenues par des fournisseurs de services situés aux États-Unis, même si ces données sont hébergées en dehors du territoire américain, sans avoir à passer par des procédures d’entraide judiciaire internationale.

En ce qui concerne les matériels, on constate que très peu d’industries sont présentes en Europe : qu’il s’agisse de la production de semi-conducteurs, d’équipements réseaux, d’ordinateurs ou de smartphones, tout se fait majoritairement aux États-Unis et en Asie. Il n’y a pas de souveraineté nationale ou européenne sur ce segment, mais l’un des rôles de l’Agence nationale de sécurité des systèmes d’information (Anssi), créée en 2009, est de veiller à ce que les matériels acquis par l’État soient fiables et sans risque sécuritaire. Il existe donc une protection. Par ailleurs, depuis 2015, le réseau interministériel de l’État (RIE), qui est opéré par la direction interministérielle du numérique (Dinum), garantit la résilience des communications gouvernementales, même en cas de défaillance majeure d’internet, pour un budget de l’ordre de 10 millions d’euros par an.

En ce qui concerne les logiciels, malgré la doctrine « cloud au centre » édictée par le gouvernement en 2021, la plupart des applications métier des administrations sont encore hébergées dans des centres informatiques ministériels ou interministériels dont l’État assure l’exploitation et la sécurité. En revanche, la question de la dépendance de l’État vis-à-vis des éditeurs de ces logiciels se pose. Recourir à des logiciels du marché permet de profiter de fonctionnalités déjà éprouvées, d’assurer une rapidité de déploiement, de maîtriser, au moins à court terme, le coût associé ; mais, malgré tous les garde-fous juridiques qui peuvent exister, la démarche crée une dépendance de fait vis-à-vis de l’éditeur, dès lors que les migrations de logiciels sont des projets longs et coûteux. La loi pour une République numérique du 7 octobre 2016 incitait à cet égard les administrations de l’État à utiliser des logiciels libres.

Sur ce volet, la Cour recommande à la Dinum d’intégrer à sa feuille de route une stratégie chiffrée de souveraineté numérique qui définisse notamment les modalités de développement et d’exploitation des applications informatiques de l’État.

Enfin, le niveau qui devient le plus sensible est celui de la protection des données des administrations, des entreprises et des citoyens. En effet, les infrastructures cloud exposent davantage les données que les hébergements sur site. L’Anssi a édicté à cette fin la qualification souveraine SecNumCloud, dont bénéficient à ce jour dix-sept fournisseurs de services. Depuis la révision de la doctrine en 2023, le recours à une telle offre souveraine n’est exigé pour les services de l’État que lorsque deux critères cumulatifs sont observés : d’une part, les données doivent relever de secrets protégés par la loi, d’autre part leur violation doit être susceptible d’engendrer une atteinte à l’ordre public, à la sécurité publique, à la santé, à la vie des personnes ou à la protection de la propriété intellectuelle. Malgré cette définition, il n’y a pas de doctrine interministérielle pour définir et distinguer les données qui relèvent de ce niveau de sensibilité. C’est pourquoi la Cour recommande à la Dinum et à l’Anssi de piloter un travail de cartographie de ces données avec l’ensemble des ministères.

Le choix fait en 2023 de limiter les cas de recours au service SecNumCloud à ces deux critères cumulatifs résulte d’un équilibre entre la revendication de souveraineté de la France et la logique suivie par l’Union européenne, puisque la Commission européenne promeut de son côté un cadre de confiance dans l’échange de données personnelles entre l’Union et les États-Unis, à travers des « décisions d’adéquation » contrôlées par la Cour de justice. Par ailleurs, malgré la demande de la France, le schéma de certification des fournisseurs de service de cloud (EUCS) en cours d’élaboration n’intégrera pas les questions de souveraineté et n’évoquera donc pas un niveau de sécurité de type SecNumCloud.

Pour favoriser le développement du cloud au sein de l’État, deux infrastructures – Nubo au ministère des finances et Pi au ministère de l’Intérieur – ont été ouvertes aux autres administrations. Ces deux clouds interministériels, qui ont mobilisé environ 55 millions d’euros en neuf ans, restent malheureusement peu utilisés. La Cour relève que la gamme des services offerts est limitée et que la tarification est inadaptée ; elle recommande donc une convergence des deux infrastructures sous l’égide de la Dinum. En marge de ces clouds interministériels, quelques administrations ont recours à une exploitation sur une infrastructure SecNumCloud commerciale, mais avec un surcoût par rapport à un hébergement traditionnel évalué entre 25 % et 45 %, sans compter le coût de migration pour des applications déjà existantes.

Qu’on parle de Pi, de Nubo ou des hébergeurs qualifiés SecNumCloud, ils n’ont pas la profondeur de service des hyperscalers américains. C’est la raison pour laquelle plusieurs ministères ont fait le choix de faire opérer une partie du système d’information des ressources humaines en mode cloud par une entreprise appartenant à un groupe américain – et donc de s’affranchir du label SecNumCloud. C’est le cas du ministère de l’éducation nationale avec l’application Virtuo, application RH de gestion des personnels de l’éducation. Même si cette application gère des données d’une sensibilité particulière, le ministère estime qu’il n’y a pas lieu de recourir à une qualification souveraine car leur éventuelle divulgation n’entrerait pas dans un des critères de la circulaire de 2023, érigée au niveau législatif par la loi visant à sécuriser et à réguler l’espace numérique (Sren) de 2024.

Les données confidentielles des entreprises sont aussi des données sensibles dont la divulgation peut causer un trouble à l’ordre public ou à la protection de la propriété intellectuelle. C’est ainsi que le portail public chargé de la généralisation de la facturation électronique est hébergé dans un environnement souverain ; en revanche, tel n’était pas encore le cas de la plateforme d’achat public au moment de l’écriture du rapport – mais je crois que l’Agence pour l’informatique financière de l’État (AIFE), rattachée au ministère des finances, a entrepris des démarches dans ce sens.

La plateforme des données de santé, dite Health Data Hub, qui regroupe les données médicales pseudonymisées à des fins de recherche, a fait le choix au moment de sa création d’un hébergement par l’entreprise Microsoft, ce qui lui a permis de disposer d’un service opérationnel en quelques mois. Cependant, ce choix effectué au nom de la performance a, selon notre analyse, entravé son bon fonctionnement et son développement : une plateforme disposant de moins de fonctionnalités mais souveraine aurait probablement permis un déploiement moins heurté et un usage plus répandu, ce qui aurait rendu plus facile d’atteindre les objectifs recherchés.

Par ailleurs, notre rapport pointe les enjeux des services numériques opérés par des entreprises privées dans un champ public, qui ne relèvent donc pas des exigences portées par la circulaire de 2023 ou la loi Sren. C’est le cas dans le domaine de l’éducation de l’application Pronote, qu’utilisent la plupart des établissements d’enseignement secondaire, ou dans le domaine de la santé de l’application Doctolib, qui recueille des informations médicales très précises. Ces entreprises ne sont pas soumises à l’exigence de souveraineté, même si Docaposte, filiale du groupe La Poste qui édite Pronote, a fait le choix d’un hébergement qualifié SecNumCloud. En ce qui concerne les données de santé, la certification Hébergeur de données de santé (HDS), à laquelle Doctolib est soumise, apporte des garanties de sécurité et de traçabilité, mais n’intègre aucun critère de souveraineté. La dernière recommandation de la Cour est d’aligner la certification HDS sur les exigences de la qualification SecNumCloud en matière de protection vis-à-vis du droit extra-européen.

En conclusion de son rapport, le Cour estime que tant que l’Europe ne dispose pas d’opérateurs capables de rivaliser avec les hyperscalers américains, les administrations publiques devraient viser une performance de leurs systèmes d’information plus strictement adaptée à leurs besoins, en faisant le constat que le parfait exercice des missions de service public peut être garanti sans nécessairement aligner les spécifications des systèmes d’information sur le plus haut niveau technologique. La recherche d’un degré trop élevé de performance à court terme peut en effet créer un double écueil : la mise en cause de la souveraineté sur les données et une dépendance vis-à-vis de la politique commerciale d’un éditeur dominant.

Mme Cyrielle Chatelain, rapporteure, présidente. Pouvez-vous développer la question de la dépendance de l’État vis-à-vis d’éditeurs. Avez-vous des informations sur le coût que cela représente : combien l’État dépense-t-il pour des éditeurs, notamment extra‑européens ?

M. Emmanuel Marcovitch. Notre rapport ne visait pas à examiner de manière globale toutes les dépenses de l’État en matière de numérique – nous avons seulement pris quelques exemples, les services du premier ministre avec la Dinum, les ministères des finances, de l’éducation nationale, de la santé. Toutefois, cette instruction a bel et bien fait ressortir des cas où une dépendance aux éditeurs génère ou pourrait générer des coûts manifestes. Nous citons notamment la situation du logiciel de virtualisation VMware, racheté par le groupe Broadcom, qui a décidé d’en changer la politique commerciale et d’imposer de nouvelles règles, ce qui a multiplié le prix des licences jusqu’à un facteur sept pour certains clients. Les administrations sont certes protégées par l’encadrement de leurs relations par des marchés pluriannuels, mais cela a néanmoins engendré un surcoût de 35 % pour l’AIFE. Les périodes de changement technologique où des éditeurs font basculer leurs offres vers le cloud sont souvent l’occasion d’un changement de politique commerciale, ce qui se traduit par plus de services mais aussi des surcoûts.

C’est aussi le cas, toujours pour l’AIFE, du logiciel Chorus, dont l’ancienne version fonctionnait sur le logiciel européen SAP. Un changement de version de ce dernier a obligé à une migration importante et l’AIFE a étudié la possibilité de changer d’éditeur. Des simulations de ce scénario ont fait apparaître un surcoût allant de 110 % à 160 %, ce qui représentait une charge supplémentaire de 64 millions d’euros. Ainsi, même si une administration peut juridiquement changer de prestataire, cela a un coût en termes de migration de données et de changement de fonctionnalités.

Mais nous n’avons pas étudié le coût pour l’ensemble des administrations de l’utilisation de logiciels d’éditeurs privés extra-européens.

Mme Cyrielle Chatelain, rapporteure, présidente. Le cas de VMware est lié au changement de grille tarifaire d’un acteur privé : avez-vous regardé s’il y avait d’autres acteurs sur le marché ? En général, la dépendance est-elle liée à un manque d’offre, à des habitudes, à des coûts de migration, à des marchés…?

M. Emmanuel Marcovitch. En règle générale, il n’y a pas d’éditeur monopolistique sur un domaine, mais certains sont dominants car leur offre fait référence. Nous citons l’exemple de l’utilisation statistique des données avec l’éditeur SAS, auquel ont recours les services statistiques de l’État, et qui ont aussi effectué des migrations. Ces dernières sont possibles mais elles rencontrent plusieurs freins : celui des compétences internes car il faut savoir gérer ces migrations, celui du changement des interfaces et du mode de travail des utilisateurs, et enfin un obstacle financier. En revanche, je ne crois pas avoir rencontré de situation où un éditeur serait incontournable.

Nous citons le cas de Microsoft Windows, système d’exploitation aujourd’hui largement dominant. Bien qu’il ne soit pas actuellement prévu de s’en passer complètement, d’autres systèmes existent et certaines administrations, comme la gendarmerie nationale, ont fait le choix de déployer un système d’exploitation libre. Ainsi, des alternatives existent, même à un système extrêmement répandu – cependant celles-ci ne sont pas simples à mettre en œuvre pour des questions de coût, de compétences et de changement d’habitudes des utilisateurs.

Mme Cyrielle Chatelain, rapporteure, présidente. Avez-vous pu comparer le coût de l’utilisation de Microsoft Windows et celui de logiciels libres ?

M. Emmanuel Marcovitch. Non, mais une enquête de la Cour, d’initiative citoyenne, sur les outils bureautiques et collaboratifs au sein de l’État est en cours. Elle porte sur les différents modèles utilisés par l’ensemble des ministères et permettra notamment une comparaison entre Microsoft Office Outlook, des outils libres et des outils cloud. Les résultats de cette enquête nous parviendront au deuxième semestre.

Mme Cyrielle Chatelain, rapporteure, présidente. Vous avez évoqué le cas de Pronote, qui est vu par de nombreux utilisateurs comme un outil de service public assez sécurisé et souverain. Pouvez-vous développer ?

M. Emmanuel Marcovitch. Cette situation particulière est liée à l’organisation du ministère de l’éducation nationale : ce sont les établissements scolaires qui choisissent leurs outils et non pas le ministère. Plusieurs éditeurs ont développé des outils destinés à assurer la communication avec les élèves et leurs parents, de même que le ministère de l’éducation lui-même. Il s’est trouvé que l’offre proposée par l’éditeur Index Éducation est celle qui a eu le plus de succès et à laquelle les chefs d’établissement ont recouru. Le logiciel développé par le ministère n’a été utilisé que par quelques dizaines d’établissements et a finalement été abandonné. Ainsi, là où l’on s’attendrait à trouver un outil géré par l’État, comme vous le dites, puisqu’il est intimement lié au service public de l’éducation, les établissements scolaires ont en fait recours à un outil développé par une entreprise privée.

La société Index Éducation a été rachetée par une filiale du groupe La Poste, Docaposte, qui a choisi pour l’outil Pronote un hébergement souverain SecNumCloud – mais elle a fait ce choix de sa propre initiative, en considérant que ces données qui portent sur des millions d’élèves sont très sensibles, sans y être légalement obligée.

Mme Cyrielle Chatelain, rapporteure, présidente. Le fait que l’offre du ministère de l’éducation nationale n’ait pas rencontré son public pose question. Avez-vous une idée du coût de cette offre, et des acteurs qui ont accompagné son développement – cela a-t-il été fait en lien avec des chefs d’établissement, des enseignants voire des associations de parents d’élèves ?

M. Emmanuel Marcovitch. Nous n’avons pas réalisé un audit en profondeur de ce projet ; il me semble qu’il s’agissait d’une extension du système d’information que le ministère avait développé par ailleurs pour ses propres besoins. Cette dimension ne faisant pas partie de son cœur de métier, le ministère a probablement limité ses investissements et a finalement fait le choix de se retirer.

M. Hervé Saulignac (SOC). S’agissant des deux clouds développés par les ministères de l’intérieur et des finances, désormais ouverts aux autres ministères, le rapport relève qu’ils sont peu utilisés et que leur coût est supérieur à celui du marché. Pouvez-vous confirmer que leur coût cumulé s’élève à 55 millions d’euros ? Avez-vous une explication sur le développement parallèle de ces deux clouds, qui répondent pourtant tous deux à des impératifs de sécurité extrêmement importants ?

M. Emmanuel Marcovitch. Oui, ce sont bien 55 millions d’euros qui ont été investis jusqu’à présent pour ces deux clouds ; cette somme est toutefois assez contenue au regard des investissements consentis par les opérateurs privés pour ce type de technologie.

Bien qu’ils possèdent des capacités d’hébergement internes, avec des data centers historiques et très importants, les deux ministères concernés ont basculé vers le cloud au moment où l’État a exigé la création d’infrastructures cloud publiques. Chacun a développé son initiative en parallèle, avec des différences : le cloud du ministère de l’intérieur gère des niveaux de sécurité supérieurs, ses données étant relatives à la sécurité de l’État – bien que les deux outils soient évidemment parfaitement sûrs en matière de cybersécurité. En s’ouvrant à l’interministériel, il s’agissait dans les deux cas de rationaliser l’usage des infrastructures tout en assurant la souveraineté des données et des applications hébergées.

En revanche, ces ministères n’ont pas suffisamment investi dans ces infrastructures : elles proposent aujourd’hui un niveau et une qualité de service inférieurs à celui du marché qualifié SecNumCloud et ne sont pas suffisamment attractives pour les administrations. Par ailleurs, la grille tarifaire est supérieure au coût réel de revient de ces structures. Cette tarification, inadaptée à la qualité des services proposés, devrait être revue afin d’être plus attractive.

Au total, peu d’administrations utilisent Pi et Nubo en dehors des deux ministères qui les ont développés, alors que ces outils maîtrisés par l’État sont, pour certaines applications particulièrement sensibles, des alternatives intéressantes à l’offre du marché. Nous préconisons ainsi un travail de convergence entre ces deux clouds interministériels, avec au moins des feuilles de route communes et un rapprochement des technologies. Quant à l’existence de deux infrastructures distinctes, elle peut se comprendre, pour des raisons de résilience, de redondance, tant que leur développement est coordonné.

Mme Isabelle Rauch (HOR). Au sujet de l’accompagnement au changement, vous avez parlé de difficultés liées au coût et aux compétences. Comment peut-on résoudre la contradiction – qui n’est peut-être qu’apparente – entre internalisation et externalisation des compétences, c’est-à-dire entre les exigences de souveraineté d’une part et du meilleur niveau de compétences d’autre part ? En ce qui concerne le changement d’habitudes, que préconisez-vous pour accompagner les usagers – puisque c’est bien ce changement qui est, au-delà du coût et des compétences, le facteur de succès ?

M. Emmanuel Marcovitch. Nous n’avons pas examiné dans ce rapport le travail entrepris sous l’égide de la Dinum afin de renforcer la filière RH numérique de l’État, notamment en alignant ses grilles salariales et de compétences, afin d’attirer des compétences également recherchées par le secteur privé.

Beaucoup de développements sont effectués par des sous-traitants, qu’il s’agisse de grandes sociétés ou bien de travailleurs indépendants. Cela pose la question de la capacité de l’État à maintenir une expertise dans la durée, à laquelle s’ajoutent des enjeux de confidentialité : tout cela doit être strictement encadré par des marchés et des règles juridiques et déontologiques. D’un autre côté, une internalisation complète impliquerait un recrutement massif de personnel très qualifié, ce qui n’est pas réaliste tant au regard des besoins que de la situation financière de l’État. L’Inspection générale des finances a produit un rapport en 2023 sur ce sujet.

La question du changement d’habitudes est un point sensible ; les outils bureautiques font partie du quotidien et leur modification peut créer des réticences de la part des utilisateurs. Cependant, ce changement peut avoir lieu sous l’effet d’impératifs liés à la souveraineté ou à la sécurité. Nous citons l’exemple – qui peut sembler anecdotique – des messageries instantanées au sein de l’État : des messageries du marché comme WhatsApp ou Telegram étaient utilisées dans l’administration et jusqu’au plus haut niveau, alors qu’elles n’étaient pas souveraines. L’État a réussi à imposer et à généraliser progressivement le recours à Tchap, application souveraine développée par la Dinum. Il a fallu attendre le temps que cette application atteigne la masse critique d’utilisateurs nécessaire à l’apparition d’un effet de réseau et qu’elle apporte des fonctionnalités nouvelles et utiles par rapport à ce qui existe sur le marché. Ce choix a dû être imposé par plusieurs circulaires du premier ministre.

On peut également citer le cas des applications de visioconférence, dont l’utilisation s’est généralisée avec l’essor du télétravail : des outils très différents étaient utilisés, comme Teams ou Zoom, dont beaucoup n’étaient pas souverains. Le premier ministre a imposé une généralisation de Visio, outil garanti par la Dinum, à l’ensemble des services de l’État.

Si un changement d’outil de visioconférence a des conséquences limitées, il faut prendre en compte les freins que peut constituer le changement d’un outil qui serait davantage au cœur du quotidien des agents. Certaines directions de systèmes d’information nous ont dit que des agents pouvaient se sentir malmenés par des outils qu’ils n’arrivent pas à maîtriser, ce qui peut représenter un obstacle à une politique des systèmes d’information ambitieuse.

Mme Cyrielle Chatelain, rapporteure, présidente. Avez-vous identifié des clauses contractuelles qui renchériraient le coût d’une migration, par exemple des pénalités financières imposées par des opérateurs extra-européens ?

D’autre part, M. Verdier, ancien ambassadeur pour le numérique et directeur général de la fondation Inria, nous a dit que les services comprenaient souvent beaucoup d’acheteurs et peu de développeurs : considérez-vous qu’on peut être un bon acheteur si l’on a peu de personnes capables de contrôler la qualité des outils numériques proposés par des opérateurs externes ?

M. Emmanuel Marcovitch. Je ne sais pas si cette répartition signifie nécessairement que les acheteurs ne seraient pas suffisamment formés. Un bon acheteur est capable de challenger le prestataire, dans le numérique comme dans tout autre domaine. Nous n’avons pas examiné ce sujet, mais le fait d’avoir peu de développeurs n’empêche pas forcément de bien exercer la fonction de maîtrise d’ouvrage – qui ne se confond pas avec celle de maîtrise d’œuvre.

En ce qui concerne les migrations, nous n’avons pas vu de marché où il existait des pénalités financières. Cependant, les éditeurs n’ont pas besoin de mettre de telles pénalités pour que la migration ait un coût important, et ce d’autant plus quand les données sont hébergées sur un cloud puisque dans ce modèle, l’éditeur maîtrise à la fois le logiciel et les données, ce qui complexifie encore les démarches. Ces coûts sont divers : coût interne, car il faut des compétences techniques pour opérer le passage d’un environnement à un autre ; coût d’usage, car tous les logiciels n’ont pas le même niveau de fonctionnalité ; parfois, le système existant est en lien avec d’autres applications, ce qui nécessite un redéveloppement en cas de changement d’éditeur. Le cas de Chorus a mis en évidence l’importance de ce coût de migration ; il y a une incitation à maintenir l’éditeur en place. Le frein à la migration est donc moins la clause juridique que ces données techniques et financières.

En 2019, la plateforme des données de santé a fait le choix de l’infrastructure Microsoft Azure parce qu’elle était à l’état de l’art et très rapidement déployable. Cette solution devait être temporaire, mais aucun changement n’est advenu depuis sept ans : les services se sont probablement rendu compte que l’action de migrer était très complexe ; une simple décision politico-administrative ne suffit pas.

Mme Cyrielle Chatelain, rapporteure, présidente. La recommandation n° 2 de votre rapport vise à l’élaboration d’une feuille de route de développement des outils par la Dinum, qui a déjà commencé – notamment avec LaSuite numérique, solution intéressante pour sortir des outils propriétaires. Quel doit être selon vous le rôle de l’État : prescripteur, utilisateur, développeur de projet ? Dans quelle mesure est-il plus intéressant de recourir aux outils développés par la Dinum plutôt qu’aux solutions de marché ?

M. Emmanuel Marcovitch. La recommandation était d’intégrer, à l’occasion de la révision de la feuille de route de la Dinum, une stratégie de souveraineté numérique qui définisse notamment les modalités de développement et d’exploitation des applications informatiques de l’État. Elle n’incitait pas à ce que les outils soient développés par la Dinum, mais pointait simplement le fait que la thématique de la souveraineté n’était pas suffisamment traitée dans la feuille de route, notamment au sujet du développement et de l’exploitation des logiciels. Nous demandions donc un renforcement de la doctrine de l’État sur ce point, mais cela peut tout à fait passer par un recours à des solutions tierces.

Il y a une tension sur ce sujet : l’État n’a pas forcément vocation à proposer des solutions lorsqu’il en existe déjà sur le marché qui répondent aux besoins. La Dinum et les ministères avancent sur une ligne de crête : que choisissent-ils de faire eux-mêmes, de faire faire et d’acheter ? Ces trois possibilités ont chacune des avantages et des inconvénients. Produire soi-même son outil permet de répondre précisément aux besoins et d’en maîtriser toutes les fonctionnalités, mais cela peut poser un risque de dérapage financier et calendaire, que l’on a vu notamment sur de grands projets numériques dont certains ont duré des années plutôt que les quelques mois annoncés au départ et dont les coûts ont été multipliés par un facteur important. Cela est dû parfois aussi à l’expression par l’État d’exigences trop spécifiques, suivie d’une évolution des besoins, c’est-à-dire à un défaut de maîtrise d’ouvrage dans la conduite de ces projets. Plusieurs rapports de la Cour ont traité ce sujet par le passé.

Il n’y a donc pas un seul modèle à suivre, que ce soit celui du développement interne, du développement à façon ou de l’achat sur le marché ; notre recommandation était d’établir une doctrine générale sur la manière dont la souveraineté doit être traitée.

Mme Cyrielle Chatelain, rapporteure, présidente. Sur quel type de projet ces dérapages ont-ils lieu ? On sait qu’il est fréquent que des projets informatiques échouent, y compris dans le privé : voyez-vous une différence entre les développements en interne et en externe ? Est-ce lié au manque de compétences ?

M. Emmanuel Marcovitch. La plupart des grands projets numériques de l’État sont sous-traités : l’État établit un cahier des charges et gère la maîtrise d’ouvrage, mais il confie le projet à des prestataires extérieurs. Il ne me vient pas à l’esprit de grand projet numérique qui ait été totalement développé en interne, même s’il en existe sûrement. Vous évoquiez LaSuite numérique : la Dinum dispose de compétences internalisées, mais fonctionne avec des développeurs extérieurs.

Notre rapport sur la souveraineté n’a pas examiné ces grands projets numériques, bien que nous en évoquions certains qui ont été traités par d’autres rapports de la Cour ou des rapports d’inspection.

S’agissant des causes des dérapages, il s’agit le plus souvent d’un défaut de maîtrise d’ouvrage, que ce soit dans l’expression d’un besoin initial ou dans la stabilité des besoins dans le temps. Cela concerne plutôt des projets pour lesquels l’État a souhaité un développement à façon et passé un marché pour sous-traiter ce développement.

Mme Cyrielle Chatelain, rapporteure, présidente. Dans le domaine des logiciels, la transparence du code, la capacité à le comprendre et à contrôler l’adéquation de l’outil et de la commande font-elles partie des enjeux d’autonomie et d’indépendance ?

M. Emmanuel Marcovitch. Oui, cela y contribue. Il y a des compétences en la matière au sein de l’État : quand des projets numériques dévient, il est prévu dans le décret relatif à la Dinum que celle-ci mène des audits et intervienne sur les diverses facettes, fonctionnelles et techniques. Pouvoir soulever le capot est évidemment utile.

Mme Cyrielle Chatelain, rapporteure, présidente. Au-delà des compétences, savez‑vous si les prestataires sont obligés par leur contrat à être transparents sur leur code ?

M. Emmanuel Marcovitch. Je ne sais pas ; l’Anssi peut probablement répondre à cette question car il est de son ressort de s’assurer de la sécurité de ce que les administrations achètent.

Quand on fait appel à des produits du marché, il est rare que les éditeurs ouvrent leur code ; en revanche, le code des logiciels libres est transparent et les administrations peuvent l’auditer.

Mme Cyrielle Chatelain, rapporteure, présidente. Ainsi, lorsque les administrations ont recours à des solutions « sur étagère », il n’est pas habituel de demander la transparence sur le code, qui est généralement propriétaire ?

M. Emmanuel Marcovitch. Je ne saurais pas vous dire.

Mme Cyrielle Chatelain, rapporteure, présidente. Vous avez évoqué le fait que les travaux sur la certification européenne pourraient être moins précis que ce que la France souhaite et pratique déjà sur les questions de souveraineté. Cela est-il susceptible de remettre en question le référentiel SecNumCloud ?

D’autre part, tout en restant dans le droit européen, est-il possible d’inclure des critères de souveraineté dans la stratégie d’achat public ?

M. Emmanuel Marcovitch. Il y a un chemin à trouver entre l’exigence française forte en matière de souveraineté et l’actuelle absence de consensus européen à ce sujet, notamment en ce qui concerne le marché intérieur. La France a inscrit dans la loi Sren des exigences de souveraineté, dans un périmètre encadré par la double condition que j’évoquais tout à l’heure. Le décret d’application de l’article 31 de la loi Sren a été transmis à la Commission européenne, qui n’a pas formulé d’objections et a donc laissé le travail réglementaire se poursuivre.

Les discussions sur le schéma de certification européen EUCS n’ont pas intégré la demande de la France d’y ajouter un niveau supérieur qui inclurait des questions de souveraineté, c’est-à-dire l’équivalent d’un SecNumCloud garantissant l’étanchéité à des lois extraterritoriales. Cette demande n’a pas été rejetée, mais la Commission européenne a considéré que tel n’était pas l’objet de ce schéma de certification et qu’il en serait question dans un futur règlement sur le développement de l’informatique en nuage et de l’IA. Ce report est aussi dû au fait que le sujet ne fait pas consensus : l’issue est donc incertaine.

Si l’Union européenne ne suivait pas les préconisations de la France, alors les cas d’immunité contre des lois extraterritoriales devraient se limiter à un périmètre circonscrit afin que cela ne revienne pas à exclure des marchés publics des entreprises installées dans d’autres États membres de l’Union européenne. C’est la position que la France a prise récemment avec la loi Sren, qui revient à circonscrire les exigences de souveraineté afin de ne pas trop empiéter sur le marché européen. Nous verrons ce qu’il advient : les discussions sur le futur règlement au sujet de l’informatique en nuage ne sont pas terminées.

Mme Cyrielle Chatelain, rapporteure, présidente. Un de ces États membres, l’Irlande, héberge un grand nombre d’entreprises américaines : cela signifie-t-il qu’on ne pourra pas exclure les branches d’Amazon ou de Google installées en Irlande ?

M. Emmanuel Marcovitch. Il ne s’agit pas que de l’Irlande : les hyperscalers américains installent des data centers partout en Europe, ce qu’ils font valoir dans leur communication comme un gage de souveraineté. Toutefois, dès lors qu’il s’agit d’entreprises américaines, elles sont susceptibles de subir des pressions du gouvernement et de la justice des États-Unis dans le cadre du Cloud Act ou du Foreign Intelligence Surveillance Act (Fisa), nous n’avons aucune garantie du respect de cette souveraineté. Ces entreprises sont très peu transparentes sur les sollicitations dont elles ont fait l’objet jusqu’à présent.

Si la France restait isolée sur ces questions, nous pourrions avoir des exigences très élevées en matière de cybersécurité, à l’instar de certaines normes allemandes ou espagnoles, mais il nous faudrait revoir à la baisse nos critères de souveraineté pour certains projets qui ne sont pas d’une sensibilité extrême.

C’est d’ailleurs l’attitude que le ministère de l’éducation a adoptée avec son système de gestion RH : en 2021, la doctrine « cloud au centre » était beaucoup plus large – elle exigeait un recours au SecNumCloud dès qu’il était question de données personnelles – puis, lorsqu’en 2023 la doctrine s’est resserrée autour du double critère, le ministère de l’éducation a argué que le deuxième critère n’était pas rempli, en considérant que la divulgation des informations ne créerait pas un trouble excessif à l’ordre public. Va-t-on devoir maintenir un périmètre restreint dans lequel nous pourrons imposer notre souveraineté, ou bien ce périmètre pourra-t-il s’élargir ? Le choix de l’Union européenne ne sera pas neutre de ce point de vue.

Mme Cyrielle Chatelain, rapporteure, présidente. Ce sujet est pris en compte au plus haut niveau de l’État, vous l’avez dit ; est-ce qu’il fait selon vous l’objet de choix et de décisions politiques, ou reste-t-il vu comme un sujet d’intendance ou de support ?

M. Emmanuel Marcovitch. En effet, ce sujet est dans le débat mais l’enjeu de souveraineté n’est pas encore complètement intégré dans les stratégies numériques des administrations. On peut identifier quatre domaines de contradiction ou d’incertitude. Tout d’abord, une gouvernance qui n’est pas assez affirmée – la feuille de route stratégique n’est pas suffisamment explicite, il n’existe pas de cartographie interministérielle des données sensibles. En deuxième lieu, on note une interférence entre les exigences de cybersécurité et de souveraineté – les administrations publiques choisissent les solutions les plus sûres en matière de cybersécurité mais celles-ci sont parfois extra-européennes. Une troisième tension existe entre performance technique et souveraineté, ce qui vaut pour le système de santé ou pour l’éducation nationale : une application non souveraine mais déjà déployée massivement à l’échelle mondiale et rapidement opérable peut être intéressante pour une administration publique. Enfin, la montée en puissance très lente des clouds interministériels Pi et Nubo ne favorise pas l’essor de cette architecture sécurisée et souveraine interne à l’État.

La volonté politique est donc affirmée mais il existe encore une grande marge de progrès sur ces différents axes. Aller plus loin ne nécessiterait probablement pas d’investissements lourds au regard des budgets numériques de l’État et de ce qui a été investi jusqu’ici dans les enjeux de souveraineté.

* *

Audition, ouverte à la presse, de Mme Soizic Pénicaud, cofondatrice de l’Observatoire des algorithmes publics (mardi 17 mars 2026)

Mme Isabelle Rauch, vice-présidente. Nous poursuivons nos auditions en recevant Mme Soizic Pénicaud, cofondatrice de l’Observatoire des algorithmes publics (Odap), qui crée et rassemble des informations sur les algorithmes utilisés par les administrations françaises afin d’en accroître la transparence. Je vous remercie par avance, madame Pénicaud, de rappeler au cours de votre propos liminaire, et avant de commencer nos échanges, l’origine de cette initiative, ses objectifs et ses réalisations.

Auparavant, je rappelle que cette audition est ouverte à la presse et fait l’objet d’une retransmission vidéo en direct. L’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission de prêter le serment de dire la vérité, toute la vérité, rien que la vérité. Je vous invite donc à lever la main droite et à dire : « Je le jure ».

(Mme Soizic Pénicaud prête serment).

Mme Soizic Pénicaud, cofondatrice de l’Observatoire des algorithmes publics. Je vous remercie pour cette invitation à propos d’un sujet crucial et d’actualité. J’ai créé l’Observatoire des algorithmes publics en novembre 2024 avec Camille Girard-Chanudet, sociologue et post-doctorante au Centre d’études de l’emploi et du travail (CEET), et Estelle Hary, designer et chercheuse au Royal Melbourne Institute of Technology. L’Odap est une association à but non lucratif, totalement bénévole et indépendante, qui ne bénéficie d’aucune source de financement. Je mène par ailleurs des activités de conseil et de recherche en politique publique du numérique, plus particulièrement sur les enjeux éthiques et les politiques de l’intelligence artificielle, notamment dans le secteur public. Je travaille avec des associations, des institutions publiques, des fondations et des journalistes. Je suis également enseignante à l’École d’affaires publiques de Sciences Po Paris, et j’ai auparavant travaillé à la direction interministérielle du numérique (Dinum).

Nous avons créé l’Odap sur la base d’un constat : en dépit d’un usage croissant des algorithmes et de l’IA dans le secteur public, très peu d’informations sont rendues publiques à leur sujet par les administrations qui les acquièrent, les développent ou les utilisent. Qu’entendons-nous lorsque nous parlons d’algorithmes publics ? Nous désignons par ce terme tout type de système permettant d’automatiser, même partiellement, des actions ou la production de résultats.

Permettez-moi de citer quelques exemples très concrets. Cela commence par des systèmes utilisés depuis soixante ans par l’administration, comme ceux qui calculent les prestations sociales ou les impôts. On peut ensuite penser à des systèmes impliqués dans la prise de décision, où l’on distingue deux grands cas d’usage. Le premier est la mise en correspondance entre une offre et une demande : c’est le cas de Parcoursup pour l’attribution des places dans l’enseignement supérieur, ou encore de l’attribution des greffes, qui met en relation l’offre de greffons et les demandes des patients. Le second cas d’usage, qui suscite encore plus de débats, concerne les systèmes permettant de prédire des situations en se basant sur des cas passés. Ainsi de l’algorithme de ciblage utilisé par la Caisse nationale des allocations familiales (Cnaf) pour contrôler les allocataires, ou encore l’algorithme Signaux faibles, utilisé par la direction générale des entreprises (DGE) pour identifier des entreprises qu’il est nécessaire d’accompagner pour prévenir leur faillite.

Il existe également des systèmes qui, sans participer directement à une prise de décision, automatisent certaines tâches. C’est le cas des algorithmes de pseudonymisation qui permettent de publier des décisions de justice expurgées de données personnelles ou réidentifiantes, ou bien des algorithmes utilisés par l’Institut national de l’audiovisuel (INA) pour retranscrire les enregistrements vidéo d’archives. Enfin, depuis 2023, nous assistons à l’avènement de systèmes d’IA générative, capables de produire des contenus variés – images, sons, textes –, de réaliser des transcriptions ou des traductions. Ces systèmes revêtent une importance potentiellement considérable pour l’administration, par exemple pour la transcription dans des contextes sensibles tels que les auditions judiciaires.

L’Odap constate que la transparence de ces divers systèmes est lacunaire. Par transparence, on pense spontanément à la transparence technique – celle des codes sources, des données. Mais l’Odap appréhende la question de la transparence de manière plus large : elle englobe l’existence même de ces systèmes, leurs budgets, leurs concepteurs, leurs infrastructures, et enfin leurs effets et leur évaluation. Cette opacité persiste en dépit de l’existence en France d’un cadre légal pionnier sur la transparence des algorithmes publics depuis la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique. Ce cadre spécifique ne recouvre pas tous les usages que j’ai mentionnés, mais il dénote toutefois la volonté de la France d’être pionnière en la matière.

Sur la base de ce constat, l’Odap s’efforce d’améliorer la transparence de ces systèmes, en créant et rassemblant des informations sur les algorithmes utilisés par les administrations. L’une de nos actions phares, lancée en 2024, est un inventaire des algorithmes, dont l’édition 2025 a été réalisée par soixante-dix contributeurs bénévoles. Nous organisons par ailleurs des conférences, des interventions publiques, des entretiens avec des chercheurs sur l’automatisation du service public, et nous travaillons avec des collectifs et des organisations externes à l’administration pour les outiller sur ces sujets.

L’Odap n’a pas été créé dans le but d’effectuer à sa place le travail de l’administration en matière de transparence des algorithmes publics. Notre objectif se limite à réduire l’asymétrie d’information qui existe entre l’État et la société civile. En outre, nous ne tenons pas la transparence pour une fin en soi. Il s’agit avant tout d’un prérequis nécessaire mais non suffisant pour parvenir à une meilleure maîtrise de ces outils. Enfin, notre travail vise à démontrer que les algorithmes publics ne sont ni neutres ni autonomes. Ils sont le produit de choix, qui sont toujours des choix politiques.

Pour terminer ce propos liminaire, j’aimerais souligner trois points qui me paraissent intéressants.

Premièrement, il est à mes yeux essentiel de poser la question du « pourquoi », du recours au numérique et à l’automatisation, en même temps que celle du « comment ». En effet, l’enjeu n’est pas seulement de concevoir des systèmes totalement maîtrisés et immunisés contre les ingérences étrangères, mais aussi de s’interroger sur les services publics que nous souhaitons pour notre pays, et sur les objectifs de l’utilisation du numérique et des algorithmes en leur sein. Ces questions sont ardues, et surgissent au cœur d’une actualité particulière, mais je suis sensible à votre invitation à présenter nos travaux devant une commission d’enquête sur l’évaluation des dépendances et des vulnérabilités de la France en matière de numérique, parce qu’elle dénote la volonté de ne pas renoncer à une nuance et à une complexité d’autant plus précieuse que le contexte est tendu.

Deuxièmement, il importe de ne pas limiter la réflexion sur les algorithmes publics et l’automatisation aux questions des biais et des conséquences sur les individus ou les agents publics. Je vous invite au contraire à appréhender le sujet sous l’angle des infrastructures, à la fois celles sur lesquelles les algorithmes publics s’appuient – stockage et utilisation des données, acteurs de la conception des systèmes –, et celles que l’usage des algorithmes publics favorise. En effet, l’automatisation reposant sur une collecte et un stockage de données toujours plus importants, il est indispensable de questionner le type d’infrastructures qu’elle implique. De même, le choix des partenaires économiques avec lesquels l’État et l’administration choisissent de collaborer n’est pas neutre du point de vue des modèles économiques et des politiques industrielles.

Troisièmement, l’IA générative, qui capte l’attention aujourd’hui, est en quelque sorte l’arbre qui cache la forêt de l’automatisation globale des services publics. Elle masque des projets techniquement moins complexes, reposant sur des méthodes statistiques compréhensibles par le plus grand nombre, mais qui entraînent d’importantes conséquences sur la vie des citoyens. Je pense par exemple à l’algorithme d’attribution de scores de risque de la Cnaf, que j’ai mentionné précédemment, qui repose sur une simple régression logistique, mais qui naturellement est susceptible d’affecter fortement les citoyens. C’est pourquoi j’insiste sur l’importance d’appréhender le concept d’algorithme public dans sa globalité, et de ne pas laisser sous les radars des systèmes moins spectaculaires que l’IA, mais dont les effets sont majeurs.

Mme Isabelle Rauch, vice-présidente. Je vous remercie, madame Pénicaud, pour cette introduction. J’aimerais, avant de laisser la parole à Mme la rapporteure, vous poser une question. Vous avez mentionné votre volonté de réduire l’asymétrie d’information. Pourriez-vous préciser à qui s’adresse cette démarche ? S’agit-il du citoyen, ou de professionnels qui pourraient servir d’interface avec la société civile ? Comment votre association se fait-elle connaître ?

Mme Soizic Pénicaud. Notre public est double : nous nous adressons à la fois aux citoyens et aux organisations intermédiaires, comme les associations spécialisées dans certaines politiques publiques. Une association s’intéressant aux politiques publiques du logement, par exemple, pourrait se rapprocher de l’Odap pour mieux comprendre l’impact de l’automatisation sur ses missions. Notre objectif est de rendre ce sujet technique accessible en montrant que la question des algorithmes publics n’est pas si différente de celles qui portent sur d’autres instruments de politique publique. Concrètement, nous expliquons le fonctionnement des systèmes et nous orientons aussi vers d’autres sources d’information. Pour l’heure, notre activité prend la forme de conseils informels et personnalisés. Nous travaillons également à l’élaboration de ressources de formation destinées à permettre à toute personne qui le souhaite de faire usage des moyens légaux pour adresser des demandes d’information ou des demandes d’accès aux documents administratifs.

Nous nous concentrons sur les collectifs parce que nous pensons qu’ils sont déjà en lien avec le public et capables à ce titre d’assurer un travail de vulgarisation, alliant leur expertise d’un secteur de politique publique à l’éclairage technique que nous leur apportons. Nous ne revendiquons pas une expertise sur l’ensemble des politiques publiques menées par l’administration.

Mme Cyrielle Chatelain, rapporteure. J’aimerais que l’on s’arrête sur ce mot, algorithme, qui peut susciter une certaine appréhension et qui évoque une certaine complexité technique. Les exemples que vous avez mentionnés, depuis Parcoursup jusqu’au don d’organes en passant par le ciblage de la Cnaf, témoignent de l’ancrage de longue date des algorithmes dans l’administration publique et les prises de décisions. Qu’est-ce qui a changé, selon vous, pour que ces algorithmes qui existent depuis longtemps deviennent aujourd’hui un sujet aussi politique ? Est-ce en raison d’une évolution de leur place dans la prise de décision, ou bien parce qu’ils sont désormais bien plus complexes ?

Mme Soizic Pénicaud. Lorsque j’ai commencé à travailler sur les algorithmes publics, vers 2017, ce sujet n’était pas très présent dans le débat public. Il l’est devenu davantage à partir du lancement de Parcoursup, qui a remplacé le portail admission post-bac (APB) en 2018, et a pris de l’ampleur avec l’apparition en 2022 de l’IA générative grand public qui, comme je l’ai indiqué, monopolise quelque peu l’attention au détriment de la notion d’algorithme.

Le recours croissant à des algorithmes à visée prédictive et l’utilisation de systèmes d’IA générative pour des tâches relativement anodines, mais qui ne sont pas sans effets, ont certainement fait entrer ces sujets dans les consciences. Mais je pense que l’évolution de notre rapport à ces sujets dépend aussi d’un travail de mise à l’agenda du débat public, auquel ont contribué certaines affaires ayant trouvé un écho médiatique, et donc politique – je pense à Parcoursup et à la Cnaf en France, mais d’autres affaires en Europe ont également attiré l’attention.

Il est certain que les systèmes ont, ces dernières années, gagné en complexité et en capacité à traiter un grand nombre de données, du fait des progrès technologiques. Mais il me semble que la prise de conscience de la nature politique de ces systèmes n’est pas nécessairement liée aux progrès informatiques eux-mêmes. La vidéosurveillance algorithmique (VSA) et la reconnaissance faciale l’illustrent bien.

Mme Cyrielle Chatelain, rapporteure. Notre commission d’enquête s’est donné pour objets les questions de dépendance et de vulnérabilité dans le secteur numérique : il me semble que les problèmes liés aux algorithmes publics relèvent avant tout de la vulnérabilité. Néanmoins, pensez-vous qu’il existe également un sujet de dépendance, dans la mesure où les concepteurs d’algorithmes et d’outils comportant des algorithmes sont principalement des structures extracommunautaires ? Ou bien, finalement, peut-on dire que les risques liés à la vulnérabilité et ceux liés à la dépendance se mêlent ? Je pense au cas où un algorithme développé par un opérateur extracommunautaire est implémenté par l’administration française et impliqué dans l’aide à la décision publique.

Mme Soizic Pénicaud. Les systèmes dont nous parlons sont divers, et certaines de leurs caractéristiques se recoupent, créant différentes formes des vulnérabilités, notamment une illusion de neutralité et d’objectivité. En matière de dépendance et de vulnérabilité, il importe de tenir compte des chaînes de sous-traitance impliquées dans le développement d’un certain nombre d’algorithmes publics. En effet, la mise en œuvre de l’automatisation dans le secteur public entraîne une collecte et un partage de données entre administrations. Rares sont les systèmes algorithmiques développés et utilisés uniquement en interne. Pour les individus, cela signifie que plus ils sont en contact avec l’État, et plus l’État collecte de données sur eux, notamment dans le cadre des systèmes de protection sociale. Des chaînes de sous-traitance, avec des prestataires et des sous-traitants de prestataires, sont impliquées dans cette collecte, ce qui crée une multitude de points de vulnérabilité en matière de protection des données personnelles. S’agit-il de points de vulnérabilité par rapport à des puissances étrangères ? Il est difficile de l’affirmer, parce que les informations manquent sur les prestataires impliqués dans ces systèmes.

Le rapport de la Cour des comptes sur la souveraineté numérique mentionne le cas de FranceConnect, qui n’est pas un algorithme mais qui participe à la mise en données de l’administration : un sous-traitant du prestataire chargé d’assister la Dinum dans le développement de FranceConnect avait effectué une copie des données utilisateurs de ce service de l’État sur son propre système dans le but de réaliser des statistiques sur le traitement de demandes de support. Ce sous-traitant a été victime d’une attaque informatique et ces données ont été dérobées – voilà un exemple de vulnérabilité liée aux chaînes de sous-traitance.

L’affaire de la caisse des allocations familiales (CAF) de Gironde en 2023 en est une autre illustration : la CAF avait envoyé des données sur ses allocataires à un prestataire qui les a mises en ligne en pensant qu’il s’agissait de fausses données. C’est ainsi que les données personnelles de 10 000 allocataires se sont retrouvées en ligne durant des années, jusqu’à ce que la cellule d’investigation de Radio France révèle cette affaire.

Développer des systèmes en interne, en France, ne prémunit pas contre certains risques, en raison du stockage des données qui requiert de recourir à des prestataires de cloud, notamment Microsoft Azure. Le problème ici, se rapporte à l’absence d’informations sur les lieux de stockage des données, et au défaut d’évaluation et d’analyse de l’impact de ce stockage sur la protection des données personnelles. Je renvoie sur ce point au rapport de la Cour des comptes sur France Travail, qui montre bien que certaines administrations ne produisent pas les analyses nécessaires à l’évaluation des risques inhérents au stockage.

Les systèmes de mise en données sont susceptibles de mener à des détournements de l’usage initialement prévu des données. Au Royaume-Uni, récemment, on a utilisé des données récoltées par des compagnies aériennes pour lutter contre la fraude sociale. Or ces données ont été mal interprétées, ce qui a conduit notamment à accuser des familles d’Irlande du Nord de déserter le pays parce qu’elles étaient parties en voyage depuis un aéroport, avant de rentrer chez elles via un autre aéroport. Un tel problème est susceptible de se produire en France, car la tentation d’utiliser des données récoltées à d’autres fins est grande.

Notre système numérique n’est bénéfique pour les individus que dans la mesure où l’on peut faire confiance à l’État. Or il arrive que l’État utilise des données à des fins potentiellement coercitives, voire illégales. Ainsi l’administration Trump, aux États-Unis, a détruit les données publiques disponibles et la transparence de l’administration américaine. Dans le même temps, elle a instrumentalisé les bases de données existantes, en créant notamment des interconnexions entre les bases de données de la sécurité sociale et les bases de données des services de l’immigration. On a également appris qu’un membre du Department of Government Efficiency (Doge), cette équipe menée par Elon Musk, a emporté les données de la sécurité sociale américaine sur une clé USB. De tels agissements sont naturellement interdits, et l’on se croit facilement à l’abri de ce type de dérives. Or, si l’on s’inquiète des risques en termes de maîtrise, de dépendance et de vulnérabilité, il importe d’être particulièrement attentif aux infrastructures que l’on bâtit, parce qu’elles sont susceptibles d’ouvrir la porte à de potentielles dérives.

Appréhender ces risques est d’autant plus difficile que les administrations mettent à disposition très peu d’informations sur l’évaluation de leurs systèmes, en termes d’effets, d’indicateurs de performance, de dépendances ou de maîtrise. Ce caractère lacunaire des informations rendues publiques explique pourquoi l’Odap s’efforce de chercher des informations auprès d’autres acteurs – des chercheurs, des associations, ou encore des collectifs de journalistes.

M. Philippe Latombe (Dem). Vous avez évoqué l’algorithme de Parcoursup, que l’administration a refusé de publier, un choix entériné par une décision de justice motivée par l’existence d’un risque lié à des failles de sécurité. Cet exemple m’amène à vous interroger, madame Pénicaud, sur l’équilibre entre la prévention contre le risque cyber, qui est un risque d’empoisonnement du modèle susceptible de générer des effets indésirables pour nos concitoyens, et l’exigence de transparence. À cet égard, quel rôle la Commission nationale de l’informatique et des libertés (Cnil) et la Commission d’accès aux documents administratifs (Cada) jouent-elles dans le contrôle des algorithmes ? Je rappelle que, dans le cas de Parcoursup, la Cada s’était exprimée en faveur d’une publication de l’algorithme, avant que le tribunal lui donne tort.

Par ailleurs, quels sont les algorithmes sur lesquels, selon vous, la France doit conserver sa souveraineté ? Vous avez cité l’exemple de l’INA, qui recourt à des algorithmes pour sous-titrer et indexer des vidéos. Pour de telles tâches, a-t-on véritablement besoin de développer un outil totalement souverain ? Ne peut-on se contenter des outils de marché qui, étant nombreux, réduisent le risque de dépendance ? Dans l’exemple de la Cnaf, il semble au contraire impératif de disposer d’outils souverains, parce qu’un algorithme américain, conçu dans le cadre d’un autre modèle social, n’est pas sans conséquence sur le nôtre. Les Néerlandais, qui ont connu de sérieux problèmes en la matière, le savent bien.

Enfin, le secteur public doit-il se positionner simplement en maîtrise d’ouvrage sur le développement des algorithmes ? Ou bien doit-il être également maître d’œuvre ? Le cas échéant, disposons-nous, au sein de l’État, des compétences et des budgets requis par ce type de développement ?

Mme Soizic Pénicaud. L’administration a en effet mis en avant des questions de cybersécurité pour justifier son refus de publier des algorithmes. À cet égard, l’exemple britannique est instructif. Les Britanniques ont construit un inventaire centralisé des algorithmes publics, et ont développé des bonnes pratiques à destination des administrations. Concernant le risque cyber, ils estiment qu’il est préférable de patcher les algorithmes plutôt que de refuser de les publier. En d’autres termes, ils considèrent qu’il est possible de maîtriser le risque de vulnérabilité informatique, notamment le risque relatif au code source, et qu’il ne constitue pas un obstacle à la transparence.

Sur le plan du contrôle des algorithmes, il convient de citer, outre la Cada et la Cnil, le Défenseur des droits, notamment à propos des biais et des discriminations, parce que le règlement européen sur l’intelligence artificielle prévoit qu’il joue un rôle important dans le cadre de l’article 77 sur la protection des droits fondamentaux.

La Cada n’a pas obtenu gain de cause auprès du tribunal dans le cas de Parcoursup, et en réalité aucune sanction n’est prévue à l’encontre des administrations si elles ne mettent pas en œuvre le cadre légal de la transparence des algorithmes publics. C’est la raison pour laquelle, en matière d’accès aux documents administratifs, il serait pertinent de réfléchir à un renforcement des moyens et des pouvoirs de la Cada.

L’INA n’a pas développé son propre modèle, et pour retranscrire ses vidéos il utilise, je crois, Whisper, une application locale développée par OpenAI. Le système est d’ailleurs très bien documenté sur le site data.ina.fr. La question du rapport entre les secteurs public et privé est renouvelée par l’arrivée de l’IA générative. Les systèmes prédictifs employés par la Cnaf, par exemple, s’appuient sur des données internes, mais l’IA générative implique une chaîne de production plus complexe, qui suppose l’usage de modèles commerciaux sans licence d’exploitation. Il apparaît en effet problématique que la Cnaf utilise des modèles étrangers pour effectuer des prédictions, puisque le contexte de développement des outils diffère du contexte de leur application. Dans l’exemple néerlandais, il convient de rappeler qu’un modèle avait été développé en interne, mais il fonctionnait très mal.

Quant à savoir si le secteur public devrait être maître d’ouvrage et maître d’œuvre, et si l’État est suffisamment armé en budgets et en compétences pour cela, je ne suis pas en mesure de vous répondre précisément. Lorsque je travaillais à la Dinum, j’avais coordonné un programme intitulé « entrepreneur d’intérêt général », qui visait à réinternaliser les compétences techniques dans l’administration, c’est-à-dire de compter au sein de l’administration sur des personnes capables de développer des outils, et capables de les comprendre. Il importe d’accroître les compétences sur le plan technique, mais aussi au regard des enjeux de dépendance, de droits fondamentaux, de conformité vis-à-vis du cadre légal et de responsabilité des usages. Or l’administration a tendance à compartimenter les compétences, et séparer ceux qui font de ceux qui s’intéressent aux conséquences, aux usages et aux droits fondamentaux. Je pense qu’il convient d’éviter ce travers.

De même, il serait pertinent de mieux outiller les équipes du Défenseur des droits sur ces sujets. La Cnil dispose d’une équipe très compétente, qu’il serait utile de renforcer également. Enfin, il me semble qu’une réflexion devrait être conduite au sein des ministères, à la fois sur la mise en œuvre et sur l’encadrement des systèmes, de manière à disposer d’une infrastructure de soutien solide et cohérente en termes d’accompagnement des administrations.

M. Arnaud Saint-Martin (LFI-NFP). Je vous remercie, madame Pénicaud, pour le travail effectué par l’Odap, qui me semble salutaire et d’utilité publique. J’aimerais revenir sur l’exemple britannique, que vous avez cité, et sur les bonnes pratiques observées à l’étranger. Quelles seraient, selon vous, les stratégies les plus efficaces pour renforcer le contrôle démocratique sur la production et l’usage des algorithmes publics ? Quels sont les pays les plus avant-gardistes dans ce travail nécessaire pour renforcer la compréhension et la réflexivité collective autour de ces technologies désormais disséminées partout ? Un travail d’inventaire a vocation à s’étendre toujours plus, et d’ailleurs la base de données que vous entretenez sur le site de l’Odap n’est pas exhaustive.

J’aimerais par ailleurs vous entendre plus longuement sur la résistance à la transparence dont fait parfois preuve l’administration. Certains usages problématiques des algorithmes, à l’image de la surveillance algorithmique, expliquent sans doute ce refus organisé et délibéré de transparence. Comment ce refus de transparence prend-il forme selon les différentes administrations ? Qu’est-ce que cela dit de la production de l’action publique ? Je pense en particulier à la Cnaf, qui pratique un contrôle social sur ce que certains nomment les « assistés », ce qui n’est pas dicible du point de vue politique.

S’interroger sur la résistance à la publicité des algorithmes, c’est aussi s’interroger sur notre capacité à rendre public le fonctionnement des algorithmes publics. À cet égard, le combat mené par l’Odap me semble important, mais les forces dont il dispose paraissent disproportionnées par rapport à ces technologies invasives. Dès lors, comment généraliser ce travail de publicisation des algorithmes, comment exercer ce contrôle démocratique à une autre échelle ?

Mme Soizic Pénicaud. L’Odap n’a pas vocation à travailler directement sur la manière dont les administrations mettent en œuvre la transparence. Mais à titre personnel, j’observe dans mon métier un réel développement des initiatives d’inventaire et de cartographie interne aux administrations. Les Britanniques et les Néerlandais sont assez avancés dans ce domaine, ces derniers ayant dressé un inventaire avec 1 384 systèmes, ce qui ne les a pas empêchés de faire face, encore très récemment, à un nouveau scandale lié à un système prédictif. Quant à l’inventaire de l’Odap, il ne recense que 120 systèmes. Il n’a cependant pas vocation à être exhaustif, puisque l’Odap considère qu’il appartient avant tout à l’administration de remplir ses obligations en matière de documentation et de mise à disposition des informations.

Avant de réfléchir à une massification de la publicisation, il convient par conséquent de s’interroger sur la documentation des algorithmes. Celle-ci, parce qu’elle n’est pas systématisée, ne permet pas de cartographier les dépendances et les vulnérabilités dans leur ensemble, c’est-à-dire qu’elle n’englobe pas les questions liées à aux infrastructures, aux prestataires, aux éditeurs et aux modèles de fondation utilisés.

Cependant, le règlement européen sur l’intelligence artificielle (RIA) introduit des obligations en matière de documentation qui pourraient être intéressantes. Le RIA comporte des limites, mais aussi des éléments pertinents pour les systèmes à haut risque, qui pourraient d’ailleurs être adaptés pour d’autres systèmes indépendamment des obligations prévues par ce texte.

Les algorithmes mettent en œuvre des politiques publiques. Si les politiques publiques sont de plus en plus coercitives et sécuritaires, les algorithmes seront proportionnellement plus coercitifs et plus sécuritaires. Cela doit nous conduire à nous interroger sur le type de services publics que nous souhaitons. Je rappelle aussi que les systèmes les plus critiques sont souvent les moins publiés, et le manque de transparence de ces systèmes constitue selon moi une question primordiale.

La réticence de l’administration à partager des informations au public est à mes yeux d’ordre culturel, et appelle un changement dans les mentalités. De nombreux algorithmes pourraient être rendus transparents sans poser de problèmes majeurs.

M. Hervé Saulignac (SOC). Avez-vous observé des cas où l’État a privilégié la moindre dépense au détriment de l’indépendance ?

Mme Soizic Pénicaud. Nous observons avant tout des manquements. Rares sont les administrations qui publient des informations financières sur les systèmes qu’elles utilisent. Sauf erreur, je crois que nous sommes parvenus à trouver des informations budgétaires sur 14 des 120 algorithmes de notre inventaire. Nous les avons trouvées le plus souvent dans des documents tels que les rapports de la Cour des comptes ou les dossiers de candidature adressés au fonds pour la transformation de l’action publique (FTAP).

Il m’est par conséquent difficile de vous répondre précisément sur une politique du moindre coût qui serait mise en œuvre. En revanche, nous observons que les administrations privilégient la performance avant toute autre considération. Je pense en particulier aux serveurs de stockage : les administrations optent pour des serveurs tels que Microsoft Azure, parce que leur usage est plus simple, sans nécessairement envisager les dépendances induites par ce choix.

Il est à noter que la Cour des comptes a relevé que les prédictions budgétaires des administrations, souvent, sont excessivement optimistes quant aux économies permises par la mise en œuvre de systèmes automatisés. De même, France Travail n’a pas été en mesure de fournir à la Cour des comptes des données relatives aux budgets dédiés à l’IA en 2023 et 2024.

Mme Isabelle Rauch, vice-présidente. Vous avez évoqué à plusieurs reprises la question de l’usage des algorithmes et des systèmes automatisés. Où en est l’Odap dans sa réflexion sur cette question des usages ? L’Odap intègre-t-il dans ses audits une réflexion sur l’accompagnement au changement, dont l’audition des représentants de la Cour des comptes nous a permis de comprendre qu’il constituait un frein au passage à l’utilisation d’outils souverains ? Formulez-vous des préconisations à l’attention des organismes qui vous commandent des audits ? D’ailleurs, pourriez-vous nous expliquer comment vous procédez à ces audits ? Comment s’adresse-t-on à vous ? Est-ce que vous vous autosaisissez ou bien procédez-vous à des audits sur la base d’une saisine externe ?

Mme Soizic Pénicaud. Nous ne réalisons pas d’audits poussés sur des algorithmes spécifiques. Notre travail consiste plutôt à centraliser des informations dans un inventaire. Si l’information n’existe pas, alors nous indiquons cette absence de publicité. Nous n’avons donc pas de méthodologie d’audit à proprement parler. L’Odap est un projet que nous menons de notre propre initiative, avec nos propres contraintes, et l’on peut dire que la majorité de nos actions, c’est-à-dire essentiellement l’inventaire, relèvent en quelque sorte de l’autosaisine. Nous sommes parfois contactés pour des échanges et des conseils, mais cette activité reste informelle, et nous manquons de temps et de ressources pour développer des collaborations formalisées avec des institutions.

S’agissant des usages, il convient d’être attentif à la distinction entre les systèmes de prise de décision et les outils d’assistance. À cet égard, l’IA générative a changé les termes du débat. Auparavant, les discussions portaient sur des systèmes de prise de décision critiques, comme les systèmes prédictifs ou la reconnaissance faciale, c’est-à-dire des systèmes susceptibles de mener à des prises de décision discriminantes. Avec l’IA générative, on intègre dans l’administration des outils d’assistance considérés comme bénins, dépourvus de biais et bien encadrés par un contrôle humain. Il s’agit par exemple de systèmes de retranscription d’entretiens, tels que le système Parole utilisé par la police pour retranscrire des auditions d’enfants victimes, qui suppose que la retranscription soit relue par un agent public.

Ces systèmes ne font pas naître d’inquiétudes parce qu’ils sont censés améliorer le quotidien des agents, automatiser des tâches répétitives et que, quoi qu’il arrive, un humain vérifiera que le résultat est correct. Or des recherches récentes sur les systèmes basés sur des modèles de langage mettent en évidence que l’usage de ces outils n’est pas si neutre. Par exemple, une étude sur la transcription dans le secteur social au Royaume-Uni démontre que des systèmes de résumé d’entretiens étaient biaisés contre les femmes, en minimisant leurs problèmes de santé.

Ces outils s’intègrent peu à peu dans le quotidien du travail administratif, sans être perçus comme des sources de problèmes, du fait de leur statut d’outils d’assistance, qui les distingue des outils de prise de décision. C’est pourquoi j’insiste sur l’importance d’appréhender les usages dans le cadre de la politique publique au sens le plus large. Il ne s’agit pas d’améliorer les algorithmes, il s’agit en réalité de repenser les politiques publiques que les algorithmes mettent en œuvre.

Enfin, concernant l’accompagnement aux changements des administrations, je dois dire qu’aucune administration n’a contacté directement l’Odap à ce jour. Mais l’Odap n’a pas non plus vocation à accompagner les administrations, compte tenu du statut de bénévole de ses membres, et de ses moyens limités. Des mesures spécifiques d’accompagnement au changement sont certainement nécessaires pour les administrations. Mais il importe avant tout de prendre conscience que les systèmes sont politiques, et ainsi d’envisager sous un autre angle la question de la légitimité à s’exprimer sur ces systèmes. C’est un point déterminant en termes d’accompagnement au changement, parce que le terme algorithme fait peur, et incite à penser que seules des personnes dotées de compétences techniques peuvent s’emparer de ces sujets, alors que la question de la transparence ne réclame pas de compétences techniques particulières. En d’autres termes, tous les agents publics sont en mesure de s’emparer de ces systèmes, et le dialogue social doit être intégré dans la discussion. Il en va de même dans la société civile : chacun est autorisé à s’exprimer sur ces questions. Encore une fois, je pense que le changement suppose un accompagnement culturel.

Il me parait opportun de penser ensemble différents aspects du problème posé par les systèmes, autrement dit d’articuler la question des infrastructures, des vulnérabilités et des dépendances, celle des effets, c’est-à-dire la question des droits fondamentaux, mais aussi les enjeux d’exploitation de données, d’êtres humains et de matières premières potentiellement liés aux systèmes, notamment les systèmes d’IA générative. Les conversations sont trop souvent menées séparément, et le défi consiste à les rassembler, comme s’y emploie d’ailleurs le RIA.

Mme Cyrielle Chatelain, rapporteure. Vous avez publié dans Mediapart un article coécrit avec le journaliste Clément Pouré sur les infractions au droit d’auteur de la part de Mistral AI. Pourriez-vous relater cette enquête, qui se rapproche de l’objet de notre commission puisqu’il y est question de la conformité au droit d’une entreprise française ?

Mme Soizic Pénicaud. Il s’agit d’un travail que j’ai mené en dehors de l’Odap, mais qui en effet est très lié à ce dont nous parlons aujourd’hui. Nous avons effectué avec le chercheur Paul Bouchaud un audit technique de certains modèles utilisés par Mistral AI dans le but de vérifier s’ils étaient en mesure de restituer des contenus d’ouvrages protégés par le droit d’auteur. Nous nous sommes inspirés pour cela de méthodes déjà appliquées à des modèles américains, et nous avons pu mettre en évidence trois éléments.

Premièrement, Mistral AI s’est appuyé sur des contenus protégés par le droit d’auteur pour entraîner ses modèles. Deuxièmement, il n’existe pas de garde-fou pour empêcher la restitution de ces contenus : si vous demandez à l’agent conversationnel de Mistral AI de restituer ces contenus, il n’avertit pas qu’ils sont protégés par le droit d’auteur, ce que font la plupart des entreprises américaines. Troisièmement, Mistral AI ne respecte pas les interdictions faites à ses robots de consulter, indexer et réutiliser les contenus de certains sites de presse tels que Radio France et Mediapart, ce qui contrevient au code de bonnes pratiques imposé au niveau européen sur les modèles d’IA générative.

Le problème des garde-fous est particulier, puisque certaines entreprises en placent, et que d’autres, à l’image de Mistral AI, s’y refusent. Celui de l’utilisation des données est différent, dans la mesure où il est extrêmement difficile à une entreprise de s’en passer si elle veut rester compétitive. Cela doit nous interroger à propos du modèle économique de l’industrie de l’IA générative : s’il n’y a pas d’alternative à l’utilisation des données, qu’est-ce que cela implique dans la politique industrielle que nous souhaitons soutenir ?

De même, les résultats de cette enquête sur Mistral AI questionnent la notion de souveraineté. Je précise d’ailleurs nous n’employons pas, à l’Odap, ce terme de souveraineté, que nous jugeons équivoque. Que signifie la souveraineté ? Est-ce un critère uniquement géographique ou linguistique ? Quelles exigences avons-nous vis-à-vis des entreprises d’IA générative que l’on souhaite favoriser sur notre sol ? Je n’ai pas de réponse à cette question, que j’estime aussi importante qu’épineuse.

M. Philippe Latombe (Dem). Quel est, selon vous, le rôle de l’open source dans les algorithmes ? Je sais que le terme d’open source n’est pas tout à fait correct, puisqu’il s’agit avant tout d’open code, de poids et de mesures ouverts, et que les bases d’entraînement restent souvent inaccessibles. Pensez-vous, toutefois, que l’open source permette de régler les problèmes de dépendance et de vulnérabilité ? L’écosystème du logiciel libre vous semble‑t‑il suffisamment soutenu pour être en mesure de fournir la sphère publique ?

Mme Soizic Pénicaud. Le terme d’algorithmes publics recouvre en réalité, je l’ai dit, des systèmes très différents. C’est pourquoi on peut apporter plusieurs réponses à cette question. Concernant l’IA générative, il existe des modèles ouverts, surtout des modèles dits open weight, en français des modèles à poids ouverts. Est-ce que recourir à ces modèles apporte des garanties en matière de dépendance ? C’est une piste à explorer, puisqu’il est possible d’utiliser ces modèles sans devoir acquérir une licence auprès d’une entreprise. Toutefois, cela ne règle pas toutes les questions qui se posent en termes de politique industrielle.

Je ne m’aventurerai pas sur le terrain de l’industrie de l’open source, qui est un trop vaste sujet, et je me limiterai à la question de la publication des codes des algorithmes. J’estime qu’il est pertinent d’explorer la possibilité de contraindre les éditeurs à fournir les codes sources de leurs systèmes. La transparence des codes sources, des données et des modèles, permettrait de mener des audits techniques et des évaluations externes, comme le font des journalistes et des associations, à l’image de la Quadrature du net. Mieux connaître les systèmes, c’est aussi mieux se protéger contre les vulnérabilités et les dépendances. Je ne sais pas si nous disposons des ressources nécessaires pour mener ce travail, mais la publication des codes sources des systèmes développés en interne pourrait constituer un premier pas, d’autant que cette publication ne dépend pas de l’industrie de l’open source.

Mme Isabelle Rauch, vice-présidente. Cette audition touche à sa fin, je vous remercie, madame Pénicaud, pour vos éclairages.

* *

Audition, ouverte à la presse, de M. Laurent Vilboeuf, directeur par intérim de la plateforme des données de santé – Health Data Hub (mardi 17 mars 2026)

M. le président Philippe Latombe. Les données de santé représentent un immense potentiel d’informations pour la recherche, pour la prévention et pour la gestion des comptes sociaux. Cependant, elles constituent des données sensibles dont il est nécessaire de protéger la confidentialité. La plateforme des données de santé (PDS), ou Health Data Hub, son ancienne appellation, est au cœur de ces enjeux puisqu’elle vise à faciliter l’accès aux données, tout en en préservant la sécurité. C’est la raison pour laquelle notre commission d’enquête accueille son directeur par intérim, M. Laurent Vilbœuf.

Avant de vous entendre, monsieur Vilbœuf, je vous remercie de nous déclarer tout autre intérêt public ou privé de nature à influencer vos déclarations. Je rappelle que cette audition est ouverte à la presse et fait l’objet d’une retransmission vidéo en direct. L’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission de prêter le serment de dire la vérité, toute la vérité, rien que la vérité.

(M. Laurent Vilbœuf prête serment).

M. Laurent Vilbœuf, directeur par intérim de la plateforme des données de santé. Je vous remercie, monsieur le président, pour cette invitation qui me permettra de vous communiquer des informations actualisées sur la plateforme des données de santé, que je tiens à nommer ainsi, non seulement parce que la loi Toubon l’exige, mais aussi parce que cela facilite la compréhension du rôle de cet organisme. Cependant, le terme « Health Data Hub » subsiste dans le cadre de nos relations avec les autres pays, qui l’identifient sous ce nom.

La PDS se trouve dans une phase où, à la faveur d’une impulsion donnée par le ministre de la santé et de la mobilisation de ses équipes, elle connaît une évolution positive au regard des enjeux qui sont ceux de cette commission d’enquête. J’ai accepté une mission de direction de transition à la tête de ce groupement d’intérêt public (GIP), pour laquelle j’ai été nommé le 1er décembre 2025. Pour être plus précis, j’ai été nommé directeur suppléant par le conseil d’administration du GIP le 9 octobre, puisque la directrice générale précédente devait mettre fin à son détachement à compter du 30 novembre. J’ai ainsi assuré la direction de la PDS sans capacité d’engager juridiquement la structure du 16 octobre au 30 novembre, avant de devenir directeur de plein exercice du 1er décembre jusqu’au 14 avril, date de la fin de mon détachement, puisque je suis inspecteur général des affaires sociales. Il me semblait important de vous apporter ces précisions.

La lettre de mission qui m’a été adressée le 6 novembre par le président du conseil d’administration de la PDS repose sur cinq piliers.

Premièrement, il m’appartient d’assurer le bon déroulement des chantiers prioritaires, parmi lesquels la solution dite intercalaire, conformément aux orientations des pouvoirs publics, et notamment à la stratégie nationale pour l’intelligence artificielle et les données de santé annoncée le 12 novembre 2025.

Deuxièmement, je dois suivre l’ensemble des chantiers nationaux et internationaux en cours, en l’occurrence les travaux de préfiguration de l’espace européen des données de santé (EEDS), sous la conduite du ministère de la santé et auxquels la PDS a été associée en tant qu’acteur sachant. Ces travaux ouvrent à la PDS la possibilité, encore hypothétique à ce jour et soumise à une décision politique, d’obtenir le statut d’organisme responsable de l’accès aux données de santé (Orad).

Troisièmement, la lettre de mission attend du directeur par intérim de la PDS qu’il veille au bon fonctionnement de cette structure, qui dispose d’un conseil d’administration et d’une assemblée générale composée de 56 membres réunissant une grande partie de l’écosystème impliqué dans l’utilisation secondaire des données de santé.

Quatrièmement, ma responsabilité porte également sur le dialogue social interne, et inclut la présidence du comité social et économique (CSE), puisqu’il s’agit d’une structure de plus de cinquante salariés. La PDS a grandi très vite, passant en quelques années d’une sorte de « start-up publique », si j’ose dire, à un GIP plus structuré, employant 110 personnes, ce qui fait naître un enjeu en termes de management des ressources humaines et de dialogue social. La PDS, en outre, a la particularité d’être un groupement d’intérêt public fonctionnant avec une comptabilité privée et des salariés de droit privé.

Cinquièmement, j’ai pour mission de réarrimer en quelque sorte la PDS à l’écosystème de la santé, c’est-à-dire de renouer des contacts avec l’ensemble des partenaires du monde hospitalier, du monde de la recherche, et du monde institutionnel. Depuis mon arrivée à la PDS, j’ai ainsi rencontré une trentaine d’acteurs de l’écosystème, et renoué des liens avec des institutions telles que l’Assistance publique-Hôpitaux de Paris (AP-HP), l’Institut national de la santé et de la recherche médicale (Inserm) ou encore l’Institut national de recherche en sciences et technologies du numérique (Inria).

La PDS a pour origine le rapport sur l’intelligence artificielle et les données de santé, présenté en 2019 par le député Cédric Villani et le sénateur Gérard Longuet, qui mettait en évidence la difficulté éprouvée par les chercheurs à accéder aux données de santé. Sa vocation est donc la mobilisation des données de santé à des fins de recherche, qui requiert une facilité d’accès à de grands volumes de données de qualité standardisée.

La PDS a été créée par la loi du 24 juillet 2019 relative à l’organisation et à la transformation du système de santé. Elle doit remplir cinq missions : faciliter l’accès aux données de santé en proposant un accompagnement juridique et technique aux projets de recherche ; contribuer à l’animation de cet écosystème, notamment en lançant des appels à projets ; valoriser les données de santé à l’échelle nationale et à l’échelle européenne ; favoriser l’accès des citoyens aux données de santé, à travers une direction citoyenne qui travaille en permanence avec des acteurs tels que le réseau France Assos Santé ; rendre accessibles des bases de données volontaires de référence, via une infrastructure solide et une technologie renforcée.

Je tiens à préciser que la PDS n’est pas à l’arrêt, comme on a pu l’entendre. Au contraire, j’ai pu constater, depuis mon arrivée, que son activité est intense. Nous accompagnons par exemple environ 250 projets de recherche, depuis leur conception jusqu’à la mise à disposition des données de santé. Une trentaine de projets finalisés ont déjà produit des avancées. Je pourrais vous adresser, si vous le souhaitez, d’autres chiffres qui témoignent de cette forte activité.

Cependant, la PDS se heurte à certaines difficultés. Il convient d’abord de rappeler qu’il s’agit d’une structure relativement récente, qui lors de sa création constituait un projet inédit ne bénéficiant pas de références solides et d’éléments de comparaison historique. Elle a été par ailleurs tributaire de sa dépendance à un cadre réglementaire très exigeant, mais indispensable, qui a contribué à ralentir sa progression. En outre, son démarrage a été contrarié par la crise sanitaire, et le recours initial à un hébergement cloud Microsoft Azure l’a rapidement handicapée en raison de l’inquiétude engendrée par ce choix. Compte tenu de ces différents éléments, les délais d’accès aux données restent encore excessifs, en dépit de nos efforts.

Je vais naturellement m’arrêter sur cette question de l’hébergement, qui est au cœur des préoccupations de votre commission d’enquête. La migration vers une solution dite cible, consistant à héberger au sein de la plateforme non seulement la base principale des données de santé, dont nous partageons la responsabilité avec la Caisse nationale de l’assurance maladie (Cnam), mais aussi le traitement, l’analyse et la mise à disposition de ces données dans des bulles sécurisées pour les porteurs de projets, est un sujet quasiment consubstantiel à la PDS depuis sa création. Les alertes ont été lancées très tôt, et des réflexions sur la stratégie de migration et la réversibilité ont été initiées dès 2020.

La stratégie interministérielle de novembre 2023, dans le prolongement du rapport « Fédérer les acteurs de l’écosystème pour libérer l’utilisation secondaire des données de santé », dit rapport Marchand-Arvier, prévoyait une solution intercalaire, à savoir la réplication de la base de données de la Cnam sur une base Oracle au sein de la PDS. Un marché négocié avait été lancé, mais nous l’avons interrompu. En effet, la Dinum nous a interpellés à propos des possibilités de l’informatique en nuage, et une analyse approfondie nous a permis de conclure qu’il était possible de procéder à une migration vers une solution cible dans des délais similaires et pour des coûts plus raisonnables.

Le 9 février dernier, nous avons publié une expression de besoins sur la plateforme d’achat public spécialisée sur le cloud, opérée par l’Union des groupements d’achats publics (Ugap) et la direction interministérielle du numérique (Dinum). Ce marché à procédure d’aide au choix a été lancé, et nous avons laissé jusqu’au 9 mars aux fournisseurs de services de cloud pour soumettre leurs offres. Nous avons reçu ces offres et nous sommes en train de les analyser dans le respect des procédures propres aux marchés publics, en garantissant une égalité de traitement maximale. Nous sommes très attentifs à éviter toute fuite, aussi, pour garantir la sérénité des débats, je vous propose de vous transmettre par écrit la liste des fournisseurs, afin d’éviter une diffusion qui pourrait altérer le processus. Nous pensons être en mesure d’annoncer notre choix d’un fournisseur vers la mi-avril, avec pour perspective de procéder à la migration fin 2026 ou début 2027, et de commencer les premières extractions ensuite.

Aujourd’hui, j’estime que la PDS se trouve sur la bonne voie. Nous avons opéré un choix fort, qui répond à un enjeu exprimé par la ministre de la santé dans son communiqué de presse du 6 février, et qui se situe à la fois dans l’esprit et dans les intentions de l’article 31 de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique, dite loi Sren, afin de nous protéger contre les risques de l’atteinte liée aux lois extraterritoriales et aux pressions exogènes de toute nature.

M. le président Philippe Latombe. Je vous remercie, monsieur Vilbœuf, et avant de céder la parole au rapporteur, j’aimerais savoir – et là je m’adresse à vous en tant que directeur par intérim –, dans quelle situation vous avez trouvé la PDS à votre arrivée, laquelle est intervenue après un rapport de l’Inspection générale des affaires sociales (Igas), dont vous êtes vous-même issu. Où en étaient les discussions ou les relations de la PDS avec ses partenaires français et européens, qu’il s’agisse des chercheurs ou des partenaires institutionnels tels que la Commission nationale de l’informatique et des libertés (Cnil), l’Agence du numérique en santé (ANS) ou la Cnam ?

Sur le plan technique, dans quel état se trouvait la PDS ? La réversibilité annoncée par les ministres de la santé et du numérique avait-elle été anticipée ? Comment la loi Sren et son article 31 avaient été intégrés en dépit de l’absence du décret d’application ? Dans quel état se trouvent les relations internes et le niveau de technicité des équipes ? Sont-elles en mesure de procéder à la réversibilité à l’échéance, très brève, de huit mois ?

M. Laurent Vilbœuf. Je m’efforcerai de vous livrer l’appréciation la plus juste possible, n’étant actif dans cette structure que depuis cinq mois. L’écosystème des données de santé est particulièrement complexe. Le système national des données de santé est un trésor national, certes, mais les données de santé sont aussi un trésor pour ceux qui les détiennent, notamment les entrepôts de données de santé. Aussi, tous les partenariats doivent être construits dans une logique de transparence et de redevabilité des données. Alors que le débat autour de l’hébergement chez Microsoft Azure avait assurément nuit à la qualité du dialogue avec nos partenaires, nous avons su renouer des contacts très positifs avec l’ensemble des acteurs, en nous montrant disposés à trouver des articulations dans le respect du rôle de chacun, tant avec nos partenaires hospitaliers des entrepôts de données de santé, qui sont regroupés dans un organisme fédéral, qu’avec le monde de la recherche.

Sur le plan technique, la PDS peut compter sur des professionnels d’un excellent niveau. Sur les 110 personnes qu’emploie la structure, une trentaine de développeurs travaillent sur l’infrastructure, et 18 sur la gestion des données. Notre équipe est donc très solide, mais nous éprouvons certaines difficultés à en fidéliser les membres : ces techniciens sont jeunes, talentueux, et naturellement ils ne sont pas insensibles aux offres du marché de l’emploi.

La réversibilité a été anticipée dès 2020, et ne devrait pas entraîner de surcoût. En effet, le cloud est comparable à l’électricité : hormis le coût de l’abonnement, on paie ce que l’on consomme. Dès lors que l’on quitte le cloud, on cesse de consommer. Nous avons un engagement jusqu’en octobre 2026, mais si notre consommation décroît progressivement en sortant de Microsoft Azure, nous n’aurons pas de coût de réversibilité à proprement parler.

Quant à la loi Sren, j’ai constaté lors de mon arrivée que ce sujet était omniprésent dans l’esprit de l’équipe, et fortement poussé par le ministère de la santé. Le fait de sortir de la solution intercalaire pour aller vers un fournisseur de cloud souverain nous place dans une situation favorable pour respecter la loi Sren. C’est un point déterminant pour nous.

Enfin, s’agissant des relations sociales, j’ai trouvé à mon arrivée une équipe mobilisée. Je pense simplement que l’on ne peut pas passer d’une équipe de 10 ou 15 personnes à une équipe de 110 personnes sans changer profondément de mode de management. Le management collectif qui avait été adopté n’était peut-être plus adapté. Il fallait de la transparence sur les objectifs, de la délégation, de la confiance dans les équipes de direction intermédiaire et de la clarté dans les choix. Se montrer vigilant, par exemple, sur la manière dont on accompagne les jeunes collaborateurs qui intègrent la structure. J’ai donc souhaité que l’on responsabilise à tous les niveaux pour garantir un bon accompagnement.

Il a fallu rassurer et restaurer la confiance à tous les étages, ce qui n’exclut pas l’exigence. Cela passe par des séances de CSE qui ne sont pas expédiées en une heure, mais qui, le temps d’un après-midi, permettent un véritable échange et une réelle transparence. Pour donner un exemple, nous coconstruisons actuellement avec les représentants du personnel, et sur la base des besoins exprimés par les salariés, un cahier des charges pour faire appel à un cabinet qui fournira un appui psychologique confidentiel aux salariés qui le souhaitent. Aujourd’hui, je trouve que les relations sociales sont d’excellente qualité.

Mme Cyrielle Chatelain, rapporteure. Monsieur Vilbœuf, pourriez-vous revenir plus précisément sur le modèle économique de la PDS, ses ressources et ses dépenses ? Confirmez-vous l’analyse de la Cour des comptes, qui a estimé que les obstacles liés à l’hébergement par Microsoft Azure avaient généré un impact financier important ? La Cour des comptes évoque un retour sur investissement attendu de 54 millions d’euros, qui ne s’élèverait en réalité qu’à 500 000 euros. Quels sont, selon vous, les éléments qui expliquent cet écart entre les résultats attendus et les résultats constatés ?

M. Laurent Vilbœuf. La PDS bénéficie de quatre sources de financement. La première et principale ressource est un financement assuré par l’assurance maladie, dans le cadre de l’objectif national de dépenses d’assurance maladie (Ondam). Cette ressource est vitale pour notre GIP. Elle a fortement varié au fil des années : 12,61 millions d’euros en 2023, 29,61 millions d’euros en 2024, 20,61 millions d’euros prévus en 2025 et 12,61 millions d’euros en 2026. Nous savons que l’Ondam est une source de financement précieuse mais très sollicitée, et qu’elle se trouve sous contrainte.

Notre deuxième ressource est le fonds pour la transformation de l’action publique (FTAP), qui a été sollicité au lancement du projet. Vous l’avez indiqué, madame la rapporteure, le rapport de la Cour des comptes pointe une sorte de gabegie, et un retour sur investissement extrêmement faible. En réalité, et je tiens à le souligner, nous avions fourni des chiffres très différents sur ce retour sur investissement. Je m’en étais d’ailleurs ouvert à la direction interministérielle pour la transformation de l’action publique (DITP). J’ajoute que calculer le retour sur investissement de l’utilisation secondaire des données de santé est un exercice assez périlleux. Il est en effet particulièrement difficile de démontrer que telle ou telle étude, s’appuyant sur cette utilisation secondaire des données de santé, a permis d’éviter des traitements ou d’épargner des vies. Nous avons fait savoir à la DITP que nous aurions souhaité des indicateurs plus précis.

La troisième source de financement de la PDS, qui est d’une bien moindre ampleur, est la contribution des membres du GIP, qui s’élève à environ 850 000 euros par an. Enfin, la quatrième ressource est constituée de financements liés à des projets, notamment en provenance de l’Union européenne. En 2025, le total de ces financements s’élevait à 1,826 million d’euros.

Vous le voyez, le GIP reste très dépendant de l’Ondam, ce qui constitue un sujet de préoccupation. La masse salariale de la PDS est d’environ 13 millions d’euros. Face à la baisse des dotations, nous avons pu faire appel à des réserves constituées grâce à une sous-exécution vertueuse les années passées, due à des économies sur l’achat de licences et de services de cloud. La question d’autres financements, par exemple des redevances versées par les utilisateurs, pourrait être examinée dans le cadre de l’espace européen des données de santé, même si nous manquons de visibilité à cet égard. Je cherche à savoir si d’autres financements sont possibles, par exemple du côté de France 2030, pour appuyer le projet de sortie de Microsoft Azure.

Mme Cyrielle Chatelain, rapporteure. Dans votre analyse, vous avez évoqué les difficultés liées à l’hébergement sur Microsoft Azure. Le débat public et une forme de défiance vis-à-vis de cet outil ont-ils constitué un obstacle ? Ma seconde question, toujours sur l’aspect économique, porte sur le coût global qu’a représenté l’hébergement par Microsoft Azure, en incluant l’abonnement, l’utilisation du cloud, la maintenance et les éventuels services additionnels.

M. le président Philippe Latombe. Permettez-moi, madame la rapporteure, d’ajouter une question à votre question, et d’interroger M. Vilbœuf sur les prestations des cabinets de conseil ayant participé à l’élaboration de la PDS. À combien s’est élevé le coût de cet accompagnement stratégique ? De quel type d’entreprises de services du numérique (ESN) s’agissait-il ? Ont-elles joué un rôle au-delà du simple conseil pour devenir prescripteur, voire davantage ?

M. Laurent Vilbœuf. Le coût du recours à Microsoft Azure sur l’ensemble de la période, de 2019 à février 2026, s’élève à environ 10,5 millions d’euros hors taxes. Au démarrage, en 2019-2020, ce coût était pris en charge par la direction de la recherche, des études, de l’évaluation et des statistiques (Drees), avant qu’une convention ne transfère les engagements à la PDS.

Concernant les cabinets de conseil, il s’agissait essentiellement de Capgemini. Le coût global de l’accompagnement par ces cabinets sur l’ensemble du processus s’élève approximativement à 10 millions d’euros. Ces cabinets ont fourni un appui à la conception et à l’organisation, sous les instructions de la PDS. Les consultants, essentiellement ceux de Capgemini, étaient intégrés aux équipes pour aider à la construction et au pilotage, à l’élaboration des tableaux de bord et à la préparation des réunions. Au début, les cabinets ont été fortement sollicités pour la construction de la plateforme elle-même, dépêchant sur place jusqu’à dix personnes par mois. Aujourd’hui, le recours aux consultants est minime, avec un taux journalier moyen de 0,6 personne. Je souhaite d’ailleurs contenir ce taux, car nous avons atteint une maturité suffisante pour nous le permettre. Je distingue ces consultants des prestataires techniques, qui travaillent au développement au sein des équipes. Les consultants ont travaillé sous l’autorité des cadres de la PDS et ont contribué à la coproduction de documents.

M. le président Philippe Latombe. Vous faites allusion aux documents estampillés Health Data Hub à l’époque et qui, en réalité, étaient produits par Capgemini, comme le prouvaient les notes en bas de page…

M. Laurent Vilbœuf. Ils les coproduisaient, pour être plus précis.

M. le président Philippe Latombe. Ils les coproduisaient, dont acte. Mais êtes-vous en mesure de nous dire si Capgemini a également participé à la décision initiale de recourir aux services de Microsoft Azure ?

M. Laurent Vilbœuf. Je n’ai pas de visibilité sur ce qui s’est passé avant 2020. À partir de cette date, c’est-à-dire après le transfert des documents de la Drees à la PDS, j’ai pu consulter des bons de commande à Capgemini pour des appuis au pilotage, à l’élaboration de tableaux de bord ou à l’infrastructure technique. Capgemini se trouvait donc en permanence dans un rôle d’appui. L’anecdote du diaporama avec un sigle Capgemini en bas de page s’explique par cette coproduction, ce travail en commun. À partir du moment où la PDS a récupéré le marché antérieur et le prototype qui avait été lancé avec Microsoft Azure, j’ai pu voir que des équipes de consultants, assez importantes, étaient certes présentes, mais intégrées au sein des équipes de la plateforme pour aider au pilotage. Je vous livre ce que j’ai été en mesure de constater, mais je continue à approfondir le sujet pour répondre à certaines interpellations qui me sont faites.

Mme Cyrielle Chatelain, rapporteure. Pour poursuivre sur Capgemini, les paiements effectués à Capgemini incluent-ils la mission de Project Management Officer (PMO) qu’un de leurs consultants a assurée, comme l’a indiqué votre prédécesseure devant la commission d’enquête du Sénat ? Ce rôle, qui consiste à coordonner le chantier et à formaliser les exigences, ne relève-t-il pas déjà de la prise de décision, et non plus seulement de l’appui et de la coconstruction ?

Par ailleurs, alors que nous sommes en période de transition, que ce soit pour le projet intercalaire abandonné ou pour le nouveau marché, est-ce que Capgemini ou une autre entreprise de conseil intervient à un titre ou à un autre ?

M. Laurent Vilbœuf. Sur la solution intercalaire, qui portait sur la réplication de la base de la Cnam avec une technologie Oracle et non Microsoft Azure, il y a eu effectivement l’appui d’un consultant de Capgemini, mais limité à un accompagnement de l’exécution.

Aujourd’hui, sur la solution dite cible, le travail est mené par les seules équipes de la PDS. Comme le prévoyait la stratégie nationale pour l’intelligence artificielle et les données de santé, nous avons bénéficié de l’aide de la sphère publique : l’Inria, la Dinum et la délégation du numérique en santé (DNS) nous ont appuyés pour préparer ce marché Ugap avec procédure d’aide au choix. Capgemini n’est jamais intervenu. Compte tenu du niveau de compétences techniques en interne et de l’appui de l’écosystème public, je suis très rassuré et satisfait du travail qui a été mené et, comme je l’ai indiqué, la présence des consultants a été considérablement réduite.

M. le président Philippe Latombe. Puisque vous évoquez l’appui de l’écosystème public, j’aimerais revenir sur l’épisode de l’appel à projets de 2024, pour lequel Microsoft a été retenu. Ce choix se fondait sur une étude menée par la Dinum, la DNS et la PDS. Les auteurs de cette étude, qui a fait l’objet de nombreux recours au Conseil d’État, expliquaient qu’aucun fournisseur de cloud français n’était en mesure de répondre à la demande spécifique de la PDS, désignant même AWS et Azure comme les seules options possibles, faute de concurrence crédible parmi les acteurs européens.

Que pensez-vous de cette étude ? A-t-elle été, selon vous, conduite de manière objective ? Il est permis de s’interroger à ce sujet, puisqu’un an et demi plus tard, vous décidez de basculer sur une solution totalement souveraine, sans même passer par la phase intercalaire de réplication sous Oracle. Qu’est-ce qui a changé dans l’écosystème ou dans les spécifications que vous demandiez à l’époque, au point de vous conduire à changer radicalement de solution ? Il me semble pourtant que les questions étaient les mêmes, en particulier celle de la certification SecNumCloud, que ni AWS ni Azure ne possèdent. N’y avait-il pas à l’époque des spécifications mises en avant, dont vous n’avez finalement pas besoin, ce qui justifie aujourd’hui, outre l’aspect réglementaire, de privilégier une solution cible souveraine ?

M. Laurent Vilbœuf. Je m’efforcerai de vous répondre le plus précisément possible, mais dans la mesure où je suis arrivé après cette bataille, je le ferai en me fondant sur ma compréhension du dossier.

Plusieurs études de marché ont été menées depuis 2019, et elles semblaient démontrer à chaque fois que les fournisseurs de services de cloud n’étaient pas prêts à assumer toutes les fonctionnalités requises par la plateforme, ni à satisfaire les exigences de sécurité liées à notre statut d’hébergeur de données de santé (HDS) et à notre homologation pour le système national des données de santé (SNDS), par exemple la double réversibilité ou la double pseudonymisation.

Or le marché du cloud évolue de manière extrêmement rapide. Fin 2023, lorsque la Dinum nous a interpellés en nous demandant si nous avions bien réévalué la maturité du marché des fournisseurs de cloud, il est en effet apparu que la situation était sensiblement différente. Il était devenu possible de relever le défi d’aller directement à la solution cible, compte tenu de la maturité accrue des fournisseurs, capables de mieux répondre à nos besoins en matière de sécurité contre les attaques, mais aussi aux enjeux de souveraineté.

Par ailleurs, en examinant l’ensemble des délais d’homologation et de certification, nous avons constaté que la solution intercalaire, qui ne concernait que l’hébergement, nous amenait à mai 2027. Or, en nous lançant sur ce marché Ugap à procédure d’aide au choix, qui permet de sélectionner des acteurs déjà référencés, nous pouvions opérer la migration vers la solution cible et commencer les premières mises à disposition dans des délais similaires.

Enfin, concernant la manière dont les études de marché ont été conduites, je ne suis pas en mesure de vous apporter une réponse dans l’immédiat, mais je m’engage à revenir vers vous sur ce point.

M. le président Philippe Latombe. Si je vous ai posé cette question, c’est parce qu’il semble que les fournisseurs de cloud français interrogés à l’époque n’ont pas eu à répondre exactement aux mêmes questions que les fournisseurs américains. La question sous-jacente est de savoir si cette étude était objective ou si elle visait simplement à justifier le choix d’Azure. Azure a-t-il réussi, par sa présence, à verrouiller en quelque sorte le système de la PDS, au point de rendre la réversibilité délicate ? S’interroger sur de tels mécanismes, c’est la raison d’être de cette commission d’enquête, et c’est la raison pour laquelle nous avons souhaité vous auditionner. Le gouvernement avait promis au Parlement que la migration aurait lieu dans les 18 mois. Cette migration interviendra finalement fin 2026, soit plus de trois ans après la fin de la promesse.

Mme Cyrielle Chatelain, rapporteure. La Cnil, dès le lancement de la plateforme, avait souligné le risque de soumission à des lois extraterritoriales, inhérent au choix de Microsoft Azure. Confirmez-vous que ce risque, même minime, existe tant que la plateforme est gérée par Microsoft Azure ?

M. Laurent Vilbœuf. D’après mes lectures, et notamment les décisions du Conseil d’État, le risque est jugé très faible compte tenu des conditions de sécurité imposées. Bien qu’il ne puisse être totalement écarté, le risque pour la confidentialité des informations détenues sur la plateforme est contenu par des mesures de sécurité très solides. Premièrement, la double pseudonymisation : en cohérence avec le référentiel du SNDS, toute donnée qui entre sur la plateforme est pseudonymisée selon un mécanisme qui rend quasiment irréversible le retour aux données de base. Deuxièmement, le chiffrement : les données stockées sont chiffrées, de même que tous les flux entre les bulles sécurisées des projets et le cœur de la plateforme. Troisièmement, la segmentation des droits d’opération : la plateforme est uniquement gérée par des salariés de la PDS aux rôles définis et cloisonnés.

Nous proposons également une gestion sécurisée des comptes avec une authentification forte. La plateforme met ainsi à disposition des porteurs de projets un espace de travail sécurisé qui ne leur appartient pas. Ils peuvent y travailler mais ne sont pas autorisés à en extraire les données. Si des données sortent de la plateforme, elles sont anonymisées, ce qui rompt tout lien et supprime le risque. Enfin, nous sommes en mesure d’effectuer une analyse des journaux d’activité, nous disposons de briques de sécurité indépendantes, nous respectons l’exigence d’hébergement dans l’Union européenne, et nous avons mis en place une fonctionnalité qui permet à la plateforme de refuser aux ingénieurs de Microsoft tout accès aux données. Ces différents éléments de sécurité expliquent sans doute l’évaluation du Conseil d’État sur la faiblesse du risque.

Il n’en demeure pas moins que le sujet de la souveraineté et du risque de dépendance subsiste. Je pense notamment à l’arrêt d’urgence des mises à jour, le kill switch. Dans ce cas, les premières mises à jour qui disparaitraient seraient celles relatives aux mesures de sécurité. C’est un véritable sujet, d’où notre volonté d’avancer fortement sur la migration.

Mme Cyrielle Chatelain, rapporteure. Il me semble qu’il existe deux dangers majeurs. Le premier est celui de la réidentification des personnes, et vous avez démontré que ce risque est très faible. Le second danger concerne la valeur de la donnée elle-même. La donnée est un trésor, notamment pour les grandes entreprises qui ont besoin de masses de données pour entraîner leurs algorithmes, à une époque où l’intelligence artificielle est en plein développement. On peut imaginer l’attrait d’une base de données de santé massive et de qualité. C’est peut-être sur cette masse que le risque est le plus fort. Vous avez mentionné que les données étaient chiffrées. Savez-vous si elles le sont également pendant le traitement ?

M. Laurent Vilbœuf. Je ne suis pas en mesure de rentrer dans une discussion trop technique sur ce point. Ce que je peux vous dire, c’est que la plateforme met à la disposition des chercheurs des données pseudonymisées, éventuellement appariées avec la base principale, dans un espace sécurisé qui appartient à la plateforme. Il y a un équilibre à trouver entre les exigences de sécurité et l’exploitabilité des données par le chercheur. Les données se trouvent dans un espace totalement sécurisé, et tout ce qui sort de la plateforme est de toute façon anonymisé. Je vérifierai la question spécifique du chiffrement pendant le traitement, car je ne suis pas en mesure d’y répondre aujourd’hui, et si vous le souhaitez je vous transmettrai une réponse par écrit.

J’ajoute que le porteur de projet peut toujours décider de ne pas utiliser l’espace sécurisé mis à sa disposition et d’opérer sur son propre système sécurisé, mais il le fait alors sous sa propre responsabilité. En tout cas, l’équipe de la PDS a atteint un haut niveau de technicité sur ces sujets, avec pour obsession de maintenir une absolue confidentialité et d’éviter toute fuite de données.

Mme Cyrielle Chatelain, rapporteure. Je serais en effet intéressée par une réponse de vos équipes sur la question des capacités de chiffrement. J’aimerais savoir également si ces données sont chiffrées lorsque Microsoft Azure les traite.

De la même manière, savez-vous si le contrat qui vous lie à Microsoft Azure garantit une transparence sur le code de la plateforme ? Autrement dit, vos équipes ont-elles accès au code source et aux codes des mises à jour ?

M. Laurent Vilbœuf. Je vérifierai ce point, mais j’insiste sur le fait que les données appartiennent à la plateforme et non à Microsoft.

Mme Cyrielle Chatelain, rapporteure. J’en viens à présent à la question de la migration. Vous évoquez un premier risque, qui est celui de la capacité de protection des données auprès d’un opérateur étranger qui, soumis à des lois extracommunautaires, pourrait transmettre ces données. Si un risque de transmission existe, cela implique un risque d’accès. Vous avez abordé un second sujet, celui du kill switch, lié aux mises à jour, qui relève d’une dépendance matérielle d’un autre ordre.

Je sais que, dans le cadre de la migration, vous envisagez de recourir à des opérateurs souverains disposant de la certification SecNumCloud. Cependant, nous voyons apparaître des opérateurs tels que Bleu Cloud et S3NS, qui sont souverains dans leur entité et leur financement, mais qui utilisent des technologies américaines, et pour cette raison ne prémunissent pas contre le risque de kill switch. Selon vous, ce type d’opérateur apporterait-il un niveau de garantie suffisant en matière d’indépendance technologique ?

M. Laurent Vilbœuf. Vous posez là, madame la rapporteure, une question centrale. Cependant, je dois être prudent au sujet du marché qui est en cours. Avec votre permission, je vous adresserai l’expression de besoins, qui vous éclairera précisément sur ce que nous avons demandé.

M. le président Philippe Latombe. J’en profite, puisque nous évoquons ce sujet, pour vous interroger sur le recours à l’Ugap. Vous aviez utilisé un marché négocié pour la solution intermédiaire, et vous passez désormais par l’Ugap. Nous pouvons comprendre que cette solution soit plus rapide et plus simple. En revanche, elle pose la question du coût. Le référencement des produits à l’Ugap et le recours à ses services impliquent des frais : une partie est versée à l’entreprise qui assure le référencement dans le marché du cloud – actuellement, il s’agit de Crayon – et s’y ajoutent les frais de gestion de l’Ugap. Cela représente un pourcentage non négligeable, que la commission sénatoriale a estimé aux alentours de 30 %.

Pourquoi avoir choisi ce schéma, sachant qu’il allait possiblement générer des coûts supplémentaires ? Quels en étaient les avantages selon vous, et quels écueils permettait-il d’éviter ? Enfin, ce recours garantit-il un choix totalement objectif de votre part, sans intervention d’un prestataire comme Crayon, ou de l’Ugap elle-même, qui gère ensuite la contractualisation ?

M. Laurent Vilbœuf. Outre la sécurité qu’apporte le concours de la Direction des achats de l’État et de la Dinum, le choix de l’Ugap est une réponse à un enjeu de rapidité. Vous l’avez vous-même rappelé, monsieur le président, la migration a pris beaucoup de retard. Au moment de la remise du rapport Marchand-Arvier, en décembre 2023, le calendrier prévoyait le lancement du marché intercalaire en juillet 2025, pour une réponse en août 2025 et une perspective qui nous menait jusqu’à mai 2027. En clair, il fallait accélérer le mouvement.

Par le passé, la PDS s’est vue reprocher – et je perçois ce reproche implicite dans vos propos, monsieur le président – de ne pas se donner suffisamment de choix. On peut contester le choix du marché Ugap, mais il faut reconnaître qu’il offre davantage d’options. En outre, il permet de référencer des fournisseurs de cloud capables de répondre à notre expression de besoins. À l’issue d’une analyse rigoureuse de la commission des marchés de la PDS, celle-ci sera en mesure de choisir le ou les prestataires répondant au mieux à ses besoins, sur la base d’une analyse objective.

Il est vrai qu’il ne s’agit pas d’un marché négocié, comme celui de la solution intercalaire, mais le marché Ugap est une procédure qui conjugue la rapidité et une faculté de choix la plus objective possible, dans le respect des qualités de traitement des fournisseurs qui ont répondu. Nous avons émis notre expression de besoins auprès de l’Ugap le 9 février, et le délai de réponse était fixé au 9 mars. Comme je vous l’ai dit, plusieurs fournisseurs ont répondu, et nous mènerons les auditions du 26 au 31 mars. L’idée est de choisir le ou les fournisseurs qui répondront à l’impératif de protection contre les lois extraterritoriales.

M. le président Philippe Latombe. D’après votre projection financière, le surcoût lié au passage par l’Ugap est-il justifié et absorbable par la PDS ?

M. Laurent Vilbœuf. Ce surcoût est justifié par l’offre qui nous est proposée, la liberté de choix et la rapidité de la prestation. La Cour des comptes nous avait reproché de nous enfermer à chaque fois dans un tunnel, en ne nous laissant pas assez d’options, par exemple en n’examinant pas la solution potentiellement offerte par le centre d’accès sécurisé aux données (CASD). Désormais, nous avons la possibilité d’examiner de manière véritablement impartiale les candidatures des fournisseurs de cloud.

Mme Cyrielle Chatelain, rapporteure. L’Union européenne a proposé un règlement omnibus numérique qui prévoit notamment des modifications dans la définition des données personnelles. Quelle est votre analyse sur le champ d’application de cet omnibus ? Pourrait-il avoir un impact sur la PDS et sur le niveau de protection des données ? Il est notamment question de l’accès à des données pseudonymisées destiné à favoriser l’entraînement des modèles d’intelligence artificielle. Cela vous semble-t-il compatible avec le niveau d’exigence de la PDS en matière de sécurité ?

M. Laurent Vilbœuf. Nous portons naturellement une grande attention à ces évolutions règlementaires, qui nous concernent au premier chef en tant qu’opérateur public. La finalité de ce texte européen est la simplification de l’accès aux données, ce qui est évidemment souhaitable. J’observe d’ailleurs qu’en France, tout ne passe pas par une autorisation de la Cnil, puisque les méthodes de référence qu’elle édicte permettent déjà des processus plus simples mais sécurisés.

L’omnibus numérique de l’Union européenne, dans sa partie relative aux données de santé, a pour objectif d’intégrer la jurisprudence de la Cour de justice de l’Union européenne sur la notion de donnée personnelle. Celle-ci deviendrait une notion relative, pouvant changer de nature lorsqu’elle passe d’un acteur à un autre. C’est un point sur lequel les pouvoirs publics et la Cnil porteront, je le suppose, une attention particulière. Il ne faudrait pas qu’une donnée perde son caractère personnel lorsqu’elle est transmise à une autre entité, car cela pourrait s’avérer préjudiciable pour les citoyens et redéfinir le périmètre d’application du règlement général sur la protection des données (RGPD). Nous devons être très vigilants sur ce sujet en France, et je sais que la Cnil l’est particulièrement. D’ailleurs, pour répondre à l’une de vos questions écrites, oui, les autorisations de la Cnil protègent bien les données, et la présence de cette institution est une garantie essentielle.

Le Comité européen de la protection des données (CEPD) a récemment fait part de sa préoccupation concernant cet omnibus numérique européen, estimant qu’il outrepasserait cette jurisprudence au nom de la recherche de simplification. Vous connaissez le positionnement de la PDS : en tant qu’opérateur public, nous sommes extrêmement vigilants sur la sécurité, et nous considérons que la jurisprudence, en ce qu’elle permet de fluidifier l’utilisation secondaire des données, doit s’inscrire dans le cadre du RGPD. C’est peut-être une approche naïve ou radicale, mais elle nous semble essentielle.

Mme Cyrielle Chatelain, rapporteure. Il importe en effet que l’omnibus numérique n’aille pas au-delà des objectifs qui lui sont assignés. L’écart entre simplification de l’accès et la perte de protection est parfois ténu.

La PDS, en tant qu’opérateur public, gère de nombreuses données de santé. Mais il existe des acteurs privés tels que Doctolib, qui en gèrent également un grand nombre. Aujourd’hui, l’exigence de la certification d’hébergeur de données de santé ne comporte pas, me semble-t-il, de critères de souveraineté. Serait-il pertinent, selon vous, d’aligner la certification HDS sur les exigences de souveraineté de la qualification SecNumCloud ? Je pense notamment au fait que ces données devraient être gérées par des entités non soumises à des lois extraterritoriales.

M. Laurent Vilbœuf. Il convient, à cet égard, de distinguer les enjeux de sécurité et de souveraineté, qui s’interpénètrent mais ne se recoupent pas entièrement. Les opérateurs privés tels que Doctolib font face aux mêmes contraintes et aux mêmes risques de sécurité que nous. Par conséquent, tout ce qui peut renforcer la sécurité de ces opérateurs est indispensable. On ne peut qu’être rassuré si, en amont, les règles de sécurité sont renforcées, et si ces opérateurs agissent dans le champ de la santé et des données de santé – notamment pour l’utilisation primaire, au service du soin pour les patients – dans un cadre sécurisé.

M. le président Philippe Latombe. Vous avez souligné dans votre présentation de la PDS qu’il s’agit d’un GIP de droit privé. Cela présente un avantage certain : vous vous affranchissez de la grille de salaire de la fonction publique, ce qui vous donne la possibilité d’attirer des talents et des compétences techniques particulières en les rémunérant au prix du marché. D’après ce que vous avez pu observer depuis votre nomination au poste de directeur par intérim, qui est intervenue, je le rappelle, après la publication du rapport de l’Igas, estimez‑vous que le modèle du GIP de droit privé soit le plus pertinent pour la PDS ? Ou bien ce modèle, en éloignant le GIP de la gouvernance publique, crée-t-il un problème de gouvernance interne ? Cette question est sous-jacente aux différentes discussions sur la gouvernance de la PDS depuis sa création.

M. Laurent Vilbœuf. Sur cet aspect, plusieurs scénarios d’évolution sont possibles. Si, avec l’espace européen des données de santé, le GIP obtenait le statut d’organisme responsable de l’accès aux données – ce qui, je l’ai dit en début d’audition, n’est à ce stade qu’une hypothèse –, la question de la pertinence de son statut se poserait dans cet espace profondément reconfiguré. En effet, l’EEDS modifiera considérablement notre environnement. Les obligations de redevance et de transparence qui seront faites aux opérateurs réclameront des choix économiques appropriés au regard des coûts particulièrement élevés suscités par ces obligations. Il est par conséquent permis de s’interroger sur la pertinence du modèle du GIP, et sur son adaptation à ce nouveau rôle d’Orad régalien, qui pourrait inclure un pouvoir de sanction en articulation avec la Cnil. Les premières études semblent indiquer que ce serait possible.

Si l’on reste à périmètre constant, la gouvernance du GIP est-elle adaptée ? Faut-il la faire évoluer, et par exemple renforcer le conseil d’administration en y ajoutant un bureau, comme dans les associations, pour assurer une présence plus forte des décideurs qui orientent la politique du GIP ? Faut-il modifier la composition de la gouvernance en renforçant la place des acteurs de la recherche ? L’assemblée générale, avec ses cinquante-six membres, est-elle trop large ? Toutes ces questions méritent d’être approfondies.

Enfin, la comptabilité de la PDS, je l’ai dit, est une comptabilité privée, ce qui l’exempte du système d’autorisations d’engagement et de crédits de paiement que l’on trouve dans d’autres GIP. Il est permis là aussi de s’interroger sur la pertinence de ce modèle. Une comptabilité publique aurait pour avantage de permettre un cadencement comptable encore plus rigoureux, même si le suivi des dépenses de la PDS est déjà très strict, et s’effectue au jour le jour, peut-être justement grâce à la comptabilité privée. Faut-il passer complètement à un système de financement public avec des crédits publics, sur des lignes budgétaires et des budgets opérationnels de programme (BOP), comme dans d’autres GIP ? Là encore, la question est ouverte.

En conclusion, je dirais que la PDS, qui est un opérateur public et non une start-up, doit pouvoir compter sur une gouvernance plus présente. Je sais que le président actuel du GIP, Gérard Raymond, est très attentif à ces questions et mène une réflexion sur ces sujets avec le ministère de la santé.

M. le président Philippe Latombe. Je vous remercie, monsieur Vilbœuf, d’avoir répondu à nos questions. Je vous invite à transmettre à la commission d’enquête, par écrit, tout élément qu’il vous paraîtrait utile d’ajouter à cette audition.

* *

Audition, ouverte à la presse, de M. Dominique Luzeaux, général de division, chargé de mission « transformation numérique » auprès du commandant suprême allié pour la transformation de l’Otan (mercredi 18 mars 2026)

M. le président Philippe Latombe. Nous accueillons ce matin le général Dominique Luzeaux, que nous sommes très heureux de recevoir à Paris alors que le commandant de l’Otan dont il relève est basé à Norfolk, en Virginie.

Notre commission d’enquête cherche à mesurer la vulnérabilité des administrations publiques vis-à-vis de technologies et d’infrastructures digitales développées ou opérées par des acteurs extra-européens, ainsi que la vulnérabilité des données conservées par ces administrations. Comment évaluez-vous l’état de la dépendance numérique française dans le domaine de la défense ? Au sein de l’Otan, comment concilier coopération entre États et souveraineté dans le domaine numérique ?

Avant de vous laisser la parole, je vous remercie de nous déclarer tout intérêt public ou privé de nature à influencer vos déclarations et je rappelle que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter le serment de dire la vérité, toute la vérité, rien que la vérité.

(M. Dominique Luzeaux prête serment.)

M. Dominique Luzeaux, général de division, chargé de mission « transformation numérique » auprès du commandant suprême allié pour la transformation de l’Otan. C’est un honneur et un plaisir d’être reçu par la représentation nationale pour discuter de ce sujet très important.

La France a toujours joué un rôle clé dans le numérique : c’est le pays qui a inventé le Minitel ; le pays de Louis Pouzin, inventeur du protocole pour les réseaux à commutation de paquets, qui a fortement inspiré celui utilisé par internet ; c’est aussi celui de la carte à puce et du premier micro-ordinateur. Nous possédons de très nombreuses compétences, à tel point qu’on peut s’étonner de notre dépendance aux serveurs de Google, Microsoft et Amazon. La question est donc de savoir comment mettre ces compétences au service de la réduction des dépendances structurelles et des vulnérabilités systémiques dans le secteur du numérique.

Le point critique réside dans notre capacité à choisir nos dépendances et à y répondre plutôt qu’à les subir. On parle beaucoup de souveraineté ; je préfère parler de choix de dépendances et d’indépendance. Si l’on analyse ces aspects à l’aune de différents critères – démographiques, énergétiques, technologiques, militaires, économiques –, aucun pays n’est réellement souverain sur l’intégralité d’une chaîne de valeur. L’important est donc d’être capables de maîtriser nos dépendances critiques. Pour cette raison, je parlerai plutôt de résilience souveraine hiérarchisée : l’objectif n’est pas la souveraineté totale, mais la réversibilité.

Le numérique n’est pas un secteur parmi d’autres : c’est une condition d’existence de la puissance publique, de la continuité de l’État et de la liberté d’action nationale. Il en va de même en matière de conduite des opérations militaires : le numérique n’est plus un simple soutien à la manœuvre, mais la condition d’existence de la conduite des opérations. Ainsi, la rupture d’un maillon du flux numérique – depuis les capteurs jusqu’aux effecteurs – ne dégrade pas seulement la manœuvre, elle l’annule. C’est là un des grands changements de ces dernières décennies.

Il nous faut donc identifier nos dépendances et en évaluer le niveau – critique, sensible, négociable – pour y apporter des réponses proportionnées. Cette hiérarchisation nécessite un arbitrage et un calendrier, ainsi que des engagements politiques dans la durée. On ne saurait remédier aux vulnérabilités systémiques dans le domaine numérique en quelques mois ou années, par une action coup de poing : seul un engagement politique durable permettra d’apporter une réponse crédible à l’échelle du pays ou du continent.

Je ne m’attarderai pas sur la dimension économique et administrative de la vulnérabilité française en matière numérique, à laquelle d’autres auditions sont consacrées. Je me concentrerai plutôt sur les aspects opérationnels et militaires, car la défense et la sécurité sont des domaines dans lesquels les dépendances numériques peuvent induire des vulnérabilités systémiques auxquelles nous devons être en mesure de réagir.

À titre d’exemple, la pénurie de semi-conducteurs a des conséquences sur le maintien en condition opérationnelle de certains systèmes ainsi que sur leurs coûts. Faut-il, par conséquent, constituer des réserves stratégiques de composants numériques ? Cette question est particulièrement centrale s’agissant d’équipements militaires dont la durée de vie est de plusieurs décennies, alors que le rythme de développement et d’évolution des technologies, notamment électroniques et informatiques, se compte plutôt en années.

Les infrastructures numériques critiques – les data centers, notamment – sont également des cibles vulnérables. On l’a constaté très récemment aux Émirats arabes unis et au Bahreïn, mais ce fut également le cas en Ukraine, où certains ont été bombardés ou neutralisés par les Russes dès les premiers jours du conflit. Plusieurs câbles sous-marins ont aussi été sectionnés en mer Baltique.

Au-delà de cette dimension hardware, c’est-à-dire matérielle, qui renvoie à l’empreinte physique importante du numérique, la vulnérabilité concerne aussi les softwares, les logiciels. J’en veux pour preuve le détournement du BGP (Border Gateway Protocol, ou protocole de passerelle frontière), qui a permis aux Russes de perturber le routage du trafic européen à plusieurs reprises.

L’intelligence artificielle (IA) est un autre sujet clé. Le fait qu’elle soit très largement utilisée pour les actions de ciblage dans le cadre du conflit en cours en Iran soulève des interrogations concernant les données d’entraînement, les biais éventuels ou encore les seuils d’engagement pour lesquels on accepte de confier un rôle important à l’IA. Se pose aussi, par conséquent, la question du cadre législatif et juridique à définir pour traiter ces aspects.

J’ai évoqué la vulnérabilité des data centers face aux attaques cinétiques, mais il faut aussi avoir conscience qu’un data center sans documentation et sans compétences de supervision ou d’opération est une coquille vide. Cela m’amène à la question de la formation et de la structure étatique à développer pour pouvoir opérer, maintenir, isoler, dégrader, voire reconstruire, en cas de rupture, les infrastructures ou les capacités numériques. Le domaine cyber est couvert par le Comcyber (commandement de la cyberdéfense) et l’Anssi (Agence nationale de la sécurité des systèmes d’information), mais peut-être faudrait-il créer, dans le domaine numérique, des organisations qui permettront de disposer des compétences nécessaires en cas d’urgence – je songe par exemple à la réserve opérationnelle. La réponse à une dépendance numérique n’est pas que technologique : elle passe aussi largement par la formation et par le maintien des compétences.

La commande publique est clairement un instrument de puissance pour tenter de réagir aux dépendances numériques. Peut-être faudrait-il aussi définir un cadre permettant de déroger à certaines règles ordinaires de mise en concurrence, à l’instar de la procédure qui permet, lorsque des intérêts essentiels de la sécurité de l’État sont en jeu, de renoncer à la mise en concurrence systématique tout en respectant le cadre légal. L’objectif n’est nullement de contourner le droit, mais de prévoir une forme d’exception numérique en tant que de besoin. Cette possibilité devrait faire l’objet d’une doctrine d’emploi explicite : elle ne serait pas utilisée systématiquement, mais uniquement en cas de nécessité. Une exception stratégique pourrait ainsi s’appliquer en cas de danger numérique majeur pour la continuité de l’État.

Je l’ai dit, la souveraineté numérique s’inscrit dans une logique de temps long : il faut assurer la continuité de l’effort politique, assumer les choix collectivement, sanctuariser quelques briques critiques et entretenir notre base industrielle. Je fais ici référence au périmètre national, mais il nous faut aussi construire cette souveraineté au niveau européen si nous voulons être compétitifs et crédibles à l’échelle mondiale. Or, pour reprendre l’adage, on ne prête qu’aux riches : il sera plus simple de faire entendre notre voix en Europe si nous possédons des compétences reconnues.

Sans prétendre mettre le numérique sur le même plan que la politique de dissuasion nucléaire, force est de constater que cette dernière n’est pas fondamentalement remise en cause à chaque changement de majorité. De la même façon, peut-être faut-il concevoir le numérique comme un projet structurant qui, sans forcément être apolitique, devrait faire l’objet d’une certaine continuité dans sa conduite.

Pour en venir aux technologies, le numérique s’organise en quatre grands paquets. Le premier, sur lequel on se focalise à tort, englobe les données. Le second concerne la connectivité, c’est-à-dire les infrastructures de transport de ces données – câbles, câbles sous-marins, fibres, réseaux de téléphonie mobile 5G et 6G, etc. Le troisième regroupe le stockage et la manipulation des données, c’est-à-dire les systèmes d’exploitation, donc le cloud – aussi bien le core cloud, le cloud public, que le edge cloud, le nuage à la périphérie. Le quatrième a trait à l’exploitation des données, grâce aux applications et à l’intelligence artificielle.

Si l’un de ces paquets est vulnérable, l’ensemble de la chaîne le devient. C’est ce que l’on appelle, en cybersécurité, le Swiss cheese model, le modèle du fromage suisse : comme dans un gruyère, il y a des trous, mais l’important est de veiller à ce que ces derniers ne soient pas alignés afin d’éviter les vulnérabilités systémiques. Pour prendre une autre image, si le numérique était une maison, les données correspondraient à l’eau, la connectivité aux canalisations extérieures, les systèmes d’exploitation et le cloud à l’évier et à la plomberie, et les applications et l’IA aux robinets : pour que la maison soit habitable, il faut que tout fonctionne. Par ailleurs, chacun de ces paquets, en plus de son empreinte physique et logicielle, est associé à des enjeux de formation et de réglementation qu’il convient également de prendre en compte.

S’agissant des infrastructures matérielles, une première source de vulnérabilité potentielle concerne les matières premières, leur disponibilité ou leur recyclage. Les réseaux de communication en sont une autre – câbles sous-marins et terrestres, radio, téléphonie, satellites. S’y ajoutent les data centers et les infrastructures de calcul, indispensables pour développer les champs du HPC (High Performance Computing, calcul de haute performance) et de l’intelligence artificielle. Enfin, n’oublions pas que le numérique est très gourmand en énergie, d’autant que les GPU (Graphics Processing Units, processeurs graphiques) utilisés pour l’intelligence artificielle consomment bien davantage que les CPU (Central Processing Units, ou processeurs) auparavant utilisés dans les ordinateurs. Une grande quantité d’énergie est donc nécessaire, non seulement pour faire fonctionner les infrastructures, mais aussi pour extraire la chaleur qu’elles émettent.

Un autre point de vulnérabilité concerne les composants critiques, comme les semi-conducteurs ou les routeurs, aussi appelés éléments de réseau – actifs ou passifs. Par exemple, les routeurs intelligents, dont le nombre est en constante augmentation, permettent certes de créer des réseaux un peu partout et de les configurer à l’envi, offrant une flexibilité d’emploi accrue aussi bien dans le civil que dans le militaire, mais les nombreux logiciels qu’ils intègrent sont autant de sources de vulnérabilité, puisqu’ils peuvent être pilotés à distance. Or ils sont majoritairement d’origine chinoise ou américaine, ce qui en fait une dépendance clé dans les réseaux.

Pour ce qui est du logiciel, une surveillance particulière devrait s’exercer sur les systèmes critiques de type Scada (système de contrôle et d’acquisition de données), utilisés pour piloter les infrastructures industrielles. Ces systèmes sont en effet vulnérables aux attaques de malwares – logiciels malveillants. Chacun a en tête l’exemple du ver informatique Stuxnet, déployé il y a quelques années pour infecter des éléments physiques qui contrôlaient les centrales nucléaires iraniennes. Il y a beaucoup à faire pour pallier cette vulnérabilité systémique.

Concernant les modèles d’intelligence artificielle, l’open source est à la fois une réponse et une vulnérabilité. Lorsque des services de très bas niveau, téléchargés par de très nombreux développeurs, sont programmés par une toute petite communauté d’informaticiens russes employés par l’entreprise Yandex, la question de la vulnérabilité se pose de façon aiguë. Or tous les utilisateurs ne sont pas capables de vérifier l’intégralité des codes proposés, et le très grand nombre de communautés qui existent, notamment sur la plateforme GitHub, ne permet pas d’effectuer une revue exhaustive desdits codes.

La réglementation, la formation et la recherche sont également des éléments centraux. Que ce soit au sein du ministère des armées et des anciens combattants ou à l’Otan, nous nous efforçons d’améliorer le niveau de compétences des décideurs et des opérateurs dans les domaines de la cybersécurité et du numérique.

On pourrait en outre travailler à un programme national de migration des données publiques hébergées sur le cloud ainsi qu’à la consolidation et à la montée en puissance de clouds souverains, en s’appuyant sur des solutions certifiées SecNumCloud comme OVHcloud, Outscale ou Scaleway. Peut-être faut-il également être plus coercitif pour favoriser l’utilisation desdites solutions. Pour l’heure, un acheteur public qui souhaite opter pour un service de cloud ne peut pas, en théorie, privilégier une solution plutôt qu’une autre. Les dernières directives insistent certes sur l’importance de la souveraineté, mais elles n’en font qu’un critère de choix parmi d’autres et ne garantissent donc pas que c’est la solution satisfaisant ce critère qui sera retenue.

Pour ce qui est des composants critiques, le European Chips Act, le règlement européen sur les semi-conducteurs, permet de prendre certaines actions, mais il importerait aussi de renforcer la recherche et le développement sur le recyclage – et de construire des usines. La littérature scientifique fait état de procédés qui, en laboratoire, permettent de recycler certaines terres rares ; il s’agit désormais d’industrialiser ces processus et de soutenir les investissements en ce sens. Les routeurs, quant à eux, sont principalement détenus par les acteurs américains Cisco Systems et Juniper Networks, ou par l’entreprise chinoise Huawei. Ils prendront une importance clé au moment du passage à la 6G, ce qui soulève d’ailleurs aussi la question des normes – j’y reviendrai.

Un autre enjeu majeur concerne la création d’un réseau d’État sécurisé et résilient. Nous sommes déjà dotés du RIE (réseau interministériel de l’État) ; il faudrait l’étendre aux fonctions publiques territoriale et hospitalière ainsi qu’aux OIV (opérateurs d’importance vitale) si nous voulons assurer la résilience globale et la continuité d’action de l’État.

Je faisais tout à l’heure la distinction entre core cloud et edge cloud. Le premier correspond aux data centers que chacun connaît. En la matière, la France s’efforce, par le biais d’offres comme Bleu ou S3NS, d’opérer un transfert de technologie depuis les hyperscalers – les géants mondiaux du stockage et de la gestion des données – vers des sociétés nationales. Le second désigne le fait de distribuer la capacité de calcul au plus près des capteurs. Dans ce domaine, les principaux hyperscalers ambitionnent d’être en mesure, d’ici quelques années, de proposer les services qu’ils fournissent actuellement pour le cloud public dans les montres connectées ou tous les produits concernés par l’IoT (Internet of Things, l’internet des objets). C’est une des solutions envisageables, mais ce n’est pas forcément la meilleure d’un point de vue technique : d’autres, qui reposent sur une approche bottom up, pourraient lui être préférées. Dans ce domaine, l’Europe pourrait prendre l’initiative et développer des solutions peu gourmandes en énergie. Il s’agit là d’un champ de recherche et d’un enjeu industriel d’une importance considérable : à l’horizon 2030, avec le développement de la 6G et de l’IoT, il faudra être présent sur le edge cloud.

Le même constat vaut pour les protocoles et les architectures de réseau. Le développement du edge cloud, typiquement, ne nécessite pas seulement des infrastructures physiques, mais aussi de nouveaux protocoles en peer to peer, très décentralisés et très distribués. Des travaux sont également en cours pour développer des réseaux très mobiles, comme les MANet (Mobile Ad hoc Networks, réseaux mobiles ad hoc) ou des réseaux entre voitures, autant d’usages auxquels les solutions actuellement proposées par les grands hyperscalers ne sont pas véritablement adaptées. Il y a donc là une occasion dont la France et l’Europe pourraient s’emparer. Les États-Unis l’ont d’ailleurs bien compris et commencent à se pencher sur ces sujets.

Au-delà de ces aspects technologiques, il est nécessaire de développer la formation initiale et continue et d’exploiter les talents existants, notamment à travers les réserves opérationnelles. La France doit également investir les organismes de régulation et de normalisation de la 6G, de l’intelligence artificielle ou encore de la blockchain. De manière générale, la réduction de nos dépendances numériques passera par une triple démarche : former, réguler et financer.

Je précise par ailleurs ne pas avoir d’information à propos de l’enveloppe budgétaire qui pourrait être allouée à tous les éléments que j’ai évoqués. Ce sera évidemment un point important : il ne sera pas forcément possible de tout faire. En tout état de cause, reconstruire une certaine indépendance numérique dans tous les domaines qui nous paraissent critiques prendra entre cinq et dix ans, ce qui pose à nouveau la question des alternances politiques éventuelles. Cela supposera aussi des partenariats entre public et privé, avec des amorçages publics. Créer et développer une filière industrielle est un travail de longue haleine. À mon sens, toutefois, la question n’est pas tant de savoir si la France peut se permettre d’investir dans la souveraineté numérique que de savoir si elle peut se permettre de ne pas le faire, au risque de découvrir la réponse au pire moment.

Le questionnaire que vous m’avez transmis comporte plusieurs questions précises.

Vous vous interrogez d’abord sur la façon dont les technologies numériques et l’IA ont transformé la stratégie militaire et les formes de conflictualité, et sur les principales applications d’IA en cours de développement dans le secteur de la défense. Sur ce dernier point, il faudrait poser la question à l’Amiad (Agence ministérielle pour l’intelligence artificielle de défense), qui a été créée après mon départ de la France il y a deux ans et demi. Du point de vue de l’Otan, en tout cas, l’intelligence artificielle est utilisée pour les systèmes d’armes, pour l’autonomie – en particulier des drones et des missiles intelligents –, ainsi qu’en matière de renseignement et d’analyse. Elle apporte une valeur ajoutée dans le traitement massif de données, dans la prédiction de menaces et dans le ciblage – on le constate, des deux côtés, dans le conflit qui oppose Israël et les États-Unis à l’Iran. Elle est aussi utilisée en cyberdéfense – détection d’intrusions, contre-mesures automatisées, détection de deepfakes (hypertrucages) – et sert d’aide à la décision, en particulier pour améliorer les wargamings (jeux de guerre) et tester des scénarios. Elle contribue également à la maintenance prédictive. Elle peut donc être utilisée dans chacun des quatre paquets que j’évoquais. De manière générale, elle assiste les décideurs et accélère les processus, tout en permettant d’éviter une saturation des opérateurs, qui sont confrontés à une quantité croissante de données.

Vous demandez également comment sont assurées la maîtrise des principales vulnérabilités et la résilience des activités critiques de l’État, et quels sont les acteurs et dispositifs clés de la stratégie nationale de cybersécurité. Parmi ces acteurs, il y a d’abord l’Anssi, chargée de la politique et de la réponse ; le SGDSN (secrétariat général de la défense et de la sécurité nationale), qui exerce la tutelle sur l’Anssi et assure la coordination ministérielle dans ce domaine, en matière civile et militaire ; ainsi que le Comcyber, rattaché à l’état-major des armées, qui gère la défense des systèmes d’information militaires et la conduite des opérations. Les missions de renseignement sont assurées par les directions générales de la sécurité intérieure (DGSI) et de la sécurité extérieure (DGSE), rattachées respectivement au ministère de l’intérieur et à celui des armées et des anciens combattants. Pour ce qui est des dispositifs, je mentionnerai la stratégie nationale de cybersécurité 2026‑2030, qui prolonge la Revue nationale stratégique, le Livre blanc sur la défense et la sécurité nationale, la loi de programmation militaire, ou encore la directive NIS 2 (Network and Information Security, sécurité des réseaux et des systèmes d’information), qui renforce la posture cyber.

Vous souhaitez aussi connaître les grands projets en cours lorsque je présidais l’Agence du numérique de défense (AND), de sa création en 2021 à mon départ à l’automne 2023, ainsi que les défis organisationnels qu’ils posaient.

En matière d’infrastructures numériques, nous conduisions un projet de réseau de communication résilient et unifié pour la défense, ainsi que des projets de cloud de niveaux restreint et secret. L’Agence jouait aussi le rôle de maîtrise d’ouvrage de plusieurs systèmes d’information : de commandement et de contrôle – pour le renseignement militaire et la conduite des opérations –, d’administration et de gestion – pour la gestion des ressources humaines ou des hôtels et restaurants du ministère –, ou encore un système d’information logistique – pour assurer la logistique interarmées, les approvisionnements pétroliers, la maintenance navale et aéronautique, etc. Ces projets étaient conduits en adaptant des logiciels existants, ou, à défaut, en en développant de nouveaux, par le biais de la contractualisation et de la mise en concurrence, conformément au code de la commande publique.

Les défis étaient d’abord d’ordre technique et tenaient à la complexité des systèmes d’information et à la nécessité d’assurer la sécurité des données. La reprise de l’existant était également un sujet d’attention et une source de coûts élevés : récupérer les anciennes données – ce qui est indispensable, notamment dans des domaines comme la maintenance ou les ressources humaines –, n’est pas toujours facile, surtout si elles sont stockées dans des formats qui ne sont plus compatibles avec les nouvelles technologies.

Une autre difficulté consistait à acquérir la compétence nécessaire pour assurer la maîtrise d’ouvrage de systèmes d’information complexes – la Cour des comptes signale d’ailleurs le même problème pour les systèmes d’information interministériels. Dans le même ordre d’idées, il fallait disposer d’effectifs et de compétences suffisants pour opérer en interne ou pour maîtriser l’apport de tierces maintenances applicatives. Des compétences spécifiques sont également nécessaires pour concevoir un cloud, mais également pour l’opérer – c’est le CloudOps – et pour définir les politiques financières adéquates – c’est l’approche FinOps. Pour maîtriser les coûts d’un cloud, en particulier quand il est opéré par une tierce partie, il faut en effet être capable d’en définir précisément la politique d’utilisation.

Vous m’interrogez ensuite sur le Commissariat au numérique de défense (CND), créé en septembre 2025. Il a pour objectif d’accroître la cohérence en rassemblant la gouvernance, qui relevait anciennement de la DGNum (direction générale du numérique et des systèmes d’information et de communication), la conception et le développement, qui relevaient de l’AND, et l’aspect opérationnel, géré par la Dirisi (direction interarmées des réseaux d’infrastructure et des systèmes d’information) – le build et le run, pour parler en termes informatiques. Sa création me semble de nature à renforcer la cohérence du pilotage de la transformation numérique du ministère des armées et des anciens combattants. Sans doute conviendrait-il désormais de créer une inspection du numérique, rattachée directement au ministre pour garantir son indépendance, afin qu’elle évalue les résultats du CND et propose des inflexions si nécessaire.

D’autres questions portaient sur le déploiement du cloud au sein du ministère des armées et des anciens combattants. En la matière, un des principaux enjeux est clairement celui de la sécurité. Dans le cadre de ma mission au sein de l’Otan, je travaille sur les mêmes types de clouds, de niveaux restreint et secret, que ceux qui nous occupaient à l’AND. Nous devons notamment veiller à la localisation, au cloisonnement et à la classification des données, ainsi qu’à la gestion et à l’identité des accès (IAM, Identity Access Management). Dans ce domaine, il existe des solutions technologiques, comme le zero trust, ou l’absence totale de confiance. Sans doute connaissez-vous la MFA (Multi-Factor Authentification, authentification multifacteur) ; le zero trust va plus loin, puisqu’il analyse non seulement le périphérique et le réseau utilisé, ou encore le mode d’accès à une application, mais aussi le comportement de l’utilisateur : si une même adresse IP formule des demandes d’accès depuis Paris, la Chine ou les États-Unis à quelques minutes d’intervalle, le système demandera une validation supplémentaire. C’est cette philosophie que nous essayons d’implanter, à l’Otan comme au ministère des armées et des anciens combattants, afin d’améliorer la protection.

Un autre sujet concerne la rémanence des données : il est important, pour le ministère, de pouvoir garantir l’effacement complet des données.

À cela s’ajoutent des enjeux opérationnels. Par exemple, un système d’information doit pouvoir continuer d’opérer en environnement dégradé. Les plus vieux d’entre nous ont connu l’époque où le téléphone se coupait dans les tunnels ; cela n’arrive quasiment plus jamais, mais les ruptures de connectivité sont très fréquentes dans la conduite des opérations. Il faut pouvoir continuer à travailler dans ces conditions, d’où l’importance de travailler à la fois avec le core cloud et le edge cloud, pour gagner en agilité et pouvoir passer d’un système d’information à un autre en cas de rupture sur un réseau.

Le questionnaire évoque également le référentiel français SecNumCloud. Celui-ci a des limites : son coût de mise en œuvre est élevé, les solutions certifiées sont encore assez peu nombreuses, et, surtout, son niveau d’exigence n’a pas d’équivalent européen, ce qui pose problème pour l’exporter et répondre aux appels d’offres internationaux. Les exigences qu’il liste peuvent en outre avoir des interprétations diverses. Comme vous le rappelez, j’ai évoqué, dans un article paru dans la Revue Défense Nationale, la différence qui peut exister entre souveraineté et confiance. Il en va de même pour la notion de contrôle. Dans l’absolu, celle-ci implique le respect d’un cahier des charges spécifique. En cela, le SecNumCloud a l’avantage de proposer un cahier des charges explicite, qui permet de savoir précisément ce qu’une solution certifiée est capable de faire.

Vous m’interrogez sur le choix, par l’Otan, d’avoir recours à la plateforme d’intelligence artificielle Maven Smart System Nato (MSS Nato) de Palantir. L’Organisation comprend trois grandes structures : le quartier général et les deux commandements stratégiques – l’un pour la transformation, l’ACT (Allied Command Transformation), où je suis affecté, et l’autre pour les opérations, l’ACO (Allied Command Operations). En décembre 2024, l’ACO, estimant qu’il souffrait d’une rupture capacitaire, a émis une urgence opérationnelle en vue de se doter d’un outil qui lui permettrait d’améliorer la conduite des opérations. Conformément au mécanisme de consensus qui régit le fonctionnement de l’Otan, les trente-deux nations ont voté pour expérimenter le Maven Smart System de Palantir, avec qui a été conclu un contrat d’un an assorti de quatre tranches conditionnelles. Ce contrat, notifié le 25 mars 2025, s’appliquera donc potentiellement jusqu’en 2030. Parallèlement, un programme, intitulé SA for MDO (Situational Awareness for Multi-Domain Operations, connaissance de la situation pour opérations multidomaines), est en cours de définition au sein de l’Otan. Il permettra de spécifier les outils et processus dont l’Organisation devra se doter d’ici à 2030. Pour le dire brutalement, c’est donc le programme qui doit permettre de savoir quel outil remplacera Maven Smart System. Sauf si Palantir remporte la compétition qui sera lancée à cette occasion, MSS n’a donc pas vocation à être utilisé par l’Otan de manière définitive.

Quant aux données manipulées dans le cadre du contrat avec MSS, il s’agit de celles qui sont mises à la disposition de l’Otan par les nations. Elles sont de niveau secret et sont stockées dans des data centers isolés et cloisonnés.

Je ne suis pas en mesure de répondre à votre question relative à l’utilisation de logiciels de Palantir par la DGSI.

Le ministère des armées et des anciens combattants, quant à lui, a lancé le programme Artemis.IA, dont la réalisation industrielle a été confiée à la joint-venture ou coentreprise Athea (Atos-Thales) à l’époque où je dirigeais l’AND. Cette solution est désormais utilisée pour différents cas d’usage par la direction du renseignement militaire et par d’autres acteurs. Elle pourrait tout à fait répondre à certains besoins de l’Otan.

Enfin, vous me demandiez si des mécanismes similaires à ceux qui s’appliquent à l’exportation de matériels de guerre existent pour encadrer la dissémination des technologies numériques développées pour la défense française. La réponse est oui : ce domaine est soumis à la réglementation des biens à double usage, qui régit les applications civiles susceptibles d’être utilisées à des fins militaires. C’est le service des biens à double usage de la DGE (direction générale des entreprises) qui en est responsable.

M. le président Philippe Latombe. Les stratégies de cybersécurité américaine, canadienne et française présentées ces derniers jours portent sur des champs différents et se révèlent parfois orthogonales. Les États-Unis considèrent par exemple la cybersécurité comme un outil de puissance qu’on peut confier au secteur privé en permettant à ce dernier de mener des opérations offensives sur des réseaux communs. Comment l’Otan perçoit-elle ces divergences et compte-t-elle, dans ce contexte, atteindre le consensus que vous avez évoqué ?

Comment l’Otan entend-elle obtenir du renseignement cyber alors même que les États-Unis ont considérablement réduit le budget de la Cisa (Cybersecurity and Infrastructure Security Agency, l’Agence de cybersécurité et de sécurité des infrastructures), qui avait notamment fourni à la France, bien en amont des Jeux olympiques, des informations de très bonne qualité qui lui avaient permis d’anticiper les menaces ? Dans quelle mesure l’Otan et les pays européens dépendent-ils de la Cisa ?

M. Dominique Luzeaux. Les stratégies de cybersécurité sont effectivement très différentes d’un pays à l’autre, car elles sont guidées par la politique. Celle des États-Unis fait suite à la stratégie de défense nationale publiée l’année dernière : elle obéit à la logique Maga (Make America Great Again, « rendre sa grandeur à l’Amérique »), qui consiste à utiliser autant que possible les ressources industrielles américaines. Les Européens, et la France en particulier, ne partagent pas cette approche.

C’est tout l’enjeu des débats en cours à l’Otan – même si ces discussions portent en réalité sur les systèmes propres à l’Otan et répondent donc à une vision plus technique que politique, ce qui facilite les convergences. Pour rappel, le fonctionnement de l’Otan est le suivant : au moins 90 % des capacités sont apportées par les différentes nations ; pour le reste, l’Otan se charge, à travers les fonds communs, d’assurer le liant entre les différents systèmes quand cela est nécessaire. La même remarque vaut pour le renseignement : en cas d’opération, les nations apportent leurs renseignements et l’Otan opère une fusion des informations dans le cadre de la Cyber SA (Cyber Situational Awareness, ou connaissance de la situation cyber), ce qui permet à l’ACO de disposer d’une connaissance globale de la situation. Ce sont aussi les nations qui fournissent les moyens cyber défensifs – et a fortiori offensifs, l’Otan ne développant aucun moyen de cette nature.

Mme Cyrielle Chatelain, rapporteure. Vous avez indiqué qu’un programme est en cours pour remplacer le système développé par Palantir. Qui le dirige ? L’entreprise Palantir joue-t-elle un rôle de conseil dans ce cadre ?

Par ailleurs, les données stockées dans les data centers dans le cadre du contrat avec MSS sont-elles chiffrées, notamment lors de leur traitement ?

M. Dominique Luzeaux. Le programme SA for MDO est en cours de définition : des exigences opérationnelles ont été définies et validées par le Conseil de l’Atlantique Nord (ou North Atlantic Council, NAC), mais les spécifications sont toujours en cours de rédaction et n’ont pas encore été approuvées. Le programme n’étant pas encore lancé officiellement, aucun directeur n’a pour l’instant été nommé. Je peux en revanche affirmer que Palantir n’a aucun rôle de conseil dans le processus. L’entreprise répond uniquement à l’expérimentation menée par l’Otan dans les locaux de l’ACO.

Lorsque l’Otan développe un programme, le processus est rythmé par des franchissements de jalons. En l’occurrence, la première étape a consisté à demander aux équipes techniques, pilotées par l’ACO, de définir des exigences opérationnelles – en France, ce rôle reviendrait à l’état-major des armées. Ces exigences ont ensuite été validées par les trente-deux nations – elles passent par divers comités, notamment militaires et financiers, avant de remonter jusqu’aux ambassadeurs qui siègent au NAC. Nous sommes actuellement dans la phase de rédaction des spécifications, assurée par des équipes techniques de l’ACT, de l’ACO et d’autres structures. Une fois ce travail achevé, il devra lui aussi être validé par les différents comités et approuvé par le NAC. Ce n’est qu’alors que le programme sera lancé pour réalisation.

À ce travail de développement en interne peuvent s’ajouter des RFI (Requests For Information, ou consultations pour information) – à distinguer des RFP (Requests For Proposal, c’est-à-dire des appels à proposition).

Les données manipulées dans le cadre du contrat avec MSS étant de niveau secret, elles sont effectivement chiffrées en conséquence. Le hardware de Palantir se trouve à l’intérieur du data center de l’ACO et a été récemment homologué. Il répond donc à diverses exigences relatives à la manière dont il est connecté – ou non – à certains réseaux et à la façon dont il est opéré. Les données contenues dans la mémoire interne de ce hardware ne sont pas nécessairement chiffrées, mais, contractuellement, toutes les données appartiennent à l’Otan et seront détruites si le matériel quitte le data center – d’où, comme je l’indiquais, l’importance, pour les ministères des armées, de pouvoir garantir un effacement complet des données.

Mme Cyrielle Chatelain, rapporteure. Vous avez précisé que le choix de Palantir avait été validé à l’unanimité. Est-ce parce qu’il n’y avait pas d’autre proposition ?

Pour revenir sur les données, j’imagine qu’au-delà du hardware, Palantir utilise aussi des logiciels de traitement et effectue de la maintenance ou des mises à jour. Ce sont plutôt ces opérations qui pourraient susciter l’inquiétude : n’y a-t-il pas nécessairement des points de contact entre Palantir et les données de l’Otan ?

M. Dominique Luzeaux. Le choix de Maven Smart System a nécessité plusieurs étapes : l’ACO a d’abord émis une urgence opérationnelle – signifiant ainsi le besoin de trouver une solution sous quelques mois, voire semaines –, puis le NAC a approuvé le choix d’une single source (approvisionnement unique), c’est-à-dire l’absence de mise en compétition. Le MSS a alors été sélectionné pour conduire l’expérimentation. Il n’est pas pour autant devenu une capacité pérenne de l’Otan : ce choix sera précisément l’objet du programme SA for MDO, qui est en cours de spécification.

Les mises à jour effectuées dans le cadre de cette expérimentation sont régulières, mais pas automatiques, et beaucoup moins fréquentes que dans d’autres versions de Maven utilisées par des industriels européens ou par d’autres organisations. Elles obéissent en outre à un principe de compartimentalisation et de segmentation : nous surveillons les points de contact potentiels entre les ingénieurs de Palantir et les personnels de l’Otan, et nous ne mélangeons jamais le control plane et le data plane (le plan de contrôle et le plan de données), si bien qu’un ingénieur qui effectue un contrôle de haut niveau n’a pas accès aux données – exactement comme pour SecNumCloud. Tous ces éléments sont inclus dans le dossier d’homologation Nato Secret. Enfin, contractuellement, donc juridiquement, toutes les données injectées ou créées appartiennent à l’Otan, et non à Palantir.

Mme Cyrielle Chatelain, rapporteure. À la lumière des prises de position de son fondateur, j’ai des doutes sur le respect du cadre légal par Palantir. Je continue par ailleurs de penser qu’il y a nécessairement des contacts entre son outil et les données traitées.

L’expérience montre qu’il n’est pas toujours possible de revenir en arrière à l’issue d’une expérimentation. Ainsi, la DGSI renouvelle régulièrement ses contrats avec Palantir, dont les logiciels sont également utilisés par plusieurs länder allemands. Nous sommes ici face à un opérateur dominant, dont le fondateur exprime des vues politiques hostiles au modèle européen et démocratique. Le fait qu’une telle entreprise occupe une place si stratégique dans le domaine des armées et de la sécurité intérieure constitue-t-il un risque pour la sécurité nationale ?

M. Dominique Luzeaux. Votre première remarque renvoie à la question de l’exfiltration des données. Tout l’objet de l’homologation, qui implique un ensemble d’analyses précises, est de s’assurer que cette exfiltration est impossible. On peut ne pas faire confiance au contrat, au cadre juridique ni à l’analyse technique, mais le fait est que des analyses sérieuses ont été effectuées.

La réversibilité des données est effectivement un concept auquel la plupart des Européens qui votent au sein de l’Otan tiennent énormément. Le MSS de Palantir est un outil qu’on peut programmer rapidement et utiliser pour connaître une situation en vue de la conduite d’opérations – pour produire des cartes, par exemple –, mais d’autres solutions, davantage dédiées au commandement et au contrôle ou susceptibles de répondre aux mêmes besoins que MSS, existent. La solution Artemis.IA en fait partie, tout comme SitaWare, solution européenne produite par Systematic, que les armées françaises utilisent momentanément dans le cadre du SIA C2 (Système d’information des armées – commandement et contrôle).

L’ancienneté de Palantir est à la fois un avantage et un inconvénient : en matière de système d’information, le fait de partir en premier est certes une bonne chose, mais, dans le même temps, les cycles technologiques sont très rapides. La plateforme MSS a déjà plus de dix ans : des solutions plus récentes pourraient être mieux à même d’intégrer, par exemple, les changements induits par l’intelligence artificielle. J’ai donc toute confiance dans la capacité de certaines solutions européennes à répondre aux futures consultations de l’Otan.

Mme Cyrielle Chatelain, rapporteure. Vous avez évoqué, dans certaines de vos publications, les difficultés que les situations d’oligopole peuvent générer à court et moyen termes. Encore une fois, le fait qu’un opérateur comme Palantir aspire à une position de monopole pose-t-il un problème de sécurité nationale ?

Vous expliquez par ailleurs que les décisions de l’Otan sont prises de manière consensuelle. Cela signifie-t-il qu’elle ne pourra pas avoir recours aux logiciels de Palantir si la France s’y oppose ?

M. Dominique Luzeaux. Tout à fait : une décision ne peut pas être approuvée si un pays s’y oppose. Des négociations peuvent alors prendre place – mais vous connaissez cela aussi bien que moi. Pour rappel, l’Otan est constituée d’une composante militaire, l’IMS (International Military Staff, staff militaire international) et d’une composante civile, le staff international (IS), où se tiennent des négociations politiques entre les différentes nations. On dit souvent que, l’Otan, ce sont les États-Unis, plus le Canada, plus les trente autres, c’est-à-dire l’Europe – même si cette dernière ne présente pas toujours un front uni. En tout cas, les décisions n’y sont pas prises de façon bilatérale et les États-Unis n’y occupent pas la même place qu’ailleurs. Le principe du consensus, qui fait quelquefois traîner les choses, permet d’introduire de l’inertie dans le processus, donc d’éviter que des décisions soient prises sur un coup de tête.

Pour en venir à votre première question, la place de Palantir au sein de l’Otan n’est pas un fort enjeu pour la sécurité nationale de la France, qui possède ses propres outils pour assurer sa sécurité. Il est vrai que, lorsqu’elle interviendra dans une opération sous le commandement de l’Otan, la France utilisera les produits de ce dernier, mais cela n’aura pas forcément d’implication directe sur sa capacité d’action. Le ministère des armées et des anciens combattants n’utilise pas Maven Smart System.

Mme Cyrielle Chatelain, rapporteure. Je songeais plutôt à la DGSI.

Dans l’un de vos articles paru dans la Revue Défense Nationale, vous écriviez que l’« offre oligopole du cloud questionne à court et moyen termes ». Dans un autre domaine, Palantir est un acteur doté d’une puissance importante – traitement massif de données, surveillance de masse, voire, d’après certaines enquêtes, fichage de citoyens américains –, dont le fondateur se considère comme un acteur politique, prend pour cible le modèle démocratique européen et, non content d’appartenir à un oligopole, a pour objectif de détenir le monopole sur le marché. En tant que spécialiste disposant d’une longue expérience, et pas seulement à l’Otan, pensez-vous que le fait de nouer un partenariat étroit avec ce type d’entreprises présente un risque en matière de sécurité et de dépendance ?

M. Dominique Luzeaux. Le ministère des armées et des anciens combattants n’est pas en partenariat avec Palantir. Je ne peux pas répondre pour le ministère de l’intérieur : il faudra interroger la DGSI sur ce point.

C’est précisément pour les raisons que vous avez évoquées que nous devons développer des solutions européennes ou nationales, afin de devenir de véritables acteurs dans ce domaine. Lors de mon passage au ministère des armées et des anciens combattants, j’avais ainsi notifié le contrat d’accélération de l’industrialisation d’Artemis.IA, suivi, un an plus tard, du contrat d’industrialisation. Ce programme continue d’être développé, utilisé et enrichi par le ministère, car nous souhaitons disposer non seulement d’une solution nationale, mais aussi d’un produit compétitif, susceptible d’être exporté et de remporter des compétitions internationales. D’autres solutions européennes auraient aussi leur place sur le marché, comme SitaWare de Systematic.

Si Artemis.IA n’existait pas, je serais bien plus gêné pour vous répondre. En l’occurrence, toutefois, nous possédons un produit qui satisfait nos armées, qui est régulièrement enrichi, et qui pourrait tout à fait répondre à des besoins de l’Otan.

M. le président Philippe Latombe. L’Otan est-elle perçue par les États-Unis comme un outil de puissance qu’ils peuvent utiliser pour imposer leurs solutions technologiques ? Chacun se souvient qu’ils ont demandé aux pays européens de prendre en charge une part plus importante des dépenses militaires de l’Organisation et qu’ils ont vendu leurs avions F-35, dont le système de vol induit une certaine dépendance, à plusieurs pays membres. Le principe de l’interopérabilité ne conduit-il pas de fait à s’aligner sur des technologies et des normes américaines, y compris en matière de réseaux – routeurs, câbles et probablement satellites ?

Quelles mesures sont prises, dans le cadre de la réallocation des moyens financiers, pour remédier à ce tropisme technologique américain ?

M. Dominique Luzeaux. Le fait de porter à 5 % du PIB les budgets consacrés à la défense devrait justement permettre à l’Europe de développer et d’imposer des solutions.

Vous avez insisté avec raison sur la notion de normes : la France et l’Europe doivent prendre une place beaucoup plus importante dans les instances de normalisation, qu’elles régissent les réseaux, les matériels, les logiciels ou tout autre élément clé en matière de dépendance numérique. Siéger dans ces instances permet d’influer sur les normes de jure ; cela coûte des effectifs sans bénéfice immédiat, mais c’est un investissement essentiel pour éviter de devenir dépendants à l’avenir. Parallèlement, développer des solutions compétitives est indispensable pour ne pas se trouver écrasé par des normes de facto, c’est-à-dire des normes qui s’imposent sur le plan industriel – ces discussions existaient déjà dans les années 1980.

Les États-Unis n’imposent pas leurs solutions par le biais de l’Otan. Simplement, pour remporter des compétitions, il faut être en mesure de proposer des solutions au marché, ce qui demande un investissement préalable. La hausse de leurs budgets de défense devrait aider les Européens à gagner en compétitivité – même si, j’en conviens, cela ne se fera pas en un jour.

Mme Cyrielle Chatelain, rapporteure. Un débat a cours aux États-Unis sur la place de l’IA dans les prises de décision. Il semble faire émerger la volonté de procéder à des frappes sans intervention humaine. Les États-Unis demandent-ils l’implantation d’un tel système au sein de l’Otan ?

M. Dominique Luzeaux. Non. L’Otan obéit au principe du HITL (Human In The Loop, l’humain dans la boucle) : aucune décision n’est automatisée de bout en bout.

Mme Cyrielle Chatelain, rapporteure. Le programme Artemis.IA est-il utilisé par d’autres pays européens ?

M. Dominique Luzeaux. Pas à ma connaissance, mais la joint-venture y travaille. Le ministère des armées et des anciens combattants a d’ailleurs organisé ce mois-ci une présentation, à laquelle a été conviée une délégation du quartier général de l’Otan, d’Artemis.IA et des capacités françaises. Cette démarche s’inscrit dans la volonté de montrer ce que la France est capable de faire dans ce domaine.

Mme Cyrielle Chatelain, rapporteure. L’utilisation de l’IA en matière de défense doit-elle être soumise à un cadre éthique, semblable à celui que s’est imposé Anthropic et qui l’a conduit à refuser de participer à des tirs de missiles sans intervention humaine ou à des opérations de surveillance de masse ?

M. Dominique Luzeaux. Je ne peux que répondre par l’affirmative. J’ai évoqué les problèmes juridiques posés par l’utilisation de l’IA dans les systèmes d’armes. Un cadre juridique et éthique est donc indispensable. L’analyse juridique (le battle damage assessment) qui sera menée à l’issue des conflits en cours aura d’ailleurs un rôle à jouer dans la définition de ce cadre.

Mme Cyrielle Chatelain, rapporteure. D’après plusieurs articles, l’aéronef F-35 ne peut fonctionner de façon autonome que pendant trente jours : au-delà, il faut se connecter au logiciel de maintenance pour effectuer des mises à jour. Confirmez-vous cette information ?

M. Dominique Luzeaux. Je ne sais pas répondre à cette question.

M. le président Philippe Latombe. Si vous pouviez modifier l’approche française du numérique pour atténuer nos dépendances à des technologies non européennes, quels seraient les deux domaines dans lesquels vous investiriez immédiatement ? De la même façon, quels sont les sujets d’avenir sur lesquels nous devrions nous pencher dès maintenant pour éviter les dépendances de demain ? Je pense par exemple à l’informatique quantique.

M. Dominique Luzeaux. Effectivement, je n’ai pas abordé le quantique, mais ce secteur fait déjà l’objet d’investissements qu’il faut absolument poursuivre – dans les calculateurs, la cryptographie, ou encore les capteurs. Par exemple, même si l’on en parle encore peu, le développement de magnétomètres et de gravimètres quantiques devrait très rapidement permettre de contourner le problème du brouillage GPS. Le champ du PQC (Post-Quantum Cryptography, ou chiffrement post-quantique) mérite également d’être investi pleinement.

Pour ma part, j’investirais immédiatement dans les réseaux résilients, indispensables pour assurer la continuité des fonctions essentielles de l’État – je songe en particulier aux fonctions publiques hospitalière et territoriale – et dans le cloud à la périphérie, qui est amené à devenir un différenciant clé d’ici quelques années.

En matière de cybersécurité, il nous faut absolument investir pour mieux protéger les Scada et les objets connectés, qui sont notre point de vulnérabilité majeur. Il est ainsi tout à fait possible, par déplacement latéral, de pénétrer dans le système d’information d’une mairie après avoir pris le contrôle d’un feu de circulation. L’IoT offre des fonctionnalités formidables aux utilisateurs, mais il constitue un champ de vulnérabilité gigantesque.

M. Vincent Thiébaut (HOR). La France dispose d’un vrai savoir-faire en matière de réseaux, dont témoigne par exemple l’histoire du projet Rita (Réseau intégré des transmissions automatiques). Quel est le degré de dépendance d’un programme comme Scorpion (Synergie du contact renforcé par la polyvalence et l’infovalorisation) ?

Le cloud de combat fait partie des piliers du Scaf (système de combat aérien du futur). Son interopérabilité avec les systèmes de l’Otan, qui implique indirectement une ouverture à des normes américaines, présente-t-elle un risque ?

À la lumière du conflit ukrainien et de la volonté exprimée par le général Schill de territorialiser l’armée et de se rapprocher des industriels pour utiliser certaines technologies civiles comme les drones, comment envisagez-vous la question de l’interopérabilité entre des systèmes civils et des systèmes militaires qui, par nature, sont plutôt propriétaires et fermés ? Y voyez-vous un potentiel de vulnérabilité et un enjeu de souveraineté ?

Plusieurs sites alsaciens de la ligne Maginot anciennement utilisés par l’armée de l’air, notamment celui de Drachenbronn, ont été conçus de façon à bénéficier d’une redondance énergétique et de liaisons. Dans une logique de cloud souverain, certaines de ces bases pourraient-elles être réaffectées – il me semble par exemple qu’une réflexion est en cours à l’Otan pour constituer une base de retrait depuis Ramstein ?

M. Dominique Luzeaux. Le cloud est un élément clé : comme je l’indiquais, sans numérique, les manœuvres s’interrompent. Or, sans les plateformes, le numérique ne sert à rien, et vice-versa : nous avons besoin des deux, tout comme nous avons besoin à la fois de jambes et d’un système nerveux pour marcher. Il est donc indispensable de nous positionner sur le cloud de combat, qui fait partie des composantes du système global, si nous voulons être indépendants. Dans le même état d’esprit, nous devons participer à l’élaboration des normes de l’Otan : si certains renoncent à exercer une influence en la manière, d’autres peuvent imposer leurs vues. En revanche, si chacun tente d’influer, des discussions s’engagent : c’est un bras de fer, ni plus ni moins.

S’agissant de l’interopérabilité entre le militaire et le civil, l’évolution de la technologie va en ce sens : les systèmes seront de moins en moins propriétaires et fermés et de plus en plus ouverts et modulaires. L’utilisation et la maintenance en condition opérationnelle des systèmes fermés et propriétaires est devenue beaucoup trop onéreuse pour qu’il en aille autrement. L’évolution des opérations obéit d’ailleurs à la tendance décrite par le général Schill, c’est-à-dire à l’approche M2MC (multimilieux multichamps) – MDO, dans le langage de l’Otan –, qui repose sur la convergence des effets militaires et la synchronisation avec les organisations civiles. On le constate clairement, la frontière entre le militaire et le civil est désormais brouillée.

Cette interopérabilité technique entre civil et militaire présente à la fois des avantages et des inconvénients. Pour maîtriser des systèmes ouverts et modulaires, il faut développer des compétences spécifiques, d’où l’importance de mettre l’accent sur la formation et la recherche, mais également sur la réglementation et la normalisation – ou standardisation. Or, si la France et l’Europe sont bien positionnées en matière de réglementation, elles ont des efforts à fournir en matière de normalisation : siéger dans les instances qui définissent les normes, que ce soit celles de l’Otan ou celles du secteur civil, sera capital à l’avenir.

Enfin, la question de la souveraineté énergétique est effectivement fondamentale.

Mme Cyrielle Chatelain, rapporteure. Vous décrivez l’Otan comme un espace d’influence. Chacun perçoit le changement très significatif à l’œuvre aux États-Unis, qui vont jusqu’à menacer des membres de l’Otan et à publier une stratégie de défense nationale affirmant très clairement la priorité donnée à l’Amérique et la volonté de dissuader les pays qu’ils considèrent appartenir à leur sphère d’influence de collaborer avec d’autres nations. Constatez-vous, depuis l’attaque du Venezuela et les menaces à l’égard du Groenland, une collaboration plus forte des Européens entre eux, ou au moins une volonté de prudence vis-à-vis des États-Unis de Donald Trump ?

M. Dominique Luzeaux. Clairement, le changement d’administration aux États-Unis a provoqué un électrochoc global, qui a incité l’Europe à se ressaisir et à développer ses propres solutions. Même si le processus ne fait que commencer et bien que l’Europe ne se positionne pas à proprement parler contre les États-Unis, l’augmentation de ses budgets de défense devrait l’amener à jouer un rôle plus important au sein de l’Otan. C’est d’ailleurs la volonté du président Trump : à l’entendre, l’Europe doit assumer sa propre défense. Au-delà des déclarations politiques, l’Otan est aussi le théâtre de discussions militaires, qui sont d’une nature assez différente. Néanmoins, depuis le 20 janvier 2025, on perçoit clairement la volonté de l’Europe de prendre davantage son destin en main.

M. le président Philippe Latombe. La place de la France au sein de l’Otan a-t-elle changé depuis l’arrivée au pouvoir de Donald Trump ? Son autonomie stratégique affirmée peut-elle lui permettre de gagner en influence, par exemple en promouvant ses propres systèmes, comme Artemis.IA, afin de regagner en indépendance ?

M. Dominique Luzeaux. La France est clairement reconnue pour son excellence militaire et technologique. Sa capacité de dissuasion nucléaire lui confère aussi une position particulière. À nous, désormais, de développer une base industrielle qui nous permettra d’influer aux niveaux national, européen et mondial.

M. le président Philippe Latombe. Merci beaucoup pour vos réponses. Si l’actualité vous inspire des remarques supplémentaires que vous souhaiteriez porter à notre connaissance, n’hésitez pas à nous les communiquer par écrit.

* *

Audition, ouverte à la presse, de Mme Catherine Mayenobe, directrice générale déléguée de la Caisse des dépôts, directrice des opérations et du pilotage de la transformation opérationnelle, M. Arnaud Martin, directeur des risques opérationnels, M. Patrick Laurens-Frings, directeur de la transformation opérationnelle, digitale et des systèmes d’information du groupe, et M. Philippe Blanchot, directeur des relations institutionnelles, internationales et européennes (mercredi 18 mars 2026)

M. le président Philippe Latombe. Nous recevons les représentants de la Caisse des dépôts et je souhaite la bienvenue à Mme Catherine Mayenobe, directrice générale déléguée, directrice des opérations et du pilotage de la transformation opérationnelle, à M. Arnaud Martin, directeur des risques opérationnels, à M. Patrick Laurens-Frings, directeur de la transformation opérationnelle, digitale et des systèmes d’information du groupe et à M. Philippe Blanchot, directeur des relations institutionnelles, internationales et européennes.

Vous avez souhaité être entendus par notre commission d’enquête afin de partager votre expertise et vos travaux sur la souveraineté numérique, qui s’articulent autour de trois objectifs : mesurer et réduire les dépendances numériques, soutenir et financer des infrastructures numériques autonomes et sécurisées, et enfin déployer des initiatives concrètes qui renforcent la capacité de la France à maîtriser ses technologies et données numériques. Je vous remercie pour cette initiative.

Je vais vous laisser la parole pour une intervention liminaire. Je vous remercie de bien vouloir la limiter à une quinzaine de minutes pour l’ensemble d’entre vous, afin que nous ayons le temps d’échanger sous forme de questions-réponses. Je vous remercie également de nous déclarer tout autre intérêt public ou privé de nature à influencer vos déclarations.

Auparavant, je vous rappelle que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter serment, de dire la vérité, toute la vérité, rien que la vérité. Je vous invite donc, madame, messieurs, à lever la main droite un par un et à dire : « Je le jure ».

Mme Catherine Mayenobe, directrice générale déléguée de la Caisse des dépôts, directrice des opérations et du pilotage de la transformation opérationnelle. Au titre de la déclaration d’intérêts, je déclare tout d’abord mon appartenance à la Cour des comptes, dont je suis magistrate détachée à la Caisse des dépôts. Je précise également que je suis membre du conseil d’administration du groupe La Poste et vice-présidente du conseil de surveillance de RTE.

M. Arnaud Martin, directeur des risques opérationnels. Au titre de mes intérêts, je suis également vice-président du Cesin (club des experts de la sécurité de l’information et du numérique), une association qui regroupe environ 1 200 responsables de la sécurité des systèmes d’information (RSSI) en France.

M. Patrick Laurens-Frings, directeur de la transformation opérationnelle, digitale et des systèmes d’information. Au titre de mes intérêts, je représente la Caisse des dépôts au conseil d’administration de Numspot, dont je suis le président.

(Mme Catherine Mayenobe, M. Arnaud Martin, M. Patrick Laurens-Frings et M. Philippe Blanchot prêtent serment).

M. le président Philippe Latombe. Vous avez la parole, dans l’ordre que vous souhaitez.

Mme Catherine Mayenobe. Monsieur le président, madame la rapporteure, je vous remercie de nous auditionner. C’est pour nous une occasion unique de partager notre vision du paysage numérique actuel. Je vous présenterai brièvement la feuille de route conduite par Olivier Sichel, notre directeur général, ainsi que les initiatives que nous souhaitons prendre, avant de répondre à vos questions.

Le diagnostic que nous posons est proche de celui qui a motivé la création de votre commission : il est alarmant. En tant que groupe public financier, nous constatons une urgence claire à agir pour faire face aux dépendances technologiques héritées des dernières décennies. Cet héritage est d’autant plus préoccupant qu’il s’inscrit dans un contexte de double révolution. La première est technologique, avec l’arrivée de l’intelligence artificielle (IA) générative, qui pose en des termes nouveaux et encore plus inquiétants le diagnostic de notre dépendance aux solutions de cloud. Cette révolution redéfinit de façon drastique la chaîne de valeur des grands acteurs économiques. Au-delà des constats que vous avez vous-mêmes établis sur la part très importante des produits numériques consommés en France provenant de zones extra-européennes – le chiffre de 80 % reste d’actualité –, les conséquences sont lourdes : fuites de données stratégiques, perte de valeur économique estimée à près de 265 milliards d’euros par an pour l’Union européenne en achats de solutions, selon une étude du club informatique des grandes entreprises françaises (Cigref) commanditée auprès du cabinet Asterès, et une exposition majeure à des risques géopolitiques croissants.

Cette évolution technologique, déjà complexe à gérer pour nos entreprises et établissements publics, intervient dans une seconde révolution, géostratégique, marquée par des crises multifactorielles et un renforcement très concret du risque de cyberattaque. Tout cela a révélé notre vulnérabilité. Aujourd’hui, pour une institution financière comme le groupe Caisse des dépôts, le numérique est devenu un risque majeur, que nous analysons en termes de risque de non-continuité de nos activités et de non-maîtrise de nos infrastructures critiques.

Cette vision de notre dépendance s’applique à toute la chaîne de valeur numérique. C’est le cas dans les strates les plus basses, celles des infrastructures. C’est vrai au niveau des plateformes logicielles, avec une absence totale de solutions européennes de confiance pour les plateformes « as a service » (PaaS). C’est vrai, dans une moindre mesure mais de façon néanmoins critique, en matière de solutions de traitement des données et de capacités en intelligence artificielle.

Dans ce contexte, nous avons la conviction forte que le développement de notre autonomie stratégique est le chemin vers une compétitivité durable pour nos établissements et nos entreprises, avec pour objectif constant de protéger nos données, qui constituent notre actif le plus précieux. Si le groupe Caisse des dépôts, dont cette conviction est chevillée à l’ADN, a fait de sa transformation interne une feuille de route au service du pays, c’est que nous nous sentons légitimes pour le faire. Notre implication dans le déploiement d’un écosystème numérique français et européen remonte à plusieurs décennies : nous avons été à la manœuvre avec le Fonds national pour la société numérique (FSN) pour déployer la fibre optique, et nous travaillons depuis plus de dix ans au développement des usages numériques. Notre groupe inclut Docaposte, qui compte de belles réussites dans les domaines de la santé ou de l’éducation avec des solutions de confiance.

Forts de cet ADN et de nos expertises internes, nous voulons mettre notre feuille de route au service de l’intérêt général et des autres priorités stratégiques que sont la transformation écologique et la cohésion sociale et territoriale. Nous pensons que construire un numérique souverain et de confiance, qui protège nos données et celles qui nous sont confiées en tant qu’opérateur pour l’État ou les régimes sociaux, est un objectif essentiel. Nous cherchons à maintenir un équilibre entre la performance économique et technologique de ces solutions et nos convictions en matière d’environnement, d’éthique et de sobriété.

Dans ce cadre, Olivier Sichel a fixé comme priorité de son mandat que l’accélération de la transformation du groupe Caisse des dépôts serve le pays. Nous mobiliserons pour cela 18 milliards d’euros de fonds propres, avec un marqueur important : une augmentation considérable du montant des investissements. Pour vous donner un ordre de grandeur, nous avons investi environ un milliard d’euros dans le secteur numérique au cours des dernières années ; nous souhaitons investir cinq fois plus et mobiliser six milliards d’euros sur la durée du mandat, au service de la performance, du développement durable et de la souveraineté.

Cette feuille de route s’articule autour de six priorités. La première est le fruit de notre retour d’expérience après plus de dix ans d’accompagnement de l’écosystème des start-up par Bpifrance. Nous constatons que peu d’entreprises atteignent une véritable dimension européenne et deviennent des leaders. Nous souhaitons donc mettre l’accent sur notre capacité à les accompagner vers des entrées en Bourse, de préférence sur nos infrastructures de marché européennes comme Euronext et Euroclear, dans lesquelles le groupe Caisse des dépôts est investisseur.

La deuxième priorité est de contribuer à l’émergence d’une chaîne de valeur numérique européenne de bout en bout. Il ne sert à rien de protéger nos données si un seul élément de la chaîne numérique n’est pas souverain, surtout à l’ère de l’IA. Nous n’avons pas la prétention de construire seuls cette chaîne, mais nous avons la certitude, après avoir organisé des événements avec nos homologues belges, néerlandais et allemands, que l’Europe dispose des compétences nécessaires. Il faut unir nos forces, avec la conviction que la solution passe par l’adoption massive de communs numériques open source.

Troisièmement, le groupe Caisse des dépôts, notamment via Docaposte, accentuera son rôle pour devenir leader sur certaines solutions numériques de confiance dans les domaines où nous sommes forts : le secteur public et régulé. Je pense à l’éducation, où nous sommes bien implantés avec Pronote ; à la santé, où nous venons de remporter des appels d’offres pour l’espace national de données de santé ; aux collectivités territoriales, que nous souhaitons accompagner dans leur transformation numérique ; ou encore aux professions réglementées, qui sont des partenaires clés.

Parallèlement, nous lancerons en mai prochain, à l’occasion du Printemps des territoires, une initiative majeure destinée aux collectivités territoriales. En co-construction avec elles et en partenariat avec Mistral AI, nous identifierons des cas d’usage susceptibles de passer à l’échelle et les accompagnerons dans l’adoption de solutions nativement souveraines.

Cinquièmement, nous continuerons, via Bpifrance, à accompagner les ETI et PME, que nous avons déjà beaucoup soutenues en matière de cybersécurité, pour les aider à maîtriser leur autonomie stratégique.

Enfin, nous développerons notre rôle d’accompagnateur des politiques publiques locales et nationales vis-à-vis des Français, en facilitant leur accès aux services numériques du quotidien. Nous travaillons par exemple avec l’Agence nationale de la cohésion des territoires (ANCT) sur le programme maisons France Services pour en développer l’impact, ou encore sur l’effort de formation numérique.

Un marqueur de cette feuille de route est l’indice de résilience numérique (IRN), lancé officiellement en début d’année. Nous sommes convaincus qu’il s’agit d’un outil puissant, non pas pour les techniciens des directions des systèmes d’information, mais pour les dirigeants et les conseils d’administration, afin de les aider à mesurer leur dépendance à différentes solutions technologiques. À partir de ce diagnostic, chacun pourra se fixer une trajectoire. En tant qu’institution financière soumise à un régulateur, nous sommes extrêmement attentifs à la sécurité de nos données. Nous allons donc promouvoir cet indice, dont nous sommes l’un des testeurs, et nous œuvrons à en développer une version allégée pour les collectivités territoriales et les PME, qui font face aux mêmes problématiques. Nous portons également son adoption au niveau européen, comme nous l’avons fait lors du sommet franco-allemand.

Voilà, de façon synthétique, la conviction et la vision portées par le groupe Caisse des dépôts sous la conduite d’Olivier Sichel. Le groupe se déploie de manière assez novatrice sur le terrain européen, car nous sommes convaincus que la réponse aux enjeux de souveraineté numérique ne peut se concevoir qu’à l’échelle de notre continent. Nous avons les talents, les solutions et les compétences pour y parvenir, et nous serons en mesure d’apporter notre pierre à cette voie vers une Europe qui maîtrise son destin.

M. le président Philippe Latombe. Merci beaucoup. Avant de céder la parole à madame la rapporteure, j’ai une première question. Vous avez évoqué votre positionnement unique au sein de l’écosystème public et privé, qui vous donne une vision globale de la situation numérique. Le levier de la commande publique est-il, selon vous, suffisamment utilisé ? Que faudrait-il changer pour l’optimiser ? Pensez-vous qu’il faille étendre aux collectivités territoriales une approche similaire à celle de la loi visant à sécuriser et à réguler l’espace numérique (loi Sren) pour l’État, afin d’orienter leur commande publique vers du numérique français et européen ? Enfin, où identifiez-vous encore des résistances qui empêchent la commande publique de se déployer pleinement en faveur de la souveraineté ?

Mme Catherine Mayenobe. La commande publique est un levier, mais ce n’est pas le seul. On estime qu’elle représente environ 20 % du marché. Un de nos messages forts est qu’il faut s’adresser aux 80 % restants, c’est-à-dire les entreprises. D’où l’intérêt de l’IRN, qui vise à sensibiliser les conseils d’administration et les directions générales. Aujourd’hui, ne pas acheter les grandes solutions éprouvées du marché demande du courage et des consignes claires au plus haut niveau de l’entreprise. Il est courant de dire qu’aucun directeur des systèmes d’information ne sera renvoyé pour avoir acheté Microsoft 365. Il faut du courage pour s’inscrire en rupture et accepter d’intégrer des solutions peut-être moins performantes ou sur lesquelles on a moins de recul. Il ne faut donc pas se tromper de cible : les entreprises constituent l’essentiel du marché.

Pour autant, en tant qu’entité soumise au code de la commande publique, il nous semble que la sphère publique a un devoir d’exemplarité et doit envoyer des signaux. C’est pourquoi, au sein du groupe Caisse des dépôts, nous déployons une doctrine d’achat qui accompagne notre feuille de route. Nous avons éprouvé le besoin de formaliser cette doctrine pour mettre nos actes en cohérence avec nos investissements. Si nous finançons des entreprises comme Mistral AI ou Dataiku, nous devons essayer d’acquérir leurs solutions dans le cadre de la commande publique.

C’est un chemin que nous sommes en train de tracer. J’espère qu’à la fin du mandat, nous pourrons démontrer que nous avons fait bouger les lignes pour inclure les enjeux d’autonomie stratégique dans nos politiques d’achat, comme nous l’avons fait avec succès pour les objectifs de responsabilité sociale et environnementale (RSE). Aujourd’hui, c’est plus complexe : il n’est pas possible d’insérer dans un cahier des charges des clauses trop restrictives en matière de souveraineté. Nous espérons que certains assouplissements en discussion au niveau européen nous permettront d’être plus prescripteurs.

Néanmoins, nous sommes convaincus que c’est une question de volonté. Je peux vous apporter un témoignage opérationnel : nous avons lancé, pour la première fois au niveau du groupe, un grand accord-cadre pour référencer des solutions d’intelligence artificielle, incluant des capacités de calcul, des licences et de l’appui opérationnel. Nous nous sommes engagés sur un montant de 70 à 140 millions d’euros sur la durée de l’appel d’offres. Nous sommes très satisfaits du résultat : environ 70 % des solutions référencées répondent à nos critères d’autonomie stratégique et de souveraineté. C’est donc possible, mais cela nécessite beaucoup de volontarisme et de détermination, car ce n’est pas la solution de facilité.

Mme Cyrielle Chatelain, rapporteure. Je vous remercie pour ce témoignage sur les solutions que l’on peut mettre en œuvre. Avant un déploiement externe, avez-vous cartographié le niveau de dépendance au sein même du groupe Caisse des dépôts ? Quelle est aujourd’hui la part de solutions françaises ou européennes déployées en interne, et quel serait votre objectif cible si vous décidiez d’augmenter cette part ?

M. Arnaud Martin. L’IRN, officiellement lancé en janvier, nous permettra de mesurer précisément cette dépendance, même si les travaux ne sont pas totalement aboutis. Nous avons commencé à mailler l’ensemble de nos actifs en nous adossant aux fonctions critiques définies dans le cadre du règlement Dora (Digital Operational Resilience Act), qui s’applique à la Caisse des dépôts comme à tous les établissements bancaires et assurantiels. Cela nous permet d’envisager un effet de levier sur tout cet écosystème.

Nous avons identifié onze fonctions critiques, supportées par 165 applications. Il est important de ne pas se limiter aux applications, car l’IRN prend aussi en compte les infrastructures sous-jacentes. À ce titre, nous surveillons 154 composants techniques qui permettent d’exploiter ces onze fonctions critiques.

Je ne peux pas vous donner de résultats définitifs, que nous présenterons en juin à notre commission de surveillance, mais nous observons déjà quelques grandes tendances. Premièrement, nous avons un bon niveau de résilience sur nos fonctions critiques, car la majorité d’entre elles reposent sur des progiciels européens ou sur des développements internes. Deuxièmement, l’open source constitue une forte composante de notre résilience par rapport aux solutions américaines en mode SaaS (Software as a Service). Enfin, nous constatons une asymétrie : nos applications présentent un niveau de résilience et d’open source plus important que nos socles techniques, pour lesquels nous sommes plus tributaires des solutions américaines.

Cet exercice a été mené aux bornes de l’établissement public. Nous avons vocation à le décliner d’ici la fin de l’année à l’ensemble de nos filiales financières – La Banque Postale, Bpifrance et la Sfil – pour obtenir une vision unifiée du groupe.

Mme Catherine Mayenobe. En ce qui concerne la commande, la référence issue des travaux du Cigref avec le cabinet Asterès était qu’en moyenne, les entreprises européennes adressent 17 % de leurs commandes à des solutions européennes. Nous avons calculé la part des solutions numériques souveraines que nous utilisons, c’est-à-dire françaises, européennes et open source. Pour l’établissement public Caisse des dépôts stricto sensu, cette part est de 54 %, ce qui nous place dans une situation de départ nettement plus favorable que la moyenne.

Pour autant, ce diagnostic n’est pas uniforme sur l’ensemble de la chaîne de valeur. Nous avons une dépendance assez forte sur nos infrastructures, à hauteur de 74 %. Elle est moindre sur les briques de cybersécurité, un point d’attention de longue date, où un peu plus de la moitié des solutions sont d’origine européenne. En revanche, comme l’a dit Arnaud Martin, notre situation de départ est bonne sur les solutions métiers, puisque 75 % de nos applications sont européennes ou françaises, notamment grâce à des groupes comme Sopra Steria ou Murex.

Cette situation s’explique par le fait que le groupe Caisse des dépôts applique depuis toujours une politique très stricte de protection de ses données. Comme tout établissement financier, nous classifions nos données et avons édicté, à l’instar de l’État avec sa doctrine « cloud au centre », une doctrine très protectrice pour nos données les plus sensibles : celles des Français, des régimes de retraite, de l’épargne gérée ou des opérations des notaires. Nous avons donc interdit le recours à des solutions non souveraines pour le traitement de ces données, ce qui nous a largement empêchés de basculer jusqu’à présent dans le cloud et explique notre engagement dans l’initiative Numspot, conjointement avec Docaposte.

Mme Cyrielle Chatelain, rapporteure. Pour poursuivre cette réflexion, pourriez-vous détailler les conséquences que pourraient avoir ces dépendances, notamment sur les infrastructures ou les commandes publiques ? Bien que votre niveau d’autonomie soit déjà élevé, des dépendances subsistent, particulièrement sur les infrastructures. Quels sont les risques associés en termes d’activité pour la Caisse des dépôts en cas de blocage ou de problèmes de mise à jour ?

Ma deuxième question porte sur les fonctions plus communes, non stratégiques. Analysez-vous également les dépendances liées aux outils du quotidien, comme les systèmes de messagerie ou les suites bureautiques ?

M. Patrick Laurens-Frings. En nous appuyant sur la méthodologie de l’IRN, nous identifions en effet des risques de dépendance technologique et économique. Les augmentations brutales de tarifs que nous subissons de la part de fournisseurs non européens nous obligent à arbitrer des budgets en leur faveur, au détriment d’investissements dans d’autres domaines. Sur le plan technologique, nous sommes à la merci des feuilles de route des éditeurs, sans pouvoir influer dessus.

Cela plaide pour un plan de résilience ambitieux, fondé sur le diagnostic que nous finalisons ce semestre, dans le cadre de notre plan Horizon Numérique 2030. Vous pointez à juste titre les solutions collaboratives, qui sont un des sujets que nous devons adresser. Nous sommes effectivement, à l’heure actuelle, dans une dépendance totale vis-à-vis de l’éditeur Microsoft pour le cœur de la messagerie et des outils collaboratifs.

Cependant, nous avons déjà déployé des solutions souveraines pour la protection de nos données les plus sensibles. Nous faisons appel à plusieurs éditeurs français, notamment pour le stockage de données, l’outillage des délibérations du comité exécutif ou les échanges en situation de crise cyber. Tout l’enjeu, notamment à l’échelle européenne, sera de développer une démarche nous permettant d’envisager des alternatives sérieuses aux suites collaboratives américaines dont nous sommes de facto dépendants aujourd’hui.

Mme Catherine Mayenobe. Nous avons constaté que les Allemands disposent d’éléments assez probants qui nous inspirent, et nous allons donc travailler avec eux sur ce sujet.

M. Arnaud Martin. Pour compléter la réponse à votre question sur l’impact par fonction critique, je précise que notre déclinaison de l’IRN n’est pas globale. Nous mesurons la dépendance pour chaque fonction critique, en l’adossant à la modélisation de nos processus d’entreprise, qui sont par nature transverses. Nous aurons ainsi une vision précise : par exemple, pour le processus de paiement, nous connaîtrons notre niveau de dépendance exact, de même que pour le processus de cybersécurité.

M. le président Philippe Latombe. Juste une précision : au-delà des suites collaboratives, envisagez-vous de modifier le système d’exploitation (OS) des postes de travail, par exemple en recourant à Linux plutôt qu’à celui de Microsoft ? Est-ce que cela fait partie de vos réflexions et avez-vous une feuille de route sur ce sujet ?

M. Patrick Laurens-Frings. Cela fait partie du périmètre du « TechSprint EuroCommons » que j’évoquais. Le champ de ce programme inclut bien la question d’une alternative sur l’ensemble de la chaîne de valeur du numérique. La Caisse des dépôts s’inscrira dans ce programme en essayant d’être exemplaire, mais celui-ci étant en cours de lancement, nous n’avons pas encore de feuille de route précise sur le sujet que vous évoquez.

Mme Cyrielle Chatelain, rapporteure. J’ai une question simple : pourquoi attendre ce programme européen ? Il existe déjà des options, que ce soit sur Linux ou pour les suites bureautiques, avec un certain nombre de logiciels libres disponibles. J’imagine qu’il y a une raison et je serais intéressée de la connaître.

Par ailleurs, vous avez mentionné Docaposte et Numspot. Pourriez-vous nous préciser les choix technologiques qui ont été faits pour ces outils ?

M. Patrick Laurens-Frings. L’open source est clairement un gisement d’autonomie stratégique pour l’Europe. Il existe aujourd’hui des solutions qui portent le potentiel d’une véritable alternative pour les entreprises et les administrations. L’enjeu est cependant à l’échelle européenne, car il s’agit de combiner des solutions sur l’ensemble de la chaîne de valeur pour aboutir à une offre suffisamment riche fonctionnellement et profonde technologiquement pour de grandes entreprises comme la nôtre.

Le principal défi est celui de l’intégration. Les suites non européennes présentent un niveau d’intégration extrêmement élevé, tant sur le plan fonctionnel que technologique. Aujourd’hui, aucune solution européenne n’offre ce même niveau. Certes, on peut répondre à certaines fonctions avec des solutions spécifiques, mais ce qui nous manque, c’est l’effet d’intégration, avec comme point clé la gestion des identités et des habilitations, qui est un grand vecteur de « lock-in » de la part des alternatives non européennes.

L’enjeu du « TechSprint EuroCommons » est donc, dans une logique tirée par la demande des entreprises européennes, de créer des coalitions. Nous travaillons avec les équivalents du Cigref en Allemagne, aux Pays-Bas et en Belgique, et nous souhaiterions y associer l’Italie et l’Espagne. L’idée est de former des coalitions entre utilisateurs, fondations et communautés open source, et éditeurs. Nous avons absolument besoin des éditeurs, car ils apportent le niveau de support nécessaire aux grandes entreprises. Celles-ci ont besoin d’intégration, mais aussi d’un support dans la durée, que seuls les éditeurs peuvent fournir. C’est dans ce triangle que nous nous inscrivons. Nous espérons lancer un premier prototype d’action commune au deuxième trimestre et, d’ici la fin de l’année, apporter des dispositifs de financement pour combler le vide entre la création de l’actif open source, sa distribution par des éditeurs et la commande par les entreprises, qui représentent 80 % du marché. À cet égard, la France dispose d’une démarche intéressante avec le Tosit (The open source I trust), et sur l’exemple d’un poste de travail alternatif à Windows, une vingtaine d’entreprises ont déjà marqué leur intérêt pour investir dans des développements open source. La dynamique est donc très positive.

Concernant Numspot, pour simplifier, on peut identifier trois couches dans le cloud : les infrastructures physiques (serveurs, réseaux), les plateformes de développement et d’exploitation (PaaS), et les solutions applicatives (SaaS). Lorsque nous avons lancé Numspot, sous l’impulsion de Docaposte et en partenariat avec Dassault Systèmes et Bouygues Telecom, nous avons constaté qu’il n’existait pas de solution souveraine à l’échelle sur la couche intermédiaire, le PaaS. C’était un vrai déficit pour l’autonomie stratégique. Notre initiative se focalise donc sur cette couche, avec une double conviction : 100 % d’open source et une plateforme portable, multicloud, pour pouvoir être déployée sur des clouds européens comme sur les clouds internes des administrations et des entreprises. C’est fort de cette conviction que Numspot a pu, avec un consortium incluant OVHcloud et Docaposte, apporter une réponse souveraine à la problématique de la protection des données de santé dans le cadre du nouvel appel d’offres du Health Data Hub.

M. le président Philippe Latombe. Juste une précision sur Numspot : cela signifie-t-il que vous ne visez pas la partie SaaS à terme, alors même que l’on sait qu’une grande partie de la création de valeur des hyperscalers se situe sur cette couche ?

M. Patrick Laurens-Frings. C’est une remarque particulièrement pertinente. L’enjeu pour Numspot est de développer un conteneur qualifié SecNumCloud qui puisse accueillir des solutions, y compris des solutions non européennes, et les proposer à ses clients dans une logique de chaîne sécurisée de bout en bout. Notre priorité ira évidemment à l’accueil de solutions européennes, mais ce dispositif permettra aux clients de disposer de premiers éléments de souveraineté, même en conservant des solutions non européennes dans une phase intermédiaire. C’est à travers ce système de conteneurisation, fondé sur la technologie standard et open source Kubernetes, que nous pouvons proposer une intégration de bout en bout. C’est ce que Numspot est en train de faire, par exemple, avec Mistral AI, en proposant à ses clients un accès à ses solutions d’intelligence artificielle générative dans cette logique d’accueil au sein de son conteneur.

M. Arnaud Martin. J’ajoute un complément concernant les services historiques de Docaposte, comme l’identité numérique, la conservation sécurisée de documents ou Pronote. Il ne faut pas faire d’anachronisme : lorsque ces services ont été développés, la notion de souveraineté n’existait pas. On se basait uniquement sur des sujets de régulation et d’homologation, typiquement le règlement européen Electronic Identification, Authentication and Trust Services (eIDAS), qui a guidé leur construction et qui est toujours en vigueur. Le barycentre était alors positionné sur cette homologation et sur les services de chiffrement robustes, validés par des audits de l’Agence nationale de la sécurité des systèmes d’information (Anssi).

Mme Cyrielle Chatelain, rapporteure. Dans votre feuille de route, vous avez mentionné la question des communs numériques comme étant structurante. Pouvez-vous nous donner des exemples ? Par ailleurs, vous avez évoqué les fondations qui travaillent sur l’open source. Estimez-vous qu’elles devraient faire l’objet de financements publics pour éviter qu’elles soient noyautées par des financements privés d’acteurs ayant des intérêts particuliers ?

M. Patrick Laurens-Frings. Comme nous l’avons évoqué, l’open source est une véritable opportunité, à condition qu’il soit développé dans une logique de communs numériques. Le risque de capture de l’open source, que ce soit pour le privatiser ou pour en noyauter la gouvernance, appelle une vraie démarche de communs numériques à l’échelle européenne. C’est un des objectifs du « TechSprint EuroCommons » : créer des coalitions, mais aussi adresser la question de la gouvernance de ces communs.

Nous avons commencé à travailler sur ce sujet avec la Commission européenne, avec l’État français sur sa stratégie de communs numériques, et avec des véhicules à identifier pour accompagner cet effort. Nous avons par exemple initié une coopération avec l’Edic (European Digital Infrastructure Consortium), qui pilotera des communs numériques pour les États membres. Nous nous sommes également rapprochés de communautés et de fondations open source en France, en Allemagne et aux Pays-Bas, qui travaillent sur des sujets comme le cloud, la data, l’IA et les suites collaboratives. Notre approche est à la fois écosystémique et très attentive à la gouvernance, pour nous assurer que nous développons bien des communs numériques européens et non une simple utilisation tactique de solutions open source.

Mme Catherine Mayenobe. Je ne saurais dire s’il faut des financements publics, mais ce qui est sûr, c’est qu’il faut des financements. À la demande d’Olivier Sichel, nous allons étudier la possibilité de mettre en place un dispositif de garantie de prêts. Nous ne parlons pas de sommes colossales. Le chiffre d’environ 100 millions d’euros a été évoqué, ce qui permettrait déjà, à nos yeux, de construire un premier pan de ce mur d’autonomie stratégique. C’est donc à notre portée. L’objectif est de veiller à ce que ces solutions soient performantes pour les entreprises, car on ne peut pas imposer l’autonomie stratégique comme un objectif en soi. Les solutions doivent avant tout être performantes et compétitives, tout en servant les objectifs de souveraineté, d’éthique et de durabilité.

M. Patrick Laurens-Frings. Le constat que nous faisons est qu’il existe un vide de financement entre le besoin exprimé par de grands clients et leur capacité à passer commande pour de nouvelles fonctionnalités. Sur la base d’un accord entre clients, éditeurs et communautés open source, il faut amorcer le besoin de financement des acteurs de l’économie du logiciel libre pour leur permettre de financer quatre à six mois de développement, le temps que les commandes se concrétisent. Il s’agit d’initier la boucle de financement la plus efficace, qui est celle de la commande.

Cet écart de financement semble être de l’ordre de 100 millions d’euros. Ce chiffre n’est pas scientifique à ce stade, mais il est le fruit de premiers échanges. Il est sans commune mesure avec les investissements en dizaines ou centaines de milliards que l’on observe dans la technologie mondiale. Il s’agit d’un financement d’amorçage, et non d’un investissement dans les solutions elles-mêmes, lequel doit être porté par la commande privée. Nous imaginons que ce financement pourrait se mettre en place sur plusieurs années, le temps que le rôle de la commande privée puisse prendre le relais pour financer les évolutions.

Mme Cyrielle Chatelain, rapporteure. J’ai deux questions. Concernant l’indice de résilience, est-ce un tout nouveau référentiel ou s’appuie-t-il sur des référentiels existants ? Cela signifie-t-il que l’analyse des dépendances est une démarche nouvelle, ou était-ce un travail déjà mené auparavant ? Si c’est nouveau, pensez-vous qu’il faille aller jusqu’à une certification ?

Autre sujet : vous nous avez parlé des choix de Numspot. Les risques de dépendance sont multiples : il y a le risque juridique lié aux lois extraterritoriales, et le risque logiciel lié au kill switch. De ce que je comprends, Numspot est indépendant sur ces deux plans. D’autres offres, comme Bleu ou S3NS, reposent sur des technologies américaines. Pourriez-vous nous éclairer sur les différences entre Numspot et ces autres offres, et sur les avantages de chaque approche ?

M. Arnaud Martin. Sur l’IRN, certains de ses huit axes de restitution sont nouveaux, d’autres préexistaient. L’axe stratégique et géopolitique, qui inclut le risque de kill switch, est plutôt nouveau et a émergé de manière concomitante avec les récentes échéances électorales américaines. La notion de dépendance économique et juridique, bien que latente, est devenue plus exacerbée avec l’essor de certaines solutions, comme dans la virtualisation récemment.

En revanche, les axes de dépendance opérationnelle et de continuité d’activité existent depuis longtemps ; toutes les banques sont assujetties à des plans de poursuite d’activité. De même, la sécurité et la continuité, c’est-à-dire le volet cyber, sont des sujets qui montent en puissance mais qui existent depuis des décennies. L’axe environnemental est également émergent. Les axes technologiques, données, IA et chaîne d’approvisionnement (supply chain) existaient, mais prennent une importance croissante. Je pense notamment à la supply chain, sur laquelle Dora et Nis 2 mettent un accent particulier, car les dépendances et les attaques passent de plus en plus par ce biais.

La force de l’IRN réside dans cette conjonction d’axes nouveaux et anciens. Auparavant, les informations sur ces risques parvenaient souvent au niveau du DSI ou du directeur des risques, mais rarement jusqu’au comité exécutif. L’IRN permet de consolider cette information et de donner une vision à 360 degrés, dépassant les seuls sujets de cybersécurité ou de continuité d’activité.

M. Patrick Laurens-Frings. Concernant les dépendances technologiques des opérateurs de cloud, vous avez souligné le double besoin de sécurisation juridique et technologique. Des acteurs français répondent aux critères de sécurisation juridique. Du point de vue de la sécurité technologique, ce qui compte, c’est la maîtrise de l’actif technologique. Lorsqu’on s’appuie sur un actif non européen, la question est de savoir dans quelle mesure il peut être maîtrisé de bout en bout et dans la durée. Je ne peux répondre à la place des opérateurs concernés, mais la question de l’autonomie dans la maîtrise de l’évolution technologique de ces solutions se pose très clairement.

Mme Catherine Mayenobe. Sur ce point, l’un des axes d’analyse concerne les compétences. On sort de plusieurs décennies où les systèmes d’information ont été gérés sans que nous conservions les compétences pour les opérer ou les faire évoluer. C’est un réveil un peu brutal, mais opportun. Notre vision est que l’autonomie stratégique passe par notre capacité à opérer ces briques technologiques dans la durée et à savoir les faire évoluer. C’est cela, la véritable indépendance.

M. Arnaud Martin. Pour illustrer les différences entre les solutions, prenons la continuité d’activité. Avec une solution purement SaaS, une décision de l’éditeur de couper le service entraîne une rupture immédiate. Avec des infrastructures managées reposant sur des outils non souverains, l’opérateur pourra poursuivre le service un certain temps, jusqu’à ce que l’absence de patchs de sécurité ou d’évolutions rende la solution obsolète. À l’opposé, il y a la maîtrise complète des développements et de l’exploitation dans ses propres infrastructures, avec les compétences associées. On est vraiment sur des échelles de temps différentes, ce qui permet de percevoir les distinctions entre les solutions que vous avez citées.

M. le président Philippe Latombe. Des acteurs comme Orange et Capgemini, qui sont derrière l’offre Bleu, se sont lancés dans une course marketing à la souveraineté. Vous nous dites que c’est dans votre feuille de route, et nous voulons bien vous croire, mais d’autres le font aussi tout en vendant principalement des produits américains. Je pense à Capgemini, qui s’est fait une spécialité de l’implémentation de Salesforce sur Amazon Web Services (AWS), ou à Orange Business Services.

Comment peut-on vous différencier de ces opérateurs ? D’autres, comme Atos ou Sopra Steria, ne sont pas engagés avec la même force dans ce marketing de la souveraineté. Qu’est-ce qui permet aujourd’hui de distinguer les « bons » des « mauvais », les « vrais » des « faux » ? Comment nous, parlementaires, pouvons-nous faire la différence, d’autant que l’IRN n’est pas encore un instrument de mesure disponible ? Comment séparer le bon grain de l’ivraie ?

Votre approche avec Numspot et celle de Bleu sont totalement différentes. Comment peut-on se fier à la Caisse des dépôts et à ses filiales, alors que l’on observe par ailleurs des pratiques qui peuvent sembler contradictoires ? C’est une question particulière, mais je pense qu’il faut que nous abordions ce sujet.

M. Patrick Laurens-Frings. Un élément de réponse réside dans le rôle de place que nous essayons de jouer. La Caisse des dépôts est membre du Cesin et du Cigref. À l’occasion de la création du comité stratégique de filière (CSF) « Logiciels et solutions numériques de confiance », nous avons reçu un mandat du Cigref pour articuler la coordination entre ses membres et ceux du CSF. Nous avons des réunions régulières pour encourager l’arrimage entre l’offre et la demande.

Dans ce travail de place, nous nous sommes inscrits dès le début dans une logique de trajectoire. Nous avons promu ensemble l’adoption de l’IRN pour disposer d’éléments de mesure communs et de benchmarks. L’objectif est de pouvoir se comparer et, avec les membres du CSF, de travailler sur des feuilles de route pour une adoption volontariste de solutions françaises. Au sein du Cigref, nous assumons une « préférence européenne » au nom de la résilience numérique des entreprises.

Nous sommes confiants que dans ce travail de place, les différents acteurs pourront être évalués. Il nous est difficile de prendre parti, mais il est très important de poser un référentiel, une stratégie, et de faire en sorte que des coalitions utilisateurs-fournisseurs répondent aux enjeux de souveraineté mesurés par l’IRN. Nous ne sommes pas dans un acte de foi, mais dans la mesure par chaque entreprise de critères objectifs et dans la mise en œuvre de trajectoires de réduction de sa dépendance. C’est dans cette démarche que la Caisse des dépôts s’inscrit, en intervenant directement par l’investissement lorsque nous constatons des failles de marché, et en nous inscrivant, à travers Horizon Numérique 2030, dans des enjeux à l’échelle française et européenne.

Mme Catherine Mayenobe. Je répondrai en tant que consommatrice de solutions, et non productrice. En tant que magistrate à la Cour des comptes et cadre dirigeante, j’ai mené de nombreux programmes de cybersécurité, car c’est un risque majeur. Je me suis forgé des convictions, ce qui explique pourquoi la stratégie de la Caisse des dépôts est déjà assez robuste dans ce domaine. Nous adressons des sujets complexes comme les risques géostratégiques et nous demandons à nos équipes de les cartographier et de les maîtriser.

Aujourd’hui, le juge de paix doit être la conviction que nous, dirigeants, devons nous forger pour protéger nos modèles opérationnels et nos données. Le phénomène déclencheur qui rend tout cela beaucoup plus urgent est l’irruption de l’IA générative. Pourquoi le groupe Caisse des dépôts ne s’est-il pas soucié, jusqu’à récemment, de sa dépendance à Microsoft 365 ? Parce que nos données sensibles n’y étaient pas ; elles étaient dans nos applications sur site (on-premise), que nous savions protéger. Aujourd’hui, je ne sais plus comment gérer l’arrivée de dispositifs comme Copilot dans l’environnement de travail de mes collaborateurs, où je n’ai plus aucune garantie sur la traçabilité des données et les risques de fuite.

Il faut dire aux dirigeants, publics comme privés, qu’ils doivent se former, apprendre et devenir prescripteurs vis-à-vis de leurs équipes. Car, comme je l’ai dit, ce n’est pas la solution de facilité, et cela coûte aussi plus cher. Cet après-midi, je vais présider un comité d’engagement pour décider de déployer une solution souveraine – celle de Mistral AI – sur l’ensemble des postes de travail de la Caisse des dépôts. Je le fais parce que je veux être sûre qu’aucun collaborateur, pour rédiger un « prompt » ou faciliter son travail, n’enverra de données sensibles chez un opérateur non souverain. Je sais combien cela va me coûter, un peu plus cher que d’autres solutions. Mais je considère que ce surcoût en vaut la peine. Je vais renoncer à déployer Copilot. Je sais combien cela m’aurait coûté, et je serai tout à fait gagnante en ne le déployant pas et en déployant à la place une solution souveraine sur Numspot. Ce sont des choix d’entreprise. Il faut savoir pourquoi on les fait. À l’ère de l’intelligence artificielle, il nous paraît absolument clé de développer ces réflexions, en particulier pour toutes les données qui touchent à la sphère publique.

Mme Cyrielle Chatelain, rapporteure. Votre intervention a partiellement répondu à la question que j’envisageais de poser. Pourriez-vous cependant développer le sujet de l’IA que vous avez évoqué ? Un appel d’offres stratégique a été remporté par Computacenter et Sopra Steria pour le déploiement de l’IA générative. Je souhaiterais savoir s’il s’agit d’une IA qui sera développée spécifiquement pour vos besoins et fondée sur des technologies européennes, ou si l’on s’oriente plutôt vers une IA « sur étagère », c’est-à-dire une version de ChatGPT présentée sous un autre habillage.

M. Patrick Laurens-Frings. L’intelligence artificielle soulève un enjeu très fort et diffus autour des données. Plus encore que dans le monde pré-IA, la question de l’alimentation des modèles, de leur entraînement et de la manière dont les données, qu’elles soient passées en contexte ou qu’elles nourrissent l’IA, sont utilisées est particulièrement ardue à appréhender. La prudence est donc encore plus de mise qu’avec des technologies beaucoup plus intégrées et localisées. Par conséquent, le choix des solutions et des modes d’hébergement est absolument décisif.

Dans le cadre du cahier des charges de notre appel d’offres, nous avons été particulièrement attentifs à l’ensemble de la chaîne de valeur, et pas simplement à la solution d’IA elle-même. Nous avons exigé un catalogue proposant des solutions couplées à leur mode d’hébergement. Les soumissionnaires devaient donc fournir un catalogue mixte, avec des solutions déclinées sur différents modes d’hébergement, y compris des modes d’hébergement qualifiés SecNumCloud pour les données les plus sensibles. C’est un point absolument majeur qui garantit au groupe Caisse des dépôts – car, comme le disait Catherine Mayenobe, il s’agit d’un appel d’offres mené en groupement à l’échelle du groupe – de disposer d’un outil où le mode d’hébergement et la solution sont très étroitement liés, assurant ainsi une protection maximale des données. Le catalogue qui a été retenu dans le cadre de ce marché public contient 70 % de solutions souveraines.

Mme Catherine Mayenobe. Cela signifie que nous avons réussi à réaliser des économies d’échelle pour acheter y compris des solutions souveraines. Chaque entité le fera selon son appétit pour le risque et sa doctrine de protection des données, mais nous sommes absolument ravis des résultats de cette consultation. Ils démontrent qu’il est possible de concilier le choix et la protection, en laissant aux différentes entités la liberté de consommer en fonction de la sensibilité de leurs données. Notre conviction est que nous nous dirigeons tous vers des systèmes d’information hybrides. Cette hybridation en matière de recours à des solutions SaaS s’applique dans ces conditions et nous permettra de couvrir la dimension manquante de la protection de nos données, tout en utilisant l’IA. Sans cela, nous n’aurions pas pu nous inscrire dans cette dynamique.

Mme Cyrielle Chatelain, rapporteure. Je ne sais pas si vous avez le recul nécessaire, mais je comprends qu’il existe plusieurs offres, dont 70 % sont européennes et souveraines. A-t-on une idée de celles qui sont les plus plébiscitées ? Parmi les freins que nous avons évoqués, vous avez mentionné les solutions technologiques, qui existent, et les compétences, qui sont présentes. Un troisième frein souvent cité est la difficulté du changement et la résistance des habitudes. Il est vrai que, face à des marchés où certains opérateurs occupent une place structurante, le changement est parfois difficile. Constatez-vous que, malgré la disponibilité de ces offres souveraines, ce sont les 30 % d’offres non souveraines qui sont les plus utilisées ?

Par ailleurs, j’imagine que vos développements s’inscrivent dans le cadre des normes SecNumCloud et de la directive « cloud au centre ». Je préfère cependant poser la question pour que vous puissiez y répondre concrètement.

Mme Catherine Mayenobe. Oui, en termes de doctrine, nous nous inscrivons dans cette directive, ne serait-ce que parce que la Caisse des dépôts exerce des activités de mandat pour le compte de l’État ; nous nous sommes donc alignés sur la doctrine de l’État. De plus, comme j’espère vous l’avoir montré, cela correspond à nos convictions, ce qui est une heureuse coïncidence.

Nous n’avons pas encore de recul, car cet appel d’offres, dont je suis très fière, a été mené très rapidement : nous l’avons publié en novembre et attribué en février. Nous sommes satisfaits de constater que le catalogue contient les produits que nous souhaitons acheter. Nous sommes donc en avance de phase. Cet après-midi même, je présente en comité d’engagement le projet concernant les dix mille postes de travail de la Caisse des dépôts. Nous allons commencer et nous verrons dans la durée comment tout cela se régule.

Il était essentiel pour nous de démontrer que nous étions capables d’obtenir des conditions de mutualisation et d’achat de masse. C’est une condition nécessaire pour rendre accessibles les niveaux de sécurité les plus élevés et pour éviter un écart de coût trop important par rapport à des solutions qui continueront d’être utilisées, car, je le redis, tout ne nécessite pas d’être sécurisé dans les mêmes proportions. Je pense que cette démonstration méritait d’être faite et partagée avec vous. Elle signifie qu’il faut dire à toutes les entités soumises, comme nous, au code de la commande publique qu’il n’y a pas de fatalité. La démarche est parfois complexe, mais il est possible d’accéder à une pluralité de dispositifs dans de bonnes conditions économiques.

M. le président Philippe Latombe. Avant de redonner la parole à madame la rapporteure, j’aimerais aborder ce que l’on pourrait appeler l’éléphant dans la pièce, un sujet qui fait partie de votre activité mais que nous n’avons pas encore évoqué. Je pense notamment à Bpifrance, qui accompagne de nombreuses entreprises en phase d’amorçage. Bpifrance a, à une époque, passé un partenariat avec AWS, et les entreprises qui ont bien réussi, comme Alan ou Doctolib, sont quasiment toutes associées à Bpifrance.

On observe ici une contradiction avec la philosophie que vous avez décrite, qui consiste à lier les contrats d’IA à l’hébergement. Dans ces cas, la couche applicative est associée à un hébergement non souverain. Or, ces entités travaillent beaucoup avec le secteur public : Alan a remporté un contrat avec le ministère des finances, et Doctolib est en situation quasi monopolistique – ce n’est pas moi qui le dis, c’est l’Autorité de la concurrence, qui l’a sanctionné il y a quelques semaines – sur la prise de rendez-vous et participe à l’espace numérique de santé.

Comment la philosophie que vous avez inscrite dans votre ADN et votre feuille de route se décline-t-elle au sein de filiales comme Bpifrance ? Celles-ci sont en lien avec des entreprises qui, pour se développer, voient dans les partenaires comme AWS, Google ou Microsoft une possibilité d’amorçage via les crédits cloud, ce qui réduit d’autant le financement apporté par Bpifrance. Peut-on aujourd’hui modifier cet état de fait pour que la philosophie de la Caisse des dépôts s’étende jusqu’à sa filiale Bpifrance ?

Mme Catherine Mayenobe. Je ne sais pas s’il s’agit d’un éléphant dans la pièce, mais c’est en tout cas un des sujets qu’Olivier Sichel a bien l’intention de traiter. Il est porté par la doctrine que j’évoquais, qui traduit la volonté d’Olivier Sichel d’assurer une cohérence dans toute la stratégie du groupe, entre ce que nous finançons, la façon dont nous opérons et les services que nous consommons. Nous sommes au début de cette aventure ; Olivier Sichel a rendu publique sa feuille de route il y a quelques semaines, et je peux vous assurer de sa détermination à porter cette préoccupation dans notre rôle d’actionnaire. J’interviendrai dans les semaines qui viennent auprès de tous les administrateurs du groupe Caisse des dépôts, car c’est une orientation que nous devons défendre au sein des conseils d’administration. Nous la porterons avec le soutien très fort de notre commission de surveillance, dont je salue le rôle, et notamment celui de M. Le Fur, qui fut mon rapporteur lorsque j’ai présenté la feuille de route Horizon 2030 à cette commission. Cela relève de la politique de risque.

Oui, c’est un chemin sur lequel nous ne partons pas tous de la même ligne de départ, mais que nous aurons à cœur d’accompagner dans nos différentes dimensions de financeur, d’opérateur et de consommateur, car les problématiques ne sont pas tout à fait les mêmes.

Au bout du compte, et je reviens sur ce point, nous ne pouvons pas faire l’impasse sur la compétitivité des solutions qui répondent à nos critères d’autonomie stratégique. C’est un point nodal de la feuille de route de Numspot, car il serait illusoire de croire que les entreprises adopteraient des solutions non performantes qui freineraient leur agilité ou pénaliseraient leur compétitivité. Je pense qu’une direction politique aussi claire que celle portée par Olivier Sichel, réitérée et défendue dans les conseils d’administration, associée à une capacité à développer des solutions compétitives, est la voie que nous devons tracer. Toute autre solution me paraîtrait, à titre personnel, artificielle ou court-termiste. Je ne crois pas que nous puissions nous inscrire dans un chemin de compétitivité européenne ou globale si nous ne sommes pas capables d’exercer ce travail de conviction et d’atteindre cette performance.

Mme Cyrielle Chatelain, rapporteure. Pour terminer cette audition, je souhaitais vous entendre en tant qu’investisseur sur la situation économique globale, au travers de trois questions.

La première concerne le retour sur investissement de l’IA. Une étude du Massachusetts Institute of Technology (MIT) parue en janvier montre que si 90 % des organisations explorent le déploiement de l’IA générative et 40 % l’ont déjà fait, 95 % d’entre elles n’observent aucun retour sur investissement. Quelle est votre analyse de ce phénomène ? N’a-t-on pas tendance à confondre IA et IA générative et à ne pas poser la question des besoins réels, alors que des formes d’IA non génératives pourraient potentiellement mieux y répondre ?

La deuxième question porte sur l’impact de la bulle spéculative sur le hardware. On observe une bulle importante qui peut mettre en difficulté certaines structures, soit parce que les stocks ont été préachetés, soit parce que les prix sont devenus prohibitifs.

Enfin, ma troisième question concerne les départs d’entreprises vers les États-Unis, justifiés par l’insuffisance du marché européen des capitaux. Le cas le plus récent est celui de Criteo qui, après s’être implanté aux États-Unis dans les années 2010, annonce son départ via le Luxembourg. Ce manque de capitaux est-il la véritable raison, ou d’autres motivations pourraient-elles expliquer ce départ ?

M. Philippe Blanchot, directeur des relations institutionnelles, internationales et européennes. Ce manque de profondeur et cette fragmentation des marchés de capitaux en Europe commencent à être assez bien documentés, je pense notamment aux rapports de MM. Draghi et Noyer. Il nous est difficile d’estimer les pertes en actifs stratégiques. Vous avez cité Criteo, mais ce que nous constatons de façon empirique, c’est qu’au-delà de 100 millions d’euros, une entreprise ne trouve pas sur les marchés européens de quoi financer sa croissance.

Ce scale-up peut être compensé par des introductions en bourse (IPO), mais ce n’est pas une solution envisageable pour toutes les entreprises, qui n’ont pas toutes la maturité ou la solidité de gouvernance nécessaire. Pour vous répondre rapidement, cette fragmentation des marchés de capitaux, ce manque de profondeur et le fait que nous ayons autant de bourses que d’États membres nous semblent un véritable frein au développement des entreprises technologiques en Europe et à leur passage à l’échelle.

Mme Catherine Mayenobe. Je peux répondre sur la partie que je connais, notamment les centres de données. Un article très intéressant de Gilles Babinet a tenté de calculer, à l’échelle mondiale, le niveau de croissance que les économies occidentales devraient atteindre pour consommer toutes les capacités de calcul annoncées. Le compte n’y est pas. Ou alors, ce serait une excellente nouvelle pour la croissance, mais on voit bien que les chiffres ne correspondent pas. En tant que vice-présidente de RTE, je peux vous dire que, de mémoire, seulement 26 % de la capacité installée des centres de données existants est actuellement utilisée. On observe aujourd’hui une prévision de développement des capacités de calcul qui peut paraître très importante si l’on tente de la corréler aux outils de production. C’est un point d’attention pour RTE, qui doit gérer cet afflux de projets pour éviter que certains acteurs ne préemptent des capacités de raccordement sur des zones rares mais identifiées pour un raccordement à court terme. Plusieurs indicateurs nous montrent qu’il faudra être très prudent dans la manière dont ces investissements se dérouleront. Pour autant, nous savons que c’est aussi un facteur de compétitivité.

Concernant l’adoption de l’IA, je partage votre conviction, madame la rapporteure. Comme pour le cloud, les gens parlent de « l’IA » comme d’un bloc, alors que la réalité est plus complexe. On fait de l’IA depuis très longtemps. Dans une entité comme la Caisse des dépôts, la « bonne vieille » IA d’automatisation ou de prédiction est beaucoup plus génératrice de gains de productivité que les cas d’usage actuels de l’IA générative, où les gains sont souvent latents, diffus et plus difficiles à appréhender.

On a cependant l’impression d’être dans une phase où, après avoir mené de nombreuses preuves de concept (POC) et exploré dans toutes les directions, les entreprises commencent à avoir des convictions claires sur les activités qui peuvent bénéficier de l’IA. Toutefois, la mise en œuvre est beaucoup plus ardue qu’on ne l’imaginait. Les sondages montrent que les PDG repoussent les échéances des impacts de l’IA, car, en examinant l’état de leurs données, ils n’ont pas tous eu de bonnes surprises. Sans données de qualité, pas d’IA de qualité. Ce sont des investissements lourds mais absolument nécessaires.

De plus, intégrer l’IA dans les processus opérationnels, c’est-à-dire dans les systèmes d’information, est tout sauf trivial. Tant que ces processus ne sont pas automatisés, on ne peut en tirer de réels bénéfices ni passer à l’échelle. De ce côté-là non plus, les choses ne sont pas simples. Nous attendons ce que l’on appelle l’IA embarquée, qui viendra des éditeurs de logiciels, car nous ne voulons pas réinventer la roue avec des investissements non rentables. Or, si tous les éditeurs nous promettent l’arrivée imminente de l’IA, nous n’avons aujourd’hui aucune lisibilité sur leurs feuilles de route. Nous sommes donc dans un cycle d’investissement qui prend du temps.

Le dernier obstacle est la conduite du changement. L’IA peut être un sujet très anxiogène pour les collaborateurs. Cela nécessite beaucoup de pédagogie et de transparence. Au sein du groupe Caisse des dépôts, nous avons très tôt engagé la consultation de nos instances représentatives du personnel, car il faut assumer les conséquences de ce déploiement en termes de compétences. Nous travaillons par exemple avec la Human Technology Foundation, car nous sommes persuadés qu’il faut garder l’humain au centre de ces projets. Un énorme effort d’acculturation et de formation est nécessaire. Depuis deux ans, nous avons rendu obligatoires des formations pour que les collaborateurs sachent ce qu’est l’IA, ce qu’elle n’est pas, et apprennent à l’utiliser comme un outil qui les rend plus efficaces, et non qui prend leur place, ce qui n’est pas notre conviction.

M. le président Philippe Latombe. Je vous remercie pour cette audition et d’avoir proposé de venir. Je vous invite à suivre nos prochaines auditions. Si des sujets que nous n’avons pas abordés émergeaient, ou si vous souhaitiez compléter certains points, n’hésitez pas à nous adresser des contributions écrites.

M. Philippe Blanchot. Sur le sujet du financement, en effet, nous avons des réponses beaucoup plus longues que nous vous adresserons par écrit.

* *

Table ronde, ouverte à la presse, réunissant des associations sur le thème de la protection des données personnelles (mercredi 25 mars 2026)

La commission entend, lors de sa table ronde réunissant des associations sur le thème de la protection des données personnelles :

– La Quadrature du net : M. Bastien Le Querrec, juriste ;

– Amnesty International : Mme Katia Roux, chargée de plaidoyer ;

– Ligue des droits de l’homme : Mme Maryse Artiguelong, coresponsable du groupe de travail « Libertés et technologies de l’information et de la communication » et M. Pierrick Clément, avocat.

M. le président Philippe Latombe. Nous réunissons aujourd’hui, sous forme de table ronde, des associations particulièrement investies dans la protection des données personnelles. Notre commission examine les vulnérabilités de l’économie européenne, et française en particulier, liées à l’utilisation de solutions numériques extra-européennes. Selon vous, dans quelle mesure l’économie de la donnée mise en place par les grandes plateformes constitue-t-elle une menace pour la préservation de la confidentialité des utilisateurs ?

Je vous remercie, dans un premier temps, de nous déclarer tout autre intérêt public ou privé de nature à influencer vos déclarations. Auparavant, je vous rappelle que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter serment de dire la vérité, toute la vérité, rien que la vérité. Je vais donc vous inviter chacun à lever la main droite et à dire « Je le jure ».

(M. Bastien Le Querrec, Mme Katia Roux, Mme Maryse Artiguelong et M. Pierrick Clément prêtent serment.)

M. Bastien Le Querrec, juriste, La Quadrature du net. La Quadrature du Net est une association créée en 2008, initialement centrée sur les sujets de liberté sur internet, d’où notre nom. Au fil des années, nos activités ont évolué, et nous consacrons aujourd’hui une grande partie de notre travail à la surveillance par le numérique de manière générale et aux libertés à l’ère du numérique. La question des libertés sur internet conserve néanmoins une place très importante dans notre activité, et nous travaillons notamment sur la question des Big Tech. Il y a quelques années, j’aurais parlé des Gafam, l’acronyme pour Google, Apple, Facebook, Amazon, Microsoft. Aujourd’hui, force est de constater que cet acronyme n’est plus d’actualité puisque d’autres acteurs sont apparus, y compris des non américains. Nous préférons donc désormais le terme de Big Tech, qui est repris du terme utilisé dans le milieu anglo-saxon.

Dans mes propos liminaires, je souhaiterais mettre l’accent sur une dimension qui n’est peut-être pas suffisamment prise en considération lorsque l’on évoque la souveraineté, à savoir la souveraineté informationnelle. Si la notion de souveraineté financière ou politique est désormais bien identifiée, et si la question de l’utilisation de services en ligne, de solutions d’hébergement ou de logiciels entretenant un lien direct avec des pays étrangers est régulièrement soulevée, celle de la souveraineté informationnelle me paraît, pour sa part, devoir faire l’objet d’une attention particulière aujourd’hui. Il s’agit de s’interroger, indépendamment de l’origine ou du contrôle des capitaux, sur les effets produits en matière d’information et de représentation du réel par l’usage des outils numériques. Tel est notamment le cas des réseaux sociaux qui, à travers leurs mécanismes de hiérarchisation algorithmique des contenus, sont susceptibles de déformer la réalité ou de proposer une vision particulière de la société et du monde qui nous entoure. Cette problématique est particulièrement manifeste s’agissant de X, réseau social dont les dérives en matière de manipulation algorithmique sont désormais largement documentées, mais elle concerne, plus largement, l’ensemble des plateformes sociales commerciales.

Au sein de La Quadrature du Net, nous abordons avec une certaine réserve la notion même de souveraineté, dans la mesure où celle-ci ne saurait se réduire à une simple substitution de capitaux américains ou chinois par des capitaux européens ou français. C’est en réalité le modèle sous-jacent qu’il convient de repenser et cette refondation est essentielle, car, en définitive, les dispositifs de surveillance ou les atteintes aux libertés fondamentales produisent les mêmes effets pour les citoyens, qu’ils émanent d’États étrangers, de l’Union européenne ou de la France.

Le lien que j’établis avec la question des réseaux sociaux tient au fait qu’aujourd’hui, lorsqu’il s’agit de les réguler, la tendance consiste à vouloir faire émerger des géants du numérique européens ou français, sans pour autant interroger le modèle sous-jacent. Or parallèlement à la nécessaire réinvention de ce modèle, des évolutions législatives s’imposent également. Dans le questionnaire que vous nous avez adressé, vous avez notamment insisté sur l’omnibus numérique, réforme particulièrement préoccupante portée par la Commission, qui ne vise pas à promouvoir un modèle alternatif, à la différence de ce qu’avait pu représenter le règlement général sur la protection des données (RGPD). Lors de sa présentation, ce dernier avait suscité de vives critiques de la part des milieux économiques, qui y voyaient un texte susceptible d’entraver l’innovation et l’initiative économique en Europe, et force est de constater que ces craintes ne se sont pas confirmées. Néanmoins, le modèle qu’il incarnait tend aujourd’hui à être fragilisé par cet omnibus. À La Quadrature du Net, nous défendons au contraire l’idée d’un renforcement de l’application des règles. Dans son principe, le RGPD constitue un dispositif pertinent et, s’il était effectivement mis en œuvre, il serait de nature à remettre en cause l’hégémonie de certaines grandes entreprises technologiques, américaines mais aussi chinoises. Même si les sanctions prévues, pouvant atteindre 4 % du chiffre d’affaires mondial, sont en elles-mêmes dissuasives, le règlement souffre toutefois d’un défaut d’application. Il y a dix jours, la justice luxembourgeoise a ainsi annulé une sanction prononcée à l’encontre d’Amazon, qui avait été condamnée à plus de 740 millions d’euros pour non-respect du RGPD. Tout en reconnaissant les manquements de l’entreprise, la juridiction a estimé qu’un vice de procédure faisait obstacle à ce que cette amende soit directement infligée.

Nous sommes donc confrontés à une difficulté d’effectivité du RGPD. En 2018, La Quadrature du Net a engagé une série de plaintes sur le fondement du RGPD afin de mettre à l’épreuve le nouveau mécanisme des actions collectives, en réunissant 10 000 personnes. À ce jour, Microsoft a été condamné, et Amazon l’a également été, sous réserve de l’annulation intervenue devant la justice luxembourgeoise. Les autres plaintes demeurent toutefois sans suite, dans la mesure où elles ont été transmises à l’Irlande, où existe un problème structurel affectant l’autorité de protection des données.

Tout cela conduit à considérer que le modèle permettant d’atteindre une véritable souveraineté informationnelle ne saurait reposer sur un affaiblissement des protections juridiques. Il suppose, au contraire, non seulement un renforcement de l’effectivité du droit existant, mais également une remise en question du modèle économique des plateformes. Aujourd’hui, dès lors que l’on aborde la question des réseaux sociaux, on constate que les algorithmes de mise en avant des contenus posent un problème. Cette réalité n’est pas nouvelle, puisqu’il est solidement établi depuis plusieurs années que les réseaux sociaux ont un intérêt économique à promouvoir des contenus problématiques, qu’il s’agisse de contenus haineux, sans être nécessairement illégaux, de contenus violents ou encore de contenus suscitant de fortes réactions. En effet, plus les internautes réagissent, plus ils demeurent sur la plateforme, continuent d’être exposés à de la publicité ciblée et contribuent ainsi à l’augmentation des revenus de ces acteurs. Ces mécanismes de hiérarchisation algorithmique se trouvent donc au cœur des difficultés posées par les réseaux sociaux commerciaux.

Une alternative existe toutefois, qui mériterait d’être encouragée, notamment par le droit : l’interopérabilité des réseaux sociaux. Elle consiste à mettre fin au monopole exercé par les plateformes commerciales sur leurs communautés, afin d’en restituer le contrôle aux utilisateurs eux-mêmes. En effet, lorsqu’un utilisateur envisage de quitter X ou Meta, il est souvent dissuadé par la perspective de perdre l’accès à ses contacts. On ne saurait reprocher à une étudiante arrivant dans une nouvelle ville de rejoindre un groupe WhatsApp regroupant les étudiants locaux, ni à des militants de se tourner vers Facebook en raison des communautés qui s’y sont constituées. Cet effet de réseau incite les individus à rester sur ces plateformes, en dépit des difficultés bien connues liées à leurs algorithmes, et c’est précisément à ce stade que l’interopérabilité trouve toute sa pertinence. À l’instar des courriels, où il est possible de disposer d’une adresse en @assemblee-nationale.fr et d’échanger avec des utilisateurs de Gmail grâce à des protocoles techniques communs, une telle interopérabilité pourrait être envisagée pour les réseaux sociaux. Or elle demeure aujourd’hui inexistante car les Big Tech, en particulier américaines, n’ont aucun intérêt commercial à la mettre en œuvre, dans la mesure où le contrôle de ces communautés constitue la principale source de valeur pour leurs véritables clients, à savoir les annonceurs, et non les utilisateurs.

C’est la raison pour laquelle l’interopérabilité des réseaux sociaux, un temps envisagée dans le cadre du règlement sur les services numériques (Digital Services Act, DSA) et du règlement sur les marchés numériques (Digital Markets Act, DMA) avant d’être écartée de la version finale de ces textes, nous paraît constituer le modèle à réinventer. En offrant aux utilisateurs la possibilité de quitter les réseaux sociaux commerciaux, elle leur permettrait en effet de se tourner vers des alternatives européennes et françaises qui, surtout, proposeraient un modèle renouvelé. Il existe d’ores et déjà un écosystème du Fediverse, au sein duquel s’inscrit notamment le réseau social Mastodon. Les plateformes interopérables actuellement disponibles reposent sur un modèle qui ne privilégie pas la mise en avant algorithmique des contenus dans la mesure où leurs intérêts économiques diffèrent, les utilisateurs évoluant sur des services qui ne recourent pas au ciblage publicitaire et ne promeuvent pas de contenus pour des motifs économiques ou idéologiques.

Ce modèle apparaît, à nos yeux, comme une voie pertinente pour atteindre la souveraineté informationnelle. En face, se conjuguent non seulement des intérêts économiques incitant à promouvoir certains contenus afin d’accroître la rentabilité des plateformes, mais également des enjeux diplomatiques et de représentation du réel. Il n’est pas nécessaire de rappeler que le réseau X fait actuellement l’objet d’une enquête en raison de la mise en avant algorithmique de contenus d’extrême droite. Nous ne sommes donc plus uniquement confrontés à des logiques économiques, mais bien à des stratégies relevant du champ diplomatique et du soft power. C’est dans ce contexte que doit s’inventer un nouveau modèle informationnel, fondé notamment sur l’interopérabilité des réseaux sociaux, qui doit être soutenue par le droit, car les plateformes commerciales ne l’adopteront pas de leur plein gré.

Mme Katia Roux, chargée de plaidoyer, Amnesty International. Dans ce propos liminaire et au nom d’Amnesty International France, je poserai d’abord quelques constats assez connus aujourd’hui, avant de dire quelques mots de l’omnibus numérique.

Le premier constat, bien connu, est qu’une poignée d’entreprises de la tech, essentiellement américaines mais pas uniquement, exerce une influence extraordinaire sur les infrastructures, les services et les normes qui façonnent notre vie en ligne. Ce pouvoir, qui reste largement incontrôlé dans divers secteurs du numérique, fait peser de graves risques pour les droits humains, qui constituent le référentiel d’Amnesty International. Je pense notamment au droit à la vie privée, à la liberté d’opinion, au droit à la non-discrimination ou encore à l’accès à l’information, comme cela a déjà été évoqué. Le deuxième constat est que, dans certains pays, ces plateformes numériques ont un monopole tel et sont si ancrées dans la vie quotidienne que la participation à la société dépend en réalité de l’accès à leurs services. Cela leur confère un pouvoir énorme pour à la fois influencer le discours public et contrôler les flux d’information.

Depuis plusieurs années, Amnesty International conduit des travaux de recherche consacrés à l’impact du fonctionnement des grandes plateformes numériques sur les droits humains, en particulier s’agissant des réseaux sociaux. Dès 2018, une première étude a été menée sur Twitter, devenu depuis X, portant notamment sur les attaques en ligne visant les femmes. Par la suite, une analyse a été consacrée au modèle économique de Google et de Facebook, fondé sur la surveillance et la collecte massive de données personnelles. L’organisation a ensuite approfondi ses recherches dans des contextes spécifiques, notamment en lien avec des situations de violence ethnique. À ce titre, des travaux ont été réalisés sur le rôle de Facebook dans les atrocités commises à l’encontre des Rohingyas au Myanmar, ainsi que contre la population tigréenne en Éthiopie. Parallèlement, des analyses ont porté sur X et la diffusion de contenus haineux, qu’il s’agisse de propos dirigés contre la communauté LGBTI en Pologne ou de discours racistes au Royaume-Uni. Plus récemment, Amnesty International s’est intéressée au modèle économique de TikTok et à ses effets sur la santé mentale des jeunes, notamment en France, dans le cadre d’une recherche publiée à la fin de l’année dernière.

L’ensemble de ces recherches met en évidence l’existence d’un modèle économique commun, fondé sur un profilage intrusif, une collecte massive de données personnelles et le recours à la publicité ciblée, qui constitue le moteur du fonctionnement de ces plateformes. Ce schéma se retrouve de manière constante puisque les plateformes cherchent en permanence à accroître la quantité de données collectées afin d’élaborer des profils toujours plus précis, destinés à être commercialisés auprès des annonceurs, tandis qu’elles recourent, dans le même temps, à des algorithmes sophistiqués pour déduire des centres d’intérêt, voire des indicateurs de bien-être, comme c’est le cas de TikTok. L’objectif poursuivi consiste à personnaliser les contenus, à maintenir les utilisateurs en ligne le plus longtemps possible et à remporter cette guerre de l’attention, souvent au détriment des droits humains. Je serai naturellement en mesure de répondre à vos questions concernant la méthodologie et les conclusions de ces enquêtes, en particulier celle consacrée à TikTok, dans le cadre de laquelle nous avons déposé plainte pour manquement aux articles 34 et 35 du DSA, relatifs à la prise en compte des risques systémiques et à l’adoption de mesures destinées à y répondre. Très récemment, la Commission européenne, dans ses conclusions préliminaires, a d’ailleurs confirmé notre analyse en constatant également des manquements de la part de TikTok au regard du DSA, s’agissant notamment de la dimension addictive de sa conception et de ses choix de design.

J’en viens à mon deuxième point, relatif à l’omnibus numérique, qui suscite également de vives inquiétudes au sein d’Amnesty International. Au regard des menaces que font peser ces plateformes sur les droits humains, les réglementations adoptées à l’échelle de l’Union européenne, bien qu’imparfaites, constituent à ce jour les meilleures garanties dont nous disposons. Même si nous avons, à plusieurs reprises, mis en évidence certaines lacunes du DSA ou du règlement sur l’intelligence artificielle, l’AI Act, en matière de protection des droits fondamentaux, ces textes demeurent néanmoins des instruments essentiels pour la défense des droits humains en ligne. Or ces protections se trouvent aujourd’hui fragilisées par le train de mesures de l’omnibus numérique, dont la mise en œuvre pourrait ouvrir la voie à des pratiques de surveillance illégale et à des formes de profilage discriminatoire, notamment dans les domaines de la protection sociale ou du maintien de l’ordre, tout en privant les individus de leur droit à contrôler leurs données ou à s’opposer à des décisions automatisées. À terme, si le DSA devait être concerné, notamment dans le cadre du Digital Fairness Act, cela pourrait conduire à sa révision et favoriser, de ce fait, la diffusion de contenus problématiques en ligne, ce qui suscite une vive inquiétude. Certaines de ces législations ne sont pas encore pleinement mises en œuvre (je pense en particulier à certaines dispositions de l’AI Act), mais l’Union européenne semble d’ores et déjà orienter l’équilibre en faveur des entreprises plutôt que de la protection des personnes. Une telle évolution reviendrait, à nos yeux, à céder aux intérêts des grandes entreprises technologiques, guidées par des logiques de profit qui s’exercent fréquemment au détriment des droits humains.

Je souhaite enfin évoquer le Digital Fitness Check, qui appelle également notre vigilance. Si son périmètre et sa portée demeurent encore incertains, le fait que le DSA ou le DMA puissent être concernés par cette procédure serait de nature à affaiblir les protections indispensables à la garantie d’un environnement numérique sûr et respectueux des droits.

En conclusion, si l’Union européenne entend véritablement assurer une mise en œuvre cohérente et efficace de ses réglementations numériques, elle doit en renforcer l’ambition et en garantir une application stricte et effective, plutôt que de les affaiblir, comme semble l’indiquer la trajectoire actuelle. Ces cadres juridiques ne sont certes pas exempts d’imperfections, mais ils constituent néanmoins les meilleures protections dont nous disposons aujourd’hui pour la défense des utilisateurs en ligne.

Mme Maryse Artiguelong, Ligue des droits de l’homme. Je ne sais pas si vous en avez eu connaissance mais la Ligue des droits de l’homme avait, en 2018, à la veille d’un Conseil européen du numérique, adressé au président de la République un courrier l’invitant à œuvrer en faveur de l’instauration d’une véritable souveraineté numérique européenne. La réponse qui nous avait été apportée mettait en avant le RGPD, en soutenant que la pénalité pouvant atteindre 4 % du chiffre d’affaires mondial permettrait de résoudre l’ensemble des difficultés.

Sans revenir sur la question des plateformes, je me limiterai à remonter dans le temps jusqu’à 2021. À cette période, à la suite de la crise sanitaire du covid et dans le cadre de la politique vaccinale, nous avons contesté le recours à Doctolib ou, plus précisément la décision du ministre de la santé de lui confier la gestion des prises de rendez-vous. Nous estimions en effet qu’il existait un risque pour les données personnelles, y compris des données sensibles de santé, dans la mesure où Doctolib recourt à Amazon Web Services pour leur hébergement. Bien que l’entreprise ait affirmé que cet hébergement était localisé en Europe, nous faisions valoir que le Privacy Shield n’assurait pas une protection suffisante des données des patients. Bien que le Conseil d’État ne nous ait pas donné raison, Doctolib a depuis considérablement évolué, collectant un volume important de données de santé et proposant de nombreux services, touchant environ 50 millions de Français, les données demeurant hébergées par Amazon Web Services.

En décembre 2021, nous avons saisi le tribunal administratif de Nancy afin de contester l’utilisation de Teams par un centre hospitalier régional, au motif que cet outil, fourni par Microsoft, était susceptible de mettre en péril les données des patients. Bien que le tribunal ne nous ait pas suivis, le centre hospitalier a finalement décidé de renoncer à l’usage de Teams, ce qui constitue, à nos yeux, un motif de satisfaction.

En juin 2023, nous avons également contesté l’hébergement du Health Data Hub par Microsoft. Sans revenir en détail sur ces procédures, qui n’ont pas abouti, j’ai pris connaissance de l’audition de M. Vilbœuf devant votre commission, au cours de laquelle il a reconnu l’existence d’un risque d’accès par une autorité étrangère aux données contenues dans cette plateforme. Nous avons par ailleurs introduit un recours devant le Conseil d’État concernant le projet Darwin, qui devrait toutefois devenir sans objet dans la mesure où il est associé au Health Data Hub, dont la migration vers des entreprises françaises a été actée, ce qui nous apporte un certain apaisement.

Au-delà de ces cas, nous avons régulièrement critiqué les choix opérés par les gouvernements successifs, qu’il s’agisse du recours à Microsoft pour l’éducation nationale, à Palantir pour la DGSI ou encore à Starlink par Air France pour l’accès au wifi à bord, alors même qu’Eutelsat serait en mesure de fournir des services équivalents. Ces orientations nous paraissent à la fois regrettables et porteuses de risques. Nous avons également observé que, lorsque des outils sont développés en France, comme Tchap destiné à remplacer WhatsApp au sein des administrations, il s’avère particulièrement difficile de modifier les usages. De même, un outil tel que Visio, conçu pour se substituer à Zoom, ne semble pas être utilisé à la hauteur de ses capacités.

On peut également évoquer l’usage répandu de messageries telles que Gmail ou Microsoft, très largement utilisées en France. Plus de 5 000 communes françaises disposent ainsi d’adresses électroniques Microsoft, alors même que les risques associés ont déjà été exposés par mes collègues. Le fait que des personnalités telles que le président de la Cour pénale internationale ou un magistrat français de cette juridiction puissent se voir couper l’accès à leur messagerie illustre, me semble-t-il, l’ampleur des enjeux et la nécessité d’agir.

Je souhaiterais enfin m’associer pleinement aux propos tenus par M. David Chavalarias. La Ligue des droits de l’homme partage entièrement ses analyses, notamment s’agissant de X et de l’influence des réseaux sociaux sur la formation des opinions, sujet qui a été rappelé au cours de cette audition.

Pour conclure, compte tenu des actions menées par MM. Trump et Poutine et de leur influence sur l’Union européenne, il me paraît nécessaire de s’appuyer plus fréquemment sur le Conseil de l’Europe car, bien qu’il ne dispose pas de la même portée que l’Union européenne, le recours à la Convention 108, qui a valeur de traité, constituerait un levier utile.

M. Pierrick Clément, avocat, Ligue des droits de l’homme. La Ligue des droits de l’homme aimerait rappeler, puisque nous parlons de vulnérabilité, que cette dernière passe aussi par les atteintes et les influences sur les textes qui protègent nos valeurs. Vous nous avez posé des questions écrites sur l’omnibus, et il est pertinent de revenir sur le contexte dans lequel ce texte a été proposé.

Premièrement, ce projet répond à la crainte d’une surrèglementation européenne susceptible d’entraver l’innovation et la compétitivité. Le rapport sous-jacent ne remet pas en cause la réglementation en tant que telle, mais cible des points précis, parmi lesquels la surtransposition par les États membres, l’impact jugé disproportionné sur les PME et, surtout, la fréquence des modifications législatives. Sur ce dernier aspect, il faut souligner que la révision d’ensemble de la législation européenne (à travers pas moins de sept omnibus) produit un effet contre-productif et engendre une insécurité juridique préoccupante. À cet égard, la modification de l’AI Act, alors même que celui-ci n’est pas encore pleinement entré en vigueur, apparaît particulièrement révélatrice.

S’agissant de la souveraineté, la proposition d’omnibus procède également, et de manière significative, de pressions extérieures, au premier rang desquelles celles émanant des États-Unis. L’administration Trump considérait en effet que ces textes visaient de manière injustifiée ses entreprises, en raison de leur prétendue portée extraterritoriale et de leur caractère supposément censorial. Or l’application de la réglementation européenne ne saurait être assimilée à une forme de censure, puisqu’elle participe de la lutte contre les discours de haine, les discriminations et les violences numériques. Ainsi, interdire à une intelligence artificielle conversationnelle de tenir des propos négationnistes (comme cela a été le cas de Grok, ce qui a conduit la Ligue des droits de l’homme à déposer plainte) relève non pas de la censure, mais de la protection des droits fondamentaux. Par ailleurs, l’application de cette réglementation ne présente pas de caractère extraterritorial, dans la mesure où elle concerne des entreprises opérant sur le territoire européen ou s’adressant à des citoyens européens.

Ces critiques américaines, que nous estimons infondées, ne se limitent pas aux textes eux-mêmes, mais visent également des personnes. Si la figure de Thierry Breton a été largement évoquée, il convient de rappeler que quatre défenseurs et défenseuses des droits humains sont également concernés : Imran Ahmed, Clare Melford, Anna-Lena von Hodenberg et Josephine Ballon.

Ce contexte d’influence doit également être appréhendé à l’aune du rôle des lobbys américains à Bruxelles. Les 700 organisations représentant le secteur du numérique qui y sont enregistrées ont consacré 113 millions d’euros à leurs activités en 2023, et les projections pour 2025 s’élèvent à 150 millions d’euros. Parmi les principaux contributeurs figurent les entreprises américaines Meta, Microsoft, Amazon, Google qui, à elles seules, ont dépensé plus que les dix premières entreprises des secteurs pharmaceutique, financier et automobile réunies. Meta, à elle seule, a augmenté ses dépenses de plus de 10 millions d’euros pour 2025. Or cette influence se répercute inévitablement sur le contenu des textes. Les ONG LobbyControl et Corporate Europe Observatory ont ainsi recensé un certain nombre de modifications proposées par les lobbys américains et directement reprises dans l’omnibus numérique : la redéfinition de la notion de données personnelles est portée par Microsoft, la limitation du droit d’accès aux données est issue de Google, l’utilisation des données personnelles à des fins d’entraînement des systèmes d’intelligence artificielle est soutenue par Meta, Google et X tandis que l’affaiblissement du principe human in the loop résulte d’une action conjointe de plusieurs acteurs.

Ces lobbys entretiennent, en outre, des relations de plus en plus étroites avec certains eurodéputés d’extrême droite, le cordon sanitaire qui prévalait à Bruxelles tendant ainsi à disparaître. Meta a notamment rencontré à plus de 38 reprises des membres des groupes ECR et l’Europe des nations souveraines, au sein desquels siègent notamment les eurodéputés allemands de l’AfD, publiquement soutenus par M. Trump. C’est dans ce contexte que la proposition d’omnibus a émergé. L’offensive dirigée contre les textes européens constitue, en réalité, une remise en cause des valeurs que nous défendons depuis des années, à savoir la protection des données personnelles et la lutte contre les discriminations.

L’Union européenne et la France exercent également une forme de puissance à travers les valeurs qu’elles portent et diffusent à l’échelle internationale. Cet « effet Bruxelles », désormais bien identifié, participe de la puissance normative de l’Union et de la France, dans la mesure où les standards qu’elles élaborent, notamment en matière de protection des libertés fondamentales, influencent les législations de nombreux États tiers. Le RGPD en constitue une illustration particulièrement marquante. À l’inverse, simplifier les textes en les dérégulant revient à affaiblir cette capacité d’influence normative.

La notion même de simplification apparaît, à cet égard, trompeuse et doit être qualifiée pour ce qu’elle est réellement, à savoir une démarche de dérégulation. La simplification, en tant que mécanisme juridique, consiste à faciliter l’application des normes par une clarification des définitions, une harmonisation des procédures ou une réduction des redondances. En revanche, redéfinir des concepts juridiques et étendre les dérogations aux garanties fondamentales ne relève pas de la simplification, mais bien d’un choix de dérégulation, qui traduit une décision politique. Les modifications introduites par l’omnibus numérique traduisent ainsi des arbitrages quant au niveau acceptable d’atteinte aux droits fondamentaux. Elles portent sur des données personnelles particulièrement sensibles, relatives notamment aux opinions politiques, aux convictions religieuses ou à l’orientation sexuelle, et concernent des systèmes d’intelligence artificielle appelés à être déployés dans des domaines aussi essentiels que la justice, la police, l’éducation ou encore le travail.

Je conclurai en indiquant que nous nous tenons à votre disposition pour revenir plus en détail sur les évolutions qui, à nos yeux comme à ceux d’organisations spécialisées telles que le réseau EDRi (European Digital Rights) ou Noyb, ainsi que des autorités administratives indépendantes comme le Comité européen de la protection des données (CEPD), soulèvent des difficultés particulières. Parmi les points les plus préoccupants figurent l’exclusion des données pseudonymisées du champ des données personnelles, l’autorisation du traitement de ces données par des systèmes d’intelligence artificielle, l’élargissement des dérogations en matière de recherche scientifique, la facilitation du recours à des décisions automatisées et, en particulier, la restriction du droit d’accès consacré par le RGPD.

M. le président Philippe Latombe. Ma première question prolonge vos développements sur l’interopérabilité : comment appréciez-vous la création du consortium européen pour une infrastructure numérique (Edic) ainsi que la notion de « communs numériques » ? Ces instruments pourraient-ils constituer l’une des voies de solution et, dans cette perspective, la France, qui a pris part à la création de l’Edic, devrait-elle s’engager plus résolument encore dans cette direction, à l’instar de l’Allemagne tout récemment ?

Ma deuxième question, qui fait suite aux différentes procédures engagées, s’adresse à l’ensemble des intervenants. Constatez-vous, de la part de la Commission européenne, une forme de tropisme dans l’application du DSA et du DMA, se traduisant par un traitement différencié entre les procédures visant des entreprises d’origine chinoise et celles concernant des entreprises américaines ? Certaines procédures dirigées contre des entreprises américaines ont été abandonnées tandis que, comme vous l’avez indiqué, madame Roux, celles que vous avez engagées contre TikTok semblent, pour leur part, progresser, selon des rythmes d’avancement distincts. Maître Clément, s’agissant plus particulièrement de la question du lobbying, avez-vous le sentiment que, sur le terrain de l’applicabilité des textes, celui-ci conduit à une différence de traitement selon la nationalité des entreprises en cause ?

M. Bastien Le Querrec. Je commencerai par répondre à votre question relative à l’interopérabilité. Lorsqu’il est question de souveraineté numérique, l’enjeu premier réside dans la maîtrise de l’ensemble de la chaîne, depuis l’infrastructure et le logiciel jusqu’au cheminement du paquet internet, depuis son émission jusqu’à sa réception par l’administration ou les entreprises. Dès lors que des intermédiaires, qu’ils soient extraterritoriaux ou nationaux, exercent un contrôle sur cette chaîne, une difficulté se pose. C’est précisément dans ce cadre que la question des communs numériques, ainsi que les initiatives visant à reprendre la maîtrise des infrastructures, revêtent une importance particulière. À cet égard, l’Éducation nationale en France mène un travail significatif avec Apps.education, ensemble de logiciels mis à disposition de ses agents. Elle veille non seulement à maîtriser le code source, en privilégiant le recours au logiciel libre, mais également l’infrastructure et les modalités d’hébergement. Ce type d’initiative mérite d’être développé et soutenu afin de devenir la norme, même s’il convient de relever que l’existence d’un contrat avec Microsoft, déjà évoqué, entre en tension avec cet objectif de souveraineté.

Appliquée aux réseaux sociaux, l’interopérabilité repose aujourd’hui sur un modèle encore très marginal. Certaines administrations, aussi bien européennes que françaises, ont fait le choix de recourir à des réseaux sociaux interopérables, sur lesquels elles conservent la maîtrise de leur infrastructure. L’intégration à de tels réseaux permet de créer ce que l’on appelle une instance, c’est-à-dire une entité autonome interconnectée avec d’autres instances pour former un ensemble cohérent. Il n’est pas nécessaire, pour l’État, d’assurer lui-même l’hébergement intégral de ces infrastructures puisqu’il peut également s’appuyer sur des initiatives, souvent portées par des structures associatives ou à but non lucratif, dont l’objectif n’est pas la recherche de profit. Si l’engagement de l’État peut naturellement contribuer au développement de ces infrastructures, il ne constitue pas une condition préalable à leur émergence. À titre d’exemple, en France, la bibliothèque universitaire de Nanterre, La Contemporaine, dispose d’un compte sur Mastodon, reposant sur l’instance du développeur initial du logiciel. Il serait souhaitable que l’État soutienne davantage ce type d’initiatives en mettant à disposition des infrastructures adaptées, même si une telle intervention n’est pas indispensable pour engager une première dynamique.

En l’état, l’interopérabilité des réseaux sociaux repose essentiellement sur la volonté des administrations et des acteurs qui contribuent à la construction de ces infrastructures. Il n’existe pas, à ce jour, de dispositif équivalent à l’Edic permettant d’accompagner ce mouvement vers une souveraineté informationnelle, par exemple en mettant fin à l’usage de réseaux comme X pour des communications diplomatiques. Il est à cet égard regrettable que la France continue d’y recourir, certaines annonces diplomatiques y étant même diffusées en priorité. Le risque n’est pas théorique puisque, dans l’hypothèse où le gouvernement américain demanderait à X de suspendre les comptes du ministère des affaires étrangères français, une telle situation pourrait se produire. À ce stade, aucune initiative structurée ne vise à accompagner les administrations dans une migration vers des solutions alternatives. Sans même évoquer une évolution législative imposant l’interopérabilité des réseaux sociaux, il conviendrait au moins de donner l’exemple. Nous en sommes encore éloignés car, même si des initiatives existent, elles demeurent ponctuelles et gagneraient à être soutenues et amplifiées.

Mme Katia Roux. S’agissant de la question d’un éventuel tropisme ou d’un traitement différencié à l’égard des entreprises américaines ou chinoises, Amnesty International n’a pas spécifiquement documenté cet aspect mais il demeure indéniable, comme en attestent les chiffres évoqués, qu’un lobby particulièrement puissant des entreprises américaines est à l’œuvre.

Il convient, à cet égard, d’apporter quelques précisions sur la plainte que nous avons introduite contre TikTok dans le cadre du DSA, dont le traitement a été particulièrement long. En réalité, la Commission européenne avait ouvert une enquête depuis un certain temps déjà et, constatant que celle-ci n’avançait pas à un rythme que nous jugions satisfaisant, nous avons décidé d’apporter des éléments de preuve complémentaires. Notre organisation avait en effet conduit, dès 2023 au niveau international, une première enquête sur TikTok, peu après l’entrée en vigueur du DSA pour les très grandes plateformes. L’année suivante, nous avons engagé une recherche spécifiquement centrée sur la France, dès lors que ce règlement est censé y produire pleinement ses effets, ce qui nous a conduits à constater que, malgré les mesures annoncées par l’entreprise, des contenus problématiques continuaient d’être promus. C’est dans ce contexte que nous avons saisi, à la fin de l’année dernière, le mécanisme de plainte prévu par le DSA, en rappelant qu’une enquête était en cours depuis près de deux ans et que nous en attendions toujours les conclusions. Il a toutefois fallu attendre le mois de février de cette année pour que soient publiées les premières conclusions préliminaires, qui ne portent que sur une partie de l’enquête, à savoir la question de la conception addictive et qui, comme je l’indiquais, convergent avec les éléments de preuve issus de notre propre enquête.

Nous constatons donc, sans pouvoir apprécier s’il existe une différence de traitement, que les procédures se caractérisent par leur lenteur et leur longueur, ce qui n’est pas sans conséquence pour les personnes concernées, notamment lorsqu’il s’agit de familles ayant été confrontées à des drames, la propagation de la haine en ligne étant susceptible d’avoir des effets particulièrement graves dans la vie réelle. Or, alors même que les preuves sont largement documentées et qu’il ne nous a fallu que quelques semaines pour conduire une enquête technique et produire des éléments probants, bien que cela suppose des moyens, une équipe de la Commission est spécifiquement chargée d’enquêter sur TikTok si bien que, même s’agissant de cette entreprise chinoise, la procédure a pris du temps et demeure, à ce jour, inachevée.

Les nombreuses autres procédures engagées dans le cadre du DSA, notamment à l’encontre d’entreprises américaines, se révèlent elles aussi particulièrement longues. Ainsi, conjugués à cette dynamique de dérégulation (car l’omnibus représente bien, comme cela a été indiqué, une démarche de dérégulation et non de simplification), ces délais procéduraux suscitent une vive inquiétude. Une telle situation n’envoie pas un signal positif de nature à inciter ces entreprises à davantage de responsabilité, mais tend plutôt à leur laisser un champ d’action élargi. Dès lors, sans pouvoir me prononcer sur l’existence d’un éventuel tropisme, je peux néanmoins préciser que la procédure engagée à l’encontre de TikTok n’a été ni automatique ni rapide, en tout cas pas à la hauteur de ce que nous estimions nécessaire.

M. Pierrick Clément. La LDH ne dispose pas non plus d’éléments particuliers permettant d’établir une distinction opérée par la Commission européenne selon le pays d’origine des entreprises, d’autant que la plupart de ces sanctions font l’objet de procédures juridictionnelles et que nous continuons, sur ces questions, à faire confiance à la Cour de justice de l’Union européenne.

On peut toutefois regretter que l’évolution rapide de la situation aux États-Unis, et notamment ce glissement vers une forme d’autoritarisme, ne soit peut-être pas davantage prise en compte par la Cour de justice. La décision rendue en 2025 dans l’arrêt Latombe, relative à l’autorisation de transférer des données vers les États-Unis, en offre une illustration. Le RGPD impose que les pays tiers présentent des garanties « adéquates ». Or le Tribunal de l’Union européenne a considéré, dans cette affaire, que les garanties apportées par les États-Unis répondaient à cette exigence. Nous émettons de sérieux doutes sur cette appréciation, au regard de la situation actuelle de l’administration américaine.

En effet, le Data Protection Review Court, censé constituer un organe indépendant et impartial chargé d’assurer la protection des données, voit ses membres nommés par un autre organe, le Privacy and Civil Liberties Oversight Board. Or trois membres démocrates de cet organe ont été poussés à la démission par Donald Trump. Dans ces conditions, on peut s’interroger sur l’existence réelle d’une instance indépendante garantissant la protection des données personnelles aux États-Unis et, par conséquent, sur la possibilité, pour les Européens, de transférer leurs données vers ce pays. L’évolution rapide et préoccupante de la situation américaine devrait donc, à mon sens, être mieux prise en compte par la Commission comme par la Cour de justice.

M. le président Philippe Latombe. Ce n’est pas moi qui vais vous contredire sur la dernière partie de votre propos, et nous en parlerons d’ailleurs devant la Cour de justice de l’Union dans quelques semaines.

Mme Cyrielle Chatelain, rapporteure de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Ma première question porte sur le modèle économique, que vous avez beaucoup mentionné. Pourriez-vous, avec des exemples précis, clarifier ce mécanisme ? Comment nos données sont-elles à la base de ce modèle et en quoi la modification des algorithmes le sert-elle ?

Il me semble par ailleurs, au vu de vos interventions, que ce modèle économique fonctionne en contradiction avérée avec la réglementation européenne. Les procédures sont longues et les condamnations n’aboutissent pas toujours. Quels sont les points de blocage que vous avez identifiés ? Vous avez mentionné le lobbying, mais il en existe peut-être d’autres. Pourriez-vous revenir en particulier sur la question de l’Irlande et sur le principe du pays d’origine, qui semble être l’un de ces points de blocage ?

Ma dernière question concerne la plateforme X. Au-delà de la fermeture de comptes, avons-nous aujourd’hui la garantie qu’un opérateur de X ne peut pas usurper un compte et, par exemple, publier un tweet à la place de la diplomatie française ou du président de la République ? Lorsqu’un opérateur devient un acteur politique, avons-nous des garanties techniques qu’il ne puisse pas s’exprimer à la place de quelqu’un d’autre ?

M. Bastien Le Querrec. Le modèle économique des plateformes commerciales repose sur la publicité ciblée : leurs véritables clients ne sont pas les internautes, mais les annonceurs, auxquels elles permettent d’insérer des messages publicitaires entre deux contenus. Ce fonctionnement suppose une collecte massive de données personnelles afin d’établir, pour chaque utilisateur, un profil toujours plus précis. Dans ce contexte, le RGPD aurait pu constituer un frein, dans la mesure où ce profilage publicitaire relève d’un traitement de données nécessitant une base légale, comme le consentement. Or ce consentement doit être libre et éclairé ce qui, dès 2018, nous paraissait contestable puisque l’accès même à la plateforme était conditionné à l’acceptation du traitement des données. C’est dans ces conditions que La Quadrature du Net avait déposé cinq plaintes en 2018, aujourd’hui presque toutes restées lettres mortes en Irlande.

Ce modèle, qui repose donc sur une violation du RGPD à des fins publicitaires, repose également sur la mise en avant algorithmique de contenus afin de maintenir les utilisateurs sur la plateforme : plus les réactions sont nombreuses, qu’il s’agisse de contester une vidéo ou d’exprimer un soutien à un tweet haineux, plus le temps passé augmente, et avec lui l’exposition à la publicité. Il s’agit, en somme, d’une version contemporaine du « temps de cerveau disponible » de TF1.

Il existe toutefois un autre modèle, celui des plateformes non marchandes, que La Quadrature du Net promeut. Dès lors que l’on s’écarte d’une logique de recherche maximale de profit, d’autres formes d’équilibre économique peuvent émerger, fondées notamment sur le don ou l’abonnement, avec des effets concrets sur la conception même des plateformes. Mastodon en constitue une illustration. Ce logiciel de micro-blogging, conçu en réaction aux contenus de haine visant la communauté LGBTQIA+ sur Twitter, intègre en effet des mécanismes limitant la viralité et ne recourt pas à des algorithmes de recommandation, le choix ayant été fait, dès l’origine, de ne pas chercher à retenir les utilisateurs le plus longtemps possible.

S’agissant des obstacles à l’application du RGPD, ils sont nombreux. Le premier tient à sa non-application par certains États membres, en particulier l’Irlande, puisque l’autorité irlandaise de protection des données, la DPC, apparaît notoirement incapable de faire face aux Big Tech. Pour des raisons fiscales, ces entreprises s’y sont implantées et relèvent ainsi d’une autorité marquée par des phénomènes de pantouflage et un turnover élevé, qui entravent le traitement des plaintes et les investigations. Les plaintes déposées en 2018, portant sur la notion juridique de consentement, ne nécessitaient pourtant pas d’enquête approfondie, puisqu’il suffisait de constater l’absence de caractère libre et éclairé du consentement dans les conditions générales d’utilisation. Malgré cela, en 2026, Apple n’a toujours pas été sanctionnée.

L’autre point problématique, qui n’est pas du tout envisagé dans l’omnibus, est que les plaignants ne sont pas parties à la procédure. Le cas d’Amazon est symptomatique. Nous avons déposé une plainte en 2018 et avons appris par la presse qu’un projet de sanction était en cours, puis que la sanction finale avait été prononcée par l’autorité luxembourgeoise, la CNPD. La Commission nationale de l’informatique et des libertés (Cnil), notre interlocutrice, nous l’a confirmé après la presse. À ce jour, nous n’avons toujours pas pu obtenir une copie de cette sanction, sous des prétextes variés comme le caractère non définitif de la décision ou le risque d’atteinte à l’image d’Amazon. Même la demande effectuée auprès de la Commission d’accès aux documents administratifs (Cada) a été refusée. Nous n’avons donc pas accès à la sanction prononcée à la suite de notre propre plainte.

Enfin, sur votre question concernant l’usurpation de comptes sur X, c’est effectivement un risque qui existe dès lors que l’on ne maîtrise pas l’infrastructure. Là encore, l’interopérabilité est une réponse. Mediapart, par exemple, a sa propre instance Mastodon pour ses journalistes. Comme le média maîtrise cette infrastructure, il peut garantir que les comptes de ses journalistes sont authentiques, ce qui est une protection contre l’usurpation dont ils sont régulièrement victimes. Cette garantie est impossible quand une entreprise tierce détient l’infrastructure et, même si nous n’avons pas vu ce cas d’usurpation se produire, le risque est bien réel.

Mme Katia Roux. Je souhaite simplement ajouter que la publicité ciblée repose sur une extraction continue de données, dans la mesure où l’ensemble de nos activités en ligne fait l’objet d’un suivi. La réussite majeure de ces entreprises tient précisément au fait d’avoir imposé ce modèle comme l’unique horizon possible, freinant ainsi l’émergence d’alternatives plus respectueuses des droits humains. J’insiste également sur la puissance des algorithmes de recommandation, à l’image du fil « Pour toi » de TikTok, désormais reproduit par l’ensemble des plateformes, ainsi que sur les difficultés persistantes à obtenir de la transparence quant à leur fonctionnement.

S’agissant des points de blocage, j’ajoute le déni quasi total de responsabilité des entreprises, en particulier en ce qui concerne la prise en compte des risques systémiques induits par leurs choix de conception. Deux exemples permettent de l’illustrer. Le premier concerne nos travaux sur la responsabilité de Facebook, devenu ensuite Meta, dans les atrocités commises au Myanmar à l’encontre de la population rohingya en 2017 : nous avions mis en cause la plateforme et un groupe de réfugiés sollicitait une réparation sous la forme d’un projet éducatif d’un montant d’un million de dollars. Facebook a opposé une fin de non-recevoir, en indiquant que l’entreprise ne menait pas d’activités philanthropiques, ce qui éclaire sa conception de ses obligations au regard du droit international.

Le second exemple, plus récent, est lié à notre enquête sur TikTok en France, qui s’appuyait sur le DSA et sur les mesures d’atténuation des risques mises en avant par l’entreprise, comme les outils de « bien-être » ou les dispositifs de déconnexion de la plateforme, dont la pertinence apparaît discutable. Lorsque nous avons rendu publiques nos conclusions, TikTok a contesté notre méthodologie, soutenant que le recours à des comptes-tests ne reflétait pas la réalité des usages. Or, si nous avions mobilisé des utilisateurs réels, les résultats auraient sans doute été encore plus accablants. Nous nous sommes ainsi heurtés à un déni complet de responsabilité, qui constitue un obstacle majeur. C’est la raison pour laquelle nous nous appuyons fortement sur les articles 34 et 35 du DSA relatifs aux risques systémiques mais, à ce stade, les rapports d’évaluation que les entreprises sont tenues de publier se révèlent très décevants.

Mme Maryse Artiguelong. Les contenus addictifs ne se limitent pas à la haine ou à la publicité ciblée. En Asie, sur TikTok, existent ainsi des dispositifs de vente flash permettant d’acquérir des produits de grande valeur à des prix très bas, à condition d’être connecté au moment opportun, ce qui incite les utilisateurs à demeurer en permanence sur ces réseaux.

Quant à la question du guichet unique, elle ne concerne pas uniquement l’Irlande. La LDH accompagne notamment une action de groupe engagée par des chauffeurs Uber qui ne parviennent pas à obtenir leurs données de travail, ce qui les empêche de vérifier leurs revenus et, le cas échéant, de faire reconnaître un statut de salarié. La Cnil a transmis la plainte à l’autorité néerlandaise, compétente en raison de l’implantation du siège européen d’Uber aux Pays-Bas. Une condamnation a été prononcée, mais Uber a interjeté appel, de sorte que la procédure se prolonge depuis plus de quatre ans.

M. Éric Bothorel (EPR). Notre régulation numérique européenne repose aujourd’hui sur une logique simple qui consiste à publier puis à modérer a posteriori, les plateformes ayant toujours résisté à leur assimilation à un statut d’éditeur. Après avoir longtemps considéré que cette approche pouvait suffire, je m’interroge sur le fait que nous n’en atteignions pas aujourd’hui les limites, notamment face à l’émergence des intelligences artificielles génératives. L’exemple de Grok sur X en offre une illustration éclairante : au début de cette année, les utilisateurs ont généré environ 3 millions d’images sexualisées en onze jours, dont plus de 23 000 impliquaient des mineurs, dans le cadre de cette tendance dite du « mets-la-moi en bikini » ou du déshabillage par intelligence artificielle, alors même que ces contenus n’existaient pas auparavant. Dans ce contexte, on demande à l’entreprise de modérer ces productions tandis que, dans le même temps, des équipes de développeurs conçoivent des outils capables de générer des contenus totalement illicites.

La question se pose dès lors de savoir si cette modération réactive, qui poursuit un flux quasi infini, n’atteint pas ses limites et s’il ne serait pas temps de faire évoluer la doctrine en encadrant les capacités de certains outils d’intelligence artificielle générative avant qu’ils ne produisent des millions de contenus illicites. Je suis curieux de connaître vos recommandations pour permettre une protection plus efficace des consommateurs et des usagers.

M. Émeric Salmon (RN). Ma question relève moins d’une incompréhension que d’un besoin de précision sur ce que vous entendez par « ciblage ». Lorsque je réfléchis à cette notion, je comprends que vous mettez en cause le ciblage personnalisé des internautes par la récupération de leurs données. Cependant, ce modèle économique, que vous semblez juger très néfaste, est utilisé dans de nombreux autres domaines. Par exemple, lorsque l’on regarde « Télématin » sur France 2, la publicité n’est pas la même que celle diffusée l’après-midi sur la même chaîne pendant Roland-Garros, car le public n’est pas identique. France Télévisions, qui n’est pourtant pas un acteur des Gafam, sait que les téléspectateurs du matin et de l’après-midi sont différents et adapte donc sa publicité en conséquence.

Je suis d’ailleurs persuadé que si, un jour, un opérateur internet parvenait à diffuser des flux en direct différenciés pour chaque foyer, les chaînes, y compris France Télévisions, cibleraient rapidement ces téléspectateurs pour leur adresser la publicité la plus pertinente. J’ai donc du mal à concevoir la distinction entre ce qui constituerait un bon et un mauvais ciblage.

Mme Laure Miller (EPR). Je souhaitais vous interroger sur la comparaison que l’on peut établir entre l’industrie de la tech et l’industrie du tabac. Cette dernière a opéré pendant des décennies une stratégie consistant à investir et orienter la recherche afin de faire subsister le doute dans l’opinion publique sur la réalité scientifique du caractère nocif du tabac. Ne retrouve-t-on pas aujourd’hui une stratégie similaire avec le numérique, et plus précisément les réseaux sociaux ? On observe en effet que des scientifiques, dont les laboratoires sont en partie financés par ces entreprises, occupent une place massive dans les médias pour instiller cette même théorie du doute. N’y a-t-il pas là une question de transparence et la nécessité de démonter cette stratégie, qui n’est pas véritablement exposée dans le débat public à l’heure actuelle ?

M. Pierrick Clément. Je répondrai brièvement à la question du profilage, afin de déterminer s’il en existe de bons et de mauvais, notamment lorsqu’il porte sur des données personnelles. Si je m’en tenais à ma conviction personnelle, tous les profilages seraient mauvais. Toutefois, la position que nous devons adopter consiste à reconnaître que l’intégration de données personnelles dans un système algorithmique ne se limite pas à créer des risques de discrimination, mais en amplifie considérablement les effets potentiels, ce qui est désormais parfaitement établi.

C’est pourquoi le cadre européen impose de raisonner selon une approche en trois temps, dite du triple test, selon laquelle tout traitement de données doit être à la fois légitime, nécessaire et équilibré, seule méthode permettant d’en apprécier la validité. À défaut, le risque de discriminations devient concret, comme l’illustrent plusieurs exemples. Lorsque Meta a déployé des algorithmes pour diffuser des offres d’emploi sur ses réseaux sociaux, il est apparu rapidement que ces offres étaient présentées différemment selon le genre. L’algorithme avait en effet observé une présence plus importante de femmes dans le secteur de la petite enfance, ce qui a conduit à orienter 93 % des offres correspondantes vers des femmes. À l’inverse, 74 % des offres de pilotes de ligne étaient diffusées vers des hommes. Ces biais discriminatoires apparaissent dès lors que des données personnelles sont mobilisées dans des outils algorithmiques.

Mme Maryse Artiguelong. Sur la comparaison avec l’industrie du tabac, je pense malheureusement qu’elle n’est pas la seule à recourir à de telles pratiques, que l’on retrouve également, par exemple, dans l’industrie du sucre. S’il est difficile d’établir une équivalence stricte avec les Big Tech, on peut néanmoins faire un parallèle avec les pratiques de lobbying évoquées précédemment qui, bien que sans doute moins dissimulées, produisent des effets largement comparables. Il ne s’agit donc pas, à mon sens, d’un phénomène propre au seul secteur du numérique.

Mme Katia Roux. La question de la place des plateformes en tant qu’éditeurs s’est effectivement posée, dans la mesure où le développement des algorithmes de recommandation conduit à une forme d’éditorialisation accrue des contenus, qui les éloigne de leur statut de simples hébergeurs. Les plateformes ont longtemps soutenu qu’elles ne faisaient qu’héberger des contenus promus par les utilisateurs eux-mêmes, ce qui renvoie la question de la modération à la nécessité de retirer les contenus illicites tout en préservant l’équilibre avec la liberté d’expression. Toutefois, de notre point de vue, la modération ne constitue qu’un correctif insuffisant puisque, dès lors que les algorithmes recommandent des contenus problématiques, une modération, de surcroît de plus en plus fondée sur l’intelligence artificielle, ne saurait résoudre ces difficultés. C’est pourquoi nous portons davantage notre attention sur les choix de conception et sur les systèmes algorithmiques eux-mêmes.

S’agissant de l’IA générative, un travail est en cours et il ne m’est pas encore possible de formuler des recommandations, même s’il apparaît d’ores et déjà nécessaire d’anticiper et d’encadrer en amont ce type de contenus. Les plateformes ne peuvent se retrancher derrière un simple statut d’hébergeur et il convient d’appréhender les systèmes algorithmiques et, le cas échéant, les systèmes d’IA générative comme des sources potentielles d’atteintes aux droits humains.

Sur la question des données personnelles et du ciblage publicitaire, je rejoins pleinement les analyses précédentes. À cet égard, l’analogie avec la télévision trouve rapidement ses limites puisque, sur les réseaux sociaux, l’utilisateur peut être entraîné dans ce que l’on désigne comme des rabbit holes, c’est-à-dire des enchaînements de contenus potentiellement toxiques qui tendent à l’enfermer. Il ne s’agit pas du même phénomène que la publicité télévisée, qui ne repose pas sur des inférences relatives à nos centres d’intérêt, à notre niveau de bien-être ou à nos comportements potentiels. Le ciblage publicitaire sur les réseaux sociaux se révèle ainsi bien plus intrusif et peut, dans certains cas, mobiliser des données sensibles, ce qui soulève des interrogations juridiques au regard du test en trois étapes précédemment évoqué.

S’agissant enfin de la comparaison avec l’industrie du tabac, la question du financement de la recherche n’a pas été spécifiquement étudiée, mais elle constitue très probablement un enjeu majeur. Elle renvoie à la dichotomie fréquemment avancée entre innovation et régulation : d’un côté, un discours promeut l’investissement dans des systèmes d’intelligence artificielle présentés comme intrinsèquement vertueux et porteurs de progrès social, en considérant la régulation comme un frein et, de l’autre, des moyens considérables, notamment financiers, sont sans doute mobilisés, sans que nous ayons, à ce stade, mené d’investigations sur ce point. Dans ce contexte, la régulation demeure aujourd’hui l’un des principaux leviers pour exiger des plateformes davantage de transparence et le respect de leurs obligations. Il importe ainsi de tirer les enseignements de ce qui a pu être observé dans d’autres secteurs, le numérique n’étant nullement exempt de telles problématiques, qui doivent dès lors être approfondies.

M. Bastien Le Querrec. Pour répondre à votre question, monsieur Bothorel, le DSA a amorcé une remise en cause de ce modèle tout en maintenant le principe de la modération a posteriori ainsi que la distinction entre hébergeur et éditeur, mais il a introduit, pour les très grandes plateformes, de nombreuses obligations destinées notamment à lutter contre les risques systémiques, assorties de sanctions. Ce dispositif s’apparente toutefois à une réponse partielle à un problème plus large et, comme vous l’indiquez, il semble aujourd’hui atteindre ses limites. Si tel est le cas, c’est, selon La Quadrature du Net, en raison de l’hypercentralisation des contenus au sein de plateformes de très grande taille, qui concentrent un pouvoir considérable, disproportionné et dangereux pour nos démocraties, et du fait que leur modèle économique demeure largement remis en cause. C’est pourquoi nous revenons à la nécessité de faire émerger un nouveau modèle, qui passe notamment par l’interopérabilité des réseaux sociaux. Une telle évolution affecterait profondément ces grandes plateformes, en remettant en cause leur modèle économique et en les contraignant à s’adapter. Elle explique donc également l’intensité des efforts qu’elles déploient en matière de lobbying et de financement d’initiatives, afin de préserver leur monopole sur leurs communautés. À l’inverse, l’ouverture de ces communautés permettrait l’émergence d’alternatives décentralisées, constituées de plateformes plus petites, dotées de règles de modération différentes, plus légitimes, plus proches des utilisateurs et mieux contrôlées par eux. C’est ce modèle qu’il convient d’inventer et de promouvoir afin de dépasser l’opposition binaire entre, d’une part, l’acceptation des limites de la modération et, d’autre part, l’instauration d’une modération a priori aux conséquences potentiellement graves pour la liberté d’expression. Cet équilibre passe, selon nous, par une obligation d’interopérabilité.

Pour répondre à votre question, madame Miller, je partage votre constat selon lequel l’industrie de la tech finance de nombreuses initiatives. Il y a quelques années, La Quadrature du Net a ainsi travaillé sur un lobby dénommé TechAgainstTerrorism et sur son initiative européenne, qui soutient de nombreuses recherches relatives à la régulation des contenus terroristes en ligne. Cette organisation promeut notamment des systèmes destinés à détecter et bloquer a priori ces contenus, qui se retrouvent aujourd’hui intégrés dans le règlement européen sur les contenus terroristes (TCO). Notre enquête a débuté à la suite de la découverte d’un rapport universitaire qui semblait être le seul à défendre ce type de dispositif, alors même que de nombreuses ONG, dont la nôtre, y étaient fortement opposées. En poursuivant cette analyse, nous avons mis en évidence que TechAgainstTerrorism et sa branche européenne, financées par différents intermédiaires, dépendaient pour moitié de l’industrie technologique américaine et pour moitié de certaines polices, notamment canadiennes, révélant ainsi des liens entre l’industrie, certaines autorités publiques et le milieu de la recherche. Sans préjuger de la qualité du rapport de recherche en question, il apparaît donc que ces investissements existent.

Un autre exemple concerne l’interopérabilité des réseaux sociaux. Nous avions été auditionnés par le Conseil national du numérique, alors en charge d’un travail sur ce sujet, et cette audition s’était particulièrement mal déroulée. Le Conseil a ensuite rendu, en juillet 2020, un rapport très critique à l’égard de cette idée, présenté aux côtés de Facebook et de Snapchat. Sans affirmer qu’il y aurait eu une intervention directe de ces entreprises, cette proximité, au moins dans ses apparences, est documentée et doit nous interroger.

Ces entreprises poursuivent donc à la fois des intérêts économiques et idéologiques. Un rapport préoccupant de la Chambre des représentants des États-Unis, publié début février, met en cause la position de la Commission européenne dans l’application du DSA, en l’accusant de censure. Il insiste également sur le rôle d’« ONG censeures » (censorious NGOs) qui collaboreraient avec la Commission pour contraindre les entreprises américaines. Il existe ainsi un travail idéologique mené par ces entreprises, notamment en lien avec l’administration Trump. Une association, AccessNow, est explicitement citée, tandis que d’autres sont évoquées de manière implicite, à l’image de Bits of Freedom, organisation néerlandaise qui a publiquement dénoncé ce rapport en estimant être visée. Dans ce contexte, il existe un risque que les États-Unis prennent, à l’avenir, pour cible d’autres acteurs français ou européens dans une démarche idéologique visant à contester la réglementation européenne. Il s’agit là d’un point d’alerte que je souhaitais souligner.

Mme Cyrielle Chatelain, rapporteure. Dans cette série de questions, je souhaite poursuivre sur le modèle économique et revenir sur la proposition omnibus.

Premièrement, concernant la modération, vous avez bien expliqué la contradiction entre des algorithmes qui valorisent des contenus néfastes et la volonté de les modérer. Or certaines plateformes hébergent des contenus qui sont illégaux au regard du droit français, comme des images pédopornographiques. Avons-nous aujourd’hui la capacité, ou serait-il souhaitable, dans le cadre d’un rapport de force entre les États et ces plateformes, de pouvoir bloquer, ne serait-ce que temporairement, la diffusion d’une plateforme au titre de ces publications illégales ? Est-ce une mesure possible et souhaitable, au-delà des contraintes financières ?

Deuxièmement, sur le modèle économique, nous avons beaucoup parlé des Gafam et de leur cercle fermé, mais une enquête parue dans Le Monde a mis en lumière l’autre acteur que sont les courtiers en données. Des applications comme Leboncoin ou Vinted captent des données, notamment de géolocalisation, et les vendent à ces courtiers. Avez-vous étudié le modèle économique de ces derniers et l’impact de ces pratiques ? Relèvent-elles du RGPD ?

Ma troisième question porte sur l’omnibus, qui, dans le discours officiel, est présenté comme une démarche de simplification. Nous avons compris que tel n’était pas votre point de vue, et je le partage. Plus précisément, ces mesures sont-elles de nature à simplifier la vie des petites et moyennes entreprises, ou bien s’agit-il d’un texte qui ne modifie pas leur situation mais qui allège, en réalité, les contraintes pesant sur les grands groupes ? Par ailleurs, s’agissant de questions telles que la définition des données personnelles ou l’utilisation de données pour l’entraînement des systèmes d’intelligence artificielle, quelles sont les craintes concrètes que font naître ces nouvelles mesures ? Enfin, si le droit européen venait à être affaibli, disposons-nous d’outils juridiques français qui pourraient être utilisés ou renforcés ?

M. Bastien Le Querrec. Sur la modération, La Quadrature du Net se demande régulièrement s’il faudrait aller jusqu’à demander ouvertement le blocage de X, puisque le DSA le permet en dernier recours à l’égard d’une plateforme qui manquerait de manière systémique à ses obligations. Notre position a longtemps consisté à considérer qu’une telle censure devait demeurer exceptionnelle, judiciaire et proportionnée, et toute la question est donc de savoir si le blocage de X serait proportionné au regard de l’ensemble de ses utilisateurs. Nous n’avons pas de réponse définitive à ce stade, mais certains éléments plaident dans un sens comme dans l’autre. Il faut également relever que, selon une étude de Médiamétrie, X a perdu de nombreux internautes. La portée de sa nuisance pourrait donc diminuer sans qu’il soit nécessaire de recourir à une mesure de blocage, simplement si les pouvoirs publics, les élus et les collectivités cessaient de communiquer exclusivement sur cette plateforme. Cela amorcerait une évolution qui pourrait nous éviter d’en arriver à une telle extrémité.

S’agissant des courtiers en données, je vous renvoie à la note d’EDRi sur la proposition omnibus, qui relevait que l’une des modifications envisagées consistait à réviser la directive e-Privacy, qui encadre notamment les cookies. En transférant la question du dépôt de cookies de la directive e-Privacy vers le RGPD, la Commission ouvrirait des possibilités beaucoup plus larges de recourir au pistage, notamment par le biais de l’intérêt légitime. On passerait ainsi du consentement comme base légale à d’autres fondements dans lesquels l’internaute n’aurait plus son mot à dire. EDRi estimait que cette évolution contribuerait à légaliser les pratiques de ces courtiers en données, les data brokers, alors même qu’elles ne sont pas tenues pour légales aujourd’hui. Ces acteurs prospèrent en exploitant les failles du RGPD et le défaut d’application effective de ce règlement par les autorités. En France, Criteo, qui relève de cette catégorie d’entreprises, a été sanctionnée par la Cnil à hauteur de 50 millions d’euros, si mon souvenir est exact. Cette sanction n’est toutefois intervenue qu’après des années d’activité et, pour une entreprise condamnée, combien d’autres poursuivent encore leurs pratiques en toute impunité ?

Sur le projet d’omnibus, je partage votre analyse qui consiste à affirmer qu’il allège les contraintes pesant sur les grandes entreprises sans apporter de réelle simplification. La note d’EDRi est, sur ce point, très complète. Pour aller plus loin, la modification de la notion de données personnelles constitue une réaction directe à l’arrêt IAB Europe rendu par la Cour de justice en 2024. La Cour a considéré que des données devaient être regardées comme personnelles alors même qu’elles ne permettent pas, à elles seules, d’identifier une personne, dès lors que des tiers sont en mesure de le faire en les utilisant. Cet arrêt a constitué une défaite pour l’industrie de la publicité ciblée et la proposition de la Commission en est la réponse directe.

S’agissant enfin des outils français, ils sont malheureusement peu nombreux, mais il ne faut pas pour autant déduire que la France devrait agir seule. Elle a, au contraire, un rôle à jouer au sein de l’Union européenne pour défendre un modèle aujourd’hui en voie de détricotage. Cela suppose d’en réaffirmer le soutien et de le renforcer, notamment à l’occasion d’une éventuelle révision du DSA ou du DMA sur la question de l’interopérabilité, plutôt que de considérer que le combat est perdu d’avance. Le Conseil d’État a, certes, dégagé dans l’arrêt French Data Network un mécanisme lui permettant de réinterpréter le droit de l’Union lorsque les exigences constitutionnelles diffèrent, mais ce mécanisme soulève des difficultés au regard de l’état de droit et de l’intégration européenne. Il ne me paraît pas souhaitable d’aller jusqu’à cette extrémité, qui poserait la question de l’intégration de la France dans une Union européenne demeurant, par ailleurs, très protectrice des libertés fondamentales.

Mme Katia Roux. S’agissant tout d’abord de la suspension, le DSA en prévoit la possibilité en dernier recours. La question est donc de savoir jusqu’à quel point cette mesure peut être différée et quelle mise en conformité peut être obtenue dans l’intervalle. C’est la raison pour laquelle Amnesty International insiste sur la nécessité de transformations systémiques du modèle économique, dans la mesure où une suspension, en l’absence de tels changements, ne garantirait pas nécessairement une amélioration de la sûreté des plateformes. Elle demeure néanmoins une option, au même titre que l’amende.

Sur la question des courtiers en données, nous n’avons pas conduit de travaux spécifiques.

S’agissant en revanche de la proposition d’omnibus et de l’objectif de simplification, notre analyse converge malheureusement vers l’idée qu’elle vise avant tout à desserrer les contraintes pesant sur les grands groupes. À titre d’exemple, si l’on examine les obligations prévues par l’AI Act pour les systèmes à haut risque, notamment dans les domaines de l’emploi ou de l’éducation, le texte initial présentait déjà des insuffisances, en ce qu’il comportait une faille permettant aux fournisseurs de s’auto-évaluer et de déterminer eux-mêmes si leur système relevait de cette catégorie, ce qui les conduisait à s’exonérer de leurs obligations de transparence. Or les propositions de la Commission repousseraient à la fin de l’année 2027 des obligations qui devaient initialement entrer en vigueur en août de cette année, en y ajoutant une clause d’antériorité, de sorte que les fournisseurs ayant déjà déployé leurs systèmes n’y seraient pas soumis. Ce délai supplémentaire leur offrirait ainsi la possibilité de développer rapidement leurs solutions afin d’échapper à ces nouvelles obligations.

De la même manière, le recours à des données personnelles, y compris sensibles, pour entraîner les systèmes d’intelligence artificielle suscite des inquiétudes quant aux risques de discrimination, d’autant que ces systèmes sont susceptibles de reproduire et d’amplifier des biais existants. Ces évolutions, loin de constituer une véritable simplification, apparaissent surtout comme un allègement des contraintes au bénéfice des grands groupes, avec un accroissement corrélatif des risques en matière de droits humains. Enfin, la nouvelle définition des données personnelles, qui introduit une forme de subjectivité, ne va pas non plus dans le bon sens, alors même que le cadre existant, bien qu’imparfait, constituait l’outil le plus protecteur dont nous disposions.

Mme Maryse Artiguelong. S’agissant des outils juridiques hors Union européenne, des dispositifs techniques, tels que les systèmes de hachage utilisés dans la lutte contre le terrorisme, peuvent également être mobilisés pour d’autres types de contenus illicites, notamment les contenus pornographiques.

Au risque de paraître insistant, je souhaite revenir sur la Convention 108 du Conseil de l’Europe, qui revêt une valeur conventionnelle et dont le champ d’application ne se limite pas aux seuls États membres du Conseil de l’Europe. Son adhésion est subordonnée à la démonstration, par les États candidats, du respect des principes de protection des données personnelles. Par ailleurs, le Conseil de l’Europe a également élaboré une convention relative à l’intelligence artificielle.

M. Pierrick Clément. S’agissant de la simplification et de la proposition d’omnibus, celle-ci a été élaborée dans un délai très court et avec une volonté prioritaire de dérégulation, ce qui a conduit la Commission à se heurter à une contrainte : la nécessité de respecter la jurisprudence de la Cour de justice de l’Union européenne. Elle a ainsi supprimé un certain nombre de règles, tout en leur associant des critères destinés à en assurer la conformité, ce qui, dans certains cas, aboutit paradoxalement à une complexification notable. L’exemple du droit à l’information, prévu à l’article 13 du RGPD, l’illustre clairement. La Commission a envisagé d’exclure cette obligation lorsque l’entité qui collecte les données n’en fait pas un usage intensif et qu’il existe des motifs raisonnables de considérer que la personne concernée est déjà informée, ce qui devrait viser la grande majorité des PME et des TPE. Toutefois, afin de se conformer à la jurisprudence, cette dispense d’information est désormais subordonnée au respect de sept critères distincts que chaque entreprise doit vérifier. Là où il suffisait auparavant de délivrer une information, il convient désormais de satisfaire à sept conditions pour s’assurer de pouvoir s’en exonérer. Je ne suis pas certain que l’on puisse, dans ces conditions, parler de simplification.

Mme Cyrielle Chatelain, rapporteure. Serait-il, selon vous, pertinent de renforcer les compétences du CEPD ? Ensuite, vous avez beaucoup mentionné un nouveau modèle décentralisé. Pourriez-vous dire quelques mots sur ce que pourrait être un modèle qui ne soit pas lié à la concentration des grands groupes ? Vous avez parlé d’infrastructures, et nous avons un grand débat en France sur l’installation des centres de données. Cela répond-il à cet enjeu de maîtrise ? Enfin, sur l’interopérabilité, comment envisagez-vous de surmonter la complexité du changement d’habitude pour les utilisateurs et la peur de manquer quelque chose, le fameux « FOMO » (fear of missing out) ?

M. Bastien Le Querrec. Je commencerai par les compétences du CEPD, qu’il convient à mon sens, en effet, de renforcer. La collégialité ainsi que la diversité des points de vue nationaux et culturels constituent, en effet, des atouts, comme l’illustre le fait que le CEPD se soit opposé à plusieurs reprises à l’autorité irlandaise de protection des données.

S’agissant du nouveau modèle que La Quadrature du Net appelle de ses vœux, il vise à redonner aux internautes la maîtrise de leurs usages en mettant fin au monopole des grandes plateformes sur leurs communautés. L’interopérabilité consiste concrètement à permettre, par exemple, aux utilisateurs de Facebook de communiquer avec des utilisateurs d’autres plateformes, ce qui ne signifie pas que tous quitteraient Facebook, mais que ceux qui le souhaitent pourraient le faire sans perdre le lien avec leurs contacts. Un tel cadre favoriserait l’émergence d’alternatives, notamment de start-up françaises et européennes, qui pourraient, au sein de cet écosystème de réseaux sociaux interopérables appelé Fediverse, proposer des algorithmes plus vertueux, voire s’en passer, ou encore développer des modèles économiques fondés sur l’abonnement et assortis d’engagements en matière de confidentialité. Les internautes disposeraient ainsi d’un véritable choix et pourraient participer à la définition des règles de modération. Aujourd’hui, dans le milieu des réseaux sociaux interopérables, les règles varient selon les instances : l’instance mamot.fr, gérée par La Quadrature du Net, applique par exemple des règles qui peuvent être moins strictes que celles d’instances se présentant comme des safe spaces pour la communauté LGBTQIA+. Il n’existe pas de modèle unique de modération et les règles sont déterminées par les internautes eux-mêmes au sein de chaque instance et, en cas d’insatisfaction, il leur est possible d’en changer sans perdre leurs contenus.

Dans cette perspective, la question du FOMO se trouve résolue puisqu’il serait possible, demain, de quitter Instagram pour rejoindre Mastodon tout en continuant à suivre des comptes restés sur Instagram. La différence tiendrait à l’absence d’un algorithme imposant des contenus jugés néfastes et, inversement, ceux qui s’en satisfont pourraient choisir de rester sur Instagram tout en accédant à des contenus issus d’autres plateformes.

Mme Maryse Artiguelong. Simplement, je suis d’accord sur le maintien et le renforcement du CEPD, qui me paraît très important.

Mme Katia Roux. Je rejoins mes collègues s’agissant du CEPD : son maintien et son renforcement vont dans le bon sens. S’agissant des nouveaux modèles, nos travaux se sont principalement concentrés sur les entreprises de réseaux sociaux, ce qui conduit notamment à envisager l’interdiction de la publicité ciblée. Le DSA a d’ailleurs déjà proscrit la publicité fondée sur les données personnelles des mineurs, ce qui démontre que ce mode de fonctionnement est possible et pourrait être étendu à l’ensemble des utilisateurs. D’autres approches existent également, telles que des mécanismes d’adhésion volontaire (opt-in) au partage des données, en lieu et place de dispositifs de retrait (opt-out). La publicité ciblée se situe au cœur du problème et il est dès lors possible d’envisager des formes alternatives, notamment contextuelles, qui ne reposent pas sur une exploitation prédatrice des données.

M. Pierrick Clément. Madame la rapporteure, en tant qu’écologiste, vous êtes particulièrement sensible aux enjeux liés au développement des centres de données. Or à l’horizon 2027, la consommation annuelle d’eau imputable à l’essor de l’intelligence artificielle devrait dépasser celle du Danemark. Nous atteignons ainsi un niveau particulièrement préoccupant, notamment en raison des coûts énergétiques associés à ces infrastructures. Si la poursuite d’une stratégie de souveraineté technologique peut être envisagée, il n’est pas certain qu’elle puisse l’être à n’importe quel prix.

M. le président Philippe Latombe. Ce sera le mot de la fin. Je vous remercie de vous être rendus disponibles.

* *

Audition, ouverte à la presse, de Mme Meredith Whittaker, présidente de la fondation Signal (mercredi 25 mars 2026)

M. le président Philippe Latombe. J’ai le plaisir d’accueillir Mme Meredith Whittaker, présidente de la Signal Foundation, à l’origine de la messagerie Signal, qui a auparavant exercé des fonctions au sein de Google ainsi qu’à la Federal Trade Commission.

L’application de messagerie Signal place au cœur de son projet la préservation de la confidentialité de ses utilisateurs. Pourriez-vous, à cet égard, nous exposer ses spécificités par rapport à d’autres applications commerciales équivalentes en matière de protection de la vie privée ? Je vais vous laisser la parole pour une présentation liminaire, à l’issue de laquelle nous pourrons engager un échange sous forme de questions-réponses.

Mme Meredith Whittaker, présidente de la fondation Signal. Je vous remercie de m’offrir l’opportunité d’aborder les questions de la vie privée, de la souveraineté numérique, des vulnérabilités systémiques de notre paysage technologique actuel, et de l’importance cruciale de pouvoir vérifier les infrastructures qui sous-tendent nos vies et nos institutions.

Comme vous le savez, notre époque se caractérise notamment par une concentration industrielle d’une ampleur inédite. Il n’est pas nécessaire de vous convaincre, tant vous êtes déjà sensibilisés à cette question, qu’elle ne relève pas du seul domaine économique. Une telle concentration constitue également une vulnérabilité géopolitique et compromet notre capacité à gouverner, à nous reconstruire et à protéger nos États, ainsi que nos relations sociales et économiques. Face à ces enjeux particulièrement graves, il nous appartient d’abord de comprendre les mécanismes qui nous ont conduits à cette situation. Je consacrerai ainsi quelques instants à présenter le modèle économique fondé sur la publicité et la surveillance, à l’origine de l’extrême concentration que nous observons aujourd’hui.

Ce problème a été façonné par les dogmes néolibéraux des années 1980 et 1990, qui postulaient que la privatisation relevait de la volonté divine, que les marchés étaient bienveillants et que contrôler leur croissance serait une perversion. Ce contexte a préparé le terrain pour la concentration du contrôle d’infrastructures clés comme Amazon Web Services (AWS), Microsoft Azure, Google cloud, les plateformes d’information des réseaux sociaux comme X et YouTube, et les systèmes de prise de décision basés sur l’intelligence artificielle qui orientent les choix de nos États, de nos institutions et de nos entreprises. À Bruxelles, à Paris, comme partout dans le monde, de nombreuses analyses sont avancées pour expliquer cette situation, qu’elles invoquent un déficit d’innovation ou une insuffisance de la réglementation, mais ces interprétations passent à côté de l’essentiel. La réalité tient à ce que la privatisation d’internet, soutenue par l’État américain, a conduit à méconnaître les enseignements de l’histoire ainsi que la nature même des réseaux de communication, depuis la poste et le télégraphe jusqu’aux télécommunications. Il était logique, jusqu’à ce que nous l’oubliions, de considérer ces dernières comme des monopoles naturels puisqu’en raison de facteurs tels que les économies d’échelle, le coût très élevé des actifs, les effets de réseau et d’autres tendances centralisatrices, il n’existe pas de moyen pratique de créer des concurrents. Personne ne souhaiterait disposer de dix-huit téléphones différents, chacun relié à un groupe d’amis distinct. Cette réalité ainsi que l’importance critique de l’information, de la communication, des flux d’actualités et des chaînes de commandement militaires explique que, historiquement, les réseaux aient été constitués en monopoles réglementés. Ce n’est d’ailleurs pas sans raison que la communication figure parmi les cibles prioritaires en temps de conflit car, en son absence, plus rien ne fonctionne.

Pourtant, traiter les réseaux comme des monopoles naturels n’a pas été le choix de l’administration Clinton dans les années 1990, lorsque les règles de la commercialisation d’internet ont été écrites. Ces règles ont donné la priorité aux entreprises américaines et ont livré internet aux forces du marché. L’accent mis sur l’avantage des entreprises américaines, qui ont été les premières sur le marché grâce aux investissements dans l’infrastructure aux États‑Unis et à la puissance du soft power américain, permettent d’expliquer cette hyperconcentration de géants de la technologie aux États-Unis et, dans une moindre mesure, en Chine. La Chine est en effet le seul État doté d’un marché intérieur suffisant pour soutenir de telles alternatives, et elle a délibérément exclu la technologie américaine. C’est pourquoi, quels que soient les milliards mis de côté ou la fréquence à laquelle on évoque les giga-usines, il n’est pas possible de faire émerger de nouveaux entrants sur ce marché, étant donné les conditions établies par ces géants.

Je le redis, si nous nous trouvons aujourd’hui dans cette situation, ce n’est ni en raison d’une réglementation excessive, ni parce que l’innovation ne ferait pas partie de la mentalité française, ni encore faute d’une union des marchés de capitaux, mais parce que le monopole et les décennies d’avance accumulées par les entreprises américaines nous ont conduits au point où nous sommes désormais. Telle est la situation que nous devons examiner ensemble. Cette réalité est certes difficile à admettre, mais il serait plus grave encore de la nier ou de s’y soustraire. Il nous appartient de l’affronter sans peur, car c’est ainsi que nous gagnons en clarté, que nous comprenons mieux le paysage et que, en ajustant notre regard, nous discernons des fissures dans cette forteresse prétendument impénétrable.

J’entends par là qu’il subsiste encore de l’espoir. De nombreuses choses échappent aux capacités actuelles des entreprises de la tech et de l’IA, alors même qu’elles sont indispensables à nos économies, à nos systèmes financiers, à nos armées, à nos institutions de défense et au fonctionnement de nos démocraties. Même si les questions éthiques sont indispensables, les plateformes n’apportent pas ces garanties. Je souhaiterais donc énumérer quelques opportunités qui s’offrent à nous afin de repartir sur des bases plus saines, en nous appuyant sur des règles que nous définissons nous-mêmes plutôt que sur les récits de ceux qui, forts de leur puissance, s’emploient à préserver à tout prix leur position dominante. Il existe en effet de multiples manières de concevoir la technologie, comme en témoigne Signal, et nous avons besoin de nombreuses technologies dont nous ne disposons pas encore. À cet égard, il est impératif d’accorder une attention bien plus grande aux vulnérabilités des modèles d’intelligence artificielle et des systèmes qui les mobilisent, qu’il s’agisse de l’empoisonnement des données, de l’exfiltration ou d’autres attaques largement documentées pour lesquelles il n’existe à ce jour aucun remède. Seule une compréhension lucide de cette réalité permettra de dégager des solutions et de veiller à ce que les systèmes intégrés à nos infrastructures ne deviennent pas des vecteurs de dommages significatifs.

Parallèlement, il nous faut investir dans le développement sécurisé ainsi que dans des chaînes d’approvisionnement pour les données et d’autres processus qui ne s’inscrivent pas dans l’approche des grandes entreprises de l’IA, pour lesquelles « plus c’est gros, mieux c’est », tout en gardant à l’esprit les fondamentaux de la technologie : l’IA n’a rien de magique, elle n’est pas une divinité, pas davantage un ami ou un amant et, à l’instar de tout système composé de matériel et de logiciels assorti de dépendances logicielles, elle doit être sécurisée au moyen de bonnes pratiques de développement. Or tel n’est pas le cas aujourd’hui, notamment dans le contexte de l’IA agentique, et cela constitue à la fois un avertissement et une opportunité de tenir bon.

Il nous appartient ainsi de veiller à ce que la séparation entre les systèmes d’exploitation et la couche applicative, par exemple entre un agent IA et vos messages Signal, ne soit pas remise en cause par un déploiement hasardeux de l’IA. Il convient également de rappeler qu’il n’existe aucune intelligence intrinsèque sans données, puisqu’un modèle d’IA ne peut connaître que ce qui relève de la distribution des données sur lesquelles il a été entraîné, d’où la nécessité de disposer de données beaucoup plus robustes, qu’il s’agisse de données scientifiques destinées à la recherche fondamentale ou de données élaborées avec une attention particulière afin de garantir une rigueur méthodologique adaptée à la défense, à la santé ou à certains secteurs industriels, ce qui constitue également une ouverture de marché. Enfin, il importe de souligner la nécessité de modifier les règles du jeu, dans la mesure où les entreprises en place façonnent un monde conforme à leurs intérêts où les modalités d’évaluation des systèmes ne reflètent pas leurs usages réels. Cette situation doit être envisagée, là encore, comme une opportunité de définir des critères de valorisation prenant pour référence la réalité des usages et mesurant la performance de l’IA dans le monde réel, plutôt qu’au regard d’un étalon abstrait, ce qui permettrait de constater que des modèles souvent plus modestes offrent les meilleures performances tout en réduisant notre dépendance à l’égard des hyperscalers.

Cette liste demeure nécessairement partielle et trop brève, tant chacun de ces points pourrait donner lieu à de multiples développements. Il s’agissait simplement d’offrir un aperçu des trajectoires possibles pour progresser. Puissions-nous, en nous affranchissant de ce sentiment d’insécurité, adopter une réflexion créative sur la manière de construire ce dont nous avons véritablement besoin, car il existe une pluralité d’usages de la technologie, une diversité d’approches et de modes de financement, et il est impératif de ne pas dépendre des leaders actuels de la technologie et du monde.

M. le président Philippe Latombe. Lors de votre venue en France, il y a un an et demi, nous débattions à l’Assemblée de l’affaiblissement du chiffrement, et vous aviez alors adopté une position très claire en indiquant que, si la France devait imposer une telle mesure, vous envisageriez de rendre Signal indisponible sur le territoire national. Si je reformule la question sous un autre angle, imaginons que la Maison-Blanche vous demande aujourd’hui de ne plus rendre Signal accessible en France : accepteriez-vous une telle injonction ? Et, dans l’hypothèse où vous décideriez de ne pas vous y conformer, quelles en seraient les conséquences juridiques pour la Fondation Signal ?

Mme Meredith Whittaker. Je préfère m’abstenir de toute spéculation basée sur des hypothèses, dans un contexte géopolitique particulièrement instable et au regard de la multiplicité des enjeux en présence. Ce que je peux en revanche affirmer, c’est que nous irons très loin pour garantir que Signal demeure accessible à tous, partout. Quelle que soit la juridiction concernée, nous sommes prêts à ne pas nous conformer à des injonctions qui seraient contraires à notre mission ainsi qu’à l’intégrité technologique qui en constitue le fondement.

Mme Cyrielle Chatelain, rapporteure de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Pourriez-vous présenter, à l’attention de celles et ceux qui ne le connaissent pas, le modèle de Signal ainsi que l’attention particulière qu’il accorde à la protection des données personnelles, et en expliquer l’importance ?

Pourriez-vous également préciser en quoi le modèle de la fondation, en tant que modèle économique spécifique, permet précisément de ne pas monétiser les données ?

Enfin, dans le prolongement de cette interrogation, vous étiez effectivement venue évoquer l’affaiblissement du chiffrement. Êtes-vous aujourd’hui préoccupée par les évolutions en Europe, qu’il s’agisse du projet Chat Control ou d’autres initiatives nationales visant à affaiblir le chiffrement ?

Mme Meredith Whittaker. Signal est la plus grande plateforme de communication privée. Notre seul et unique objectif est de fournir un moyen de communiquer de manière réellement privée dans un monde où une part croissante de nos vies se trouve placée sous la surveillance de grandes entreprises technologiques. Pour nous, la communication privée est un droit humain fondamental, sans lequel la démocratie et une vie pleine de sens ne sont pas possibles. Nous existons pour protéger ce droit et nous le faisons en fournissant un outil, un logiciel et des protocoles open source qui sont essentiels à la protection de la vie privée. Le protocole de Signal est le standard pour le chiffrement des messageries. Lorsque nous l’avons introduit en 2013, il a représenté une avancée majeure dans les pratiques de chiffrement et la cryptographie appliquée. Il est utilisé non seulement par Signal, mais également par d’autres acteurs sous licence pour protéger la confidentialité de leurs communications.

En plus de ce protocole qui protège le contenu des messages, nous faisons tout notre possible pour protéger les métadonnées, c’est-à-dire les informations extrêmement sensibles : à qui vous parlez, à quel moment, quelles sont vos informations de profil, qui fait partie de vos groupes de discussion, à quel moment vous avez commencé à parler à un thérapeute, contacté un avocat spécialisé en divorce ou un oncologue. Nous avons, métaphoriquement, réécrit toute notre infrastructure technologique pour nous éloigner de la norme de l’industrie, qui consiste à collecter et partager des données, afin de ne collecter que le strict minimum de données possible.

Cela répond également à la question de savoir pourquoi il n’existe qu’un seul Signal dans un monde qui a pourtant un grand besoin de technologies de ce type. Je l’ai d’ailleurs évoqué dans mon introduction : le moteur économique de l’industrie technologique repose sur la collecte de données, qui est monétisée en vendant les modèles créés par ces données. C’est ainsi que se génèrent les revenus dans un secteur dont le fonctionnement est extrêmement coûteux. Signal considère que cette norme, cet impératif économique, constitue une menace pour la mission que nous poursuivons ainsi que pour les droits que nous entendons défendre. En tant qu’organisation à but non lucratif, nous ne sommes pas soumis à cet impératif puisque nous ne disposons ni d’un conseil d’administration nous incitant à générer des profits, ni de fonds spéculatifs exigeant un retour sur investissement qui, dans cette industrie, nous conduiraient à collecter des données à des fins commerciales.

Pour autant, je peux avancer des arguments convaincants, mais cela demeure insuffisant lorsqu’il est question d’un élément aussi fondamental. La norme devrait être de pouvoir vérifier et valider par soi-même, en accédant aux fondements techniques. La confiance ne doit pas reposer uniquement sur Signal, mais sur l’ensemble des infrastructures qui la composent, car il s’agit d’un bien trop précieux pour être abandonné à l’appréciation d’un conseil d’administration ou d’un investisseur.

Nous ne sommes pas simplement open source, au sens d’un code que l’on peut consulter si l’on en a le temps. Au cours des dix dernières années, nous avons acquis, au sein de la communauté technique, une réputation qui nous place véritablement comme un étalon de référence. Cela signifie qu’un écosystème complet s’est structuré autour de nous : nous ne nous limitons pas à publier du code dans une bibliothèque en ligne, mais nous avons développé une infrastructure entière qui fonde la confiance du public, non sur des opinions, mais sur des faits. Les hackers savent que, s’ils parviennent à compromettre notre système, ils trouveront un emploi chez nous. Ainsi, il n’est nul besoin de me croire sur parole, et tel n’est d’ailleurs pas mon objectif, car toutes les preuves sont accessibles.

M. Éric Bothorel (EPR). Je regrette tout d’abord qu’il n’y ait pas plus de monde dans cette salle pour vous entendre, à l’heure où notre Assemblée nationale évoque si souvent les sujets du numérique, de la souveraineté et du chiffrement de bout en bout.

Signal est aujourd’hui largement utilisé comme outil de communication chiffrée pour sa sécurité et sa confidentialité. Cependant, sa dépendance à des infrastructures étrangères comme AWS soulève des enjeux de souveraineté numérique pour la France et l’Europe. En tant que député, je cherche à comprendre quelles initiatives concrètes vous envisageriez pour permettre aux États et aux citoyens européens d’utiliser votre outil tout en favorisant des solutions d’hébergement local, des partenariats européens ou des architectures techniques souveraines qui garantiraient à la fois l’indépendance stratégique et la protection des données personnelles.

Par ailleurs, Signal se veut gratuit et éthique, et vous avez déjà abordé son modèle économique, mais maintenir un service sécurisé et indépendant a un coût. Quels compromis seriez-vous prêts à faire sur l’accessibilité, les fonctionnalités ou la confidentialité si le financement devenait insuffisant ?

Enfin, j’entends l’argument relatif à l’open source mais celui-ci est également avancé par certains de vos concurrents, notamment Google. Bien qu’Android soit open source, il apparaît clairement que cette caractéristique ne suffit pas, à elle seule, à garantir la transparence, l’accessibilité et le maintien en conditions opérationnelles des outils, sans contrepartie économique et dans le seul intérêt des usages des consommateurs.

Mme Meredith Whittaker. Vous affirmez, dans votre première question, qu’il ne suffit pas d’être open source, et vous avez parfaitement raison. C’est précisément pour cette raison que j’ai évoqué l’existence d’un écosystème chargé de valider et d’auditer en permanence Signal. Nous souhaiterions d’ailleurs qu’Apple permette un niveau équivalent de vérification sur iOS. Nous procédons à la vérification des dépendances afin d’identifier d’éventuelles vulnérabilités et nous nous efforçons de porter les standards au niveau le plus élevé possible. Autrement dit, si l’open source constitue le socle, il doit impérativement s’accompagner de l’ensemble des mécanismes garantissant une véritable capacité de vérification, non seulement pour Signal, mais également pour les autres infrastructures et plateformes.

S’agissant, en second lieu, de l’hypothèse dans laquelle Signal viendrait à ne plus disposer de financement, tel n’est pas le cas aujourd’hui et je n’entends pas que cela advienne car, en l’absence de financement, rien ne peut subsister. Signal occupe toutefois une position singulière puisque nous constituons une infrastructure essentielle pour des gouvernements et des armées à travers le monde, et nous sommes le principal système de communication pour toute personne ayant des informations confidentielles à partager, qu’il s’agisse de travailleurs humanitaires ou d’acteurs étatiques, précisément parce que nous représentons l’étalon de référence. Nous bénéficions en outre d’un écosystème qui, s’il était apprécié selon les critères du marché et des entreprises, vaudrait plusieurs milliards au regard de notre réputation et du rôle que nous jouons. Mon hypothèse est que nous pouvons faire en sorte que ceux qui tirent bénéfice de l’accès à cette plateforme souhaitent en assurer le financement.

Cela étant, cette perspective ne répond pas à la question de fond, qui est : comment se fait-il qu’un dispositif aussi vertueux et nécessaire que Signal ne constitue pas le modèle par défaut ? Une telle situation met en évidence un biais économique structurel et appelle d’autres interrogations, notamment sur les modalités permettant d’assurer la pérennité d’une infrastructure réellement indispensable. J’ai déjà abordé, de manière implicite dans mon introduction, la question des dépendances, qui ne sont pas substituables. Certes, il est possible d’évoquer la fédération, mais celle-ci présente également ses propres limites. Comment, par exemple, garantir une couverture mondiale pour un utilisateur en déplacement, notamment lorsqu’il part en vacances ? Cela suppose la présence de serveurs partout dans le monde afin d’éviter toute perte de données.

Dans les années 1990, les conditions ont été réunies pour permettre à un nombre restreint d’entreprises de s’imposer dans une logique de monopole et nous utilisons aujourd’hui leurs serveurs parce que cela est nécessaire pour assurer une couverture mondiale, sans disposer, pour notre part, des milliards de dollars annuels requis pour reproduire de telles infrastructures. Toutefois, nous mettons en œuvre un chiffrement rigoureux qui garantit que, même en recourant aux serveurs de ces entreprises, celles-ci ne peuvent accéder à vos données, puisque seul l’utilisateur détient les clés permettant d’accéder à ses communications sur Signal.

Mme Cyrielle Chatelain, rapporteure. Dans plusieurs de vos interventions publiques, vous avez évoqué la concentration des pouvoirs, dont la dépendance de Signal à AWS constitue une illustration. Au-delà de la question du financement, quels dispositifs conviendrait-il de mettre en place afin de déconcentrer ces pouvoirs et de ne plus dépendre d’un nombre restreint de grandes entreprises telles qu’AWS ?

Par ailleurs, dans une interview accordée au Grand Continent, vous mentionnez brièvement que Microsoft semble s’inscrire dans une logique de prise de contrôle. Quels sont les éléments qui vous conduisent à considérer que cette entreprise adopte une posture offensive ?

Enfin, ma troisième question porte sur des entreprises françaises ou européennes telles que Mistral AI : selon vous, l’idée de faire émerger un géant du numérique européen est-elle à la fois crédible et pertinente ?

Mme Meredith Whittaker. Comme je l’ai indiqué dans mon introduction, je ne vois pas de possibilité, à court ou à moyen terme, de répliquer les infrastructures détenues par ces monopoles. Il ne s’agit pas uniquement de l’infrastructure d’AWS, mais également d’Amazon Marketplace, des économies d’échelle, ainsi que d’entreprises ayant façonné l’écosystème au sein duquel l’ensemble fonctionne. Elles ont défini les processus, les normes, jusqu’à ce que signifie être un programmeur, et ont conçu des applications pour des environnements spécifiques, en recourant à des langages propres à ces environnements, à l’image de celui d’Apple, qui ne peut fonctionner que dans ce cadre. Ces dépendances se sont construites sur plusieurs décennies et ne sauraient être simplement reproduites, compte tenu des économies d’échelle, de la couverture mondiale et des milliards nécessaires au maintien en fonctionnement de systèmes d’une telle ampleur.

Je ne crois pas que l’objectif consiste à chercher, par quelque procédé quasi magique, à tout répliquer. J’y vois plutôt une illustration de l’échec européen, dont nous n’avons pas besoin. D’autres voies existent, comme je l’ai esquissé, qui consistent à examiner ces infrastructures et la manière dont elles peuvent nous nuire. Il convient d’apprécier ce que Signal apporte en termes de viabilité car il s’agit, en définitive, d’une question de sécurité. À cet égard, je considère que les États-Unis devraient l’exiger, comme tous les autres États. Il y a un an, certains systèmes se sont totalement effondrés en raison d’une dépendance intégrale. Cet exemple démontre la nécessité de disposer de systèmes beaucoup plus robustes, et il me semble que les États, en leur qualité de grands clients de ces entreprises, devraient l’imposer.

Par ailleurs, des marges de manœuvre importantes existent pour tenter de faire évoluer le système. Il importe de s’intéresser à des modèles de plus petite échelle qui pourraient, en réalité, correspondre davantage aux exigences que l’on formule à l’égard de ces systèmes. Cela suppose de comprendre plus précisément ce que signifie, pour un modèle, réussir la tâche qui lui est assignée. Or il ne revient pas aux entreprises technologiques de concevoir des solutions qui ne correspondent pas nécessairement, ni de manière exacte, aux besoins exprimés par les utilisateurs.

Mme Cyrielle Chatelain, rapporteure. Je me permettrai de reposer deux questions. La première concerne votre position sur les différentes tentatives de législation qui affaiblissent le chiffrement, que ce soit par la création de portes dérobées (backdoors) ou l’initiative Chat Control au niveau européen. J’aimerais avoir votre avis sur ces législations.

La deuxième porte sur Microsoft. Une de vos paroles a été rapportée dans un journal sur une éventuelle prise de contrôle par Microsoft. Si vous le confirmez, quels sont les éléments qui vous permettent de l’affirmer ?

Ma troisième question s’inscrit dans le prolongement d’éléments que vous avez évoqués. Vous avez notamment indiqué, dans plusieurs entretiens, que Google s’était développé au détriment de certains fondamentaux en matière de sécurité, tels que la capacité à maîtriser l’empoisonnement des données. Pourriez-vous préciser ce point et nous éclairer davantage sur les failles de sécurité susceptibles d’affecter les grands groupes ? Par ailleurs, vous avez souligné la nécessité d’évaluer l’efficacité des modèles à l’aune de résultats concrets. Une étude du MIT indique que l’IA générative aurait peu, voire pas, d’impact sur le retour sur investissement pour 95 % des entreprises. Dans ce contexte, pourriez-vous préciser quels types de modèles, en particulier ces modèles de plus petite taille que vous avez évoqués, seraient susceptibles de produire des résultats nettement plus probants, tant sur le plan économique que démocratique ?

Mme Meredith Whittaker. Concernant Chat Control, ma réponse ne fera que reprendre des éléments déjà exprimés, mon appréciation n’ayant pas évolué. J’avoue éprouver une certaine lassitude à devoir revenir sur ce sujet, alors même qu’il devrait apparaître évident, pour quiconque s’intéresse à la réalité géopolitique et à ses conséquences, que l’agrégation d’un volume aussi considérable de données sous le contrôle d’entreprises relevant de juridictions américaines, et non françaises ou européennes, constitue en soi un problème. Pourtant, les tentatives visant à fragiliser les fondements mêmes de la vie privée et de la confidentialité persistent et je n’ai, pour ma part, connaissance d’aucun élément probant établissant que le chiffrement constituerait la frontière séparant les citoyens respectueux de la loi des criminels. Cette idée relève d’une construction fantasmée, qui suppose l’existence d’une autorité ou d’un acteur providentiel capable de nous protéger.

Je vais être très directe. Nous disposons des fichiers Epstein, et pourtant très peu de poursuites ont été engagées pour des préjudices considérables contre des mineurs. On va nous faire croire que dans un monde où la quantité de données de surveillance disponibles est sans précédent dans l’histoire de l’humanité, où l’accès aux données n’a jamais été aussi étendu, la difficulté à établir les faits consisterait à rechercher une aiguille dans une botte de foin parce qu’ils sont noyés sous les données ? Serions-nous incapables d’identifier les pasteurs, les oncles ou les pères impliqués dans des abus sur des enfants ? Soit ces données n’existent pas, soit elles existent sans que la volonté de poursuivre soit au rendez-vous. Et, dans ce contexte, il serait soutenu que le chiffrement, qui constitue la seule technologie permettant d’assurer la confidentialité, serait à l’origine du problème ? Pour moi, il s’agit de « foutaises ». Cet argument est répété depuis les années 1990, alors même que le consensus technique établit qu’il n’est pas possible de modifier les lois des mathématiques afin de permettre à une seule personne d’accéder aux données. Soit le chiffrement est rompu pour tous, et les données se retrouvent alors entre les mains de ceux qui détiennent l’infrastructure, soit il fonctionne pour tous, y compris pour la personne que vous détestez le plus, faute de quoi il ne protégera pas davantage celle que vous aimez le plus. Telle est ma réponse sur la question du contrôle du chiffrement.

S’agissant de Microsoft, j’hésite à m’exprimer, dans la mesure où ma maîtrise du français ne me permet pas de conduire des entretiens dans cette langue avec toute la précision requise, de sorte que je ne suis pas certaine de ce que j’ai pu dire. Il est possible qu’une interprétation ait été faite quant à l’idée d’une volonté de contrôle total de la part de cette entreprise. Nous savons néanmoins qu’à Bruxelles, des milliers de lobbyistes agissent pour le compte de ces sociétés afin d’obtenir des avantages, et que leurs investissements en Europe sont considérables. Le terme de « souveraineté » est ainsi fréquemment mobilisé à des fins promotionnelles, plutôt que comme une notion rigoureuse renvoyant au contrôle et à l’autonomie, ce qui en constituerait une définition plus fidèle.

En ce qui concerne les processus de travail, les vulnérabilités et les chaînes d’approvisionnement, vous avez évoqué Google. Les pratiques dominantes consistent à agréger de vastes volumes de données, issues par exemple d’Alexa ou de Gmail, ainsi que des données provenant du web et de vos appareils connectés, pour les injecter dans un modèle, qui est ensuite ajusté par des travailleurs, généralement faiblement rémunérés et localisés dans les pays du Sud. Dans un tel cadre, et au regard des contraintes de coûts qui pèsent sur ces entreprises, rien n’est véritablement conçu pour préserver l’intégrité des données face à des attaques d’empoisonnement. Je ne sais pas si vous avez vu The Manchurian Candidate, mais cet exemple est éclairant. Une chaîne d’approvisionnement sécurisée supposerait des processus bien plus exigeants et une approche profondément renouvelée des données, de leur production à l’évaluation de leur intégrité. Il s’agit là d’un besoin manifeste et, une fois encore, d’une opportunité de marché.

S’agissant de la pluralité des approches, je souhaiterais vous répondre par écrit, car la réponse dépend étroitement des environnements considérés et nécessiterait des évaluations plus approfondies. Nous sommes confrontés à un dilemme épistémologique puisque des modèles de grande taille, réputés performants au regard d’indicateurs de référence, s’avèrent très souvent défaillants lorsqu’ils sont déployés dans des conditions réelles. Ils ne fonctionnent pas avec les données qu’ils reçoivent, ne s’intègrent pas aux infrastructures existantes (les infirmières d’un hôpital, par exemple, ne peuvent les utiliser faute d’interopérabilité avec les autres systèmes) et présentent des contraintes techniques comme une consommation excessive de mémoire vive. Autant de difficultés concrètes qui expliquent que ces grands modèles se révèlent fréquemment inopérants en situation réelle. Il est donc nécessaire de développer des méthodes d’évaluation ancrées dans le monde réel, plutôt que dans un cadre abstrait fondé sur les modèles eux-mêmes.

Enfin, il convient de souligner que ces évaluations se limitent trop souvent au seul modèle d’IA, alors même que, dans la réalité, celui-ci ne constitue qu’un élément d’un système beaucoup plus vaste, comprenant des bibliothèques logicielles, des dépendances et des conditions de déploiement, qui doivent également faire l’objet d’une analyse et d’une mesure rigoureuses. Nous devons donc disposer de systèmes de mesure plus holistiques lorsque nous nous demandons ce qui fonctionne. Nous avons de nombreuses preuves que la réponse est souvent d’opter pour des modèles plus petits, mieux ciblés, et des déploiements plus rationnels, afin de réduire nos dépendances vis-à-vis de ces grands acteurs et de leur paradigme de la mise à l’échelle à tout prix.

M. le président Philippe Latombe. J’aurais une question en prolongement de vos propos sur l’IA et son déploiement dans les logiciels : quels sont, selon vous, les risques liés à l’intégration d’une IA agentique dans les systèmes d’exploitation ? Une telle évolution fait-elle peser des risques significatifs sur des entités critiques nationales, quelle que soit leur nationalité ? S’agit-il, à vos yeux, d’un véritable problème dès aujourd’hui ? Disposez-vous de solutions permettant d’en atténuer ou d’en contourner les effets ?

J’aurais également une question plus prospective. Vous représentez une fondation disposant d’une forte expertise en recherche cryptographique : à quel horizon situez-vous, pour votre part, l’enjeu quantique ? Comment fonctionnerons-nous avec le quantique ? Devons-nous dès à présent nous projeter dans cette nouvelle technologie et y investir, si tant est qu’il ne soit pas déjà trop tard ? Selon le calendrier de déploiement que vous anticipez pour le quantique, comment pourrions-nous procéder afin de disposer de solutions opérationnelles dans les années à venir ?

Mme Meredith Whittaker. S’agissant de l’IA agentique et de son intégration dans les systèmes d’exploitation, qu’elle soit mise en œuvre directement par les fournisseurs ou par l’intermédiaire de dispositifs qui incitent les utilisateurs à accorder à ces agents des permissions extrêmement intrusives leur ouvrant l’accès à l’ensemble de leurs données, notre inquiétude est, évidemment, très vive. Voilà en effet plusieurs années que nous exprimons nos réserves face à ces évolutions nouvelles. Nous observons en effet une pression croissante en faveur d’une intelligence artificielle appelée à exercer toujours davantage de contrôle sur nos vies et à agir de manière autonome, alors même que le paradigme agentique entre en contradiction directe avec les exigences de cybersécurité et de protection de la vie privée. Le terme même d’agent, qui n’a rien d’anodin sur le plan technique, désigne en réalité un système qui remplit deux fonctions. D’une part, pour pouvoir agir en votre nom, l’IA doit accéder à votre univers, à votre environnement, à votre contexte, autrement dit à vos données, de sorte qu’une masse considérable d’informations devient soudainement accessible. Ces données sont, très vraisemblablement, transmises ailleurs, car la puissance de calcul disponible sur la machine de l’utilisateur ne suffit généralement pas à les traiter localement. D’autre part, l’agent exploite ces données pour agir sans solliciter votre autorisation, puisqu’il doit précisément disposer d’une capacité d’action autonome. S’il devait demander une validation à chaque étape, il ne s’agirait plus d’un agent. Ce paradigme est donc déjà porteur de tensions, et nous constatons des pressions croissantes en faveur de l’intégration de ces agents, soutenues par des investissements massifs en capitaux et par la recherche du modèle adéquat pour le marché grand public.

À mes yeux, la rhétorique déployée autour de ces agents est irresponsable, au même titre que la manière dont ces organisations procèdent à leur déploiement. Le discours promotionnel insiste sur la simplicité d’usage, sur la promesse d’un génie magique qui accomplirait pour vous toutes les tâches administratives pendant que vous vous détendez mais les conséquences propres à ces systèmes agentiques, comme la réalité des conditions nécessaires pour leur permettre d’agir, sont passées sous silence. Pourtant, des violations de données existent déjà et nous voyons, par exemple, des utilisateurs laisser leur application Signal ouverte sur le web en raison d’erreurs de déploiement.

Chez Signal, cette évolution suscite une inquiétude majeure. Nous intervenons au niveau de la couche applicative et, comme beaucoup d’autres acteurs, nous devons pouvoir faire confiance au système d’exploitation. Or pendant des décennies, celui-ci a constitué une boîte à outils neutre. Aujourd’hui, nous assistons à ce que nous qualifions de « coup d’État avec un gant de velours » : une prise de contrôle de la couche applicative, dans laquelle l’accès aux données ainsi que la faculté d’en faire ce que l’on veut sont abandonnés aux trois entreprises qui exploitent les trois systèmes d’exploitation dominants, à savoir Android, Windows et iOS/macOS.

Prenons un exemple très simple : vous souhaitez qu’un agent organise un dîner d’anniversaire et invite vos amis. Pour que l’intelligence artificielle soit en mesure d’accomplir cette tâche, elle devra disposer de votre numéro de carte bancaire pour effectuer la réservation, de la capacité de simuler des clics de souris afin d’effectuer des recherches sur internet, de l’accès à vos messages Signal ainsi qu’à votre liste de contacts, et de l’accès à votre agenda pour vérifier vos disponibilités. L’ensemble de ces données hautement sensibles se trouve alors transmis à des sites externes, non seulement à celui qui traite directement vos données, mais également aux plateformes de réservation de restaurants, à l’application de calendrier, et à d’autres encore. À ce stade, toute frontière disparaît. L’octroi de tels accès ne crée pas une vulnérabilité simplement hypothétique dans notre protocole de chiffrement, qui constitue depuis dix ans l’étalon-or en la matière, il ouvre un vecteur d’attaque direct, créé par l’agent lui-même, permettant d’accéder à vos messages Signal dans le seul but d’organiser cette fête d’anniversaire. C’est bien ce que nous observons à travers le déploiement risqué de ces agents, dont l’architecture ressemble beaucoup plus à celle d’un logiciel malveillant qu’à celle d’une application ordinaire. Tout cela se fait sous couvert de facilité d’usage et d’enthousiasme pour l’IA, sans que les risques collatéraux fassent l’objet d’une attention suffisante.

Au sein de Signal, nous appelons à la suspension de ces déploiements risqués, dès lors que chacun d’entre nous dépend de ces systèmes d’exploitation, qu’il s’agisse de nos militaires, de nos gouvernements ou de nos familles. Nous ne pouvons accepter qu’ils soient ainsi vidés de leur substance par des agents qui les rendent globalement vulnérables. Nous appelons également à une amélioration substantielle de la documentation car, à mesure que ces systèmes sont déployés, la clarté diminue quant à leur fonctionnement, aux données auxquelles ils accèdent et aux destinations vers lesquelles celles-ci sont envoyées. Un surcroît de transparence est indispensable et il est tout aussi nécessaire que les développeurs puissent décider de ne pas recourir à ces dispositifs. Les équipes de Signal ne doivent en aucun cas être contraintes d’intégrer un agent ayant accès aux messages Signal, car un tel recours doit relever d’un choix propre à chaque application. Les utilisateurs peuvent eux-mêmes opter pour ces dispositifs, mais il nous faut être en mesure d’en bloquer l’accès, et ce blocage doit intervenir par défaut.

L’exemple de Microsoft Recall, annoncé il y a un peu plus d’un an avec Windows 11, est à cet égard éclairant. Il était présenté comme un outil offrant une mémoire exhaustive de l’ensemble des activités réalisées sur l’ordinateur, au moyen de captures d’écran effectuées toutes les quelques secondes, soumises à une reconnaissance optique de caractères (OCR), puis stockées, dans leur version initiale, au sein d’une base de données non chiffrée sur le système de fichiers, donc accessible à des acteurs malveillants. Ces captures incluaient notamment les messages Signal, exposant également les correspondants qui les envoyaient à cette captation intrusive. Face à cette situation, Signal a dû recourir à un mécanisme de type gestion des droits numériques afin d’empêcher une telle captation. Nous n’aurions pas nécessairement identifié ce besoin sans la vigilance d’experts particulièrement sensibilisés à ces enjeux, d’autant qu’aucune communication officielle n’avait été faite par Microsoft. Aucun choix ne nous a été laissé et nous avons dû agir pour protéger les utilisateurs de Signal sur Windows. Toutefois, cette protection a reposé sur le seul levier disponible, avec pour conséquence de perturber des fonctionnalités d’accessibilité, notamment pour les personnes malvoyantes. Tel est l’état actuel de l’environnement, et il s’agit d’une question qui appelle une réponse urgente. Une attention beaucoup plus soutenue doit y être portée, en particulier par celles et ceux qui sont conscients de l’importance de l’intégrité et de la robustesse de nos infrastructures.

M. Éric Bothorel (EPR). Signal se présente comme un service éthique et centré sur l’utilisateur mais, à l’instar de toute grande plateforme, elle s’appuie sur des infrastructures critiques, souvent financées et régulées par les États, en particulier les infrastructures de télécommunication. Quelle est, dans ce contexte, votre position sur la notion de fair share ? Considérez-vous que Signal devrait contribuer davantage aux investissements consentis par les fournisseurs d’accès à internet dans les pays où elle opère, afin de garantir que la protection des données et l’accès aux services ne s’exercent pas au détriment de la souveraineté ou de l’intérêt public ?

J’aurais également une question d’actualité. Il semble que certaines organisations russes portent un intérêt particulier à Signal ou à WhatsApp. Elles n’exploiteraient pas des failles techniques, mais mèneraient des opérations d’hameçonnage. Plusieurs autorités européennes font d’ailleurs état, en la matière, d’une campagne d’une certaine ampleur visant des messageries, notamment la vôtre. Qu’envisagez-vous, le cas échéant, en termes de coopération, de prévention, ou au contraire d’absence d’intervention, afin de faire obstacle à cette opération ?

Mme Meredith Whittaker. Si je comprends bien la première question, vous demandez pourquoi Signal ne contribue pas plus aux infrastructures, par exemple de télécommunication. Je ne comprends pas bien la question.

M. Éric Bothorel (EPR). Comme Netflix et d’autres, vous êtes considérés comme des acteurs over-the-top. Cela signifie que vous vous appuyez sur des infrastructures déployées par des opérateurs qui investissent lourdement dans des technologies de câbles, de fibre ou de satellite. Il est question que les acteurs qui bénéficient de ces infrastructures pour le déploiement de leurs outils participent d’une manière ou d’une autre au financement de ces investissements. Est-ce plus clair ?

Mme Meredith Whittaker. Je pense qu’il y a, de votre part, une confusion entre Signal et des acteurs tels que Google ou d’autres entreprises de cette nature. Vous pouvez d’ailleurs constater les millions de dollars que nous consacrons à la bande passante, et je réponds ici à votre question car ces dépenses, particulièrement élevées, correspondent à des sommes versées aux acteurs qui nous permettent de fournir ces services. Nous opérons en tant que service over-the-top mais il ne nous est pas possible de procéder autrement. Voilà la réponse que je souhaitais apporter à votre première question.

S’agissant de votre seconde interrogation relative aux campagnes d’hameçonnage, il s’agit effectivement d’un sujet de préoccupation majeure. J’en discutais précisément aujourd’hui avec l’un de mes collaborateurs afin d’examiner les évolutions à apporter en matière d’interface, notamment pour garantir la mise en place d’alertes à destination des utilisateurs. Nous savons que la Russie, ainsi que d’autres États hostiles à Signal (vous savez que l’Ukraine recourt largement à notre application) sont des régimes autoritaires qui ne voient pas d’un bon œil l’accès des individus à leurs droits fondamentaux.

Mme Cyrielle Chatelain, rapporteure. Ma première question porte sur l’intelligence artificielle générative qui, au-delà des vulnérabilités en matière de sécurité, soulève des enjeux économiques, dans la mesure où elle capte aujourd’hui des volumes d’investissements considérables. Considérez-vous qu’il existe une forme de bulle autour de l’IA générative, susceptible de détourner des financements au détriment d’autres types de modèles qui pourraient pourtant présenter un intérêt ?

Ma seconde question concerne la captation des données. Vous avez indiqué que, pour permettre à un agent d’organiser un dîner, celui-ci devait accéder à un volume très important d’informations. Or des acteurs tels que Google disposent déjà d’un accès à nos courriels, potentiellement aux photographies que nous stockons, à nos carnets d’adresses ou encore à nos agendas, constituant ainsi des ensembles de données d’une densité exceptionnelle. Selon vous, ces données peuvent-elles être mobilisées à l’encontre des usagers ? Il me semble que vous avez évoqué, dans l’une de vos interventions, l’idée selon laquelle l’asymétrie d’information pouvait constituer un instrument susceptible d’être utilisé par des entreprises au profit d’États. Quel danger représente, dès lors, une telle concentration d’informations ?

Mme Meredith Whittaker. Sur la première question, je ne suis ni experte en finance ni vendeuse d’IA ce qui, dans cet univers, me confère une forme de singularité. J’observe les circuits du financement, le fonctionnement de l’économie, et il me semble en effet qu’il existe une forme de bulle. Je ne saurais toutefois en déterminer avec précision le point de cristallisation, compte tenu du niveau de richesse privée, du nombre d’entreprises cotées bénéficiant de financements considérables et du fait que les États-Unis paraissent avoir intérêt à la pérennisation de cette industrie en tant qu’instrument de domination. Le récit porté par ce secteur consiste à présenter l’IA comme l’aboutissement même du progrès, et il ne s’agit donc pas seulement d’un paradigme économique, mais également d’un paradigme géopolitique. Je ne dispose pas, pour ma part, d’un modèle prédictif permettant d’anticiper ce qui adviendra. Je peux certes envisager une certaine déflation et une atténuation de la courbe d’enthousiasme, mais quant aux effets à moyen et à long terme, je ne saurais les prédire. Je pourrais en revanche vous mettre en relation avec des personnes mieux armées que moi pour répondre de manière détaillée à cette question.

S’agissant à présent des dangers liés à la concentration des données, je ne crois pas qu’ils relèvent de l’hypothèse, et je ne crois pas non plus que nous puissions encore apporter des réponses rassurantes. Des exemples concrets permettent d’en prendre la mesure. Lorsque le régime hitlérien est arrivé au pouvoir, il a d’abord procédé à un recensement afin d’identifier les individus, leur origine et leur profession, et ce sont ensuite ces données qui ont servi au massacre de millions de personnes. S’il n’avait pas été possible de les identifier ni de les distinguer des autres sur la base de telles informations, un massacre d’une telle ampleur n’aurait pas pu se produire. Il nous faut donc reconnaître qu’il existe une asymétrie de pouvoir fondée sur l’asymétrie d’information.

Il faut également rappeler qu’aux États-Unis, une femme a été incarcérée après que Meta a pris connaissance d’un échange de messages sur Facebook entre elle et sa fille, dans l’État du Nebraska, après que cet État a restreint l’accès aux soins reproductifs après la décision Dobbs. Ces messages privés montraient qu’elle avait aidé sa fille à accéder à l’avortement ; elle est désormais en prison. Cet exemple nous est connu parce qu’il a été relayé par les médias, mais le problème excède très largement ce seul cas. Des entreprises détiennent des informations, alors même que des qualifications telles que « terroriste » ou « menace pour le pays » sont, par nature, mouvantes. Ce qui est légal aujourd’hui peut devenir illégal demain.

Ce que nous savons, en revanche, c’est que les entreprises qui nous surveillent détiennent des informations d’une extrême sensibilité. Au cours de mes treize années passées chez Google, j’ai pu observer la manière dont l’entreprise se reconfigure à l’occasion d’une élection présidentielle : tout y est alors réorganisé, depuis la stratégie de lobbying jusqu’aux personnes en poste, celles qui étaient proches de l’administration sortante étant écartées au profit de profils aussi proches que possible de la nouvelle équipe au pouvoir. À chaque alternance, ces entreprises cherchent à se placer au plus près du pouvoir afin d’en retirer des avantages, car leur finalité demeure la maximisation du profit. Les circonstances politiques évoluent mais les données, elles, demeurent. Ainsi, le compte Gmail que vous avez ouvert il y a plusieurs années pourrait fonctionner différemment sous un nouveau régime.

M. le président Philippe Latombe. Merci pour votre disponibilité, pour la franchise de vos propos et merci d’être venue discuter de ces sujets au sein de cette commission.

* *

Audition, ouverte à la presse, de M. Aiman Ezzat, directeur général de CapGemini (jeudi 26 mars 2026)

M. le président Philippe Latombe. Nous recevons ce matin le directeur général de Capgemini, M. Aiman Ezzat, accompagné de Mme Karine Brunet, directrice mondiale des opérations et du delivery et membre du comité de direction générale du groupe, à qui je souhaite la bienvenue. Ils nous expliqueront notamment comment Capgemini s’inscrit dans la filière française et européenne du numérique et dans quelle mesure le groupe contribue à construire ou à renforcer notre souveraineté en la matière.

Je vous remercie de nous déclarer tout intérêt public ou privé de nature à influencer vos déclarations. Je vous rappelle que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter le serment de dire la vérité, toute la vérité, rien que la vérité.

(M. Aiman Ezzat et Mme Karine Brunet prêtent successivement serment.)

M. Aiman Ezzat, directeur général de Capgemini. Je vous remercie de nous donner l’occasion d’évoquer le sujet stratégique de la souveraineté numérique. Si nous sommes tous d’accord sur le constat qui mobilise votre commission d’enquête, il faut désormais trouver les meilleures solutions.

Permettez-moi, pour commencer, de vous présenter brièvement qui nous sommes et ce que nous faisons. Depuis sa création à Grenoble en 1967 par Serge Kampf, notre société a toujours été guidée par l’ambition de répondre aux besoins technologiques des entreprises, en leur proposant une gamme complète de services informatiques. Elle a connu depuis une croissance remarquable, grâce à des acquisitions stratégiques – notamment Ernst & Young Consulting, Kanbay, Altran et récemment WNS – qui lui ont permis de renforcer son expertise et son empreinte mondiale. Partout dans le monde, Capgemini est un partenaire de la transformation business et technologique de ses clients. Notre société rassemble plus de 420 000 collaborateurs dans plus de cinquante pays.

Dans le secteur des services technologiques, Capgemini figure parmi les cinq premières entreprises mondiales. Le groupe est numéro un en Europe, avec un chiffre d’affaires de 22 milliards d’euros en 2025. C’est donc l’un des champions français d’envergure mondiale.

Nous intervenons sur l’ensemble de la chaîne de valeur, de la stratégie à la conception jusqu’à l’ingénierie, grâce à notre leadership dans l’IA, le cloud ou la data, combiné à une expertise sectorielle profonde et à un écosystème de partenaires technologiques de premier plan. Notre but est d’aider nos clients à générer de la valeur dans trois domaines clés : l’expérience que les entreprises et les institutions veulent proposer à leurs clients et aux citoyens, la convergence du digital et de l’ingénierie pour repenser les produits, la production et la chaîne logistique, et enfin la gestion de l’entreprise, ce qui signifie sa modernisation et l’optimisation de ses fonctions et processus clés. Nous aidons nos clients à adopter des technologies essentielles, comme le cloud, la data et l’IA, en intégrant les enjeux de cybersécurité et d’impact environnemental.

En France, Capgemini compte plus de 35 000 collaborateurs répartis dans une cinquantaine de villes. Il a réalisé un chiffre d’affaires de 4,2 milliards d’euros en 2025, soit 19 % du chiffre d’affaires total du groupe. La France occupe donc une place essentielle pour nous. Le groupe joue un rôle de premier plan dans l’écosystème français de la tech et de l’innovation, à travers la formation de ses propres salariés : nous sommes l’un des plus grands recruteurs d’ingénieurs jeunes diplômés, que nous formons aux technologies de pointe. Nous prévoyons de recruter 3 200 personnes en France en 2026, après en avoir recruté près de 3 500 en 2025. Nous avons investi dans huit start-up, dont Pasqal, Verkor ou Poolside, dans les domaines du quantique, des batteries ou de l’IA générative. Nous contribuons à l’écosystème, grâce à des partenariats innovants avec, par exemple, Future4care ou Hi ! Paris sur les enjeux de e-santé ou d’IA et des acteurs clés de la tech française comme Mistral AI ou Dassault Systèmes, qui renforcent notre position sur les technologies d’avenir.

Nos clients sont des grandes entreprises et des institutions, et non des PME ou des particuliers. Nous ne sommes ni un producteur de matériel, ni un éditeur de logiciels, ni un fournisseur de modèles d’IA, pas plus qu’un acteur des data centers ou des réseaux sociaux. Nous sommes une société de services, dont l’objectif est de répondre aux besoins des clients et de les accompagner avec des solutions innovantes, adaptées à leurs objectifs stratégiques. Nous sommes amenés à leur faire des recommandations sur la base de leur cahier des charges, mais ce sont eux qui font leurs propres choix technologiques.

La souveraineté est devenue un enjeu grandissant pour nos clients. Dans un monde de plus en plus digital, marqué par un ralentissement du marché et une forte compétition, nos clients – les grandes entreprises mondiales – sont à la recherche de partenaires à même de leur apporter une expertise non seulement business et technologique, mais aussi sectorielle, ainsi qu’un savoir-faire sur les grands programmes de transformation, en mettant autour de la table les bonnes compétences. Le cloud et l’IA sont les moteurs majeurs de la transformation digitale et les grands acteurs technologiques mondiaux apportent un ensemble de solutions d’importance stratégique pour nos clients, car, dans une économie mondialisée et ultraconnectée, la transformation digitale entraîne une forte interdépendance numérique. Nous vivons en effet dans un contexte marqué par des tensions géopolitiques croissantes, une complexité réglementaire, des législations extraterritoriales et une augmentation des cyberattaques. Par ailleurs, la défaillance d’un acteur technologique peut entraîner des défaillances en chaîne chez ses partenaires et ses clients, et avoir des répercussions mondiales. Cela a mis en évidence des vulnérabilités critiques, notamment en Europe, où plus de 80 % des produits, des services, des infrastructures et des propriétés intellectuelles numériques sont importés.

Que ce soit en France, en Europe ou ailleurs, nos clients se posent ainsi de nouvelles questions. Quels sont les risques et les dépendances stratégiques qui peuvent affecter mon modèle d’affaires et ma résilience ? Comment puis-je m’assurer d’une autonomie stratégique et, surtout, en ai-je les moyens ? Comment puis-je opérer ou utiliser des plateformes souveraines ? Et la question qui revient le plus souvent : puis-je renforcer ma souveraineté sans sacrifier ma compétitivité ? L’équilibre entre souveraineté et compétitivité est devenu le sujet central.

Qu’est-ce que la souveraineté numérique ? Chez Capgemini, nous sommes alignés avec la définition donnée par la Cour des comptes dans son rapport de fin octobre 2025 : « une maîtrise par un État des technologies numériques et du droit qui leur est applicable, pour conserver une capacité autonome d’appréciation, de décision et d’action dans le cyberespace ». Elle suppose ainsi de ne pas se laisser dicter par un tiers des choix technologiques structurants et que les données sensibles soient protégées.

Toutefois, suffit-il de décréter sa propre autonomie technologique ? Dans un monde numérique globalisé et hyperconnecté, l’autonomie totale est une illusion. Aucun pays n’est réellement souverain. L’architecture numérique repose sur les terres rares, les semi-conducteurs, les centres de données, les infrastructures, le matériel, les logiciels et, désormais, les modèles d’IA, des composants qui, par nature, traversent les frontières. Posséder et exploiter ses propres centres de données ne suffit pas. Aucun pays ni aucune entreprise ne contrôle l’ensemble de la chaîne de valeur qui couvre les composants physiques et logiciels, les modèles d’IA, les services associés, l’énergie, la cybersécurité et la connectivité, entre autres. D’ailleurs, très peu en auraient les moyens.

Qu’on se le dise : être souverain, c’est avoir la capacité de choisir ses dépendances. En définitive, l’enjeu pour les acteurs européens n’est pas de se rendre autonomes, mais bien de comprendre les dépendances technologiques, pour passer de la dépendance à l’interdépendance.

Permettez-moi de citer trois exemples. Premièrement, celui des puces : pour la fabrication de puces avancées, l’Europe dépend notamment d’une société taïwanaise, TSMC, laquelle dépend d’une société européenne, ASML, pour la lithographie de pointe, et ces deux entreprises dépendent en partie de Nvidia, qui produit les processeurs graphiques d’entraînement IA. L’interdépendance est la seule règle du jeu possible.

Deuxièmement, les réseaux, la connectivité et le spatial. La France dispose d’atouts relatifs dans les équipements 5G et les câbles sous-marins. Mais la dépendance aux protocoles et standards américains et l’expansion de Starlink créent des points de vulnérabilité sur le contrôle des flux. Nous devons donc créer des dépendances à l’égard des technologies européennes dans ce domaine.

Troisièmement, l’IA agentique, qui introduit un enjeu nouveau. Quand des agents IA autonomes prennent des décisions et orchestrent d’autres systèmes, la question n’est plus simplement de savoir où sont les données, mais qui orchestre et contrôle la boucle décisionnelle. Nous avons besoin d’acteurs européens capables de fournir des plans de contrôle garantissant une véritable autonomie stratégique aux entreprises européennes. Nous ne le ferons pas en ignorant des sociétés telles que OpenAI, Anthropic ou Google, mais en tirant parti de leur technologie, tout autant que de celle d’acteurs européens, tels que Mistral AI.

La souveraineté technologique n’est donc pas un concept monolithique. Elle recouvre plusieurs dimensions : la souveraineté des données, la souveraineté opérationnelle, la souveraineté technologique et la souveraineté juridique. Les décideurs doivent pleinement intégrer toutes ces dimensions afin de gérer les arbitrages, en ayant une vision claire des implications stratégiques.

Dès lors, le défi pour les organisations consiste à déterminer comment atteindre un contrôle stratégique et atténuer les risques de dépendances critiques, tout en maintenant leur compétitivité. Il n’existe pas de réponse unique. Les entreprises de défense, par exemple, doivent maîtriser technologie, cybersécurité et données. Pour de nombreuses entreprises dans des secteurs moins sensibles, la priorité est surtout la souveraineté des données : garantir un accès permanent aux données, les protéger des violations et les préserver d’un accès étranger indésirable. Pour d’autres, la souveraineté consiste à éviter une dépendance vis-à-vis d’un unique fournisseur technologique. Pour la plupart, l’un des enjeux majeurs est la continuité des opérations. Les dépendances critiques doivent donc être identifiées, afin d’élaborer le bon plan de souveraineté, en tenant compte du secteur, de la base du client, du pays d’opération, de la chaîne d’approvisionnement, de l’architecture IT, mais aussi des solutions possibles existant sur le marché. Il faut être réaliste et pragmatique. Selon nous, la souveraineté est avant tout un exercice d’équilibre entre autonomie stratégique et compétitivité. Elle passera par la sécurisation des capacités critiques et la réversibilité maîtrisée pour réduire les dépendances à haut risque, à un coût acceptable.

Comment traitons-nous au quotidien l’enjeu de la souveraineté pour nos clients ? En tant que premier acteur européen du secteur, Capgemini joue un rôle moteur dans le développement d’offres, d’écosystèmes et de partenariats adaptés aux besoins en souveraineté des grandes organisations européennes. Nous accompagnons nos clients dans la définition d’une cartographie de leurs risques numériques, afin de construire avec eux la meilleure feuille de route pour répondre à leurs objectifs stratégiques. Pour ce faire, nous prenons en compte la localisation des données, le contrôle d’accès, les opérations, les contraintes réglementaires et l’isolation ou non des réseaux. Par ailleurs, nous travaillons avec un nombre croissant de clients sur l’instauration de combinaisons d’architectures hybrides, privées, multicloud et souveraines, pour développer innovation et compétitivité, tout en renforçant leur résilience.

C’est pourquoi, pour répondre aux besoins technologiques de nos clients, nous avons construit un écosystème très large de partenaires, parmi les leaders mondiaux dans leur domaine, allant des champions européens – Dassault Systèmes, Mistral AI, SAP, Siemens ou OVH – aux grands acteurs américains tels que Microsoft, Google, AWS, OpenAI, Nvidia ou Oracle, en passant par des pure players et des start-up comme Pasqal. Il est possible de renforcer sa souveraineté technologique sans nécessairement passer par des technologies européennes. Avec Mistral AI et SAP, par exemple, nous fournissons des systèmes d’IA sécurisés et évolutifs, destinés au secteur réglementé, avec des exigences strictes en matière de données. Avec Orange, nous avons créé Bleu, une entreprise de droit français qui s’appuie sur la technologie Microsoft tout en étant totalement déconnectée de son infrastructure : Microsoft n’a pas accès aux données des clients de Bleu, ce qui garantit qu’elles soient protégées des lois extraterritoriales. L’an dernier, nous avons également fait l’acquisition de Cloud4C, un acteur leader des services managés automatisés pour les environnements cloud hybrides et souverains.

Enfin, nous accompagnons nos clients en matière de cybersécurité, pour identifier et évaluer les risques de sécurité et les vulnérabilités, instaurer les processus relatifs à l’architecture de sécurité et aux moyens de détection et de réaction face aux cyberattaques. Permettez-moi de vous donner trois exemples de projets clients en matière de souveraineté numérique. Depuis 2022, nous copilotons avec Airbus le consortium réseau radio du futur (RRF), pour le compte du ministère de l’intérieur. Dans le cadre du programme France 2030, nous travaillons pour le Cnes (Centre national d’études spatiales), aux côtés de Thales Alenia Space, sur la démonstration 5G directe par satellite. Nous avons également développé une solution pour détecter les deepfakes en temps réel. C’est un outil d’intelligence artificielle qui peut identifier des flux synthétiques, qu’ils soient en format vidéo, audio ou qu’il s’agisse de documents.

Nous nous adaptons donc aux besoins des clients et aux réalités du marché. L’objectif est de garantir que les organisations françaises et européennes gardent un contrôle sur leurs données, leurs opérations, leurs solutions technologiques et leurs obligations de conformité. J’y insiste, Capgemini étant une société de services, ce sont nos clients qui prennent les décisions sur leur feuille de route et leurs partenaires technologiques.

Comment soutenir concrètement la souveraineté technologique de la France et de l’Europe ? Cette dernière dispose de nombreux atouts pour développer ses propres technologies, à commencer par ses talents et son écosystème de start-up. Néanmoins, plusieurs aspects permettraient de réduire ses dépendances. Pour commencer, il faut soutenir l’écosystème technologique européen et encourager l’adoption de technologies. C’est indispensable pour gagner en innovation et en compétitivité, conditions sine qua non de la souveraineté. Les pouvoirs publics pourraient, par exemple, instaurer une préférence européenne pour les achats publics. Ensuite, si l’Europe ne peut rivaliser avec les États-Unis et la Chine sur le terrain des investissements, elle doit adopter une approche pragmatique et faire des choix. Les stratégies de souveraineté doivent reposer sur une évaluation claire des urgences. Quels secteurs nécessitent un contrôle stratégique ? Où les partenariats peuvent-ils accélérer les progrès ? Quels éléments, dans la chaîne de valeur, sont prioritaires ou comportent le plus de risques ? De notre point de vue, la richesse de l’Europe, ce sont, d’une part, ses données et son savoir-faire et, d’autre part, ses opérations. C’est ce qu’il faut absolument protéger.

Enfin, en matière réglementaire, la souveraineté doit s’appuyer sur des cadres unifiés, stables et prospectifs. La surréglementation, en particulier dans les technologies émergentes telles que l’IA, risque en effet de ralentir son adoption et de compromettre la compétitivité de l’Europe d’autant que, dans un contexte de course rapide et mouvante de l’innovation, se conformer à des règles en constante évolution représente un vrai défi pour les entreprises.

En résumé, en tant qu’entreprise de services numériques, notre rôle est de répondre aux besoins et aux préoccupations de nos clients ; en tant qu’entreprise française et européenne, nous sommes pleinement mobilisés pour que les solutions que nous développons les aident à réduire leur dépendance stratégique, tout en garantissant leur compétitivité. Nous défendons une souveraineté pragmatique, source de résilience et de compétitivité.

M. le président Philippe Latombe. Je vous remercie de ce propos liminaire. Vous avez souligné, à plusieurs reprises, que ce sont vos clients qui prennent les décisions et non votre société. Mais vous avez aussi parlé de construire avec les clients. Où se situe la frontière entre le conseil, la coconstruction et la décision ? En effet, certaines situations semblent problématiques. Je pense à ce salarié de Capgemini, consultant auprès de l’Anah (Agence nationale de l’habitat), qui, il y a quelques années, s’est retrouvé décisionnaire au sein de l’Agence ou à la position de Capgemini dans la préfiguration de la plateforme des données de santé Health Data Hub. Pourriez-vous nous expliquer jusqu’où vous allez dans le conseil à vos clients – coconstruction, participation à des choix stratégiques – et comment votre grille de lecture, avec TechnoVision par exemple, vous permet de rester à distance de la décision, tout en apportant un conseil le plus précis possible ?

M. Aiman Ezzat. Dans la majorité des cas, nous intervenons une fois que les clients ont pris des décisions technologiques. Ils nous demandent parfois de l’assistance pour les aider à analyser les situations et à mieux comprendre les environnements, les contraintes et les solutions, grâce à nos compétences en architecture technologique. Néanmoins, les décisions finales ne sont pas forcément fondées sur la seule technologie ; elles impliquent bien d’autres facteurs, tels que la dépendance aux fournisseurs et la question des prix ou des contractuels. C’est pourquoi les décisions sont toujours prises par les clients, et ce n’est pas nécessairement la meilleure solution technologique qui est retenue, que ce soit pour des raisons de coût ou de dépendance. Nous ne sommes qu’un élément de l’équation pour aider le client à prendre sa décision, mais – j’y insiste – nous ne prenons pas de décision, le client restant maître de ses choix.

M. le président Philippe Latombe. Pour bien comprendre, cela signifie que, dans le cas du Health Data Hub, Capgemini, qui était dans la phase de construction stratégique du projet, n’a pas participé au choix de l’utilisation de Microsoft ? De même, vous n’avez pas participé à la décision d’EDF d’utiliser Salesforce et AWS et vous n’intervenez qu’en maîtrise d’ouvrage du changement des systèmes d’information ?

M. Aiman Ezzat. Nous pouvons apporter des éléments de conseil si nos clients nous demandent de les aider à évaluer les solutions disponibles en fonction de leurs spécificités ou de leurs contraintes. Mais cela arrive dans une minorité des cas. À la fin, ce sont eux qui décident.

Mme Cyrielle Chatelain, rapporteure. Capgemini travaille en relation étroite avec de nombreuses administrations françaises. Pourriez-vous nous indiquer la part que représentent les missions effectuées pour le secteur public dans votre chiffre d’affaires ?

M. Aiman Ezzat. Capgemini a réalisé en 2025 un chiffre d’affaires de 588 millions d’euros avec le secteur public, ce qui représente 14 % de son chiffre d’affaires total en France, soit une part légèrement inférieure à celle du secteur public dans l’ensemble du groupe – 15 % – et bien inférieure à ce qui se passe dans d’autres pays européens, tels que les Pays-Bas ou l’Angleterre.

Nous sommes l’un des principaux partenaires de l’État et de l’administration pour accélérer la transformation technologique. À titre d’exemple, nous accompagnons la direction de la transformation numérique du ministère de l’intérieur pour un marché d’appui au pilotage et à la conception des projets numériques et intervenons également sur le programme Réseau radio du futur, dédié aux communications opérationnelles des forces de sécurité et de secours. Il s’agit d’un projet de souveraineté numérique pour l’État, afin de gérer des situations compliquées, sans aucune dépendance. Capgemini opère aussi des marchés de réalisation et d’évolution des applications des infrastructures de France Travail, afin de moderniser les outils des conseillers et les parcours numériques des demandeurs d’emploi, de faciliter l’accès aux offres et d’améliorer le suivi de l’accompagnement. Dans ce contexte, nous travaillons souvent sur des solutions open source, qui permettent aussi de renforcer la souveraineté. Enfin, nous accompagnons la direction générale des finances publiques pour un marché d’appui au pilotage des programmes, dont celui intitulé Foncier innovant, qui vise à détecter sur les photographies aériennes les bâtis taxables et à mettre à jour le plan cadastral en y reportant graphiquement les éléments identifiés.

Mme Cyrielle Chatelain, rapporteure. L’actuel directeur par intérim du Health Data Hub nous expliquait que les prestations de conseil de Capgemini pouvaient être évaluées à 10 millions d’euros environ pour l’ensemble de la mission. Confirmez-vous ce montant ?

M. Aiman Ezzat. Je n’ai pas le chiffre exact en tête, mais c’est en effet l’ordre de grandeur.

Mme Cyrielle Chatelain, rapporteure. Nous confirmez-vous que, sur cette mission, vous interveniez en amont de la décision du choix technologique ? L’ancienne directrice du Health Data Hub, Stéphanie Combes, a déclaré lors de son audition devant le Sénat qu’un consultant de Capgemini avait assuré une mission de project management officer – c’est-à-dire de coordination des acteurs – et formalisé les exigences fonctionnelles, lesquelles induisent des choix technologiques.

M. Aiman Ezzat. Notre intervention auprès du Health Data Hub était une mission de conseil pour structurer le projet et les équipes ; nous avons donc joué un rôle de coordination du projet. L’État avait fait le choix de s’appuyer sur des accords-cadres interministériels qui ont fait l’objet d’un appel d’offres, au terme duquel nous avons été sélectionnés.

Je le redis, Capgemini ne prend pas de décision technologique pour le compte de ses clients, qui restent maîtres de leur choix en fonction de considérations non pas seulement techniques ou technologiques, mais aussi budgétaires, réglementaires ou législatives. Quelles que soient les spécifications, différentes solutions sont toujours possibles. Il faut aussi avoir à l’esprit que les gens prennent des décisions en fonction des solutions disponibles sur le marché. Il y a sept ou huit ans, les solutions n’étaient pas les mêmes qu’actuellement.

M. le président Philippe Latombe. À l’époque, vous faisiez partie de la mission de préfiguration du Health Data Hub et vous étiez aussi le prestataire de référencement au sein de l’Ugap (Union des groupements d’achats publics) pour la partie cloud – avant d’être remplacés par Crayon. Je vous le demande très clairement : avez-vous un intérêt commercial, économique ou financier à proposer une solution technologique avec certaines entreprises ? Par exemple, lorsque vous proposez d’utiliser Salesforce sur AWS, avez-vous un accord commercial de déploiement de cette solution et percevez-vous une rémunération ou un avantage de la part de ces deux opérateurs ?

M. Aiman Ezzat. À ma connaissance, absolument pas. Nous n’avons aucun intérêt à proposer une solution plutôt qu’une autre. Notre avantage est d’être neutres, et nous nous efforçons de développer des compétences avec différentes solutions ; c’est pourquoi nous avons des relations avec différents acteurs. Par exemple, pour les nouveaux modèles d’IA, nous travaillons aussi bien avec Mistral AI qu’avec OpenAI ou Anthropic. Nous ne sommes pas rémunérés par ces sociétés et nous n’avons aucun avantage particulier à proposer une solution plutôt qu’une autre. Notre objectif est d’identifier l’intérêt des clients, de leur proposer un éventail de solutions possibles, de les aider à les évaluer s’ils nous le demandent – ce qui n’est pas toujours le cas ; souvent, ils se décident avant, indépendamment de nous – et, ensuite, de les accompagner dans le déploiement de ces solutions pour qu’ils en retirent la valeur ajoutée attendue. Notre rôle se situe bien davantage dans l’accompagnement du déploiement des technologies et la création de valeur inhérente que dans la prise de décision, qui reste de leur responsabilité. Nous nous assurons que ce soit très clair contractuellement.

M. le président Philippe Latombe. Dans ce cas, pouvez-vous nous expliquer ce qu’est un accord de partenariat stratégique comme ceux que vous avez signés avec Microsoft ou Google ? Qu’est-ce que cela recouvre exactement ? J’imagine que, lorsqu’une société commerciale comme la vôtre signe un partenariat stratégique, c’est parce qu’elle y a un intérêt – et ce n’est pas une critique. Cela implique-t-il que vos ingénieurs soient systématiquement formés par ces entreprises, ce qui vous conduirait à proposer spontanément leurs solutions en priorité ?

Mme Karine Brunet, directrice mondiale des opérations et du delivery, et membre du comité de direction générale du groupe. Nous sommes neutres en matière de choix technologiques, mais nous sommes un fournisseur de services. Nous accompagnons nos clients dans le déploiement des solutions technologiques et dans les opérations qui en découlent. La technologie n’a jamais évolué aussi vite que ces douze ou dix-huit derniers mois. Il est donc primordial de nous assurer que nos collaborateurs sont formés aux dernières technologies, qu’ils ont accès aux versions bêta des logiciels pour faire des tests. Ces accords stratégiques sont donc principalement liés au développement des compétences de nos collaborateurs et, pour certains métiers verticaux, à de la création de valeur spécifique pouvant répondre à des besoins du client. Par exemple, s’il y a une demande particulière dans une industrie donnée, Capgemini peut utiliser sa connaissance du métier pour améliorer l’utilisation et l’impact de la technologie.

M. Aiman Ezzat. C’est surtout la demande des clients qui explique nos choix de partenariats stratégiques. Si nous investissons auprès de Microsoft pour former nos équipes et obtenir des certifications sur des solutions innovantes – c’est bien un investissement ; rien n’est gratuit –, c’est pour répondre à une demande du marché. Nous n’aurions aucun intérêt à former des gens à des solutions qu’aucun client ne souhaiterait adopter ensuite. C’est donc la demande qui motive nos partenariats stratégiques et les compétences que nous développons.

Mme Cyrielle Chatelain, rapporteure. Vos équipes ont effectivement des certifications importantes et très complètes dans la maîtrise de l’outil Microsoft – architectes certifiés Microsoft Cloud, Microsoft Azure, Microsoft Azure Expert. Il est également indiqué sur votre site que vous êtes au service des entreprises utilisatrices de Microsoft. Pouvez-vous nous préciser le montant de votre chiffre d’affaires lié à la vente et à l’accompagnement de services Microsoft ?

M. Aiman Ezzat. Nous développons effectivement des compétences Microsoft pour aider à déployer ses solutions, mais nous sommes également liés à d’autres grands partenaires, tels que AWS, SAP, Salesforce, Dassault Systèmes ou Siemens. Je ne connais pas le chiffre d’affaires exact réalisé avec Microsoft, mais nous essayons d’évaluer les chiffres d’affaires liés à nos partenaires pour savoir si cela vaut la peine d’investir dans ces compétences. C’est de l’ordre de quelques milliards d’euros, sachant que Microsoft est notre plus grand partenaire aujourd’hui en matière de déploiement de compétences – puisque ce sont elles qui sont génératrices de recettes. Il est aussi le plus vieux partenaire technologique, puisqu’il existe depuis plus longtemps – il n’est donc pas anormal qu’il soit le principal.

Mme Cyrielle Chatelain, rapporteure. Pourriez-vous nous donner un ordre de grandeur ?

M. Aiman Ezzat. Je dirais de l’ordre de 4 milliards, ou un peu plus. Ce n’est pas le chiffre d’affaires réalisé directement avec Microsoft, mais celui correspondant à des projets liés à Microsoft. Par exemple, lorsque nous montons un projet de migration sur Azure, il y a en jeu des compétences qui n’ont rien à voir avec Azure ou Microsoft. Si nous essayons d’évaluer la technologie prépondérante dans le cadre du contrat ou de la prestation proposée, il est difficile de connaître le pourcentage exact pour chaque technologie.

Mme Cyrielle Chatelain, rapporteure. D’ailleurs, dans votre document d’enregistrement universel de 2025, vous notez qu’en 2023 il y avait eu une amélioration de la profitabilité et un cash-flow élevé, malgré un ralentissement du secteur, et que vous aviez investi 2 milliards d’euros dans l’IA pour renforcer votre leadership, dans le cadre d’un partenariat notamment avec Microsoft et Google. Vous parlez d’un chiffre d’affaires lié à des services Microsoft de 4 milliards. Considérez-vous qu’en 2023, alors que le contexte économique ralentit, ce partenariat avec Microsoft a participé à l’amélioration de votre profitabilité ?

M. Aiman Ezzat. Ces 2 milliards constituaient l’enveloppe générale annoncée pour plusieurs années, liée à l’évolution vers l’IA. Ce chiffre correspond principalement à des embauches et à l’augmentation des effectifs pour développer des compétences en ce sens – du rescaling. Ce développement de nos compétences IA n’était pas forcément lié à des partenaires spécifiques.

Mme Cyrielle Chatelain, rapporteure. Je ne conteste pas ces 2 milliards d’euros d’investissement, qui sont normaux pour une entreprise de votre taille concernant des technologies de ce type. Ma question portait plutôt sur le lien que vous faites entre le partenariat privilégié avec Microsoft et l’augmentation du cash-flow. Autrement dit, est-ce un élément stratégique de profitabilité ?

M. Aiman Ezzat. Microsoft et Google ne sont pas les seuls partenaires stratégiques. Néanmoins, à l’époque, ils faisaient partie des grands acteurs, même si d’autres sont apparus depuis ; tout va très vite. Il n’y avait pas OpenAI ni Anthropic, et Mistral AI était très peu présent en 2023. Par conséquent, le document fait référence aux principaux acteurs de l’époque dans le domaine de l’IA. Les partenariats nous aident à développer nos compétences et notre chiffre d’affaires en matière de services. L’IA étant l’un des moteurs de croissance aujourd’hui, il y a un lien direct entre le fait que nous développions nos services dans l’IA et le fait d’en tirer une croissance, et donc du cash-flow.

Mme Cyrielle Chatelain, rapporteure. Le 5 janvier 2026, vous avez nommé Mme Lila Tretikov membre du conseil d’administration. Elle était corporate vice-president et directrice-adjointe de Microsoft jusqu’en 2024. Vous comprendrez que la nomination d’une personne aussi proche de Microsoft puisse soulever un problème quant à la neutralité dont vous parliez, compte tenu des implications financières.

M. Aiman Ezzat. Elle n’est plus chez Microsoft, où elle n’a d’ailleurs pas fait toute sa carrière. Elle faisait déjà partie de notre conseil technologique, comme des membres d’autres entreprises à travers le monde – Meta, Rockwell Automation, etc. Ce n’est donc pas son expérience chez Microsoft qui a primé dans notre décision, mais le fait qu’elle détienne des compétences fortes en matière d’intelligence artificielle et qu’elle évolue dans un écosystème de start-up qui développent cette nouvelle technologie. Nous avons considéré que ses compétences apporteraient un plus à notre conseil d’administration, compte tenu des décisions stratégiques qu’il devra prendre.

Mme Cyrielle Chatelain, rapporteure. Certes, mais son passage chez Microsoft est récent, puisqu’elle y était encore en 2024. J’imagine que la connaissance de l’écosystème, l’entregent et le réseau font partie, au-delà des compétences, des éléments recherchés chez un membre du conseil d’administration.

Autre question : si la direction des systèmes d’information (DSI) d’une grande entreprise ou d’une administration française vous explique qu’elle souhaite sortir de l’environnement Microsoft, que lui conseillez-vous de faire ?

Mme Karine Brunet. C’est un peu compliqué de vous répondre comme cela. Il faut comprendre pourquoi : s’agit-il d’une question de dépendance, d’un besoin fonctionnel, d’un problème lié à un désaccord commercial, d’un problème de juridiction ? Il convient de comprendre quels sont les risques et d’aider le client à évaluer son système d’information vis-à-vis de ceux-ci, afin de pouvoir construire un plan de gestion des risques et de mitigation qui limite ses dépendances.

M. le président Philippe Latombe. Je précise la question de la rapporteure. Quand une entreprise fait un choix stratégique – passer au CRM de Salesforce, par exemple –, c’est-à-dire un changement majeur qu’on fait pour dix ou quinze ans, cela vous permet-il de compter sur du chiffre d’affaires récurrent ? Par ailleurs, Salesforce développe maintenant un module de marketing : peut-être qu’ils peuvent se passer de vous pour l’implémenter. Dans votre réflexion stratégique, comment appréhendez-vous votre propre dépendance vis-à-vis de ces fournisseurs ?

Par ailleurs, intégrez-vous systématiquement la question des prix de licence ? Une DSI peut vouloir sortir de l’écosystème Microsoft parce que le prix de la licence a augmenté de 20 %, que certes, après négociation, elle est descendue à 17 % pour cette année, mais que c’est comme ça depuis déjà trois ans. On peut penser aussi à Broadcom, qui a fortement augmenté le prix des licences de VMware après avoir cassé les licences perpétuelles. Intégrez-vous cet aspect dans votre réflexion stratégique sur le conseil à apporter à vos clients ?

M. Aiman Ezzat. Je le disais, la plupart du temps, nous n’évaluons pas la solution : nous la mettons en œuvre. Si un client veut Salesforce, son choix est déjà fait.

Nous faisons évoluer nos compétences en fonction des besoins. Nous regardons donc en continu quels sont les besoins du marché. Il y a eu une période de pic de mise en œuvre de Salesforce ; nous avons alors fortement augmenté nos compétences Salesforce pour répondre à la demande. Encore une fois, nous répondons aux besoins de nos clients, nous sommes une société de services : si nos clients veulent Salesforce, nous devons développer nos compétences Salesforce pour les accompagner. Nous sommes en transformation continue : les compétences dont je dispose aujourd’hui sont différentes de celles dont je disposais il y a dix ans, car nous nous adaptons aux évolutions technologiques de l’environnement des clients.

Quant au prix des licences, c’est aussi au client qu’il revient de prendre des décisions. En prenant Salesforce, il crée une certaine dépendance ; il en comprend les conséquences, et c’est à lui de gérer cela contractuellement. Nous ne conseillons pas nos clients sur ces aspects, mais en général sur l’évaluation de la solution technique par rapport à leurs besoins. C’est là que nous apportons une valeur ajoutée. Nous ne nous mêlons pas de négociation commerciale, de conditions de licence, de contraintes… En tout cas, je ne suis jamais intervenu dans ce domaine chez un client.

Mme Karine Brunet. S’agissant de l’exemple de Broadcom, un certain nombre de clients ont effectivement vu leurs factures augmenter considérablement et sont venus vers nous pour limiter leur dépendance vis-à-vis de cette entreprise. Ils nous demandaient quelles étaient les solutions alternatives sur le marché, quelles étaient les possibilités chez d’autres éditeurs de logiciels ou en open source, si nous pouvions accompagner une éventuelle migration. Nous ne sommes pas intervenus dans leurs négociations avec Broadcom, dont j’ai cru comprendre en écoutant nos clients qu’elles avaient parfois été difficiles : ce n’est pas notre rôle. Pour être très transparente, en général, nous n’avons même pas connaissance des prix d’acquisition payés par nos clients.

Mme Cyrielle Chatelain, rapporteure. Vous avez parlé à plusieurs reprises de votre rôle d’accompagnement, en toute neutralité, une fois les décisions prises. Lors d’une précédente audition, on nous a dit que Capgemini avait accès aux plus hautes autorités de l’État, notamment au Premier ministre, ce qui me paraît normal pour un acteur économique. Lors de ces rendez-vous, j’imagine que vous présentez non pas une analyse technique mais une analyse économique, et que vous débattez notamment des questions de souveraineté. Que lui dites-vous ? Est-ce que vous lui parlez, par exemple, de l’importance de Microsoft dans les demandes, ou de la façon de sortir de cette dépendance-là ?

M. Aiman Ezzat. Je n’ai jamais rencontré le Premier ministre.

Mme Cyrielle Chatelain, rapporteure. Ou d’anciens premiers ministres !

M. Aiman Ezzat. Ni d’anciens premiers ministres. J’ai peu de relations. J’ai rencontré des ministres, oui : parfois, je suis convoqué pour faire comprendre ce que nous faisons, quelles sont les évolutions. Notre rôle est plutôt d’éduquer, d’expliquer ce qui se passe, ce qui change. C’est tout. Je n’ai jamais eu à formuler des préconisations sur des situations particulières. Je dois avoir une à deux interactions par an avec un ministre. Je ne me suis jamais retrouvé dans un rôle de conseil à l’égard d’un ministre.

Mme Cyrielle Chatelain, rapporteure. Deux fois par an, c’est plus que beaucoup de gens – il est parfaitement normal que des acteurs économiques rencontrent des ministres, bien sûr. Vous parlez d’éducation. Vous comprenez que, en matière d’éducation, ce n’est pas la même chose d’alerter sur le risque d’existence d’un kill switch, sur le risque de dépendances, ou de dire qu’AWS ou Microsoft sont des acteurs incontournables avec lesquels il faut apprendre à vivre. À quoi éduquez-vous exactement ?

M. Aiman Ezzat. Reprenons l’exemple de Bleu : nous avons répondu à un besoin, à une demande de solution formulée par le gouvernement. Il faut comprendre que nous répondons à des besoins qui nous sont exprimés. Quand nous avons un rôle d’éducation, nous essayons de mobiliser nos connaissances – nous ne sommes pas les seuls, d’ailleurs. Nous essayons d’éduquer à la réalité du marché, de la demande des entreprises et de leurs contraintes. Nous répondons aux questions, mais je n’ai jamais eu un rôle proactif vis-à-vis du gouvernement pour pousser un sujet ou un autre.

Mme Cyrielle Chatelain, rapporteure. S’agissant de Bleu, c’est une boîte française, avec des capitaux français, qui utilise des technologies Microsoft, donc américaines, mais Microsoft n’a pas accès aux données. Avez-vous un contrat de support et de maintenance avec Microsoft ?

M. Aiman Ezzat. Non, je n’ai aucun contrat avec Microsoft. Je suis investisseur dans Bleu, qui est une société indépendante. Les accords sont signés entre Bleu et Microsoft. Orange fait partie de notre conseil d’administration, mais je suis traité par Bleu comme n’importe quelle autre société de services en France. C’est important de le comprendre : je n’interviens sur d’éventuels aspects financiers qu’en tant qu’investisseur, par le biais des membres du conseil d’administration. Je n’interviens pas directement au sein de Bleu.

Mme Cyrielle Chatelain, rapporteure. Je précise ma formulation : vous avez évoqué la création de Bleu en réponse à des inquiétudes, à une demande de cloud souverain. La réalité de la souveraineté est donc importante. À votre connaissance, la société Bleu, dont vous êtes actionnaire, a-t-elle un contrat de support et de maintenance avec Microsoft ?

M. Aiman Ezzat. Bleu a par définition un contrat avec Microsoft, puisqu’il utilise la solution Microsoft : il y a un accord commercial pour rémunérer Microsoft pour l’accès à sa technologie – Microsoft ne fait rien gratuitement ! En revanche, il faut comprendre que c’est une solution déconnectée. C’est très compliqué d’un point de vue technologique, et nous y avons passé énormément de temps, mais nous arrivons au bout : personne chez Microsoft n’a accès à quoi que ce soit qui se passe dans Bleu. Bleu, ce sont des centres de calcul en France, avec du capital français, des employés français. La société est complètement étanche et n’est soumise à aucune loi extraterritoriale.

Il y a eu beaucoup de discussions avec Microsoft sur ce point de la déconnexion. Je le redis, aucune personne de Microsoft n’a accès à Bleu.

Mme Karine Brunet. Les opérations de maintenance et de support autour de la solution sont réalisées en France par des collaborateurs de la société Bleu.

M. le président Philippe Latombe. Vous dites que vous avez répondu à un besoin. Qui a exprimé ce besoin ? Microsoft ? L’État ? Quelle a été la genèse de Bleu ?

M. Aiman Ezzat. Nous avons créé Bleu parce qu’il fallait trouver des solutions SecNumCloud. Bleu, mais aussi S3NS, répondent à ce besoin, exprimé par les administrations mais pas seulement – différents acteurs stratégiques sont aussi intéressés –, de solutions de cloud compétitives. Cela ne concerne pas que l’infrastructure ; il faut aussi proposer des services et des plateformes. Il s’agissait donc de concilier compétitivité et respect des règles SecNumCloud, définies par l’État.

M. le président Philippe Latombe. Plus précisément, qui est à l’origine des discussions qui ont mené à la construction de Bleu ? Microsoft, parce qu’ils perdaient des parts de marché ou qu’ils avaient peur d’en perdre s’ils ne pouvaient pas répondre à une demande de cloud qualifié SecNumCloud ? Orange ? Vous ? L’État ?

M. Aiman Ezzat. Je n’ai pas l’historique en tête : il y a eu des discussions qui ont fini par aboutir à cela. Je ne me rappelle pas une demande formelle. Il y a eu des échanges, y compris à l’époque avec Stéphane Richard.

En revanche, Microsoft ne perdait pas de parts de marché, puisqu’il n’y avait aucune solution qui correspondait à ces besoins. Ensuite, il y a eu des discussions avec Microsoft pour répondre aux besoins. Les discussions sur la faisabilité technique du projet ont été longues.

Mme Cyrielle Chatelain, rapporteure. Vos ingénieurs ont-ils accès au code source des solutions Microsoft utilisées par Bleu ?

M. Aiman Ezzat. De l’extérieur, je ne le pense pas, mais c’est une question qu’il faut poser à Bleu, qui a l’accord avec Microsoft.

M. le président Philippe Latombe. Question juridique : vous avez signé un partenariat avec AWS pour implémenter des solutions sur le cloud dit souverain de cette entreprise. Capgemini indique que la solution d’AWS permet de répondre aux exigences croissantes de souveraineté numérique des organisations européennes dans les secteurs régulés. Quelle différence juridique faites-vous entre Bleu et cette solution dite souveraine d’AWS ? Quels sont les risques que Bleu couvre qui ne sont pas couverts par AWS ?

Mme Karine Brunet. Sans entrer dans le détail technique des deux solutions, que je ne suis pas sûre de maîtriser, il faut comprendre que les hyperscalers entendent la demande de souveraineté des clients européens et qu’ils ont tous revu leur offre de services afin de proposer des garanties de sécurité et de protection des données plus élevées que celles de leurs solutions standards de cloud public. La réponse d’AWS repose sur une structure juridique basée en Allemagne, qui les protège aussi de l’extraterritorialité. Google a fait des propositions avec des solutions à même de travailler en mode autonome, ou en autarcie, et qui peuvent être installées dans les data centers des clients ou de Google.

L’offre d’AWS n’est pas certifiée SecNumCloud, à l’inverse de Bleu et de S3NS, qui sont les deux offres labellisées, ce qui assure qu’elles répondent à des critères très précis. AWS peut répondre à des contraintes de souveraineté et de dépendance stratégique, mais pas aussi bien que Bleu ou S3NS.

M. le président Philippe Latombe. Il n’y a pas que Bleu ou S3NS qui soient labellisées SecNumCloud, il y en a une myriade d’autres, avec lesquels je suppose que vous entretenez également des relations.

M. Aiman Ezzat. Absolument, nous travaillons avec tout le monde. Je le redis, Capgemini a un intérêt financier dans Bleu, mais, en tant que prestataire de services, nous travaillons avec toutes les sociétés, en fonction de la demande de nos clients. Nous avons des partenariats avec OVH, nous parlons avec S3NS… C’est le rôle d’une société de services, à bien distinguer du rôle que nous avons joué pour aider à monter Bleu et répondre à un besoin. Nous ne faisons pas de marketing de Bleu : ils ont leurs propres forces de vente, leur propre marketing.

Mme Cyrielle Chatelain, rapporteure. Capgemini est né à Grenoble, vous y êtes toujours implantés, et nous sommes fiers, en Isère, d’accueillir cet écosystème. Je connais la qualité des équipes. Quand vous travaillez avec l’administration française, j’imagine que la demande en matière de qualité de service est élevée, que vous vous fixez des exigences importantes.

M. Aiman Ezzat. Absolument, comme avec tous les clients.

Mme Cyrielle Chatelain, rapporteure. Je vous pose la question parce que j’ai été un peu étonnée par la différence entre le niveau de satisfaction client affiché dans votre document d’enregistrement universel de 2025 – 4,3 sur 5 – et les retours des administrations françaises qu’on peut lire notamment dans le rapport du Sénat sur les cabinets de conseil : une note de 1 sur 5 attribuée par la direction interministérielle de la transformation publique (DITP) pour la mise en place des communautés 360 pour les personnes en situation de handicap, avec des appréciations comme « valeur ajoutée quasi nulle, contre-productive parfois ». À propos de la mission d’assistance à la création de la direction du numérique du ministère de l’intérieur, il est question d’une « expertise limitée » et d’un « faible apport sur le fond ». L’échec du projet Scribe a tout de même coûté 11 millions d’euros, l’administration parlant de « solutions techniques insuffisamment maîtrisées » et vous reprochant de ne pas avoir fourni les compétences techniques ni les ressources humaines suffisantes. Vous comprenez que cela m’inquiète.

J’aimerais comprendre ces différences dans l’évaluation de la qualité de service.

M. Aiman Ezzat. Nos projets avec l’administration se comptent par centaines. J’ai 7 000 clients, je fais probablement 25 000 à 30 000 prestations de service par an. La technologie, c’est toujours quelque chose de compliqué, et tous les projets ne sont pas parfaits. La note de 4,3 que vous évoquez recouvre aussi des projets qui ne se sont pas bien passés, pour différentes raisons : certaines nous sont imputables, d’autres le sont au client. Nous essayons toujours de trouver la meilleure solution possible pour le client, mais il est vrai que certains projets ne se passent pas très bien. Nos prestations ne sont pas toutes parfaites, d’où cette note moyenne de 4,3, avec des clients très contents, d’autres moins. Dans la technologie, il n’y a pas de garantie de réussite de chaque projet : il y a parfois des complexités, de différentes natures, qui font que les prestations se passent un peu moins bien.

Mais nous continuons à travailler avec l’administration ; nous sommes très fiers de beaucoup de nos projets, et nous essayons évidemment de faire au mieux dans chaque contexte.

Mme Cyrielle Chatelain, rapporteure. Vous parliez de 588 millions d’euros : c’est une somme très importante, notamment pour les contribuables. Quand je lis que des solutions techniques étaient insuffisamment maîtrisées, cela me semble désigner le recours à des solutions dites sur étagère, c’est-à-dire déjà développées par de grandes entreprises, au code source desquelles vous n’avez pas accès. En reprenant de toutes pièces une solution déjà créée, est-ce que vous ne dégradez pas la qualité de vos interventions ?

Mme Karine Brunet. Il y a plusieurs aspects dans votre question.

Le premier, c’est que, quand on utilise une solution prépackagée par un éditeur de logiciels, on est amené à faire un compromis : aucune solution déjà présente sur le marché ne répond à 100 % des besoins fonctionnels que l’on exprime. On choisit donc entre l’achat d’une solution préexistante et le développement d’une solution maison, qui peut parfois être très coûteuse.

S’agissant des problèmes de qualité de service, ils ne sont pas forcément liés à la solution technologique. Nous sommes très vigilants, mais une société de services travaille avec des êtres humains, qui font des erreurs humaines. Cela fait partie de notre métier. Nous essayons d’encadrer parce que la technologie est importante pour tous nos clients. Mais il arrive qu’il y ait des problèmes et que nos clients ne soient pas satisfaits. La qualité de service est un ensemble : il y a le produit, mais aussi les équipes.

M. le président Philippe Latombe. La question de la dépendance peut aussi se traiter sous l’angle de la qualification des employés. Vous prévoyez de supprimer quelque 2 409 postes, selon les syndicats, ce qu’il faut mettre en parallèle avec vos très bons résultats. Il semble aussi que vous recrutez, sur le territoire national, un grand nombre de consultants venant de pays non européens comme le Maroc, où la qualité des ingénieurs est importante et le coût salarial plus faible. Y a-t-il un problème de formation dans notre pays ? Sans ces compétences, comment la France peut-elle assurer son indépendance et son autonomie stratégique ?

M. Aiman Ezzat. Je ne crois pas que la France rencontre un problème de compétences, au contraire. Nous avons de très bonnes écoles d’ingénieurs ; nous recrutons beaucoup d’ingénieurs en France, je l’ai dit.

En revanche, nous devons nous adapter en permanence aux évolutions technologiques comme au changement de la demande de nos clients. Nous envisageons effectivement environ 2 400 suppressions de poste. Ce ne sont pas 2 400 licenciements : nous avons lancé un plan de départs volontaires. C’est lié à des évolutions. Ainsi, le contrôle qualité des logiciels était très intensif et très manuel. Aujourd’hui, grâce à l’intelligence artificielle, il est de plus en plus automatisé. Il est évident que les besoins ne sont plus les mêmes. Nous cherchons donc à faire évoluer les compétences de nos collaborateurs, ou nous proposons des départs volontaires, parce que nous avons besoin de moins de personnes dans ce domaine précis. Il y a un grand plan d’investissement dans les compétences lié à cette évolution.

On peut aussi prendre l’exemple, qui n’a rien à voir avec l’intelligence artificielle, de l’évolution du secteur de l’automobile. On y constate une forte baisse de la demande d’ingénierie : certaines prestations ne se font plus en France, ou en tout cas les sociétés ont beaucoup réduit leur demande. Il y a des pans entiers de métiers dans l’automobile où il n’y a aucun besoin en France : cela a forcément un impact. Je ne peux pas ne pas traiter cette évolution.

Le recours à d’autres pays – vous citez le Maroc, on pourrait parler de l’Inde, ou d’autres pays – est lié à la demande des clients en termes de compétitivité. Le choix du lieu d’où les prestations sont livrées est opéré par le client : je ne peux pas décider de livrer quelque chose du Maroc sans que le client soit d’accord. Nous faisons les meilleures propositions possibles, les plus adéquates, en fonction des contraintes qu’exprime le client et des investissements qu’il souhaite faire.

Il faut préciser que le recours à des pays comme le Maroc ou l’Inde n’est pas lié seulement au coût, mais à des questions de pools de compétences. Aujourd’hui, il y a une certaine baisse de la demande, liée entre autres à l’intelligence artificielle, mais aussi à des réductions d’investissement. Notre chiffre d’affaires est en baisse en France. Il y a deux ou trois ans, la demande était telle qu’on ne trouvait pas les compétences. Nos taux d’attrition étaient tellement élevés que si nous n’allions pas vers ces centres de développement dans d’autres pays, nous ne pouvions pas répondre à la demande de nos clients.

Nous cherchons donc en permanence un équilibre entre accès aux talents et compétitivité des solutions pour pouvoir continuer à exercer notre métier, c’est-à-dire apporter des services à des clients – nous sommes en concurrence à longueur de journée avec des acteurs mondiaux.

Pour revenir au cœur de votre question, nous trouvons toutes les compétences en France.

Mme Cyrielle Chatelain, rapporteure. Il a beaucoup été question de votre rôle et de vos responsabilités vis-à-vis de vos clients ; j’aimerais aussi aborder celle de votre rôle et de vos responsabilités vis-à-vis de vos actionnaires. Je fais l’hypothèse que votre responsabilité en tant que directeur général est de garantir la solidité financière de l’entreprise, notamment la valorisation des actions. Cette hypothèse est-elle juste ?

M. Aiman Ezzat. J’ai différentes parties prenantes : mes employés, mes clients, mes actionnaires, l’État, le législateur, la société d’une manière générale. Les investisseurs ont des attentes, en termes de profit, de cash-flow, de dividendes, mais ils ne sont pas la seule partie prenante.

Mme Cyrielle Chatelain, rapporteure. Les actionnaires sont néanmoins, finalement, la partie prenante qui vous emploie – je simplifie.

M. Aiman Ezzat. C’est simplifier un peu trop. Soyons clairs : je ne ferais pas quelque chose qui détruirait de la valeur seulement pour faire plaisir aux actionnaires. J’ai un rôle, j’assume une responsabilité, mais par rapport à différentes parties prenantes. C’est ce que je dis à tous mes employés lorsque je donne des cours de leadership : ne prenez jamais une décision dont vous savez qu’elle détruira de la valeur. Si vous êtes mis à la porte pour cela, c’est que vous étiez dans la mauvaise société. Je m’applique ce principe d’abord à moi-même.

J’essaie de prendre les meilleures décisions par rapport à un équilibre des différentes parties prenantes, pas uniquement par rapport aux investisseurs.

Mme Cyrielle Chatelain, rapporteure. J’imagine que vous vous demandez, comme vos clients, comment renforcer votre souveraineté sans renoncer à votre compétitivité. J’ai vu que vous faisiez 29 % de votre chiffre d’affaires en Amérique du Nord, avec un taux de marge opérationnelle de 16,9 %, c’est-à-dire davantage qu’en Europe, en France, au Royaume-Uni ou en Irlande, malgré une fiscalité très favorable. On voit que les États-Unis changent. Vous avez décidé de vous séparer de votre filiale implantée dans ce pays ; j’aimerais savoir où en est le processus de vente. J’aimerais aussi savoir ce que vous répondriez si, demain, vous receviez des demandes qui ne seraient pas éthiques de la part du gouvernement américain, si vous faisiez l’objet de pressions pour favoriser le développement de certains acteurs, par exemple Microsoft ou AWS. Seriez-vous prêt à renoncer à 29 % de votre chiffre d’affaires ?

M. Aiman Ezzat. Il est très peu probable que le gouvernement américain nous demande de faire des choses non éthiques, ou qui ne seraient pas dans l’intérêt de notre société : si cela s’appliquait à nous, cela s’appliquerait à bien d’autres aussi.

Mais, dans tous les cas, nous ne ferons rien que nous considérerions comme non éthique ou qui détruirait de la valeur. Cela fait partie des valeurs de notre société. Depuis sa création par Serge Kampf, Capgemini accorde beaucoup d’importance aux valeurs et à l’éthique. C’est l’une des raisons pour lesquelles les gens restent très longtemps dans cette entreprise – j’y suis depuis trente ans.

Et nous ne répondons pas aux pressions externes sur ce genre de sujet.

Mme Cyrielle Chatelain, rapporteure. C’est en effet une hypothèse, mais au vu de la façon dont le gouvernement américain a mis fin à tous ses contrats avec Anthropic parce que cette entreprise refuse la surveillance de masse des Américains, elle ne paraît pas si improbable. Si je pose la question, c’est parce que le poids économique des États-Unis est important pour vous. Vous parlez d’éthique : il faut se demander où est la limite. Quand on parle de Microsoft, de Google, d’AWS, on parle de sociétés qui ne respectent pas les lois européennes, notamment le règlement général sur la protection des données (RGPD), qui maltraitent leurs travailleurs… OpenAI accepte la surveillance de masse aux États-Unis. Quelle est la limite éthique ? Il me semble qu’elle se rapproche de plus en plus.

M. Aiman Ezzat. Notre chiffre d’affaires avec le gouvernement américain est très réduit – 0,4 % du chiffre d’affaires mondial de Capgemini –, et principalement à travers cette filiale qui est en vente. Les 29 % que vous citez ne sont pas liés au gouvernement, mais à des sociétés implantées aux États-Unis, américaines ou pas, d’ailleurs. Notre exposition vis-à-vis du gouvernement américain étant très faible, nous ne sommes pas sous son influence.

Quant à ce que vous dites de ces sociétés, pardonnez-moi, mais c’est au législateur qu’il revient d’intervenir, de leur interdire le cas échéant d’opérer en Europe. S’il considère qu’elles peuvent travailler en Europe et qu’il y a une demande chez nos clients, alors je réponds à cette demande. Je ne fais rien de non éthique en travaillant avec Microsoft, qui a le droit d’opérer en Europe, qui n’y a pas été déclaré comme une société non éthique. Si le législateur lui interdit de poursuivre son activité en Europe, il n’y aura plus de demande des clients et alors je ne travaillerai plus avec eux. Mais cette décision ne me revient pas. Tant que j’ai une demande de mes clients, j’y réponds.

Nous avons une charte éthique interne, par exemple sur l’IA, pour savoir ce que nous développons et ce que nous ne développons pas. Si je me sépare de Capgemini Government Solutions (CGS), c’est parce que je considère que je n’ai pas assez d’impact sur la gouvernance pour contrôler ce qu’ils font. Dans le contexte actuel, j’ai pris la décision de vendre.

Mme Cyrielle Chatelain, rapporteure. Vous avez absolument raison sur le rôle du législateur ! Il y a néanmoins aussi une responsabilité des entreprises, par exemple quand on devient actionnaire d’une société qui permettra à Microsoft de continuer à asseoir sa domination alors que la qualification SecNumCloud aurait pu être l’occasion de développer des services fondés à 100 % sur des technologies européennes. Alors qu’ils étaient exclus des offres les plus sécurisées, vous les réintégrez dans le jeu, d’une certaine manière.

M. Aiman Ezzat. Encore une fois, nous répondons à une demande. Avant Bleu, les solutions proposées ne répondaient pas aux besoins. En tant que prestataire de services, nous travaillons avec Bleu comme avec OVH, et nous essayons de nous conformer à la législation ; mais ce sont les clients qui font les choix, en fonction des règles qui leur sont imposées. Vous ne pouvez pas nous accuser d’aider Microsoft à construire un cheval de Troie !

Mme Cyrielle Chatelain, rapporteure. Être actionnaire de Bleu, c’est un choix !

M. Aiman Ezzat. Oui, pour répondre à une demande de services qui existe sur le marché. Ce n’est pas Bleu qui va nous rendre riches ! Il faudra des années avant de voir un éventuel profit de Bleu.

M. le président Philippe Latombe. Malheureusement, la vision américaine actuelle est différente de ce qu’elle était. L’accès aux données, le kill switch, la rupture économique forte avec les États-Unis et la montée des droits de douane avaient été théorisés : ce sont maintenant des réalités. Nous assistons ces jours-ci à un chantage du président américain qui menace l’Union européenne de limiter les livraisons de GNL (gaz naturel liquéfié) si elle ne signe pas l’accord de l’été dernier sur les droits de douane. Avez-vous un plan B qui vous permettrait, pour ne pas laisser vos clients et vous-même en difficulté, d’utiliser des solutions numériques européennes quasiment du jour au lendemain, si jamais votre accès à des solutions américaines était coupé ? Ma question vaut aussi pour d’éventuelles solutions chinoises, d’ailleurs.

M. Aiman Ezzat. C’est une bonne question. Il y a une dépendance, c’est vrai, de l’Europe vis-à-vis de solutions non européennes : elle ne date pas d’hier, mais elle a augmenté, parce qu’il y a des secteurs où l’Europe n’a pas investi. C’est le cas du matériel, par exemple : je suis assez vieux pour me souvenir de sociétés comme Olivetti ou ICL. Elles n’existent plus, et nous n’avons pas de matériel européen. La couche logicielle est très faible, comme les puces. Notre dépendance est donc forte, et c’est une réalité avec laquelle nous devons composer.

La conscience du risque en matière de souveraineté numérique a fortement augmenté ces quinze derniers mois. Dans le cadre de la certification européenne de cybersécurité pour les services cloud (EUCS), en discussion, certains pays européens poussaient pour une ouverture totale et refusaient toute contrainte, contrairement à ce qu’a fait la France avec SecNumCloud ; ils ont beaucoup évolué au cours des douze derniers mois. Il y a une prise de conscience.

Nous recherchons des solutions. Ainsi, nous avons fait une acquisition stratégique, celle de Cloud4C, parce qu’ils ont su créer un environnement de fonctionnement en open source. Aujourd’hui, on peut donc faire tourner un centre de calcul avec des logiciels purement open source, de façon très automatisée et très compétitive. Nous avons fait cet investissement pour contribuer au renforcement de la souveraineté européenne.

Le risque d’un kill switch me paraît très faible. À court terme, que ce soit pour Bleu ou pour les centres de calcul de nos clients, il n’y a pas de kill switch, ils peuvent continuer à fonctionner pendant des mois. La question est plutôt celle du long terme ; on peut perdre les évolutions et rencontrer des problèmes de cybersécurité. Mais on peut continuer à opérer : nous avons des clients dont les environnements ne sont plus maintenus mais qui continuent à fonctionner… Le kill switch concerne seulement des environnements opérés à partir de l’étranger, ou situés à l’étranger. Quand on parle de protection des données, on parle bien d’opérations : il est essentiel que ces opérations aient lieu en Europe, avec des Européens. On arrive ainsi à créer des environnements où l’on a du temps pour assurer certaines évolutions.

Dans certains domaines, il n’y a pas d’alternatives, il faut en être conscient.

On voit donc une évolution, une prise de conscience. Beaucoup d’entreprises se préoccupent de la continuité de leurs opérations : il y a deux ans, ces discussions n’existaient tout simplement pas, parce que le risque n’était pas perçu. Nous en discutons avec nos clients, mais cela ne se fera pas du jour au lendemain.

M. le président Philippe Latombe. Merci de vos réponses. N’hésitez pas à les compléter par une contribution écrite.

* *

Audition, ouverte à la presse, de M. Martin Untersinger, journaliste au Monde, et MM. Antoine Schirer et Sébastien Bourdon, journalistes indépendants (jeudi 26 mars 2026)

M. le président Philippe Latombe. Monsieur Untersinger, vous avez mené une enquête pour le journal Le Monde sur les entreprises qui font le commerce des données personnelles sur internet. Messieurs Schirer et Bourdon, vous avez signé la semaine dernière un article, dans Le Monde également, alertant sur le fait que vous étiez parvenus à localiser précisément le porte-avions Charles-de-Gaulle en Méditerranée grâce à l’application Strava, utilisée par un militaire faisant son footing sur le pont.

Vos enquêtes montrent à quel point l’utilisation des données personnelles peut constituer un risque non seulement pour les individus mais aussi pour la souveraineté nationale.

Avant de vous céder la parole, je vous rappelle que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter serment de dire la vérité, toute la vérité, rien que la vérité.

(MM. Martin Untersinger, Antoine Schirer, et Sébastien Bourdon prêtent successivement serment.)

M. Martin Untersinger, journaliste au Monde. Je travaille depuis plus de quinze ans sur le numérique et les questions qu’il pose en matière de désinformation, de libertés publiques, de données personnelles, de grandes plateformes et de cybersécurité. Si vous espérez de ma part des solutions, vous serez déçus. En revanche, je peux partager mes constats.

Au risque d’enfoncer quelques portes ouvertes, je décèle trois types de vulnérabilité de l’économie européenne dans le domaine numérique.

Elle concerne d’abord les couches dites basses du cyberespace – la typologie en identifie trois –, c’est-à-dire les matériels, les équipements, les protocoles. Je laisse de côté ce sujet, qui ne me paraît pas premier et que je ne maîtrise pas pleinement.

Ensuite, la vulnérabilité affecte la couche des logiciels, soit tous ces outils que nous utilisons dans notre vie quotidienne, personnelle ou professionnelle et qui sont, pour leur quasi-totalité, conçus ailleurs – aux États-Unis, mais pas seulement. Je parle là des algorithmes des réseaux sociaux, des logiciels qui font fonctionner les téléphones et les ordinateurs, une large majorité des logiciels professionnels, les grandes plateformes utilisées par tout un chacun.

Est enfin vulnérable la troisième couche, qui permet de capter les usages, donc les données – personnelles mais pas seulement – que nous produisons et qui sont ensuite stockées, analysées et exploitées par des entreprises étrangères.

Les conséquences sont de trois ordres.

D’abord économique, l’innovation et les emplois se développant ailleurs et l’État étant dans l’impossibilité d’actionner ses leviers d’influence habituels sur l’économie.

Les conséquences sont ensuite d’ordre juridique avec, avant tout, la difficulté à appliquer notre droit puisque les entreprises sont implantées à l’étranger. Le code influe sur les usages – Lawrence Lessig a montré dès 2000 que « code is law » – et une part croissante de notre espace public et démocratique est régentée par des algorithmes conçus ailleurs. Par exemple, lorsque le propriétaire du réseau social X décide de privilégier certains contenus, compte tenu du rôle de ce réseau dans la fabrique de l’information, cela a un effet concret, immédiat et dévastateur.

Enfin, toute l’architecture numérique est orientée vers la captation de notre attention et donc de nos données personnelles – les deux se nourrissant d’ailleurs mutuellement. À cette infrastructure s’arriment des dispositifs juridiques qui permettent aux autorités extra-européennes de récupérer ces données sous certaines conditions.

J’aimerais appeler votre attention sur plusieurs points.

D’abord, la souveraineté n’est pas la garantie de la sécurité : ce n’est pas parce que c’est fait en France ou en Europe que c’est automatiquement mieux. Parmi les très nombreux exemples, je mentionnerai le fait que les géants du numérique sont les seuls à offrir, pour les messageries, des moyens de protection à la mesure des menaces qui pèsent sur certaines populations à risque – journalistes, activistes, etc. Si je prends l’exemple du Health Data Hub, la plateforme des données de santé, lesdites données sont-elles réellement moins sécurisées sur cette plateforme qu’elles ne l’étaient auparavant dans des bases de données diverses et au régime de sécurité peut-être plus aléatoire ? Par ailleurs, il ne faut pas oublier les entreprises ou les services qui paraissent français mais qui sont en fait fondés sur des technologies ou des fonds américains.

Ensuite, il ne faut pas se laisser piéger par le discours lancinant selon lequel l’espace numérique serait sans règles et sans loi, et la puissance publique démunie et inopérante si elle ne s’appuie pas sur les géants du numérique. L’histoire récente montre que c’est tout bonnement faux. Le législateur, en particulier européen, est capable d’adopter des textes pour contraindre les géants du numérique – le RGPD (règlement général sur la protection des données), le DSA (règlement sur les services numériques), etc. Il suffit parfois d’appliquer les textes qui existent, ce qui ne va pas sans poser des problèmes d’application – nous parlerons sans doute des courtiers en données – ou de montrer que l’État dispose d’outils, tels que l’interpellation du fondateur d’une messagerie pour lui rappeler ses obligations.

Enfin, la gouvernance du monde numérique échappe en partie aux logiques strictement étatiques et économiques traditionnelles. Je pense notamment aux délibérations techniques, collectives et publiques dans des instances dédiées – par exemple sur les protocoles qui font fonctionner une grande partie de nos échanges numériques – ou aux modes d’élaboration de certains logiciels collaboratifs, transparents et accessibles à toutes et à tous, comme le logiciel libre. Ces initiatives ne sont pas strictement françaises, ni européennes, pourtant elles servent le bien commun.

M. Antoine Schirer, journaliste indépendant. Je suis journaliste indépendant. Je travaille pour des services d’enquête à la BBC, pour Reporters sans frontières et pour Le Monde.

Les StravaLeaks sont une série d’enquêtes qui examinent les vulnérabilités causées par un usage imprudent de l’application américaine Strava. Disponible sur les smartphones et les montres connectées, elle est l’application de sport la plus populaire – fin 2025, elle revendiquait, dans son rapport annuel, 180 millions d’utilisateurs actifs dans le monde. Elle permet aux utilisateurs d’enregistrer leurs performances sportives, mais aussi de les partager en ligne, un peu à la manière d’un réseau social. Le problème vient de ce que lorsque vous créez un profil sur cette application, celui-ci est, par défaut, public. On peut donc y trouver plein d’informations, parmi lesquelles le nom, l’âge, mais surtout l’historique des activités, lesquelles sont souvent géolocalisées – on peut connaître le point de départ, le trajet et le point d’arrivée.

Notre enquête s’est intéressée à une autre fonctionnalité de l’application, qui permet de voir les autres personnes qui font ou ont fait le même trajet que vous. Si c’est dans le bois de Vincennes, cela ne pose guère de problème. En revanche, si des personnes dont le profil est public ont enregistré des activités dans des endroits plus sensibles, auxquels seuls certains individus ont accès – au hasard, les résidences du chef de l’État, des bases militaires –, elles apparaîtront sur l’application. C’est cette brèche que nous avons explorée.

Elle n’est pas nouvelle puisque, dès 2018, le New York Times avait réussi, par le biais de l’application, à localiser des bases américaines en Afghanistan. Dans la foulée en France, Le Canard enchaîné et Le Télégramme ont identifié des agents de la DGSE (direction générale de la sécurité extérieure) et des militaires sur la base de l’île Longue.

Dans notre premier travail, en 2020 pour Mediapart, Sébastien Bourdon et moi avions trouvé plus de 800 militaires français ayant participé à des opérations extérieures (Opex), dont plus de 200 membres des forces spéciales. En 2024, cette fois pour Le Monde, nous avons retrouvé des gardes du corps de trois chefs d’État – Joe Biden, Vladimir Poutine et Emmanuel Macron. S’agissant de ce dernier, les activités sportives des membres du GSPR (Groupe de sécurité de la présidence de la République) – les gardes du corps du président – nous ont permis d’identifier à l’avance et à dix reprises, les hôtels où séjournait le président lors de ses déplacements – ces informations sont censées être confidentielles – et de trouver les domiciles des agents, ce qui, selon une source proche du GSPR, constitue une faille de sécurité avérée.

Quelques mois plus tard, nous révélions comment des membres d’équipage des sous-marins nucléaires français divulguaient, par le biais de Strava, des informations sensibles sur le calendrier des patrouilles.

Enfin, la semaine dernière, avec nos collègues du Monde Asia Balluffier et Liselotte Mas, nous avons retrouvé la position du porte-avions Charles-de-Gaulle, rendue publique en temps réel par l’activité sur Strava d’un militaire.

Je peux d’ailleurs annoncer à votre commission que nous ferons prochainement de nouvelles révélations sur ce dossier ; nous sommes en bouclage.

M. Sébastien Bourdon, journaliste indépendant. Je suis également journaliste indépendant. J’ai travaillé pendant plusieurs années essentiellement pour le service enquête de Mediapart et plus récemment pour Le Monde, journal pour lequel j’ai cosigné avec Antoine Schirer les enquêtes sur Strava.

Mme Cyrielle Chatelain, rapporteure. Vos travaux ont ceci de différent que dans un cas, l’utilisation des données géolocalisées est volontaire – des personnes les affichent volontairement sur leur application – ; dans l’autre, elle donne lieu à une exploitation commerciale par le biais de courtiers en données. Dans tous les cas, cette utilisation pose des questions de sécurité, comme l’identification de personnalités aux responsabilités importantes, de proches ou d’habitudes. Pouvez-vous préciser comment ces données, qui paraissent inoffensives de prime abord, finissent, une fois compilées, par représenter un risque, en particulier dans la période de forte tension que nous connaissons ?

M. Martin Untersinger. En effet, nos enquêtes ne concernent pas tout à fait les mêmes données, mais les risques sont assez similaires.

J’ai travaillé avec des confrères de plusieurs médias européens sur des échantillons de données personnelles que nous nous sommes procurés auprès de courtiers en données (data brokers). Ces données, souvent géolocalisées, sont captées au sein d’applications de tous types, installées sur des téléphones, souvent à des fins publicitaires. Elles sont extraites, échangées et transférées sur un marché assez opaque et massif.

De la même manière que pour Strava, nous parvenons, à partir de ces données, à identifier des officiers de la DGSE, des policiers de la DGSI (direction générale de la sécurité intérieure), des militaires opérant sur des bases sensibles, des employés de grandes industries de défense, des personnels chargés de la protection de la présidence de la République, etc. Cela représente-t-il un risque ? Oui, celui-ci étant évidemment différent selon les personnes concernées.

Dans le cas des officiers de la DGSE, dont l’identité est protégée par la loi, savoir où ils habitent peut les exposer à des pressions. Ces données révèlent aussi leurs déplacements, leurs activités personnelles ainsi que leurs contacts. Elles représentent donc un risque évident. Cela vaut aussi pour les autres personnels que j’ai évoqués.

Les données sur lesquelles nous avons travaillé ne permettent pas de prévoir, contrairement à celles que mes collègues ont mentionnées, puisqu’elles concernent le passé. Mais elles donnent accès au même type d’informations – par exemple, la géolocalisation d’un gendarme de la Garde républicaine dans le petit village de la Creuse dans lequel Emmanuel Macron s’est rendu il y a quelque temps – ; on connaît précisément l’adresse de l’établissement hôtelier grâce aux données GPS.

Lorsqu’on se penche sur les déplacements des officiers de la DGSE, on les voit évidemment boulevard Mortier ; le long des lignes de métro qui les amènent à la gare du Nord ; sur les quais des trains de la gare du Nord qui desservent leurs lieux d’habitation ; devant chez eux, etc. C’est d’une grande finesse. Donc les risques sont nombreux. Les données sont en elles‑mêmes inoffensives, mais dans la mesure où elles sont reliées au domicile, au lieu de travail et à tous les lieux qui permettent d’identifier la personne et ses activités habituelles, elles constituent une menace.

M. Sébastien Bourdon. Les risques sont grosso modo les mêmes pour les données sur lesquelles nous avons travaillé, à cette différence près que les données de Strava sont directement accessibles à tout un chacun – pas besoin d’un intermédiaire. Il suffit de créer un compte ; c’est gratuit et ne demande qu’une adresse e-mail et quelques clics.

Les personnes n’ont, pour beaucoup d’entre elles, pas conscience de ce qu’implique le fait d’appuyer sur un bouton sur une montre connectée ou sur un téléphone – ce faisant, elles mettent en ligne des données. Je le répète, le profil créé sur Strava est par défaut public, ce qu’ignore l’immense majorité de ses utilisateurs, comme ceux de Facebook ou d’autres réseaux sociaux. Ils ne vont pas davantage modifier les paramètres de l’application pour que leur profil devienne privé. Pourtant, les outils mis à disposition sont plutôt bien faits – deux clics et quinze secondes sont suffisants. Dès lors que le profil est privé, on limite une très grande partie des risques. On peut certes trouver des informations sur des profils privés mais l’immense majorité de celles que nous avons recueillies n’aurait pas pu l’être si les profils des gardes du corps ou des personnes sur le Charles-de-Gaulle avaient été privés.

J’y insiste, la plupart des personnes ne mesurent pas complètement ce qu’implique l’enregistrement de leurs performances sportives dans une application qui s’apparente à un réseau social. Les courses, les circuits de vélo qui sont enregistrés dans un profil sont automatiquement partagés ; ils peuvent être commentés, likés comme on le ferait sur Facebook avec ses amis.

Indépendamment de la différence de nature des données concernées, les risques sont exactement identiques à ceux que vient de mentionner mon confrère.

Dans notre cas, compte tenu des profils auxquels nous nous sommes intéressés – gardes du corps de chef d’État, sous-mariniers des SNLE (sous-marin nucléaire lanceur d’engins) ou marins à bord du Charles-de-Gaulle –, les risques opérationnels, notamment en matière de sécurité, sont évidents. Il est problématique que tout un chacun puisse, en trois clics, savoir où se trouve le porte-avions, ou connaître le rythme des patrouilles des SNLE ou la date de leur départ en mer – nous parlons là de l’une des composantes de la dissuasion nucléaire française.

Je prends un exemple très concret, qui date de 2024, si mes souvenirs sont bons. À Krasnodar, en Russie, un officier de l’armée russe a été assassiné pendant qu’il faisait un footing dans un parc, a priori par les services de renseignement militaire ukrainiens. Cet officier avait un profil Strava public et suivait toujours le même itinéraire. Il a vraisemblablement été attendu par ses assassins dans le parc où il avait ses habitudes. Certes, la situation en France n’est pas la même, mais le risque que représente le fait de pouvoir connaître les habitudes sportives d’agents ou de militaires est très clair.

À cela s’ajoute une dimension plus personnelle. Les gardes du corps qui côtoient toute la journée les présidents américain, russe ou français voient et entendent des choses sensibles. Un service de renseignement étranger disposera grâce à Strava d’un moyen de pression gigantesque sur la personne puisqu’il connaîtra l’adresse de son domicile, de l’école de sa fille, etc. Il pourra lui demander d’aller placer un micro à l’Élysée ou que sais-je encore.

Tout ceci est faisable très facilement. Mon collègue et moi avons certainement des compétences pour mener des enquêtes, mais avec des moyens très rudimentaires – un ordinateur et une connexion internet –, il ne nous a pas fallu plus de vingt-quatre heures pour repérer la position du Charles-de-Gaulle – nous ne travaillons pas à temps plein depuis deux ans sur le sujet. Il va donc sans dire que d’autres personnes, peut-être plus mal intentionnées, et dotées de moyens bien plus importants que nous, peuvent trouver ces mêmes informations, et même beaucoup plus.

M. le président Philippe Latombe. Pensez-vous que les applications devraient proposer par défaut un profil privé – une action serait ensuite nécessaire pour le rendre public – et non l’inverse ? Ce serait une mesure de sécurité minimale que le législateur pourrait imposer.

M. Sébastien Bourdon. Ce serait merveilleux, mais c’est totalement contraire au fonctionnement et à l’économie des réseaux sociaux, qui ont tout intérêt à ce que le maximum d’informations soient publiques. Cela me paraît assez inenvisageable.

Mme Cyrielle Chatelain, rapporteure. Avez-vous noté, à la suite de vos enquêtes, une prise de conscience au sein de l’armée, dont témoigneraient des directives enjoignant aux militaires de rendre privé leur profil ?

Pouvez-vous confirmer que Strava continue à stocker les données même si le profil est privé ?

Quel est le niveau de consentement à la captation de ces données ? Les utilisateurs en sont-ils conscients ? Le RGPD est-il respecté ?

M. Antoine Schirer, journaliste indépendant. Pour chaque enquête, nous avons eu des échanges avec l’armée. Nos interlocuteurs avaient conscience du problème et le prenaient très au sérieux.

On constate qu’après la parution de chaque article, des profils passent en privé, mais quelques mois plus tard, de nouveaux profils publics apparaissent. Il semble très compliqué de faire la police auprès de dizaines de milliers de militaires et de s’assurer que les règles d’hygiène numérique sont respectées.

M. Sébastien Bourdon, journaliste indépendant. La prise de conscience par l’armée des risques liés au numérique et aux réseaux sociaux est antérieure à nos articles. En 2020, lors de notre première enquête sur Strava, qui concernait les militaires en opération extérieure et les forces spéciales, nous avons appris que l’armée distribuait, depuis le début des années 2010, un guide – assez bien fait – du bon usage des réseaux sociaux, d’une dizaine de pages. Il y est indiqué comment mettre son profil en privé ; à quoi faire attention ; ce qui est autorisé et ce qui ne l’est pas. Ce document est régulièrement mis à jour et distribué à l’ensemble des militaires. La formation et l’information sont donc présentes au sein de l’armée. Nous savons que les recommandations, en particulier s’agissant de Strava, ont été renforcées à la suite de nos enquêtes. Pour autant, il faut conserver à l’esprit que le Charles‑de‑Gaulle accueille à son bord 1 800 marins. Comment vérifier concrètement que chacun d’eux applique les recommandations, pourtant salutaires dans un contexte de tension, et met son profil en privé ? Je n’ai pas la réponse.

M. Martin Untersinger. En ce qui concerne les données publicitaires, la légalité est une question centrale et finalement assez simple. Le droit européen est très clair : lorsque vous captez des données à caractère personnel pour faire de la publicité, en particulier lorsque cette captation se fait sur un appareil personnel, le consentement est obligatoire.

Comment ce consentement est-il obtenu dans le cas des données publicitaires que se procurent les courtiers en données personnelles ? Par la fameuse fenêtre que l’on appelle parfois de manière abusive la fenêtre RGPD – en l’occurrence, c’est la directive ePrivacy qui s’applique –, dans laquelle on vous informe que vos données personnelles sont captées par l’application et qu’elle les partage avec un certain nombre d’entreprises partenaires. Au début, il y en avait entre dix et quinze – ce qui est déjà beaucoup – mais, aujourd’hui, dans n’importe quelle application, vos données personnelles peuvent être transmises à plusieurs dizaines voire plusieurs centaines d’entreprises partenaires.

Si ces entreprises étaient effectivement les destinataires finaux et uniques des données, cela poserait déjà un certain nombre de problèmes, mais ce n’est même pas le cas. Mes collègues de la rédaction allemande du site Netzpolitik, avec lesquels j’ai travaillé, comparent le marché des données publicitaires mobiles à la lave à l’intérieur des lampes – elle bouge, se divise, se rapproche. Autrement dit, c’est un marché en mouvement permanent. Les données s’échangent, se revendent, sont modifiées, recoupées, etc. par des dizaines et des dizaines d’acteurs différents, sans qu’il soit vraiment possible de suivre leur cheminement.

En droit européen, le consentement doit obéir un certain nombre de règles : il doit être éclairé, libre, etc. Les conditions ne sont évidemment pas remplies pour les données que l’on retrouve chez les data brokers ou dans une régie publicitaire. Le marché repose sur une illégalité manifeste. Dès lors, la solution n’est pas – je suis désolé de le dire dans cette enceinte – d’adopter de nouveaux textes mais d’appliquer ceux qui existent et de donner aux régulateurs les moyens de s’attaquer à ce marché, qui est très clairement hors de contrôle.

M. le président Philippe Latombe. Puisque vous évoquez le RGPD et la directive ePrivacy, avez-vous un avis sur la future directive omnibus ? Va-t-elle améliorer ou dégrader la situation ? Va-t-elle accroître la masse de données dans les mains des courtiers ?

Le règlement omnibus touche à la définition de ce qu’est une donnée personnelle et tend à intégrer la directive ePrivacy dans le RGPD.

M. Martin Untersinger. Je ne suis pas au fait des dernières évolutions de l’omnibus. Il a effectivement été question de changer la définition des données personnelles. À cet égard, il est intéressant de noter que cet élément était réclamé par tous les géants du numérique ; toutes leurs contributions publiques le mentionnaient. Je vous laisse en tirer les conclusions sur l’impact que cela pourrait avoir sur nos libertés publiques. Mais je m’arrêterai là, car je ne suis pas familier des détails de l’omnibus.

Mme Cyrielle Chatelain, rapporteure. Vous dites qu’il conviendrait de donner davantage de moyens aux régulateurs, mais quelles sont les instances pertinentes ? S’agit-il de la Cnil (Commission nationale de l’informatique et des libertés), des instances de contrôle des données au niveau européen, de toutes à la fois ? Quels organes mériteraient de voir leurs capacités d’action renforcées ?

M. Martin Untersinger. Dans la mesure où le respect du droit relatif aux données à caractère personnel relève en France de la Cnil et, en Europe, de ses homologues, ces instances semblent être les chefs de file naturels pour régler ce problème.

Le premier enjeu est le caractère mouvant de cet écosystème très opaque, dans lequel il est très complexe de reconstituer le circuit des données. Pour avoir échangé avec la Cnil, je sais que les enquêtes et les procédures de sanction prennent du temps et que les entreprises concernées sont extrêmement agiles et fluides.

Ce n’est pas directement lié à une action du régulateur, mais j’ai en tête le cas d’une start-up française qui avait été épinglée par Google pour ne pas avoir respecté les bonnes pratiques sur son réseau publicitaire. Cette start-up récupérait des données personnelles pour les revendre, notamment dans des outils de surveillance proposés à des États. Une fois blacklistée par Google, cette société a disparu. Son PDG en a immédiatement recréé une autre et si je n’ai pas d’informations à son sujet, il n’y a, à mon sens, guère de suspense quant à son activité.

Il y a donc une complexité inhérente du marché, ainsi qu’une complexité technique. Pour avoir échangé avec des chercheurs informatiques, qui dédient une grande partie de leur activité à la compréhension fine des places de marché automatisées, des procédures de captation des données sur les téléphones et donc de toute la chaîne de transmission jusqu’aux courtiers, je peux vous dire qu’eux-mêmes, alors qu’on pourrait imaginer qu’ils disposent de moyens pour éclaircir le circuit des données, peinent à comprendre le cheminement. Ils font face à des acteurs qui opèrent à dessein dans l’opacité, précisément parce que cela leur permet de détourner un certain nombre de données au sein des marchés publicitaires. De plus, les entreprises qui collectent les données sur les appareils sont ingénieuses pour déjouer les protections techniques qui s’y trouvent. Il y a un double enjeu de complexité organisationnelle et de complexité technique du marché.

Le problème des données personnelles est gigantesque. Les autorités de protection font avec les moyens qui leur sont conférés, sachant que les données publicitaires mobiles ne sont que l’une des questions qu’elles ont à traiter. Cela étant, à mon sens, c’est d’elles que peut venir une partie de la solution, puisqu’il leur revient de faire appliquer le droit – qui ne semble actuellement pas respecté.

Mme Cyrielle Chatelain, rapporteure. Dans le cadre de votre enquête, avez-vous identifié les clients des data brokers ? S’agit-il, par exemple, des grandes centrales publicitaires, comme Google Ads, Meta ou Criteo ?

De même, avez-vous identifié des secteurs dans lesquels les données sont utilisées autrement qu’à des fins publicitaires ? Vous évoquiez notamment la revente de données à des États. Quel est le profil des personnes qui achètent ces données ?

M. Martin Untersinger. Nous n’avons pas obtenu d’informations spécifiques sur les clients des data brokers. Les acteurs que vous avez cités se situent plutôt en amont de la chaîne par rapport aux courtiers.

En revanche, ce qu’on sait, et vous venez d’y faire référence, c’est qu’à ce marché foisonnant des données publicitaires s’est greffée une industrie spécifique, qui achète ces données, les consolide, les analyse et les revend. Une partie de ces données sont destinées à la puissance publique, notamment pour l’analyse des flux à l’intérieur des villes, ou aux entreprises privées, pour connaître le cheminement des personnes au sein d’un quartier, afin de voir dans quelles enseignes elles s’arrêtent. Mais surtout, une industrie de la surveillance étatique s’est greffée au secteur publicitaire. Une quinzaine ou une vingtaine de sociétés achètent des données, notamment et vraisemblablement auprès de courtiers, pour fournir des outils de géolocalisation et de pistage à des services de renseignement ou de police.

En l’espèce, la question légale est plus compliquée, car si la collecte de données et leur utilisation en l’absence du consentement de la personne ne sont pas autorisées, leur usage par la puissance publique n’est pas nécessairement illégal, les juristes n’étant pas tous d’accord sur ce point. Quoi qu’il en soit, le marché, lui, est illégal.

Cette industrie ne pose pas les mêmes questions que celle de la surveillance qui vend des logiciels espions intrusifs. Les données publicitaires peuvent d’ailleurs – j’aurais dû l’indiquer plus tôt – être manipulées ou gonflées artificiellement, ce qui altère leur fiabilité. Mais cela reste des outils permettant de géolocaliser, avec des contrôles encore moins importants que ceux qui existent pour d’autres solutions de surveillance étatique.

Il y a par exemple tout un débat sur le fait que l’État américain achète des données révélant des informations qui ne sont normalement accessibles que grâce à un mandat de la justice. Or il considère que ces données préexistent et sont publiques : il les achète donc et les utilise.

Ces pratiques interrogent d’autant plus qu’il n’y a aucune notion de limite géographique. Rien n’empêche un acteur, disons un service de renseignement d’un pays sur lequel j’enquête, d’acheter des données et de me géolocaliser. Cela pose donc question pour les journalistes, les activistes, etc.

Mme Cyrielle Chatelain, rapporteure. La surveillance de masse devient une préoccupation grandissante, notamment aux États-Unis où il y a eu un changement de régime assez important. Hier, Meredith Whittaker témoignait du fait que des discussions sur Facebook avaient été utilisées lors d’un procès contre une femme qui avait aidé sa fille à avorter. Savez‑vous si des géolocalisations peuvent être utilisées à des fins de surveillance aux États‑Unis, par exemple pour criminaliser l’action d’ONG ou encore l’accès aux droits reproductifs des femmes ?

M. Martin Untersinger. Il ne me revient aucun exemple spécifique. Cependant, il est très largement documenté depuis plusieurs années que certaines agences américaines, comme le DHS (département de la sécurité intérieure des États-Unis) et son unité ICE (service de l’immigration et des douanes), qui est au cœur de l’actualité, ont acheté auprès des sociétés que j’évoquais des outils de surveillance et de pistage. Or tout l’enjeu et toute la sensibilité de ces données, qui sont a priori publicitaires, c’est qu’elles nous géolocalisent dans toutes nos activités quotidiennes. Elles peuvent donc révéler ce que le droit européen considère comme des données particulièrement sensibles. Vous avez mentionné les droits des femmes, mais nous pourrions citer la liberté religieuse, l’appartenance syndicale ou le secret médical. Quand vous voyez le déplacement d’une personne dans un centre d’oncologie, par exemple, cela révèle évidemment des informations médicales sensibles. Nous évoluons dans une sorte de matrice qui collecte à tout instant nos données personnelles, si bien que tous nos secrets et tous les aspects les plus sensibles de nos vies sont concernés.

Puisque cette architecture et ces données existent, initialement à des fins publicitaires, il n’est absolument pas surprenant que la conséquence logique de cet écosystème, qu’on a laissé proliférer depuis vingt ans, soit la greffe de sociétés sur ce marché et la revente de solutions de pistage à des États.

M. le président Philippe Latombe. Nous avons aussi abordé la question du chiffrement avec Meredith Whittaker. Cette question agite beaucoup l’Union européenne, dont le projet de « chat control » est en débat au Parlement européen et a suscité des discussions au sein du Parlement français. Quelle est votre opinion sur le chiffrement ?

À cet égard, Mme Whittaker a indiqué que s’il n’y a pas d’accès au contenu chiffré, des métadonnées extraordinairement importantes peuvent néanmoins être récupérées, celles-ci pouvant révéler avec qui vous avez discuté, où vous vous trouviez, quelle antenne a borné, voire donner une géolocalisation plus précise encore grâce au GPS.

M. Martin Untersinger. D’abord, et je pense pouvoir parler au nom de mes confrères, il est nécessaire de dire que les outils de communication sécurisée, dont Signal est un excellent exemple, sont pour nous journalistes, qui traitons parfois de sujets sensibles, une bénédiction. Ils sont absolument nécessaires en ce qu’ils sécurisent notre travail et permettent le respect effectif du droit à la protection des sources.

À titre personnel, j’utilise ces outils des dizaines de fois par jour et il me semble absolument nécessaire de préserver cet acquis, particulièrement à la lumière du contexte aux États-Unis où se situent la plupart des fournisseurs d’outils de communication. Même si la sécurisation n’est pas totale, car le chiffrement ne concerne que les messages en transit, pouvoir échanger de cette manière est indispensable à l’exercice de la profession journalistique.

Quant aux métadonnées, elles sont effectivement très révélatrices et très précises. Je me souviens d’un ancien chef de la NSA, l’Agence nationale de sécurité américaine, qui avait dit : « Nous tuons des gens en nous basant sur les métadonnées. » Il est donc absolument crucial de les protéger. En effet, le secret des sources, ce n’est pas tant garder confidentiel ce que vous a dit quelqu’un, mais avec qui vous avez discuté. De mon modeste point de vue de journaliste, la protection des métadonnées est donc aussi importante que le chiffrement des messages.

Mme Cyrielle Chatelain, rapporteure. Je reviens à Strava. Auriez-vous pu collecter le même type de données sur d’autres applications ? Pourquoi avoir choisi celle-ci ?

Par ailleurs, quelles applications envoient-elles des données aux data brokers ?

M. Sébastien Bourdon. Nous avons travaillé sur Strava, car c’est de très loin l’application sportive la plus populaire en France et à l’international. Il en existe de nombreuses autres, souvent liées à des marques connues telles que Nike, Adidas ou Garmin. Ces plateformes ont des fonctionnalités équivalentes, ou du moins proches de celles de Strava, aussi aurions‑nous pu les utiliser, mais elles sont simplement moins populaires.

Les autres applications qui permettraient de trouver des informations sensibles – cela a d’ailleurs déjà été documenté –, sont les applications de rencontres, comme Tinder, Grindr ou Bumble. Leur principe est le même que les applications sportives : voir le profil des autres utilisateurs et utilisatrices dans un certain périmètre et selon certains critères. Or pour être vu par les autres, il faut que votre téléphone, qui agit comme une balise GPS dans votre poche, indique en permanence où vous êtes.

Le média néerlandais Follow The Money a publié une enquête – l’an dernier si je ne fais pas erreur – pour laquelle ils avaient réussi à suivre des militaires américains sur différentes bases en Europe grâce à Tinder. L’idée était de créer des comptes qui agiraient comme des balises autour des différentes bases, afin de voir les militaires qui utilisent cette application y apparaître lors de leurs déplacements.

Nous utilisions déjà Strava lorsque, en 2020, nous travaillions sur l’opération Barkhane, mais nous nous étions aussi localisés sur Tinder à Gao, au Mali. La plupart des Maliens n’utilisant pas Tinder, les seuls profils que nous voyions apparaître étaient ceux de militaires français en poste dans cette base. L’application indique si la personne se situe à 1, 2, 3 ou 4 kilomètres, sachant qu’avec un système de triangulation, on peut même obtenir une localisation très précise, à quelques mètres près ; ce n’est pas très compliqué à faire. Et comme il s’agit d’une application de rencontres, les utilisateurs ajoutent nécessairement des informations personnelles : nom, âge, photos, y compris en uniforme ou avec des armes dans le cas des militaires.

S’il est possible de faire cela au Mali, on peut aussi y parvenir en France métropolitaine. Il ne faut que trois clics pour se localiser sur l’île Longue sur Tinder et cela permettrait certainement d’identifier des dizaines, voire des centaines de militaires français.

M. Antoine Schirer. Le design de ces applications a été pensé pour favoriser les échanges entre les gens, pouvoir accéder au profil des autres, etc. Si nous avons utilisé Strava, c’est parce que l’interface est particulièrement propice à cela. Il y a vraiment des brèches béantes qui ont rendu notre travail particulièrement facile, ou du moins assez aisé pour quelqu’un qui a quelques compétences en programmation.

Avant d’être journaliste, j’ai été designer numérique et je pense qu’il ne serait pas très compliqué de configurer l’application de telle manière qu’il soit toujours possible d’enregistrer ses footings et d’assurer le service aux utilisateurs tout en protégeant mieux leurs données. En deux heures de discussion, je suis convaincu que nous pourrions davantage verrouiller les choses et empêcher ce que nous avons pu faire.

M. Martin Untersinger. En réalité, quasiment toutes les applications sont concernées par la collecte de données publicitaires. La quasi-totalité des applications et des services qu’elles proposent étant gratuits, les outils sont financés par la publicité. Ils embarquent donc des dispositifs pour en afficher et collecter des données afin de les cibler.

Au risque de me répéter, la difficulté vient du fait que la personne qui récupère les données n’est pas nécessairement l’éditeur de l’application. Même quand vous éditez un célèbre site de petites annonces, la régie publicitaire est externalisée. Or c’est cette dernière qui procède à la collecte. De la même manière, les développeurs de petites applications font souvent appel à des services tiers, par exemple pour compter le nombre de visiteurs. Ces briques de construction d’une application sont gratuites et ces services se rémunèrent grâce à la publicité : ils récupèrent des données de géolocalisation qui alimentent le marché.

Certes, l’éditeur d’une application est responsable au premier chef des données de ses utilisateurs, mais pointer tel ou tel outil ne résout pas le problème et n’aide pas à sa compréhension, car ce sont d’autres acteurs, à un niveau inférieur, qui procèdent à la collecte. Et je répète que toutes les applications sont concernées.

Cela vaut d’ailleurs aussi pour l’application du Monde – nous l’avons dit dans nos enquêtes. Nous avons trouvé des données issues de l’application de notre journal dans les fichiers du courtier que nous avons sollicité. Nous nous en sommes d’abord réjouis, pensant que nous pourrions ainsi savoir d’où elles venaient et comment elles étaient arrivées là, le journal n’ayant aucun lien technique ou juridique avec le courtier en question. Nous avons multiplié les mises en demeure, mais ce fut finalement impossible de connaître le circuit ! Quand bien même on identifie les applications d’où viennent les données, la responsabilité du détournement est bien en aval.

M. le président Philippe Latombe. Jusqu’à présent, la collecte de données passait par les cookies. Grâce aux évolutions techniques, d’autres modalités de récupération d’informations sont en train d’émerger pour faire de la publicité ciblée. Quelles évolutions voyez-vous arriver ? Y aura-t-il toujours une fuite en avant, avec des alertes de votre part puis l’intervention systématiquement en retard du législateur ? Pour le dire autrement, sommes-nous comme l’équipe d’Italie, qui court après le ballon, ou avons-nous la possibilité de reprendre la main ?

M. Martin Untersinger. Ce qui est certain, c’est que les acteurs de la publicité se montrent très ingénieux pour collecter les données et passer par d’autres biais que les cookies. En l’occurrence, les données publicitaires mobiles s’appuient sur l’identifiant publicitaire – une suite de chiffres et de lettres – propre à chaque téléphone et auquel sont rattachées toutes les données personnelles collectées. Il y a des moyens de déjouer ce fonctionnement : des paramètres de confidentialité permettent de camoufler ou de changer régulièrement cet identifiant. Mais comme toute l’économie numérique est fondée sur la publicité, que la géolocalisation est perçue comme le Graal, ou du moins comme le moyen de cibler les publicités de manière très fine, les acteurs de la publicité proposent des innovations techniques qui font que nous sommes sans cesse dépassés par les évolutions.

M. Vincent Thiébaut (HOR). Je vous remercie pour ces propos très intéressants. Ce que j’en retiens, c’est que la faille est d’abord humaine. Si j’avais la bonne formation et le bon réflexe au moment où j’utilise une application, à plus forte raison si j’exerce un métier sensible, je me poserais la question du partage de mes données.

Pendant que vous parliez, je me suis amusé à sélectionner au hasard une application dans le Google Store. On m’a alors dit que cette application peut partager ma position et des informations personnelles à des tiers, et ainsi de suite. Cela signifie que nous disposons des informations et que le risque est identifié !

Peut-être devons-nous donc nous demander si ces informations sont assez lisibles et compréhensibles. Et je ne parle pas des mises à jour, notamment des politiques de confidentialité, comme celles, très importantes, que nous avons connues lors de l’entrée en vigueur du RGPD. Tout le monde clique sur « oui » sans savoir ce qu’il valide. Outre le fait de courir derrière la technologie par la loi, n’y a-t-il pas un gros travail de pédagogie à faire ?

Je suis vraiment surpris par les exemples que vous avez donnés, qui relèvent de la défaillance humaine. Il me paraît invraisemblable qu’on n’ait pas demandé aux militaires en Opex d’éviter d’utiliser Tinder le temps de l’opération ! C’est pourquoi j’estime que la faille est d’abord humaine avant d’être technologique.

La technologie, on pourra toujours courir après, elle aura toujours un coup d’avance. Il faut donc la bonne information et la bonne formation de l’utilisateur. Que pourrions-nous faire dans ce domaine ?

M. Martin Untersinger. Je laisserai mes confrères répondre sur les données mises en ligne volontairement.

Pour ma part, je suis plutôt en désaccord avec le fait que les choses relèveraient d’une faille humaine. Certes, on peut se passer d’un smartphone, mais c’est tout de même assez compliqué. Je vois que vous en avez un, je présume pour de très bonnes raisons ; pareil pour moi. Or il est humainement impossible de lire les conditions d’utilisation de chacune des applications qu’on utilise et à plus forte raison des 500 entreprises avec lesquelles elles traitent et auxquelles elles fournissent nos données. La question n’est donc, selon moi, pas du tout individuelle, mais dépend de l’écosystème, de l’application du droit et de la responsabilisation des acteurs de ce marché foisonnant et opaque.

On ne peut raisonnablement demander à quelqu’un de connaître exactement les données qui seront collectées, leur cheminement et la manière dont elles seront utilisées, dans la mesure où même les experts, les régulateurs et les informaticiens sont incapables de le faire.

Il est toujours possible, dans les paramétrages, de limiter l’exposition publicitaire, mais j’ai tendance à penser qu’il est insuffisant de faire reposer sans cesse sur l’individu la responsabilité de sa sécurité numérique et de la protection de ses droits fondamentaux, par le biais, en l’espèce, du respect du droit relatif aux données personnelles. C’est trop compliqué et les pouvoirs publics sont aussi là pour protéger le citoyen de la prédation de cette industrie à laquelle, pour ce qui est des données publicitaires, il est impossible de se soustraire.

M. Sébastien Bourdon. Je suis d’accord, monsieur le député, sur la dimension humaine, mais la question est avant tout systémique. Dans notre dernière enquête, c’est bien une personne en particulier qui a permis d’obtenir la position du Charles-de-Gaulle, mais il y a en réalité des milliers de militaires qui font à peu près n’importe quoi sur Strava et sur d’autres applications. Une personne, à un moment T, a cliqué sur sa montre et révélé la position du bâtiment, mais je n’ai aucun doute sur le fait que d’autres, à bord du Charles-de-Gaulle, ont, au cours des dernières semaines, fait strictement la même chose.

Pour être tout à fait honnête, nous avions déjà trouvé le porte-avions il y a plusieurs années au cours d’une de nos précédentes enquêtes, lorsque nous cherchions les gardes du corps. En 2024, nous avions su que le Charles-de-Gaulle se trouvait au large du Yémen. Nous n’avions pas publié l’information parce que le contexte n’était pas le même et que les positions avaient quelques mois. Mais nous trouvons très régulièrement la position de bâtiments militaires en mer, y compris des sous-marins nucléaires d’attaque. Le problème ne relève donc pas d’une seule personne.

Oui, ce serait évidemment très bien de mieux former et de davantage sensibiliser les militaires – entre autres professions – aux questions numériques. Je rappelle tout de même les échelles : 1 800 personnes se trouvent à bord du Charles-de-Gaulle et la France compte 200 000 militaires. Quant au manque de formation et d’habileté numérique, cela ne concerne pas que Strava, ni les dimensions purement opérationnelles. Il faut être lucide sur le fait que l’immense majorité de la population française maîtrise très mal ce qui se passe sur son smartphone, sans parler de fonctionnalités un peu complexes.

Je termine par une anecdote qui, à mon sens, en dit long. Quand, avec Antoine Schirer, nous avons envoyé nos questions à l’Élysée concernant les gardes du corps du président, le chef du GSPR a fait une erreur. Il m’a enlevé de la boucle, mais a cliqué sur « répondre à tous », laissant donc mes collègues en copie. Son message était destiné au service de communication de l’Élysée et il y indiquait, entre autres, qu’il valait mieux des sportifs que des alcooliques. Au-delà des propos en tant que tels, le fait est que ce monsieur a déjà du mal à adresser un mail aux bonnes personnes – cela arrive à tout le monde.

C’est un fait : l’immense majorité de la population ne sait pas utiliser son téléphone et ne regarde jamais les paramètres de confidentialité de son compte Facebook ou Strava. Il faut de l’éducation, mais pas uniquement au sujet de cette application, ni seulement pour les militaires ; le problème est beaucoup plus large.

M. le président Philippe Latombe. Merci beaucoup pour cette anecdote rafraîchissante. Nous suivrons également avec attention la publication de votre prochaine enquête qui, avez-vous dit, est en bouclage.

Je vous remercie de vous être rendus disponibles et de votre liberté de ton. Si vous souhaitez ajouter des éléments ou réagir aux prochaines auditions que nous organiserons, n’hésitez pas à nous fournir une contribution écrite.

* *

Audition, ouverte à la presse, de M. Max Schrems, fondateur de l’association NOYB (None of your business) (jeudi 26 mars 2026)

M. le président Philippe Latombe. Monsieur Schrems, je vous souhaite la bienvenue. Plusieurs arrêts des juridictions européennes portent votre nom. Pouvez-vous retracer l’histoire de vos différents combats pour la protection des données personnelles, qui vous ont notamment opposés à Facebook et à Meta ?

M. Max Schrems, fondateur de l’association NOYB (None of your business). Je vous remercie pour cette invitation.

Oui, cela fait longtemps que nous luttons. Tout a commencé quand Edward Snowden a dévoilé que le gouvernement américain avait accès à toutes les données hébergées sur le cloud américain, par les hyperscalers, tels qu’on appelle désormais les centres de données à très grande échelle.

Les États-Unis pratiquent une telle surveillance de masse depuis 2007 ; la section 702 de la loi Fisa (Foreign Intelligence Surveillance Act) qui a été introduite en 2008, a permis de légaliser cette pratique a posteriori. Les États-Unis ont ainsi un accès total à toutes les données qui sont soit la propriété d’un fournisseur de cloud américain, soit sous sa garde ou sous son contrôle, sans limite géographique. Cet accès concerne donc n’importe quel serveur sur la planète, dès lors qu’une société américaine y a accès de quelque façon que ce soit.

La section 702 de la loi Fisa distingue deux catégories de flux de données. La première concerne les citoyens et les résidents permanents américains – ceux que les Américains appellent les US persons. Ces flux bénéficient, au titre du quatrième amendement de la Constitution américaine, d’une protection qui est à certains égards plus forte que celle prévue en Europe et leur surveillance est jugée inconstitutionnelle.

Pour le reste – toutes les données qui ne concernent pas des citoyens ou des résidents permanents américains –, le gouvernement américain peut faire ce qu’il veut. Le problème concerne la grande majorité des Européens. Les États-Unis prévoient seulement un contrôle judiciaire annuel, pour s’assurer que, de manière générale, les flux de données concernant les US persons et les autres sont bien traités séparément. Le juge américain ne contrôle donc pas les collectes d’information sur un individu donné. Il a statué à deux reprises qu’il ne lui était pas possible de le faire.

Toutefois, à la suite d’intenses pressions politiques et économiques, l’idée s’est imposée qu’un nouvel arrangement était nécessaire concernant les transferts de données entre les États-Unis et l’Europe. C’est le Data Privacy Framework (cadre de protection des données). Celui-ci repose largement sur des garanties extralégislatives américaines – des courriers, des décrets présidentiels, et ainsi de suite –, car, en pratique, comme me le signalait un parlementaire américain, il serait impossible de faire adopter au Congrès américain une loi visant à accroître les droits des étrangers, pour des raisons politiques. Il n’est donc pas réaliste d’attendre des modifications de la législation américaine en ce sens.

Sur le plan des relations publiques, la Commission européenne a géré ces questions de manière très habile, se contentant de mentionner dans ses communiqués de presse la signature de nouveaux décrets, sans préciser que ceux-ci n’étaient souvent rien de plus qu’une copie directe de ceux signés sous la présidence de Barack Obama, dont les cours de justice avaient signalé l’insuffisance. Il a souvent fallu un long travail d’analyse pour mesurer combien l’apport de nouveaux décrets était faible. Par exemple, la Commission européenne s’est félicitée que les États-Unis introduisent un principe de proportionnalité sur le modèle de celui prévu dans le droit européen, avec l’idée que cela permettrait d’interdire la surveillance de masse, dès lors que celle-ci est jugée disproportionnée par les tribunaux. Or ce n’est pas le cas. Interrogés sur ce point, les États-Unis expliquent ne pas avoir la même définition de la proportionnalité que l’Union européenne. Ainsi, les deux parties se sont accordées sur l’usage d’un terme, mais pas sur son sens. Votre recours, monsieur Latombe, permettra de clarifier ces questions.

Par ailleurs, la législation américaine est en train d’évoluer. La Cour suprême américaine, désormais très conservatrice, doit se prononcer dans les prochains mois sur les garanties d’indépendance dont dispose la Federal Trade Commission. Sa décision va probablement marquer la fin de toutes les autorités indépendantes aux États-Unis – alors que l’Union européenne s’est beaucoup appuyée sur leurs décisions pour assurer la protection des données de millions d’Européens. Les fondements des garanties actuelles pourraient être réduits à néant du jour au lendemain.

À la question de la surveillance s’est progressivement ajoutée, au cours de la dernière année, celle d’une possible fermeture de nos accès aux infrastructures par les États-Unis, dans différents domaines et pays. Après l’élection de Donald Trump, j’ai été invité au Danemark, en lien avec la menace pesant sur le Groenland : l’armée danoise s’inquiète qu’en cas de conflit avec les États-Unis, ceux-ci ne les privent de l’accès aux services numériques de Microsoft, AWS (Amazon Web Services) ou Google, par exemple. De fait, les États-Unis sont en mesure d’appliquer de tels embargos – ils le font actuellement à Cuba, en Syrie ou en Iran. Je suis un mondialiste et j’espère que ce type de situations ne se produira pas. Toutefois, au vu de ce qui s’est passé au cours de la dernière année, la question se pose. Les Danois s’inquiètent des conséquences qu’aurait un tel embargo – les hôpitaux, qui utilisent Microsoft, ne pourraient plus avoir accès aux dossiers, par exemple.

Au sein de l’Union européenne, la France a été précurseure pour lancer le débat sur la souveraineté. En tout cas, c’est au niveau européen qu’il faut fournir une réponse, parce que c’est seulement à cette échelle qu’il existe un marché suffisamment large pour justifier des investissements importants des entreprises. Il ne s’agit pas de garantir la souveraineté pour la souveraineté. Je suis un mondialiste et j’espère que dans le futur, tout le monde pourra travailler ensemble. Toutefois, il convient d’être réaliste : quand le monde est mû par le nationalisme, nous ne devons pas l’ignorer.

M. le président Philippe Latombe. Vous avez mené un travail important sur le train de mesures omnibus numérique proposé par la Commission européenne. Pourriez-vous le résumer ?

M. Max Schrems. Je tiens à votre disposition les analyses détaillées produites sur chaque article du paquet omnibus numérique par les avocats de notre association – le document fait 70 pages.

En résumé, selon nous, ce train de mesures poursuit deux buts différents. Une partie correspond à des mesures de simplification et de réduction de formalités administratives inutiles, que nous soutenons. Toutefois, des ajouts de dernière minute à ce paquet omnibus répondent à des impulsions politiques de la Commission et sont extrêmement problématiques, du point de vue de la protection de la vie privée – ils visent notamment à redéfinir la notion de données personnelles au point de la rendre obscure.

Notons que ces propositions posent également problème aux entreprises, car elles sont souvent floues et risquent de créer des difficultés pratiques. Par exemple, avec la dilution proposée de la notion de données personnelles, les données traitées par une compagnie A n’en relèveraient plus, quand celles traitées par une compagnie B en relèveraient encore, ce qui compliquerait la conclusion de contrats. Pour être franc, quel que soit le point de vue politique qu’on adopte, ces dispositions sont très mal rédigées et causeraient plus de problèmes et d’abus qu’elles n’apporteraient de solutions.

La majorité des États membres sont très sceptiques quant à la valeur des articles concernés. Ils risquent de les rejeter en bloc, ce qui nous semble une réponse raisonnable. Les spécialistes de ce domaine dans les ministères de la justice de chaque État membre sont parvenus à la même conclusion que nous : le travail sur certains de ces articles n’est pas abouti.

Mme Cyrielle Chatelain, rapporteure. Vous évoquez une impulsion politique de la Commission européenne derrière certaines dispositions du paquet omnibus numérique. Pour vous, est-ce dû au lobbying des entreprises de la Big Tech, qui est important à Bruxelles ?

Par ailleurs, pourriez-vous préciser quels sont les risques liés à la redéfinition de la notion de données personnelles pour les citoyens européens ?

Enfin, concernant les systèmes d’intelligence artificielle « à haut risque », le paquet omnibus numérique prévoit d’accorder aux entreprises un délai supplémentaire de mise en conformité. Actuellement, aux termes de l’AI Act (le règlement européen sur l’intelligence artificielle), le choix de classifier ou non un système d’IA comme étant « à haut risque » dépend d’une évaluation du fournisseur lui-même, mais celui-ci est soumis à des obligations de transparence. Le paquet omnibus numérique supprimerait ces normes de transparence, alors même que l’exploitation des données par des systèmes d’IA va gagner en intensité. Selon vous, ces changements sont-ils dus aux lobbys ? Pourriez-vous préciser les risques posés par l’IA pour les données personnelles et leur impact sur les citoyens européens ?

M. Max Schrems. Quand un député européen a demandé si, avec les modifications du RGPD (règlement général sur la protection des données) proposées par la Commission européenne, le traçage en ligne des individus, notamment à des fins publicitaires, serait toujours soumis aux obligations actuelles, celle-ci n’a pas pu apporter de réponse catégorique ; elle s’est contentée de répondre que cela dépendrait des cas. Cela montre bien comme les changements proposés sont risqués ! On pourrait donner une centaine d’exemples allant dans le même sens.

Les acteurs économiques du secteur souhaitent échapper – au moins partiellement – aux obligations du RGPD et certains des objectifs fréquemment avancés par leur groupe d’intérêts pour justifier ces demandes semblent raisonnables – la collecte de données à des fins de recherche, par exemple. Une solution qui permettrait de contenter tout le monde serait, non pas de renoncer au RGPD, mais de développer des techniques fiables d’anonymisation des données. Mais il faudrait pour cela définir l’anonymisation dans le RGPD – ce n’est pas le cas actuellement.

Je ne saurai pas répondre à votre question concernant l’AI Act, car notre organisation travaille surtout sur le RGPD. Nous ne traitons de l’intelligence artificielle que dans la mesure où elle pose des questions de protection des données personnelles. À ce titre, signalons toutefois que le paquet omnibus numérique prévoit d’introduire dans le RGPD un article 88 quater relatif à l’utilisation des données personnelles par l’IA. Cet article prévoit que, lorsque le traitement de données à caractère personnel est nécessaire dans le cadre du développement et de l’exploitation d’un système d’IA, il pourra être réalisé « aux fins d’intérêts légitimes », sans donc, que le consentement de l’usager soit nécessaire. Or une telle modification ne résoudra pas les problèmes que pose, en l’occurrence, la base légale des « intérêts légitimes ». Pour invoquer celle-ci, il faut vérifier que trois conditions sont satisfaites : que l’intérêt poursuivi est bien légitime ; que le traitement des données envisagé est nécessaire et que les intérêts du responsable du traitement ne créent pas de déséquilibre au détriment des droits et intérêts des personnes dont les données sont traitées. Or la rédaction proposée ne définit pas quand ces conditions seront satisfaites. Son applicabilité est donc douteuse ; c’est au juge qu’il reviendrait de trancher. Ici encore, le texte proposé par la Commission européenne est d’une piètre qualité juridique.

L’approche adoptée pour l’AI Act et le RGPD est très médiocre d’un point de vue juridique. En effet, ce que le législateur européen appelle « approche fondée sur l’analyse des risques » implique de confier aux entreprises elles-mêmes l’évaluation des risques. Elles sont ainsi comme des enfants dans un magasin de bonbon, qu’on autoriserait à définir combien de sucre il est souhaitable et raisonnable de consommer. De telles normes juridiques ne sont pas applicables ; elles n’aident personne. Les avocats les critiquent beaucoup car elles leur rendent difficile d’indiquer à leur client ce qui est autorisé et ce qui est interdit.

J’aime dire que ces lois numériques européennes sont comme les autoroutes allemandes, où chaque conducteur définit librement sa vitesse, c’est-à-dire le niveau de risque qu’il estime correct pour lui. Mais on pourrait choisir une autre approche de l’analyse du risque, ce que font, d’ailleurs, la majorité des pays européens, en limitant la vitesse – à 30 kilomètres à l’heure devant les écoles, 50 kilomètres à l’heure en ville, et ainsi de suite. Ces limitations rendent le risque gérable, avec des lignes rouges claires.

Les conservateurs, en particulier, défendent le choix de confier l’évaluation du risque aux acteurs économiques par le souci de s’adapter aux petites et moyennes entreprises. Mais ma mère a une petite entreprise de dix employés et elle ne veut pas avoir à définir elle-même les obligations auxquelles elle doit se soumettre dès lors que le nombre d’abonnés à sa newsletter dépasse les 10 000. Dans une société démocratique, le législateur a le devoir de fixer des règles claires de régulation du numérique – ce qui est bien autre chose que de se décharger de l’évaluation du risque et de la fixation des règles sur les acteurs économiques.

Concernant votre dernière question, nous n’avons pas de preuve que les lobbys aient exercé des pressions concernant des articles spécifiques. Des rumeurs circulent, selon lesquelles certaines entreprises auraient soumis des propositions de rédaction de certains articles, mais je ne veux pas relayer de rumeurs en public.

Selon nous, le principal problème est que l’unité de la Commission européenne chargée de rédiger les propositions de directive ne dispose tout simplement pas du personnel et de l’expertise nécessaires. C’est très regrettable. Même si je ne partageais pas forcément les options politiques de l’équipe précédente, en tant qu’avocat, force est de constater qu’elle était beaucoup plus compétente. L’équipe actuelle, elle, n’est pas forcément en mesure de produire des textes juridiquement valables – les acteurs économiques eux-mêmes hésitent à souscrire à ses propositions, car ils ne voient pas bien comment elles pourraient fonctionner en pratique.

En réalité, ceux qui bénéficient des approches « fondées sur l’analyse des risques » et de la mauvaise rédaction du droit européen, ce sont les entreprises de la Big Tech, car elles disposent des services de puissants cabinets d’avocats, qui sont capables d’engager des débats interminables avec le régulateur sur le sens de chaque terme.

On entend souvent que les lois les plus flexibles sont plus adaptées aux petites et moyennes entreprises ; en réalité, elles les accablent, parce qu’elles les contraignent à recruter des avocats simplement pour comprendre à quelles obligations elles sont soumises, alors qu’elles n’en ont pas les moyens. Nous le constatons au quotidien dans les litiges : les entreprises qui gagnent à la flexibilité du droit sont celles de la Big Tech, dont les avocats débattent pendant des centaines d’heures sur les obligations légales attachées au moindre cookie. Plutôt que de se demander quel gros titre on pourra tirer d’une législation, il faut se demander à qui elle profitera réellement.

M. le président Philippe Latombe. En vertu du système de « guichet unique » du RGPD, c’est l’autorité de protection des données de l’État membre où une société est enregistrée qui est compétente pour les actions visant celle-ci – ainsi de l’autorité irlandaise pour les sociétés américaines. Or le paquet omnibus numérique tend à intégrer les règles de la directive ePrivacy dans le RGPD, et donc à renforcer les compétences des autorités nationales de protection des données. Quel bilan tirez-vous de l’action de régulation de l’autorité irlandaise ?

M. Max Schrems. C’est une vaste question. En Europe, il faut compter avec les exécutifs nationaux ; c’est d’ailleurs au niveau national que le droit européen est transposé. Or deux États membres, l’Irlande et le Luxembourg, créent des failles de plus en plus nombreuses dans le droit européen – pas seulement en matière de droit du numérique, mais aussi en matière de fiscalité et de droits sociaux.

Sans parler des entreprises de la Big Tech, la majorité des entreprises étrangères – les entreprises chinoises, par exemple – sont domiciliées dans ces deux États. Par exemple, nous avons constaté qu’une entreprise chinoise partageait une boîte aux lettres irlandaise avec 600 autres entreprises. Cela suffit pour établir que son siège est irlandais et pour la soustraire à toute poursuite des autorités françaises ou autrichiennes. Il faut faire quelque chose contre ces pratiques abusives et absurdes. Nous en sommes à un point où de nombreux choix procéduraux du régulateur irlandais relèveraient, en Autriche, de l’abus de pouvoir et constitueraient donc des infractions pénales. Pour le dire très simplement, les procédés employés en Irlande seraient, en Autriche, susceptibles d’envoyer le régulateur en prison en Autriche !

Notons que l’ancienne directrice de la Commission de la protection des données irlandaise, la DPC (Data Protection Commission) a récemment annoncé son embauche par le cabinet d’avocat qui défend Meta. Elle rejoint donc littéralement l’entreprise qui conteste ses propres décisions devant les tribunaux irlandais. Cela illustre une pratique que l’Irlande maîtrise assez bien, à savoir présenter une belle façade tout en expliquant qu’il lui est malheureusement impossible de faire appliquer les décisions – il me semble que, dans le cas de Meta, une des amendes dépassait 1,2 milliard d’euros. Ainsi, aucune des peines d’amende dont vous entendez parler dans la presse n’est jamais appliquée : un média public irlandais a estimé que seulement 0,3 % des montants dus ont réellement été payés, parce que toutes ces affaires restent pendantes pendant des années, du fait du régulateur comme des entreprises.

Les procédures judiciaires irlandaises sont en effet extrêmement longues, complexes et onéreuses, au point qu’un citoyen lambda n’a aucune chance de faire valoir ses droits. Même des demandes très simples, comme celle d’accéder à un dossier ou d’être entendu dans le cadre de la procédure, peuvent être refusées. Elles coûtent de toute façon au moins 100 000 euros : si, en tant que citoyen français, votre cas est transféré en Irlande, vous avez théoriquement la possibilité de poursuivre le régulateur irlandais pour son inaction, mais votre démarche n’a en réalité aucune chance d’aboutir si vous n’avez pas au moins 100 000 euros sur votre compte en banque. À l’issue de l’affaire Schrems II – j’étais alors poursuivi par le régulateur –, les frais juridiques se sont établis à environ 10 millions d’euros. Si j’avais perdu, j’en aurais été personnellement redevable et j’aurais été déclaré en faillite. Il se trouve que j’avais raison d’accuser le régulateur de ne pas avoir fait son travail et que j’ai gagné, mais la plupart des gens ne prendraient pas un tel risque. De ce fait, si le régulateur et le système judiciaire existent sur le papier, ils sont dans les faits inaccessibles aux citoyens lambdas et ne produisent aucun résultat.

Pour en venir aux éventuelles solutions, une des pistes évoquées consiste à transférer certaines de ces fonctions de régulation au niveau européen, au moins pour les grandes entreprises. L’Europe est déjà dotée d’un Contrôleur européen de la protection des données, compétent pour les institutions européennes comme la Commission européenne. Il serait donc possible de décider que les Vlops (Very Large Online Platforms, les très grandes plateformes en ligne) ne doivent plus être régies par les régulateurs irlandais ou luxembourgeois mais par les institutions européennes. Cela supposerait que ces dernières se montrent à la hauteur de la tâche, ce qui n’a rien d’évident, mais nous échapperions au moins aux approches nationales qui consistent tout simplement à refuser d’appliquer la loi au nom de l’attractivité économique – car c’est bien ce qui est en jeu pour ces pays, au fond : attirer ces entreprises chez eux.

Mme Cyrielle Chatelain, rapporteure. Il y a environ quinze ans, vous avez obtenu que Facebook vous transmette les données personnelles en sa possession qui vous concernaient. Qu’avez-vous découvert ? Les choses se sont-elles aggravées depuis ? Quels types de données ces entreprises peuvent-elles désormais collecter ?

Vous avez évoqué le risque de transferts massifs de données vers les États-Unis. La question de la souveraineté et de la protection des données s’est imposée dans le débat public et de grandes compagnies comme AWS (Amazon Web Services) ou Microsoft affirment proposer des solutions souveraines. Pouvons-nous croire qu’il est possible d’utiliser ces technologies sans que nos données soient captées par ces grands groupes ?

M. Max Schrems. Votre première question renvoie au droit d’accès de la personne concernée, qui est défini à l’article 15 du RGPD. Celui-ci aussi est menacé par les réformes envisagées dans le paquet omnibus numérique. Dans le monde du travail, par exemple, il arrive que des personnes demandent à obtenir le registre des heures qu’elles ont travaillées en vue de se faire payer leurs heures supplémentaires ; elles invoquent alors cet article 15. Or, en Allemagne, on entend monter la volonté que de telles requêtes ne puissent être faites qu’à des fins de protection des données personnelles. Les entreprises, si elles pouvaient ainsi statuer sur la recevabilité de chaque demande en fonction de ses motifs, en profiteraient pour les rejeter – ce qui serait le point de départ de procédures judiciaires longues de plusieurs années. Je ne connais pas la position française sur ce point – je ne pense pas qu’il en existe une à l’heure actuelle –, mais en tout cas, l’outil dont nous disposons pour connaître l’usage qui est fait de nos données est lui aussi menacé.

Lorsque j’ai commencé mes démarches, l’argument qui m’était opposé était que, dès lors que les données étaient uniquement exploitées à des fins publicitaires, leur utilisation n’avait aucun impact, aucune conséquence sur ma vie. Sur ce point, la situation a drastiquement changé avec l’arrivée de l’IA. À ma connaissance, Meta a d’ailleurs été la première entreprise à se positionner publiquement sur ce sujet et à annoncer qu’elle utiliserait l’ensemble des données recueillies sur ses réseaux sociaux pour alimenter son modèle d’IA.

On entend souvent dire que le RGPD n’a pas prévu ces développements et qu’il est donc nécessaire d’adapter la loi à ces nouvelles technologies. Or, les vieux hommes blancs qui, en 1981, ont établi les principes qui structurent le RGPD, évoquaient déjà la possibilité que, dans le futur, les données personnelles soient réutilisées de diverses façons alors inconnues et servent à alimenter de gros algorithmes qui prendraient des décisions étranges, dont plus personne ne serait en mesure de comprendre l’origine. C’est exactement pour cette raison que nous avons le droit d’accéder aux données collectées, de les faire supprimer ou de faire corriger de fausses informations : le sentiment dominant, à l’époque, était déjà que ces algorithmes étaient susceptibles de produire des erreurs. Nous y sommes : aujourd’hui, on appelle ces fausses informations des « hallucinations » et on constate que les données recueillies pour alimenter des IA ou des LLM (Large Language Models, ou grands modèles de langage) sont rassemblées dans de grands réservoirs sans qu’on sache ce qu’elles y deviennent. Une partie importante du RGPD a été rédigée précisément pour gérer ces situations.

Or, quand l’IA est arrivée, nous avons constaté que tous les régulateurs européens, y compris la Cnil (Commission nationale de l’informatique et des libertés) – qui était habituellement un régulateur très fort sur bien des sujets – ont cédé, estimant qu’il fallait tout autoriser, de peur de prendre du retard dans ce secteur. De ce fait, nous faisons maintenant face à un tsunami qui aspire toutes les données et les utilise à des fins que nous ne pouvons pas contrôler, et que les entreprises elles-mêmes ne peuvent pas contrôler. Une de nos affaires en cours concerne par exemple un ressortissant norvégien dont l’intelligence artificielle d’OpenAI prétend qu’il a assassiné ses enfants, maltraité sa femme et commis toute une série d’actes aussi horribles que fictifs. Or, quand nous demandons à OpenAI de corriger ces informations produites par son algorithme, l’entreprise explique être techniquement incapable de le faire. De nombreuses personnes témoignent de cas similaires. Il s’agit souvent de journalistes qui, parce que leur nom apparaît en tête d’articles qu’ils ont consacrés à des affaires criminelles, sont mêlés par l’IA avec le contenu desdits articles et se retrouvent ainsi accusés d’avoir tué des dizaines d’enfants ou d’avoir commis des agressions sexuelles. Que des compagnies de la Big Tech, qui engrangent des milliards, affirment n’avoir aucun moyen de corriger ces erreurs ou de traiter le problème est affligeant. C’est précisément pour ces raisons que nous nous sommes dotés des principes qui figurent dans le RGPD.

Ainsi, alors qu’on nous assurait à l’origine que les données n’étaient collectées qu’à des fins publicitaires, nous voyons bien ce qu’il en est réellement des années plus tard. Je ne crois pas que ce soit nécessairement de la mauvaise foi ni que le but réel ait toujours été celui-là, mais le fait est que c’est bien ainsi que les choses se passent.

Pour ce qui est des solutions souveraines, le nouveau terme à la mode dans le monde de la protection de la vie privée est ce qu’on appelle le soveregnity washing, c’est-à-dire le fait de prétendre qu’une solution est souveraine quand, en réalité, on se contente d’utiliser un bon vieux serveur américain en le parant d’un drapeau européen. C’est ce que font la plupart des entreprises de la Big Tech, pour des raisons diverses. À les entendre, agir autrement serait impossible, principalement en raison des coûts qu’induiraient les investissements nécessaires ou la mobilisation d’équipes européennes pour gérer en permanence des systèmes complètement distincts. Il est intéressant de noter que ces mêmes entreprises sont en revanche capables de proposer des solutions souveraines, ou au moins partiellement souveraines, en Chine : dès lors qu’un pays s’attache à faire réellement appliquer ses lois, la souveraineté n’est plus un problème.

Lorsqu’on échange avec ces acteurs de manière officieuse, ils expliquent surtout que le déploiement de telles solutions coûterait trop cher et que, tant que les clients ne partent pas, il est plus simple d’ignorer la loi tout en faisant un peu de relations publiques. Depuis la réélection de Donald Trump, néanmoins, les gens deviennent plus critiques et ne croient plus aussi facilement à ces effets de communication. Il me semble qu’il y a là une tendance et que, d’ici cinq ou dix ans – cela ne pourra pas se faire du jour au lendemain –, de plus en plus d’infrastructures critiques et d’entreprises européennes opteront pour des clouds européens.

Une autre option serait de séparer complètement les services américains et européens. On pourrait par exemple imaginer une société par actions dans laquelle le propriétaire américain détiendrait seulement les actions, mais aucun droit de donner des ordres au dirigeant. Ce fonctionnement existe déjà en Allemagne ou en Autriche, ainsi que, j’imagine, dans d’autres pays. Toutefois, cela supposerait de restructurer les entreprises concernées et impliquerait donc des coûts. Or celles-ci ne voient pas l’intérêt des investissements, dès lors que les gens ne se détournent pas de leurs services et qu’elles peuvent continuer à les vendre. Toutefois certaines entreprises plus sérieuses font exception, et plus généralement, je crois que les compagnies américaines prennent conscience que, tôt ou tard, elles seront contraintes d’aller dans cette direction.

M. le président Philippe Latombe. Pendant très longtemps, la Cour de justice de l’Union européenne (CJUE) a étendu la définition des données personnelles et accru leur protection en élargissant le champ des données considérées comme sensibles. À cet égard, la décision SRB (Single Regulation Board, ou Conseil de résolution unique) de septembre 2025 a constitué un tremblement de terre. Comment interprétez-vous cet arrêt ? Constitue-t-il un vrai changement jurisprudentiel ou sa portée doit-elle encore être clarifiée – même s’il a servi de base à la nouvelle définition des données personnelles dans le paquet omnibus numérique ?

La CJUE est-elle la véritable instance européenne de protection des données, celle qui fixe le tempo et qui donne le la ?

M. Max Schrems. Pour répondre à votre seconde question, nous estimons que la CJUE est probablement notre seul espoir actuellement. Dans l’univers de la protection de la vie privée, le simple fait de connaître la loi et de vouloir la faire appliquer suffit pour être considéré comme un activiste, car 99 % des personnes qui travaillent dans ce domaine sont employées par l’industrie. La plupart des professeurs, par exemple, sont liés par divers contrats à des entreprises du secteur – pas tous, mais la plupart.

Cela les conduit à adopter des points de vue particuliers sur des décisions comme l’arrêt SRB. En Allemagne et en Autriche, et peut-être dans une moindre mesure en France, la littérature juridique revêt une grande importance : les tribunaux la consultent et la suivent. Or cette littérature est presque toujours rédigée par des avocats d’entreprises. Si une décision a plusieurs interprétations possibles, les ouvrages juridiques mettront en avant, dans la plupart des juridictions, une interprétation très favorable à l’industrie. En Allemagne, par exemple, les publications sont très nombreuses ; quelques-unes sont réputées pour être académiques, mais d’autres peuvent être considérées comme pratiquant un activisme pro-industrie – pour retourner l’emploi de ce terme.

Cela a une influence énorme. La CJUE y a jusqu’à présent résisté, mais elle n’est pas déconnectée de ceux qui contribuent à ce débat. L’arrêt SRB en est un premier signe. Il me semble qu’il n’a pas été bien présenté par le Contrôleur européen de la protection des données, qui s’est montré très formaliste dans son approche. Ce que nous constatons, c’est un phénomène d’écho entre les décisions des tribunaux et les vues de ceux qui composent la bulle juridique.

Dans l’arrêt SRB, la CJUE a pris le soin de reprendre explicitement tous les arrêts précédents et d’affirmer très clairement qu’elle ne modifiait pas son raisonnement juridique ; elle ne l’aurait pas fait si elle n’avait pas voulu signifier qu’elle s’en tenait à sa ligne habituelle. En l’occurrence, l’affaire portait sur le cas très spécifique de l’entreprise Deloitte, qui, pendant deux mois, avait recueilli des données partiellement anonymisées, ou pseudonymisées. La Commission européenne et la majeure partie du secteur juridique ont extrait un ou deux demi-paragraphes du jugement pour en déduire que la définition des données personnelles avait soudain changé. Le respect dû à la CJUE imposerait pourtant de lire l’intégralité de la décision et de restituer fidèlement ce qu’elle voulait dire. On peut concevoir que, dans le cas où un destinataire unique reçoit, pendant une période limitée, des données dont on peut raisonnablement considérer qu’elles ne peuvent pas être rattachées à une personne identifiée, ces données ne sont pas des données personnelles au sens où la Cour l’entend. Mais c’est très différent de ce que la Commission européenne entend introduire dans le paquet omnibus numérique pour modifier le premier alinéa de l’article 4 du RGPD – puisque, je le répète, on pourrait conclure de cette modification que les données des utilisateurs exploitées pour la publicité en ligne ne seront plus protégées en tant que données personnelles.

En vérité, alors que l’arrêt SRB n’introduit dans la jurisprudence qu’une légère inflexion, modeste et contenue, la majorité des acteurs du secteur lui donnent un poids très lourd – c’est surtout le cas des juristes spécialisés dans ce domaine, qui cherchent avant tout à vendre une solution magique. De nombreux clients seraient prêts à payer 20 000 euros pour obtenir un bout de papier leur signifiant que le RGPD ne s’impose plus à eux : ils savent que cela n’arrivera probablement jamais, mais, pour cinq ans, ils pourront faire ce qu’ils veulent, en attendant que les régulateurs réagissent. Pour un dirigeant d’entreprise, le fait qu’un cabinet d’avocats lui assure que, à la lumière du jugement SRB, ses actions sont parfaitement légales est un parfait chèque en blanc. Je crois que, si on creuse un peu, c’est ce qu’il se passe. Mais les gros titres de la presse reflètent le plus souvent les opinions de ces juristes, et non celles des autorités de protection des données.

Mme Cyrielle Chatelain, rapporteure. Voilà des années que vous utilisez le droit pour combattre les géants du numérique. Croyez-vous toujours que la loi est le bon outil, ou en tout cas qu’elle est un outil nécessaire, pour mener cette lutte ? Si oui, quelles mesures pourrait-on prendre pour gagner en rapidité et en efficacité, et peut-être pour équilibrer le rapport de force entre les multinationales et les citoyens ?

M. Max Schrems. C’est une question difficile. Lorsque vous vous engagez dans ces procédures – et nous en avons plus de 800 en cours – et que vous comprenez que le délai moyen ne serait-ce que pour accéder à vos données est de cinq ans en Europe, vous vous demandez nécessairement si l’État de droit par lequel nous sommes théoriquement régis bénéficie réellement aux citoyens. Cela dit, il n’existe pas d’alternative à l’État de droit.

Il me semble qu’il nous faut changer de psychologie, changer la façon dont nous percevons les entreprises de la Big Tech. En Autriche, l’entreprise Temu a violé une multitude de dispositions du droit du travail. Le gouvernement a décidé de poster des policiers devant ses locaux et de demander à chaque salarié de présenter son permis de conduire et ses papiers d’identité ; il s’est trouvé que la plupart n’en avaient pas. De la même façon, en matière numérique, les autorités publiques doivent regagner du terrain. Nous en sommes venus à croire que ces sociétés sont au-dessus des lois – comme si elles flottaient dans leurs propres clouds, en quelque sorte –, mais, en réalité, ce sont de vraies entreprises, avec de vrais comptes en banque et elles sont redevables devant des juridictions.

C’est une question de culture. Un jour, le responsable d’une autorité de protection des données est venu me voir à l’issue d’une conférence pour me dire combien ce serait drôle si les mesures que j’avais exposées étaient mises en œuvre. Quand on songe qu’il s’agissait précisément des lois qu’il était chargé de faire appliquer, c’est ahurissant ! C’est comme si une agence de lutte contre la drogue déclarait : « Ce serait drôle de faire quelque chose pour empêcher le trafic de cocaïne, non ? » Telle est la réalité avec laquelle nous devons composer sur le terrain. Le RGPD est souvent présenté, à tort, à l’opinion publique comme une législation horrible, impossible à mettre en œuvre. Il est vrai que les chiffres disponibles à l’échelle européenne montrent que moins de 1,3 % des plaintes débouchent sur une amende. En Autriche, seules soixante-six amendes sont prononcées chaque année ; dans le même temps, les autorités viennoises ont été capables de verbaliser plus de 1000 trottinettes électriques ers mal garées en un mois l’été dernier ! Tout dépend des priorités que nous nous fixons.

J’ajouterai que, d’un point de vue financier, le gouvernement aurait beaucoup à gagner à faire appliquer la loi. J’ai par exemple fait remarquer au gouvernement autrichien qu’une seule amende infligée à Google lui permettrait de financer le tunnel de base du Brenner, qui doit relier l’Autriche à l’Italie. Ce laisser-faire dans le domaine de la protection de données reflète davantage la culture des régulateurs et des spécialistes du sujet que la lettre de la loi.

Quant à ce que nous pouvons faire, il existe en Europe une procédure de recours collectif, comparable aux class actions (actions de groupe). Je ne suis pas très partisan de ces procédures, car elles visent à réparer les dommages une fois qu’ils ont été commis alors que la régulation devrait idéalement permettre de les prévenir, mais elles auraient au moins le mérite de faire en sorte que les entreprises américaines qui violent nos lois en subissent les conséquences.

Les États membres auraient aussi pu se saisir de l’alinéa 2 de l’article 80 du RGPD, qui autorise les ONG comme la nôtre à lancer des actions collectives. Aucun ne l’a fait, alors que cette clause nous aurait permis de porter devant la justice de nombreuses affaires que nous ne parvenons pas à faire aboutir. À titre d’exemple, nous recevons de nombreuses plaintes de parents qui nous demandent d’agir contre les atteintes à la vie privée subies par leur enfant, mais aucun d’eux n’accepte que celui-ci soit identifié comme plaignant dans une procédure officielle – contre l’école ou une autre institution –, précisément par crainte de nuire à sa vie privée. L’alinéa 2 de l’article 80 nous permettrait de traiter des situations de ce type.

Un autre élément important concerne le délai maximal dont l’État dispose pour prendre une décision. En Autriche, par exemple, si le régulateur n’a pas agi dans un délai de six mois, le plaignant peut saisir les tribunaux. En Irlande, aucun délai ne s’applique : une attente de cinq ans peut être considérée comme raisonnable et le plaignant peut être amené à payer les frais de justice à l’issue de la procédure.

De nombreuses spécificités nationales pourraient ainsi être modifiées pour faciliter concrètement notre travail – mais l’amélioration des procédures est un sujet extrêmement ennuyeux, donc peu susceptible de faire les gros titres de la presse.

M. le président Philippe Latombe. Merci de vous être rendu disponible pour répondre à nos questions et merci pour tout ce que vous faites pour la protection des données. Nous suivrons avec attention les actions de votre association. Peut-être pourrons-nous vous transmettre nos conclusions en amont de leur publication, pour que vous puissiez nous dire si elles vous semblent utiles et réalistes.

* *

Audition, ouverte à la presse, du collectif Eurostack, représenté par Mme Cristina Caffarra, économiste, spécialiste de la concurrence et de la régulation des plateformes numériques et M. Yann Lechelle, entrepreneur, président-directeur général de probabl.ai (jeudi 26 mars 2026)

M. le président Philippe Latombe. Nous avons le plaisir d’accueillir l’association Eurostack, représentée par Mme Christina Cafara, économiste, spécialiste de la concurrence et de la régulation des plateformes numériques ; et M. Yann Lechelle, président-directeur général de probabl.ai.

Eurostack est un collectif de dirigeants d’entreprises technologiques européennes opérant dans différents niveaux du stack numérique, du cloud logiciel en passant par la connectivité et l’intelligence artificielle (IA), convaincus que l’Europe doit inverser la tendance qui l’a transformée en une « colonie numérique » dominée par les big tech américaines, et retrouver son rôle de fournisseur de services aux clients européens.

Je rappelle que cette audition est ouverte à la presse et fait l’objet d’une retransmission vidéo en direct. L’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission de prêter le serment, de dire la vérité, toute la vérité, rien que la vérité. Je vous invite donc à lever la main droite et à dire : « Je le jure ».

(M. Lechelle prête serment).

Mme Cristina Caffarra, économiste. Eurostack est une initiative européenne dont l’objectif consiste à réduire la dépendance extrême de l’ensemble de notre infrastructure numérique à l’égard, essentiellement, de fournisseurs américains. Lorsque je parle de dépendance, j’évoque réellement la totalité des couches : des puces au cloud, en passant par les logiciels, la connectivité et jusqu’à l’intelligence artificielle.

L’Europe a longtemps considéré que l’infrastructure cloud était une infrastructure passive, à l’instar de l’eau ou de l’électricité, et que nous ne laisserions d’ailleurs pas des acteurs étrangers gérer à notre place. Or, le cloud n’est pas passif ; il constitue la rampe de lancement à partir de laquelle se déploie un large éventail de services numériques, de gestion des données et d’applications commerciales qui nous ont rendus dépendants, à tous les niveaux, y compris les entreprises, les administrations et la vie quotidienne. L’Europe ne peut plus rester dans cette position de vulnérabilité extrême, qui n’est pas acceptable.

Bien entendu, certains acteurs affirment qu’ils vont nous aider, qu’ils sont favorables à cette évolution et qu’ils respecteront leurs engagements, mais la réalité est plus complexe. De mon point de vue, il ne s’agit pas seulement d’une question de sécurité ou de résilience, mais de croissance économique. En effet, si vous ne captez pas la chaîne de valeur sur laquelle reposent vos services, vous envoyez des montants considérables à l’étranger que vous auriez pu investir en Europe. Nous savons tous que la productivité européenne croît beaucoup plus lentement que celle des États‑Unis, essentiellement en raison du manque d’investissement technologique. Dans ce domaine, nos investissements sont bien plus faibles, et si nous poursuivons dans cette voie, l’écart va continuer à se creuser.

Pourtant, nous sommes un continent riche : nous épargnons deux fois plus que les États‑Unis et nous envoyons chaque année environ 300 milliards d’euros vers des sociétés de capital américain. Nous devons donc utiliser nos capacités propres, qui sont considérables, d’autant plus que l’Europe dispose également de nombreux talents. Jusqu’à présent, nous nous sommes principalement concentrés sur un outil : la réglementation. En tant qu’experte en réglementation et en économie, j’ai participé à ces débats. Pendant très longtemps, nous avons pensé qu’il suffisait de réguler les plateformes ; nous avons beaucoup réglementé, mais nous n’avons pas construit à l’échelle nécessaire.

Aujourd’hui, il nous faut inverser cette tendance, nous avons besoin de demande. À ce titre, deux leviers de la demande doivent être activés : l’un est la commande publique ; nous devons faire cela correctement. Cet argent doit être investi dans les entreprises technologiques européennes. L’autre est la demande privée, qui représente 80 % de la demande. Le mouvement est lent, car il existe une inertie réelle, mais je suis convaincue qu’à terme la demande privée suivra.

Pour conclure, ce que nous voyons chez Eurostack est un changement profond sur le terrain. Les entreprises ont pleinement conscience de la difficulté de la situation. Ce n’est pas seulement un enjeu politique ou sécuritaire, mais un enjeu économique et de croissance. Nous devons utiliser les atouts européens pour croître. On commence aujourd’hui à observer des mouvements concrets, y compris du côté des financements et des capitaux privés, qui commencent à s’investir dans la technologie européenne et qui voient des opportunités dans l’intelligence artificielle. Il faut poursuivre résolument dans cette direction.

M. Yann Lechelle, président-directeur général de probabl.ai. Je vous remercie de nous recevoir. Entrepreneur de la tech depuis vingt‑cinq ans, je développe des produits et des solutions qui se trouvent régulièrement en concurrence directe avec des solutions américaines. Mon expérience m’a conduit à constater combien il est difficile, en France comme en Europe, d’entrer en concurrence frontale avec des plateformes dominantes qui freinent notre croissance. Cette difficulté tient à la fois à des blocages structurels et à des blocages psychologiques propres à notre environnement. C’est précisément pour cette raison qu’Eurostack constitue une réponse crédible, même si elle ne peut être qu’une partie de la solution.

J’ai été directeur général de Scaleway, opérateur cloud qui figure parmi les trois grands acteurs du cloud en France. Notre pays a d’ailleurs la chance de disposer de trois opérateurs cloud significatifs, là où d’autres pays européens n’en comptent pas autant. Plus récemment, je suis redevenu entrepreneur avec probabl.ai, un spin‑off de l’Institut national de recherche en sciences et technologies du numérique (Inria) qui valorise un actif open-source, champion mondial dans sa catégorie, avec près de quatre milliards de téléchargements.

Ces exemples montrent clairement que nous n’avons ni un problème technique ni un problème d’offre. Les compétences sont présentes, les entreprises sont prêtes. Mais elles sont trop petites et ne correspondent pas aux attentes des acheteurs. C’est dans ce contexte que j’ai rejoint le collectif Eurostack, agrégat de fournisseurs européens existants, qui ne sont pas perçus comme équivalents aux solutions proposées par les hyperscalers américains ou par de grandes plateformes étrangères, alors même que ces dernières dominent très largement les flux d’export.

Si l’on considère les 260 milliards d’euros qui quittent chaque année l’Europe pour alimenter les fournisseurs extraterritoriaux selon l’étude Asteres, un tiers concerne le cloud et un quart le software as a service (Saas). Ces flux constituent l’essentiel de la valeur captée, le service n’en représentant qu’une part mineure. À titre de comparaison, OVH, acteur majeur du cloud en France et l’un des plus importants en Europe, ne réalise qu’un milliard d’euros de chiffre d’affaires environ. Cet exemple illustre l’écart colossal entre notre consommation et notre capacité à capter ces flux. Le déficit est massif et, en réalité, la souveraineté numérique que nous appelons de nos vœux est proche de zéro en volume d’achats. Le sujet est donc fondamentalement économique.

Le collectif Eurostack, structuré sous la forme d’une association de droit allemand, réunit des citoyens et des entrepreneurs représentant principalement l’offre. Notre objectif consiste ainsi à contribuer à l’adéquation entre une demande qui s’éveille, mais également une situation critique en matière de dépendances. Les acheteurs sont en alerte, mais ils ne savent pas encore comment consommer. Nous sommes justement présents pour proposer une offre capable de répondre à cette demande. Parallèlement, je copilote d’autres initiatives, notamment un indice de résilience numérique destiné à aider les entreprises et les comités exécutifs à mesurer leurs dépendances, système critique par système critique.

Je développe également un narratif autour de l’open-source, que je considère comme un vecteur majeur de rattrapage. L’histoire montre en effet que chaque acteur challenger, où qu’il soit, utilise l’open-source et l’openness, que je nomme « ouvertarisme » comme tactique de rattrapage. En Europe, nous avons cru, avec une certaine naïveté, que financer l’offre suffirait. Or le projet européen n’est pas abouti : nous ne disposons pas d’un marché homogène, contrairement aux États‑Unis ou à la Chine, et il demeure fragmenté.

Il est donc indispensable de rééquilibrer la situation. La méthode européenne doit correspondre à ce que nous sommes : un ensemble de pays partageant des valeurs communes. Nous ne pouvons plus nous contenter de la seule régulation ; il faut réorienter les flux économiques. En effet, ce sont eux qui, à l’horizon d’une décennie, pourront nous apporter les garanties d’une véritable souveraineté numérique, si nous parvenons à agir dès maintenant.

M. le président Philippe Latombe. Percevez-vous une volonté de Bruxelles de progresser vers un rééquilibrage, à travers la commande publique et la commande privée, par exemple à travers un « Buy European Act » ? Certains pays sont-ils plus moteurs que d’autres en la matière ? Quels sont ceux avec lesquels vous parvenez à trouver des points d’accord, afin d’améliorer l’adéquation entre la demande et l’offre ?

Mme Cristina Caffarra. La Commission européenne essaie d’agir de la bonne manière, mais elle se heurte à deux types d’obstacles. Le premier réside dans les lobbys, qui sont extrêmement envahissant à Bruxelles, très organisés et qui trouvent une écoute réelle au sein de la Commission. À un certain niveau, l’administration européenne manque de courage et d’inspiration, et le message de la peur porté par ces acteurs au nom des entreprises américaines s’avère efficace. Le récit qu’ils diffusent est le suivant : il serait extrêmement risqué pour l’Europe de se découpler des États‑Unis.

Or, personne ne parle de rupture ni de briser les liens. D’abord, cela n’est pas possible, car nous sommes trop dépendants et incapables de remplacer intégralement l’ensemble des services et des couches de solutions numériques. Ces acteurs font planer la menace du découplage, de la restriction d’accès au marché européen, et affirment que cela serait très dangereux pour l’Europe.

Ce récit est largement diffusé et provient directement de l’industrie. Une entreprise mondiale qui vend massivement aux États‑Unis ne souhaite évidemment pas être associée à un mouvement perçu comme défavorable par les Américains. Lorsqu’une entreprise européenne, qui devrait être un champion pour l’Europe, relaie ce discours, c’est extrêmement dangereux pour l’Europe, on risque de reculer. Pour un bureaucrate confronté en permanence à ce type de lobbying agressif, cela crée un climat de peur. Certains en ont conscience, mais ce lobbying produit malgré tout des effets.

À cela s’ajoutent des différences de positionnement entre États membres, qui compliquent la convergence. La France est historiquement pionnière sur ces sujets, mais cette position est caricaturée par les lobbyistes, qui la qualifient de protectionniste. D’autres pays revendiquent une posture plus modérée, plus conservatrice, notamment l’Allemagne. Pourtant, sur le fond, la position allemande est largement alignée avec celle de la France, mais l’industrie allemande ne peut pas admettre qu’elle tient le même discours.

La position néerlandaise est plutôt favorable et alignée, tout comme celle du Danemark. Il existe donc un ensemble de pays globalement d’accord, malgré des différences de discours liées à des traditions nationales distinctes. En réalité, un certain alignement existe, mais le principal problème réside dans l’intensité du lobbying, qui crée un climat de peur et freine toute décision ambitieuse.

M. Yann Lechelle. Je confirme qu’il existe des sensibilités qui, selon les moments, s’alignent ou se contestent. Nous ne pourrons pas parvenir à un résultat à vingt‑sept. Cela n’est pas réaliste. En revanche, certaines alliances, une coalition of the willing, des entités qui se rejoignent volontairement, peuvent déplacer le curseur et produire des changements significatifs. C’est précisément l’ambition du mouvement Eurostack, dont l’offre significative couvre l’ensemble de la stack.

Il s’agit d’une nouveauté, car jusqu’à présent, l’attention s’est surtout portée sur l’innovation financée par le capital‑risque, celle du numérique de demain, à laquelle on mêle volontiers des sujets comme le quantique, qui n’ont pourtant rien à voir avec l’infrastructure numérique. Eurostack se focalise sur le niveau inférieur, à savoir la stack ou l’empilement technologique. On y retrouve d’abord les composants, notamment les semi‑conducteurs, domaine dans lequel l’Europe est également très en retard. Le rattrapage dans la production de semi‑conducteurs prendra de toute façon dix à vingt ans, mais la bonne nouvelle est que les composants, une fois achetés, sont notre propriété d’un point de vue matériel.

À l’inverse, tous les éléments au‑dessus des composants sont fournis sous forme de flux et de location de services, qu’il s’agisse de l’infrastructure as a service (IaaS), de la platform as a service (PaaS) ou du software as a service. Cette partie peut être substituée progressivement, maillon par maillon. Du côté d’Eurostack, nous disposons précisément de fournisseurs à tous les niveaux de la stack. L’offre ne constitue donc pas le problème et il n’est pas nécessaire de la financer davantage, car les financements arrivent lorsque le carnet de commandes se remplit.

Il suffit d’imaginer que, sur les 260 à 300 milliards d’euros de flux qui quittent chaque année l’Europe, nous parvenions à rediriger seulement 1 %, 2 % ou 3 % vers des acteurs locaux. Immédiatement, leur chiffre d’affaires serait multiplié par deux ou trois. Des entreprises autrefois petites deviendraient moyennes, des moyennes deviendraient grandes. À partir de là, un cercle vertueux pourrait s’enclencher, permettant aux acteurs de consolider le marché. Aux États‑Unis, la Securities and Exchange Commission (SEC) ne s’intéresse pas, ou très peu, aux acquisitions hostiles inférieures à dix millions de dollars. De ce fait, les entreprises américaines qui ont développé une capacité de consolidation massive absorbent toute l’innovation émergente. Comme elles ne paient pas d’impôts en Europe, elles bénéficient d’un avantage qui neutralise le risque d’investissement et leur permet de conserver un excédent structurel par rapport aux acteurs locaux.

En Europe, la situation est inverse ; nous ne disposons pas de grands acteurs technologiques capables de jouer ce rôle. On peut citer SAP et Spotify, mais ils sont peu nombreux et leur taille reste limitée. Ces acteurs ne consolident pas. En France, Mistral accélère et se développe, et l’on peut espérer qu’il devienne un acteur consolidateur, mais cela reste une exception.

Lorsque l’on observe les hyperscalers et les big tech américaines, les Magnificent Seven, leur valorisation cumulée atteint environ 20 000 milliards de dollars. Ces entreprises ont la capacité de racheter tout ce qui les gêne ou tout ce qui leur permet de maintenir leur avantage compétitif. En Europe, nous sommes malheureusement très loin de ces volumes et de ces valorisations. C’est pourquoi il est indispensable de créer un changement dynamique avec les pays qui partagent cette analyse et qui considèrent, comme nous, qu’il faut modifier la trajectoire. Nous n’y parviendrons pas à vingt‑sept, car si Bruxelles exige un consensus absolu, certaines nations refuseront, ayant trop à perdre et trop peu à offrir.

En revanche, la France et l’Allemagne ont naturellement des choses à faire ensemble, de même que les Pays‑Bas ou le Danemark, d’autant plus que ce dernier pays a été directement menacé dans sa souveraineté, y compris territoriale, et commence à mesurer l’enjeu. Il faut désormais opérer un basculement psychologique.

Nous sommes un certain nombre à travailler sur la souveraineté numérique depuis plus de dix ans, mais nous étions trop peu nombreux et il n’existait pas de prise de conscience collective. Je pense que ce point de bascule est désormais atteint.

Des alliances européennes sont possibles, notamment autour d’un dispositif équivalent au Small Business Act américain. En effet, les États‑Unis ont mis en place dès 1969 un protectionnisme intelligent à travers ce Small Business Act, qui a permis de rediriger les flux publics vers des acteurs locaux devenus ensuite des entreprises majeures. Par exemple, la Defense Advanced Research Projects Agency (Darpa) a financé massivement, par la commande et non par la subvention, des projets à l’origine de l’émergence des hyperscalers, Google ayant par exemple bénéficié de budgets fédéraux considérables. Ces mécanismes existent ; il suffit de s’en inspirer.

Le Small Business Act européen existe théoriquement, mais il n’est pas fonctionnel. D’autres techniques permettraient également de contourner la contrainte bruxelloise du choix du moins‑disant. On pourrait, par exemple, exiger que le sous‑jacent soit open-source. Cela permettrait d’assurer la réversibilité, de maîtriser le code source et la technologie sous‑jacente, quel que soit le fournisseur.

Mme Cyrielle Chatelain, rapporteure de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Globalement, nous sommes d’accord sur le niveau de dépendance, qui est très élevé. La question centrale consiste donc à savoir comment en sortir. Au-delà du volet de la régulation, vous avez évoqué deux autres leviers. Le premier concerne la réorientation du flux économique, qui part aujourd’hui vers les États‑Unis. De ce que j’ai compris dans vos propos, pour enclencher la machine, il faut commencer par réorienter le flux de l’économie publique, par la subvention ou par la commande. Vous avez également insisté sur le rôle de l’open-source dans cette dynamique.

Par ailleurs, vous avez souligné que nous ne disposons pas de suffisamment d’infrastructures pour répondre à la demande. Se pose donc la question du développement de ces infrastructures et de leur montée en capacité.

Dans le modèle que vous proposez, comment l’argent public, dans un premier temps, puis l’argent privé, peut‑il permettre de financer le développement, c’est‑à‑dire la montée en puissance et l’augmentation des capacités des acteurs européens, afin de répondre aux demandes européennes ? Enfin, vous avez mentionné le Small Business Act. Avez‑vous identifié d’autres outils permettant de réorienter les financements publics et, éventuellement, privés ?

Mme Cristina Caffarra. Votre description de la situation est juste. Contrairement à d’autres initiative, Eurostack ne se contente pas d’attendre que l’État fasse tout à notre place. De fait, l’État ne peut pas prendre en charge l’ensemble des décisions économiques. En tant qu’entreprises, nous devons agir nous‑mêmes, et cela n’est possible que s’il existe une motivation réelle.

J’établis ici une distinction claire entre le public et le privé, car les motivations ne sont pas les mêmes. Dans le secteur public, l’État peut évidemment établir des mandats. Ainsi, il est légitime que l’État décide qu’une partie de l’argent public soit orientée vers des entreprises européennes. Cela ne produira pas seulement une différence en termes de valeur, même si elle sera réelle, mais cela enverra surtout un signal fort : des solutions existent et peuvent être mises en œuvre.

Cependant, le véritable volume, et donc la véritable réorientation des flux économiques, se situe dans le secteur privé. En Europe, la demande pour ces services est massive, mais l’offre est presque exclusivement détenue par des acteurs non européens. Du côté de l’offre, des alternatives existent pourtant, dans toutes les couches de la stack. En réalité, le problème porte sur la demande. On nous oppose souvent l’argument des hyperscalers. Certes, il reste du travail pour agréger l’offre et créer des produits intégrés et attractifs, domaine dans lequel les entreprises américaines excellent. Elles vendent des bundles, des paquets intégrés. Mais nous avons les compétences, les composantes et le savoir‑faire pour produire des offres équivalentes.

Cependant, nous manquons d’acheteurs : sans demande, tous les meilleurs plans demeurent théoriques. Le véritable obstacle concerne donc l’action collective. Les entreprises sont d’accord sur le principe, mais elles craignent d’agir seules. Des solutions existent pourtant, comme des alliances d’acheteurs.

Enfin, si un Small Business Act à l’européenne semble pertinent, il ne faut pas croire qu’une réglementation magique transformera le marché. La réglementation ne modifie pas les marchés ; ce sont les opérateurs qui le font. Il est temps que les entrepreneurs reprennent ce pouvoir, sans attendre que l’État ou le régulateur décide pour les trente prochaines années.

M. Yann Lechelle. Madame la rapporteure, votre mise en équation est correcte : il s’agit de trouver les bons leviers. Le Small Business Act est un mécanisme qui a fonctionné aux États‑Unis. Nous n’avons pas nécessairement besoin d’un outil identique, mais des équivalences permettant de déclencher l’acte d’achat et de faire en sorte que des acteurs petits deviennent plus grands sont absolument essentielles. Un mot‑clé a été utilisé ici en anglais, celui de bundle, dont l’opposé est l’unbundle, le groupement de produits permettant une intégration verticale.

Les acteurs hyperscalers et, plus largement, les big tech américaines sont intégralement verticalisés : ils disposent d’une offre à tous les niveaux de la stack, ce qui leur permet de proposer des paquets intégrés, ces fameux bundles. Ils vendent ainsi la totalité de la stack – y compris des choses dont vous n’avez pas encore besoin. Or, à Bruxelles, le bundling n’est pas interdit. Ces opérateurs offrent des produits excellents et ils disposent de compétences commerciales et marketing puissantes.

À l’inverse, en Europe, l’offre est éclatée sur l’ensemble de la stack, et le bundle n’existe pas. Pour un acheteur, il est donc plus complexe d’obtenir une solution intégrée verticalement correspondant à ses besoins. En réalité, il faudrait déconstruire, dans chaque appel d’offres, l’offre présentée comme bundled et, à l’inverse, assembler les offres locales, car nous disposons bel et bien des compétences à tous les niveaux de la stack.

Il importe donc de développer un nouveau muscle du côté des achats. La régulation n’apporte pas nécessairement de solution sur les marchés privés, mais en revanche, sur les marchés publics, l’achat doit être exemplaire. En France, nous avons tenté certaines expérimentations, aux résultats contrastés. Par exemple, la tentative de recréer un cloud à partir de zéro n’a pas fonctionné. Nous avons ensuite mis en avant des offres de cloud de confiance, avec Bleu et S3NS, qui apportent une souveraineté de la donnée d’un point de vue juridique, mais pas une souveraineté technologique.

Il faut donc se demander avec quels acteurs nous sommes capables de composer, à partir d’un cahier des charges qui n’est peut‑être pas idéal, mais qui constitue un dénominateur commun compatible avec les acteurs locaux, souvent moins chers. De fait, un produit de Scaleway ou d’OVH est souvent moins cher que le produit équivalent chez AWS, Azure ou Google. Un serveur informatique loué en 2026 est une commodité. Il est donc parfaitement possible de consommer localement une partie significative de ces achats. Cela implique de segmenter l’achat afin de faire correspondre l’offre aux besoins.

De son côté, l’offre doit être exemplaire, et c’est à nous, éditeurs de logiciels et fournisseurs d’infrastructures, de l’être. Nous en avons les compétences. Le problème n’est pas la masse critique, car nous n’avons pas vocation à servir le monde entier : nous sommes capables de répondre aux besoins des Français. Peut-être qu’il nous faudra des décennies pour servir les besoins de américains, des sud-coréens, des japonais, et j’en passe. Il ne s’agit pas d’être aussi bons et aussi grands que les acteurs américains, mais de répondre à une demande fragmentée et précise.

Enfin, un chiffre illustre parfaitement la situation : AWS, plateforme de cloud leader, réalise 80 % de son chiffre d’affaires sur un seul produit, les machines virtuelles. Ce produit existe en France ; c’est une commodité. Il n’y a donc aucune raison de le consommer par défaut auprès de ces acteurs.

M. le président Philippe Latombe. Vous avez indiqué que la régulation n’est pas forcément la solution. Néanmoins, la question du bundle pose celle du droit de la concurrence : jusqu’où peut‑on aller dans la vente de l’ensemble de la stack ? Les cas Copilot, Teams et Google montrent‑ils qu’un nouveau shift réglementaire européen est nécessaire ?

M. Yann Lechelle. Nous avons tous été déçus par les résultats des réflexions menées ces dix ou quinze dernières années. Si l’on parvient à mettre en œuvre le bon vocabulaire et une description claire de ce qui est acceptable ou non, et si l’on arrive à scinder l’IaaS, le PaaS et le SaaS en exigeant une séparation de ces strates logiques, des bénéfices pourront être envisagés. Mais la solution retenue doit rester simple et surtout actionnable, car le numérique évolue sur des trajectoires exponentielles et une réglementation inopérante ne cassera pas cette dynamique de captation de valeur.

Mme Cristina Caffarra. L’idée selon laquelle nous pourrions apprivoiser les plateformes américaines par la réglementation est un mirage, une illusion totale. Elles ne peuvent pas être apprivoisées, tout simplement parce que nous avons attendu beaucoup trop longtemps. Même lorsque la Commission européenne a commencé à agir autour de 2020 – et j’étais impliquée dans tous ces cas – il était déjà trop tard. Les attaques juridiques, les sanctions ou les amendes ne fonctionnent pas ; elles ne changent pas les règles du jeu sur le terrain. Nous l’avons vu avec les actions menées contre Google, Amazon ou Microsoft.

Je salue le travail de la Commission qui continue d’appliquer les lois, mais la question demeure : gagnons-nous ? La réponse est négative. Rien n’a changé : les revenus de Google ont continué à croître de manière massive. Ces entreprises sont engagées sur une trajectoire exponentielle, et nous ne sommes plus en mesure de l’infléchir. Il est même légitime de se demander si nous pouvons encore faire quoi que ce soit.

La seule chose qui pourrait fonctionner, et que nous n’avons pas su faire à l’époque, aurait été de créer nos propres alternatives. Je ne critique pas ces entreprises : elles sont excellentes dans ce qu’elles font et ont évolué dans un espace qui leur était ouvert. Lorsqu’elles sont arrivées en Europe, il existait un véritable boulevard ; elles l’ont emprunté quand dans le même temps, nous avons reculé. De fait, aucun scénario fondé sur l’argumentation ou la réglementation ne peut aujourd’hui inverser la situation.

La seule issue possible consiste à commencer à construire notre propre système. Mais nous sommes confrontés à un cercle vicieux : la peur du changement empêche l’adoption des alternatives, ce qui freine leur développement, et donc personne ne les utilise. Ce cercle doit être brisé, car il est inconcevable de poursuivre sur la trajectoire actuelle. Les réglementations ne nous ont pas apporté de solution depuis vingt‑cinq ans.

Si l’on me demandait de citer une réglementation antitrust ayant produit des résultats significatifs, je n’en trouverais pas. Changer un élément marginal ne suffit pas : il faut un écosystème complet, une demande, un système commercial, des financements et de véritables entreprises, car une entité publique ne peut pas créer seule une entreprise. Sans cela, nous ne pourrons pas avancer.

Mme Cyrielle Chatelain, rapporteure. Si la régulation est absolument inopérante, pourquoi dépenser autant en lobbying ? Vous l’avez dit, la Commission européenne est aujourd’hui submergée par les lobbys, et l’on sait que le lobby du numérique dépense davantage que les lobbys pharmaceutique et automobile. Cela signifie bien que la régulation, si elle est adoptée, peut engendrer un impact réel, puisqu’on cherche précisément à l’empêcher en amont.

Ensuite, je souhaiterais vous entendre sur la question de l’interopérabilité. Vous avez raison de dire qu’être simplement une nouvelle application sur un téléphone ne change rien. En revanche, garantir la capacité de choix des citoyens est essentiel, par exemple pour éviter d’être piégé dans un système fermé. L’exemple des chargeurs universels montre bien que l’interopérabilité permet de sortir d’une situation de blocage, ce qui relève clairement de la régulation.

Troisièmement, je partage votre idée qu’une régulation ne changera pas le marché, mais je ne crois pas qu’il s’agisse là de son objectif. La régulation vise d’abord à protéger, notamment face à des acteurs qui mettent en danger la santé des personnes, en particulier des enfants. Construire une alternative ne peut pas signifier reproduire un modèle fondé sur l’addiction au détriment de la santé ; la régulation permet aussi de promouvoir un modèle européen conforme à nos valeurs.

Enfin, ma dernière question porte sur la captation des données. Nous faisons face à des acteurs monopolistiques, notamment dans l’IA, dont les modèles sont entraînés à partir de données que nous avons partagées depuis des années.

Demain, un omnibus numérique affaiblira la notion de données personnelles, à la demande des lobbyistes de Google ou AWS. Puisque ces acteurs monopolistiques sont bien installés, le changement de cette définition ne bénéficiera-t-il pas en premier lieu aux acteurs qui sont déjà les plus implantés ?

Mme Cristina Caffarra. Je ne suis pas opposée à la réglementation en termes absolus. J’aurais dû être plus claire : je parle ici de la réglementation économique. Il ne s’agit pas uniquement d’un problème de lobbying, même si celui‑ci est extrêmement puissant et retarde effectivement la mise en œuvre des textes.

Il existe une idée selon laquelle il suffirait de mieux appliquer la réglementation pour que la situation change ; mais ce n’est pas vrai. Même appliquée correctement, cette réglementation ne peut pas fonctionner, car il est impossible de formuler des règles capables de s’attaquer réellement au cœur du problème. Prenons l’exemple de Google. Une règle a été édictée, la réglementation impose de ne pas vendre les préférences. Mais Google répond qu’il respecte parfaitement les règles, produit des rapports juridiques en ce sens, et annonce que, s’il le faut, le débat se poursuivra devant la Cour de justice de l’Union européenne à Luxembourg dans deux ans. Or deux ans plus tard, rien n’a changé, et tout a continué exactement de la même manière.

Or, nous n’avons plus le temps. L’Europe ne peut pas attendre encore dix ans que tous les recours soient épuisés. Les amendes infligées sont dérisoires, elles ne sont pas dissuasives, et ces entreprises peuvent immobiliser ces sommes pendant des années sans conséquence. Le processus de réglementation économique est trop lent et les règles sont formulées de manière à ne jamais attaquer le véritable problème.

Depuis quinze ans, rien n’a changé sur le terrain en matière d’antitrust. Il faut donc cesser de croire que la législation nous apportera autre chose qu’un jeu auquel ces entreprises excellent. Lorsqu’elles se présentent devant une autorité de régulation avec des armées d’avocats face à quelques experts, l’issue est connue d’avance. Pendant ce temps‑là, l’Europe continue de perdre du terrain. Je le répète : l’intention est bonne, mais cela ne peut pas fonctionner.

M. Yann Lechelle. Lorsque j’ai commencé à effectuer du lobbying pour l’entreprise que je représentais, je me suis rendu à Bruxelles avec des éléments tangibles sur les effets de lock‑in. J’ai alors mis en lumière des pratiques qui paraissaient presque normales : le dumping en B2B, parfaitement légal, notamment les prix négatifs pratiqués par les grands acteurs du cloud. Cette stratégie est combinée à des coûts de sortie exorbitants, créant un effet ciseau : on entre parce que c’est peu cher, voire négativement cher, puis il devient trop coûteux de sortir. Les start‑ups, qui devraient être le relais d’un renouveau numérique, mettent d’abord un doigt, puis la main, puis le bras, et il est alors trop tard : elles ont adopté des produits dont elles n’avaient pas besoin et ne peuvent plus basculer.

Lorsque je suis allé à Bruxelles, mon interlocuteur a trouvé mes éléments très intéressants, mais il m’a conseillé de revenir souvent, car les deux cents rendez‑vous avant moi et les deux cents après moi étaient occupés par des représentants de ces mêmes entreprises. De fait, leur capacité de déploiement pour protéger leurs intérêts, aussi légale soit-elle, leur confère un pouvoir de distorsion absolue du discours. Nous sommes donc d’accord pour critiquer l’efficacité de la régulation d’un point de vue économique. En revanche, la régulation qui touche à nos valeurs européennes est indispensable. Il faudrait même se concentrer prioritairement sur ce que nous voulons défendre, jusqu’à exiger la transparence des algorithmes, notamment sur les réseaux sociaux, où nous avons perdu tout contrôle.

Je souhaite également insister sur l’interopérabilité, terme trop souvent employé à la légère. Dans les télécoms, elle a été mise en œuvre de façon simple : il est possible de changer d’opérateur tout en conservant son numéro, identifiant unique. Dans le numérique et le cloud, la stack est bien plus complexe, ce qui rend difficile une interopérabilité globale. Il est en revanche plus réaliste de l’exiger maillon par maillon, et c’est là que l’open prend tout son sens.

Il existe un gradient d’open : open-science, dans laquelle la France excelle avec l’Inria, open-data, open-source, open-weight pour l’IA, open-standards, jusqu’à l’open-hardware et aux open-platforms. Tous ces niveaux constituent des leviers pour progresser vers l’interopérabilité et casser l’effet lock‑in lié au bundle. Cela peut passer par la régulation ou par les cahiers des charges imposant un sous‑jacent open. S’il est ouvert, il est interopérable.

Enfin, sur l’ambivalence de la régulation, le règlement général sur la protection des données (RGPD) a été extraordinairement efficace pour exporter une valeur européenne (la protection des données trop personnelles) jusqu’en Californie. Meta a dû s’adapter sous peine de perdre 4 % de son chiffre d’affaires. Lorsque la règle est claire et impactante, ces entreprises s’y conforment. Mais les retombées économiques en Europe ont été négatives, car nos PME ont dû supporter des contraintes que les grandes plateformes ont absorbées sans difficulté.

En conséquence, sans redirection des flux économiques, la régulation ne suffit pas. Il faut donc, avant tout, travailler l’adéquation avec les standards ouverts, afin de permettre aux acteurs locaux de proposer immédiatement des offres, couche par couche.

M. le président Philippe Latombe. La France a été motrice sur l’open-source. Existe‑t‑il aujourd’hui des pays européens qui s’y intéressent davantage qu’auparavant, voire qui seraient passés devant la France en matière de financement des briques open-source et de l’écosystème open-source ? Cette question est liée à la création du Consortium pour une infrastructure numérique européenne (Edic) et à la notion de commun numérique : y voyez‑vous une brique de construction permettant, non pas par la régulation mais par l’offre, de faire avancer les choses ?

Deuxièmement, dans une perspective franco‑française, je souhaiterais vous interroger sur la position actuelle de la direction interministérielle du numérique (Dinum), qui développe des logiciels plutôt que de solliciter un écosystème privé. Cela pose la question de l’adéquation entre l’offre et la demande que vous avez évoquée : est‑ce, selon vous, le rôle de l’État de produire ce type de solutions ?

Enfin, en quoi l’indice de résilience numérique constitue‑t‑il une brique du narratif, de la prise de conscience et, in fine, de l’évolution de la demande, notamment du secteur privé, vers des entreprises françaises ou européennes ?

M. Yann Lechelle. Les Européens sont les leaders mondiaux en tant que contributeurs open-source. Une étude menée par GitHub montre ainsi que nous sommes devant les Américains en nombre de contributions : nous sommes capables de créer des logiciels de grande qualité. Parmi les grands projets open-source, on peut citer Linux, développé par un Européen, ou encore le world wide web, développé en Suisse par un Anglais. La France est tout à fait pertinente sur ce sujet, tout comme l’Allemagne.

Certains pays ont d’ailleurs effectué le choix stratégique de l’open-source. La Chine, par exemple, l’a intégré explicitement dans sa stratégie depuis 2022. D’autres pays européens ont également capitalisé sur ce levier : la Lituanie, notamment, a largement utilisé l’open-source pour numériser l’ensemble de son économie. Globalement, tous les pays européens sont pertinents à hauteur de leur PIB et de leur nombre de développeurs. La Pologne et l’Ukraine comptent davantage de développeurs que la France et l’Allemagne, mais le couple franco‑allemand demeure une locomotive, à la fois en compétences et en masse critique.

Je souligne néanmoins que l’Allemagne est beaucoup plus pragmatique. Là où la France agit parfois de manière désordonnée, l’Allemagne dispose déjà d’une structure dédiée, la Sovereign Tech Agency, qui déploie des budgets raisonnables pour financer des briques open-source critiques, indépendamment de leur origine. Cette agence, filiale de l’Agence fédérale allemande pour l’innovation de rupture (Sprind), sélectionne les projets réellement stratégiques et inverse la logique habituelle du financement, qui favorise souvent les plus habiles plutôt que ceux qui en ont le plus besoin.

S’agissant de la dépendance numérique, l’Allemagne demeure ambivalente, du fait de sa relation forte avec les plateformes américaines, dans une forme de troc implicite entre marchés industriels et numériques. Mais elle a compris la pertinence stratégique de l’open-source. Ce pragmatisme se retrouve également dans sa manière de s’appuyer sur des éditeurs privés open-source, là où la Dinum, selon moi, fait fausse route en cherchant à se comporter comme un éditeur de logiciel. En revanche, son choix de s’appuyer sur des technologies open-source est excellent : l’administration publique devrait utiliser ces technologies assises sur l’open-source et les acheter à des fournisseurs qui les maintiennent, plutôt que de tout développer elle‑même.

Enfin, concernant l’indice de résilience numérique (IRN), il est né de la volonté de mesurer la dépendance réelle des entreprises, qui jusqu’ici ne se sentaient pas concernées par la souveraineté numérique. Aujourd’hui, un point de bascule est atteint. L’IRN permet aux dirigeants d’identifier les faiblesses de leurs systèmes critiques, stack par stack, et d’améliorer progressivement leur résilience. Cette démarche réoriente naturellement la demande vers une offre régionale. En France, cette offre régionale est représentée par le comité stratégique de filière numérique de confiance (CSF), et en Europe via l’Eurostack, qui en constitue l’extension européenne.

Mme Cyrielle Chatelain, rapporteure. Nous parlons beaucoup de flux économiques, mais aujourd’hui, la majorité des dépenses de l’État n’est pas concentrée sur la Dinum, qui développe prioritairement des solutions pour les agents et les ministères. La priorité ne serait‑elle pas d’aller chercher les flux correspondant aux 3,9 milliards d’euros restants, afin qu’ils ne soient plus orientés vers des outils américains ? Il me semble en outre que la Sovereign Tech Agency finance plutôt des briques de bas niveau, protocoles et codes, tandis que la Dinum développe des solutions de haut niveau, directement accessibles aux utilisateurs. Ce ne sont pas les mêmes métiers, mais ils sont complémentaires.

Enfin, lors de l’audition de la Caisse des dépôts, la notion de commun numérique européen a été présentée comme un levier important, fondé sur la collaboration entre éditeurs, fondations et acteurs publics. Quelle est votre vision de ce commun numérique ?

M. Yann Lechelle. La Caisse des dépôts est partenaire de co‑construction de l’IRN, et nous avons travaillé avec l’ensemble de ces acteurs. L’IRN et Eurostack s’intéressent précisément à l’ouverture des couches basses, à l’open-source, aux standards ouverts et, plus largement, aux différentes catégories d’open. L’ensemble est cohérent : l’IRN permet d’élargir la perspective, d’améliorer son score et donc sa résilience. Il convient d’ailleurs de bien distinguer la résilience au niveau de l’entreprise ou de l’entité consommatrice, et la souveraineté au niveau macro. L’offre, quant à elle, est représentée localement et régionalement par l’Eurostack, ce qui permet de refermer la boucle.

S’agissant des communs numériques, la Caisse des dépôts a bien identifié leur intérêt comme vecteurs de fluidification du marché. Il est toutefois essentiel de clarifier la sémantique. Par exemple, un commun numérique comme Wikipédia, est une donnée encyclopédique, mais il ne constitue pas une offre numérique structurelle. Il faut donc distinguer les communs numériques de l’offre numérique fondée sur des logiciels open-source et des fondements ouverts.

La difficulté réside dans l’assemblage des forces pour les démultiplier. La Caisse des dépôts a récemment réuni des acteurs européens afin de favoriser les rencontres entre Allemands, Espagnols, Italiens et Français. L’objectif consiste à trouver un terrain d’entente pour développer des communs ensemble. Certains acteurs allemands sont d’ailleurs mieux positionnés sur le haut de la stack, notamment sur la couche applicative.

La Dinum s’intéresse à ce niveau de la stack, mais son rôle ne consiste pas à développer elle‑même ; il est de sélectionner les bonnes piles technologiques. Il n’est donc pas choquant qu’elle identifie des solutions, quel que soit leur pays d’origine. Il ne s’agit pas d’exclure les solutions américaines, mais de permettre l’émergence de solutions européennes capables de répondre à des besoins réels, même partiels. De fait, les budgets significatifs de la Dinum seraient mieux utilisés s’ils étaient orientés vers des acteurs privés motivés par la performance, là où l’administration est avant tout contrainte par l’exécution de sa mission budgétaire.

Mme Cyrielle Chatelain, rapporteure. Vous avez évoqué le RGPD, en indiquant qu’il avait permis d’étendre un modèle, tout en suscitant des impacts économiques négatifs. Pourriez‑vous nous recommander des études précises sur ce point, notamment concernant les freins pour les PME‑TPE et les risques de complexification liés au prochain omnibus ?

M. le président Philippe Latombe. Ma question est plus prospective, presque d’anticipation. Comment envisagez‑vous l’évolution de la dépendance numérique européenne dans les cinq prochaines années, dans un contexte géopolitique tendu, marqué récemment par un chantage américain ? Pensez‑vous que l’Europe se réveille réellement et qu’elle pourra réduire sa dépendance ou que l’accélération américaine nous contraindra davantage ?

Mme Cristina Caffarra. J’aimerais être optimiste. Je pense que l’Europe constitue une véritable superpuissance. Il existe aujourd’hui un appétit latent, voire explicite, pour sortir du trou dans lequel nous nous trouvons. Il ne fait aucun doute que l’administration américaine nous a, d’une certaine manière, rendu service en nous obligeant à nous réveiller. La doctrine de Trump consiste à utiliser l’ensemble de l’arsenal disponible – le commerce, l’énergie, la technologie numérique – pour contraindre les autres à faire ce qu’il souhaite.

Cette stratégie engendre un impact majeur en Europe. Nous avons tendance à répondre sur un registre moral, en rappelant nos valeurs démocratiques, ce qui est légitime. Mais cela ne nous conduira pas là où nous voulons aller. Pour y parvenir, il faut investir de l’argent. Il existe des produits, il existe des efforts, et c’est par ces moyens que des changements concrets peuvent advenir. À mes yeux, un mouvement est engagé sur plusieurs lignes, et il n’est désormais plus possible d’ignorer ce qui se passe, que ce soit au niveau des gouvernements ou des entreprises.

Je ne suis pas partisane d’attendre que les gouvernements agissent. Vous m’avez interrogée sur l’Edic. La question essentielle est celle du budget et de son utilisation effective. À l’inverse, je suis une grande admiratrice du modèle allemand Sprind, une agence innovante, capable de décider et de financer un projet en deux semaines. L’industrie a besoin de ce type de soutien et non de subventions fragmentées.

Nous disposons en Europe d’un grand nombre de petites entreprises qui survivent grâce à de faibles aides, mais cela ne peut pas constituer un modèle économique durable. Donner cinq millions d’euros à une industrie ne permet pas d’aller loin. Pour conclure, je crois sincèrement qu’Eurostack fonctionnera ; mais nous n’aurons que deux à trois ans pour le vérifier. L’urgence est absolue ; continuer à débattre uniquement de réglementation ne suffit plus. La vraie question consiste à savoir comment faire évoluer réellement les entreprises.

M. Yann Lechelle. Je ne dispose pas d’études relatives au RGPD. Cependant, j’ai moi‑même été fournisseur de services ; il s’agit d’une équation assez mécanique. Lorsqu’un acteur doit mettre en œuvre des garde‑fous pour protéger les données de ses utilisateurs et qu’il s’adresse à plusieurs milliards de personnes, l’effort requis est quasiment identique à celui demandé à un acteur beaucoup plus petit qui protège les données de milliers ou de millions d’utilisateurs.

En Europe, nous avons démultiplié les efforts pour une multitude de petits acteurs, alors que, du côté des grands, un effort comparable a été porté par cinq entreprises dominantes. Nous avons exporté une idée positive, mais, d’un point de vue économique, elle n’a rien changé, puisque tout le monde a fini par faire la même chose.

S’agissant de l’évolution, je me situe à la fois dans un registre réaliste et optimiste. J’en suis arrivé à la conclusion que notre principal levier réside dans l’injection de l’open-source comme facteur de fluidification, car elle nous permet de gagner en vélocité. Ma frustration ne tient pas au fait que les Américains soient meilleurs que nous, mais que nous ne soyons pas au même niveau. Il nous manque une posture assumée de partenaires à part entière, alors qu’aujourd’hui, nous sommes traités comme des partenaires juniors, ce qui est inacceptable dans un secteur devenu stratégique. Nous sommes, de fait, pris en otage par cette situation, temporairement ou durablement, et nous devons inverser cette tendance. Cette inversion peut commencer modestement, à 1 % ou 2 %, mais elle permettrait de bénéficier de la croissance du numérique, au lieu d’accentuer chaque année une dépendance géopolitiquement défavorable.

Pour reprendre une analogie historique, nous sommes passés, à l’époque des Lumières, du dogme à la science. Aujourd’hui, il faut sortir du « tout as a service », modèle qui fait de nous des locataires de technologies, pour revenir à une maîtrise réelle. Cela suppose de pouvoir ouvrir le capot, comprendre le moteur et le remettre en marche. Cela passe nécessairement par l’open. La technologie n’est pas si complexe ; seul son assemblage l’est. Je reste donc optimiste, conscient du retard et de la difficulté, mais convaincu qu’il est urgent d’engager des mécanismes positifs, fondés sur des victoires concrètes, plutôt que de croire que la régulation réglera tout.

Mme Cristina Caffarra. Imaginons que nous soyons aux États‑Unis et que nous réalisions soudainement que 90 % de notre technologie appartient aux Européens. Que feraient‑ils ? Ils retrousseraient leurs manches et agiraient. Nous devons adopter cette approche. Nous avons les finances, nous avons les talents, et je refuse cette forme de défaitisme qui considère notre retard comme inévitable. C’est une question de posture, d’attitude et de volonté. Le secteur privé doit impulser ce mouvement, avec éventuellement le soutien du public, car l’argent est le nerf de la guerre.

M. le président Philippe Latombe. Je vous remercie. Cette audition très libre a permis l’expression de positions très claires.

* *

Audition, ouverte à la presse, de Mme Mélanie Dulong de Rosnay, directrice de recherche au Centre national de la recherche scientifique (CNRS), co-fondatrice du Centre internet et société (CIS) du CNRS, et de Mme Ramya Chandrasekhar, chercheuse au CIS (mardi 31 mars 2026)

Mme Cyrielle Chatelain, présidente. Nous poursuivons les auditions de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Le président de cette commission, Philippe Latombe, vous prie de l’excuser pour son absence. J’assumerai le rôle de présidente de séance en plus de celui de rapporteure.

Nous recevons ce jour deux chercheuses du CIS, Mmes Mélanie Dulong de Rosnay et Ramya Chandrasekhar. Mme Ramya Chandrasekhar s’exprimera en anglais. Le CIS du CNRS est un laboratoire qui tente d’éclairer les débats et les controverses autour de l’usage du numérique et de l’intelligence artificielle dans une approche pluridisciplinaire. Vos travaux portent sur les données, leur statut juridique et les moyens de les protéger. Ce sujet a bien sûr sa place dans nos réflexions sur les vulnérabilités systémiques de la France, la manière d’intégrer la gouvernance des données dans une logique de biens communs notamment numériques et la mesure dans laquelle une meilleure maîtrise des données contribue à la souveraineté ou à l’indépendance.

Avant de vous céder la parole pour un propos liminaire, je rappelle que cette audition est ouverte à la presse et fait l’objet d’une retransmission vidéo en direct. L’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission de prêter le serment de dire la vérité, toute la vérité, rien que la vérité. Je vous invite donc à lever la main droite et à dire : « Je le jure ».

(Mme Mélanie Dulong de Rosnay et Mme Ramya Chandrasekhar prêtent serment.)

Mme Mélanie Dulong de Rosnay, co-fondatrice du Centre internet et société (CIS) du CNRS. Nous vous remercions vivement pour votre invitation. Voici quelques semaines, la MIT Technology Review a révélé que les joueurs de Pokémon Go entraînaient à leur insu des robots de livraison de repas. Les données générées par ces joueurs ont servi à constituer une base de trente milliards de photos à partir desquelles ont été établies des cartes plus précises que celles des GPS. Les conditions d’utilisation du jeu définies par Niantic autorisaient ce type de réutilisation par sa filiale Niantic Spatial, ancienne start-up basée aux Etats-Unis. Les joueurs ont ainsi fourni un travail gratuit de cartographie sans partage de la valeur. En réalité, presque personne ne lit les conditions d’utilisation, déterminées unilatéralement par les plateformes. Il existe déjà des alternatives : les licences de logiciels libres ou Creative Commons, qui autorisent le partage gratuit sous certaines conditions comme le copyleft, imposant de partager les œuvres dérivées selon les mêmes conditions. Ces licences libres et ouvertes ont accompagné le développement du numérique en rendant possibles différents usages, tels que la culture du remix, la fouille de données ou encore l’IA. Elles se fondaient sur la reproductibilité à coût marginal – coût que la littérature estimait quasiment nul sans se soucier de celui de l’infrastructure de préservation de métadonnées ou du stockage ni des externalités. Dans un contexte d’ouverture du droit d’auteur et de techno-optimisme, l’accent a été mis sur l’accès ouvert, la liberté de reproduction et de modification sans se soucier de la soutenabilité économique ni des données personnelles. Ce modèle d’ouverture et de liberté est malheureusement devenu source de nouvelles appropriations. Ainsi, les millions d’internautes ayant partagé leurs photos sur la plateforme Flicker sous licence Creative Commons ont permis sans le vouloir à IBM d’entraîner une IA de reconnaissance faciale intégrée dans des applications de surveillance. Ce type d’utilisation n’était pourtant pas forcément souhaité par ces photographes amateurs.

Nous pourrons expliquer tout à l’heure pourquoi les licences ouvertes et libres ne suffisent pas à éviter l’extraction de données ni la captation de valeur – phénomène conceptualisé par la littérature en tant que nouveau colonialisme de données. Au CIS du CNRS, en partenariat avec l’Open Knowledge Foundation, nous développons de nouveaux outils juridiques et techniques pour se réapproprier la gouvernance de nos données, formuler nos propres conditions, partager des revenus avec des créateurs, des communautés ou encore des plateformes, et agir dans l’intérêt général. Même si la volonté de partager des données existe, beaucoup ne sont plus disposés à partager sans condition, de manière possiblement contraire à leur éthique. Nous construisons différentes briques techniques et juridiques de gouvernance des données pour autoriser certains usages à certaines catégories d’utilisateurs et reprendre le contrôle sur les termes auxquels nous consentons en fonction de modèles économiques de valeur politique. Il s’agit d’apprendre aux utilisateurs à imposer leurs propres conditions et à les signaler aux humains, aux ordinateurs et aux IA grâce à des métadonnées, à des standards du web comme My Terms de l’IEEE (Institute of Electrical and Electronics Engineers) ou l’Open Data Rights Language du W3C (World Wide Web Consortium). Il importe de reprendre la main sur nos données pour aboutir à un partage de la valeur et reprendre du pouvoir sur les plateformes qui captent et réutilisent nos données avec ou sans notre consentement éclairé.

Mme Ramya Chandrasekhar, chercheuse au CIS. Je serai brève. Pour rebondir sur les propos de Mme Dulong à propos du consentement au partage des données, le contrôle des individus et des communautés sur ces données, comme sur l’information et le savoir en général, m’apparaît crucial. Le consentement est essentiel pour s’assurer que les flux de données respectent les autorisations accordées par les individus et les communautés. Il importe en outre de donner à ceux-ci le pouvoir d’exiger réciprocité et durabilité de la part des acteurs économiques qui extraient de la valeur des données. Ce point est crucial dans un objectif de souveraineté des données, laquelle fait nécessairement partie de la souveraineté numérique. Actuellement, un petit nombre d’acteurs – regroupons-les sous l’étiquette de big tech – établissent les standards en matière de production et de circulation des données. Une controverse en cours depuis de nombreuses années porte sur l’extraction automatisée de données du web afin d’entraîner des modèles d’IA générative. D’un côté, les big tech procèdent à des extractions automatiques de contenus sans toujours respecter les droits d’auteurs ni la protection des données personnelles. D’un autre, des intermédiaires en ligne optent pour des stratégies de défense passant par la facturation de l’accès à du contenu. Le résultat net est négatif en termes d’accès public à la culture et au savoir via internet.

L’autre point important concerne la manière dont les big tech créent des écosystèmes numériques dans lesquels nous nous retrouvons enfermés. Ils imposent des conditions d’utilisation et des contrats couvrant un périmètre étendu, les autorisant à largement utiliser nos données tout en limitant nos propres droits sur ces données. Au-delà des contrats qu’elles imposent, ces entreprises réglementent par le biais de leur infrastructure. Apple s’est ainsi efforcée d’empêcher les développeurs d’applications mobiles d’utiliser les données qu’elle avait collectées tout en les exploitant elle-même largement. Ceci a permis à Apple de créer un écosystème d’applications mobiles au détriment de la concurrence et au bénéfice de l’entreprise elle-même. Cette pratique a d’ailleurs été sanctionnée par l’Autorité de la concurrence en 2025.

Dans ce contexte de régulation par les infrastructures et par les conditions d’utilisation, limitant le contrôle des individus et des communautés sur leurs données, nous avons besoin d’une combinaison d’interventions et d’outils juridiques, techniques et sociaux pour rendre aux individus et aux communautés le contrôle de leurs données. Tel est le fondement du partenariat entre le CIS et l’Open Knowledge Foundation, baptisé Sustainable Data Commons (Sudaco). Dans le cadre de ce projet, j’étudie les fiducies de données en tant qu’intermédiaires sur le modèle des sociétés collectant des droits d’auteurs. Je fais le pari que ces fiducies pourraient gérer des données personnelles, garantir l’interopérabilité, et veiller au respect des licences quitte à initier pour cela des litiges stratégiques.

Dans l’Union européenne, plusieurs initiatives ont vu le jour depuis 2020 afin de permettre la circulation et la réutilisation de données de qualité y compris à un niveau sectoriel dans le cadre du Data Governance Act par exemple. La stratégie relative aux données de 2020 invitait à la création d’espaces de données dans l’Union européenne. La stratégie la plus récemment élaborée en la matière pousse à la création de laboratoires d’IA donnant accès aux développeurs européens à des données d’entraînement d’IA. Ces initiatives permettent à la France et à l’Union européenne de concevoir et mettre sur pied des structures alternatives au partage et à la réutilisation de données. Des licences Creative Commons en ont constitué l’architecture en établissant des standards de partage des données. Nous devons à présent mettre à jour ces licences de manière à refléter la réalité économique actuelle des big tech. Il nous faut aussi les combiner avec des structures telles que des fiducies ou des coopératives de données en vue d’une gouvernance participative de nos données, au lieu de suivre le modèle dominant d’infrastructures addictives qui extraient des données et verrouillent leur accès dans des écosystèmes propriétaires qui réduisent les droits des utilisateurs finaux. Il est de notre devoir d’imaginer des alternatives prenant pour point de départ les individus et les communautés en leur donnant le pouvoir de contrôler leurs données.

Mme Cyrielle Chatelain, présidente. Madame Dulong, vous avez parlé de nouveau colonialisme de la donnée. Pourriez-vous expliciter ce terme et préciser votre diagnostic avant d’envisager des solutions ?

Mme Mélanie Dulong de Rosnay. Il s’agit d’une nouvelle forme de vulnérabilité systématique, comme l’a relevé la commission, qui s’exerce sur tous les types de données numériques – personnelles, privées, publiques, techniques ou encore qui relèvent des communs numériques. La vulnérabilité provient des conditions d’utilisation des plateformes, qui imposent des termes injustes et impossibles à négocier. Ces termes transfèrent tous les droits à la plateforme. Les modèles économiques du numérique se fondent sur la captation de masses de données. La vulnérabilité vient aussi des limites et des effets secondaires des licences libres et des données ouvertes ayant placé les ressources dans des conditions proches du domaine public, ce qui est excellent du point de vue de leur diffusion, de la culture, de la démocratie et de l’innovation, mais qui autorise l’extraction et l’appropriation de la valeur de la donnée sans réciprocité ni soutien à la création ou à l’infrastructure, alors que les communs numériques sont produits grâce à des financements publics ou au travail bénévole de communautés. Nous sommes face au résultat d’une conception libérale de l’open data, revenant à offrir une manne réutilisable par tous y compris les grands acteurs du numérique, dès lors libres de les privatiser et d’en extraire la valeur – d’où la comparaison avec le colonialisme. La captation des investissements et du travail bénévole ne suppose ici aucune contribution aux communs. Ce colonialisme de données a été conceptualisé par de nombreux chercheurs tels que Renata Avila, Nick Couldry et Ulises Mejias.

Mme Ramya Chandrasekhar. La vulnérabilité fondamentale vient de la réduction de la donnée à une matière première que certains acteurs veulent utiliser gratuitement pour créer leur propre écosystème propriétaire duquel nous nous retrouvons prisonniers. L’entraînement de l’IA générative repose sur l’extraction automatisée de données du web – y compris protégées par des droits d’auteur sans que ceux-ci soient rémunérés en contrepartie. Les données personnelles partagées dans les réseaux sociaux sont elles aussi utilisées pour entraîner les modèles d’IA des plateformes. La législation en vigueur dans l’Union européenne (dont les lois sur le copyright ou sur la protection des données) se voit ainsi contournée pour laisser place à l’idée selon laquelle nos données sont tout simplement là pour être exploitées. Dès lors que nous sommes actifs en ligne et que nous communiquons nos données, il ne nous est plus possible d’exercer sur celles-ci le moindre contrôle. Il s’agit là d’une vulnérabilité fondamentale sur laquelle nous nous efforçons d’attirer l’attention en parlant de souveraineté des données. Le mouvement des données ouvertes issu de la doctrine du gouvernement ouvert s’efforçait de contester la notion d’innovation propriétaire mise en avant par les géants de la tech en prônant l’accès gratuit à des données que tout un chacun pouvait modifier ou utiliser en tant que source d’innovation. Ce mouvement a pourtant été récupéré par les big tech. Meta se fait aujourd’hui le champion de logiciels d’IA open source dans l’idée de les intégrer à son système propriétaire proposant des services labelisés « Meta ». Les big tech utilisent les logiciels et les modèles ouverts sans débourser un centime et surtout sans qu’en profite la communauté qui les a créées.

Mme Cyrielle Chatelain, présidente. Le cofondateur de Mistral AI, Arthur Mensch, a récemment proposé d’imposer une contribution financière aux fournisseurs de services d’IA, allant d’un à cinq pour cent de leur chiffre d’affaires, en compensation de leur utilisation de la donnée. Ce mécanisme vous parait-il à même de protéger l’activité et les revenus des ayants droit ou des producteurs de la donnée ? Si tel ne vous semble pas le cas, pour quelle raison ? Comment parvenir à un système économique qui donne lieu au partage de la valeur ?

Mme Mélanie Dulong de Rosnay. Mme Chandrasekhar et moi campons sur des positions distinctes, mais complémentaires. Lors de l’apparition de toute innovation technologique, telle qu’une nouvelle technique de communication ou de reproduction des œuvres, de même qu’à chaque bataille entre technologie et droit d’auteur, une adaptation a lieu. La création d’un mécanisme de rémunération équitable est déjà intervenue par suite de la mise au point de la radio, de la télévision, des cassettes et des disques durs. La seule exception concerne le téléchargement pair-à-pair qui date d’une vingtaine d’années. La licence légale proposée par Philippe Aigrain entre autres n’a pas vu le jour. À la place ont été proposés des abonnements aux plateformes de streaming. Je ne sais si la société en sort réellement gagnante. Un mécanisme de répartition équitable est en principe géré par une société de gestion collective et permet de compléter les revenus des auteurs et artistes, quoique pas nécessairement les moins visibles d’entre eux. En tant que responsable juridique de Creative Commons France, j’avais d’ailleurs réfléchi avec la Sacem à un pilote assurant une répartition plus juste des droits d’auteur collectés, favorisant une plus grande diversité culturelle. Voilà pourquoi nous réfléchissons à des mécanismes décentralisés à travers ces infrastructures de fiducies de données gérées directement par les communautés.

Mme Ramya Chandrasekhar. La proposition de Mistral préconisée par plusieurs décideurs politiques et experts ne me paraît pas une mauvaise solution. Les modèles d’IA génératives s’entraînent avec des données essentiellement publiques. L’idée qu’ils rendent des informations au public en contrepartie d’une taxe bénéficiant à des services publics, à la préservation de la culture ou à des institutions dépositaires du savoir ne me paraît pas une mauvaise idée. Il importe néanmoins que la compensation financière ruisselle jusqu’au producteur de la donnée, qu’il s’agisse d’un artiste auteur d’un contenu créatif ou d’un individu ayant communiqué ses données personnelles. De nombreux litiges sont en cours un peu partout dans le monde contre des IA génératives pour violation du droit d’auteur. La majorité a été initiée par de grands médias en ligne tels que le New York Times, réclamant des revenus liés à des licences sans pour autant que ces revenus ruissellent jusqu’aux journalistes eux-mêmes. Une exception est toutefois constituée par la Gesellschaft für musikalische Aufführungs und mechanische Vervielfältigungsrechte (Gema) allemande, qui a attaqué Open AI pour obtenir un revenu de licences qui profiterait aux musiciens adhérents. Il importe qu’un tel revenu ruisselle jusqu’aux producteurs de la donnée. Renata Avila et moi-même avons écrit un article pour Tech Policy Press affirmant la nécessité de changements structurels tels que l’allocation de budgets nationaux plus conséquents à l’éducation et à la préservation du savoir et de la culture, pour faire en sorte que les communs numériques ne se substituent pas aux obligations des institutions publiques en la matière. Il importe d’assurer les conditions matérielles indispensables à l’accès au savoir et à la culture, grâce auxquelles émergeront les communs numériques.

Mme Cyrielle Chatelain, présidente. Vous avez évoqué la nécessité d’une structure gestionnaire des données telle qu’une fiducie ou une structure coopérative. Pourriez-vous nous en dire plus ? Le cadre juridique actuel permet-il la création de telles entités ? Quel rôle assumeraient-elles ? À quel modèle économique obéiraient-elles ? La gestion de toutes les données par des fiducies ne ferait-elle pas peser un risque de silotage d’internet ? Quelle en serait l’incidence sur la mise en commun des données ?

Mme Mélanie Dulong de Rosnay. Merci d’avoir repéré les enjeux et les difficultés de la mise en œuvre de nouveaux modèles de gouvernance. Nous devons construire un écosystème complet. Figurons-nous différentes briques, à commencer par des licences lisibles par les machines grâce à des métadonnées proposant des clauses obligatoires et des utilisations autorisées comme dans le modèle d’accès ouvert. La possibilité pour les communautés de réserver certains usages ne devrait pas créer de blocage, mais simplement une étape supplémentaire – autant que possible automatisée – donnant éventuellement lieu à la collecte et à la répartition d’une rémunération en fonction des types d’utilisation et d’utilisateurs. S’appuyer sur des standards éviterait à la fois des incompatibilités et la multiplication des cas particuliers. Il reviendrait également aux fiducies d’assumer un rôle de législateur et de juge en interprétant les conditions d’utilisation des données. Celles-ci pourraient par exemple être utilisées par des chercheurs, des associations ou des entreprises de l’économie sociale et solidaire, mais pas à des fins militaires. Il s’agirait d’inciter à la redirection écologique en autorisant la réutilisation des données par les coopératives, comme le fait déjà la licence Copyleft de CoopCycle. Tel serait le rôle de ces fiducies de données agissant en tant que sociétés de gestion collective augmentée ou en tant qu’organisations professionnelles, tout en incarnant des valeurs politiques. Le recours aux standards du web permettra d’automatiser les processus.

Mme Ramya Chandrasekhar. J’adhère aux propos de Mme Dulong. Dans le cadre du Data Governance Act, les coopératives de données ont été reconnues en tant qu’intermédiaires à même de faciliter l’exercice collectif de droits sur les données, que celles-ci soient ouvertes ou personnelles. Nous préconisons, à travers les fiducies de même que par le biais des coopératives, une collectivisation de l’exercice de droits sur les données. Pour l’instant, même quand les individus restent libres d’indiquer leurs préférences en termes d’utilisation de leurs données, il leur revient de s’assurer que ces préférences sont prises en compte. Le recours à des coopératives renforcerait la possibilité de contrôles par la délégation de ceux-ci à des intermédiaires. Les fiducies pourraient être des associations ou des coopératives de l’économie sociale et solidaire voire une entité administrative publique.

En Inde, le concept de fiducie a été discuté voici six ans dans un projet de loi inspiré du Data Governance Act reconnaissant la capacité d’une fiducie à jouer un rôle d’intermédiaire dans l’exercice collectif de droits sur les données. À New Delhi, une entité administrative pilote a été créée en tant que fiducie de données de mobilité générées par les usagers des transports publics, reconnues d’intérêt public et dont des acteurs privés comme Uber ne sauraient être les seuls à profiter. Ces données de mobilité ne sont pas la propriété de la fiducie qui se contente de les détenir au nom des citoyens, imposant des conditions à leur utilisation. De semblables expérimentations ont vu le jour à Barcelone et Amsterdam, où la municipalité a contractualisé des services de technologie de l’information et de la communication auprès d’un tiers privé en exigeant que les données générées par l’utilisation de ces services soient ouvertes et rendues publiques. Là encore, ces municipalités agissent en tant que fiducies des données de leurs habitants afin de s’assurer que la valeur qui en est extraite leur profite en dernier ressort.

Mme Cyrielle Chatelain. Si j’ai bien compris, l’objectif est que les données restent publiques et accessibles via internet. Vous avez cité l’exemple de données créées lors des déplacements dans les transports en commun qui, une fois associées à un certain type de licence, ne pourraient plus être utilisées que dans l’intérêt public voire dans un but lucratif quoique dans certains secteurs seulement. Une structure aurait pour rôle de garantir le respect des préférences exprimées par les producteurs des données, faute de quoi, elle intenterait des procédures judiciaires. Une telle initiative pourrait-elle aboutir dans le cadre du droit français ?

Mme Mélanie Dulong de Rosnay. Un immense merci pour votre synthèse, qui ne vaut cependant pas dans le cas de données privées ou confidentielles, qui ne sauraient être accessibles à certains utilisateurs. Il n’est pas seulement question de droit d’auteur déjà divulgué, mais aussi de données personnelles ou techniques générées sur des plateformes. Une diversité de cas d’usage se présente, allant du plus ouvert au plus fermé.

Mme Ramya Chandrasekhar. Merci d’avoir résumé notre projet mieux que nous-mêmes. Il importe de distinguer entre les types de données. Prenons l’exemple de celles qui sont générées par les voyageurs prenant le train en France et que collecte la SNCF. La législation oblige déjà à les rendre ouvertes et accessibles à tous en autorisant leur réutilisation. La SNCF pourrait agir en tant que fiducie. La directive européenne Open Data oblige les acteurs de services publics à rendre leurs données accessibles. La directive omnibus propose toutefois que les administrations publiques publient leurs données sous une licence ouverte limitant certains types d’utilisation, par exemple l’utilisation par une big tech, ou exigeant de ces entreprises une contrepartie financière. L’administration publique agit dans ce cas en tant que fiducie dans l’intérêt des citoyens.

Une fiducie pourrait servir d’intermédiaire entre les individus producteurs de données personnelles et les plateformes désireuses d’utiliser celles-ci en exerçant leurs droits en leur nom pour les protéger contre ces plateformes, en allant au besoin jusqu’à initier des litiges stratégiques.

Mme Cyrielle Chatelain. Il a beaucoup été question du Health Data Hub, la plateforme d’hébergement des données de santé. Y voyez-vous une préfiguration de ce que pourrait être une fiducie de données ? Les données privées sont produites sur les réseaux sociaux comme sur les applications de géolocalisation dont les utilisateurs acceptent les conditions d’utilisation, du fait qu’ils n’arrivent pas à en prendre connaissance, sachant qu’elles ne sont pas toujours conformes au RGPD. Comment les fiducies interviendraient-elles pour protéger de telles données ? Parviendraient-elles à infléchir le rapport de force entre les individus et les plateformes ?

Mme Mélanie Dulong de Rosnay. Le Health Data Hub est une infrastructure technique, juridique et économique hébergée par Microsoft selon une architecture centralisée. Nous proposons en guise d’alternative un réseau décentralisé pair-à-pair. L’IGN (Institut national de l’information géographique et forestière) diffusant des données publiques et Open Street Maps – commun numérique gouverné par une communauté – qui bénéficie de mises à jour spécifiques et dynamiques s’opposent à Google Maps et encore plus à Niantic Spatial. L’important n’est pas seulement le stockage et la mise à disposition des données, mais leur gouvernance par une communauté à même d’édicter des règles en fonction de valeurs partagées et de déléguer ses pouvoirs à la fiducie.

Mme Ramya Chandrasekhar. Mme Dulong a parlé des standards IEEE.

Mme Mélanie Dulong de Rosnay. L’IEEE n’est autre qu’une organisation de standardisation technique internationale. Elle vient de diffuser un standard s’appliquant aux données personnelles, dont la conception a pris vingt ans. Baptisé My Terms (ou 7012-2025), il est lisible par les machines. L’association de ce standard aux langages d’expression des droits comme Open Data Rights Language permet aux utilisateurs et aux titulaires de droits de spécifier ce qu’ils autorisent ou non en termes d’utilisation de leurs données.

En dernier ressort, il importe d’apprendre aux citoyens à exercer leurs droits le plus simplement possible. Il serait, de fait, trop compliqué de distinguer entre les régimes juridiques s’appliquant aux divers types de données.

Mme Ramya Chandrasekhar. Notre projet SUDACO ne se limite pas à la création d’intermédiaires tels que des fiducies à même de faire respecter les licences quitte à initier des litiges stratégiques. Notre projet repose aussi sur des outils tels que des standards lisibles par les machines applicables aux données privées dont ils limitent l’usage. Dans l’Union européenne, les détenteurs de droits d’auteur peuvent décider de ne pas partager les contenus qu’ils ont créés dans le cadre d’une collecte automatique de données à visée commerciale. Des organisations telles que Spawning.ai dressent des listes de refus d’utilisation de données protégées par droits d’auteur afin qu’elles disparaissent des bases de données d’apprentissage des IA. Le nouveau standard de l’IEEE permet aux développeurs d’applications d’en faire autant. Ces diverses briques se complètent. Une fiducie ou une coopérative à elle seule ne résoudrait pas tout.

Mme Cyrielle Chatelain. Vous avez indiqué comment une entité publique était en mesure de défendre les droits des citoyens sur leurs données. Quel devrait être le rôle de l’administration dans un écosystème durable de données ouvertes ? Quelles collaborations vous semblent-elles envisageables entre l’administration et les acteurs de l’open source ? Les fiducies seraient-elles forcément publiques ? Quel rôle revient selon vous à l’administration dans un écosystème de données ouvertes dans la limite de ce qu’autorisent les choix de leurs producteurs ?

Mme Mélanie Dulong de Rosnay. Les différents modèles de coopération entre l’administration, les entreprises privées de l’open source et les communautés qui développent et maintiennent des biens communs numériques ne s’opposent pas vraiment. Voici la plaquette du Digital Commons Policy Council. Il existe des collaborations avec des développeurs de logiciels libres et des big tech. Voici un ouvrage coédité notamment par Danièle Bourcier intitulé Dynamiques du commun, entre État, marché et société. Les politiques publiques tendent à privilégier des logiciels libres et open source – quoique pas systématiquement – ou encore la coproduction grâce à des financements ou des accompagnements professionnels. La Dinum (direction interministérielle du numérique) a ainsi mis au point Open Food Maps et développé des logiciels libres regroupés sous l’intitulé « LaSuite ». Un outil public en cours de développement permettra bientôt d’insérer des clauses dans les marchés publics.

Mme Ramya Chandrasekhar. La passation de marchés publics a un rôle crucial à jouer dans l’émergence d’une demande de biens communs et de logiciels libres. En France, la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique comporte plusieurs clauses selon lesquelles, lorsque des services publics de transport et d’énergie sont assurés par des acteurs privés, l’organe public contractant peut exiger une communication des données collectées par ces acteurs privés afin de les rendre publiques. La formulation de cette clause laisse toutefois à désirer. L’administration publique pourrait jouer un rôle plus actif pour s’assurer de l’ouverture des données collectées par le secteur privé. La municipalité de Barcelone a passé un contrat avec Vodafone pour le wifi public comportant une clause relative à la souveraineté des données, en vertu de laquelle toutes les données générées par Vodafone doivent être communiquées à la municipalité en vue de leur publication en tant que données publiques. Le chapitre 5 du Data Act autorise les administrations publiques à obtenir des données d’acteurs économiques privés en cas d’urgence. Le projet de directive omnibus cherche hélas à en réduire le périmètre d’application. Il s’agit en tout cas d’une autre voie par laquelle les entités publiques peuvent réclamer des données provenant de plateformes privées de mobilité comme Google Maps dans la mesure où ces données sont d’intérêt public.

M. Nicolas Bonnet (EcoS). Je vais essayer de reformuler ce que je pense avoir compris : vous proposez aux producteurs de données des espaces où faire état de leurs choix quant au stockage et à l’utilisation de ces données, quitte à monnayer l’accès à une part d’entre elles. Les producteurs de données pourraient aussi décider lesquelles mettre à disposition temporairement ou définitivement et même choisir, pour les héberger, un serveur décentralisé ou d’État, tel que France Connect.

Mme Mélanie Dulong de Rosnay. L’idée est de mettre à disposition des communautés – y compris l’État, les collectivités locales, les associations, les entreprises, voire des secteurs professionnels – le moyen de développer leur propre infrastructure et les règles qui les encadrent. Elles peuvent y parvenir de la manière que vous avez décrite ou plus simplement, sans que chaque utilisateur ait à préciser les conditions qu’il impose à chaque type d’usage de ses données. Ce dernier cas de figure supposerait de déléguer l’exercice des droits à une fiducie sur le modèle d’une adhésion à une société d’auteurs ou à une organisation professionnelle.

M. Nicolas Bonnet (EcoS). Quand une entreprise tire un bénéfice de l’utilisation d’une donnée personnelle, il est légitime qu’elle rémunère celui qu’il l’a produite, mais je ne saisis pas très bien en quoi consisterait un retour des données produites de sorte qu’elles deviendraient publiques.

Les IA génératives absorbent beaucoup d’informations sans que leurs auteurs soient rémunérés. Serait-il possible d’imposer la constitution d’un répertoire des noms de domaine alimentant les modèles d’entraînement ne serait-ce que pour permettre à ceux y figurant de réclamer une rémunération en contrepartie ? Des négociations directes entre producteurs de contenus et sociétés d’IA pourraient dans ce cas intervenir. Un tel répertoire présenterait aussi l’intérêt d’indiquer quelles données ont alimenté une IA générative et donc quel degré de confiance lui accorder.

Mme Ramya Chandrasekhar. Vous avez tout à fait raison en ce qui concerne l’usage de données à des fins d’entraînement d’IA générative. Peu de sociétés d’IA font actuellement preuve de transparence quant à la source de leurs données. Il est de notoriété publique qu’elles proviennent d’internet, mais il faut faire appel à de la rétro-ingénierie pour identifier les noms de domaines. L’AI Act en vigueur dans l’Union européenne oblige les modèles d’IA à publier un condensé suffisamment détaillé des données d’entraînement incluant en théorie les noms de domaines. Des efforts se poursuivent en vue de les codifier à travers le Code de bonnes pratiques de l’IA à usage général. Il reste à voir si ces grandes compagnies se plieront à l’exercice. Des acteurs d’intérêt public au sein de la société civile ont créé de tels répertoires, comme Have I been trained ? créé par un groupe d’artistes et qui collecte tout type de contenu créatif publié sur le net, vérifiant s’il fait partie du Common corpus servant à entraîner de nombreux modèles d’IA. Si oui, les auteurs peuvent alors refuser que leur contenu soit reproduit par des IA. Une plus grande transparence est nécessaire sur les sources d’entraînement des IA. Wikipédia pourrait par exemple exiger une contrepartie financière à son utilisation par des modèles d’entraînement.

Vous vous demandiez comment obliger certains acteurs privés à rendre leurs données publiques. C’est une excellente question. Pour l’instant, des décisions sont prises thématiquement. Par exemple, si vous produisez des données pour une administration, celle-ci peut vous contraindre à les lui restituer. Pour autant, il est difficile d’imaginer une législation contraignant à partager des données produites à titre individuel. Les licences Creative Commons et les logiciels libres s’efforcent de faire vivre une communauté où les données sont volontairement cédées dans l’intérêt public.

Mme Mélanie Dulong de Rosnay. Il n’est pas aisé de déterminer sous quelle licence distribuer un produit issu de l’agrégation de plusieurs bases de données, car cela supposerait d’examiner des contrats pas forcément compatibles. Nous collaborons avec des collègues du CNRS et de l’université de Nantes, Margo Bernelin et Patricia Serrano-Alvarado, qui ont développé l’application CLiC, calculant automatiquement, en cas d’utilisation de données sous plusieurs licences distinctes la licence sous laquelle les redistribuer.

À propos des IA génératives, nous en revenons à la proposition de Mistral de les obliger à constituer un répertoire, permettre un opt-out ou contribuer à la soutenabilité des biens communs numériques qui les entraînent. Il est apparu, dans le cadre du projet Communes NGI lancé par la fondation Software Heritage, que des rémunérations sont parfois négociées via les API (application programming interface). Ces rémunérations contribuent à la soutenabilité de ces biens communs numériques dans la mesure où elles peuvent couvrir les frais liés aux serveurs. Nous avons contribué à un preprint avec des collègues sous l’égide du Joint Research Centre de la Commission européenne afin d’explorer les moyens d’assurer la soutenabilité des biens communs numériques par une coopération avec les IA génératives. Je signale à ce propos l’existence de Pleias, une IA éthique qui s’entraîne uniquement sur des corpus relevant du domaine public.

M. Vincent Thiébaut (HOR). Je rebondirai sur les propos de mon collègue à propos du partage des données, faisant écho à un projet auquel j’ai contribué, de coffre-fort numérique virtuel. Comment envisagez-vous le rôle de l’État dans la gouvernance des données ? Quel parallèle établissez-vous avec la question de l’identité numérique ? Il me semble que l’autorité publique se doit de garantir la protection et la bonne utilisation des données. Je trouve insensé que nous ne soyons pas capables de savoir de quelles sources proviennent les résultats fournis par une IA, alors que tout journaliste sérieux cite ses sources dans ses articles.

Mme Ramya Chandrasekhar. En effet, nous ne disposons pas de beaucoup d’informations sur les sources d’entraînement des IA, alors que les journalistes indiquent toujours leurs sources. Cette question est liée à celle du rôle de l’État. Quels sont les types d’IA soutenus par l’État en France et dans l’Union européenne ? L’État peut soutenir de petits modèles entraînés à partir de données ouvertes ensuite intégrés – et valorisés – dans des services publics plutôt que de recourir à des solutions fournies par de grands acteurs de la tech. L’État a aussi pour rôle d’édicter et de faire respecter des règles. La tendance actuelle est malheureusement à la déréglementation. Il importe de ne pas donner carte blanche aux acteurs de la « big tech » de sorte qu’ils imposeraient leurs propres normes.

Mme Mélanie Dulong de Rosnay. Je ne vois rien à ajouter. Je ne suis pas spécialiste de l’identité numérique, mais il existe des biens communs numériques permettant de telles certifications.

Mme Cyrielle Chatelain. Les fiducies de données sont-elles forcément associées à un serveur ? Par ailleurs, avez-vous en tête des modifications assez simples de la législation en vigueur qui permettraient de s’acheminer vers un tel modèle ?

Mme Ramya Chandrasekhar. Une fiducie peut fournir l’infrastructure technique de stockage des données en les entourant d’une sorte de barrière de protection. Tim Berners-Lee l’a d’ailleurs proposé dans le projet Solid. Il est possible aussi d’imaginer un modèle de données distribuées où la fiducie se contente de faire respecter les droits de leurs propriétaires. À vrai dire, tout dépend du type de données. Une fiducie juridique semble mieux adaptée à la gestion de données personnelles.

Pour répondre à votre seconde question, la création de fiducies pourrait être envisagée à propos des espaces de données tels que le Health Data Hub français ou l’espace européen commun des données pour le patrimoine culturel. Certaines institutions existantes pourraient jouer le rôle de fiducies.

Mme Mélanie Dulong de Rosnay. Les solutions vont du stockage des données à l’option la plus décentralisée en fonction du type de données, des capacités et des modèles de gouvernance déterminés par chaque groupe d’acteurs.

* *

Table ronde, ouverte à la presse, sur la protection des données personnelles (mercredi 1er avril 2026)

La commission entend lors de sa table ronde sur la protection des données personnelles :

– Mme Nataliia Bielova, directrice de recherche au centre Inria de l’université Côte d’Azur ;

– M. Julien Rossi, maître de conférences en sciences de l’information et de la communication à l’UFR Culture et communication et au Centre d’études sur les médias, les technologies et l’internationalisation (Cémti) de l’université Paris 8.

Mme Sophie-Laurence Roy, présidente. Mes chers collègues, nous poursuivons les auditions de notre commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Le président de la commission d’enquête, Philippe Latombe, vous prie d’excuser son absence, j’assurerai la présidence de cette séance.

Nous recevons aujourd’hui Mme Nataliia Bielova, directrice de recherche au centre Inria de l’université Côte d’Azur et M. Julien Rossi, maître de conférences en sciences de l’information et de la communication à l’université Paris 8. Mme Bielova s’exprimera en anglais et ses propos feront l’objet d’une interprétation simultanée.

Madame, monsieur, vos travaux portent sur la protection de la vie privée en ligne. Quels sont en particulier les risques liés à la collecte massive par les big tech de données sur les citoyens ?

Je vous remercie de nous déclarer au préalable tout autre intérêt public ou privé de nature à influencer vos déclarations. Avant de vous céder la parole, je rappelle que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission de prêter le serment de dire la vérité, toute la vérité, rien que la vérité. Je vous invite donc à lever la main droite et à dire : « Je le jure ».

(Mme Bielova et M. Rossi prêtent serment).

Mme Nataliia Bielova, directrice de recherche au centre Inria de l’université Côte d’Azur. Je vous remercie pour votre invitation. Spécialisée en protection des données sur le web, je travaille depuis 2016 sur les technologies de web tracking, sur la conformité ainsi que sur les « dark patterns » ou « designs trompeurs » en français. Il s’agit d’interfaces qui influencent les utilisateurs et les conduisent à prendre des décisions contraires à leurs intérêts, par exemple en partageant davantage de données personnelles que ce qu’ils souhaiteraient réellement.

Je suis spécialiste en informatique et je dispose d’une expertise approfondie du règlement général sur la protection des données (RGPD) et de la directive du 12 juillet 2002 sur la protection de la vie privée dans le secteur des communications électroniques (directive‑ePrivacy), ainsi que de la manière dont ces textes s’appliquent concrètement au web tracking.

Ma contribution de ce jour à votre commission repose sur des données probantes, issues de parutions scientifiques internationales revues par des pairs, issues des sciences informatiques et du droit. Je travaille sur les obligations juridiques en matière de consentement et sur les méthodes techniques permettant d’auditer la conformité juridique. Lors de mon intervention, je me concentrerai sur des conclusions tirées de ma propre recherche et j’indiquerai explicitement lorsque je ferai référence à des résultats provenant d’autres sources.

En premier lieu, nous faisons aujourd’hui face à un déploiement à grande échelle des technologies de tracking ou de traçage sur internet. Un site web habituel contient en moyenne des dizaines de traceurs, autorisant la création de profils extrêmement fins et détaillés concernant les intérêts des utilisateurs. Il existe ainsi des taxonomies décrivant plus d’un millier de segments, ce qui correspond à des données très détaillées permettant, par exemple, d’inférer les revenus d’un foyer. Il faut également mentionner des programmes logiciels, notamment des bibliothèques JavaScript, qui transmettent ces données à de grandes plateformes comme les réseaux sociaux et permettent leur rapprochement avec d’autres données déjà disponibles sur ces plateformes.

Nous sommes ainsi en présence d’informations très sensibles. Les utilisateurs peuvent être facilement manipulés ou discriminés sur la base de ces profils extrêmement précis, par exemple par le refus d’accès à certains services, à des offres d’emploi, ou encore par la proposition de prix différenciés pour des prêts, y compris des prêts immobiliers. Il existe donc des risques importants associés à ces profils d’une grande granularité.

En ce qui concerne les origines de cette collecte de données, nous avons observé que cette forme de surveillance est étroitement liée à l’écosystème publicitaire, notamment à travers la transmission de données à des dizaines d’entreprises en quelques millisecondes. Ce que l’on observe aujourd’hui est un système plus vaste de chaînes d’inclusion, dans lequel de nombreuses entreprises intègrent et dépendent des services des autres. D’un point de vue technique, cette situation est liée à la nature dynamique du contenu web. Des composantes peuvent être chargées par des bibliothèques JavaScript à l’insu de l’opérateur du site web, ce qui permet l’introduction de traceurs cachés. Le phénomène de traçage est ainsi profondément intégré à cet écosystème.

Par exemple, un service fournissant une carte à un site web peut inclure des cookies liés à une entreprise publicitaire, sans que l’utilisateur du site puisse réellement les éliminer. S’agissant des technologies spécifiques utilisées pour le traçage en ligne massif, l’industrie s’est historiquement appuyée sur les cookies tiers, qui permettent la constitution de profils utilisateurs à partir des sites visités. Ces cookies sont aujourd’hui plus difficiles à analyser, leur finalité est souvent peu claire et ils sont étroitement intégrés aux fonctionnalités centrales du contenu web.

Nos recherches montrent que certains cookies peuvent réapparaître même après avoir été supprimés par l’utilisateur. En parallèle, le secteur se tourne vers des techniques encore plus opaques, telles que le traçage de serveurs ou de données personnelles comme les identifiants liés aux adresses e‑mail et aux numéros de téléphone, techniquement beaucoup plus difficiles à détecter. En conséquence, les opérateurs de sites web rencontrent de grandes difficultés à contrôler l’ensemble des types de traçage présents sur leurs propres sites. Ils ne savent pas précisément qui collecte les données des utilisateurs, à quelles fins, ni dans quelles conditions.

Par ailleurs, ces opérateurs ne disposent pas toujours des compétences nécessaires pour auditer leurs propres sites web et ignorent souvent les solutions techniques existantes sur le marché. Il existe certes des outils capables de scanner un site et de détecter les cookies et les traceurs, mais ces solutions ne suivent pas systématiquement l’évolution rapide des technologies de tracking et ne détectent pas l’ensemble des outils de traçage. Les sites web demeurent ainsi porteurs de traceurs et sont, de fait, non conformes à la législation.

Sur le plan juridique, le RGPD et la directive ePrivacy visent à encadrer ces pratiques à travers le consentement de l’utilisateur et différentes obligations imposées aux opérateurs de sites web. Toutefois, de nombreux problèmes de conformité subsistent. Obtenir un consentement pleinement éclairé est presque impossible en raison de la complexité des chaînes d’inclusion dans cet écosystème. Il n’est pas rare de voir des demandes de consentement mentionner plus de 500 entreprises susceptibles de collecter des données sur un même site web. De fait, il est irréaliste d’informer pleinement l’utilisateur de l’existence de toutes ces entreprises et de leurs pratiques de collecte.

Le RGPD interdit en outre le recours aux dark patterns, c’est‑à‑dire aux interfaces trompeuses qui incitent l’utilisateur à partager plus de données qu’il ne le souhaite. En outre, les fournisseurs de plateformes de gestion du consentement opèrent des choix précis de design, notamment en matière de couleurs mettant en valeur certains boutons, de placement des options ou de taille de police, dans le but de maximiser la probabilité que l’utilisateur consente au traçage. Le bouton de refus peut ainsi être rendu moins visible ou moins accessible.

De nombreuses recherches montrent que ces dark patterns influencent effectivement les décisions des utilisateurs. Nous avons mesuré leur impact sur le processus décisionnel de plus de 4 000 utilisateurs en France et avons conclu que ces interfaces trompeuses modifient significativement la probabilité de consentement. Nous avons également observé un effet d’exposition : des utilisateurs ayant déjà été confrontés à des dark patterns sont plus enclins à cliquer sur « Accepter » par la suite. De nombreux fournisseurs proposent par ailleurs des bandeaux de consentement avec des paramètres par défaut favorables au traçage. Or, nous connaissons bien la force de ces choix par défaut.

Un autre problème apparaît après l’interface de recueil du consentement. Une fois le choix effectué, le consentement est stocké sous la forme d’un signal dans le navigateur, signal qui doit être partagé avec l’ensemble des entreprises collectant les données afin d’assurer le respect des préférences de l’utilisateur. Or, ces signaux n’atteignent pas toutes les entreprises impliquées dans le traçage. Les opérateurs de sites web sont censés superviser cette chaîne complexe et garantir la transmission correcte du consentement, ce qui est extrêmement difficile en pratique.

En conclusion, le système actuel de web tracking se caractérise par des chaînes d’entreprises complexes, des technologies de traçage en évolution permanente et des opérateurs de sites web qui peinent à assurer la conformité. En définitive, ils ne sont pas en mesure de garantir le respect effectif des droits fondamentaux en matière de vie privée. Les utilisateurs finaux ne disposent pas d’un contrôle réel sur leurs données personnelles.

Mme Sophie-Laurence Roy, présidente. Je vous remercie. À vous écouter, on a le sentiment qu’une masse d’entreprises espionnent les informations que chacun d’entre nous peut laisser traîner à chaque fois qu’il visite un site. Quelle est la finalité de ce traçage ? Quels en sont les dangers pour les Français ?

Mme Nataliia Bielova. Il existe effectivement des dizaines d’entreprises présentes sur la toile et, lorsqu’on observe plus finement leurs pratiques, on constate que les traceurs n’utilisent pas tous les mêmes schémas. Je ne dispose pas de chiffres exhaustifs, mais la complexité vient du fait que, lorsque les utilisateurs consultent des sites internet, ces derniers intègrent une multitude de services dont ils ont besoin pour fonctionner. Par exemple, lorsqu’un opérateur souhaite savoir combien d’utilisateurs consultent son site, d’où ils viennent ou comment ils interagissent avec le contenu, il a recours à des services spécialisés.

Ces services sont, dans la majorité des cas, fournis par des entreprises étrangères, ce qui implique que les données soient transmises à l’étranger, vers les serveurs distants de ces sociétés. S’agissant du risque ou du danger, je ne peux m’exprimer que sur la taille potentielle des profils constitués. Le tracking est aujourd’hui présent sur environ 90 % du web, d’après les études existantes. On peut donc imaginer l’ampleur des profils ainsi créés et le volume de données agrégées. Je ne dispose pas d’informations précises sur la taille exacte de ces profils, car cet aspect n’a pas encore été pleinement étudié, mais nous pouvons en observer la présence, la prévalence et les types de données susceptibles d’être collectées.

Ces données incluent, par exemple, les sites consultés par l’utilisateur, mais aussi des informations beaucoup plus fines, comme les endroits où il clique, la manière dont il déplace ou dirige sa souris, ou la façon dont il interagit avec une page. Je ne peux donc pas fournir une réponse chiffrée sur la taille des profils, mais leur granularité est manifeste.

Mme Sophie-Laurence Roy, présidente. À quoi cela leur sert-il ? Quel est le véritable danger pour nous ?

Mme Nataliia Bielova. Le risque principal réside dans la réutilisation de ces données à des fins très diverses. D’un point de vue extérieur, celui du chercheur, il est difficile de savoir précisément ce qu’en font les entreprises. Or ces profils peuvent contenir des informations extrêmement sensibles sur la santé ou les centres d’intérêt. Nous avons par exemple mené une étude sur des sites de santé et constaté que la majorité d’entre eux utilisent des trackers. Ainsi, consulter un site médical ou un site lié à des informations politiques conduit à un enregistrement. Cette précision extrême interpelle.

Mme Sophie-Laurence Roy, présidente. Je cède la parole à M. Rossi, pour un propos liminaire.

M. Julien Rossi, maître de conférences en sciences de l’information et de la communication. Je vous remercie pour votre invitation de ce jour. Les profonds bouleversements que connaît le système international construit dans les décennies ayant suivi la chute du mur de Berlin soulèvent aujourd’hui de nouvelles interrogations dans de nombreux domaines de la vie publique. Les politiques en matière de numérique n’y échappent pas. Votre commission examine précisément les dépendances structurelles et les vulnérabilités systémiques du secteur numérique, ainsi que les risques que ces dépendances, devenues de véritables vulnérabilités dans le contexte actuel, font peser sur l’indépendance de la France.

Vous avez jugé utile de m’interroger sur ces questions, et je m’efforcerai d’y répondre de la manière la plus exhaustive possible, tout en demeurant, à l’instar de ma collègue, aussi précis que possible et en m’abstenant de toute spéculation. Je m’appuierai sur des travaux scientifiques aboutis et publiés, qu’il s’agisse des miens ou de ceux de collègues, que je serai amené à citer. Il pourra toutefois m’arriver, en fonction des questions posées, de formuler des observations ou des hypothèses encore en cours de vérification, mais toujours fondés sur l’expérience des terrains et les objets de recherche qui structurent mon parcours universitaire, dont l’étude des rapports entre informatique et libertés, et plus largement la protection des données, constitue le fil directeur.

Le développement de l’informatique a soulevé des interrogations quant à ses effets sur les libertés publiques dès ses débuts. Les travaux de recherche, notamment ceux de Michel Atten, montrent que des informaticiens américains s’interrogeaient déjà, dans les années 1950, sur les conséquences du traitement informatisé de données personnelles, en particulier dans le cadre de l’informatisation du recensement. Dès 1966, la Chambre des représentants des États‑Unis créait la première commission d’enquête parlementaire au monde consacrée à ce sujet. La France n’était pas très loin derrière : le Conseil d’État publiait en 1970 un rapport sur les conséquences du développement de l’informatique sur les libertés publiques et sur les décisions administratives, tandis que le Land de Hesse adoptait la même année la première loi de protection des données, la Datenschutzgesetz. La Suède a suivi en 1973, puis la France en 1978 avec l’adoption de la loi informatique et libertés.

Cette loi française contenait déjà, sous une forme que l’on peut considérer comme préfigurant les débats actuels sur l’intelligence artificielle, un principe d’encadrement de la décision automatisée. Ce principe, aujourd’hui repris à l’article 22 du RGPD, pose l’interdiction de la prise de décision fondée exclusivement sur un traitement automatisé, sous réserve de certaines exceptions. La protection des données, contrairement à ce que son intitulé pourrait laisser penser, ne protège pas les données en tant que telles, mais les personnes, qu’elles soient citoyennes ou non, car il s’agit d’un domaine relevant des droits fondamentaux. Elle vise à prévenir toute atteinte à la personne résultant d’un traitement frauduleux ou négligent d’informations la concernant.

Rien de tout cela n’est véritablement nouveau. Contrairement à l’idée répandue selon laquelle le droit serait condamné à courir perpétuellement derrière les progrès technologiques, la relative stabilité des règles du droit des données personnelles démontre qu’il n’existe aucune fatalité en la matière. L’essentiel des principes applicables aujourd’hui a été élaboré dès les années 1970, notamment au Conseil de l’Europe et à l’OCDE, puis complété par la directive européenne de 1995 et, plus récemment, par le RGPD. Pour autant, le monde a profondément changé depuis cette époque. Internet n’est plus un projet de recherche excluant les usages commerciaux, comme ce fut le cas jusqu’au début des années 1990, mais un espace public transnational comptant près de six milliards d’internautes, rendu possible par une infrastructure devenue omniprésente.

Je rejoins à cet égard le constat formulé par Luciano Floridi dans The Onlife Manifesto, selon lequel la distinction entre vie en ligne et vie hors ligne n’a plus véritablement de sens. Il y a encore quinze ans, être en ligne relevait d’un choix ; aujourd’hui, c’est une obligation de fait, et presque une obligation en droit. L’accès aux services publics s’effectue de plus en plus par voie numérique, du fait de la dématérialisation, parfois au mépris de la jurisprudence du Conseil d’État reconnaissant, dans certaines circonstances, un droit à une alternative hors ligne. Or, le marché du numérique présente des tendances monopolistiques marquées. La liberté de choix d’un fournisseur de matériel ou de logiciel est, en pratique, fortement limitée pour l’individu.

Dès lors que l’accès à un service public peut être subordonné à l’acceptation des conditions d’utilisation d’un service numérique incontournable, souvent développé hors de l’Union européenne (UE), la vulnérabilité de l’individu face aux choix technologiques rejoint des enjeux de souveraineté régalienne. Il suffit par exemple de penser à FranceConnect+, qui implique en pratique la possession d’un smartphone fonctionnant sous iOS ou Android, devenus de facto des contrôleurs d’accès à l’identité civile et aux services publics.

Un autre changement majeur réside dans la montée en puissance de ce que Shoshana Zuboff a qualifié de « capitalisme de surveillance », fondé sur la promesse de prédire et de contrôler les comportements à partir des traces numériques. Les prémices de cette économie existaient avant l’informatique contemporaine, mais elles ont pris une ampleur considérable. Aujourd’hui, les principales capitalisations boursières reposent sur la valorisation des données et sur les technologies d’intelligence artificielle.

Dans ce contexte, le droit des données personnelles fait l’objet de critiques récurrentes, notamment en raison de son recours aux mécanismes d’autodétermination informationnelle et au consentement comme base légale du traitement. Le RGPD définit pourtant de manière très exigeante les conditions de validité du consentement, notamment à l’article 4, paragraphe 1. À défaut, le consentement est invalide et ne peut fonder un traitement. Mais ce modèle peut se révéler illusoire lorsque l’individu ne peut raisonnablement refuser de participer à un système sociotechnique dont dépend son insertion sociale et économique. Il ne peut, par ses seuls choix individuels, échapper au capitalisme de surveillance.

Dans ce contexte, bien que le RGPD comporte une dimension structurelle, notamment par le rôle confié aux autorités de contrôle et aux juges, l’individu demeure relativement peu protégé face aux mécanismes décrits préalablement par ma collègue. Le droit des données personnelles offre certes au juge et au régulateur une panoplie d’outils d’intervention, mais la littérature académique souligne un déficit d’application du droit, profitant aux acteurs qui ne s’y conforment pas. Pour les personnes concernées, les recours demeurent souvent longs et complexes.

Le législateur européen a entendu conférer de nouveaux droits pour les plaintes en matière de protection des données qui impliquent les autorités de contrôle de plusieurs États membres de l’Union européenne. Ces nouveaux droits entreront en application en 2027, mais les personnes qui saisiront l’autorité compétente sur leur territoire – par exemple la Commission nationale de l’informatique et des libertés (Cnil) en France – d’affaires purement nationales, ne bénéficieront pas de ces nouveautés procédurales introduites par le droit de l’Union européenne pour les affaires transfrontières.

Parallèlement, certains acteurs économiques dénoncent une inflation normative depuis une quinzaine d’années, ainsi qu’une multiplication des autorités de régulation, susceptibles de créer des conflits de compétences et, paradoxalement, d’affaiblir l’effectivité du droit. Ces critiques sont reprises par le rapport Draghi et la Commission européenne a présenté, le 19 novembre 2025, une proposition « Omnibus numérique » visant à maintenir un haut niveau de protection des droits fondamentaux tout en simplifiant le droit applicable aux acteurs économiques. Des travaux de recherche récents, notamment ceux menés sous la direction de Margo Bernelin au CNRS, montrent toutefois que ces propositions risquent d’affaiblir substantiellement les garanties existantes, tout en portant atteinte à la compétitivité des entreprises européennes.

En 1992 déjà, la Commission européenne avait dû revoir en profondeur sa première proposition de directive sur la protection des données, et la directive adoptée en 1995 a ensuite démontré son efficacité pendant plus d’une décennie.

Mme Sophie-Laurence Roy, présidente. Comment vivre sans donner accès à ses données, qui sont pourtant aujourd’hui incontournables pour pouvoir accéder à de très nombreux services essentiels ? Je pense notamment à FranceConnect+, dont vous avez déjà fait mention.

M. Julien Rossi. Dans le droit des données à caractère personnel, il n’existe pas toujours un droit d’opposition ou un droit de refuser. Par exemple, il n’est pas possible de refuser que notre banque vérifie que nous ne soyons pas en train de préparer un virement vers une organisation terroriste, car la loi l’impose pour des motifs d’intérêt public. Dans de nombreux autres cas de figure, en revanche, nous sommes censés disposer soit de la faculté de refuser notre consentement, soit de celle de nous opposer ultérieurement au traitement.

La question concerne en réalité les conséquences pratiques de leur mise en œuvre. Ma collègue Nataliia Bielova a notamment étudié ce qui se produit lorsque l’on clique sur « Je refuse » sur un bandeau cookie. Si je ne me trompe pas, cela fonctionne parfois, mais pas toujours. C’est alors que se pose la question des limites de ce qu’un individu peut effectivement faire. Certes, il est possible de refuser d’utiliser un service qui conditionne son accès au consentement, mais lorsque l’accès à un service public devient subordonné à cette acceptation, le droit peut finalement s’avérer impuissant, la personne concernée risquant de se voir privée de services dont elle a besoin.

Mme Sophie-Laurence Roy, présidente. Dans certains cas, nous sommes face à un droit qui feint de nous protéger, mais demeure impuissant.

M. Julien Rossi. Je serai moins pessimiste quant à la faculté du droit. Le droit a, en réalité, exercé une influence tangible à la fois sur l’environnement technique et sur les comportements des acteurs, qu’ils soient publics ou privés, qui collectent et traitent des données personnelles. Il existe une grande diversité de situations intermédiaires entre une conformité parfaite aux exigences juridiques et un mépris total de la loi.

Un exemple récent me permet de l’illustrer. Ce matin même, au CNRS, des collègues de l’université de Neuchâtel ont présenté leurs recherches portant sur les tribulations de chauffeurs VTC et de livreurs travaillant pour des plateformes numériques lorsqu’ils cherchent à accéder aux données personnelles que ces plateformes traitent à leur sujet. L’objectif est notamment de pouvoir faire valoir un certain nombre de droits, ou encore d’établir, le cas échéant, l’existence d’un lien de subordination.

Ces travaux, dirigés par Jessica Pidoux, montrent que le droit fournit néanmoins des outils qui ont permis, in fine, à un certain nombre de personnes d’accéder à leur dossier personnel. Dans certains cas, cela a nécessité le dépôt de plaintes, notamment une plainte dirigée contre une entreprise de VTC, qui a conduit à une amende prononcée il y a quelques années aux Pays-Bas.

Nous sommes donc clairement dans une situation intermédiaire, située entre une conformité idéale et une absence totale de respect du droit. Le droit n’est pas impuissant. La question centrale demeure celle de son effectivité. Il s’agit de savoir si le droit est réellement appliqué et s’il est aisé de le faire respecter en cas d’infraction ou de soupçon d’infraction. C’est sans doute à ce niveau que résident aujourd’hui les principales difficultés.

Mme Cyrielle Chatelain, rapporteure de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Les données dont vous parlez sont normalement captées de manière anonymisée, c’est-à-dire qu’on a rarement le nom, le prénom, l’adresse de manière stockée. Pouvez-vous revenir sur la distinction entre une donnée personnelle et une donnée anonymisée ? En quoi une donnée anonymisée permet malgré tout d’obtenir un grand nombre d’informations à caractère personnel, comme le lieu d’habitation, les centres d’intérêt ; par exemple ?

Mme Nataliia Bielova. Lorsqu’on évoque la collecte massive de données sur le web et les technologies de suivi ou de traçage, il faut d’abord raisonner à partir des identifiants uniques attribués à chaque navigateur ou à chaque individu. En pratique, par exemple, j’ai des identifiants uniques placés par des entreprises dans mon navigateur, identifiants qui sont différents de ceux qu’une entreprise va placer dans vos navigateurs, sur vos téléphones, sur vos ordinateurs, sur vos réseaux sociaux, sur vos téléphones ou sur vos ordinateurs. Ces identifiants uniques, a priori, ne contiennent pas d’informations directement liées à mon nom. En ce sens, ils ne sont pas immédiatement connectés à mon identité civile, mais ils sont rattachés à l’appareil et au navigateur que j’utilise. Les données associées à cet identifiant deviennent ainsi les miennes de manière unique.

À chaque visite d’un site web, une requête est envoyée à l’entreprise qui détient cet identifiant. Celle‑ci reçoit alors l’information et peut constater que la personne dissimulée derrière cet identifiant s’est rendue sur tel site web ou a recherché telle ou telle information. Les données sont donc très personnelles, directement liées à mon parcours et à mon expérience en ligne, même si mon nom n’apparaît pas explicitement.

Il existe toutefois un risque majeur. Ces identifiants uniques peuvent être très facilement reliés à des informations personnelles. Un cas typique est celui d’un traceur qui me suit sur le web et qui, à un moment donné, fusionne mon profil avec celui que je possède sur un réseau social. En quelques millisecondes, l’identifiant est alors associé à mon nom et à mon prénom. Ce risque est bien réel et ne doit pas être sous‑estimé.

Enfin, pour compléter, d’autres techniques sont aujourd’hui proposées par l’industrie publicitaire, notamment en réaction aux annonces récentes de certaines big tech visant à bloquer certaines méthodes comme les cookies tiers. Le secteur semble évoluer et met en avant des solutions fondées sur des adresses e‑mail « hachées », qui sont, de fait, beaucoup plus étroitement liées aux identités des individus.

M. Julien Rossi. La proposition Omnibus numérique de la Commission européenne envisage de redéfinir la notion de données à caractère personnel, afin d’en exclure les données dites pseudonymes. Cette évolution fait l’objet de débats importants et, surtout, du point de vue des recherches que nous menons, elle risque de réduire le champ d’application du droit des données personnelles d’une manière problématique, en empêchant de prendre en compte certaines situations pourtant particulièrement sensibles.

Pour simplifier, cette redéfinition pourrait conduire à ignorer des jeux de données qui, bien que ne comportant ni le nom de la personne, ni son adresse, ni son numéro de téléphone, ni son adresse IP, restent hautement révélateurs. Prenons l’exemple de données composées uniquement de points de géolocalisation horodatés. Si l’on sait qu’une personne passe 90 % de ses nuits dans un lieu donné, 90 % de ses horaires ouvrés dans un autre lieu donné, et une part significative de ses dimanches matin, ou de ses vendredis, dans un lieu de culte précis, il devient relativement aisé de reconstituer un fichier d’individus classés par religion.

Dans ce cas, il ne s’agit formellement que de données pseudonymes, puisque le nom de la personne n’apparaît pas. Néanmoins, un tel jeu de données peut faire courir un risque réel, y compris physique, aux personnes concernées, notamment dans des contextes de tensions religieuses. C’est pour cette raison que certains collègues, en particulier Szilvia Lestyán, évoquent le phénomène d’« anonymity washing », ou blanchiment par l’anonymisation, afin de souligner que des données présentées comme anonymes ou pseudonymes peuvent malgré tout faire courir un risque aux personnes concernées.

Mme Cyrielle Chatelain, rapporteure. En quoi cette proposition Omnibus numérique pourrait-elle fragiliser la compétitivité pourtant mise en avant par la Commission européenne ? Le RGPD, en dépit de ses failles, s’est imposé comme un standard international. Dégrader notre niveau d’exigence peut-il engendrer un impact sur la compétitivité ?

M. Julien Rossi. Lorsque la Commission européenne a publié sa proposition au mois de novembre, nous avons constitué un réseau de chercheurs et de chercheuses issus de différentes disciplines, principalement le droit, l’informatique et les sciences sociales, coordonné par Margo Bernelin.

Nous nous sommes donné pour objectif d’analyser les propositions de la Commission européenne en conservant strictement les deux objectifs normatifs qu’elle a elle‑même affichés. La Commission a en effet affirmé vouloir simplifier le cadre juridique tout en maintenant le même niveau de protection des données personnelles. Nous nous sommes donc interrogés sur la capacité réelle de ces propositions à atteindre cet objectif et, dans l’hypothèse où elles s’en révéleraient incapables, sur la possibilité de formuler des propositions alternatives plus pertinentes.

Je me limiterai à deux exemples. Le premier concerne la définition des données à caractère personnel. La Commission propose d’ajouter un paragraphe à l’article 4, paragraphe 1, du RGPD, selon lequel des données pseudonymes pour une entité pourraient être anonymes et sortir du cadre de la notion de données à caractère personnel. Cette proposition soulève plusieurs difficultés majeures. D’une part, la notion d’« entité » n’est pas définie dans le RGPD. D’autre part, le RGPD s’applique aux traitements de données à caractère personnel.

Dès lors qu’il existe un traitement de données à caractère personnel, le RGPD établit des droits pour les personnes concernées, notamment le droit à l’information, à la transparence, à l’accès, à la rectification, à l’opposition ou encore à l’effacement, ainsi que des obligations pour les responsables de traitement. Ces responsables sont les personnes physiques ou morales qui déterminent les finalités et les moyens du traitement, et non simplement celles qui ont matériellement accès aux données. Or, comme l’ont montré les travaux de collègues tels que René Mahieu, Nataliia Bielova ou Cristiana Santos, les traitements de données s’inscrivent très fréquemment dans des chaînes complexes de co‑responsabilité.

On peut ainsi se trouver dans une situation où une PME française collabore avec une grande entreprise, qu’elle soit française ou étrangère, la nationalité étant indifférente au regard du droit des données. Cette grande entreprise peut affirmer qu’elle ne traite que des données pseudonymes et qu’elle n’est donc pas soumise au RGPD, tandis que la PME demeure responsable du traitement. En cas de violation des droits des personnes, la question de la répartition des responsabilités devient alors extrêmement floue. Or, la proposition de la Commission ne permet pas de trancher clairement cette difficulté.

Le second exemple concerne l’environnement international. L’Europe n’évolue pas en vase clos. Comme l’a montré Graham Greenleaf, plus de 170 pays dans le monde disposent aujourd’hui de législations en matière de protection des données personnelles. Dès lors, un affaiblissement des garanties offertes par le droit européen pourrait conduire des juridictions étrangères, par exemple au Brésil ou au Japon, à estimer que le niveau de protection en Europe n’est plus suffisant pour autoriser des transferts de données vers des acteurs européens. Jusqu’à présent, le RGPD fonctionnait de facto comme un étalon international, conférant aux entreprises européennes une présomption de conformité et, partant, un avantage compétitif.

Mme Nataliia Bielova. J’ai contribué au même document ; j’ai étudié la directive Omnibus numérique ainsi que les interactions entre le RGPD et la directive ePrivacy. Effectivement, il existe un risque d’affaiblissement de la protection individuelle, car la nouvelle proposition, notamment l’article 88 de l’Omnibus, pose un problème structurel. Elle conduit en effet à distinguer deux régimes distincts : d’une part, le RGPD, qui continuerait de s’appliquer aux données personnelles, et d’autre part, la directive ePrivacy qui couvrirait les autres aspects, y compris l’aspect du terminal téléphonique, traité par une réglementation différente.

Cette dissociation est problématique, car elle segmente artificiellement des situations qui, dans la réalité technique, sont étroitement imbriquées. Il y a la question de l’utilisation des données, mais aussi celle des équipements par lesquels ces données sont collectées. S’agissant des exceptions prévues, je souhaite attirer votre attention sur l’une d’entre elles. L’Omnibus propose de dispenser de consentement certains traitements lorsqu’ils visent à mesurer l’audience, pour des services qualifiés d’analytique, utilisés par les propriétaires de sites internet afin de comprendre d’où proviennent leurs utilisateurs.

Le problème est qu’à l’heure actuelle, les utilisateurs ne comprennent généralement pas les conséquences techniques du recours à ces services. La proposition Omnibus semble considérer que ces pratiques auraient peu d’impact sur la vie privée et sur la collecte de données. Or, nos travaux montrent que certains de ces services collectent un volume considérable de données granulaires. Nous avons étudié l’un de ces services qui suit, de fait, chaque clic de souris, chaque mouvement, chaque interaction sur internet. Il apparaît que, bien souvent, le volume de données collectées est totalement disproportionné par rapport à la finalité affichée.

Nous estimons, en conséquence, que ces pratiques posent un problème d’autant plus grave qu’elles sont fréquemment combinées et fusionnées avec d’autres profils. Dans nos travaux antérieurs, nous avons observé des techniques de fusion permettant de relier deux identifiants distincts. Sur un échantillon de 9 000 sites étudiés, 40 % recouraient à ce type de méthode. Le projet actuel affaiblit donc, selon nous, la protection des données personnelles.

Enfin, la proposition Omnibus envisage d’ajouter un paragraphe supplémentaire à l’article 5.3. Celui‑ci fait référence au traitement de données, mais la définition des données concernées demeure floue. Nous considérons que cette évolution risque de vider de son sens la directive de protection des données individuelles. J’ai d’autres préoccupations relatives au projet Omnibus, mais je m’arrêterai ici, sauf si vous souhaitez que je les développe.

Mme Cyrielle Chatelain, rapporteure. Nous sommes preneurs de toutes vos remarques concernant la directive Omnibus. Avez-vous identifié d’autres domaines que la publicité qui utilisent les données collectées sur les différents sites ?

Mme Nataliia Bielova. Je vais d’abord poursuivre sur l’Omnibus, dans la mesure où plusieurs préoccupations supplémentaires méritent d’être exposées. Je suis notamment préoccupée par les interfaces de recueil du consentement. L’Omnibus vise à réduire le nombre de demandes de consentement, au motif que les utilisateurs sont lassés de devoir répondre à ces sollicitations répétées. Il est vrai que cette approche peut, en apparence, alléger la charge cognitive qui pèse sur les utilisateurs. Toutefois, elle soulève des problèmes profonds liés à l’infrastructure même du web. Nous observons que l’article 88.4 propose un mécanisme permettant à l’utilisateur de refuser son consentement en un seul clic. Certes, cette possibilité constitue, sur le papier, une avancée, mais elle ne protège en rien les utilisateurs contre les interfaces trompeuses. Au contraire, elle peut les conduire à accepter sans réelle compréhension.

Les exemples sont nombreux. Cette nouvelle bannière à clic unique peut manipuler l’utilisateur par le jeu des couleurs, par la clarté apparente de certains boutons ou par la mise en avant visuelle de l’option d’acceptation. De fait, toute une présentation graphique peut être conçue pour orienter l’utilisateur vers l’acceptation, tandis que l’identification du bouton de rejet devient complexe, peu visible ou contre‑intuitive. Dans certains cas, le refus est associé à une perte de fonctionnalités, réelle ou supposée. Nos travaux ont montré que, bien souvent, l’utilisateur clique sur « Accepter » par crainte de ne pas pouvoir poursuivre la consultation du site.

Nous avons étudié environ 200 sites internet extrêmement populaires et analysé leurs interfaces, lesquelles, en théorie, devraient permettre aux utilisateurs de retirer un consentement précédemment donné. Or, nous avons constaté que de nombreux sites ne sont pas conformes, car cette possibilité de retrait n’apparaît pas de manière effective. Par ailleurs, l’Omnibus ne dit rien de ce qui se passe derrière l’interface de recueil du consentement. Des questions essentielles restent sans réponse : où ce consentement est‑il stocké ? Peut‑il être transmis à des tiers ? Il n’existe pas de pratiques harmonisées concernant le stockage ni le partage des consentements. Il devient dès lors extrêmement difficile de contrôler ces mécanismes et de les analyser. Tout cela signifie qu’il peut y avoir, en apparence, un respect de la législation, alors qu’en pratique, la situation est inverse.

Enfin, la proposition Omnibus, notamment à travers l’article 88 B-6, n’embrasse pas l’ensemble des hypothèses. Il ne faut pas oublier, par exemple, les télévisions intelligentes. Certaines chaînes de télévision fonctionnent désormais comme de véritables applications et intègrent des trackers. Or, aucun de ces outils n’est véritablement couvert par la réglementation envisagée, ce qui laisse subsister des angles morts importants.

M. Julien Rossi. Nos travaux sur l’Omnibus ont été publiés et je pourrai, si vous le souhaitez, vous transmettre de la documentation complémentaire. En revenant à votre question sur les autres domaines dans lesquels nous observons des traitements massifs de données à caractère personnel, il est en réalité difficile de les lister de manière exhaustive, car tout le monde traite des données personnelles, y compris avant même l’avènement de l’informatique moderne. Le RGPD s’applique d’ailleurs également aux fichiers manuels. Certains collègues évoquent l’existence d’un paradigme « dataïste », un mouvement de fond qui encourage la collecte systématique de données. Anaïs Théviot l’a étudié, par exemple, dans le contexte de la vie politique française.

Un domaine qui suscite aujourd’hui de nombreuses interrogations est celui de ce que l’on appelle l’intelligence artificielle. J’emploie volontairement cette expression avec prudence, car elle recouvre en réalité une grande diversité de techniques et de domaines d’application. La penser comme un bloc homogène empêche souvent d’appréhender les problèmes spécifiques propres à chaque usage. Néanmoins, pour l’entraînement de modèles, notamment dans le cadre des IA génératives, on observe une volonté marquée des acteurs de réutiliser des stocks de données à caractère personnel déjà disponibles. Cet aspect soulève immédiatement la question de la base légale du traitement, notion centrale du RGPD. S’agit‑il du consentement éclairé de la personne concernée ou d’une autre finalité juridique ? L’Omnibus numérique tente d’apporter certaines réponses, mais celles‑ci demeurent contestées.

Le problème sous‑jacent à ces interrogations juridiques est que, jusqu’ici, la Cour de justice de l’Union européenne avait admis, dans son arrêt Google Espagne de 2014 consacré au droit au déréférencement, que l’indexation de données personnelles publiées sur des pages web publiques par un moteur de recherche pouvait se fonder sur l’intérêt légitime de l’opérateur. La Cour n’avait pas exigé que Google recueille le consentement libre et éclairé des personnes concernées à chaque indexation. Le corollaire de cette solution était le droit d’opposition, le fameux droit à l’oubli.

L’IA conversationnelle, en tant que nouveau mode d’accès à l’information en ligne, suscite toutefois de nouvelles interrogations. Les éditeurs de presse en ligne craignent ainsi un effondrement du trafic, dès lors que les utilisateurs obtiennent leurs réponses via une interface conversationnelle sans consulter directement les sites. Ces enjeux économiques sont nombreux, mais je ne m’y attarderai pas, n’étant pas économiste.

Un autre cas de figure mérite néanmoins d’être souligné. Un opérateur de réseau social a collecté, au fil des années, une quantité considérable de données personnelles pour des finalités liées au fonctionnement du service, par exemple permettre à des individus de partager des photographies de vacances avec leurs proches dans un cadre qu’ils pensent sécurisé. Cet opérateur peut être tenté de réutiliser ces données pour entraîner des algorithmes d’intelligence artificielle. Se pose alors, de nouveau, la question de la base légale de ce traitement, débat que l’on retrouve au cœur des discussions autour de l’Omnibus numérique.

Mme Sophie-Laurence Roy, présidente. L’intelligence artificielle ne finira‑t‑elle pas par tuer internet ?

M. Julien Rossi. Je ne saurais dire si elle relève de la spéculation ou si elle se confirmera, mais cette crainte existe bel et bien pour le web ouvert.

Mme Nataliia Bielova. La question des types d’applications et de sites web où les données des utilisateurs sont collectées mérite une attention particulière. On a souvent l’impression qu’un site de commerce en ligne est un contexte totalement anodin. Acheter une paire de chaussures ne semble, en soi, poser aucun problème. Or, le passage d’un contexte perçu comme neutre à un contexte hautement sensible peut être extrêmement rapide. Un exemple en cours aux États‑Unis illustre cette réalité : une action collective vise un site de commerce en ligne spécialisé dans les sex-toys, dont les informations de navigation sont transmises à des services analytiques. Ce qui semblait anodin devient alors extrêmement problématique.

Les utilisateurs n’ont pas nécessairement conscience de ce basculement. Un autre exemple concerne les courtiers en données. En Californie, ces courtiers doivent être déclarés sur une plateforme publique. On en dénombre aujourd’hui 566, avec des indications sur les types de données détenues : données biométriques, orientation sexuelle, informations relatives à la santé reproductive, affiliation syndicale. Est également indiqué avec qui ces données sont partagées ou à qui elles sont vendues. Pour les chercheurs, disposer d’un annuaire équivalent en Europe serait essentiel afin de comprendre quelles entités collectent des données concernant les citoyens de l’Union européenne et à quel moment.

Mme Cyrielle Chatelain, rapporteure. Je souhaite à présent parler des outils qui permettent de garantir nos droits. Selon vous, la Cnil dispose-t-elle des moyens, y compris juridiques, adaptés pour faire face à l’ensemble de ces acteurs ? Faudrait-il confier en complément au Comité européen de la protection des données une compétence de sanction directe à l’égard des plus grands acteurs pour favoriser une application uniforme du RGPD ou de la directive ePrivacy ?

Par ailleurs, lors d’une audition tenue hier, a été évoqué l’enjeu des intermédiaires de données et ce que pourraient être des « data trusts ». Un tel outil pourrait-il être intéressant pour mieux faire valoir les droits, à tout le moins les droits attachés aux données, notamment aux données personnelles ?

M. Julien Rossi. S’agissant des outils disponibles, il faut d’abord mentionner des instruments d’ordre individuel, comme le chiffrement ou d’autres techniques similaires, mais qui font peser une charge particulièrement importante sur l’individu. C’est d’ailleurs pour cette raison que le droit des données personnelles est fréquemment critiqué : on lui reproche d’être excessivement individualisé et, partant, illusoire, dans la mesure où le poids qu’il fait reposer sur les personnes concernées est trop élevé. En France, la Cnil représente le pilier de cette approche structurelle, qui existe également dans le droit des données personnelles.

Je ne saurais me prononcer sur l’adéquation des moyens financiers de la Cnil. Cependant, la panoplie juridique à sa disposition est relativement vaste et substantielle, avec l’avantage supplémentaire que nombre de ces règles existent depuis longtemps. En France, certaines remontent à la loi informatique et libertés de 1978, ce qui confère une certaine stabilité jurisprudentielle et une sécurité juridique non négligeable. Une difficulté fréquemment évoquée à propos de la Cnil tient toutefois au faible pourcentage de plaintes qui aboutissent à des sanctions. Il est cependant délicat de comparer les autorités de protection des données entre elles. L’autorité slovaque, par exemple, prononce proportionnellement davantage de sanctions que la Cnil, mais il est possible que ces autorités soient confrontées à des typologies d’affaires différentes.

Une autre difficulté soulignée par plusieurs collègues réside dans le manque de données comparatives concernant la durée moyenne des procédures d’une autorité à l’autre. Des recherches sont en cours pour tenter de définir des métriques permettant de comparer les autorités de protection des données. Dans ces travaux, la Cnil française n’est pas considérée comme particulièrement inactive, même si son taux de sanctions demeure relativement faible, ce qui n’est pas, en soi, l’unique indicateur pertinent. Cependant, nous constatons des délais parfois importants dans le traitement des plaintes. À cela s’ajoute une difficulté pratique : le parcours de dépôt d’une plainte auprès de la Cnil a évolué et apparaît aujourd’hui plus complexe qu’auparavant.

Dans ce contexte, une réflexion pourrait être engagée, notamment à l’approche de l’entrée en application du nouveau règlement européen harmonisant les procédures pour les plaintes impliquant plusieurs États membres. Il pourrait être envisagé de faire en sorte que les droits reconnus aux personnes dans les procédures paneuropéennes soient également garantis à celles qui saisissent la Cnil dans des affaires purement nationales, ne nécessitant pas de coopération européenne. Le transfert de l’ensemble des compétences à une autorité unique paneuropéenne relève, quant à lui, d’une appréciation politique. Du point de vue de la sociologie de l’action publique, cela impliquerait l’existence d’un point unique de décision, alors même qu’aujourd’hui les autorités nationales et européenne développent des approches distinctes et débattent entre elles au sein du Comité européen de la protection des données. Ces mécanismes de coopération favorisent la confrontation des points de vue et permettent, le cas échéant, un certain équilibre des influences. Une centralisation totale pourrait réduire cette pluralité d’approches.

Un dernier point mérite d’être mentionné, dans une perspective qui n’est pas accusatoire. Nos recherches, même lorsqu’elles adoptent un angle critique, ne visent pas à désigner des responsabilités individuelles ou à blâmer qui que ce soit. L’objectif consiste à comprendre les faits et les facteurs structurels qui compliquent l’effectivité du droit. Une hypothèse explicative des difficultés rencontrées par les autorités de protection des données tient, au moins en partie, à la capacité à recruter et à fidéliser des personnels disposant d’un très haut niveau de compétences techniques et juridiques nécessaires à l’instruction de dossiers complexes. Les autorités sont en effet soucieuses de rendre des décisions robustes, capables de résister à un contrôle approfondi, notamment par le Conseil d’État. Il ne s’agit pas uniquement d’une question de moyens au sens strict, mais aussi de conditions de travail et de concurrence avec des secteurs où ces compétences sont très recherchées.

Mme Nataliia Bielova. Pour ma part, je souhaite attirer l’attention sur les divergences d’interprétation entre les États membres. Le droit est, en pratique, interprété de manière très différente. Dans nos travaux, nous avons analysé les lignes directrices nationales des régulateurs en matière de RGPD et de vie privée, en nous concentrant notamment sur les interfaces de recueil du consentement. Nous avons constaté que quatorze régulateurs européens ne s’accordent pas sur la manière dont le droit doit être appliqué concrètement. Certains exigent l’existence d’un bouton de rejet explicite, d’autres non. Les autorités divergent également sur la formulation de la finalité du traitement, pourtant essentielle pour permettre aux individus de comprendre l’usage de leurs données.

Les régulateurs ne s’accordent pas non plus sur les informations qui doivent apparaître dès la première interface, dans le bandeau de consentement, ni sur la formulation exacte des boutons d’acceptation ou de refus. Certains se contentent d’un simple « Refuser », tandis que d’autres imposent des formulations plus explicites. Cette hétérogénéité d’interprétation a une incidence directe sur le processus décisionnel des utilisateurs. Il apparaît dès lors nécessaire de renforcer l’harmonisation. Les lignes directrices européennes en matière de protection des données poursuivent cet objectif, mais leur mise en œuvre est difficile, car elles doivent concilier des positions nationales parfois très éloignées.

Un second point concerne l’évaluation à grande échelle des phénomènes que nous avons évoqués. La collecte de données est massive et ne peut être appréhendée en se limitant à l’analyse d’un site web isolé ; une telle approche est insuffisante. Les moyens des régulateurs nationaux ne relèvent pas de notre compétence d’analyse, mais, en tant que chercheurs, nous menons un travail analogue à notre échelle, en cherchant à comprendre ce qui se produit globalement. Cela suppose le développement d’outils capables de détecter automatiquement les traceurs et d’analyser les interfaces de recueil du consentement. C’est la seule manière de mesurer l’ampleur réelle du problème.

Pour y parvenir, il est indispensable de disposer d’obligations standardisées et transparentes concernant les technologies de traçage. Nous connaissons l’existence de ces technologies, mais il est souvent impossible de déterminer avec certitude les finalités exactes pour lesquelles elles sont utilisées, qu’il s’agisse de publicité ou d’autres usages. C’est pourquoi nous estimons qu’un renforcement des normes relatives au consentement est nécessaire afin de permettre une évaluation automatisée et à grande échelle de ces pratiques.

Mme Cyrielle Chatelain, rapporteure. Parmi les limites de l’Omnibus numérique, nous avons déjà évoqué le risque d’un affaiblissement des protections des données. Dans l’hypothèse où un tel affaiblissement interviendrait au niveau européen, quels seraient les outils dont les députés français disposeraient pour protéger, non pas les données en tant que telles, mais les personnes face aux effets que l’utilisation des données peut produire ? Je pense notamment aux atteintes à la vie privée, aux pratiques frauduleuses ou discriminatoires. Existe‑t‑il, dans différents corpus juridiques nationaux, des outils que des citoyens français pourraient mobiliser pour se protéger de violations de leurs droits liées à l’usage des données, indépendamment du RGPD ? Je pense par exemple pour la France au code pénal ou au code monétaire et financier. Enfin, quelles améliorations pourrions-nous envisager, en tant que législateur national ?

M. Julien Rossi. Nous n’avons pas encore analysé dans le détail cette question, dans la mesure où nous ne connaissons pas encore l’issue des trilogues, ni le contenu définitif du texte qui sera adopté. Néanmoins, quelques pistes exploratoires peuvent être envisagées. L’une d’entre elles consiste à se tourner vers le droit pénal, dans la mesure où le droit pénal ne relève pas pleinement de la compétence de l’Union européenne et où il existe, en France, depuis 1992, un droit pénal des données personnelles. Ce droit est toutefois très peu mobilisé en pratique et également très peu étudié.

Il s’agit pour nous d’un point d’attention important dans le cadre de la recherche, et cela fait partie de notre agenda scientifique que de réexaminer ce corpus juridique. La question se pose notamment de savoir s’il a été suffisamment mis à jour pour tenir compte des évolutions introduites par le RGPD, quelle en est la jurisprudence et comment il est appliqué concrètement. À ma connaissance, il existe très peu de travaux récents sur ce sujet, ce qui constitue un manque du côté de la communauté académique.

Cela peut néanmoins représenter une piste intéressante, d’autant plus que le droit français intègre dans son ordonnancement juridique les textes issus de l’Union européenne, mais également des conventions internationales. Parmi celles‑ci figurent la convention 108 du Conseil de l’Europe et la convention 108 +, adoptée en 2018, qui n’est pas encore entrée en vigueur faute de ratifications suffisantes. Ce texte est particulièrement intéressant, dans la mesure où il est ouvert à la ratification de pays non européens et contribue ainsi à l’émergence d’un droit international des données personnelles.

Enfin, un dernier axe de réflexion consiste à interroger l’environnement numérique dans lequel nous évoluons à travers d’autres leviers de l’action publique. Il peut s’agir de la commande publique, des politiques de dématérialisation ou encore des investissements visant à créer davantage d’espace de choix pour les individus, en complément du cadre réglementaire. Il convient toutefois de rappeler que le RGPD, en tant que règlement, bénéficie de l’effet direct et ne peut faire l’objet de dérogations par le droit national, y compris par le biais du code monétaire et financier.

Mme Cyrielle Chatelain, rapporteure. Comme vous l’avez rappelé, il n’est plus pertinent aujourd’hui d’opposer une vie en ligne et une vie hors ligne. À partir de ce constat, il devient nécessaire de considérer que ce qui est interdit hors ligne doit l’être également en ligne. Or, on observe déjà le développement de pratiques qui interrogent fortement, et qui pourraient encore s’intensifier avec le recours à l’intelligence artificielle. Prenons l’exemple de l’achat de billets en ligne, dont le prix augmente à mesure que l’on se connecte à plusieurs reprises aux mêmes pages.

Avec l’IA, on peut aisément imaginer un système dans lequel une intelligence artificielle aurait accès à la fois à mes données de paiement, à ma carte bancaire, et à l’ensemble des données disponibles sur mon profil, pour en déduire mon niveau de revenu ou mes habitudes de consommation, afin d’adapter les prix en fonction de mon profil individuel. Il ne s’agit pas nécessairement de pratiques généralisées aujourd’hui, mais de scénarios plausibles à court terme. Or, ces pratiques relèveraient clairement de mécanismes discriminatoires.

De la même manière, nous avons déjà eu des débats sur certaines plateformes, comme Shein ou Temu, concernant la mise en ligne de produits à visée pédocriminelle, pratiques qui sont évidemment interdites. Dès lors, la question centrale est de savoir si nous disposons, pour ces pratiques en ligne manifestement illégales, d’outils juridiques suffisants. Si la pédocriminalité a fait l’objet d’un encadrement spécifique, la discrimination par les prix, facilitée par l’exploitation des données et par l’IA, suscite aujourd’hui une inquiétude croissante.

M. Julien Rossi. L’article 5 du RGPD dispose clairement qu’un traitement de données à caractère personnel doit obéir à un principe de licéité. Si la finalité est illicite, le traitement lui-même devient illicite.

Mme Sophie-Laurence Roy, présidente. Se pose aussi ici la question de la protection du consommateur : un prix affiché ne devrait pas évoluer, par exemple en fonction de mon genre ou de mon âge.

M. Julien Rossi. Les discriminations interdites le demeurent, le code de la consommation continue à s’appliquer.

En revanche, le développement de l’IA agentique, notamment dans le domaine des paiements, nécessite davantage de recherche et de réflexion. L’industrie des paiements travaille déjà sur des standards techniques permettant à un agent d’intelligence artificielle de prendre des décisions d’achat pour le compte d’un individu. Par exemple, au lieu de rechercher un vol en définissant manuellement des critères précis, on pourrait formuler une instruction du type : « Réserver le billet d’avion le moins cher pour passer une semaine à Tokyo au mois de juin, dans la grille de prix que je suis prêt à payer ».

Ces mécanismes existent déjà à l’état de projets et appellent des recherches approfondies, y compris avec des économistes, afin d’en comprendre les conséquences micro‑ et macro‑économiques, notamment en matière de fixation des prix, même si certaines sociétés proposent déjà de trouver automatiquement les offres les moins chères.

Mme Sophie-Laurence Roy, présidente. Il existe déjà des offres émanant de sociétés qui promettent de trouver le crédit le moins cher ou le voyage le moins onéreux, pour les particuliers.

M. Julien Rossi. Oui mais pour le moment, c’est toujours vous qui renseignez votre numéro de carte bancaire et qui cliquez sur le bouton de validation. Demain, un robot pourrait le faire pour vous, parce que vous lui avez donné mandat de négocier avec une autre IA le prix le moins cher.

Mme Nataliia Bielova. D’un point de vue technique, l’individualisation des prix a lieu de manière permanente, partout ; mais ces pratiques demeurent difficiles à identifier. En 2014, nous avons mené une étude spécifique, qui essayait de discerner le changement des prix des vols en fonction des cookies du navigateur et du profil enregistré dans le système. Nous avons constaté que les prix fluctuaient constamment : dans ce domaine, trop de facteurs contribuent au changement de prix. Dès lors, détecter ces discriminations dans un environnement en ligne est très complexe d’un point de vue technique : nous avons besoin d’hypothèses solides pour connaître les critères qui impactent le prix. À ce titre, une plus grande collaboration entre les chercheurs, les régulateurs et les juristes ne pourrait qu’être bénéfique.

Mme Sophie-Laurence Roy, présidente. Je vous remercie.

* *

Table ronde, ouverte à la presse, réunissant des directeurs de systèmes d’information d’organismes de recherche (mercredi 1er avril 2026)

La commission entend lors de sa table ronde réunissant des directeurs des systèmes d’information (SI) d’organismes de recherche :

– le Centre national pour la recherche scientifique (CNRS) : Mme Marie-Pierre Fontanel, directrice des systèmes d’information, et M. Thomas Borel, responsable des affaires publiques ;

– le Commissariat à l’énergie atomique et aux énergies alternatives (CEA) : M. Baptiste Grigy, directeur des systèmes d’information ;

– l’Institut national de recherche pour l’agriculture, l’alimentation et l’environnement (Inrae) : M. Louis-Augustin Julien, directeur général délégué ressources, et M. Jean-Michel Vansteene, directeur des systèmes d’information ;

– l’Institut national de la santé et de la recherche médicale (Inserm) : M. Damien Rousset, directeur général délégué à l’administration, et M. Sammy Sahnoune, directeur des systèmes d’information.

Mme Sophie-Laurence Roy, présidente. Nous poursuivons nos auditions avec une table ronde de directeurs des systèmes d’information (SI) de différents organismes de recherche.

Les organismes de recherche traitent des données particulièrement sensibles qu’il convient de protéger. Comment appréhendez-vous cet enjeu ? Comment sont stockées vos données ? Quels outils utilisez-vous pour traiter de grands volumes de données ? Comment pouvez-vous partager des données lorsque les chercheurs de vos organismes coopèrent avec des laboratoires extérieurs ?

Je vais vous laisser la parole pour un propos liminaire d’une dizaine de minutes, au cours duquel vous pourrez nous indiquer ce qui vous paraît important.

Je vous remercie de nous déclarer au préalable tout autre intérêt public ou privé de nature à influencer vos déclarations.

Je tiens à vous rappeler auparavant que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter serment de dire la vérité, toute la vérité, rien que la vérité.

(Mme Marie-Pierre Fontanel et MM. Baptiste Grigy, Louis-Augustin Julien, Jean-Michel Vansteene, Damien Rousset et Sammy Sahnoune prêtent serment).

M. Damien Rousset, directeur général délégué à l’administration (Inserm). Permettez-moi de débuter par un très bref rappel de ce qu’est l’Inserm. L’Inserm est un établissement public à caractère scientifique et technologique (EPST), comme le CNRS, l’Inrae ou l’Institut national de recherche en sciences et technologies du numérique (Inria) que vous avez également auditionné, je crois. Placé sous la double tutelle du ministère de la recherche et de celui de la santé, il est le seul organisme de recherche français entièrement spécialisé dans la recherche en santé et le premier au niveau européen en termes de taille et de production scientifique dans ce domaine. Notre objectif premier est de faire progresser les connaissances sur le vivant et les maladies, tout en développant des innovations de santé, ce qui se résume dans notre devise : « La science pour la santé ».

Nous jouons un rôle clé en France dans la recherche en santé et sommes présents sur les principaux sites universitaires et hospitaliers du territoire. Nous travaillons en étroit partenariat avec les hôpitaux, les universités et d’autres établissements publics de recherche, notamment au sein d’unités de recherche qui, pour l’Inserm, sont toutes mixtes, c’est-à-dire au minimum partagées avec une université et souvent avec d’autres partenaires. Pour vous donner une idée des volumes, nous comptons plus de 300 structures de recherche en France et rémunérons 9 000 agents. Cependant, si l’on inclut tous les personnels travaillant dans nos unités, quelle que soit leur origine, y compris ceux rémunérés par une université ou un autre partenaire, notre communauté de recherche s’élève à plus de 30 000 personnes, pour un budget de 1,2 milliard d’euros.

J’en viens maintenant à notre politique en matière de SI et à ses implications sur les problématiques de souveraineté qu’aborde votre commission. Il y a une dizaine d’années, le constat était celui d’un système d’information très déconcentré et fragile. La grande autonomie de nos unités de recherche avait favorisé le développement massif de ce que l’on nomme en mauvais français le shadow IT, c’est-à-dire des applications installées localement à la suite d’initiatives dont nous n’avions pas forcément connaissance. Il en résultait une forte hétérogénéité des outils, des pratiques et des niveaux de sécurité, et donc un risque élevé en matière de cybersécurité, de protection des données et de continuité d’activité. L’action de notre département des systèmes d’information se concentrait alors sur les outils dits « régaliens », c’est-à-dire, pour simplifier, l’informatique de gestion : notre SI budgétaire et comptable et notre SI de ressources humaines. Ce modèle, qui favorisait l’initiative locale et offrait une certaine liberté aux chercheurs, n’était plus soutenable au regard des enjeux de sécurité, de conformité et de recherche sur les données, notamment les données de santé.

Nous avons donc opéré un virage stratégique aux alentours de 2018, moment qui coïncide avec l’arrivée de notre directeur des systèmes d’information (DSI) actuel. Nous avons fait le choix de développer davantage d’outils orientés vers la pratique scientifique, et non plus seulement des outils de gestion classiques. Nous avons également voulu rationaliser, mutualiser et centraliser notre système d’information, avec pour préoccupation première d’élever son niveau de sécurité.

Les impacts sur les questions de dépendance à des acteurs étrangers dans le numérique, qui vous préoccupent, sont complexes. Plusieurs questions s’entremêlent, qui peuvent aboutir à des tensions, voire à des contradictions, entre les différents objectifs. Notre premier impératif, dès 2018, était la sécurisation technique du système d’information. Cette démarche a pu nous conduire à choisir des solutions propriétaires, souvent américaines, car elles étaient les seules à l’état de l’art permettant de concilier nos besoins d’usage et nos impératifs de sécurité. En matière de sécurité technique, nous avons donc été amenés à opter pour des solutions propriétaires, majoritairement aux mains d’entreprises américaines. D’ailleurs, en préparant cette audition, nous avons recensé les solutions fournies par des entreprises américaines auxquelles nous sommes le plus exposés ; les plus importantes, notamment en termes de poids financier, sont des outils de sécurisation de notre système d’information.

Progressivement, à cet impératif de sécurisation s’est ajouté un impératif de souveraineté sur les données, que nous avons pleinement intégré. Je redis cependant que la sécurité technique demeure notre premier objectif, car les fuites de données résultent avant tout de cyberattaques. Les cas où un gouvernement ou une entreprise étrangère nous auraient demandé un accès légal à nos données sont rares. Néanmoins, nous avons intégré cette problématique de souveraineté avec une logique de maîtrise de la donnée. Nous avons fait en sorte que nos données sensibles soient systématiquement hébergées en Europe, idéalement en France, et même, lorsque c’était possible, sur des infrastructures propres que nous maîtrisons, dites on-premise. Par exemple, pour la gestion de nos courriels, nous nous appuyons sur l’application Microsoft Exchange. Alors que cette solution s’accompagne d’une offre d’hébergement sur le cloud Azure, nous avons choisi de faire héberger ces données en France. Ce choix a un coût supplémentaire, qui double presque la facture, mais nous l’avons assumé.

Nous avons également développé notre propre cloud pour héberger des services en interne. Le ministère de l’enseignement supérieur et de la recherche a labellisé des centres de données en région, généralement opérés par des universités, et nous y avons installé nos propres capacités de stockage et de calcul. Nous avons aussi développé notre infrastructure cloud, qui nous permet d’héberger nous-mêmes certains services. C’est sur cette base que nous allons très prochainement ouvrir un outil permettant à nos agents d’utiliser des modèles de langage (LLM) libres de droit. Nous ne souhaitions pas que nos chercheurs utilisent les services disponibles sur internet, car nous savons que les données qu’ils y soumettent nourrissent le modèle et peuvent devenir accessibles à d’autres. Avec notre solution, nous installons ces modèles sur notre cloud, avec la garantie pour le chercheur que ses données ne nourrissent pas le modèle et ne sont pas accessibles aux autres utilisateurs.

Je terminerai par un mot sur la souveraineté économique. Je comprends que pour la représentation nationale, même si la souveraineté sur les données est assurée, la dépendance à des solutions logicielles développées par des entreprises étrangères puisse être un sujet de préoccupation, ne serait-ce que pour des raisons économiques. Du point de vue de l’établissement, je nuancerais ce point. Ce qui nous préoccupe en tant que service public, c’est moins la nationalité des entreprises – qui est d’ailleurs parfois difficile à déterminer pour des multinationales – que le fait qu’il s’agisse d’acteurs économiques mus par une logique de profit. Nous avons expérimenté qu’une forte dépendance à des solutions propriétaires peut entraîner des augmentations de coûts très brutales. Il s’agit souvent de marchés peu concurrentiels, relevant de l’oligopole sinon du monopole.

Par ailleurs, le coût de migration vers une autre solution est très important, ce qui nous rend très dépendants des choix faits à un instant T. Notre exposition à des entreprises dont le but premier est le profit est ce qui nous pose problème. À titre d’illustration, nous utilisons l’outil VMware pour gérer nos machines virtuelles. Face à de très fortes augmentations de coûts, nous avons envisagé de changer de solution. Les alternatives sont rares : le logiciel libre, qui pose des difficultés de maintenance en raison des ressources humaines qu’il requiert et que nous n’avons pas toujours, ou les outils souverains développés par l’État, comme ceux de la direction interministérielle du numérique (Dinum), qui ne pourront pas tout couvrir.

En conclusion, l’impératif premier de sécurité technique nous a orientés vers des solutions applicatives non souveraines. Dans ce contexte, nous avons intégré l’impératif de souveraineté sur les données en faisant en sorte qu’elles soient hébergées chez nous. Le développement d’un cloud propre s’explique aussi par le fait que nous sommes parfois soumis à des réglementations plus contraignantes, nécessitant des infrastructures habilitées à traiter des données de santé, ce qui est le cas de notre cloud. Cependant, ce choix n’efface pas le risque économique et stratégique lié à la dépendance à des solutions propriétaires développées par des sociétés mues par des motivations commerciales.

M. Louis-Augustin Julien, directeur général délégué ressources (Inrae). Je me permets d’enchaîner car, comme souvent, l’Inserm et l’Inrae ont beaucoup de points communs. Je ne reviendrai donc pas sur l’ensemble des éléments cités par mon collègue Damien Rousset. Tout d’abord, merci de nous entendre aujourd’hui sur ce sujet d’importance majeure pour le domaine de la recherche et pour l’Inrae.

En quelques mots, l’Inrae est l’Institut national de recherche pour l’agriculture, l’alimentation et l’environnement. Sur ce triptyque scientifique, nous figurons parmi les tout premiers organismes de recherche mondiaux. Nous disposons d’un budget d’un milliard d’euros par an, comme l’Inserm, et d’une communauté d’un peu plus de 10 000 personnes. Nous menons des recherches allant du plus fondamental au plus finalisé, ce qui explique notre implantation sur l’ensemble du territoire français, avec dix-huit centres régionaux et plus de 200 unités de recherche. Celles-ci sont soit mixtes, avec nos partenaires que sont les autres organismes nationaux de recherche, les universités ou les écoles agronomiques et vétérinaires, soit propres, notamment nos unités expérimentales réparties sur 7 000 hectares de dispositifs expérimentaux. Notre dimension décentralisée est donc très forte.

Sur la question du numérique, comme vous l’avez dit en introduction, c’est devenu un objet central, non seulement pour la gestion de l’établissement, mais bien sûr pour la recherche elle-même, notamment sur la question des données. Nous avons développé ces dernières années, comme tous les organismes ici présents, une stratégie de souveraineté et de sécurité numériques. Je suis d’accord pour distinguer ces deux éléments et j’y reviendrai. En tout cas, notre politique a d’abord visé à identifier et réduire notre dépendance et notre vulnérabilité en la matière.

Je distinguerai, comme mon collègue, notre fonctionnement quotidien en tant que grand établissement, qui ressemble à celui d’autres organisations, et la partie scientifique, qui est plus spécifique. Pour notre fonctionnement, notre action a d’abord consisté à nous doter de compétences internes robustes. Nous comptons 733 informaticiens, ce qui nous semble central pour choisir des solutions aussi souveraines et sécurisées que possible, mais aussi pour piloter leur déploiement et les développements propres qui sont indispensables. Notre stratégie contractuelle dans l’achat informatique est très claire : privilégier au maximum les solutions souveraines, tant pour les outils que pour le matériel, où c’est peut-être plus compliqué, et bien sûr pour le stockage. Lorsque les solutions disponibles sont acceptées par la communauté et à un niveau de performance correct, nous les adoptons. Je pense à Microsoft, qui est quasi incontournable, même si, comme l’Inserm, nous n’utilisons pas le cloud Office 365 et hébergeons en propre toutes nos données de gestion.

Sur l’hébergement des données, nous avons, comme l’Inserm, développé des serveurs en propre qui sont labellisés. Nous sommes d’ailleurs en partie hébergés par le CEA. Nous avons également recours aux solutions mutualisées de l’enseignement supérieur et de la recherche, avec des centres de données régionaux offrant un très bon niveau opérationnel et de sécurité. Lorsque nous utilisons des solutions en mode SaaS (Software as a Service), nous privilégions autant que possible des solutions souveraines, d’abord françaises, sinon européennes, et si possible certifiées SecNumCloud, bien que cette offre soit encore en développement et ait un coût non négligeable. Notre trajectoire est donc progressive.

Enfin, comme l’Inserm, nous avons développé un outil conversationnel d’intelligence artificielle hébergé sur nos propres serveurs pour réduire le shadow AI, c’est-à-dire l’utilisation non contrôlée d’outils comme ChatGPT par nos chercheurs. Il est impératif que nos données sensibles ne sortent pas de nos serveurs français.

J’ai commencé à émettre quelques bémols, notamment sur des solutions comme Microsoft ou VMware. Nous menons une action résolue pour sortir progressivement de ces dépendances et aller vers les outils de la Dinum quand c’est possible. Par exemple, nous allons abandonner Zoom pour l’outil de visioconférence de l’État. De même, nous avions un logiciel de gestion (ERP) fourni par Oracle et nous sommes passés à une solution mutualisée au sein de l’enseignement supérieur et la recherche (ESR), basée sur SAP et donc européenne. Nous essayons de le faire autant que possible, mais c’est une trajectoire qui prendra du temps, car il n’existe pas encore de solutions évidentes pour certains outils de gestion du quotidien.

Un autre bémol concerne le matériel. Dans l’enseignement supérieur et la recherche, nous recourons largement au marché Matinfo, qui est très bien négocié. Il faut toutefois reconnaître que la quasi-totalité des titulaires de ce marché sont étrangers. Que ce soit pour les téléphones, les ordinateurs ou les serveurs, ce sont des solutions étrangères, avec une dimension logicielle intégrée qui n’est pas neutre. Pour l’instant, il n’y a pas d’alternative souveraine à notre disposition.

Dans le domaine scientifique, la situation est un peu différente. Il y a eu longtemps une très forte autonomie dans les unités de recherche, due à un besoin d’agilité, à des ressources propres importantes sur les contrats de recherche et à une dimension de prototypage. Les chercheurs ont besoin des dernières technologies, ce qui se traduit par un recours massif à des logiciels open source, à de nombreux développements propres, mais aussi à des logiciels propriétaires de manière encadrée et limitée. Nous avons mis en place un plan ambitieux, le plan « données pour la science », pour partager les bonnes pratiques en matière de choix logiciels, de stockage et d’entrepôts de données, ce qui a beaucoup réduit nos dépendances. Il faut cependant reconnaître que la recherche scientifique est très internationale, fondée sur des outils open source et des bases de données largement partagées. Certains acteurs, notamment américains, y jouent un rôle majeur. C’est un point de vigilance : si des acteurs américains décidaient de couper l’accès à certains pans de ces bases de données, nous devrions être capables de continuer à faire de la science au meilleur niveau.

Je terminerai par notre politique de cybersécurité, qui est aujourd’hui l’angle d’attaque le plus important sur cette question de sécurité et, en partie, de souveraineté. Nous avons été victimes d’une cyberattaque fin 2023, que nous avons heureusement détectée assez tôt pour éviter le rançongiciel. Cet événement nous a rappelé la nécessité d’agir fortement. La politique que nous avons mise en place à la suite de cette attaque nous permet d’aller jusque dans les unités de recherche pour homologuer, du point de vue de la cybersécurité, les logiciels qui y sont déployés. C’est un processus en cours, mais nous voyons que le sujet progresse vite dans les esprits, grâce à notre politique de sensibilisation et de formation.

M. Baptiste Grigy, directeur des systèmes d’information (CEA). Le CEA est un établissement public industriel et commercial (Epic) qui emploie environ 22 000 personnes sur une dizaine de sites en France, avec un budget d’environ 6 milliards d’euros par an. Nos activités se répartissent en quatre grands domaines : la défense, le numérique, la santé et les énergies.

Au niveau des systèmes d’information, il existe une filière globale mais deux pôles assez disjoints : l’un pour la direction des applications militaires (DAM), sur lequel je ne m’étendrai pas, et l’autre pour la partie civile, que je pilote. Le premier pôle est protégé par le secret défense, avec des réseaux isolés correspondant aux niveaux de classification gérés. Pour la partie civile, la DSI représente environ 250 personnes sur cinq sites. Elle se divise en une partie nationale, qui opère des services globaux comme les réseaux ou la messagerie, et une partie locale sur chaque site, qui traite davantage des systèmes d’information industriels et scientifiques.

Historiquement, et sans doute en raison de sa proximité avec la DAM, le CEA a un système d’information qui est à 99 % sur site (on-premise). Notre informatique est localisée dans nos propres centres de données, répartis et redondés sur différents sites, et il existe une culture très forte de l’usage d’outils et de services locaux. Ayant rejoint le CEA il y a deux ans après avoir passé vingt-trois ans chez Thales dans des unités de défense, je peux dire qu’il y a eu au CEA une volonté constante de maîtriser l’ensemble de la chaîne du système d’information.

Des équipes de sécurité des systèmes d’information (SSI) ont été mises en œuvre dès la fin des années 1990. L’influence de la direction des applications militaires a infusé sur la partie civile, et une politique de SSI existe depuis longtemps. Elle a défini une architecture en zones, cloisonnant les données en fonction de leur sensibilité, avec différentes couches de réseau accessibles ou non selon le droit d’en connaître.

Malgré cette architecture sur site, nous avons une dépendance importante à certains outils, qui présente trois niveaux de risques. Premièrement, un risque de fuite de données si nous utilisons des plateformes extérieures. Deuxièmement, un risque de chantage commercial : lorsque nous sommes dépendants de solutions en situation de monopole, les éditeurs peuvent avoir des pratiques commerciales difficiles à juguler, comme cela a été mentionné. Troisièmement, un risque d’arrêt de service, comme certains exemples récents dans la presse l’ont montré. C’est de ces risques que nous essayons de nous protéger.

Nous différencions bien la souveraineté de la sécurité. Une solution peut être très bien sécurisée sans être souveraine. De même, dans les certifications, nous distinguons ces deux aspects. Nous suivons par exemple les avancées des clouds qui passent la certification SecNumCloud. Cette certification, initialement basée uniquement sur la sécurité, intègre désormais dans ses nouvelles versions des aspects de souveraineté.

Mme Marie-Pierre Fontanel, directrice des systèmes d’information (CNRS). Le CNRS représente 34 000 agents, 1 200 laboratoires dans toutes les disciplines de recherche, et notre système d’information s’adresse à 120 000 utilisateurs, principalement les personnels de nos laboratoires.

Depuis mon arrivée en 2024, nous avons mis en place un schéma directeur pour la DSI, dont les axes principaux sont la sécurité, l’optimisation des coûts et l’introduction de nouvelles technologies comme l’intelligence artificielle. Notre principale préoccupation actuelle est de sortir des Gafam, et en particulier de Microsoft, car nous rencontrons les mêmes problèmes que nos collègues. Par exemple, la messagerie du CNRS, aujourd’hui sur Microsoft Exchange opéré en interne, basculera le 14 avril sur une messagerie Zimbra, une solution open source opérée par Renater via son offre Partage. Cette migration est en cours.

Une autre étape cruciale concerne notre dépendance extrême à SharePoint pour les espaces collaboratifs et les applications construites dessus. Microsoft nous pousse vers le cloud à partir de 2029, ce qui est orthogonal avec les injonctions de souveraineté. Nous avons donc décidé de sortir à terme de cette dépendance en utilisant soit des outils que nous proposons en interne, soit ceux de la Dinum. Les outils de la Dinum présentent le double avantage d’être pour l’instant gratuits, ce qui est primordial pour l’optimisation des coûts, et souverains.

La prise de conscience en matière de cybersécurité a eu lieu au CNRS vers 2018. Un virage a été pris pour intégrer un regard très attentif sur la sécurité dans tous les projets. Nous sommes loin d’être parfaits, mais cette prise de conscience a entraîné des investissements et parfois la réécriture d’applications pour les rendre plus sécurisées. C’est un travail de longue haleine, car notre système d’information est ancien, avec près de 120 applications et services dont certains ont plus de vingt ans.

Dans notre politique de sortie des Gafam, outre Microsoft, nous visons aussi les bases de données Oracle. Contrairement à d’autres, nous utilisons SAP depuis vingt ans, mais nous avons une politique de migration de nos bases de données propriétaires Oracle vers des solutions libres comme PostgreSQL. Nous essayons, dans la mesure du possible, de passer sur des outils du monde libre, même si ce n’est pas toujours possible, car certains progiciels de gestion imposent des bases de données propriétaires.

Lorsque nous n’hébergeons pas en interne, la majeure partie de nos applicatifs sont sur des clouds certifiés SecNumCloud. Par exemple, notre système SAP pour les finances et les RH est hébergé en externe chez OVH, sur leur offre SecNumCloud, qui est distincte de leur offre publique. La difficulté est que ce type d’hébergement externalisé majore les coûts de 20 % à 30 % par rapport à un hébergement classique. L’État nous demande de faire un effort conséquent sur ces hébergements, mais plus c’est sécurisé, plus les architectures sont complexes à concevoir, à mettre en œuvre et à exploiter, et donc plus c’est cher.

Enfin, concernant l’intelligence artificielle, nous avons mis à disposition de nos 34000 agents, fin décembre, un agent conversationnel basé sur la solution Mistral. L’objectif du PDG du CNRS était simple : que les agents du CNRS n’utilisent plus ChatGPT pour leur travail. L’utilisation de cet agent est en forte croissance depuis début janvier.

Mme Sophie-Laurence Roy, présidente. Merci à tous. Si je résume un peu brutalement, tous vos organismes ont compris, il y a environ une dizaine d’années, que vous deviez faire face à deux problèmes majeurs : la sécurité de vos données, de vos recherches et de vos résultats, et, dans un second temps, la souveraineté des systèmes que vous utilisiez. J’ai également noté un objectif délibéré de quitter les Gafam et une volonté de choisir des logiciels open source ou libres.

Cependant, le risque avec les logiciels libres est qu’ils ne soient pas toujours mis à jour, améliorés ou complétés. Ne craignez-vous pas que cette décision de principe en faveur du logiciel libre – même si nous approuvons évidemment le choix de Mistral – ne finisse par devenir un frein à la performance de vos systèmes ? C’est ma première question.

Ma seconde question, pour comprendre, est : avec quelles données avez-vous nourri votre agent conversationnel Mistral ?

M. Baptiste Grigy. Concernant l’open source, je pense que la démarche est plutôt hybride. Nous ne parviendrons pas à remplacer l’ensemble des suites commerciales. Microsoft, par exemple, est très profondément ancré dans nos systèmes d’information, au-delà de ce que l’on voit comme le système d’exploitation ou la suite Office ; il pilote aussi la gestion de nos identités avec Active Directory ou la gestion de nos parcs de PC et de serveurs. Nous essayons tous d’aller vers l’open source là où c’est possible, mais ce n’est pas possible partout.

Comme vous le soulignez, l’open source présente une difficulté de mise à jour et nécessite des ressources internes importantes. Ce que nous n’achetons pas en licence, nous devons le réaliser nous-mêmes en effort humain. Un autre élément est que de nombreux éditeurs nous poussent vers des solutions cloud, et sur certains pans du système d’information, nous n’avons plus d’offres à proposer à nos utilisateurs en interne (on-premise). Pour illustrer, nous sommes en train de passer à une nouvelle version de SAP. Pour la partie achats, nous avions la contrainte que les données ne soient pas dans le cloud. Nous avons dû choisir entre deux ou trois solutions qui étaient fonctionnellement moins-disantes. Les seules solutions que nous pouvions héberger sur nos serveurs étaient moins performantes que ce que l’on peut trouver à l’extérieur. Cela rejoint ce que vous disiez : nous allons probablement devoir rechercher des compromis entre la performance et la souveraineté ou l’indépendance de nos solutions.

Mme Marie-Pierre Fontanel. Je suis entièrement d’accord avec mon collègue du CEA. Il ne faut pas mettre tous nos œufs dans le même panier et utiliser les logiciels libres quand c’est possible, sans en faire une doctrine. D’ailleurs, ce n’est pas parce qu’on utilise des solutions du marché qu’elles sont garanties pérennes. Qui nous dit que demain, Mistral ne se fera pas racheter par des Américains ?

Les DSI sont aujourd’hui confrontés à l’évolution extrêmement rapide de nos fournisseurs de matériel et de logiciels. Les rachats sont très perturbants ; de nombreuses sociétés françaises ont été rachetées, notamment par des Américains. En matière d’intelligence artificielle, s’il n’y avait pas Mistral, il n’y aurait personne d’autre en France. C’est extrêmement contraignant. Comme le disait mon collègue, quand on n’a plus le choix, on est parfois obligé de passer par des systèmes américains, en espérant ne pas être contraints de passer par des systèmes chinois par la suite. C’est là le grand risque.

M. Sammy Sahnoune, directeur des systèmes d’information (Inserm). Je voudrais compléter avec un point de vigilance sur l’open source. On s’aperçoit souvent que des solutions initialement open source voient apparaître des suites commerciales avec un support fourni par des entreprises qui ne sont pas forcément françaises. On part sur de l’open source et on se retrouve à devoir prendre un support qui est américain. Il existe bien sûr des solutions open source supportées par des entreprises françaises, mais ce n’est pas systématique.

M. Baptiste Grigy. Un autre exemple sur l’open source est que, parfois, même si les solutions restent européennes, elles changent leur politique tarifaire. Au départ, c’est gratuit, puis, à mesure que l’usage augmente, que vous voulez mettre plus de données ou utiliser certaines fonctionnalités, cela devient payant. Nous devons surveiller cela en permanence, car la situation évolue très vite.

Mme Sophie-Laurence Roy, présidente. Donc, pour résumer là encore brutalement, vous avez tous fait l’effort d’essayer de rapatrier votre recherche, votre travail et vos données dans un cadre le plus français possible, mais vous n’êtes pas sûrs de pouvoir tenir longtemps, car nous n’avons peut-être pas assez de vraies compétences nationales. C’est peut-être dur, mais ce n’est pas forcément loin de la vérité.

M. Damien Rousset. Je distingue l’hébergement des données des outils pour leur exploitation et le fonctionnement quotidien. Sur les données, en tout cas les données sensibles, elles sont toutes hébergées dans un cadre souverain. La problématique que nous pointons ici concerne plutôt les dépendances aux logiciels ou au matériel. Il faut vraiment distinguer les deux.

Effectivement, sur les logiciels, il n’y a pas de solution parfaite aujourd’hui. L’open source a ses limites, notamment en termes de ressources humaines pour la maintenance, que nous n’avons pas toujours. Nous dépendons donc encore de solutions propriétaires. La Dinum développe des outils, mais ils ne couvrent pas tout. Pour moi, il n’y a pas de solution parfaite pour l’applicatif. Pour l’hébergement des données, nous y arrivons, soit en allant chercher des services chez des fournisseurs français ou européens, soit en développant nos propres capacités, comme notre cloud Inserm.

M. Jean-Michel Vansteene, directeur des systèmes d’information (Inrae). Je suis d’accord avec mes collègues sur la non-exclusivité du logiciel libre ; il faut envisager des solutions hybrides. Cependant, il faut aussi considérer que, comme pour les solutions propriétaires, nous nous faisons aider pour le logiciel libre. Nous avons les compétences pour définir notre stratégie, faire nos choix, développer et exploiter, mais nous nous faisons aider, quelles que soient les solutions. Le logiciel libre n’est pas gratuit ; il faut envisager de se faire aider, et cela a un coût, tout comme la sécurité et la souveraineté. Mais ce coût est vertueux, car le logiciel libre permet de reverser à la communauté les développements que nous pouvons faire, ce qui sert l’ensemble des dispositifs. À notre sens, c’est un modèle beaucoup plus vertueux que les solutions propriétaires. Il faut voir le retour global pour la communauté. J’y vois donc quelque chose d’assez intéressant.

Mme Cyrielle Chatelain, rapporteure de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Je voudrais revenir sur la question de la souveraineté économique. Pour avoir un ordre d’idée, combien vos structures dépensent-elles en licences ? Vous avez beaucoup évoqué Microsoft. Combien cette entreprise représente‑t‑elle dans vos dépenses ?

Mme Marie-Pierre Fontanel. Pour le CNRS, cela représente environ 2,5 millions d’euros annuels uniquement pour la partie espaces collaboratifs SharePoint. Pour la messagerie, c’était, de mémoire, 3 millions d’euros annuels. En basculant chez Renater, cela nous coûtera 600 000 euros par an. Économiquement, il est extrêmement avantageux de passer sur du libre pour ces sujets.

M. Baptiste Grigy. Côté CEA, nous venons de renégocier notre contrat Microsoft pour trois ans. L’ordre de grandeur est de 6 millions d’euros par an. Microsoft demande de ne pas communiquer sur les augmentations, mais je peux vous dire qu’entre le contrat précédent et celui-ci, l’augmentation est à deux chiffres, de l’ordre de 20 % sur trois ans, ce qui est bien supérieur à l’inflation. De plus, ils pratiquent la vente liée (bundle) en incluant des produits que nous n’utilisons pas. C’était le cas de Teams, que nous n’avons jamais déployé mais que nous étions obligés de payer. Une décision de la Commission européenne les a contraints à sortir Teams du lot, mais ils ne lui ont pas affecté son vrai prix. L’augmentation globale sur trois ans est bien supérieure au retrait de ce petit élément.

L’autre éditeur qui nous a créé des difficultés est VMware, qui a été racheté par Broadcom. Les changements de prix ont été très significatifs et pèsent sur le budget de l’État.

M. Damien Rousset. Côté Inserm, ce n’est pas Microsoft qui nous coûte le plus cher, car nous bénéficions de licences dites « éducation ». C’est de l’ordre de 350 000 euros par an. Les éditeurs américains qui nous coûtent le plus cher sont Broadcom pour VMware, qui gère nos machines virtuelles sur nos serveurs et dont le coût est supérieur au million d’euros par an, et aussi Palo Alto et Splunk, qui sont des outils de sécurisation de notre système d’information et qui doivent également dépasser le million d’euros chacun. Ce sont ces trois éditeurs américains, qui nous fournissent des solutions de gestion de machines virtuelles et de sécurisation, qui nous coûtent le plus cher, bien plus que Microsoft.

M. Louis-Augustin Julien. Du côté de l’Inrae, nous vous transmettrons le chiffre précis. Nous passons par l’Union des groupements d’achats publics (Ugap) pour Microsoft. Le chiffre global de l’Ugap est de l’ordre de 6 millions d’euros, mais la part de Microsoft doit se situer entre 400 000 et 500 000 euros. Nous vous confirmerons ce chiffre.

Mme Cyrielle Chatelain, rapporteure. Juste pour bien comprendre les différences de chiffres : pour l’Inserm et l’Inrae, Microsoft, c’est uniquement la messagerie Exchange ?

M. Damien Rousset. Non, c’est globalement la suite Microsoft Office 365, qui inclut tous les outils comme Word, Excel, OneNote, etc. Ce n’est pas uniquement Exchange.

Mme Cyrielle Chatelain, rapporteure. Excusez-moi, vous aviez mentionné des applications éducatives. Je n’ai pas bien compris.

M. Damien Rousset. Il s’agit des tarifs. Microsoft propose un tarif spécifique, environ dix fois moins cher, pour le monde de l’éducation au sens large. C’est une interprétation extensive de la notion d’éducation, mais nous bénéficions de ces tarifs.

M. Baptiste Grigy. Pour complément, le CEA ne bénéficie pas des licences éducatives, sauf pour notre organisme de formation, l’INSTN. Ce n’est pas le cas pour nos 22000 collaborateurs. Je pense que le principal inducteur de coût est le nombre de personnes à qui l’on fournit le service.

M. Jean-Michel Vansteene. Pour l’Inrae, nous reviendrons vers vous avec des chiffres précis, car il faut consolider les coûts de l’infrastructure centrale (Exchange, SharePoint, Skype) et ceux de toutes les licences Windows et Microsoft Office.

Mme Cyrielle Chatelain, rapporteure. Les tarifs pour l’éducation m’interrogent sur la politique de Microsoft. Ce que je retiens, ce sont des stratégies de verrouillage (lock-in). Vous avez tous mentionné un acteur devenu incontournable dans votre système d’information. J’aurais tendance à penser que plus on habitue les gens tôt, plus le verrouillage est fort.

Pour continuer sur cette question, vous avez évoqué des coûts de migration. Avez-vous déjà renoncé à des migrations parce que les coûts étaient trop importants ? Ou, à l’inverse, estimez-vous, comme le CNRS, que les coûts de migration sont finalement bénéfiques au regard de l’intérêt de souveraineté ou économique ? Enfin, êtes-vous accompagnés par de grands acteurs du conseil comme Capgemini ou Sopra Steria ? Dans ce cas, sont-ils aidants pour sortir des logiciels propriétaires ?

Mme Marie-Pierre Fontanel. Pour le CNRS, nous externalisons environ 97 % de nos développements. Nous nous reposons donc sur de grandes entreprises de services du numérique (ESN) comme Sopra Steria, CGI, Capgemini, Infotel... Nous avons une quarantaine de marchés publics en cours pour des développements et de l’exploitation, car nous ne sommes pas dimensionnés pour tout réaliser nous-mêmes.

Est-ce qu’ils nous aident à sortir des logiciels propriétaires ? C’est une question compliquée. Ils nous aident dans le sens où ils peuvent nous accompagner si nous voulons internaliser des choses ou passer sur du libre, mais ils ne proposent pas eux-mêmes de solutions packagées et adaptées en ce sens.

M. Baptiste Grigy. Pour le CEA, même si nos données sont sur site, nous sommes également aidés par des partenaires, notamment pour l’infogérance, la tierce maintenance applicative et l’exploitation. Notre marché en cours est avec Atos, dont les personnels sont sur nos sites. Comme nous n’avons quasiment aucune donnée chez des hyperviseurs, nous n’avons pas eu à gérer de migration d’un hébergeur à un autre et n’avons donc pas rencontré ce type de difficulté.

M. Damien Rousset. Pour l’Inserm, nous nous faisons généralement accompagner pour les migrations. Nous avons eu le même cas que l’Inrae : nous avons changé l’année dernière notre système d’information budgétaire et comptable pour passer sur un outil porté par l’Agence de mutualisation des universités et des établissements (Amue), qui s’appuie sur une base SAP. Nous nous sommes faits accompagner pour cette migration.

Vous posiez la question des migrations auxquelles on pourrait renoncer à cause du coût. Je reprends l’exemple de VMware. Quand ils ont annoncé une augmentation de 50 % ou 60 % des coûts du jour au lendemain, nous nous sommes posé la question de changer. Mon DSI avait évalué le coût de l’accompagnement de la migration à 1 000 jours-hommes. Nous avons commencé à diversifier un peu nos solutions en introduisant une solution de virtualisation open source, car nous ne pouvions pas mettre tous nos œufs dans le même panier. Mais nous n’avons pas été capables d’absorber une migration complète du jour au lendemain et avons donc dû subir cette hausse de coût.

M. Sammy Sahnoune. Pour compléter, même si notre dispositif peut paraître captif, nous l’avons conçu dès le départ pour être portable. Tout ce qui est conteneurisation et orchestration des conteneurs a été construit dans cet esprit, afin de faciliter un éventuel changement de solution, notamment de virtualisation, vers des solutions open source. Nous étudions d’ailleurs des alternatives de manière concomitante avec l’Inrae.

M. Baptiste Grigy. La situation est exactement la même. Quand vous demandez si nous allons y arriver, à court terme, la réponse est non. Pour le CEA, ce sera forcément très long. Cependant, je pense que nous avons tous commencé ce chemin vers d’autres solutions, si possible multiples, mais cela se compte en années.

M. Jean-Michel Vansteene. Je voulais juste compléter : nous travaillons avec Sammy Sahnoune pour mutualiser autant que possible notre approche et nos choix. Côté Inrae, nous avons fait le choix d’une solution libre pour remplacer VMware et nous envisageons une migration cette année. Nous n’avons pas chiffré le nombre de jours-hommes aussi précisément, mais nous comptons beaucoup sur l’automatisation que nous avons développée pour le faire dès cette année sur une grosse partie de notre parc de serveurs. C’est un projet en marche.

Mme Marie-Pierre Fontanel. Côté CNRS, en revanche, ce n’est pas du tout en marche. Nous sommes entièrement sur VMware. Contrairement à nos collègues, nous n’avons pas subi d’augmentation lors du passage à Broadcom, car je pense que nous payions déjà le maximum. Une sortie de VMware au CNRS est inenvisageable à moyen terme, cela nous coûterait extrêmement cher. C’est un peu la même chose pour SAP, même si ce n’est pas un acteur américain. Sortir de SAP quand on l’utilise depuis vingt ans, avec des développements spécifiques, est extrêmement compliqué. Le verrouillage n’est pas lié qu’aux constructeurs américains.

Mme Sophie-Laurence Roy, présidente. C’est un peu comme changer de langue.

M. Damien Rousset. Oui, c’est très structurant.

Mme Cyrielle Chatelain, rapporteure. Si je comprends bien, votre stratégie est maintenant d’essayer de diversifier au maximum les acteurs. Vous avez mentionné plusieurs fois la Dinum. Même si elle ne pourra pas répondre à tout, quel rôle jouent pour vous ses propositions aujourd’hui ? Est-ce intéressant d’avoir ces solutions développées par l’État et quels sont les échanges que vous avez avec elle ?

M. Baptiste Grigy. Oui, je pense que cette notion de commun numérique est extrêmement intéressante. Au départ, il y avait des briques de base comme FranceConnect, que nous utilisons beaucoup et qui nous aide énormément en nous évitant de redévelopper des mécanismes d’identification. Concernant la visioconférence, nous avons reçu une directive au début de l’année. Au CEA, nous utilisons Skype en interne, donc sans problème d’extraterritorialité. Néanmoins, nous allons migrer vers Visio, la solution de l’État, qui est tout à fait correcte. Je pense qu’il faut que la puissance publique accompagne la Dinum pour qu’elle soit plus performante et qu’elle ait les moyens d’assurer un support pour le nombre d’utilisateurs ciblés. C’est très intéressant, mais il faudra qu’elle ait les moyens de son ambition.

M. Damien Rousset. Il n’y a pas grand-chose à ajouter. En tant que services publics, si des solutions développées par la puissance publique répondent à nos besoins dans un cadre sécurisé, nous les utiliserons. La question est celle de la capacité de la Dinum à développer ces outils et à faire en sorte qu’ils répondent vraiment aux besoins. Il y a aussi la question du modèle économique ; pour l’instant, la plupart des outils sont gratuits, mais je ne sais pas quelle tête fait la Dinum quand le CNRS arrive avec ses 120 000 utilisateurs.

Sur le papier, c’est ce qui résout la quadrature du cercle pour nous. Mais il reste à voir si les outils développés répondront aux besoins en termes d’usage. Il y a toujours cette tension : si nos communautés d’utilisateurs ont le sentiment qu’il y a une régression importante en termes de fonctionnalités, c’est compliqué. La sécurité, par exemple, représente toujours des contraintes pour l’utilisateur. Quand nous déployons la double authentification, des chercheurs nous disent que c’est très compliqué. Il faut aussi que les utilisateurs suivent.

Mme Cyrielle Chatelain, rapporteure. Aujourd’hui, les outils de la Dinum sont-ils gratuits pour votre utilisation, quels que soient les outils déployés ?

M. Damien Rousset. La fédération d’identité rend leur usage très simple pour un agent public. Il peut se connecter aux outils de la Dinum avec les mêmes identifiants, mot de passe et double authentification que pour nos outils maison. C’est un élément très important en termes de facilité d’usage. Par exemple, pour la visioconférence, nous n’avons pas encore complètement basculé, nous utilisons encore Teams. Néanmoins, la consigne est d’utiliser Visio pour les sujets sensibles, et elle est déjà accessible à nos agents.

Mme Marie-Pierre Fontanel. Le CNRS a basculé sur Visio. Nous avons abandonné Zoom le 31 mars. Nous faisons la promotion de cet outil depuis plusieurs mois, et il est déjà adopté sur de nombreux sujets. Les autres outils de la suite de la Dinum, comme Grist, Docs ou Fichiers, sont également très populaires au CNRS. Nous faisons des points tous les mois avec la Dinum, notamment pour les prévenir de nos déploiements, car quand nous leur avons annoncé nos intentions, ils étaient heureusement prêts. Apparemment, ils tiennent bien le choc.

M. Louis-Augustin Julien. J’ajouterai que nous passerons également à 100 % à Visio au 1er juillet, un outil qui est déjà très largement utilisé et apprécié. Cela vaut pour la visioconférence comme pour d’autres outils, je pense notamment à Tchap, qui est très largement déployé au sein de nos services. Il a remplacé le système propriétaire payant d’appel d’urgence que nous utilisions pour alerter les agents en cas de crise. Je tiens à saluer la qualité du travail accompli sur ces sujets dans des délais assez courts.

Mme Cyrielle Chatelain, rapporteure. Vous avez beaucoup évoqué la question des logiciels libres. Si j’ai bien compris, l’argent qui n’est pas investi dans les licences est réalloué à des équipes humaines pour contribuer au développement. Cela m’amène à la question de la dépendance technologique. L’une des différences fondamentales ne réside-t-elle pas dans le fait que si nous développons nous-mêmes les applications et assurons les mises à jour, nous disposons d’un meilleur contrôle et d’une meilleure connaissance de l’outil ? Je m’interroge sur le degré de connaissance que vous avez des codes sources des outils propriétaires que vous utilisez. Quelle est votre maîtrise réelle de ces outils ?

La distinction me semble se situer là : il y a des outils dont on peut, pour ainsi dire, « soulever le capot », et d’autres pour lesquels cela paraît impossible. Est-ce une vision exacte, bien que probablement simplifiée ? Cette question de l’accès au code source me semble centrale dans les enjeux de dépendance technologique, y compris dans le domaine de l’intelligence artificielle que vous avez mentionné. Par exemple, pour des solutions comme celles de Mistral, l’accès au code est-il un élément clé ?

M. Damien Rousset. Vous avez raison, avec les solutions propriétaires, nous n’avons pas accès au code source. Par définition, nous avons une moindre capacité à expliquer leur fonctionnement interne. Cependant, elles présentent des avantages, notamment l’intégration poussée des outils au sein d’une même suite, comme Office 365, ce qui est très apprécié des utilisateurs. Pour prendre un exemple concret : depuis mon agenda Outlook, je peux créer un rendez-vous et, d’un simple clic, générer un lien Teams pour une visioconférence. Cette facilité d’intégration entre Outlook et Teams est un atout majeur. L’aspect le plus séduisant de ces outils propriétaires réside dans cette intégration. En contrepartie, nous ne savons pas exactement comment la machine fonctionne. La situation est différente avec les outils open source.

Concernant l’intelligence artificielle, nous allons très prochainement déployer un outil conversationnel s’appuyant sur plusieurs LLM. La plupart des entreprises qui développent des LLM proposent des versions ouvertes de leurs modèles. Ce ne sont pas toujours les plus récentes, mais des versions libres existent. Ce sont celles-ci que nous installons sur nos propres infrastructures, ce qui garantit que les données ne quittent pas notre environnement. L’intérêt de notre outil, qui fonctionne comme un agrégateur, est de donner accès à plusieurs modèles de langage, certains étant plus adaptés que d’autres à des usages spécifiques. Il existe en effet des modèles ouverts, y compris pour des technologies comme ChatGPT.

M. Baptiste Grigy. Au CEA, je ne l’ai pas mentionné précédemment, mais nous menons un projet de déploiement d’une intelligence artificielle générative interne, basée sur les modèles de Mistral. Souvent, les modèles open source, comme le modèle Small de Mistral, ne sont pas les plus performants ; les plus performants sont payants. Pour l’instant, nous utilisons uniquement les modèles de Mistral pour nos LLM. Cependant, il y a beaucoup de technologies open source autour. Le LLM ne constitue qu’une partie du travail. L’interaction avec l’agent conversationnel ou la reconnaissance de caractères, par exemple, nécessitent des modules spécifiques pour lesquels nous nous appuyons sur des solutions open source.

Il est certes plus intéressant de pouvoir « ouvrir le capot ». Néanmoins, je ne crois pas que nous rencontrions de blocage ou de difficulté majeure avec les outils propriétaires fermés. En revanche, la nécessité absolue est de disposer des mises à jour. Nous sommes dépendants de ces mises à jour, en particulier pour les outils Microsoft que nous payons cher et qui, pour certains comme SharePoint ou Exchange, sont fragiles ou, en tout cas, très ciblés par des attaques. Nous sommes absolument dépendants de l’application la plus rapide possible de ces mises à jour, car dans l’intervalle, des acteurs malveillants pourraient prendre le contrôle de ces outils.

M. Jean-Michel Vansteene. Je me permets de compléter ce point : dans le monde du logiciel libre, les communautés sont généralement très réactives pour corriger les failles de sécurité. C’est un élément important à prendre en compte.

Mme Cyrielle Chatelain, rapporteure. Oui, la question de la mise à jour soulève le problème du kill switch, une facette de la dépendance technologique. Le fournisseur peut nous priver de l’accès à une mise à jour, ce qui nous rend dépendants de sa volonté. Avez-vous rencontré ce type de situation dans vos institutions ? Je pense par exemple à la migration vers Windows 11, qui a, semble-t-il, entraîné le renouvellement d’un parc informatique conséquent et généré des surcoûts importants.

M. Baptiste Grigy. Oui, je pense que nous avons tous été confrontés à cette situation. Au CEA, nous avons dû changer quasiment un quart de notre parc informatique. Notre politique est de conserver les machines que nous achetons pendant sept ans au minimum, ce qui relève du numérique responsable, un sujet que nous n’avons pas abordé aujourd’hui. Il faut préciser que les machines que nous avons dû remplacer avaient globalement plus de sept ans. Néanmoins, ce renouvellement forcé de toutes les machines de plus de sept ans a concerné près d’un quart de notre parc, représentant des montants très importants.

M. Jean-Michel Vansteene. Nous avons réussi à obtenir de Microsoft une prolongation de support de trois ans. Cela nous a permis, notamment pour nos unités de recherche, d’étaler le renouvellement du parc, qui représentait une contrainte et un coût importants.

M. Baptiste Grigy. En payant pour ce support étendu ?

M. Jean-Michel Vansteene. Oui, en payant un supplément pour le support, ce qui nous a permis d’éviter le renouvellement massif d’un parc important. Le coût n’était pas très élevé, de l’ordre de 2 euros par poste et par an.

Mme Cyrielle Chatelain, rapporteure. Payer pour un support étendu constitue une dépendance supplémentaire. J’imagine que la réflexion du SI et celle de l’utilisateur ne coïncident pas toujours. C’est le cas de la double authentification, que nous subissons tous comme une contrainte mais qui est, vous l’avez rappelé, indispensable pour la sécurité.

Ma question porte sur le système d’information, qui est devenu un outil indispensable au travail quotidien ; s’il ne fonctionne pas, de nombreuses tâches deviennent impossibles. Avez-vous senti un changement ces dernières années dans le soutien que vous recevez lorsque vous proposez des alternatives aux solutions propriétaires ? Pendant longtemps, l’adage voulait qu’aucun DSI ne mette son poste en jeu en choisissant Windows, ce qui incitait à une certaine prudence. Aujourd’hui, avec la prise de conscience des risques posés par les logiciels propriétaires, sentez-vous de la part de vos directions une plus grande acceptation de la prise de risque ?

M. Baptiste Grigy. Oui, tout à fait. Plusieurs événements récents, pas seulement dans le numérique, nous ont fait constater nos niveaux de dépendance : la crise du covid, la dépendance énergétique et, bien sûr, la dépendance numérique. Pour prendre l’exemple de Teams, il y a eu de nombreux débats à ce sujet dans mes environnements professionnels précédents, privés comme publics, car nous n’avons pas tous la même évaluation du niveau de risque. Je confirme donc qu’un changement s’est opéré ces dernières années. Il est aujourd’hui plus facile d’expliquer pourquoi on ne peut pas déployer Teams, alors que c’était très compliqué auparavant.

M. Sammy Sahnoune. Pour l’Inserm, la réponse est plus mitigée, car elle dépend de la typologie des populations : les chercheurs d’une part, et les services d’appui d’autre part. En effet, nous sentons que les chercheurs sont plus sensibles aux questions de souveraineté, qu’il s’agisse de l’infrastructure ou de la technologie. En revanche, les agents en service d’appui ont pris des habitudes liées à l’ergonomie et à la facilité d’utilisation des applications. Je ne sais pas si vous avez déjà comparé l’ergonomie d’outils comme LibreOffice face à la suite Office 365. Je veux bien admettre que l’ergonomie n’est pas tout à fait la même et que de nouvelles habitudes sont à prendre, mais c’est faisable, quitte à être très directif. Pour répondre à votre question, cela dépend donc de la typologie des utilisateurs.

M. Damien Rousset. Si je peux me permettre de compléter, il ne faut pas minimiser l’impact d’un changement d’outils sur les utilisateurs. Nous l’avons vécu l’an dernier en changeant de système d’information budgétaire et comptable avec le portage de SAP pour l’ESR. Certaines fonctionnalités n’étaient pas complètement prêtes, et le changement a été très mal vécu par nos communautés. Nous avons constaté une augmentation des risques psychosociaux, qui a conduit à une alerte au niveau de notre formation spécialisée en santé et sécurité au travail. Nous avons dû mandater une expertise externe pour mesurer l’impact de ce déploiement, qui modifiait les habitudes et ne répondait pas à toutes les attentes. Honnêtement, ce fut très douloureux pour de nombreux agents, des utilisateurs quotidiens jusqu’à la direction. L’année a été très compliquée.

Si les problématiques de souveraineté peuvent nous inciter à prendre plus de risques, il faut, pour les applications vitales, mesurer le coût du changement. S’il se déroule mal, les impacts sont réels, y compris en matière de santé et de sécurité au travail pour nos agents.

Mme Cyrielle Chatelain, rapporteure. D’autres ont-ils connu la même augmentation des risques psychosociaux ? J’imagine qu’il s’agissait d’une solution sur étagère. Comment les besoins des utilisateurs ont-ils été pris en compte ? Quel a été l’accompagnement au changement ? Avez-vous été accompagnés par des sociétés comme Capgemini ou Sopra Steria ? Quelles études des besoins ont été menées ? Au-delà du changement d’outil lui-même, il y a parfois le calibrage de l’outil qui peut être, en effet, quelque peu « maltraitant » pour les utilisateurs.

M. Damien Rousset. Oui, c’est multifactoriel, nous sommes d’accord. Mais au final, le résultat peut être très compliqué à gérer.

Mme Cyrielle Chatelain, rapporteure. J’avais une courte question pour le CNRS, concernant le déploiement de l’IA Mistral. Des interrogations ont été soulevées sur la gestion des données. Si je comprends bien, les prompts et les documents saisis par un utilisateur ne peuvent être ni communiqués ni utilisés par Mistral. Toutefois, des questions se sont posées sur l’impossibilité d’utiliser le support, qui aurait été envoyé. Les articles de presse que j’ai lus soulevaient des doutes, c’est donc l’occasion de préciser les conditions d’utilisation.

Une autre question portait sur le fait que des agents du CNRS auraient eu accès à des données d’utilisation de leurs collègues, sachant par exemple que 7 000 d’entre eux étaient déjà connectés à l’IA. Des captures d’écran ayant circulé, je m’interroge. Cela a, me semble-t-il, posé quelques questions. Il serait d’ailleurs intéressant d’étudier, dans deux ou trois ans, l’impact de l’intelligence artificielle sur la santé au travail.

Mme Marie-Pierre Fontanel. Il ne faut pas croire tout ce que disent les journaux. Nous avons bien eu connaissance de ces articles. L’environnement de Mistral pour les entreprises, dans le contexte du CNRS, est bien sécurisé. Les données utilisées par un utilisateur ne sont pas partagées avec un autre, sauf si cet utilisateur le souhaite explicitement en mettant ses données à disposition de tous. C’est un acte conscient, possible uniquement dans certaines fonctions appelées « agents », et ce n’est absolument pas le comportement par défaut. Dans son contexte propre, un utilisateur peut injecter toutes les données qu’il souhaite en toute sécurité. Nous déconseillons évidemment d’utiliser des données classifiées, mais pour le reste, il n’y a pas de fuite particulière.

L’article de journal qui nous a été remonté a été démonté point par point. Je peux vous rassurer : l’agent IA que nous avons déployé est sûr et bien cloisonné, avec un système d’authentification. Je crois savoir que le chercheur à l’origine de cet article n’avait pas lui-même accès à Mistral, et il est compliqué de parler d’un outil sans y avoir accès.

M. Louis-Augustin Julien. Si je peux juste revenir sur le changement d’ERP que nous avons connu, comme l’Inserm, mon intention n’est pas de minimiser l’impact des changements d’outils sur les travailleurs, surtout quand il s’agit de leur outil quotidien. Cependant, le passage de notre ancien ERP à celui de l’Inrae a été un peu moins mal vécu. Je pense que la clé réside vraiment dans l’accompagnement. Vous parliez d’un accompagnement par des cabinets extérieurs ; nous avons privilégié un accompagnement interne, par des agents qui connaissaient le métier et avaient été formés sur le nouvel outil. C’est un point essentiel. Nous avions un réseau de proximité dans les unités de recherche et les centres, composé de collègues qui ont eux-mêmes formé leurs pairs et les ont soutenus durant toute la phase de déploiement.

Un changement d’outil n’est jamais parfait ; il est toujours déstabilisant et générateur de travail supplémentaire, ce qu’il faut reconnaître. Nous avions par exemple mis en place des moyens supplémentaires pour accompagner ce changement. Je pense qu’on peut réussir ce type de projet s’il est pensé dans son intégralité et, surtout, très accompagné par des experts métier solidaires de leurs collègues.

Mme Cyrielle Chatelain, rapporteure. J’ai une dernière question. Au début de votre intervention, vous avez évoqué la difficulté de trouver des solutions françaises ou européennes. Collaborez-vous avec des start-up, potentiellement des spin-off de vos propres structures, financées par Bpifrance ou d’autres ? Comment évaluez-vous l’écosystème actuel et comment travaillez-vous avec ces structures ? Pensez-vous que demain, vous pourrez développer des solutions qui vous permettraient, sur certains sujets, de changer de fournisseur ou, en tout cas, de vous diversifier ?

M. Damien Rousset. Pour nous, ce n’est pas vraiment le cas. Il existe bien des spin‑off issus des laboratoires de l’Inserm, mais leur cœur de métier est rarement le développement de solutions logicielles.

M. Baptiste Grigy. Nous avons en effet un écosystème de start-up assez important, qui développent parfois des solutions logicielles. Néanmoins, le constat que nous faisons est que nous avons du mal à les intégrer et à les utiliser pour nos propres besoins, y compris pour des solutions de cybersécurité.

Par contre, un élément n’a pas été abordé. Nous avons beaucoup parlé de la Dinum, et nous sommes d’accord avec tout ce qui a été dit. Mais il existe aussi de nombreux champions français ou européens. J’avais préparé une liste, que je ne détaillerai pas, mais l’écosystème industriel est très riche et offre de nombreuses solutions pour des domaines où nous pouvons être bloqués. Il faut que nous arrivions collectivement à inciter également les groupes privés à investir dans ces solutions, car la commande publique, dont nous discutons au sein du Cigref, ne suffit pas. Je pense qu’il faut raisonner au niveau européen ; si nous nous limitons au franco‑français, nous serons vite coincés. Il y a vraiment des solutions significatives dans le monde du logiciel européen, avec de nombreuses sociétés naissantes ou déjà bien avancées qu’il faut soutenir.

M. Sammy Sahnoune. En complément, nous faisons beaucoup de veille technologique pour suivre ce qui se fait au niveau national et européen. Nous consultons notamment des sites comme Go European pour identifier les technologies émergentes. Il est vrai que sur la partie cybersécurité, notre veille est un peu moins importante que sur les applicatifs hors infrastructure et systèmes. Nous testons des solutions ; il nous arrive de réaliser des preuves de concept (POC) avec des start-up, notamment sur la gestion de la donnée. L’une d’elles, Adlin Science, a été retenue récemment dans le cadre de l’Alliance IA Santé, et nous avions collaboré avec elle à ses débuts.

M. Baptiste Grigy. Je voulais juste ajouter qu’il est impératif de continuer à investir dans la recherche. Une part importante de la recherche en numérique est menée dans différents organismes, pas seulement au CEA. C’est aussi cet effort qui nous permettra de disposer de solutions souveraines au niveau européen. Il faut vraiment que nous parvenions à maintenir ce haut niveau de recherche.

Mme Sophie-Laurence Roy, présidente. Chers collègues, avez-vous une question ?

M. Nicolas Bonnet (EcoS). Pour aller plus loin sur les logiciels libres, je souhaiterais savoir si vous avez envisagé une migration plus globale des postes utilisateurs vers Linux. Vous évoquiez, je crois au niveau du CEA, avoir dû remplacer de nombreux ordinateurs en raison de la migration obligatoire vers Windows 11. Une alternative aurait pu être Linux, car il existe aujourd’hui des distributions très avancées et faciles à installer. On y retrouve la plupart des fonctionnalités, même si les outils Microsoft sont absents, et les alternatives à la suite Microsoft sont aujourd’hui assez performantes.

J’aimerais aussi que vous nous détailliez les manques que vous identifiez aujourd’hui du côté des logiciels libres, c’est-à-dire les domaines pour lesquels vous ne trouvez pas de solutions répondant à vos besoins.

Enfin, vous avez indiqué que les logiciels libres nécessitaient moins d’argent en licences mais plus de temps de travail. J’aimerais comprendre si c’est une généralité et avoir des exemples pour saisir pourquoi il serait fondamentalement plus compliqué de développer et de déployer une solution basée sur un logiciel libre.

M. Baptiste Grigy. Je peux commencer sur la partie Linux. Je pensais à cela tout à l’heure quand mon collègue mentionnait les difficultés de conduite du changement lors du passage d’un environnement à un autre. C’est vrai pour les applicatifs, mais c’est encore plus vrai pour le système d’exploitation. Une partie de notre parc est déjà sous Linux, car il y a beaucoup de développeurs au CEA. Pour toute cette communauté, cela se passe très bien, et nous aurions même du mal à les faire revenir sur Windows. Néanmoins, pour un déploiement global à l’échelle de l’organisme, cela reste très compliqué. On cite souvent l’exemple de la gendarmerie, qui a fait cette transition il y a très longtemps, mais nous avons finalement peu d’exemples réussis d’organisations, publiques ou privées, qui soient entièrement passées sous Linux. Il faut tout de même essayer, je pense, d’augmenter cette proportion.

M. Nicolas Bonnet (EcoS). C’est le « pourquoi » qui m’intéresse.

M. Baptiste Grigy. Le « pourquoi » réside, je pense, dans l’intégration et la facilité d’usage. Nous avons aussi quelques aficionados d’Apple qu’il est difficile de faire passer à d’autres systèmes d’exploitation. Mais c’est la facilité d’utilisation qui prime, ainsi que l’intégration de l’ensemble de la suite Microsoft, qui a été conçue à dessein pour être de bout en bout. Passer d’un environnement de type iOS ou Windows à Linux reste un changement majeur pour les utilisateurs non informaticiens. Néanmoins, il faut y aller.

De plus, comme je le mentionnais, Windows et sa suite ne sont que la partie émergée de l’iceberg. Même si nous fournissions aujourd’hui à nos utilisateurs un poste Linux, les identités resteraient gérées par une solution Microsoft. C’est pourquoi, même un poste de travail « Microsoft-free » ne nous permettrait pas de sortir complètement de ces solutions.

Dans cette recherche d’indépendance et de souveraineté, nous allons tâcher d’augmenter notre ratio de postes Linux. Nous allons dans cette direction.

Vous nous interrogiez également sur les manques en matière d’open source. Je n’ai pas d’idée complètement précise, mais je pense que du côté des outils de cybersécurité, comme Splunk que nous avons mentionné, ou pour la surveillance de nos réseaux, nous nous appuyons aujourd’hui sur des solutions propriétaires très abouties. Je ne pense pas que nous ayons de pistes pour l’instant pour les remplacer par de l’open source.

Enfin, sur le troisième volet de votre question concernant l’effort supplémentaire : avec les solutions propriétaires que nous achetons, nous recevons des paquets de mise à jour sur lesquels il suffit de cliquer pour les déployer. Les outils open source que nous utilisons demandent plus d’efforts : il faut davantage les maîtriser, et parfois « ouvrir le capot », comme cela a été dit. C’est plus simple, plus one-click, avec les solutions que l’on achète.

M. Sammy Sahnoune. Pour répondre à la première partie de la question sur Linux, nous avons des chercheurs qui utilisent cet OS ; c’est assez répandu. Pourquoi ne pas l’étendre ? C’est une bonne question. Historiquement, l’installation des premières versions de Linux était très fastidieuse, surtout pour un utilisateur non averti. Installer un pilote pour faire fonctionner une imprimante relevait de la croix et de la bannière. Ce ressenti a perduré. On cite l’exemple de la gendarmerie, qui s’est très bien adaptée, mais nous pourrions peut-être y aller progressivement, en commençant par les chercheurs avant de l’étendre au personnel d’appui. Il y aurait cependant des problèmes de compatibilité d’outils à identifier. Mais à l’heure actuelle, nous ne nous sommes pas posé cette question pour les services d’appui.

Concernant les logiciels open source, cela dépend de la typologie des systèmes d’information. Pour la cybersécurité, nous avons évoqué les ressources humaines nécessaires pour administrer des solutions open source. J’en ai plusieurs en tête pour lesquelles il faudrait une armée derrière, car l’administration se fait presque en ligne de commande. C’est possible pour un administrateur compétent, mais au-delà de cela, je dirais que c’est la conception même des outils américains qui est extrêmement ergonomique et facilitatrice. Tout est pensé pour industrialiser et mettre à l’échelle avec très peu d’administration, hormis un peu de paramétrage. On ne retrouve pas souvent ce côté facilitateur.

J’ai entendu l’exemple de Splunk. Nous avons testé d’autres solutions, certes américaines, mais encore plus évoluées, où tout est intégré : la corrélation des logs de tous les équipements, l’analyse par l’IA, et même l’automatisation des réponses sur incident. Ces aspects hyper didactiques, faciles à l’usage et sécurisants, posent la question du moment où nous atteindrons ce niveau de maturité avec des solutions franco-françaises ou européennes.

Il faut aussi éviter les idées reçues sur le libre. Quand on parle de logiciel libre, on pense souvent au système d’exploitation, pas aux petites applications développées et maintenues en interne. Quand on parle d’écosystèmes à l’échelle industrielle, on prend généralement du support derrière. Les équipes de support interviennent sur un logiciel libre, mais qui correspond à un support d’intégrateur. Je pense à Red Hat pour Linux. On peut certes regarder le code, mais qui le fait vraiment ? On a une forme de maîtrise de la conception qui nous donne la possibilité de changer. En revanche, quand on part sur des suites supportées par des intégrateurs américains, c’est compliqué de se dire que l’on est souverain.

M. Nicolas Bonnet (EcoS). L’intérêt de l’open source, je crois, c’est qu’on peut en faire ce que l’on veut, contrairement à une solution américaine où l’on ne peut que faire confiance.

M. Sammy Sahnoune. On parlait de mise à jour il y a quelques secondes. Si l’on prend du support sur des distributions Linux comme Red Hat, on ne fait pas non plus ce que l’on veut.

M. Nicolas Bonnet (EcoS). On ne fait pas plus ce que l’on veut avec Microsoft.

M. Sammy Sahnoune. Oui, nous sommes complètement d’accord sur ce point.

M. Jean-Michel Vansteene. Je vais donner quelques éléments pour l’Inrae. Nous avons bien réfléchi à la question de Linux sur le poste de travail. La marche est haute et nous n’y sommes pas encore. Une petite équipe va se constituer sur un de nos sites pour évaluer ce que signifierait un passage à Linux. Nous avons évidemment une communauté de chercheurs qui l’utilisent déjà, environ 5 à 10 %, qui sont convaincus. Par ailleurs, une petite équipe au sein de la DSI va réfléchir à ce que cela impliquerait à grande échelle.

Au-delà de ce qui a été dit, il y a la question des applications. La simplicité du déploiement d’un poste est, je pense, acquise. En revanche, les applications posent une réelle difficulté, certaines n’existant tout simplement pas sous Linux. Un autre sujet est le format des documents. Il nous faudrait repenser la conception de certains documents très dépendants d’Excel, Word ou PowerPoint, pour les rendre indépendants de la solution logicielle. C’est un travail à mener.

Enfin, il faut que nous arrivions à casser les modèles. La notion de commun numérique implique une communauté autour du libre. Nous devons repenser nos modèles de conception et de déploiement en mode communautaire, et non en silo, équipe par équipe. À vouloir cloisonner par petites équipes, nous n’arriverons pas à grandir ensemble. Il faut vraiment réfléchir à la manière de mettre en place des communautés et de mutualiser nos compétences pour construire l’avenir de nos solutions.

M. Baptiste Grigy. Ce n’est pas une excuse pour ne pas y aller, mais je voulais illustrer l’avance prise par les solutions, notamment américaines, en termes de facilité d’utilisation. En 2008, le top 10 des capitalisations boursières aux États-Unis comprenait des entreprises comme Exxon, Walmart et AT&T. Aujourd’hui, neuf des dix premières sont des géants du numérique : Nvidia, Apple, Alphabet, Microsoft, Amazon, etc., et leur capitalisation a été multipliée par dix. Cela montre que, sur les quinze dernières années, une avance énorme a été prise en termes de fonctionnalités, d’intégration et de complétude des solutions, ce qui rend extrêmement difficile, même avec beaucoup d’efforts et le logiciel libre, de rattraper ce retard.

M. Nicolas Bonnet (EcoS). La question est justement de réussir à impulser une dynamique pour que davantage de personnes se tournent vers le logiciel libre, afin que les communautés disposent de plus de moyens pour l’améliorer. Mais cela demande aussi un investissement interne à un moment donné. Certes, Windows est plus simple. Peut-être pas à installer, car Linux est facile à installer aujourd’hui, mais il y a la question des logiciels que l’on installe dessus. J’aurais été intéressé par des exemples de logiciels pour lesquels vous ne trouvez pas d’alternative fonctionnelle sous Linux, vous obligeant à rester sur Windows.

Sans négliger le fait que cela peut demander un investissement en temps plus important, j’ai l’impression que l’époque où il était difficile d’installer des pilotes est révolue. Il y a vingt-cinq ans, c’était effectivement compliqué, mais ce n’est plus le cas aujourd’hui. Je ne peux que vous inviter à regarder cela de près, car c’est en revenant collectivement vers le libre que celui-ci s’améliorera.

Mme Sophie-Laurence Roy, présidente. Messieurs, je vous remercie de votre disponibilité et de votre écoute. Cet échange était réellement très intéressant. Félicitations pour votre volonté de vous engager dans une recherche de sécurité et de souveraineté. Nous avons tous bien compris que la tâche est très difficile, que les entreprises françaises ne sont manifestement pas au niveau et qu’il faudra des efforts considérables si nous voulons concurrencer les États-Unis sur ce plan également.

* *

Table ronde, ouverte à la presse, sur les infrastructures numériques (jeudi 2 avril 2026)

La commission entend lors de sa table ronde sur les infrastructures numériques :

– Mme Ophélie Coelho, chercheuse associée à l’Institut des relations internationales et stratégiques (Iris), doctorante au CIS et au centre d’analyse et de recherche interdisciplinaires sur les médias (Carism-Paris-Assas) ;

– Mme Lou Welgryn, secrétaire générale de Data for Good et Mme Alexandra Lutz, chargée de plaidoyer ;

– Mme Francesca Musiani, directrice de recherche au CNRS, co-fondatrice et directrice du CIS

Mme Cyrielle Chatelain, rapporteure. Nous poursuivons les auditions de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique, et les risques pour l’indépendance de la France. Le président de la commission, M. Philippe Latombe, vous prie de l’excuser ; je présiderai la séance en son absence, en présence de plusieurs de nos collègues, que je remercie.

Cette table ronde portera notamment sur la question des infrastructures numériques, plus particulièrement les centres de données, mais également les câbles sous-marins, les réseaux et leur gouvernance. Je souhaite la bienvenue à Mme Ophélie Coelho, chercheuse associée à l’Institut des relations internationales et stratégiques (Iris) et doctorante au Centre internet et société du CNRS ; à Mme Lou Welgryn, secrétaire générale de Data for Good, et à Mme Alexandra Lutz, chargée de plaidoyer au sein de Data for Good ; enfin, à Mme Francesca Musiani, directrice de recherche au CNRS et directrice adjointe du CIS.

Je dois vous rappeler deux formalités propres aux commissions d’enquête. La première est de déclarer tout intérêt public ou privé de nature à influencer vos déclarations. La seconde, en vertu de l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires, est de prêter serment de dire la vérité, toute la vérité, rien que la vérité. Je vous inviterai donc chacune à votre tour à lever la main et à dire : « Je le jure ».

(Mmes Ophélie Coelho, Lou Welgryn, Alexandra Lutz et Francesca Musiani prêtent serment.)

Mme Alexandra Lutz, chargée de plaidoyer au sein de Data for Good. L’association que je représente a été fondée il y a dix ans et rassemble aujourd’hui huit mille bénévoles, spécialistes de la donnée et citoyens engagés. Notre ambition est de mettre le numérique au service de l’intérêt général.

Pour nous, la souveraineté numérique ne doit pas être confondue avec l’autarcie. La question est plutôt de savoir comment nous pouvons, en tant que citoyens, co-décider de notre avenir commun et, en l’occurrence, définir le numérique dont nous avons besoin.

Je souhaite d’abord commenter certains présupposés qui ont cours, tant au niveau européen que français. Le premier est que la localisation des infrastructures en France, notamment les centres de données, ne suffit pas à garantir notre souveraineté. Nous savons que 65 % à 70 % du marché du cloud sont contrôlés par trois hyper-fournisseurs américains : AWS, Microsoft et Google. L’idée reçue est que leur implantation en France nous permettrait de mieux les soumettre à notre juridiction. Pourtant, le constat est plutôt celui d’un mouvement de simplification que nous considérons comme une forme de dérégulation. Nos lois semblent s’adapter aux géants du numérique, et non l’inverse.

Nous observons au niveau européen un lobbying massif et gigantesque de la part de ces acteurs. Selon un rapport du Corporate Europe Observatory, qui a analysé les dépenses inscrites au registre de transparence de l’Union européenne, les montants investis par les géants du numérique dans le lobbying dépassent ceux des dix plus grandes entreprises des secteurs pharmaceutique, financier et automobile réunis. Le nombre de lobbyistes du secteur est supérieur à celui des députés européens et ils obtiennent en moyenne trois rendez-vous par jour au Parlement et à la Commission européenne. Il en résulte que le mouvement de simplification actuel affecte précisément les textes les plus contestés par les géants du numérique, à savoir le RGPD, le règlement sur l’IA, ainsi que de nombreuses protections environnementales et consultations citoyennes.

Nous pensons à tort qu’implanter ces acteurs en France suffirait à les contrôler. Nous constatons que cela ne les rend pas imperméables à l’extraterritorialité des lois étrangères. Je citerai deux exemples que vous connaissez probablement. Le premier est celui du juge Nicolas Guillou, qui, visé par un Executive Order du président Trump, ne peut plus accéder à aucun de ses comptes ni effectuer de paiements en ligne, se retrouvant de fait renvoyé aux années 1990. C’est un ressortissant français qui, bien qu’en France, n’a plus accès à rien. Le second exemple est la déclaration du représentant de Microsoft France devant une commission d’enquête du Sénat l’année dernière, affirmant que, si les États-Unis l’obligeaient, en vertu du Cloud Act, à transmettre des données, il serait contraint de le faire. Ces présupposés ne nous protègent donc pas par la simple relocalisation.

Face à ces observations, nous constatons qu’un travail législatif est en cours, que ce soit avec la loi de simplification de la vie économique ou la proposition de loi du Sénat sur l’implantation de centres de données. Selon nous, ces deux textes vont dans la mauvaise direction, car ils visent à supprimer des protections environnementales et des garanties de participation citoyenne au nom de la compétitivité et de la souveraineté. Le problème est que ces efforts s’inscrivent dans un contexte de monopole où certains acteurs dominent le marché. Supprimer des obligations ne fera que les renforcer, au lieu de permettre à de nouveaux entrants d’émerger. Par ailleurs, nous avons remarqué que la loi de simplification de la vie économique comportait une garantie de souveraineté ajoutée par votre chambre, qui n’a été reprise ni en commission mixte paritaire, ni dans la proposition de loi sur l’implantation des centres de données.

Le problème, à notre sens, est que nos efforts actuels révèlent une véritable incapacité, en France comme en Europe, à défendre et à créer notre propre modèle numérique. Nous souffrons d’une dépendance idéologique vis-à-vis du modèle américain, caractérisé par le gigantisme, l’hyperconcentration des infrastructures et l’extraction massive de données. Le but n’est pas de créer un équivalent européen aux géants américains, mais de dessiner un modèle européen propre, qui soit plus décentralisé et plus résilient.

Mme Lou Welgryn, secrétaire générale de Data for Good. Pour nous, la question de la souveraineté s’ancre dans celle de la résilience. Récemment, l’économiste Adrien Bilal a montré qu’un degré de réchauffement climatique entraînerait une perte de 23 % du PIB potentiel. Nous avons tendance à oublier cette réalité, le réchauffement climatique étant souvent éclipsé par les questions numériques, alors qu’il est fondamental.

La trajectoire que nous suivons en matière d’infrastructures en France est exponentielle. Pour rappeler quelques chiffres, la recherche de 63 nouveaux sites a été annoncée, ce qui représenterait l’équivalent de 28 gigawatts de puissance installée. Pour vous donner un ordre de grandeur, 28 gigawatts correspondent à la moitié de la puissance nucléaire installée en France. Ce gigantisme aura de forts impacts locaux : une augmentation de la consommation d’électricité, des tensions sur les ressources, sur les métaux, en perpétuant des logiques d’extraction, et d’énormes rejets de chaleur, aujourd’hui très peu récupérée en France, générant des phénomènes d’îlots de chaleur. Des études commencent à montrer une augmentation de plusieurs degrés à proximité des centres de données.

À l’échelle nationale, les infrastructures numériques représentent aujourd’hui environ 2,2 % de la consommation électrique française. Un nouveau rapport de l’Agence de la transition écologique (Ademe) indique que la tendance actuelle nous amène à une multiplication par 3,7 de cette consommation et conclut à l’incompatibilité totale de cette trajectoire avec l’accord de Paris. Les travaux du Shift Project mettent également en évidence les conflits d’usage à venir. Les besoins de la transition écologique exigent de plus en plus d’électrification, tandis que les tensions croissantes sur les ressources énergétiques pousseront également vers davantage d’électrification, ce qui risque de créer rapidement des conflits d’usage. Il convient aussi de nuancer l’argument selon lequel la France connaîtrait actuellement un surplus électrique ; cela ne préjuge en rien des conflits à venir lorsque ces infrastructures fonctionneront à pleine capacité, face aux besoins de la transition énergétique, notamment pour le chauffage et l’électrification des usages et des transports. Notre résilience est donc conditionnée par les ressources disponibles et notre capacité à les répartir équitablement. Or ces centres de données créent une tension sur cette capacité.

Le dernier point que nous souhaitions aborder et qui nous semble fondamental bien que peu discuté est la nécessité de questionner notre rapport au numérique et de sortir du mythe, largement instillé par le secteur, selon lequel la plupart de nos problèmes actuels pourraient être résolus par plus de numérique. Or celui-ci crée en réalité de nombreux problèmes qu’il faut ensuite résoudre. Il faudrait interroger la nécessité de concentrer tous les investissements dans de gigantesques centres de données, pour des usages qui sont en réalité souvent forcés, comme l’IA générative.

De plus, le numérique n’agit pas comme un levier de décarbonation. Une étude récente de l’Ademe a analysé 33 cas d’usage en France où le numérique était censé permettre de réduire les émissions. Ses conclusions sont que toutes les solutions envisagées n’offrent au mieux que des réductions marginales, entre 0,3 % et 2,2 % des émissions et ne font qu’accompagner des tendances existantes. Le numérique n’est donc absolument pas une solution en soi aux problèmes environnementaux. Il est important de garder cela à l’esprit lorsque nous promouvons ces technologies partout, car elles peuvent aussi créer de nouvelles vulnérabilités.

Finalement, cela nous ramène à la question du modèle numérique que nous voulons. Souhaitons-nous reproduire le gigantisme américain ou promouvoir un numérique beaucoup plus décentralisé, interopérable, fondé sur des protocoles ouverts, avec une portabilité qui permette aux utilisateurs de quitter rapidement un service pour un autre ? Cette réflexion doit partir des besoins réels et avérés des citoyens. Au lieu de les écarter, nous devons réintroduire beaucoup plus de démocratie dans la construction du numérique.

Mme Ophélie Coelho, chercheuse associée à l’Iris et doctorante au CIS. Je mène des recherches depuis plusieurs années sur les géants du numérique et plus généralement sur les questions de souveraineté numérique, bien que j’emploie peu ce terme. J’ai par ailleurs un parcours dans l’industrie du numérique depuis 2009, où j’ai occupé des postes de développement puis de chargée de projets, ce qui oriente ma recherche et ma compréhension du secteur.

Il faut souligner que le numérique est un secteur extrêmement complexe. Nous n’avons pas seulement affaire aux géants du numérique que l’on cite souvent ; il existe une grande complexité et de nombreuses couches techniques qui font interagir un écosystème complet. Cependant, ce n’est pas par facilité intellectuelle que j’ai orienté mon travail sur l’analyse de ces acteurs et de ce que j’ai fini par appeler un « impérialisme technologique » ou un « techno-impérialisme », selon les écoles. La raison en est que nous sommes face à un modèle technologique particulier, un modèle systémique qui concentre progressivement les capacités d’influence et de pouvoir.

Comment cela se manifeste-t-il ? Tout d’abord, ces entreprises (Google, Microsoft, Amazon Web Services (AWS), mais aussi des acteurs comme Equinix ou Digital Realty, leaders mondiaux des centres de données, ou encore des acteurs chinois comme Huawei ou Transsion pour le mobile en Afrique) jouent un rôle d’intermédiation. Elles constituent un levier de puissance en se plaçant entre les journalistes et leur public, les politiques et leurs électeurs, les commerçants et leurs clients, et parfois même entre les citoyens et les services publics. Cette position intermédiaire leur confère une puissance considérable, car elles peuvent orienter les flux de visibilité et de diffusion de l’information, en privilégiant certains contenus par rapport à d’autres.

Leur autre levier de puissance, souvent invisibilisé, est leur rôle de passerelle technique. Si l’on a beaucoup parlé de leur place d’intermédiaire, on a moins évoqué leur fonction de nœud de dépendance, de point de passage obligé au niveau de l’infrastructure logicielle et physique. Heureusement, ce sujet gagne en visibilité dans les débats publics depuis un an ou deux. En tant que passerelle technique, ils prennent possession et privatisent des nœuds importants sur presque toutes les couches technologiques. Partis du logiciel et du web, ils se sont progressivement étendus aux supports de mobilité (ordinateurs, mobiles), aux câbles sous-marins, aux satellites pour certains, et même à des couches réseau avec des réseaux privés qui se superposent aux réseaux existants, et aujourd’hui aux puces électroniques. Nous observons une prise de contrôle de passerelles techniques essentielles. Le leader en la matière reste Google qui, à l’exception des satellites, a déjà des positions fortes dans tous les domaines que j’ai cités.

Un autre de leurs leviers, très important, relève de l’intégration horizontale et verticale. D’une part, un levier transsectoriel : ils agissent de manière transversale sur les secteurs clés de la société, la santé, la sécurité, la mobilité, l’administration, l’éducation. Ils ont ciblé ces secteurs non seulement comme des marchés d’utilisateurs, mais aussi comme des points où s’établir en tant qu’intermédiaires et passerelles techniques. Ils ont également ciblé d’autres géants, comme les grandes banques, les grands groupes pharmaceutiques ou les grands opérateurs de télécommunications, qui ne sont d’ailleurs plus si « grands » aujourd’hui. Ils sont devenus des acteurs pesant dans la chaîne de valeur de tous les secteurs clés de la société moderne. D’autre part, l’intégration verticale, ou ce que l’on peut appeler un levier de puissance d’empilement technologique, leur permet de constituer progressivement un écosystème technique complet.

Tout cela mène à deux effets cumulatifs extrêmement puissants. Tout d’abord, la concentration progressive de l’activité au sein de ces acteurs ; ensuite, un levier écosystémique : une fois l’usage concentré au sein de leurs infrastructures et de leur modèle technologique, ils peuvent plus aisément diffuser certaines informations, certains usages et même certaines croyances portées par leurs technologies.

Pour ce faire, ils s’appuient sur ce que j’appelle des « passeurs de technologies ». Ce sont, par exemple, les sociétés de conseil, souvent américaines, mais aussi les développeurs formés à leurs technologies, qui ont été formés quasi exclusivement à des technologies propriétaires. Il est rare que ces profils connaissent bien les technologies open source ou européennes. Une fois sur le marché du travail, ces ingénieurs et techniciens deviennent les meilleurs ambassadeurs de ces géants, car leur accès à l’emploi dépend de ces technologies privées. Ils font carrière en tant que passeurs de technologies, ce qui a des implications importantes en matière de formation.

Ce levier écosystémique est extrêmement puissant. Il explique pourquoi ils ont ciblé les formations, avec des écoles, des certifications développées par leurs soins, allant jusqu’à la publication d’une brochure par le ministre de l’éducation nationale en partenariat avec Google Éducation. Ces modèles systémiques finissent par dominer un grand nombre d’usages et pèsent sur notre souveraineté. C’est pourquoi je n’emploie que peu le terme de « souveraineté numérique », qui me semble difficile à délimiter. Le véritable enjeu est de savoir comment ces leviers de puissance cumulés agissent sur notre souveraineté politique, c’est-à-dire sur notre capacité à choisir. Pour trouver des réponses, il est essentiel de comprendre et de bien repérer ces différents mécanismes.

Vous souhaitiez aborder la question de la Chine. Je parle d’impérialisme technologique, et il en existe plusieurs types. Nous avons beaucoup évoqué l’impérialisme de l’État néolibéral américain, qui collabore avec ses géants du numérique pour favoriser leur montée en puissance, notamment depuis 2001 avec les grands investissements dans le renseignement. Cependant, les États-Unis se trouvent aujourd’hui confrontés à des entreprises devenues si puissantes qu’ils peinent eux-mêmes à les réguler. Le trumpisme est, d’une certaine manière, une réaction à ce phénomène. Les récents procès antitrust contre Google, par exemple, n’ont pas eu de conséquences majeures, ce qui était prévisible.

Le modèle chinois est très différent. Il repose sur un choix clair de limiter la formation d’entités privées trop puissantes qui pourraient devenir des empires informels, à l’image des géants américains. Dans le domaine des câbles sous-marins, par exemple, c’est très parlant. Alors que de nombreux câbles appartiennent aujourd’hui à des géants américains systémiques, la Chine, voyant Huawei s’intéresser à ce secteur, a décidé de le maintenir sous le contrôle des opérateurs télécoms, partageant ainsi le pouvoir. Huawei reste néanmoins un acteur qui grandit, grâce à une certaine connivence et une proximité politique avec le parti-État. Ce sont donc deux modèles de gouvernance technologique différents, mais qui ne sont pas réplicables en Europe, ne serait-ce que parce que nous n’avons ni les mêmes marchés intérieurs, ni les mêmes pouvoirs structurels historiquement situés. Je m’arrête là pour laisser la parole.

Mme Francesca Musiani, directrice de recherche au CNRS et cofondatrice et directrice du CIS. J’ai cofondé il y a sept ans le CIS du CNRS, laboratoire interdisciplinaire à dominante sciences humaines et sociales. Vous avez déjà auditionné Mme Mélanie Dulong de Rosnay, cofondatrice de ce laboratoire avec moi. Je dirige actuellement ce laboratoire. Mes recherches portent en particulier sur les infrastructures numériques comme instruments de pouvoir. Je copilote actuellement deux projets sur la souveraineté numérique qui visent à décortiquer ce que différents acteurs, dans divers contextes nationaux et supranationaux, entendent par « souveraineté numérique » : quelles visions, quels discours, quels choix de conception et quelles technologies se cachent derrière ce mot-valise.

Si on observe les infrastructures numériques avec un prisme de sociologie des techniques, des sciences et de l’innovation, on constate qu’elles constituent aujourd’hui l’ossature, très souvent invisible pour les citoyens, de notre économie et de notre vie démocratique. Il s’agit à la fois d’infrastructures très physiques (centres de données, câbles sous-marins) et d’infrastructures relevant des services ou des protocoles. Ces éléments forment un ensemble interdépendant dont la robustesse conditionne le fonctionnement de secteurs aussi divers que l’énergie, la santé, la finance ou la défense.

Comme cette commission se propose de l’investiguer, il existe plusieurs dépendances structurelles à ces infrastructures. Premièrement, des dépendances technologiques : une part significative de ces équipements critiques (matériel, réseaux, semi-conducteurs, solutions logicielles) est conçue et produite hors d’Europe, ce qui limite notre capacité à maîtriser l’ensemble de la chaîne de valeur.

Deuxièmement, une dépendance, particulièrement européenne, aux grands fournisseurs de services numériques, notamment dans le domaine du cloud, où les acteurs non européens concentrent aujourd’hui la majorité des capacités de stockage et de calcul. Cette concentration pose des enjeux économiques, stratégiques et, bien sûr, juridiques, avec la question centrale de l’extraterritorialité du droit.

Troisièmement, une vulnérabilité physique et géographique. Les câbles sous-marins, les points d’échange internet (Internet Exchange Points), qui sont une part stratégique de l’infrastructure bien que moins visibles, ainsi que certains centres de données, constituent des points névralgiques dont la perturbation, qu’elle soit volontaire ou accidentelle, peut avoir des effets systémiques.

Quatrièmement, une dépendance aux compétences et aux ressources humaines. La capacité à concevoir, sécuriser et opérer ces infrastructures repose sur des expertises spécifiques, parfois rares, dans un contexte de forte concurrence internationale pour les talents.

Trois axes d’action méritent une attention particulière. Tout d’abord, le renforcement de la souveraineté capacitaire européenne suppose d’investir dans des technologies critiques, du cloud aux semi-conducteurs et à la cybersécurité. Il faut également soutenir des alternatives crédibles, interopérables et compétitives à l’échelle de l’Union européenne.

Ensuite, il s’agit de diversifier et de sécuriser les dépendances existantes. L’objectif n’est pas nécessairement l’autarcie, mais la capacité à éviter les situations de dépendance univoque. Cela peut passer par des stratégies multifournisseurs, des exigences accrues de transparence envers les acteurs dominants et des mécanismes de réversibilité effectifs.

Enfin, il faut renforcer la résilience des infrastructures. Cela passe par une meilleure cartographie des risques, des investissements dans la redondance, la protection physique des installations critiques et une coordination renforcée entre acteurs publics et privés aux niveaux national et européen.

Ces approches pragmatiques se heurtent à une tension fondamentale : d’un côté, les dynamiques d’ouverture qui ont fait la force d’internet ; de l’autre, la maîtrise et le contrôle qui conditionnent la capacité d’un acteur à agir de manière autonome dans un environnement stratégique de plus en plus concurrentiel. La question est peut-être moins de savoir s’il faut être dépendant ou non, mais plutôt de déterminer dans quelles conditions il est possible, raisonnable et stratégique d’accepter une part de cette dépendance, et avec quelles garanties de contrôle, de sécurité et de réversibilité, tout en établissant des niveaux de transparence adaptés à chaque acteur.

Mme Cyrielle Chatelain, rapporteure. Vos travaux montrent un investissement massif des géants du numérique dans les câbles. Quels sont leurs objectifs et quel est, selon vous, l’état des lieux de la propriété de ces câbles, entre opérateurs privés et opérateurs publics ? La même question se pose pour les centres de données que vous voyez se construire en France. Nous avons déjà fait face à des bonds technologiques accompagnés par de nouvelles infrastructures, que ce soit dans les télécoms ou les transports. Est-ce la première fois que des acteurs économiques exercent une telle maîtrise sur des infrastructures clés ? En d’autres termes, le niveau de dépendance vis-à-vis d’acteurs économiques est-il particulièrement élevé dans le cadre de ce nouveau bond technologique ?

Par ailleurs, en quoi le fait que des opérateurs privés et monopolistiques détiennent les infrastructures peut-il impacter ou contraindre nos usages ? Vous avez notamment évoqué le protocole Quick UDP Internet Connections (QUIC), qui illustre comment certaines normes peuvent s’imposer à tous.

Mme Ophélie Coelho. Effectivement, la situation des câbles sous-marins a beaucoup évolué. Sans refaire tout l’historique, l’accélération de la présence des géants du numérique dans ce secteur date des années 2010. Plusieurs raisons expliquent ce phénomène : leur consommation croissante de capacité, l’intérêt économique à posséder ces infrastructures, et sans doute une volonté de contrôler l’ensemble de la pile technologique, d’autant qu’ils avaient déjà une expérience des réseaux terrestres aux États-Unis.

Cette tendance s’est accélérée ces dernières années, avec des capacités de câbles qui atteignent désormais des centaines de térabits, une échelle sans commune mesure avec la capacité d’un térabit d’il y a quelques années. La différence majeure réside dans la structure de propriété. Auparavant, nous avions des consortiums d’opérateurs de télécommunications, dont la responsabilité et les choix étaient partagés entre dix à vingt partenaires, avec une hiérarchie entre les plus gros investisseurs et les plus petits. Aujourd’hui, la configuration a changé : nous avons soit des consortiums beaucoup plus restreints, soit des propriétés uniques. Google, par exemple, possède plus de 30 câbles, et bientôt près de 40 avec ses nouveaux projets dans l’Indopacifique. La moitié de ses câbles lui appartiennent en propriété unique, ce qui est inédit dans ce secteur. Meta est un peu en retrait, avec deux ou trois câbles en propriété unique. Le reste de leurs investissements se fait au sein de consortiums, certes plus petits qu’auparavant, mais où les choix restent partagés.

Pour l’anecdote, sur un câble comme 2Africa, qui fait le tour du continent africain, les entreprises américaines n’hésitent pas à s’associer avec des entreprises chinoises. On y retrouve Meta aux côtés de China Telecom, ainsi que d’autres partenaires comme le sud-africain MTN, qui, bien que présents dans le consortium, ont moins de poids dans les décisions.

Au-delà du nombre de câbles, il faut considérer l’évolution de leurs capacités. En 2021, environ 28 % de la capacité mondiale appartenait aux géants du numérique. Aujourd’hui, nous avons dépassé le quart pour approcher le tiers, et je pense que d’ici dix ans, ils pourraient détenir la moitié de la capacité totale en termes de puissance. C’est un changement énorme.

De plus, ils n’utilisent pas ces câbles uniquement pour leurs propres besoins. Contrairement à ce que certains experts du secteur laissent parfois entendre, ces câbles ne servent pas seulement à gérer leur propre activité. Il ne s’agit pas de câbles sous-marins dédiés uniquement à leurs logiciels, à leurs données ou aux données qui transitent via leurs produits. Non, pas du tout. Ils nouent des partenariats avec des opérateurs de télécommunications locaux, auxquels ils sous-louent une partie de la capacité du câble. Ils deviennent ainsi des passerelles techniques importantes, des nœuds de dépendance qui n’influencent pas seulement leur propre activité, mais l’ensemble de l’écosystème, tant au niveau du web que des télécoms. Ces partenariats prennent la forme de droits irrévocables d’usage, des contrats d’une durée en général de 15 à 20 ans, soit presque toute la durée de vie d’un câble, qui est d’environ 25 ans.

Ce mécanisme de dépendance, fondé sur une intégration verticale, influe sur l’ensemble de l’écosystème numérique. Un exemple frappant est la coupure de câbles survenue en Afrique de l’Ouest en 2024. Quatre câbles historiques ont été sectionnés, privant treize pays africains d’internet. Ce sont les câbles Equiano, de Google, et 2Africa, le consortium incluant Meta et China Telecom, qui ont récupéré la majeure partie du trafic. Cet événement montre que c’est souvent dans les moments de crise qu’ils renforcent leur position et deviennent des partenaires indispensables, à l’instar de ce que l’on a pu observer avec Starlink, bien que ce dernier n’opère pas à la même échelle de puissance.

Mme Alexandra Lutz. L’objectif de cette expansion en termes d’infrastructures, notamment pour les centres de données, s’inscrit dans la même logique. Pour un acteur économique, il s’agit bien sûr de gagner des parts de marché et de s’enrichir, mais aussi de capter un maximum de données. Comme vous l’avez vu hier lors de l’audition sur le profilage, l’accès à de vastes quantités de données est ce qui a permis à des entreprises comme Google de créer de la valeur et de nouvelles solutions.

Le danger réside dans le fait que le contrôle de ces infrastructures leur donne accès à toutes ces données et donc une capacité accrue de profilage des personnes. Cela peut entraîner des discriminations et des usages très graves. Aux États-Unis, par exemple, des applications de type Uber pour les infirmières permettent aux hôpitaux de recruter du personnel de manière flexible. Ces applications personnalisent entièrement la rémunération des infirmières indépendantes en fonction de leur situation personnelle. En analysant leur score de crédit, l’application peut identifier les personnes en situation financière précaire et leur proposer des tarifs plus bas, sachant qu’elles seront susceptibles d’accepter n’importe quel prix. C’est une remise en cause grave du droit du travail, fondée sur le profilage.

Un autre exemple concerne l’administration Trump, qui a acheté des données ciblées sur des femmes effectuant des recherches sur des cliniques d’avortement. Dans les États où l’avortement est interdit, ces données sont utilisées pour identifier les personnes ayant potentiellement eu recours à une IVG.

Ces exemples très concrets montrent comment les États peuvent s’intéresser à ces données pour exercer une répression politique. Nous avons également les exemples, dans le champ démocratique, d’acteurs étrangers qui achètent des données pour influencer des élections en ciblant des personnes sur la base de leur profil.

Tout cela démontre l’immense intérêt qu’il y a à contrôler ces données pour pouvoir transformer la réalité. La dépendance actuelle vis-à-vis de ces acteurs est bien plus grande que par le passé. Tous nos secteurs clés et notre économie dépendent des infrastructures numériques. Si ces acteurs prenaient une décision unilatérale, cela ne signifierait pas seulement ne plus avoir accès à son téléphone, mais potentiellement ne plus avoir accès aux services publics, aux services bancaires ou aux données des entreprises.

Mme Lou Welgryn. Pour compléter sur la question du forçage des usages, une étude du collectif Limites numériques a montré que jamais une fonctionnalité n’avait été autant poussée que les IA génératives. Tout un imaginaire est construit autour de cela, avec la couleur violette pour évoquer la magie ou des émoticônes pour faire croire à un processus magique. Les acteurs poussent ces fonctionnalités sans même qu’elles soient demandées. Par exemple, dans de nombreux pays, une recherche de recette sur Google affiche désormais un résumé engendré par Gemini AI que l’utilisateur n’a absolument pas sollicité. Tous ces usages forcés viennent justifier une augmentation de la demande, qui à son tour justifie une augmentation des infrastructures, créant ainsi un cercle vicieux.

Sur le caractère inédit de la situation, il est intéressant de noter que le premier usage de ChatGPT est la conversation, y compris pour des discussions intimes. Jamais dans l’histoire une entreprise privée n’a eu accès à une telle part de la psyché humaine. Cela pose la question de la capacité de manipulation de l’information, en rappelant que ces algorithmes sont politiquement orientés ; il n’existe pas d’algorithme neutre. De plus en plus, ces grandes entreprises américaines poursuivent des objectifs idéologiques. On le voit avec X, où une étude a prouvé que lors des élections municipales françaises, l’algorithme a amplifié la visibilité de certains candidats, comme Sarah Knafo. Une autre étude, publiée récemment dans Nature, a montré que les plateformes X et TikTok poussent les utilisateurs vers des contenus conservateurs. Des biais existent, ils sont intrinsèques à ces algorithmes et portent des idéologies à une échelle inédite.

Mme Francesca Musiani. Internet repose sur une architecture en couches que l’on peut résumer en quatre niveaux. La première couche est physique : les câbles sous-marins et terrestres, ainsi que les centres de données, où s’effectue le transport concret des données. La deuxième couche est celle des protocoles de base, ces langages qui permettent aux machines de communiquer entre elles. L’Internet Protocol (IP) est le protocole commun par excellence. Le système de noms de domaine (DNS), qui est l’annuaire d’internet, constitue un autre élément critique de cette couche, en assurant une correspondance fiable entre les adresses URL que nous utilisons et les adresses numériques des ressources. La troisième couche est celle des services d’infrastructure, notamment le cloud, qui fournit stockage et puissance de calcul à la demande. Enfin, la quatrième couche est celle des applications et des plateformes – messageries, réseaux sociaux, moteurs de recherche – où se concentrent traditionnellement les débats sur la régulation du numérique.

Chacune de ces couches est gouvernée par des acteurs différents, avec de fortes interdépendances qui ne sont pas toujours transparentes pour le citoyen, ni même pour les régulateurs. Là où la situation est inédite, c’est que nous observons une concentration significative du pouvoir à chacun de ces niveaux. Pour la couche physique, comme nous l’avons dit, les câbles, historiquement opérés par des consortiums d’opérateurs télécoms, le sont de plus en plus par de grandes entreprises privées comme Google et Meta, qui sont les seules à avoir la force de frappe pour investir dans ces infrastructures devenues trop stratégiques pour elles.

Sur la couche des protocoles, la gouvernance est traditionnellement plus distribuée, avec des organisations comme l’Internet Corporation for Assigned Names and Numbers (ICANN) pour les noms de domaine ou l’Internet Engineering Task Force (IETF) qui élabore les standards techniques. Toutefois, des études montrent que même dans ces espaces, certains acteurs disposent de fait d’une capacité d’influence supérieure, liée à leurs importantes ressources techniques, humaines et économiques.

Sur la couche des services, on retrouve une très forte concentration autour de quelques grands acteurs : Amazon Web Services, Microsoft Azure et Google Cloud. Sur la couche applicative, nous connaissons bien les grandes plateformes qui structurent l’accès à l’information.

On en vient ainsi aux usages contraints et aux différentes formes de pouvoir qui en découlent. Il y a d’abord un pouvoir de contrôle de l’accès. La gestion du DNS permet, en pratique, de rendre un service accessible ou non. De même, les fournisseurs d’infrastructures peuvent suspendre un service, avec des effets immédiats et globaux.

Il y a ensuite un pouvoir de modération et de hiérarchisation des contenus, parfois de leur « dévisibilisation », particulièrement visible au niveau des plateformes. Les règles de modération et les algorithmes de recommandation déterminent en grande partie ce qui est visible ou invisible dans l’espace public numérique.

Il existe également un pouvoir de définition des standards. Les acteurs qui participent à l’élaboration des protocoles au sein de l’IETF ou d’autres organisations, ou qui imposent des standards de fait, comme Google avec le protocole QUIC, contribuent à définir les règles du jeu, des formats de données aux niveaux de sécurité.

Enfin, il y a un pouvoir sur la confidentialité et les données. Les choix d’architecture (centralisation, décentralisation, fédération, chiffrement, localisation des données) déterminent concrètement le niveau de protection de la vie privée. Ces choix, souvent inscrits dans la technique elle-même, sont difficiles à contester une fois mis en place.

Comprendre qui contrôle les différentes strates d’internet et comment, c’est comprendre où s’exerce le pouvoir aujourd’hui. Ce qui est inscrit dans les architectures et les infrastructures peut effectivement contraindre les usages, mais peut aussi, pour ne pas être trop pessimiste, offrir une base de possibilités. L’inscription dans la technique peut aussi servir à libérer et à protéger, pas seulement à imposer un contrôle.

M. Nicolas Bonnet (EcoS). Vous décrivez bien comment, à force de développer de nouveaux systèmes fondés sur l’informatique, nous nous sommes simplifiés la vie, mais nous nous sommes aussi mis dans une situation de dépendance. Il s’agit de trouver un équilibre entre la performance, sur laquelle nous avons beaucoup misé jusqu’à présent, et les dépendances que nous avons créées.

Peut-on aujourd’hui faire de l’intelligence artificielle sans les puces de Nvidia ? J’ai l’impression que non. Ne sommes-nous pas, chaque fois que nous faisons de l’IA, entre les mains d’une seule et même entreprise d’un point de vue matériel ? Par conséquent, ne faudrait-il pas exiger que tous les logiciels intégrant des fonctionnalités d’IA puissent continuer à fonctionner de manière normale si l’IA est désactivée ? L’IA serait une option, mais le logiciel resterait fonctionnel même si l’accès aux ressources nécessaires à son fonctionnement venait à manquer.

Concernant les centres de données, vous avez évoqué le fait que leur multiplication en France n’apportait pas forcément grand-chose au pays. Pourriez-vous développer ce point ? Lorsqu’un centre de données est géré par l’un des trois grands acteurs que vous avez cités, qu’il soit en France ou ailleurs, on ne voit pas bien ce que cela change, si ce n’est peut-être une plus grande rapidité d’accès. Cela ne nous garantit pas que nos données y seront stockées, ni que nous pourrons aller les récupérer sur un disque dur. Pour les centres de données qui n’appartiennent pas à Google, Amazon ou Microsoft, que peut-on espérer y trouver majoritairement ? S’agira-t-il vraiment de services qui améliorent notre quotidien, comme des IA pour les soins de santé, ou se retrouvera-t-on avec des contenus plutôt ludiques ? En somme, que peut nous apporter le fait d’avoir de nombreux centres de données en France ?

Mme Ophélie Coelho. Concernant les puces, d’autres entreprises, notamment Google, avancent dans la conception de puces sans posséder d’usines. Il est toujours possible de rattraper un retard ; c’est une question de choix politiques et industriels forts, de moyens et de temps, plus que de capacité d’ingénierie. Il y a quelques années, on considérait que la Chine ne pourrait pas rattraper son retard technologique ; aujourd’hui, elle a bien avancé sur les puces. L’idée qu’une entreprise en situation de monopole est irrattrapable en termes d’ingénierie est donc discutable. En termes de capitalisation, c’est une autre histoire. Nous avons affaire aux plus hautes capitalisations boursières, et les règles des grands fonds indiciels cotés en bourse réorientent systématiquement l’argent vers elles. Nous n’allons pas créer un géant européen du numérique demain, et ce n’est d’ailleurs pas souhaitable. En revanche, en Europe, nous avons toutes les compétences en ingénierie pour le faire. C’est un choix politique de réorienter les achats vers des acteurs européens et de les accompagner pour répondre aux besoins, par exemple avec des modèles d’IA générative européens.

Concernant les centres de données, ce qui motive aujourd’hui l’implantation de grands campus en Europe est effectivement le déploiement de l’IA générative. Mais ce ne sont pas les outils européens qui en bénéficieront en premier lieu. Les acteurs dominants du marché avancent très vite sur ce segment pour prendre de court les acteurs européens. Ils proposent des formations à toutes les grandes entreprises pour les faire passer de leur cloud aux composants d’IA générative intégrés. Pendant ce temps, nous acceptons l’implantation de centres de données calibrés en majorité pour leurs technologies. Je ne dis pas qu’il n’y aura pas un usage dédié aux entreprises européennes (Mistral AI, par exemple, a l’intelligence de créer ses propres infrastructures), mais le déséquilibre est tel que les effets d’entraînement ne favorisent pas une récupération des usages et des clients par les technologies européennes.

Il faut aussi se poser la question des usages. Avons-nous vraiment besoin d’IA générative pour tout ? La réponse est clairement non, surtout quand on dépend à ce point d’entreprises privées soumises à des droits extraterritoriaux.

Sur la question de la valeur, ces centres de données en rapportent-ils ? Oui, ils créent de la valeur, mais pour qui ? Assez peu pour les pays européens qui les accueillent, car les grandes multinationales font tout pour ne pas payer d’impôts, un problème que nous n’avons pas réglé. En termes de valeur nette, nous sommes plutôt clients : nous leur donnons de l’argent tout en acceptant que leurs infrastructures puisent dans les ressources de nos territoires, que ce soit l’énergie ou l’eau. Même les gens du secteur admettent que les besoins en ressources vont augmenter, sans pouvoir dire de combien. C’est pour cela que les débats sont si vifs : nous n’avons pas les données. Nous ne savons pas comment les usages de ces infrastructures vont évoluer. Le retard est tel que Bruxelles a dû demander l’année dernière une remontée de données au niveau européen. Pourtant, les investissements sont déjà sur la table et les implantations en cours, sans aucun débat public digne de ce nom. La valeur ne va pas dans les poches de l’Europe, mais dans celles des grandes entreprises technologiques et de leurs investisseurs, qu’il s’agisse de BlackRock, Vanguard, Andreessen Horowitz, ou d’investisseurs émiratis ou chinois.

Enfin, sur la question des dépendances, il faut se demander comment en sortir. J’ai tendance à dire qu’il faut instrumentaliser l’interdépendance, comme le font les empires étatiques et technologiques. Ils utilisent nos dépendances comme des leviers de puissance. Nous pouvons faire de même, à la fois pour nous défendre et pour adopter une posture plus offensive. Cela commence par une mesure de nos dépendances. On en parle depuis des années et des projets commencent enfin à émerger, comme l’indice de résilience numérique (IRN) ou un observatoire au niveau de l’État pour l’administration.

Le problème est que si l’IRN ne sert pas à définir une feuille de route au niveau de l’État, il sera totalement inutile. Il se réduira à une société de conseil parmi d’autres, offrant des prestations aux entreprises ou formant d’autres cabinets de conseil. Aucune information ne remontera pour permettre l’élaboration d’une véritable feuille de route étatique. Il faut donc accompagner l’IRN, mais il est surtout impératif de l’intégrer à un observatoire public. Il faut prévoir dès le départ, dans les contrats qui utiliseront la méthodologie IRN, qu’une partie des données devra être transmise à l’État. J’estime que cette obligation est indispensable si nous voulons utiliser cet indice comme un outil de politique industrielle. Pour l’instant, cette condition n’est pas posée. J’en ai discuté avec les fondateurs de l’initiative et la question reste ouverte, mais il appartient à l’État de prendre cette décision et d’orienter le dispositif dans cette direction.

En ce qui concerne la dimension défensive, une fois que la mesure des dépendances nous aura permis de définir les points sur lesquels agir, nous pourrons déterminer les aspects à protéger en priorité. L’approche sectorielle constituera, dans tous les cas, la première étape. En effet, il n’est ni possible, ni cohérent, ni réaliste de vouloir entraîner l’ensemble du tissu économique dans une transition technologique. Il faut donc cibler les secteurs clés de la société : l’éducation, l’énergie, la mobilité, la sécurité, l’administration. La tâche est déjà considérable. On peut ensuite étendre le périmètre à d’autres domaines, comme la santé, où notre indépendance numérique est d’ailleurs particulièrement faible.

Mme Lou Welgryn. Il est important de rappeler les impacts locaux que les centres de données peuvent avoir et de déconstruire les mythes qui les entourent. On parle beaucoup du nombre d’emplois créés, mais en réalité, bien que les données soient très difficiles à obtenir, il s’agit de très peu d’emplois locaux. Sur la question de la fiscalité, les bénéfices réels pour les collectivités locales restent à démontrer.

Il faut également considérer les conflits d’usage locaux, car les infrastructures de centres de données sont très concentrées géographiquement et peuvent progressivement engendrer des tensions. Ce phénomène a déjà été observé à Marseille par le collectif « Le nuage était sous nos pieds », qui a montré que la demande en électricité des centres de données du port entrait en concurrence avec l’électrification des ferries. Ces derniers, faute d’être électrifiés, génèrent une pollution locale considérable. Un surplus sur le réseau électrique national n’exclut pas des conflits locaux sur l’accès à l’électricité, qui impliquent également une mise à niveau du réseau et de nombreuses transformations. Tous ces impacts locaux doivent être pris en compte.

Je voudrais aussi revenir sur le terme d’« amélioration du quotidien ». Sans nier que l’intelligence artificielle puisse avoir des impacts positifs dans certains domaines précis, il faut clarifier qu’il n’est pas du tout acquis qu’elle améliore globalement notre quotidien. Si je prends l’exemple du travail, ce que nous observons aujourd’hui est plutôt une intensification pour certaines personnes, avec une concentration accrue des tâches et davantage de sollicitations, ainsi qu’une précarisation pour de nombreuses autres. Les plus jeunes rencontrent des difficultés d’emploi, et certains métiers, comme la traduction, sont massivement précarisés. Tous ces éléments doivent être considérés lorsqu’on évalue les impacts généraux de ces infrastructures et de leur hégémonie dans la société.

Il existe aussi des dépendances cognitives et affectives créées par des outils dont le modèle économique repose sur l’économie de l’attention et vise à créer une forme d’addiction pour générer de l’usage. Il est essentiel de le rappeler. Sur la question de l’intérêt de ces technologies, nous sommes convaincus qu’il y a un enjeu majeur à introduire plus de démocratie dans ces choix. Vous parliez de différencier les usages récréatifs des usages utiles. Aujourd’hui, ces infrastructures et ces usages nous sont imposés. Nous avons besoin d’un débat national pour déterminer ce que nous voulons en faire et quel rôle nous souhaitons qu’elles jouent dans la société. Or nous prenons actuellement la trajectoire inverse, en supprimant toutes les réglementations qui favorisaient un débat, tant local que national. Nous souhaiterions que ce débat soit beaucoup plus vigoureux, afin que les citoyens puissent participer à des décisions qui impactent fondamentalement leur vie.

Mme Alexandra Lutz. Pour compléter, la question que vous posez est celle du modèle que nous souhaitons promouvoir. L’objectif n’est pas simplement de remplacer les hyperscalers américains par des hyperscalers européens ; ce n’est pas du tout le modèle que nous recommandons. Il s’agit plutôt de déterminer comment les investissements, notamment publics, peuvent renforcer un modèle bénéfique pour le plus grand nombre. Nous croyons beaucoup aux communs numériques, les digital commons, et à la nécessité d’insister sur l’interopérabilité, les standards et les architectures ouvertes sur lesquelles un maximum d’acteurs peuvent s’appuyer. Si davantage de petits acteurs européens très compétents pouvaient se connecter et proposer leurs services, cela permettrait de mieux répartir le pouvoir et la capacité de contrôle. Il faut rappeler qu’au niveau européen, 99 % des entreprises sont des PME. C’est ce tissu qu’il faut soutenir, plutôt que de tout miser sur quelques géants.

Ensuite, pour évoquer les leviers d’action, je suis convaincue que la réglementation oriente le modèle que nous choisissons ; elle n’est pas une simple contrainte à simplifier ou un problème. L’Europe a été, jusque très récemment, très fière de son pouvoir réglementaire, notamment du Brussels effect, sa capacité à réguler la big tech. Nous avons été fiers du règlement sur les services numériques (DSA) et du règlement sur les marchés numériques (DMA). La question est donc de savoir comment préserver et renforcer ces acquis. Plusieurs textes sont en discussion au niveau européen. On peut notamment s’interroger sur la manière de réformer les marchés publics pour que le prix ne soit plus le seul critère de choix, mais pour y intégrer également un critère de souveraineté afin de renforcer nos capacités et de socialiser davantage les bénéfices. Plutôt que d’investir dans des infrastructures dont la valeur est ensuite captée par des acteurs privés qui concentrent nos données et en contrôlent l’usage, nous pourrions orienter ces investissements pour qu’ils deviennent des biens communs accessibles à tous.

La question de renforcer le critère de souveraineté est centrale. Nous avons l’exemple du Buy American Act et nous pourrions nous en inspirer au niveau européen. Un premier texte, le règlement d’accélération industrielle, commence à aborder la définition d’un critère de souveraineté, même si sa portée, qui inclut pour l’instant tous les pays européens et ceux avec qui nous avons des accords commerciaux, est peut-être un peu large. Quoi qu’il en soit, l’enjeu est de socialiser les bénéfices de ces investissements. Surtout, je pense qu’il faut renforcer des textes comme le RGPD, en insistant sur la minimisation des données, la portabilité et le consentement. La définition de la donnée personnelle est actuellement discutée au niveau du Conseil et du Parlement européen, et nous espérons vivement qu’elle restera solide. Si cette définition était revue pour considérer la donnée personnelle comme une « vue subjective de l’esprit », sa protection deviendrait très compliquée. Enfin, un texte très prometteur pourrait voir le jour, le Digital Fairness Act, qui permettrait de réfléchir à un internet plus juste et équitable. Dans ce cadre, nous pourrions envisager de nombreuses mesures, comme la lutte contre les dark patterns, mais aussi le renforcement de l’interopérabilité et la mise à disposition de plus d’outils pour les consommateurs et les citoyens, afin qu’ils ne soient pas complètement contrôlés par les infrastructures numériques.

Mme Francesca Musiani. Pourquoi avons-nous adopté si massivement des solutions extra-européennes ? Elles se sont imposées parce qu’elles étaient jugées plus performantes, plus intégrées et plus compétitives par les acteurs qui devaient les adopter. Cela s’est produit à une époque où les équilibres géopolitiques étaient très différents d’aujourd’hui ; notre relation avec les États-Unis, que ce soit au niveau des pouvoirs publics ou des entreprises, n’était pas celle que nous connaissons aujourd’hui. La dépendance actuelle résulte en grande partie de choix qui semblaient rationnels à court terme, dans un contexte temporel et géopolitique spécifique.

Aujourd’hui, cela se traduit par des effets de verrouillage très puissants. Une partie du problème réside dans le coût de sortie de ces solutions. Opérer un rattrapage et faire autrement est un choix politique, et tout est possible. Cependant, l’un des obstacles majeurs à une stratégie de sortie est précisément ce coût. Il existe des dépendances techniques, organisationnelles et contractuelles qui enferment durablement les acteurs.

Ce qui se passe actuellement dans le secteur de l’enseignement supérieur et de la recherche est assez éloquent à cet égard. Il est difficile de sortir de Zoom ou de Teams, qui sont devenus les plateformes principales mises en place après la pandémie pour assurer la continuité de notre vie professionnelle. Certains acteurs, comme le CNRS, peuvent s’en sortir à relativement court terme ; son contrat avec Zoom se terminait fin mars et il passe désormais à des solutions et d’autres outils d’une suite numérique souveraine. En revanche, d’autres secteurs sont bloqués pour plus longtemps. Je discutais récemment avec des agents du ministère de la culture qui m’expliquaient qu’ils seraient liés à des outils Microsoft pendant encore quatre ans, si mes souvenirs sont bons, car le contrat venait d’être signé. Il faudra attendre l’échéance de ce contrat pour pouvoir envisager une sortie. C’est un aspect qu’il me semble important de souligner.

Mme Cyrielle Chatelain, rapporteure. J’aimerais approfondir les pistes que vous avez esquissées. Nous voyons bien le double monopole et ses effets, mais quelles sont les pistes de sortie, même à moyen terme ? Je suis consciente qu’à ce stade, les données sur le niveau de dépendance sont potentiellement partielles.

Vous avez évoqué la nécessité de se concentrer sur certains domaines. À l’inverse, lorsque vous parlez de renforcer la souveraineté capacitaire en décrivant les différentes couches technologiques, y a-t-il des couches sur lesquelles il serait plus intéressant que d’autres de développer nos capacités ? Par exemple, vous avez mentionné la difficulté de passer du câble au satellite. Faut-il en déduire qu’il serait plus pertinent de se concentrer sur le logiciel ? Si nous devions élaborer une stratégie industrielle planifiée, sur quelles couches technologiques serait‑il le plus intéressant de commencer ?

De la même manière, vous avez souligné l’intérêt d’exiger plus de transparence. L’open source vous semble-t-il un outil intéressant à cet égard ? Y aurait-il un intérêt à demander davantage de transparence aux géants de la tech ?

Enfin, vous avez parlé des communs numériques. Une fois ces capacités développées, quelle gouvernance mettre en place pour ne pas retomber dans le piège que vous décrivez, à savoir la création d’un nouveau géant du numérique européen qui ne ferait que déplacer le monopole ?

Mme Francesca Musiani. Je pense que le secteur du cloud est un exemple particulièrement intéressant, car c’est l’un des domaines où la dépendance est la plus fortement ancrée, comme nous l’avons constaté à plusieurs reprises aujourd’hui. Il est très pertinent de continuer à se poser la question de savoir comment établir des clouds de confiance et sous quelles conditions. Ces questions sont d’ailleurs au cœur d’un groupe de travail sur la sécurité du cloud à l’Académie des technologies.

Nous avons là un exemple concret avec des référentiels comme SecNumCloud, proposé par l’Agence nationale de la sécurité des systèmes d’information (Anssi), qui définit un cadre exigeant visant à garantir un niveau de sécurité élevé en matière de gouvernance, d’exploitation et de protection des données. On reconnaît par ailleurs la nécessité, pour le moment, d’ouvrir ce référentiel à des solutions de cloud hybride. Ces solutions reposent sur des technologies non européennes mais sont opérées par des acteurs européens. On tente ainsi d’aller dans la direction d’une augmentation de nos capacités, en conciliant plusieurs objectifs : la sécurité, la compétitivité et l’accès aux meilleures technologies disponibles. Nous reconnaissons en quelque sorte une réalité industrielle tout en essayant de l’encadrer de manière maîtrisée.

Cependant, il faudra continuer à travailler sur plusieurs compromis importants. Le premier est la distinction entre le contrôle de l’exploitation et la maîtrise de la technologie. Pour le cloud, c’est emblématique, mais cela s’applique à d’autres domaines. Le modèle du cloud hybride repose sur l’idée qu’on peut sécuriser l’usage d’une technologie en encadrant strictement son exploitation, par exemple via la localisation des données ou une gouvernance européenne du contrôle d’accès. Toutefois, on voit les limites de ce modèle lorsque la technologie reste contrôlée par un acteur soumis à un droit étranger. Dans le cas du cloud, le Cloud Act américain peut toujours s’appliquer, ce qui crée des zones d’incertitude juridique difficiles à lever complètement. Le contrôle de l’exploitation ne garantit pas nécessairement une pleine autonomie stratégique si la dépendance technologique demeure.

Le deuxième point est notre capacité non seulement à maîtriser ces technologies, mais aussi à les auditer. Cela nous ramène à la question de la transparence, et de la transparence pour qui. Il s’agit d’environnements complexes reposant sur des logiciels propriétaires. Il est difficile d’avoir une visibilité complète sur les mécanismes internes, la gestion des accès ou les mises à jour. Cela pose des questions de vérifiabilité.

Une troisième question concerne les effets à long terme de nos choix normatifs. En validant la possibilité de ces modèles hybrides, le référentiel SecNumCloud permet de répondre à des besoins immédiats, ce qui relève du choix rationnel. Cependant, on risque aussi de renforcer indirectement la dépendance aux technologies extra-européennes en rendant leur intégration dans des environnements sensibles plus acceptable et durable. Ne sommes-nous pas en train de nous couper l’herbe sous le pied à d’autres égards ?

Mme Ophélie Coelho. Sur la question du ciblage, même sans disposer de toutes les données, certaines dépendances sont déjà visibles et nous pouvons commencer à travailler dessus. La réponse ne sera ni instantanée ni globale ; elle peut se faire de manière fine et progressive.

Le cloud est une dépendance majeure, car il constitue une passerelle à la fois pour les usages finaux, professionnels, et pour les produits techniques. C’est une infrastructure que les développeurs utilisent pour concevoir les produits numériques que nous utilisons ensuite, une partie que le grand public ne voit pas. Il faut donc traiter la complexité du cloud avec finesse. Mesurer la dépendance au cloud revient en réalité à faire un audit technique. Le cloud est une bibliothèque de services géante, et nous ne sommes pas dépendants de la même manière à chaque composant logiciel. Certaines briques logicielles, dont la dépendance n’est pas stratégique, peuvent gérer simplement l’affichage d’images. D’autres, qui effectuent du traitement d’information et donc du calcul, sont bien plus critiques. D’autres encore, qui permettent de diffuser ou d’afficher l’application, sont également des composants majeurs.

Il faut donc analyser le cloud dans le détail, en considérant que la dépendance à une brique n’est pas équivalente à une autre. À partir de là, on peut orienter les industriels et le tissu économique par des directives. Pour telle application ou tel développement, nous pouvons demander l’utilisation d’un fournisseur européen pour une brique spécifique jugée stratégique. Cela évite l’écueil de chercher un cloud européen qui serait un clone offrant exactement les mêmes services. On peut ainsi imposer des obligations stratégiques, ciblées et raisonnables, en justifiant qu’une brique logicielle donnée constitue un danger pour une raison précise. Cette approche peut être appliquée selon une logique sectorielle. Un observatoire permettrait de voir que, selon les secteurs, les entreprises sont plus ou moins dépendantes de telle ou telle brique et d’agir en conséquence.

Concernant le câble et le satellite, la logique est plutôt celle de l’extension. Pour les grands ensembles technologiques, acquérir ces infrastructures relève d’un esprit de conquête. C’est ce que l’Europe fait avec IRIS², par exemple, pour le volet satellitaire. L’objectif est de ne pas être dépendant de Starlink, de la constellation d’AWS ou des Chinois lorsque nous aurons besoin d’une constellation de satellites. Si nous nous en tenons à cet objectif, c’est la bonne manière de procéder. Notre but n’est pas forcément de faire la même chose qu’eux.

D’ailleurs, le satellite ne remplace absolument pas le câble ou les infrastructures terrestres. Il constitue ce que j’appelle le « dernier kilomètre » du chemin de transmission numérique. Il ne fait que diffuser l’information à l’utilisateur final après que celle-ci a cheminé et été traitée via des câbles, des centres de données et des réseaux terrestres. Il faut donc distinguer les projets qui s’inscrivent dans une logique économique globale de vente de services, et ceux qui, comme je le pense, doivent viser à protéger notre société. C’est sur ce second point que nous devons nous concentrer aujourd’hui.

Concernant l’open source, faudrait-il demander aux entreprises d’ouvrir leur code ? Oui, ce serait souhaitable, mais il y a une différence entre le vœu pieux et la réalité. La protection de la propriété industrielle et intellectuelle fait que nous n’y parviendrons pas. C’est d’ailleurs pour cette raison que le droit du numérique est assez peu efficace sur ces aspects. Quand on vend un jouet en Europe, on exige qu’il respecte la norme CE, ce qui implique de remplir un cahier des charges. Si ce jouet se casse et semble dangereux, on peut l’envoyer à un cabinet d’expertise pour vérification. C’est impossible avec un produit numérique, notamment parce que ce n’est pas un objet physique. C’est la différence fondamentale qui fait que le droit du numérique se heurte systématiquement à un conflit de droits avec la propriété industrielle et intellectuelle. Je suis très étonnée que l’on n’en parle pas davantage.

Finalement, nous ne sommes pas capables de vérifier dans le code si un produit respecte toutes les normes ; nous ne voyons que l’interface. C’est sans doute ce qui explique que, pour le RGPD par exemple, les régulateurs se sont résignés à demander à l’utilisateur de valider lui-même les conditions en cochant une case, faute de pouvoir vérifier ce qu’il y a derrière. C’est une forme de déresponsabilisation réglementaire qui individualise le droit : c’est à l’utilisateur de gérer sa propre sécurité.

Pour en revenir à l’open source, il faut le considérer comme une manière de concevoir un produit collectivement, ce qui serait une méthodologie très intéressante pour l’Europe. Plutôt qu’un scénario de big tech européenne, nous disposons sur notre territoire d’une richesse d’ingénieurs talentueux dans une grande diversité d’entreprises. Ce qui nous manque, c’est une cohérence de produit. On pourrait commencer par des choses simples, comme une possibilité de connexion transversale aux applications européennes, sans passer par une identité numérique gérée par l’Union européenne ou les États, ce qui poserait des questions de surveillance. Il existe des solutions techniques, comme des identités anonymisées. Des projets existent au niveau européen ; il faut les suivre et les tester, d’abord via des partenariats entre les pays volontaires. L’objectif serait qu’un Européen puisse s’interconnecter à des services européens sans effort. Le succès des grandes plateformes repose en grande partie sur la facilité de passer d’un service à un autre via un compte unique, comme Gmail ou Microsoft. Créer une telle brique de connexion serait une piste intéressante, non seulement pour mobiliser l’open source, mais aussi pour amorcer une vision de produit cohérente. Des projets sont en cours, mais il n’y a pas encore de cohérence du point de vue de l’usage.

Mme Alexandra Lutz. La question qui se pose aujourd’hui est de savoir pourquoi nous sommes dans cette logique de déploiement généralisé de centres de données en France et en Europe. Cela vient à l’origine du rapport Draghi sur la compétitivité européenne, qui a constaté qu’il y avait beaucoup de centres de données et d’innovation aux États-Unis, et moins en Europe. La conclusion a été que nous manquions de capacités de stockage et de calcul. Aujourd’hui, on a l’impression que l’on construit d’abord et que l’on réfléchit après, sans se baser sur les besoins réels. Personne, ni le rapport Draghi ni l’Union européenne, n’a chiffré le manque de capacités. Le constat est simplement qu’il en faut plus.

Il est donc essentiel de revenir à une évaluation chiffrée de nos besoins et des projets concrets avant de décider qu’il nous faut des infrastructures partout. Ensuite, il faut investir dans des projets qui nous apportent de la résilience. J’ai déjà évoqué l’idée d’une architecture plus fédérée et décentralisée, en insistant sur les standards. Le pouvoir réglementaire peut créer les conditions pour que d’autres acteurs puissent bâtir leur propre cohérence et leurs propres infrastructures. Cela n’a pas un coût immense et mériterait d’être exploré.

Il y a aussi un point à faire sur la manière d’investir dans des infrastructures qui ne demandent pas forcément de grandes ressources. Nous avons le défaut de vouloir systématiquement nous tourner vers la dernière technologie à la mode, la dernière application d’IA. Or, des standards comme le référentiel général d’écoconception de services numériques (RGESN) nous invitent à nous interroger sur la nécessité de l’IA : est-elle vraiment supérieure à ce que nous savons faire par ailleurs ? Il faut sortir de la logique du « high-tech d’abord » et se demander si d’autres solutions ne seraient pas plus adaptées.

Je dis cela car nous arrivons à la fin des réseaux 2G et 3G. On pourrait penser que cela n’a pas d’importance, mais ces réseaux fonctionnent très bien en conditions dégradées et ont une grande portée, ce qui est crucial en cas de catastrophe naturelle ou de guerre. Ils permettaient d’atteindre plus de monde. Demain, nous n’aurons plus cela. La 4G ne disparaîtra pas tout de suite, mais ensuite viendra la 5G, qui ne couvre pas tout le territoire. On est en train de démanteler des infrastructures, comme la FM pour la radio, qui permettent d’atteindre tout le territoire à moindre coût et nous offrent une grande résilience. Elles ne sont peut-être pas « sexy », mais elles sont extrêmement utiles et efficaces.

Enfin, concernant la transparence, il y a deux choses à prendre en compte : les impacts environnementaux, bien sûr, mais aussi le taux d’utilisation effectif des infrastructures. Si nous ne savons pas comment elles sont utilisées et à quel point elles sont saturées, il est compliqué de savoir si nous en avons besoin de plus.

Mme Lou Welgryn. Pour compléter rapidement sur la question de la transparence, avoir accès aux informations nous semble être le b.a.-ba de ce que nous pourrions exiger d’entreprises qui ont un impact gigantesque sur nos sociétés. Aujourd’hui, ne serait-ce que les données sur la consommation et l’impact environnemental des centres de données sont très difficiles à obtenir. Lorsqu’elles le sont, c’est de manière très agrégée, ce qui ne permet pas de savoir réellement ce qui se passe. Il en va de même pour les algorithmes, qui ont un impact prépondérant sur notre manière de nous informer, de faire société et de travailler, et sur lesquels nous avons très peu d’informations.

Nous avons besoin de créer des standards communs. Pour revenir au cas environnemental, quelques entreprises ont commencé à fournir des informations, mais ce sont elles qui décident des données qu’elles dévoilent, ce qui oriente la perception de leurs impacts et rend les comparaisons impossibles. Nous avons donc besoin d’un standard qui ne soit pas édicté par les industriels, ainsi que d’audits indépendants de ces impacts.

Sur la manière de ne pas créer de nouveaux monopoles, les standards ouverts, les protocoles ouverts, l’interopérabilité et la portabilité des données sont des objectifs clés. La capacité de partir rapidement avec ses données permet de contourner les monopoles par le bas. C’est une stratégie beaucoup plus résiliente. On peut prendre l’exemple du ministère de l’Éducation nationale, qui a fait le choix de transitionner vers des outils open source pour les outils logiciels généraux de ses quelque deux millions d’agents. Non seulement cette approche est plus résiliente et moins chère, car elle évite la dépendance liée au renouvellement des appels d’offres publics, mais elle permet aussi de réorienter l’argent public. Au lieu de financer des entreprises privées, on contribue à la construction d’un internet plus résilient et à son amélioration globale. On change complètement de logique : on ne donne plus d’argent à des entreprises privées, on construit un commun collectif qui peut servir à tous et que les agents de l’État, notamment, vont améliorer en continu. C’est ce genre de logique qu’il faudrait, selon nous, développer.

Mme Francesca Musiani. Les différentes expérimentations menées actuellement par des institutions, tant au niveau européen que dans les États membres, sont utiles au-delà de la question de leur passage à l’échelle. Elles aident à changer les paradigmes et les mentalités. L’Europe a longtemps mis l’accent sur les champions nationaux, une idée qui ne date pas des discours récents sur la souveraineté numérique. On a longtemps essayé d’avoir notre propre moteur de recherche, par exemple.

Les architectures fédérées vont plutôt dans le sens d’une reconfiguration de l’architecture même des infrastructures numériques, en privilégiant des principes comme l’interopérabilité, une plus grande décentralisation et des standards ouverts, sur lesquels une multitude d’acteurs peuvent se greffer. Avec les architectures fédérées, chacun peut contribuer selon ses capacités et ses disponibilités, ce qui offre plus d’états intermédiaires possibles qu’une décentralisation plus radicale où toute la responsabilité retomberait sur celui qui fait ce choix.

Mme Cyrielle Chatelain. Des initiatives comme Eurostack et les European Digital Infrastructure Consortiums (Edic) répondent-elles, selon vous, à la stratégie industrielle que vous avez évoquée ? Si oui, comment peuvent-elles être améliorées ? Si non, pourquoi ?

M. Nicolas Bonnet (EcoS). Comment pourrions-nous davantage favoriser le recours à la communauté des logiciels libres par les administrations, les entreprises et les particuliers, lorsque des solutions existent ou pour contribuer à leur amélioration ? Aujourd’hui, il y a un côté rassurant à se tourner vers les solutions propriétaires : elles offrent des garanties, elles sont déjà déployées partout et bénéficient de moyens importants.

Par ailleurs, nos échanges font ressortir la nécessité de questionner notre recours croissant au numérique. Au-delà de la satisfaction des besoins actuels, ne reposons-nous pas trop sur le numérique, pour tout et tout le temps ? J’emploierai un grand mot, mais comment pourrions-nous envisager une forme de décroissance numérique ? Non pas pour atteindre le « numérique zéro », mais pour retrouver un équilibre entre les services rendus et la minimisation de son impact global. Cela implique un changement de culture majeur, car la tendance actuelle est de se jeter sur chaque nouvelle technologie, comme le dernier iPhone, en pensant qu’elle va révolutionner notre vie, ou de discuter avec une IA générative. Il y a donc un grand défi d’évolution des mentalités. Si vous avez des idées à proposer, je suis preneur.

Mme Ophélie Coelho. Eurostack mène un travail intéressant en faisant collaborer des acteurs qui, au départ, travaillaient chacun de leur côté. J’attends de voir ce que cela peut donner. Quant aux Edic, les projets sont toujours très intéressants sur le papier, mais je regrette qu’ils ne communiquent pas suffisamment entre eux. J’ai eu l’occasion de discuter avec certains responsables, et ils travaillent vraiment dans leur coin. C’est regrettable, car plusieurs Edic sont compatibles entre eux ou avec d’autres projets européens, et ils pourraient éviter de réinventer des couches technologiques déjà développées ailleurs.

Je me demande parfois s’il ne faudrait pas créer une sorte de Centre européen de la recherche nucléaire (Cern) du numérique, qui rassemblerait la recherche, les choix stratégiques de l’État, le secteur public et les entreprises. Nous avons un vrai problème de cohérence. La politique industrielle de l’Europe, si tant est qu’elle existe de manière clairement établie, manque de cohésion d’ensemble.

Ensuite, sur le recours à la communauté du logiciel libre. Le logiciel libre est une philosophie très intéressante, à laquelle j’adhère sur de nombreux principes. Dans la réalité, je préfère parler de logiciels ouverts et protecteurs. Ouverts, au sens où leur code est visible, sans forcément porter toute la philosophie libertaire de Richard Stallman. Il existe déjà des logiciels ouverts que l’on peut dupliquer et sur lesquels on peut travailler. Certains mobiles ont aussi un environnement qui protège la vie privée, comme Murena. Ce sont des solutions qui existent et dont il faut parler davantage. Le principal manque aujourd’hui est un modèle économique viable pour rémunérer tous les développeurs individuels ou associatifs qui maintiennent et développent ces briques de logiciels ouverts. C’est aux États de trouver un moyen d’encourager ces pratiques.

Enfin, sur le recours au numérique, il s’agit d’un problème systémique et chimique. Des études montrent que nous avons un vrai problème de surstimulation au niveau des neurotransmetteurs. Nous générons nous-mêmes les hormones qui nous rendent chimiquement dépendants des usages numériques. Ce phénomène est accentué par les IA génératives, qui flattent notre ego et nous enferment dans un cycle de questions-réponses qui sollicite notre besoin en dopamine ou autres neurotransmetteurs. Il y a une vraie question de santé publique derrière cela. Dominique Boullier compare souvent le numérique à des drogues que l’on interdit, alors que le numérique est en « open bar ». C’est une question très compliquée à régler, car elle touche à la liberté d’usage d’un produit que nous achetons. Les seules solutions proposées sont souvent individuelles, comme la « détox » numérique.

Il faut aborder ce sujet comme un problème de santé publique, en finançant davantage d’études en Europe pour être en capacité d’y répondre. À une époque, on servait du vin à la cantine, ce qui ne choquait personne. Aujourd’hui, il faut prendre conscience de ces micro-dépendances qui impactent notre quotidien, mais aussi notre capacité à penser et à nuancer, car nous sommes dans une réponse systématiquement émotionnelle et directe. C’est à l’État de prendre des directives pour trouver un moyen de nous « désintoxiquer » collectivement.

Mme Lou Welgryn. Je suis tout à fait d’accord sur le besoin de sortir des réponses individuelles et de ne pas parler que des usages individuels du numérique. Il faut apporter des réponses collectives. La première chose serait d’inverser la tendance actuelle. Par exemple, le plan « Osez l’IA » vise à ce que 80 % des TPE-PME utilisent de l’IA d’ici 2030. On pourrait peut-être interroger ce plan et se demander si l’IA est pertinente pour 80 % des PME, plutôt que de forcer ce type d’usage.

Ensuite, s’attaquer aux modèles économiques des plateformes est fondamental. Si elles sont aussi addictives, c’est parce que leurs revenus reposent quasi exclusivement sur la publicité, ce qui les incite à maximiser le temps passé sur leurs services et donc à rendre les contenus les plus addictifs possible. Il faut inventer d’autres modèles économiques.

On peut aussi parler des usages en entreprise et créer plus de protections pour les travailleurs face à l’implémentation forcée de ces outils. Une nouvelle directive impose que l’implémentation d’outils d’IA soit préalablement renseignée au CSE, mais on pourrait envisager bien d’autres options pour permettre aux travailleurs d’interroger cette mise en place systématique. Il y a un vrai enjeu à porter cette question de la décroissance de manière réglementaire, sans la faire reposer uniquement sur les individus.

Mme Alexandra Lutz. Pour compléter sur ce que peut faire l’État, je vois trois leviers. Le premier concerne les marchés publics : il faut les concevoir pour qu’ils soient plus petits, plus accessibles, et développer les compétences internes pour rédiger des appels d’offres favorisant l’open source. Ensuite, il faut travailler sur les standards pour que les architectures s’orientent dans cette direction et s’imposent à tous les acteurs. Enfin, sur la décroissance, le service public ne doit pas forcer l’utilisateur à aller systématiquement vers des services numériques. Il faut également remettre en cause certains objectifs au niveau européen, comme ceux du Digital Compass, qui nous obligent à une certaine utilisation du numérique.

Mme Francesca Coelho. Pour les projets de type Edic, auxquels j’ajouterais Gaia‑X pour le cloud, ces initiatives ont plusieurs mérites : elles posent des cadres, favorisent la coopération et font émerger des standards communs. Rien de tout cela ne va de soi. Il faut aussi souligner la lenteur et la complexité qui les accompagnent, surtout au vu de la fragmentation des acteurs et des intérêts au sein de l’Union européenne.

Concernant les communs numériques et l’open source, le défi est moins dans les principes, qui font l’objet d’un large consensus, que dans le passage à l’échelle. Concrètement, que signifie soutenir durablement des écosystèmes open source qui nécessitent des financements, des compétences et une gouvernance structurée ? Il y a une double facette : soutenir activement ces projets, par des subventions, des avantages fiscaux ou la mise à disposition d’agents publics, et réguler ce qu’on peut appeler le « capitalisme de surveillance ».

Enfin, la loi pour une République numérique a introduit la catégorie très intéressante des « données d’intérêt général ». Elle n’est probablement pas encore très efficace, mais on pourrait la rendre plus effective, notamment en établissant clairement le droit des administrations et des acteurs publics de récupérer auprès des acteurs privés les données nécessaires à leurs missions.

Mme Cyrielle Chatelain. Si, en suivant nos travaux, vous identifiez des points sur lesquels vous souhaiteriez apporter des compléments ou des réactions, n’hésitez pas à nous les envoyer par écrit. De même, si vous avez des éléments à nous transmettre pour accompagner votre témoignage, ils seront les bienvenus. Merci beaucoup pour vos interventions.

* *

Audition, ouverte à la presse, de M. Bernard Benhamou, secrétaire général de l’Institut de la souveraineté numérique (jeudi 2 avril 2026)

Mme Cyrielle Chatelain, rapporteure. Nous poursuivons les auditions de cette commission aujourd’hui avec vous, monsieur Bernard Benhamou. Vous êtes le secrétaire général de l’Institut de la souveraineté numérique, et je vous souhaite la bienvenue. L’enjeu de cet échange portera sur la question des vulnérabilités, de leurs origines, des conséquences que vous pouvez constater au sein de l’Institut, mais aussi des remèdes à y apporter, puisque le constat commence à s’éclaircir.

Je rappelle que nous sommes dans le cadre d’une commission d’enquête. Je vous demande donc de déclarer au préalable tout intérêt public ou privé de nature à influencer vos déclarations. De même, conformément à l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires, en tant que personne auditionnée par une commission d’enquête, vous devez prêter serment de dire la vérité, toute la vérité, rien que la vérité. Je vous invite donc à lever la main et à dire « je le jure ».

(M. Benhamou prête serment.)

M. Bernard Benhamou, secrétaire général de l’Institut de la souveraineté numérique. Avant d’être secrétaire général de l’Institut de la souveraineté numérique, fondé en 2015, j’ai été délégué interministériel aux usages de l’Internet et j’ai travaillé auprès de l’ambassadeur français aux Nations unies lors du sommet sur la régulation de l’Internet. C’est à l’issue de ces travaux, menés entre 2003 et 2006, que nous avions réalisé une synthèse parue dans la revue Politique étrangère il y a tout juste vingt ans, en 2006. L’article en question se terminait ainsi : « L’internet épouse les formes et les contours des États à mesure que leurs fonctions essentielles requièrent l’usage du réseau. En ce sens, les instruments fondamentaux de la souveraineté deviendront bientôt indissociables des outils de la puissance technologique. Ces technologies doivent aussi être sous-tendues par un projet démocratique. C’est la seule question qui vaille au regard de l’enjeu de la souveraineté numérique. » Ce texte, toujours accessible, contient à la fin de cette phrase la première occurrence connue du terme « souveraineté numérique ». Nous l’avions corédigé avec mon collègue, alors au cabinet du Premier ministre, tandis que j’étais le sherpa de l’ambassadeur durant cette négociation. Nous souhaitions, il y a vingt ans, attirer l’attention sur le fait que ces questions allaient devenir centrales pour les États. À l’époque, je ne vous cache pas que cela passait quasiment pour de la science-fiction. L’idée que les États interagiraient sur ces questions numériques parce que leur souveraineté serait menacée à terme était obscure, même pour la plupart des experts.

Aujourd’hui, tout le monde parle de souveraineté numérique. On ne peut que se réjouir que des intitulés ministériels aient repris ces dernières années le terme de « souveraineté industrielle et numérique » ou de « souveraineté alimentaire » pour le ministère de l’agriculture. Cependant, il nous faut reconnaître dans ce domaine à la fois un échec et une schizophrénie. Un échec, car malgré les nombreux discours, la France et l’Europe occupent aujourd’hui une position peu enviable de dépendance massive vis-à-vis des technologies extra-européennes. Lorsque je dis « massivement dépendant », je cite les chiffres d’une personne qui n’est pas un anarcho-libertaire d’extrême gauche, un certain Mario Draghi. Dans son excellent rapport sur la compétitivité européenne, il évoque plus de 80 % de technologies extra-européennes utilisées en Europe. Je rappellerai que pour le cloud, les trois principaux acteurs, les hyperscalers que sont Amazon, Microsoft et Google, réunissent à eux seuls 72 % du marché européen. À cela s’ajoute une doctrine française et européenne du marché libre et non faussé qui a conduit à des erreurs massives.

Je parlais aussi de schizophrénie. Requis par un ministre il y a quelques mois pour une mission sur la souveraineté numérique, je discutais avec ses conseillers et soulignais que le bilan gouvernemental dans ce domaine était « contrasté ». L’une des conseillères m’a répondu : « Non, pas contrasté, schizophrénique. » Je ne peux qu’être d’accord. D’un côté, il y a la prescription, l’incantation sur la souveraineté, l’importance de développer nos écosystèmes et de réduire notre dépendance. De l’autre, il y a des choix structurants de l’État qui ont en permanence reconduit nos vulnérabilités. Je pense évidemment à la plateforme des données de santé, le Health Data Hub, confiée et reconduite à plusieurs reprises au cloud Microsoft Azure. Je pense aussi, et c’est peut-être plus grave, à la direction générale de la sécurité intérieure (DGSI) et au ministère de l’intérieur avec Palantir. Je rappelle que c’est une société cofondée par Peter Thiel, l’un des financeurs de l’actuel vice-président américain, J. D. Vance, et qu’elle équipe la totalité des services de renseignement américains. Sa création a d’ailleurs été financée par In-Q-Tel, le fonds d’investissement de la CIA. Le fait que la DGSI s’équipe de ce logiciel n’est donc absolument pas neutre. Penser que des accords de non-divulgation puissent résister à une demande de la National Security Agency (NSA) est un leurre. De même, croire que les mises à jour ou les interventions des ingénieurs sur un système soi-disant fermé ne permettraient pas de faire sortir des données est une illusion. Enfin, je citerai l’éducation nationale qui, encore récemment, a reconduit ses contrats-cadres avec Microsoft.

Il y a donc bien une schizophrénie : on emprunte le vocabulaire de la souveraineté, mais sur les décisions les plus essentielles au fonctionnement de l’État (sécurité nationale, lutte contre le terrorisme, santé), on fait des choix qui nous fragilisent. La fuite récente de millions de dossiers de santé a montré à quel point ces données peuvent constituer un enjeu économique et un levier d’ingérence pour des acteurs étrangers. L’État se doit d’être exemplaire dans ses choix technologiques. Face à la volatilité de la relation transatlantique, illustrée il y a vingt-quatre heures par la remise en question de l’existence même de l’Organisation du traité de l’Atlantique-Nord (Otan), nous devons procéder à une analyse lucide et critique de nos dépendances.

En tant qu’ancien rédacteur de textes de régulation aux niveaux français, européen et onusien, je le dis avec franchise : toute régulation, si elle ne s’appuie pas sur une politique industrielle et des acteurs capables de faire pièce aux géants américains ou chinois, sera contournée ou inapplicable. Mes anciens collègues du département d’État américain me confient que l’ordre a été donné de bloquer la mise en œuvre des textes européens de régulation, qu’il s’agisse du règlement général sur la protection des données (RGPD), du Digital Services Act (DSA) sur les discours de haine, du Digital Market Act (DMA) sur la concurrence, ou du Digital Governance Act (DGA) sur les courtiers en données. Notre édifice réglementaire, aussi sophistiqué soit-il, est attaqué et ne sera pas efficace si nous n’avons pas de sociétés européennes à opposer aux Gafam ou aux BATX chinois (Baidu, Alibaba, Tencent, Xiaomi, Huawei). Pour reprendre la question de Staline au sujet du pape : « Combien de divisions ? » Si nous n’avons pas de divisions à mettre en face, nous n’existerons plus. Ou, pour citer à nouveau le rapport de Mario Draghi, nous irons vers l’« agonie européenne ». Ces termes sont dramatiques, mais ils décrivent la réalité. Je citerai une autre personne avec qui je ne suis d’accord sur rien, sauf sur ce point : Vladimir Poutine, qui disait que les pays leaders dans le domaine de l’intelligence artificielle domineront le monde. Il a parfaitement raison.

Il nous faut faire une analyse critique que nous avons longtemps évitée, car elle était douloureuse et impliquait de revenir sur des décisions prises année après année, parfois par complaisance, parfois pire, qui nous ont contraints à ce rôle d’observateurs et à cette posture défensive de régulation. Si la régulation visait à développer notre écosystème, elle aurait un caractère offensif. Mais si elle ne sert qu’à limiter l’impact nocif des grands acteurs américains, elle n’aura aucune efficacité à terme.

C’est sur ces points que j’aurai plaisir à revenir, y compris sur les solutions que nous avons évoquées dans notre dernier rapport sur l’intelligence artificielle en Europe, présenté à l’Assemblée nationale et au Sénat. Il nous faut réhabiliter un terme trop longtemps négligé, voire regardé avec condescendance : la politique industrielle. Je me souviens d’un directeur à Bercy, il y a quelques années, qui qualifiait la politique industrielle de « terme du XXe siècle ». Non, c’est le terme de toutes les nations qui réussissent, des États-Unis à la Chine en passant par la Corée du Sud. Nous nous sommes interdit une action concrète au nom d’une idéologie du marché libre et non faussé qui résoudrait tous les problèmes. Nous nous rendons bien compte que nous sommes face à des acteurs que certains décrivent comme des prédateurs, qui ne jouent pas le jeu, que ce soit en termes de distorsion de concurrence, de manipulation ou d’espionnage économique. Nous ne pouvons être les seuls à respecter les règles dans un monde de carnivores. C’est la meilleure façon d’aboutir à cet affaiblissement, à cette vassalisation dont on parle tant au sujet de la souveraineté numérique.

Mme Cyrielle Chatelain, rapporteure. Je vous remercie pour ce propos liminaire dont les termes sont très forts et qui dresse un constat de plus en plus partagé. Vous avez évoqué la politique industrielle, qui nécessite une planification et donc des choix, notamment en termes de domaines. Faut-il, selon vous, adopter une stratégie qui cible en premier lieu les domaines dans lesquels nous devons garantir notre souveraineté numérique ? Ou bien, en complémentarité, comme cela nous a été expliqué dans une audition précédente sur le modèle par stack ou empilement (des couches d’infrastructures, de logiciels de base, de services), sur quelle couche technologique devrions-nous nous concentrer en priorité, dans une logique de planification stratégique ?

M. Bernard Benhamou. Il y a deux analyses distinctes : une analyse verticale par secteur et une analyse par technologie. Au sein de l’Institut, nous avons travaillé sur les secteurs clés, qui sont la santé (il est d’autant plus dommageable d’avoir confié l’hébergement de nos données de santé à une plateforme américaine, qui peut potentiellement y avoir accès massivement à la demande des autorités américaines), l’énergie, l’environnement et les technologies du développement durable (je pourrai vous envoyer un rapport que l’Institut de la souveraineté numérique a fait avec la région Hauts-de-France), les technologies financières (fintechs) dans lesquelles nous avons de grands talents que les Américains reconnaissent et les transports aéronautiques, ferroviaires etc. Nous devons agir sur ces secteurs, car ils sont des vecteurs de souveraineté territoriale et des domaines où nous pourrions développer des acteurs de grande taille.

Concernant les technologies, l’intelligence artificielle est un élément clé de toutes les industries. Notre dernier rapport y est consacré. Une spécialiste, Mme Kate Crawford, disait que l’intelligence artificielle est « la politique par d’autres moyens », reprenant la formule de Clausewitz sur la guerre. Cette technologie est si essentielle qu’elle irriguera la totalité des actions des États, des entreprises et du lien du citoyen avec le débat public, avec des risques de manipulation considérables. C’est la pierre angulaire de l’avenir. Une technologie dérivée, la robotique, sera fondamentale. Le retour de Yann Le Cun à Paris pour créer des modèles appliqués à la robotique, ce qu’on appelle des « modèles du monde », est à ce titre significatif. Il s’agit de dépasser le simple langage pour intégrer la compréhension des phénomènes physiques, ce qui manque aux grands modèles de langage (LLM) actuels. Viennent ensuite les technologies de l’énergie et les systèmes de chiffrement et de sécurisation des données. La récente déclaration du Président de la République sur l’utilisation de l’ADN comme outil de stockage et de sécurisation montre qu’il nous faut explorer l’ensemble de ces champs.

Vous parliez de choisir. Je n’emploierai pas le terme « planifier », un peu connoté, mais je crois qu’il faut accompagner par un investissement massif, plus massif qu’il ne l’a jamais été, les acteurs européens dans ces domaines. C’est la recommandation phare du rapport Draghi, qui propose 800 milliards d’euros par an sur dix ans. Je rappelle que le plan post-covid représentait 750 milliards en une seule fois. Certes, le chancelier allemand se déclare hostile à de nouveaux eurobonds, mais il est intéressant de noter que le patron de la banque centrale allemande lui-même s’est opposé à lui, jugeant les conditions si urgentes qu’un nouvel endettement européen devait être envisagé.

Faudra-t-il privilégier certaines technologies où nous avons des talents ? Probablement. J’ai assisté à des pratiques de saupoudrage, comme les 34 filières industrielles que l’on voulait aider. Quand on en choisit 34, on n’en choisit aucune. Il faudra un muscle politique particulièrement fort pour faire des choix plus restreints. Mais si nous sommes marginalisés, il n’y aura plus besoin de discuter de quoi que ce soit d’autre. Notre politique extérieure et notre capacité économique seront sévèrement limitées et mises sous tutelle.

Une politique industrielle, c’est d’abord deux choses. Premièrement, aider les petites entreprises à se développer en orientant stratégiquement la commande publique, comme le font les Américains depuis 1953 avec le Small Business Act. Nous n’avons pas d’instrument de ce genre. Un euro d’achat public équivaut à sept euros de subventions pour une entreprise. Il nous faut mettre en œuvre un Buy European Act, même si les idéologues du marché libre crieront à la distorsion de concurrence. Mais nos concurrents la pratiquent massivement. Le rapport Draghi rappelle que l’Europe est la région la plus ouverte au monde : notre ratio échanges/PIB dépasse 50 %, contre 37 % en Chine et 27 % aux États-Unis. Nous sommes plus ouverts et n’avons pas les moyens de nous protéger. Le terme « protectionnisme » a mauvaise presse, mais il faut faire preuve de lucidité.

Deuxièmement, au-delà de l’aide aux PME, il faut favoriser les regroupements pour créer des acteurs de taille internationale. La question n’est pas de reproduire des Google, mais d’avoir des géants qui seraient sous le coup de la loi européenne, ce qui est essentiel. Nous avons laissé Facebook fusionner avec WhatsApp et Instagram, créant un monopole de fait sur les données de milliards d’individus. La Commission européenne s’est interdit des rapprochements technologiques par crainte d’une augmentation des prix, mais est-ce plus dangereux que d’être dépendant d’acteurs étrangers ? Ce logiciel libéral bruxellois est devenu toxique. Soit nous laissons faire des acteurs comme Elon Musk, qui souhaite la fin de l’Union européenne, soit nous menons une action coordonnée et stratégique. Nous devons aider les petites entreprises, permettre les regroupements et faire en sorte qu’il y ait des lettres européennes dans les acronymes Gafam et BATX. Pour l’instant, nous n’en avons pas. Seules quatre des cinquante premières entreprises technologiques mondiales sont européennes.

Il a fallu le covid et la guerre en Ukraine pour que les esprits s’ouvrent à la notion de souveraineté numérique. Sans ces crises, la complaisance vis-à-vis des acteurs américains aurait continué. Nous sommes face à des idéologies, qu’il s’agisse de l’ultralibéralisme libertarien d’un Peter Thiel ou de la vision européenne d’un marché purement vertueux. Nous n’avons pas compris que le monde avait changé et que le numérique accélérait nos dépendances.

M. Nicolas Bonnet (EcoS). Vous avez cité Vladimir Poutine sur le fait que, pour dominer le monde, il faudrait maîtriser l’IA. J’aimerais comprendre de quel type d’IA vous parlez. Pour des applications très pratiques et précises, comme dans la santé ou le domaine militaire, je comprends qu’on puisse se faire dépasser. Mais s’agissant de l’IA du quotidien, des chatbots ou des IA génératives, je ne suis pas certain que la course à ce genre d’outils soit ce qui permettra de dominer le monde, même s’il y a un enjeu de protection des données.

Cela m’amène à une question sur la politique actuelle de notre pays, qui semble consister à laisser des centres de données fleurir partout sur le territoire. Or, vous l’avez dit, 72 % du marché des hyperscalers est détenu par Microsoft, Google et Amazon. Je n’ai donc pas l’impression que la politique actuelle vis-à-vis des data centers nous permette d’améliorer notre souveraineté numérique.

Vous parlez de politique industrielle, mais je parlerais aussi de politique tertiaire. Le numérique est matériel, donc industriel, mais il est aussi profondément logiciel, immatériel, donc tertiaire. Les géants comme Google, Amazon et Microsoft sont avant tout des développeurs de logiciels, pas des fabricants de matériel. Les concurrencer suppose donc de travailler sur le tertiaire. Lorsque vous parlez de politique industrielle, avez-vous également cette dimension en tête ?

Enfin, cela nous amène à nous demander si nous devons répliquer le modèle américain. Je serais plutôt enclin à penser qu’il faut apporter d’autres solutions, ce qui passe aussi par un questionnement du modèle américain lui-même. Avoir des géants identiques mais régis par le droit européen ne résout pas tout, car il n’est pas toujours facile de faire respecter ce droit, de même qu’il n’est pas toujours facile pour les Américains de faire respecter le leur, car on ne sait pas toujours ce qui se cache derrière un code informatique. Envisager d’autres modèles, notamment basés sur les logiciels ouverts, me semblerait très intéressant et pourrait nous apporter une spécificité qui inspirerait le reste du monde, au-delà des blocs américain, européen et chinois.

M. Bernard Benhamou. Quand je parle d’industrie, j’intègre évidemment la dimension logicielle. L’une des erreurs fondamentales est de dissocier le logiciel des aspects industriels comme les centres de données. L’open source est aussi une industrie. Beaucoup le perçoivent comme un hobby, mais les plus grands géants, comme Google avec Android, ont bâti leur succès sur des logiciels libres. Il n’y a pas de contradiction. Nous avons dépassé l’époque de l’affrontement frontal entre le logiciel propriétaire et le logiciel libre. Aujourd’hui, on peut créer des entreprises très rentables à partir du logiciel libre.

Les grands LLM sont des outils à formater l’esprit. Une étude récente parue dans Nature montre qu’ils sont quatre fois plus efficaces qu’une campagne politique traditionnelle pour faire changer une opinion. Penser qu’ils ne servent qu’à obtenir une information est une erreur ; ce sont des outils complets de manipulation et d’ingérence. J’ai été auditionné par la commission d’enquête sur TikTok, où je recommandais son interdiction en Europe sous sa forme actuelle. Les Américains en ont pris conscience et ont exigé la séparation d’avec l’entité chinoise. L’Inde, pays le plus peuplé du monde, a interdit TikTok depuis 2021. La séparation capitalistique et technologique avec la Chine s’impose, tout comme des réactions plus fermes envers les réseaux sociaux américains.

L’aspect industriel des technologies est aujourd’hui redécouvert avec la valorisation hallucinante d’entreprises comme Nvidia. L’IA, c’est beaucoup d’énergie et de la construction. Elle est même un moteur de la croissance américaine via la construction de data centers, au point que des mouvements comme Not in my backyard s’y opposent, craignant que l’IA diminue les embauches. C’est une préoccupation que nous partageons dans notre rapport, car de nombreuses entreprises ne prennent plus de stagiaires ou de juniors, remplacés par l’IA.

Sur le débat public, l’IA joue un rôle essentiel. Les outils de manipulation et de désinformation ont connu une démocratisation massive. Un robot peut aujourd’hui remplacer une « ferme à trolls » pour 400 dollars par mois, en envoyant des messages personnalisés à des millions de personnes. Des spécialistes comme David Colon pourraient vous parler de l’efficacité des outils russes, chinois ou même américains. Le paysage démocratique est en train d’être redessiné, sans parler de l’altération de nos capacités de concentration et de réflexion.

Quand vous parlez de tertiaire, j’ai du mal à dissocier, car tout est lié. Les grands acteurs du logiciel sont aussi des opérateurs de très grosses infrastructures. Google possède le premier réseau privé de télécoms au monde. L’objectif, comme le théorise Peter Thiel, est le monopole. Ces acteurs ont une action structurante sur toutes les filières, technologiques ou non, comme la santé. La séparation traditionnelle entre l’industrie matérielle et le logiciel noble n’a plus lieu d’être. Tout est lié, comme le montre le lien entre l’IA et la robotique, qui permettra de créer de nouvelles usines, comme les dark factories chinoises, entièrement automatisées.

Je suis d’accord sur la nécessité de développer une troisième voie européenne, comme nous le recommandons dans notre rapport. Notre prochain rapport portera d’ailleurs sur les politiques industrielles du numérique pour l’Europe, car nous avons fait preuve d’une coupable timidité. Cette troisième voie doit être proche de notre conception des droits humains, et non une vision de surveillance de masse à la chinoise, avec son crédit social, ou un régime illibéral à l’américaine. L’AI Act européen précise d’ailleurs que nous ne voulons pas de la notation systématique des individus. C’est ce qui a opposé Dario Amodei, le patron d’Anthropic, à son ancien employeur : il refusait que ses outils soient utilisés pour la surveillance de masse ou la conception d’armes autonomes. Si nous, Européens, utilisons massivement des outils non européens, nous ne pourrons plus nous prévaloir d’aucune protection éthique. Ce qui se joue, c’est la forme même de la démocratie en Europe.

Mme Cyrielle Chatelain, rapporteure. Vous parliez de l’intérêt de développer des acteurs européens de taille conséquente pour qu’ils soient sous le coup de la loi européenne. Les opérateurs américains intervenant en Europe ne sont-ils pas déjà, en droit, soumis à la loi européenne ? Le problème n’est-il pas plutôt celui de l’application de ce droit ? Nous avons des entreprises monopolistiques à qui nous n’arrivons pas à faire appliquer le droit. Plusieurs freins ont été identifiés : un lobbying extrêmement intense, une dépendance économique de certains pays comme l’Irlande qui sert de porte d’entrée aux Gafam, des procédures très longues et des sanctions peut-être trop modérées. Rejoignez-vous ce constat et voyez-vous d’autres freins à l’application de notre droit ?

M. Bernard Benhamou. Il y a l’esprit de la loi, magnifique, et son application. Ayant rédigé certains textes, je sais que le diable est dans les détails, dans l’application et dans la volonté politique de l’appliquer. Or, à l’heure actuelle, cette volonté politique est défaillante. Les sanctions en milliards de dollars qui émerveillent le citoyen n’ont eu aucun impact sur l’activité de ces sociétés. Les sanctions les plus sévères prévues par le DSA et le DMA, fondées sur un pourcentage du chiffre d’affaires mondial, n’ont jamais été appliquées. Jamais. Les actions récentes de la Californie et du Nouveau-Mexique contre les algorithmes des grandes plateformes devraient nous inspirer, d’autant que nos textes nous donnent la possibilité d’auditer ces systèmes. Nous ne l’avons pas fait. Frances Haugen, la lanceuse d’alerte de Facebook, a été auditionnée en 2021 sur la dangerosité des algorithmes pour les mineurs ; les actions aux États-Unis n’ont lieu que maintenant, et pas en Europe. Donc, ma réponse lapidaire est non, dans la réalité, les acteurs américains ne sont pas régulés, car aucune sanction n’a été capable d’influencer leur fonctionnement.

La seule véritable sanction serait de leur opposer des acteurs européens capables de contrebalancer leur effet. Tant que nous n’en aurons pas, ils continueront leurs campagnes de lobbying féroces. Le cas de l’Irlande est de notre faute : nous lui avons accordé un statut privilégié qui a dépassé son objectif. Aujourd’hui, l’Irlande reverse les amendes infligées aux Gafam de peur qu’ils ne partent. C’est une prise en otage. Comme pour l’entrée de la Chine à l’Organisation mondiale du commerce (OMC), il y a eu une naïveté confondante des autorités européennes, qui n’ont pas vu venir un danger devenu stratégique, politique et militaire.

Un dernier point explique pourquoi les lois ne s’appliquent pas : la menace du kill switch, le bouton d’extinction. C’est la possibilité de couper sélectivement l’accès aux services numériques américains pour certaines organisations. Cela s’est déjà vu avec un magistrat de la Cour pénale internationale. Ce risque pèse sur les chancelleries européennes et n’est pas hypothétique. Comme nous n’avons pas d’acteurs à mettre en face, cette menace est d’autant plus crédible. On ne peut donc analyser les choses d’un point de vue purement juridique sans les analyser d’un point de vue politique et stratégique.

Mme Cyrielle Chatelain, rapporteure. Restons sur la question réglementaire. Vous avez fait référence à la condamnation de Meta aux États-Unis. Les montants étaient, me semble-t-il, bien en deçà de ce qui a pu être infligé en Europe, mais ce qui est intéressant, c’est que ce type de procès arrive via des « class actions », beaucoup plus développées aux États-Unis. On le voit aussi dans l’industrie chimique avec les condamnations liées aux substances perfluoroalkylées et polyfluoroalkylées (PFAS), chose que l’on ne voit pas en Europe où le droit est différent. Quelle différence faites-vous entre les condamnations de la Commission européenne et ces class actions américaines ? Trouvez-vous cet outil intéressant ?

M. Bernard Benhamou. Il y a une différence fondamentale. L’essentiel des condamnations de la Commission européenne, via la DG Concurrence, visait des abus de position dominante. Je crois que nous devons, dans le cadre d’une troisième voie européenne, nous interroger sur les modèles économiques toxiques. Les réseaux sociaux basés sur la publicité et développant l’addiction sont-ils un modèle économique toxique ? La condamnation au Nouveau-Mexique est intéressante car elle s’attaque à l’algorithme lui-même. Elle fragilise la position de ces groupes qui se réfugiaient derrière leur statut d’hébergeur, affirmant ne faire que mettre à disposition du contenu. La cour a déterminé que la fonction algorithmique, en amplifiant ou atténuant des contenus, créait une responsabilité éditoriale et une responsabilité dans la recherche volontaire de l’addiction. C’est le même combat que contre Big Tobacco.

La timidité européenne réside dans le fait que nous n’avons pas osé nous attaquer au modèle économique de ces sociétés. C’est pourtant l’essentiel. Ces modèles sont-ils souhaitables, durables, toxiques pour la santé publique et la sécurité ? Il nous faut passer à une autre étape de la compréhension technologique. Je suis d’accord, les condamnations au Nouveau-Mexique sont faibles économiquement, mais elles sont dévastatrices en termes de jurisprudence : elles établissent que ces entreprises sont responsables de leurs algorithmes. Je vous rejoins totalement sur la nécessité de développer des actions de groupe dans ces domaines, et la puissance publique doit accompagner les plaignants. À l’heure où vos collègues parlementaires tentent de mettre en œuvre des interdictions pour les mineurs, il faut agir sur plusieurs fronts simultanément : des interdictions, la remise en question de sociétés étrangères toxiques comme TikTok, et des modifications de leurs modèles économiques impulsées par la loi.

Mme Cyrielle Chatelain, rapporteure. Je propose que nous abordions désormais le volet plus politique et industriel de votre propos, afin de mieux comprendre ce que vous entendez par « grands acteurs ». J’ai noté que vous évoquiez un soutien aux PME et une mutualisation. Je suis quelque peu déroutée, car vous dénoncez d’une part la concurrence libre et non faussée – et je vous rejoins sur ce point, considérant comme vous que l’idée idéologique d’un marché s’auto-organisant pour faire émerger des solutions a échoué –, mais vous avez vous-même rappelé que Peter Thiel faisait l’apologie du monopole. Or certaines structures s’appuient précisément sur une position monopolistique pour acquérir une influence déterminante sur les standards et imposer leurs usages, comme l’a montré l’audition précédente. Le monopole n’est donc pas non plus souhaitable.

Dès lors, il serait intéressant que vous précisiez votre pensée sur la notion de taille critique. Comment la définir pour un grand acteur européen et comment garantir qu’il ne deviendra pas à son tour un acteur monopolistique, nous confrontant aux mêmes difficultés de régulation, aux mêmes stratégies de lobbying, à la même dépendance économique et aux mêmes problèmes d’impact sur les standards d’utilisation ?

M. Bernard Benhamou. Sur ce dernier point, je me permettrai d’exprimer une opinion différente. La particularité est que, si les grands mastodontes, qu’ils soient européens ou d’ailleurs, ont tendance à reproduire les mêmes comportements non éthiques – pour le dire poliment –, ils ne bénéficient pas, à la différence des acteurs américains, du soutien d’un exécutif tout entier dont la vocation est de nous affaiblir. La période sinistre dans laquelle nous entrons, et que nous rappelons dans notre rapport, se caractérise par le fait que, pour la première fois dans l’histoire européenne, nous sommes la cible de trois empires : la Chine, la Russie et les États-Unis. Pour la première fois, ces trois empires partagent l’objectif commun de nous affaiblir politiquement et démocratiquement, ce qui ne s’était jamais produit.

Si nous disposions de grands acteurs européens, nous ferions sans doute face aux mêmes problèmes de monopole, d’évasion fiscale ou d’optimisation. Cependant, ils ne seraient pas appuyés par un département d’État surpuissant, « aux stéroïdes » comme on dit là-bas, cherchant à nous nuire. Par définition, nous aurions la possibilité de les contenir, de les « endiguer » selon le terme diplomatique. Face aux Américains comme aux Chinois, nous ne disposons d’aucun effet d’endiguement possible, hormis l’interdiction pure et simple ou, comme on l’a vu pour TikTok aux États-Unis, la séparation brutale, assortie d’une menace d’interdiction.

Vous évoquiez les PME tout à l’heure, en suggérant que small is beautiful et qu’il faudrait aider davantage de PME à se développer. C’est exact, mais big is beautiful too. Pardonnez-moi ces trop nombreux anglicismes dans cette honorable maison qui vénère la langue française. Fondamentalement, cela signifie que nous devons aider nos entreprises à croître sans avoir pour unique boussole le risque d’augmentation des prix, qui fut le prisme idéologique de la régulation de la concurrence en Europe. Il nous faut intégrer la notion de perte d’innovation européenne, ce qui renvoie aux concepts de protectionnisme, tel qu’un Buy European Act. Vous me demandiez des mesures concrètes de politique industrielle ; en voici une, et elle est importante.

Par ailleurs, il existe des mesures à coût nul. Avant même d’envisager la mise en œuvre du plan Draghi – que je souhaite et pour lequel je me mobilise, c’est-à-dire un endettement commun des 27 pour l’investissement technologique –, des actions sont possibles. Le Small Business Act est une mesure quasiment à coût zéro. Il s’agirait de garantir qu’une part de la commande publique soit attribuée en priorité aux PME. Aux États-Unis, je crois que 27 % de la commande fédérale – il faudrait vérifier ce chiffre – est orientée vers les PME. C’est tout à fait réalisable et peu coûteux. Pendant longtemps, une crainte bruxelloise a prévalu, selon laquelle une telle mesure serait interprétée comme une distorsion de concurrence. Je pense que ce dogme est dépassé. Vous parliez du marché qui n’est pas auto-correcteur ; ce n’est pas seulement cela, c’est que des acteurs politiques l’ont corrompu. Les acteurs chinois investissent massivement. Vous avez peut-être entendu parler de DeepSeek, le moteur d’intelligence artificielle chinois, présenté comme très peu coûteux, à 6 millions de dollars, sauf que la plateforme technique sur laquelle il a été développé vaut des milliards. On communique sur des entreprises nées dans des garages qui deviennent des mastodontes, mais c’est un mythe. Tesla n’existerait plus aujourd’hui si SpaceX ne l’avait pas abondée grâce à la commande de la National Space and Aeronautic Administration (Nasa), en ramenant, via la holding, de l’argent dans l’entreprise qui était au bord de la faillite.

La commande publique est donc stratégique à tous les niveaux et doit être utilisée comme un outil structurant par les acteurs publics. La vision libérale et idéologique qui consiste à dire qu’il ne faut pas intervenir sur le marché serait peut-être tenable si nous étions face à des acteurs qui jouent le même jeu que nous. Mais ce n’est pas le cas, car ni les Chinois, ni les Américains, ni quelques autres ne respectent les mêmes règles.

Mme Cyrielle Chatelain, rapporteure. Nous avons sans doute des analyses différentes sur la question du grand acteur européen. Tout d’abord, nous parlons bien d’un grand acteur privé. À ce stade, je ne vois pas comment développer un grand acteur européen qui soit concurrentiel – en termes d’intégration des outils ou de capacité à opérer sur toutes les couches technologiques (le stack) – sans reproduire un modèle quasi identique à celui de ses concurrents. Nous sommes face à un modèle monopolistique où Google ou Microsoft tirent leurs revenus du fait d’avoir rendu les utilisateurs dépendants, d’avoir capté leurs données pour les valoriser et les vendre. J’ai des doutes sur la possibilité de développer un acteur compétitif sur ce même modèle sans retomber dans ses travers économiques. Votre analyse sur ce point m’intéresserait. En effet, pour qu’un grand acteur européen atteigne une valorisation capitalistique comparable, il lui faudrait des investissements considérables, comme ceux issus de la défense aux États-Unis, ainsi que des investisseurs privés puissants, dans un contexte où la politique du risque d’investissement est différente. Or le retour sur investissement, d’après tous les témoignages que nous avons recueillis, repose aujourd’hui sur un système de verrouillage, d’augmentation des prix et d’exploitation des données, rendant les acteurs très dépendants, ce qui constitue un modèle éthiquement discutable.

Ensuite, vous avez cité Kate Crawford, qui analyse l’intelligence artificielle comme la continuation de la politique par d’autres moyens. Son travail est une dénonciation de ces monopoles sous tous leurs aspects : la captation des ressources environnementales, avec le développement de centres de données aux États-Unis qui provoque une augmentation contestée des prix de l’énergie ; l’impact sur les droits du travail, avec les « fermes à clics » notamment en Inde ou au Pakistan ; et enfin, la question de la protection des données. Elle montre par exemple comment des données publiques ou issues de l’open source, sous licence Creative Commons, sont captées et privatisées par ces acteurs. Kate Crawford invite donc plutôt à une dénonciation de ce modèle monopolistique et d’exploitation. Je ne suis pas convaincue que la solution qu’elle préconiserait serait sa reproduction au niveau européen.

Enfin, vous avez raison de souligner que trois empires cherchent à nous affaiblir. Cependant, des acteurs européens partageant une vision similaire du monde pourraient également chercher à affaiblir d’autres membres de l’Union. La question n’est donc pas seulement de protéger l’Europe, mais aussi de défendre les valeurs européennes lorsqu’elles sont attaquées de l’intérieur.

Partant de là, si l’on admet le besoin d’acteurs capables de développer des solutions faciles d’accès, comment répondre au problème de la demande ? Des acteurs économiques nous expliquent que les solutions américaines, bien que non éthiques et créant de la dépendance, sont faciles à utiliser, très intégrées et correspondent à des habitudes bien ancrées. Créer une nouvelle demande n’est donc pas simple. Comment répondez-vous à cette problématique et comment sortir de ce verrouillage ?

Vous avez affirmé qu’il fallait revenir à une politique industrielle. Je pense qu’elle va de pair avec une planification qui a fait ses preuves, y compris dans des domaines où je suis très réservée, comme le nucléaire, où l’on voit que l’État, ses ingénieurs et sa politique ont eu un rôle d’impulsion déterminant. Quel doit être ce rôle ? Orienter la commande publique n’est qu’une petite partie de la solution. Certains acteurs nous disent que c’est utile, mais que l’essentiel est de réorienter les flux économiques privés. Selon vous, quel doit être le rôle de l’État pour impulser et diriger ces politiques industrielles, et comment peut-il garantir que les acteurs économiques que nous développerons serviront l’intérêt général ?

Nous avons aujourd’hui un grand acteur, Total, qui n’appartient pas au secteur du numérique. C’est un acteur européen, français et mondial, sur lequel nous n’avons absolument aucune prise alors que les prix flambent. Cela montre bien qu’avoir un acteur européen n’est sans doute pas suffisant. Sans vous demander votre avis sur Total, cet exemple illustre que la simple existence d’un champion économique européen, sans impulsion politique forte sur sa stratégie, est peut-être insuffisante pour protéger le modèle bénéfique que nous souhaitons pour l’Europe.

M. Bernard Benhamou. L’une des particularités des cycles économiques récents est qu’ils se raccourcissent considérablement. L’intelligence artificielle est, de toutes les technologies jamais développées, celle qui a touché le plus grand nombre de personnes en le moins de temps. Par conséquent, l’idée selon laquelle les cycles s’imposent à nous et qu’il serait impossible d’y introduire une offre différente me semble fausse.

Il existe évidemment un espace de marché pour une offre alternative à celles des Chinois et des Américains. Cette offre pourrait se développer dans des secteurs clés comme la santé, l’énergie ou le développement durable. On voit bien que les Américains ont littéralement levé le pied sur le développement durable, allant jusqu’à couper les crédits de recherche dans ces domaines, ce qui constitue un crime écologique dont certains paieront le prix très longtemps. Sur ces questions, on attend davantage de nous que des Chinois qui, malgré un effort de transition, conservent une économie massivement carbonée. Lorsque les automobiles chinoises arrivent en Europe, leur bilan carbone est quasiment impossible à équilibrer sur leur durée de vie.

Là où nous pourrions avoir une vision différente, c’est sur la planification. Je crois que dans certains secteurs stratégiques, l’État doit mettre à disposition des moyens pour la recherche fondamentale. La recherche fondamentale ne peut être directement rentable ; aux États-Unis comme en Europe, c’est à la puissance publique de la financer. Des économistes américains me l’ont souvent confirmé. Je rappellerai également que nous avons beaucoup discuté de la notion d’unification du marché des capitaux en Europe. Nous manquons d’acteurs d’investissement de taille internationale, ce qui explique que nos grands succès européens, comme Mistral, soient financés par des capitaux américains, avec tous les risques de relocalisation que cela implique via un pacte d’actionnaires dont nous ignorons tout.

Nous devons donc être conscients que nous devons utiliser les instruments du marché libéral, mais avec l’objectif final de créer ce que les Américains ou les Chinois ne pourraient pas faire, notamment dans le domaine de la santé. C’est pour moi un domaine essentiel, d’où ma rancœur face à la difficulté de l’État français à choisir autre chose que Microsoft pour héberger nos données de santé. Nous pouvons créer un modèle numérique de la protection sociale aux antipodes du modèle américain, qui est d’une dureté infinie et relève du contrôle. La première administration Trump, en 2017, avait souhaité imposer des tests génétiques en entreprise à des fins de prévention, avec tous les risques que cela comporte pour nos valeurs fondamentales. Notre protection sociale est un acquis civilisationnel, pas seulement un confort de vie. Voulons-nous, au travers d’un système imposé par Google ou Apple, aller vers un contrôle, voire un dressage et un conditionnement des individus pour qu’ils évitent de prendre des risques ? Un directeur de recherche d’un grand groupe d’assurances me disait un jour : « Mon métier, c’est de faire payer les gens le plus longtemps possible », c’est-à-dire de les maintenir en bonne santé. Poussée à son extrême avec le contrôle génétique, qui existe aussi en Chine où l’on recueille le génome de toute la population à des fins de surveillance, cette logique peut avoir des impacts considérables sur le contrôle absolu des individus.

Oui, nous avons la possibilité de créer cette troisième voie européenne. Simplement, il faut le décider. C’est pourquoi je parlais d’instruments financiers à l’échelle continentale et d’un endettement européen massif. Nous ne l’avons pas encore négocié, mais je pense qu’il s’imposera, y compris pour des raisons stratégiques, car l’IA est aussi une arme sur les théâtres de guerre. Palantir, par exemple, est utilisé pour coordonner les opérations militaires en Ukraine. La question est de savoir si nous voulons laisser ces acteurs s’imposer à nous. Je précise que Palantir avait proposé ses services gratuitement à l’Assistance publique-Hôpitaux de Paris (APHP) durant la crise du covid, qui a eu le bon goût de refuser, tandis que nos voisins du National Health Service (NHS) britannique ont accepté une offre similaire, avec tous les risques que cela peut générer à terme.

Il faut une aide stratégique de l’État. Vous parliez des grands plans intergouvernementaux européens, comme Airbus, ou pour la France, la filière nucléaire. Je crains que nous ne soyons en désaccord sur ce point, car je considère cette filière comme une fierté nationale. Quand nous nous comparons à nos voisins allemands, nous ne pouvons qu’en être fiers, au vu de leur désarmement nucléaire et de ce qu’il leur coûte aujourd’hui en termes de souveraineté. Mais c’est une autre question.

Mme Cyrielle Chatelain, rapporteure. C’est une histoire énergétique complètement différente.

M. Bernard Benhamou. J’entends bien, mais je pense que, comme le disait le général de Gaulle, il faut à un moment donné que nos actions se mettent en accord avec nos pensées. Si nous voulons la souveraineté, elle doit s’imposer dans les grands secteurs régaliens, dont l’énergie. Il nous faut préserver notre autonomie énergétique. Vous rappeliez que les centres de données sont des gouffres énergétiques ; concevoir des technologies numériques durables et sobres pourrait être une belle mission pour l’Europe, d’autant plus que les Américains se sont désengagés des questions de développement durable.

Mme Cyrielle Chatelain, rapporteure. Je vous remercie pour cet échange, que j’ai trouvé fructueux et intéressant. Il fait apparaître des convergences et des divergences, mais c’est là tout l’intérêt du débat. Merci d’avoir partagé l’analyse et les travaux que vous menez avec votre institut. Si vous souhaitez compléter votre propos par écrit ou réagir à des éléments qui seront dits durant nos travaux, n’hésitez pas à le faire.

* *

Audition, ouverte à la presse, de M. Michel Paulin, président du comité stratégique de filière « solutions numériques de confiance » du Conseil national de l’industrie, ancien directeur général d’OVH, et Mme Julia Mouzon, déléguée permanente du comité stratégique de la filière logiciels et solutions numériques de confiance du Conseil national de l’industrie (mardi 7 avril 2026)

M. le président Philippe Latombe. Mes chers collègues, nous poursuivons les auditions de notre commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Nous recevons M. Michel Paulin, président du comité stratégique de filière « Solutions numériques de confiance » du Conseil national de l’industrie, accompagné de Mme Julia Mouzon. M. Paulin a été le directeur général de OVHcloud de 2018 à 2024.

Vous qui êtes au cœur de la filière numérique française, pourriez-vous nous exposer la position de la France à l’échelle européenne et internationale en matière de maîtrise technique, de capacités de recherche, d’écosystème de développement et de financement, ainsi que d’existence d’entreprises de taille critique ? Selon vous, la domination des entreprises américaines dans ce secteur est-elle réversible ?

Avant de vous laisser la parole, je vous remercie de nous déclarer au préalable tout intérêt public ou privé de nature à influencer vos déclarations. Auparavant, je vous rappelle que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter serment de dire la vérité, toute la vérité, rien que la vérité. Je vous invite donc à lever la main droite et à dire : « Je le jure ».

(Mme Mouzon et M. Paulin prêtent serment).

M. Michel Paulin, président du comité stratégique de filière « Solutions numériques de confiance » du Conseil national de l’industrie. Madame la rapporteure, monsieur le président, mesdames et messieurs les députés, nous vous remercions de nous donner l’occasion de vous présenter aujourd’hui nos constats et nos préoccupations sur les dépendances et les vulnérabilités dans le secteur du numérique. En effet, ces dépendances engendrent des risques considérables pour la souveraineté de la France et de l’Europe.

Le numérique est aujourd’hui au cœur de nos vies professionnelles, de nos vies personnelles, ainsi que du débat démocratique. Il constitue un enjeu de productivité, de croissance et de compétitivité pour les entreprises, mais aussi un enjeu de protection des données personnelles pour les individus. Les dépendances dans le domaine du numérique engendrent des incidences très importantes pour la filière, mais aussi pour les clients, pour notre économie, pour l’emploi et pour les citoyens. Les tensions géopolitiques ont remis à l’ordre du jour les risques majeurs et les conséquences critiques de notre dépendance et, dans certains cas, de notre vassalisation – j’emploie ce terme à dessein – à l’égard de solutions provenant de pays qui, bien qu’alliés, si ce concept a encore un sens, ne sont pas nos amis.

Nous vivons aujourd’hui sous dépendance numérique ; la tendance s’est même accrue ces dernières années. Pour simplifier, nous identifions trois types de dépendances. Il s’agit premièrement, des dépendances technologiques : de nombreux domaines du numérique, des terres rares jusqu’aux intelligences artificielles (IA), c’est-à-dire l’ensemble du stack, sont désormais maîtrisés par la Chine, certains pays asiatiques et les États-Unis. Cela leur confère une puissance politique et économique considérable.

Deuxièmement, les dépendances légales autorisent des pratiques anticoncurrentielles, telles que les bundles, l’imposition de coûts pour empêcher la réversibilité, ou encore des augmentations de prix injustifiées, comme certains clients l’ont d’ailleurs évoqué lors de précédentes auditions. Elles s’accompagnent de la menace des lois extraterritoriales, telles que le Cloud Act et le Foreign Intelligence Surveillance Act (FISA), qui permettent aux administrations étrangères d’accéder aux données, même lorsqu’elles sont hébergées en France.

Troisièmement, la dépendance économique me semble très importante à souligner. Certains acteurs abusent de leur position dominante pour augmenter systématiquement les prix sans justification technique. Le Cigref a publié un rapport l’an dernier qui chiffre cette dépendance économique pour le marché du cloud et du logiciel en tant que service (SaaS). La part de marché des acteurs américains s’élève ainsi à 83 %, ce qui s’apparente à un monopole. Cela représente 285 milliards de dollars d’achats de solutions américaines par les entreprises européennes, dont 80 % de la valeur ajoutée est réalisée aux États-Unis. En réalité, la quasi-totalité de la valeur repart aux États-Unis, qui en tirent l’essentiel des bénéfices en termes fiscaux, d’emploi et de valeur ajoutée. À titre de comparaison, ce montant avoisine celui du marché des télécommunications pour l’ensemble de l’Europe, qui est d’environ 300 milliards d’euros. On mesure ainsi l’ampleur du phénomène. Cette exportation de services depuis l’Europe vers les États-Unis génère, selon les estimations, 800 000 emplois sur le sol américain.

Surtout, 51 milliards de dollars de recettes sociales et fiscales échappent à l’Europe pour partir aux États-Unis, grâce à des mécanismes légaux d’optimisation fiscale via des plateformes situées en Irlande. Réduire nos dépendances numériques devient donc un impératif, car le numérique est désormais aussi vital que le sont l’énergie, la santé, l’agriculture, la culture ou l’éducation, qui sont les piliers de nos sociétés. Le moyen le plus efficace pour garantir une vraie souveraineté numérique, comme l’ont compris beaucoup de pays, consiste à disposer en France et en Europe d’une filière numérique forte.

J’y associe d’autres domaines qui ne sont pas dans le périmètre du comité stratégique de filière (CSF) « Numérique de confiance », comme les infrastructures télécoms, les centres de données, l’énergie ou le matériel hardware, et en particulier les composants électroniques. L’analyse doit porter sur l’ensemble du stack numérique, et pas uniquement sur les logiciels. Une filière en croissance, créatrice d’emplois en Europe, innovante et prospère est essentielle. Elle sera capable de soutenir la compétition internationale et constituera le gage de notre souveraineté numérique.

Contrairement à ce que l’on entend, nous avons en France des acteurs performants, avec des talents au meilleur niveau d’expertise mondiale, des start-up qui sont les vedettes de demain, et des PME qui irriguent le tissu économique national et régional. Nous avons des leaders dans leur domaine, qui se font racheter ou contrôler par des fonds de private equity anglo-saxons. L’idée qu’il n’y aurait pas de solution est donc contredite par le fait que ces sociétés intéressent des acteurs étrangers qui les acquièrent. Les aider à poursuivre leur croissance constitue désormais le principal levier pour accroître notre autonomie stratégique et pour garantir aux clients un accès à des solutions alternatives compétitives face à des monopoles de fait qui, aujourd’hui, pompent nos finances, pratiquent l’évasion légale de recettes fiscales et nous rendent dépendants sur l’ensemble du stack, créant ainsi des risques majeurs à court et moyen terme.

Nous avons identifié six leviers pour permettre à une filière de continuer à investir et à croître, dont le principal concerne la commande. Flécher une partie de la commande publique et privée vers la filière est le moyen de la promouvoir. Il faut dénoncer les narratifs bien rodés, issus d’un lobbying puissant, qui assènent à longueur de temps qu’il n’existerait pas d’alternative. Dans tous les domaines, il en existe. Ainsi, une stratégie multicloud permettrait aux entreprises et à l’État, même si ce dernier n’est qu’un acheteur modeste, ne représentant que quelques pourcents des achats totaux, d’être exemplaires et de sortir de leurs dépendances techniques et financières. Il faut également sortir d’une dépendance plus insidieuse : celle des habitudes, qui nous pousse à choisir toujours les mêmes solutions. Soyons curieux, car la filière française est innovante, mais elle risque de se faire racheter. Pourtant, elle investit, elle crée des emplois en France et elle contribue à la fiscalité française. Aidons-la, faisons-lui confiance, ce sera le meilleur moyen de garantir notre souveraineté.

Mme Julia Mouzon, déléguée permanente du comité stratégique de la filière logiciels et solutions numériques de confiance du Conseil national de l’industrie. Mon regard est plus récent sur la filière que l’expertise déployée par Michel Paulin, mais j’aimerais souligner ce que j’ai pu constater au cours des dernières années consacrées à la mise en place et au lancement du comité stratégique de filière.

En premier lieu, lorsque l’on parle de souveraineté, comme cela a été dit dans de précédentes auditions, l’enjeu porte en réalité sur la liberté. Les administrations, les acteurs économiques et les individus peuvent-ils choisir librement leurs outils et en changer quand ils le souhaitent ? Pour cela, il faut savoir si ces outils existent et si l’on peut y accéder et effectuer ces changements facilement. Ces outils existent, la filière française en dispose. Comme l’a dit Michel Paulin, le premier objectif est la commande. Cette bascule est néanmoins difficile, car les outils américains sont très intégrés.

Pour utiliser une métaphore, j’ai le sentiment que la France possède une équipe de football composée de onze excellents joueurs et de remplaçants sur le banc de touche, mais que sur le terrain, chacun vise des buts situés à des endroits différents. La première difficulté réside dans les échanges au sein même de la filière. Face à nous, nous avons des hyperscalers américains extrêmement intégrés. De notre côté, nous n’avons pas encore défini de standards ou de composants d’interopérabilité qui permettraient aux acteurs souhaitant faire cette bascule de savoir qu’ils pourront exporter leurs données, les stocker et utiliser des outils standards validés et majoritairement employés par la filière.

Le deuxième enjeu est d’ordre organisationnel. Nous travaillons avec de nombreuses administrations : la direction générale des entreprises (DGE), le ministère de l’économie, la direction des achats de l’État, avec laquelle nous commençons à travailler, et la direction interministérielle du numérique (Dinum). Or, pour certaines de ces administrations, et je pense en particulier à la Dinum, la feuille de route qui lui a été donnée n’intègre pas la question de la souveraineté numérique de la France.

Ainsi, la mission de la Dinum consiste à fournir des outils à l’État pour le service de l’État. Cela nous donne le sentiment, sans que cela ne traduise un manque de bonne volonté de la part de la Dinum ou du comité stratégique de filière, d’avoir des objectifs parfois orthogonaux. En effet, la voie choisie par la Dinum pour les outils de l’État a consisté à développer ses propres outils au lieu d’utiliser ceux de la filière, ce qui revient à créer un concurrent direct pour cette dernière et la place dans une situation complexe.

Le troisième enjeu est commercial : il s’agit d’engager les acheteurs dans ces processus de changement, compliqués pour tous, qu’ils soient privés ou publics. Certains acheteurs privés sont extrêmement novateurs et moteurs, et d’autres plus conservateurs. Nous devons réussir à initier ce changement, afin que la dynamique s’enclenche, tant pour les commandes privées que pour les commandes publiques, pour lesquelles nous attendons une exemplarité.

En résumé, l’enjeu principal est celui de l’alignement. Il est capital, car nos concurrents sont des « machines » ultra-performantes en termes de marketing et de commerce. Nous avons donc collectivement un défi extrêmement fort. Où sont les buts ? Comment définissons-nous la souveraineté numérique ? À partir de quel pourcentage de commandes publiques ou privées estimerons-nous avoir atteint un équilibre qui nous permette d’avoir confiance dans les solutions européennes ou françaises ?

Ensuite, les joueurs sur le terrain peuvent-ils se faire des passes facilement ? Avons-nous des outils et des standards d’interopérabilité communs et partagés par la filière, afin qu’un acteur privé qui prend le risque de choisir une solution sache qu’il trouvera les mêmes standards dans une autre et disposera des outils pour basculer ? Avons-nous réussi à créer de bons liens avec notre public, c’est-à-dire les utilisateurs pour qui cette filière existe ? C’est aussi un travail mené au sein du comité stratégique de filière, avec des opérations de mise en relation de type matchmaking.

Enfin, sur ce terrain, nous avons besoin d’un très bon arbitre tel l’État ou l’Union européenne, qui sache poser les règles, siffler les fautes et distribuer des cartons rouges. Ce n’est pas toujours le cas aujourd’hui. De plus, cet arbitre devra aller encore plus loin, car nous voyons bien que sur un grand nombre de sujets, dont l’IA, nous aurons besoin de réglementations encore plus ambitieuses. Le défi qui nous attend consiste à reconquérir notre souveraineté numérique ; il est phénoménal. Nous pouvons y arriver, mais cela suppose une volonté commune de tous les acteurs de travailler ensemble et un alignement effectif (organisationnel, technique, économique et commercial) extrêmement marqué au cours des prochaines années.

M. le président Philippe Latombe. Avant de passer la parole à la rapporteure, je tiens à aborder la question de la commande privée et de l’accompagnement de la demande. Nous avons auditionné il y a quelques semaines Capgemini, la plus grande entreprise de services du numérique (ESN) française, qui nous a déclaré très clairement qu’elle se contentait d’accompagner le client : si le client demande un produit, elle le fournit. Or, généralement, on lui demande des solutions Microsoft, Salesforce ou AWS. Elle accompagne la demande du client sans participer à son choix, pouvant tout au plus lui présenter une sorte de bilan avec quelques points positifs et négatifs, mais le client finalise son choix et l’ESN l’accompagne. Elle n’estime pas avoir à s’interroger sur sa manière de procéder. Comment, dans votre esprit, un tel système peut-il fonctionner pour orienter la commande vers des entreprises françaises ou européennes, si les ESN se contentent d’accompagner la demande existante ?

M. Michel Paulin. Nous sommes convenus, et c’est pourquoi nous discutons avec le Cigref, qui représente les grandes entreprises, de ne pas nous focaliser exclusivement sur elles. Si elles sont très importantes et expriment des besoins particuliers, il ne faut pas oublier les petites et moyennes entreprises (PME), les collectivités locales et les très petites entreprises (TPE). La filière française joue un rôle important en fournissant des solutions à l’ensemble de ces acteurs économiques, ainsi qu’aux particuliers.

Pour commencer par le Cigref, nous discutons avec lui de ces sujets. Le lobbying de certains acteurs en situation de monopole de fait entretient la perception et le narratif selon lesquels il n’y aurait pas d’alternative. Le client finit donc par dire : « J’ai besoin des grands acteurs américains qui détiennent 50, 60 ou 80 % du marché. » Je pense cependant qu’il faut prendre de la hauteur et ne pas s’arrêter aux seuls acteurs techniques. C’est la raison pour laquelle j’ai toujours affirmé que l’analyse de la dépendance et de la souveraineté devrait être menée au niveau des conseils d’administration, des comités d’audit, des directions générales et des directions financières.

Quand un acteur comme VMware, racheté par Broadcom, multiplie fortement ses prix, l’impact financier est réel. Or, à ma connaissance, les budgets informatiques de ces grandes entreprises n’augmentent pas dans les mêmes proportions. Il est impératif de mener une vraie réflexion et ne pas reproduire le syndrome IBM des années 1980, où la marque primait sur tout. Il faut s’interroger : quel est mon niveau de dépendance et quels sont les risques financiers, techniques et légaux qui y sont associés ? M. Pouyanné, le PDG de TotalEnergies, a déclaré officiellement l’année dernière qu’il était inquiet de voir les données techniques de ses puits de pétrole hébergées chez un acteur américain. Il a raison, et il faut en assumer les responsabilités.

Je voudrais rappeler l’ordre de grandeur : les acteurs américains du cloud et du SaaS détiennent 83 % de parts de marché. Imaginons que les acheteurs des grandes entreprises décident de flécher 5 % de leurs achats : nous ne parlons pas d’une révolution copernicienne : nous passerions de 83 % à 78 %. Pourtant, l’impact pour la filière, à court et long terme, serait gigantesque : si 5 % de la commande publique et privée des grandes entreprises étaient réorientés, cela représenterait 15 % de croissance pour la filière, soit 3 milliards d’euros de plus. Elle regagnerait des parts de marché au niveau mondial, alors qu’elle en perd actuellement face aux Américains, aux Chinois et à d’autres filières asiatiques plus petites. Cela créerait au minimum 5 000 emplois en France et générerait 1 milliard d’euros de recettes fiscales pour l’État.

Sincèrement, ne pas comprendre cela ou se dire que l’on n’a pas le choix, que l’on est prisonnier d’une solution cloud et que l’on ne peut pas adopter une stratégie multicloud constitue une erreur. Je parle bien d’une stratégie multicloud dans laquelle on consacrerait 5 % à des alternatives, sachant que choisir trois fournisseurs américains, comme le font certains, est ridicule et ne correspond même pas aux standards de l’optimisation. Affirmer qu’il est impossible de ne pas choisir tous les services de tous les hyperscalers américains est faux. Il existe des opérateurs français qui peuvent proposer une partie des solutions dans le cadre d’une stratégie multicloud.

Nous devons sortir du débat consistant à dire qu’il n’existe pas d’alternative. Cela nécessite un peu de courage managérial au bon niveau pour remettre en place une politique d’achat qui favorise les solutions françaises et européennes. Il en va de l’intérêt des clients, même si l’utilisateur final devra parfois modifier légèrement son ergonomie. Les habitudes sont fortes, car on n’aime pas changer d’outil. Mais sincèrement, pour reprendre l’exemple de VMware, il existe en Europe et en France des outils de virtualisation, tout aussi performants, en open source. Utiliser quelques pourcents de son budget pour tester ces solutions, c’est du bon sens.

Il est normal qu’une ESN réponde aux besoins du client. Il nous faut donc convaincre les entreprises. Tel est l’effort que nous allons mener, grâce à la filière. Ainsi, nous organisons des mises en relation. Nous éditons un catalogue de 2 600 solutions françaises, qui montrera aux entreprises qu’il existe un vivier fantastique de solutions innovantes. Nous allons également travailler avec l’Institut national de recherche en sciences et technologies du numérique (Inria) pour fournir des outils permettant de mesurer la dépendance technologique, économique et légale. Cette phase de « factualisation » vise à donner aux décideurs les outils pour comprendre le danger de la dépendance. Je ne parle pas des scénarios de « blackout », qui ne sont plus des fictions à la Black Mirror, mais de scénarios envisageables pour certaines entreprises. Nous allons fournir un grand effort de pédagogie et d’information pour démontrer que dans une stratégie multicloud, multi-accès ou multi-achat, il est toujours possible de réduire sa dépendance. L’éliminer à 100 % est illusoire, mais persister dans une dépendance totale constitue une erreur stratégique pour la majorité des entreprises. Elles le sentent bien, car d’un point de vue géopolitique et économique, cela n’a pas de sens.

Mme Julia Mouzon. Pour compléter, nous voyons effectivement, lors de tous les événements que nous organisons, des précurseurs (early adopters), des entreprises qui se déclarent prêtes à essayer d’opérer ces bascules, de prendre ces risques avant les autres et montrer que cela est possible. Notre objectif vise à capitaliser sur ces entreprises, qui sont particulièrement demandeuses et conscientes de ces enjeux de souveraineté numérique, pour amorcer de façon plus générale des bascules et des changements d’usage.

Mme Cyrielle Chatelain, rapporteure. Vous avez parlé de six leviers ; il m’intéresserait de les connaître tous, car j’imagine qu’ils sont pensés dans leur ensemble.

Ma deuxième question porte sur le fait que, face à un monopole, des acteurs peuvent devenir captifs et être soumis à des augmentations de prix. L’exemple de VMware revient souvent, mais il n’est pas unique. Constatez-vous que ces augmentations de prix entraînent des changements dans les politiques d’achat ? Avez-vous pu observer que des entreprises se tournaient vers d’autres prestataires que VMware pour la virtualisation de leurs machines ? De la même manière, sentez-vous que le changement de positionnement des États-Unis a pu créer plus d’attentes ou de demandes auprès des membres de la filière ?

M. Michel Paulin. Au préalable, je voudrais préciser le périmètre de notre filière, en sachant que certains de mes propos pourraient être repris par d’autres filières, comme celles des infrastructures ou de la sécurité. Le périmètre, défini par l’État, inclut les éditeurs de logiciels, de solutions d’IA, de cloud et d’ordinateurs quantiques. À ce titre, les ESN ne font pas partie de la filière : nous ne représentons donc pas les sociétés de conseil ou les ESN, ce qui complexifie parfois les chiffres que nous pouvons vous donner.

Aujourd’hui, l’estimation de la filière française, c’est-à-dire des sociétés dont la maison mère est en France, correspond à 25 milliards d’euros de revenus. Elle regroupe un peu plus de 3 000 entreprises. La croissance est à deux chiffres depuis quelques années, malgré un ralentissement attendu en 2025. La filière représente plus de 100 000 emplois en France, avec une croissance nette de 5 000 à 6 000 CDI par an depuis cinq à six ans. Cette filière investit massivement en recherche et développement : elle y consacre 22 % de son chiffre d’affaires, soit plus de 6 milliards d’euros, et 24 % de ses effectifs totaux. Elle investit en France, son savoir est en France ; mais elle exporte, puisque 58 % de son chiffre d’affaires est réalisé à l’étranger, essentiellement par les grands opérateurs.

Cependant, cette filière fait face à des défis majeurs. Le premier concerne la taille : une quinzaine d’acteurs américains sont, à eux seuls, plus importants que notre filière entière. Nous espérons que cinq acteurs français franchiront le seuil du milliard d’euros de chiffre d’affaires en 2025 ou 2026, contre quatre aujourd’hui, peut-être grâce à Mistral. De plus, il existe une trentaine d’acteurs de plus de 100 millions d’euros de chiffre d’affaires dans le logiciel. La croissance est donc solide, mais insuffisante. Comparée à des filières plus petites et très spécialisées comme en Corée, à Taïwan ou en Israël, la filière française croît moins vite. Malheureusement, elle perd des parts de marché au niveau mondial, non seulement face aux leaders chinois et américains, mais aussi face à d’autres acteurs, auxquels il faut rajouter l’Inde.

Nous avons donc identifié six leviers. Je commencerai par le plus immatériel : le courage. Il faut sortir du narratif défaitiste. J’ai assisté à des réunions publiques où l’on m’a dit, alors que j’étais directeur d’OVHcloud, que l’entreprise n’avait aucune chance de survivre, alors même qu’elle connaissait une croissance à deux chiffres. Ayons le courage de respecter une filière qui, comme je l’ai dit, est attractive au point d’être rachetée. Il faut aussi assurer une cohérence collective, ce qui n’est pas le cas aujourd’hui. L’État définit des doctrines, mais ne les respecte pas. On prône le « cloud au centre », mais l’essentiel se fait encore sur site (on-premise). De même, on dit qu’il faut faire de l’open source, mais à la fin, c’est Microsoft qui gagne. Il faut donc imposer le respect des réglementations et des doctrines.

Le deuxième levier concerne la commande, dont j’ai déjà parlé, soit le meilleur moyen d’irriguer les capacités financières de la filière.

Le troisième consiste à mettre en place des mécanismes vertueux de renforcement des fonds propres, pour garder nos entreprises avec un ancrage européen. Aujourd’hui, la majorité des grosses levées de fonds et des acquisitions émanent des fonds de private equity anglo-saxons. Il existe donc un risque de captation de nos acteurs économiques, soit qu’ils deviennent à majorité de capitaux étrangers, soit qu’ils soient rachetés dans une optique de consolidation. Cela prouve d’ailleurs que ces acteurs sont des leaders dans leur domaine et que les alternatives existent. Dans les domaines de la santé, de la finance, des ressources humaines, des outils pour les PME ou de l’IA, nous disposons d’entreprises qui intéressent des acteurs étrangers et qui risquent de disparaître de notre filière.

Mme Julia Mouzon. Le quatrième levier est celui de l’innovation. Nous savons en effet qu’innovation et croissance sont très liées. Nous œuvrons pour porter ces sujets et pour assurer une bonne continuité entre l’innovation, très présente dans la société française avec ses grandes écoles, ses universités et ses agences de recherche, et le développement économique des start-up.

M. Michel Paulin. Il faut commander à l’industrie, mais subventionner l’innovation. Je souhaite également l’initiative que nous avons engagée avec l’Inria : nous sommes entrés dans le projet Apollo, qui vise à assurer une continuité de la recherche académique vers la recherche appliquée, permettant de faire émerger des start-up, mais aussi de favoriser l’acquisition d’innovations académiques par les entreprises de la filière. Il est essentiel de continuer à investir dans la recherche privée, publique et académique, et de faire en sorte qu’elles collaborent bien.

Mme Julia Mouzon. Le travail avec le programme Apollo vise à identifier des besoins et des cas d’usage, et à voir comment y répondre pour initier de nouvelles offres.

Le cinquième levier concerne les talents, un enjeu extrêmement important pour la filière, qui a besoin d’être irriguée. La question du savoir-faire des acheteurs publics a été évoquée. Il faut que les questions de numérique et de technologie soient fluides et que tout le monde puisse s’en emparer pour dialoguer. Au-delà, nous avons évidemment besoin d’ingénieurs, de chercheurs et de doctorants actifs sur ces sujets, capables de créer des start-up compétitives au niveau international.

Le dernier levier a trait à la promotion de l’offre française. Comme Michel Paulin l’a rappelé, le comité stratégique de filière est très actif sur ce sujet. Notre mission principale consiste ainsi à augmenter le chiffre d’affaires de la filière, pour la rendre plus solide et plus forte. À cet effet, nous menons de nombreuses actions visant d’une part à la faire connaître. Nous développons notamment un annuaire en ligne des éditeurs français du numérique. À partir de cet annuaire, nous allons créer un catalogue des solutions numériques de confiance, qui sera disponible à partir du mois de juin. D’autre part, nous organisons de nombreuses opérations de mise en relation entre acheteurs et offreurs, souvent en partenariat avec des organisations comme le Cigref, la Caisse des Dépôts ou la Dinum. L’idée consiste ainsi à initier une dynamique, de faire signer des contrats et de montrer par l’exemple que ces bascules sont possibles pour vraiment engager le changement.

M. Michel Paulin. Je compléterai ce point en mentionnant que nous avons aussi lancé l’initiative Open Interop, annoncée la semaine dernière lors d’un événement organisé par la direction générale des entreprises (DGE) et la Dinum. Cette initiative du CSF a pour ambition de spécifier, de documenter et de développer des composants communs open source, pour permettre aux utilisateurs publics et privés une meilleure interopérabilité, une réversibilité, ainsi qu’une sécurité accrue des transferts de données. Il s’agit d’établir un socle technologique commun, documenté, avec des API fédérées, qui permettra aux entreprises de choisir leurs stratégies et aux acheteurs de garantir une forme de réversibilité et d’interopérabilité.

Nous avons organisé cette architecture autour d’un centre de biens communs et de cinq « pétales » : les suites collaboratives, les outils pour les collectivités locales, les outils de cybersécurité, les outils pour le secteur de la santé et les solutions cloud, auxquels nous ajoutons l’IA. Je suis très heureux qu’un hébergeur open source français, OW2, une communauté très active de logiciels libres, ait accepté de s’associer pour être la référence de gouvernance de ces solutions. Une trentaine d’éditeurs de logiciels ont déjà confirmé leur participation. Des associations comme Hexatrust, qui représente les acteurs de la cybersécurité, et la Caisse des dépôts ont aussi confirmé leur engagement. Le Cigref analyse le projet, et nous avons invité la Dinum à y participer, car je pense que l’État devrait s’impliquer.

Il s’agit là d’une initiative concrète pour simplifier le changement d’outil. À ce sujet, les Allemands sont très en avance dans ce domaine. Ils ont lancé l’initiative ZenDiS, dans le cadre d’une démarche qui nous semble vertueuse : l’État a subventionné sept acteurs, dont un Français, pour développer des standards et des biens communs, en s’engageant à les acheter. Tel n’est malheureusement pas le chemin suivi par la Dinum, qui a décidé de développer sa propre suite territoriale. Certains organismes de santé publique développent leurs propres outils, et même des départements créent leurs propres clouds. De son côté, l’État allemand mène une stratégie volontariste depuis deux ans : il finance des développements (l’État français l’a également fait avec France 2030, mais il ne l’utilise pas), s’engage à les acheter et à les utiliser. Ils viennent de créer ce qu’ils appellent le « Deutschland-Stack », un ensemble complet de solutions. La dynamique allemande est très intéressante et devrait nous inspirer, car ils disposent d’une équipe soudée.

Mme Cyrielle Chatelain, rapporteure. Avant d’aborder la commande publique, revenons sur la commande privée, où les masses financières sont conséquentes. Pour cette commande privée, qui est à la main des entreprises, identifiez-vous des actions qui pourraient être impulsées par l’État ou le législateur pour inciter à recourir à des outils européens ? Par exemple, des opérateurs de cloud m’expliquent que, pour les données de santé, la certification des hébergeurs de santé (HDS) n’est aujourd’hui pas obligatoirement souveraine. Ce type de mesure vous semblerait pertinent ? Finalement, la réorientation de la masse des financements privés dépend-elle uniquement de la conviction des entreprises à travers le matchmaking, ou des impulsions peuvent-elles être données par la puissance publique ?

M. Michel Paulin. Oui. On le voit aux États-Unis, où des réglementations comme le Buy American Act ou le Small Business Act imposent à beaucoup d’entreprises privées de privilégier la commande américaine au service de l’industrie américaine. Nous ne disposons pas de tels dispositifs, même si la Commission européenne envisage d’en créer. En attendant, il est nécessaire de travailler sur d’autres leviers.

Je pense en revanche que des obligations légales sur la sécurité, la protection des données et le respect du règlement général sur la protection des données (RGPD) constituent des pistes. Aujourd’hui, on accepte beaucoup d’exceptions aux réglementations. L’Europe est souvent championne des réglementations, mais leur application laisse à désirer. Ainsi, à peine le règlement sur les marchés numériques (DMA) avait-t-il été adopté, qu’une exception a été accordée dès 2022 pour trois les acteurs dominants, AWS, Google Cloud et Microsoft Azure.

L’État, par sa réglementation et ses certifications, doit jouer un rôle pour faire respecter les règles du jeu, et peut-être en créer de nouvelles Quand des données sont accessibles en vertu de lois extraterritoriales comme le Cloud Act et le Fisa, cela n’est pas conforme au RGPD. Quand les données de santé sont accessibles à des tiers, l’État peut-il intervenir, y compris pour les entreprises privées ?

Le bon sens et le respect des réglementations et des doctrines devraient suffire, mais cela n’est malheureusement pas le cas. Avant même de rajouter des réglementations, faire respecter celles qui existent serait déjà un pas important. Cela concerne tout le monde : le public, les collectivités locales, les sociétés publiques et l’État. Nous mettons en place un droit européen, faisons-le respecter.

Mme Cyrielle Chatelain, rapporteure. Considérez-vous qu’aujourd’hui, si les réglementations existantes étaient appliquées correctement malgré leurs faiblesses, elles seraient de nature à permettre le développement de la filière aux niveaux français et européen ? Je pense notamment au règlement sur les services numériques (DSA), au DMA, au RGPD, à l’AI Act.

M. Michel Paulin. La réglementation est souvent pensée pour aider la filière, mais comme elle est parfois non respectée, les résultats s’en ressentent. Aller jusqu’à un Buy European Act, comme cela a été évoqué au Sommet franco-allemand sur la souveraineté numérique à Berlin, serait certainement un signal fort, dans la mesure où tous les autres continents disposent d’un système de fléchage imposé à leur économie pour soutenir l’emploi et la croissance de leurs filières.

Néanmoins, j’en appelle vraiment au respect des réglementations actuelles, car ce levier peut être actionné dès aujourd’hui et affecter tous les acteurs économiques. L’État doit être exemplaire pour lui-même. Malheureusement, il ne l’est pas.

M. le président Philippe Latombe. Concernant cette exemplarité, je voudrais aborder le domaine de l’éducation nationale, qui touche à la question de l’habitude et de l’appropriation des outils. La question s’est posée lorsque de grandes écoles d’ingénieurs comme Polytechnique ou l’École normale supérieure ont décidé de basculer sur Microsoft. Il a ainsi fallu une montée au créneau de toute la filière pour obtenir une marche arrière. Nous avons également appris il y a quelques semaines que le contrat de l’éducation nationale avec Microsoft était prolongé pour trois ans, l’option ayant été levée immédiatement, au motif qu’il n’y avait pas de solution alternative.

Au-delà du simple fait de dire qu’il existe des solutions, qu’est-ce que cela révèle, selon vous, de la capacité de l’État à anticiper l’avenir et à travailler sur des solutions de réversibilité dès le départ ? À ce titre, je peux établir le lien avec le Health Data Hub (HDH). Pendant des mois, on nous a ainsi expliqué que la bascule pourrait se réaliser dans dix-huit mois, mais aucun travail préparatoire n’a été mené, et tout se fait maintenant dans l’urgence. Faut-il revoir quelque chose au sein de l’État en matière de travail sur la réversibilité et l’anticipation des changements technologiques ?

M. Michel Paulin. Les exemples que vous avez pris sur l’éducation nationale et le HDH sont extrêmement révélateurs et peuvent être généralisés à d’autres acteurs publics ou privés.

Laissez-moi revenir sur le cas du HDH, que j’ai vécu chez OVHcloud. Il a été indiqué que les notes présentées à la ministre affirmaient qu’il n’y avait pas de solution alternative. Mais il n’y a eu ni appel d’offres, ni mise en concurrence. Quand il n’y a pas de critères factuels sur la souveraineté comme l’indice de résilience numérique, quand il n’y a pas de concours, comment peut-on certifier qu’il n’existe pas de solution alternative ? Quand j’entends des chefs d’entreprises me dire « vous n’avez pas tous les services », je réponds « lequel ? » ‑ ils ne savent pas vous le dire. En réalité, les véritables questions sont les suivantes : de quoi avons-nous besoin ? Y a-t-il un cahier des charges ? Qui prétend répondre ou ne pas répondre à un besoin quand on ne le lui demande même pas ? Le cas du HDH a été réitéré deux fois sans qu’il n’y ait jamais eu un diagnostic complet et factuel. De fait, lorsqu’une réévaluation de la Commission nationale de l’informatique et des libertés (Cnil) a rendu un avis jugeant la solution non conforme au RGPD, on nous a demandé de formuler une proposition, car nous répondions finalement assez bien aux besoins.

L’éducation nationale a choisi Microsoft, alors même que la doctrine de l’État éditée par la Dinum, consiste à mettre en avant les solutions open source. Qui peut prétendre aujourd’hui que Linux n’est pas une solution alternative crédible face à Windows ? En quoi Linux n’est-il pas capable de répondre à 99 % des besoins d’un utilisateur ? Beaucoup d’appels d’offres sont aujourd’hui biaisés par l’illusion des dernières fonctionnalités que personne n’utilise, mais qui permettent d’écarter les alternatives. En réalité, les utilisateurs utilisent très peu de fonctions issues des logiciels des grands éditeurs américains. Une véritable stratégie de pédagogie doit être menée pour rééduquer les acheteurs et ne pas les laisser se fasciner pour les dernières nouveautés, qui représentent souvent un surcoût. De fait, le HDH est l’exemple concret d’un vice de forme et de procédure qui a abouti à la conclusion qu’il n’y avait pas d’alternative, alors qu’en réalité, la solution avait déjà été choisie.

Mme Julia Mouzon. Pour avoir une bonne stratégie, il faut une bonne organisation. Aujourd’hui, quand nous échangeons avec le ministère du numérique, nous ne nous adressons pas à l’autorité de tutelle de la Dinum, qui relève du ministre de la transformation et de la fonction publique. Nous savons par ailleurs que la Dinum, ou même le Premier ministre lorsqu’il édicte des circulaires sur la commande publique, recommandent mais dans la plupart des cas, n’imposent pas. Sur toutes les questions de sécurité et d’alignement stratégique sur la souveraineté, il existe en réalité une pluralité d’objectifs et d’outils, où chacun va créer, utiliser et choisir ses propres solutions.

Mme Cyrielle Chatelain, rapporteure. Vous avez mentionné le Centre pour la souveraineté numérique de l’administration ouverte (ZenDiS) en Allemagne. Plusieurs personnes auditionnées nous ont parlé de la stratégie allemande, mais en quoi consiste-t-elle ? Quels sont les acteurs impliqués ? Cela m’intéresse d’autant plus que le système allemand est très décentralisé et fédéraliste, et donc différent du nôtre. Si vous avez des éléments, même par écrit, sur son fonctionnement, je serais très intéressée.

M. Michel Paulin. Je vous donnerai l’esprit du dispositif, et nous pourrons vous fournir une description plus complète par écrit. Historiquement, les Allemands avaient trois ministères qui s’occupaient du numérique ; ils les ont regroupés sous une seule autorité. À ma connaissance, le ministère du numérique a désormais autorité sur beaucoup de décisions, ce qui instaure une forme de centralisation, qui n’existe pas en France, où la Dinum propose et chaque ministère dispose.

Ils ont créé une structure, ZenDiS, qui a mandaté des entreprises, dont une française, XWiki, et des sociétés allemandes comme Nextcloud, principalement des éditeurs de logiciels open source, pour répondre à un cahier des charges de besoins spécifiques de l’État, principalement autour du collaboratif et du cloud. L’État a accordé des subventions pour développer ces solutions en open source, les documenter, et s’est ensuite engagé à les déployer au sein des ministères et à les proposer aux Länder, qui conservent leur liberté d’action. Cela a abouti à la création d’outils, dont le « Deutschland-Stack », un package complet couvrant de nombreux domaines comme l’IA, la sécurité et le cloud. Cette initiative a pris une grande ampleur.

L’approche française, il y a quelques années, nous paraissait similaire. Ainsi, France 2030 a lancé une initiative où trois projets, dont un sur les suites collaboratives, ont reçu de l’argent public pour développer, à partir d’un cahier des charges prédéfini, des solutions répondant aux besoins de l’État et des collectivités locales. Mais la Dinum a développé son propre outil sur ses fonds propres, tandis que le ministère de l’éducation nationale choisit Microsoft. L’État lui-même manque de cohérence.

L’Allemagne, a créé une cohérence autour d’une méthode que nous approuvons. Elle consiste à aider à financer une partie du développement, qui est réalisé par la filière, car on ne s’improvise pas éditeur de logiciels. Les acteurs de la filière développent, supportent, versionnent et optimisent les produits, et l’État allemand, ainsi que potentiellement les Länder, les déploient et les achètent. Nous pensons que ce modèle est extrêmement vertueux, car il combine la puissance de l’État et l’expertise de la filière, ce qui permet de la renforcer en faisant grossir ses acteurs, qui peuvent alors investir davantage en R & D.

Mme Cyrielle Chatelain, rapporteure. Cet exemple allemand nous intéresse beaucoup. Dans votre description, plusieurs éléments ressortent. Effectivement, la Dinum n’est pas positionnée comme semble l’être l’administration allemande. Nous restons dans un système où chaque ministère peut développer sa propre stratégie numérique, ce qui pose une question de cohérence.

Cependant, un troisième acteur me semble entrer dans le schéma que vous évoquez : les cabinets de conseil. Aujourd’hui, ce sont eux qui accompagnent les administrations sur de très gros projets numériques. Si l’on reprend l’exemple de la plateforme de données de santé, ils sont en amont pour l’écriture du cahier des charges, puis sur l’accompagnement du développement de solutions. Ce sont des cabinets, dont les ingénieurs sont fortement formés et certifiés sur des technologies spécifiques, comme celles de Microsoft. Il me semble que, d’après ce que vous décrivez, le positionnement de ces cabinets de conseil constitue un des éléments qu’il faudrait sans doute réexaminer si l’on veut disposer d’une stratégie globale et véritablement pilotée. Ces acteurs me semblent stratégiques auprès des administrations françaises aujourd’hui.

M. Michel Paulin. Vous avez tout à fait raison. J’ai évoqué les entreprises de services du numérique (ESN), qui sont d’ailleurs souvent des sociétés de conseil, car la plupart des ESN sont adossées à des cabinets de conseil. La force de ces plateformes réside aujourd’hui, comme vous l’avez souligné, dans leur capacité d’influence. Lorsqu’elles fournissent gratuitement des logiciels à des universités ou des crédits d’accès au cloud, comme c’est le cas de l’École polytechnique qui a un accord avec l’un des grands Gafam, les étudiants sont formés exclusivement à ces solutions. En entrant dans la vie active, ils présentent inévitablement un biais, et je suis entièrement d’accord avec vous sur ce point.

C’est pourquoi il nous faut agir. Sur le plan réglementaire, je ne sais pas ce qu’il est possible de faire, mais il est impératif que la filière continue d’argumenter et de prouver que cette dépendance ne se réalise pas au bénéfice des clients, que ce soit sur le plan économique, légal ou technologique.

Nous menons donc tout un travail de pédagogie pour démontrer que dépendre à 100 % d’une technologie issue d’un seul pays ou d’un bloc de pays présente des risques imprévisibles. Lorsque l’administration américaine a décidé d’augmenter les droits de douane, les Chinois ont menacé de cesser leurs exportations de terres rares, et la mesure a été aussitôt suspendue. Cet exemple illustre la puissance que peuvent détenir certains acteurs en situation de dépendance. Il faut donc mettre en avant, factuellement, que la souveraineté, synonyme de liberté, est menacée. Il faut démontrer que ces monopoles de fait réduisent nos libertés.

Je prendrai un autre exemple, sur lequel porte la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique (loi Sren), dont nous attendons d’ailleurs toujours les décrets d’application. La loi Sren a clairement identifié que les crédits cloud et les egress fees – ces mécanismes contractuels et financiers qui empêchent la réversibilité – représentent des freins. La loi les interdit, il faut la faire appliquer. Je suis d’accord avec vous, mais les ESN et les intégrateurs écoutent leurs clients. Nous devons donc redoubler d’efforts pour démontrer à ces derniers que de telles solutions ne servent pas toujours leur intérêt.

Pour en revenir aux ordres de grandeur, il est illusoire de croire que le monde de l’informatique peut fonctionner en autarcie. Aujourd’hui, aucun pays ne peut être totalement autonome sur l’ensemble de la chaîne de valeur technologique, ou stack. Seule la Chine ambitionne une telle autonomie, ce qui explique pourquoi elle redéveloppe des systèmes d’exploitation et toute une stratégie sur les composants pour créer un stack complet. Même les États-Unis dépendent d’autres pays dans de nombreux domaines, par exemple du néerlandais ASML pour la gravure des processeurs graphiques (GPU) de Nvidia.

Aujourd’hui, personne ne peut être intégralement indépendant. En revanche, le rapport de force, y compris pour une entreprise lors de la négociation de ses contrats, constitue la clé. Il est donc essentiel de rétablir un rapport de force dans les négociations commerciales, afin de ne pas être à la merci de quelques oligopoles qui ne manqueront pas de nous tondre la laine sur le dos.

Mme Cyrielle Chatelain, rapporteure. Je pense que vous avez raison. Si l’on reprend les grandes masses, j’ai retenu que les achats d’entreprises européennes vers des solutions américaines représentent environ 285 milliards de dollars. C’est une masse conséquente et, comme vous le disiez, réorienter ne serait-ce que 5 % de ces achats permettrait déjà de consolider solidement notre filière, avant de la faire croître et de continuer à gagner des parts de marché.

Un problème se pose aujourd’hui : nous n’avons pas de vision consolidée des dépenses de l’État dans sa pluralité de formes, que ce soit l’État central ou les grands organismes associés. Le montant dont je dispose, évoqué lors de précédentes auditions, est d’environ 4 milliards d’euros de dépenses pour le numérique au niveau de l’État, ce qui correspond aux annonces de la ministre en charge du numérique et du ministre en charge de la fonction publique, qui étaient de 4,5 milliards d’euros. Nous restons donc dans cet ordre de grandeur. Le budget de la Dinum est de l’ordre de 70 ou 80 millions d’euros. J’entends la frustration de la filière, mais la question de la concentration sur ces 80 millions d’euros de la Dinum constitue-t-elle véritablement le point clé de la stratégie ? Ce sujet est revenu très souvent. En termes d’ordre de grandeur, n’aurions-nous pas plutôt intérêt à nous concentrer sur les 3,9 milliards d’euros restants de commandes publiques ?

M. Michel Paulin. Nous ne faisons pas une fixation sur la Dinum, mais son rôle devrait être de faire respecter les doctrines qu’elle édicte elle-même sur l’ensemble des 4 milliards d’euros de dépenses. L’estimation pour le logiciel seul est comprise entre 400 millions d’euros et 600 millions d’euros. On peut également extrapoler aux entreprises publiques : la SNCF représente 2 milliards d’euros, et la RATP 600 millions d’euros, de mémoire. Les enjeux sont donc très importants.

Il ne s’agit donc pas d’une fixation sur les 60 millions de la Dinum. Au contraire, concernant la suite collaborative territoriale, l’estimation qui nous a été fournie est de 10 millions d’euros à 12 millions d’euros par an pour son développement. Nous pensons que cela n’est pas suffisant pour en faire une alternative à Microsoft. Nous pensons, comme la Cour des comptes, que cette initiative est vouée à l’échec, non seulement parce que les moyens sont insuffisants, mais aussi parce qu’elle crée un compétiteur qui fragilisera une filière que l’on dit déjà trop petite. Quoi qu’il en soit, l’État n’est pas exemplaire en la matière.

Mme Julia Mouzon. La commande publique ne représente, comme nous l’avons indiqué, que 3 à 5 % du marché total. L’enjeu n’est donc pas tant son poids économique que la question du narratif. La Dinum mène très bien sa mission, avec d’excellents éléments, mais ses objectifs ne sont pas alignés avec ceux de la filière. En effet, la stratégie de la Dinum ne comporte aucune mesure visant à favoriser l’émergence d’acteurs français et européens de premier plan dans le numérique.

Selon les chiffres de la direction des achats de l’État pour 2024, les achats informatiques de l’État s’élèvent à 4,256 milliards d’euros, dont 426 millions d’euros pour les achats directs de logiciels. Mais encore une fois, l’enjeu est d’ordre narratif. Lorsque les acteurs de la filière, ou même ses clients, lisent dans la presse que le ministère de l’Éducation nationale choisit un hyperscaler américain, ou que l’entité en charge des achats et de la sécurité numérique de l’État préfère développer ses propres applications plutôt que de solliciter la filière pour alimenter ses chaînes de valeur, le narratif devient extrêmement délétère.

Nous souhaitons donc un alignement organisationnel. Nous travaillons avec la Dinum, nos échanges téléphoniques sont quasi quotidiens et très constructifs, mais nos missions respectives sont aujourd’hui désalignées, ce qui est très préjudiciable. J’ajoute que l’efficacité des produits américains et de leur approche repose en grande partie sur cette question du narratif, sur l’histoire qu’ils racontent et qu’ils réussissent à imposer. Nous avons aussi une histoire à imposer : celle d’une filière numérique française forte. Encore une fois, nous disposons de pépites qui se font racheter par des Américains, par des hyperscalers. Nous avons des « pépites », des entreprises si performantes et excellentes qu’elles traversent l’Atlantique, grâce à notre excellent système d’enseignement supérieur. Il faut que nous les valorisions, et pour cela, nous avons besoin que l’État joue dans la même direction.

Mme Cyrielle Chatelain, rapporteure. Je partage plusieurs de vos constats, mais j’ai aussi quelques points de désaccord. Premièrement, je suis absolument d’accord avec vous sur la nécessité de changer de narratif. Le discours d’un État qui choisit de dépendre de grands outils numériques américains est dommageable, car il ne valorise pas la qualité de notre filière.

Précisément, la valorisation de cette filière est un enjeu majeur. Vous avez évoqué la manière d’empêcher nos pépites de partir. Comment consolider les fonds propres et les capacités d’investissement pour permettre à ces entreprises de se développer en France ou en Europe, surtout dans un contexte de bulle autour de l’intelligence artificielle et d’augmentation du prix du matériel ? Comment soutenir ces acteurs pour qu’ils n’aient pas besoin de chercher des financements ailleurs ? Ce sujet me semble distinct de celui de la commande publique et de la Dinum.

S’agissant spécifiquement la Dinum, il existe des acteurs privés français de qualité, mais l’État a fait le choix, de manière logique, de développer ses propres compétences en interne. En tant qu’acteurs de la filière, votre objectif consiste à la renforcer. En tant que législateur, je trouve pertinent que l’État dispose d’une capacité de développement autonome, en plus de ses collaborations avec les acteurs privés. Les intérêts du public et du privé ne coïncident pas toujours, cette pluralité d’acteurs est appréciable.

Par ailleurs, vous avez mentionné la perte de compétences dans les achats publics. J’ai également entendu dire que les responsables des achats publics dans le numérique ne sont pas toujours formés pour comprendre la typologie des acteurs, les différentes briques technologiques nécessaires, ou la manière de segmenter un appel d’offres pour permettre à différents acteurs de se positionner.

Je pense que nous nous rejoindrions sur le fait que la Dinum devrait jouer un rôle plus important pour assurer la cohérence de l’État sur ses 4 milliards d’euros de dépenses. Cependant, je ne suis pas convaincue que mettre fin à la suite logicielle développée par la Dinum, qui doit coûter quelques dizaines de millions d’euros, réponde à l’enjeu global. Je ne suis pas sûre que cela affaiblisse par exemple autant le « narratif », le récit. Vous collaborez avec eux. Pour reprendre votre métaphore footballistique, j’ai l’impression que la concurrence actuelle entre un opérateur d’État et des opérateurs privés nous fait nous battre dans les divisions inférieures, pendant que d’autres acteurs jouent en Ligue des champions, sur le marché européen des 280 milliards de dollars, mais aussi sur les milliards de commandes de l’État. Sortons de ce petit championnat, où l’on se dispute 80 millions d’euros ; et montons d’un cran, pour nous concentrer au minimum sur les 4 milliards de l’État, les 2 milliards de la SNCF et les 600 millions de la RATP, voire pour viser les 285 milliards d’euros du marché européen.

M. Michel Paulin. Vous avez raison. Je ne fais pas une fixation sur la Dinum ; il s’agit uniquement de la question de l’exemplarité de l’État et de la commande publique. En soi, elle ne change pas à elle seule les règles du jeu, ni les ordres de grandeur. En revanche, je maintiens qu’il est dans l’intérêt des clients de maîtriser leurs dépendances. Cette question de souveraineté, que je préfère nommer « maîtrise des dépendances » pour les entreprises, doit être traitée au niveau des conseils d’administration, car le numérique est aujourd’hui capital pour la productivité et le développement. Nous parlons peut-être trop de la Dinum, mais elle est censée représenter la stratégie de l’État.

Par ailleurs, vous avez évoqué les fonds propres. Les acteurs anglo-saxons disposent de moyens considérables pour leurs levées de fonds et leurs acquisitions. En Europe, le capital-risque fonctionne plutôt bien pour les phases d’amorçage, mais dès que les levées de fonds deviennent importantes, notamment dans l’intelligence artificielle et le quantique, l’Europe, et la France en particulier, éprouvent des difficultés. Dans le domaine du quantique, que je connais un peu, un de nos compétiteurs américains, une start-up, a levé un milliard de dollars pour un produit qui ne sortira que dans deux ou trois ans. Lever un tel montant en conservant un ancrage européen est très difficile, à l’exception de quelques cas adossés à des projets exceptionnels.

Pourquoi ? D’abord, parce que les Américains disposent de fonds de pension qui investissent massivement et de poches d’investissement extrêmement puissantes dans la technologie. Ensuite, ils sont aidés par des organismes comme la Defense Advanced Research Projects Agency (Darpa), très proche de la défense américaine, qui passe des commandes très en amont, ce qui rassure les investisseurs. Ce mécanisme de financement des start-up américaines, principalement dans les secteurs de la défense et de l’espace, crée un cercle vertueux où l’argent public amorce la pompe et attire d’importants fonds privés.

Nous possédons des pépites françaises, mais réaliser une levée de fonds significative, supérieure à 100 millions d’euros, avec 80 % de fonds français relève du défi. J’avais d’ailleurs travaillé par le passé pour l’Assemblée nationale sur les incitations fiscales liées à ces sujets. Quoi qu’il en soit, il est clair que l’Europe, et la France en particulier, souffre d’un déficit d’investissement à long terme, contrairement à d’autres pays qui se sont dotés de fonds de pension. Nous parlons en effet de sociétés qui ne seront pas rentables avant plusieurs années. Pourtant, grâce à nos universités, nos grandes écoles et nos laboratoires, nous disposons d’excellents experts mondiaux dans le quantique, l’IA et les systèmes agentiques. Comment les faire passer à l’échelle ? Le cas de Mistral est un formidable succès dont nous devons être fiers, mais nous avons besoin de plusieurs Mistral. Cela passe par une cohésion de l’ensemble des acteurs, bien au-delà du sujet anecdotique de la Dinum, pour que de telles réussites se répètent.

Mme Julia Mouzon. Nous sommes évidemment d’accord sur la nécessité d’avoir un État fort dans le domaine du numérique, avec des compétences internes capables de développer et de réaliser des projets. La Dinum a d’ailleurs de très beaux succès à son actif, comme FranceConnect et FranceConnect+, que nous utilisons tous au quotidien. La question est donc de savoir comment nous pouvons travailler ensemble. Certains sujets créent du bruit et des interférences, mais il est évident que nous devons collaborer pour réussir à passer en première division.

M. Nicolas Bonnet (EcoS). Vous avez souligné ce que vous percevez comme une concurrence entre le secteur public, en évoquant plusieurs fois la Dinum, et le secteur privé. Je n’ai pas bien compris comment cet agencement pourrait être amélioré. J’ai du mal à reprocher à la Dinum, par exemple, d’avoir travaillé sur une suite bureautique à base de logiciels libres ou ouverts pour permettre aux administrations de disposer de systèmes français ou mis en place par l’État. Quelle stratégie commune pourriez-vous proposer pour une meilleure collaboration entre le public et le privé ?

Ensuite, lorsque vous évoquez les solutions cloud, de quoi parlez-vous précisément ? S’agit-il des suites bureautiques comme Office 365, des systèmes de stockage de type drive, ou d’autres services ?

Enfin, comment articulez-vous la filière française et les logiciels ouverts ? La filière française ne se compose pas uniquement de logiciels ouverts. Je ne saisis pas bien votre positionnement. Vous mettez parfois en avant l’offre intéressante des logiciels ouverts, mais quelle serait votre stratégie pour la maximiser ? De mon point de vue, il est préférable de développer au maximum les logiciels ouverts et réutilisables. Quand vous parlez de « filière française », faites-vous référence aux intégrateurs, aux développeurs ou aux hébergeurs ?

M. Michel Paulin. La filière que je représente regroupe 3 000 entreprises qui sont exclusivement des éditeurs de logiciels. Elle n’inclut ni les sociétés de conseil ni les ESN ; je ne suis pas légitime pour les représenter. Au sein de cette filière, on trouve des éditeurs de logiciels, des fabricants d’ordinateurs quantiques, des fournisseurs de cloud – à distinguer des fournisseurs de SaaS – ainsi que des éditeurs de logiciels open source et propriétaires. Ma mission consiste à représenter l’ensemble de ces acteurs.

Concernant la Dinum, je vous rassure à nouveau, je ne fais pas de fixation. Cependant, je pense, comme la Cour des comptes, que la solution retenue ne sera pas bonne ; et qu’elle contribuera à fragiliser la filière. Mais mon propos porte surtout sur la cohérence de l’action de l’État et l’utilisation de l’argent public. Lorsqu’une multiplicité d’acteurs publics se lancent dans le développement de code en pensant pouvoir devenir éditeur de logiciels, je crois que c’est une illusion. Mais le sujet principal concerne la cohérence de l’action commune entre les différents acteurs. La filière représente 25 milliards d’euros de chiffre d’affaires ; ce n’est donc pas le projet de suite collaborative de l’État qui changera la perspective.

Mais un cloud ne se résume pas à un éditeur de messagerie hébergée. Un opérateur de cloud, comme OVHcloud ou Cloud Temple, fournit environ 150 services : stockage, compute, services de réseau, ainsi que toute une gamme de services de plateforme (PaaS) hébergés dans des data centers comme Kubernetes, c’est-à-dire des systèmes de conteneurisation qui aident les développeurs à travailler plus facilement. Le marché européen du cloud, sans compter les solutions logicielles qui reposent dessus, devrait atteindre 300 milliards d’euros d’ici 2030, dépassant ainsi le marché des télécoms. Ces outils sont utilisés par les informaticiens et les éditeurs de logiciels. Par exemple, les acteurs de l’IA utilisent des bases de données, des jeux de données (data sets) et des instances de GPU pour entraîner leurs modèles d’algorithmes. Ces services sont principalement destinés aux informaticiens, et 80 % du marché européen est aujourd’hui contrôlé par trois acteurs américains, soumis aux lois extraterritoriales, ce qui pose un réel problème de dépendance légale.

De nombreux acteurs français développent leurs solutions cloud sur des systèmes open source, notamment OpenStack. Cependant, un outil open source n’est pas nécessairement simple à gérer. C’est là qu’intervient le travail des éditeurs. Au sein de la filière, nous promouvons l’initiative Open Interop, qui vise à créer des mécanismes d’interconnexion et de réversibilité entre les acteurs, qu’ils soient open source ou non. À travers des API documentées et des communs open source, il s’agit de permettre à l’utilisateur d’interopérer.

C’est ce que nous pouvons faire au niveau de la filière, et nous sommes en contact avec nos homologues allemands, très avancés sur ce sujet, pour définir des standards communs. L’objectif consiste à réduire les coûts de réversibilité, souvent le principal obstacle au changement, que ce soit à cause de clauses contractuelles comme les egress fees ou de la complexité technique de la migration.

Mme Cyrielle Chatelain, rapporteure. Vous avez mentionné le rapport de la Cour des comptes sur la suite numérique de l’État. Il me semble que ce rapport d’avril 2024 évalue son coût à environ 75 euros par an et par agent, contre 300 à 590 euros pour des licences privées, qui sont majoritairement américaines, puisque de nombreux ministères utilisent encore Microsoft. Avez-vous une estimation du coût par agent pour une offre équivalente développée par la filière française ?

Ensuite, que pensez-vous du projet OpenBuro porté par la Dinum et Linagora ? Voyez-vous des pistes de collaboration entre la Dinum et les membres de la filière sur des produits à forte valeur ajoutée ? Troisièmement, il est effectivement impossible d’interrompre toutes les dépendances. Si vous deviez vous concentrer sur une ou deux couches technologiques du stack, lesquelles seraient prioritaires pour renforcer notre souveraineté ? Faut-il investir en priorité dans les infrastructures de cloud, le développement logiciel ?

M. Michel Paulin. Je n’ai pas d’estimation précise des coûts, mais je sais que des opérateurs français proposent des solutions de suites collaboratives open source, dont certaines ont d’ailleurs été financées par l’État par le passé.

Concernant OpenBuro, nous avons demandé une analyse claire de l’initiative et je ne peux donc pas vous donner d’avis pour le moment. Je rappelle toutefois qu’un certain nombre de composants choisis pour la suite numérique de l’État, comme Grist ou Docs, ne correspondent pas aux choix faits par les autres acteurs des communautés open source. Nous défendons aussi une forme de souveraineté dans les contributions : le monde de l’open source français est l’un des plus actifs d’Europe, mais les États-Unis y ont une force considérable. C’est pourquoi nous avons choisi de nous appuyer sur le consortium OW2, afin de garantir une présence européenne forte de nos développeurs et contributeurs.

Quant aux priorités, tout le monde s’accorde à dire que les solutions cloud revêtent une importance capitale, en tant que « moteur » caché de tout ce qui se construit : infrastructures, bases de données, gestion des données. En termes de souveraineté, le cloud représente un enjeu majeur, d’autant plus qu’il a été la cible de réglementations américaines comme les lois Fisa et le Cloud Act.

Le deuxième domaine concerne l’intelligence artificielle. Nous observons une double tendance à l’horizontalisation et à la verticalisation de la part des grands acteurs. L’horizontalisation consiste à vous vendre un ensemble de fonctions bundled, dont vous n’avez souvent pas besoin, pour augmenter les prix. La verticalisation vous impose l’hébergement : tel logiciel ne fonctionnera que sur leur cloud ou celui de leur partenaire, généralement américain. Autour de l’IA, cette verticalisation est en train de créer des stacks où l’essentiel de la valeur ajoutée sera extrêmement dépendant des États-Unis. Il existe déjà un monopole de fait de Nvidia sur les GPU. L’IA représente un potentiel de transformation gigantesque pour toute l’industrie, mais la mécanique des grands éditeurs de logiciels américains vise à vous priver de tout choix.

La dépendance « douce » aux outils bureautiques est certes difficile à briser, car il est très compliqué de convaincre un utilisateur de changer un outil qu’il maîtrise depuis dix ans. Mais d’un point de vue stratégique, si je devais choisir deux domaines de dépendance critique, ce seraient le cloud et l’intelligence artificielle.

M. le président Philippe Latombe. À titre personnel, j’apprécie votre premier point sur le cloud.

Après avoir massivement délocalisé leur développement informatique en Inde, de grandes entreprises, notamment des banques, rapatrient désormais leurs opérations en Europe sous l’effet de réglementations comme le règlement sur la résilience opérationnelle numérique du secteur financier (Dora). Elles commencent même à envisager de rapatrier le développement. Dans ce contexte, l’arrivée d’IA agentiques comme Cloud Code va-t-elle complètement transformer la filière ? Les chiffres sur l’emploi que vous avez donnés sont-ils encore une base fiable pour les deux prochaines années, ou doit-on d’ores et déjà anticiper une restructuration et ne plus raisonner en se disant que 22 % de la R & D se fera forcément avec des développeurs employés en France ou en Europe ?

M. Michel Paulin. Il est clair que l’arrivée des outils d’intelligence artificielle dans le développement, le support ou le marketing transformera radicalement les métiers, et pas seulement dans la filière numérique. Par exemple, des sociétés comme OpenClaw sont en train de bouleverser la manière de générer des outils informatiques, grâce des agents intelligents. Le logiciel pourrait devenir invisible, les utilisateurs programmant directement des agents qui interagissent avec des bases de données. L’adoption de ces outils au sein de notre filière est une nécessité.

Il faut saisir les opportunités, tout en mesurant les risques, notamment en matière d’emplois et de dépendances. Si tous les outils que nous utilisons sont des outils que nous ne maîtrisons pas, une grande partie de l’expertise et de l’évolution s’effectuera ailleurs. Cet enjeu est encore plus crucial pour notre filière, mais aussi pour tous les utilisateurs, car l’IA révolutionnera l’ensemble des usages en entreprise. Il est donc indispensable que nous continuions à renforcer nos propres outils, que nous les maîtrisions et que les entreprises qui les proposent aient un ancrage européen, ne serait-ce que pour les valeurs qu’elles portent et la manière dont les données sont utilisées.

Puis-je vous garantir que la création d’emplois dans la filière est assurée pour les dix prochaines années ? Certainement pas. En revanche, je suis certain que si nous n’avons pas une filière forte, le développement se réalisera ailleurs.

M. le président Philippe Latombe. Je vous remercie. Si des éléments que nous n’avons pas abordés vous semblent importants, n’hésitez pas à nous les communiquer.

* *

Audition, ouverte à la presse, de M. Nicolas Guillou, juge à la Cour pénale internationale (mercredi 8 avril 2026)

Mme Cyrielle Chatelain, rapporteure. Monsieur Guillou, je vous remercie de prendre le temps de nous répondre en visioconférence. Je vous prie de bien vouloir excuser l’absence du président Philippe Latombe.

À la suite d’un mandat d’arrêt contre le Premier ministre israélien que vous avez approuvé en tant que juge à la Cour pénale internationale (CPI), vous avez été personnellement placé sous sanctions par le département du Trésor des États-Unis, ce qui vous prive des services numériques fournis par les entreprises américaines. Nous ne discuterons pas de cette décision de la CPI mais des menaces que font peser sur notre souveraineté ou sur l’indépendance de la justice une trop grande dépendance vis-à-vis des services numériques d’un seul pays.

Je vous remercie de nous déclarer au préalable tout intérêt public ou privé de nature à influencer vos déclarations.

L’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter le serment de dire la vérité, toute la vérité, rien que la vérité.

(M. Nicolas Guillou prête serment.)

M. Nicolas Guillou, juge à la Cour pénale internationale. Contrairement à la plupart des personnes que vous auditionnez, je n’ai aucune légitimité dans le domaine de la souveraineté numérique. Je suis un utilisateur lambda de services numériques, à la fois du point de vue personnel et du point de vue professionnel.

Mais je suis amené à témoigner devant vous en raison de ce qui m’est arrivé, qui montre ce qui pourrait arriver à chacun et chacune d’entre nous du fait de notre comportement ou des décisions que nous sommes amenés à prendre dans le cadre de notre activité professionnelle. Il y a donc des risques pour les citoyens français et, d’une manière plus générale, pour la souveraineté française.

Quelques mots sur mon parcours. Je suis un magistrat français. J’ai commencé ma carrière il y a plus de vingt ans comme juge d’instruction et, après différentes fonctions internationales – j’ai notamment été magistrat de liaison aux États-Unis – et positions dans des juridictions pénales internationales pour le Liban et le Kosovo, j’ai été élu juge à la CPI en décembre 2023 à New York. J’ai commencé mon mandat il y a deux ans. J’ai prêté serment en mars 2024 et je siège dans trois chambres de la CPI : une chambre de jugement, la chambre des réparations et la chambre préliminaire I sur la situation en Palestine, que je préside.

Je vais décrire très rapidement ce qui m’est arrivé, afin de vous laisser poser les questions que vous souhaitez et parce que je ne veux pas trop me répéter, m’étant déjà exprimé dans les médias sur le sujet.

J’ai été placé sous sanctions en août 2025. Je ne suis pas le premier magistrat de la CPI à l’avoir été. Avant moi, il y avait eu le procureur et quatre autres juges venant de plus petits pays. C’est un point à noter : dans les placements sous sanctions, on observe une évolution du degré de proximité avec les États-Unis.

Ce n’est pas la première fois que les États-Unis imposent des sanctions à des magistrats de la CPI : il y a plus de cinq ans, ils avaient placé sous sanctions la précédente procureure, Fatou Bensouda, ainsi que son directeur de la coopération internationale, Phakiso Mochochoko. Mais ces sanctions avaient été levées rapidement puisqu’elles étaient intervenues à la fin de la première présidence de M. Trump.

Ce n’est pas non plus la première fois que les États-Unis ont une attitude de défiance par rapport à la CPI : le « Hague Invasion Act » est à ma connaissance toujours en vigueur ; en outre, des accords internationaux ont été conclus avec certains pays pour freiner la coopération des États parties avec la Cour lorsque celle-ci pouvait mettre en cause des militaires américains.

Les sanctions dont je fais l’objet ont globalement trois volets.

Premier volet : l’interdiction de se rendre sur le territoire américain. Elle touche tous les magistrats de la CPI sous sanctions. C’est valable pour les personnes sous sanctions mais aussi pour leur famille proche, c’est-à-dire les conjoints et les enfants. Si certains de vos enfants font des études aux États-Unis, ils sont immédiatement expulsés.

Deuxième volet : le gel des avoirs aux États-Unis. Si vous avez un compte en banque ou n’importe quel avoir aux États-Unis, il est gelé. Cela vaut aussi pour la banque des Nations unies, puisque son siège est dans ce pays et qu’elle applique les sanctions.

Tout cela représente cependant à peine 1 % des conséquences des sanctions. Leurs vraies conséquences résident dans l’interdiction pour toute personne physique ou morale américaine, y compris les filiales et leurs employés, de fournir ou de recevoir des services d’une personne sous sanctions. Ce qui veut dire en pratique que tous les comptes que vous avez auprès de fournisseurs ou d’entreprises américaines sont clôturés et que toute tentative de contracter avec une entreprise américaine va être bloquée.

Cela a des conséquences dans deux domaines principaux et dans quelques domaines accessoires.

Les deux domaines principaux sont bien sûr le numérique – ce n’était pas une surprise, parce que nous avons tous conscience de notre dépendance – et le domaine bancaire, particulièrement celui des moyens de paiement – ce qui était davantage une surprise pour moi. Je me suis rendu compte à cette occasion que si le président des États-Unis vous place sous sanctions, vous n’avez plus aucun moyen de paiement si vous êtes français puisque les banques françaises ne peuvent plus en fournir un qui n’est pas américain.

Nous pourrons évoquer les autres domaines si vous le voulez. Il s’agit soit d’autres formes de dépendance vis-à-vis des États-Unis, qui peuvent par exemple se manifester dans le domaine de la culture, soit de ce qu’on appelle l’overcompliance, c’est-à-dire la surconformité – ça m’est arrivé en matière de santé et je pourrai également vous l’expliquer si vous le souhaitez.

Mme Cyrielle Chatelain, rapporteure. Pourriez-vous préciser ce qu’est la surconformité et quelles ont été ses conséquences pour vous ?

Les sanctions sont appliquées depuis plusieurs mois. Des banques françaises se sont-elles donné les moyens de vous proposer des solutions pour que vous retrouviez des instruments de paiement ?

M. Nicolas Guillou. Je vais d’abord répondre à votre deuxième question si vous m’y autorisez.

J’ai découvert à l’occasion des sanctions que toutes les cartes de paiement commercialisées en France étaient des cartes Visa et MasterCard. Nous avons le réseau Cartes bancaires (CB), qui est utilisé pour plus de la moitié des paiements – et c’est une très bonne chose. Mais, en fait, les banques françaises ne délivrent plus des cartes seulement CB. Toutes les cartes sont « cobadgées ». De ce que j’ai retenu de mes échanges avec les services de l’État et avec la Banque de France – qu’il serait intéressant que votre commission entende à ce sujet –, il n’y a pas d’obstacle technologique qui empêche de délivrer une carte seulement CB. L’obstacle est juridique : les banques ont contractuellement donné des monopoles à Visa et à MasterCard. De ce fait, elles ne sont juridiquement plus en mesure de fournir des cartes qui ne soient pas américaines.

La conséquence très pratique pour moi est que ma carte – une Visa, comme pour à peu près tous les Français – a été annulée. Et je n’ai toujours pas de carte avec ma banque française. Je n’ai pas de moyen de paiement. On m’indique qu’il faudra attendre Wero, qui sera probablement en place fin 2027. En tout cas, aucune banque ne m’a proposé un compte avec une carte CB. D’ailleurs, peu de banques sont intéressées par des clients comme moi. J’ai essayé de me rapprocher indirectement de plusieurs banques, mais aucune ne souhaite avoir des clients sous sanctions.

Ma banque française m’a gardé, ce qui est un point important, et elle a fait preuve d’un très grand professionnalisme. Mais nous n’avons pas, systémiquement, de solution de paiement, ce qui veut dire que cela peut arriver à n’importe qui : en pratique, une décision du président américain peut déconnecter n’importe quel Français de tous ses moyens de paiement.

Votre deuxième question portait sur la surconformité.

L’impact des sanctions revêt trois aspects.

Le premier concerne notre dépendance technologique, principalement en matière numérique. Pour simplifier, nous n’avons pas d’acteur français ou européen capable de fournir les mêmes choses ou avec le même niveau de service ou d’intégration que les acteurs américains. On le voit bien s’agissant de certains services informatiques. Ou alors on s’est mis dans une dépendance technologique, comme c’est le cas pour le groupement des cartes bancaires.

Le deuxième aspect a trait à l’exterritorialité des sanctions : pour éviter d’être eux-mêmes poursuivis et sanctionnés aux États-Unis, des opérateurs européens vont brider vos contrats pour qu’il n’y ait plus aucun critère de rattachement avec ce pays. Ils vont donc limiter les services qu’ils offrent en Europe pour éviter d’être poursuivis aux États-Unis. Il s’agit vraiment d’extraterritorialité : c’est un moyen d’empêcher la fourniture de services en Europe par des opérateurs qui ne sont pas américains, mais qui pourraient risquer des poursuites en cas de US Nexus, comme on dit en anglais. Vous ne pouvez donc plus faire de transactions en dollars ni dans des monnaies qui utilisent le dollar – c’est-à-dire pratiquement toutes les monnaies de la planète, si j’ai bien compris, à l’exception de celles des États de l’Union européenne qui n’ont pas adopté l’euro. Il est également impossible de réaliser des transactions avec des acteurs américains.

Enfin, l’effet de ces sanctions a un troisième aspect, que je n’ai pas découvert tout de suite. Il s’agit de l’alignement totalement volontaire d’entreprises européennes sur les sanctions, soit parce qu’elles ont pris l’habitude de le faire automatiquement et sans vraiment se poser de questions, soit par choix, parce qu’elles souhaitent minimiser les risques pesant sur leurs profits.

C’est ce qui m’est arrivé avec mon assurance santé. Je travaille dans une organisation internationale. Nous ne sommes pas rattachés à un système de sécurité sociale comme celui que nous avons en France. Nous avons un assureur privé, qui traite les demandes de remboursement quand on va chez le médecin ou le dentiste, comme le fait la sécurité sociale ou la mutuelle en France. Deux acteurs s’en occupent pour la CPI : le premier est AXA, l’un des plus grands assureurs français, et le deuxième est la société française MSH International, qui s’occupe de l’administration des demandes de remboursement. Plusieurs mois après avoir été placé sous sanctions, j’ai découvert que je ne recevais plus aucun remboursement en matière de santé.

En pratique, deux entreprises françaises ont arrêté de rembourser les dépenses de santé d’un citoyen français, alors qu’elles ont été faites sur le sol européen, qu’il n’y a aucun élément de rattachement aux États-Unis, que la transaction n’est pas en dollars et qu’aucune des parties n’est de nationalité américaine. Des sociétés françaises vont s’aligner sur les États-Unis parce qu’elles ne veulent pas prendre de risques par rapport à d’éventuelles sanctions, secondaires ou autres. Leur objectif est en tout cas de pouvoir commercer le plus possible avec les États-Unis. Nous avons affaire à une logique qui consiste globalement à maximiser les profits et, pour cela, elles désassurent les citoyens qui sont censés bénéficier de leurs services.

Le plus surprenant dans cette histoire est que vous n’êtes même pas prévenu. AXA et MSH ne m’ont jamais dit qu’ils avaient arrêté de m’assurer parce que j’étais sous sanctions. MSH a arrêté le traitement administratif de mes demandes et a tout laissé en attente. J’ai envoyé un message pour demander ce qui se passait et on m’a répondu d’une manière assez pudique que tout cela était « due to an ongoing internal audit process » – dû à un processus d’audit interne en cours.

Encore une fois, tout cela veut dire que n’importe quel citoyen français peut être désassuré par son assureur sans être au courant si jamais il fait quelque chose qui déplaît aux États-Unis. Vous pouvez avoir assuré votre voiture et votre maison auprès d’AXA, mais si votre voiture est cassée ou votre maison brûle et que vous êtes sous sanctions parce que vous avez fait quelque chose qui déplaisait aux États-Unis, en pratique vous n’allez pas être remboursé. C’est ce qui m’arrive en ce moment.

Mme Cyrielle Chatelain, rapporteure. Selon vous, l’alignement d’entreprises françaises sur les sanctions américaines dans des domaines où il n’existe aucun lien avec les États-Unis a-t-il un fondement légal ? Je suis assez étonnée qu’on puisse de cette manière priver des prestations auxquelles elle a droit une personne qui se conforme à son contrat avec son assurance maladie.

M. Nicolas Guillou. Je n’en vois pas. En tout cas, ça ne m’a certainement pas été notifié puisqu’il ne m’a même pas été dit que je n’allais pas être remboursé.

Tout est bloqué. C’est un moyen pour une société de limiter les risques mais, en faisant cela, elle laisse ses clients en rase campagne.

M. Éric Bothorel (EPR). Je suis sidéré par ce que je réentends. J’ai un peu plus de chance que vous, parce que je n’ai été qu’interdit d’accès à la Maison-Blanche : je n’ai pas le traumatisme d’être privé de services directement liés à ce qui est produit par les Américains, ou prétendus tels.

Je pense que les assurances se réfugient – c’est un abri de fortune – derrière le fait qu’elles ne sont pas obligées de couvrir une personne. Il arrive parfois qu’elles décident unilatéralement de supprimer une police d’assurance. Je ne suis pas sûr que leur décision ne soit pas contestable et qu’il n’y ait pas de recours possible. En tant que législateur, nous devrons nous interroger sur ce sujet.

Vous avez évoqué des conséquences surprenantes dans le domaine culturel. Pouvez-vous nous en dire plus ? Cela nous paraîtra probablement surréaliste et totalement inattendu. Je ne vois pas bien en quoi elles peuvent consister, mais je m’attends au pire. De quoi êtes-vous privé ?

M. Nicolas Guillou. Ma vie personnelle est devenue un laboratoire de la perte de souveraineté. Ce qui m’arrive me fait réaliser l’ampleur de notre dépendance au quotidien : tout ce qui ne fonctionne plus dans ma vie quotidienne, c’est de la dépendance. À ma grande surprise, je découvre chaque mois de nouvelles choses qui ne marchent pas faute d’alternative.

J’ai parlé de la culture car, il y a peu, j’ai voulu aller voir un concert à l’Olympia. Il était plein, mais il y avait des places en revente. Sauf que le seul site de revente était américain et a bloqué ma transaction. Donc un Français qui veut aller voir un concert dans une salle française ne peut pas acheter de billet parce que l’un des intermédiaires de la chaîne est américain. Et c’est valable aussi pour la musique, le cinéma : tout est numérique et passe par des plateformes qui sont des filiales d’entreprises américaines, ou dont le paiement est géré par une société américaine. Donc l’accès à tout cela est bloqué.

On se rend compte qu’il y a beaucoup plus de choses que celles auxquelles on pense au départ parce qu’elles sont typiquement américaines, comme les réseaux sociaux ou d’autres services informatiques. De nombreux services s’appuient sur des outils informatiques reposant sur une solution américaine, ce qui fait que vous n’y avez plus accès.

Un point me semble très important : il ne suffit pas d’avoir une entreprise française ou européenne, encore faut-il que toute la chaîne de contrats soit européenne. Si le moindre acteur en est américain, c’est bloquant. Prenons l’exemple de Wero : si on veut des moyens de paiement autonomes, souverains, il est très important que la solution informatique sur laquelle ils s’appuient soit elle aussi entièrement européenne, sinon nous n’atteindrons pas notre objectif.

M. Hervé Saulignac (SOC). Merci pour votre témoignage. Jusqu’à présent, je n’avais pas de souci particulier avec les Américains, mais peut-être vais-je finir par en avoir à l’issue de nos travaux…

Pourriez-vous nous donner quelques éléments sur la mise en œuvre des sanctions ? Savez-vous si, derrière, il y a un service ? Leur application a-t-elle été graduelle ? J’ai cru comprendre que vous découvriez au fil du temps qu’un certain nombre de services ne vous sont plus accessibles.

Vous êtes l’objet de sanctions en votre qualité de magistrat ; vous avez été, d’une certaine façon, une cible politique. Beaucoup se demandent si des sanctions à grande échelle sont possibles. J’imagine que vous vous êtes beaucoup intéressé à ce qui vous arrive et que vous avez réfléchi à l’hypothèse d’une attaque massive des États-Unis pour bloquer une partie de l’économie française, le système bancaire ou assurantiel. Ce qui vous est arrivé pourrait-il se produire pour un grand nombre de nos concitoyens ?

M. Nicolas Guillou. Les sanctions sont généralement gérées par des services qui dépendent du Trésor du pays en question. Aux États-Unis, c’est l’Ofac (Office of Foreign Assets Control) qui gère la liste des personnes sous sanctions. Vous pouvez la consulter sur leur site, elle est publique. Entre 15 000 et 17 000 personnes y figurent – essentiellement des terroristes d’Al-Qaïda et de Daech, des trafiquants de stups internationaux, des personnes coupables de graves violations des droits de l’homme dans le monde et désormais, au milieu de tout ça, onze magistrats de la CPI. En France, c’est géré par le ministère de l’économie et des finances, en lien avec une sous-direction du Quai d’Orsay.

Il faut comprendre que, fondamentalement, le système de sanctions repose sur une forme de privatisation. Les sanctions se traduisant principalement par un refus de services, ce sont les sociétés privées qui en sont le vecteur. Ce sont elles qui vont être « monitorées », contrôlées, pour s’assurer qu’elles ne délivrent plus de services. J’ai découvert à quel point les États étaient démunis. Les services de l’État français ont une marge de manœuvre très faible vis-à-vis de ces sociétés, qui se conforment à ces sanctions parce qu’elles ne veulent pas risquer d’avoir des problèmes avec les États-Unis. Ils ne peuvent pas leur imposer de ne pas appliquer les sanctions et de maintenir leurs services. Je me suis rendu compte d’une vulnérabilité absolument gigantesque. Plus il y a de services pour lesquels il n’existe pas de concurrent européen, ou dont les entreprises pratiquent la surconformité, plus l’impact des sanctions est important, plus elles sont difficiles à vivre et plus la menace est importante.

Quant à votre deuxième question, effectivement, rien n’empêche les États-Unis d’opérer une forme de déconnexion plus vaste, à grande échelle. Au-delà des juges internationaux, des sanctions ont été prises contre des juges nationaux dans d’autres pays, notamment au Brésil, puis contre d’anciens commissaires européens. De toute façon, ces processus fonctionnent toujours à peu près de la même façon : ils visent d’abord les défenseurs des droits de l’homme, puis les médias et la justice, ensuite le législateur et, s’il faut aller un cran au-dessus, le pouvoir exécutif. Thierry Breton a été placé sous sanctions, bien que sous un régime différent du mien, on peut donc tout à fait imaginer que ce soit développé à plus grande échelle.

Mais le danger, à mon sens, n’est pas tant la déconnexion massive de millions de personnes que le fait qu’elle cible des décideurs publics, car la simple menace de vivre ce qui m’arrive est susceptible de modifier le comportement d’un certain nombre d’entre eux. C’est un danger pour l’État de droit. Je pense aux procureurs, aux juges, aux avocats qui refuseraient de défendre, aux parlementaires – députés, sénateurs, députés européens – qui auraient peur de voter la loi, aux services de la Commission européenne en matière de concurrence, ou à tous ceux de l’Union européenne chargés d’exécuter le DMA (Digital Markets Act) ou le DSA (Digital Services Act), les règlements sur les marchés uniques et sur les services numériques. Toute une série d’acteurs publics peuvent renoncer à prendre une décision en raison du risque d’être placé sous sanctions ; c’est alors la peur qui gagne. Or si la peur dicte nos décisions, on en vient à un système qui se rapproche d’un régime autoritaire. Le système judiciaire des pays qui ne sont plus des démocraties fonctionne ainsi : vous n’avez plus besoin de dire au juge la décision à prendre ; la peur est généralisée, les juges décident ce qui satisfait le pouvoir. Voilà le véritable danger. Cette menace représente un risque fondamental pour l’État de droit en France et en Europe.

M. Éric Bothorel (EPR). C’est un point essentiel. La justice – internationale, dans votre cas – est indépendante. Mais l’administration américaine est le bras armé d’une pensée politique : son attitude pose la question de la préservation de l’indépendance d’un certain nombre de structures, y compris le pouvoir législatif ou judiciaire. Peut-on continuer à être un juge indépendant malgré la menace d’être privé de libertés essentielles ?

Nicolas Guillou est un nom assez répandu en France. Avez-vous eu connaissance de Nicolas Guillou qui se seraient plaints d’une coupure de leur abonnement à Netflix ? Comment les Américains font-ils pour s’assurer que le Nicolas Guillou qui cherche à s’abonner, par exemple, ou qui avait un abonnement est bien le juge et pas quelqu’un d’autre ?

Je ne veux pas que vous dévoiliez comment vous arrivez à vous en sortir, mais j’imagine qu’il existe des voies de contournement dans un certain nombre de domaines. Même si cela ne règle pas tout et que tout n’est pas interopérable, il y a des téléphones sous Linux, toutes les messageries ne sont pas américaines. Je pense à votre place de concert : même si ce n’est pas la solution idéale, peut-être quelqu’un d’autre l’a-t-il achetée pour vous ?

Comment les personnes chargées d’appliquer cette sanction vérifient-elles que c’est bien vous qu’elles vont atteindre, et pas un autre Nicolas Guillou, qui habiterait à Paimpol ou ailleurs ? Des Guillou – ou Guilloux –, en Bretagne, il y en a quelques-uns… J’espère que tous les Nicolas Guillou du monde ne souffrent pas d’avoir été privés d’un coup de leur carte bancaire.

M. Nicolas Guillou. J’ai beaucoup de peine pour tous mes homonymes, et ils sont nombreux ! Vous êtes breton comme moi ; vous savez donc que le nom de Guillou est très répandu dans l’ouest de la Bretagne. Et mon prénom est l’un de plus répandus de ma génération – pendant mon service militaire, on était sept sur trente-cinq à s’appeler Nicolas.

De ce que je perçois, les services compliance des sociétés françaises ou américaines regardent les nom et prénom ainsi que la date de naissance avant de rechercher d’autres informations – est-ce le numéro de passeport, autre chose ? Je n’ai pas d’informations particulières à ce sujet.

J’ai constaté parfois des annulations préventives. Juste après ma mise sous sanctions, j’ai tenté de réserver une chambre d’hôtel sur Expedia. Puisque je n’avais pas de compte auprès de cette société, elle n’avait pas d’autres informations sur moi que mon nom et mon prénom. Cela lui a suffi pour annuler la transaction, en m’indiquant par e-mail que l’annulation ne serait levée que si je prouvais que je n’étais pas le Nicolas Guillou placé sous sanctions. Les sociétés peuvent donc réagir de différentes façons. Certaines annuleront toutes les transactions avec un « Nicolas Guillou » – pour ces cas-là, je m’excuse vraiment auprès de mes homonymes. D’autres essaieront de chercher davantage d’informations avant de bloquer la transaction.

J’ai essayé de faire une transaction avec Booking, site sur lequel j’avais un compte. J’ai vu apparaître un pop-up où il fallait indiquer des tas d’informations complémentaires sur mon lieu de naissance, et cetera, qui ne m’avaient jamais été demandées auparavant pour une transaction en ligne. J’en ai conclu que c’étaient les critères qui servaient à Booking à discriminer entre les clients.

Une des principales difficultés est que ce régime de sanction a été élaboré en commun par l’Europe et les États-Unis pour lutter contre le terrorisme. On ne s’est donc pas beaucoup posé ces questions au début : les sanctions ont été conçues comme émanant d’une décision de l’exécutif, quasiment sans contrôle du juge – la Cour de justice de l’Union européenne a imposé un contrôle du juge en 2008, par l’arrêt Kadi, mais c’est à peu près tout. Personne n’avait imaginé qu’un système visant ceux qui violent le droit international pourrait être retourné contre ceux qui sont censés le faire respecter.

Ce qu’il faut désormais, c’est mettre fin au couplage automatique des processus de compliance en Europe et aux États-Unis. Cela ne se fera pas du jour au lendemain et cela impliquera une réflexion importante au sein de la profession et des services conformité des grandes entreprises, mais celles-ci doivent être capables de distinguer entre les sanctions européennes et les sanctions non européennes, puis, au sein de celles-ci, entre celles qu’elles souhaitent appliquer et celles qu’elles ne souhaitent pas appliquer.

M. Éric Bothorel (EPR). Quel est votre sentiment sur le soutien – ou le manque de soutien, d’ailleurs – de la communauté politique au niveau de la France et de la Commission européenne ? Comment appréciez-vous les moyens déployés pour remédier à l’injustice dont vous faites l’objet ? À nos yeux, elle est évidente : ce n’est quand même pas normal qu’un juge soit traité comme un narcotrafiquant, un terro de Daech et cetera, vous n’avez pas commis ce genre de crimes !

M. Nicolas Guillou. Dès ma mise sous sanctions, j’ai reçu un soutien très net et très clair des services de l’État. Le ministre des affaires étrangères a publié un communiqué pour rejeter catégoriquement ces sanctions. Le garde des sceaux m’a contacté très rapidement et s’est engagé à faire tout ce qu’il pouvait pour améliorer la situation. Je suis en lien régulier avec les services de l’État et les cabinets ministériels.

Mais nous n’avons pas les solutions. C’est la première fois que ce type de problème survient. Dans la mesure où les sanctions sont essentiellement appliquées par le secteur privé, c’est toute la réponse qui doit être inventée. C’est ce qui est compliqué et qui donne parfois l’impression d’être un peu seul.

Pourtant, un outil juridique a été prévu pour un tel cas : le règlement de blocage européen. Celui-ci permet à la Commission européenne d’interdire aux opérateurs en Europe d’appliquer des sanctions – dès lors que les opposants à une telle mesure n’atteignent pas la minorité de blocage.

C’est probablement à ce niveau que ma déception a été la plus forte. Selon moi, en matière de protection de la souveraineté européenne, autant le Parlement européen souhaite vraiment avancer, autant il n’y a pas de prise de conscience des enjeux et des risques au sein de la Commission européenne, pour l’instant.

Je dois quand même dire que plusieurs députés européens m’ont contacté très rapidement. J’ai pu faire des visioconférences avec eux. Surtout, la présidente de la commission des affaires économiques et monétaires du Parlement européen, Aurore Lalucq, a mené un travail formidable sur ces questions, bien avant ma mise sous sanctions. Cela fait des années qu’elle travaille sur la souveraineté monétaire et économique. Elle avait donc déjà identifié tous ces risques – mais elle prêchait un peu dans le désert, malheureusement.

Ce qui m’est arrivé montre qu’il va falloir faire aboutir ses combats – l’euro numérique, l’émergence de champions européens, la lutte contre l’overcompliance –, et sans doute beaucoup plus rapidement qu’on ne le pensait.

Mme Cyrielle Chatelain, rapporteure. Si j’ai bien compris, le règlement de blocage européen n’a pas d’équivalent en France et la France a demandé qu’il soit appliqué, mais, à ce stade, elle n’a pas de retour des autres États membres ou de la Commission européenne. C’est bien ça ? Votre cas particulier devrait faire consensus au niveau européen. Quels sont les freins ?

M. Nicolas Guillou. Je ne suis pas associé aux discussions à ce sujet au niveau européen ; je n’ai donc que des informations indirectes et je ne suis pas le mieux placé pour donner l’état du débat.

Le règlement de blocage européen, qui a déjà plusieurs décennies, permet d’ajouter un régime de sanction adopté par un État tiers à la liste des sanctions que l’Europe refuse. Il permettrait ainsi d’interdire aux opérateurs économiques européens d’appliquer les sanctions américaines, au motif qu’elles sont infondées.

Certains sont défavorables à l’activation du règlement de blocage. Pour eux, cette solution n’est pas idéale car, outre qu’elle ne supprime pas les risques aux États-Unis, elle confronterait les entreprises à deux ordres juridiques différents. Certes. Mais cette mesure constituerait un message politique fort de l’Union européenne en faveur d’institutions auxquelles elle croit. Compte tenu de l’histoire de l’Europe depuis la Seconde guerre mondiale, la justice pénale internationale est au cœur du projet européen, la prévention des crimes les plus graves doit tous nous toucher au cœur.

Toutefois, un certain nombre d’États, de groupes ou de commissaires européens ont peur de déclencher l’application du règlement, car ils craignent de déplaire aux États-Unis. C’est toujours un peu la même chose : ils veulent éviter des droits de douane, entre autres mesures.

Mme Cyrielle Chatelain, rapporteure. Outre vous-même, les sanctions prises dans le cadre de l’attaque de la CPI visent sept autres juges et trois procureurs, si mes chiffres sont bons. Certains magistrats sont-ils plus vulnérables du fait du moindre niveau de protection dans leur pays ? Comment la Cour s’est-elle adaptée à ces sanctions et, si elles étaient étendues à l’ensemble de ses membres, quel serait le risque pour son activité ?

M. Nicolas Guillou. Nous avons tous été soumis au même régime de sanctions. Toutefois, les conséquences pratiques sont plus ou moins importantes selon la situation personnelle de chacun. Plus vous aurez de liens avec les États-Unis ou plus le système bancaire de votre pays dépendra des États-Unis, plus vous serez affecté. À l’inverse, plus votre pays sera grand ou plus son système économique sera puissant, plus vous pourrez bénéficier des solutions alternatives d’entreprises locales et du soutien de l’État.

La Cour fait ce qu’elle peut pour nous aider, mais elle n’a pas de solution miracle. Elle repose sur les États ou sur les organisations multilatérales comme l’Union européenne pour réussir et continuer à fonctionner. Nous sommes dans un moment de vérité : les États et l’Union européenne croient-ils vraiment ou non au droit international ?

Outre les sanctions individuelles contre des magistrats, la Cour elle-même risque d’être visée par des sanctions institutionnelles, donc de subir tout ce qui m’est arrivé. À un tel niveau de risque, la mobilisation, notamment de l’Union européenne et des États européens, est fondamentale.

Mme Cyrielle Chatelain, rapporteure. Nous relaierons ce point auprès de nos collègues.

Microsoft a suspendu l’accès de la Cour pénale internationale à plusieurs services, notamment à des outils du quotidien tels qu’Outlook et Office 365. Toutefois, malgré la force des monopoles dans le secteur informatique, il existe des solutions alternatives, notamment libres. La CPI a ainsi choisi de déployer la suite bureautique allemande OpenDesk. Comment avez-vous vécu cette migration, en tant qu’utilisateur ? D’autres solutions libres ont-elles été implantées et pour quels outils les solutions alternatives font-elles défaut ?

M. Nicolas Guillou. Je n’appartiens pas au service de la Cour qui gère les évolutions informatiques ; je ne suis qu’un consommateur des services informatiques.

Le processus de migration vers des solutions non américaines est en cours. Il est mené avec rapidité et sera un succès. Les solutions européennes que nous avons identifiées ne constituent pas encore un équivalent parfait des produits américains, mais elles vont nous permettre de fonctionner en autonomie.

L’important est que les solutions européennes existent, même si ce ne sont pas les plus visibles. Le secteur numérique européen est prêt, il est très demandeur, et il est capable de s’adapter.

La difficulté est qu’il n’y a pas encore d’acteur européen capable de fournir une solution clé en main comprenant la totalité des services informatiques. Il faut donc assembler les services de différentes sociétés. Peut-être faudrait-il donc travailler au niveau européen sur l’élaboration de solutions globales pour faciliter les processus de transition ?

En tout cas, la CPI trace un chemin qui permettra à beaucoup d’acteurs européens d’évoluer vers davantage de souveraineté à l’avenir. Ce qui nous arrive peut arriver à n’importe quel individu ou média européen. Il faut s’y préparer. Nous, en tout cas, on le fait, et on va réussir.

Mme Cyrielle Chatelain, rapporteure. Nous vous souhaitons beaucoup de succès.

Lors de leur audition au Sénat, les représentants de Microsoft se sont montrés tatillons sur les mots. Pour être précise : quand on dit qu’ils ont suspendu l’accès, cela signifie que les membres de la CPI concernés n’ont plus eu accès à leur mail dans Outlook et à Office 365 ?

M. Nicolas Guillou. Je ne peux pas donner trop de détails, mais à ma connaissance, la position de Microsoft a évolué avec le temps – à certains moments, il ne fallait plus rien fournir aux personnes sanctionnées ; à d’autres, ce n’était plus le cas. Microsoft fait un arbitrage assez fort entre ses obligations juridiques et les conséquences pour son business model.

Ce qu’il faut retenir, c’est que pour les personnes physiques ou morales mises sous sanctions, les services américains vont s’arrêter et que les entreprises américaines n’ont aucun moyen de faire autrement.

Tous les contrats souscrits en Europe sont donc vulnérables – qu’ils l’aient été par des individus, des sociétés, des pouvoirs publics ou des acteurs associatifs. N’importe quelle décision du président américain peut y mettre fin.

Ceux qui ont souscrit à une solution incluant du cloud, de la mémoire, peuvent ainsi perdre accès à toutes leurs archives numériques du jour au lendemain. Il me paraît essentiel que les États, les opérateurs économiques et les particuliers intègrent cet aspect dans leurs décisions en matière de commerce. Il est fondamental que nous puissions nous protéger contre les menaces de coupure d’accès à ce genre de produits.

Mme Cyrielle Chatelain, rapporteure. Je vous remercie d’avoir pris le temps de nous répondre et vous souhaite bon courage dans cette bataille pour trouver des outils alternatifs.

Nous profiterons de la prochaine table ronde avec les acteurs du secteur bancaire pour relayer vos questions sur les cartes de crédit et les liens juridiques entre les banques et Visa ou Mastercard.

M. Nicolas Guillou. N’hésitez pas à leur demander dans quelle banque je pourrais ouvrir un compte et me procurer une carte, puisque je n’ai toujours pas réussi à le faire et qu’il est compliqué d’obtenir des réponses à ce sujet.

Ces enjeux dépassent l’individu lambda que je suis et même la justice internationale. Ils sont très importants pour notre pays. Au moment où nous mesurons notre besoin de souveraineté, où nous aspirons à y accéder – le prochain porte-avions s’appellera France libre –, nous découvrons que nous avons perdu notre liberté dans de nombreux pans de la vie quotidienne. Il est indispensable de la retrouver. Nous y parviendrons grâce à la technologie, à notre puissance économique, mais aussi, dans une large mesure, grâce au droit.

Il est possible, et même probable, que la représentation nationale dispose de leviers beaucoup plus nombreux que l’on n’imagine pour garantir la continuité de service et protéger nos concitoyens dans leur vie quotidienne.

Je vous remercie beaucoup pour cette audition.

* *

Table ronde, ouverte à la presse, sur les services de paiement (mercredi 8 avril 2026)

La commission entend lors de sa table ronde sur les services de paiement :

– Mme Maya Atig, directrice générale de la Fédération bancaire française (FBF), et M. Jérôme Raguénès, directeur numérique et moyens de paiement ;

– M. Erick Lacourrège, directeur général des moyens de paiements de la Banque de France, et M. Olivier Fliche, directeur du pôle Fintech-Innovation de l’Autorité de contrôle prudentiel et de résolution (ACPR) ;

– Mme Martina Weimert, directrice générale de European Payments Initiative/Wero ;

– M. Philippe Laulanie, directeur général du Groupement des cartes bancaires (GIE CB).

M. le président Philippe Latombe. Je vous souhaite à tous la bienvenue et vous remercie de vous être rendus disponibles.

Nos moyens de paiement européens sont, ou étaient, très dépendants de solutions et d’entreprises américaines, notamment Visa et Mastercard. Pour y remédier, plusieurs initiatives ont vu le jour. Le groupement des Cartes Bancaires est ancien, tandis que la solution Wero est plus récente. Quelle proportion des paiements européens transite par des solutions extra-européennes ? Comment estimez-vous notre degré de dépendance aux solutions extra-européennes pour les paiements ? Toutes ces questions feront l’objet de nos discussions.

Je vous laisserai la parole pour un propos liminaire de cinq à dix minutes chacun. Je vous demanderai de ne pas être trop longs, afin que nous puissions ensuite échanger sous forme de questions-réponses. Je vous remercie de nous déclarer au préalable tout autre intérêt, public ou privé, de nature à influencer vos déclarations.

(Mmes Maya Atig, Martina Weimert et Narinda You et MM. Jérôme Raguénès, Érick Lacourrège, Olivier Fliche et Philippe Laulanie prêtent serment.)

Mme Maya Atig, directrice générale de la Fédération bancaire française. Je tiens tout d’abord à vous remercier d’avoir associé la question des paiements à vos travaux sur la dépendance à l’égard du numérique. Il s’agit bien entendu d’un élément considérable du quotidien de chacun.

Je dirais que la France a tenu compte de la question de la souveraineté depuis très longtemps dans ses choix d’investissement et ses choix industriels en matière de moyens de paiement. Historiquement, de très nombreux moyens de paiement sont nationaux. Les espèces, le chèque, et tous les moyens de paiement qui existent sous forme papier ont été, pendant une longue période, des moyens de paiement souverains, fabriqués en France et non transportables à l’extérieur. Ce sont les flux internationaux et la numérisation qui ont conduit à développer d’autres outils.

Le groupement des Cartes bancaires existe depuis plus de quarante ans en Europe. Son cas est particulier, quoiqu’il ne soit pas unique, dans la mesure où la communauté bancaire a choisi, avec le soutien des autorités, de développer ce dispositif aux côtés et en « cobadgeage » avec les réseaux internationaux, développés à l’origine par des acteurs anglo‑saxons.

Le rapide développement technique, en France, a permis que 80 % des paiements par carte aient lieu avec une carte cobadgée CB. Ce chiffre recouvre l’essentiel des paiements nationaux. Les 20 % restants correspondent d’une part aux paiements internationaux, et d’autre part aux paiements nationaux effectués avec une carte qui n’est pas cobadgée CB.

La question de la souveraineté est donc plus importante que jamais. Nous l’avons constaté lors de la crise du covid, mais également au travers des travaux menés depuis près de vingt ans sur la résilience, définie comme la capacité à régler des incidents et à traiter très rapidement des questions de dépendance. Au-delà de ce problème de résilience, la souveraineté touche au libre choix des consommateurs et des entreprises, à leur capacité à faire jouer la concurrence et à trouver des offres correspondant à leurs objectifs, ainsi qu’à la capacité à intégrer de nouvelles technologies.

L’attractivité, en matière d’offres et de qualité de service, des acteurs internationaux combinée aux investissements massifs consentis par ces acteurs pour se développer en Europe laisse peu de place à l’émergence de nouveaux dispositifs purement nationaux. La position de la France, dans ce domaine de la souveraineté, est cependant nettement meilleure qu’ailleurs car le sujet est connu. Les acteurs y sont sensibles et n’ont pas attendu les événements les plus récents pour s’y intéresser.

Cette souveraineté s’envisage aujourd’hui au niveau européen. Une initiative privée, Wero, s’est développée avec le soutien de certaines banques centrales, dont la Banque de France. Son lancement et son fort développement opérationnel depuis un an, qui s’intensifiera encore au cours des dix-huit prochains mois, permettent à chacun de constater qu’il existe une alternative européenne puissante. Elle se positionne aux côtés des systèmes internationaux, qui ont leur propre dynamique à la fois européenne et extra-européenne, mais aussi aux côtés de dispositifs nationaux qui peinent parfois à se moderniser, faute d’investissements de leurs actionnaires, et qui trouvent avec Wero un relais qui pourra être extrêmement intéressant.

Si les positions relatives à la souveraineté peuvent diverger selon les acteurs, notre conviction, à la Fédération bancaire française, est que nous n’avons pas de problème de souveraineté, au sens où nous disposons de solutions existantes qui répondent à une grande partie des problématiques et qui peuvent s’amplifier dans le temps pour limiter au strict minimum les dépendances externes.

M. Philippe Laulanie, directeur général du groupement des Cartes bancaires. Je souhaiterais présenter, en quelques minutes, l’histoire du groupement des cartes bancaires, qui se trouve au centre de notre souveraineté historique.

Il y a quelques jours, lors du troisième sommet Cartes bancaires, qui a rassemblé 3 000 personnes et plus de 100 industriels, commerçants et régulateurs au Louvre, le Président de la République a tenu à rappeler que, dans notre monde géopolitique chahuté, les paiements ne sont pas neutres. Ils sont au croisement de la mobilité, du commerce, des services publics, de l’e-commerce, de la santé, de l’inclusion sociale et même de l’action publique. Il a reconnu « l’atout historique formidable de notre filière nationale CB », a qualifié le paiement de « dernier kilomètre de la souveraineté économique » et a appelé tous les acteurs financiers à avoir recours au cobadging.

Dans cette même enceinte, le gouverneur de la Banque de France a salué CB comme un élément central de la stratégie des paiements français. Il l’a désigné, dans le plan 2030 du Comité national des moyens de paiement (CNMP), que préside Érick Lacourrège ici présent, comme la « première ligne de défense souveraine » des paiements nationaux français, la deuxième ligne étant Wero et la troisième l’euro numérique.

CB n’est pas qu’un réseau de paiements entre banques. C’est un écosystème vital pour la France et pour le quotidien des consommations et des citoyens, qui rassemble les industriels de la monétique et les commerçants, via un conseil consultatif qui réunit toutes leurs fédérations, ainsi que des associations de consommateurs. C’est une plateforme réunissant 85 membres, dont JPMorgan, la plus grande banque privée mondiale, mais également des acteurs industriels internationaux et français tels que Worldline, Adyen ou Stripe. CB propose également des titres-restaurants dématérialisés, qui forment le deuxième collège du GIE CB depuis 2016. C’est un modèle coopératif et non mercantile, créé en 1984 sous l’impulsion de Pierre Bérégovoy, afin de soutenir l’invention industrielle de la carte à puce, dans le cadre des plans de l’aménagement des territoires et des télécoms. C’est donc une filière française soutenue par l’État et déployée par les banques au service de nos citoyens, sous la surveillance de la Banque de France pour les aspects sécuritaires et inclusifs.

Cette filière est encore aujourd’hui française de bout en bout : de la puce, que nous pouvons fabriquer en indépendance et libre de droits grâce à notre histoire industrielle, au terminal d’acceptation chez les commerçants, et jusqu’aux rails et usines de traitement des transactions, qu’elles soient dans les banques ou mutualisées au sein de la société STET.

En 2024, l’usage de la carte en France a dépassé celui du liquide : 48 % pour la carte, 43 % pour le cash, et 5 % de paiements mobiles qui sont à 90 % des paiements par carte. La carte est donc au centre du modèle de distribution et de paiement en France. Aucun incident n’a été relevé pendant la crise du covid et la montée en charge des paiements sans contact. Des records ont été battus l’année dernière, avec 50 millions de transactions en une seule journée lors du Black Friday, ce qui démontre la résilience et l’élasticité de nos systèmes.

95 % des paiements de détail français – carte, cash, mobile – sont domestiques et gérés par CB. Ce n’est pas nécessairement le cas dans d’autres pays. En Allemagne, par exemple, l’e-commerce est dominé par PayPal. Sur les 5 % restants, 3 % sont des paiements intra-européens et 2 % des paiements extra-européens. Le paiement est donc avant tout un enjeu domestique.

En matière de sécurité, nous enregistrons deux fois moins de fraudes que les réseaux de cartes internationaux grâce à des traitements assurés par une intelligence artificielle entraînée exclusivement sur des données françaises qui ne sont ni revendues ni adressées à l’étranger, et à des systèmes totalement souverains. La fraude sur la vente à distance, qui était un problème majeur, a baissé de 45 % grâce à la mise en œuvre du règlement DSP2 RTS avec les commerçants, les industriels, les banques et les régulateurs.

CB, c’est aussi une histoire d’innovation. Nous avons été les premiers au monde à adopter la carte à puce EMV, alors que les Américains ont attendu dix à vingt ans supplémentaires pour en bénéficier. En 2012, Michel Sapin a impulsé le paiement sans contact, dont le nombre de transactions est passé de 600 millions en 2016 à 8 milliards aujourd’hui. Cette montée en charge, sur dix à quinze ans, a été amplifiée par le covid. Le relèvement du plafond du paiement sans contact à 50 euros a été déployé en six semaines et a permis de fluidifier les transactions durant cette période, tout en absorbant 8 milliards de transactions.

CB est aujourd’hui présent dans l’ensemble des paiements : pour retirer du cash, pour payer en proximité avec ou sans contact, et pour payer par mobile. En effet, 90 % des transactions via des solutions comme Apple Pay sont en réalité des paiements par carte. Sur le plan de la sécurité, ces paiements digitaux profitent de toute l’histoire et de la robustesse du système CB.

En matière de standardisation, la France et l’Europe ont déployé un standard appelé CPACE, qui permet de bénéficier d’une puce libre de droits de tout acteur américain.

CB est également une vigie, souvent méconnue, de notre sécurité nationale. Le flux de données CB est le plus important de France. Si le gouvernement nous le demande pour des raisons de lutte contre le terrorisme, nous pouvons lever l’anonymat des données. Nous l’avons fait pour arrêter un terroriste qui prenait de l’essence. Plus récemment, lors de la crise sanitaire du lait contaminé, nous pouvions réconcilier le ticket de caisse et la personne qui a acheté le produit pour retrouver la boîte de lait.

Concernant l’extraterritorialité américaine, nous l’avons vue à l’œuvre pour les Jeux olympiques, où les paiements dans les enceintes étaient exclusivement Visa. Ni Mastercard ni CB n’étaient autorisés.

Enfin, CB protège chaque année plusieurs milliards d’euros de valeur nationale, et ce depuis quarante ans. Le coût d’une transaction CB est en moyenne dix fois moins important pour un commerçant français, la fraude est divisée par deux ou trois, et les données sont totalement sécurisées, non revendues et non externalisées. L’intérêt du cobadging CB, qui évite que les données partent à l’étranger et permet d’activer le système Visa ou Mastercard si CB était en panne, ou inversement, doit être réaffirmé, comme le prévoit le plan du Comité national des moyens de paiement. Il est en effet alarmant de constater que 60 % des paiements européens ne sont plus souverains et que la majorité des pays n’ont plus le choix qu’entre Visa ou Mastercard. Pour rappel, en France, ce sont les commerçants qui choisissent la marque, et non les consommateurs.

Je peux affirmer, en tant qu’administrateur, que le GIE CB est, à ce jour, en totale conformité réglementaire et se prépare aux nouvelles réglementations afin de rester exemplaire. La dernière inspection interbancaire menée chez CB a conclu que le GIE était gouverné efficacement et qu’il assurait sa mission de schéma de paiement conformément à ses prérogatives statutaires. Le GIE a également comme rôle d’aider l’écosystème à respecter ces réglementations, notamment les industriels et les commerçants qui ne disposent pas toujours des ressources nécessaires. CB travaille également aux côtés de la Banque de France à la résilience des infrastructures et à la préparation de scénarios de crise.

Notre dernière campagne, « Payer avec CB, c’est payer “made in France” », vient rappeler que le paiement par CB, loin d’être anticoncurrentiel, constitue un bien commun et représente un acte citoyen qui permet de conserver la souveraineté de la France, de conserver du PIB et d’apporter de la sécurité.

M. Érick Lacourrège, directeur général des moyens de paiements de la Banque de France. La souveraineté des paiements, comme l’ont illustré les précédentes interventions, est une question majeure, y compris pour les autorités de régulation, et la Banque de France traite depuis de nombreuses années cet axe prioritaire. Aujourd’hui, cette question s’oriente de façon plutôt positive en France par rapport à beaucoup d’autres pays de la zone euro, dont les situations sont extrêmement dissemblables.

Nous sommes en effet les seuls à disposer de trois cercles de souveraineté, dont deux existent déjà. Le premier cercle de souveraineté, constitué du cash et de la carte bancaire, est opérationnel et couvre l’essentiel de la vie des Français, en garantissant la localisation des données de paiement sur le territoire et le maintien de la valeur liée au paiement en France.

Le deuxième cercle de souveraineté, le projet Wero qui repose sur des paiements instantanés via les téléphones portables, est en développement. Les paiements de personne à personne sont déjà possibles et ce sera également le cas, dans quelques mois, des paiements sur internet et des paiements chez les commerçants. Nous disposons ainsi de trois moyens de paiement souverains en France.

Le troisième cercle de souveraineté, qui nécessite encore une décision parlementaire et des autorités européennes, pourrait être l’euro numérique. Il se superposerait complètement à la monnaie unique dans les vingt autres pays, ce qui n’est pas le cas de CB et pas encore celui de Wero, bien que son extension soit en cours.

Nous sommes donc relativement bien équipés en matière de souveraineté, même s’il reste des points de progrès. Nous avons mis en place un Comité national des moyens de paiement, avec une stratégie à cinq ans et quinze objectifs, dont une partie importante recoupe les questions de souveraineté. Il existe en outre une remarquable convergence de tous les acteurs de l’écosystème – professionnels, consommateurs, banquiers, régulateurs – sur cette question.

Mme Martina Weimert, directrice générale de European Payments Initiative/Wero. Wero, nom de la solution développée par la société European Payments Initiative, est la contraction de « We », qui signifie « nous » en anglais et de « euro ». Cette initiative, lancée par des banques et deux grands acquéreurs européens, vise à servir la souveraineté européenne, comme le stipule le premier paragraphe de nos statuts. C’est le seul schéma, en Europe, où la partie commerçante est représentée aux côtés des banques.

Nous avons commencé avec trois pays, en comptons désormais cinq – la France, l’Allemagne, la Belgique, les Pays-Bas et le Luxembourg – et préparons notre expansion vers l’Autriche et d’autres marchés. Nous avons également conclu un accord d’interopérabilité pour étendre notre couverture géographique. L’objectif est d’offrir une forme européenne de paiement instantané, basée sur un standard et des règles européennes dont nous avons la maîtrise totale, et qui correspond à l’ère numérique où tout doit être immédiat.

L’idée est de créer un portefeuille électronique, un wallet, qui peut contenir différents moyens de paiement comme le paiement instantané, qui offre un lien direct avec le compte bancaire du consommateur, mais également des cartes, des tickets-restaurants ou, demain, l’euro numérique. L’objectif est de donner le choix au consommateur et de permettre les transactions instantanées chez les commerçants. Ces dernières ne sont pas régies par les règles européennes ; or les commerçants doivent savoir ce qu’il advient en cas d’échec de la transaction, de fraude ou d’incident technique. Tous ces cas, ainsi que la couverture de transactions complexes comme les abonnements, les paiements différés ou les pré-autorisations, sont intégrés dans notre propre corpus de règles, qui se superpose à celui du paiement instantané. Cette approche offre une grande flexibilité, permet la coopération avec l’écosystème des cartes et garantit l’indépendance de notre solution vis-à-vis des prestataires américains.

Nous avons commencé par le paiement de personne à personne (P2P), mais nous visons aujourd’hui les professionnels et les petits commerçants qui peuvent accepter des paiements par téléphone mobile ou par QR code. Notre solution, disponible dans notre propre application, est également intégrée dans les applications bancaires.

Le nombre de clients inscrits, aujourd’hui de 53 millions, est en forte expansion. Ainsi, 15 millions d’utilisateurs néerlandais vont migrer de leur solution nationale, iDEAL, vers Wero, car ils avaient besoin d’une solution plus moderne couvrant davantage de cas d’usage, notamment le commerce physique, l’intégration de cartes nationales ou internationales, ou le paiement de factures. Au Luxembourg, par exemple, 86 % des factures sont payées via un QR code. Le plus important, pour nous, est d’offrir le choix au consommateur tout en lui garantissant un contrôle total de ses données.

Au-delà du cadre national et européen, nous devons utiliser les marges de manœuvre qu’offre le paiement de compte à compte pour les paiements à l’international. Nous comptons aujourd’hui, dans le monde, 64 initiatives comme la nôtre. PIX au Brésil, ou UPI en Inde, sont très appréciés des consommateurs en raison du lien entre le compte bancaire et le téléphone mobile. PIX a même dépassé Visa au Brésil.

Wero se déploie progressivement, marché par marché, et cas d’usage par cas d’usage. Ce mois-ci, les premières transactions e-commerce seront possibles en France, après l’Allemagne et la Belgique. Grâce à notre coopération avec d’autres solutions, nous sommes déjà capables de couvrir 130 millions de consommateurs sur 13 marchés. Cela nous permettra de couvrir rapidement l’Europe et d’être un partenaire crédible pour les coopérations internationales, car la prochaine étape est l’interopérabilité mondiale.

Mme Cyrielle Chatelain, rapporteure de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Le juge Guillou, que nous avons auditionné juste avant cette table ronde, n’a toujours pas, deux mois après que les États-Unis ont pris des sanctions contre lui, de moyen de paiement, en raison notamment du cobadging qui prévoit la présence de Mastercard ou de Visa à côté de CB. En conséquence, l’émission d’une carte de paiement uniquement CB, qui permettrait à M. Guillou de disposer d’un moyen de paiement, n’est pas possible. Est-ce exact ?

M. Philippe Laulanie. Le juge Guillou m’a posé deux questions, que j’ai reçues hier : peut-on émettre une carte uniquement CB en France ? Est-ce que lui, juge Guillou, peut en avoir une ? Je lui ai répondu au nom du GIE CB.

L’émission par un de nos membres d’une carte bancaire relevant exclusivement du réseau CB, sans cobadging avec Visa ou Mastercard, est techniquement possible, et de telles cartes sont aujourd’hui en circulation. Je lui ai précisé que CB n’émettait pas de cartes ; ce sont les banques qui le font.

Concernant la deuxième question, le juge Guillou fait l’objet, depuis août de l’année dernière, de l’Executive Order 14203, qui le place sur la liste SDN de l’Ofac (Office of Foreign Assets Control). Je ne peux donc pas lui confirmer qu’un établissement bancaire français serait en mesure de lui délivrer une telle carte sans s’exposer lui-même à un risque juridique de la part des autorités américaines. En outre, le risque ne concernerait pas que l’établissement émetteur, mais également tous les intermédiaires qui auraient des activités aux États-Unis.

La solution doit donc être trouvée au niveau européen. Un droit de blocage a été évoqué à la Commission européenne. C’est, de mon point de vue, à ce niveau institutionnel que la situation personnelle du juge Guillou peut être traitée.

M. Érick Lacourrège. Les autorités de l’État, y compris la Banque de France, sont en contact étroit avec M. Guillou pour essayer de trouver des solutions à cette situation complexe et très dommageable pour la personne concernée.

Nous faisons face à un double problème, celui du juge Guillou à la Cour pénale internationale, aux Pays-Bas, qui relève des autorités néerlandaises en sachant qu’il n’existe pas de cobadgeage CB dans ce pays, et celui du citoyen français quand il est en France.

Il existe par ailleurs deux niveaux de difficulté, la fourniture d’un moyen de paiement qui ne passe pas par les infrastructures américaines et la tenue de compte, sur lequel pèse également un risque de sanction. Or le moyen de paiement ne peut fonctionner que si la tenue de compte est assurée, et inversement.

Mme Maya Atig. Notre président, Daniel Baal, a exprimé au nom de toute la profession sa solidarité face à une situation pour laquelle, aujourd’hui, nous n’avons pas de solution à apporter. Le juge Guillou a expliqué, dans une interview au Parisien, que l’origine du problème vient de son inscription, avec les autres juges, sur une liste de lutte antiterroriste.

En effet, depuis 2001, la lutte contre le financement du terrorisme est un objectif international du système bancaire. Nous avons donc mis en place des dispositifs de filtrage des paiements et de criblage des clients qui couvrent le maximum de personnes inscrites sur les listes européennes, nationales, mais également internationales. Nous avons fait de cette lutte un principe commun, mais aussi une obligation juridique.

Quant à la question de l’extraterritorialité, elle est liée au dollar par lequel les États-Unis peuvent atteindre toute personne et la menacer de sanctions. Or il est quasi impossible pour une entité financière en Europe de ne jamais effectuer de transaction en dollars.

Jusqu’à récemment, nous nous faisions mutuellement confiance et appliquions rigoureusement ces listes de lutte contre le terrorisme, car nous considérions qu’elles n’allaient pas être détournées de leur usage premier et que les personnes y figurant devaient effectivement voir leurs transactions, la tenue de compte et la relation commerciale être suspendues.

La question, pour les autorités européennes, est aujourd’hui de trouver une solution pour que ces listes ne servent pas à des punitions idéologiques et ne rendent pas complexe la vie de juge d’un tribunal international.

Mme Cyrielle Chatelain, rapporteure. Sommes-nous tous d’accord que le juge Guillou n’est pas un terroriste ?

Mme Maya Atig. Absolument.

Mme Cyrielle Chatelain, rapporteure. J’imagine que les systèmes de filtrage de paiement sont appliqués de manière automatique à partir de ces listes qui n’étaient pas censées être contournées. Si l’Europe activait demain son droit de blocage, serions-nous en mesure de mettre en place une exception à ce filtrage pour que le juge Guillou ne soit plus touché ?

Mme Maya Atig. Je pense que nous en sommes capables d’un point de vue informatique, mais le problème est juridique. Il n’est pas du tout certain que le blocage européen soit suffisant pour contrer d’éventuelles sanctions américaines puisque le droit américain s’applique à toute personne utilisant le dollar. Le droit français a d’ailleurs une portée très large également.

Mme Cyrielle Chatelain, rapporteure. La souveraineté consiste en la capacité de définir ses propres lois. Or, le système GIE Cartes bancaires se dit souverain, mais ne permet pas à un citoyen français de disposer d’un moyen de paiement par peur des représailles américaines. Les menaces pèsent aujourd’hui sur le juge Guillou, mais elles pourraient demain concerner un parlementaire ou un ministre.

Les banques effectuent certes des opérations en dollars, mais elles bénéficient, à ma connaissance, d’une garantie d’état française qui protège les citoyens, évite les faillites bancaires et permet au système bancaire français d’être particulièrement concurrentiel. Ma perception est que le système bancaire français et le principe du « too big to fail » sont largement supportés par une collaboration entre les banques et l’État.

Mme Maya Atig. Si les dépôts de l’épargne réglementée, qui représentent 10 % des dépôts français, sont garantis par l’État, la garantie des dépôts est un dispositif financé entièrement par les banques. Ce dispositif protège par ailleurs les déposants, non les banques. Quant aux règles de sécurité qui s’imposent aux établissements financiers, elles constituent un dispositif public de régulation du secteur bancaire, via l’Autorité de contrôle prudentiel et de résolution (ACPR). Il n’existe donc pas de garantie d’État sur le système bancaire.

Par ailleurs, notre engagement auprès de nombreuses autorités mondiales à lutter contre des méfaits par l’application de sanctions nous conduit dans une forme d’impasse. Des solutions potentielles émergent cependant : la réciprocité, comme levier de négociation en considérant que tout citoyen américain utilisant l’euro et ne respectant pas les règles européennes pourrait être sanctionné au travers de son établissement bancaire ; l’émission de cartes bancaires par les États eux-mêmes, en postulant que les autorités américaines ne s’attaqueraient pas à une entité publique.

Enfin, notre position n’est pas dictée par la peur, mais par la volonté de protéger les banques françaises et, in fine, les clients particuliers et professionnels français. Nous souhaitons éviter qu’elles perdent des milliards d’euros en se faisant piéger par le mésusage de listes de sanctions européennes, comme cela s’est produit il y a une dizaine d’années, et cherchons des solutions qui traitent la source du problème, sans générer de risque systémique.

M. le président Philippe Latombe. Vous faites référence aux amendes payées par des établissements bancaires français pour avoir notamment utilisé le dollar dans le commerce avec l’Iran, dans le cadre d’un montage particulier qui avait vu la création d’une société ad hoc. La question fondamentale, qui ne concerne pas uniquement le juge Guillou, est de savoir si nous pouvons nous affranchir de cette capacité des Américains à utiliser systématiquement l’arme du dollar pour nous contraindre.

Les États-Unis ont utilisé l’inscription du juge Guillou sur la liste des terroristes, alors qu’aucun organisme ne contrôle aujourd’hui la validité de telles inscriptions. Avez-vous engagé des réflexions ou des négociations, au nom de la Fédération bancaire française, de l’ACPR et de la Banque de France, auprès des instances de régulation bancaire mondiale ?

L’objectif serait d’éviter qu’une telle méthode, qui paraissait impossible il y a dix ans, ne soit utilisée contre de nombreuses autres personnes ou par d’autres États avec lesquels vous coopérez, comme Singapour ou la Chine, qui pourraient décider qu’un citoyen français ou allemand est un terroriste et vous contraindre à lui interdire l’accès aux moyens de paiement.

Comment pouvons-nous mettre un terme à ce mésusage de la liste des terroristes pour qu’elle ne soit plus une arme politique ou économique tout en continuant à protéger l’ensemble des pays ? Comment se prémunir du risque de chantage envers des personnes qui se retrouveraient contraintes, en raison de leur lien avec les États-Unis, à fournir des données pour conserver leurs accès ? Comment pouvons-nous procéder si les cartes à puce françaises, que nous sommes certes capables de produire techniquement, ne peuvent être associées à un établissement bancaire français en raison de notre dépendance au dollar ?

Comment agir dans un contexte géopolitique qui se tend considérablement ? Comment l’Europe peut-elle faire valoir sa vision, sachant que les Américains ont utilisé le dollar comme une arme, alors que nous n’avons jamais utilisé l’euro de la sorte et que l’Union européenne ne semble pas vouloir le faire ? Je ne sens pas non plus la Banque centrale européenne (BCE) très désireuse de s’engager dans cette voie.

Mme Maya Atig. La FBF n’a pas formulé de proposition de négociation internationale sur ce sujet, qui relève de l’ultra-régalien. Les difficultés liées à ce type de fonctionnement sont parfaitement connues des autorités publiques, qui disposent de nombreux leviers, notamment dans le cadre des négociations économiques internationales, alors qu’il nous est difficile de porter des propositions aussi ambitieuses que celles que vous esquissez. Il me semble donc essentiel que les autorités publiques s’emparent de ce sujet.

Je précise que l’idée que j’ai émise tout à l’heure, concernant l’inversion du fonctionnement, était une réflexion personnelle.

M. le président Philippe Latombe. Je perçois comme un aveu d’impuissance qui me gêne beaucoup. Vous affirmez qu’il ne vous appartient pas de mener la négociation sur un sujet régalien aussi important, qui concerne directement vos clients particuliers et professionnels, mais la FBF investit très régulièrement le champ du lobbying et a émis des avis, qu’elle a transmis via l’ACPR ou la Banque de France par exemple, lors des négociations de Bâle II et Bâle III.

Mme Maya Atig. Vous m’avez posé une question factuelle : la FBF a-t-elle lancé une négociation sur ce sujet ? Je vous réponds simplement non. Nous rencontrons parfois les autorités américaines, mais nous ne sommes jamais en position de négocier directement avec elles. Quant aux négociations internationales auxquelles vous faites référence, nous faisons partie des personnes consultées, nous transmettons des documents, nous émettons des propositions et nous espérons être écoutés, mais nous sommes loin de détenir le poids et l’influence que vous nous accordez. L’application de textes et leur impact pénal ou en termes de sanctions, qui relèvent du dialogue intergouvernemental, nous dépassent de très loin. En revanche, nous nous devons de contribuer à développer des idées pour sortir de cette situation, sur laquelle les autorités publiques travaillent activement.

Mme Narinda You, responsable des affaires publiques de European Payments Initiative/Wero. La réglementation sur la lutte antiblanchiment et le financement du terrorisme est une réglementation internationale qui est ensuite interprétée au niveau européen, puis au niveau de chaque pays. Ainsi, son application diffère au sein même de l’Union, par exemple entre les Pays-Bas et la France.

La loi dispose que les banques doivent vérifier que le client ne figure sur aucune liste de sanctions, qu’elles soient nationales, européennes ou américaines, pour chaque transaction internationale qui transite par leur système. Développer un système de paiement paneuropéen basé sur des virements instantanés semblait par conséquent impossible tant que chaque transaction frontalière était traitée comme un paiement international, puisqu’il aurait fallu une dizaine de minutes pour que les vérifications soient effectuées et que la transaction soit validée.

Nous sommes donc allés voir la Commission européenne, qui a décidé, dans le règlement sur les paiements instantanés, de nous autoriser à filtrer nos listes de clients une fois par jour, nous dispensant ainsi du contrôle en temps réel. Cependant, ce filtrage quotidien ne concerne que les listes européennes, et certaines listes nationales doivent continuer à faire l’objet d’un filtrage en temps réel, transaction par transaction. Concernant la liste de l’Ofac, par exemple, nous avons jusqu’à 8 % d’alertes sur des transactions, notamment avec l’Espagne en raison des noms à consonance sud-américaine. Dans ces conditions, un système de paiement de détail instantané serait totalement contre-performant.

Nous avons également porté à la connaissance de la Commission européenne et de Bercy que ces contrôles effectués pour chaque virement n’existaient pas pour les paiements internationaux de biens et de services par carte. La solution au problème du juge Guillou pourrait être de considérer que toutes les transactions intra-européennes sont domestiques afin d’éviter l’obligation de filtrage.

M. le président Philippe Latombe. Le problème de la tenue de compte resterait cependant entier.

La vraie question est qu’il n’y a, à ce jour, aucune initiative pour modifier le système d’inscription sur la liste de l’Ofac et empêcher les États-Unis d’y inscrire qui ils veulent, quand ils veulent. Cela signifie que le G20 doit s’emparer de ce sujet en urgence et j’espère que vous nous soutiendriez si nous portions cette demande auprès du ministre concerné.

M. Érick Lacourrège. Le problème de l’unilatéralisme américain est réel, et se pose dans différents domaines, comme les droits de douane par exemple. La seule solution pour faire contrepoids aux États-Unis est de porter ce sujet de manière unie au niveau de la Commission européenne et de l’Union européenne. Nous n’avons pas les moyens de régler le problème au niveau national.

Sur la question de la souveraineté, nous travaillons à résoudre la problématique des infrastructures, notamment via la mise en place des paiements Wero chez les commerçants et sur internet et de l’euro numérique. Nous éviterions ainsi le scénario russe, où du jour au lendemain un pays entier ne peut plus utiliser ses cartes bancaires. Ce scénario pourrait se produire, non pas en France, mais dans seize des vingt pays de la zone euro. Ces solutions ne résoudront cependant pas la question de l’extraterritorialité sur les banques et de la tenue de compte, qui constituent des sujets politiques globaux.

Concernant la situation du juge Guillou, nous la suivons de très près et examinons les solutions dérogatoires que nous pourrions mettre en place s’il était totalement bloqué. À ce stade, il n’a pas subi de fermeture de comptes, et peut donc encore opérer.

M. le président Philippe Latombe. Le défi est d’arriver à entamer une négociation au sein du G20 alors que seize pays sur vingt et un dépendent de solutions totalement américaines et que la France est une exception.

M. Jérôme Raguénès, directeur numérique et moyens de paiement de la FBF. Quelle que soit la solution souveraine, Wero ou l’euro numérique, la question qui se pose in fine est celle de la tenue de compte.

Mme Cyrielle Chatelain, rapporteure. Je vous remercie pour vos précisions sur les garanties, qui ne sont effectivement données que sur l’épargne réglementée, comme le livret de développement durable et solidaire. De la part d’un État, cette garantie d’argent public confère, d’après ma compréhension, un certain avantage compétitif sur le marché mondial, puisque tous les pays ne l’offrent pas.

Par ailleurs, je ne suis pas certaine que Wero soit une solution qui permette de répondre à la question de la souveraineté dans la mesure où il subsiste une vérification journalière qui, comme je le suppose, pourrait affecter le service aux personnes qui figurent sur une liste.

Enfin, le fait que l’activité des banques françaises puisse être entravée en raison des transactions qu’elles réalisent en dollars suscite d’autres inquiétudes. Une loi américaine, le Cloud Act, demande aux sociétés américaines de transmettre des données dans le cadre de procédures judiciaires, y compris sur des citoyens non américains. Pourriez-vous être contraints, sous peine d’être sanctionnés de la même manière que dans le cas du juge Guillou, de vous soumettre à cette loi si les États-Unis vous demandaient demain, sur la base d’un jugement en bonne et due forme selon leur loi, des informations sur un client de votre banque, citoyen français, mais non américain ?

Mme Maya Atig. Je poserai la question à des avocats ou juristes spécialisés, car tout dépend du cas d’espèce et du cadre dans lequel ces informations, qui sont liées à la présence sur place et non aux transactions, sont demandées et transmises.

Mme Cyrielle Chatelain, rapporteure. Certes, mais nous devons nous protéger contre le Data Act, une loi extraterritoriale américaine qui pourrait vous contraindre à transmettre les données de clients français si le gouvernement américain vous les demandait et si cette demande était confirmée par un juge américain.

Mme Martina Weimert. Nous sommes une société de droit européen enregistrée à Bruxelles, sans aucun lien avec les États-Unis et nous ne serons soumis à aucune mainmise des États-Unis.

M. le président Philippe Latombe. Précisons, pour la question qui sera posée à vos juristes, qu’il faut exclure le cas particulier des « Américains accidentels », que ce soit par la naissance, l’utilisation du dollar pendant plus de trois ans ou la détention d’une carte verte, et se concentrer sur le cas de citoyens français n’ayant absolument aucun lien de ce type avec les États-Unis.

Mme Cyrielle Chatelain, rapporteure. J’aimerais en effet obtenir la réponse de vos juristes, car la question se pose au regard de la manière scrupuleuse dont vous réagissez aux sanctions américaines.

Vous avez dit que toutes les banques effectuaient des opérations en dollars. Il existe cependant en France des banques de tailles très différentes. Ne pourriez-vous trouver, au sein de votre fédération, une banque suffisamment solide pour exister, mais qui ne serait pas axée sur le développement international, qui n’aurait pas de liens ou d’opérations en dollars, et qui pourrait émettre cette carte bancaire ?

M. Érick Lacourrège. Non. La FBF fédère six grands groupes bancaires français, tous très exposés à l’extraterritorialité américaine par leurs activités. L’immense majorité des banques françaises relève de ce périmètre et même une banque de petite taille, ne réalisant pas d’opérations internationales, ne pourrait être désignée d’office pour assurer la gestion des comptes du juge Guillou.

Il existe bien, en France, quelques très petites banques indépendantes, mais elles sont représentées par de plus grandes banques pour réaliser leurs opérations dans les circuits interbancaires. Le problème de l’exposition est donc le même et les opérations du juge Guillou ou d’autres personnes qui transiteraient par des canaux pourraient être soumis à sanctions.

M. le président Philippe Latombe. Il est regrettable que la Banque de France n’assure plus la tenue de compte.

Mme Maya Atig. Nous pouvons cependant constater, de manière positive, que l’importance de la question de la souveraineté et des dépendances n’échappe à personne et que nous n’avons pas voulu la situation actuelle et ne nous en réjouissons pas.

Néanmoins, le projet de l’euro numérique, présenté comme visant à renforcer la souveraineté et la place internationale de l’euro, contient toutes sortes de clauses qui risquent en réalité, si le Parlement ne les modifie pas, de faciliter l’entrée des grandes entreprises technologiques extra-européennes dans les paiements en Europe. Or mes homologues, au niveau des services de la Commission européenne ou des autorités nationales de plusieurs pays, lorsque j’en discute avec eux, ne voient pas le problème et considèrent que cette situation concurrentielle est normale.

Nous devons continuer à examiner la question de la souveraineté et des dépendances, ne serait-ce que pour des raisons de résilience – pannes, coupures de câbles, etc. – et pas seulement en cas de crise majeure, même si nous disposons d’une infrastructure extrêmement robuste qui permet d’assurer sans difficulté la très grande majorité des usages des paiements.

Les dépendances qui existent sont d’ordre économique et se sont construites au cours du temps. Elles sont d’ailleurs plus faibles qu’il y a vingt ans, car l’euro est aujourd’hui plus fort que ne l’était la somme des monnaies européennes avant sa création. Nous avons donc un peu réduit la place du dollar, et gagné en indépendance.

Le dollar reste cependant omniprésent et il est exact que même de très petites banques réalisent des opérations de couverture en dollars pour exister et servir leurs clients, notamment leurs clients professionnels qui exportent. Sans cela, ces banques ne pourraient pas se développer.

Notre dépendance économique tient également à des courbes de croissance plus faibles, qui ne nous ont pas permis, au cours des vingt dernières années, d’être en position de force. Les acteurs américains sont aujourd’hui incontournables dans certains domaines, sauf à développer, par l’adoption de textes mais surtout par l’économie, des dispositifs numériques européens et de nouveaux acteurs. Nous devons donc agir pour rattraper ces vingt années où nous avons été moins performants, en raison des taux d’imposition, des normes et d’autres facteurs.

Nous faisons cependant face à un problème de taille, auquel votre commission est très sensible. Prenons l’exemple du cloud. Aujourd’hui, quand des banques françaises lancent des appels d’offres, elles regardent attentivement les offres autres que celles des mastodontes extra-européens. Mais il faut souvent additionner six offres européennes de petite taille pour obtenir ce que propose un seul grand acteur américain. Le choix se situe donc entre gérer une seule interface avec un Américain ou gérer six contrats différents avec des Européens.

En conclusion, notre souveraineté est satisfaisante dans le domaine des paiements, mais problématique dans le domaine du numérique.

M. le président Philippe Latombe. Je retiens deux choses de votre intervention. La première est que vous avez des discussions approfondies avec les régulateurs, et c’est à cela que je faisais référence lorsque je vous demandais si vous aviez engagé une réflexion pour porter ce sujet au niveau européen.

La deuxième est que les efforts sur les réseaux restent insuffisants tant que leur utilisation n’est pas souveraine. C’est comme si nous bénéficiions de la fibre optique, mais que le terminal qui délivre l’information appartenait à quelqu’un d’autre, susceptible de le déconnecter à tout moment. La vraie question est de savoir comment nous affranchir de cette dépendance totale. La technologie blockchain et les crypto-actifs, avec leur caractère décentralisé, leur facilité de transport et leur monétisation croissante, y compris via des distributeurs, représentent-ils une solution ? Investissez-vous dans ce domaine ?

Mme Maya Atig. Je tiens à préciser que nous ne sommes dépendants que dans une situation extrême de mésusage de textes. En dehors de cette situation de stress, et pour des dizaines de millions de citoyens en Europe, nous ne sommes pas dépendants.

M. le président Philippe Latombe. Cette dépendance est un couperet qui n’est plus une simple vue de l’esprit. Elle a été appliquée à de grands établissements bancaires, dont BNP Paribas, et descend maintenant jusqu’aux particuliers dans leur usage quotidien. Le législateur doit se poser la question des moyens et solutions à mettre en œuvre afin d’éviter que cette situation concerne des groupes de personnes particulièrement exposées, comme des personnalités publiques soumises à des contrôles stricts, ou des entreprises en forte concurrence avec des sociétés américaines. Cette question nous préoccupe, et il ne s’agit pas simplement d’une situation de stress. Le risque de stress est désormais présent et devrait d’ailleurs être intégré dans le règlement Dora.

Mme Maya Atig. Nous discutons concrètement avec les autorités européennes de ce problème de dépendance économique et financière. Aujourd’hui, les parts de marché des banques de financement et d’investissement extra-européennes dépassent celles des banques européennes pour le financement des entreprises européennes.

En France, 90 % de l’activité est piloté par des entreprises ayant leur siège sur le territoire national. Cette situation est cependant très atypique en Europe, où les autres pays ne bénéficient pas d’établissements capables d’accompagner leurs champions nationaux à l’étranger. En outre, cette souveraineté financière est perçue par la Commission européenne et par la majorité de nos interlocuteurs comme un argument qui n’intéresse que les Français. Seule leur importe leur capacité de financement, que l’ordre vienne de New York ou de Hong Kong.

Nous expliquons depuis des années – notre plan de 2019 s’intitulait déjà « Pour une Europe plus souveraine en matière financière » – que les banques extra-européennes appliquent certes les normes européennes en Europe, mais qu’elles ne les appliquent pas ailleurs, tandis que les banques européennes appliquent les normes européennes partout et sont donc davantage contraintes. En conséquence, les banques extra-européennes détiennent désormais une part de marché majoritaire.

Avec Bâle IV, les exigences appliquées aux banques européennes augmenteront de 15 % tandis que celles appliquées aux banques américaines diminueront de 5 %. Les banques américaines seront donc plus compétitives et disposeront de davantage de capacités de financement en Europe. Nous sommes peu écoutés quand nous demandons s’il est possible de vérifier que cette augmentation de 15 % se justifie par un risque supérieur en Europe par rapport aux États-Unis, notamment sur le crédit immobilier, le crédit aux PME ou le financement de projets, alors que la compétitivité des banques européennes est un élément de souveraineté.

Nous sommes très attachés à la protection du système, qui constitue notre bien commun, et portons constamment auprès de nos autorités ce sujet de la compétitivité. Malheureusement, si parler de stabilité financière est bien perçu, parler de souveraineté et de compétitivité est tout de suite jugé moins légitime. Nous avons donc besoin de faire remonter ce sujet au plus haut niveau des priorités.

M. le président Philippe Latombe. J’ai entendu votre plaidoyer pour les entreprises bancaires françaises et européennes et j’apprécie que vous les défendiez, mais je constate, au vu des résultats de 2023, que leur situation n’est pas aussi sombre que le tableau que vous en dressez. Vous n’avez toutefois pas répondu à ma question sur la blockchain.

M. Olivier Fliche, directeur du pôle Fintech-Innovation de l’Autorité de contrôle prudentiel et de résolution. Les crypto-actifs ont souvent été perçus comme une façon d’opérer en dehors des systèmes de paiement traditionnels et sont notamment identifiés par les autorités comme un vecteur possible de blanchiment et de financement du terrorisme. Le travail des autorités européennes et mondiales a par conséquent consisté à soumettre ces canaux aux mêmes règles de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT) que les canaux traditionnels. C’est le cas en Europe, non seulement parce que les prestataires de services de crypto-actifs doivent respecter ces règles, mais aussi parce que lorsqu’un crypto-actif, notamment une cryptomonnaie stable, sert à un paiement, il est considéré comme un service de paiement et retombe sous la réglementation afférente.

Cependant, le sujet n’est pas tant l’application des règles de LCB-FT, que l’extraterritorialité et le fait que les États-Unis puissent unilatéralement cibler certains acteurs. La question est donc de savoir s’il existe, dans l’écosystème encore modeste des crypto-actifs, des acteurs qui pourraient ne pas être atteints par cette extraterritorialité. Il est difficile de répondre, même s’il existe probablement de petits acteurs qui n’ont aucun contact avec les États-Unis. Par ailleurs, il est difficile de payer sa baguette avec une cryptomonnaie stable. Enfin, si des opérateurs européens commençaient à offrir des cryptomonnaies stables à grande échelle, il est possible qu’ils développent des adhérences avec le système financier traditionnel, y compris l’usage du dollar.

M. Érick Lacourrège. À ce stade, les technologies blockchain représentent davantage un risque, dans certains domaines, dont les paiements interbancaires, qu’une opportunité en matière de souveraineté. Nous avons beaucoup parlé des paiements de détail, mais dans la finance interbancaire, nous faisons face à un risque de désintermédiation des acteurs traditionnels par ces nouveaux entrants que sont les prestataires de services en crypto‑actifs. En outre, l’offre se structure aujourd’hui autour du dollar, sur des infrastructures non européennes.

Deux niveaux de réponse sont apportés et constituent la priorité pour les prochains mois. Le premier est de disposer d’une infrastructure de règlement interbancaire au sein de la zone euro qui soit basée sur cette technologie et maîtrisée par des acteurs européens. En parallèle du service de paiement traditionnel Target, qui garantit la stabilité du système financier, nous allons développer un compartiment en technologie blockchain pour attirer et maîtriser ces nouvelles technologies.

Le deuxième niveau de réponse consiste à favoriser le développement d’un marché des cryptomonnaies stables en euros, adossé à des infrastructures tenues par des acteurs souverains européens. C’est l’enjeu immédiat pour les paiements de gros, qui constituent l’ossature de l’économie européenne. Pour les paiements de détail, l’utilisation de cryptomonnaies stables pour les achats du quotidien reste de la science-fiction. En revanche, nous voyons se développer des offres, y compris pour les particuliers, qui relèvent essentiellement de la captation d’épargne et que nous devons réguler également.

Mme Cyrielle Chatelain, rapporteure. Dans le formulaire que vous nous avez adressé par écrit, la Banque de France soulignait des pratiques commerciales agressives de réseaux de cartes internationaux qui concluaient des accords bilatéraux pour décourager des projets favorisant l’indépendance européenne. Pourriez-vous nous en dire plus sur ces pratiques et les projets qu’ils cherchent à décourager ?

Par ailleurs, la Commission européenne avait forcé Apple à ouvrir ses téléphones à d’autres solutions de paiement que l’Apple Pay. Cette action a-t-elle porté ses fruits ? Identifiez-vous des freins techniques mis en place par les fournisseurs de terminaux et de systèmes d’exploitation au développement de nouveaux systèmes de paiement ? Les systèmes de paiement comme PayPal ou Apple Pay sont parfois proposés avant le paiement par carte, y compris sur des sites tels que celui de la SNCF. Est-ce un phénomène que vous observez également et que vous inspire-t-il ?

Enfin, nous assistons à ce qui pourrait s’apparenter à une bulle spéculative autour de l’IA (intelligence artificielle). Certains services d’OpenAI, comme Sora qui permet de créer de courtes vidéos, commencent à fermer faute de rentabilité. L’IA, contrairement à Spotify ou Amazon qui reposent sur peu d’infrastructures et une stratégie de verrouillage du marché, nécessite des investissements importants en infrastructures, tant pour la croissance que pour la maintenance. Quel est votre regard, en tant qu’acteur économique, sur cette bulle de l’IA ?

M. Érick Lacourrège. Concernant les pratiques commerciales agressives dans le domaine de la carte bancaire, elles sont liées aux parts de marché que détiennent les grands acteurs américains sur le continent européen et à leur volonté de se mettre en posture commerciale avantageuse vis-à-vis des banques qui distribuent leur solution et vis-à-vis des clients.

Cette stratégie s’est traduite, au cours des dernières années, par une érosion de la part de marché de CB, tendance qui s’est heureusement inversée mais qui a été observée en raison de la capacité de grands acteurs américains à convaincre certains acteurs bancaires, en jouant sur la tarification et la rentabilité de leurs solutions, de ne plus passer par le cobadgeage. Ce phénomène est encore plus puissant dans les seize pays de la zone euro qui n’ont pas d’alternative domestique et se trouvent dans une situation de duopole, voire de monopole.

Nous nous sommes saisis de ce sujet au niveau national, dans le cadre du Comité national des moyens de paiement, et avons partagé, avec l’ensemble des acteurs bancaires, la même volonté de conserver ou de remettre en place le cobadgeage. Les six grands groupes bancaires français se sont engagés à cobadger toutes les cartes qu’ils émettent, et la Banque de France veille, en tant que régulateur, que les nouveaux entrants s’y engagent également. Il s’agit d’un sujet stratégique, car les grands acteurs américains disposent d’une base installée mondiale et d’une rentabilité leur permettant de mener une politique commerciale très dynamique, qui leur assure des parts de marché importantes.

M. Philippe Laulanie. Il y a vingt ans, l’Europe a construit l’euro fiduciaire et le Sepa (Single Euro Payments Area ou Espace unique de paiement en euros) pour les paiements de gros. Pourquoi n’a-t-elle pas construit également les infrastructures des paiements par carte ? Sans doute parce que les lobbys américains ont dit qu’ils s’en occuperaient. Quelques années plus tard, la société d’intégration européenne, Europay, qui intégrait Mastercard, a été vendue. Ce fut ensuite le tour de Visa Europe, une association de banques européennes, qui a été vendue en 2015 pour 21 milliards d’euros et qui vaudrait aujourd’hui autour de 120 milliards d’euros.

En 2016, nous étions au bord de vendre nos infrastructures. La France a réussi à l’éviter, contrairement aux autres pays européens, notamment grâce au covid qui a généralisé le sans-contact. Les banques françaises se sont réunies pour soutenir et relancer CB, en intégrant les commerçants et les industriels, qui sont des prestataires essentiels que nous devons protéger. Elles ont non seulement redonné des moyens au groupement CB et investi dans le domaine digital, mais elles ont également toutes accepté de cobadger, y compris sur les paiements mobiles, pour ne pas perdre ce système CB dix fois moins cher pour le commerçant, deux fois moins sujet aux fraudes et qui permet de maîtriser nos données. Nous l’avons fait avec notre usine commune, STET.

D’ici 2026, l’ensemble des banques françaises proposera Apple Pay, Samsung Pay et Google Pay, avec les avantages de la carte cobadgée en matière de coût, de fraude et de protection des données. Wero Pay arrivera à la fin de l’année. Nous sommes donc agnostiques et la carte française cobadgée CB est polyvalente, ce qui n’est absolument pas le cas dans les autres pays européens. En revanche, si le logo CB n’apparaît pas sur une carte, l’intégralité des données de transaction échappe à notre écosystème.

J’ajoute un élément qui n’a pas encore été mentionné, mais qui est fondamental pour l’avenir des paiements : la tokenisation. Nous maîtrisons cette technologie : nous disposons de la puce libre de droits, via le standard CPACE, on a l’usine STET, nous bénéficions de l’appui d’industriels capables de produire les terminaux d’acceptation et de traitement, et nous pouvons offrir le paiement mobile et l’intégration de portefeuilles numériques comme Wero, Apple, Samsung et Google. Notre plan stratégique, « CB dynamique 2026 », est d’ores et déjà une réussite.

CB représente 80 millions de cartes, dont 8 millions de cartes titres-restaurants dématérialisés. Le système traite 750 milliards d’euros par an, pour un total de 15 milliards de transactions, dont 8 milliards sont effectuées en sans contact. Nos objectifs pour 2030, que j’ai présentés dans le cadre du Comité national des moyens de paiement, sont d’atteindre 100 millions de cartes CB, notamment grâce au retour de certaines banques. Nous traiterons plus de 1 000 milliards d’euros par an, pour environ 20 milliards de transactions.

Notre part dans les paiements européens, qui est de 20 % aujourd’hui, dépassera les 30 % à l’horizon 2030. Cette progression s’explique par le fait que le système italien est en déclin et que les Allemands peinent à s’imposer. Notre part relative parmi les systèmes nationaux survivants – les cinq principaux étant ceux de l’Allemagne, de la Belgique, du Portugal, de l’Italie et de la France, auxquels s’ajoute le Danemark – va donc augmenter. Nous disposons d’une véritable force souveraine française dans ce domaine, que nous devons cependant compléter par Wero et par l’euro numérique.

Je tiens cependant à souligner que l’histoire a prouvé que tous les projets de carte de paiement lancés simultanément à 27 États membres ont échoué. Les solutions d’avenir résident soit dans des interconnexions latérales, ce que les désalignements géopolitiques actuels rendent pertinent, soit dans une assistance en marque blanche.

Je citerai un exemple que j’ai déjà évoqué. En 2017, un acteur russe a sollicité CB. Il souhaitait s’inspirer de l’expression de besoins de 1984 de M. Pierre Bérégovoy pour poser les bases, avec un ex-architecte mondial informatique de Mastercard, de leur indépendance. En 2019, la Russie disposait d’un système équivalent à CB, le système Mir, avec une extension potentielle à six pays. Cela démontre que CB est reconnu mondialement comme l’entité qui a su créer cet écosystème de paiement.

Nous devons apprécier le système dont nous avons hérité et le défendre, sachant que les objectifs 2030 sont déjà en passe d’être atteints. Quant à la situation du juge Guillou, des décisions devront être prises pour que nous puissions distribuer des cartes bancaires à des citoyens menacés de sanctions. Des pistes ont été évoquées, telles que l’émission de cartes par une entité immune de la BCE par exemple.

En dehors de ces cas spécifiques, je ne vois pas de problème de souveraineté pour la protection de nos consommateurs et citoyens, tant en pouvoir d’achat qu’en services de paiement.

Mme Martina Weimert. Différentes solutions utilisent aujourd’hui le règlement sur les marchés numériques (DMA) ou sont en construction : Vipps, en Norvège ; PayPal, en Allemagne ; Bizum, en Espagne ; Wero en France.

L’initiative a été lancée par la DG Comp (direction générale de la concurrence) afin d’offrir une solution différente d’Apple Pay pour les paiements en magasin. Le règlement est par conséquent adapté à ce cas d’usage, mais ne prend pas en compte les cas d’usage en e-commerce. Il existe une équivalence fonctionnelle, mais le niveau d’intégration n’est pas le même. Ainsi, Apple Pay est programmé par défaut sur les téléphones et peut être utilisé même lorsque le téléphone est en veille, alors que l’utilisation d’un autre système de paiement nécessité d’allumer son mobile. De même, les autres systèmes de paiement ne fonctionnent pas sur les Apple Watch. L’expérience client est par conséquent moins satisfaisante.

Je pense que nous sommes mûrs pour un DMA 2.0 qui permettrait de répondre à des demandes concrètes d’ouverture plus importante de l’environnement iOS. Néanmoins, le DMA actuel a permis d’imposer des règles offrant aux consommateurs la possibilité d’exercer leurs droits de contrôle et de choix.

M. le président Philippe Latombe. Je ne suis pas certain que nous soyons mûrs pour un DMA 2.0 alors que nous n’avons pas encore appliqué la totalité du premier DMA.

M. Érick Lacourrège. Il s’agit cependant d’un sujet très important, car il représente une manière différente de débloquer le marché. La Commission a par exemple engagé une procédure antitrust, en 2020, vis-à-vis d’Apple qui a été relativement dissuasive et a débouché, le 11 juillet 2024, sur une décision contraignante. Les autorités européennes sont également focalisées sur la prochaine version de la directive sur les services de paiement, attendue à l’automne, pour porter l’ouverture de l’antenne NFC de tous les équipementiers et développer une stratégie antidiscriminatoire vis-à-vis des applications de paiement, que les consommateurs seront libres d’utiliser.

Mme Maya Atig. Ces questions touchant aux pratiques commerciales des adhérents de la FBF ou de leurs contreparties ne sont pas traitées au niveau de la fédération, pour des raisons de droit de la concurrence. Ainsi, la décision de cobadger CB toutes les cartes bancaires relève de la gouvernance CB. En revanche, la fédération porte ensuite les décisions annoncées et les engagements de ses adhérents devant le Comité national des moyens de paiement.

M. Philippe Laulanie. Le GIE CB regroupe en outre des banques non françaises, qui ont toutes voté le plan « CB dynamique 2026 ». En revanche, ce plan n’a effectivement aucun lien avec la FBF.

M. le président Philippe Latombe. Nous avons effectivement compris qu’une telle décision, si elle était prise au niveau de la FBF, poserait un problème de concurrence et d’entente illicite.

M. Philippe Laulanie. J’ai d’ailleurs précisé dès mon propos introductif que le cobadging n’était pas anticoncurrentiel.

Par ailleurs, une étude menée en 2016 avait mis en évidence un interchange à 0,20-0,30 en Europe, alors qu’il est compris entre 0,50 et 0,80 dans le monde. Nous avons mis en place l’Europe des consommateurs, mais nous devons aujourd’hui faire de même pour les réseaux de paiement et investir dans les infrastructures pour les sécuriser et assurer leur compétitivité et leur souveraineté.

Mme Maya Atig. Nous sommes dans une situation similaire face à l’IA, domaine dans lequel nous devons innover et, pour cela, accepter de perdre de l’argent. Les acteurs américains, asiatiques et moyen-orientaux engrangent des sommes colossales, dans différents domaines (paiements, banques). Ils disposent par conséquent de moyens conséquents leur permettant d’investir dans de nombreuses entités, chacune ne constituant qu’une part modeste de leurs actifs, et de faire face à la perte de leurs investissements. Ils sont en outre peu contraints, sans perspectives que ces contraintes s’accentuent.

À l’inverse, les investisseurs européens disposent de sommes plus faibles, et doivent opérer des choix d’investissement stricts et rigoureux en privilégiant les projets les plus avancés qui présentent des chances de succès élevées, et les entités auxquelles ils fournissent des contrats. Les banques qui accompagnent Mistral, par exemple, travaillent avec cette société pour lui donner toutes les chances d’atteindre une taille suffisante.

Si la bulle IA éclate, les Américains seront touchés, mais leurs pertes seront absorbées par leurs gains dans les autres domaines. Les Européens sont moins exposés et ne perdront que ce qu’ils étaient prêts à perdre dès le début.

Le système économique européen offre un avantage collectif en matière de cycle investissement-rendement-retombées à long terme, mais il nous faut trouver un juste équilibre entre la protection des consommateurs, la stabilité et la sécurité, et la capacité à innover et à investir.

M. Olivier Fliche. Que restera-t-il si la bulle IA éclate, à supposer qu’il existe une bulle ? Il restera de nombreuses choses, notamment les technologiques, mais nous devons, en tant qu’autorité de contrôle et en raison de l’arrivée de la nouvelle réglementation, nous poser cette question, et bien d’autres, qui ne sont d’ailleurs pas sans lien avec la question de la souveraineté qui occupe la commission. Le règlement IA prône par exemple les valeurs européennes de protection des droits fondamentaux, qui sont un élément de souveraineté.

L’appropriation et la maîtrise de ces technologies sont également cruciales. Le secteur bancaire et assurantiel est relativement en avance dans ce domaine. En matière d’IA quantitative traditionnelle, les acteurs ont développé leurs propres outils et ne sont pas dépendants de fournisseurs cloud. En revanche, les grands modèles de langage (LLM) nécessitent des quantités de données telles qu’il est illusoire de penser que chaque établissement puisse développer les siens. L’ACPR travaille actuellement avec le secteur sur ces questions de maîtrise de l’IA, d’explicabilité, de discrimination et du risque de manipulation de la clientèle, avec la conviction que s’approprier ces technologies permettra aux acteurs de s’autoriser à les utiliser.

Quant à la question de la dépendance de certains grands prestataires cloud, le règlement Dora la prend partiellement en charge. Il n’impose pas le recours à des solutions souveraines, mais il essaie de rééquilibrer la relation entre le prestataire cloud et l’établissement financier, en proposant notamment des clauses contractuelles, des programmes de sortie et des plans de continuité d’activité.

Mme Cyrielle Chatelain, rapporteure. Le cobadging concerne-t-il également les filiales en ligne des grands groupes bancaires ?

Les banques françaises ont-elles conduit une analyse de leurs risques et dépendances ? Disposons-nous d’une vision consolidée de la place des grandes entreprises de la Big Tech au sein des opérateurs bancaires français ?

M. le président Philippe Latombe. Les banques françaises vont-elles intégrer le calcul de l’IRM (indice de résilience numérique) dont font déjà partie deux établissements bancaires, la Caisse des dépôts et consignations et La Banque Postale ?

M. Érick Lacourrège. Concernant le cobadgeage CB des banques en ligne, nous incitons tous les acteurs à cobadger, mais leur participation à cette stratégie du GIE CB supportée par la Banque de France reste volontaire. Un certain nombre de banques en ligne restent effectivement à convaincre, mais leur volonté ne fait pas de doute.

La question des clouds souverains et de l’indépendance vis-à-vis des acteurs non européens se pose également au niveau des banques centrales et de l’Eurosystème, de manière encore plus critique puisqu’ils sont garants des échanges interbancaires et de la stabilité financière de la zone euro.

La Banque de France, en accord avec l’Eurosystème et la BCE, privilégie depuis de nombreuses années, autant que faire se peut, des solutions nationales. Concernant les technologies cloud, la stratégie est d’héberger tous les services critiques de l’Eurosystème sur des serveurs domestiques. L’euro numérique, si le Parlement européen vote ce projet, sera hébergé sur un cloud propriétaire domestique et les prestataires qui le développeront seront européens.

Nous sommes obligés de nous reposer, pour les technologies de base, sur des fournisseurs non européens tels que Microsoft, mais nous cherchons, chaque fois que nous le pouvons, à utiliser des briques technologiques maîtrisables au niveau européen.

Mme Maya Atig. Nous ne disposons pas d’un panorama des pratiques de nos adhérents, qui sont des données confidentielles.

Concernant l’indice de résilience numérique, nous analysons ses avantages par rapport à d’autres initiatives, telles que le cercle d’échanges sur la sécurité des systèmes d’information ou le Campus Cyber, au regard de l’expérience.

Mme Cyrielle Chatelain, rapporteure. À votre avis, les banques vont-elles s’orienter plutôt vers un fournisseur unique, généralement américain, ou vers plusieurs fournisseurs européens ? Sont-elles entrées dans une dynamique de diversification et à quel niveau ?

M. Olivier Fliche. Je ne dispose pas d’éléments suffisants pour répondre à votre question, mais les reportings prévus par le règlement Dora permettront de les compléter et d’estimer le niveau de dépendance.

Un premier exercice a eu lieu en 2025, mais les données restent indicatives et ne concernent pas l’ensemble du périmètre, toutes les entités n’ayant pas répondu. Une petite moitié des répondants avait au moins un contrat Microsoft en lien avec une fonction critique ou importante, un quart avec Amazon et un sixième avec Google, sachant qu’il est probable que ces données s’additionnent, les groupes pouvant détenir plusieurs contrats avec plusieurs prestataires.

Mme Maya Atig. Nous avons posé la question de la dynamique du cloud souverain pour préparer cette table ronde, et le constat est qu’il existe, lors des appels d’offres pour changer de prestataire ou ajouter des fonctionnalités, un écart de capacité de réponse d’un à six entre les acteurs nationaux ou européens et les géants américains. Soit les banques acceptent de réduire le périmètre de leur demande d’un sixième, soit elles contractualisent avec six fournisseurs.

M. le président Philippe Latombe. Ce sera le mot de la fin, en privilégiant l’interopérabilité pour se prémunir de toute coupure. Je vous remercie de votre présence.

* *

Table ronde, ouverte à la presse, réunissant des acheteurs publics (jeudi 9 avril 2026)

La commission entend lors de sa table ronde « acheteurs publics » :

– M. Edward Jossa, président de l’Union des groupements d’achats publics (Ugap) ;

– M. Thomas Jan, directeur général adjoint en charge de l’innovation et de la stratégie numérique de l’Union des hôpitaux pour les achats (UniHa) ;

– M. Lionel Schweitzer et M. Jean-Christophe Thorel, administrateurs de la Centrale d’achat du numérique et des télécoms (Canut).

M. le président Philippe Latombe. Nous poursuivons nos auditions avec une table ronde d’acheteurs publics. Comment sont passés les marchés informatiques des administrations ? Recourent-ils souvent à des centrales d’achat comme les vôtres ? Comment est structurée votre offre numérique ? Comment expliquer le large recours des administrations à des solutions américaines ? Estimez-vous que le droit de la commande publique avantage l’offre très intégrée des géants américains ?

Pour répondre à ces questions, nous recevons M. Edward Jossa, président de l’Union des groupements d’achats publics (Ugap), M. Thomas Jan, directeur général adjoint en charge de l’innovation et de la stratégie numérique de l’Union des hôpitaux pour les achats (UniHa), ainsi que MM. Lionel Schweitzer et Jean-Christophe Thorel, membres du conseil d’administration de la Centrale d’achat du numérique et des télécoms (Canut) et directeurs des systèmes d’information (DSI), respectivement du département de Meurthe-et-Moselle et du département de Seine-Maritime.

Je vous prie de déclarer tout intérêt public ou privé qui serait de nature à influencer vos déclarations, et je vous rappelle que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter serment de dire la vérité, toute la vérité, rien que la vérité.

(MM. Thomas Jan, Edward Jossa, Lionel Schweitzer et Jean-Christophe Thorel prêtent successivement serment.)

M. Thomas Jan, directeur général adjoint de l’Union des hôpitaux pour les achats en charge de l’innovation et de la stratégie numérique. Je représente ici l’Union des hôpitaux pour les achats, qui est le premier acheteur public pour les hôpitaux publics et privés non lucratifs en France. Les hôpitaux l’ont créé sous la forme d’un GCS – un groupement de coopération sanitaire –, gouverné par eux. Il permet de bénéficier d’achats performants grâce à la mutualisation des marchés, une approche non lucrative et un accompagnement expert et sécurisé.

Depuis vingt ans, UniHa et les établissements de santé veillent à ce que la commande publique ne soit pas juste un vecteur logistique d’acquisition mais un véritable levier pour développer les politiques publiques. En 2014, sous l’impulsion de six membres fondateurs – UniHa, la Fédération des établissements hospitaliers et d’aide à la personne (Féhap), l’Établissement français du sang (EFS), Unicancer, le Groupement des achats mutualistes (GAM) et la Fédération hospitalière de France (FHF) –, il a été décidé de créer une structure dédiée aux achats numériques, informatiques et télécoms : la Centrale d’achat informatique hospitalière (CAIH), constituée sous la forme d’une association loi 1901.

Cette création s’est inscrite dans un contexte particulier. Historiquement, l’accord-cadre régissant les licences Microsoft des établissements publics était géré par les hôpitaux publics de Marseille. Suite à un audit juridique, il a été décidé de régulariser ce type de marchés publics. Il a été demandé, via les hôpitaux, de créer une structure – la CAIH – pour gérer ce marché, via UniHa. La CAIH s’est ensuite développée de façon à répondre à l’ensemble des besoins numériques des hôpitaux publics : son ADN s’est très vite développé vers des marchés portant à la fois sur le matériel et les logiciels, couvrant la cybersécurité et l’accompagnement.

L’objectif était de répondre à l’ensemble des besoins et des contraintes qui pèsent sur les établissements de santé, et d’être alignés avec les politiques publiques. Ce dernier aspect s’est développé rapidement, en particulier sur la question de la souveraineté : un manifeste a été signé avec Hexatrust afin de favoriser le référencement dans notre multi-éditeurs – il permet de les référencer plus facilement, nous y reviendrons. A aussi été lancé le marché cybersécurité sur la partie « centre de sécurité opérée » avec le fournisseur historique Advens, avec un ADN très souverain ; ce marché a été le premier à s’appeler SOC (centre d’opérations de sécurité). Nous souhaitons en effet accompagner les établissements dans leurs besoins, mais aussi leur permettre de réduire leurs dépendances technologiques, économiques et extralégales.

M. Edward Jossa, président de l’Union des groupements d’achats publics. Le questionnaire étant assez conséquent, je précise que nous compléterons les réponses orales par une réponse écrite sur l’ensemble des questions. Je m’excuse de ne pas disposer de tous les éléments aujourd’hui : ils vous seront transmis dans les prochains jours.

Je n’insisterai que sur quelques-unes des caractéristiques de l’Ugap. Tout d’abord, nous sommes un établissement public industriel et commercial (Epic). Nous ne sommes financés ni par des cotisations, ni par une subvention pour charge de services publics, ni ne bénéficions d’une mise à disposition de personnel. Nos seules ressources sont notre marge et une contribution sur les fournisseurs, à hauteur d’environ 20 %.

J’insiste sur ce point, car il est souvent dit que l’Ugap est chère. Je serai totalement transparent sur notre taux de marge moyen : tous secteurs et tous clients confondus, il est de 3,8 %. Dans le cadre de ces 3,8 %, nous payons nos salariés et nous finançons nos investissements informatiques internes. Pour les gros clients, nous sommes généralement en dessous de ces 3,8 % : nous faisons des contrats de partenariat, en contrepartie des volumes pour lesquels ils s’engagent. Ce sont la structure des marchés publics et notre capacité de mutualisation qui nous rendent plus ou moins compétitifs.

Comme vous le savez, nous sommes loin d’être la seule solution. Personne n’est obligé de passer par l’Ugap, contrairement à ce qui est parfois dit. La compétitivité-prix est donc un élément extrêmement important pour nous. Si nous sommes passés d’un chiffre d’affaires de l’ordre de 2,50 milliards à 5,98 milliards d’euros depuis 2016, c’est sans doute aussi parce que la performance et la compétitivité-prix de l’Ugap sont reconnues.

L’autre particularité de l’Ugap tient à notre spécificité – nous ne sommes pas les seuls à le faire, mais nous sommes les principaux à fonctionner comme ça : nous exécutons nos marchés. Nous fonctionnons en mode grossiste. Non seulement nous passons les marchés, mais nous gérons le circuit de leur exécution : nous recevons les commandes ; nous les poussons au fournisseur ; le fournisseur livre au client, mais nous facture ; il nous revient de refacturer aux entités clientes.

Ce modèle est très exigeant car il augmente notre responsabilité par rapport aux clients, dont nous sommes, d’une certaine manière, le fournisseur. Il permet toutefois un suivi, une responsabilité, une implication dans l’exécution des marchés bien plus importante ; il offre une capacité à restituer très précisément aux donneurs d’ordre ce qui se passe sur les marchés de l’Ugap.

Le dernier élément – l’une des valeurs de ce modèle – est que nous payons les fournisseurs en moyenne à trente jours, alors que les paiements publics nous arrivent dans un délai bien plus important ; cet écart se traduit par un besoin de fonds de roulement d’environ un mois d’activité. Si l’on y ajoute les retards de paiement, cela représente un besoin de trésorerie permanent entre 700 et 800 millions d’euros. Autrement dit, si les entreprises ne bénéficiaient pas de cet apport de trésorerie, elles devraient prendre cet écart à leur charge dans leurs relations avec l’État. Il s’agit de l’une des principales valeurs que l’Ugap apporte à l’écosystème, notamment pour ses fournisseurs. Nous assumons cette charge de trésorerie grâce à nos fonds propres et à des avances assez importantes de certains ministères clés, en particulier sur les achats de véhicules.

Vous nous avez interrogés sur notre mode d’intervention. Nous procédons par accords-cadres mono-attribués ou multi-attribués, dont la durée est généralement de trois ans, plus une ou deux périodes de reconduction de six mois, soit au maximum quatre ans. Nous travaillons aussi avec des systèmes d’acquisition dynamique : nous en avons notamment un pour les PC de l’État – le marché Odice (ordinateur commandé par l’État) –, coprescrit avec la direction des achats de l’État. Nous avons aussi développé quelques petits dispositifs d’achat sur stock pour garantir des livraisons sur des délais courts.

Je voudrais toutefois insister sur un point clé : dans le domaine informatique, les marchés n’aboutissent que très exceptionnellement à la sélection directe du fournisseur ; ce sont des revendeurs ou des distributeurs qui répondent aux appels d’offres – les « marchés intermédiaires » que vous mentionnez dans votre questionnaire. La dynamique contractuelle de l’Ugap – mes collègues connaissent en grande partie la même situation – consiste en des relations avec des intermédiaires, principalement dans le domaine des logiciels. Ils sont très largement dominés par trois acteurs : SCC, Econocom et Computacenter. Dans le domaine de la cybersécurité, notre titulaire est SFR Business. Dans le domaine du cloud, notre précédent titulaire était Capgemini ; l’actuel est Crayon.

La seule exception à ce modèle intermédiaire est le secteur du conseil, où ce sont de gros opérateurs qui répondent aux appels d’offres. La redistribution s’y fait plutôt par les chaînes de sous-traitance.

Ce modèle a donc des avantages et des inconvénients. Le grand avantage, c’est qu’il permet de travailler avec des constitutions de catalogues – catalogues d’éditeurs, de solutions, de matériels. Cela nous a permis d’avoir l’ampleur d’offre que ne permet pas un marché où vous désignez une ou deux personnes. Cette ampleur d’offre est indispensable dans un domaine qui bouge aussi rapidement que l’informatique. Sans ces marchés de distribution, jamais nous n’aurions pu intégrer autant de solutions innovantes de la tech. Un marché public met six mois à un an pour passer : jamais nous n’aurions l’agilité nécessaire sans ces marchés de distribution. D’ailleurs, si je sors du domaine de l’informatique, jamais nous n’aurions pu répondre aux besoins liés à la crise du covid sans marchés de distribution.

Ils ont toutefois quelques inconvénients. D’abord, les revendeurs sont très concentrés, ce qui modifie le rapport de force entre les acheteurs et les fournisseurs. En France, nous avons par exemple soixante à soixante-dix centrales d’achat publiques. Nous sommes face à un oligopole de deux ou trois grands distributeurs dans le domaine des logiciels. Il faut avoir conscience de ce premier effet. Cet éclatement affaiblit un peu la position des acheteurs par rapport à ces distributeurs. M. Jan a expliqué qu’il fallait regrouper les forces pour constituer la centrale d’achat : il nous faut la taille critique nécessaire.

La deuxième conséquence, c’est que ces revendeurs sont eux-mêmes parfois dans la main de leur propre fournisseur. C’est très frappant dans le domaine du hardware, où ce sont presque les fournisseurs – Lenovo, HP ou d’autres – qui choisissent leur canal de vente : lorsque nous procédons à la mise en concurrence, ça tombe parfois aussi sur celui qui bénéficie des meilleures conditions du vrai fournisseur, s’il s’agit d’un fournisseur puissant et structuré.

Il y a donc des chaînes de dépendance. On le voit bien en ce moment, avec la crise sur les PC. Nos titulaires sont des distributeurs. Or, Lenovo, HP, tous augmentent actuellement considérablement les prix des PC – c’est un vrai problème pour nous – en raison de l’augmentation du prix des mémoires, passées de 15 % à 30 % dans le coût des PC, conséquence directe des achats massifs de composants nécessaires pour faire les puces pour l’intelligence artificielle (IA). Les achats massifs des hyperscalers sont d’ailleurs en train de déséquilibrer complètement le marché des composants informatiques, ce qui est un véritable défi.

Nous pourrons d’ailleurs évoquer les enchaînements de dépendances technologiques que cela engendre. Les composants des puces sont faits principalement à Taïwan, les mémoires en Corée du Sud ; en matière de conception, Nvidia s’est imposée dans la constitution des composants aux États-Unis ; le gravage se fait en partie en Europe et les achats sont très concentrés chez les hyperscalers américains. L’économie des dépendances liées à l’intelligence artificielle est donc sans doute le sujet le plus important sur les questions de dépendance.

Je reviens aux marchés de distribution. S’ils se sont imposés dans ce secteur, c’est parce que les principaux acteurs ne répondent pas aux appels d’offres : le marché s’est organisé comme ça. On l’a bien vu sur la crise des composants, les acheteurs ne peuvent que suivre. En ce moment, les distributeurs nous disent : « les prix des PC ont augmenté de 50 % : soit vous vous alignez, soit j’arrête ». Le code des marchés publics est totalement impuissant face à ce genre de situation – il vit sur une marge, donc il est tout de suite bloqué.

Par ailleurs, comme vous le savez, nous avons été fortement interpellés par la commission d’enquête qui s’est déroulée au Sénat, à peu près à la même période l’année dernière : nous avons été questionnés avec insistance sur notre rôle en matière de souveraineté, à un moment assez critique, où nous commencions à prendre conscience des enjeux de souveraineté. Depuis, nous avons beaucoup évolué. Nous sommes encore plus présents dans le comité stratégique de filière (CSF) « logiciels et solutions numériques de confiance », depuis fin 2024. Nous avons d’ailleurs beaucoup contribué au catalogue de 2 500 éditeurs que le président du comité a évoqué devant vous.

Comme je m’y suis engagé, nous avons formé nos équipes commerciales sur les enjeux de souveraineté numérique. Nous appliquons les lois – la doctrine « cloud au centre », la loi Sren – et nous les expliquons. Nous commençons à sensibiliser nos clients sur la sensibilité des données, les questions de dépendance, de réversibilité – nous avons organisé des webinaires directement avec eux.

Nous avons aussi travaillé sur un certain nombre d’outils : contrairement à ce que l’on peut penser, nous sommes en général face à des acheteurs qui savent très précisément ce qu’ils veulent ; ils regardent la solution, puis le canal par lequel ils peuvent passer pour obtenir ce qu’ils veulent. C’est particulièrement net sur les marchés de logiciels : ils décident du logiciel, puis regardent qui leur propose les solutions les plus favorables. J’en reviens donc au sujet de la multiplicité des centrales d’achat, qui est un élément clé dans ce domaine.

Nous travaillons sur les outils de distribution. Avant même les commissions d’enquête, nous avons créé un arbre de choix numériques qui permet d’identifier les solutions souveraines, notamment sur le marché cloud. Sur les logiciels, nous avons complété des fiches produit de logiciels pour indiquer si les éditeurs sont de nationalité française – au sens de leur présence en France, y compris la maison mère. Nous travaillons actuellement sur un outil d’intelligence artificielle d’aide à la décision pour que les clients puissent voir le logiciel qui correspond le mieux à leurs besoins. Les questions de sensibilité des données et de souveraineté seront bien sûr abordées.

Quels sont les résultats de cette politique ? Sur le marché des multi-éditeurs, nous sommes passés de 2 150 à 2 700 éditeurs français et de 224 à 294 pour les autres éditeurs de l’Union européenne – ils comptent aussi en matière de souveraineté. Ce qui est important, c’est peut-être le volume des ventes : en volume, entre 2024 et 2025, nous sommes passés de 595 millions de ventes à 668 millions, et de 54 millions à 64 millions pour les Européens non français. S’agissant des logiciels, nous vendons des solutions souveraines à hauteur de 723 millions d’euros, soit 55,5 % des ventes totales de logiciels de l’Ugap – Microsoft et Oracle compris. Nous vendons du souverain, mais nous avons une croissance constante et régulière des ventes de logiciels non souverains.

Sur le marché du cloud, environ 70 % des ventes sont faites à des opérateurs français, ce qui est d’autant plus satisfaisant que nous sommes sur un marché de distribution avec quinze cloud providers, des solutions souveraines comme non souveraines. En revanche, à peu près la moitié des opérateurs souverains, généralement français, est en SecNumCloud ; il ne faut pas sous-estimer les solutions non-SecNumCloud vendues par des opérateurs souverains. Ce sont les secteurs où des progrès réels ont été faits.

En toute honnêteté, certains des secteurs sont beaucoup moins convaincants. Dans les solutions d’équipement de cybersécurité, nos ventes avoisinent 41 millions d’euros. Très franchement, les solutions – les firewalls – sont très largement dominées par des acteurs américains et israéliens. Nous avons quand même quelques Français – Stormshield, Efficience-IT –, mais, en termes de ventes, ils sont très minoritaires.

Sur le hardware en général, nous vendons principalement – c’est le marché qui veut ça – des équipements de PC chinois, comme à peu près tout le monde. Dans ce secteur, nous ne sommes ni meilleurs, ni moins bons que les autres en matière d’équipements souverains.

M. Lionel Schweitzer, administrateur de la Centrale d’achat du numérique et des télécoms. La Canut a été fondée fin 2023 à l’initiative des collectivités territoriales. Cette structure a été conçue par et pour les collectivités, afin de répondre spécifiquement aux besoins en matière de numérique et télécoms d’établissements soumis au code de la commande publique – collectivités territoriales, bailleurs sociaux, établissements d’éducation, syndicats, régies, établissements et services sociaux et médico-sociaux (ESMS), services départementaux d’incendie et de secours (Sdis).

Cette association loi de 1901 repose sur un conseil d’administration composé majoritairement de DSI, issus principalement de collectivités territoriales, et de bailleurs sociaux. Cette pluralité garantit une adéquation parfaite entre les accords-cadres proposés et la réalité opérationnelle des acheteurs publics, tout en favorisant une dynamique constante d’innovation.

L’activité de la centrale est tournée essentiellement sur cinq segments d’achat : matériel, logiciels, prestations, télécoms et réseaux, sécurité. L’intégralité de nos procédures est structurée sous forme d’accords-cadres d’une durée de quatre ans, offrant ainsi une visibilité et une sécurité juridique accrues. À ce jour, plus de 3 300 bénéficiaires les utilisent.

La Canut est une centrale d’achat intermédiaire. Son métier est concentré sur la réalisation des accords-cadres, dont l’exécution est laissée aux bénéficiaires. Il n’y a pas d’opérations d’achat-revente. Conformément au principe de la commande publique, nous portons une attention particulière à l’efficience de nos marchés : allotissement rigoureux ; segmentation de nos accords-cadres selon des critères fonctionnels et techniques précis – 28 accords-cadres actifs segmentés en 180 lots ; soutien au tissu économique territorial. Cette segmentation, ou allotissement, est un levier stratégique qui nous permet d’intégrer des acteurs régionaux. Nous concilions ainsi la puissance d’achat d’une centrale nationale avec le maintien d’un ancrage local fort, essentiel à la vitalité économique de nos territoires.

Les avantages sont nombreux pour les bénéficiaires recourant à cette centrale : pour les DSI, répondre dans des délais très courts à des attentes métier de plus en plus variées ; profiter de prix massifiés ; économiser les frais de procédure ; réduire les risques juridiques – pas de procédure à réaliser ; bénéficier de l’expertise des acheteurs spécialisés de la centrale dans le montage des marchés ; avoir le soutien de la centrale dans l’exécution vis-à-vis de fournisseurs de grande taille et pouvoir choisir l’offre la plus pertinente techniquement et économiquement parmi les centrales qui ont des accords-cadres sur un même segment. L’offre numérique est segmentée en cinq grandes thématiques, comme je l’ai dit.

M. le président Philippe Latombe. Avant toute chose, je souhaiterais vous poser une question à tous les quatre, pour ne pas faire de discrimination – même si je sais que l’un d’entre vous m’en voudra : quelle est votre nationalité ? Je fais écho à la commission sénatoriale, qui a convoqué une personne qui n’a pas répondu à la question. Je souhaite que nous disposions de cette information, car les conversations et auditions que nous avons eues ces derniers jours nous conduisent à nous interroger sur l’extraterritorialité du droit américain : nous voudrions savoir si certains d’entre vous peuvent être soumis au droit américain ou pas. Ce n’est pas une critique ; l’objectif est simplement de savoir et de comprendre.

M. Edward Jossa. Je pense que la question s’adresse à moi, bien évidemment. Je vais y répondre. Ce que je sais, c’est que j’ai la nationalité française ; la nationalité américaine, je n’en suis pas sûr. C’est ce que j’ai répondu.

Pourquoi ai-je répondu de cette manière ? J’ai pris la nationalité française en 1980 je crois, pour passer l’ENA, l’École nationale d’administration. À l’époque, entrer dans une fonction publique étrangère équivalait à la renonciation à la nationalité américaine. Depuis, la jurisprudence a évolué, de même que certaines interprétations de doctrine du secrétariat d’État américain. Ces évolutions sont toutefois intervenues beaucoup plus tard dans ma carrière.

L’extraterritorialité a cette particularité d’être définie par celui qui la décide. La situation est aussi compliquée par le fait que la doctrine de l’IRS (Internal Revenue Service), l’administration fiscale américaine, n’est pas totalement alignée sur celle du département d’État.

Pour être tout à fait honnête, je ne me suis jamais posé la question de ma nationalité jusqu’à ce qu’on me la pose, assez récemment dans ma carrière. La question m’a vraiment choqué quand elle m’a été posée au Sénat. Je ne m’attendais pas, après quarante ans de service public au cours desquels mon seul employeur a été l’État, à être interpellé sur mon lieu de naissance. Je vous le dis très franchement. D’ailleurs, j’ai reçu, à la suite de l’interpellation un peu brutale dont j’ai fait l’objet au Sénat, nombre de messages de soutien de mes troupes.

Au surplus, le président d’un établissement public n’intervient pas directement dans toutes les commissions d’appel d’offres. J’étais principalement interpellé sur le sujet de Microsoft. Je précise que le marché de Microsoft date, pour l’Ugap, du tout début des années 2000, soit bien avant mon arrivée.

L’exercice de mon métier n’est absolument pas influencé par mon lieu de naissance. J’ai eu une longue carrière, au cours de laquelle personne n’a jamais mis en doute ma loyauté. J’ai servi des gouvernements très différents avec un engagement total. J’ai même été haut fonctionnaire de défense, pendant quelque temps, du ministère de la justice, sans que cela ne pose le moindre problème de loyauté.

Je n’ai jamais eu de contact avec le gouvernement des États-Unis, sauf quand j’étais à la direction du Trésor, lorsqu’on m’a demandé de prendre contact avec quelques autorités sur un embargo, pendant la première guerre d’Irak si je me souviens bien. Je n’ai jamais fait l’objet de la moindre pression. Je suis un fonctionnaire de l’État français totalement ordinaire. Je ne vous cacherai pas que j’éprouve un certain malaise à être interpellé sur mes origines et sur mon lieu de naissance à ce stade de ma carrière, qui a été longue, au cours de laquelle j’ai été totalement loyal et totalement engagé pour l’État.

M. le président Philippe Latombe. Ma question ne visait pas à vous mettre mal à l’aise, mais à clarifier les choses pour que nous échangions en toute transparence.

M. Edward Jossa. La question de l’extraterritorialité est intéressante. Après l’interpellation au Sénat, l’un de mes syndicalistes m’a dit que j’étais peut-être soumis, à titre personnel, à des règles extraterritoriales. Je me suis donc penché sur la question.

Ce n’est pas parce que vous êtes potentiellement soumis à une législation étrangère que vous n’êtes pas soumis à la législation nationale. Cela vaut pour les particuliers comme pour les entreprises. Le droit français prévoit des obligations de confidentialité ressortissant au droit de la fonction publique et au droit pénal. Il y a ce qu’on appelle une loi de blocage qui s’applique aux particuliers comme aux entreprises.

La situation la plus fréquente, en réalité, est le conflit de droits. On peut être soumis à deux droits distincts. De toute évidence, dans mon cas, pourquoi voudriez-vous que j’applique un autre droit que le droit national ? Ce n’est pas parce que vous êtes potentiellement soumis à un droit étranger – les entreprises connaissent bien ces sujets – que vous n’êtes pas soumis au droit national et au droit européen. D’ailleurs, je tiens à dire que l’Ugap applique totalement la loi Sren, le RGPD (règlement général sur la protection des données) et toutes les lois en vigueur. Quant à ma nationalité, elle n’a jamais eu la moindre influence sur mes décisions.

M. le président Philippe Latombe. Pour être très clair, ce n’était pas une attaque personnelle, mais une question pour que la clarté soit faite, pour que les choses soient dites et pour que nous puissions avoir cet échange. Nos auditions, celles d’hier par exemple, ont mis en lumière le fait que certains établissements bancaires français, soumis à une réglementation française, peuvent appliquer des règlements extraterritoriaux parce que, dans le conflit de droits avec les États-Unis, le droit américain est parfois plus puissant que le droit européen ou que le droit français.

Si la question se pose, c’est parce que le Fisa (Foreign Intelligence Surveillance Act) s’applique à tous les citoyens américains. Ma question visait uniquement à clarifier les choses. J’apprécie votre réponse et ne mets pas en doute un quart de seconde votre loyauté. L’applicabilité du droit américain a changé. Nous l’avons constaté hier en auditionnant le juge Guillou, dont la vie, en raison du refus de certaines sociétés américaines de lui fournir des services, est devenue un enfer. La question de la possibilité de pressions se pose.

M. Edward Jossa. Pour purger complètement le sujet, j’indique que je suis résident français depuis 1966 et que j’ai l’intention de passer le restant de mes jours en France. Je ne vois pas pourquoi je m’amuserais à appliquer un autre droit que le droit français.

M. le président Philippe Latombe. Dont acte. Le sujet est clos, mais il méritait d’être clarifié.

J’ai une question très technique sur les accords-cadres. Vous avez parlé de Crayon et de Capgemini. Quelle est la marge de ces entreprises, qui sont les référents des différents secteurs ? Sur le cloud, par exemple, vous avez dit que votre marge était de 3,8 % en moyenne. Quelle est la marge des distributeurs intermédiaires ? Vos réponses nous permettront de comprendre la chaîne de valeur.

M. Edward Jossa. C’est un sujet délicat, parce que nous sommes tenus au secret des affaires sur les réponses aux appels d’offres. Dans certains cas, notamment dans le domaine des marchés de distribution, les appels d’offres mettent en concurrence les fournisseurs sur le taux de marge. J’ai entendu dire qu’il y a des marges cumulées de l’ordre de 30 % ; je n’en ai pas connaissance.

Sur le cloud, je peux être transparent : nous n’avons pas de marge à proprement parler, mais une ristourne des fournisseurs de l’ordre de 2,5 %. Le cumul des marges des fournisseurs et de l’Ugap est largement inférieur à 10 %.

La limite de ce raisonnement est que nous ne savons pas toujours ce qui se passe, marge mise à part, entre le titulaire et ses propres fournisseurs, dont la relation commerciale peut notamment inclure des ristournes ou des remises liées au volume dont nous n’avons absolument pas connaissance. Tout ce que nous connaissons, ce sont les réponses aux appels d’offres, que nous mettons en concurrence sur la base des marges, par exemple sur le marché multi-éditeurs.

M. Thomas Jan. L’UniHa suit un modèle un peu différent. Comme nous n’exécutons pas les marchés, nous faisons payer nos adhérents, les établissements de santé, sous forme d’une redevance de 0,23 % du volume d’achats global. Cette redevance peut varier. C’est un modèle très frugal conforme à notre engagement dans l’économie sociale et solidaire (ESS) et dans le monde associatif.

Par ailleurs, la marge du distributeur est facturée à nos établissements au moment de l’acquisition du logiciel, par exemple. La dernière marge, aussi couverte par le secret des affaires, est entre l’éditeur et le distributeur ; elle varie de zéro à un certain montant, qui est fonction de leur discussion et du volume d’affaires généré.

M. le président Philippe Latombe. Il n’y a donc pas d’homogénéité.

M. Thomas Jan. Non. Pour l’UniHa et pour la CAIH, la transparence sur ce que l’on paie importe. Les distributeurs apportent un portail de gestion de commandes et de la trésorerie, c’est leur valeur ajoutée intrinsèque. Nous sommes très vigilants sur la transparence pour nos adhérents.

Par ailleurs, nous avons des relations directes avec les éditeurs. C’est une spécificité de la CAIH sur le marché multi-éditeurs. Chaque éditeur étant en contact avec un acheteur, nous pouvons l’interroger pour nous assurer qu’il a de bonnes relations avec le distributeur.

M. Jean-Christophe Thorel, administrateur de la Centrale d’achat du numérique et des télécoms. Concernant la marge du revendeur par rapport au prix de l’éditeur, lors de la mise en concurrence, chaque éditeur négocie avec le revendeur les points et la marge, conformément aux règles de la concurrence. Il lui revient de proposer la meilleure offre lors de la consultation. La Canut perçoit une redevance annuelle sur les marchés. L’exécution a lieu directement sur le marché avec l’adhérent.

M. le président Philippe Latombe. Votre mode de fonctionnement est donc identique à celui de l’UniHa.

M. Jean-Christophe Thorel. À ceci près que deux marchés font l’objet d’un mark up, Microsoft et le multi-éditeurs.

Mme Cyrielle Chatelain, rapporteure. De manière globale, dans vos relations avec vos tutelles, quels objectifs vous sont fixés ? S’agit-il uniquement d’objectifs de prix et de compétitivité ? Est-ce qu’il y a des objectifs en matière de souveraineté, de diversification de l’offre ?

Par ailleurs, quelle est la part des entreprises extra-européennes dans les solutions que vous offrez ? Les modèles économiques étant différents, quel est le taux de marge de l’Ugap, non pas tous secteurs confondus mais sur la part strictement informatique des produits que vous proposez ?

M. Edward Jossa. Nous sommes un établissement public. L’une de nos particularités est d’être placés sous la tutelle des ministères des comptes publics et de l’éducation nationale. La relation avec la tutelle s’inscrit dans le cadre d’un contrat d’objectifs et de performance (COP) précisé par une lettre de mission annuelle qui m’est adressée.

Il est vrai que, jusqu’à un passé récent, les objectifs qui étaient fixés relevaient plutôt de la responsabilité environnementale et sociale (RSE). La question de la souveraineté est apparue plus récemment et est montée en puissance depuis l’année dernière. Le prochain COP, qui couvrira la période 2026-2028, fixera expressément un objectif de souveraineté.

Toutefois, sur un marché public, on ne peut pas dépasser 100 % de critères. Une fois que vous avez mis du critère social, du critère environnemental, des règles techniques, des conditions d’exécution – nous sommes très sensibles à la livraison des services publics dans les délais, c’est un sujet très prégnant –, cela fait beaucoup d’objectifs pour la commande publique, en plus du prix. Dans le domaine du numérique, notamment en raison de l’existence de marchés de distribution, la concurrence sur les prix, y compris entre centrales d’achat, est très forte.

Il faut équilibrer tous ces éléments. Ce n’est pas simple, mais nous nous efforçons d’y arriver. Et nous ne pouvons y arriver que si nous massifions, parce que seule la massification permet d’atteindre le plus grand nombre possible de ces objectifs tout en conservant des prix compétitifs. Je rappelle qu’un débat sur les prix de l’Ugap est ouvert, ce qui nous place, en tant que centrale d’achat, sous une pression assez forte.

M. Thomas Jan. L’UniHa est sous la tutelle de l’agence régionale de santé (ARS) Auvergne-Rhône-Alpes. La CAIH, qui est sa branche associative, ne l’est pas, mais nous répondons très régulièrement au ministère de la santé, notamment à la DGOS, la direction générale de l’offre de soins, qui donne des instructions aux établissements sur la politique d’achat, structurées en quatre axes : l’efficience économique, la résilience des organisations, la sécurisation des approvisionnements et le verdissement de la commande publique.

Le secteur de la santé a toujours été soucieux de souveraineté, compte tenu de la nature des données traitées au sein d’un établissement de santé. Il est régi par des normes spécifiques, notamment la certification HDS (hébergeur de données de santé), dont nous espérons qu’elle convergera avec SecNumCloud.

La souveraineté a toujours été au cœur des politiques publiques. Tel est aussi le cas de la cybersécurité, dans le cadre de la stratégie nationale de cybersécurité des établissements de santé, dont nous sommes partie prenante. Nous décidons de répondre aux offres des marchés publics mis à disposition des établissements pour atteindre les objectifs fixés.

M. le président Philippe Latombe. Le décret d’application de l’article 32 de la loi Sren a été publié hier. La convergence est en cours.

M. Lionel Schweitzer. Nous n’avons pas d’organisme tutelle. Nous nous organisons avec le conseil d’administration et les adhérents. Nous avons toujours travaillé sur l’efficience, la résilience et la souveraineté, laquelle a toujours été dans notre viseur.

La répartition des entreprises par nationalité est très variable dans les logiciels. Les fournisseurs de matériel sont quasi exclusivement étrangers – citons par exemple Dell, HP, Huawei, Cisco. Cela soulève la question d’une souveraineté européenne en matière de microcomposants et du manque d’industriels dans ce domaine en Europe.

Quant aux intégrateurs et aux distributeurs, ils sont quasi exclusivement français. Notre offre cloud est 100 % française. Elle s’inscrit dans un accord-cadre dédié, exclusivement réservé à des offres cloud de confiance, afin de sélectionner uniquement des solutions souveraines. Nous avons retenu Cheops, Cloud Temple, OVHcloud, opéré par SPI, et 3DS Outscale, opéré par Unitel. Il est complété par des offres d’hébergement régional d’acteurs locaux.

Mme Cyrielle Chatelain, rapporteure. Dans ce que vous considérez comme la part d’offre souveraine, faut-il comprendre qu’il s’agit d’entreprises françaises, à capitaux français, dont la maison mère est en France, ou de branches françaises de sociétés dont la maison mère se trouve dans un pays hors de l’Union européenne ? En matière d’application extraterritoriale du droit, ce n’est pas tout à fait la même chose.

Si j’ai bien compris, le cloud est 100 % français et le matériel 100 % extra-européen, ce à quoi, malheureusement, nous sommes nombreux à être confrontés. Concernant le logiciel, il y a une diversité d’acteurs, certains étant européens ou français. J’aimerais que vous évoquiez spécifiquement le domaine du logiciel.

Enfin, vous avez beaucoup parlé des prix. Par exemple, on nous a rapporté de façon unanime que les prix de VMware ont fortement augmenté. J’ai constaté que ce produit est toujours proposé par l’Ugap. Comment parvenez-vous à vous protéger de l’augmentation unilatérale des prix ? Est-ce qu’il y a des éléments au moins d’information quand des personnes souhaitent faire un contrat incluant VMware, pour leur faire part d’une augmentation unilatérale ?

Il s’est passé la même chose avec Microsoft. Le directeur des services informatiques du CEA, le Commissariat à l’énergie atomique et aux énergies alternatives, nous expliquait que, lors du renouvellement de contrat, le prix avait augmenté de 20 %. En matière de prix, il y a un système de verrouillage très fort. Comment, compte tenu de l’importance du prix, travaillez-vous sur ce sujet ? Vous avez parlé de formation, d’alerte, et indiqué que vos commerciaux sont formés. Le sont-ils sur ce point ? Donnent-ils des informations ou des alertes ?

M. Thomas Jan. S’agissant du logiciel, nos données sont similaires à celles de l’Ugap. Les logiciels médicaux sont proposés sur le marché multi-éditeurs Logimed. La part des éditeurs français est de 60 % en volume et de 65 % à 70 % en chiffres d’affaires. La part du reste de l’Europe est à 10 % en volume et à environ 15 % en chiffre d’affaires. Le reste est américain et extra-européen en général.

Le rachat de VMware par Broadcom en octobre 2024 a éveillé les consciences. Dans le secteur des établissements de santé, nous avons eu connaissance d’une proposition faite à un CHU (centre hospitalier universitaire) dont le prix, à besoins constants, avait augmenté non de 20 % mais de 800 %. Cet effet a été ressenti dans tous les secteurs.

L’intérêt d’avoir une fédération d’adhérents dans notre structure est que nous pouvons intervenir rapidement et en masse avec un effet de levier vis-à-vis de l’acteur concerné. Ainsi, j’ai saisi le Conseil du numérique des DSI de CHU, avec lequel nous avons fait front. Nous négocions, nous essayons de faire face. Toutefois, ne nous leurrons pas : nous sommes un petit maillon à l’échelle du monde. Le rachat de VMware, malheureusement pour ainsi dire, a un peu changé la donne en montrant qu’il fallait faire autrement.

Comment faire autrement en tant qu’acheteur public ? En proposant des solutions alternatives et, surtout, en les accompagnant. Pour les établissements de santé, faire du mix produit et migrer vers des solutions alternatives – il en reste sur le marché – a un coût. En outre, ce n’est pas une valeur métier vraiment perçue au sein d’un établissement de santé. Ça fait partie de toute l’ingénierie qu’il faut mettre en place.

Idem pour le contrat avec Microsoft : une augmentation de 20 % est malheureusement ce qu’on peut avoir avec un renouvellement tous les quatre ans. S’il y a une telle progression des prix, c’est à nous de bien faire notre métier d’acheteur. Il faut avoir aussi des leviers de négociation pour les faire céder, notamment en montrant que nous pouvons élaborer des solutions alternatives.

Au sein de la CAIH, nous avons lancé un nouveau marché, un partenariat d’innovation ambitieux intitulé « Alternative », autour de briques en open source. Un partenariat d’innovation, dans la commande publique, c’est la construction d’un produit. Il y a beaucoup de briques en open source. Tout le monde connaît OpenOffice et LibreOffice, mais nous ne pouvons pas les installer tels quels dans un établissement de santé car il y a trop d’interconnexions et de sujets d’interopérabilité avec l’ensemble du système. Il faut quelque chose qui soit un peu plus assemblé et prêt à l’usage au sein d’un établissement.

Ce programme exige beaucoup de financement, parce qu’il faut créer le produit. La CAIH a investi des fonds propres. Nous avons lancé un appel à candidatures. Nous avions décidé de nous lancer si nous en recevions au moins quatre ; douze établissements ont répondu. Nous avons fermé le tuyau et leur avons demandé d’apporter des financements complémentaires à hauteur de 100 000 euros.

Nous avons à peu près 2 millions pour construire ce produit. Nous sommes au début de l’aventure. Nous avons commencé à sélectionner les trois candidats. Le produit sera à disposition à la fin de l’année. Avec une solution alternative crédible, nous pourrons lancer de façon assez massive un mouvement de mix produit qui doit être progressif, parce qu’on ne sortira pas des dépendances rapidement. Par ailleurs, nous aurons un véritable levier de négociation dans le renouvellement des marchés des technologies existantes.

M. Jean-Christophe Thorel. Pour l’acquisition de logiciels, nous répondons tout d’abord aux besoins de nos adhérents. Nous avons plusieurs offres logicielles : une offre multi-éditeurs qui reprend certains des grands outils du marché, construite autour de Microsoft et de ses solutions alternatives, mais nous avons aussi des marchés d’accords-cadres sur la virtualisation, qui fait l’objet d’un accord-cadre spécifique, sur les logiciels d’occasion, sur les logiciels en open source. Par ailleurs, une consultation de la Canut est en cours sur un marché d’environnement collaboratif souverain, offrant une solution alternative aux Gafam et reprenant l’ensemble des grands services, packagés et accompagnés.

En somme, sur les logiciels, nous avons une démarche souveraine, non sans tenir compte avec réalisme des besoins d’achat de logiciels et de transformation de nos adhérents.

M. le président Philippe Latombe. Vos trois centrales adoptent-elles une démarche prospective ? Lorsque vous constatez des augmentations de tarifs telles que celles pratiquées par VMware et Microsoft, que nous avons évoqués, ainsi que par beaucoup d’autres, comme Oracle, préconisez-vous de changer de logiciel ? Se déprendre d’un logiciel demande du temps. Placez-vous vos acheteurs, donc vos équipes, en phase de préparation pour qu’ils passent, par exemple, de Microsoft à Linux ou de VMware à d’autres solutions, en open source ou européennes, sur lesquelles nous avons la main ?

Anticipez-vous ces situations ? Si oui, comment ? Si l’on se contente de répondre à la demande, il se passe ce qui s’est passé à l’éducation nationale, dont nous auditionnerons les représentants après vous : le marché des serveurs était d’un an ferme et de trois ans optionnels ; ils ont pris les trois ans optionnels faute d’avoir fait le boulot la première année pour se passer de Microsoft sur la partie serveur. Vos équipes font-elles ce travail, indissociable des objectifs de souveraineté dans les années à venir ?

M. Edward Jossa. Nous créons des arbres de décisions. La deuxième étape est l’utilisation de l’intelligence artificielle pour orienter les décisions. Nos outils conversationnels intégreront de l’IA et poseront des questions telles que « Êtes-vous soumis à la loi Sren ? », « Souhaitez-vous une solution conforme à la loi Sren ? », « Souhaitez-vous une solution alternative ? ». Nous développons des boutiques de souveraineté sur ugap.fr. Nous allons assez loin dans la présentation des solutions.

Il n’en reste pas moins qu’une centrale d’achat n’est pas là pour prendre des décisions à la place des décideurs finaux. Nous sommes la plupart du temps face à des directions des systèmes d’information (DSI) assez structurées. Dans l’univers informatique, la relation entre les acheteurs, ceux qui passent les marchés et les prescripteurs n’est pas exactement la même que dans d’autres marchés publics. Le poids des DSI est prépondérant, car elles connaissent les solutions, les étudient, consultent les rapports Gartner et Forrester pour évaluer leur performance.

Ces expertises, soit dit en passant, mériteraient que l’on s’y intéresse, parce qu’elles jouent un rôle déterminant, sans doute bien plus déterminant que celui des centrales d’achat, dans les choix de solutions informatiques des DSI publiques et privées. Il faut peut-être regarder comment les DSI acquièrent l’expertise, se forment et font leurs choix, parce que ce sont elles, en réalité, qui choisissent les logiciels.

Plus généralement, le débat entre le prescripteur politique et les DSI mériterait d’être creusé, d’autant qu’il est loin d’être simple compte tenu de l’importance qu’ont prise les responsables de ces sites dans les structures publiques et ailleurs. Il faut mener cette réflexion et aller au fond des choses. Pourquoi les DSI sont-elles parfois un peu conservatrices sur les logiciels de Microsoft, d’Oracle et consorts ? Tout simplement parce que c’est ce avec quoi leurs équipes savent travailler.

Dans une réunion qui s’est tenue hier, les ministres qui la présidaient ont dit qu’il faut agir pour la formation des équipes. Des équipes formées à faire du paramétrage sur Oracle ou sur Microsoft ne sont pas forcément aussi à l’aise dans l’utilisation d’outils souverains ni dans leur construction. Cette observation soulève la question de l’éventuelle réinternalisation de certaines compétences informatiques au sein des DSI.

Il faut regarder le sujet de manière globale. Ce n’est pas simple, même pour les DSI, de garantir la réussite. Ce que les décideurs demandent, c’est le résultat en temps et en heure ; or une migration d’une solution à une autre est une opération longue. Sortir de certains grands logiciels prend, dans une DSI structurée, au moins un an, tout en obligeant à rééchelonner des projets métier qui peuvent être critiques.

Il ne faut pas sous-estimer les difficultés opérationnelles de certaines préconisations, qui semblent faciles à appliquer à l’acheteur pur ou même prescriptif mais ne le sont pas, surtout dans les grosses DSI, qui sont complexes. Les plus grosses peuvent mobiliser des équipes pour organiser les transformations. Les DSI de taille intermédiaire, par exemple celles, le plus souvent, des collectivités territoriales, ont beaucoup de difficultés pour gérer ce genre de modifications.

Il faut donc regarder toute la chaîne, ce que fait la centrale d’achat. Notre travail est plutôt de mettre en avant certaines réalités et d’en faire prendre conscience. Le vrai enjeu se trouve entre les prescripteurs et les services informatiques des décideurs opérationnels.

M. Lionel Schweitzer. La Canut, dont le conseil d’administration compte un peu moins d’une trentaine de DSI de collectivités, de syndicats et de bailleurs sociaux, est très proche de ses adhérents.

Le projet d’environnement collaboratif souverain a été amorcé par la région Occitanie, qui souhaitait sortir de l’environnement Microsoft, puis la consultation a été étendue à l’échelle nationale. Il est complexe de quitter cet environnement. Même nos équipes, IT (technologies de l’information) et métiers, sont au bord du burn-out numérique si on les prive de la suite bureautique à laquelle elles ont été biberonnées depuis des années. Il est donc important que nos enfants et les générations futures soient formés à l’utilisation d’autres outils.

Mme Cyrielle Chatelain, rapporteure. Monsieur Jossa, il me semble que vous n’avez pas répondu aux questions portant sur votre taux de marge dans le secteur informatique, sur votre définition de la souveraineté et sur la manière dont, en tant qu’acheteurs, vous réagissez face à l’augmentation des prix.

M. Thomas Jan. En tant que centrale d’achat, nous avons un devoir de conseil. Un acheteur public se doit de faire du sourcing et de connaître les solutions alternatives aux principaux produits du marché, dans l’hypothèse où une augmentation des prix ou un rachat par un fonds d’investissement interviendrait. Mes acheteurs sont experts de la commande publique et du numérique. Ils doivent donc informer nos adhérents, les préparer – ce fut le cas, par exemple, lors de la fermeture du réseau cuivre –, en leur présentant les solutions alternatives disponibles sur le marché. Quant au prix, il revient à l’acheteur de le verrouiller dans le cadre des marchés. Toutefois, cette action a ses limites car les grands faiseurs adoptent des stratégies de suppression des références. En tout cas, le maître-mot est l’anticipation.

Il a longtemps été plus simple et moins onéreux pour un établissement de développer une seule technologie. Mais l’augmentation des prix est telle que le double run, même s’il implique de former des experts à deux technologies au lieu d’une, s’avère désormais moins coûteux. Nous avons donc changé de paradigme : non seulement le mix produit est plus rentable mais il permet à un acteur d’être plus agile et de se prémunir contre d’éventuelles ruptures géopolitiques, économiques ou légales.

M. Edward Jossa. Pour l’activité informatique, qui inclut les prestations de conseil, notre taux de marge moyen est de 3,63 % ; il est donc légèrement inférieur à celui de l’établissement. Ce chiffre doit toutefois être relativisé dans la mesure où la tarification varie selon que le client est partenaire ou non. Dans un cadre non partenarial, notre tarification de base est, si possible, légèrement inférieure à celle des autres. Dans le cadre d’un partenariat, notre taux de marge est transparent, moyennant quoi le client s’engage sur un volume d’achats. Le taux de marge moyen partenarial est donc sensiblement inférieur à celui de l’ensemble du secteur informatique, sachant que, dans ce secteur, nous avons plutôt de gros clients qui, pour la plupart, ont conclu un partenariat.

La question de la souveraineté est particulièrement complexe dans le domaine informatique en raison du caractère dématérialisé des produits. De manière générale, un produit est considéré comme français par le code des douanes – et peut dès lors bénéficier de certains labels tels que « made in France » – si une part minimale de la valeur ajoutée est produite en France. Dans le domaine des logiciels, les choses sont beaucoup plus complexes : les fournisseurs sont des distributeurs, les fabricants peuvent être des filiales françaises d’entreprises étrangères et les éditeurs peuvent proposer des solutions comportant des degrés de souveraineté différents. Nous nous contentons donc de retenir la nationalité du fournisseur, c’est-à-dire le pays où est implanté son siège social, et de sa maison mère. Cette solution est d’autant plus imparfaite qu’elle repose sur une base déclarative et que le secteur de la tech est en constant mouvement, mais nous n’en avons pas trouvé de meilleure.

M. le président Philippe Latombe. Pour que les choses soient claires, selon vos critères, Azure, Google Cloud ou AWS sont considérés comme non souverains, à la différence de Bleu et de S3NS. Mais qu’en est-il d’AWS European Sovereign Cloud, le cloud dit souverain d’AWS, basé en Allemagne, dont la gouvernance est dite européenne et qui bénéficierait d’une forme d’immunité contre l’extraterritorialité du droit américain ? Je vous pose cette question, qui n’est pas un piège, car j’ai le sentiment qu’on assiste à une sorte de sovereign washing.

M. Edward Jossa. S’agissant de ce cas particulier, je ne suis pas capable de vous répondre. Nous considérons effectivement Bleu et S3NS comme des solutions souveraines dans la mesure où ce sont des filiales de structures européennes. Elles me semblent à peu près protégées contre l’extraterritorialité des données. En revanche, elles présentent une limite : la question du kill switch n’est pas entièrement traitée. Cela dit, il s’agit moins d’un problème de souveraineté des données que de dépendance économique, logicielle et industrielle. Du reste, je pense, à titre personnel, qu’en la matière, la dépendance au hardware est encore plus sensible – mais cela n’engage que moi.

M. Thomas Jan. Nous avons adopté la même définition. La question des critères d’une solution souveraine est en effet complexe ; elle fait d’ailleurs l’objet de longs débats au sein du fameux comité stratégique de filière. Le fait est que des pépites françaises peuvent être hébergées chez des hyperscalers américains. Au-delà de la définition, se pose donc la question du risque – extralégal ou rupture de service – contre lequel on veut se prémunir. Cela fait partie des enjeux importants auxquels nous réfléchissons avec les établissements de santé.

Mme Cyrielle Chatelain, rapporteure. Je souhaite revenir sur l’offre d’UniHa concernant une suite de logiciels libres. Êtes-vous accompagnés par l’État ? Par un cabinet de conseil ? Comment le partenariat d’innovation a-t-il été construit ?

Monsieur Schweitzer, vous avez évoqué la région Occitanie mais de nombreuses communes d’Auvergne-Rhône-Alpes ont également fait le choix du logiciel libre : Échirolles, Chamonix, Grenoble et, bientôt, Lyon. Comment la Canut envisage-t-elle cette évolution et accompagne-t-elle notamment les équipes concernées ?

Le cadre européen, assez strict en matière de marchés publics, interdit de favoriser des offres dites souveraines. En revanche, il est possible d’orienter un marché public vers des offres open source ou libres. Passez-vous ce type de marchés ?

M. le président Philippe Latombe. Comment appréhendez-vous l’arrivée de La Suite territoriale de l’ANCT (Agence nationale de la cohésion des territoires) et de LaSuite de la Dinum (direction interministérielle du numérique) ? Comment allez-vous les intégrer dans vos propositions ?

M. Thomas Jan. Le nouveau président de la CAIH, qui est le DSI de l’AP-HP (Assistance publique-Hôpitaux de Paris), ayant souhaité s’engager dans une démarche offensive en matière de souveraineté, nous avons conclu un partenariat d’innovation dédié aux technologies open source. Nous ne faisons pas de choix technologique en amont ; un industriel nous accompagne dans la conception du produit – c’est-à-dire l’assemblage de briques open source, qui doit tenir compte des spécificités du domaine de la santé, notamment la gestion des comptes HospiConnect –, son déploiement et le support. Nous avons également été accompagnés par un avocat expert des questions de souveraineté numérique qui nous aide à privilégier des industriels français, que ce soit pour les briques de résilience, le déploiement ou la maintenance.

Au terme de ce travail interne de conception qui a duré six mois, nous avons lancé le partenariat d’innovation, qui doit à présent franchir différentes étapes. Après avoir reçu neuf candidatures, nous avons retenu les trois industriels prêts à répondre à l’offre technique. En juin, nous choisirons celui d’entre eux qui nous accompagnera. Celui-ci travaillera ensuite en hackathon, avec les douze établissements candidats, à la construction du produit. L’intérêt de ce type de marché est qu’au terme du processus, le produit sera disponible. Dans quatre ans, nous pourrons le renouveler en chargeant, le cas échéant, un autre industriel de déployer et d’assurer le support de cet outil créé pour la communauté hospitalière. Nous avons tout intérêt à ce que d’autres acteurs saisissent l’opportunité d’utiliser les mêmes briques technologiques que nous, de manière à produire un effet de levier et à faciliter la transformation.

Du côté des pouvoirs publics, la Dinum et la délégation numérique en santé nous soutiennent. Nous cherchons à présent, auprès des ministères qui nous accompagnent, des subventions complémentaires pour inciter les établissements à se lancer en finançant le léger surcoût temporaire qu’ils doivent supporter au moment de la transformation.

M. Jean-Christophe Thorel. La Suite territoriale de l’ANCT est ouverte à de petites communes dans le cadre d’offres cloisonnées, très intéressantes pour ce type de structures. L’environnement collaboratif souverain (ECS) auquel travaille la Canut a vocation à s’adresser à des structures de plus grande taille. J’ai évoqué la région Occitanie, mais la métropole de Lyon et d’autres collectivités importantes s’intéressent à cette démarche, qui consiste à proposer une nouvelle offre packagée susceptible de concurrencer les Gafam. Certes, nos utilisateurs sont très liés à l’environnement Microsoft, mais notre projet est de leur proposer un outil dont l’expérience utilisateur et la cohérence du flux pourraient les séduire.

Cette offre collaborative est un peu plus complète que La Suite territoriale puisqu’elle inclut notamment de la softphonie et la gestion d’agendas – il s’agit d’un véritable parcours utilisateur. En outre, elle a vocation à s’intégrer dans un écosystème structuré. De fait, les régions, les départements, les communes sont équipés de systèmes d’information complexes qui se caractérisent par une forte adhérence entre les outils métiers et les outils bureautiques et collaboratifs. Le choix d’une transformation d’une telle ampleur doit être fait, non pas par le DSI, mais par la collectivité, les métiers. Il est donc important d’y associer la conduite du changement, les interfaces, l’intégration dans un écosystème. C’est tout l’enjeu de la consultation dont fait l’objet notre ECS : il s’agit de trouver le partenaire qui non seulement construira une offre technologique correspondant à un véritable package de services mais assurera aussi l’accompagnement des utilisateurs, qui peuvent inclure jusqu’aux collégiens.

Depuis octobre, la Canut et ses acheteurs mènent donc un dialogue compétitif, qui comporte plusieurs phases. Dans un premier temps, nous avons auditionné différents candidats – l’un d’entre eux a d’ailleurs présenté une offre qui comportait des briques de La Suite territoriale. Au mois d’avril ou de mai, nous seront remises de nouvelles offres packagées en fonction des souhaits des adhérents ; l’objectif est d’être prêts au mois de juillet à proposer à nos adhérents un environnement collaboratif souverain.

S’agissant de la promotion, la Canut participe, un peu partout en France, à des salons et des rencontres qui font connaître nos actions et nos marchés. Des webinaires sont également organisés. Le rôle de nos acheteurs est de mettre les marchés à disposition des adhérents mais aussi de comprendre leurs besoins.

M. Edward Jossa. Notre position est un peu différente. Du fait de notre caractère généraliste, du nombre de nos clients publics, qui est de 22 000, et de notre concentration sur les questions de chaîne d’approvisionnement, nous sommes moins enclins à être en mode projet. Lorsque c’est le cas, nous travaillons principalement avec l’État dans des marchés de coprescription, comme ce fut le cas pour le marché cloud. En l’espèce, l’État s’est adressé à nous car il souhaitait des outils utilisables non seulement par lui-même mais aussi par les collectivités territoriales, pour obtenir des effets de masse.

Il nous est aussi souvent demandé de donner des informations précises sur l’exécution de nos marchés. Si je prends l’exemple des véhicules, on nous demande de sélectionner des modèles qui correspondent à la fois à des critères de poids, d’émission de gaz à effet de serre, de budget… Nous réfléchissons actuellement avec l’État à la définition de seuils, notamment dans les domaines qui ont été évoqués, afin de faciliter son rôle de prescripteur.

Quant à LaSuite de la Dinum, j’ai bien conscience qu’il s’agit d’une question qui fait l’objet d’un débat franc entre la tech et l’État : celui-ci doit-il choisir une solution qu’il aurait lui-même conçue ou en acheter une ? Il ne m’appartient pas de me prononcer sur ce point. L’Ugap n’intervient qu’en l’absence de mise à disposition gratuite ou conventionnelle ; nous achetons et nous revendons des produits qui ont un prix. En revanche, pour les projets de logiciels libres, les prestations d’accompagnement sont importantes. Conscients de l’enjeu du développement de l’open source, nous réfléchissons à la manière dont nous pourrions mettre davantage en évidence les outils logiciels qui peuvent contribuer à la réussite de solutions plus globales en open source. Je vais donc demander à mes équipes de continuer à monter en compétences sur ces combinaisons de solutions marchandes et non marchandes.

Si notre activité doit diminuer du fait du déploiement de LaSuite, c’est ainsi ! Le volume des marchés qui nous sont commandés évolue en permanence, qu’il s’agisse des équipements, dont l’activité n’a cessé de baisser au cours des dernières années, ou des logiciels, dont les ventes ont explosé. Nous prenons acte de ces évolutions.

Mme Cyrielle Chatelain, rapporteure. S’agissant du cloud, le logo de Nuage public, qui est bleu, blanc, rouge, renvoie à une dimension souveraine très forte. Or, participe à ce projet, outre AWS et Google Cloud, un acteur américain comme Kyndryl, qui se prévaut, notamment sur LinkedIn, des solutions cloud qu’il fournit au Nuage public pour se féliciter de contribuer à la souveraineté française. Aussi, je tiens à vous alerter sur la manière dont ces entreprises utilisent vos outils de communication – sans doute élaborés avec l’État – pour faire du sovereign washing.

M. Edward Jossa. Sur le web, nous affichons un logo bleu, blanc, rouge sur tous les produits, numériques et autres, que nous considérons comme français. De même, nous avons équipé notre site de filtres qui permettent d’accéder directement aux solutions souveraines. C’est ainsi que nous travaillons.

Mme Cyrielle Chatelain, rapporteure. La communication vous semble donc adaptée.

M. Edward Jossa. Notre rôle est de présenter nos produits de manière à faciliter l’identification des solutions souveraines ; il n’est pas de contrer la communication d’un acteur, qu’il soit français ou non.

Mme Cyrielle Chatelain, rapporteure. Il me semble qu’à ce stade, sur le site, l’identification rapide de solutions informatiques souveraines n’est pas adéquate. Par ailleurs, il s’agit non pas de contrecarrer la communication d’acteurs avec qui vous avez un marché, mais de ne pas leur permettre d’utiliser vos outils pour réaliser leurs vidéos promotionnelles.

Lors de votre audition au Sénat, vous avez déclaré : « La société SCC – qui est, me semble-t-il, américaine – est très dépendante de l’Ugap, compte tenu du volume considérable que représente le marché multi-éditeurs dont elle est titulaire. » Pourtant, les solutions que SCC propose sur son site sont exclusivement américaines. Dans une situation comme celle que vous avez décrite, quelles sont vos marges de négociation pour inciter cette entreprise à y intégrer également des solutions souveraines ?

M. Edward Jossa. SCC est effectivement le premier fournisseur de l’Ugap, dont il a remporté plusieurs marchés. Cette filiale d’une entreprise britannique joue un rôle essentiel auprès d’autres centrales d’achat, parmi lesquelles figurent sans doute celles qui sont représentées ici. Ainsi, du fait de la diversité des centrales d’achat, nous pouvons avoir SCC comme titulaire dans certains domaines et comme concurrent dans d’autres. D’autant que SCC cherche à réduire sa dépendance à l’Ugap en répondant aux appels d’offres d’autres centrales d’achat. Comme les autres distributeurs – je pense à Computacenter, par exemple –, SCC exerce ainsi une pression sur l’ensemble du système. Sa force est d’avoir réalisé un investissement colossal dans le domaine de la distribution. C’est la raison pour laquelle elle remporte tant de marchés.

Cela dit, SCC, qui regroupe quelque 3 000 éditeurs, s’adapte à la demande et propose, comme d’autres, des produits Microsoft, Oracle ou VMware. Ils achètent ce qui se vend.

M. Thomas Jan. SCC est aussi un de nos plus importants fournisseurs. Vous avez raison, ils dépendent de la commande publique, et nous sommes donc, en tant que centrale d’achat, en droit d’être exigeants quant aux solutions qu’ils mettent en avant – c’est l’un des enjeux du comité stratégique de filière. Du reste, nous réfléchissons avec l’Ugap à une amélioration de la lisibilité de la présentation des solutions souveraines dans le cadre du marché multi-éditeurs. Cela évoluera donc très bientôt dans le bon sens ; il est tout à fait normal que nous demandions cette transformation à nos fournisseurs.

M. Edward Jossa. Nous avons décidé de scinder le prochain marché multi-éditeurs en deux lots mais il est possible que le même titulaire les remporte tous deux.

Mme Cyrielle Chatelain, rapporteure. SCC est en effet une société anglaise. Toujours est-il qu’elle est très dépendante de la commande publique. C’est pourquoi je vous demandais, monsieur Jossa, quelle pression vous exercez sur elle pour la faire changer.

En matière d’intelligence de la donnée, l’acteur de référence semble être Accenture, une société américaine dont les dirigeants sont revenus sur leur politique de diversité et d’inclusion lorsque Donald Trump a été élu. On peut donc présumer qu’ils transmettraient volontiers les données qui pourraient leur être réclamées au titre du Cloud Act. En outre, leur conception de l’intelligence artificielle est très particulière. Envisagez-vous, dans la perspective d’un renouvellement de ce marché, de choisir des opérateurs plus proches de la vision européenne de l’IA ?

M. Edward Jossa. La SCC perd aussi des marchés chez nous. Ils ont même introduit, et gagné, une procédure contentieuse contre nous. La relation avec ce genre de fournisseurs n’est pas simple. Nous avons, jusqu’à un certain point, la volonté de diversifier nos fournisseurs, qui eux-mêmes cherchent aussi à s’autonomiser un peu par rapport à nous.

Nous n’en sommes pas moins en discussion constante avec eux, notamment sur la prise en compte de critères, non seulement de souveraineté, mais aussi environnementaux et sociaux. Sur le marché des help desks, SCC a fait des efforts assez considérables pour, notamment, mobiliser des personnes en réinsertion. L’engagement de l’entreprise dans la prise en compte de certains critères sociaux est reconnu.

Ils sont ouverts à la discussion et très engagés – nous travaillons avec eux – dans la mise en œuvre du dispositif d’IA dont j’ai parlé, permettant – nous ne sommes pas les seuls, je crois savoir que la Canut mène une réflexion similaire – de mettre davantage en avant les solutions souveraines. Nous sommes d’autant plus mobilisés sur ces sujets que nous exécutons nos marchés et sommes donc partie prenante de toute la chaîne d’approvisionnement.

Sur Accenture, il faut que je vérifie, car les titulaires de nos marchés de prestations de conseil changent parfois de périmètre. Je suis un peu moins à l’aise pour vous répondre. Je vous répondrai par écrit.

Ce que je peux dire, c’est que ce sont de très gros cabinets, qui ont des acteurs français, certes parfois contrôlés par des sociétés étrangères, ce qui renvoie au débat sur l’extraterritorialité que nous avons eu au début de l’audition. En tout état de cause, nous ne les avons jamais pris en défaut sur des sujets de loyauté, parce que ce sont des boîtes qui sont là pour faire ce qu’on leur demande. Sur l’IA, je ne suis pas en mesure de préciser leur positionnement, je vérifierai.

M. le président Philippe Latombe. Je souscris aux deux observations de la rapporteure. Sur Nuage public, vous avez dit que l’Ugap a soulevé des questions sur le prix. Il y en a eu, aussi, sur l’écosystème, notamment sur la mise en avant systématique d’entreprises américaines telles que AWS et Google. Je vous engage à regarder vraiment la communication faite via Nuage public.

S’agissant de l’utilisation de certaines entités pour vous référencer – je pense à Crayon et à SCC, nous avons parlé des cabinets de conseil McKinsey et BCG –, leurs politiques de diversité ont fortement changé, ce qui nous ramène au conflit de normes. La France considère qu’il faut une politique de diversité ; c’est inscrit dans notre corpus législatif. Dès son arrivée au pouvoir, Donald Trump a demandé à ces entreprises de changer leur corpus, qui a même changé en France et en Europe. Comment les centrales d’achat intègrent-elles ces changements ?

Ma dernière question appelle peut-être une réponse par oui ou par non. Les États-Unis viennent d’interdire l’acquisition de routeurs non américains parce qu’il y aurait des risques pour la sécurité nationale. La Chine a interdit l’utilisation de solutions de cybersécurité non chinoises ou non européennes, qui sont des solutions américaines, parce qu’il y avait des risques de cybersécurité.

Si le Parlement décidait, du jour au lendemain, parce qu’il y aurait un risque pour la défense nationale, pour la sécurité de la nation, d’interdire certains produits de ce genre, êtes-vous en capacité de vous mobiliser très rapidement pour trouver des solutions ? Par exemple, si demain on interdit les routeurs américains, les routeurs chinois l’étant déjà quoi qu’en ait dit le Conseil d’État, sommes-nous en capacité d’avoir des solutions ? Vos plans stratégiques de résilience prévoient-ils une réflexion de cet ordre ?

M. Edward Jossa. La question est difficile. La résilience, nous l’assurons en ayant des catalogues aussi larges que possible, pour pouvoir traiter sans délai au moins la commande publique. Nous avons à peu près tous les logiciels souverains et des solutions non souveraines.

Le problème n’est pas chez nous. Très vite, nous trouverons des solutions alternatives. C’est le rôle des centrales d’achat. L’aspect opérationnel du passage brutal d’une solution à l’autre dépend du degré de profondeur de la solution dans le système d’information de l’entité cliente. Par ailleurs, nous nous assurons de notre résilience interne.

La résilience varie beaucoup. Nous avons tous en héritage des solutions installées au fur et à mesure, et des sujets de compatibilité entre nos applications. Seul le directeur des systèmes d’information est capable de trouver la solution correspondant à la situation précise de son entreprise. Selon le pourcentage d’applications historiques et le pourcentage de votre activité sur le web, votre degré de dépendance est très variable.

Nous pouvons mettre à disposition le plus rapidement possible – je n’ai pas de doute sur ce point – des solutions alternatives, mais nous ne pouvons pas faire le travail que doit faire chaque directeur des systèmes d’information, qui consiste à mener sa propre analyse de résilience et à identifier les solutions qu’il doit avoir. Tout cela nécessite beaucoup de réflexion prospective. Nous en faisons un peu, mais notre premier travail est d’avoir la disponibilité la plus large.

Ces observations m’amènent à aller un peu plus loin dans la réflexion sur la réforme de la commande publique. Vos questions se résument à celle-ci : la référence nationale fera-t-elle évoluer les situations ? Dans la mesure où nous sommes des catalogueurs, le sujet n’est pas là. La question est de savoir sur quelle base juridique nous pouvons arrêter telle ou telle solution. C’est un sujet un peu différent. Nous avons, les uns et les autres, des centaines et des centaines de solutions. La question est de savoir sur quelle base juridique je peux décider du jour au lendemain d’interdire à mes distributeurs d’utiliser telle ou telle solution. Parce que c’est une mesure discriminatoire, il faut une base juridique pour le faire. C’est là qu’il y a un enjeu.

À l’heure actuelle, nous ne pouvons le faire que si un règlement communautaire le prévoit. Par exemple, le règlement de l’Institut national de la propriété industrielle (Inpi) et le règlement européen pour une industrie « zéro net » (NZIA) permettent d’exclure des solutions. Dans le domaine du numérique, c’est la capacité à exclure une solution qui est déterminante en matière de commande publique. Au reste, notre devoir est d’avoir des catalogues aussi ouverts que possible pour assurer la résilience des solutions cloud et des solutions logicielles, analyser les cas de forte interaction entre le logiciel et l’hébergement et entre le software et le hardware.

Dans ce travail, tout le monde doit monter en compétences, notamment face à la révolution de l’IA, qui déplacera énormément les sujets. Tôt ou tard, le besoin de données sera tel qu’il y aura inévitablement un mouvement assez massif vers l’hébergement en cloud au détriment des solutions traditionnelles. Mais ces réflexions stratégiques dépassent assez largement notre modeste rôle de centrale d’achat, même si nous-mêmes devons être tout à fait conscients et à même d’expliquer ces évolutions.

M. Jean-Christophe Thorel. À la Canut, notre relation avec nos adhérents nous offre une certaine souplesse. Elle nous permet d’évaluer les besoins d’évolution et de tenir compte des transformations. Nous avons suffisamment de souplesse pour revoir nos marchés. Souvent, nous sommes sur des marchés intégrateur-éditeur ou intégrateur-vendeur de matériel. Nous pouvons donc positionner certaines transformations.

Concernant l’IA, nous avons des marchés de formation, d’accompagnement et d’expertise. Nous l’incorporons dans le marché ECS avec une volonté d’orientation vers le SecNumCloud. Cette démarche de souveraineté se met en place. Ce qu’il faut ensuite, c’est une réglementation permettant d’orienter plus facilement notre achat.

M. Thomas Jan. Il y a un précédent : l’Inpi a un règlement de réciprocité sur les dispositifs médicaux, que l’UniHa a pleinement intégré dans ses marchés publics. En cas de restriction dans un pays, l’Union européenne peut adopter un règlement de réciprocité, que nous appliquerons dans nos marchés publics.

M. le président Philippe Latombe. Il me reste à vous remercier de vos réponses, dont nous attendons les compléments écrits que vous avez annoncés. Si vous entendez, au gré de nos auditions, des propos auxquels vous souhaitez réagir, positivement ou négativement, n’hésitez pas à nous en faire part par écrit, nous intégrerons vos observations dans nos travaux.

* *

Table ronde, ouverte à la presse, réunissant des directeurs de systèmes d’information de ministères (jeudi 9 avril 2026)

La commission entend lors de sa table ronde réunissant des directeurs de systèmes d’information de ministères :

– M. Audran Le Baron, directeur du numérique pour l’éducation, ministère de l’Éducation nationale ;

– M. Mathieu Weill, directeur de la transformation numérique (DTNUM), ministère de l’Intérieur ;

– M. Yves Billon, chef du service du numérique au secrétariat général des ministères économiques et financiers.

M. le président Philippe Latombe. Nous poursuivons nos travaux avec l’audition de MM. Billon, Le Baron et Weill, que je remercie d’être présents.

Pour lancer la discussion, quel est, selon vous, le degré de dépendance de vos administrations aux services numériques extra-européens ? Comment évaluez-vous leur vulnérabilité à des fuites de données ? Quelle stratégie poursuivez-vous pour limiter ces dépendances et vulnérabilités ?

Avant de vous donner la parole pour un propos liminaire, je vous prie de déclarer tout intérêt public ou privé de nature à influencer vos déclarations. De plus, l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter le serment de dire la vérité, toute la vérité, rien que la vérité.

(MM. Yves Billon, Audran Le Baron et Mathieu Weill prêtent successivement serment.)

M. Audran Le Baron, directeur du numérique pour l’éducation, ministère de l’éducation nationale. Je vous remercie de l’intérêt que vous portez à ces questions qui, trop longtemps, sont restées cantonnées au cercle des DSI (directions des systèmes d’information). S’il est bon de s’y intéresser au niveau des comités de direction, ce à quoi nous nous employons de façon quotidienne, il me semble salutaire d’élever le sujet au niveau politique.

Le ministère de l’éducation nationale représente un parc d’environ 400 applications nationales et 1 500 applications locales. En effet, notre système d’information s’est d’abord construit à une maille académique. Ce choix historique a dicté nos orientations technologiques, menant à certaines dépendances vis-à-vis de logiciels non européens, principalement états-uniens.

Par ordre d’importance en matière de sortie de ces dépendances, j’évoquerai d’abord Oracle. Nous utilisons cette technologie pour les services d’identité de messagerie dans les académies – même si elle y est en cours de remplacement – et nous recourons à son serveur WebLogic pour une bonne partie de nos applications web. Oracle est donc le principal éditeur dont nous voulons sortir, mais je précise que le problème ne se situe pas au niveau des bases de données. Notre ministère utilise Oracle dans ce domaine, mais nous avons surtout une adhérence au produit Db2 d’IBM, deuxième éditeur états-unien dont nous souhaiterions sortir à moyen terme. Nous recourons aussi à la technologie BusinessObjects de SAP, mais il ne s’agit pas d’une dépendance non européenne. Enfin, nous avons un plan de sortie, quoique nettement plus compliqué à mettre en œuvre, pour la technologie VMware, qui concerne les couches d’infrastructure et de cloud interne.

Voilà, au fond, la photographie actuelle du système d’information de notre ministère. Sachez que le cadre de cohérence technique qui s’applique à tous les nouveaux projets et à toutes les refontes de projets est, lui, exempt de dépendances à des technologies non européennes, ou du moins privées. Tous les systèmes d’information se fondent désormais sur le système d’exploitation Linux et plus particulièrement Red Hat Linux, avec qui nous avons un contrat – cette distribution étant aisément substituable. Nos serveurs d’applications sont, eux, basés sur Apache Tomcat et sur Java Spring Boot ; et toutes nos bases de données sont sous PostgreSQL. Ainsi, toutes les technologies de base auxquelles nous recourons comme infrastructures pour les nouveaux projets sont largement libres, étant rappelé que nous déployons également Kubernetes sur l’ensemble des nouveaux systèmes d’information et que, de la même manière, toute la forge de développement logiciel est fondée sur des logiciels libres, à commencer par GitLab.

S’agissant ensuite des outils collaboratifs, je rappelle qu’au moment du covid, le ministère a déployé une offre complète d’outils libres et souverains auprès de l’ensemble de ses 1,2 million d’agents, soit la moitié de la fonction publique d’État, derrière le portail apps.education.fr. Je parle ici d’un outil de visio et de classe virtuelle pour la continuité pédagogique dans les écoles, collèges et lycées, outil basé sur le logiciel libre BigBlueButton. Environ 1,5 million de visios sont organisées chaque année, réunissant 500 000 participants chaque mois. Il s’agit donc d’un passage à l’échelle d’un logiciel libre hébergé chez Scaleway, un acteur français du cloud. En matière de partage de fichiers, nous avons déployé Nextcloud à l’échelle ; ce logiciel compte 300 000 utilisateurs actifs et gère un volume de 500 millions de fichiers, soit 1 200 téraoctets de stockage – c’est donc le plus grand Nextcloud de France, si ce n’est d’Europe. Nous disposons aussi du portail de collaboration Tribu, fondé sur la technologie libre Nuxeo ; ses développements internes existaient bien avant le covid et le déploiement de l’offre interministérielle Resana. Nous proposons enfin une plateforme de partage de vidéos, cette fois basée sur PeerTube, afin que les enseignants puissent en montrer à leurs élèves sans passer par YouTube et les publicités qui vont avec.

Il nous manquait la brique de messagerie qui, comme je le disais, est actuellement basée sur Oracle au niveau académique. Nous avons le projet de sortir de cette technologie au profit d’une offre nationale s’appuyant sur la technologie libre Zimbra. Je parle ici de 1,2 million de boîtes personnelles et de 300 000 boîtes fonctionnelles, ce qui en ferait la plus importante messagerie professionnelle libre d’Europe, pour un coût complet de maintien en condition opérationnelle (MCO) que nous estimons à 2 euros par boîte et par an une fois l’ensemble déployé. Nous en sommes à 420 000 boîtes, soit un tiers de l’objectif, ce qui en fait déjà la plus grande messagerie du secteur public.

L’équipement matériel, lui, ne concerne que les 40 000 agents en poste en administration centrale ou académique, c’est-à-dire les rectorats – les enseignants et les personnels en établissement s’équipent eux-mêmes ou sont fournis par les collectivités territoriales. Ces agents administratifs sont équipés de PC, pour la plupart sous Windows et dotés de la suite Office – une configuration des postes de travail qui requiert un contrat de 2,4 millions d’euros par an avec Microsoft pour le maintien des licences. Je précise que nous n’utilisons pas les services cloud de Microsoft, mais uniquement la suite bureautique installée sur les postes. Toute la collaboration a lieu sur les outils que j’ai cités précédemment, des outils libres et hébergés soit dans nos data centers interministériels, soit dans des clouds souverains.

L’ensemble de nos systèmes d’information s’appuient sur des technologies web. Il n’y a donc, pour ainsi dire, pas d’adhérence de nos applications métier avec le poste de travail, à l’exception de quelques outils bureautiques, comme les parapheurs électroniques, qui requièrent une installation locale sous Windows. Le problème de l’adhérence n’est donc pas tant technique que lié aux usages.

À cet égard, c’est une transition que nous ne pourrons pas mener seuls, au sein du ministère. Cela demande une prise de conscience à l’échelle interministérielle afin de rompre avec l’habitude des documents Word, Excel, PowerPoint, qui sont envoyés par mail. Les suites de collaboration que nous utilisons, y compris celles de la Dinum (direction interministérielle du numérique), comme Docs et Grist, permettent de quitter cette habitude aussi ancrée dans les ministères que dans les organisations publiques et privées. Le questionnaire que nous avons reçu en vue de cette audition, par exemple, était sous format Excel. Ce n’est donc pas tant un défi technique, je le répète, qu’une question liée à la transformation des usages. Nous nous y employons, mais c’est un élément qui doit être traité au plus haut niveau.

Il y a ensuite tout ce qui concerne le numérique éducatif, c’est-à-dire dans les écoles, collèges et lycées, domaine dans lequel le ministère n’intervient pas directement mais formule des prescriptions à destination des collectivités, qui équipent les établissements, et des équipes pédagogiques, qui choisissent librement leurs outils de vie scolaire, comme Pronote. Le ministère a élaboré ce que l’on appelle la doctrine technique du numérique pour l’éducation, qui fixe un cadre en matière d’interopérabilité, de sécurité et de numérique responsable, de façon à prévenir tout usage non conforme à nos principes – j’y reviendrai si vous le souhaitez.

Outre cette doctrine, nous apportons également des briques d’infrastructure publique, comme EduConnect pour l’authentification des utilisateurs, ou le GAR – le gestionnaire d’accès aux ressources –, qui permet de filtrer les données et d’éviter que des données personnelles soient saisies dans tous les services numériques pédagogiques. C’est un élément d’infrastructure centrale qui permet d’organiser et de respecter pleinement le RGDP (règlement général sur la protection des données) dans tous les outils utilisés. C’est également là qu’on retrouve la recommandation du ministère de ne pas utiliser de suites collaboratives non européennes à portée extraterritoriale, comme Office 365 ou Google Workspace, dans les établissements. C’est une prescription forte du ministère, mais une prescription seulement.

M. Yves Billon, chef du service du numérique au secrétariat général des ministères économiques et financiers. S’agissant du numérique, les ministères économiques et financiers ont une organisation assez particulière, en l’occurrence très cloisonnée. Il existe près d’une dizaine de DSI et le rôle du chef de service est triple. Je suis le directeur des systèmes d’information du groupe ministériel – c’est notamment l’objet de ma présence – ; mais aussi le directeur opérationnel pour l’administration centrale, qui représente environ 8 000 agents – cela correspond aux structures d’état-major de Bercy ; et j’ai enfin une fonction de délégué à la protection des données ministérielles, ce qui assure une forte sensibilisation sur les projets particuliers du ministère.

Bercy recourt à environ 1 500 applications, dont une bonne moitié par la DGFIP (direction générale des finances publiques). Cette direction a donc un poids particulier, sachant que les applications qu’elle utilise concernent soit l’ensemble de la sphère économique, soit l’ensemble de la population civile ; ce sont des systèmes d’information extrêmement importants.

Depuis très longtemps, notre culture est résolument orientée sur le logiciel libre. Les approches et les stratégies peuvent varier d’une direction à l’autre, mais la DGFIP joue un rôle de fer de lance dans ce domaine ; c’est elle qui porte le marché de support logiciel libre pour le compte de l’ensemble des ministères. C’est important pour elle et elle est prête à jouer le jeu de l’interministériel pour être efficace dans ce domaine.

S’agissant des dépendances, il faut s’entendre sur la définition, car il y a des niveaux où l’on peut assumer de faire des choix extra-européens en matière de solutions logicielles ou matérielles. À cet égard, nous souffrons actuellement de l’augmentation des prix des ultraportables et des serveurs ; nous constatons que notre dépendance n’est pas totalement maîtrisée. L’important est donc de garder le contrôle et de savoir réagir lorsqu’on le perd dans certains domaines. Je donnerai trois exemples.

Le premier est Oracle, technologie avec laquelle nous sommes unanimement en difficulté au niveau interministériel, et ce depuis très longtemps. Nous essayons de recourir le plus souvent possible aux solutions alternatives libres, mais cette démarche comporte des risques techniques étant donné que nos bases de données sont très importantes et que nous ne pouvons pas rater certaines échéances, comme la campagne annuelle de déclarations d’impôts. Il faut trouver un équilibre. Oracle constitue donc un point d’attention permanent, l’objectif étant d’en limiter l’usage dès que possible afin de rééquilibrer notre panier.

Le deuxième cas que je citerai est celui du logiciel statistique SAS – utilisé par l’Insee, qui fait partie de la sphère de Bercy –, dont l’éditeur est américain. Ce dernier a eu une approche un peu carnassière – sans parler de certaines pratiques d’accompagnement un peu choquantes alors même que nous étions en négociations –, qui a abouti à la décision ministérielle partagée de sortir du logiciel. C’est dommage pour l’éditeur, mais nous assumons notre choix. Cela ne signifie pas qu’il n’y a plus de factures SAS, car il demeure des points de sortie, mais la décision de migrer vers les solutions R et Python est très importante face à un éditeur en qui nous ne pouvions plus avoir confiance. SAS a d’ailleurs exprimé le souhait que l’Insee adopte une communication moins virulente à son égard.

Le troisième cas, qui a touché tout le monde, est le logiciel de virtualisation VMware. Il s’agit en l’occurrence d’un cas typique de dépendance maîtrisée, puisque l’approche là aussi carnassière de fonds d’investissement, qui voulaient rentabiliser très rapidement leur mise, s’est révélée assez peu douloureuse pour le ministère, et ce pour plusieurs raisons. Le cloud Nubo s’appuie sur des logiciels libres en matière de gestion de la virtualisation, c’est-à-dire de l’OpenStack, si bien qu’il n’y a pas eu d’impact. La DGFIP n’a quasiment rien vu passer, tandis que les effets ont été relativement limités sur les autres directions puisque, je le répète, c’était une dépendance maîtrisée. Nous sommes en train de travailler les points de sortie.

Quand un partenaire commercial donne l’impression que ce que l’on ressent et dit ne sert à rien, nous avons une force de frappe suffisante pour prendre le taureau par les cornes et changer de stratégie. Comme pour SAS, qui nous a écœurés par ses pratiques, nous explorons des solutions alternatives à VMware, comme Proxmox, que nos équipes testent en profondeur. Ces solutions réservent tout de même quelques surprises : il ne faut pas croire que les bascules se passent toujours très facilement. Nous choisissons nos combats.

S’agissant enfin de ce que l’on pourrait appeler la vraie souveraineté, j’ajoute que certaines questions relèvent plutôt du développement économique. La DGE (direction générale des entreprises) n’est pas représentée aujourd’hui, mais elle pourrait s’exprimer sur le fait que nous ne disposons pas toujours des filières pertinentes pour construire des solutions alternatives aux technologies étrangères. Le directeur des systèmes d’information ne peut pas porter toutes les misères du monde en même temps et quand il n’y a pas d’offre, il n’y a pas d’offre !

Nous sommes très vigilants quant à tout ce qui concerne la cybersécurité et nous appuyons sur les recommandations mises en avant par l’Anssi, l’Agence nationale de la sécurité des systèmes d’information. Certaines expériences sont bonnes, par exemple s’agissant de la technologie EDR (Endpoint Detection and Response) où, pour le contrôle du poste de travail, la solution française HarfangLab a été intégrée avec succès par nos équipes. En revanche, d’autres expérimentations se sont révélées infructueuses ; je pense notamment à un VPN (réseau privé virtuel) dont je tairai le nom mais sur lequel ceux qui l’ont éprouvé se sont littéralement cassé les dents. Nous avons besoin de partenaires qui tiennent la route.

En définitive, en matière de sécurité, le point central pour nous est la protection des données. Notre posture est à cet égard très nette ; elle va au-delà du RGPD et des seules données à caractère personnel. Je me plais à dire que Bercy est un ministère qui protège des secrets : secrets fiscaux, secrets douaniers, secrets des affaires – ceux-ci ne sont pas toujours suffisamment structurés, mais nous devons protéger les données que les entreprises nous font parvenir – et enfin secrets statistiques, car quand l’Insee conduit une enquête très sensible sur des populations ou des entreprises, il convient également d’être exemplaires en matière de protection des données. La question de leur hébergement est donc un point d’attention très partagé. Cela ne signifie pas qu’il soit toujours simple de défendre ce point de vue en interne, car il y a parfois des arbitrages compliqués, mais c’est sur ce point que nous sommes le plus vigilants. Nous espérons d’ailleurs que cette commission d’enquête nous apportera un appui supplémentaire dans ce domaine.

M. Mathieu Weill, directeur de la transformation numérique (DTNUM), ministère de l’intérieur. À mon tour, je vous remercie pour cette commission d’enquête, qui met un coup de projecteur sur des sujets qui font partie des préoccupations quotidiennes des équipes numériques des ministères, mais qui n’ont pas toujours été reconnus comme des enjeux majeurs. Les questions de contingence et de sensibilisation à certaines dépendances étrangères constituent des chantiers de long terme – j’y reviendrai – et pour lesquels la continuité de l’action publique est absolument essentielle.

Au sein du ministère de l’intérieur, j’occupe d’abord les fonctions de directeur de la transformation numérique, l’une des DSI les plus importantes du ministère. Comme Yves Billon, j’ai également une casquette de directeur des systèmes d’information du groupe, comme on dirait dans le privé. Je suis par ailleurs secrétaire général adjoint chargé du numérique ; à ce titre, j’ai pour mission de mettre de la cohérence dans la politique numérique du ministère. Cette dernière fonction a été créée dans le cadre de la Lopmi, la loi d’orientation et de programmation du ministère de l’intérieur, qui prévoit un renforcement très important de la fonction numérique ministérielle et de l’investissement du ministère dans le domaine numérique.

Derrière le ministère de l’intérieur, il y a bien entendu les forces de sécurité – police et gendarmerie nationales – mais aussi l’ensemble des missions régaliennes que nous exerçons dans toute leur diversité : les nombreuses délivrances de titres, la gestion de crise, ainsi que le pilotage de l’administration centrale. S’y ajoute l’ensemble du réseau préfectoral dans les territoires, marqué par une forte dimension interministérielle. Dans les départements, les directions départementales interministérielles regroupent des agents de différents ministères, mais toutes sont soutenues par les outils du ministère de l’intérieur. Nous servons ainsi environ 300 000 agents, ce qui vous donne un ordre de grandeur des systèmes d’information que nous soutenons. On en dénombre plusieurs milliers, évidemment de tailles différentes, mais très souvent extrêmement sensibles – j’y reviendrai.

Pour nous, les enjeux de dépendance et de vulnérabilité recouvrent trois grandes priorités.

La première est consubstantielle à l’existence même du ministère : il s’agit de la continuité de l’action de l’État. Au-delà de la campagne des impôts, il faut que ça tourne en permanence ! Nous connaissons bien ce débat avec nos collègues des finances publiques. La culture et l’action du ministère de l’intérieur sont résolument orientées vers la question de la continuité, et nous abordons aussi les enjeux de dépendance à travers ce prisme. Il n’est pas possible de tolérer la moindre suspension en raison d’un différend contractuel ou d’une interruption de marché – ce qui a beaucoup de conséquences.

La deuxième priorité est celle de la confidentialité des données, eu égard à la confiance qui nous est accordée et à la sensibilité des données gérées par le ministère.

Quant à la troisième, il s’agit, particulièrement en cette période de contraintes budgétaires, de l’exposition aux rehaussements tarifaires, lesquels sont en train de devenir la stratégie classique d’un grand nombre d’éditeurs de logiciels. Mes collègues en ont parlé, citant notamment VMware : c’est une préoccupation importante.

Depuis très longtemps, le ministère de l’intérieur – à l’instar de celui de l’éducation nationale et des ministères économiques et financiers – revendique une culture du logiciel libre marquée, comme je le disais, par une très grande attention aux enjeux de continuité et de réduction des dépendances. C’est pour cette raison que nous sommes l’un des deux opérateurs de cloud interministériel. Nous avons d’ailleurs toujours privilégié la stratégie consistant à héberger nos propres systèmes, dans des centres de données maîtrisés par la puissance publique. Concernant les systèmes d’information les plus sensibles, nous ne pouvons en effet nous permettre la moindre dépendance, même intra-européenne ou nationale. Quand on fait la remontée des résultats des élections, par exemple, on n’a pas très envie qu’un acteur économique, quel qu’il soit, puisse interférer dans le processus, tout simplement pour des raisons de confiance dans la vie démocratique de notre pays.

Ce sont bien sûr des orientations lourdes de conséquences en matière d’investissements et de compétences, orientations qui s’inscrivent évidemment dans des durées très longues. Ne serait-ce que pour construire un data center, l’équiper et le rendre opérationnel, il faut de cinq à dix ans. Mais la capacité à héberger nos systèmes dans nos infrastructures, comme le font nos collègues de la DGFIP, qui est le deuxième opérateur interministériel, garantit une forme de continuité, car personne ne peut agir sur ces systèmes ni les interrompre. Cela permet de maîtriser les enjeux d’accès par des tiers à ces infrastructures – et nous savons quel défi cela représente.

Comme les autres, nous sommes exposés aux difficultés liées à la bureautique installée sur les postes de travail. Je le répète, près de 300 000 agents travaillent au ministère de l’intérieur. Cela dit, nous nous efforçons depuis longtemps de limiter cette dépendance. La gendarmerie nationale a, depuis les années 2000, fait le choix d’un poste de travail et d’outils collaboratifs entièrement libres, c’est-à-dire un poste Linux et des outils fondés sur LibreOffice. Le reste du ministère utilise des postes Windows, donc le système d’exploitation de Microsoft, mais par défaut avec des outils de collaboration libres plutôt que la suite Office, qui est globalement réservée aux agents travaillant le plus en interministériel, c’est-à-dire ceux en administration centrale.

Citons aussi l’investissement de long terme qui a été fait pour équiper les policiers et gendarmes en téléphones dits NEO (nouvel équipement opérationnel) ; cela permet de maîtriser le système d’exploitation mobile grâce à SecDroid. Ce système édité par l’Osiic, l’opérateur des systèmes d’information interministériels classifiés, a été retenu par le ministère mais aussi par les services du Premier ministre.

Autre élément de stratégie : nous nous appuyons au maximum sur la mutualisation. Nous faisons partie des plus gros utilisateurs d’outils interministériels mis à disposition par la Dinum. Je pense au réseau interministériel de l’État (RIE) ; il s’est construit grâce aux équipes du ministère de l’intérieur qui s’occupaient du réseau général de télécommunications (RGT), afin de mettre ce dernier à la disposition de l’ensemble des ministères. De la même manière, 35 à 40 % des usagers de la messagerie instantanée Tchap travaillent au ministère de l’intérieur et s’en servent de manière très opérationnelle, par exemple pour la gestion de crise depuis une préfecture ou pour la lutte contre l’immigration clandestine dans certains départements.

Il demeure toutefois énormément de dépendances ; nous ne prétendons pas du tout avoir résolu la question – qui ne le sera probablement jamais. Celles sur lesquelles nous avons du mal à travailler ont évidemment trait au hardware, à commencer par les composants électroniques comme les puces. Nous n’achetons que du matériel existant, mais nous connaissons sa provenance. Or il n’existe aucune offre européenne de puces dotées d’une capacité de calcul suffisante pour l’intelligence artificielle. C’est un maillon essentiel de la chaîne de valeur sur lequel nous n’avons, à notre niveau, que peu d’influence – je fais ici le lien avec la politique industrielle qu’évoquait Yves Billon. De même, concernant les serveurs et les postes de travail, la chaîne de valeur est essentiellement asiatique et américaine. Ce sont des questions que nous gérons par d’autres biais.

Quant aux logiciels, nous sommes également exposés – comme tout le monde. Je pourrais, comme mes collègues, évoquer VMware qui, chez nous, concerne plutôt les systèmes historiques. La plateforme d’hébergement de cloud interministériel étant basée sur du logiciel libre, nous avons contenu cette dépendance, mais cela reste un sujet de préoccupation, car changer de plateforme d’hébergement est un processus très long ; on ne bascule pas d’un claquement de doigts. Oracle est également très utilisé dans le ministère, même si cela fait cinq ou six ans que nous ne l’utilisons plus pour nos nouveaux projets. Nous cherchons donc plutôt à ne plus recourir à cette technologie, même si plusieurs gros systèmes continuent de fonctionner grâce à elle.

Face à ces dépendances, les réponses sont de trois ordres.

Il convient d’abord de recourir au maximum à des standards ; cela passe par nos cadres de cohérence technique et par la manière dont on structure les appels d’offres, les marchés et même les cahiers des charges des prestations. C’est tout à fait essentiel et ce n’est pas un travail aisé, car les industriels jouent autour de ces standards pour créer des résistances à la bascule d’un opérateur à l’autre.

La deuxième réponse a trait aux clauses de réversibilité, qu’il importe de prévoir dans les cahiers des charges. Cette opération peut paraître assez simple quand on regarde les déclarations d’intentions, mais il ne faut pas oublier que, dans la pratique, elle coûte extrêmement cher et prend du temps. Il faut donc l’anticiper. Si un marché dure trois ans et qu’il faut compter six à neuf mois de réversibilité, cela signifie qu’il faut préparer le futur marché un an et demi avant, soit à la moitié du marché en cours. C’est un élément structurant qui se construit sur le long terme.

Enfin, il est absolument essentiel d’identifier des sources alternatives, c’est-à-dire de conserver plusieurs fournisseurs dans certains domaines. S’agissant par exemple du cloud interministériel, nous travaillons sur des plateformes en logiciel libre avec le soutien de l’éditeur Red Hat. Cependant, pour le prochain déploiement, nos collègues de l’Agence du numérique des forces de sécurité intérieure (Anfsi) et nous-mêmes avons fait le choix de recourir à un autre éditeur. Si une interopérabilité totale est garantie, cette diversification permettra surtout de partager les risques. Elle nous offrira, à terme, la possibilité de nous désengager si l’opérateur change de politique, s’il se trouve soudainement soumis à une juridiction extra-européenne qui lui interdit de travailler avec nous ou de nous communiquer des informations sensibles, ou si nous perdons tout simplement notre confiance en lui.

Ce sont des sujets sur lesquels nous devons travailler collectivement pour accroître notre efficacité opérationnelle et nous doter de nouveaux réflexes, qu’il nous faudra ensuite faire connaître à l’ensemble des acteurs de chaque ministère. En effet, dans les décisions relatives à la construction d’un système d’information, le directeur du numérique – quelles que soient ses qualités personnelles – n’est pas seul à bord. Ces arbitrages se prennent au niveau des directions chargées des politiques publiques et des secrétariats généraux. En la matière, il est indispensable de faire preuve de pédagogie. Des textes ont déjà été adoptés en ce sens : par exemple, la circulaire relative aux achats numériques de l’État rappelle que la souveraineté est l’un des facteurs déterminants à prendre en compte. Toutefois, il reste encore beaucoup de chemin à parcourir : dans l’achat public, cette exigence ne s’est que peu traduite dans des cas concrets susceptibles de fonder une jurisprudence. Pour les décideurs ultimes, un double risque subsiste : le risque pénal au titre du code de la commande publique, et le risque d’engager sa responsabilité de gestionnaire public si le choix effectué venait à être critiqué ultérieurement par la Cour des comptes. Ce sont des enjeux de responsabilité majeurs. Tout ce que nous pourrons faire pour consolider ce cadre juridique, de même que la construction de stratégies dédiées, va donc vraiment dans le bon sens.

Yves Billon a dit tout à l’heure qu’il nous fallait « choisir nos combats ». En effet, ces combats sont nécessaires mais on ne peut pas tous les mener de front, car chacun d’entre eux s’inscrit dans une stratégie de long terme et mobilise une énergie et des moyens considérables. L’investissement nécessaire pour créer une solution alternative ou, simplement, pour passer d’une source unique à une double source, implique de lancer de nouveaux projets et d’y consacrer des effectifs. À court terme, cela représente en général un coût supplémentaire, à l’instar des investissements en faveur de la sécurité ou de la résilience. Toutefois, ces choix ont une valeur. Notre rôle est de faire reconnaître cette valeur pour que ces exigences deviennent des réflexes au sein de l’appareil d’État. C’est un point fondamental.

L’autre élément capital, c’est que tout cela va reposer sur des personnes, des agents publics qui doivent être capables de porter des projets de ce type. Ils ne peuvent se contenter d’être les intégrateurs de solutions venant des industriels ou les exécutants de projets conçus ailleurs. Il nous faut des architectes et des directeurs de projets, autant de fonctions critiques que l’État doit impérativement réinternaliser. Mes collègues ne l’ont pas encore évoqué, mais c’est une problématique classique et documentée par des rapports d’inspection depuis de nombreuses années : la fonction numérique de l’État est aujourd’hui trop externalisée. Cela ne signifie pas que l’État devrait se passer du secteur privé, mais cette externalisation est devenue excessive, au point de nous placer parfois dans une situation de dépendance où nous perdons jusqu’à la capacité de concevoir le basculement d’un projet vers un autre.

Ce mouvement de réinternalisation doit absolument être poursuivi. C’était d’ailleurs un axe fort de la Lopmi dès son adoption. Même si sa trajectoire a dû être révisée pour tenir compte des contingences budgétaires, le ministère de l’intérieur maintient un effort important pour réinternaliser les postes-clés du numérique. Une trentaine de créations de postes sont encore prévues en 2026 dans le cadre de cette réinternalisation, en dépit de différentes contraintes, notamment celles liées au plafonnement des emplois. C’est absolument indispensable si nous voulons maîtriser nos dépendances et réduire nos vulnérabilités.

La définition d’une stratégie, la réinternalisation de nos compétences et le choix de nos combats sont les trois axes à suivre, à mon sens, pour amorcer le processus – long et semé d’embûches – de réduction des dépendances numériques.

M. le président Philippe Latombe. Vous avez évoqué nos dépendances et, par exemple, l’évolution du prix des licences VMware. En revanche – et ce n’est pas une question piège –, vous n’avez pas abordé la question du versioning. Je pense notamment à Microsoft : le passage à Windows 11 impose de nouvelles exigences en matière de hardware. Vous l’avez malheureusement expérimenté – je sais que le ministère de l’intérieur est concerné, mais j’ignore s’il en va de même pour vos deux autres ministères. Avez-vous intégré cette problématique dans vos stratégies à venir ? Vous avez expliqué chercher à vous prémunir, autant que possible, des augmentations de coût des licences ; or, même à prix constant, un versioning peut imposer des modifications de hardware. Disposez-vous d’une cellule de veille ou de prospective sur ce sujet ? Avez-vous les capacités d’anticiper ces évolutions, voire de vous en affranchir ?

M. Mathieu Weill. Des discussions ont effectivement eu lieu sur cette thématique au sein du ministère de l’intérieur ; elles ont d’ailleurs trouvé un certain écho médiatique. La question centrale est celle du coût complet : c’est à ce niveau d’analyse que nous devons nous placer. Lorsque nous choisissons une solution technique, nous devons nous inscrire dans une vision de long terme qui englobe le maintien en condition opérationnelle et le maintien en condition de sécurité (MCS) de ces dispositifs. Il faut tenir compte du fait que les logiciels sont plus ou moins consommateurs de ressources : le coût de l’entretien d’un système inclut celui des infrastructures sous-jacentes. Dans le cas que vous évoquez, il s’agissait des postes de travail, mais nous rencontrons des problématiques similaires pour les serveurs. Ces difficultés existent d’ailleurs également pour les logiciels libres : la nécessité de suivre les évolutions d’un logiciel dans la durée pour garantir son niveau de sécurité entraîne parfois des incompatibilités, que ce soit avec les matériels ou avec d’autres applications.

Je vais prendre un exemple. Nous sommes tous engagés dans des stratégies visant à éviter les clients dits lourds – ces logiciels installés directement sur le poste de travail. La raison en est simple : à chaque mise à jour d’un composant logiciel, qu’il s’agisse de Windows, de Java ou d’un autre outil, il faut revérifier la compatibilité de l’ensemble de nos applications. Or il s’en trouve toujours une, généralement parmi celles dites obsolètes du parc ministériel, qui ne supporte pas la modification.

Nous devons donc gérer l’ensemble du parc en évoluant vers des stratégies où le maintien en condition opérationnelle est le plus modularisé possible. Mais au-delà des solutions techniques, il faut aussi faire évoluer nos postes de travail : tout cela influe donc sur les flux de renouvellement de nos équipements. Dans certains cas, on peut considérer que ce n’est pas seulement un coût, mais que cela offre aussi l’occasion de moderniser le parc matériel. Reste que si l’on fait le choix stratégique de tel ou tel système d’exploitation, on doit intégrer cette notion de renouvellement des postes dans le calcul du coût complet, car on sait que certains éditeurs sont plus gourmands que d’autres en ressources.

Côté Linux, il y a aussi des enjeux de gestion de la ressource, même s’ils sont moins formalisés puisqu’ils ne dépendent pas de la politique d’un éditeur unique. Quoi qu’il en soit, nous ne pouvons pas maintenir des postes trop anciens, même sous un système d’exploitation libre : à la fin, ce qui compte, c’est la performance de l’outil pour l’agent.

M. Yves Billon. Premièrement, nous observons bien une évolution de la logique des éditeurs vers un modèle de redevances annuelles. Nous n’achetons plus une version : nous payons un abonnement sur lequel nous n’avons d’ailleurs pas forcément de garanties à moyen terme ; nous restons donc exposés à tout moment à des inflexions importantes.

Le deuxième sujet majeur – Mathieu Weill l’évoquait –, c’est le maintien en condition de sécurité. S’il faut faire un arbitrage à un moment donné, la priorité va à la montée de version pour garantir cette sécurité. Un certain nombre des problèmes de cybersécurité que nous avons rencontrés sont liés à des failles non patchées. Nous ne pouvons nous satisfaire des derniers incidents auxquels nous avons été confrontés ; cependant, ils ne signifient pas que rien n’était en place. Nous sommes en relation permanente avec les fournisseurs et prêtons une attention constante à la cybersécurité.

D’ailleurs, lorsque l’éditeur va trop loin, il teste notre dépendance mais il provoque aussi la création d’anticorps en notre sein : cela nous incite précisément à relever le défi et à faire de la sortie de cette dépendance une priorité. De la même façon, toute alerte de cybersécurité nous redonne de l’énergie, en interne, pour renforcer nos défenses. Nous sommes donc engagés dans un combat permanent. Nous ne sommes pas nécessairement en situation de grande fragilité ; le rapport de force varie en fonction des acteurs et doit s’apprécier au niveau de chaque structure. Pour ma part, je ne partage pas totalement le constat de Mathieu Weill sur notre niveau de dépendance aux fournisseurs : tout dépend des projets. Certains ont connu des difficultés liées à une maîtrise interne insuffisante, mais il ne s’agit pas d’une généralité ni d’un trait systématique de nos systèmes d’information. Il ne faut donc pas complètement perdre espoir : nous disposons de ressources internes pour réagir. Cependant, je le répète, nous ne pouvons pas mener tous les combats de front.

Par ailleurs, nous avons besoin de partenaires fiables. La transition vers les redevances annuelles s’explique aussi par la difficulté croissante que nous éprouvons à héberger les éditeurs en interne, on-premise. Aller vers le SaaS (software as a service) est une facilité collective, ce qui nous amène à la réflexion sur le SecNumCloud : l’éditeur est-il prêt à nous soumettre une offre suffisamment souveraine et sécurisée, eu égard aux enjeux auxquels nous faisons face ? Finalement, la pression s’exerce des deux côtés. Il arrive fréquemment que des partenaires potentiels, français ou européens, jettent l’éponge lorsque nous leur exposons les contraintes associées au fonctionnement du secteur public. Le RGPD et les exigences de cybersécurité ne sont pas là pour rien ; or de nombreux éditeurs ne sont pas encore prêts à les intégrer. À l’inverse, d’autres acteurs de plus grande envergure ont déjà réalisé ce travail en avance de phase et répondent donc plus facilement aux exigences que nous devons respecter.

M. le président Philippe Latombe. J’espère que la généralisation de l’authentification multifacteur figurera parmi les anticorps que vous évoquez ; cela éviterait bien des déconvenues.

Mme Cyrielle Chatelain, rapporteure. Vous avez évoqué la question de la compétence en interne : quels sont les effectifs dédiés à ces systèmes d’information et comment envisagez-vous leur évolution ? Pourriez-vous également préciser la répartition entre fonctionnaires et contractuels au sein de vos équipes ?

Par ailleurs, vous avez distingué un certain nombre d’enjeux et d’acteurs clés en matière de dépendance. Pouvez-vous nous fournir une évaluation des coûts liés aux licences privées et, notamment, des coûts que représentent ces opérateurs vis-à-vis desquels vous identifiez une dépendance majeure ?

M. Audran Le Baron. En matière de ressources humaines et de compétences internes, tout dépend du périmètre retenu, tant le sujet du numérique s’organise en cercles concentriques. Si l’on considère l’ensemble des compétences informatiques du ministère – y compris l’assistance de proximité, dans les académies, pour la bureautique –, nous comptabilisons environ 3 000 ETP (équivalents temps plein), qui se répartissent entre 2 200 fonctionnaires et 800 contractuels, pour arrondir. Toutefois, si l’on se focalise sur les métiers liés à la conception, au développement et à l’intégration, en excluant l’assistance et l’exploitation, les effectifs se situent autour de 400 ETP pour le ministère de l’éducation nationale. Ce groupe se répartit entre une centaine d’agents en administration centrale et environ 300 agents dans les services déconcentrés. Sur cette population spécifique, la part des contractuels est sensiblement plus élevée. Ce sont là les ordres de grandeur, mais nous pourrons vous transmettre des chiffres plus détaillés selon le périmètre précis que vous souhaiterez cibler.

Je rejoins pleinement Mathieu Weill sur la nécessité de réinternaliser les compétences. Comme il l’a rappelé, ce besoin a été largement documenté par les inspections générales, notamment celle des finances. Au sein de notre ministère, nous avons bénéficié, il y a trois ans, d’une vague de réinternalisation de 60 ETP qui s’est avérée cruciale pour ramener les taux d’externalisation d’un certain nombre de nos projets à des niveaux soutenables. Encore une fois, nous sommes un ministère très déconcentré : le pilotage de nos systèmes d’information nationaux est assuré par la direction du numérique pour l’éducation (DNE), rue de Grenelle, mais leur réalisation opérationnelle est répartie sur l’ensemble du territoire, au sein d’équipes avec lesquelles nous entretenons un lien fonctionnel. Sur certains projets nouveaux, la phase de développement a nécessité le renfort de forces vives de travail, ce qui s’est traduit essentiellement par un recours à des prestations extérieures, hors titre 2, au détriment de la maîtrise interne. C’est pourquoi nous militons, tant en interne qu’au niveau interministériel, pour obtenir des dispositifs de réinternalisation de compétences et donc la création d’ETP dans la filière numérique. Ce fut le cas il y a deux ans et nous espérons que cet effort se poursuivra dans les prochains projets de loi de finances.

Notre objectif, c’est d’obtenir un taux d’externalisation soutenable. En interministériel, il a été admis qu’un taux dépassant 60 % devenait dangereux et qu’au-delà de 80 %, la situation n’était plus maîtrisable. Ce sont les points de repère sur lesquels nous nous appuyons. Si nous avons globalement réussi à sortir de la zone dangereuse pour la majorité de nos équipes, certains de nos systèmes « cœur de métier » présentent encore des faiblesses à ce niveau. Le but, c’est à la fois d’assurer un taux de maîtrise interne suffisant et de sécuriser les compétences clés nécessaires pour assumer pleinement nos orientations stratégiques en matière de systèmes d’information. Il s’agit donc surtout de cibler les domaines où l’internalisation des compétences est une priorité – mais Mathieu Weill en a déjà parlé, donc je n’y reviens pas.

S’agissant du coût des licences privées, j’ai évoqué, dans mon propos introductif, notre contrat avec Microsoft. Plusieurs chiffres, bien supérieurs à la réalité, ont circulé dans la presse ; je me suis donc hâté de rétablir les faits. Je le redis : le ministère de l’éducation nationale dépense 2,4 millions d’euros par an à ce titre. Ce montant comprend les postes de travail, pour l’essentiel, ainsi que quelques licences serveurs pour certains systèmes d’information métier spécifiques fonctionnant sous Windows – mais 98 % de nos SI métiers tournent sous Linux.

Au-delà de Microsoft, notre principale préoccupation concerne Oracle – c’est aussi, je crois, le cas de mes collègues. Le ministère dépense un peu plus de 1 million d’euros par an pour les briques Oracle hors bases de données, c’est-à-dire la gestion de l’identité, les serveurs d’application et le traitement de données. Toutefois, nous avons été contraints par l’éditeur de souscrire, en fin d’année dernière, un nouveau contrat ULA (Unlimited License Agreement) non prévu au budget. Ce contrat, d’un montant d’un peu plus de 3 millions d’euros, a été renouvelé pour trois ans. Cette période constitue la fenêtre temporelle que nous nous sommes fixée pour réduire drastiquement le nombre de licences actives au sein de notre système d’information. L’objectif est de diminuer drastiquement les coûts de licence versés à cet éditeur, dont la politique tarifaire est particulièrement agressive – je ne suis certainement pas le premier à vous le dire.

Le deuxième enjeu, que j’ai déjà évoqué, concerne les bases de données IBM Db2. Bien que les montants engagés soient plus modestes – environ 400 000 euros par an –, cette situation nous préoccupe. Par définition, nous ne savons pas comment évolueront les tarifs de cet éditeur ; il y a donc là un risque financier majeur, qui est documenté.

Enfin, le cas de VMware est sans doute le plus complexe, pour nous, en matière de sortie de la dépendance. Le ministère présente la particularité – qui est à la fois un avantage et un inconvénient – d’utiliser cette technologie sur l’ensemble de sa stack technique. Cette situation nous a protégés du récent changement de politique tarifaire de l’éditeur : celui-ci ayant regroupé l’ensemble de son offre, les clients qui n’en utilisaient qu’une partie ont dû acheter la totalité de l’offre, tandis que notre facture est restée stable. Ce choix nous a en outre permis d’opérer un cloud interne avec une économie de moyens humains considérable, les effectifs mobilisés étant sans commune mesure avec ceux qu’il faut employer pour faire fonctionner un cloud sur des technologies libres, comme le font la DGFIP ou le ministère de l’intérieur. Cela rejoint la question des compétences internes : c’est précisément parce que nous ne disposions pas des possibilités internes suffisantes, en nombre comme en expertise, que nous avons recouru à ces technologies. Il faut reconnaître qu’elles permettent, de ce point de vue, une très grande efficience. Le point de sortie est donc complexe. Aujourd’hui, les dépenses liées à l’ensemble des technologies VMware s’élèvent à environ 2,5 millions d’euros par an – il s’agit d’un montant annualisé sur la base de contrats pluriannuels. Voilà pour les grands éditeurs auxquels nous avons recours.

M. Mathieu Weill. Les ordres de grandeur étant similaires, je ne citerai pas tous les chiffres concernant le ministère de l’intérieur. S’agissant des effectifs, je veux toutefois compléter le propos de mon collègue sur deux points. D’une part, une DSI comme la mienne, qui est chargée de tout ce qui n’est pas police et gendarmerie, compte environ 700 emplois ; ils couvrent l’hébergement, le soutien de proximité, le développement, etc. Nous avons 150 à 200 projets en cours ; vous imaginez bien que le taux d’externalisation est donc très élevé pour la partie développement, comme le soulignait Audran Le Baron. Pour y faire face, la Lopmi a prévu, via le programme Conduite et pilotage des politiques de l’intérieur (CPPI) dont relève ma direction, la création de 300 emplois numériques supplémentaires, incluant un volet cybersécurité et des postes en services déconcentrés. À ce jour, un peu moins de 100 recrutements ont été finalisés. Nous poursuivons cette trajectoire, tout en composant avec les difficultés supplémentaires apparues en cours de route.

Toutefois, ces renforts ne vont pas complètement changer la donne. Le rapport sur les ressources humaines de l’État dans le numérique, produit conjointement par l’IGF (Inspection générale des finances) et le CGE (Conseil général de l’économie), estimait les besoins à 3 500 emplois numériques supplémentaires sur trois ou quatre ans ; voilà l’ordre de grandeur. Dans la Lopmi, outre les 300 emplois du programme CPPI, 150 postes supplémentaires ont été alloués à l’Agence du numérique des forces de sécurité intérieure, qui est l’une des DSI du ministère. Elle est désormais en bonne voie pour atteindre, à terme, un effectif de 450 personnes.

Il existe par ailleurs, au sein du ministère de l’intérieur, une filière interne historiquement puissante : celle de la gendarmerie nationale. À l’instar de la DGFIP, elle a fait ce pari il y a de nombreuses années en décidant d’entretenir, dès les années 1980 et 1990, des filières scientifiques et informatiques en son sein ; les taux d’internalisation y demeurent donc assez satisfaisants. Cette expertise constitue aujourd’hui un atout considérable pour ces organisations : le fait qu’elles disposent des compétences nécessaires en interne leur permet de maîtriser leurs dépendances.

S’agissant du coût des licences, je m’associe aux propos d’Audran Le Baron. Au-delà du surcoût qu’elles représentent, il faut surtout considérer le coût complet. Les éditeurs jouent souvent sur le fait que le prix d’une licence peut sembler dérisoire face au coût massif d’une transition technologique. Pourtant, si l’on adopte une vision pluriannuelle à cinq ou dix ans, l’investissement de transition vaut la peine. S’il coûte cher la première année, il permet par la suite une réduction des coûts annuels. Il y a là une difficulté classique qui est liée à notre cadre budgétaire annualisé : compte tenu du surcoût qui s’observe la première année, voire les deux ou trois premières années, il peut s’avérer difficile de mener une politique d’investissement à moyen terme. Certains éditeurs en profitent ; ils le font d’ailleurs de manière similaire avec le secteur privé, où l’on doit rendre des comptes chaque trimestre en Bourse. C’est l’un des enjeux auxquels nous sommes fréquemment confrontés : il faut pouvoir justifier un investissement immédiat qui n’entraînera de retour sur investissement que trois ou quatre ans plus tard. Sortir de la dépendance à l’égard d’un industriel nécessite donc une forte impulsion politique, ce qui n’est pas toujours simple pour des sujets qui demeurent souvent peu visibles dans le débat public.

M. Yves Billon. En matière d’effectifs internes, le ministère de l’économie et des finances mobilise environ 7 000 ETP dans le numérique : 5 000 à la DGFIP, 500 à la douane, 400 à l’Insee, le reste se répartissant au sein de l’administration centrale, dont les services comptent environ 250 personnes – et même 350 si l’on ajoute les assistants de proximité intégrés aux directions d’état-major, ainsi que les agents de l’AIFE (Agence pour l’informatique financière de l’État) et du Cisirh (centre interministériel de services informatiques relatifs aux ressources humaines). Au total, cela représente bien un effectif d’environ 7 000 agents.

Au-delà de cette dimension quantitative, c’est le volet qualitatif qui nous préoccupe : l’enjeu, c’est de parvenir à structurer des filières qui tiennent la route et garantissent de vraies montées en compétences. Greffer des SI du privé ne résout pas les problèmes propres à l’administration. Faire du numérique au sein du secteur public impose d’intégrer de nombreuses contraintes spécifiques, qui ne se posent pas forcément au privé. Nous avons donc le souci de créer des filières internes qui soient à la fois pertinentes et attractives.

S’agissant ensuite du coût des licences et redevances, je veux insister sur le fait qu’il n’est pas prédominant dans nos budgets ; je l’évalue, pour la centrale, à 5 à 10 % au maximum. Nous faisons face à d’autres enjeux de rigidité budgétaire qui concernent le matériel, les appuis techniques et, surtout, le recours aux prestations externes. À la suite de l’affaire McKinsey, un travail de mise sous contrôle a été effectué : une circulaire spécifique a encadré les prestations intellectuelles et informatiques. Nous en avons profité pour instaurer un cycle annuel de revue de nos dépendances vis-à-vis des prestataires. En l’occurrence, ce n’est pas un enjeu de souveraineté : il s’agit d’évaluer notre dépendance financière et notre maîtrise des compétences externalisées. Ce processus s’est révélé très instructif : il montre qu’une réflexion est en cours pour réduire nos dépendances. Même dans les domaines pour lesquels je craignais de mauvaises surprises, j’ai constaté qu’à chaque renouvellement de marché, tout était mis en œuvre pour garantir notre capacité à changer de partenaire. Du point de vue de Bercy, la maîtrise de la réversibilité est parfois plus stratégique que les questions liées au coût des redevances logicielles et à l’extraterritorialité.

En ce qui concerne Microsoft, je précise que nous ne sommes pas seuls à décider. Sur certaines briques techniques, comme les bases de données ou les environnements VMware, la décision appartient exclusivement aux DSI ; en revanche, pour les logiciels utilisateurs – tout particulièrement au sein des directions d’état-major et des cabinets ministériels –, la DSI n’est pas la seule décisionnaire. Certaines solutions qui nous conviennent parfaitement à titre personnel ne sont pas jugées adaptées au contexte professionnel d’un grand ministère comme celui de l’économie et des finances, notamment pour des raisons d’attractivité. Les ministères économiques et financiers sont confrontés à des enjeux d’attractivité qui dépassent la seule filière numérique, et l’argument de l’outillage – le fait de disposer de solutions « à l’état de l’art », cohérentes avec celles employées dans des fonctions équivalentes dans le privé – revient régulièrement dans les échanges. C’est pourquoi nous mettons parfois nos préférences techniques de côté.

Enfin, il convient tout de même de mettre en avant les résultats positifs obtenus avec les grands éditeurs par les deux services à compétence nationale que sont l’AIFE, avec l’application Chorus qui s’appuie sur le progiciel SAP, et le Cisirh, avec le système RenoiRH fondé sur HR Access. Avec le recul historique dont nous disposons, nous voyons que l’empreinte budgétaire de ces solutions est contrôlée, à l’instar des extensions de périmètre. RenoiRH, par exemple, se déploie progressivement dans l’ensemble des ministères. Bercy occupe de ce point de vue une position spécifique : nous utilisons HR Access, mais pas encore RenoiRH. Toutefois, une convergence s’opère en douceur dans le cadre de nos travaux internes. Le Cisirh, qui accompagne par ailleurs de gros partenaires interministériels pour lesquels les enjeux de bascule sont plus critiques que les nôtres, nous laisse le temps d’y aller. Dans ces cas précis, nous sommes certes dans une situation de dépendance vis-à-vis de grands éditeurs, mais cette dépendance est totalement contrôlée. De fait, nous serions sans doute moins performants si nous redéveloppions en interne des progiciels ayant un champ aussi vaste pour des fonctions qui sont finalement assez classiques, même s’il existe des spécificités liées à la fonction publique d’État.

M. le président Philippe Latombe. Je retiens de vos propos que nous devons faire passer l’INSP (Institut national du service public) directement à LibreOffice !

Mme Cyrielle Chatelain, rapporteure. Vous avez évoqué à plusieurs reprises la culture du logiciel libre au sein de vos administrations. Pourriez-vous nous exposer les solutions que vous avez déployées, en précisant depuis combien de temps elles le sont et si elles sont satisfaisantes ? Nous avons auditionné d’autres DSI qui exprimaient des réserves à ce sujet ; pourriez-vous préciser votre démarche et les retours d’expérience dont vous disposez ?

Par ailleurs, vous avez beaucoup dit qu’il fallait « choisir ses combats » et vous avez signalé des carences dans certaines filières. Quelles seraient, selon vous, celles auxquelles l’État devrait porter une attention particulière ?

M. Audran Le Baron. La culture du logiciel libre est intrinsèquement liée aux ressources internes en matière de numérique, un domaine dans lequel les ministères ne sont pas tous égaux. Il se trouve que nos trois ministères présentent un niveau assez homogène en la matière, car nous figurons parmi les quelques grands ministères à bénéficier de corps de fonctionnaires spécialisés dans le numérique.

Au sein du ministère de l’éducation nationale, par exemple, nous nous appuyons sur le corps des ITRF (ingénieurs et techniciens de recherche et de formation), dont une partie possède une expertise numérique. Nous disposons donc d’un grand corps de fonctionnaires particulièrement qualifiés, qui se maintiennent à niveau sur ces questions. Nombre d’entre eux ont été formés très tôt, dans leur métier de développeur, à l’utilisation de technologies libres. Par conséquent, cette culture du libre est profondément ancrée dans leur formation initiale et demeure très présente dans leurs pratiques.

Au-delà de la dimension numérique proprement dite, je crois que les valeurs du ministère de l’éducation nationale – la transmission des savoirs, l’ouverture sur la connaissance – entrent particulièrement en résonance avec les valeurs du logiciel libre et les communs numériques. Au sein de la direction numérique pour l’éducation, nous menons une politique en faveur des communs numériques, pas seulement pour des raisons informatiques mais également pour promouvoir les outils pédagogiques du quotidien de l’ensemble de nos agents, et en particulier de nos enseignants.

Parmi les communs numériques que nous utilisons figure Moodle, une plateforme d’enseignement à distance qui est probablement le logiciel libre le plus utilisé au monde dans la sphère universitaire et de l’enseignement. Nous avons déployé à l’échelle nationale une plateforme Moodle nommée Éléa, que tout enseignant peut utiliser pour créer ses cours et faire faire des activités à ses élèves. Nous avons une autre plateforme, basée sur le notebook Jupyter, qui est aussi une technologie libre qui permet à des professeurs de partager des activités autour de l’enseignement de l’informatique, des sciences numériques et, plus globalement, des Stiam (sciences, technologies, ingénierie, arts et mathématiques). Nous avons également proposé la Forge des communs numériques éducatifs, c’est-à-dire un atelier au sein duquel les enseignants peuvent créer des ressources, des outils numériques libres, en open source. Cette forge est motorisée par un GitLab – c’est le même type de forge que celle que nous utilisons en interne pour le développement de systèmes d’information. Nous promouvons beaucoup cette culture, au-delà des frontières du numérique proprement dit, parce que je pense que nous avons beaucoup à y gagner.

Quant aux combats à mener, j’ai déjà signalé, dans mes interventions, quelques points de dépendance qu’il nous semble prioritaire de traiter et sur lesquels nous travaillons. J’ai parlé d’Oracle, qui est le combat numéro un – nous nous attelons à la tâche. Le poste de travail est un autre combat, que chaque ministère ne pourra pas livrer seul dans son coin. Cette question, qui concerne l’ensemble de nos autorités, doit être traitée à un échelon interministériel. En effet, il ne s’agit pas tant d’un enjeu technique que d’une question d’usage. Nous avons évidemment un rôle à jouer en tant que directeurs du numérique mais avons besoin de soutien politique sur ces sujets.

M. Mathieu Weill. Le logiciel libre est, depuis longtemps, une option que nous privilégions dans de nombreux cas. Par construction, il répond à l’exigence de continuité – il n’y a pas de difficultés liées à la durée de validité d’une licence – et nous simplifie considérablement la tâche en matière de réversibilité. Ces logiciels ont été déployés assez largement. Nous avons même construit certains outils en logiciel libre pour pouvoir bénéficier d’un relais éventuel de la communauté sur plusieurs questions. J’ai évoqué SecDroid, qui est édité par l’Osiic. Je peux aussi citer l’ensemble des composants de notre usine logicielle, dite DevSecOps (développement, sécurité et opérations), que nous mettons à disposition en logiciel libre afin que d’autres ministères puissent s’en emparer et que cela puisse être déployé, par exemple, sur Nubo mais aussi sur des plateformes SecNumCloud. Nous assurons des sessions de formation et de certification relatives à cette solution de manière que l’ensemble de l’écosystème des prestataires soit capable de développer avec elle, afin de réduire les délais de livraison des projets. Ces délais sont l’une de nos principales préoccupations : il ne faut pas être trop long eu égard à la nécessité de répondre aux besoins d’évolution des politiques publiques.

En cette matière, il faut trouver un équilibre – cela rejoint la question des compétences. Ce n’est pas une doctrine absolue : il faut appliquer au logiciel libre le même type d’analyse et de réflexion que ceux que nous menons au sujet des solutions privées – et entretenir à son égard le même degré de dépendance, y compris économique. Nous avons de multiples exemples de solutions libres dont le cœur de l’équipe éditrice dépend en fait d’une société. Au début, le modèle économique de la société éditrice repose sur un logiciel libre avant qu’un nouvel investisseur n’arrive, et que la stratégie ne change : la version libre est alors réduite à peau de chagrin, les maintiens en conditions opérationnelles et de sécurité ou les fonctionnalités de grande valeur que l’on utilisait deviennent payantes. On sort alors brusquement du logiciel libre : la relation devient totalement asymétrique. Ce n’est donc pas parce que l’on a du logiciel libre aujourd’hui que l’on ne s’expose pas à un risque de dépendance à l’avenir. La composition du noyau dur des équipes de développeurs entre en ligne de compte, car elles peuvent être plus ou moins étroitement liées à des régimes étrangers – des cas existent.

Même au sein de l’État, nous avons eu des expériences difficiles. Dans le cadre de certains projets en logiciel libre, pensés comme des communs numériques, notre action a manqué de continuité, ce qui a créé beaucoup de difficultés. Au sein du ministère de l’intérieur, notre messagerie électronique est basée depuis longtemps sur des logiciels libres. Au cours de la période 2017-2019, nous avons fait le choix de nous appuyer sur la messagerie collaborative de l’État. Le projet était, à l’époque, soutenu par la Dinsic (direction interministérielle du numérique et du système d’information et de communication de l’État) – ça ne devait pas encore être la Dinum – et porté par nos collègues du ministère de la transition écologique – que je remercie, car ils ont continué à être d’un grand soutien. Nous pensions que nous allions nous inscrire dans une dynamique interministérielle. Puis, les priorités ont changé. Le ministère de la transition écologique a continué à nous soutenir mais, tout à coup, la Dinsic, la Dinum ont cessé de participer et d’autres projets ont été lancés – ils parlent, aujourd’hui, d’un autre système de messagerie. Nous étions pourtant engagés sur la voie de cette transition. J’estime que nos équipes ont perdu entre un an et demi et deux ans du fait du changement de stratégie. Il s’agissait de remplacer une messagerie obsolète, ce qui constituait une véritable préoccupation, tant au regard de l’expérience des agents et de l’attractivité qu’en matière de sécurité et de vulnérabilités.

Le fait d’utiliser un commun numérique n’est donc pas, en soi, une garantie suffisante : la démarche doit s’inscrire dans le cadre d’une stratégie, être accompagnée de moyens et être menée dans la durée. Il faut choisir ses combats parce que ces projets sont porteurs de nombreux risques. De même qu’un fournisseur peut faire faillite, un commun numérique qui n’est pas suivi dans la durée peut créer un problème de dépendance que l’on devra résoudre en urgence.

Les combats prioritaires doivent concerner, en premier lieu, les solutions collaboratives, la bureautique. À cet égard, nous disons à nos équipes que tout doit être dans notre système d’information métier et qu’il faut mettre le moins de choses possible, notamment d’éléments sensibles, dans les mails, mais, en réalité, tout s’échange de cette manière et est stocké dans des fichiers Word, Excel, Calc, Doc ou autres. L’information sensible est là, or comme un acteur est ultradominant sur le marché, il constitue un standard de fait. Il est donc indispensable d’offrir, à tout le moins, une solution alternative crédible, avec une bonne expérience utilisateur et qui ne soit pas une réplique exacte de ce que fait l’acteur dominant – sinon, ça ne fonctionnera pas car on sera toujours à la remorque. Faire émerger une autre solution crédible à l’échelle européenne – des projets existent – revêt une importance stratégique. Il faut investir collectivement dans ce chantier, qui est, à mes yeux, le combat prioritaire, et qui ne pourra sans doute être mené à bien qu’à l’échelle européenne.

Le deuxième combat est un peu plus prospectif, même si c’est déjà notre réalité au quotidien : je veux parler de l’intelligence artificielle. Il ne faut pas se rater en ce domaine car si nous connaissions, dans les différents segments de la chaîne de valeur de l’IA, une concentration aussi forte qu’elle l’est actuellement dans les secteurs des solutions collaboratives et des systèmes de bases de données, l’ampleur de nos difficultés et de notre dépendance s’en trouverait accrue. La construction d’une offre alternative constitue, là aussi, un enjeu majeur. Le secteur économique français est assez dynamique pour être au rendez-vous.

M. Yves Billon. La longue expérience que nous avons acquise en matière de logiciel libre nous montre qu’en premier lieu, il faut savoir travailler avec des communautés. Il importe qu’au sein des DSI, un certain nombre de personnes soient connues des communautés ou, mieux, soient référentes au sein de celles-ci.

Il faut tenir compte des difficultés du faux libre, c’est-à-dire du gratuit trop dépendant d’une entité. Cela concerne plusieurs sociétés, mais l’une, en particulier, dont le logo représente un chapeau rouge, nous pose des difficultés dans le domaine des systèmes d’exploitation des serveurs.

Il faut également intégrer les ruptures technologiques. Vers le milieu des années 2010, nous pensions que nous pourrions avoir la peau de Microsoft Office, mais Office 365 a introduit une rupture dans le domaine des services. Globalement, LibreOffice n’a pas suivi. On peut faire de la bureautique avec LibreOffice, mais on ne bénéficie pas de l’expérience utilisateur d’Office 365, de l’expérience cloud – il a fallu reconstruire beaucoup de choses derrière. On y a beaucoup perdu sur le plan fonctionnel ; les utilisateurs l’ont ressenti. Il y a quelques années, l’État pouvait être perçu comme un grand promoteur du logiciel libre, mais peut-être surtout en tant que passager clandestin. La question est de savoir comment on contribue activement, et éventuellement financièrement, au bon fonctionnement de la dynamique.

Un dernier point fondamental est que les logiciels libres ont besoin d’être adaptés avant d’être installés dans de grandes organisations. Je citerai le cas de la DGFIP. Cette direction, qui n’était pas dépendante de Microsoft, s’était vue enjoindre d’opérer une structuration plus profonde de son système d’information au moyen d’un équivalent à Active Directory. La solution était le logiciel libre Samba. Toutefois, Samba 4 n’était pas en mesure de gérer la complexité de l’organisation de la DGFIP. Des moyens ont donc été engagés pour adapter le logiciel à la gestion de cette direction. Nous nous sommes efforcés de mutualiser l’action à l’échelon interministériel. Nous avons perdu un an à un an et demi dans les négociations budgétaires pour trouver un accord interministériel, alors que le retour sur investissement était évident. La DGFIP considère qu’il lui reviendra toujours moins cher de constituer une équipe spécifique, spécialiste du produit et chargée de l’adapter, tandis que d’autres structures plus légères ont tendance à penser que le retour sur investissement n’est pas si évident que cela.

Nous travaillons sur ces pistes de mutualisation. La question est de savoir si la DGFIP peut rendre service à tout le monde, sachant qu’elle a, par ailleurs, un plan de charge non négligeable. Elle est confrontée à des difficultés internes – je pourrais reparler de la déclaration de revenus ! Il faut faire tourner le service. Le numérique ne se regarde pas le nombril : il est au service de l’ensemble des missions de l’État. Il doit donc être au rendez-vous des grandes échéances. On aimerait aller plus loin à certains moments mais on doit parfois temporiser sur un sujet ou un autre.

S’agissant des combats à mener, je reviendrai sur l’enjeu du développement économique. Il convient de développer une vraie filière. Nous voulons bien travailler sur des offres alternatives – pas forcément des logiciels libres – mais la question est de savoir qui porte la communauté dans le champ des missions régaliennes. On a parfois des retours de personnes qui nous disent qu’elles ne travaillent pas gratuitement et pas nécessairement sur nos missions. Nous faisons de la lutte contre la fraude, nous assumons des missions dans le domaine de la sécurité, ce qui n’est pas toujours porteur pour les développeurs présents dans ces communautés. Il faut déterminer quel est le moteur de la guerre sur le plan économique.

Certains cabinets ministériels sont très attentifs à la nécessité de redévelopper cette filière industrielle mais, aujourd’hui, nous avons surtout affaire à des PME. Nous ne voyons pas encore vraiment émerger le modèle qui nous permettra d’avoir des ETI (entreprise de taille intermédiaire) partenaires – sachant que lorsque les entreprises sont trop grandes, le combat redevient un peu inégal. Nous souhaiterions pouvoir travailler sereinement avec de vraies ETI, de 2 000 ou 3 000 salariés, dont le PDG connaît les enjeux et avec qui on peut discuter de l’organisation dans toutes ses dimensions. Le fait de travailler essentiellement avec des PME fragilise la relation de confiance. Nous avons eu quelques mauvaises expériences. Nous avions par exemple choisi un partenaire qui s’est révélé incapable d’assurer l’accompagnement de l’ensemble des ministères dans le cadre de la mise en place d’un courrielleur. Nous aimerions avoir des partenaires plus solides, ce qui renvoie à la question du développement industriel.

M. le président Philippe Latombe. Le règlement européen eIDAS 2, relatif à l’identité numérique, va arriver. C’est un projet très structurant pour le ministère de l’intérieur – puisqu’il touche au régalien – mais aussi pour la société dans son ensemble. Quand pensez‑vous que nous aurons un débat au Parlement sur la question ? Afin d’éviter de reconstruire des dépendances, comment le ministère de l’intérieur gère-t-il un tel projet, qui émane de l’Union européenne, qui est basé sur des wallets localisés dans des systèmes d’information non européens et qui implique des certifications privées et publiques ainsi que des enrôlements différents ? Une des difficultés tient au fait que, si vous avez une part active dans la construction de ce projet, vous n’en avez pas la maîtrise totale.

M. Mathieu Weill. Le règlement eIDAS 2 (Electronic Identification And trust Services) est en effet en cours de mise en œuvre. Il va faire émerger un nouveau type de services – les portefeuilles électroniques – dont il organise l’interopérabilité à l’échelle européenne. Cela implique la reconnaissance à l’échelon national des portefeuilles électroniques, et notamment des identités numériques établies par d’autres pays européens, et réciproquement, pour nos concitoyens, la reconnaissance des services développés en France pour les démarches qu’ils effectuent en dehors de notre pays. C’est une véritable avancée, qui se traduira par des facilitations administratives considérables.

Le ministère de l’intérieur porte, auprès de France Titres, le programme « France identité numérique », qui concerne l’identité numérique régalienne. Cette offre de services émane d’un fournisseur d’identité de niveau élevé, qui permet de réaliser des démarches en bénéficiant du plus haut niveau de sécurité reconnu par l’Anssi. On pourra ainsi, notamment, dématérialiser complètement la procuration de vote. C’est aussi un service qui peut être utilisé au quotidien : à titre d’exemple, ce service est un des fournisseurs d’identité de FranceConnect. Pour se connecter au service public en ligne, on peut utiliser France identité numérique, qui est l’application compagnon de la carte nationale d’identité électronique. Il faut être titulaire de cette carte d’identité dont le format est celui d’une carte de crédit. Je rappelle qu’on peut demander le changement de sa carte nationale d’identité pour ce motif, en mairie.

Les enjeux sous-jacents à ce développement ressortissent, d’une part, au champ régalien et à la vie citoyenne, d’autre part, à l’écosystème. La question est de savoir pour quelles démarches on accepte des fournisseurs d’identité distincts de l’identité numérique régalienne, qui peuvent être des sociétés reconnues par FranceConnect+ – ce qui garantit une plus grande sécurisation de l’accès aux services publics, comme la sécurité sociale, par exemple. Il existe un écosystème de fournisseurs qui sont reconnus comme étant de niveau non pas élevé mais substantiel, parmi lesquels on trouve La Poste ou des PME comme ID Trust. France identité a également la capacité d’y répondre.

L’enjeu est de structurer cet écosystème face à une concurrence émanant principalement des grands fournisseurs de systèmes d’exploitation mobiles, qui se sont naturellement positionnés sur ce secteur. Ces fournisseurs ne font pas payer leurs services, que ce soit aux citoyens ou au secteur privé, lequel a également besoin d’identification au titre, par exemple, de ses obligations dites de KYC (Know Your Customer), qui sont de plus en plus présentes dans les régulations numériques. Les banques, pour ne citer qu’elles, ont aussi des besoins d’identification. Google et Apple, qui sont les principaux fournisseurs d’OS (systèmes d’exploitation) mobiles, ne facturent pas leurs services car ils s’appuient sur ceux-ci pour améliorer leur connaissance des clients et leurs services – bien sûr purement dans un esprit d’intérêt général ! L’enjeu est là, dans l’équilibre à trouver entre secteur privé et secteur public, sachant que, si les outils du secteur public, régalien, sont utilisés à des fins exclusivement régaliennes, on n’y recourra pas au quotidien et, in fine, on ne saura plus les utiliser – car ils sont trop lourds.

Nous plaidons donc pour que France identité numérique participe aux services commerciaux. C’est un débat qui a lieu actuellement à l’échelon interministériel. La direction générale des entreprises a en effet lancé ce week-end une consultation publique sur la stratégie interministérielle d’identité numérique, dont l’élaboration relève de la direction interministérielle du numérique, qui opère aussi FranceConnect, et à laquelle le ministère de l’intérieur contribue.

France Titres est très active, à l’échelon européen, dans les programmes qui construisent le portefeuille numérique de demain. Financé par la Commission européenne, le programme Aptitude, qui réunit une quinzaine de pays, ainsi que des acteurs privés et publics, a pour objet de construire les usages à venir dans des secteurs tels que le transport aérien ou le commerce, au-delà du régalien. En effet, c’est en étant partie prenante de ces écosystèmes que nous préserverons notre capacité à disposer d’options qui nous protègent de la dépendance. Au sein d’un programme comme celui-là, nous sommes évidemment attentifs aux dépendances sous-jacentes, aux briques technologiques, aux PME sur lesquelles nous nous appuyons pour la technologie. Nous débattons du bon équilibre entre le public et le privé pour que, demain, nous soyons libres de nos choix en matière d’identité numérique et non pas dépendants des acteurs dominants qui souhaitent s’imposer dans ce secteur.

Mme Cyrielle Chatelain, rapporteure. Nous aurions intérêt à débattre, nous aussi, de l’identité numérique, qui est un sujet régalien. Si cette question a des implications industrielles et a partie liée à la stratégie dans le domaine numérique, elle est également porteuse d’enjeux liés à la souveraineté, à la protection des données personnelles, à l’extension de monopoles existants – qui prétendent améliorer l’expérience client en accaparant une quantité de données colossale.

Monsieur Weill, lorsque vous parliez d’une alternative, à l’échelle européenne, sur les suites Office, pensiez-vous à OpenBuro, par exemple ?

M. Mathieu Weill. Il existe plusieurs options. Je pensais à un projet Edic (Consortium européen pour une infrastructure numérique) qui se lance sur les solutions collaboratives, avec une participation active de la France – un directeur général de grande qualité a été nommé récemment. Il existe des solutions européennes, comme Nextcloud, qui a été évoqué par M. Le Baron, sur laquelle nous allons mener quelques expérimentations.

Un débat impliquant différents éditeurs a lieu actuellement sur les licences. Je n’en suis pas encore au stade du choix mais ce qui est certain, c’est que nous devrions nous organiser pour remettre un peu le pied dans ce secteur.

Mme Cyrielle Chatelain, rapporteure. Dans le domaine du renseignement, le choix de Palantir par la DGSI (direction générale de la sécurité intérieure) soulève des interrogations. Comment évaluez-vous notre niveau de dépendance ? Celui-ci recouvre, à mes yeux, un double aspect. D’une part, il faut préserver la donnée, garantir, dans la mesure du possible, une certaine étanchéité. D’autre part, je comprends que Palantir offre la capacité de traiter un nombre colossal de données de manière sans doute très fine – car l’entreprise s’impose dans de nombreux marchés. Dans la mesure où il s’agit d’une solution propriétaire, j’imagine qu’il n’y a pas de transparence sur l’algorithme utilisé, ce qui signifie que le traitement de la donnée est opéré par un algorithme complètement contrôlé par cette entreprise. En fonction de la manière dont les données sont triées et analysées, Palantir impose donc une certaine vision du monde. Cela constitue un des volets de la dépendance, à plus forte raison dans le domaine du renseignement, où l’analyse de l’information est un élément clé de la décision.

Par ailleurs, on assiste au développement de l’advertising intelligence, qui implique notamment l’intervention de courtiers en données. On voit se déployer un marché de la captation de données de géolocalisation par des applications via des marchés publicitaires. Un nombre croissant de sociétés achètent ces données pour les revendre à des services de renseignement. Le ministère de l’intérieur achète-t-il des solutions d’advertising intelligence ?

M. Mathieu Weill. Je dirai, en préambule, qu’il y a des informations classifiées auxquelles je n’ai pas accès. Je répondrai donc en l’état de mes connaissances et de mon droit à en connaître.

Le choix de Palantir est un cas très intéressant, à mon sens, pour les travaux de votre commission. En effet, l’administration mène un effort important sur ce dossier depuis plusieurs années. Le choix de Palantir s’est imposé en 2016, juste après les attentats de 2015, pour rehausser la performance de notre lutte contre le terrorisme. L’outil permet de se brancher sur une très grande variété de données, de créer et de rendre visibles des liens, qui sont des éléments utiles pour les missions de ce type. Il faut être très clair sur le fait que cet outil est hébergé dans nos infrastructures : Palantir n’a donc, à aucun moment, accès aux données. Les équipes de Palantir sont sollicitées par les équipes du ministère de l’intérieur pour affiner les algorithmes. Les agents du ministère acquièrent petit à petit de l’autonomie pour développer leurs algorithmes sur l’outil, qui est très plastique et a la capacité de s’adapter à une très grande variété de situations. L’entreprise a d’ailleurs remporté de nombreux marchés, même si elle n’est plus seule dans son secteur.

À partir de 2019, la DGSI a décidé de se désensibiliser vis-à-vis de Palantir et de coconstruire une solution alternative, car il n’existait à l’époque aucune offre sur étagère capable de faire exactement la même chose. L’approche retenue, à partir de 2021, est un partenariat d’innovation. Cette catégorie de marché public est très intéressante en ce qu’elle permet de mettre en concurrence, au cours d’étapes successives, les acteurs du secteur privé pour remplir certains besoins fonctionnels. Le processus est quasiment achevé : le premier lot a déjà été attribué et le second est en cours de finalisation. Ce projet, nommé OTDH (outil de traitement des données hétérogènes), est quasiment une coconstruction entre l’administration et le secteur privé. Il y avait beaucoup de monde sur la ligne de départ ; on a réduit petit à petit le choix, jusqu’à arriver à une seule solution. Le ministère acquerra une licence libératoire, qui pourra être mise à disposition pour d’autres usages.

En effet, ce type de traitement de données hétérogènes peut être utilisé dans de nombreux cas de figure pour opérer des traitements de données très variés. Il concerne d’abord le monde de la police et de la gendarmerie, mais peut aussi intéresser nos collègues des douanes, ceux qui s’occupent des données relatives aux voyages, etc. Il peut y avoir beaucoup d’autres usages sur des applications métiers différentes. C’est une brique technique, exactement comme la brique de gestion de base de données, qui peut être mise à disposition d’autres personnes.

Cette démarche de sortie et de désensibilisation a été relativement longue, ce qui explique que le contrat avec Palantir ait été renouvelé récemment afin de garantir la continuité des opérations. Dès que le nouveau produit atteindra le niveau suffisant, qu’il aura été sélectionné et décliné dans le contexte métier spécifique de la lutte contre le terrorisme – pour ne citer que cet exemple –, il aura vocation à remplacer l’outil de Palantir. L’échelle de temps est particulièrement longue car il s’agit d’un projet complexe et d’une mission particulièrement critique du point de vue opérationnel. Les exigences de qualité des opérateurs et du service utilisateur sont très fortes : il ne s’agit pas de laisser passer 20 % des données que l’on captait jusqu’à présent ! Ce projet révèle la capacité de l’administration à travailler avec un écosystème privé pour construire une offre alternative.

M. le président Philippe Latombe. Le ministère des armées employait un outil équivalent – Artemis (architecture de traitement et d’exploitation massive de l’information multisources) – qui n’a pas été retenu par la DGSI. En 2019, la question de cette mutualisation se posait aussi.

M. Mathieu Weill. Je n’étais pas dans les circuits à ce moment-là. En tout état de cause, les débats sur le niveau technique des offres respectives étaient classifiés. Personne n’y a vraiment eu accès. Je ne sais pas.

S’agissant de l’advertising intelligence, je n’ai aucune connaissance de l’existence de l’utilisation de solutions de ce type au sein du ministère de l’intérieur, quels que soient les usages. Voilà ce que je peux dire en l’état de mes connaissances.

Mme Cyrielle Chatelain, rapporteure. Monsieur Le Baron, vous avez beaucoup cité les communs numériques, des outils pédagogiques mis à disposition de la communauté éducative. S’en saisit-elle et, le cas échéant, comment ? Quels sont les retours ? J’ai cru comprendre qu’ils avaient vocation à se diffuser.

Par ailleurs, la French Tech a développé des EdTech (technologies éducatives). Ces applications ont-elles été achetées par le ministère de l’éducation nationale et, le cas échéant, à quel niveau ? Quel est leur degré d’utilisation ?

Ma dernière question concerne Virtuo, le système d’information de gestion des ressources humaines (Sirh) du ministère. Ayant vocation à traiter les données personnelles des agents, il revêt un enjeu de confidentialité et de souveraineté. D’après un rapport de la Cour des comptes, deux opérateurs avaient répondu à l’appel d’offres. Or la solution retenue n’est pas certifiée SecNumCloud. Comme le note la Cour des comptes, la Cnil (Commission nationale de l’informatique et des libertés) a d’ailleurs souligné que « les technologies de chiffrement ne garantissaient pas que les données soient rendues inaccessibles au prestataire d’hébergement », les équipes de Virtuo pouvant accéder à distance aux données brutes des agents.

L’autre offre, qui justifiait de la qualification SecNumCloud, semble ne pas avoir été analysée au motif qu’elle excédait le montant du marché. À quel point ? Pouvez-vous nous donner une échelle ? On sait que la certification SecNumCloud impose le respect d’un certain nombre de prescriptions, ce qui engendre des surcoûts. Compte tenu de l’issue de l’appel d’offres, le marché était-il bien calibré au regard de cette demande de certification ?

Je sais que, depuis, les préconisations ont évolué, mais le risque reste présent. C’est un projet d’ampleur, mais cherchez-vous une autre solution pour mieux protéger les données ?

M. Audran Le Baron. Les communs numériques et les EdTech sont deux approches en tension, que nous cherchons d’ailleurs à diminuer car il nous semble y avoir une voie commune.

Ces dernières années, nous avons progressivement déployé notre vaisseau amiral en matière de communs numériques : la plateforme Moodle nationale baptisée Éléa. Depuis la rentrée dernière, l’ensemble du territoire est désormais couvert. Ce déploiement s’est accompagné d’un effort non négligeable de formations en cascade dans l’ensemble des territoires. Nous avons constaté une prise en main rapide de l’outil, même si les territoires s’en saisissent plus ou moins selon leur ENT, l’environnement numérique de travail proposé par les collectivités territoriales, car certains embarquaient déjà des fonctionnalités comme celles proposées par Éléa. Et pour en revenir aux tensions, la plateforme, par exemple, propose globalement le même type d’activités pédagogiques que la technologie française Pearltrees Education.

Quoi qu’il en soit, l’utilisation des communs numériques développés par le ministère croît assez rapidement. De nombreuses communautés d’enseignants se créent autour de cet outil, qui leur permet de produire leurs propres ressources, de les mettre à disposition de leurs élèves, mais aussi de les partager avec d’autres enseignants, voire de cocréer des ressources avec eux. C’est ce que nous appelons le réseau des concepteurs.

Ces communs institutionnels sont soutenus par ceux de la « multitude », pour reprendre l’expression d’Henri Verdier, c’est-à-dire l’ensemble des enseignants qui proposent spontanément, à titre individuel ou en petits groupes, un certain nombre de services numériques pédagogiques. C’est là qu’intervient la Forge des communs numériques éducatifs : elle leur permet de se rassembler, de se « reconnaître », de faire communauté, car souvent les communs sont une communauté de « un ». L’enjeu est que les communs dont l’usage croît soient soutenus par une communauté pour se développer et survivre à leurs concepteurs originels.

En la matière, l’un de nos champions, notre pépite, c’est MathALÉA. En accès libre depuis votre moteur de recherche préféré, ce commun génère de façon aléatoire mais guidée des exercices de mathématiques suivant l’intégralité des programmes scolaires officiels de l’élémentaire au lycée. Très utilisé par les professeurs de mathématiques et les parents soucieux de suivre la progression de leur enfant, il est soutenu par une communauté d’une cinquantaine d’enseignants, qui contribuent quotidiennement à le faire évoluer. Je n’ai plus le nombre d’utilisateurs en tête, mais c’est un des logiciels numériques pédagogiques les plus utilisés en France. Car commun numérique ne signifie pas usage confidentiel. À cet égard, je vous renvoie vers le site que nous avons récemment mis en ligne, la Ressourcerie de la Forge, qui éditorialise un certain nombre d’offres de communs présents dans la Forge et qui fournit de nombreuses données et statistiques relatives à leur audience, ce qui permet de voir lesquels sont les plus utilisés.

En ce qui concerne les EdTech, il y a eu une politique interministérielle volontariste portée par la DGE, le secrétariat général pour l’investissement (SGPI) et le ministère de l’éducation nationale, pour créer un écosystème d’entreprises françaises privées en pointe en matière de numérique, au service de l’éducation et de la pédagogie. Pour l’heure, il est principalement constitué de petites start-up relativement fragiles d’un point de vue économique, mais offrant des services à l’état de l’art – voire en pointe –, qui rivalisent avec les autres offres, y compris à l’échelle internationale. Néanmoins, nous sommes confrontés à un problème budgétaire. Le modèle tarifaire des éditeurs privés, dont nous avons contribué à faire naître l’offre grâce à des Piia (partenariats d’innovation en intelligence artificielle) – nous avons de nombreux marchés publics innovants à cette fin –, est généralement fondé sur un abonnement annuel. Or, avec 900 000 professeurs, les chiffres ont tendance à monter très vite.

Cela nous a incités à étudier la mise en place d’un compte ressources, comme cela existe dans la filière industrielle de la tech : chaque enseignant ou chaque établissement disposerait d’un portefeuille électronique annuel pour acheter les EdTech qu’il souhaite. Mais on parle d’une centaine, voire de plusieurs centaines de millions d’euros annuels. Le projet s’est donc heurté au contexte des finances publiques. Aujourd’hui, nous avons du mal à pérenniser et généraliser l’usage d’outils que nous avons contribué à faire naître grâce à la commande et à l’investissement publics. Si les expérimentations, notamment celles menées dans le cadre des partenariats d’innovation, ont montré qu’il existait des usages, l’honnêteté me commande de préciser qu’ils ne sont pas massifs, ce qui n’a pas contribué à précipiter une décision positive sur la suite du compte ressources.

Nous travaillons avec la filière EdTech pour identifier les ponts que nous pourrions créer entre les communs numériques et le modèle d’affaires de ces sociétés. Le partenariat d’innovation aboutissant à une licence libératoire, que Mathieu Weill a évoqué tout à l’heure, est l’une des pistes que nous souhaitons explorer. Nous avons déjà quelques expériences ponctuelles d’acquisition d’une solution propriétaire devenue un commun numérique, mais chaque modèle d’affaires, chaque outil, chaque positionnement est différent et doit faire l’objet d’études avec l’éditeur concerné. C’est vraiment de la dentelle, mais, en lien avec le SGPI, nous essayons de trouver comment concilier le contexte budgétaire, la nécessaire pérennité des usages et le modèle d’affaires de ces entreprises – ce n’est pas loin d’être la quadrature du cercle.

En ce qui concerne Virtuo, je n’ai pas une connaissance détaillée du sujet : les Sirh relèvent du service de modernisation des systèmes d’information des ressources humaines pour l’éducation (Semsirh). À ma connaissance, une première consultation, qui avait abouti à deux offres, a été déclarée infructueuse. L’une des offres, états-unienne, proposait une solution disposant des labels de cloud les plus sécurisés d’Europe – notamment les labels allemand et espagnol –, mais pas de la certification SecNumCloud, qui impose des exigences en matière de nationalité des capitaux auxquelles l’entreprise ne pouvait satisfaire. L’autre offre, qui était probablement conforme à la certification SecNumCloud, émanait d’une société française, mais dont une partie du capital – je ne saurais dire combien – avait été rachetée par un fonds étranger. Je ne peux pas vous en dire davantage concernant le montant des offres. En tout état de cause, en termes de couverture fonctionnelle, cette deuxième offre était, sur le papier, très en deçà de celle de l’autre soumissionnaire.

Après des échanges avec la Dinum, la Cnil et l’Anssi sur les questions de sécurité et de respect du RGPD, cet appel d’offres a donc été déclaré infructueux et un second a été lancé avec des conditions durcies en matière de souveraineté, de confidentialité des données, d’immunité au droit extra-européen et de sécurité. J’ignore combien de soumissionnaires ont répondu. En tout état de cause, après une analyse au plus haut niveau – le sujet a fait l’objet d’un avis de conformité de la Dinum au titre de l’article 3 du décret de 2019 et a été visé par la Cnil et l’Anssi –, il a été décidé, de façon concertée, de recourir à l’éditeur américain Salesforce, dont l’offre présentait des mesures de sécurité jugées suffisantes.

Je rappelle qu’afin de minimiser le nombre de données personnelles traitées par l’éditeur, un important travail de filtrage et de cisèlement a été mené pour déterminer quelles pouvaient ou non être stockées sur le cloud de l’éditeur, ou y transiter de manière transitoire avant d’être effacées une fois traitées. Voilà ce que je peux vous dire. Nous sommes tous disposés à vous répondre plus précisément ; au besoin, je me tournerai vers mon collègue Stéphane Trainel, à la tête du Semsirh.

M. le président Philippe Latombe. Merci d’être venus répondre à nos questions. N’hésitez pas à nous transmettre tout complément d’information.

* *

Audition, ouverte à la presse, de Mme Stéphanie Schaer, directrice interministérielle du numérique (Dinum), et M. Jérémie Vallet, son adjoint (mardi 14 avril 2026)

M. le président Philippe Latombe. Nous recevons Mme Stéphanie Schaer, directrice interministérielle du numérique, et M. Jérémie Vallet, son adjoint.

La direction interministérielle du numérique (Dinum) a pour mission d’élaborer la stratégie numérique de l’État et de piloter sa mise en œuvre. Elle collabore avec l’ensemble des DSI (directions des systèmes d’information) des ministères. Par ailleurs, elle s’est faite éditrice de logiciels. Dans quelle mesure dispose-t-elle, à ce titre, d’un pouvoir de prescription ?

Avant de vous donner la parole pour un propos liminaire, je vous remercie de nous déclarer tout intérêt public ou privé de nature à influencer vos déclarations.

Je vous rappelle que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter le serment de dire la vérité, toute la vérité, rien que la vérité.

(Mme Stéphanie Schaer et M. Jérémie Vallet prêtent successivement serment.)

Mme Stéphanie Schaer, directrice interministérielle du numérique. Je vous remercie pour votre invitation et pour l’intérêt que vous portez à l’action de la direction interministérielle du numérique s’agissant des dépendances structurelles dans le secteur du numérique et des risques qu’elles font peser sur l’autonomie stratégique de la France.

La Dinum est un service du Premier ministre, qui exerce ses missions sous l’autorité conjointe de celui-ci et du ministre de l’action et des comptes publics. En tant que « tour de contrôle » du numérique, elle a pour mission d’élaborer la stratégie numérique de l’État et de piloter sa mise en œuvre. Elle exerce aussi les fonctions de Chief Data Officer (CDO) et de DRH du numérique de l’État. Elle tire également sa légitimité des produits interministériels qu’elle opère, comme le réseau interministériel de l’État (RIE) – j’y reviendrai –, FranceConnect, data.gouv.fr ou Tchap, pour citer quelques exemples. Pour mener à bien ces missions, la Dinum peut compter sur ses 250 agents, répartis sur trois sites – Paris, Rennes et Lyon –, et mobilise un budget resserré, de l’ordre de 55 millions d’euros.

La Dinum a défini en mars 2023 un nouveau cap pour le numérique public, qui doit donner lieu à un État plus efficace, plus simple et plus souverain. L’une des priorités de cette stratégie est le renforcement significatif de la maîtrise de l’État sur ses systèmes d’information (SI). Dans un contexte de crises successives, cette maîtrise est de plus en plus une condition de souveraineté et une assurance pour l’avenir.

Notre définition de la souveraineté numérique a été précisée très récemment, le 5 février 2026, dans la circulaire du Premier ministre relative à la commande publique numérique. La souveraineté y est définie comme « la capacité d’une nation à agir de manière autonome dans ses domaines stratégiques, en maîtrisant les dépendances technologiques, opérationnelles et réglementaires envers des acteurs non européens sur l’ensemble de la chaîne technologique : infrastructures, logiciels, services, hébergement et matériels. »

En pratique, cela se traduit par deux notions-clés qui sous-tendent l’action de la Dinum : d’abord la recherche de l’immunité au droit extraterritorial, qui nous conduit à choisir des solutions répondant à cette exigence, notamment le label SecNumCloud lorsqu’il s’agit de données sensibles ; ensuite, la capacité de l’État à remplacer une composante de ses systèmes numériques par une solution alternative afin de prévenir les risques de dépendance technologique ou d’ingérence. Il s’agit, par exemple, d’éviter la dépendance à un fournisseur unique en position de monopole, mais aussi de se prémunir contre la défaillance économique éventuelle d’un prestataire. Cela implique de disposer des compétences nécessaires pour évaluer les choix effectués et de maîtriser les technologies clés en matière de numérique.

Cette volonté assumée de maîtrise et de pérennité du système d’information de l’État, destinée à en assurer la continuité opérationnelle au quotidien, se traduit par des choix structurants en matière d’infrastructures, d’outils collaboratifs, de cloud et d’intelligence artificielle. Elle repose sur deux convictions fortes, qui étaient déjà inscrites dans la stratégie de mars 2023 : le recours aux communs numériques, qui constitue un levier central de maîtrise, de réversibilité et de transparence ; et le développement de partenariats avec des industriels de confiance, couplé à un renforcement de nos compétences internes – qui s’est concrétisé, par exemple, par une vague de réinternalisation opérée en 2024.

Quelques exemples pour illustrer ces propos. Le réseau interministériel de l’État est opéré par la Dinum en partenariat étroit avec plusieurs industriels, comme Thales, et des opérateurs de télécommunications comme SFR, Orange, Free et les opérateurs présents dans les départements et régions d’outre-mer. Dans le domaine du cloud de confiance, notre stratégie a permis de développer une offre diversifiée d’acteurs labellisés SecNumCloud auxquels l’État a recours, comme Outscale ou OVHcloud. En matière de bureautique, je citerai les outils Tchap et Visio, sur lesquels je reviendrai et qui s’appuient sur des communs numériques. Enfin, concernant l’IA (intelligence artificielle), nous avons engagé la construction d’un socle interministériel reposant là aussi sur un partenariat solide avec Outscale, pour les capacités de calcul, et avec Mistral AI.

Je vous propose de faire d’abord le diagnostic de nos dépendances existantes, puis d’évoquer les premiers succès obtenus pour les réduire ainsi que les chantiers en cours. J’aborderai ensuite les communs numériques, qui permettent d’apporter des réponses à ces vulnérabilités, et le recours à la commande publique, indispensable pour stimuler une offre alternative. Je terminerai avec les prochaines étapes de l’action de l’État.

D’abord donc, l’état des lieux que nous pouvons dresser est largement partagé au niveau européen et notamment étayé par le rapport Draghi sur la compétitivité européenne. Nous savons que près de 80 % des infrastructures et technologies numériques européennes sont importées, ce qui engendre des vulnérabilités systémiques. Un travail a été engagé avec la direction des achats de l’État (DAE) afin de mieux identifier nos dépendances à partir de l’analyse des 4,2 milliards que nous dépensons chaque année en matière numérique.

La Dinum vient d’organiser un séminaire interministériel, qui a eu lieu le mercredi 8 avril dans les services du Premier ministre et a réuni de nombreux départements ministériels. Cette rencontre a permis d’amorcer un travail de cartographie et d’identifier les thématiques prioritaires : les outils bureautiques, les systèmes d’exploitation du poste de travail, les couches logicielles de virtualisation pour l’hébergement en nuage, les logiciels d’intelligence artificielle, les bases de données et enfin les infrastructures physiques – ordinateurs, serveurs, cartes graphiques.

Il faut maintenant définir le champ des travaux concernant chacune de ces thématiques, sachant que les solutions alternatives sont d’un degré de maturité variable selon les cas. Une fois ce diagnostic posé, il s’agira de conduire un plan de sortie de ces dépendances. Il est clair que ce sera un travail de longue haleine. Néanmoins, nous pouvons d’ores et déjà nous appuyer sur de premiers succès – c’est mon deuxième point –, mis en avant lors du séminaire dont je viens de parler.

Deux exemples illustrent le fait que la Dinum a su anticiper pour disposer de solutions alternatives, dont s’inspirent d’ailleurs nos homologues étrangers. Le premier est celui de Tchap, la messagerie instantanée professionnelle déployée à large échelle au sein de l’État, qui compte aujourd’hui près de 800 000 comptes et dépasse les 400 000 utilisateurs récurrents. Sur cet exemple, la Belgique et les Pays-Bas ont déployé des solutions équivalentes, sur la base du protocole Matrix, et nous entretenons avec eux des échanges réguliers à ce sujet. Ces résultats sont le fruit d’un renforcement, ces trois dernières années, de nos équipes, qui ont pu contribuer à ce commun numérique, en maîtriser le code et intensifier nos échanges avec des partenaires européens – notamment l’Allemagne et le Luxembourg, qui disposent de messageries instantanées similaires fondées sur le même socle open source.

Le second exemple est celui de Visio, notre système de vidéoconférence à l’état de l’art, également fondé sur des communs numériques. Nous le portons à l’échelle en partenariat avec un hébergeur qualifié SecNumCloud, Outscale – filiale de Dassault Systèmes –, en mobilisant les technologies les plus avancées en matière d’intelligence artificielle grâce à des partenariats industriels et scientifiques avec Pyannote ou Kyutai. Ce déploiement à l’échelle est en cours, soutenu par la circulaire de début d’année du Premier ministre : le nombre de participants sur Visio a été multiplié par quatre en quatre mois, pour atteindre près de 400 000.

La journée du 8 avril a par ailleurs été marquée par les témoignages inspirants de plusieurs DSI ayant réussi à s’affranchir de dépendances pourtant profondément ancrées. Je tiens à citer l’exemple de l’Urssaf, qui mène une stratégie de sortie des dépendances en matière de bases de données. La Caisse nationale de l’assurance maladie (Cnam) conduit un travail analogue concernant la virtualisation pour l’hébergement en nuage. Enfin, dans le secteur de la santé, un partenariat public d’innovation a été lancé afin de développer des alternatives en matière de bureautique collaborative.

S’agissant des dépendances en matière de hardware, je souhaite également mentionner les travaux qui sont en cours au niveau du ministère de la justice et que la Dinum accompagne. Un marché relatif au reconditionné est en passe d’aboutir ; il devrait permettre une meilleure maîtrise du hardware bureautique utilisé au sein de l’État.

Ainsi, si la sortie des dépendances est une montagne à gravir, nous voyons que des chemins sont possibles. Des acteurs sont déjà sur la voie, tirant tout le monde vers le haut et fournissant un indispensable effort de mutualisation.

C’est mon troisième point : cet effort de mutualisation, qui nous apparaît indispensable et que la Dinum anime au niveau interministériel, consiste à investir dans des communs numériques, leviers stratégiques qu’il convient d’ailleurs de consolider à une échelle supranationale – en l’occurrence européenne. En effet, comme l’ont illustré les exemples précédents, de nombreuses alternatives reposent désormais sur des briques open source dont nous devons maintenant garantir la pérennité, le financement et la continuité. Ces briques apportent d’une part une capacité de maîtrise du code et d’exploitation autonome, et d’autre part une capacité accrue de mutualisation, dans le public comme dans le privé ainsi qu’avec les autres États susceptibles de contribuer au financement des communs numériques.

Concrètement, la France s’investit depuis plusieurs années, d’abord avec l’Allemagne puis avec les Pays-Bas, dans le financement de briques de communs numériques. Dès le départ, l’ambition était d’aboutir à une construction plus large au niveau européen. Cela a mené, à la fin de l’année dernière, à la création de l’Edic Digital Commons, le consortium pour une infrastructure numérique européenne (European Digital Infrastructure Consortium), dédié aux communs numériques. Cette entité réunit cinq membres fondateurs – outre ceux que j’ai déjà cités, l’Italie et le Luxembourg – et plusieurs pays observateurs, comme le Danemark, la Pologne et d’autres États en cours d’adhésion. L’objectif est de bâtir, grâce aux investissements réalisés dans chaque pays, des briques numériques ouvertes, interopérables et réutilisables, susceptibles de soutenir l’autonomie stratégique de l’Europe.

L’ambition de l’Edic dépasse largement le cadre des travaux initiaux conduits par la France, l’Allemagne et les Pays-Bas sur les suites bureautiques : elle couvre l’ensemble des thématiques abordées précédemment. Pour 2026, nos travaux dans ce cadre porteront en priorité sur le système d’exploitation du poste de travail et sur la recherche sémantique entre différents outils collaboratifs. Cette ambition européenne repose sur une conviction simple : seule la mutualisation de nos investissements, de nos talents et de nos capacités industrielles nous permettra d’apporter des réponses concrètes et de nous affranchir des dépendances imposées par des acteurs monopolistiques. Elle suscite d’ailleurs l’intérêt d’autres États : la Dinum a récemment signé avec son homologue québécois une déclaration d’intérêt fondée sur ces communs numériques.

La commande publique constitue un autre levier déterminant pour stimuler une offre industrielle française et européenne alternative. En effet, la diversité des solutions permet d’ouvrir la possibilité d’un choix, lequel est crucial pour notre souveraineté, conformément à la définition que j’ai donnée précédemment. Mais cela pose des exigences nouvelles en matière de réversibilité et d’interopérabilité.

Ainsi, s’agissant du cloud, la France dispose désormais d’une offre de confiance, qui a été stimulée par la stratégie déployée depuis 2023. Sept acteurs ont obtenu la qualification SecNumCloud et 99% de la commande publique de l’État est orientée vers des acteurs européens, essentiellement français. Cette orientation exige, tant pour répondre aux contraintes des marchés publics que pour faire face par exemple à des plans de reprise d’activité, une excellente interopérabilité et réversibilité de l’offre. Des travaux sont menés à cet effet en lien avec les acteurs concernés, dont beaucoup s’appuient sur des briques open source qui favorisent précisément l’interopérabilité.

Autre exemple : les outils collaboratifs. À l’occasion de la sortie de la circulaire sur la commande publique numérique, nous avons clarifié le positionnement des outils proposés par la Dinum par rapport à ce qui est attendu de l’écosystème privé. La Dinum opère et diffuse au sein de l’État ce que nous appelons les outils cœur de suite : la visioconférence, la messagerie instantanée Tchap et FranceTransfert. Ces outils ont vocation à s’articuler avec les solutions de marché. Afin de mieux faire connaître cette offre à l’ensemble des départements ministériels, un événement de matchmaking a été organisé le 27 mars avec Numeum et le CSF (comité stratégique de filière) « Logiciels et solutions numériques de confiance ». En effet, l’achat étant à la main des ministères, il est essentiel que ces derniers disposent d’une visibilité complète sur l’offre. À cette occasion est apparue toute l’importance de l’interopérabilité : les agents publics amenés à travailler avec ces différents outils doivent pouvoir bénéficier d’une ergonomie complète leur permettant de passer facilement de l’un à l’autre. Ces enjeux sont au cœur de l’initiative Open-Interop, lancée par le CSF et à laquelle la Dinum prendra une part active. D’autres travaux sont en cours sur les mêmes thématiques et nous souhaitons également stimuler cette dynamique au niveau de l’Edic.

S’agissant enfin de l’intelligence artificielle, un appel à manifestation d’intérêt (AMI) a été lancé il y a un an afin de faciliter le référencement et l’accès à la commande publique. Cela permet aussi d’identifier les solutions sur étagère disponibles, qui sont répertoriées sur le site de la Dinum.

En complément, la circulaire du 5 février fixe un cap clair pour les administrations mais aussi pour les acteurs privés. La priorité est désormais donnée au recours aux solutions existantes – communs numériques mais aussi services sur étagère –, le développement ad hoc n’intervenant qu’en dernier ressort. Le choix des outils s’opère selon trois critères : la performance métier, la souveraineté numérique et la sécurité. Ce cadre offre aux acheteurs publics de nouveaux leviers de souveraineté qui leur permettent de sécuriser leurs actes d’achat.

J’en viens aux prochaines étapes permettant de structurer, à l’échelle de l’État, un plan de réduction de nos dépendances. Les travaux menés par la Dinum depuis plusieurs années ayant abouti à de premières solutions concrètes, il s’agit désormais de mener un travail en profondeur pour aller plus loin. La Dinum poursuit ses travaux prospectifs : nous avons annoncé la semaine dernière le déploiement, d’ici à la fin de l’année, d’un poste de travail souverain basé sur Linux pour l’ensemble de nos 250 agents. Cela fait l’objet d’un partage d’expérience à l’échelon interministériel.

Au-delà, nous cherchons à structurer les actions de chaque ministère en un plan collectif de sortie des dépendances, annoncé pour la fin de l’année. Le séminaire de la semaine dernière a permis d’identifier les grandes thématiques, de lancer des administrations pilotes pour chacune d’entre elles et de consolider un diagnostic commun. Des rencontres industrielles du numérique seront organisées par la Dinum au début de l’été, qui doivent permettre de concrétiser les premières migrations vers des solutions alternatives sur ces thématiques.

Pour répondre à l’ensemble de ces enjeux, la réinternalisation des compétences est indispensable. Il s’agit de garantir, au sein de l’État et de chaque département ministériel, une connaissance fine des technologies et de leur capacité à répondre aux différents besoins. C’est pourquoi la Dinum accompagne les ministères dans l’analyse de leurs besoins en matière de compétences numériques, en cohérence avec les recommandations formulées en 2023 par l’Inspection générale des finances (IGF) et le Conseil général de l’économie (CGE).

En conclusion, la stratégie que nous déployons depuis trois ans porte ses fruits. Elle repose sur quatre axes directeurs : donner une impulsion à l’ensemble des départements ministériels en fixant un cadre structurant ; identifier des alternatives concrètes, en lien étroit avec l’écosystème industriel français et européen ; mutualiser ce qui peut l’être, au niveau national comme européen ; et réarmer l’État par les compétences, en ne sous-estimant pas le facteur humain, indispensable à la réussite de nos chantiers. La Dinum s’attache ainsi à construire cette méthode pragmatique, constituée d’étapes bien identifiées dont les premières ont déjà connu des réussites, afin de réduire progressivement nos dépendances.

M. le président Philippe Latombe. Ma première question s’appuie sur un exemple récent qui doit permettre d’éclairer le fonctionnement et le positionnement de la Dinum. Nous avons appris que le ministère de l’économie et des finances, souhaitant améliorer la gestion de Tracfin et optimiser le traitement des données par les banques, s’est rapproché de la société Palantir. Comment la Dinum peut-elle intervenir dans le choix d’un tel prestataire, singulièrement lorsqu’il est indirectement le fait d’une de ses autorités de tutelle, puisque le ministère de l’action et des comptes publics est rattaché à celui des finances ? Quel rôle la Dinum peut-elle jouer dans une telle configuration et quelle est votre position sur ce dossier, eu égard à la stratégie que vous venez d’exposer ?

Mme Stéphanie Schaer. Je répondrai en deux temps. Tout d’abord, le cas très spécifique que vous venez de mentionner concerne des systèmes d’information classifiés. Or le décret du 25 octobre 2019 exclut explicitement les SI classifiés du périmètre de compétence de la Dinum ; je ne peux donc m’exprimer sur ce dossier particulier relatif à Tracfin et à Palantir.

De façon générale, hors de ces SI classifiés, la Dinum est amenée à examiner les projets des ministères afin de vérifier leur conformité aux doctrines en vigueur, qu’il s’agisse de la circulaire sur la commande publique numérique, de celle relative à la doctrine d’utilisation de l’informatique en nuage par l’État, dite circulaire cloud, ou des bonnes pratiques en matière de conduite des projets numériques. Dans le cadre de ces missions d’audit, définies à l’article 3 du décret de 2019, un avis conforme de la Dinum est requis pour le lancement de tout projet. Cet avis est émis après consultation de l’Agence nationale de la sécurité des systèmes d’information (Anssi) s’agissant des enjeux de cybersécurité, et de la direction du budget pour ce qui est de la soutenabilité financière. Nous rendons ainsi une vingtaine d’avis par an, lesquels sont publiés sur data.gouv.fr. Nous assurons ensuite le suivi du bon cheminement des projets.

Ces dispositions ont d’ailleurs récemment évolué, après une large concertation interministérielle, afin de s’adapter aux nouvelles pratiques. La Dinum conserve sa mission d’audit au démarrage des projets mais le seuil de saisine est relevé de 9 à 15 millions d’euros, pour s’ajuster à l’évolution du coût des projets numériques. Parallèlement, elle se voit confier de nouvelles missions d’audit spécifiques concernant les achats de logiciels à la demande – en mode SaaS (software as a service) –, pour lesquels le seuil est cette fois abaissé à 2 millions d’euros par an. Cette mesure répond à la généralisation des solutions d’hébergement en nuage et témoigne de notre vigilance accrue quant à l’application de la circulaire cloud au centre mais aussi de l’article 31 de la loi visant à sécuriser et à réguler l’espace numérique (Sren).

Enfin, nous sommes désormais attentifs aux évolutions majeures des projets. Nous sommes passés en mode produit : plutôt que de construire un SI, comme auparavant, puis de le refondre totalement dix ans plus tard – ce qui nécessite une nouvelle saisine –, nous privilégions des investissements continus dans l’amélioration du produit. Cela implique de réévaluer l’impact, la valeur et la conduite des projets à certains moments clés de leur cycle de vie, ce que la Dinum sera amenée à faire dans un dialogue avec les ministères. C’est dans ce cadre que la Dinum est amenée à se prononcer sur l’application des référentiels et doctrines de l’État.

M. le président Philippe Latombe. Pour préciser ma question, même si la Dinum n’est pas compétente sur les SI classifiés, cela ne vous empêche pas d’avoir un avis puisque vous êtes d’une part porteurs d’une vision stratégique – vous l’avez dit –, notamment sur l’enjeu de souveraineté, et d’autre part chargés de l’harmonisation des pratiques. Des questions se sont déjà posées par le passé concernant l’utilisation de Palantir par la DGSI (direction générale de la sécurité intérieure). Il fait partie de la réflexion sur le numérique que de s’interroger sur ce type de cas.

Je prends cet exemple parce qu’il est d’actualité, mais la question se pose pour d’autres projets. S’agissant précisément de la DGSI, nous sommes en train de développer un outil franco-français, OTDH (outil de traitement des données hétérogènes), qui a vocation à remplacer Palantir. Mathieu Weill nous a d’ailleurs indiqué, la semaine dernière, que cet outil pourrait être diffusé à d’autres ministères pour d’autres traitements de données hétérogènes. Mais comment pourriez-vous partager ces outils si vous vous tenez à distance de ce qui est classifié ?

Mme Stéphanie Schaer. Il existe d’autres structures chargées de la mutualisation dans le domaine du classifié, notamment l’Osiic (opérateur des systèmes d’information interministériels classifiés), qui est une agence du secrétariat général de la défense et de la sécurité nationale. Je m’en remettrai donc à ses directives en la matière.

En revanche, concernant la mutualisation des outils dans les autres domaines, la Dinum s’est vue confier une nouvelle mission par la circulaire relative à la commande publique numérique : elle doit dresser un catalogue des communs numériques existants. Nous en comptons plusieurs, au-delà des suites bureautiques que nous avons déjà évoquées. On peut notamment citer le programme d’archivage Vitam, porté par le ministère de la culture, ou encore les clouds interministériels Pi ou Nubo. Ces travaux sont en cours et le catalogue – qui sera évolutif – devrait être publié à l’été, conformément aux exigences de la circulaire. Nous nous attachons à bien identifier les communs numériques susceptibles d’être utilisés à large échelle par différents ministères, afin de réduire au maximum l’ensemble de nos dépendances.

Parallèlement, le CSF élabore un catalogue recensant l’ensemble des solutions souveraines françaises à même de réduire nos dépendances et de répondre aux besoins des acteurs, publics comme privés. Après la première étape du matchmaking, la publication à l’été prochain de ce catalogue, qui viendra compléter l’annuaire des entreprises déjà diffusé, facilitera l’identification des alternatives disponibles et l’ensemble des actes d’achat.

Mme Cyrielle Chatelain, rapporteure. Je voudrais d’abord revenir sur le séminaire que vous avez mentionné à plusieurs reprises. Vous nous dites que l’un de ses objectifs serait d’amorcer un travail de cartographie : faut-il en déduire qu’il n’existe pas, à ce jour, de diagnostic complet du niveau de dépendance numérique des différentes administrations de l’État ? Il y a quelques mois, la ministre déléguée chargée du numérique et le ministre chargé de la fonction publique annonçaient le redéploiement de 4,5 milliards d’euros de commande publique numérique. Ces annonces laissaient supposer l’existence d’un diagnostic préalable. Avez-vous des éléments à partager à ce sujet ?

À la suite de ce séminaire, qui a intéressé d’ailleurs, ce qui est une bonne nouvelle en termes de souveraineté, la place de la Dinum est-elle appelée à évoluer ? Selon vos informations, le cadre réglementaire de la commande publique numérique a-t-il vocation à être révisé, ou bien les équilibres actuels sont-ils sanctuarisés ? Je m’interroge notamment sur votre capacité à diffuser largement les outils que vous développez, notamment le cœur de suite.

Enfin, pour compléter la question du président, j’aimerais mieux appréhender l’évolution de votre positionnement. La Dinum est-elle amenée à être davantage consultée ? Le relèvement des plafonds de saisine pour les projets classiques – certes en partie lié à l’augmentation des coûts – laisse penser que les projets de plus petite taille pourraient désormais échapper à votre examen. En contrepartie, vous étendez votre périmètre d’intervention aux solutions dites SaaS. Pouvez-vous nous donner quelques exemples concrets de ces nouvelles missions et nous préciser ce qu’elles vont changer dans vos relations avec les autres administrations ?

Mme Stéphanie Schaer. S’agissant de la cartographie, nous menons des travaux dans deux directions. Le budget pour 2025, qui est de 4,2 milliards plutôt que de 4,5, recouvre l’ensemble de la dépense publique en matière de numérique, des prestations intellectuelles informatiques aux abonnements aux réseaux.

Un travail en lien étroit a été engagé entre la Dinum, la direction des achats de l’État et l’Ugap (Union des groupements d’achats publics), centrale d’achats qui est fortement mobilisée dans le domaine du numérique, pour regarder plus finement les sujets. Décortiquer les chiffres, ceux de l’Ugap, par exemple, est un travail de longue haleine car un contrat peut être passé avec un acteur qui contracte lui-même avec d’autres, ce qui répercute la dépendance. Nous allons au fond des choses, même si certaines dépendances sont plutôt évidentes. Les montants sont en train d’être consolidés : ils n’ont pas encore été communiqués officiellement, mais notre objectif est de le faire.

Ce travail nous a conduits aussi à définir les thématiques des groupes de travail lors du séminaire de la semaine dernière : les outils bureautiques, les systèmes d’exploitation du poste de travail, les couches logicielles de virtualisation pour l’hébergement en nuage, les logiciels d’intelligence artificielle, les bases de données et tout ce qui est physique, le hardware. Nous sommes assez au clair au sujet des catégories sur lesquelles il faut travailler pour corroborer les dépendances. Pour suivre les choses et voir comment les faire évoluer, il est important de connaître le point de départ, d’avoir une capacité de mesure sur la durée et de voir comment on peut arriver à réduire les dépendances sur ces différentes thématiques. Cela se fait plutôt au niveau interministériel, en s’appuyant sur les chiffres de Chorus et ceux communiqués par l’Ugap et en procédant à une réconciliation de l’ensemble. On demande aussi à chaque ministère, qui connaît bien son périmètre, d’apporter sa propre lecture de la cartographie et de son plan de réduction des dépendances.

Ces travaux ont été stimulés grâce au séminaire du 8 avril et la Dinum va les suivre et les animer dans le temps, forte des chiffres dont je viens de parler. Cet exercice sera mené au cours de l’année dans l’objectif de disposer à la fois d’un plan de sortie et d’une cartographie, les deux allant de pair.

En ce qui concerne la commande publique, la circulaire signée par le Premier ministre fixe des équilibres qu’il ne s’agit pas de faire bouger : ils sont le fruit de très longs échanges interministériels sur toute l’année 2025, et nous avons été très satisfaits, à la Dinum mais aussi dans l’ensemble des ministères, d’avoir la conclusion de ces travaux et de pouvoir les mettre en œuvre. Ils nous donnent de nouveaux leviers pour ce qui est des exigences en matière de sécurité et de souveraineté s’agissant des marchés publics passés dans le domaine du numérique, ce qui assez essentiel au vu du contexte.

Ce qui est attendu de chacun a également été clarifié. Le communiqué de presse accompagnant la circulaire a aussi permis de bien définir ce qui est attendu de la Dinum pour les outils bureautiques, à diffusion exclusive, qui sont en cours de déploiement, comme Tchap, Visio et FranceTransfert, ainsi que pour une offre d’outils qui viennent compléter les précédents sans être à usage exclusif et au sujet desquels la Dinum cherche à stimuler une offre industrielle.

Nous avons stimulé cette offre le 27 mars, mais également grâce aux travaux menés en matière d’interopérabilité. Nous voulons sortir des outils tout en un, sans fonction collaborative, qui sont les plus fréquents aujourd’hui – en matière de bureautique, par exemple, les outils sont la plupart du temps non collaboratifs et hébergés en local – et gagner en efficacité pour les agents publics grâce à davantage d’outils hébergés en cloud et qui permettent une collaboration en interne au sein d’un ministère mais également en interministériel. Il faut donc faire en sorte que les outils des différents acteurs s’articulent bien les uns avec les autres. L’ergonomie des outils pour nos utilisateurs, les agents publics, et le suivi de l’état de l’art font partie de nos exigences. Ce défi est très largement partagé, comme l’ont montré de manière flagrante les échanges du 27 mars, et nous sommes très intéressés par la participation aux travaux sur les connecteurs d’interopérabilité. Il peut s’agir, très concrètement, de mettre de la visio dans des outils de messagerie utilisés par différents ministères lorsqu’une réunion est lancée.

S’agissant de la façon dont évolue le travail de la Dinum en matière d’évaluation des projets, nous avons vraiment souhaité trouver un bon équilibre. Il ne s’agit pas d’être dans le surcontrôle – ajouter encore des couches de contrôle ne serait d’ailleurs pas forcément accepté au niveau interministériel. Pour atteindre cet équilibre, nous avons rehaussé le seuil, l’expérience ayant montré que la tranche allant de 9 à 15 millions d’euros n’était pas forcément celle qui rencontrait le plus de difficultés en matière de conduite des projets – c’est plutôt le cas des projets de plus grande ampleur. Nous avons également souhaité dégager une marge de manœuvre afin de pouvoir travailler sur des points qui nous paraissent critiques, comme l’évolution des projets. Avec le mode produit en effet, on est moins amené à revoir régulièrement les projets puisqu’il s’agit moins de grosses refontes que d’évolutions dans le temps. Nous adoptons ainsi des méthodes que la Dinum préconise elle-même dans le cadre de la stratégie numérique et qui s’inspirent des meilleures pratiques de développement numérique dans le secteur privé – développement agile ou mode produit.

Par ailleurs, le fait d’utiliser de plus en plus de solutions logicielles à la demande réinterroge un certain nombre de risques en matière d’hébergement de données et d’application de notre ensemble normatif. C’est la raison pour laquelle, comme l’avaient souhaité nos autorités politiques en mai dernier, un point de contrôle sur les achats est prévu dès lors qu’ils dépassent un seuil fixé à 2 millions d’euros. Cela se fait, bien sûr, en lien avec la direction des achats de l’État, puisqu’il s’agit d’achats publics. Nous la consultons quand nous sommes amenés, sur la base d’un texte tout récent donc, à émettre un avis. Cela concerne des logiciels hébergés en nuage, comme des logiciels de bureautique. Nous nous posons la question de la façon dont est piloté le projet, mais aussi de l’application du vade-mecum sur les données sensibles, en application de l’article 31 de la loi Sren.

M. le président Philippe Latombe. Vous jouez ce rôle à partir de 2 millions d’euros, mais est-ce pour l’ensemble de l’État ? Comment cela se passe-t-il pour l’enseignement supérieur et la recherche ? Certaines universités optent pour des systèmes américains. Une politique globale sera-t-elle menée au sein du ministère et déployée dans les universités, ou laissera-t-on ces dernières jouir de l’autonomie la plus complète ?

Mme Stéphanie Schaer. Le nouvel alinéa de l’article 3 a pour périmètre le système d’information de l’État. L’ensemble des établissements publics sont concernés, et il revient aux tutelles de s’organiser avec eux à propos des saisines pour s’assurer que la Dinum est sollicitée pour les achats.

Mme Cyrielle Chatelain, rapporteure. J’ai compris que les missions de la Dinum avaient été précisées dans un communiqué de presse accompagnant le décret de février dernier sur la commande publique. Est-ce bien cela ?

Mme Stéphanie Schaer. Ce n’est pas un décret. Le décret d’application de la loi Sren aborde le sujet aussi, mais en l’occurrence il s’agit de la circulaire qui a défini les grands principes. Le communiqué de presse qui a accompagné sa publication, en février 2026, a donné des illustrations de son application dans le cas des suites bureautiques – sachant que la Dinum opère d’autres produits numériques, comme le RIE, qui a un million de bénéficiaires, ProConnect, FranceConnect, data.gouv et différentes briques logicielles et réseau : opérer des briques interministérielles ayant un nombre d’utilisateurs important fait partie des missions historiques de la Dinum.

Le communiqué de presse a donc illustré l’application de la circulaire en partant de ce que fait la Dinum en matière de bureautique pour assurer la continuité de l’action publique et son bon fonctionnement. Par exemple, la visio doit bien fonctionner, en matière d’ouverture de flux, dans tous les ministères et en tout temps. C’est un outil qui joue un rôle clef pour la gestion de crise, un peu comme la messagerie instantanée, qui a été fortement mobilisée par l’Anssi pendant les Jeux olympiques de 2024, avec différents partenaires. Nous souhaitons avoir une pleine maîtrise sur ces outils, ce qui ne veut pas dire que nous ne travaillons pas avec des industriels pour les opérer. Dans le cas de Visio, la Dinum a ainsi un partenariat avec Outscale, et elle a l’habitude d’opérer le RIE en lien très étroit avec les industriels qui infogèrent telle ou telle portion du réseau.

Le communiqué de presse a aussi défini les attentes concernant d’autres briques logicielles pour lesquelles nous allons essayer d’articuler au mieux les offres existantes et de diversifier les choix par rapport aux offres d’ensemble plutôt monopolistiques qui ont été retenues dans un certain nombre de ministères, et qui sont par ailleurs non collaboratives. Nous sommes en train de cheminer du non collaboratif vers le collaboratif pour apporter davantage d’efficacité et d’efficience aux agents publics. C’est tout le fruit des travaux de la démarche de matchmaking, de mise en relation du 27 mars, qui s’inscrivait pleinement dans le cadre du communiqué de presse de février.

Mme Cyrielle Chatelain, rapporteure. Merci pour cette précision, j’avais interverti décret et circulaire.

Globalement, le développement des outils collaboratifs par la Dinum a fait vivement réagir. La Business Software Alliance, qui rassemble Google, Microsoft et Amazon, a peu apprécié, par exemple, les nouvelles orientations définies par les autorités françaises, ce dont on ne peut que se réjouir. Mais on peut aussi se poser la question du niveau de solidité d’une circulaire illustrée par un communiqué de presse. Serait-il utile de compléter la circulaire pour asseoir cette politique ? Il existe déjà, vous l’avez dit, un certain nombre d’utilisateurs. Changer d’habitude étant difficile, j’imagine qu’on ne repassera pas d’un outil à un autre.

Mme Stéphanie Schaer. Ce que fait la Dinum s’inscrit dans le cadre de l’application de la circulaire. Le communiqué de presse l’a illustrée, mais c’est la circulaire qui s’applique pleinement. Cela renforce les choses et il n’y a aucune remise en cause des équilibres retenus.

C’est dans ce cadre que nous consolidons notre action, avec des échéances et des enjeux très opérationnels comme le déploiement de Tchap ou de Visio – des budgets y sont consacrés – et le souhait de réussir à bien articuler l’ensemble des outils proposés par toute la filière. Ces outils ont été financés, par exemple, par France 2030, le but étant de faire avancer chacun dans sa feuille de route mais aussi de les amener au niveau des différents labels de sécurité – plusieurs produits sont ainsi engagés dans une trajectoire SecNumCloud – et ainsi de faciliter les actes d’achat de l’ensemble des administrations.

Un autre point important, et c’était une forte demande de la filière numérique, était de faire en sorte que la Dinum arrête de diffuser un outil unique de partage de fichiers pour l’ensemble des ministères, afin d’ouvrir le marché. Nous achetions auparavant un seul outil, qui était diffusé et utilisé par l’ensemble des ministères. Il a été annoncé le 27 mars que chaque ministère allait pouvoir choisir ce qui lui convient le mieux, et les outils ont été présentés. Cela doit permettre de stimuler par la commande publique les acteurs dont les outils répondent aux besoins des ministères, étant entendu qu’il est nécessaire d’assurer non pas uniquement leur interopérabilité mais aussi sur leur réversibilité. La fluidité qui existe si l’on peut facilement passer d’un outil à l’autre donne confiance à l’acheteur public, qui doit toujours se poser la question, au moment du choix, de la possibilité de passer à un autre acteur par la suite.

Il s’agit d’une nouveauté pour les acheteurs publics du numérique au sein de l’État : auparavant, on faisait plutôt de l’hébergement en interne. Le fait que, depuis quelques années, on commence à confier les données à l’extérieur soulève la question de la possibilité d’un changement d’acteur. La Dinum porte toute son attention à ces enjeux, avec l’ensemble des DSI ministérielles, qui sont plus particulièrement concernées par tel ou tel outil.

M. le président Philippe Latombe. Je rappelle, dans le prolongement de la question posée par la rapporteure, qu’il a fallu l’article 31 de la loi Sren pour qu’un certain nombre de choses bougent – alors que les ministres concernés avaient dit que l’hébergement par exemple du Health Data Hub devait migrer. Une circulaire, donc, est-elle suffisante ? Il y a eu une circulaire dite cloud au centre, devenue cloud de confiance, mais il a fallu que le législateur inscrive le principe dans le dur de la loi pour que les administrations bougent.

Pensez-vous qu’une circulaire et le poids qui est le vôtre suffisent pour faire bouger l’ensemble des administrations ou faut-il s’y prendre autrement ? Nous nous étions posé la question lors de l’examen de la loi Sren. Dans le cas particulier du Health Data Hub, dont nous avons entendu le directeur général par intérim, la Dinum était autour de la table lors de l’évaluation des solutions existantes et n’a pas forcément poussé à l’époque vers du souverain. On est donc reparti vers Microsoft au début 2025 pour les nouveaux projets.

Mme Stéphanie Schaer. Je vous répondrai d’abord sur le Health Data Hub, puis globalement, car bien d’autres projets numériques entrent dans le cadre de la circulaire.

S’agissant du Health Data Hub, renommé Plateforme des données de santé (PDS), le cheminement a été particulier. J’ai récemment été saisie de la « solution intercalaire », au titre de l’article 3 mais par la volonté du ministère, puisqu’on était en dessous du seuil prévu. Notre avis a mis en avant de très nombreuses réserves : compte tenu de l’évolution des technologies et de l’avancée du projet, il nous est apparu qu’un certain nombre de points n’avaient pas été suffisamment approfondis. Cela a déclenché un nouveau cycle de discussions et la mise en place d’une task force, à laquelle la Dinum a participé, qui a abouti à l’abandon de la solution intercalaire et à une bascule accélérée vers une solution d’hébergement de confiance pour la Plateforme.

S’agissant des autres projets et de l’application de la circulaire cloud, on s’aperçoit qu’un équilibre s’est fait. Pour les projets hébergeant des données considérées comme sensibles au titre de la circulaire – définition reprise quasiment à l’identique dans la loi Sren –, l’application a été plutôt stricte. Cela étant dit, tout s’est fait très progressivement ; ou plutôt l’adoption du cloud a été très progressive au sein de l’État, à mon avis parce que les acteurs étaient très attentifs à ne le faire que pour un hébergement de confiance et correspondant aux attentes.

Nous avons voulu apporter notre appui à l’ensemble des directions numériques et des acheteurs publics pour l’analyse de ce qu’est une donnée sensible, sur la base, bien sûr, de la définition donnée par l’article 31 de la loi Sren – qui est cohérente avec les pratiques suivies dans le cadre de la circulaire. Un travail a eu lieu pendant quasiment un an, en interministériel, pour élaborer un vade-mecum qui fige, d’une certaine façon, des équilibres et spécifie ce qui doit être considéré comme une donnée sensible et ce qui ne l’est pas, en donnant des exemples assez précis. Ce vade-mecum a été publié en février 2026, presque en même temps que la circulaire sur la commande publique numérique. La Dinum y a beaucoup travaillé, en lien avec d’autres acteurs : la direction des affaires juridiques du ministère de l’économie et des finances, la direction des achats de l’État, la direction générale des entreprises, mais aussi tout le périmètre interministériel, s’agissant du numérique comme des données.

La loi a très certainement rendu la question plus visible, par rapport à ce qu’avait fait la circulaire, et elle a étendu le champ d’application à certains groupements d’intérêt public (GIP) qui n’étaient pas concernés. Des travaux sont en cours à la Dinum pour mettre à jour la circulaire, qui devra s’adapter au décret d’application de l’article 31 de la loi Sren, dont la publication est imminente. Néanmoins, une circulaire s’applique aux administrations, et celle-ci, je l’ai dit, était bien appliquée dans la plupart des ministères.

Enfin, nous pensons que plus il existe de guides, plus on pourra normaliser et homogénéiser les pratiques des responsables des systèmes d’information et des données de chaque périmètre ministériel en matière de qualification de la sensibilité des données.

M. le président Philippe Latombe. La loi Sren a eu pour avantage, vous l’avez dit, d’avoir étendu l’application de la circulaire à des GIP qui n’étaient pas concernés au départ. C’est d’ailleurs une des raisons pour lesquelles la PDS n’avait pas bougé, et nous avons donc adopté l’article 31 de la loi Sren.

Mme Cyrielle Chatelain, rapporteure. S’agissant du cloud, vous avez dit qu’il y avait plutôt eu un développement interne jusque-là, mais qu’on avait maintenant de plus en plus recours à des acteurs extérieurs. Le développement de cloud interne reste-t-il pertinent ? Si c’est le cas, pour quel type d’administrations et de données ?

La question du « cloud au centre » renvoie à celle des données sensibles, dont la violation serait susceptible d’engendrer une atteinte à l’ordre public, à la sécurité, à la santé, à la vie des personnes ou à la protection de la propriété intellectuelle, ce qui est très large. Avez-vous des échanges avec les administrations sur la lecture de ce qu’est une donnée sensible ? Vous demandent-elles votre avis ? Constatez-vous des divergences d’interprétation ? Les recommandations et les obligations ne sont pas les mêmes en fonction du type de données.

Mme Stéphanie Schaer. La stratégie lancée en 2021 a défini deux clouds interministériels : le cloud Pi, opéré par le ministère de l’intérieur, et le cloud Nubo, opéré par le ministère de l’économie, en l’occurrence par la DGFIP (direction générale des finances publiques). Ces infrastructures internes sont mises au même niveau que l’offre privée labellisée SecNumCloud sur la base d’une évaluation réalisée par l’Anssi. J’ai rappelé tout à l’heure que sept acteurs ont obtenu cette qualification, mais le nombre des offres est plus important puisqu’un acteur peut être qualifié pour différentes offres commerciales.

La stratégie est d’avoir une capacité d’hébergement à la fois interne et externe, ce qui donne de la flexibilité. Elle s’inspire des pratiques d’autres grands ensembles. Dans le secteur bancaire, de très grandes entreprises ont ainsi développé des capacités de cloud interne tout en ayant recours à du cloud externe, qui peut être plus sécurisé ou moins. Notre stratégie s’inspire aussi à la fois des bonnes pratiques du secteur public d’autres pays, comme l’Allemagne, autour d’ITZBund, de celles de nos armées et des échanges que la Dinum a dans le cadre du Cigref, le Club informatique des grandes entreprises françaises.

Aujourd’hui, on reste sur cette trajectoire mais en cherchant le plus possible, s’agissant des clouds internes, une mutualisation, un rapprochement des technologies utilisées et des équipes techniques, pour plus d’efficacité. On se souvient, en effet, du rassemblement des compétences réseau qui a été fait depuis de nombreuses années pour le réseau interministériel de l’État.

La Dinum participe ainsi, avec les équipes de Pi et de Nubo, à des échanges techniques et à des travaux visant à faire progresser l’offre de services de cloud. Des échanges peuvent aussi avoir lieu avec des clouds externes. Il est en effet intéressant, compte tenu du recours à des briques en open source, d’échanger sur les standards utilisés, d’autant qu’on peut être amené – et je pense que ce sera de plus en plus le cas pour des raisons de résilience – à utiliser pour un même service numérique de l’État un cloud interne et un cloud externe, deux clouds SecNum ou que sais-je : toutes les combinaisons devraient être possibles pour garantir le maintien en condition opérationnelle des systèmes d’information, dans un objectif d’extrême résilience qui conduit à regarder aussi la localisation géographique des data centers. Nous y travaillons déjà, mais nous souhaitons une accélération en la matière. Avoir une offre interne bien maîtrisée permet aussi de bien connaître le métier, tandis qu’une offre externe renforce la résilience si on arrive à relever le défi de l’interopérabilité et si on continue à investir dans les feuilles de route en matière de fonctionnalités.

Du côté du privé, l’offre est stimulée par le partage des besoins que peut avoir l’État en matière de projets numériques. L’existence d’un cahier des charges faisant état des fonctionnalités attendues, avec un classement par priorités, a aidé les industriels à améliorer leurs réponses. Les chiffres montrent que cette politique porte ses fruits puisque la commande de cloud aux acteurs privés a augmenté d’un peu plus de 60 % en 2025, selon le bilan de l’hébergement cloud publié à l’occasion de la journée annuelle public-privé « L’État dans le nuage », que la Dinum organise pour rassembler l’offre et la demande, travailler sur les défis de demain mais aussi regarder dans le rétroviseur.

Autre chiffre que j’ai cité tout à l’heure, dans le périmètre strict des administrations centrales, 99 % des commandes publiques sont dirigées vers les acteurs français. Il n’existe pas de règle en matière de préférence européenne dans le code de la commande publique, mais la politique que nous menons dans le domaine du cloud permet de s’appuyer sur une grande variété d’offres souveraines, qui peuvent être SecNum ou non, les ministères choisissant en fonction de la sensibilité des données. La Dinum fait ainsi appel à une offre SecNum pour la bureautique – s’agissant de Visio, il s’agit d’une offre d’Outscale – mais a recours à des offres non SecNum dans d’autres cas.

Pour ce qui est de votre deuxième question, il est clairement nécessaire d’accompagner les administrations dans l’identification des données devant être considérées comme sensibles au titre de l’article 31 de la loi Sren. C’est la raison pour laquelle des travaux ont été réalisés au niveau interministériel pour élaborer un vade-mecum qui définit les grandes catégories de SI relevant de cette définition. Dans la mesure où la plupart des agents peuvent être confrontés à des données sensibles, on y a par exemple inclus les outils de bureautique. Nous continuons de promouvoir ce vade-mecum, en nous appuyant sur les administrateurs ministériels des données, mais aussi au fil des projets : c’est un guide, qui complète l’article 31 de la loi Sren et son décret d’application.

Mme Cyrielle Chatelain, rapporteure. Les services cloud embarqués dans les solutions SaaS sont-ils bien identifiés ? On voit bien que la logique monopolistique des grands opérateurs comme Microsoft consiste à entrer par un outil, comme l’e-mail ou la suite Office, pour élargir ensuite leur offre au cloud. Est-ce un élément d’alerte pris en compte par les administrations ?

Mme Stéphanie Schaer. C’est un point essentiel, qui nous a conduits à faire deux choses. D’abord, nous avons bien identifié le sujet dans le vade-mecum sur les données sensibles : dès lors que les données du système d’information ne sont pas hébergées en local, dans le data center du ministère, nous insistons sur la nécessité de savoir quel acteur derrière l’éditeur de logiciel les hébergera, et si les conditions de sécurité sont suffisantes compte tenu de la sensibilité des données.

Dans le domaine de l’intelligence artificielle par exemple, la plupart des offres sont en SaaS, du fait notamment de la nécessité d’avoir des capacités de calcul externalisées. Lorsque nous avons lancé l’appel à manifestation d’intérêt pour identifier des solutions répondant aux besoins de la sphère publique, nous avons donc souhaité que les acteurs précisent les conditions d’hébergement – sachant que celles-ci peuvent évoluer dans le temps : une solution d’abord hébergée dans un cadre non souverain peut l’être ensuite dans des structures internes ou en SecNumCloud.

Dans le tableau répertoriant l’ensemble de ces solutions d’IA – disponible sur numerique.gouv.fr et sur notre portail dédié, alliance.numerique.gouv.fr –, une colonne précise si la solution est hébergeable en SecNumCloud. À l’époque où nous avons lancé l’appel, il y a un an, c’était le cas de très peu de solutions. Nous avions souhaité montrer la diversité des logiciels français qui existaient, stimulés par la French Tech, mais aussi donner de la visibilité à la capacité d’hébergement en SecNum, qui est quelque chose de très important.

Comme je le rappelais tout à l’heure, l’article 3 du décret de 2019 fixe désormais une obligation de saisine de la Dinum pour les commandes publiques d’un montant supérieur à 2 millions d’euros. Cela va nous permettre de voir les pratiques mais aussi, au travers de nos avis, de mieux jouer notre rôle d’orientation en fonction de ce qui a été fixé dans le cadre de notre dialogue avec l’ensemble des ministères. Les textes sont tout récents et nous devrions avoir des saisines assez rapidement. Je précise que, comme pour l’ensemble des grands projets numériques de l’État, une administration peut aussi recueillir l’avis de la Dinum pour un projet en deçà de 2 millions d’euros si elle le souhaite.

M. le président Philippe Latombe. L’ensemble des e-mails des ministères, en .gouv.fr, passent par le RIE, n’est-ce pas ? Aucun ministère ne passe par des opérateurs extérieurs, de type Microsoft ou autre ?

Mme Stéphanie Schaer. Je précise que le RIE est un réseau de transport qui permet aux différentes entités de l’État d’échanger entre elles. Y sont rattachés les ministères, les data centers, et jusqu’aux préfectures et commissariats de police. Mais en tant que tel, il n’offre pas de service de messagerie.

M. le président Philippe Latombe. Il a été dit à plusieurs reprises, ailleurs que dans cette enceinte, que les e-mails des ministères sociaux par exemple passaient en dehors du RIE. Est-ce le cas ?

Mme Stéphanie Schaer. Le RIE reste un réseau de transport. Les ministères sociaux y sont raccrochés ; ils peuvent ensuite accéder à internet et échanger avec le reste du monde au travers des plateformes qu’offre le RIE. Je confirme que, par dérogation et suite à un projet lancé antérieurement à la circulaire de 2021, ces ministères utilisent encore aujourd’hui Office 365. Cela signifie que le flux passe par la plateforme d’accès à internet pour sortir, et que la messagerie est hébergée par un acteur privé dans un cloud externe.

Le RIE en tant que tel n’offre pas de service de messagerie. La plupart des ministères ont encore des services de messagerie on-premise, c’est-à-dire non en cloud, qui sont hébergés dans leurs propres data centers, à l’intérieur de ce qu’on appelle le RIE.

Il faut bien distinguer les différentes couches. Il y a d’abord celle de l’infrastructure de transport : le RIE est un réseau fermé qui permet à l’ensemble des entités de l’État d’échanger entre elles sans devoir passer par internet. C’est la première promesse du RIE : une extrême résilience. Nous avons d’ailleurs investi, ces trois dernières années, pour la renforcer.

Le RIE communique ensuite avec le reste du monde au travers de plateformes d’accès à internet, ce qui permet d’aller chercher des services en SecNumCloud par exemple – dans ce cas, un travail d’appariement permet d’avoir une zone de confiance entre le RIE et le SecNum – et d’autres services de cloud commerciaux ; c’est le cas, en l’occurrence, pour les ministères sociaux. Si le RIE se referme complètement, il n’y a donc plus d’accès.

Mme Cyrielle Chatelain, rapporteure. Je sais que l’état des lieux est en cours. Pourriez-vous néanmoins nous donner un ordre de grandeur des dépenses engagées par les différentes administrations auprès de Microsoft ?

Mme Stéphanie Schaer. Je ne suis pas en mesure de vous communiquer ce chiffre aujourd’hui car il est en cours de consolidation avec la direction des achats de l’État. Il pourra vous être communiqué dès qu’il sera connu, d’ici quelques semaines je pense : nous sommes proches du but.

Le calcul pourrait paraître évident mais il ne l’est pas tant que cela car nous souhaitons donner un chiffre correct. Si nous avons la chance, grâce au SI de gestion Chorus, d’accéder facilement à certaines dépenses, il se trouve qu’il faut prendre en compte, pour Microsoft, de nombreux intermédiaires en dehors des contrats immédiatement référencés dans Chorus : il y a notamment l’Ugap, parmi d’autres intermédiaires, mais aussi des marchés ad hoc.

Pour pouvoir vous donner une réponse exacte, je suis obligée de réserver ma réponse et d’attendre la consolidation des chiffres. Quoi qu’il en soit, l’identification du point de départ fait bien évidemment partie des travaux que je citais : c’est impératif, quand on parle de réduction des dépendances.

S’agissant de Microsoft, il ne faut pas oublier qu’il y a deux sujets : celui du système d’exploitation et celui de la bureautique. Mais il y a aussi d’autres dépendances à différents outils, en matière de bases de données ou de virtualisation par exemple, pour lesquelles on identifie clairement des lignes.

Quant à la couche hardware – PC, équipements réseau –, elle est sans doute l’une des plus complexes ; là aussi, il y a des lignes.

Nous devons être capables de communiquer sur ces chiffres dans les prochaines semaines, à l’issue du travail très fin que nous menons en lien étroit avec la DAE et sous l’égide de notre ministère de tutelle commun, le ministère de l’action et des comptes publics.

Mme Cyrielle Chatelain, rapporteure. J’entends qu’il faut chercher en profondeur pour être complet, mais différentes DSI de ministères, de grandes universités ou de centres de recherche que nous avons auditionnées ont évoqué des accords-cadres signés en direct avec Microsoft. Quand bien même il ne s’agit que d’une partie de la dépense globale, ne pourriez-vous pas nous communiquer les sommes engagées dans ce cadre, qui sont connues et aisément identifiables ?

Mme Stéphanie Schaer. Je ne dispose pas de ces montants, et je ne suis vraiment pas en capacité de vous communiquer un chiffre exact et consolidé. Mais nous sommes effectivement en train de sommer les marchés ad hoc, qui existent notamment dans le domaine de l’éducation et de l’enseignement supérieur.

Sinon, plus globalement au sein de l’État, l’achat est plutôt mutualisé et passe par l’Ugap. Il y a alors différents intermédiaires et différentes typologies de marchés ; c’est ce que nous sommes en train de consolider avec l’appui de la direction des achats de l’État, qui a la tutelle de l’Ugap.

Nous sommes dépendants de ces acteurs pour obtenir les chiffres mais l’objectif est évidemment de les avoir dans les plus brefs délais, concomitamment avec le chantier d’accompagnement des ministères que nous conduisons. Il sera intéressant de pouvoir éclairer les ministères avec une déclinaison des dépenses par périmètre ministériel, et non pas uniquement avec le chiffre agrégé. Nous allons chercher à faire vivre ce suivi avec une granulométrie qui nous permettra d’en faire un outil de pilotage.

M. le président Philippe Latombe. Allez-vous intégrer les non-coûts à l’évaluation de la dépendance ? Le ministère de l’éducation nationale nous a expliqué que les enseignants s’équipaient la plupart du temps eux-mêmes, et bénéficiaient auprès de Microsoft de tarifs particuliers. Ces dépenses ne sont certes pas payées par l’État mais l’éducation nationale a besoin des outils ainsi acquis pour fonctionner. J’ajoute que ces non-coûts cachés soulèvent des difficultés commerciales vis-à-vis de l’écosystème européen.

Mme Stéphanie Schaer. En première approche, nous visons plutôt les coûts qui pèsent sur le budget de l’État.

Pour mesurer les coûts que vous mentionnez, il faut une connaissance fine et nous sommes dépendants de la cartographie faite par chaque périmètre ministériel sur ses propres dépendances. Ce travail peut être conduit avec Audran Le Baron, directeur du numérique pour l’éducation, qui pourra ainsi compléter, sur son périmètre, notre évaluation globale.

Il peut y avoir aussi d’autres enjeux à prendre en compte dans d’autres périmètres ministériels. C’est la raison pour laquelle il y a une conjonction entre un travail d’exploitation de l’ensemble des chiffres, qui peut être réalisé à la maille interministérielle une fois pour tout le monde et dans la durée, et une cartographie par ministère appuyée sur une connaissance fine et intrinsèque des métiers et des pratiques. Les deux sont complémentaires. C’est ainsi que nous construirons à la fois la cartographie du point du départ et les chemins envisagés, avec les plans de réduction des dépendances numériques et les jalons pour les années à venir.

Mme Cyrielle Chatelain, rapporteure. L’une des annonces du séminaire a été la sortie de Windows de la Dinum, au profit du système d’exploitation Linux. Toutes les administrations ne sont pas dans la même dynamique mais la DGFIP a fait une annonce similaire et d’autres, comme la gendarmerie, ont déjà fait la même démarche.

Comment vous y préparez-vous ? Pourriez-vous nous indiquer au moins ce que coûtent aujourd’hui Windows ou Microsoft à la Dinum ?

Mme Stéphanie Schaer. Après avoir travaillé pendant trois ans sur les outils de bureautique, donc plutôt sur les couches logicielles applicatives, il était important pour la Dinum d’envisager un poste informatique plus souverain. Quand on s’intéresse à la couche bureautique, on pense à la coupure des services en cloud, ce que l’on appelle le kill switch : le risque d’arrêt des services est très prégnant en cas d’interaction avec des acteurs extra-européens ou de soumission à des lois extra-européennes. C’est la raison pour laquelle nous avons développé une stratégie autour du cloud et du SecNumCloud, et souhaitons maîtriser un certain nombre de briques comme Tchap et Visio. Ça, c’est la couche bureautique.

Ensuite, lorsque l’on s’intéresse au poste bureautique, arrive très vite la question de la limitation des dépendances. On est là dans un autre ordre de grandeur : les dépendances peuvent être technologiques – que se passerait-il si nous n’avions plus les mises à jour ? – mais aussi concerner la maîtrise du budget – que se passerait-il si le prix des licences était multiplié par deux, par trois, voire par cinq, comme c’est arrivé récemment ?

C’est ce qui a conduit la Dinum à s’interroger sur sa capacité à avoir un poste totalement souverain. Dans notre démarche d’agilité et d’itération, nous avons souhaité commencer à une échelle expérimentale, certes de grande ampleur, puisque 250 agents sont concernés, mais qui n’est pas engageante : la suite dépendra des résultats. C’est dans ce cadre expérimental que la Dinum déploie ces postes sous Linux dont le système d’exploitation est complètement maîtrisé.

Il faut dire que la Dinum, qui est constituée d’équipes venues de différents ministères, n’avait pas de bureautique unique. Je pense que nous pourrons vous donner le chiffre que vous nous demandez dans notre réponse au questionnaire, mais il faudra pour cela récolter ceux de différentes sources : une partie des postes étaient opérés par le ministère de l’économie et des finances, d’autres étaient gérés en interne à la Dinum et d’autres enfin – qui sont de diffusion restreinte – seront maintenus car ils sont spécifiquement utilisés pour certaines missions de la Dinum relatives à la gestion de crise, et nécessitent un certain niveau de protection.

L’idée, avec Linux, est d’avoir un poste qui serve un peu de vitrine et qui soit totalement maîtrisé. Il s’agit de montrer qu’il peut assurer différentes fonctions : la Dinum est bien sûr très orientée vers les technologies mais, comme toute organisation, elle a aussi des fonctions RH et budgétaires. L’ensemble des agents de la Dinum vont ainsi être amenés à utiliser ces postes. Aujourd’hui, une trentaine ont été diffusés.

Nous l’avons dit la semaine dernière, le projet du poste en Linux pour l’ensemble des agents est aussi né de la réflexion que nous menions déjà depuis de nombreux mois sur les postes plus sécurisés dont on a besoin quand on opère des systèmes d’information critiques. Sur ce sujet, nous avons vu la nécessité de standardiser davantage.

Nous sommes donc dans une approche à la fois de sécurisation et, à base de communs numériques, d’homogénéisation des pratiques – d’abord au niveau des différentes équipes de la Dinum, s’agissant de l’administration, et désormais sur le champ plus large de la bureautique.

L’objectif est de déployer l’ensemble des postes d’ici l’été, par vagues successives, en écoutant attentivement les utilisateurs et en les accompagnant. La plupart ont des habitudes de travail dans d’autres systèmes d’exploitation depuis de très nombreuses années. On sait bien que les premiers testeurs sont plutôt habitués à cet environnement, très présent dans l’informatique : l’enjeu va être de dépasser ce cercle.

Nous sommes forts aussi des expériences des autres administrations, avec lesquelles nous discutons : la gendarmerie, par exemple, qui opère depuis de très nombreuses années avec succès une base d’ordinateurs installés sous Linux, ou nos homologues de la DGFIP. Nous avons aussi créé des ponts avec d’autres pays de l’Union européenne qui mènent à bien des projets de même ampleur, concernant plusieurs centaines d’agents. C’est le cas du Danemark, qui se trouve avoir fait le même choix que les ingénieurs de la Dinum en retenant la distribution X/OS. Il est particulièrement intéressant pour nous de voir comment ils avancent dans leur projet.

Dans le cadre de l’Edic qui vient d’être créé, nous souhaitons élargir ces réflexions sur un système d’exploitation en open source : l’idée de le faire à plus grande échelle nous paraît un très bon sujet d’échange et de consolidation au niveau européen, entre les différents États membres qui s’intéressent aux questions de souveraineté et à l’utilisation de briques en open source pour y répondre.

M. le président Philippe Latombe. Combien le changement va-t-il vous coûter ? Les ministères que nous avons auditionnés la semaine dernière nous ont expliqué qu’avec ce type de projet, on était d’abord perdant, puis que l’on observait un retour sur investissement à partir de la troisième ou de la quatrième année. J’ai l’impression que vous n’avez pas fait ce calcul et que votre choix relève plutôt de la posture. Avez-vous tout de même évalué ce que pourrait faire économiser à l’État une bascule de l’ensemble des postes vers un OS (système d’exploitation) de ce type ?

Les Allemands ont fait un choix très clair, celui de basculer la totalité des postes de l’État sous Linux. Échangez-vous avec vos homologues dans un cadre bilatéral, en dehors de l’Edic, pour partager les noyaux notamment ?

Mme Stéphanie Schaer. Nous avons une évaluation assez fine des coûts des licences, mais celles-ci sont souvent globales – OS et outils bureautiques. On sait donc d’où l’on part.

Le projet étant encore dans ses premières phases expérimentales, les coûts sont réduits, mais il y a aussi des briques d’investissement pour lesquelles nous en sommes encore à une estimation des coûts. C’est le cas pour le VPN (réseau privé virtuel) par exemple, qui est nécessaire pour que les nouveaux postes reliés au RIE puissent accéder à l’ensemble des applicatifs nécessitant un accès sécurisé, au-delà de ce qui est présent en SecNumCloud et avec une identification ProConnect. On voit que ce projet s’intègre dans un tout un peu plus large.

Il s’intègre également dans les travaux que conduit la Dinum au niveau du RIE et de la plateforme d’accès à internet : des services peuvent être mobilisés dans le cadre de l’évolution du réseau.

On en est encore au tout début du projet, avec trente postes concernés. Ceux-ci vont faire l’objet, dans la configuration retenue, d’une homologation de sécurité. La démarche est lancée et les travaux d’audit vont être menés, pour aboutir au déploiement de postes dans lesquels nous pourrons avoir confiance et qui auront, comme aujourd’hui, un plein accès à l’ensemble des fonctionnalités.

Ces sujets sont un peu plus prospectifs que d’autres et sans doute le projet aura-t-il en effet un coût d’entrée. Nous nous efforçons néanmoins de faire en sorte que celui-ci soit mesuré. C’est pourquoi les équipes de la Dinum sont en train d’étudier différentes options technologiques, afin de faire des tests à petite échelle – tout en ayant, dès le départ, un échange interministériel. C’est la raison pour laquelle nous avons mis en place dès le 8 avril un groupe de travail sur les dépendances aux systèmes d’exploitation et échangeons de façon permanente sur les choix retenus par la gendarmerie ou la DGFIP. C’est aussi pour cela que nous accompagnons la transformation : si l’on envisage ensuite un déploiement à plus large échelle, il nécessitera sans doute un effort indéniable.

Nous avons des échanges rapprochés avec notre homologue allemand. Dans le cadre de l’Edic, ce sujet fait partie des challenges identifiés lors de la réunion de La Haye de décembre dernier. Nous sommes amenés à y travailler avec les Allemands mais aussi avec les Pays-Bas ou le Danemark, qui s’intéresse au sujet.

Par ailleurs, la Dinum, qui a signé une déclaration d’intérêt avec l’Allemagne, a avec celle-ci des relations de confiance de plus en plus approfondies dans différents champs. Début juin, mon équipe et moi rendrons visite à Bonn à ITZBund – l’homologue de la Dinum, en charge de la bureautique mais doté d’un périmètre un peu large, s’agissant notamment des opérations de cloud.

Au-delà de nos échanges lors des réunions de l’Edic, la rencontre des équipes sur place nous permettra d’approfondir différentes questions. Lorsque j’ai reçu en début d’année le directeur général d’ITZBund, Alfred Kranstedt, nous avons initié des travaux sur ce sujet, sur le cloud et sur les assistants IA. Il est toujours très intéressant de confronter nos choix technologiques, nos organisations et les défis auxquels nous faisons face, en regardant ce qui fonctionne et ce qui fonctionne moins bien. ITZBund est par exemple très intéressé par ce que nous sommes en train de mettre en place pour la visio, qui n’a pas d’équivalent actuellement en Allemagne. Quant à nous, nous sommes intéressés par la structuration qu’ils ont opérée en matière de cloud interne.

C’est un échange de confiance dans les deux sens. Markus Richter a d’ailleurs été invité à partager cet engagement commun à l’occasion du 8 avril : il avait enregistré une courte vidéo, qui a été diffusée à l’ensemble des participants. Cela montre, en relais du sommet européen sur la souveraineté numérique organisé à Berlin, notre proximité avec l’Allemagne en matière de sortie des dépendances et notre volonté conjointe de construire des solutions communes à l’échelle européenne.

Mme Cyrielle Chatelain, rapporteure. Il existe un document public qui recense, sous forme de tableau, les grands projets numériques suivis par la Dinum. On y trouve leur durée, leur coût, leur objet et le ministère concerné – mais ce qu’on ne voit pas, c’est l’identité du développeur. J’aimerais connaître les différents acteurs privés ou publics impliqués dans ces projets. Le développement se fait-il majoritairement en interne ou y a-t-il contractualisation avec des solutions propriétaires, notamment américaines ? Y a-t-il des opérateurs open source ?

Vous nous avez dit par ailleurs que vous saviez d’où vous partez, s’agissant du paiement des licences Microsoft : peut-être pouvez-vous partager cette information avec nous ?

Mme Stéphanie Schaer. Le tableau dont vous parlez sert au suivi des grands projets numériques.

Rappelons d’abord ce qui a conduit la Dinum à assurer la fonction d’audit et de suivi des grands projets numériques. Il s’agissait avant toute chose de s’assurer que, lorsqu’on investit dans un tel projet, il respecte son budget et son calendrier et qu’il finit par produire le service attendu ab initio. Il y a malheureusement des projets dans l’histoire qui n’ont pas répondu à ces exigences, ce qui a amené à renforcer cette fonction au niveau interministériel. Cela se fait sous l’égide du Premier ministre : c’est lui qui est en responsabilité sur le système d’information de l’État ; il délègue ensuite à ses ministres les systèmes d’information métiers mais garde une capacité d’audit ab initio, avec son bras armé qu’est la Dinum, et peut aussi déclencher des audits en cours de route s’il le souhaite. Cela correspond aux articles 3 et 4 du décret du 25 octobre 2019.

La structuration du tableau obéit donc à des objectifs très précis de suivi des coûts et des délais. Nous avons souhaité le compléter, à l’aune de la stratégie de 2023, par des indicateurs d’impact – pour éviter de développer quelque chose qui, tout en respectant le budget et le calendrier, ne correspond pas nécessairement aux besoins des utilisateurs. Cela peut être le cas notamment si l’utilisateur n’a pas été placé au centre, ou si l’on n’a pas fait preuve d’agilité pour revenir sur les différentes itérations successives en fonction des retours terrain.

Pour tous les nouveaux projets, mais aussi de façon rétroactive pour les projets déjà en cours, nous avons ainsi défini quelques métriques d’impact. Nous l’avons fait en travaillant sur une matrice d’impact, dans le cadre de laquelle nous questionnons la valeur de chaque projet par rapport à son usage et son utilisation. Ce travail, mené en grande partie l’année dernière, s’applique autant aux grands projets qu’à des projets plus innovants tels que ceux du programme beta.gouv.

Je comprends l’intérêt de partager les données que vous évoquez, mais cela n’a pas été prévu dans le cadre du suivi. Je peux néanmoins vous donner de tête quelques éléments sur la vingtaine de projets que nous sommes amenés à évaluer par an. On retrouve dans le tableau les mêmes grands équilibres entre achats de progiciels et achats de prestations intellectuelles que dans l’ensemble des 4,5 milliards d’euros de dépenses publiques sur lequel nous travaillons.

Comme cela est évoqué dans la circulaire sur la commande publique, un ministère qui doit lancer un vaste projet de système d’information en application d’une politique publique – un cas assez générique – a deux options. Il peut choisir un logiciel de marché, un progiciel, potentiellement adapté à des besoins spécifiques. Il faut néanmoins veiller à ce que l’adaptation n’aille pas trop loin, car elle peut se révéler très coûteuse et rendre plus compliquées la maintenabilité, la sécurité et la gestion des maintenances prévues par l’éditeur. Nous savons qu’il y a une limite à ne pas dépasser, et c’est un élément que nous regardons. Un certain nombre de projets de SI d’État, notamment budgétaires, fonctionnent ainsi. Derrière Chorus, il y a SAP ; quant à RenoirRH, le SI mutualisé pour les RH proposé par le Centre interministériel de services informatiques relatifs aux ressources humaines, il est basé sur HR Access.

Mais hors ces grands ensembles, il est aussi possible de choisir un progiciel hébergé on-premise, dans l’hébergement du ministère, comme celui à propos duquel j’ai signé la semaine dernière un avis qui sera prochainement rendu public. Il s’agit d’un progiciel qui répond bien aux besoins du ministère et qui fait l’objet d’adaptations limitées avant son déploiement.

Les dépenses, dans le cadre du ministère, sont souvent liées à l’accompagnement du changement, au déploiement du progiciel ou encore à la reprise de données, lors du passage d’un logiciel à un autre. Ces coûts se combinent avec les achats de licences, qui peuvent d’ailleurs se faire annuellement ou prendre la forme de licences perpétuelles – il y a différentes possibilités.

Il arrive aussi que, dans le cadre de politiques publiques particulières, et parfois de changements de réglementation – qu’il faut savoir prendre en compte dans l’évolution du SI –, des développements spécifiques soient nécessaires. La plupart du temps, cela se fait via un appel d’offres pour l’ensemble de la construction du système d’information ; se pose ensuite la question de l’internalisation ou non de l’exploitation. C’est ce à quoi correspondent les dépenses de prestations intellectuelles informatiques parmi les 4,5 milliards d’euros.

Dans les équipes, un équilibre est recherché entre les capacités techniques internes et externes. Dans le cas du développement d’un projet ad hoc, on estime qu’il faut conserver un certain niveau de maîtrise pour savoir travailler avec les industriels. C’est la raison pour laquelle la circulaire signée en 2023 par la première ministre Élisabeth Borne au sujet des prestations intellectuelles informatiques fixe des ratios : un taux d’externalisation supérieur à 80 % n’est pas envisageable ; entre 60 et 80 %, il faut internaliser des fonctions de pilotage de sorte qu’un agent de l’État donne son avis sur les prestations confiées en externe ; et un taux inférieur à 60 % n’appelle pas d’attention particulière.

Comme le montre le rapport remis à Stanislas Guerini en 2023 par l’Inspection générale des finances et le Conseil général de l’économie, l’État n’emploie que peu de développeurs à proprement parler : les fonctions numériques existantes portent plutôt sur l’architecture, le pilotage et l’accompagnement des utilisateurs. En effet, même quand on achète sur étagère, il faut savoir accompagner et déployer les logiciels. Cela étant, la situation varie selon les ministères, avec une part d’externalisation allant de 50 à 80, voire 90 %.

Parmi les grands projets numériques sur lesquels la Dinum est appelée à donner son avis, on retrouve cet équilibre entre achats de progiciels et développement ad hoc, avec une utilisation croissante du mode produit dans lequel les équipes métiers sont intimement liées aux équipes de développement, ce qui donne de meilleurs résultats. C’est le modèle qui a été retenu, par exemple, pour la procédure pénale numérique. Pour le pilotage de ce projet d’ampleur et de ses différentes itérations, nous avons intimement lié les équipes de développement – qui s’appuient sur des prestataires – et des agents très présents des deux ministères concernés, la justice et l’intérieur.

M. le président Philippe Latombe. Accordez-vous une attention particulière à la répartition des prestations intellectuelles entre les différentes entreprises avec lesquelles vous travaillez ? Disposez-vous d’une cartographie ?

On peut imaginer qu’une entreprise pratique des prix très bas pour remporter le maximum de marchés parmi les appels d’offres, et acquière ainsi un poids particulier dans l’architecture même du SI. Dit autrement, vous préoccupez-vous de ce type de dépendance vis-à-vis de vos fournisseurs, qu’ils soient français ou étrangers ? Je mets ici au même niveau Octo, racheté par Accenture, Atos, Capgemini ou Sopra Steria.

Mme Stéphanie Schaer. Dans les marchés que vous évoquez, la Dinum n’est pas l’acheteur et n’intervient pas non plus directement dans la procédure d’achat. Pour un SI ministériel, l’appel à projets et l’examen des candidatures seront réalisés par le ministère concerné. Nous intervenons en amont, quand il est encore possible d’orienter les choses. L’arrêté précisant l’article 3 du décret relatif à la Dinum indique clairement que nous agissons sur la façon dont le projet s’organise avec les métiers concernés, c’est-à-dire sur la structure d’achat, mais pas sur les acteurs en tant que tels, qui de toute façon ne sont pas encore connus. J’insiste, nous ne donnons pas notre avis sur le choix des attributaires des marchés.

La circulaire sur la commande numérique publique en revanche, à laquelle la Dinum a largement contribué, encadre la capacité à agir des différents acheteurs avec une série de critères visant à renforcer les attendus relatifs aux fonctions confiées à des prestataires. Il s’agit avant tout bien sûr de critères de performance, car quand une administration achète un SI, c’est pour répondre à un besoin, mais les critères de souveraineté, de sécurité, de réversibilité et d’interopérabilité viennent juste après. Ces éléments ont été clarifiés comme jamais auparavant dans le document que vient de signer le Premier ministre.

Pour en revenir aux chiffres, que nous vous communiquerons dès qu’ils seront disponibles, nous regardons bien sûr parmi les 4,5 milliards d’euros l’ampleur de nos dépendances en termes de logiciels et de hardware, mais aussi en termes de prestations intellectuelles informatiques, en détaillant les différents donneurs d’ordres. Nous disposons plutôt de chiffres agrégés, que nous suivons dans le temps. Nous pourrons les décomposer ministère par ministère, mais pas projet par projet.

Mme Cyrielle Chatelain, rapporteure. Pourrez-vous compléter pour nous le tableau en détaillant les progiciels choisis ou les titulaires des prestations ?

Mme Stéphanie Schaer. Nous allons regarder ce que nous pouvons produire car, comme je le disais, si nous suivons l’ensemble des projets, nous ne disposons pas nécessairement de toutes les données pour chacun d’entre eux. Nous intervenons au moment de la définition de l’architecture, alors que le marché n’a pas encore été lancé. Vous nous direz si ce que nous vous aurons fourni répond à vos questionnements.

Mme Cyrielle Chatelain, rapporteure. Je vous remercie. Dans la mesure où certains projets sont à un niveau de maturité élevé, voire sont réalisés, je présume que les données doivent être accessibles, surtout en ce qui concerne les progiciels. Quoi qu’il en soit, même s’il n’est pas complet, ce tableau devrait nous apporter beaucoup de réponses.

Je passe à un autre sujet. Vous en avez déjà parlé, mais pourriez-vous repréciser ce qu’est un commun numérique aux yeux de la Dinum ? Quel est l’intérêt de ces communs en matière de souveraineté ?

Par ailleurs, l’exemple allemand est revenu dans de nombreuses auditions et vous avez dit vous-même avoir une relation d’intérêt avec l’Allemagne. Les Allemands ont développé des briques de bas niveau en open source, et j’ai cru comprendre dans votre propos liminaire que ce travail avait été accompli en collaboration. Pouvez-vous nous en dire plus ?

Avez-vous également des échanges avec leur ZenDiS, le Centre pour la souveraineté numérique de l’administration publique ?

Bref, globalement, que connaissez-vous du modèle allemand ? Y a-t-il des éléments qui vous semblent intéressants, transposables en France ? Pouvez-vous entrer dans le détail des relations que vous entretenez avec l’Allemagne ? De fait, une coopération franco-allemande poussée constitue généralement un pilier intéressant pour conduire des changements au niveau européen.

Mme Stéphanie Schaer. Merci pour ces questions. Dès mon arrivée, j’ai souhaité me rapprocher de certains États membres clés, et en particulier de l’Allemagne. Il se trouve que l’ensemble des directeurs interministériels du numérique, les Chief Information Officers (CIO), se réunissent tous les six mois, sous l’égide du pays présidant le Conseil de l’Union européenne et avec l’appui de la Digit, la direction générale des services numériques de la Commission européenne. C’est ainsi que, dès novembre 2022, j’ai fait la connaissance de Markus Richter, aujourd’hui secrétaire d’État mais à l’époque CIO du ministère allemand de l’intérieur, chargé du numérique. Nous avons constaté notre volonté commune de travailler sur des briques souveraines en open source, afin de répondre aux enjeux d’autonomie stratégique. Nos feuilles de route étaient assez similaires et il nous a paru très utile de rapprocher nos façons de faire et de se comparer.

Nous avons procédé par étapes, car travailler main dans la main avec un autre pays, une autre culture, même très proche et européenne, requiert encore plus d’efforts qu’une mutualisation interministérielle. L’année 2023 a permis d’approfondir les échanges bilatéraux. Markus Richter est venu en France et a été reçu par Stanislas Guerini. Nous avons structuré la manière dont nous pouvions travailler et défini une déclaration d’intérêt, signée début février 2024 et qui a été un véritable déclencheur : il fallait en effet un cadre pour que les équipes de la Dinum et du ZenDiS, récemment créé, travaillent ensemble. Le zenDiS venait d’être créé par Markus Richter pour travailler sur l’open source et les questions de souveraineté.

Ensuite, les hommes et les femmes devaient apprendre à se connaître. C’est la raison pour laquelle, avec l’appui du programme Pace de la Commission européenne, nous avons organisé des séjours d’échange entre nos équipes – jusqu’à une semaine. Cela a permis de briser la glace et de voir quelles étaient nos pratiques respectives, ce qui a été particulièrement stimulant pour la Dinum. Et c’est ce qui nous a conduits à lancer un premier projet commun : nous avions remarqué, au sein de nos équipes respectives, que des logiciels en shadow IT (informatique fantôme) commençaient à être utilisés de façon collaborative et nous voulions un outil ergonomique, facile d’usage et complémentaire de ceux existants ; c’est ce qui a donné la brique Docs, intégralement conçue en franco-allemand.

À l’été 2024, grâce à une veille commune, nous avons identifié les briques logicielles existant en open source. C’était la première fois que nous travaillions ainsi, de façon réellement partagée et non avec les équipes françaises d’un côté et les équipes allemandes de l’autre. Puis nous nous sommes réparti le travail, l’outil devant s’intégrer dans LaSuite côté français et dans OpenDesk côté allemand, avec les questions de sécurité et d’ergonomie que cela suppose. Je précise qu’il s’agit néanmoins du même outil de part et d’autre, raison pour laquelle nous avons articulé nos financements et nos travaux. Nous avons obtenu très rapidement une version bêta – l’échéance était vraiment très courte : l’automne 2024. Nous avons stimulé le tout en réunissant les équipes à Paris en septembre pour un projectathon et un hackathon.

La coopération a été élargie aux Pays-Bas. Avec Art de Blaauw, notre homologue CIO, Markus Richter et moi avons signé, en décembre 2024 à Berlin, un premier état annuel de nos progrès. Ce fut d’ailleurs une autre occasion de réunir les équipes au-delà des seuls directeurs, ce qui est très important, je pense, quand on travaille à l’échelle européenne.

Voilà comment les choses se sont construites, Markus Richter et moi avons d’emblée pensé que notre collaboration pouvait être le moteur d’un ensemble plus vaste. Il ne s’agissait pas de se cantonner à une coopération franco-allemande, même élargie aux Pays-Bas, mais de convaincre la Commission européenne. Cette dernière est un acteur essentiel dans le domaine des communs numériques, qu’elle finance de longue date au travers du Next Generation Internet Forum et dont elle stimule la communauté.

L’année 2025 a été consacrée à convaincre la Commission européenne de structurer l’Edic et de renforcer notre capacité à agir au niveau européen, en cohérence avec sa politique d’Open Internet Stack, qui vise à capter plus facilement les financements et à créer des consortiums public-privé de différents États pour répondre aux appels d’offres européens. C’est ainsi que, l’été dernier, Markus Richer et moi avons rencontré à la Commission Roberto Viola, directeur général de la DG Connect (direction générale des réseaux de communication, du contenu et des technologies), ainsi que le directeur de cabinet d’Henna Virkkunen, afin de présenter le projet de suites collaboratives.

L’Edic est né de cette preuve de concept. Nous avons montré que nous pouvions travailler entre États sur des communs numériques. Les choses vont désormais bien au-delà. Par exemple, nous travaillons avec l’Allemagne sur les messageries instantanées. J’ai évoqué Tchap : l’armée allemande utilise les mêmes bases pour sa messagerie BundesMessenger. De la même manière, nous discutons avec les Pays-Bas, où se déploie un équivalent de Tchap, et avec le Luxembourg au sujet de la messagerie Luxchat.

À titre personnel, cette coopération franco-allemande sur les communs numériques m’a permis de me rendre de nombreuses fois à Berlin et de rencontrer d’autres acteurs. Le ZenDiS, qui est basé à Bochum et où mes équipes sont allées plusieurs fois, est présent à chaque fois mais nous avons aussi eu de nombreux échanges avec le Sovereign Tech Fund, une structure qui finance des briques de base et qui se trouve également au cœur de l’Edic.

Quant aux communs numériques en eux-mêmes, il s’agit, pour la Dinum, de logiciels en open source autour desquels gravite une communauté. Il est possible d’y contribuer, de participer à la feuille de route et de faire en sorte de mutualiser les efforts d’investissement. Les communs numériques sont d’intérêt pour les États, mais aussi pour les acteurs privés, y compris les grandes entreprises, justement en raison de la mutualisation des investissements ; on le voit avec la création de l’association Tosit (The Open Source I Trust). Ce sont des biens communs, aussi n’y a-t-il pas d’enjeu de propriété intellectuelle. C’est d’ailleurs ce qui a permis au projet Docs d’aller si vite, avec une coopération aussi facile avec l’Allemagne. Par ailleurs, les communs numériques peuvent être opérés sous différentes formes et en pleine autonomie, en s’appuyant sur des acteurs privés et en s’adaptant à des exigences plus ou moins fortes en termes de sécurisation.

C’est pourquoi les communs numériques ont été mis en avant à l’occasion du sommet international organisé par la France et l’Allemagne à Berlin. Une table ronde leur était consacrée, car ils sont considérés comme un levier important. Il y en a d’autres, comme la commande publique ou la diversité de l’offre industrielle, mais la capacité à investir en commun sur des briques solides constitue l’une des conditions et l’une des solutions pour renforcer l’autonomie stratégique en Europe. Je le répète, ce fonctionnement permet de globaliser les investissements en vue d’aboutir à des outils alternatifs.

Ce que font les Allemands avec le Sovereign Tech Fund est à cet égard intéressant, car on voit que certaines briques logicielles de très bas niveau ne sont pas toujours suffisamment financées. L’Allemagne a identifié et sanctuarisé un budget pour cela et nous réfléchissons à l’idée que l’Edic naissant puisse également tenir ce rôle.

Nous nous intéressons aussi à d’autres modèles de financement, comme celui de NLnet, aux Pays-Bas, un acteur historique qui obtient des résultats. La structure intervient régulièrement lors des événements organisés par la Commission européenne pour montrer comment ils font vivre leur écosystème.

Côté français, la Caisse des dépôts a récemment fait part de sa volonté d’intervenir sur la question du financement des communs numériques. Elle a réuni l’ensemble de l’écosystème le 19 février.

En définitive, la France et l’Europe se trouvent dans une phase de maturation des modèles économiques et de financement de ces nouveaux modes d’action. Participer à la construction des communs numériques peut se faire de différentes façons. Il peut s’agir de contributions directes, comme la Dinum le fait avec la fondation Matrix : nous soutenons des communs qui nous sont nécessaires, concernant un antivirus par exemple. Nous soutenons aussi des fondations qui hébergent des communs – nous sommes justement partenaire de Matrix. Enfin, nous finançons ce que peu d’acteurs financent, comme les briques très basses que j’évoquais. En fin de compte, je vois plutôt une complémentarité entre les différents acteurs.

Les structures étatiques peuvent être très différentes, mais nous nous rejoignons sur la nécessité de davantage mutualiser nos investissements. C’est l’ensemble qui fait la force et c’est ainsi que nous pourrons tracer une nouvelle voie au niveau européen pour la reprise de notre autonomie, grâce à des communs très structurés, financés et pérennes. Notre rôle, et celui de l’Edic, est aussi d’apporter de la confiance aux acteurs qui s’appuieront sur ces communs.

Mme Cyrielle Chatelain, rapporteure. Je vous remercie pour ces éléments.

Le Sovereign Tech Fund a-t-il un équivalent en France ? Serait-il intéressant, selon vous, de développer un tel outil, ou d’autres ?

Mme Stéphanie Schaer. Le Sovereign Tech Fund a été créé par l’Allemagne pour financer des briques de bas niveau dans les communs numériques, ce qui a, par définition, bénéficié à l’ensemble de la communauté. Très tôt, nous avons eu des échanges, car l’Allemagne n’était pas du tout fermée aux besoins d’autres États. C’est pourquoi le Sovereign Tech Fund est amené à travailler en lien étroit avec l’Edic sur certains de nos questionnements et de nos projets.

D’autres initiatives, comme NLnet aux Pays-Bas, sont bien identifiées. Et nous suivons avec énormément d’intérêt l’initiative toute récente de la Caisse des dépôts : la nouvelle feuille de route numérique annoncée par son directeur général, Olivier Sichel, présente les communs numériques comme une infrastructure d’intérêt général dans laquelle il convient d’investir. Il ne s’agit encore que de travaux préliminaires – une première réunion a eu lieu le 19 février : les choses se sont donc beaucoup moins matérialisées qu’en Allemagne, où le Sovereign Tech Fund existe depuis au moins trois ans.

En tout état de cause, il paraît essentiel de trouver les voies et moyens pour financer les communs numériques, y compris grâce à des financements directs de la part de la Commission européenne. Cette dernière a annoncé une enveloppe à cet effet et nous attendons dans les prochaines semaines la publication de sa stratégie en matière d’open source – une très grande consultation avait été lancée, à laquelle la Dinum a participé.

C’est une question majeure, car si nous voulons nous appuyer sur les communs numériques dans la durée, il faut articuler le financement de l’ensemble des briques, depuis celles de très bas niveau jusqu’aux briques applicatives de plus haut niveau. L’open source concerne tous les sujets évoqués précédemment : les suites bureautiques, le cloud – avec les différentes couches techniques –, les bases de données. La plupart des acteurs privés d’ailleurs se reposent également, pour leur modèle économique et leur SI, sur de très nombreuses briques open source, qu’il s’agit donc de correctement maintenir et financer.

Mme Cyrielle Chatelain, rapporteure. Si j’ai bien compris, le ZenDiS est la structure qui chapeaute la politique numérique allemande au niveau fédéral, et est aussi appelé à travailler avec les Länder. Notre organisation étatique est différente, mais devrions-nous réfléchir à un modèle similaire, ou n’est-ce décidément pas adapté ? Il semble que le ZenDiS ait lancé des marchés avec des acteurs numériques et participe à la structuration de la filière en Allemagne.

Mme Stéphanie Schaer. L’organisation allemande est évidemment très liée à la structure administrative du pays, avec l’État fédéral et les Länder. En réalité, c’est l’ITZBund, qui est l’équivalent de la Dinum. C’est lui qui s’occupe de tout le numérique des ministères – bureautique, SI de gestion, cloud, SI métiers. L’ITZBund regroupe plusieurs milliers d’agents et a un budget de plusieurs centaines de millions d’euros. C’est aussi la raison pour laquelle nous souhaitons nous rapprocher de cet acteur central au niveau fédéral, rattaché au ministère de la digitalisation et de la modernisation, le nouveau BMDS.

Le ZenDiS, avec lequel nous avons effectivement travaillé, est une structure beaucoup plus petite, naissante mais qui a connu plusieurs directeurs. Ses équipes travaillent sur l’open source comme solution souveraine pour la bureautique, au travers du projet OpenDesk. C’est un sujet assez circonscrit et destiné aux Länder.

Ensuite, si je ne me trompe pas, ZenDiS a un statut d’entreprise privée – sous réserve de vérification. En tout cas, elle a un modèle économique, qui consiste à vendre des solutions en tant qu’intermédiaire de l’offre OpenDesk. C’est très éloigné du schéma de la Dinum, qui ne vend rien aux collectivités : elle mutualise certains actifs et opère pour les ministères, mais la commercialisation n’est pas du tout permise par nos textes. La Dinum reçoit des financements pour les services gouvernementaux qu’elle apporte via une solution sécurisée de transport, le RIE – par exemple Tchap – et les ministères peuvent contribuer financièrement s’ils souhaitent qu’elle accélère la feuille de route, mais notre modèle économique ne repose pas sur la refacturation. D’ailleurs, si un acteur d’un autre État avait besoin d’une solution packagée, ZenDiS serait sans doute plus à même de répondre à sa demande. Nous offrons plutôt des briques hétérogènes, qui s’intègrent en fonction des besoins des ministères, ainsi que des briques socles comme ProConnect et FranceConnect.

Nous sommes par ailleurs allés beaucoup moins loin que l’Allemagne dans la structuration de notre offre pour les collectivités. Si nous voulions faire la même chose que ZenDiS, il faudrait une agence qui réponde aux besoins bureautiques des collectivités territoriales à tous les niveaux. Or, en France, on considère que le secteur privé peut s’en charger. Les collectivités s’organisent elles-mêmes, parfois avec l’aide d’opérateurs de services numériques qui interviennent sur le bassin régional ou départemental.

En dépit de ces différences administratives, la Dinum et ZenDiS se retrouvent pour investir dans les mêmes communs numériques. Travailler ensemble nous a permis de rapprocher nos choix. Ainsi, OpenDesk inclut la messagerie e-mail OpenExchange ; nous avons repris cette brique sans investissement supplémentaire en tant que messagerie opérée par la Dinum pour l’État et nous pouvons désormais la déployer auprès de toute administration qui l’estimerait nécessaire.

Nos travaux avec ZenDiS et ITZBund sont inspirants sur la technique plus que sur l’organisation, laquelle demeure avant tout liée aux choix politiques et à l’organisation administrative de chaque pays.

Mme Cyrielle Chatelain, rapporteure. Les DSI que nous avons auditionnés considèrent que nos dépendances principales sont celles envers Oracle, VMware et les outils de cybersécurité. Ils ont utilisé des termes comme « pratiques carnassières sur les prix ». Avez-vous une visibilité ou des échanges sur les augmentations tarifaires ? Le cas échéant, travaillez-vous avec l’administration pour diversifier l’offre ou essayer de changer d’outils ? Avez-vous déjà identifié des outils souverains ou open source susceptibles de les remplacer ?

Je reviens au tableau des grands projets numériques : le fait qu’il ne soit pas consolidé signifie-t-il qu’une fois que vous avez donné votre avis en amont du projet, vous n’êtes plus consultés, y compris lors du choix des opérateurs ? C’est un élément déterminant en termes de souveraineté.

Mme Stéphanie Schaer. Les trois dépendances que vous citez sont clairement identifiées. Lors du séminaire du 8 avril, nous avons organisé une table ronde qui a été très inspirante autour des DSI qui ont conduit ou sont en train d’organiser une sortie de ces outils. Les Urssaf, par exemple, sont passées d’Oracle à une solution à base open source, PostgreSQL. L’Agence pour l’informatique financière de l’État et certains ministères ont également entamé leur sortie d’Oracle. C’est un chantier lourd, mais il montre que le chemin existe. Nous en voyons le résultat dans les chiffres agrégés, qui sont très utiles pour quantifier la trajectoire. L’après-midi, nous avons organisé des groupes de travail sur les bases de données – autre sujet très important.

Ces dépendances étant connues depuis de longues années, nous pouvons être amenés, au titre de l’article 3, à alerter les ministères sur les autres solutions techniques avant que le marché public ne soit passé. C’est typiquement le cas pour Oracle. Forts des transitions qui ont déjà été réalisées, nous souhaitons désormais accompagner plus largement tous ceux qui sont encore concernés par ces dépendances.

S’agissant des pratiques de prix, l’exemple le plus connu est VMware, avec qui les négociations peuvent être très difficiles. Toutefois, plus la masse d’un ministère est importante, plus sa capacité à négocier l’est aussi. Le rachat de VMware par Broadcom a représenté un changement de paradigme pour le prix des licences. La Dinum, dans son rôle d’animation, a alors lancé un travail technique pour identifier les solutions alternatives – car il en existe ; la Cnam par exemple a partagé sa trajectoire. Quand je parlais de virtualisation sur hébergement de nuage, c’est à ce type de logiciel que je faisais référence. Mais tout cela est un travail de longue haleine, qui nous a amenés à opter pour des choix pragmatiques : parfois, une bonne négociation permet de se donner le temps d’envisager la sortie. C’est la direction que prend actuellement ce chantier. Nous serons attentifs à la réduction des dépendances de chaque ministère dans le cadre de notre cartographie.

La dépendance aux outils de cybersécurité est moins marquée, selon les chiffres de la DAE. Nous avons la chance d’avoir des entreprises françaises de plus en plus actives qui parviennent à tirer leur épingle du jeu : il y a un CSF, un pôle d’excellence cyber à Rennes… La Dinum utilise plusieurs de leurs outils, y compris pour son SIEM (système de gestion des informations et des événements de sécurité). Nous avons néanmoins une dépendance plus importante à certaines briques. C’est la raison pour laquelle, le 8 avril, nous avons lancé un groupe de travail sur nos dépendances en matière de cybersécurité, piloté par l’Anssi, qui est le meilleur connaisseur du sujet en tant qu’animateur de cet écosystème industriel.

Par ailleurs, le droit de regard que nous avons sur les grands projets nous amène à discuter technique avec les équipes pour identifier certaines dépendances au niveau des choix d’architecture. Notre avis peut être favorable, mais avec des recommandations ou des réserves qui amènent les structures à revoir leur choix avant la passation du marché et l’engagement des crédits. C’est ce qui a été fait pour la Plateforme des données de santé, et la solution intercalaire initialement envisagée a été abandonnée pour passer directement à une offre de confiance.

Enfin, dans le cadre de l’article 3, la Dinum n’intervient qu’au démarrage du projet. En revanche, nos équipes d’expertise technique peuvent intervenir à la demande en cours de projet. C’est le cas pour l’expertise cloud : pour reprendre le même exemple, lorsque la task force chargée de la PDS a entamé ses travaux, nous avons mis notre expertise à sa disposition. C’est très demandé par les ministères Mais nous faisons en sorte de dissocier nos fonctions d’audit des fonctions de conseil car ce n’est pas la même posture.

Mme Cyrielle Chatelain, rapporteure. Le président ayant dû s’absenter pour un vote, il m’a laissé deux questions.

Vous avez mentionné que la Dinum ne vendait pas d’offre. Toutefois, il semble qu’elle ait sollicité des ministères une participation de 4 millions d’euros pour la maintenance et le développement de sa suite numérique, LaSuite. Confirmez-vous ce chiffre ? Pourquoi ne pas l’avoir intégré dans un budget global ?

Et que répondez-vous aux acteurs privés qui considèrent que la Dinum entre en concurrence avec leurs solutions avec le développement de LaSuite ?

Mme Stéphanie Schaer. LaSuite répond au besoin de maîtriser certaines fonctions essentielles à la continuité de l’État grâce à des outils présents dans tous les ministères, avec un service sans couture adapté aux environnements de gestion de crise que nous avons connus ces dernières années. L’investissement de l’État dans ces outils est complètement assumé. Une clarification a été apportée dans le communiqué de presse que j’évoquais tout à l’heure, concomitamment à la circulaire sur la commande numérique.

Trois outils ont été identifiés, dans la même logique que celle qui gouverne le RIE pour les couches basses. Leur déploiement exclusif est toujours en cours auprès de l’ensemble des agents publics. Le premier est la messagerie instantanée Tchap, qui a donné lieu à une circulaire du Premier ministre en juin dernier. Le deuxième est l’outil de vidéoconférence Visio, qui a été conforté par une circulaire du Premier ministre en janvier dernier. Le troisième, FranceTransfert, est essentiellement un outil de transfert de gros fichiers destiné à lutter contre le shadow IT. L’évolution des dépenses montre que Visio remplace très largement des outils extra-européens. Tchap remplace des outils commerciaux grand public – c’est un outil professionnel intégré à l’environnement de travail. Ces trois outils sont le cœur de suite.

Nous avons eu de nombreux échanges avec la filière pour lever les incompréhensions et les malentendus. Le cœur de suite s’articule avec deux applicatifs, sachant qu’on parle ici d’un ensemble bureautique qui est plutôt on-premise, non collaboratif, et que tous les ministères n’ont pas encore choisi leurs outils de demain. Nous avions jusqu’ici un outil commercial privé acheté par la Dinum, Resana, qui était utilisé assez largement au niveau interministériel. Mais puisque nous avons changé de paradigme et que les achats sont désormais faits au niveau des ministères, un marché différencié va émerger et plusieurs acteurs pourront répondre aux demandes. Nous l’avons répété à l’occasion de la journée de matchmaking du 27 mars.

Au-delà du cœur de suite, la Dinum, en tant que DSI de l’État, a identifié avec l’Anssi le besoin de maîtriser le fonctionnement de la messagerie, pour des questions de résilience, afin de pouvoir l’opérer aussi dans des périmètres plus sécurisés, où il faut savoir instancier dans un périmètre précis. C’est la raison pour laquelle nous avons une brique de partage de fichiers et une brique d’e-mail – la même que celle des Allemands – en open source. Nous avons aussi cherché à innover, pour répondre au besoin qui s’exprime d’éviter le shadow IT, avec une brique de tableur, Grist, et une brique d’édition collaborative, Docs.

Il a été clarifié auprès de la filière qu’il n’y avait pas d’exclusivité : chaque ministère peut acheter une solution de marché, nous n’allons pas imposer nos éléments. Docs et Grist, qui sont encore en phase expérimentale, ne remplacent de toute façon pas les outils bureautiques habituels, ils apportent un complément pour répondre aux usages spécifiques des administrations. Nous voulons simplement tirer l’offre vers le haut, en donnant sa place à chacun : c’est tout l’intérêt des connecteurs et de l’interopérabilité dont je parlais tout à l’heure. Les outils de la filière devront communiquer entre eux, ainsi qu’avec Visio et Tchap. C’est le cœur des travaux actuels.

Il y a eu des incompréhensions sur la façon dont la Dinum avait construit son offre, qui permet à l’État d’avoir davantage de maîtrise sur les outils comme Tchap et Visio qui assurent la continuité de l’action publique grâce à une offre qui soit à la hauteur des enjeux de l’environnement géopolitique actuel. Pour cela, nous opérons des briques qui doivent ensuite s’articuler avec l’ensemble de l’écosystème. On a dit que la Dinum devenait un éditeur de logiciels. Ce n’est pas notre positionnement : la Dinum opère des briques en open source. En revanche, nous nous autorisons à contribuer à ces briques car il n’y a rien de mieux que cela pour maintenir l’expertise des équipes, renforcer l’attractivité du recrutement et garantir la maîtrise des outils et du code.

Dans le cadre de ces contributions, nous travaillons également avec l’écosystème interministériel. Les besoins de chaque ministère n’étant pas forcément les mêmes, nous cherchons à les aligner avec le socle de financement de la Dinum pour ses outils cœur de suite, data.gouv, FranceConnect, ProConnect et le RIE. Notre budget, qui est d’un peu plus de 50 millions, se répartit entre ces différentes briques. Il arrive néanmoins que des périmètres ministériels nous demandent d’accélérer sur une technologie, pour répondre à un besoin urgent, et nous financent pour cela. Dans ce cas, autant le faire dans le cadre du commun. Le ministère finance alors l’équipe avec un bénéfice pour tous, y compris d’ailleurs pour le secteur privé puisque tous les communs numériques auxquels contribue la Dinum sont sous licence permissive. Cela permet aux acteurs privés de réinstancier et même de baser leur modèle économique sur ces communs. Cela se pratique aussi au Pays-Bas, où plusieurs acteurs de taille variable, dont certains intégrateurs, ont annoncé récemment mobiliser des communs. Nous avons créé le club LaSuite pour être à l’écoute des besoins et voir ce qui peut être financé dans le cadre du socle et ce qui peut l’être de façon volontaire par les ministères. Nous avons par exemple signé un accord de partenariat avec les armées, qui opèrent elles-mêmes des communs de la suite numérique dans un environnement plus restreint et plus sécurisé et souhaitent que nous avancions plus vite sur certaines fonctionnalités. La Cnam a elle aussi signé un accord de partenariat avec la Dinum.

Les communs numériques complètent donc une offre privée qui, à son tour, les réutilise. C’est la raison pour laquelle il est impératif d’intensifier les échanges entre le secteur privé et le secteur public sur ces questions. D’une part, les communs numériques peuvent être opérés directement par le secteur public, mais aussi par un acteur privé pour le compte du public, pour le compte du privé ou pour les collectivités territoriales. D’autre part, il faut régler les questions d’interconnexion, de réversibilité et de passage de l’un à l’autre. C’est notre grand défi pour 2026.

Mme Cyrielle Chatelain, rapporteure. Vous dites que les acteurs privés utilisent les briques des communs numériques. Savez-vous s’ils se placent dans une logique open source en mettant ce qu’ils développent dans le commun ou si, à l’inverse, ils prennent le commun pour développer leurs propres solutions sans les rendre transparentes ?

Mme Stéphanie Schaer. Il y a différents modèles. Un acteur privé a toujours la tentation de partir sur une branche du commun, mais cela a ses limites. Il y a également eu des tentatives au sein de l’État. Depuis la stratégie de 2023, nous sommes très au clair : quand nous mobilisons un commun pour les besoins de l’État, si nous investissons, c’est dans le commun. Cela nous permet de bénéficier des investissements qui sont faits par les autres acteurs de la communauté. C’est pour cela que nous allons aussi vite sur Docs, et que nous bénéficions des dernières évolutions pour Tchap. C’est encore un cran supplémentaire que d’arriver à se coordonner entre États, entre acteurs, pour voir qui finance quoi et accélérer la feuille de route en instaurant une gouvernance des communs.

Le club LaSuite permet surtout des contributions au sein de l’État. Pour le reste, il arrive que des acteurs privés financent des communs numériques et il y a des associations, comme le Tosit, qui peuvent être des lieux d’échange public-privé. Nous comptons nous appuyer sur le CSF, créé il y a un an, et sur l’initiative Open-Interop pour mieux articuler nos efforts. Notre espoir est que plus il y aura d’utilisateurs de ces briques communes – au niveau français, en public-privé, et au niveau européen –, plus nous pourrons les renforcer et construire une alternative crédible, à l’échelle européenne, aux acteurs hégémoniques. Nous pensons que ce chemin est possible. Ce travail est à la fois indispensable mais aussi atteignable, au vu des progrès déjà réalisés sur la messagerie instantanée.

Mme Cyrielle Chatelain, rapporteure. Vous dites avoir engagé une discussion avec les administrations pour contribuer financièrement au développement des briques stratégiques. Le chiffre communiqué au président est de 4 millions. Est-il exact ? Vaut-il pour chaque administration ?

Mme Stéphanie Schaer. C’est l’ordre de grandeur : les discussions se poursuivent avec l’ensemble des ministères et les décisions finales seront prises dans les semaines à venir. Nous serons entre 3 et 4 millions. Ce financement se fait dans le cadre de transferts en gestion entre administrations. La contribution est versée sur une base volontaire, en lien direct avec les objectifs que se fixent les administrations. Nous cherchons donc à dégager des priorités de leurs différentes demandes pour faire avancer la feuille de route.

Cela ne vaut pas uniquement pour LaSuite. La Dinum a travaillé de la même manière par le passé sur le réseau interministériel de l’État. L’année dernière, il y a eu besoin d’augmenter le débit en outre-mer : plusieurs administrations étaient concernées, et cela n’avait pas été anticipé dans le cadre de la procédure budgétaire. C’est un accord de ce type qui a permis de répondre au besoin, avant le budget suivant.

Nous l’avons fait aussi en matière d’intelligence artificielle. La Dinum offre un socle interministériel d’IA générative (SIAAG) souverain, pour lequel elle contractualise elle-même avec des acteurs comme Outscale et Mistral AI, car une capacité de calcul qui préserve la sécurité des données est essentielle pour le déploiement de l’IA au sein de l’État. Les dépenses en matière d’IA se sont beaucoup accentuées alors que le budget IA de la Dinum s’est maintenu à son niveau de 2023. Sachant que l’IA implique beaucoup de dépenses d’inférence, nous n’avons pas eu trop de difficulté à convaincre les ministères de financer un socle commun, dont tout le monde pourra bénéficier ensuite.

En outre, notre capacité de mutualisation des investissements pour le passage à l’échelle est importante car tous les ministères ne mobilisent pas l’IA en même temps, que ce soit pour leurs applications métier ou pour leurs agents. Or, si nous voulons réduire la facture pour l’État tout en mobilisant pleinement ces nouvelles technologies qui peuvent apporter énormément en termes d’efficacité, nous avons tout intérêt à globaliser nos achats ou nos locations de cartes graphiques – nous sommes sur un modèle mixte, avec des capacités internes et externes – et à globaliser aussi nos investissements RH d’expertise. Nous avons donc créé pas un pas un socle qui peut répondre aux besoins des ministères, avec un comité des partenaires de l’IA qui suit la même logique partenariale que le club LaSuite. C’est un modèle que nous cherchons à répliquer dans tous les champs d’intervention de la Dinum quand nous voulons accélérer la feuille de route.

Mme Cyrielle Chatelain, rapporteure. Merci d’avoir pris le temps de répondre à toutes nos questions. N’hésitez pas à réagir par écrit si vous le souhaitez à ce qui sera dit dans nos prochaines auditions. Nous vous serons aussi reconnaissants de votre retour sur les grands projets ainsi que sur les dépenses de licences, notamment auprès des grands acteurs américains – soit avec les chiffres consolidés, soit s’ils ne sont pas encore disponibles avec un état à l’instant T.

* *

Audition, ouverte à la presse, de Mme Marie-Laure Denis, présidente de la Commission nationale de l’informatique et des libertés (Cnil), M. Thomas Dautieu, directeur de l’accompagnement juridique, et M. Florent Della Valle, chef du service de l’expertise technologique (mercredi 15 avril 2026)

Mme Sophie-Laurence Roy, présidente. Je souhaite la bienvenue à Mme Marie-Laure Denis, présidente de la Commission nationale de l’informatique et des libertés (Cnil), accompagnée de M. Thomas Dautieu, directeur de l’accompagnement juridique, de M. Florent Della Valle, chef du service de l’expertise technologique, ainsi que de Mme Chirine Berrechi, conseillère pour les questions parlementaires et institutionnelles. Je précise que je remplace Philippe Latombe, qui a préféré ne pas exercer ses fonctions de président pendant cette audition, car il est lui-même membre de la Cnil.

Je vous remercie de nous déclarer au préalable tout autre intérêt public ou privé de nature à influencer vos déclarations.

(Mme Marie-Laure Denis, M. Thomas Dautieu, M. Florent Della Valle et Mme Chirine Berrechi prêtent successivement serment.)

Mme Marie-Laure Denis, présidente de la Commission nationale de l’informatique et des libertés (Cnil). Je vous remercie de votre intérêt pour les travaux de la Commission nationale de l’informatique et des libertés, qui pourront, je l’espère, éclairer cette commission d’enquête.

Permettez-moi tout d’abord de souligner que les questions liées aux dépendances structurelles et aux vulnérabilités systémiques dans le secteur du numérique reviennent de plus en plus dans les sollicitations adressées à la Cnil. Elles émanent des médias, des entreprises, des administrations et renvoient souvent à la sécurité des données ou à l’encadrement contractuel des relations avec un prestataire. Cette tendance s’explique notamment par certaines déclarations et positions de l’administration américaine qui remettent en question les équilibres dans les relations avec l’Union européenne, en particulier dans la régulation du secteur numérique. Ce n’est pas une nouveauté : ces inquiétudes s’expriment régulièrement sans pour autant entraîner un changement significatif des pratiques des administrations et des acteurs économiques.

Une première prise de conscience a eu lieu avec les révélations d’Edward Snowden en 2013 et l’affaire Cambridge Analytica en 2018. A été alors mis en lumière le fait que les géants du numérique disposaient de pans entiers de notre vie privée, mais également que nos données étaient massivement exploitées à notre insu, au détriment de nos intérêts et de nos droits.

Un autre moment important a été l’arrêt de la Cour de justice de l’Union européenne (CJUE) du 16 juillet 2020, dit Schrems II, qui a invalidé la décision d’adéquation de la Commission européenne à l’égard des États-Unis. En considérant que la législation américaine portait une atteinte disproportionnée à la vie privée des Européens, la Cour a remis en question l’ensemble des transferts de données vers ce pays et de facto vers les fournisseurs de services numériques soumis au droit états-unien. Les conséquences opérationnelles de cette décision ont mis en lumière l’extrême dépendance de nos administrations et des entreprises à l’égard de ces acteurs à tous les niveaux – hébergement, services d’informatique en nuage, outils de cybersécurité, outils bureautiques ou d’analyse de données. Au-delà de ce constat, il est vite apparu que soit il n’existait pas – ou pas assez – d’alternatives françaises ou européennes aux services en question, soit qu’elles étaient moins performantes et parfois plus onéreuses.

Je relève qu’il y a encore quelques années, le simple fait d’évoquer les enjeux de dépendance ou de souveraineté numérique était parfois associé à du protectionnisme. Le contexte actuel rappelle pourtant combien il est essentiel d’anticiper les risques liés à ces dépendances, la maîtrise des données étant devenue une nouvelle arme géopolitique.

Cette préoccupation n’est d’ailleurs pas propre à l’Europe. Les États-Unis, bien qu’ils concentrent une part majeure des infrastructures et des logiciels, cherchent eux aussi à limiter certaines dépendances stratégiques. L’actualité récente l’illustre : les nouveaux routeurs fabriqués à l’étranger seront désormais placés sur liste noire et interdits à la vente sur le sol américain, sauf rares dérogations.

Après ce bref rappel chronologique, je dirai en quoi la protection des données personnelles appelle une prise en compte des enjeux en matière de dépendances numériques.

Le règlement général sur la protection des données, le RGPD, constitue un outil de souveraineté normative par lui-même. Son champ d’application ne se limite pas aux sociétés européennes, mais couvre tous les acteurs dès lors qu’ils proposent des biens ou des services à des personnes dans l’Union européenne. En exigeant un haut niveau de protection des données, notamment en matière de sécurité ou d’encadrement des transferts, le RGPD constitue un levier favorable à l’affirmation d’une souveraineté européenne.

À cet égard, dans un contexte où les notifications de violation sont de plus en plus fréquentes, je suis convaincue que la sécurité des données, et j’entends par là aussi le contrôle que nous avons sur elles, ne passe pas uniquement par une bonne gestion des aspects cyber mais également par la prise en compte des enjeux de souveraineté numérique. En effet, on pourra toujours élever le niveau de maturité de tous les acteurs, sensibiliser les particuliers, accompagner les professionnels, tenter d’éviter les accès illégaux aux données, cela ne résoudra pas les difficultés liées aux cas où un accès est prévu par les législations extra-européennes auxquelles les fournisseurs de services peuvent être soumis. Cet angle mort est un risque objectif pour les données personnelles des citoyens.

C’est pourquoi il m’apparaît que ces sujets ne doivent pas être abordés seulement sous l’angle purement technique de l’efficacité à circonscrire une menace mais aussi, de plus en plus dans le contexte géopolitique actuel, sous l’angle de la dépendance. C’est particulièrement vrai pour nos données les plus sensibles, comme les données relatives à la santé ou biométriques. La Cnil préconise que celles-ci soient hébergées par des systèmes qui ne soient pas soumis à des lois extra-européennes et a œuvré, avec d’autres, pour l’émergence d’une certification européenne renforçant notre contrôle sur les données et leur sécurité. Elle soutient aux côtés du gouvernement et de l’Anssi (Agence nationale de la sécurité des systèmes d’information) l’initiative visant à développer une offre de cloud de confiance autour du label SecNumCloud.

Dans le cadre de la mise en œuvre du règlement sur la cybersécurité, l’Agence européenne de cybersécurité, l’Enisa (European Union Agency for Cybersecurity), s’est vu confier l’élaboration de schémas européens de certification de cybersécurité. Parmi ses travaux figure le projet de schéma de certification des services cloud, dit EUCS (European Union Cybersecurity Certification Scheme on Cloud Services). Nous ne pouvons que déplorer que, s’agissant des données les plus sensibles, il ne prévoie pas la possibilité d’intégrer, de façon optionnelle, des exigences de protection contre les lois extra-européennes.

À ce sujet, il me semble important de rappeler que la problématique du cloud ne se résume pas à la seule question de l’emplacement physique des données. L’accès à des données hébergées dans le cloud dépend également du prestataire qui fournit l’interface ou le service permettant d’y accéder. Dès lors, si ce prestataire interrompt ses services ou les dégrade, la question du lieu du stockage effectif des données perd de son importance. C’est notamment pour cette raison que, concernant la plateforme des données de santé, le collège de la Cnil a eu une position constante : elle a toujours considéré que cette base de données sensibles avait vocation à être hébergée par un opérateur européen. Or, à ce jour, l’hébergement s’effectue toujours sur le cloud de Microsoft, Microsoft Azure. Toutefois, nous accueillons très favorablement l’annonce faite au début de l’année de la mise en place dans les prochains mois d’un hébergement de l’ensemble des données sur une plateforme souveraine répondant aux plus hautes exigences en matière de sécurité.

J’ajoute que le cas de la plateforme des données de santé illustre, au-delà des aspects réglementaires, la nécessité de prôner l’exemplarité de la puissance publique. C’est d’ailleurs tout le sens de la logique de la doctrine dite du cloud au centre, appelée à devenir la solution de référence. La loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique, la loi Sren, relaie cette exigence au niveau légal, son article 31 imposant l’hébergement souverain pour les projets les plus sensibles des administrations de l’État.

Cette exemplarité ne devrait pas s’arrêter aux questions liées à l’hébergement des données. Il importe aussi de prendre en compte les outils de travail les plus courants. Je pense notamment aux messageries, aux solutions de traitement de texte, aux suites collaboratives, parce que ce sont ces outils qui façonnent les usages, qui créent les habitudes et qui installent parfois très durablement des dépendances. La Cnil a, par exemple, été interrogée à plusieurs reprises sur le recours à des outils collaboratifs et d’intelligence artificielle offerts à l’éducation nationale par des acteurs américains. Le RGPD en soi ne peut pas l’interdire, mais un tel choix pose question : il accroît de fait notre dépendance et il est susceptible d’exposer les données des élèves et des professeurs à des risques difficiles à maîtriser.

Pour conclure, j’aimerais partager avec votre commission plusieurs constats issus de nos échanges avec des acteurs privés et publics européens. Dans le cadre de nos activités, nous avons eu l’occasion d’interroger plusieurs d’entre eux pour savoir si la dépendance à des solutions étrangères était une inquiétude exprimée par leurs clients. Nous avons pu constater que c’était bien le cas, mais il faut relever que c’est par crainte de voir ces services disparaître du jour au lendemain. Le fait que le sort des données, personnelles ou non, soit laissé aux mains d’acteurs extra-européens apparaît secondaire dans leurs préoccupations, ce qui est regrettable.

Tout en nous réjouissant d’une prise de conscience des questions d’autonomie numérique, nous nous devons de continuer à appeler à la vigilance et à prôner une approche globale des enjeux intégrant non seulement la protection des données, mais aussi l’intelligence économique et la compétitivité. À ce stade, une préoccupation demeure : le regain d’attractivité pour les solutions souveraines persistera-t-il de façon décorrélée de l’évolution du contexte géopolitique ? À cela s’ajoute le fait qu’une fois qu’une grande organisation a structuré ses données, ses usages, ses contrats, ses équipes et ses processus autour d’un prestataire, revenir en arrière devient souvent complexe tant techniquement que juridiquement. Cela soulève la question de l’irréversibilité numérique. Une fois habitué à une solution ou un écosystème numérique particulier, il est compliqué et coûteux de faire marche arrière.

La souveraineté ne doit donc pas se penser dans l’urgence, en temps de crise : elle suppose une stratégie prévisible, inscrite dans le temps long et conçue avec volontarisme au plus haut niveau de la gouvernance des administrations et des entreprises.

Mme Sophie-Laurence Roy, présidente. Madame la présidente, je vous remercie pour la clarté de votre exposé, qui est à la fois rassurant et inquiétant : rassurant parce que vous décrivez très bien la conscience qu’a la Cnil du problème de la souveraineté ; inquiétant parce que vous vous demandez vous-même si la force de l’habitude ancrée dans l’usage de produits américains que font tous les Français, des mails à l’intelligence artificielle, ne va pas générer une sorte de soumission permanente.

Au sujet de la protection de nos données hébergées dans les clouds, il est absolument évident qu’une politique de souveraineté numérique ne se crée pas en quelques mois : elle réclame un travail de long terme et une immense détermination. Intuitivement, on a tendance à penser que l’informatique est impalpable, ce qui n’est absolument pas vrai. Tout cloud suppose des data centers, des logiciels pour gérer les données qu’ils hébergent et même des techniques pour abaisser leur température, car leurs serveurs chauffent.

Il faut absolument que la France puisse former du personnel à la gestion matérielle de tels centres. Or je viens d’apprendre qu’une école de la chambre de commerce et d’industrie d’Île-de-France qui formait plus de 2 000 chauffagistes par an serait contrainte de fermer en juillet prochain, compte tenu du coût de la formation et de l’insuffisance de l’aide apportée par France Compétences.

Ma deuxième question porte sur les labels et les normes. La qualification SecNumCloud, supposée certifier des solutions assurant une réelle souveraineté française, a été accordée à S3NS pour son produit Premi3ns ; or celui-ci fonctionne avec la technologie Google Cloud et le capital de cette société est détenu à hauteur de 5 % par Google. Vous l’avez souligné, les législations étrangères peuvent s’appliquer à nos données et je me demande si, compte tenu des particularités de la législation américaine, cette petite part qu’a Google dans la société S3NS ne permettrait pas au gouvernement américain d’exiger d’avoir connaissance de la totalité des données hébergées dans le cadre de l’offre Premi3ns. Cela ne me paraît pas rassurant : comment asseoir notre souveraineté si un label censé la garantir est accordé à une société appartenant pour une part à une société américaine et recourant à des plateformes et à des logiciels américains ?

Mme Marie-Laure Denis. Selon une récente étude du Cigref, 80 % des dépenses faites en France en matière de logiciels et services cloud vont à des acteurs américains, dépendance qui a bien sûr des effets indirects sur la croissance et l’emploi dans notre pays. À cet égard, on peut se réjouir que des sociétés françaises reçoivent la qualification SecNumCloud, même si tout n’est pas parfait puisque leur offre repose sur des sortes de joint-ventures avec des sociétés fournissant des services numériques américains. Cette qualification proposée par l’Anssi présente quand même des avantages : elle a été conçue pour se prémunir contre les accès de gouvernements étrangers à des données hébergées en France ou en Europe pour lesquelles les clés de chiffrement, et je parle sous le contrôle des experts techniques à mes côtés, sont dans des mains françaises. Fin décembre 2025, l’entreprise S3NS a rejoint six autres fournisseurs français ayant obtenu cette qualification. Cette offre, qui repose sur l’infrastructure de Thales, est la première à être issue d’un partenariat entre un hyperscaler américain, Google Cloud, et une entreprise française. Le directeur de l’Anssi a, je crois, pris soin de préciser que cela ne signifiait pas qu’il n’y avait pas de dépendance. Par ailleurs, Bleu, offre issue du partenariat entre Orange, Capgemini et Microsoft, est toujours en cours de qualification. Reste que cela représente une amélioration puisque cela permet de prendre en compte les risques d’accès étrangers aux données des Français et des Européens.

S’ajoute à cela un élément technique, sur lequel nous pourrons vous apporter des précisions : les coupures ou dégradations de services imputables aux acteurs américains ne peuvent pas, semble-t-il, intervenir du jour au lendemain. Ce décalage dans le temps implique que, durant cette phase transitoire, l’irréversibilité peut en quelque sorte être maîtrisée.

M. Florent Della Valle, chef du service de l’expertise technologique. La Cnil n’a pas été amenée à étudier en détail ce projet. L’Anssi pourrait vous répondre plus précisément, madame la présidente, sur la question de savoir si le risque de dépendance est susceptible de subsister. Ledit risque ne saurait être pleinement couvert par quelque qualification que ce soit, d’autant qu’il ruisselle sur tous les composants d’un cloud, en particulier ses volets logiciels et matériels. SecNumCloud, s’il ne prémunit pas nécessairement contre l’ensemble des dépendances, constitue néanmoins une solution respectant certaines exigences. La Cnil a toujours considéré qu’il représentait une garantie dans la mesure où le risque d’accès est rendu suffisamment minime pour être acceptable compte tenu de la sensibilité des données.

Mme Sophie-Laurence Roy, présidente. Vu la nature de la plateforme à laquelle s’est liée S3NS et la composition de son capital, je peux dire que l’Anssi a ouvert si ce n’est un portail, du moins un portillon.

Mme Marie-Laure Denis. Je ne dis pas que la situation est parfaite, loin de là, mais elle est meilleure que celle qui prévalait avant que la qualification ne soit mise en place et que ces partenariats entre entreprises françaises et services américains ne soient établis. La dépendance demeure, mais il faut tout faire pour qu’émergent des alternatives françaises et européennes. Évitons tout fatalisme.

Mme Cyrielle Chatelain, rapporteure. Je rejoins certaines des réserves émises sur les offres Bleu et S3NS : qu’elles tentent de répondre à des besoins de services dans le cadre de joint-ventures montre une certaine incapacité à dépasser notre dépendance.

Dix ans après la création du RGPD, quel bilan en dressez-vous ? Quelles améliorations seraient souhaitables ? Identifiez-vous des freins à sa mise en œuvre ?

S’agissant des dark patterns, des réglementations plus précises sont-elles envisagées ? Les modifications des règles relatives aux cookies relèvent-elles de la législation française ?

Mme Marie-Laure Denis. Le RGPD, adopté il y a dix ans, entré en application il y a huit ans, a permis plusieurs avancées majeures. D’abord, il a contribué à exporter le modèle européen au-delà de nos frontières – c’est même, je crois, l’un des règlements européens les plus connus dans le monde.

Ensuite, il a mis à disposition de la Cnil et de ses homologues européens des outils de régulation des plus gros acteurs ayant les plus forts impacts, même s’il ne fait pas de distinction selon la taille des acteurs, sa régulation n’étant pas asymétrique comme d’autres réglementations européennes telles le DSA (Digital Services Act) ou le DMA (Digital Markets Act). Pour les cookies ou traceurs, la Cnil, se fondant sur un autre règlement européen, la directive « e-privacy », a prononcé depuis 2019 des sanctions portant sur un total de 953 millions d’euros d’amendes, dont 903 millions à l’encontre des plus grandes plateformes étrangères, non parce qu’elles sont étrangères mais en raison de leur impact sur la protection des droits de nos concitoyens.

Le RGPD a consolidé les droits des usagers en matière de données et renforcé la conscience qu’ils ont de ces droits. Nous le voyons bien : le nombre annuel de plaintes adressées à la Cnil atteint 20 000, contre 7 000 avant son entrée en vigueur. Ce règlement a aussi imposé aux organismes d’avoir une hygiène pour leurs systèmes d’information : c’est le premier texte européen qui, à ma connaissance, pose des obligations en matière de sécurité des données, laquelle est devenue un enjeu de gouvernance.

De plus, comme le RGPD est neutre technologiquement, il permet une adaptation aux différentes évolutions technologiques.

Reposant sur la transparence et la confiance, il redonne aux utilisateurs des possibilités de contrôle sur les données et a considérablement renforcé le pouvoir de sanction de la Cnil et de ses homologues : les sanctions pécuniaires peuvent aller jusqu’à 20 millions d’euros et, pour les entreprises, jusqu’à 4 % de leur chiffre d’affaires mondial. Les organismes n’ont plus à demander d’autorisations préalables, sauf dans le domaine de la recherche en santé, mais sont investis de responsabilités, ce qui est une évolution heureuse compte tenu de l’importance prise par le numérique.

Le RGPD a également favorisé une application plus harmonisée des règles de protection des données au sein des vingt-sept pays de l’Union européenne, avec une exigence de coopération au quotidien. Depuis l’entrée en application du règlement, le Comité européen de la protection des données, le CEPD, a élaboré soixante-huit lignes directrices et émis sept recommandations afin de bâtir pour l’ensemble des pays de l’Union européenne une doctrine commune sur certains sujets. Il a également prononcé 10 000 sanctions, d’un montant total de 6,5 milliards d’euros, souvent assorties d’injonctions, ce qui force les acteurs à changer réellement leurs pratiques au lieu de se contenter d’acheter leur non-conformité.

S’agissant des axes d’amélioration, nous devons rester en permanence à l’écoute. Cela a été le sens de la réunion du CEPD qui s’est tenue en juillet dernier à Helsinki : la Cnil et ses homologues européens ont insisté sur la particulière vigilance, dont font aussi preuve les pouvoirs publics européens, à l’égard des contraintes propres aux PME et aux TPE, les petites et moyennes entreprises ayant moins de facilités pour implémenter les enjeux relatifs à la protection des données, même si c’est une nécessité. Par ailleurs, nous avons décidé d’avoir un dialogue plus proactif avec les parties prenantes, d’organiser davantage de consultations et de délivrer plus d’outils clés en main.

J’en viens aux dark patterns, les interfaces trompeuses, sur lesquelles nous avons beaucoup travaillé. Je me permets de vous suggérer de vous rendre sur le site du laboratoire d’innovation numérique de la Cnil, le Linc, pour faire le test sur les apparences trompeuses qu’il a mis en ligne depuis janvier. À travers diverses situations de la vie quotidienne, il s’agit de sensibiliser aux pratiques, parfois très au point, visant à manipuler l’utilisateur dans sa navigation et à influencer ses comportements et ses choix. D’une façon plus structurelle, nous avons mené en 2023 une étude avec la direction interministérielle de la transformation publique (DITP) sur les dark patterns.

Nous affinons notre politique relative aux cookies et aux traceurs publicitaires ainsi qu’aux sanctions à appliquer. L’objectif premier de la régulation de la Cnil a été d’offrir la possibilité à l’utilisateur de refuser les cookies dès le premier écran. Cela a réclamé un travail de régulation méthodique mené durant trois ans en concertation avec les acteurs : publication de lignes directrices, puis, après avoir laissé un temps d’adaptation, lancement des contrôles et application des sanctions. Désormais, la plupart des sites se conforment aux règles : il est possible de refuser dès le premier écran – sur le téléphone portable, c’est l’option « continuer sans accepter », en général en haut à droite de l’écran. Nos contrôles se tournent désormais vers les interfaces trompeuses qui visent par exemple à noyer le « continuer sans accepter » dans d’autres informations. J’ajoute que les Cnil européennes, dans le cadre du Comité européen de la protection des données, ont édicté en 2022 des lignes directrices qui confirment que certaines pratiques sont incompatibles avec le consentement, défini par le RGPD comme devant être libre, éclairé et univoque – je pense aux cases précochées, aux parcours asymétriques, au design trompeur. Par ailleurs, le DSA interdit explicitement les interfaces trompeuses dans son article 25.

J’ajoute que la Cnil coopère avec l’Arcom (Autorité de régulation de la communication audiovisuelle et numérique) et la DGCCRF (direction générale de la concurrence, de la consommation et de la répression des fraudes), avec lesquelles elle a signé une convention tripartite visant une application cohérente du RGPD et du DSA, notamment sur cette question.

Mme Cyrielle Chatelain, rapporteure. Pour les dark patterns, considérez-vous que les bases juridiques actuelles sont suffisamment solides ? Estimez-vous des ajouts nécessaires ?

Ma deuxième question porte sur les contrôles. Quels sont les délais moyens d’instruction ? Pour ce qui est de la conformité au RGPD, quelles sont vos relations avec vos homologues irlandais ? Quel est le niveau d’information des personnes dont la plainte déposée en France est transmise à la Commission de protection des données irlandaise ? Quelles limites trouve ce travail de coopération ? Nous avons eu plusieurs témoignages au sujet de procédures longues et complexes et de problèmes d’accès à l’information, notamment du côté irlandais.

Mme Marie-Laure Denis. Je vais essayer d’illustrer mes réponses par des chiffres : en 2025, la Cnil a effectué 323 contrôles, dont la moitié était des contrôles sur place, le reste étant fait en ligne, sur pièces ou par audition. L’ensemble a donné lieu à 260 mesures correctrices, dont 84 sanctions. Les mesures correctrices qui ne sont pas des sanctions peuvent par exemple être des mises en demeure. La moitié des contrôles faisaient suite à des plaintes, le reste étant lié à l’actualité, à des thèmes prioritaires de contrôle définis par le collège de la Cnil ou à la volonté de nous assurer que nos précédentes sanctions ou mesures répressives ont bien été suivies d’effet.

S’agissant du délai, il est assez variable. Nous essayons d’être les plus rapides possible. Cela dépend naturellement de la complexité des sujets.

Des contrôles sur les applications mobiles peuvent par exemple prendre davantage de temps, car c’est un écosystème complexe, avec beaucoup d’intervenants. Nous en avons mené treize l’année dernière à la suite des recommandations que nous avions faites s’agissant des applications mobiles pour s’assurer que les personnes soient informées. Vous avez toute votre vie dans votre téléphone portable et, souvent, sur les applications. Les Français en téléchargent trente par an. On ne fait pas très attention à la question de savoir si on accepte d’être géolocalisé ou pas, alors que la géolocalisation dit beaucoup de choses sur la vie privée.

D’autres contrôles sont plus faciles à réaliser, par exemple lorsqu’il s’agit d’accéder à certaines données. Il est alors assez aisé de constater si l’organisme a donné ou non cet accès.

Mais nous sommes très conscients de la nécessité d’être très proactifs, notamment en matière de gestion des plaintes. Nous avons fait au cours des dernières années un gros travail de productivité, de mise en place d’indicateurs, etc., ce qui n’existait pas auparavant, pour essayer de traiter autant de plaintes que nous en recevons dans l’année. Les ratios peuvent cependant se dégrader. En effet, lors des trois premiers mois de l’année, nous avons reçu 75 % de plaintes en plus par rapport aux trois premiers mois de l’année dernière, sans que je puisse en expliquer les raisons.

Sur la coopération européenne en matière répressive, comme vous l’avez très bien rappelé, l’un des intérêts et des avantages du règlement général sur la protection des données est en effet qu’une autorité de protection des données prend le lead en Europe lorsque des traitements de données concernent plusieurs États membres. Les très grandes plateformes ayant installé à Dublin leur établissement principal en Europe, c’est l’autorité irlandaise qui est très largement compétente sur ces sujets – mais pas toute seule, parce que nous transmettons parfois des plaintes qui ont donné lieu à des sanctions. Il arrive même que nous coopérions en menant des enquêtes conjointes. Cela avait notamment été le cas avec l’autorité de protection des données luxembourgeoise, qui a prononcé une amende de 746 millions d’euros contre Amazon en 2021, me semble-t-il. Nous avions aussi coopéré avec l’autorité néerlandaise, qui a prononcé en 2024 une amende de 290 millions d’euros contre Uber, dont le siège principal est aux Pays‑Bas. De façon moins spectaculaire mais très intéressante, car il s’agissait d’un acteur très connu en Europe, nous avons coopéré avec l’autorité lituanienne, qui a prononcé une amende de 2,3 millions d’euros contre Vinted en 2024. Cette coopération a une vraie consistance et est effective.

Pour revenir plus précisément à votre question sur l’Irlande, il est vrai qu’au début de la mise en œuvre du RGPD, l’autorité irlandaise a mis un peu de temps à se mettre en route et à décider des sanctions, pour des raisons qu’il lui reviendrait d’expliquer et aussi parce qu’il y avait certainement une montée en charge très importante des plaintes et des contrôles.

Mais le RGPD est bien fait – au moins de ce point de vue-là –, puisqu’un mécanisme permet que les homologues d’une autorité lead lui imposent en quelque sorte de prendre une décision ou lui disent qu’ils ne sont pas d’accord avec celle-ci. Si une autorité décide de n’imposer aucune amende et estime qu’il faut circuler car il n’y a rien à voir, les autres autorités peuvent manifester leur désaccord, sous réserve d’atteindre une certaine majorité. C’est ce qui s’est passé à neuf reprises à ma connaissance, la lead supervisory authority compétente ayant été contrainte de modifier sa copie. Cette procédure de résolution des litiges, qui permet d’imposer une décision contraignante pour l’autorité chef de file, est actuellement tout à fait active.

Comme nous parlons de souveraineté et de dépendance, je crois que l’Irlande a prononcé l’année dernière une amende à l’encontre de TikTok qui s’élève de mémoire à 530 millions d’euros, notamment en raison de transferts de données vers la Chine. La coopération en matière répressive entre les autorités de protection des données européennes est donc désormais une réalité.

Mme Sophie-Laurence Roy, présidente. La répression, c’est bien. Ne pas avoir à réprimer, ce serait mieux.

Je reviens aux sujets de souveraineté et de cloud souverain. L’État a développé deux clouds souverains, Nubo pour le ministère des finances et Pi pour celui de l’intérieur, pour un coût total de 55 millions d’euros à ma connaissance. Or ils restent sous-utilisés, y compris par les ministères qui les ont financés.

Selon vous, comment pourrait-on faire, comment l’État peut-il faire ou que pouvons-nous faire en tant que parlementaires pour que les données de ces ministères – qui sont sensibles et importantes – soient transférées réellement et rapidement sur des clouds français, avec des systèmes français, et qu’elles soient souverainement protégées ?

Mme Marie-Laure Denis. Si vous le permettez, je vais profiter de votre première observation pour dire que, contrairement à une idée reçue, la Cnil n’est pas uniquement un gendarme de la protection des données. Même si nous ne communiquons peut-être pas assez sur le sujet, nous faisons beaucoup d’accompagnement – d’ailleurs, le directeur de l’accompagnement juridique est présent à mes côtés, alors qu’il n’y a personne de la direction des contrôles et des sanctions. Notre but n’est pas de réprimer, mais vraiment de s’assurer de la mise en conformité.

Le rôle du collège de la Cnil est de rendre des avis sur les projets de loi et les projets de décret en Conseil d’État. Je crois que 150 de ces avis ont été émis au cours des deux dernières années. Ils sont publics et peuvent nourrir le débat, notamment parlementaire. Mais nous répondons aussi à 1 500 demandes par an émanant d’entreprises. Nous avons créé des bacs à sable, qui ne sont pas réglementaires, pour accompagner les projets innovants.

Nous menons beaucoup d’actions de sensibilisation auprès des mineurs. Avec votre consentement éclairé, libre et univoque, je me permets de faire la publicité de l’application FantomApp. À ma connaissance, c’est la première fois qu’une autorité administrative indépendante, grâce d’ailleurs à des fonds européens que nous sommes allés chercher, publie une application à destination des mineurs – mais pas seulement, car elle pourrait être utile à tous s’agissant de la navigation sur les réseaux sociaux. Cette application est téléchargeable gratuitement et elle permet à chacun de vérifier si son mot de passe est robuste. Elle permet de savoir comment déposer une plainte et à quelle plateforme s’adresser si l’on est harcelé. Quid du rôle de la Cnil ? Quid de celui de e-Enfance ? L’application aborde des situations très concrètes : comment flouter ses profils sur les réseaux sociaux ? Quels sont nos droits à l’effacement de nos données ?

Tout cela pour vous dire que, par-delà nos missions répressives et d’anticipation technologique, nous faisons beaucoup de sensibilisation de tous les publics.

Sur la question des clouds souverains, je dirais quelques mots avant que Florent Della Valle complète éventuellement mes propos, sachant que j’ai vu que vous aviez auditionné la Dinum (direction interministérielle du numérique) hier. Votre question est davantage de son ressort que de celui de la Cnil, même si celle-ci ne peut que se féliciter de l’existence de clouds souverains pour héberger les données les plus sensibles des administrations.

Je souhaite insister sur un point : on comprend bien qu’il faut faire un saut important pour réduire les dépendances que vous traquez, et qui sont illustrées dans le cadre de vos auditions. Il faut beaucoup de volontarisme, parce que cela demande des efforts au plus haut niveau de la gouvernance des ministères. Mais je pense qu’il est également nécessaire de bien cartographier ces données pour savoir lesquelles sont sensibles et lesquelles le sont moins, pour faire les choses progressivement.

Je ne sais pas si Florent a davantage d’éléments à vous fournir, car je ne vous cache pas que ce n’est pas directement du ressort de notre autorité.

M. Florent Della Valle, chef du service de l’expertise technologique. Nous aurons du mal à dire que nous préférerions que l’on utilise un cloud opéré par un ministère plutôt que par un acteur privé qui répondrait aux mêmes critères de souveraineté. Je ne crois pas qu’il y ait eu un avis de la Cnil allant dans ce sens.

En revanche, nous pourrions attirer l’attention sur ce qui compte in fine, c’est-à-dire la maîtrise de la donnée. Si un acteur responsable d’une infrastructure ne maîtrise pas celle-ci, le risque est au fond le même que pour un ministère. Par-delà le fait de posséder l’infrastructure, nous pourrions donc être amenés à insister sur la compétence nécessaire pour maîtriser des données. Elles peuvent être aussi bien aux mains d’acteurs privés souverains qu’aux mains d’acteurs publics. Le critère de possession n’est pas celui auquel la Cnil serait sensible dans le cadre de ses propres missions.

Mme Cyrielle Chatelain, rapporteure. Avant de revenir à la question des contrôles, je note que vous aviez déjà parlé du développement de l’application FantomApp lors de votre audition par la commission des affaires économiques ou par la commission des lois.

Mme Marie-Laure Denis. C’était à la commission des lois.

Mme Cyrielle Chatelain, rapporteure. Je l’ai téléchargée et je la trouve extrêmement simple d’accès et intéressante. Le test du mot de passe est un moment que je recommande !

Même si l’on a cet outil, on a parfois l’impression qu’il s’agit de David contre Goliath : quelle est la capacité de diffuser des applications utiles face à des applications qui s’appuient sur un certain nombre d’algorithmes extrêmement néfastes ?

L’impact de ces algorithmes est avéré, notamment en matière de santé. La question des dark patterns ne concerne pas seulement les cookies, puisqu’ils sont utilisés de manière très générale par les plateformes. Serait-il intéressant de renforcer le délit de plateforme ? Il concerne déjà le type de produits proposés, notamment. L’utilisation de dark patterns ou d’algorithmes qui entraînent des problèmes de santé devrait-elle être mieux encadrée ou constituer un délit ? Quels sont les points sur lesquels il serait nécessaire de légiférer ? Une réflexion est en cours à ce sujet et votre avis m’intéresse.

S’agissant des contrôles, comment déterminez-vous le montant des sanctions ? A-t-il un lien avec ce que les violations des textes ont rapporté aux acteurs numériques, ou bien les sanctions sont-elles calculées en fonction de la gravité ou du type de méfait ?

Pourriez-vous nous faire parvenir par écrit le montant total des amendes perçues ces dernières années pour les procédures closes et nous indiquer ce qu’il en est du recouvrement pour les autres sanctions prononcées ?

Je me trompe peut-être, mais il me semble que la décision prise au Luxembourg contre Amazon a fait l’objet d’un recours. Pourriez-vous nous indiquer sur quel fondement ?

Enfin, de nombreuses dispositions concernant la question des cookies et la « fatigue des cookies » figurent dans le projet « omnibus numérique ». En effet, comme vous l’avez indiqué, les acteurs ont travaillé à rendre les choses très compliquées pour les usagers. Que pensez-vous de la proposition qui consiste à tenir compte de la fatigue des cookies en recueillant le consentement directement dans le navigateur, et non plus lors de la consultation de chaque site ? Est-ce que cela favorisera les pratiques des grandes plateformes ou, au contraire, renforcera les droits des usagers ?

Mme Marie-Laure Denis. Nous savons tous que les algorithmes de recommandation ont un impact sur la santé et parfois même sur la santé mentale des utilisateurs, notamment pour les populations les plus vulnérables et les jeunes – et les parlementaires le savent tout particulièrement pour avoir organisé un certain nombre d’auditions sur le sujet. La Cnil a d’ailleurs été entendue dans le cadre de plusieurs commissions d’enquête, notamment celle sur TikTok.

Cette question relève davantage de l’Arcom, avec laquelle je ne voudrais pas me fâcher car nous nous concertons et coopérons beaucoup entre régulateurs. Cependant, nous sommes bien entendu susceptibles de nous intéresser au sujet des biais des algorithmes, notamment dans le cas de l’intelligence artificielle.

S’agissant des contrôles, il existe deux procédures de sanction au sein de la Cnil.

La procédure dite ordinaire concerne les manquements les plus importants. Les sanctions sont alors prononcées par la commission des sanctions, c’est-à-dire par une formation restreinte que je saisis et à laquelle je ne participe pas. Elles peuvent aller jusqu’à 4 % du chiffre d’affaires mondial d’une entreprise, ou 20 millions d’euros s’il s’agit d’un organisme qui n’a pas de chiffre d’affaires.

Il y a deux ou trois ans, nous avons demandé et obtenu du gouvernement et du Parlement la création d’une procédure dite simplifiée, qui nous a permis de passer d’une dizaine de sanctions par an à quatre-vingt-cinq. Dans ce cas, elles sont plafonnées à 20 000 euros et ne sont pas publiques – même si nous pouvons communiquer à leur sujet de façon anonymisée afin qu’elles aient un rôle d’exemple. Cette procédure dite simplifiée est destinée à traiter les dossiers plus vite, avec une procédure contradictoire moins étoffée. Elle concerne les manquements les moins importants, afin de réduire les trous dans la raquette.

La question que vous posez sur la détermination des sanctions dans le cadre de la procédure dite ordinaire est extrêmement pertinente et les membres de la commission des sanctions de la Cnil se la posent également. Il est plus compliqué de définir des critères très précis lorsque l’on défend un droit fondamental tel que la protection de la vie privée. Combien rapporte un biais de consentement ? Combien rapporte le refus d’accès à des données ? Ce n’est pas tout à fait la même chose que dans le domaine de la concurrence, l’Autorité de la concurrence ayant publié une grille indiquant des critères de sanction précis en fonction du préjudice causé et des sommes rapportées.

Cela dit, les autorités de protection des données, réunies au sein du CEPD, ont élaboré un document fournissant des critères indicatifs sur les grilles de sanction. Tout le problème est d’arriver à concilier la proportionnalité – il est heureux que cette exigence s’applique dans un État de droit, où les décisions de la Cnil peuvent faire l’objet d’un recours devant le Conseil d’État – et le rôle dissuasif de la sanction.

J’en profite pour dire que, jusqu’à présent – je touche du bois –, nos décisions ont été très largement suivies par le juge administratif. Toutefois, même si ce n’était pas le cas et que tel ou tel montant de sanction était revu – encore une fois, ce n’est pas moi qui prononce les sanctions –, je considère que, dans un droit en construction et qui est souvent à l’intersection avec d’autres droits – par exemple le droit à la vie privée ou le droit du travail –, affirmer une position qui cherche à concilier la proportionnalité et la fonction dissuasive de la sanction fait partie du rôle d’une autorité de protection des données. Il ne faut pas que les très gros acteurs puissent en quelque sorte acheter leur non-conformité. Si l’amende était une proportion négligeable de leur chiffre d’affaires, peut-être auraient-ils intérêt à ne pas être conformes, car cela leur rapporterait plus que le coût de l’amende.

Il faut donc trouver le bon équilibre entre dissuasion et proportionnalité, quitte à ce que, in fine, le juge nous aide en quelque sorte à affiner les critères de sanction. Encore une fois, je me réjouis que la Cnil ait pour l’instant été très largement suivie par son juge s’agissant des sanctions qu’elle a infligées en mettant en œuvre le RGPD. Mais, même si elle n’était pas suivie ou si ses décisions ont pu être modifiées de manière marginale, je ne considère pas que c’est inutile : au contraire, cela nous permet à tous de progresser.

Compte tenu du montant des sanctions que j’ai évoquées, vous imaginez bien que les décisions contentieuses de la Cnil, quand elles ont une forte portée, sont systématiquement attaquées par les meilleurs avocats de la place spécialistes du droit de la protection des données. Nous sommes donc particulièrement vigilants sur ce sujet.

Vous avez évoqué le recouvrement. Nos amendes sont très largement recouvrées. D’ailleurs, les grandes plateformes qui ont fait l’objet de sanctions de la Cnil sur le fondement non pas du RGPD mais de la directive « e-privacy », notamment s’agissant des cookies, payent de façon tout à fait normale leurs amendes. En gros, 98 % du montant de nos amendes sont recouvrés. Il ne vous aura pas échappé que nous ne les recouvrons pas nous-mêmes. En tout cas, je peux vous certifier qu’elles n’alimentent pas le budget de la Cnil et que ce n’est pas un élément pris en compte pour déterminer le montant des sanctions que nous prononçons – et c’est bien normal.

Selon les informations transmises par la direction générale des finances publiques, dans les quelques cas où le recouvrement est difficile, il s’agit notamment d’un opérateur étranger que les pouvoirs publics français ont du mal à identifier ou, inversement, d’une société défaillante ou d’un individu qui n’est pas en mesure de payer – même si nous cherchons vraiment à prendre en compte la capacité financière des entreprises ou des organismes en question.

Vous avez évoqué les sanctions européennes. Le cas de l’Irlande est particulier puisque, à ma connaissance, les amendes que prononce son autorité de protection de données peuvent faire l’objet d’un appel qui est suspensif. Le recouvrement de l’amende ne peut donc avoir lieu qu’à l’issue de tous les contentieux consécutifs à la sanction, ce qui fait qu’un certain nombre d’amendes dont le montant est élevé n’ont pas encore été recouvrées – mais je ne vais pas être catégorique et je ne saurais pas vous dire desquelles il s’agit dans le détail.

En ce qui concerne la sanction de 743 millions d’euros prononcée par l’autorité de protection des données luxembourgeoise contre Amazon en 2021, je crois que la Cour administrative n’a pas annulé la décision mais l’a renvoyée à l’autorité de protection des données elle-même – cela ne veut pas dire que l’autorité de protection ne va pas pouvoir reprendre la même décision en modifiant certains éléments de son analyse.

M. Thomas Dautieu, directeur de l’accompagnement. La Cour a validé les manquements relevés par l’autorité luxembourgeoise, mais elle a annulé la décision car le montant de la sanction n’était pas justifié par les manquements. L’autorité de protection des données luxembourgeoise doit donc reprendre le travail pour justifier le montant initial en fonction des manquements.

Mme Marie-Laure Denis. Donc, pour résumer, mais sans être une spécialiste de la justice luxembourgeoise, cette décision s’explique davantage par des questions de procédure et de motivation que par des questions de fond – mais peut-être a-t-elle aussi un lien avec celles-ci.

Je vais laisser la parole à Thomas Dautieu pour répondre à votre question sur les navigateurs et le projet omnibus.

M. Thomas Dautieu. Ce projet prévoit la possibilité d’utiliser le navigateur pour consentir aux cookies ou les refuser. Il est vrai que cela résout le problème de la fatigue du consentement, puisqu’il suffit d’une seule action. Par contre, cela pose le problème de la granularité du consentement. Si vous dites non à tout, ça marche. Mais si vous souhaitez par exemple accepter les cookies seulement pour les sites culturels et non pour les sites marchands, ça marche moins bien : c’est tout ou rien.

Nous discutons avec des entreprises qui proposent des solutions techniques pour une approche plus fine via le navigateur, afin d’éviter ce tout ou rien qui poserait des problèmes aux sites concernés.

Mme Marie-Laure Denis. S’agissant du projet « omnibus digital », dit de simplification, les discussions portent notamment sur l’intégration partielle dans le RGPD de la réglementation sur les traceurs, qui relève actuellement de la directive « e-privacy ».

Sur le papier, cette proposition peut paraître cohérente, d’autant que les autorités compétentes sont les équivalents, selon les pays, soit de la Cnil, soit de l’Arcep (Autorité de régulation des communications électroniques, des postes et de la distribution de la presse). Le texte conduirait en pratique à soumettre la régulation des traceurs au mécanisme européen dit du guichet unique, donc, très concrètement, à la confier à deux ou trois autorités au sein de l’Union européenne – les autorités irlandaise et luxembourgeoise, par exemple.

Je ne sais pas comment cela peut se traduire en pratique : la Cnil a reçu 2 000 plaintes concernant les traceurs ces trois dernières années ; comment une ou deux autorités vont-elles pouvoir absorber toutes les plaintes actuellement déposées dans vingt-sept pays ? Si cette réforme aboutit, n’y a-t-il pas un risque que cela se traduise par une diminution des droits des personnes et de l’effectivité de la régulation ? Or, en France, nous avons particulièrement investi ce champ de la régulation depuis six ans. Nous avons été à l’avant-garde pour construire une régulation équilibrée, validée par le Conseil d’État, qui a donné lieu à quarante-huit sanctions et à 953 millions d’euros d’amende. En tout cas, c’est une préoccupation pour nous.

Mme Cyrielle Chatelain, rapporteure. De plus en plus de sites conditionnent l’accès aux contenus soit à un paiement, soit à l’acceptation des cookies. C’est compréhensible du point de vue des modèles économiques, car on sait que la vente des données en fait malheureusement désormais partie intégrante. En revanche, cela biaise le consentement. Quel est votre avis à ce sujet ?

Ma deuxième question porte sur la manière de monétiser les données. Martin Untersinger, journaliste au Monde, y a révélé comment des données, notamment de géolocalisation, sont captées via des applications qui utilisent généralement des listes de consentement très longues, biaisant d’une certaine manière le consentement, et sont revendues à des courtiers en données.

On peut se poser plusieurs questions sur la qualité du consentement, et notamment sur le fait qu’il n’est pas éclairé, puisque même l’application ne sait pas à quelles fins les données sont utilisées. Vous êtes-vous penchés sur ces acteurs économiques et sur ces circuits ? Quels sont les outils pour les réguler ou les sanctionner ?

Mme Marie-Laure Denis. Lors de l’élaboration de nos lignes directrices sur les traceurs, nous avons approfondi la question des cookie walls – c’est-à-dire des « murs de traceurs », qui permettent de subordonner l’accès à un service à l’acceptation de cookies. Avec nos homologues, nous avions adopté une position commune, selon laquelle un tel usage des cookies n’est pas acceptable en l’absence d’une solution alternative raisonnable, mais le Conseil d’État ne nous a pas suivis. Depuis, je crois que le CEPD a formulé un avis à ce sujet.

M. Thomas Dautieu. Oui, à la suite d’un arrêt de la CJUE concernant un grand acteur américain, le CEPD a estimé que le choix binaire n’était pas acceptable et que des alternatives devaient être proposées.

Après, quand un accès est payant, toute la question est celle de la bonne détermination du prix. Le CEPD travaille actuellement à des lignes directrices pour adapter ce principe aux sites de presse, notamment. Pour de tels sites, la question est plus compliquée que pour les grandes plateformes de publicité.

En tout cas, nous avons bien ce sujet en tête et nous en discutons avec l’écosystème, pour parvenir à une solution qui satisfasse les intérêts économiques tout à fait légitimes des sites tout en respectant le principe du consentement libre des internautes.

Mme Marie-Laure Denis. J’en viens aux courtiers en données, ou data brokers. Ces acteurs sont plus opaques que les grandes plateformes numériques, qui exploitent directement les données qu’elles collectent. Ils croisent les informations issues de multiples sources, par exemple les données concernant les achats en ligne ou en magasin avec les cartes de fidélité, celles issues des applications mobiles, notamment concernant la localisation, ou encore les historiques de navigation sur internet. À l’issue de ce travail d’agrégation, ils sont capables de constituer des profils extrêmement précis des individus, qu’ils vendent à des annonceurs – je pense que beaucoup de nos concitoyens ne se rendent pas compte de ces phénomènes.

Sur le plan juridique, la réutilisation et la revente de données, même si elles ne sont pas illégales, sont strictement encadrées. En effet, le RGPD et la loi « informatique et libertés » prévoient que les personnes doivent être informées de la collecte et des usages de leurs données, et donner leur consentement en cas de traitement de celles-ci à des fins publicitaires et de revente. En apparence, nous disposons donc d’un cadre juridique protecteur, celui relatif à l’information et au consentement, pour faire face à ces pratiques.

Toutefois, dans la pratique, de nombreux data brokers contournent ces obligations. En s’appuyant sur des chaînes de collecte et de revente complexes et peu transparentes, ils compliquent la traçabilité des données et l’identification des responsables par le régulateur. Par exemple, ces acteurs collectent souvent les informations dans le cadre d’enchères en temps réel. Parmi les dizaines voire les centaines de participants à ces enchères, certains conservent l’information pour la revendre, mais il est difficile d’identifier lesquels.

Quant aux acteurs qui revendent les données de géolocalisation sur les places marchandes, ce sont pour la plupart de petites structures, qui n’ont aucun établissement en Europe, ne sont pas pérennes, ou changent souvent de nom.

Certes, la formation restreinte de la Cnil a prononcé plusieurs sanctions à l’encontre de courtiers en données, par exemple le 31 janvier 2024, ou le 15 mai 2025. Dans cette dernière affaire, un courtier collectait les données par l’intermédiaire de formulaires de participation à des jeux-concours pour les revendre, mais sans avoir obtenu de consentement valide des joueurs – le design de ces formulaires était en effet trompeur. Toutefois, les moyens des autorités restent limités face à l’ampleur et à la complexité du marché mondial des données personnelles.

Nous attachons beaucoup d’importance à la donnée de géolocalisation, indépendamment, d’ailleurs, de son usage par les data brokers. Demain, le collège de la Cnil se prononcera sur les règles d’utilisation de la géolocalisation pour les voitures connectées ou autonomes, en émettant des recommandations.

Dans notre régulation sur les applications mobiles, nous essayons de faire beaucoup de pédagogie sur la donnée de géolocalisation. Encore une fois, alors que cette fonction est relativement facile à désactiver, nous ne le faisons pas assez – dans les cas où elle n’est pas nécessaire au service demandé, s’entend.

Mme Cyrielle Chatelain, rapporteure. Même si l’éditeur d’une application ne connaît pas forcément la chaîne d’intermédiaires par laquelle transitent les données qu’il collecte – de fait, celle-ci est complexe –, n’y aurait-il pas intérêt à faire porter sur lui la responsabilité de l’usage de ces données ? Cela pourrait favoriser la vigilance.

Il est vrai qu’en tant qu’utilisateurs, nous ne désactivons pas assez souvent la géolocalisation, de même que les fonctions de partage public des informations. Selon vous, serait-il intéressant de proposer leur désactivation par défaut, afin que les utilisateurs n’aient pas à prendre l’initiative de ce choix ? Si oui, une telle modification relèverait-elle du droit européen ou du droit français ?

Plus largement, les mesures concernant le RGPD de la proposition de paquet « omnibus numérique » sont justifiées par leurs défenseurs par le coût de la mise en conformité. Grâce à votre mission d’analyse économique, avez-vous une idée de son niveau ? À l’inverse, vous est-il possible de mesurer les bénéfices liés à cette réglementation européenne ?

Mme Marie-Laure Denis. Nous nous posons toujours la question de la responsabilité des différents acteurs, car elle est assez complexe – il faut d’abord déterminer qui est responsable du traitement, qui est sous-traitant et qui est responsable conjoint du traitement.

M. Florent Della Valle. Madame la rapporteure, en entendant vos propositions de faire porter la responsabilité sur les éditeurs d’application et de modifier le paramétrage par défaut, on croirait que vous avez lu les quatre-vingt-douze pages de notre recommandation relative aux applications mobiles !

Ces principes font partie de ceux que nous avons voulu réaffirmer, dans un écosystème où les chaînes de responsabilité sont complexes. Au titre du RGPD, le responsable de la collecte du consentement est en premier lieu l’éditeur de l’application, celui qui la met en place, même si nous avons conscience que les éditeurs peuvent être économiquement ou techniquement dépendants d’autres acteurs, dont ils intègrent les composantes et qui réutilisent parfois eux-mêmes les données.

En tout cas, le principe est clair : c’est l’éditeur qui est responsable, et, en le rappelant, nous n’avons pas inventé de nouvelles normes juridiques. Il fallait toutefois signaler des points d’attention concernant la mise en œuvre concrète de cette responsabilité.

Pour prendre en compte la dépendance des éditeurs à d’autres acteurs, nous prévoyons, dans le cadre du plan de contrôle évoqué tout à l’heure par Mme la présidente, de contrôler les fournisseurs de SDK (kits de développement logiciel), des composantes qui sont utilisées dans les applications mobiles et constituent un maillon essentiel de la collecte de données.

Par ailleurs, l’article 25 du RGPD impose déjà que le paramétrage par défaut soit le plus protecteur de la vie privée. Ce principe est donc reconnu au niveau européen. Il doit toutefois être décliné dans différents contextes. Dans le secteur des applications mobiles, nous avons ainsi souhaité expliquer concrètement aux acteurs comment l’appliquer, pour mieux protéger la vie privée des personnes.

Mme Marie-Laure Denis. Madame la rapporteure, votre proposition de désactiver la géolocalisation par défaut me paraît intéressante – mais quand on dit cela, c’est parfois parce que l’on n’a pas la réponse…. Je pense, de fait, qu’elle relève du droit européen et non du droit français et qu’elle risque de poser question du point de vue du droit de la concurrence – mais ce n’est qu’une première réaction, qui demande à être approfondie. Nous devons réfléchir davantage, et nous vous enverrons le fruit de nos réflexions, si vous le permettez.

Quant à l’impact économique du RGPD, le service de la Cnil chargé de l’analyse économique a essayé de l’étudier. En mai 2025, nous avons organisé un événement académique à ce sujet, dont le compte rendu est disponible sur notre site. Il en résulte que, d’une manière générale, les études menées pointent davantage le coût du RGPD que ses bénéfices.

Ces coûts sont réels pour les entreprises ou les administrations ; il est probable qu’ils décroissent proportionnellement à la taille des entités concernées. Enfin, ils ne sont pas tous récurrents : une fois qu’une entité a fait l’effort de se mettre en conformité, elle n’a pas à le faire de nouveau, même s’il peut arriver, ponctuellement, qu’elle doive évoluer, sur des sujets tels que le cyber, ou qu’elle doive assumer des coûts liés à l’exercice par les utilisateurs de leur droit d’accès.

Plutôt que de gommer la question des coûts du RGPD, il est plus intéressant de mettre en avant ses différents bénéfices, car ils sont rarement perçus par les entreprises.

Dans une économie digitalisée, tellement fondée sur l’exploitation de la donnée, les règles du droit de la protection des données constituent un atout, car elles poussent les administrations et les entreprises à se doter d’une vision de leur patrimoine informationnel, à cartographier leurs traitements, à fixer des délais de conservation des données, à se débarrasser de celles qui ne sont pas liées à la finalité du traitement, et cetera. C’est dans l’intérêt des entreprises – elles s’évitent ainsi, par exemple, de solliciter quelqu’un qui n’aurait pas répondu à tous les mails qu’elles lui envoient depuis des années. En somme, le RGPD incite à une hygiène numérique du quotidien. C’est quelque chose de très positif.

En outre, le fait, pour une entreprise, de prendre en compte les enjeux de vie privée lui ouvre un meilleur accès aux appels d’offres. C’est également valorisé dans le cadre des due diligence (audits d’acquisition), en cas de cession.

Enfin, je crois nos concitoyens et les entreprises de plus en plus sensibles aux risques réputationnels. C’est tout le sens de notre coopération avec l’Autorité de la concurrence, que nous avons beaucoup développée. La capacité à protéger les données et la vie privée devient un avantage concurrentiel distinctif, au même titre que le prix, le coût ou la qualité de service. Certes, ce n’est pas le cas dans tous les domaines et dans tous les secteurs. Toutefois, je crois vraiment que le facteur confiance pèsera beaucoup dans la croissance de l’économie numérique ces prochaines années.

Ainsi, je suis un peu désolée de n’entendre parler que du coût du RGPD – même si je comprends que c’est une contrainte –, alors que ses bénéfices sont nombreux. Le premier, dans le contexte cyber actuel, est qu’il permet des mesures appropriées. Par exemple, la Cnil reçoit les notifications de violation de données – nous en avons reçu 6 200 l’année dernière. Nous nous sommes aperçus que leur nombre connaissait une forte augmentation pour les grandes bases de données, soit celles qui concernent plus de 1 million de personnes : il y en a eu quarante-cinq l’année dernière, contre trente-cinq l’année précédente et deux fois moins celle d’avant. C’est un peu contre-intuitif : on pourrait penser que les grandes organisations ont les moyens de parer les attaques – même si nous savons que ce n’est pas facile, raison pour laquelle nous prônons une obligation de moyens et non de résultat. Nous avons également constaté que 80 % de ces grosses violations de données auraient pu être évitées, si, entre autres mesures, les organisations concernées avaient mis en place une authentification multifonctionnelle.

Ainsi, les entités n’avaient tout simplement pas tiré toutes les conséquences de l’essor du télétravail : un salarié travaillant à distance pouvait accéder aux données d’une dizaine ou d’une vingtaine de millions de clients uniquement à partir de son identifiant et de son mot de passe, alors que ceux-ci pouvaient être compromis. Le collège de la Cnil a donc imposé en avril 2025 une authentification multifacteur, comme celles utilisées par les applications bancaires, pour l’accès à distance aux bases de données de plus d’un million de personnes. Notre rôle de régulateur est d’être pragmatique. Nous avons donc laissé aux acteurs jusqu’au 1er janvier 2026 pour s’adapter. Depuis, nous contrôlons qu’une authentification multifacteur a bien été instaurée.

De telles normes évitent beaucoup de problèmes aux entreprises et aux administrations. Vous noterez que, depuis le début de l’année – et cela va continuer –, la formation restreinte de la Cnil a prononcé des amendes significatives à l’encontre d’administrations ou d’entreprises pour des manquements cyber. En tout cas, il y a de vrais avantages pour elles à prendre en compte les risques liés à la protection des données.

Mme Cyrielle Chatelain, rapporteure. Dans un avis conjoint de février 2026, le Contrôleur européen de la protection des données et le Comité européen de la protection des données ont exprimé des préoccupations majeures concernant la proposition de règlement « omnibus numérique ». Quelle est votre analyse à ce sujet, en complément de ce qui a déjà été dit ?

Par ailleurs, jusqu’ici, la Cour de justice européenne n’a pas invalidé la décision d’adéquation du 10 juillet 2023 de la Commission, qui permet le transfert de données personnelles de citoyens européens vers les États-Unis. Outre qu’elle avait invalidé des décisions similaires dans le passé, depuis 2023, la réélection de Donald Trump a conduit à un changement de politique assez radical aux États-Unis, faisant apparaître des risques nouveaux. Selon vous, ces risques rendent-ils obsolète la décision d’adéquation de 2023 ?

Enfin, quels outils législatifs le Parlement pourrait-il proposer pour faciliter ou renforcer l’action de la Cnil ?

Mme Marie-Laure Denis. Parmi les mesures de la proposition « omnibus numérique », j’appelle votre attention sur celle de modifier la définition des données à caractère personnel pour la rendre plus restrictive. Une telle proposition est très préoccupante, comme l’ont signalé le Contrôleur européen de la protection des données et le Comité européen de la protection des données dans leur avis conjoint.

La Commission européenne a souhaité transposer la jurisprudence « SRB », née de l’arrêt du 4 septembre 2025 de la Cour de justice de l’Union européenne. De notre point de vue, elle la surtranspose, sans prendre en compte tous les effets négatifs que cela emportera.

Actuellement, si une donnée permet d’identifier une personne, elle est définie comme donnée à caractère personnel, et elle est soumise au RGPD ; si une donnée est, au contraire, impossible à rattacher à une personne, elle est considérée comme donnée anonyme, et le RGPD ne s’applique pas. La proposition de la Commission tend à brouiller cette distinction, en introduisant une dose de relativisme, et sans en encadrer l’usage. Désormais, une donnée susceptible d’être rattachée à une personne pourrait être considérée comme anonyme, et donc être exclue du champ du RGPD, s’il apparaît que celui qui la détient « ne dispose pas de moyens pouvant raisonnablement être utilisés » pour établir le lien entre les données et la personne.

De mon point de vue, ce serait tout sauf de la simplification : ce qui serait une donnée à caractère personnel pour l’un serait une donnée anonyme pour l’autre. Des données identiques prendraient ainsi un double visage. Les responsables de traitement de données devraient porter une appréciation sur leur capacité à identifier ou non les personnes derrière les données qu’ils détiennent. Or une telle appréciation serait subjective : à partir de quel degré d’effort estime-t-on que l’identification n’est pas « raisonnablement » possible ? De plus, cette appréciation devrait évoluer avec les technologies.

Par opportunisme, ou, tout simplement, faute d’avoir compris des règles qui ne sont pas si simples, les responsables de traitement de données risquent de traiter des données à caractère personnel comme des données anonymes, donc de ne pas soumettre leur traitement au RGPD. Ils s’exposeront à des sanctions si nous ne partageons pas leur appréciation. Surtout, ils priveront les utilisateurs des garanties nécessaires, alors mêmes que leurs données sont susceptibles d’être transmises à des tiers, y compris des tiers étrangers. Ainsi, la proposition de la Commission me semble une source d’incohérence et de complexité, plutôt que de simplification. Il faut maintenir la responsabilisation des acteurs, en conservant les règles binaires actuelles – c’est le point qui nous paraît le plus essentiel, à propos de l’« omnibus numérique ».

Après que, en 2020, la Cour de justice de l’Union européenne a invalidé une première décision d’adéquation permettant le transfert des données de l’Union européenne vers les États-Unis, la Commission a négocié un nouvel accord, le DPF (Data Privacy Framework), afin de sécuriser ces transferts, et a pris la décision d’adéquation permettant son entrée en vigueur. La Cnil est particulièrement attentive à ces évolutions.

Tout comme le Comité européen de la protection des données, nous interrogeons régulièrement la Commission européenne sur son analyse de la situation et sur les mesures qu’elle entend prendre pour assurer la protection des données dans le cadre transatlantique – car c’est d’elle que dépendent ces questions.

Pour l’heure, l’administration américaine actuelle ne donne pas de signe qu’elle souhaite abroger l’executive order (décret présidentiel) de 2022 sur lequel le DPF repose du côté américain.

En tout cas, le Comité européen de la protection des données est tenu informé. Il a adopté en novembre 2024 son premier rapport sur le cadre Union européenne-États-Unis de protection des données, où il salue les efforts déployés pour mettre en œuvre le DPF, note qu’un certain nombre de garanties ont été apportées, notamment un mécanisme de recours indépendant, mais souligne qu’il faudra s’assurer de son effectivité.

Par ailleurs, la question de la validité du Data Privacy Framework reste pendante devant la Cour de justice de l’Union européenne – au sein de cette commission, vous êtes bien placés pour savoir qu’un contentieux est en cours.

Enfin, je vous remercie pour votre dernière question et votre souci de favoriser la régulation de la Cnil. J’espère que vous ne m’en voudrez pas, mais ma réponse sera très prosaïque. Vous me voyez venir… Même si le contexte budgétaire est très contraint, la Cnil dépend fortement des moyens qui lui sont attribués. D’une manière générale, le Parlement est très sensible à la question – au moins une dizaine de rapports parlementaires soulignent l’intérêt de soutenir les ressources de la Cnil.

Nous comptons trois à quatre fois moins d’agents que nos homologues anglais et allemand, alors que notre périmètre est à peu près le même. Nous vivons dans un monde digitalisé et nous avons évoqué, ne serait-ce que partiellement, l’ampleur de nos missions. Quand la Cnil formule une recommandation sur l’authentification multifacteur, par exemple, je pense qu’elle agit dans l’intérêt général. Si j’ai répondu en évoquant nos moyens, c’est un peu par esprit de boutade, mais pas seulement, car la question est importante.

Je me réjouis beaucoup de nos multiples auditions à l’Assemblée nationale et au Sénat. Nous devons en avoir une vingtaine ou une trentaine par an. Ces deux dernières années, nous avons répondu, je crois, à quarante-cinq questionnaires parlementaires. Nous saurons vous trouver si nous avons des points d’attention à vous soumettre.

Mme Sophie-Laurence Roy, présidente. Je vous remercie pour votre disponibilité et la clarté de vos explications. Nous en avons pris bonne note, y compris de vos problèmes budgétaires.

* *

Audition, ouverte à la presse, de M. Thierry Breton, ancien commissaire européen au Marché intérieur, ancien président-directeur général d’Atos SE (mercredi 15 avril 2026)

M. le président Philippe Latombe. Monsieur Breton, vous vous êtes investi dans la régulation du secteur numérique. Selon vous, nos dépendances technologiques vis-à-vis d’entreprises extra-européennes sont-elles une menace pour notre souveraineté ? Est-il encore temps d’y remédier ? L’indépendance de l’Union européenne en matière de technologies numériques passe-t-elle nécessairement par la régulation ?

Je vous remercie de nous déclarer tout intérêt public ou privé de nature à influencer vos déclarations.

L’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter le serment de dire la vérité, toute la vérité, rien que la vérité.

(M. Thierry Breton prête serment.)

M. Thierry Breton, ancien commissaire européen au marché intérieur et ancien président-directeur général d’Atos. Je suis heureux d’être parmi vous – une fois de plus, oserais-je dire : vous en avez, des commissions d’enquête, à l’Assemblée ! Ça commence à fleurir. Ce n’est pas une critique, je suis toujours très heureux de venir, mais j’ai préparé un petit graphique illustrant l’inflation des commissions d’enquête et la liste de toutes celles menées depuis 2005, vous les transmettrez à la présidente. Tant qu’on reste dans le champ, comme c’est le cas de celle-ci, ça va ; et ce n’est pas à moi de juger des autres.

Quoi qu’il en soit, je suis ravi d’être là et d’éclairer vos travaux sur un sujet absolument essentiel pour notre souveraineté dans un monde totalement chamboulé. Toute l’organisation du monde depuis l’après-guerre reposait sur une notion essentielle, qui sera, si vous le voulez bien, le fil conducteur de cette audition : la confiance. Or, depuis le 20 janvier 2025 et l’avènement de Donald Trump comme quarante-septième président des États-Unis, beaucoup de choses ont été bouleversées dans le monde. En particulier, nous avons perdu la confiance.

Après la guerre, en France, en Europe et plus largement en Occident – même si ce terme est en train de perdre de son sens –, nous avons rebâti ce monde bouleversé, détruit, autour de cette pierre angulaire, la confiance. Pardonnez-moi de partir de si loin, mais cela me semble important pour qualifier nos besoins dans le monde nouveau qui se dessine, des besoins qui n’étaient peut-être pas nécessaires dans celui dont j’estime qu’il vient de s’effondrer.

La pierre angulaire de l’architecture à l’abri de laquelle nous nous sommes développés, c’est la confiance. Elle se traduit dans différents domaines. En matière commerciale, toute relation contractuelle est fondée sur la confiance et encadrée par la loi, qui veille à son respect, qu’il s’agisse d’un accord international supervisé par l’Organisation mondiale du commerce (OMC), d’un accord à l’échelle de l’Union européenne – à qui, je le rappelle, les États ont confié des compétences exclusives en matière de gestion des relations internationales – ou d’un accord entre États. En matière de défense, tout pays de l’Organisation internationale du traité de l’Atlantique Nord, l’Otan, sait qu’en vertu de l’article 5, il est tenu de défendre celui de ses membres qui serait attaqué. Cette obligation est fondée sur la confiance. Lorsqu’on signe un contrat pour le traitement de données confidentielles, on sait que seuls ceux qui en ont le droit y auront accès. Là encore, c’est fondé sur la confiance. Le Patriot Act, le Cloud Act, toutes ces nouvelles lois brisent, au fond, cette confiance.

Il me semblait très important de commencer par ce constat : il a fallu soixante-dix ans pour bâtir cette architecture, et seulement quelques jours, heures, minutes, pour la fracturer et la faire s’effondrer. Et nous voilà désormais dans ce nouveau monde.

Vous êtes le législateur, quand vous ne siégez pas dans des commissions d’enquête : à ce titre, vous organisez le droit, l’État de droit, fondé sur la confiance, que vous demandent les citoyens pour établir leur vivre-ensemble ; lorsque la confiance n’est plus là pour bâtir les relations entre les États, entre les entités supranationales, entre les entreprises, voire entre les citoyens, alors elle est remplacée par les rapports de force. On le voit chez nous, y compris dans les zones de non-droit, qui sont des zones de non-confiance ; c’est vrai aussi au niveau des États et des entreprises. D’où l’importance de s’arrêter sur cette notion, qui calibre et définit les relations.

Vos travaux portent sur un domaine extrêmement important et qui m’est cher, vous le savez, c’est pour cela que je suis heureux d’être là. Il se trouve que je me suis efforcé de mettre de la confiance dans l’espace informationnel ; et ceux qui n’en veulent pas se sont efforcés de la mettre à mal, y compris en essayant de pénaliser, de punir, de bannir celui qui était considéré comme en étant l’architecte. C’est ainsi que l’on m’a qualifié, en tout cas, pour justifier le fait que je suis désormais interdit de séjour aux États-Unis. J’ai été banni, pour reprendre le terme de certains, pour avoir contribué à proposer aux colégislateurs que sont le Parlement et le Conseil européens de bâtir une architecture de confiance dans l’espace informationnel – je n’en tire aucune gloire, c’était mon travail.

Car sans confiance dans l’espace informationnel, ceux qui prospèrent, ce sont ceux qui fournissent des services précisément hors de tout contrôle et hors des règles de l’État de droit. On livre alors nos enfants, nos adolescents, nos préadolescents, mais aussi nous-mêmes et notre démocratie, à des gens qui n’ont pas reçu mandat pour cela et qui vont faire appliquer leurs propres règles, je dirais même leurs propres lois, au détriment de ce que nous bâtissons, de ce que vous bâtissez, puisque votre rôle, votre travail, la mission que vous avez acceptée en acceptant de servir l’intérêt général dans le cadre du mandat que vous avez obtenu et que vous exercez, c’est de légiférer, de poser des règles de droit, donc de confiance. Vous le faites dans l’espace physique, pas encore assez dans l’espace informationnel. Ce n’est pas une critique : vous ne le faites pas assez parce que c’est naissant. L’espace informationnel a seulement vingt-cinq ans, on l’a vu apparaître au début de ce siècle. Il marque la troisième phase de la révolution de l’information.

Permettez-moi de m’arrêter un instant sur cette notion. Qu’est-ce que l’espace informationnel ? Pourquoi m’avez-vous invité aujourd’hui pour en parler ? Pourquoi avez-vous décidé d’y consacrer vos travaux ? La révolution de l’information débute vers 1942-1943 ; en 1945, le premier ordinateur calculateur, l’Eniac – electronic numerical integrator and computer – et ses18 000 tubes, est mis en place par les États-Unis dans le cadre du projet Manhattan, le premier programme de bombe A, développé à Los Alamos. Vingt-cinq ans plus tard – car les phases de l’évolution de l’information durent environ vingt-cinq ans, soit une génération –, on entre dans une deuxième phase, celle des « mini », comme on dit dans notre jargon. On est alors au milieu des années 1970. On entre ensuite progressivement dans la troisième phase, celle des PC – personal computers –, des ordinateurs plus petits que l’on va pouvoir, à partir des années 2000, brancher en réseau. C’est très facile, très utile, et c’est précisément cette capacité de mise en réseau qui fait que l’on va commencer, à la faveur de l’avènement d’internet, à générer des volumes absolument gigantesques – des zettabytes – d’informations. Peu à peu, ces données deviennent personnelles. C’est en gérant et stockant ces données, puis en proposant des services dans l’espace informationnel, que vont émerger puis prospérer les géants du numérique, les Gafa – Google, Apple, Facebook, Amazon.

Vingt-cinq après, nous entrons dans la quatrième phase de cette révolution de l’information, qui s’est déroulée sur un siècle : l’intelligence artificielle. Pour la première fois dans l’histoire de l’humanité, toutes les traces laissées dans l’espace informationnel entre 2000 et 2025 ont été stockées dans des data centers, permettant la traçabilité d’une grande partie de notre activité humaine. Et grâce aux supercalculateurs, nous allons pouvoir aller chercher très rapidement dans ces traces des cas similaires à ceux qui se présentent à nous et, par effet probabiliste, déduire des expériences passées les réponses à nos questions. Voilà ce qui nous attend pour les vingt-cinq ans à venir.

Jusqu’à l’émergence de l’espace informationnel, nous étions à peu près présents. Puis nous avons raté le virage des données personnelles, qui a permis la naissance des Gafa, au premier rang desquels Facebook et Google. C’est une phase qui nous émerveille toujours. Il se trouve que je connais assez bien l’ensemble des acteurs – c’était ma vie, je n’en tire aucune autre gloire que le fait d’avoir été moi-même un de ces acteurs et de les avoir côtoyés pendant toute cette période. Beaucoup sont encore très présents dans l’espace informationnel aujourd’hui. Les créateurs des Gafa se sont positionnés pour utiliser les données personnelles générées grâce à l’interconnexion, à l’internet, apparue au début des années 2000. Et si ces géants sont apparus aux États-Unis, puis en Chine, ce n’est pas parce que nous sommes plus idiots que les autres, mais parce que, eux, ils avaient accès à un marché très large avec une langue unique. Les États-Unis, c’est un marché de 330 millions de consommateurs ; nous, on était vingt-sept pays, avec autant de régulations ou de tentatives de régulation – souvent orthogonales d’un pays européen à l’autre, d’ailleurs –, dix-huit langues, des barrières.

C’est comme ça qu’aux États-Unis, un jeune un peu imaginatif, qui avait décidé d’abandonner ses études en première année de BS – bachelor of science – à Harvard, a créé un annuaire pour identifier les autres élèves de Harvard. Je suis ingénieur, c’est une bonne idée, mais ce n’est pas non plus, comme on dit dans mon jargon, de la rocket science. Voyant que ça marchait, il l’a élargi, et grâce à ce marché de 330 millions de consommateurs, le concept s’est rapidement développé. Voilà comment est né Facebook. Et c’est pareil pour tous les autres : cela a été possible parce que les États-Unis sont une terre d’opportunités et d’innovation, que l’on peut y faire des tas de choses, mais aussi parce qu’il y a un marché. Or dans l’espace informationnel, ce qui compte, c’est le volume disponible de données structurées et à peu près homogénéisées. Alors évidemment, quand on a un marché de 330 millions de consommateurs avec une langue homogène et sans barrières, ça va vite. Voilà pourquoi nous n’avons pas pu créer des entreprises comme les Gafa : c’est une question de volume.

Désormais, nous sommes tous dans cet espace informationnel ; nous y passons en moyenne entre quatre et six heures par jour, c’est-à-dire plus que dans la rue. Or vous légiférez – à juste titre – pour ce qui se passe dans l’espace physique – et Dieu sait qu’il faut en permanence légiférer, parce que l’imagination humaine n’a pas de limites, y compris dans ses côtés déviants. Mais dans l’espace informationnel, c’est le no man’s land. C’est la raison pour laquelle, lorsque je suis arrivé à Bruxelles, où j’étais chargé à la fois du marché intérieur physique, matériel et du numérique, je me suis attaché à superposer les deux pour créer un marché numérique unifié.

Pour ce faire, j’ai voulu proposer non pas des directives, puisque les directives, comme vous le savez, donnent un cadre mais doivent ensuite être adoptées par l’ensemble des vingt-sept parlements nationaux – c’est très bien d’un point de vue démocratique, mais cela aurait ajouté des barrières et n’aurait pas permis de répondre à la problématique que je viens d’exposer –, mais des règlements. Je rappelle que la Commission ne fait que proposer les textes : ce sont ensuite les parlementaires européens et les membres du Conseil européen, équivalents respectivement de l’Assemblée et du Sénat, ou de la Chambre des représentants et du Sénat américains, qui, ensuite, les modifient et les adoptent dans le cadre de ce que l’on appelle des trilogues. Vous le savez, les règlements sont d’application directe : le processus est un peu plus long et lourd, mais dès qu’ils sont débattus, amendés et votés par le Parlement européen puis le Conseil européen, ils s’appliquent directement à l’ensemble des Vingt-Sept. C’est ainsi qu’il faut voir ce bouquet de lois que j’ai contribué à mettre sur pied, et qui me vaut aujourd’hui d’être banni des États-Unis – mais nous y reviendrons, car je ne l’ai pas été pour les raisons que l’on pense.

Pour la première fois, on a le Data Governance Act (DGA), un règlement définissant quelles données générées par les activités publiques ou gouvernementales sont stratégiques et strictement réservées à l’entité publique, et lesquelles peuvent être utilisées et partagées pour créer de l’activité ou des services. Car il faut mettre une barrière ; sinon, c’est la jungle, la porte ouverte à des class actions et des discussions juridiques sans fin. Donc on met du droit, c’est‑à‑dire de la confiance. Je le dis et je le répète, pour que ce soit bien clair : pas d’innovation sans confiance. Tous ceux qui disent qu’aux États-Unis on innove et qu’en Europe on régule sont des idiots utiles – pardon de le dire, je ne veux être méprisant avec personne – qui se font les porte-voix des Gafa, qui ne veulent évidemment pas la moindre régulation, afin que leur hégémonie perdure.

Deuxième acte : le Data Act, qui offre cette fois un cadre de droit à l’ensemble des données professionnelles et industrielles. Si nous avons raté la première révolution, celle des données personnelles, nous sommes très bien placés pour les données professionnelles et industrielles. D’où l’importance de nous doter très vite d’un cadre de droit. Depuis 2000, les États-Unis se sont massivement et très rapidement désindustrialisés. Je peux en témoigner : dans ma carrière, j’ai été président d’un certain nombre d’entreprises, en particulier d’Orange pendant longtemps, mais aussi de Thomson-RCA, alors premier fabricant d’électronique grand public. Ce que nous demandaient les actionnaires et l’État américain, c’était, pour diminuer les coûts, d’installer les usines à la frontière du Mexique dans ce que l’on appelle les maquiladoras ; puis on les a installées dans le delta de la rivière des Perles, entre Canton et Shenzen.

Les États-Unis se sont donc désindustrialisés beaucoup plus que nous, même si ce phénomène a été un peu plus marqué en France qu’ailleurs en Europe. Je vois dans ma liste qu’une commission d’enquête porte sur la désindustrialisation : je suis sûr qu’elle saura éclairer la représentation nationale – je n’y ai pas encore été invité, d’ailleurs… (Sourires.)

Mme Cyrielle Chatelain, rapporteure. Bientôt, après votre témoignage !

M. Thierry Breton. Je ne demande rien !

Ce que je veux dire, c’est que nous avons encore, en Europe, une base industrielle très solide, même si elle l’est moins qu’en Chine, où elle est passée de 1 % de la base manufacturière mondiale en 2000 à environ 33 % aujourd’hui – en une génération, donc.

Mais la révolution de l’information et de l’intelligence artificielle, ce n’est pas ce qui est devant nous, mais ce qui est derrière. Or nous, nous avons ces traces informationnelles industrielles majeures de ce qu’il s’est passé entre 2000 et 2025. Personne d’autre n’a l’historique informationnel que nous avons dans nos usines. On dit souvent que nous avons du savoir-faire – humain, évidemment, logistique, bien entendu, manufacturier, c’est certain –, mais nous avons aussi des informations générées par l’exploitation même de ces usines. Je peux vous dire que quand j’étais chef d’entreprise, des directeurs d’usine, on n’en trouvait plus ! Les Américains avaient disparu, ils ne savent plus gérer des usines ; on trouvait des directeurs d’usine en Europe – en Allemagne, en Italie du Nord, en France un peu moins malheureusement, parce qu’on s’est trop désindustrialisés, beaucoup en Pologne, et, évidemment, en Chine. Ce qui est important, c’est que nous avons un patrimoine informationnel considérable. On génère un nombre très important de données industrielles, qui vont constituer une montagne de zettabytes d’informations nous permettant de développer des applications, du savoir-faire, des programmes, des services sur des éléments très importants pour notre productivité, alors que, pour l’instant, tous les services que vous utilisez s’appuient sur l’historique des usages personnels entre 2000 et 2025.

Nous avons là un patrimoine à préserver absolument. Mais comment ? À qui appartient-il ? Prenons un exemple : lorsque vous conduisez, vous produisez environ 30 pétaoctets de données par jour. Appartiennent-elles aux conducteurs, aux constructeurs automobiles, à la société d’assurance, aux garages qui assurent la maintenance de la voiture ? Nous avons posé des règles : c’est le Data Act. Là encore, c’était très compliqué à organiser – car ce n’est pas de la régulation, mais de l’organisation –, mais progressivement, nous avons commencé à mettre des règles de droit, donc de la confiance, dans l’espace informationnel.

Sauf que nos amis américains n’en veulent pas, évidemment, puisqu’ils ont déjà des services tout prêts. « Ne vous inquiétez pas, on arrive ! On a tout prévu, on a tout innové, on arrive clé en main : on a les systèmes de paiement, de reconnaissance. » Mais non ! Les cartes d’identité, ça appartient à l’État ; le paiement, c’est souverain. Pour répondre à vos questionnements sur la souveraineté, on comprend bien, si on prend le problème tel que je vous l’ai présenté, pourquoi il faut mettre des règles de droit, de confiance, dans l’espace informationnel. C’est tout l’objet du Data Act : plus d’actions de groupe… Vous n’imaginez pas le travail que j’ai dû déployer pour mettre d’accord les constructeurs automobiles, les associations d’automobilistes, les compagnies d’assurance, non pour rendre un jugement de Salomon, mais pour essayer d’organiser de façon la plus juste possible l’utilisation de ces données – car évidemment, tout le monde se bat.

Mais encore une fois, chez nous, en Europe, on sait que la donnée a une valeur. Nous n’avons pas un de ces marchés bifaces décrits par M. Jean Tirole, le prix Nobel d’économie : les données ont de la valeur parce qu’on les laisse circuler – l’accès à nos données nous permet d’obtenir un service gratuit, mais elles sont ensuite utilisées pour de la publicité ciblée, par exemple. Nous, nous avons mis du droit ; c’est le Data Act.

Vient ensuite le DSA (Digital Services Act), le règlement sur les services numériques, qui vise à poser des règles de droit dans l’organisation sociale. Il y a une organisation sociale intense sur les réseaux sociaux, où nous passons beaucoup de temps. Vous passez votre temps à organiser l’espace social physique, en y mettant – à juste titre – le plus possible de règles de droit. Vous le faites au niveau de l’État, vous discutez avec les collectivités locales, les maires. C’est un travail extrêmement important qui est partagé. Mais dans l’espace social, il n’y a rien. Donc, avec mes équipes, nous avons tout simplement essayé de transposer, de faire progressivement remonter les règles qui régissent l’espace physique dans l’espace informationnel.

Prenons des exemples très simples de comportements qui ne font malheureusement que trop l’actualité en ce moment : dans l’espace physique, on n’a pas le droit de proférer des propos antisémites ou racistes, ni de faire l’apologie du terrorisme ; dans l’espace informationnel, où nous passons désormais plus de temps que dans l’espace physique, non plus. Ce n’est pas une privation de la liberté de parole – la parole est très libre en Europe, c’est même nous qui avons inventé cette liberté, au siècle des Lumières, bien avant les Américains.

Mais notre histoire fait que, depuis la seconde guerre mondiale, on n’a plus le droit de faire l’apologie d’Hitler, alors qu’aux États-Unis, le premier amendement autorise tout, y compris de dire des choses sympathiques sur Hitler. En Europe – en particulier en Allemagne, mais chez nous aussi – c’est une infraction pénale. C’est le fruit de notre histoire, il faut le respecter. Si nous ne mettons pas de règles, les Gafa vont arriver avec leur propre système, beaucoup plus libre, et c’est encore une fois toute l’architecture de notre gouvernance, de notre État de droit, de la confiance, qui va s’effondrer.

C’est aussi vrai, par parenthèse, d’autres excès, comme le cyberharcèlement ou les attaques contre notre démocratie. Car il y a une autre dimension dans l’espace informationnel : au-delà de la création de liens, il peut amplifier des données de façon artificielle, sans savoir d’où elles viennent ni si elles sont vraies ou fausses. C’est tout le problème de l’accélération algorithmique. C’est la raison pour laquelle j’ai absolument voulu qu’on ait accès aux algorithmes quand on les soupçonne de pousser certaines données dans l’espace informationnel sans que l’on sache vraiment pourquoi. Cette transparence est un gage de confiance : elle permet aux destinataires d’une information de savoir si celle-ci émane d’un robot, si elle est réelle et, surtout, si le fournisseur de ces services, auquel nous offrons l’accès à notre espace informationnel, respecte nos règles.

Nous avons le premier espace informationnel au monde. Certes, celui de la Chine est plus important, mais nous sommes une fois et demie plus importants que celui des États-Unis. Ils ont 330 ou 340 millions de eyeballs, de paires d’yeux – c’est ce qui compte pour valoriser les données ; nous, nous sommes 450 millions : on comprend qu’ils aient tous envie de venir nous offrir des services. Nous sommes un continent ouvert, mais nous avons mis des règles, et elles doivent être respectées, car elles sont le fruit de notre histoire, de notre démocratie, de nos idées sur le vivre-ensemble et l’État de droit. C’est juste l’application pure et simple de la démocratie et du travail que vous faites au nom de l’intérêt général et du mandat que vous avez reçu – et que, moi-même, à Bruxelles, je faisais dans cet esprit. Donc s’ils veulent venir, qu’ils viennent, mais ils doivent respecter la loi. Voilà ce qu’on vérifie dans le DSA, qui porte plutôt sur les aspects sociaux de l’usage de l’espace informationnel.

Vient ensuite le DMA, le Digital Markets Act, qui a pour objet d’introduire des règles de droit économique dans l’espace informationnel, à l’instar de celles qui régissent le monde physique pour éviter les concentrations et les abus de position dominante – et Dieu sait à quel point certains acteurs jouent l’éviction ou le monopole. Des règles économiques strictes, rigoureuses, ont donc été établies afin de garantir à chacun la possibilité d’émerger sur ce marché. Cette régulation est d’autant plus cruciale au moment où s’ouvre la phase de l’usage massif des données industrielles et professionnelles. L’unification de l’espace informationnel européen devrait permettre l’émergence de champions européens capables d’exploiter ce patrimoine informationnel sous-jacent, qui appartient à l’Europe et que tout le monde essaie de piller. C’est bien de cela qu’il s’agit : forts de ce qui s’est passé en 2025, les géants du numérique s’efforcent de rééditer l’expérience – bis repetita.

Enfin, l’AI Act, la loi européenne sur l’intelligence artificielle, revêt une importance capitale. Il n’a pas toujours été très bien compris en France, et je le regrette ; sa réception a parfois été influencée par des acteurs que je connais bien et dont les intérêts étaient peut-être trop alignés avec les positions américaines – je ne leur en fais pas le reproche, car chacun est libre. Pour ma part, ma mission consistait à défendre l’Europe, et personne d’autre. Or l’AI Act a été conçu précisément à cette fin : il s’agit d’affirmer qu’en Europe, certains usages doivent être encadrés. Ce règlement est fondé sur une approche par les risques, qui vise à encadrer le développement de l’intelligence artificielle lorsque celle-ci présente des dangers potentiels. Je le redis, à l’instar du marché intérieur, l’espace informationnel doit offrir de la sécurité, de la confiance et de la protection aux consommateurs, donc à nos concitoyens.

Ainsi, l’AI Act distingue cinq niveaux de risque. Par exemple, les parlementaires ont décidé de proscrire le recours au social scoring, cette pratique qui consiste à utiliser les traces laissées par un individu dans son espace informationnel pour restreindre ses droits ou ses libertés ; elle est tout à fait autorisée en Chine, mais nous la refusons. De même, c’est interdit en matière de recrutement, que ce soit dans les entreprises ou dans les administrations. S’agissant ensuite des applications de santé, une exigence de transparence s’applique désormais aux data sets. Quand vous prenez un médicament, vous voulez connaître sa composition ; de la même manière, nous devons savoir quelles données ont servi à entraîner un système d’IA qui fait par exemple de l’aide au diagnostic. Certaines pathologies diffèrent selon le contexte géographique ; c’est un fait. Et si elles sont issues de prisonniers ouïghours, on veut le savoir ! Encore une fois, la nature des données a un impact sur la validité du système et peut en outre introduire des risques.

Quand on utilise des systèmes d’intelligence artificielle pour des applications qui sont elles-mêmes potentiellement génératrices de risques, comme la mobilité ou la conduite autonome, des précautions s’imposent également. Je pense aussi aux auteurs et aux compositeurs : lorsqu’ils créent des œuvres, celles-ci sont stockées, comme toute activité humaine ; on veut savoir si ces contenus sont utilisés pour entraîner des modèles. À ce titre, j’ai beaucoup plaidé pour l’instauration d’un watermarking permettant de distinguer clairement les contenus générés par l’IA et ceux issus de l’activité humaine.

Je vous prie de m’excuser pour avoir été si long, mais il me semblait essentiel de poser ce décor pour mieux répondre ensuite à vos questions. Je pourrais énumérer tout ce qui ne va pas et tout ce qu’il faut faire, mais c’est la partie la plus facile ! Ce qui importe, c’est vraiment de prendre la mesure de ce changement de monde et de ce qu’il signifie pour nous. Nous entrons dans l’ère du rapport de force. Il faut aussi souligner que nous sommes le premier continent à avoir décidé de prendre enfin ce problème à bras-le-corps, et que nous l’avons fait en nous dotant d’un corpus législatif particulièrement solide. En tant que législateur, votre rôle ne s’arrête pas au vote de la loi : vous devez ensuite décider à qui vous allez donner le droit d’agir en notre nom à tous pour la faire appliquer. Vous êtes nos représentants ; à ce titre, vous êtes en droit d’attendre de ceux à qui vous confiez l’application de la loi qu’ils la fassent effectivement appliquer, et rapidement – non avec sévérité, mais avec diligence.

Force est de constater que ce corpus législatif existe désormais. Ces cinq actes législatifs qui structurent notre espace informationnel ont tous été adoptés par une majorité écrasante de parlementaires européens, recueillant entre 85 % et 95 % des suffrages. C’est un fait rare, voire inédit dans notre histoire institutionnelle et démocratique. Quand j’entends ceux qui, après avoir voté pour ces textes ou s’être abstenus, crient au scandale en dénonçant des atteintes à la liberté, je me demande d’ailleurs pourquoi ils n’ont pas voté contre. Je ferme la parenthèse, car je ne souhaite pas m’engager dans ces débats politiciens, mais les faits sont là. Quoi qu’il en soit, ce corpus demeure notre acquis, un acquis démocratique. Le Parlement européen a accompli un travail remarquable et je tiens à rendre hommage, devant la représentation nationale, à l’engagement extraordinaire de ses membres. Je les ai beaucoup côtoyés et je peux vous assurer, pour avoir échangé avec les représentants de nombreux pays – beaucoup sont venus nous voir, de la Corée du Sud au Japon en passant par les États-Unis –, que les parlementaires européens sont, de très loin, les plus à même de saisir ces enjeux et d’y apporter des réponses pertinentes.

Nous disposons donc d’un corpus législatif : il faut maintenant l’appliquer. J’ai moi-même lancé un certain nombre d’enquêtes lorsque j’étais encore commissaire, avant ma démission en septembre 2024 ; ces procédures sont toujours en cours. Je ne formulerai évidemment aucun jugement sur ces dossiers – je m’interdis de le faire –, mais il vous appartient, si vous le jugez utile, de vous en saisir. En tout état de cause, la loi est là pour être exécutée. Dans l’espace informationnel, les choses vont très vite ; il faut donc non pas de la précipitation, mais de la célérité et des moyens adéquats. Ces moyens existent : avec mes équipes, nous avons recruté près de 170 personnes de très haut niveau – des docteurs, des scientifiques. Nous disposons désormais de compétences équivalentes à celles des entreprises fournissant les services que nous régulons. Nous sommes équipés : nous sommes tout à fait en mesure d’analyser ce qui se passe, de décrypter les algorithmes et d’agir sur le plan juridique – et quand je dis « nous », je parle de la Commission, qui a reçu délégation pour ce faire ; il faut donc évidemment appliquer ces règles.

Nous ne sommes pas naïfs : la confiance, ce socle sur lequel nous reposions, s’est brisée. Certains sont restés très attachés à une vision atlantiste – et je ne les critique pas, ayant moi-même passé la moitié de ma vie aux États-Unis. J’aime ce pays que je connais par cœur ; j’y ai créé ma première entreprise, avant d’y diriger d’autres entreprises et d’enseigner dans des universités comme Harvard. Il vit ce qu’il vit aujourd’hui – c’est la démocratie ; mais il est clair que dans ce monde nouveau qui est apparu depuis le 20 janvier 2025, l’Europe doit prendre conscience que nous sommes entrés dans une ère de rapports de force. Nous avons les moyens d’y prendre part, y compris au sein de notre espace informationnel, marché extraordinairement lucratif où certains acteurs réalisent jusqu’à 30 %, 40 % voire 50 % de leurs profits. Très bien, mais nous – et je dis « nous », là encore, même si je n’y suis plus, mais vous y êtes, vous –, nous avons édicté des règles de droit. Notre rôle, c’est de faire en sorte que la loi soit appliquée pour protéger ceux que nous avons la responsabilité de protéger, à commencer par nos enfants. Des discussions sont en cours sur la limite d’âge pour l’accès aux réseaux sociaux : c’est un débat légitime, mais l’application stricte du DSA permettrait de résoudre ces questions. Si nous sommes contraints de légiférer à nouveau, c’est précisément parce que la loi existante n’est pas appliquée assez vite. Certains vous diront que vous n’avez pas le droit de le faire parce que c’est à l’Europe de s’en charger ; eh bien, qu’elle le fasse !

J’ai cru comprendre, du reste, que l’initiative était prise : pas plus tard que ce matin, la présidente de la Commission, Mme von der Leyen, aurait décidé d’agir toutes affaires cessantes. Tant mieux ! Mais encore une fois, les lois existent, qu’on les applique ! Elles n’ont pas été conçues pour ostraciser quiconque ni pour cibler spécifiquement les entreprises américaines, chinoises – comme AliExpress ou TikTok – ou singapouriennes ! Des entreprises européennes y sont également soumises, bien entendu, puisqu’il y a de très grandes entreprises en Europe. Dans les discussions qui se sont engagées à partir de 2025, notamment sur les questions tarifaires, le rapport de force a été explicite : les plus hautes autorités américaines ont clairement mis en balance le maintien de ces lois avec l’augmentation des droits de douane. Je suis bien placé pour le savoir, puisque cette posture m’a valu mon bannissement.

Et pourquoi exigent-elles le retrait de ces lois ? Pour deux raisons. La première est structurelle : dans ce monde qui s’est redessiné depuis vingt-cinq ans, les géants du numérique, qui se sont constitués notamment grâce à nos données personnelles, se sont accommodés de la fragmentation des Vingt-Sept. C’était peut-être un peu compliqué et un peu lourd, mais ils ont profité de cette dispersion pour s’établir dans les États membres les plus conciliants – je pense notamment à l’Irlande – puisque c’est le pays où l’on installe son siège social qui assurait la régulation.

La seconde raison tient à l’avènement d’un marché intérieur unifié. Désormais une fois et demie plus vaste que celui des États-Unis, cet espace constitue un levier de développement inédit et, contrairement à ce que certains prétendent, il offre finalement davantage de souplesse. Il impose certes des règles de vivre-ensemble et il doit y avoir une modération pour vérifier que nos lois relatives à l’expression publique sont appliquées – en particulier celles sur le terrorisme, le racisme et d’autres contenus interdits –, mais il libère surtout une capacité formidable de croissance, propice à l’émergence de nouveaux acteurs. La fragmentation européenne a fait de nous, d’une certaine manière, les idiots utiles de ceux qui ont su s’adapter et tirer profit de la liberté que nous leur avons concédée ces vingt-cinq dernières années. Je le répète : nous ne sommes pas naïfs. Les choses sont claires. Je vous parle librement, vous le voyez, et je m’exprimais avec la même liberté devant mes homologues américains pour leur exposer notre projet.

Je voudrais conclure, si vous le permettez – nous pourrons ensuite aborder les points plus techniques susceptibles d’intéresser la commission –, en soulignant le travail que nous avons accompli, moi et mes équipes, avec les colégislateurs que sont le Parlement et le Conseil européens. Nous avons mené un véritable combat. C’est dans l’ordre des choses ; vous êtes bien placés pour le savoir. On doit vous savoir gré de mener, quelles que soient vos appartenances politiques, cette mission d’intérêt général : c’est un engagement qui implique des sacrifices, et j’en suis pleinement conscient. N’en doutons pas : cette tâche a été ardue, même sous l’administration Biden. Le poids des Gafa est tel, et l’osmose entre eux et le pouvoir politique est si forte, que ces grandes entreprises savent très bien se faire entendre. Pourtant, nous avons réussi.

Une anecdote. Quelques jours avant ma démission – motivée par des questions de gouvernance, ou plutôt par un manque de gouvernance, ce qui était mon sujet de préoccupation majeur –, j’ai reçu une haute responsable du département d’État américain – une personne vraiment très haut placée –, qui avait demandé à venir me voir. Nous étions en août 2024, à la fin de l’administration Biden. Je l’ai donc reçue en présence d’un collaborateur et de l’ambassadeur des États-Unis. Elle m’a alors fait cette confidence – je vais commettre un crime de lèse-majesté et vous allez me rappeler à l’ordre, mais tant pis, je le dis en anglais : « Mister Commissioner, I came to tell you thank you – Je suis venue vous dire merci. » Je lui ai répondu : « Merci, c’est gentil, mais pourquoi ? » « Thank you for everything you did in the digital space – Merci pour tout ce que vous avez fait dans l’espace informationnel. » J’ai alors réagi : « Pourtant, vous ne m’avez pas aidé ! » Sa réponse fut sans équivoque : « Yes, but we were wrong – Oui, mais on a eu tort ». « Parce que tout ce que vous avez fait, ajouta-t-elle, nous n’arrivons pas à le faire aux États-Unis ; c’est un travail parlementaire gigantesque et nous sommes trop fragmentés. Ce que vous avez fait, qui va dans le sens de l’intérêt général, les Gafa vont devoir se l’appliquer pour vous ; nous allons donc pouvoir en bénéficier, par effet de bord ». Il s’agissait de l’administration démocrate ; venant d’elle, cette reconnaissance a sans doute aggravé mon cas : tout se sait et lorsque j’ai appris, le 23 décembre 2025, que j’étais désormais interdit de séjour aux États-Unis, je me suis souvenu de cet entretien, qui avait eu lieu, vous l’avez compris, avant le 20 janvier 2025.

M. le président Philippe Latombe. Comment voyez-vous l’omnibus numérique ? Est-ce une matérialisation de ce rapport de force ? Est-ce un recul par rapport aux législations que vous avez défendues ?

M. Thierry Breton. Je vais vous répondre à deux niveaux. D’abord, ces lois sont très récentes ; elles ne sont appliquées que depuis douze à dix-huit mois. C’est la première fois que je vois des textes dont l’élaboration et l’adoption ont nécessité trois ou quatre ans de travail parlementaire être remis en question si tôt, avant même que nous ayons pu mesurer leurs premiers effets. À peine entrés en application, on nous suggère déjà de commencer à les « simplifier ». Je n’avais jamais vu cela de ma carrière, mais il faut un début à tout… Cette situation est surprenante – pour vous comme pour moi, manifestement, monsieur le président. Comme vous, je m’interroge.

Mon deuxième niveau de réponse concerne la nature même de ces lois, qui ont été conçues comme de véritables architectures. La technologie évolue, tout comme son usage et nos comportements dans l’espace informationnel. Hélas, certaines de ces évolutions seront des déviances. Nous avons donc bâti un cadre adaptable, dans lequel on peut plugger, comme on dit dans notre jargon, c’est-à-dire brancher de nouvelles législations sectorielles dès que le besoin s’en fait sentir. Prenons l’exemple de la limite d’âge : une application rigoureuse des lois en question permettrait, me semble-t-il, de répondre aux problèmes soulevés. Mais si cela ne suffisait pas, nous pourrions toujours plugger des dispositions spécifiques sur ce cadre existant, sans en modifier la structure fondamentale. Ce cadre est indispensable pour les législateurs mais il l’est tout autant pour les entreprises qui, pour s’y adapter, ont durablement modifié leurs pratiques. Puisqu’il existe, il faut l’utiliser.

Je vais maintenant sortir un instant de ma condition. Vous l’avez bien vu : j’ai essayé de vous répondre avec la plus grande franchise, sans langue de bois. Mais compte tenu de la position qui est la mienne, je souhaite que mes propos ne souffrent d’aucune ambiguïté, car ma seule motivation est l’intérêt général. Je regrette donc que ces lois n’aient pas été appliquées plus rapidement. En tant qu’usager, en tant que père et grand-père, je vois les dégâts causés par ces réseaux, notamment chez les jeunes qui sont rendus dépendants. Ce sont des services qui sont conçus pour être addictifs ; or nous avons les moyens de les contrôler, mais nous ne le faisons pas. Les exemples sont légion.

Certains envisagent d’assouplir la réglementation pour faciliter la vie des entreprises, mais l’enjeu n’est pas là. Comme je l’ai rappelé, nous avons enfin instauré un cadre européen solide : il faut s’en servir. Quant à la volonté de simplification, certains journalistes s’en sont fait l’écho. Je m’abriterai derrière leurs analyses – sans me prononcer sur leur bien-fondé –, car je m’interdis désormais tout contact avec la Commission : il est naturel et légitime que mes successeurs puissent agir sans la moindre interférence de ma part. J’ai donc lu, comme vous, que certains journalistes s’interrogeaient sur l’omnibus numérique : ne serait-il pas le fruit de concessions destinées à éviter je ne sais quoi ? Il faut faire preuve de vigilance dans ce domaine. Nous devons veiller à ce que ces omnibus ne servent pas de levier pour dénaturer ce que 90 % des parlementaires européens ont voulu, au terme, je le redis, d’un travail extrêmement approfondi mené en leur âme et conscience et pour l’intérêt général. Alors quoi ? Se seraient-ils trompés à ce point ? La démocratie doit être respectée, y compris dans l’application effective des lois qu’elle produit. Ces textes n’ont qu’un an ou dix-huit mois ; ils commencent seulement à être appliqués et les mesures qu’ils contiennent sont pionnières au niveau mondial. Comment peut-on vouloir les simplifier, voire les détricoter ? Je n’irai pas plus loin.

Mme Cyrielle Chatelain, rapporteure. Vous avez été l’architecte de grandes réglementations européennes ; c’est pourquoi votre point de vue nous importe. Les parlementaires font parfois preuve de beaucoup d’imagination, comme vous l’avez dit ; bien légiférer requiert une connaissance fine des enjeux pour identifier les leviers d’action les plus pertinents.

Au-delà du rappel historique que vous venez de faire sur l’architecture globale de la réglementation européenne, j’aimerais que nous abordions sa mise en œuvre. Il faut souligner que les premières amendes ont été prononcées, mais qu’elles sont jugées peu dissuasives. Je comprends que vous ne vouliez pas vous exprimer à propos de l’actuelle Commission, mais c’est un écosystème bien plus vaste qui est concerné. Dès lors, quels sont, selon vous, les principaux obstacles – qu’ils soient juridiques ou politiques – qui freinent la bonne application de ces textes ?

Ensuite, eu égard à l’impact délétère des algorithmes, considérez-vous qu’il s’agisse d’éléments nocifs devant faire l’objet d’un encadrement spécifique ? Et si tel est le cas, selon quelles modalités ?

Enfin, vous avez insisté sur la puissance du marché européen et, parallèlement, sur le caractère néfaste de certaines plateformes, notamment pour les plus jeunes. Dans cette perspective, faut-il envisager, parmi les outils à notre disposition, une fermeture – temporaire ou prolongée – du marché européen aux plateformes qui persisteraient à ne pas respecter nos règles ?

M. Thierry Breton. Une amende a effectivement été prononcée, et elle a eu un certain retentissement. C’est d’ailleurs quelques jours après l’annonce de cette sanction que j’ai été informé que je n’étais plus persona grata aux États-Unis – je ne dis pas qu’il y a une relation de cause à effet entre ces deux événements, mais je remarque la coïncidence du calendrier. Il faut toutefois relativiser : 120 millions d’euros représentent un montant dérisoire pour des entreprises qui valent des centaines, voire des milliers de milliards. Elles ne se retrouvent pas étranglées. Je rappelle que les textes votés par les colégislateurs, en l’occurrence le DSA – puisque c’est bien celui auquel vous faites allusion, même si des sanctions ont aussi été prononcées au titre du DMA –, prévoient des amendes pouvant aller jusqu’à 6 % du chiffre d’affaires mondial. Si la plateforme ne corrige pas les manquements qui ont été identifiés, la procédure permet de saisir un juge pour obtenir, le cas échéant, une décision de fermeture temporaire du service.

Je me suis beaucoup battu pour introduire cette possibilité. J’ai eu du mal à y parvenir, car nombre de mes collègues atlantistes de la Commission – je ne les critique pas – étaient contre. Je tenais absolument à ce dispositif, car il s’agissait là enfin d’une sanction majeure pour des entreprises qui font 30 %, 40 % voire 50 % de leur chiffre d’affaires sur le marché européen. Or elles ne regardent qu’une chose : la réaction des marchés financiers. Pour nous, c’est un élément essentiel : si nous représentons un tel poids dans leur chiffre d’affaires et leurs profits, nous devons l’utiliser dans la logique de rapport de force qui prévaut désormais – et qui, hélas, s’est substituée à la logique de confiance. Cette décision m’amène à répondre à une autre de vos questions : la fermeture temporaire doit être maintenue jusqu’à ce que la plateforme dite systémique – c’est-à-dire qui compte plus de 45 millions d’utilisateurs, soit 10 % des consommateurs européens, et qui est donc soumise à la régulation du DSA – ne remédie à ses effets délétères.

Arrêtons-nous un instant sur ce point. Cette première amende est le fruit d’une enquête que j’avais lancée avec mes services de la DG Connect (direction générale des réseaux de communication, du contenu et des technologies), où sont regroupés les experts chargés de la régulation des plateformes. Elle visait l’utilisation peu claire – certains utiliseront d’autres termes – des « coches bleues » sur le réseau X. Si cela peut sembler anecdotique par rapport à l’ambition globale de nos textes, il s’agissait tout de même d’un manquement avéré ; il fallait donc le signaler. D’autres manquements, dont les effets sont peut-être plus délétères pour les usagers, ont également justifié le déclenchement d’enquêtes qui, elles, sont toujours en cours. Tous ces détails sont publics.

Il y a une chose que j’aurais aimé retrouver dans la législation omnibus – peut-être, du reste, n’est-il pas trop tard pour que vous le demandiez. Si l’on m’a souvent qualifié d’« architecte », je récuse un peu ce terme ; en tant que commissaire, j’ai travaillé avec des équipes. Bien sûr, j’ai été l’inspirateur et l’animateur, le patron pour ainsi dire, mais c’est un immense travail d’équipe qui a été accompli. Le texte final a ensuite été validé par le collège des commissaires, après de nombreuses discussions, avant d’être transmis aux colégislateurs. Ces derniers ont, à juste titre, largement amendé le texte initial, tout comme vous le faites ici avec les projets de loi.

C’est pourquoi je tiens à insister sur le caractère collectif et démocratique de ce travail. J’ai certes donné l’impulsion, je le reconnais, mais celle-ci a été relayée par toute une chaîne d’acteurs qui, en se l’appropriant, y ont apporté une réelle valeur ajoutée. Une fois ces règlements adoptés, ma mission a évolué : en tant que commissaire chargé de leur exécution, mon rôle consistait non seulement à veiller à leur respect strict, mais surtout à garantir que les plateformes opérant sur le marché européen se conforment à nos standards. L’objectif fondamental, à travers cette régulation, est d’introduire de la sécurité et de la confiance au sein de notre espace informationnel, là où elles faisaient défaut.

Ce travail a nécessité un effort de longue haleine, engagé bien en amont de la phase opérationnelle. Je suis allé rencontrer les responsables de toutes les entités potentiellement désignées comme plateformes systémiques – à San Francisco, à Houston, à Singapour… J’y suis allé avec mes équipes, non par goût du voyage – j’avais suffisamment voyagé dans mes fonctions précédentes – mais parce qu’il était indispensable de les rencontrer chez eux. Mon objectif était de leur expliquer, de vive voix, la philosophie voulue par les colégislateurs et la manière dont ils devaient s’y préparer.

On était encore dans le monde d’avant, fondé sur la confiance. Et tous – je dis bien tous – m’ont accueilli avec énormément d’intérêt. Chacun était à sa place. Il y avait du respect mutuel et de l’écoute, y compris de la part d’Elon Musk. Dans une vidéo que vous pourrez retrouver, tournée juste avant qu’il décide de racheter Twitter – devenu X –, je lui explique ce qu’il va devoir faire et il me répond « Sounds good » : cela lui semble bien, il comprend et il va bien entendu appliquer ce dont nous parlons.

À tous, nous avons expliqué les choses. Nous leur avons même proposé des stress tests pour leur montrer comment se déroulerait une éventuelle enquête et pour les y préparer. Mon objectif en effet n’était pas de leur infliger une sanction mais d’obtenir la sécurité voulue par nos colégislateurs, c’est-à-dire par la démocratie, pour ces réseaux.

Ce qui est important, c’est que cela s’est fait avec énormément de confiance et de respect. Mais comme vous peut-être, en tout cas comme beaucoup d’entre nous, j’ai ensuite été sidéré. Tous ces patrons de la tech que je connais bien avaient travaillé avec beaucoup d’allant – je n’irais pas jusqu’à parler d’enthousiasme – et avaient commencé à mettre en place les règles du DSA, y compris celles relatives à la modération. C’était le cas notamment de Mark Zuckerberg. Et puis, en janvier 2025, ils ont tous été invités à la Maison-Blanche, en première ligne. Certains avaient des mines réjouies, d’autres un peu moins. Quoi qu’il en soit, j’ai constaté comme vous un changement radical. On est entré dans un autre monde, un monde de rapports de force. Maintenant, il faudrait supprimer ce qui avait été fait ? Jamais personne ne m’avait dit cela avant, bien au contraire.

Vous me demandez ce qu’il reste à faire. Dans le DMA, on a prévu un délai d’un an – de mémoire – car il faut aller vite. Certes, nous sommes un État de droit et nous laissons la place au contradictoire. Lorsqu’un problème survenait, je demandais d’abord à mes équipes d’aller l’expliquer aux plateformes, plutôt que de les punir. Notre but n’était pas de nous faire de l’argent sur leur dos mais d’arriver à obtenir la confiance, la sécurité et la sérénité. Nous avons beaucoup corrigé ainsi, de façon constructive. Maintenant, les plateformes sont entrées dans une logique de rapport de force.

Pour le DMA, il y a donc une obligation de contradictoire, ce qui est normal. Et le temps pour répondre est imparti, comme dans une enquête classique.

Pour le DSA, c’est un peu la même chose, sauf qu’il n’y a pas de limite, ce dont jouent un certain nombre d’avocats. Je ne les critique pas, ils font ce qu’on leur demande de faire. Mais à partir du moment où certains ont les moyens de s’offrir les meilleurs cabinets d’avocats du monde, ils vont pouvoir continuer à agir au détriment de ceux qui souffrent des manquements que nous instruisons.

C’est quelque chose que je tenais à vous signaler. S’il fallait faire évoluer la législation avec un omnibus, ce ne serait pas pour la simplifier mais pour commencer à borner les choses. Ce serait une belle amélioration.

M. Éric Bothorel (EPR). Je me réjouis de vivre dans un pays qui, lorsqu’un désaccord survient avec un acteur étranger, choisit non pas de le bannir mais de l’inviter de manière cordiale à venir s’expliquer le 20 avril prochain en audition libre, devant les équipes de Mme la vice-procureure Johanna Brousse. J’espère que M. Elon Musk saura saisir cette opportunité – une opportunité dont vous êtes privé puisque les États-Unis vous sont interdits, alors même que rien ne peut vous être reproché.

Dans votre riche parcours, je veux interroger l’ancien commissaire européen en charge notamment du marché unique et du numérique. Vous avez été moteur pour l’adoption de règlements européens majeurs : le DSA, le DMA, l’AI Act et le Data Act. L’Europe était alors en train de se construire comme un marché numérique de poids avec sa propre philosophie, créant un modèle vertueux entre le far west américain et l’omnicontrôle des modèles russe ou chinois.

Depuis, l’Europe tremble à l’heure de se servir de son pouvoir de sanction contre les grands acteurs américains ou chinois. Depuis, les États membres multiplient les ébauches de réglementations nationales sur les mineurs et le numérique, sur les data centers ou sur les limitations à imposer à l’IA ; on l’a vu au Sénat la semaine dernière. Certaines ONG sont aussi source de jurisprudence : je pense à Democracy Reporting International, qui a obtenu l’accès aux données en Allemagne. Je pense aussi à la décision prise contre Meta aux Pays-Bas, qui va néanmoins se traduire par une fragmentation supplémentaire puisque Meta a indiqué qu’elle ne s’appliquerait que dans ce pays. Depuis, on présente le numérique exclusivement à charge, comme l’espace de tous les dangers et non plus comme celui des nombreux possibles.

Comment comprenez-vous le retour des approches nationales sur ces sujets ? Comment lisez-vous la nouvelle timidité européenne ? Plus globalement, le fait d’agir en Français et non en Européens n’est-il pas le moyen le plus sûr de rester dépendants en matière numérique dans un moment où, comme vous le dites vous-mêmes, il faut accepter voire provoquer le rapport de force ?

Le Chips Act, le règlement européen sur les semi-conducteurs, prévoit environ 43 milliards d’euros d’ici 2030 alors que TMSC – dont le T désigne Taïwan – investit à lui seul plus de 50 milliards de dollars par an, entre R&D et capacité industrielle. Dans ces conditions, l’Europe peut-elle réellement espérer rattraper son retard technologique ? Ou bien faut-il reconnaître que le Chips Act relève davantage d’une stratégie de souveraineté limitée que d’une ambition véritable de rivaliser avec les leaders asiatiques ?

Je profite de l’occasion pour vous dire que je bois vos paroles lorsque vous évoquez, au sujet des limites d’âge, notre capacité à produire du droit. Si nous pouvions rendre contraignantes les lignes directrices du DSA, nous nous épargnerions bien des débats ici et, peut-être, des commissions d’enquête sur les commissions d’enquête !

M. Thierry Breton. Et donc le plaisir pour moi d’être parmi vous, puisque je ne doute pas qu’on m’y inviterait !

On a voulu des règlements pour que précisément ils s’appliquent pour tout le monde – et non pas pour proposer une hégémonie européenne par rapport aux politiques nationales. Je sais qu’un certain nombre de partis politiques voient les choses ainsi mais ce n’est pas le cas. Plus aucun parti politique en France ni même en Europe, me semble-t-il, ne prône la sortie de son pays de l’Europe – même si chacun a évidemment sa propre appréciation quant au rôle des pays. C’est normal, c’est la démocratie.

C’est une évolution majeure par rapport à ce que l’on voyait encore jusqu’en 2015, 2016 ou 2017. Les sondages montrent que nos compatriotes sont tous très attachés à cet échelon européen. Celui publié dernièrement par Le Grand Continent montre, avec des scores incroyables, que tous les Européens savent désormais que l’Europe nous protège.

Je le dis parce que c’est important : si l’on promeut des règlements européens, c’est pour utiliser la puissance que nous représentons ensemble. Or s’il y a un espace qui ne reconnaît pas les frontières, c’est bien l’espace informationnel. J’ai retracé longuement l’historique tout à l’heure, je m’en excuse, mais c’est important de l’avoir en mémoire. Je ne doute pas que ce soit votre cas, mais je pense aussi à ceux qui nous regardent – je sais qu’ils sont très nombreux ! – et que j’espère ne pas avoir embêtés. Il faut comprendre d’où l’on vient pour savoir où l’on va.

Ce qui est très important, c’est que nous ayons une architecture permettant la circulation de nos données dans un marché intérieur enfin unique, et que nous puissions les utiliser sans entraves avec une même régulation. Je pense en particulier, je le redis, aux données professionnelles et industrielles car c’est dans ce domaine qu’il va y avoir des services et des innovations absolument formidables, y compris pour la robotique et l’IA.

Il faut appliquer avec vigueur les lois en considérant non pas qu’elles sont punitives mais qu’elles bâtissent notre architecture : il faut demander à la Commission qu’elle les applique vigoureusement et sans délai. Chaque délai ouvre une faille. Lorsque des drames surviennent sur les réseaux, vos électeurs ne comprennent pas pourquoi on n’a pas agi. Il y a le DSA ? Mais qu’attend-on pour l’appliquer ? Et au bout d’un moment, un certain nombre de pays décident d’agir eux-mêmes, ce qui crée de la complexité et de la fragmentation. Or les règlements sont des lois d’application directe qui s’imposent aux États car on a voulu, dans ce domaine, bénéficier de la globalité et de la profondeur du marché intérieur.

Je le redis : il faut du leadership et de la célérité ! Les choses ne sont pas parfaites, je suis le premier à le dire, mais je vous ai donné des clés : par définition, nous ne pouvions pas tout imaginer, et l’architecture transversale a été pensée pour vous donner à vous, législateur – ainsi qu’à nos successeurs et aux vôtres –, la capacité de faire évoluer les lois, pour les renforcer ou peut-être aussi pour les simplifier.

Je vous le dis : il faut être très vigilants et actifs. Je sors un peu de ma condition mais je voudrais souligner une chose. Compte tenu de la taille de notre pays, nous envoyons un très gros contingent de députés à Bruxelles. Or je sais que pour beaucoup de nos compatriotes, Bruxelles, c’est trop loin : ils votent contre un état d’esprit, contre un gouvernement, contre une mesure en particulier – ce qui est moins le cas évidemment pour un parlementaire français et encore moins pour un maire. Choisir un député européen, pourtant, c’est aussi important que de choisir un député national. Voter, c’est choisir quelqu’un pour porter notre voix, notre façon de voir les choses au niveau du Parlement européen. Le rôle du député européen est très important. Il n’est pas que politique, il est aussi sectoriel.

Croyez bien que je ne porte aucun jugement. Je suis de ceux qui respectent tous les élus. Je parle avec tout le monde, il n’y a pas d’ambiguïté sur ce point. J’ai un profond respect pour la démocratie. Mais ce que j’ai pu voir, c’est qu’en fonction des groupes auxquels ils appartiennent, certains jouent un rôle plus structurant et pèsent davantage que d’autres. Moi qui ai rencontré tous les députés français, je vais vous le dire comme je le pense : souvent, ils étaient moins organisés et moins efficaces que les députés espagnols, allemands ou italiens.

Il faut que la démocratie joue pleinement son rôle pour que nous puissions faire ce que nous avons à faire. C’est vrai pour les électeurs comme pour les parlementaires. J’ai voulu insister tout à l’heure sur le rôle absolument fondamental du Parlement. Les chiffres que j’ai cités – 85 % à 90 % de votes en faveur des textes – montrent que tous les partis ont joué leur rôle, sans distinction.

Le Chips Act, que j’ai aussi défendu, avait une vocation très importante. Alors qu’au début de ce siècle, 20 % à 30 % des semi-conducteurs étaient fabriqués sur le territoire européen, ce pourcentage est descendu à 8 % un quart de siècle plus tard. Est-ce que c’est grave, docteur ? Oui et non. Non dans le monde d’avant qui était un monde de confiance, dans lequel les chaînes de valeur qui structurent la planète étaient enserrées dans des règles de droit et n’étaient pas utilisées comme éléments d’un rapport de force. Ces chaînes avaient souvent été conçues, du reste, pour optimiser la logistique, le coût, la disponibilité, l’accessibilité, la séparation des tâches – donc pour redonner du pouvoir d’achat supplémentaire, à la fin, au consommateur. C’est le rôle qu’elles ont joué. Ce n’était pas une mauvaise approche mais elles n’étaient pas conçues pour être utilisées dans un rapport de force – une chaîne de valeur crée en effet, par définition, de la dépendance.

Or nous sommes entrés dans un autre monde et certaines de ces chaînes sont désormais vécues comme des éléments de dépendance, donc de rapport de force, et peuvent jouer contre nos souverainetés – c’est l’objet de votre commission.

J’ai vraiment poussé en faveur du Chips Act, qui fixe pour objectif de remonter la production européenne à 20 % de la production mondiale à l’horizon 2030 – un objectif qui ne me semble pas inatteignable, même si nous avons pris un peu de retard.

Vous n’imaginez pas les centaines d’heures que j’ai passées, y compris avec mes amis américains, qui ont fait un Chips – creating helpful incentives to produce semiconductors –and Science Act pratiquement en parallèle. J’ai très souvent rencontré ma collègue Gina Raimondo, qui était secrétaire au commerce. Elle m’avait expliqué que les Américains voulaient prendre les chips à très forte valeur ajoutée – c’est-à-dire inférieurs à 2 nanomètres, que les machines d’ASML peuvent pourtant très bien fabriquer – et nous laisser les autres… Il faut lutter contre cette tendance, qui existe toujours ! Il faut impérativement que nous ayons nous aussi la capacité de produire sur le territoire européen tous les semi-conducteurs, y compris ceux de 1,8 nanomètre.

Pourquoi ? Je suis de ceux qui travaillent à réindustrialiser la France. On va y arriver. Je n’ai pas de baguette magique, mais je sais ce qu’il y a à faire. Une usine aujourd’hui n’est plus la même qu’hier : elle fabrique des produits – bien souvent avec des imprimantes 3D ou des robots – de plus en plus finalisés, pour des usages de plus en plus spécifiques. Or la différenciation se fait par l’intégration de semi-conducteurs et de processeurs très avancés, y compris prêts à traiter le résultat de l’intelligence artificielle – c’est-à-dire le savoir hérité, notamment industriel, qui est stocké en Europe et qui ne l’est pas aux États-Unis.

Il est donc nécessaire de rapatrier les usines en Europe pour deux raisons : parce que cela limite la dépendance, et parce que les chips sont nécessaires à la différenciation des produits. Quand vous commandez une voiture, on vous demande si vous la voulez verte, bleue ou rouge et quelles options vous souhaitez. Les produits fabriqués sont beaucoup plus sophistiqués qu’auparavant. Ils intègrent des fonctionnalités d’intelligence artificielle qui les rendent plus intelligents et élargissent leurs capacités. Il n’y a plus un seul produit sans semi-conducteur, pas même votre sèche-cheveux ! Or les semi-conducteurs sont autant de portes d’entrée pour des attaques cyber, d’où la nécessité de se protéger ; c’est la raison pour laquelle j’ai mis en place le Cyber Resilience Act, le règlement sur la cyberrésilience.

Plus on est proche du client, plus on fait de la différenciation, plus on crée de la valeur ajoutée : désormais, les usines de semi-conducteurs doivent être à proximité des lieux de consommation et des lieux de production standard. Si vous produisez à 8 000 kilomètres… – et je ne parle même pas du fait que le trafic maritime passe par sept détroits, dont un et demi est aujourd’hui fermé, ce qui accroît encore nos dépendances.

Voilà les raisons pour lesquelles j’ai conçu le Chips Act, et pour lesquelles je me suis battu pour que nous ayons en Europe les usines les plus avancées.

Le Chips Act permet d’avoir des autorisations beaucoup plus rapides pour construire des usines. Pour le coup, voilà un domaine où on souffre et où il faudrait une loi omnibus de simplification, madame la rapporteure, par exemple pour construire des électrolyseurs. Là, nous sommes vraiment les champions du monde ! Et depuis trente ans que nous accumulons la paperasse, nous avons le recul nécessaire… Il faut donc simplifier et ouvrir ce que, dans notre jargon, nous appelons des vallées.

Mais ce n’est pas tout, et il s’agit de ne pas être naïf. Ni moi ni mes collègues de la Commission ne le sommes, j’espère vous en avoir convaincus : nous ne sommes pas des neuneus ou des imbéciles, nous sommes comme tout le monde, nous avons parfaitement compris. Certains sont simplement plus dépendants que d’autres : les Allemands sont plus dépendants des Américains, par exemple, à cause de l’arme nucléaire. C’est aussi simple que cela, et il faut le gérer.

Mais il faut aussi gérer le fait que certains, comme la Chine et les États-Unis, utilisent des moyens financiers en amont pour accélérer l’implantation d’usines stratégiques. Il nous faut faire en sorte d’être concurrentiels par rapport aux Chinois, aux Coréens, aux Japonais et aux Américains. Pour que nous soyons compétitifs, le Chips Act ouvre la voie à des financements privés – dans des proportions acceptables et comparables à ce que l’on voit dans d’autres secteurs. Les montants sont tout de même très importants et les projets peuvent prendre la forme d’IPCEI (projets importants d’intérêt européen commun), ce qui leur permet de passer en parallèle les fourches caudines du droit de la concurrence – l’objectif étant la réciprocité.

De nombreux projets ont été lancés, dont celui de TSMC en Allemagne et celui de Grenoble. L’industrie des semi-conducteurs est fortement implantée dans la région de Dresde : un autre projet, doté de 20 milliards d’euros de mémoire, y a été lancé avec Intel, qui a rencontré des problèmes mais qui ressort du bois aujourd’hui. Nous verrons ce que cela donne.

Les projets sont là, et ce sont de très gros projets. Les investissements dans les usines atteignent souvent 10 voire 20 milliards d’euros. On y trouve beaucoup de robots de la société anglaise ASML, spin-off de Philips. Ces robots, absolument gigantesques et plus complexes qu’un avion, permettent de réaliser la gravure nécessaire à la fabrication des semi-conducteurs. Leader mondial, ASML détient 90 % à 95 % de part de marché mondiale et l’on trouve ses robots dans toutes les usines de semi-conducteurs du monde. Cela signifie – rapport de force – qu’en ne maintenant plus sa production, on pourrait pousser les usines de semi-conducteurs du monde entier à fermer dans les quinze jours !

On ne va pas utiliser ce levier mais il faut que l’Europe commence à mettre sur la table les attributs de sa puissance et non pas uniquement le marché qu’elle représente, afin de parler d’égal à égal dans un monde qui est désormais – et pour longtemps peut-être – régi par les rapports de force.

M. Hervé Saulignac (SOC). Je voudrais revenir sur le Chips Act, car il est au cœur de ce qui intéresse notre commission d’enquête. La production de semi-conducteurs est un enjeu majeur. Le marché est colossal, approchant les 1 000 milliards de dollars, et il a vocation à croître en raison notamment de l’explosion de l’IA.

L’objectif premier du Chips Act était de stimuler la production de semi-conducteurs mais jusqu’à maintenant, les choses ne se sont pas déroulées comme on l’aurait voulu ; parmi les projets que vous évoquez, certains sont d’ailleurs suspendus ou à l’arrêt. La Commission a donc lancé un Chips Act 2 dont l’adoption, prévue en avril, a été reportée à la fois du mois de mai. On voit bien que les choses ne sont pas simples – ce que l’on peut parfaitement comprendre – et que les industriels trépignent.

Pourquoi le Chips Act n’a-t-il pas fonctionné et que faut-il faire pour que l’acte 2 atteigne son objectif ? Je voudrais souligner que vous me paraissez à ce sujet plutôt optimiste : je souhaite que nous atteignions 20 % de la production mondiale d’ici 2030, mais j’ai à ce sujet un petit doute – qui ne vaut pas grand-chose, je vous l’accorde !

M. Thierry Breton. Il est normal d’avoir des doutes dans un monde d’incertitudes ! Ils ne suffisent pas mais ils doivent guider notre action.

Je vais vous répondre en un mot : il faut du leadership. Ce n’est pas parce que l’on a fait une loi que les choses vont tomber du ciel – c’est vrai dans toute action politique mais en particulier à la Commission européenne, et plus encore sur ces sujets. Eh bien non, ça ne marche pas comme ça, la vie.

J’ai passé un temps considérable – encore une fois, je ne critique personne – avec tous les acteurs du monde de l’industrie des semi-conducteurs. Ils ne sont pas très nombreux mais je les connais tous. Je suis allé les rencontrer, j’ai étudié les projets, je suis allé sur le terrain et j’ai choisi avec eux. S’ils décident de venir, à la fin, c’est grâce à ce leadership.

Certains ont eu peur. Il m’a fallu beaucoup de temps pour convaincre la France qu’il fallait faire le Chips Act, en particulier face aux doutes de STMicroelectronics et de BPIFrance. Je ne dis pas qu’ils étaient timides mais ils voulaient regarder ce qui se passait, parce qu’il y aurait peut-être d’autres fabrications dans d’autres domaines. Chacun a trop regardé ses propres sujets par rapport à l’intérêt général européen. Je ne jette la pierre à personne ; c’est une réaction que je peux comprendre et qui peut être naturelle.

Pour expliquer l’intérêt du projet et montrer que tout le monde va y gagner, il faut avoir une vision plus européenne que purement nationale, sectorielle ou d’entreprise. Il faut du leadership, il faut parler leur langage, il faut mouiller la chemise. Combien de fois suis-je allé à Grenoble pour expliquer ce que nous faisions ? Cela m’a pris du temps, puis cela a bougé.

Je vais vous le dire de façon très libre : j’ai beaucoup de respect pour les équipes dirigeantes notamment de STMicroelectronics, qui font un bon travail, mais combien de fois a-t-il fallu que je leur explique qu’il était important de descendre en dessous de 2 nanomètres ? Ils me disaient, comme d’autres, que c’était une technologie beaucoup trop avancée, qu’il fallait des microcontrôleurs, et que le marché était dans l’industrie automobile.

J’utilise cet exemple pour vous montrer qu’il faut du leadership. Cela demande beaucoup d’énergie d’aligner des vecteurs, mais cela fait partie du travail de ceux à qui l’on confie une responsabilité politique, qui est aussi celle d’entraîner.

Finalement nous avons réussi, mais les choses ne tombent pas du ciel. Ce n’est pas parce que vous adoptez un Chips Act que le travail est fait et que l’on passe au sujet suivant : au contraire, c’est là que commence le problème !

J’ai passé énormément de temps avec TSMC car ils ont été très longs à se décider. À titre personnel, j’aurais mille fois préféré qu’ils choisissent la France plutôt que d’aller ailleurs, mais j’étais commissaire européen. Nous avons tout fait évidemment, au plus haut niveau, pour les convaincre qu’il était aussi important de s’implanter en Europe que dans le Nevada.

Il ne faut jamais oublier que dans le monde dans lequel nous vivons, l’action politique nécessite du leadership. Vous ne pouvez pas confier un tel sujet à vos services, quelle que soit leur qualité : il faut le porter politiquement. Ma collègue Gina Raimondo l’a fait, et elle a effectué un très bon travail. On parle de décisions très lourdes et d’investissements de plusieurs milliards, voire de plusieurs dizaines de milliards d’euros. J’ai été patron, moi aussi : pour un patron, ce n’est pas la même chose d’être face à des femmes ou à des hommes qui représentent une administration durant le temps très court de leur mandat que face à un politique.

Il faut cette double culture, il faut du leadership. Les femmes et les hommes qui occupent ces responsabilités doivent savoir parler ce langage-là, même si ce n’est pas le seul.

L’exemple que vous évoquez est particulier : il faut beaucoup de technicité, peut-être un peu de connaissance du secteur et la capacité de convaincre que vous avez créé un écosystème qui va leur être favorable. Mais cela ne tombe pas du ciel, je le redis.

Alors maintenant, que faut-il faire ? Il faut en permanence être à côté d’eux. Tant que la décision n’est pas prise, il faut être là, être là, être là. On connaît ça dans l’entreprise : tant que le contrat n’est pas signé, il faut être présent, parce qu’on ne peut pas gérer ces problèmes‑là avec une vision purement administrative.

Je n’ai pas la moindre idée de ce que l’on mettrait dans un Chips Act 2 – peut-être une obligation de leadership ?

Mme Cyrielle Chatelain, rapporteure. Vous avez évoqué le rôle particulier de l’Irlande, porte d’entrée des Gafam dans l’Union européenne. La logique de la réglementation européenne repose sur le pays d’origine. Faut-il revenir sur cette approche et sur la place particulière de l’Irlande ? J’ai cru comprendre de vos propos que vous faisiez vôtre l’analyse selon laquelle l’Irlande avait une vision très permissive. Convient-il de renforcer le rôle d’un régulateur européen ? Si tel n’est pas le cas, la France dispose-t-elle d’outils, respectant le droit de l’Union, qu’elle pourrait utiliser ?

M. Thierry Breton. Mis à part le règlement général sur la protection des données, la réglementation est la même dans tous les pays européens, donc vous vous installez où vous voulez : là-dessus, nous avons appris. Reste le RGPD, et là je vais vous dire les choses comme je les pense. Au moment du RGPD, nous avions mis l’accent sur le fait que nous voyions que nos données étaient utilisées – certains vont même utiliser le terme de « pillées » – pour nourrir les services qu’on allait soit acheter, soit nous imposer, soit nous proposer en échange de nos données générées par la consultation des services : une fois encore, la logique biface s’imposait. Cela a eu le mérite de sensibiliser nos concitoyens européens au fait que les données possédaient une valeur marchande.

Mais l’application est très lourde, parce qu’on l’a laissée à la main de ceux qui proposent les services ! Or l’espace informationnel est celui de l’immédiateté et de l’instant : on a immédiatement accès aux services et il n’y a de distance ni physique ni temporelle. Par conséquent, vous ne lisez pas les conditions et vous ne refusez pas les cookies. Tout le monde accepte de transmettre ses données.

Nous avons du recul sur l’application du RGPD. C’est un texte très positif. Nos données personnelles sont essentielles, et très personnelles, comme leur nom l’indique : il faut les préserver, il faut les garder, il faut savoir ce qu’on en fait, il faut décider comment on les monétise et contre quoi.

Avant d’évoquer des lois omnibus sur les cinq acts dont j’ai parlé, on pourrait discuter d’une loi omnibus sur le RGPD : elle serait la bienvenue pour en simplifier l’usage et le rendre plus efficace pour les utilisateurs finaux que nous sommes.

Mme Cyrielle Chatelain, rapporteure. Ma question portait sur le statut de l’Irlande, et j’aimerais vous entendre sur le sujet. Ensuite, on ne touche, dans le cadre de l’omnibus, ni au DSA, ni au DMA, mais à l’AI Act et, potentiellement, au RGPD. Nous avons reçu plusieurs alertes sur le fait que ces évolutions n’apporteraient pas de simplification, notamment pour les TPE et les PME (très petites, petites et moyennes entreprises). En outre, la redéfinition des données personnelles semble, à ce stade, assez dangereuse, puisqu’elle ne les protégerait pas.

M. Thierry Breton. L’Irlande va jouer un rôle beaucoup moins important qu’avant du fait de l’harmonisation normative. Du reste, dans toutes les discussions que j’ai eues, il apparaît que l’Irlande a évolué.

Vous avez raison, on parle essentiellement du RGPD actuellement. Le paradoxe autour du règlement sur l’intelligence artificielle est qu’il n’est en vigueur que depuis le 2 février ; et encore, sa mise en application se fait par tranches jusqu’en 2030. On voit bien que la démarche est tout de même plus idéologique que fonctionnelle.

J’ai quand même mentionné le DSA et le DMA pour appeler votre attention sur ces questions car elles ne sont, me semble-t-il, pas tranchées à l’heure où nous nous parlons, mais vous avez peut-être plus d’informations que moi puisque je m’interdis d’en avoir.

Sur l’Irlande, je suis donc moins inquiet parce que ces lois fondamentales font qu’il n’y a plus d’intérêt à s’installer dans un pays plutôt que dans un autre. En effet, tous appliqueront désormais les mêmes normes de régulation. Comme vous le savez, un board coordonne et contrôle l’ensemble de l’activité de tous les régulateurs : nous avons pris des dispositions qui me semblent répondre à la question. Reste le RGPD.

M. le président Philippe Latombe. L’omnibus fusionne la directive sur la protection de la vie privée dans le secteur des communications électroniques, dite e-privacy, avec le RGPD, ce qui pose un problème.

M. Thierry Breton. Oui, en effet.

Par ailleurs, je ne sais pas si vous l’avez en ligne de mire, mais nous sommes trop souples et pas assez exigeants sur un sujet majeur : depuis 2008, la section 702 du Foreign Intelligence Surveillance Act (Fisa) autorise l’administration américaine à écouter et à regarder tout ce que l’on fait, pour peu qu’on ne soit pas citoyen américain. Des discussions doivent se tenir sur ce thème au Congrès dans quelques mois.

M. le président Philippe Latombe. C’est ce mois-ci que le Congrès doit débattre de son renouvellement.

M. Thierry Breton. Plusieurs parlementaires du mouvement Maga – Make America Great Again – se disent qu’ils pourraient être potentiellement concernés, puisque j’ai compris qu’il y avait des débordements maintenant aussi aux États-Unis, mais nous sortons là du champ des travaux de la commission d’enquête, laquelle ne va certainement pas se lancer dans l’extraterritorialité.

Mme Cyrielle Chatelain, rapporteure. Effectivement, l’alerte sur le DSA et le DMA est réelle : vous avez bien fait de nous rappeler les bienfaits de ces textes.

Vous avez indiqué que l’AI Act avait été critiqué, notamment en France. Vous avez dit que vous respectiez tous les avis, mais que vous connaissiez bien les personnes qui avaient émis des critiques et qu’elles étaient peut-être proches des Américains. Nous n’avons pas la chance de les connaître, donc ma question sera simple : qui sont-elles et quels intérêts servent‑elles ?

M. Thierry Breton. Je vous remercie pour cette question, mais je ne faisais qu’évoquer le rôle des très grands agents, lesquels ont évidemment des moyens très importants, des data centers très puissants et des capacités de calcul très élevées. Tout le monde connaît le rôle qu’ont joué et que continuent de jouer Microsoft et OpenAI en particulier – sans doute avec d’autres. Je n’en dirai pas plus, mais on voit bien qu’une grande attention est portée à ce qui se passe en France et en Europe sur ces questions. Il ne faut pas qu’on soit naïf.

M. le président Philippe Latombe. Le conflit au Moyen-Orient pose-t-il un problème de financement des différents investissements qui ont été promis à la France et à l’Europe au titre de l’intelligence artificielle ? Faut-il être vigilant là-dessus ?

M. Thierry Breton. Monsieur le président, je me demande si vous n’auriez pas lu une petite tribune que j’ai publiée dans Les Échos avant-hier ! Si ce n’est pas le cas, je me permettrai de vous la transmettre puisque j’y traite effectivement de ce sujet…

Je conduis dans ce texte une réflexion d’anticipation, car ces questions commandent une telle approche. J’y fais référence aux signaux annonçant une possible crise de crédit, notamment du crédit privé. Je ne suis pas le seul à le dire : on peut nourrir des inquiétudes en la matière. Dans le domaine de l’intelligence artificielle, des entreprises se sont lancées dans des investissements absolument considérables, notamment en matière d’infrastructures, de data centers, de stockage de données voire de capacités de calcul. Ces investissements, qui se chiffrent en centaines de milliards, sont de très long terme. Or les modèles économiques sont encore, dans la plupart voire dans la presque totalité des cas, assez incertains par rapport aux montants qu’exigent les infrastructures nécessaires au stockage mais aussi à l’entraînement des machines sur le patrimoine informationnel dont je parlais tout à l’heure. Or, plus tout cela est localisé, plus l’accès est rapide, grâce à des supercalculateurs exaflopiques, et plus la capacité de réponse permet l’usage de services d’intelligence artificielle. Il faut donc des investissements. Ceux-ci ont stimulé la floraison de SPV, des special purpose vehicles dans notre jargon. Ces instruments vont avoir leur propre dynamique, souvent financée par des fonds de capital-investissement, pour engager des milliards voire des dizaines de milliards dans une énorme infrastructure. Ce n’est pas porté dans le bilan, c’est à côté ; on va donc le gager. Ensuite, les flux générés vont entraîner une rémunération pendant dix ou quinze ans, et celle-ci va financer l’intégralité du projet hors du bilan – off-balance-sheet en anglais. Ce sont des investissements privés. Voilà un exemple parmi beaucoup d’autres. Ces acteurs-là prennent beaucoup moins de précautions que les banques, notamment celles de taille systémique, dont l’activité est encadrée par des règlements et des covenants beaucoup plus stricts et rigoureux. Le fort développement de cette activité financière commence à créer une interrogation.

On voit des valorisations gigantesques dans le monde de l’intelligence artificielle. Vous avez bien compris que je suis de ceux qui pensent que l’IA va se développer : il faut l’encadrer un petit peu, mais elle va énormément nous apporter. C’est la quatrième phase de la révolution de l’information, qui sera source de nombreuses évolutions et de progrès. Les conséquences sur l’emploi ne seront pas négligeables : il faut en parler mais il ne faut pas nier les progrès qu’engendrera l’intelligence artificielle. Il n’en demeure pas moins que les valorisations de l’IA sont absolument stratosphériques, à tel point qu’on commence à lire qu’il y aurait une bulle de l’intelligence artificielle, tout simplement parce que son développement est assis sur des promesses d’investissements absolument considérables et des valorisations qui sont sous-tendues par ces promesses d’investissements. Pour son introduction en Bourse, OpenAI espère approcher les 1 000 milliards… On est entre 800 milliards et 1 000 milliards de valorisation pour des entreprises dont le chiffre d’affaires est de quelques centaines de millions de dollars. Je ne sais pas exactement où elles en sont, mais on voit que la valorisation est la caractérisation d’une promesse, mais ce sont des montants qui n’ont jamais été atteints dans l’histoire humaine pour des objets de cette nature. Cela signifie que l’entreprise doit tenir ses promesses.

Puisque vous m’interrogez sur l’aspect géopolitique, souvenez-vous que l’un des premiers voyages du président Donald Trump après son élection a été dans les pays du Golfe. Il a commencé par se rendre en Arabie Saoudite, me semble-t-il. Il en est revenu avec plusieurs promesses : 500 milliards ici, 400 milliards là. Il s’est rendu aux Émirats arabes unis, au Qatar, au Bahreïn, au Koweït, et chacun y est allé de ses promesses. Puis il est parti au Japon. Il est rentré avec 2 000 milliards de dollars de promesses faites par les monarchies du Golfe. C’était évidemment avant la guerre qui a été déclenchée à la fin du mois de février. Ces flux de promesses sous-tendent la valorisation et le financement des actifs.

Mais il s’est passé bien des choses depuis le début de la guerre en Iran. Nous subissons tous les jours les répercussions économiques de ce conflit sur le prix du pétrole, sur l’inflation, sur les taux d’intérêt. Mais il y a aussi des conséquences pour les pays du Golfe eux-mêmes, car ils ont été parmi les plus attaqués : ils ont reçu plus de missiles qu’Israël. Je pense en particulier aux Émirats arabes unis. Il y a eu beaucoup de dégâts, y compris sur les infrastructures pétrolières au Qatar et en Arabie Saoudite. Il va falloir reconstruire et revenir à l’essentiel, au cœur de l’activité économique de ces pays.

Et il n’y a plus d’exportations d’hydrocarbures depuis bientôt deux mois : ces pays ne vont pas exporter le double de la quantité habituelle lorsque le détroit d’Ormuz aura rouvert. C’est du manque à gagner pur, qui va se retrouver intégralement dans les déficits. Or ces pays accusent souvent un déficit élevé : la France est forte dans ce domaine, mais l’Arabie Saoudite se défend et connaît un déficit compris entre 4 % et 5 % de son PIB. Ce taux va s’accroître.

L’argent va être réorienté vers l’économie locale, à cause du manque à gagner qui grève les ressources et du besoin de reconstruire les infrastructures. Ces pays vont peut-être commencer à réfléchir à la diversification des routes d’exportations pour ne plus dépendre d’un détroit qui est une source de vulnérabilité.

En outre, ils devront se pencher sur l’architecture de sécurité. Là encore se posera la question de la confiance. L’ensemble des pays du Golfe avaient promis des montants considérables d’investissements aux États-Unis en pétrodollars et avaient, en quelque sorte, confié en grande partie leur défense aux États-Unis. Presque tous ces pays accueillent une base américaine et achètent des équipements militaires américains pour des centaines de milliards de dollars. C’est ce que font également vingt-six des vingt-sept États de l’UE depuis plus de cinquante ans, donc nous savons ce que veut dire sous-traiter sa défense, et nous connaissons les risques que ce choix emporte quand il faut changer – c’est un autre sujet.

Enfin, lorsque j’étais ministre de Jacques Chirac, je me suis rendu très souvent avec lui dans ces pays : il insistait beaucoup sur la fierté de leurs habitants, sentiment tout à fait normal du reste, en particulier ceux qui étaient à la tête de l’État. Alors quand on se fait insulter, comme l’un des grands dirigeants de l’Arabie Saoudite l’a récemment été, l’atmosphère se tend.

Si vous mettez tous ces éléments bout à bout, vous vous dites qu’il sera vraisemblablement compliqué de tenir les 2 000 milliards de promesses. Oui, il y a là, potentiellement, un problème que nous n’avions pas vu venir, parce que nous sommes focalisés sur les conséquences directes et immédiates du conflit. Beaucoup d’entre nous ont une voiture, c’est mon cas, je vais souvent dans la Creuse. L’autre jour, le prix du litre de diesel à la pompe atteignait presque 2,50 euros, niveau que je n’avais pas vu depuis longtemps !

Il ne serait donc pas inutile de se pencher sur le sujet des hypervalorisations. Une idée de nouvelle commission d’enquête, peut-être ?

Mme Cyrielle Chatelain, rapporteure. Vous avez parlé des progrès apportés par l’intelligence artificielle. L’IA, c’est très large, depuis les diagnostics médicaux jusqu’aux usages très précis de l’industrie. Mais les dernières études sur l’IA générative que j’ai lues, notamment celle du MIT, montraient que les retours sur investissement des entreprises étaient assez peu positifs. Auriez-vous des références d’études à nous transmettre ?

Je reviens sur ma question relative au lobbying. Que Microsoft ou OpenAI fassent du lobbying en faveur des Américains n’est pas surprenant, mais dans une interview à La Tribune en novembre 2023, vous avez dit : « OpenAI défend ses intérêts particuliers. À la limite, ce n’est pas choquant, mais autant que les choses soient dites. Je le dis aussi pour tous ceux qui font du lobbying en France : d’où parlez-vous et pour les intérêts de qui ? » Je vous repose la question des acteurs français, qu’ils soient économiques ou politiques : certains d’entre eux ont-ils fait du lobbying contre l’adoption de l’AI Act ?

M. Thierry Breton. Il n’y a aucun problème à faire du lobbying. À Bruxelles, il y a autant de lobbyistes que de journalistes, entre 1 200 et 1 300 personnes de l’une et l’autre catégorie. C’est exactement comme à Washington. Je n’aime pas le terme de lobbyiste parce qu’il a une connotation péjorative, mais on sait très bien à qui on a affaire. C’est pour cela qu’il faut du leadership. Il faut connaître ses sujets, parce qu’on ne peut pas prendre pour argent comptant tout ce qu’on nous dit : il faut savoir qui parle et pourquoi. Cela fait partie de la vie démocratique, pour peu que tout soit transparent. Il ne faut pas d’ambiguïté sur la position que l’on défend et sur les raisons pour lesquelles on la défend. Quand j’ai fait ces cinq lois, j’ai ouvert une consultation extraordinairement large en amont et j’ai demandé à tout le monde de venir nous voir pour que chacun expose ses idées. Je l’ai même fait à guichet ouvert : les entreprises, les ONG, les syndicats, les pays, tout le monde pouvait contribuer. Les consultations ont duré plusieurs mois voire plusieurs années pour certains textes. Cette phase est normale.

Une fois que tout le monde s’est exprimé, que le guichet ferme et que s’ouvrent les périodes de trilogue, alors il faut respecter le temps démocratique. Voilà ce que j’ai voulu dire : il y a un temps pour tout. Chacun s’exprime, puis nous tirons les conséquences des contributions, motivés par le seul souci de l’intérêt général. Lorsque l’on devient commissaire, on va à Luxembourg pour jurer, non pas sur la Bible comme à Washington mais sur le traité, qu’on oublie, pour la durée de ses fonctions, son pays d’origine, pour ne plus servir que l’intérêt général européen. Ce ne sont pas que des mots, c’est un moment très formel et très fort. Après la consultation et l’écoute, vient le temps de la rédaction. Ensuite, nous transmettons les textes au Parlement et au Conseil.

Les lobbies interviennent lors de la consultation, c’est normal. Ils peuvent approcher ensuite les parlementaires : cela se traduit dans certains cas par des amendements, dont certains sont bienvenus, d’autres moins. Le parlementaire, lui aussi uniquement motivé par l’intérêt général, doit faire le tri entre toutes ces demandes, mais certains éléments peuvent être pris en considération s’ils sont suffisamment pertinents – ils repassent de toute façon à la moulinette du vote général. Une fois que ce dernier a eu lieu, que le Conseil s’est également prononcé et que l’on est en trilogue, le lobbying doit cesser. À ce stade, il s’agit uniquement de trouver des concessions entre la position du Conseil et celle du Parlement pour aboutir à un accord sur un texte dans le cadre du trilogue avec la Commission. Comme je voyais que certains ne respectaient pas cette discipline démocratique, je me suis permis d’en rappeler très gentiment les règles. C’est ce que j’ai fait, me semble-t-il, dans le cadre de cette interview.

Mme Cyrielle Chatelain, rapporteure. L’interview est faite pendant la période du trilogue, à quelques jours des derniers arbitrages sur l’AI Act. Vous avez parlé avec raison de transparence et je vous demande un acte de transparence. Vous l’avez dit, des personnes faisaient du lobbying en France : qui ?

Dans cette interview, vous avez aussi déclaré : « La start-up Mistral AI, elle fait du lobbying, c’est normal. Mais nous ne sommes dupes de rien. Elle défend son business aujourd’hui, et non l’intérêt général. » Confirmez-vous ces propos ? Qui faisait du lobbying pour la start-up Mistral AI ?

M. Thierry Breton. Ils étaient plusieurs. Je n’ai plus leurs noms en tête, mais c’est normal, encore une fois, qu’ils aient été là. Simplement, je disais qu’il fallait faire attention : on avait écouté tout le monde, il fallait désormais laisser les colégislateurs décider entre eux.

* *

Audition, ouverte à la presse, de Mme Christel Heydemann, directrice générale du groupe Orange (jeudi 16 avril 2026)

M. le président Philippe Latombe. Madame la directrice générale du groupe Orange, je vous souhaite la bienvenue. La France – ses citoyens, ses entreprises, son administration – est dépendante de solutions et d’infrastructures numériques fournies par des opérateurs extra-européens. Quelles sont, selon vous, nos principales dépendances et vulnérabilités ? Quels risques celles-ci font-elles courir à l’État et, plus généralement, à l’économie ? Y a-t-il des remèdes ?

Avant de vous céder la parole, je vous remercie de nous déclarer tout autre intérêt public ou privé de nature à influencer vos déclarations.

Je rappelle que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter le serment de dire la vérité, toute la vérité, rien que la vérité.

(Mme Christel Heydemann prête serment.)

Mme Christel Heydemann, directrice générale du groupe Orange. Je vous remercie d’avoir souhaité entendre le groupe Orange dans le cadre de vos travaux. La question que vous posez, celle de nos dépendances numériques et de la souveraineté de la France dans ce domaine, est l’une des plus importantes qui soient pour notre avenir industriel, économique et stratégique. Je partage pleinement l’ambition qui a présidé à la création de cette commission, et je souhaite y contribuer avec franchise.

Permettez-moi de commencer par une proposition de cadre de lecture qui, je crois, conditionnera l’utilité de notre échange. La souveraineté numérique ne commence pas avec le cloud ; elle porte sur l’ensemble des couches technologiques, y compris les réseaux. Un cloud, même souverain dans ses statuts juridiques, ne l’est qu’autant que les infrastructures qui le portent le sont également – les fibres, les câbles sous-marins, les interconnexions de données et toute l’intelligence requise pour les opérer. Si ces couches physiques ne sont pas maîtrisées, il n’est pas de souveraineté numérique qui tienne.

C’est précisément sur ce socle, et sur les menaces qui pèsent aujourd’hui sur lui, que je concentrerai mon propos. Je serai évidemment heureuse d’évoquer notre stratégie cloud et nos offres de confiance au fil de vos questions, mais je voudrais commencer par établir ce qui, selon moi, mérite aussi d’être au cœur de vos recommandations.

Je vous proposerai d’abord un état des lieux de ce qu’est vraiment Orange : un opérateur d’infrastructures physiques, dont je vous décrirai les différents maillons – les réseaux d’accès mobile, les fibres, les cœurs de réseau, l’intelligence hébergée dans nos clouds, les câbles sous-marins, les infrastructures satellitaires. Je serai ensuite transparente sur nos propres dépendances, car sur ce point, la franchise me semble la condition d’une conversation utile. Je terminerai en évoquant les textes réglementaires européens en cours d’élaboration – le Digital Networks Act (DNA), le Cybersecurity Act (CSA) – et les enjeux de l’attribution des fréquences satellites qui, en l’état, menacent de fragiliser encore plus les acteurs qui portent les infrastructures dont dépend la souveraineté que vous cherchez à défendre.

Premier opérateur télécom intégré en France, Orange est également présent dans vingt-six pays, au service de plus de 300 millions de clients, particuliers et entreprises. Nous accompagnons par ailleurs les entreprises multinationales françaises et européennes dans plus de cent pays grâce à notre réseau IP mondial, Orange Global Network, qui irrigue 230 points de présence répartis sur tous les continents. Ce qui nous distingue de beaucoup d’opérateurs en France et en Europe, c’est notre nature d’opérateur d’infrastructures physiques. Alors que la majorité des opérateurs, parfois contraints par des raisons financières, ont cédé leurs infrastructures, notamment à des fonds, rarement français ou européens, nous avons fait le choix stratégique d’en garder le contrôle.

Premier maillon de notre chaîne d’infrastructure : les réseaux d’accès – le cuivre par le passé, désormais la fibre jusque chez l’habitant, nos antennes mobiles. Notre réseau fibre dessert 57 millions de prises en Europe, foyers et entreprises confondus. En France, nous sommes également propriétaires du génie civil – la boucle locale, les fourreaux souterrains, les poteaux aériens – sur lequel repose le déploiement de la fibre de l’ensemble des opérateurs. Cette infrastructure, que nous continuons d’entretenir, présente une valeur stratégique reconnue par tous les acteurs du secteur. Nous possédons enfin Totem, notre société de tours télécoms, propriétaire des 26 900 mâts qui supportent nos antennes mobiles, avec un ratio d’occupation en progression continue. S’y ajoutent nos propres data centers, opérés en France et en Europe, qui hébergent les données et les services de nos clients – entreprises et grand public –, ainsi que nos cœurs de réseau, l’intelligence et nos propres systèmes d’information, dans un environnement entièrement sous contrôle. Contrairement à d’autres opérateurs européens, nous n’avons cédé aucun de ces actifs. Ce choix a un coût, mais nous considérons que c’est une force.

Deuxième maillon : l’interconnexion, les réseaux internationaux et les dorsales longue distance. Nous opérons 600 000 kilomètres de fibres terrestres, et nous développons activement ce réseau pour répondre aux besoins croissants en capacité, notamment de la part des acteurs de l’intelligence artificielle (IA). C’est sur ce réseau que repose Open Transit, seul backbone IP Tier-1 d’un opérateur français, une dorsale qui relie l’Europe, les États-Unis, l’Afrique et l’Asie à travers 230 points de présence internationaux et sur laquelle les données transitent, sous notre contrôle et sans dépendre d’un tiers.

Troisième maillon : les câbles sous-marins, qui constituent l’épine dorsale des échanges numériques intercontinentaux. Orange exploite 450 000 kilomètres de fibres sous-marines reliant la France à tous les continents, soit plus de onze fois la circonférence de la Terre. Avec Orange Marine, nous disposons d’une flotte de six navires câbliers, auxquels s’ajoute un navire de reconnaissance de tracé, pour assurer en propre la pose et la maintenance de ces câbles. C’est une capacité industrielle quasi unique en Europe.

Quatrième maillon : nos infrastructures satellitaires. Nous n’opérons pas de satellites mais exploitons nos propres téléports et stations sol, qui constituent des points d’ancrage terrestre à la connectivité par satellite. C’est une capacité essentielle pour desservir les zones non couvertes par les réseaux terrestres et assurer la résilience de nos communications internationales. Orange a également engagé des investissements significatifs pour soutenir la filière spatiale européenne souveraine. Nous avons contribué au lancement de satellites de nouvelle génération aux côtés d’Eutelsat, Thales et Arianespace, dans une logique de filière. Dans cette même perspective, le programme Iris², porté par le consortium SpaceRISE, regroupant Eutelsat, SES et Hispasat, vise à doter l’Union européenne d’une constellation souveraine pour sécuriser les communications critiques des États. Orange y contribue en apportant le cœur 5G, la connectivité des stations au sol et une capacité d’hébergement stratégique à La Réunion, participant ainsi directement à l’architecture technique du système.

Mais Orange n’est pas seulement un opérateur de connectivité et d’infrastructures. Avec 700 chercheurs, un budget de recherche et développement supérieur à 600 millions d’euros par an et plus de 11 000 brevets actifs – ce qui fait de nous le premier opérateur européen en matière de propriété intellectuelle –, nous participons activement à la normalisation mondiale de la 5G, de la 6G et de la cryptographie post-quantique au sein du 3GPP (third generation partnership project), de l’ETSI (European Telecommunications Standards Institute) et de l’ITU (International Telecommunication Union). Orange co‑construit les standards technologiques de demain. Plus de 2 000 entreprises dans le monde utilisent nos technologies sous licence, et nous avançons résolument vers l’indépendance logicielle pour certains éléments de nos stacks. D’ici à 2028, 80 % de nos fonctions réseaux internationaux seront « cloudifiées », contre 50 % aujourd’hui, et 30 % seront développés en open source ou en propre, contre 20 % actuellement. Nous construisons une véritable fabrique logicielle réseau pour réduire notre dépendance aux éditeurs de logiciels propriétaires. Nous ne subissons pas les standards américains, nous contribuons à les écrire et nous travaillons à nous en affranchir là où la souveraineté l’exige.

Ces différents maillons d’infrastructures forment une chaîne que peu d’opérateurs en Europe possèdent de bout en bout. Pour nous, la question de la souveraineté numérique se pose aussi s’agissant de ces infrastructures physiques, car sans elles, il n’est pas de cloud souverain qui tienne. Et sans opérateurs qui les financent et les maîtrisent, elles n’existent pas.

J’en viens à nos dépendances. Elles sont identifiées, assumées, mais risquent d’être aggravées par le cadre réglementaire. Orange n’est pas sans dépendances. Je veux vous le dire clairement, parce que la transparence sur ce point est la condition d’une conversation utile.

En matière de réseaux, nous dépendons de deux ou trois équipementiers pour notre réseau d’accès radio, dont deux sont européens. Nous surveillons attentivement l’émergence potentielle d’un nouveau fournisseur, mais la réglementation européenne pourrait aggraver encore nos dépendances, du fait du Cybersecurity Act – j’y reviendrai. Nos box grand public embarquent des chipsets intégralement fabriqués dans des fonderies taïwanaises, actuellement sous tensions géopolitiques. Nos câbles sous-marins de nouvelle génération sont de plus en plus captés par les investissements des grandes plateformes américaines, lesquelles dominent désormais le financement de nouvelles capacités mondiales. Et sur le marché satellite, la position hégémonique qui se dessine pourrait contraindre nos propres offres.

Mais nos dépendances ne s’arrêtent pas aux réseaux. Comme l’ensemble des grandes entreprises, et comme l’État lui-même, ainsi que vos auditions l’ont amplement documenté, Orange dépend des logiciels et des services cloud des grands éditeurs américains – Oracle, Broadcom pour ses licences, VMware, Microsoft, Tibco, RedHat, Atlassian. Ces dépendances sont réelles ; nous les gérons activement, nous négocions avec fermeté les conditions de renouvellement, nous développons des plans de sortie pour certaines, nous diversifions nos sources quand c’est possible, et nous développons des alternatives souveraines pour nos propres opérations réseau, comme notre telco cloud natif, que nous proposons aussi à nos clients entreprises. Je tiens à le souligner : les solutions que nous trouvons pour nous-mêmes, nous avons vocation à les mettre à disposition de nos clients.

Nous construisons Cloud Avenue, une solution certifiée SecNumCloud, pour les données les plus sensibles des acteurs publics et des opérateurs d’importance vitale (OIV). Avec Capgemini, vous le savez, nous avons conçu Bleu pour permettre aux entreprises et aux administrations d’accéder aux meilleures technologies du marché tout en étant protégées des lois d’extraterritorialité américaines. Orange Cyberdefense protège plus de 50 000 organisations contre les cybermenaces, avec des équipes et des centres de détection entièrement européens. Ce que nous faisons pour nous, nous essayons de le rendre disponible à l’écosystème.

Mais les enjeux de souveraineté doivent être pensés à l’échelle européenne. La fragmentation actuelle de l’Europe et l’absence de marché unique du numérique sont un frein réel, qui entraîne une perte de vitesse dans la durée. Plusieurs textes réglementaires européens en cours de finalisation sont par ailleurs susceptibles d’aggraver ces dépendances au lieu de les réduire. Permettez-moi de souligner un paradoxe général, qui pèse sur l’ensemble de nos capacités d’investissement : l’Europe proclame sa souveraineté numérique, mais elle élabore simultanément des textes qui fragilisent les acteurs qui financent les infrastructures dont cette souveraineté dépend.

Avant d’aborder certains textes sectoriels qui nous concernent directement en tant qu’opérateurs, je me dois de mentionner un phénomène transversal, qui touche l’ensemble des entreprises européennes et qui constitue, à mon sens, l’une des formes les plus pernicieuses de dépendance structurelle : l’accumulation des obligations de reporting et de conformité. Comme toutes les grandes entreprises françaises et européennes, Orange est soumise à un empilement de réglementations sectorielles, horizontales, verticales, nationales – CSRD (directive relative à la publication d’informations en matière de durabilité par les entreprises), CS3D (directive sur le devoir de vigilance des entreprises en matière de durabilité), Dora (règlement sur la résilience opérationnelle numérique du secteur financier), NIS 2 (directive concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union), taxonomie verte, Pay Transparency… Tous ces textes prévoient des états de reporting d’une granularité et d’un volume croissants.

Si nous partageons complètement leurs objectifs, plusieurs de ces obligations produisent des effets contreproductifs dans leur application actuelle. La directive Pay Transparency, par exemple, impose une publicité des écarts de rémunération. Sa transposition, mal calibrée, crée de la rigidité salariale et de la tension sociale, alors que l’objectif était précisément de les réduire. Or les acteurs américains, qui sont nos vrais concurrents pour les talents, n’y sont pas soumis.

Plus largement, nous sommes contraints de publier avec une précision croissante l’état de nos engagements fournisseurs et de nos politiques de ressources humaines. Ce faisant, nous livrons ces informations à des acteurs extra-européens, qui ne sont soumis à aucune obligation symétrique et profitent donc de cette transparence sans la subir. J’aurai l’occasion de revenir tout à l’heure sur un exemple particulièrement frappant de ce paradoxe, à savoir l’extension aux navires câbliers de l’ETS (European trading scheme), le système communautaire d’échange de quotas d’émission. Je le disais, les acteurs extra-européens bénéficient d’une transparence qu’ils n’ont pas à offrir en retour, dans des conditions de compétitivité que les simplifications annoncées dans le cadre du paquet Omnibus n’ont, dans les faits, pas encore substantiellement allégées. Nous subissons des lourdeurs administratives – bilans carbone détaillés fournisseur par fournisseur, audits de chaînes de valeur, rapports ESG (rapports sur les critères environnementaux, sociaux et de gouvernance) d’une complexité croissante – qui absorbent des ressources humaines et financières considérables et constituent autant de handicaps compétitifs au regard d’acteurs qui en sont exemptés.

Je ne demande pas que l’on renonce à ces objectifs, mais que la représentation nationale et le gouvernement portent à Bruxelles un message clair : la simplification réglementaire n’est pas une concession faite aux entreprises, mais une condition de la compétitivité européenne. La réciprocité des obligations doit être au cœur de toute négociation sur les accords commerciaux et les règles d’accès au marché européen pour les acteurs extra-européens.

J’en viens à quatre textes qui nous concernent plus directement, en tant qu’opérateur de réseaux, et sur lesquels je voudrais formuler des attentes précises.

Le Digital Networks Act promeut une ambition que nous partageons : simplifier, harmoniser, approfondir le marché intérieur – comme l’avait proposé Mario Draghi dans son rapport –, soutenir l’investissement. En Europe, nous faisons face à un enjeu absolu de taille critique : la fragmentation, je l’ai dit, est une faiblesse structurelle. Mais si le DNA comporte des avancées réelles, notamment sur le spectre et les licences de longue durée, il manque sa cible sur l’essentiel : il ne traite pas l’équation économique du secteur et ne prévoit pas de mécanisme contraignant de rééquilibrage dans la chaîne de valeur numérique. Ainsi, les grandes plateformes, qui génèrent 50 % à 70 % du trafic sur nos réseaux, ne sont toujours pas tenues de contribuer à due proportion au financement des infrastructures qu’elles utilisent – une asymétrie qui s’accentue chaque année. Par ailleurs, le DNA ne simplifie pas la régulation télécom, initialement conçue pour des marchés en monopole, alors que nous opérons désormais dans un environnement multi-infrastructures fortement concurrentiel. L’accès ex ante généralisé doit céder la place à une régulation fondée sur la réalité des marchés locaux. Sans correction de ces asymétries, les opérateurs européens continueront d’investir sans retours suffisants, et la souveraineté des réseaux restera un vœu pieux.

Le Cybersecurity Act est tout aussi paradoxal. Là encore, l’objectif est complètement partagé. Nous investissons massivement dans la résilience de nos réseaux et Orange Cyberdefense, je l’ai dit, est le premier acteur européen en la matière. Mais la version actuelle du texte nous préoccupe profondément : en réduisant drastiquement le nombre d’équipementiers admissibles sur des segments critiques, sans analyse de matérialité ni de faisabilité, le CSA risque de nous placer entre les mains d’un nombre très limité de fournisseurs. En voulant réduire une dépendance, on pourrait en créer une autre, plus concentrée encore, et demander aux opérateurs d’en financer seuls le coût par des swaps d’équipements massifs, sans mécanisme de compensation. Une politique de sécurité qui affaiblit financièrement les opérateurs qu’elle prétend protéger affaiblit in fine la sécurité de l’ensemble. Nous demandons un principe de proportionnalité réelle dans les obligations et un mécanisme de compensation pour les coûts de swap, qui relèvent de décisions de politique publique et non de défaillances commerciales. La souveraineté ne se construit pas en réduisant l’assiette des équipementiers admissibles à un ou deux acteurs, aussi remarquables soient-ils.

J’en viens aux enjeux satellites. C’est au sujet des services satellites mobiles direct-to-device qu’interviendra probablement le test le plus sérieux de la cohérence stratégique européenne dans les dix-huit prochains mois. Starlink, adossé à Deutsche Telekom, annonce une couverture de 140 millions d’abonnés européens d’ici à 2028. Iris², l’alternative européenne, ne sera pas opérationnelle avant 2029 ou 2030 et n’embarque pas, à ce stade, de projet direct-to-device qui ne serait, en tout état de cause, pas disponible avant 2031 ou 2032. Dans l’intervalle, un acteur non européen, massivement subventionné, pourrait prendre une avance structurelle et irréversible sur le marché mobile européen en accédant directement aux clients finaux, en contournant les opérateurs de réseaux terrestres et en créant une dépendance dont il sera impossible de se défaire.

Or les signaux que nous recevons de la Commission européenne sur l’attribution de la bande 2 GHz sont préoccupants. La souveraineté est regardée comme un facteur favorable, mais à la marge : ce n’est pas un critère d’éligibilité. L’accès wholesale est considéré comme un plus, mais pas comme une obligation. Ce n’est pas suffisant. Sur le Mobile Satellite Spectrum (MSS), le marché se joue ex ante : si les conditions d’attribution de la bande 2 GHz n’incluent pas des critères clairs de souveraineté et d’accès indirect pour les opérateurs terrestres, la souveraineté mobile européenne sera compromise avant même qu’Iris² soit opérationnel – et encore, si tant est que le programme embarque du direct-to-device…

Je terminerai par un exemple qui peut sembler technique, mais qui illustre mieux que tout autre la contradiction entre les ambitions proclamées et les décisions concrètes. L’extension du système ETS aux navires poseurs et réparateurs de câbles sous-marins créera une distorsion de concurrence dont les victimes seront quasi exclusivement les acteurs européens, à commencer par Orange Marine. Les navires basés dans un port de l’Espace économique européen devront acquitter des quotas d’émission, y compris pour des opérations menées hors d’Europe, tandis que leurs concurrents non européens, opérant sur les mêmes marchés mondiaux, n’y seront pas soumis. Les effets en chaîne sont prévisibles et documentés : relocalisation des stocks de câbles hors des ports européens, recours accru à des navires non européens pour les appels d’offres internationaux, pression contractuelle exercée par les grands donneurs d’ordre – dont les Gafam eux-mêmes – pour imposer des bases de maintenance extra-européennes, affaiblissement progressif d’une filière industrielle stratégique. Orange Marine et Alcatel Submarine Networks (ASN) se retrouveront face à un dilemme : perdre des marchés face à des concurrents dont les navires seront basés en dehors d’Europe, ou délocaliser leurs navires pour garder leurs marchés. En pratique, on ne décarbonera pas l’activité, on la déplacera hors d’Europe.

C’est l’illustration parfaite d’une politique qui, sous couvert d’un objectif environnemental parfaitement louable, manque sa cible et dégrade l’autonomie stratégique de l’Union dans un domaine où elle dispose encore d’atouts industriels réels. Si l’Europe veut rester souveraine sur ses câbles sous-marins, elle doit exclure les navires câbliers du champ de l’ETS, ou au moins adapter le dispositif avant son entrée en vigueur.

Votre commission arrive à un moment charnière. La France investit depuis des années dans une ambition de souveraineté numérique, mais celle-ci ne pourra se réaliser si les acteurs qui portent concrètement les infrastructures voient leur capacité d’investissement érodée par des textes européens qui ne prennent pas la mesure de l’équation économique réelle. Nous avons des demandes précises : que le Digital Network Act devienne un texte restaurant la capacité d’investissement du secteur, avec un mécanisme contraignant de contribution des grandes plateformes et une régulation proportionnée à la réalité des marchés ; que le Cybersecurity Act prévoie un principe de proportionnalité réelle dans les obligations de sécurité et un mécanisme de compensation pour les coûts de swap ; que le MSS prévoie des critères contraignants de souveraineté et d’accès wholesale dans l’attribution de la bande 2 GHz, car le marché ne se rattrapera pas après coup.

La représentation nationale est aujourd’hui pleinement éclairée sur la façon dont les investissements des opérateurs télécoms dans les réseaux du futur et leur souveraineté sont contraints, paradoxalement, par le cadre réglementaire même qui prétend les soutenir. Nous espérons que votre commission saura adresser au gouvernement et à la Commission européenne un message très clair sur ces sujets, et nous nous tenons à votre disposition pour contribuer à la construction de ces recommandations. Il n’est pas trop tard !

Nous ambitionnons d’être l’opérateur qui donne à la France et à l’Europe les moyens concrets de leur souveraineté numérique. Nous y investissons chaque année des milliards d’euros. Ce que nous demandons en retour, c’est que le cadre réglementaire européen cesse de travailler contre ceux qui investissent dans les infrastructures dont dépend cette souveraineté.

M. le président Philippe Latombe. Le président du conseil d’administration d’Orange est aussi le président de la French-American Foundation. Selon un article du Figaro de décembre 2023, cette présidence permettrait de propulser Orange dans une autre dimension. Sachant que votre groupe est peu présent aux États-Unis, quel est le sens de cette représentation ? Ces liens influent-ils sur les décisions d’Orange ? Nos travaux portent sur la souveraineté : il est donc normal que je vous pose cette question en préambule.

Mme Christel Heydemann. Le président n’est pas le seul membre du conseil d’administration. Il n’y dispose d’ailleurs que d’une voix !

Vous imaginez bien que notre gouvernance est absolument étanche. Le conseil d’administration valide la stratégie d’Orange, mais son président, qui y siège en tant qu’administrateur indépendant – d’autres membres représentent les différents actionnaires, l’État ou les salariés –, n’intervient en rien dans la direction de l’entreprise.

J’en profite pour préciser que Jacques Aschenbroich, qui préside effectivement la French-American Foundation, ne sera plus président d’Orange à compter de la prochaine assemblée générale, en mai. Il sera renouvelé dans ses fonctions d’administrateur indépendant, mais en raison de la limite d’âge, il sera remplacé au poste de président du conseil d’administration par Frédéric Sanchez.

Mme Cyrielle Chatelain, rapporteure. Votre propos liminaire était très large. Certains sujets que vous avez abordés n’entrent pas directement dans le champ de nos travaux – je pense notamment à vos questionnements sur l’ETS, qui est un système complexe et mériterait un débat spécifique.

Vous avez indiqué qu’Orange co-écrivait les standards. Pourriez-vous nous donner quelques exemples, préciser la forme que prend cette contribution et expliquer les effets de ces standards ?

Au niveau européen, vous demandez la définition d’un objectif contraignant de rééquilibrage s’agissant du financement des infrastructures par les grands acteurs du secteur. J’imagine que vous avez réfléchi à une proposition plus complète. Pourriez-vous nous en dire davantage ?

Vous nous avez également alertés quant à l’attribution des fréquences satellites. Là encore, pourriez-vous être plus précise ? On voit bien l’effet de verrou une fois la dépendance installée.

Mme Christel Heydemann. Orange a largement contribué à écrire les standards des réseaux mobiles jusqu’à la 5G, et il prend activement part aux travaux sur la 6G. On l’a oublié, mais le GSM est né en Europe ; à l’époque, notre continent était leader mondial dans ce domaine. Mais ne nous y trompons pas : aujourd’hui, la Chine est en pointe dans l’écriture des standards de la 6G, et l’administration américaine a mis un point d’honneur à être en avance sur ce pays, tandis qu’en Europe, aucun cadre ni aucun plan n’ont encore été prévus. Les opérateurs européens n’ont, de toute façon, pas la capacité de peser, et les technologies n’existent pas encore – ces enjeux dépassent l’horizon 2030.

En outre, je l’ai dit, nous investissons dans la recherche, en particulier dans le domaine de la cryptographie post-quantique, qui comporte de nombreux enjeux de souveraineté et de sécurité pour toutes nos entreprises, nos administrations et notre société. Là encore, nous menons une bataille technologique contre les deux géants que sont la Chine et les États-Unis. La France a des cartes à jouer, mais la taille critique et les montants investis par ces deux puissances sont sans commune mesure avec ce qui est fait aujourd’hui en France ou en Europe. Nous détenons aussi de nombreux brevets en matière de vidéo sur les réseaux et terminaux mobiles, pour lesquels les numéros 1 et 2 du secteur, Apple et Samsung, nous versent des droits. Nous déposons donc des brevets, et nos investissements dans la recherche continuent de s’inscrire dans cette logique.

L’enjeu de ce que l’on appelle le fair share, c’est-à-dire l’équilibre économique entre nous et les grandes plateformes qui consomment 50 % à 70 % du trafic sur nos réseaux, c’est de faire en sorte que le modèle économique de ces dernières tienne compte de leur impact sur nos investissements. Or, aujourd’hui, leur modèle économique repose sur la croissance du trafic ; ce dernier augmente de 20 % par an sur nos réseaux mobiles, ce qui nous oblige évidemment à réaliser des investissements supplémentaires.

Le rapport de force est déséquilibré : ces plateformes sont cinq à l’échelle mondiale, alors qu’on compte déjà quatre opérateurs dans notre seul pays – rien qu’en Europe, on parle d’au moins quatre opérateurs dans chacun des vingt-sept États membres. Même si nous sommes le deuxième opérateur en Europe et en Afrique, nous n’en restons pas moins à la merci des plateformes ; certes, notre poids nous permet de discuter avec certaines d’entre elles, ce qui les a conduites à déployer des technologies qui réduisent le trafic, mais elles n’ont aucune incitation économique à le faire, et nous n’allons évidemment pas priver les consommateurs, les usagers, de nos réseaux. En raison du principe de neutralité du net, nous n’avons même pas le droit de brider ce trafic.

Nous proposons qu’il existe au moins un lieu d’arbitrage pour forcer le dialogue et les accords entre les grandes plateformes et les différents opérateurs. Le débat n’est pas uniquement européen : il existe aussi aux États-Unis, où ces plateformes contribuent à un fonds pour l’aménagement des réseaux télécoms en zone rurale, et en Asie. C’est un sujet mondial, qui dépasse largement notre seul secteur, mais nous regrettons que l’Europe ne l’inclue plus dans ses textes.

J’en viens à votre question sur les satellites. Nous avons la chance, en Europe, d’avoir des réseaux qui couvrent très bien la population, en particulier en France avec les réseaux fibre et mobile. Le marché ciblé par les constellations satellites ne serait que complémentaire, mais nous sommes très proactifs et avons déjà lancé des offres. Nous voulons proposer la connectivité satellite en complément des réseaux terrestres, car c’est la promesse de la connectivité partout.

Pour éviter la dépendance, puisque c’est là tout l’enjeu, il faut que nous disposions de plusieurs solutions, dont une européenne. Alors que nos partenaires historiques, comme Eutelsat, sont géostationnaires et peuvent donc intervenir à l’échelle européenne, les constellations basse orbite marquent une rupture, parce qu’elles sont, par nature, mondiales. Or la capacité à les rentabiliser sur le marché américain est sans commune mesure avec ce qui est possible sur le marché européen. D’une part, le niveau des prix des offres télécoms sur le marché américain est bien plus élevé qu’en Europe ; nous n’allons pas le déplorer, car c’est très bien pour le pouvoir d’achat et la compétitivité européenne, mais cela crée un espace de marché bien plus grand outre-Atlantique. D’autre part, la couverture des réseaux y est bien inférieure à celle que nous avons en Europe, ce qui signifie que les opérateurs américains – Starlink, mais aussi Amazon, qui est dans la course et vient d’annoncer le rachat de Globalstar – risquent de rentabiliser leurs constellations sur le marché américain avant de couvrir l’intégralité de la planète pour un prix marginal. Il s’agit donc d’un enjeu mondial essentiel.

M. le président Philippe Latombe. Eutelsat vient d’annoncer une augmentation de capital. Pourquoi Orange a-t-il préféré nouer un partenariat commercial au lieu de prendre une participation, ce qui aurait permis de créer des synergies et d’atteindre une masse critique ? Je me pose la même question s’agissant des câbles sous-marins.

Mme Christel Heydemann. Devenir un opérateur satellite ne fait pas partie de la stratégie de l’entreprise. Nous sommes un opérateur de services satellites, et à ce titre, nous sommes un fournisseur d’Eutelsat et d’autres constellations via nos stations terrestres. Pour tous les projets de nouvelles constellations, notamment Iris², la question centrale est celle de notre capacité d’engagement commercial dans la durée. Cela a presque autant de valeur que d’être investisseur en capital, puisque pour faire tourner le business plan de tels projets, il faut des débouchés commerciaux. Les discussions que nous menons dans le cadre du projet Iris² portent, d’une part, sur les services que nous pouvons apporter, et d’autre part, sur la mutualisation des infrastructures existantes, essentielle pour aider à rentabiliser les projets.

Notre métier n’est pas de construire des constellations satellites ; nous ne voulons donc pas investir en capital. Mais la commercialisation de ces solutions européennes, que ce soit sur le continent européen ou en Afrique, est essentielle, car l’enjeu, pour Eutelsat, et désormais pour OneWeb, est de générer des revenus commerciaux. Nous sommes donc un partenaire engagé et absolument essentiel pour leur réussite.

M. le président Philippe Latombe. Et vous ne pourriez pas conclure ce type de partenariat avec Starlink, par exemple ?

Mme Christel Heydemann. Starlink est un concurrent. Il nous arrive, très ponctuellement, de l’intégrer dans nos solutions lorsque des clients entreprises ayant besoin d’un back-up satellite le réclament. Mais que ce soit en Europe ou en Afrique, notre accord porte sur la distribution de OneWeb et d’Eutelsat, non de Starlink.

Dans le domaine de la connexion des terminaux mobiles par satellite, nous testons la solution Starlink en Espagne, en zone rurale, mais nous n’avons pas vocation à la déployer. En France, nous avons lancé une offre avec Skylo, qui utilise les constellations géostationnaires existantes et le spectre MSS, et conclu un partenariat avec AST SpaceMobile et sa filiale européenne SatCo, qui est une joint-venture dans laquelle ont investi de nombreux opérateurs télécoms parmi lesquels deux opérateurs américains, un opérateur saoudien et Vodafone. Il s’agit d’éviter la constitution d’un duopole américain et de nous assurer qu’émerge une solution européenne alternative que nous puissions intégrer lorsqu’elle sera disponible – même si elle ne le sera probablement pas en 2027 ou 2028 pour les attributions de spectres.

M. le président Philippe Latombe. En Espagne, il ne s’agit que d’un test ?

Mme Christel Heydemann. Pour tester la connexion satellite sur mobile, on peut utiliser soit le spectre satellite européen, comme nous le faisons en France avec Skylo, soit une partie de notre spectre d’opérateur mobile, comme nous le faisons en Espagne. Dans ce cas, sur le plan de la souveraineté, le cadre est entièrement contrôlé. L’accord annoncé par Deutsche Telekom vise, quant à lui, à proposer Starlink dans un cadre plus large que son spectre mobile.

Nous avons besoin de notre spectre mobile pour faire face à la croissance du trafic ; nous ne souhaitons donc pas l’utiliser pour le trafic satellite. Par ailleurs, l’utilisation du spectre de réseau mobile, qui est géré au niveau national, est limitée par des problèmes d’interférence. Je m’explique. Nous sommes opérateurs en France et en Espagne, où nous utilisons donc deux spectres distincts, qui ne sont pas cohérents entre eux, de sorte que nous ne pourrions pas proposer de services mobiles dans la zone frontalière. Or l’objectif est tout de même de couvrir des zones montagneuses comme les Pyrénées. L’utilisation de notre spectre mobile terrestre n’est donc pas la solution adéquate. Celle-ci passe forcément par les spectres qui seront attribués en 2027.

Dans le domaine de la communication par satellite, les terminaux mobiles sont un des éléments de dépendance numérique. De fait, ces terminaux sont équipés soit de l’environnement d’Apple, iOS, soit de celui de Google, Android, et sont fabriqués par des entreprises américaines – Apple –, coréennes ou chinoises. Or nous devons travailler avec ces fabricants, car l’utilisation de ces bandes de fréquences implique des changements de firmware, voire de chipset.

Mme Cyrielle Chatelain, rapporteure. Vous avez indiqué que Meta, Microsoft et surtout Google développaient fortement leur activité dans le secteur des câbles sous-marins, notamment transcontinentaux. Quel impact l’intervention de ces acteurs a-t-elle sur le marché et, éventuellement, sur notre souveraineté ? Quels sont les objectifs des partenariats que vous avez conclus avec Google et Meta pour déployer des câbles, notamment vers l’Afrique ? Enfin, envisagez-vous de faire d’Orange Marine un opérateur plus important en le rapprochant d’ASN ?

Mme Christel Heydemann. Les câbles sous-marins sont essentiels dans le métier d’opérateur, particulièrement en France, puisque Marseille est la porte d’entrée de tous les câbles sous-marins qui assurent le trafic entre l’Asie et l’Europe, et la côte atlantique celle des câbles transatlantiques.

Dans certains des pays où nous sommes implantés, notamment en Afrique, la redondance des routes internationales est un enjeu fondamental. Ainsi, il y a un peu plus de deux ans, trois câbles sous-marins ont été sectionnés à la suite d’un tremblement de terre au large de la Côte d’Ivoire, ce qui a plongé dans le noir trois des pays où nous opérons. Nous avons pu utiliser une route terrestre qui nous a permis de rétablir en vingt-quatre heures, depuis le Sénégal, un trafic minimal. Cet incident n’en illustre pas moins l’enjeu que représentent les câbles sous-marins pour la souveraineté des États où nous opérons ou, à tout le moins, pour la continuité de l’activité.

Historiquement, ces câbles étaient installés par des consortiums d’opérateurs télécoms, car aux débuts d’internet, le trafic international passait essentiellement par nos réseaux télécoms. Du fait de l’explosion du cloud et de l’IA, les grandes plateformes internationales que vous avez citées sont devenues les premiers pourvoyeurs de trafic ; nous travaillons donc avec ces acteurs sur de grands projets de câblage. Je pense en particulier au projet 2Africa de Meta – il vise à déployer un câble contournant l’Afrique –, dont nous sommes l’un des co-actionnaires, ce qui nous permet de disposer de capacité et de nous assurer de la création de pattes de connexion vers les pays où nous sommes opérateurs. Lorsqu’il s’agit de câbles reliant la Corse au continent, ou l’Hexagone à la Guyane et aux Antilles, nous sommes les seuls à porter le projet. Parfois, nous allons nous-mêmes chercher d’autres opérateurs comme Google et Meta.

Il est clair que certains des grands projets de ces acteurs visent d’abord à assurer une redondance pour favoriser la résilience de leurs propres services. De fait, la mer Rouge et la mer de Chine sont des zones à risques où passe une partie importante du trafic international. Mais il est vrai que la taille de ces projets leur assure une position qui leur permet d’évincer progressivement les opérateurs. Orange Marine est, pour eux, un partenaire de maintenance, sachant que la pose de grands câbles internationaux n’est pas notre métier – c’est celui d’ASN.

La question de savoir si la position occupée par quelques grands acteurs américains pourrait fermer une partie du marché à Orange Marine et ASN peut se poser, mais elle n’est pas d’actualité – elle se pose également, du reste, à propos des grands projets de câbles chinois. Par ailleurs, nous ne produisons pas les équipements de transmission qui sont posés au fond des océans : nous les achetons à ASN. Ce dernier est donc un partenaire et un fournisseur – nous avons également des projets communs.

Le mariage de ces deux activités serait-il pertinent ? Le projet n’existe pas, à l’heure actuelle. La France a deux champions sur ce marché. Ce n’est pas le cas, par exemple, des pays riverains de la mer du Nord, qui sont très conscients de leur dépendance dans le domaine de la maintenance des câbles sous-marins. Notre savoir-faire est donc envié en Europe. Il faut le partager et éviter de créer une position de monopole.

Je précise par ailleurs qu’Orange Marine est une filiale ; ses activités sont gérées de façon indépendante. Mais, dans les pays africains notamment, sa capacité d’offrir des services de connectivité internationale est perçue comme une des forces du groupe Orange.

M. le président Philippe Latombe. La question de la rapporteure est légitime, car la cession d’Orange Marine a été un temps envisagée. La taille critique étant un atout vis-à-vis des acteurs américains, le mariage de ces deux entreprises – qui ont toutes deux pour actionnaire l’Agence des participations de l’État (APE) – ne permettrait-il pas de créer un champion européen à même de discuter avec les Américains et, ce faisant, de rassurer nos partenaires européens quant à notre capacité d’être stratégiquement autonomes dans le secteur de la pose et de la maintenance de câbles sous-marins ?

Mme Christel Heydemann. À ma connaissance, il n’y a jamais eu de projet de cession d’Orange Marine. L’activité est pérenne et profitable – nous avons même annoncé un investissement dans deux nouveaux bateaux, après en avoir inauguré un il y a deux ans. En revanche, Nokia, qui était devenu propriétaire d’ASN à la suite de son acquisition d’Alcatel Lucent, avait le projet de céder cette entreprise, ce qui a conduit l’APE à en reprendre la propriété.

Je rappelle ce que je disais à propos des enjeux liés à l’ETS : il serait dommage que des problèmes de compétitivité mettent en péril l’activité de ces deux champions français ou que ces derniers soient contraints, pour demeurer compétitifs, de délocaliser leurs flottes de bateaux.

M. Éric Bothorel (EPR). Je salue le projet de nouveau campus d’Orange à Lannion, qui concourt à notre autonomie, donc à notre souveraineté.

S’agissant de l’ETS, je n’ai pas compris quelle était la position de la rapporteure, mais je crois que nous nous accordons sur le fait qu’il représente une menace pour la flotte stratégique des deux entreprises que vous venez d’évoquer.

Mme Cyrielle Chatelain, rapporteure. J’ai justement dit que je ne voulais pas ouvrir le débat !

M. Éric Bothorel (EPR). Je crois néanmoins que ce débat est important. Il est primordial qu’un pays comme la France, doté de façades maritimes importantes, de flottes et d’écoles nationales supérieures de la marine marchande, puisse préserver ces outils de souveraineté qui contribuent de manière essentielle aux infrastructures de transmission des données. J’en profite pour saluer les moyens bloqués dans le détroit d’Ormuz ; pendant la crise du covid, certains n’avaient pas pu être relevés.

Madame la directrice générale, j’aurais aimé vous parler de la distribution de clés quantiques sur fibres à cœur creux, qui sera essentielle pour notre autonomie stratégique future. Mais je réagirai plutôt à l’entretien que vous avez récemment accordé à La Tribune, dans lequel vous avez déclaré que l’Europe passait à côté de sa puissance industrielle, ajoutant qu’elle ne soutenait pas suffisamment ses champions industriels, à la différence des États-Unis et de la Chine. Pouvez-vous préciser votre analyse ? Thierry Breton disait hier que la régulation, qui reposait hier sur la confiance, repose désormais sur le rapport de force – une expression que vous avez employée dans votre propos liminaire.

Par ailleurs, vous semblez suggérer que les consommateurs seraient mieux protégés que les entrepreneurs. Je ne partage pas entièrement votre position, mais je reconnais qu’elle peut prêter à discussion. Néanmoins, nous nous inquiétons également du fait que les instances européennes puissent hésiter à agir avec fermeté lorsque cela est nécessaire. La demande formulée vise simplement à aligner certains dispositifs sur les standards américains, notamment en matière de MSS : conditions d’accès au capital, gouvernance, présence opérationnelle sur le territoire national ou européen, droit d’audit continu et emploi des salariés basés en Europe. Dans ce contexte, pourriez-vous contribuer à sensibiliser les parlementaires français au fait que légiférer au niveau national dans ces matières revient à accentuer la fragmentation de l’Europe tant sur le plan politique qu’économique ?

Mme Christel Heydemann. Une prise de conscience est nécessaire en Europe. La révolution technologique qu’est l’intelligence artificielle nous offre l’opportunité de rebattre les cartes et de reconquérir une partie de notre souveraineté dans le domaine numérique. Mais pour pouvoir remporter ces batailles, il faut être en mesure de mobiliser suffisamment de capacités d’investissement pour atteindre la taille critique. Encore faut-il que, dans leurs secteurs respectifs, les champions industriels européens ne soient pas empêchés d’intégrer l’IA par la fragmentation des réglementations, différentes d’un État membre à l’autre. En effet, pour atteindre la taille critique, les entreprises innovantes – et elles sont nombreuses, en France et en Europe – doivent non seulement avoir accès aux capitaux de marché, mais aussi bénéficier du Marché unique européen. Ce marché de consommateurs, plus important que le marché américain, suscite la convoitise du monde entier. Or il est paradoxalement presque plus facile pour une entreprise non européenne d’atteindre la taille critique et de servir le marché européen que pour une entreprise européenne qui, du fait des nombreuses régulations locales – j’appelle cela la matrice à trois dimensions de la régulation –, peine à traverser les frontières.

Ainsi, avant l’entrée en vigueur du règlement général sur la protection des données (RGPD), la protection des données était réglementée par la directive du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, dite directive e-Privacy. Non seulement ces deux réglementations sont redondantes, mais le RGPD lui-même est transposé de manière très différente dans chacun des États membres. Il en va de même pour la protection des consommateurs, la sécurité ou les modes de paiement, qui varient d’un pays à l’autre, si bien qu’Orange, qui est opérateur dans huit pays d’Europe, est incapable d’étendre immédiatement à l’ensemble de l’Union européenne un service qu’il aurait développé avec succès dans un des États membres ! En revanche, les acteurs américains du web, qui ne sont pas soumis aux mêmes obligations que nous, s’installent souvent dans un des États membres, à partir duquel ils commercialisent leurs services. Pour les services de messagerie instantanée, par exemple, la régulation n’est pas la même pour les SMS et WhatsApp, alors que, pour le consommateur, le service est identique.

Cette fragmentation législative liée à la transposition de la réglementation européenne par chacun des États membres s’apparente, pour les entreprises, à un puzzle de vingt-sept réalités opérationnelles. Un opérateur comme Orange peut y faire face, au prix de certains investissements. Mais pour de plus petites entreprises qui, grâce à l’IA, peuvent devenir les champions numériques de demain, il est plus facile de développer leur activité dans un pays européen puis de partir aux États-Unis que d’atteindre la taille critique en Europe. Le projet de création d’un vingt-huitième régime européen est, à cet égard, une bonne mesure, car il faut absolument permettre à ces entreprises de bénéficier de la taille critique du marché européen.

Pour ce qui est du marché des télécoms, on peut le dire comme on veut, mais la concentration du secteur est essentielle. Il y a actuellement plus de quatre opérateurs dans chaque pays européen. Lorsque vous êtes numéro 1 sur un marché, comme nous le sommes en France, vous avez beaucoup plus de capacité à investir que si vous êtes le numéro 3 ou 4. Par conséquent, si vous n’êtes pas le premier – c’était notre cas en Espagne –, vous êtes condamné, pour pouvoir continuer à investir, par exemple dans la 5G, soit à fusionner avec un autre opérateur – comme nous l’avons fait en Espagne avec MásMóvil –, soit à vendre vos infrastructures pour vous désendetter. C’est ainsi qu’en Italie, Telecom Italia a cédé son réseau fixe à KKR – je n’ose imaginer les débats qu’aurait suscités en France la cession d’une partie d’Orange !

Le fait est que beaucoup d’opérateurs européens ne peuvent plus investir en raison de leur important endettement lié aux investissements colossaux imposés par le déploiement de la fibre et de la 5G. Or il est crucial d’investir dans la sécurité et la résilience des réseaux, ainsi que dans l’adaptation à l’intelligence artificielle. Il est donc nécessaire, pour un opérateur, d’atteindre la taille critique. C’est pourquoi il faut simplifier la régulation, fixer un cadre qui permet les investissements et autoriser une forme de concentration. Il ne s’agit pas de négliger le consommateur, car les enjeux en matière de pouvoir d’achat et de compétitivité sont essentiels, mais nous avons épuisé le modèle qui avait été pensé pour favoriser la multiplication du nombre d’opérateurs. Une forme de rationalisation est nécessaire, faute de quoi certains jetteront l’éponge.

Mme Cyrielle Chatelain, rapporteure. Vous avez peu évoqué la question des data centers. Orange développe-t-il ses propres infrastructures pour stocker ses données ? S’il externalise, quel opérateur a-t-il choisi ?

Par ailleurs, en matière de protection des données à caractère personnel, il nous a été indiqué que les contentieux liés au RGPD – modèle qui s’est d’ailleurs largement diffusé au niveau mondial – sont jugés dans le pays où l’entreprise est implantée, de sorte qu’en pratique, le régulateur européen est l’autorité irlandaise. En l’espèce, la fragmentation me semble donc assez faible.

Enfin, quelle est la différence entre les réglementations applicables aux SMS et à WhatsApp ? Il me semble que le problème n’est pas tant lié à une différence de régime entre les acteurs européens et américains qu’au fait que le développement des services de messagerie instantanée, qui ont pris une énorme place dans notre vie quotidienne, n’avait pas été anticipé. Quelle réglementation pourrait être appliquée à ces services ?

Mme Christel Heydemann. Les data centers, qui sont au cœur du développement de l’intelligence artificielle, sont l’une des briques de nos infrastructures physiques. Du fait de la croissance de l’IA, leur consommation énergétique est en train d’exploser au point qu’aux États-Unis, la fourniture d’électricité fait l’objet d’arbitrages entre, d’un côté, les data centers, et de l’autre, les industries ou la population.

Nous sommes propriétaires de data centers dans chacun des pays où nous sommes opérateurs. Ils hébergent nos cœurs de réseau – lesquels sont de plus en plus souvent « cloudifiés » à l’aide de technologies que nous maîtrisons, en intégrant de l’open source – ainsi que les données du trafic. En France, nous possédons principalement trois data centers – deux en Normandie, un troisième près de Chartres ; ces infrastructures, dans lesquelles nous avons l’intention d’investir, constituent un socle sécurisé qui nous permet d’envisager l’avenir. Nous en avons également de plus petits qu’il est prévu soit de mettre à niveau, soit de faire migrer vers les trois principaux sites.

Ces data centers hébergent les données de l’opérateur, certaines plateformes de services – telles que la messagerie électronique d’Orange, la deuxième la plus utilisée par les Français, que nous avons renforcée et sécurisée, et qui constitue une solution alternative aux solutions américaines –, ainsi que des services que nous proposons à nos clients entreprises, qu’il s’agisse d’hébergement pur ou de cloud sécurisé – je pense en particulier à Cloud Avenue.

Par ailleurs, comme je l’ai indiqué, nous sommes investisseurs dans Bleu. Il n’est pas hébergé dans nos data centers, mais il n’est pas exclu qu’il le soit à l’avenir.

Cela ne signifie pas que nous n’utilisons pas de solutions de cloud public pour une partie de nos données et de nos applications. Nous travaillons en particulier avec Google et Microsoft, toujours dans une logique de diversification, malgré des négociations commerciales souvent complexes. S’il est difficile de se passer de ces plateformes, c’est moins pour l’hébergement lui-même que pour tous les services et les applications qu’elles proposent, et qui permettent en particulier d’appliquer l’IA à certaines données. Les directions des systèmes d’information (DSI) que vous avez auditionnées vous ont sans doute confirmé que renoncer à leur palette d’outils soulevait des problèmes de coûts ou de vitesse d’exécution. Comme la plupart des entreprises, nous utilisons donc à la fois nos propres solutions et celles de ces grands acteurs, essentiellement américains.

Vous avez raison de dire que le RGPD est une règle européenne et que c’est en Irlande que l’Autorité intervient. Cependant, je constate que les modalités d’application retenues par la Commission nationale de l’informatique et des libertés (Cnil) lors de ses contrôles en France sont très différentes de celles qui ont cours dans d’autres pays d’Europe. La jurisprudence française est plus stricte et va plus loin que ce qui est prévu dans les textes européens – nous pourrons vous transmettre des exemples concrets. Pour avoir comparé la jurisprudence dans les différents pays où nous opérons, je ne peux que vous dire que la lecture de la Cnil est parfois beaucoup plus restrictive que celles des agences qui mettent en œuvre le RGPD dans d’autres pays européens ; c’est une interprétation des textes qui n’est pas la même.

La différence principale entre les SMS et WhatsApp réside dans la réglementation. Nous sommes soumis à la directive e-Privacy, une régulation qui s’impose aux opérateurs télécoms mais ne s’applique pas du tout aux acteurs du web. Dans le cadre d’une enquête judiciaire, par exemple, les plateformes n’ont pas l’obligation de transmettre les clés de cryptage au juge qui souhaiterait accéder à certains documents, alors que cette obligation s’appliquait historiquement à tous les services développés par les opérateurs télécoms. Je ne dis évidemment pas que les opérateurs doivent prendre le contrôle de toutes les messageries – je citais WhatsApp, mais il y en a beaucoup d’autres.

La même chose s’est produite lors de la mise en place du standard RCS (rich communication services), qui prévoit l’interopérabilité entre des plateformes qui avaient initialement construit des écosystèmes propriétaires fermés – c’est vrai de WhatsApp, mais aussi d’Apple, qui propose des services à ses clients dans l’environnement iOS. Cela n’a pas été sans frein de la part de certaines de ces plateformes, qui voulaient garder un environnement fermé. Avec le déploiement de ce nouveau standard, on nous demande, à nous, opérateurs, d’être le garant de certaines obligations nationales que les États ne sont pas en mesure d’imposer à ces acteurs extra-européens qui ne sont pas soumis à ces obligations dans tous les pays où ils opèrent. Nous vous transmettrons des exemples plus précis, que vous pourrez insérer dans vos conclusions.

M. Éric Bothorel (EPR). Si je suis sous sanctions américaines, comme le juge Guillou, que nous avons récemment auditionné, m’est-il possible de souscrire un abonnement Orange, fixe ou mobile, et de l’acquitter ? Y a-t-il un système de paiement par l’intermédiaire duquel je serais privé de ma capacité de m’abonner ?

Mme Christel Heydemann. Nous découvrons avec ce cas – et il y en a d’autres – notre intense dépendance à ces différentes technologies dans nos gestes du quotidien. Aujourd’hui, si vous allez en boutique pour souscrire un forfait Orange, on vous demandera votre identité, puisque nous en avons l’obligation. C’est d’ailleurs un autre point de différence avec les grandes plateformes : lorsque vous activez un service de communication web, vous ne déclinez pas formellement votre identité – il vous suffit en général de donner un numéro de téléphone, lui-même authentifié par les opérateurs télécoms. Il nous faudra ensuite numériser votre papier d’identité. Si vous avez sur vous votre carte d’identité, les choses sont simples ; s’il faut se connecter à un site internet pour récupérer un justificatif de domicile et que vous n’avez pas accès au web, comme M. Guillou, nous pouvons le faire pour vous en boutique. Enfin, si vous venez avec un RIB papier, nous pourrons le saisir dans notre système. Nous sommes donc capables d’activer le service sans vous demander de passer par une carte de paiement qui, en l’espèce, serait bloquée.

Mme Cyrielle Chatelain, rapporteure. La réponse est claire : les sanctions ne s’appliqueraient pas pour l’offre Orange, qui est une offre française et européenne.

Mme Christel Heydemann. Absolument.

Mme Cyrielle Chatelain, rapporteure. Vous êtes dépendants pour certaines étapes qui permettent de rendre ce service, mais le service pourrait être rendu.

Vous avez dit posséder des data centers en propre. Vous travaillez néanmoins avec Google et Microsoft pour bénéficier des services des hyperscalers. Pouvez-vous nous préciser le pourcentage et le type de données stockées sur ces hyperscalers ?

Dans la même veine, Orange a signé plusieurs partenariats avec Google Cloud et AWS pour des services que vous proposez à vos clients. Quels sont les objectifs de ces partenariats ? Alertez-vous les clients sur les risques que présentent ces options en termes de droit extraterritorial ?

Mme Christel Heydemann. Il faut distinguer la question des données hébergées dans le cloud de celle des applications que l’on porte ensuite dans des environnements « cloudifiés ». Un exemple de données hébergées dans un cloud public est celui des données liées à notre politique commerciale, c’est-à-dire à la myriade d’offres que nous proposons à nos clients, pour voir combien de clients utilisent ces offres. Ces données marketing sont hébergées dans des environnements cloud pour des raisons de simplification ; il ne s’agit typiquement pas de données personnelles. Nous ne mettons évidemment pas sur ce type de cloud les jumeaux numériques de nos réseaux, qui sont des données essentielles à la sécurité de ceux-ci, car nous travaillons en France dans des environnements SecNumCloud.

Je ne saurais pas vous donner de chiffres, sachant que le pourcentage diffère beaucoup d’un pays à l’autre. Dans certains pays d’Afrique, les données sont hébergées à 100 % dans nos data centers, car il n’existe pas de cloud public disponible ; dans certains pays d’Europe de l’Est, celui-ci est beaucoup plus avancé. La France est à mi-chemin. Ce n’est pas en France que nous sommes les plus avancés dans la migration des données vers du cloud public, pour la simple et bonne raison que nous avons des data centers de qualité et des clouds sécurisés qui n’existent pas forcément dans d’autres pays.

Orange Business propose à ses clients un service de migration de leur environnement IT. C’est un service plus limité que celui des grands intégrateurs IT – vous avez auditionné Capgemini, dont c’est le cœur de métier –, car notre activité principale demeure la connectivité et la cybersécurité, mais nous faisons aussi de l’hébergement cloud. Nous avons donc noué des partenariats avec les grands acteurs technologiques pour bénéficier de leurs compétences, pour nous former et pour être reconnus comme partenaires. C’est un service à vocation commerciale à la portée assez limitée. AWS est le leader du cloud public, mais, paradoxalement, nous collaborons plus avec Microsoft, qui est le leader des outils de collaboration en entreprise ; en effet, les enjeux de téléphonie d’entreprise sont très liés aux enjeux de collaboration.

M. le président Philippe Latombe. Comme vous l’avez dit, il y a des solutions américaines dont on ne sait pas se passer ; c’est le cas de Salesforce. Avez-vous une idée du volume d’activité d’Orange Business lié à ces solutions ? L’association avec des acteurs américains génère-t-elle plus de profit qu’avec des acteurs européens ?

Par ailleurs, Orange Business a noué un partenariat avec Mahindra, en Inde, pour faire du développement. Pourriez-vous nous indiquer combien de salariés et quelle part de l’activité d’Orange Business sont concernés ? J’ai l’impression que cela occupe plusieurs centaines, voire plus d’un millier de personnes. Quelles sont les potentielles dépendances vis-à-vis de l’Inde ? Nous avions posé la question aux établissements bancaires à l’occasion de l’examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, à un moment de conflit indo-pakistanais ; plusieurs banques qui faisaient du développement en Inde, et même du run, étaient sorties du pays. Avez-vous réfléchi à l’éventualité d’un retour ?

Mme Christel Heydemann. Concernant l’activité d’Orange Business, on constate, de façon un peu paradoxale, que nos plus grandes dépendances n’impliquent pas les grands acteurs du cloud, mais plutôt des acteurs comme Cisco. En effet, nous travaillons dans une logique de serveurs en entreprise : pour répondre aux besoins de connectivité, nous avons noué de grands partenariats avec Cisco et HP. Nous travaillons également avec Bull, quoique dans une moindre mesure. Pendant longtemps, l’activité de Bull était totalement intégrée à Atos ; maintenant que Bull a été repris par l’APE, les discussions ont repris.

L’essentiel des activités d’Orange Business est concentré sur les enjeux de connectivité sécurisée pour les entreprises – je vous communiquerai ultérieurement les chiffres exacts. Dans ce contexte, nous sommes propriétaires de nos réseaux. Certes, comme je l’ai rappelé, ces réseaux comportent des dépendances technologiques, mais les dépendances se situent surtout au niveau des équipements placés chez le client : il s’agit des serveurs nécessaires à la mise en œuvre des solutions de connectivité, qui sont de plus en plus logicielles.

Je précise à ce sujet que nous investissons massivement dans notre backbone international. Nous avons créé une plateforme qui héberge un certain nombre de solutions, comme Fortinet ou Cisco, que nous proposons en mode « cloudifié » à nos clients pour permettre leur déploiement plus rapide et être beaucoup plus compétitifs. Nous sommes l’un des rares opérateurs à le faire à l’échelle internationale : nous maîtrisons de bout en bout le service pour nos clients, sur un backbone totalement opéré par Orange.

M. le président Philippe Latombe. Cela veut-il dire que vous avez une solution pour la virtualisation, en dehors de Broadcom ?

Mme Christel Heydemann. Nous avons, comme beaucoup d’entreprises, des dépendances à VMware – car le sujet, avec Broadcom, est essentiellement VMware. Comme beaucoup d’entreprises, donc, nous avons eu avec Broadcom des discussions, qui n’étaient pas des négociations, sur sa politique commerciale, et nous avons lancé des plans de réversibilité pour réduire notre dépendance à VMware. Pour certains de nos clients qui ont de grosses dépendances et qui ont eu la même expérience douloureuse d’absence de négociations sur l’évolution tarifaire de VMware, nous avons conçu la solution Cloud Avenue, qui leur permet de migrer dans notre environnement cloud sécurisé sans gros investissements de réécriture d’applications. Nous avons également développé d’autres solutions en interne afin de réduire le montant de l’addition, à défaut de pouvoir éliminer complètement la dépendance.

Le partenariat que nous sommes en train de finaliser avec Tech Mahindra concerne près de 3 000 collaborateurs, essentiellement en Inde et en Égypte. L’Inde est un pays dans lequel nous comptons de nombreux collaborateurs, que ce soit pour Orange Business, pour notre réseau international ou pour certaines de nos activités groupe, en particulier celles liées à la recherche et à l’innovation.

Ce partenariat avec Tech Mahindra est important à double titre. Il vise, d’une part, à accélérer la transformation de nos services back office et l’automatisation – c’est le volet d’externalisation que je mentionnais –, et, d’autre part, à renforcer notre présence à l’international. Tech Mahindra a pris des engagements fermes de commercialisation, auprès de ses propres clients, de notre produit Evolution Platform, dans lequel nous utilisons notre backbone et nos solutions. Tech Mahindra a donc un intérêt à apporter du chiffre d’affaires à Orange Business, et il s’est engagé à le faire. Sur ce périmètre hors Europe, les enjeux de compétitivité sont essentiels, et nous voulons que les grands intégrateurs IT puissent s’appuyer sur notre backbone pour distribuer leurs solutions plutôt que de travailler avec d’autres. Cela n’affecte pas notre activité et notre capacité à servir nos clients en France.

Mme Cyrielle Chatelain, rapporteure. Vous avez dit que les données hébergées chez Google et Microsoft étaient à la fois des données propres et celles des applications développées sur le cloud. Pouvez-vous nous expliquer ce que cela signifie exactement ? En clair, Orange développe-t-il des applications dont les données sont finalement hébergées sur les clouds de Microsoft et de Google ? Cela veut-il dire que les données partagées par une personne qui téléchargerait ces applications sont stockées sur ces clouds ? Pouvez-vous nous donner des exemples d’applications concernées par cette pratique ?

Mme Christel Heydemann. Nous sortons d’un monde de l’IT où il y avait une application, un serveur, un rack. Tout cela est désormais virtualisé : nous partageons les infrastructures et choisissons quelle application sera migrée vers quel environnement cloud. Ce sont parfois des environnements que nous développons pour nous-mêmes, notamment pour la virtualisation de nos cœurs de réseau ; dans ces cas-là, nous utilisons au maximum l’open source. Nous avons reçu des financements européens pour développer, avec Deutsche Telekom, un telco cloud que nous maîtrisons nous-mêmes – il n’est évidemment pas envisageable d’héberger des jumeaux numériques dans des environnements cloud Azure, AWS ou Google. Il s’agit donc d’applicatifs ou d’applications que l’on migre vers le cloud, soit dans un environnement privé, soit dans un environnement public.

Un exemple : si vous interrogez les grands distributeurs vidéo ou les chaînes de télévision, tout le monde vous dira qu’AWS fournit les meilleurs services de diffusion de vidéo en temps réel pour les acteurs online. Nous avons donc quelques applicatifs qui peuvent tourner dans un environnement AWS. C’est en général l’un des éléments de la chaîne ; nous construisons au-dessus quelque chose que nous maîtrisons. De ce point de vue, l’IA agentique va nous permettre de développer nous-mêmes des éléments pour lesquels nous avons actuellement des dépendances.

Nous sommes de grands promoteurs de l’open source, et nous investissons le plus possible dans l’agrégation de solutions open source. Actuellement, nous nous efforçons de maîtriser les applicatifs qui touchent notre cœur de métier. Pour des applicatifs comme le CRM (gestion de la relation client), nous travaillons avec Salesforce dans certains pays. Pour des applicatifs au service de nos techniciens réseau, nous avons recours à des logiciels non-propriétaires qui sont utilisés par toutes les entreprises de logistique qui emploient des techniciens. Nous avons toute une palette de solutions. Je vous le disais, nous travaillons notamment avec des éditeurs comme Salesforce ou ServiceNow dans nos stacks logiciels.

L’arrivée de l’IA agentique pose beaucoup de questions à ces acteurs, qui veulent autant que possible conserver des environnements propriétaires et garder les clients. Des discussions sont en cours pour ouvrir les connecteurs et reprendre la maîtrise de certains éléments. Orange a la taille critique pour engager de telles discussions, mais ce n’est pas toujours facile. Notre but est de développer de l’IA, au-delà des dépendances que nous avons envers ces éditeurs. La maîtrise de l’IA agentique est la bataille de l’avenir ; c’est d’elle que dépendra l’indépendance numérique, ou pas, de l’Europe. Nous ne devons pas rater la marche. Il faut surtout éviter que les entreprises créent plus de dépendance. Tout cela va très vite, et il faut mettre à profit la taille critique de certains acteurs en Europe pour influencer les politiques commerciales qui sont en train d’être définies. Nous avons réussi à le faire avec certains acteurs américains ; des négociations sont en cours avec d’autres. Nous favorisons toujours ceux qui ont une approche open source pour ne pas nous enfermer dans des environnements sans réversibilité.

M. le président Philippe Latombe. Nous n’avons pas encore parlé d’Orange Cyberdefense. Cette filiale est très connue et incarne une certaine fierté française. Comment voyez-vous la concentration du marché de la cybersécurité depuis le rachat de Vade par Hornet, puis d’Hornet par Proofpoint ? Est-ce une difficulté pour le groupe Orange ? Comment comptez-vous participer à la capacité de cet écosystème à rester le plus européen possible ?

L’arrivée de l’IA agentique, et notamment de Mythos, est-elle selon vous un game changer ? Avez-vous commencé à vous pencher sur le sujet ?

Mme Christel Heydemann. La question de la cybersécurité se pose à deux niveaux : celui des briques technologiques, et celui du service apporté aux entreprises. Orange Cyberdefense propose à ses clients des services pour lesquels nous sommes très dépendants de technologies qui sont essentiellement américaines, et parfois israéliennes : Palo Alto Networks, Zscaler, Microsoft, Fortinet, SentinelOne… Orange Cyberdefense a besoin de ces technologies embarquées pour se protéger et pour protéger les entreprises. Nous avons le choix du fournisseur, mais il y en a très peu d’européens. Nous avons donc lancé un travail pour augmenter notre surface de partenariats européens. Nous avons également recruté Guillaume Poupard, qui m’est directement rattaché, et qui travaille avec Orange Cyberdefense et Orange Business à muscler notre roadmap de solutions de confiance.

Le marché de la cybersécurité reste très fragmenté sur les services ; c’est vrai dans chaque pays d’Europe. Orange Cyberdefense est leader en France, en Belgique et en Suède. Nous sommes également en train d’investir en Espagne et dans tous les pays où nous sommes opérateur, d’abord parce que nous avons besoin de ces capacités pour nous protéger, mais aussi parce que nos réseaux sont des infrastructures critiques qui sont attaquées en permanence car ils sont le moyen d’affaiblir nos clients ou de les espionner. Nous sommes dans un environnement géopolitique où les cyberattaques sont devenues un moyen de manipulation. Parmi les partenaires européens avec lesquels Orange Cyberdefense travaille, je peux citer Sekoia, HarfangLab, une solution 100 % française de protection de nos postes de travail, ou encore Qevlar AI, une société de la French Tech que nous utilisons pour automatiser la détection des menaces.

Nous intégrons désormais l’IA agentique dans nos SOC (security operations centers) pour augmenter leur capacité d’analyse. C’est absolument indispensable pour automatiser et accélérer notre capacité de défense dans un environnement où les interconnexions et la dépendance à quelques solutions logicielles créent des fragilités économiques mondiales. Quand, quelques jours avant l’ouverture des Jeux olympiques, CrowdStrike a eu un bug lié à une mise à jour de Windows, on a d’abord cru qu’il s’agissait d’une attaque cyber ; l’épisode a montré la grande vulnérabilité des systèmes économiques à quelques logiciels. Dans cet environnement, l’enjeu, c’est à la fois la vitesse de détection des vulnérabilités et celle à laquelle nous sommes capables de les « patcher ». C’est là que l’IA, en particulier Mythos, est redoutable : la moindre vulnérabilité identifiée est immédiatement exploitée par des attaquants. Nous avons des plans pour « patcher » en permanence les vulnérabilités, mais ces dernières viennent malheureusement des logiciels que nous embarquons : il faut donc du temps pour que nous en soyons informés, et du temps pour que nous puissions les « patcher ». Ainsi, lors d’une crise de cybersécurité – nous n’en avons pas tous les jours, contrairement aux cyberattaques, pour lesquelles nous accompagnons également nos grands clients –, tout réside dans notre capacité à « patcher », à monitorer, à voir s’il y a une intrusion et des fuites de données.

Mythos et OpenClaw sont vertigineux de menaces et de risques pour l’écosystème. Faut-il nous-mêmes les utiliser pour découvrir nos vulnérabilités, au risque de ne pas savoir les « patcher » suffisamment vite ? C’est une question qui dépasse Orange et que se posent toutes les entreprises. Si les grands groupes du CAC40 ont les compétences pour y répondre, il n’en est pas de même au niveau du tissu industriel de nos fournisseurs, de nos partenaires et de nos prestataires, qui sont souvent des PME et qui n’ont ni le savoir-faire, ni les compétences, ni la bande passante qui leur permettent de maîtriser ces sujets. C’est le marché sur lequel Orange Cyberdefense déploie en priorité ses solutions automatisées de gestion à distance, qui sont l’un de ses relais de croissance.

M. le président Philippe Latombe. Avez-vous aujourd’hui les moyens de vos investissements ? Vous distribuez un taux de dividende relativement important par rapport à vos bénéfices : est-ce une demande de l’APE, en tant qu’actionnaire principal d’Orange ? D’ailleurs, l’APE vous a-t-elle donné une feuille de route en matière de souveraineté ? Y a-t-il des discussions de cette nature au sein du conseil d’administration ?

Mme Christel Heydemann. La gouvernance de l’entreprise est solidaire. L’APE, qui s’exprime au conseil d’administration d’Orange, est donc solidaire des décisions qui sont prises par celui-ci en matière de rémunération des actionnaires. Je vous laisse donc interroger l’APE sur sa politique en tant qu’investisseur.

La principale idée que nous avons en tête, c’est que nous sommes, en Europe, sur des marchés matures en forte transformation. Quand on est l’opérateur numéro 1 dans un pays, on a une plus grande capacité à investir dans la durée. Nos investissements ont été historiquement tournés vers les réseaux d’accès que sont la couverture mobile et la fibre. Nous sommes même l’opérateur qui a le plus développé la fibre en Europe : plus de 100 millions de foyers ont été raccordés par Orange. Cela fait d’Orange le champion incontesté de la fibre en Europe. Maintenant que ces investissements sont derrière nous, la pression a baissé : de ce fait, nous avons moins d’investissements en France, et c’est une chance, car nous avons désormais besoin d’investir dans la capacité de nos réseaux mobiles et dans la résilience de nos réseaux au sens large, y compris par la redondance. Au-delà des attaques cyber, le changement climatique fait peser des risques accrus sur nos infrastructures physiques – tempêtes, inondations, incendies, éboulements –, et paradoxalement, un opérateur comme Orange, qui a fait le choix d’être un opérateur d’infrastructures, a une surface de risques plus large.

La vraie question est celle de notre capacité à investir dans des secteurs adjacents comme l’IA, le cloud et le développement de solutions open source, et à aider l’écosystème d’innovation à « scaler » en Europe. Pour ce faire, nous devons libérer des marges d’investissement dans la durée. Nous sommes l’un des rares opérateurs à avoir maintenu un effort de 600 millions d’euros d’investissements dans la recherche. Cela ne nous empêche pas de rémunérer nos actionnaires. De ce point de vue, les demandes de rendement de l’APE ne sont pas différentes de celles de nos salariés retraités, mais ce n’est pas en ces termes que se posent les débats au conseil d’administration.

Nous venons de mener la plus grosse opération de consolidation en Espagne en fusionnant avec MásMóvil ; nous sommes en train d’obtenir les autorisations pour reprendre le contrôle de cet opérateur, qui est le deuxième d’Espagne, avec 10 millions de clients de plus que Telefónica. C’est un investissement de plus de 4 milliards d’euros que notre bilan nous permet. Comme vous le savez, des discussions sont en cours sur l’avenir de SFR, et nos marges de manœuvre nous permettent également d’investir dans des opérations de consolidation sur notre premier marché.

L’enjeu de l’innovation dans des technologies adjacentes réside avant tout dans notre capacité à devenir une plateforme qui permette à l’écosystème d’innovation de passer à l’échelle. Les innovations technologiques ne viendront pas toutes d’Orange ; au contraire, nous sommes dans un environnement où l’open source et la capacité à agréger des technologies sont essentiels. Il faut donc faire bénéficier les entreprises de notre taille critique, de nos environnements sécurisés et de nos investissements dans les infrastructures – je parlais de notre backbone international, mais il y a également les data centers… Nous devons promouvoir ces atouts. C’est tout l’enjeu du Digital Networks Act que de permettre aux grands opérateurs télécoms de contribuer à la souveraineté numérique. Nous en discutons avec Deutsche Telekom en Allemagne, avec Telefónica en Espagne, avec Vodafone en Angleterre et avec l’ensemble des opérateurs européens.

Mme Cyrielle Chatelain, rapporteure. Vous avez beaucoup parlé de votre offre Cloud Avenue, certifiée SecNumCloud. Pourquoi avoir développé Bleu ? Quelles sont les différences ? Quel est le rôle d’Orange dans ce partenariat avec Capgemini et Microsoft ?

Mme Christel Heydemann. Vous le savez, Bleu date d’avant mon arrivée à la tête d’Orange – je n’étais alors qu’administratrice. Cette offre répond à une problématique d’entreprise importante. La norme SecNumCloud s’impose aux entreprises comme Orange, qui opèrent des applications dans de nombreux pays d’Europe. Ces solutions tournent dans des environnements Azure, mais en France, les mêmes applicatifs doivent être opérés dans un environnement SecNumCloud. D’où la création de Bleu, dont tout l’intérêt est de garantir l’immunité extraterritoriale dans des environnements Azure.

Il n’y a pas d’indépendance technologique, puisque les briques restent celles fournies par Microsoft. Mais celui-ci investit massivement pour créer un environnement Azure déconnecté de son cloud mondial, et il le fait pour deux pays européens : la France, avec Bleu, et l’Allemagne, avec SAP Delos Cloud. Nous avons absolument besoin de cette offre pour sécuriser certaines applications et les migrer dans un cloud dans un environnement SecNumCloud, ce qui permet à certaines entreprises de se « dérisquer » au regard de l’extraterritorialité américaine – c’est d’ailleurs tout le sens de cette norme.

Orange est investisseur de Bleu, à hauteur de 50 %, avec Capgemini, mais c’est aussi l’un de ses clients, dans certaines de nos activités, et l’un de ses partenaires, pour ce qui concerne Orange Business. Reste que Bleu est autonome : il y a un directeur général, une équipe. Il travaille avec tous les intégrateurs et démarche les clients qui sont dans sa cible. Cela ne nous empêche pas, je l’ai dit, de développer des solutions en propre. Cela étant, en matière de cloud public certifié SecNumCloud, Bleu est une solution et le concurrent, d’une certaine façon, du S3NS de Google. Ce sont les deux solutions en France.

Je précise qu’il s’agit d’un environnement français. Dans de nombreux autres pays d’Europe, la norme SecNumCloud n’existe pas, et l’EUCS, la certification européenne de cybersécurité pour les services cloud promue par le Cybersecurity Act, est bien moins protectrice. Nous sommes d’ailleurs les premiers à promouvoir, à Bruxelles, un EUCS+. Il faut prendre conscience du monde dans lequel on vit !

En somme, Bleu est une des solutions. Ce n’est pas la seule – ni la seule que nous utilisons, ni la seule à répondre aux exigences. D’ailleurs, avec nos clients entreprises, nous travaillons aussi bien avec Bleu qu’avec OVHCloud ou nos solutions cloud. Ce sont les clients qui choisissent leur environnement.

M. le président Philippe Latombe. Je note que votre réponse est plus allante que celle de votre co-investisseur, qui ne nous a pas dit tout l’intérêt de Bleu pour Capgemini comme vous venez de le faire pour Orange.

Mme Cyrielle Chatelain, rapporteure. SecNumCloud est effectivement une norme française, et nous plaidons pour son déploiement au niveau européen afin de renforcer notre souveraineté. Si j’ai bien compris, vous disposiez déjà d’une offre SecNumCloud, mais l’intérêt de Bleu est, grâce à une capitalisation d’acteurs français, d’offrir une protection à l’endroit des lois d’extraterritorialité, et de vous permettre d’utiliser les mêmes applicatifs Azure que dans d’autres pays tout en répondant aux exigences de souveraineté imposées par la France.

Concrètement, comment l’étanchéité des données est-elle garantie au sein de Bleu ? Quid des mises à jour d’Azure ? Sont-elles assurées par des opérateurs situés en France ou doivent-elles être réalisées à distance ? Quelles garanties avez-vous que Bleu ne repose pas sur la solution Azure de base, celle qui serait utilisée ailleurs ?

Mme Christel Heydemann. Comme je l’ai dit, Orange n’est qu’investisseur dans Bleu. Celui-ci a un directeur général et un conseil d’administration, où Orange et Capgemini ont chacun trois représentants. Je ne fais pas d’ingérence.

Ce que nous savons, c’est que Bleu est une société française, avec des salariés français, qui n’a pas d’activité en dehors de l’Union européenne. Ses centres de données sont situés en France, et ses serveurs opérés exclusivement en France, par des collaborateurs de Bleu. Les données sont hébergées en France et ne peuvent pas quitter le territoire – c’est l’essence même de la technologie air gap développée par Microsoft. Bleu a été conçu dès le départ pour répondre aux exigences SecNumCloud 3.2. Le processus de certification par l’Agence nationale de la sécurité des systèmes d’information (Anssi), lancé au milieu de l’année dernière, est en cours. L’agence est en train d’éplucher les modes opératoires, et vous pouvez lui faire confiance pour ne pas passer à côté de quelque chose !

Les applications que nous hébergeons, ou que nous portons, et qui opèrent dans des environnements Azure ne sont pas physiquement hébergées dans les mêmes data centers. Dans certains pays, l’environnement Azure n’est pas lié à une notion de localisation puisque, par nature, c’est un cloud mondial, même s’il peut y avoir des formes d’européanisation. Pour Bleu, c’est très différent : Microsoft n’accède pas à la technologie, et l’offre, encore une fois, est totalement étanche au Cloud Act, puisqu’elle est assurée par des collaborateurs en propre et que les deux actionnaires sont Orange et Capgemini.

Mme Cyrielle Chatelain, rapporteure. Effectivement, l’Anssi travaille sur le sujet. Nous l’interrogerons sur cette technologie air gap pour mieux comprendre comment elle fonctionne.

La question des mises à jour est essentielle. D’après les déclarations publiques de l’Anssi, Bleu semble effectivement offrir une protection à l’égard des lois extraterritoriales, ce qui confirmerait qu’il n’est pas possible d’accéder aux données à distance. Mais vous savez comme moi que cette question n’est pas liée à la localisation des données, mais à l’opérateur de la capacité où elles sont stockées.

Il semblerait, toujours selon l’Anssi, que Bleu repose sur une technologie Microsoft ; cela signifie, en termes de kill switch, que l’absence de mises à jour engendrerait à terme des failles de sécurité susceptibles de rendre la technologie obsolète. Comment s’organise la collaboration entre Bleu et Microsoft sur cette question cruciale ? Nous avons du mal à savoir jusqu’où Microsoft opère dans la technologie et ce à quoi il a accès.

Mme Christel Heydemann. Ce qui est sûr, c’est que Bleu n’aura jamais les dernières fonctionnalités d’Azure, puisqu’il faudra du temps pour les porter dans sa roadmap.

Dans l’hypothèse où l’on empêcherait Bleu de bénéficier de mises à jour logicielles, on serait dans une forme d’arrêt de maintenance dans la durée qui conduirait à l’obsolescence technique. Mais, paradoxalement, les environnements « cloudifiés » permettent beaucoup plus facilement les mises à jour qu’un certain nombre d’autres solutions logicielles qui ne sont plus maintenues par leur fournisseur. Nous avons beaucoup de telles solutions chez Orange, et ce risque m’inquiète bien davantage, car il faut alors être capable d’investir pour mettre à niveau les environnements. Si vous n’êtes pas dans un environnement cloud, il est quasiment impossible de mettre à jour manuellement des solutions qui ne sont plus maintenues.

Nous parlions tout à l’heure d’attaques cyber dans un monde fait d’IA. Bleu travaille avec Orange Cyberdefense ; nous avons donc des capacités de protection. On peut toujours imaginer un scénario catastrophe qui mettrait le monde à l’arrêt, mais le problème dépasserait largement Bleu : il y aurait bien d’autres enjeux !

En revanche, j’insiste sur le nombre de solutions éditeur qui ne sont pas maintenues ou arrivent en fin de maintenance, et sur le risque que cela représente pour les entreprises, y compris pour Orange. Nous avons de nombreux projets de migration, d’extinction… La dette technique est un enjeu essentiel pour toutes les DSI, et elle est d’autant plus importante que l’entreprise est ancienne.

M. le président Philippe Latombe. Au-delà de la dette technique, nous ne pouvons pas négliger le contexte géopolitique. Qui aurait imaginé, il y a deux mois, que les Américains organiseraient le blocus maritime du golfe d’Aden ? La situation du juge Guillou nous le montre : il faut se préparer à tout. C’est pourquoi je vous ai interrogé sur la cybersécurité. Comment sécuriser Microsoft 365 quand la seule entreprise européenne qui en était capable, Vade, est rachetée par Hornet, qui est à son tour rachetée par Proofpoint ? Dans le contexte actuel, il est tout de même gênant de devoir s’en remettre aux Américains.

Mme Christel Heydemann. Tous les conseils d’administration s’interrogent sur leurs plans de continuité d’activité dans le contexte géopolitique actuel. Mais la migration intégrale des environnements d’une entreprise, qu’ils soient hébergés sur Azure ou fournis par Microsoft, prend plusieurs mois. Si vous en avez le temps, vous pouvez l’envisager. Mais si vous avez besoin de plans de continuité, mieux vaut recourir à des solutions comme celle de Bleu, qui garantit la pérennité de votre activité. Pour notre part, nous utilisons, outre l’environnement Microsoft, des solutions de collaboration open source, que nous proposons également aux clients d’Orange Business. Je pense à la solution Live Collaboration, qui agrège des briques open source et nous permet d’être indépendants. Mais encore une fois, la migration de l’ensemble des postes, dans tous les pays où le groupe est implanté, vers cette solution prendrait trois ans. Compte tenu de la vitesse à laquelle surviennent les crises géopolitiques, ce n’est pas envisageable.

Qui plus est, une telle migration aurait un coût qu’en raison de l’environnement de compétitivité et de pouvoir d’achat européen, beaucoup d’entreprises ne peuvent pas se permettre. Pour celles qui évoluent dans un environnement critique ou régulé, la question du coût d’un environnement sécurisé ne se pose pas, mais d’autres n’ont pas d’autre choix que d’utiliser ce type de technologies. Pour celles-là, la véritable question qui se pose est celle de leur plan de continuité d’activité. Elles doivent faire des choix par défaut, je vous l’accorde ; mais c’est la réalité des dirigeants d’entreprise.

M. le président Philippe Latombe. La dépendance commence aussi à coûter cher du fait de l’augmentation du prix des licences, notamment celles de Microsoft. Mais je note que Bleu est une solution intermédiaire, et cela me convient.

M. Éric Bothorel (EPR). Cela me convient également.

Quels enseignements tirez-vous du bombardement de data centers en Ukraine ou, plus récemment, à Bahreïn et aux Émirats arabes unis ? Serions-nous plus résilients si nous concentrions moins ces infrastructures sur notre sol ou si nous recourions à des systèmes interconnectés permettant des back-up internationaux ? La menace n’est certes pas immédiate, mais elle se rapproche.

Mme Christel Heydemann. Il est parfaitement utopique de penser les data centers sans prévoir leur connectivité et les réseaux de communication à même de les relier. Sans aller jusqu’à imaginer un bombardement, que se passe-t-il en cas d’outage, comme c’est arrivé récemment en Espagne ? En général, les data centers bénéficient de systèmes de secours qui leur permettent de continuer à être alimentés en énergie. Mais si une panne survient, la résilience est assurée par la technologie cloud, qui permet de basculer vers le reste de l’infrastructure. La performance peut être affectée, car la puissance de calcul est moindre, mais cela tient. C’est la démonstration que des environnements non « cloudifiés » hébergés dans un data center présentent davantage de risques que des environnements « cloudifiés ». Maintenant, si un data center tombe, que vous êtes privé d’environnements redondants et de réseaux de communication ou que ceux-ci sont également coupés, cela fait mal !

Nous vivons dans un monde très dangereux. Nous avons d’ailleurs lancé des solutions de protection contre les drones, que nous utilisons dans nos propres data centers en France. Nous sommes donc conscients du niveau de la menace. Je ne pense pas que les professionnels qui travaillent sur ces questions aient été totalement surpris par les événements récents. C’est plutôt la diversité des scénarios et la vitesse à laquelle ils sont mis en œuvre qui en surprend beaucoup ! Je précise qu’en tant qu’opérateur en Pologne, en Roumanie, en Slovaquie et en Moldavie, nous sommes, depuis quelques années déjà, aux premières loges du conflit entre la Russie et l’Ukraine. En Pologne et en Roumanie, où Orange est l’opérateur historique, nos équipes ont évidemment avec les autorités un dialogue permanent sur la sécurité des infrastructures numériques, des réseaux et des data centers.

M. le président Philippe Latombe. Merci beaucoup, madame la directrice générale. C’est avec plaisir que nous lirons vos réponses écrites au questionnaire que nous vous avons envoyé, ainsi que d’autres éléments que vous voudrez bien nous transmettre sur les divers sujets que nous avons évoqués.

* *

Audition, ouverte à la presse, de Mme Maya Noël, directrice générale de France Digitale (jeudi 16 avril 2026)

M. le président Philippe Latombe. France Digitale est une association qui représente des start-up et des investisseurs dans le secteur du numérique et de l’innovation ; vous indiquez, madame Noël, avoir pour mission de faire émerger des champions européens du numérique. Notre économie est très dépendante des technologies et des services fournis par des entreprises extra-européennes. Est-ce, selon vous, une menace pour notre indépendance ? Comment faire émerger des solutions françaises et européennes ?

Je vous remercie de nous déclarer au préalable tout autre intérêt public ou privé de nature à influencer vos déclarations.

L’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter le serment de dire la vérité, toute la vérité, rien que la vérité.

(Mme Maya Noël prête serment.)

Mme Maya Noël, directrice générale de France Digitale. Je vous remercie pour cette invitation à venir témoigner devant vous dans le cadre de vos travaux.

France Digitale est une association loi 1901 dont les membres sont des entreprises innovantes et des fonds d’investissement en capital-risque. Elle réunit plus de 2 000 entreprises, qui couvrent à peu près tous les secteurs du domaine – cloud, quantique, robotique, places de marché en ligne, logiciel, santé, IA (intelligence artificielle) – et qui ont en commun d’avoir leur siège social en France ou en Europe.

Notre objectif est double : défendre les intérêts de cet écosystème auprès des pouvoirs publics français et européens – c’est ce que je fais aujourd’hui – et participer à la croissance organique de nos membres, en les mettant en relation avec différents fonds d’investissement et des grands groupes avec lesquels ils peuvent contractualiser. L’association est donc à la fois un porte-voix du secteur et un outil concret de développement.

Si les vulnérabilités et les dépendances numériques sont aussi prégnantes, c’est parce que le numérique est désormais présent dans tous les aspects de notre vie économique et sociale. Comme pour tout progrès dit de rupture, son déploiement et sa maîtrise sont la condition de notre prospérité et de notre sécurité. Le numérique fait partie de ces révolutions technologiques qui vont décupler nos capacités et nous permettre de produire mieux et davantage, comme ce fut le cas de l’électricité ou des premières machines. Comme le souligne le rapport de Mario Draghi, les gains de productivité présents et à venir pour nos sociétés sont intégralement corrélés à la diffusion de ces technologies numériques. Le numérique n’est donc pas un pan d’activité comme un autre : il fait partie d’un socle sur lequel repose la viabilité de notre économie.

Face à ce constat, comme pour toute vague d’innovation, trois approches différentes sont possibles : premièrement, refuser le déploiement de ces technologies et décrocher ; deuxièmement, investir pour développer et déployer nos propres technologies ; troisièmement, prendre la vague avec le concours de technologies étrangères. La France et l’Europe oscillent entre la deuxième et la troisième, d’où le problème de la dépendance : avec la troisième option, on penche vers un modèle de dépendance généralisée. Même si cette dernière option présente des avantages en ce qu’elle permet de bénéficier de services numériques, elle nous expose à trois vulnérabilités.

La première est d’ordre économique. En effet, ces technologies ne sont pas gratuites : des milliards d’euros sont dépensés chaque année et alimentent des acteurs étrangers, ce qui fragilise l’économie. La deuxième est politique : si notre économie dépend de biens et de services que nous ne sommes pas capables de produire, nous serons fragilisés vis-à-vis des puissances qui les fournissent. La troisième est sociétale : nous maîtrisons moins bien les technologies que nous importons que celles que nous produisons, et comme, en outre, le numérique touche à la formation, nous sommes exposés à des risques d’ingérence étrangère et d’espionnage ou de manipulation d’opinion.

Ces vulnérabilités tiennent en premier lieu non pas à un déficit de réglementation ou d’encadrement, mais au défaut d’offre souveraine. D’après un rapport de la Commission européenne publié en 2023, l’Europe dépend de pays étrangers pour 80 % de ses produits, services, infrastructures et brevets liés au numérique.

Pourquoi la France et l’Europe n’ont-elles pas su construire un secteur numérique à la hauteur des besoins ? Pourquoi, alors que nous avons des ingénieurs, des capitaux et des marchés, avons-nous laissé d’autres acteurs occuper le terrain ?

Le secteur du numérique, qui est en constante mutation, est intensif en capital. Et ce capital s’obtient, schématiquement, de trois manières : soit grâce au soutien public – subventions ou contrats publics –, soit grâce à des investissements privés, soit par la commande privée. Or, sur chacun de ces volets, les entreprises innovantes européennes sont désavantagées par rapport à la concurrence, notamment américaine.

J’aimerais insister plus particulièrement sur le soutien public, parce qu’il me semble que c’est là qu’il faudrait opérer la plus grosse révolution culturelle et politique. Si l’innovation, notamment de rupture – la deeptech –, est intensive en capital, c’est parce que le développement de ces technologies et de leurs usages, ainsi que leur rentabilité, se pensent sur le temps long. C’est pourquoi le rôle du public est clé : seul l’État a le pouvoir d’investir dans un secteur où le risque est trop important pour les autres acteurs du financement.

Si on s’intéresse aux masses de capitaux publics investis, on s’aperçoit que c’est là que réside le premier gros déficit des Européens par rapport aux Américains. En 2023, le budget fédéral américain a accordé près de 200 milliards de dollars de soutien public à la recherche et au développement. Si on prend l’ensemble des budgets des pays européens augmentés du budget de l’Union, on n’atteint que 127 milliards. Non seulement l’écart n’est pas nouveau mais il est constant dans la durée, ce qui accroît chaque année notre retard.

J’en viens au soutien du marché public. Le taux d’ouverture des marchés publics américains aux acteurs étrangers est de l’ordre de 30 %, tandis que celui des marchés européens est de 80 %. C’est une dynamique structurelle dans laquelle non seulement les États-Unis investissent plus d’argent dans la R&D, mais la commande publique suit davantage. S’ajoutent à cela d’autres initiatives américaines, telles que le Buy American Act, qui représente un investissement de 94 milliards pour favoriser des acteurs américains, ou le Chips and Science Act, qui inclut un plan d’investissement dans les semi-conducteurs et représente 50 milliards de dépenses directes – soit l’équivalent du plan France 2030. Il y a donc un fossé entre l’Europe et les États-Unis dans le soutien public à la recherche et à l’industrie.

Ne soyons pas naïfs. Il s’agit d’un véritable plan industriel de l’État américain qui, de surcroît, crée un effet d’entraînement sur l’investissement privé. Autrement dit, non seulement le public investit et commande davantage, mais cette dynamique produit un effet d’entraînement qui contribue à creuser l’écart, puisqu’il y a plus d’argent privé investi. Ce système favorise l’émergence de champions du numérique et la prolifération d’autres acteurs privés, intéressés économiquement par la recherche. C’est donc un cercle vertueux de l’investissement dans la R&D.

Je vous donne un chiffre assez parlant : en 2024, les entreprises américaines ont investi en moyenne 48 700 euros par employé dans la R&D, quand les entreprises européennes n’en ont investi que 16 800 – c’est donc trois fois plus aux États-Unis. Autre élément parlant : en 2003, le palmarès des trois plus gros investisseurs américains en R&D faisait apparaître Ford, Pfizer et General Motors. En 2022, c’étaient Alphabet – la maison mère de Google –, Meta et Microsoft. Ce qui veut dire qu’en vingt ans l’Amérique a complètement basculé dans la R&D dans le domaine du numérique. En Europe, les principaux investisseurs en R&D étaient, en 2003, Mercedes, Volkswagen et Siemens et, en 2022, Mercedes, Volkswagen et Bosch, ce qui traduit une véritable inertie des investisseurs dans la R&D. Cette stagnation se traduit aussi sur le plan dynamique : les investissements en R&D progressent à un rythme d’environ 2,9 % par an dans l’Union européenne, contre 7,8 % aux États-Unis. La dynamique change tout.

On admet que la France et l’Europe ont vécu pendant longtemps sur les dividendes de la paix, mais on pourrait aussi dire qu’elles ont vécu sur les dividendes de la tech : nous avons laissé d’autres que nous faire les investissements technologiques de fond, en profitant à court terme de leur application sans percevoir l’ampleur des dépendances que nous laissions s’installer. Il faut comprendre que chaque euro qui n’a pas été investi dans l’innovation est non pas un euro économisé, mais un euro emprunté à d’autres, sur lequel nous devrons payer des intérêts.

Pourquoi et comment avons-nous laissé proliférer ces dynamiques et s’installer un tel fossé ? Il y a d’abord une forme de naïveté. En ouvrant la commande publique, en restreignant les aides d’État aux entreprises et en encadrant les opérations de concentration, de manière souvent aveugle au caractère stratégique des acteurs concernés, l’Europe s’est privée de la possibilité de jouer à armes égales avec ses concurrents. Autrement dit, elle a été le très bon élève d’un libre-échange académique dont, en réalité, personne ne respectait les règles.

Il faut sortir de cette naïveté et assumer, en France comme en Europe, une politique industrielle volontariste dans les domaines clés du numérique. Des initiatives existent déjà, à l’instar de France 2030, que j’ai déjà cité. Toutefois, ce plan n’est ni suffisant, ni dimensionné, ni coordonné, compte tenu notamment de l’effort de rattrapage nécessaire, puisque l’écart ne cesse de se creuser.

S’agissant des deux autres sources de capitaux – les fonds d’investissement, c’est-à-dire les capitaux privés, et la commande privée –, nos entreprises pâtissent d’un mal similaire : la fragmentation du marché européen.

Concernant les fonds d’investissement, le marché européen n’est pas suffisamment intégré. Seuls 23 % des fonds levés par les fonds d’investissement nationaux proviennent de pays extérieurs. Nous suivons donc trop souvent une logique de marché national, ce qui ne crée pas suffisamment de profondeur. En outre, le manque de culture du risque, le cadre prudentiel Solvency II et l’absence de fonds de pension réduisent encore davantage notre accès aux capitaux.

La commande privée, quant à elle, est réduite du fait d’un marché unique européen en trompe-l’œil, encore trop sujet aux réglementations nationales. Un rapport du FMI (Fonds monétaire international) publié en 2025 estimait que la somme des différences réglementaires au sein des pays de l’Union équivalait à une taxe cachée de 44 % pour les biens et de 110 % pour les services – c’est trois fois plus que l’équivalent entre les États américains.

Autrement dit, nos acteurs du numérique se battent contre des acteurs qui sont largement soutenus par leurs États dans une perspective de domination économique et technologique, avec un accès restreint aux financements et une commande privée appauvrie. Cette équation nous place dans une spirale de déficit technologique dangereuse.

Au-delà des questions de dispositifs et de réglementations, qui sont légitimes, j’ai souhaité dresser un état des lieux et souligner ce qui me semble être la première condition de notre sécurité numérique : faire émerger en France et en Europe une offre numérique à la hauteur de nos besoins. Aucun appareil normatif, si dense, ingénieux et strict soit-il, ne saurait résorber pleinement ces vulnérabilités si nous ne sommes pas maîtres de nos technologies. Il faut développer nos propres technologies.

Et pour ne pas être négative et dresser un portrait trop noir, je rappelle que nous avons en France un vivier d’innovation dense, particulièrement résilient et performant malgré les déséquilibres que je viens de décrire. Sur de nombreuses technologies clés, telles que l’IA ou le quantique, nous sommes encore en mesure de bien nous positionner. Néanmoins, la dynamique est telle que nous accélérons moins vite, ce qui, à terme, risque de nous faire décrocher quand même. C’est pourquoi la France et l’Europe ont besoin d’un choc d’innovation maintenant.

M. le président Philippe Latombe. Je vous remercie pour ce propos liminaire qui me laisse toutefois un sentiment de malaise. Le tableau est noir. Vous pointez un manque d’investissements publics dans l’innovation ; pourtant, nous avons déployé des dispositifs très généreux – France 2030, le crédit d’impôt recherche (CIR) – et fait de l’amorçage – la France est sans doute l’un des pays qui amorcent le plus et le mieux.

Petit sujet que vous n’avez pas abordé : la souveraineté et le retour de cet investissement public à l’État et dans l’économie. Lorsque des start-up qui ont bénéficié de fonds publics font des séries B ou C ou un exit auprès de fonds américains, comment obtenir ce retour sur investissement ? Vous ne parlez pas de cette partie du cycle.

Vous avez également regretté l’insuffisance de la commande publique ; nous y travaillons. Mais entre le financement d’amorçage, le plan France 2030 et le crédit d’impôt recherche, qui représente quasiment 8 milliards par an d’argent directement mobilisable, en cash, pour les start-up – puisqu’il s’agit d’un crédit d’impôt et non d’une réduction d’impôt –, il y a tout de même beaucoup d’investissements publics. Sans parler de ce que Thierry Breton a fait avec le Chips Act européen.

Ce qui me met mal à l’aise, c’est aussi que je n’ai pas entendu dans vos propos l’enjeu de souveraineté que représente le retour de l’argent public après la vente d’une start-up à des fonds américains, notamment.

Mme Maya Noël. Je ne dis pas qu’il n’y a pas de soutien public ; mais les masses ne sont pas suffisantes. Nous investissons suffisamment pour que cela pèse fortement sur nos finances, mais pas assez pour atteindre nos objectifs. C’est comme si vous vouliez acheter une voiture de 20 000 euros et que, pour y arriver, vous mettiez 100 euros de côté par mois. Vous n’aurez peut-être pas la voiture au moment voulu et la dépense aura pesé sur votre budget tous les mois. C’est la situation un peu paradoxale dans laquelle nous nous trouvons. Nous avons cessé, à France Digitale, d’essayer de quantifier la progression de notre écosystème d’innovation et de nos fournisseurs de technologie. Néanmoins, l’écart à combler est encore trop grand. C’est tout le paradoxe : notre prudence en matière d’investissement nous coûte cher.

Mme Cyrielle Chatelain, rapporteure. Vous dites que l’investissement public n’est pas à la hauteur des besoins. Pourriez-vous quantifier ce dont les acteurs français ont besoin ? Vous avez éludé une partie de la question du président concernant la vente de pépites françaises à des acteurs américains et le retour sur investissement de l’argent public. Connaissez-vous le nombre d’acteurs rachetés par des Américains et l’impact que cela peut avoir sur la filière ?

Mme Maya Noël. J’ai présenté schématiquement l’écart très significatif entre les investissements américains et européens chaque année : 200 milliards pour les premiers contre 127 milliards pour les seconds, sachant que ce sont des montants annuels et qu’il faut tenir compte du fait que l’écart se creuse avec le temps. Je vous ai aussi parlé des autres dispositifs – le Buy American Act, le Chips and Science Act – de nature à renforcer la dynamique de R&D.

Pour rattraper notre retard dans le numérique – notamment dans l’industrie du cloud –, il n’est pas certain que nous arriverons à concurrencer ces acteurs de manière frontale. Il faut pourtant récupérer des parts de marché, c’est le plus important.

Je ne peux pas vous donner de montant plus précis, mais il faut comprendre que l’écart est tellement grand qu’il est quasiment impossible de rattraper le retard avec les moyens dont nous disposons – moyens qui doivent être déployés non pas au niveau français, mais au niveau européen, si nous voulons atteindre les masses critiques.

Vous m’interrogez sur la vente d’entreprises à des acteurs américains. Je le disais, le développement d’une entreprise de ce type est très intensif en capital, un capital que l’on peut tirer de l’argent public, de l’argent privé et de la commande privée. La fragmentation européenne actuelle fait que nous ne sommes pas parvenus à créer des pools de capitaux suffisamment larges pour racheter ces entreprises. Dans notre modèle économique, les acteurs qui financent les fonds d’investissement en capital-risque ont besoin d’un retour sur investissement – c’est-à-dire une sortie de leur argent – dans les dix ans. Il faut donc que quelqu’un d’autre, disposant de plus d’argent et capable de racheter les parts, prenne le relais pour accompagner la poursuite de la croissance de l’entreprise. Or nous n’avons pas su construire ce réseau d’acteurs privés du financement capables de prendre le relais. Les acteurs américains sont les seuls en mesure de contribuer au recyclage de l’investissement.

L’enjeu de souveraineté est primordial, nous en parlons régulièrement, mais il n’est pas possible de passer de rien à tout : nous ne pourrons pas sortir de la dépendance du jour au lendemain et nous sommes bien obligés de fonctionner avec les acteurs du numérique américains pour que l’argent puisse être réinjecté dans l’économie européenne.

M. le président Philippe Latombe. J’entends dans vos propos que sur la partie cloud, par exemple, la bataille est perdue.

Mme Maya Noël. Je n’ai pas dit qu’elle était perdue ; mais l’enjeu n’est pas de créer le leader qui prendra la place du numéro un. Néanmoins, nous avons de très bons acteurs dans ce domaine – j’ai des chiffres très éloquents sur ce sujet.

M. le président Philippe Latombe. Faut-il permettre le financement des start-up à coups de crédits cloud de nos concurrents américains ? Il y a là aussi une question de souveraineté. Une start-up française peut-elle, à l’heure actuelle, faire le choix de ne pas développer sa plateforme sur un cloud américain et se passer des crédits cloud ? Peut-elle se tourner vers des scalers qui ne soient pas des hyperscalers mais des opérateurs de cloud français et européens ?

Je vous redis – nous avons échangé dans une autre enceinte – que j’ai très peu apprécié la sortie de certaines start-up du secteur du médical qui avaient expliqué en long, en large et en travers au moment des discussions sur la loi Sren (loi visant à sécuriser et à réguler l’espace numérique) que SecNumCloud était une norme absolument nulle en matière de cybersécurité et qu’il n’y avait qu’AWS (Amazon Web Services) qui pouvait fonctionner. Tout cela parce qu’elles bénéficiaient toutes – j’ai vérifié – de crédits cloud AWS. France Digitale parle de souveraineté de façon, disons, politique, mais cet enjeu est-il présent dans la pratique de ses membres ?

À la question de la sortie s’ajoute ainsi celle de l’hébergement ; nous en viendrons ensuite à celle du marché – parce que la question se pose aussi des innovations que présentent ces entreprises.

Mme Maya Noël. Le rôle de France Digitale est de défendre les entreprises françaises. L’enjeu de souveraineté est donc important pour nous. Nous comptons parmi nos membres des hébergeurs cloud français ; notre rôle est aussi de les promouvoir. Nous sensibilisons les entreprises au fait de se tourner vers des fournisseurs de technologies français ou européens. Néanmoins, même si nos membres sont sensibilisés à l’enjeu de souveraineté, nous ne pouvons pas les forcer à se tourner vers des offres technologiques françaises qui ne correspondent pas à leurs besoins techniques.

Je suis tout à fait d’accord sur le crédit cloud. C’est d’ailleurs là que réside la clé du système américain et des gros acteurs du numérique dont nous sommes dépendants : ils sont complètement intégrés. On peut dire que nous sommes dépendants dans trois grands domaines : le cloud, les outils bureautiques et, de plus en plus, l’IA. La force des hyperscalers est d’être présents sur chacune de ces parties, avec la possibilité de vous proposer des tarifs quasiment gratuits sur l’une si vous êtes client de l’autre. Par exemple, si vous utilisez la suite bureautique de Microsoft, Azure pourra vous proposer des crédits cloud, parce que cela fait partie d’une négociation globale. De sorte qu’ils vous enferment dans un système. Ce n’est pas que les entreprises françaises ne sont pas patriotes, mais elles sont prisonnières des impératifs de marché, de la nécessité d’être les meilleures, d’aller vite et, qui plus est, de gérer leur trésorerie avec pragmatisme. Même lorsque des offres souveraines existent, si elles ne correspondent pas parfaitement à leurs besoins technologiques et que d’autres fournisseurs leur font des facilités financières pour utiliser leurs produits, nos entreprises sont contraintes par les impératifs de marché et de budget.

M. le président Philippe Latombe. Au moment de la discussion de la loi Sren, France Digitale est-elle intervenue auprès de Bercy à des fins de lobbying – au bon sens du terme –, d’influence, à propos de la limitation des crédits cloud pour les entreprises innovantes ?

Mme Maya Noël. Nous dénonçons le crédit cloud parce que c’est un dispositif anticoncurrentiel sur le marché et une pratique d’enfermement. Mais il est compliqué d’entrer dans une position frontale lorsqu’on est en situation de dépendance.

M. le président Philippe Latombe. Je reformule ma question : France Digitale est-elle intervenue auprès de Bercy pour essayer d’amoindrir la proposition Sren sur les crédits cloud, qui visait à les limiter en durée et en montant ? Quelque chose – un papier, une note blanche – à ce sujet a-t-il été envoyé par France Digitale à Bercy ?

Mme Maya Noël. Non.

Mme Cyrielle Chatelain, rapporteure. Je reviens à ce que vous avez dit de votre modèle économique et de l’absence de fonds de pension, notamment. Je comprends que dans le modèle « startup » – je ne sais pas si le terme est le bon –, les investisseurs veulent sortir à dix ans et ont donc besoin d’autres acteurs capables de racheter leurs parts ou de refinancer l’entreprise. Or vous dites aussi que les investissements dans le numérique sont nécessairement de long terme. Je ne sais pas si ce modèle économique fait l’objet d’une réflexion, mais tant que les investisseurs auront des attentes de court terme dans un domaine de long terme, nous dépendrons d’autres acteurs pour racheter les parts des entreprises.

J’ai aussi le sentiment, à vous écouter, que, tant qu’on s’en tiendra à ce modèle fondé sur un objectif de revente à court terme, on nous demandera d’investir davantage. Or, même si je suis peut-être moins pessimiste que vous – je ne pense pas que le combat soit perdu –, je dois, en tant que décideuse publique, m’interroger sur l’utilisation des fonds publics : faut-il vraiment consacrer davantage d’argent à soutenir les investissements en R&D de boîtes qui seront revendues au bout de trois ou quatre ans ? Il y a une forme de contradiction dans vos propos : vous nous demandez de mettre plus d’argent pour soutenir les entreprises françaises tout en reconnaissant qu’il sera difficile d’éviter qu’elles ne soient revendues. C’est problématique.

Cela m’inspire une troisième question : puisque nous ne pourrons pas tout faire, il faudra prioriser et choisir où investir l’argent public. Sur quels secteurs devons-nous parier ? Si nous voulons construire une filière du numérique, il faut non seulement que l’État soit exemplaire, mais aussi que les acteurs que vous représentez le soient. Quels sont les domaines dans lesquels il vous semble possible de développer des solutions européennes de bout en bout ou presque – puisque c’est, si j’ai bien compris, la grande force des Américains ?

Mme Maya Noël. Pour vous répondre sur la tension entre besoins de long terme et objectifs de court terme, le capital nécessaire pour faire de la R&D provient, comme je l’ai indiqué, de trois sources : les fonds publics, les capitaux privés et la commande privée. On ne peut pas se passer d’une de ces sources.

Dans ce cadre, le rôle du financeur public est de planifier, à long terme, les technologies à soutenir, en consentant des investissements massifs dès le départ pour créer un effet d’entraînement parmi les investisseurs privés. Si l’on constate autant de reventes, c’est parce que les capitaux publics couplés aux capitaux privés ne sont pas suffisants pour que les entreprises aient le temps de croître et d’atteindre l’échelle qui leur permettrait de ne pas se vendre tout de suite.

Tout est question d’amorçage et d’accélération : on a su amorcer une dynamique et faire émerger des entreprises technologiques, mais l’accélération n’est pas suffisante pour atteindre l’étape suivante, qui consiste à conquérir le marché privé pour alimenter la machine, inciter davantage d’investisseurs à s’engager et faire en sorte que la chaîne de création de valeur soit complète. Pour l’heure, l’amorçage a été fait, mais la chaîne de valeur reste inachevée : il y a trop peu de sorties auprès d’acheteurs européens à même de réinjecter leurs crédits et on n’a pas suffisamment de clients. Il faut laisser encore un peu de temps à cet écosystème pour se structurer et grandir.

C’est une question de taille critique et de masse d’investissement. Il y a un tel écart d’investissement entre l’Europe et les États-Unis que, dans le domaine du cloud, par exemple, la part de marché des acteurs européens est passée de 27 % en 2017 à 16 % en 2021. Pourtant, les entreprises concernées ont continué de grandir : Scaleway et OVH produisent de la valeur et croissent, mais pas suffisamment vite pour ne pas se faire rattraper et ne pas voir leurs concurrents gagner encore plus de parts de marché, donc accumuler encore plus de fonds propres qu’ils peuvent réinvestir dans la R&D pour être encore meilleurs.

Voilà le problème. Je ne suis pas en train de dresser un tableau pessimiste : je suis très confiante et, pour défendre cet écosystème au quotidien depuis plus de sept ans, je suis persuadée que nous parviendrons, grâce à tous nos talents, à le faire émerger, d’autant qu’il est très résilient malgré le contexte. Je pense justement qu’il ne faut pas gâcher la dynamique que nous avons réussi à créer ces dernières années : on a décidé d’investir, l’écosystème du capital-risque que je représente n’a cessé de grandir et il est capable de dépenser des montants de plus en plus élevés. Mais, dans le même temps, nous sommes toujours dans une dynamique de rattrapage. Je comprends que mes propos puissent paraître paradoxaux, mais le paradoxe, c’est précisément que la prudence dans l’investissement nous coûte cher : on n’investit pas encore suffisamment.

M. le président Philippe Latombe. Si nous décidions, dans le projet de loi de finances pour 2027, d’imposer à toute entreprise ayant touché du crédit d’impôt recherche ou des financements publics d’amorçage de les rembourser – renchéris du taux d’intérêt légal ou de l’inflation – au moment de la revente, cela déclencherait-il un réflexe souverain ou cela ne servirait-il à rien, si ce n’est à financer d’autres entreprises avec l’argent public ? Car le vrai problème, pour nos concitoyens, est bien celui-là : la France finance des entreprises, notamment dans la phase la plus difficile – l’amorçage, la recherche fondamentale –, pour qu’elles soient ensuite rachetées par des fonds américains ou du Golfe.

Mme Maya Noël. Encore une fois, tout est une question de masse : on a certes réussi à financer une bonne partie du développement, mais si on ne parvient pas à financer toute la chaîne, quelqu’un finit par prendre le relais – en l’occurrence, les Américains.

M. le président Philippe Latombe. Mais si nous demandons ce remboursement, France Digitale soutiendra-t-elle une telle initiative ou s’y opposera-t-elle ?

Mme Maya Noël. On peut tout à fait discuter de la conditionnalité des aides : nos membres seront ravis de débattre et d’essayer de trouver le juste équilibre dans la répartition du CIR. Il ne faut toutefois pas oublier que la France n’est pas le seul pays européen à proposer un crédit d’impôt, et que c’est aussi un outil d’attractivité.

Il faut aussi se mettre à la place de l’entreprise qui se vend. On peut prendre cette décision pour plusieurs raisons, mais beaucoup le font parce qu’elles sont dans une situation défavorable. Une entreprise qui a suffisamment de clients et des perspectives de croissance fortes n’a pas forcément besoin de se vendre : c’est souvent dans une période de vulnérabilité que cette décision intervient. Je ne dis pas qu’il n’y a pas de débat à avoir sur cette question, mais si on demande en plus à l’entreprise de rembourser du CIR, on accroît encore sa difficulté.

M. le président Philippe Latombe. Peut-être ces entreprises sont-elles en difficulté parce qu’elles n’ont pas trouvé de marché. Je pense par exemple à Sorare : avions-nous besoin de financer cette société et d’intégrer un article dans la loi Sren pour lui permettre d’exercer une activité qui, finalement, ne rapporte rien ?

Savez-vous combien d’entreprises membres de France Digitale sont en difficulté, et pourquoi ? Se heurtent-elles seulement à un manque de capitaux pour passer à l’échelle – mais dans ce cas, où est leur marché ? À l’heure où les financeurs tendent à demander un retour sur investissement beaucoup plus rapide que par le passé, avez-vous des chiffres à nous fournir concernant le taux de casse, si j’ose dire, de vos adhérents ?

Mme Maya Noël. Il faut distinguer entre deux types de membres de France Digitale : les producteurs de technologies et les consommateurs de technologies. Par exemple, OVH crée une technologie, en l’occurrence du cloud, quand des acteurs comme Sorare ou Doctolib utilisent une technologie existante pour développer un service.

Quand je parle d’offre technologique souveraine, le but est de financer des fournisseurs de technologies, et pas nécessairement des entreprises appartenant à la deuxième catégorie. C’est pour ces acteurs que le plan de long terme revêt la plus grande importance.

Cela étant, une entreprise technologique qui fait de la R&D prend par définition des risques. Pour les créateurs de technologies, le risque de long terme concerne la capacité à financer une recherche qui nécessite beaucoup de capitaux. Pour ceux qui créent des services et consomment des technologies, le risque renvoie au type de services et aux nouveaux marchés créés. Prenons l’exemple de BlaBlaCar : l’entreprise ne crée pas tant une technologie qu’un marché, grâce à sa capacité à mettre une offre de conducteurs en face d’une offre de personnes qui cherchent à faire un trajet. C’est du financement commercial, mais c’est aussi une prise de risque, parce que cette fonctionnalité n’existait pas et qu’il n’est pas possible de savoir à l’avance si les personnes vont accepter de monter en voiture avec des inconnus ou s’il y aura suffisamment de demande pour répondre à l’offre – c’est le principe d’une place de marché. Néanmoins, ce n’est pas la même dynamique que pour la construction d’une technologie.

M. le président Philippe Latombe. Tous les exemples que vous avez donnés – Sorare, Doctolib, Alan, BlaBlaCar – proposent des services de business to consumer (B2C) plutôt que du business to business (B2B) et ne créent pas de technologies de rupture : je ne vous ai pas entendu parler d’Alice&Bob ou d’autres entreprises qui font de la recherche technologique importante. Hormis Doctolib, qui a bénéficié d’un soutien public très fort, puisque son explosion est liée à la covid – aux tests puis à la vaccination –, il s’agit uniquement d’entreprises qui n’ont pas trouvé leur marché.

La situation que vous décrivez n’est-elle pas la conséquence de ce que la France a financé trop d’entreprises consommatrices de technologies qui devaient avant tout chercher des marchés, au lieu de se concentrer, à l’instar de certains pays comme Israël, sur la production de technologies ?

Mme Maya Noël. Je ne pense pas que nous soyons trop financés. C’est aussi parce que nous avons réussi à faire émerger des marketplaces comme Vestiaire Collective ou BlaBlaCar, ou des outils de services B2B ou B2C, que nous avons réussi à constituer un écosystème d’entrepreneurs, d’investisseurs capables d’assumer le risque. Ces efforts n’ont pas été vains ; au contraire, il était intéressant de faire émerger cette population il y a quinze ou vingt ans, parce que c’est aussi grâce à elle qu’on voit arriver une nouvelle génération, celle qui a fondé Alice&Bob, Quandela ou encore Mistral ou Ami Labs. Eux sont des créateurs de technologies, mais leur développement est tellement intensif en capital que seules notre expérience passée et l’émergence préalable de notre écosystème de capital-risque nous permettent de les financer.

Mme Cyrielle Chatelain, rapporteure. Savez-vous quelles technologies vos membres créateurs de services utilisent ? Si elles sont américaines, la souveraineté est par définition limitée.

Vous expliquez qu’un écosystème d’investisseurs s’est créé. Peut-on considérer que les créateurs de services sont désormais suffisamment matures pour prendre des risques ? Après tout, le fait de proposer de nouveaux services sans savoir s’ils vont fonctionner n’est pas propre au numérique. Pourquoi, dans ce domaine, serait-ce à la puissance publique d’assumer et de financer les risques, surtout si, comme vous le suggérez, l’écosystème est mature ?

Je reviens à une question à laquelle vous n’avez pas répondu : vos membres créateurs de technologies ont-ils identifié les secteurs dans lesquels ils ont des besoins de financement, avec des estimations de montants et un plan de filière associé ? Un des moyens de financer la recherche tout en s’assurant que les entreprises aidées ne seront pas revendues consiste à financer une recherche publique de qualité – laquelle entraîne à son tour la création de nombreux opérateurs.

Mme Maya Noël. Comme je l’ai indiqué, la constitution d’un écosystème français est plutôt positive, parce qu’elle permet d’attirer toujours plus d’investissements, d’encourager la montée en gamme des investisseurs en capital-risque et d’accroître leur capacité à aller chercher toujours plus de fonds pour investir dans des projets toujours plus ambitieux. C’est en quelque sorte parce qu’on a du service qu’on peut alimenter la machine et financer les projets plus structurels que sont la création de briques technologiques comme le cloud, le quantique ou l’IA.

Effectivement, ces services s’appuient en grande partie sur des briques technologiques américaines. C’est d’ailleurs tout le problème qui nous occupe aujourd’hui : d’après le baromètre que nous réalisons chaque année, plus de 70 % de nos membres se déclarent dépendants des solutions américaines. Le cadre a néanmoins beaucoup évolué.

Quand j’étais entrepreneure, il y a plus de dix ans, il n’y avait pas beaucoup d’autres choix pour monter une entreprise que d’opter pour AWS, en raison de ses crédits cloud – il est assez intéressant pour une entreprise qui se constitue de pouvoir stocker gratuitement des données –, qui enferment les sociétés dans un écosystème dont il leur est difficile de s’extraire. C’est ce qui s’est passé à l’époque : l’écosystème français a majoritairement fait le choix de briques technologiques américaines.

Je crois que nos membres sont désormais vraiment sensibilisés – en tout cas, nous nous y employons – à la nécessité de sortir de cette dépendance et de choisir des briques technologiques françaises, pour des raisons de souveraineté, mais aussi parce que les entreprises qui les proposent sont elles-mêmes membres de France Digitale et que nous avons tous intérêt à les pousser. Certaines ont réussi à émerger sur le marché avec des avantages compétitifs, si bien que les fonctionnalités qu’elles proposent peuvent être choisies par les autres acteurs. Néanmoins, le coût de la transition est difficile à absorber pour les entreprises privées et le processus prendra du temps. Mais les discussions sont amorcées. Pour donner un exemple de la façon dont le secteur public peut intervenir pour créer de nouvelles opportunités, Scaleway a conclu avec France Télévisions un contrat qui lui a permis de développer une fonctionnalité de cloud pour le streaming : c’est parfois grâce au push du public qu’une offre se constitue pour le privé et va ensuite être choisie par d’autres acteurs.

Nos membres reconnaissent donc qu’ils sont assez dépendants. Ce n’est pas par mauvaise volonté, car une réflexion est en cours en vue d’opter pour des technologies plus souveraines – françaises ou européennes –, mais parce qu’il est compliqué de faire autrement lorsque les concurrents investissent toujours plus dans leur R&D et offrent des fonctionnalités toujours plus performantes.

Pour y remédier, il faut sortir de l’enfermement dans un seul écosystème pour passer à un environnement multiple – dans le cas du cloud, on parle de multicloud. Tous les gros producteurs de services fondés sur des briques américaines sont conscients des erreurs qu’ils ont commises pour le stockage de leurs données. De ce fait, maintenant qu’il leur faut créer une architecture en vue de développer des services d’IA, ils réfléchissent déjà à la manière de s’organiser pour ne pas être verrouillés dans des écosystèmes propriétaires et pour pouvoir faire appel, autant que possible, à des briques multiples – qu’elles soient en open source, françaises, européennes ou américaines.

Nous apprenons de nos erreurs : il y a une véritable volonté – en tout cas, nous en discutons et nous militons en ce sens – de privilégier le multicloud. Le Data Act (le règlement européen sur les données), par exemple, accorde une place primordiale à la notion d’interopérabilité, que nous mettons nous aussi en avant, car nous y voyons une porte de sortie possible – même si, comme je le disais, cela ne se fera pas du jour au lendemain. C’est d’ailleurs important pour des raisons non seulement de souveraineté, mais aussi de résilience économique et d’autonomie stratégique : dès lors que vous vous enfermez chez un seul fournisseur, vous êtes beaucoup trop vulnérable à ses hausses de prix. Il est donc important de diversifier les sources. Nos entreprises de services l’ont bien compris.

Je ne suis pas certaine d’avoir compris votre question à propos des moyens à allouer aux créateurs de technologies.

Mme Cyrielle Chatelain, rapporteure. Vous avez pointé l’écart entre le soutien public dont bénéficient les entreprises américaines et celui accordé aux entreprises européennes. Toutefois, en tant que responsable publique, mon but n’est pas de rattraper les Américains, mais de savoir à quoi va servir l’argent public que je pourrais dépenser et comment il pourrait permettre de structurer une filière européenne. Je m’interroge donc sur les besoins tels que vos membres les évaluent et sur les filières qui pourraient être financées ainsi.

Mme Maya Noël. Je crois que nous pouvons encore rattraper notre retard sur l’IA et encore plus sur le quantique : ce sont des filières dans lesquelles il faut investir massivement. Plus largement, il faut reprendre toute la chaîne de valeur de l’IA – les semi-conducteurs, l’énergie ou encore les data centers, lesquels ont déjà fait l’objet d’investissements –, soit pour être leader, soit pour conserver une autonomie stratégique. Au vu de la masse d’investissement nécessaire, cette question ne me semble toutefois pas pouvoir être pensée à l’échelle française.

M. Stéphane Rambaud (RN). Vous expliquez que nos entreprises ont perdu des parts de marché dans le cloud depuis 2017 malgré la progression de leur chiffre d’affaires, parce que leurs concurrents internationaux sont encore plus dynamiques qu’elles. Comment nous en sortir autrement qu’en nous hyperspécialisant sur quelques créneaux très pointus ? Nous ne pouvons pas être compétitifs face aux Américains et aux Chinois si nous n’avons pas les mêmes sources de financement.

La dépendance numérique ne touche pas seulement l’économie, les finances ou même la souveraineté : elle affecte aussi les enfants et la cohésion sociale. Les usages excessifs des écrans, les algorithmes addictifs, la captation d’attention entraînent des troubles du comportement chez les plus jeunes. Quelle est la position de France Digitale sur une régulation plus stricte des plateformes pour protéger les mineurs ? Accepteriez-vous qu’on impose des limites d’âge et des garde-fous plus sévères ?

Mme Maya Noël. Je suis très alignée avec vos propos : comme je l’indiquais en introduction, la vulnérabilité liée aux dépendances du secteur numérique est à la fois économique, politique – du fait des ingérences auxquelles elle nous expose – et sociétale, notamment pour ce qui concerne les réseaux sociaux. C’est pour cette raison que nous devons être capables de faire émerger une offre. Je ne dis pas qu’il faut absolument copier le modèle américain, mais si nous arrivions à faire émerger des gérants européens du numérique, cela mettrait fin à notre vulnérabilité économique et politique – puisque les acteurs étrangers ne pourraient plus exercer de pression économique – et, surtout, cela nous apporterait de la maîtrise. Et ce serait de toute façon moins pire que notre dépendance actuelle à des acteurs étrangers. Des textes ont été votés au niveau européen, comme le DSA, le règlement sur les services numériques, pour tenter d’assurer la sécurité des utilisateurs des plateformes. Vouloir encadrer est une très bonne chose, mais même si nous imposons toutes les normes possibles, le marché nous imposera toujours d’autres outils. Il est donc important de rétablir un équilibre.

Pour ce qui est de fixer un âge minimal d’accès aux plateformes, j’y suis favorable à titre personnel. Nous ne débattons pas forcément de cette question au sein de France Digitale, mais notre mission consiste bien à faire émerger des champions technologiques au service de l’humain et de la planète. C’est une valeur forte de notre association, mais aussi des acteurs européens, que de vouloir agir avec humanité. Je suis donc pour la régulation, et en tout cas pour qu’on promeuve l’émergence de nos entreprises à des fins de protection de la société.

M. le président Philippe Latombe. Vous avez pris part aux sorties médiatiques suscitées par la décision de l’Autorité de la concurrence à propos du rachat d’un de ses concurrents par Doctolib. Pourquoi cette décision vous gêne-t-elle ?

Mme Maya Noël. Je ne souhaite pas du tout remettre en cause ce qui a été décidé et je n’ai critiqué qu’une toute petite part de l’amende à laquelle Doctolib a été condamné. Ce qui m’a dérangée, c’est que la décision évoquait une « acquisition prédatrice » alors que Doctolib réalisait à l’époque 17 millions d’euros de chiffre d’affaires.

Dans tous les débats qui nous occupent depuis le début de cette audition, il y a tout de même un enjeu d’ordre de grandeur. Doctolib était peut-être le leader en France, mais pas du tout à l’échelle internationale. Je ne vois pas comment on peut parler d’acquisition prédatrice pour des personnes qui ouvrent un marché, qui sont encore tout petits par rapport à leurs concurrents et qui ont besoin de grossir très vite et de faire des acquisitions pour pouvoir simplement jouer à armes égales.

M. le président Philippe Latombe. L’Autorité de la concurrence n’est compétente que sur le territoire national. Elle a jugé que la plateforme Doctolib avait acquis un concurrent pour l’empêcher d’exercer sur un marché où elle était très bien implantée. Même si le marché en question ne représentait que 20 millions, Doctolib y occupait une position majoritaire et même quasiment monopolistique.

Doit-on comprendre que France Digitale est favorable à ce que les lois et décisions s’appliquent non pas à l’échelle nationale, mais à l’échelle européenne, voire au-delà – puisque vous avez évoqué le contexte mondial ? Estimez-vous que les réglementations ne doivent plus être pensées au niveau français ?

Mme Maya Noël. C’est une question qui n’est pas facile. Je ne remets pas en cause la décision de l’Autorité de la concurrence : c’est l’argumentaire sur l’acquisition prédatrice qui ne me paraît pas bon, s’agissant de secteurs où, par défaut, le premier à se lancer a nécessairement une position dominante.

M. le président Philippe Latombe. Reprenons : Doctolib, jusqu’à il y a deux ans et demi, n’était pas le seul sur le marché. Puis il l’est devenu après le rachat de son dernier concurrent – c’est ce que dit l’Autorité de la concurrence.

Mme Maya Noël. Je ne suis pas en train de tout remettre en cause. Quand on a des capitaux limités par rapport à la concurrence internationale, la possibilité de se consolider en faisant des rachats peut permettre de grandir. C’est important : je pense que notre arme, en tant qu’Européens, pour pouvoir grossir suffisamment vite est d’inciter à la consolidation et à la structuration d’acteurs un peu plus gros au travers de rachats.

Ce sur quoi j’ai voulu alerter le grand public concernant cette condamnation, c’est la notion d’acquisition prédatrice – encore une fois, cela ne représente qu’une toute petite part de la condamnation : ce n’est pas ce qui était visé. Si on commence à dire que ça, c’est de l’acquisition prédatrice, on continuera à repousser certains investisseurs désireux d’investir dans des entreprises mais qui y renoncent parce que leurs acquisitions pourraient être remises en cause a posteriori. C’est un point important : la décision vient de tomber alors que l’acquisition date de 2017. Une rétroactivité aussi forte risque de geler le marché, alors justement qu’on a grandement besoin de faire ces acquisitions et ces consolidations.

M. le président Philippe Latombe. Cela signifie-t-il – c’était ma question – que les réglementations doivent être adoptées à une autre échelle que celle de la France en ce qui concerne la concurrence et l’innovation ? Doivent-elles être définies au niveau européen, voire au niveau mondial ? Comment faire dans un contexte géopolitique où il n’est plus possible de parvenir à des accords internationaux clairs avec nos partenaires ?

Mme Maya Noël. Je pense que l’échelle européenne peut être la bonne. De nombreux textes régulant le numérique se décident déjà au niveau européen. S’ils peuvent être appliqués de la manière la plus harmonisée possible, cela nous aidera.

M. le président Philippe Latombe. Vous seriez donc d’accord pour qu’on applique la totalité de la réglementation – DSA, DMA (règlement sur les marchés numériques), Data Act – et que l’on aille jusqu’au bout de ce que l’on a essayé de faire : se préserver des règles extraterritoriales et des atteintes à la concurrence.

C’est bizarre : je vous ai entendue sur Doctolib, mais je ne vous ai pas entendue sur la question du cloud quand l’Autorité de la concurrence s’est saisie du sujet mais n’a pas ouvert d’enquête ni prononcé de sanctions. Depuis le début de cette audition, j’ai un sentiment de malaise car vous demandez du financement public mais, d’un autre côté, dès qu’on demande le remboursement des aides publiques, cela vous pose un problème ; vous demandez l’application de la réglementation, mais seulement dans un sens.

Comment peut-on jouer avec nos armes, la réglementation et les financements publics, pour faciliter l’émergence de technologies permettant d’assurer notre avenir ? À chaque fois, j’ai un peu l’impression d’entendre « oui, mais ça n’aide pas à la structuration du marché ». On parle de marché, mais je n’ai toujours pas obtenu de réponse à ma question sur le nombre d’adhérents de France Digitale qui sont en difficulté, pour lesquels il y a un pivot à faire. Est-ce que ces entreprises sont viables ? C’est la question que l’on peut se poser, dans le digital comme dans le monde physique.

Mme Maya Noël. France Digitale compte environ 2 000 adhérents. Le taux de défaut annuel est assez élevé, mais nous enregistrons aussi chaque année de nouveaux entrants. C’est une population très hétérogène, avec à la fois des entreprises qui existent depuis deux ans et des entreprises établies sur le marché depuis plus de dix ans. Celles qui sont déjà établies sur le marché, je ne dirais pas qu’elles sont fragiles ou en difficulté mais qu’elles font face à une concurrence très, très rude. De plus, elles ne jouent pas toujours à armes égales, parce qu’elles ne reçoivent pas toujours le soutien public dont leurs concurrents peuvent bénéficier.

Concernant le DMA et le DSA, ce sont des textes en faveur desquels nous étions très militants et dont je pense qu’il faut qu’ils soient appliqués. Aujourd’hui, leur application n’est pas satisfaisante. Des examens sont en cours sur des entreprises comme Google, qui font de l’autopréférence en permanence ; ce comportement empêche le développement d’un marché qui permettrait de les concurrencer. Je pense donc que le DMA doit être appliqué – je n’ai pas dit qu’il ne devait pas l’être.

Mme Cyrielle Chatelain, rapporteure. Vous êtes revenue plus globalement sur l’idée d’avoir un géant européen respectant un certain nombre de valeurs. Aujourd’hui, la force du modèle américain, c’est la captation des données. C’est même la base de leur modèle économique : la captation des données a permis d’introduire de la publicité, puis de cibler celle-ci, et désormais de faire de la vente en direct des données ; de plus, cela permet d’entraîner l’IA. Cela pose de multiples problèmes, notamment le fait que ces IA soient entraînées non seulement sur des données personnelles, mais aussi sur des données protégées par une loi à laquelle on tient fortement en France : le droit d’auteur. Qu’elle soit américaine ou européenne – y compris française –, l’IA capte des œuvres sous droit d’auteur – livres, articles de journaux, etc. –, fragilisant encore plus le modèle économique de la presse.

La semaine dernière, vous avez pris position contre une proposition de loi sur le sujet adoptée par le Sénat. J’ai du mal à comprendre en quoi le modèle serait plus vertueux si, pour se battre à armes égales et pour éviter le décrochage net de l’écosystème que vous évoquez – en l’occurrence, le risque qu’il y ait moins de matière à donner à manger à l’IA –, on reproduisait exactement la même chose : cela reviendrait à reproduire un modèle qui n’est pas bon.

Mme Maya Noël. Ce sujet n’est vraiment pas évident et a nécessité beaucoup de travail. De notre côté, nous avons produit une étude sur l’IA et le droit d’auteur fin 2024. Je vais essayer de répondre de la manière la plus complète possible à votre question.

Nous sommes consommateurs de données, et celles-ci peuvent s’obtenir de plusieurs manières : il y a des données propriétaires, sur lesquelles on entraîne nos modèles ; il y a des données protégées par des licences ; et il y a la possibilité d’aller « scraper » le web, c’est-à-dire de faire tout simplement un copier-coller des pages web qui sont publiques, donc accessibles à tous – parmi lesquelles on trouve, sans même le vouloir, des œuvres qui sont la propriété d’ayants droit.

Concernant la proposition de loi sénatoriale, je ne sais pas comment prendre votre question. Je commencerai peut-être par vous expliquer pourquoi France Digitale estime que ce n’est pas forcément la bonne solution. Le texte de la sénatrice Laure Darcos vise à inverser la charge de la preuve : ce sera aux fournisseurs de modèles d’IA, mais aussi à ceux qui en utilisent, de prouver qu’ils n’ont pas utilisé de données appartenant à des ayants droit. Or il est très compliqué de prouver que l’on n’a pas utilisé des données. Cela provoquera des contentieux juridiques en cascade, car il est difficile de produire cette preuve compte tenu de la quantité de données – ce point donne lieu à débat, et je pense que le Conseil d’État a tranché sur la faisabilité juridique.

Cela étant, pour moi, le sujet n’est pas là. C’est la portée géographique de cette proposition de loi que je dénonce : cette disposition n’étant prise qu’au niveau de la France, elle va surtout inciter tous ceux qui développent des modèles d’IA à aller le faire ailleurs et à ne surtout pas utiliser de données d’ayants droit français. C’est un peu le paradoxe dont je parlais précédemment. Vous me dites « on dépense de l’argent, mais vous nous expliquez que ce n’est pas suffisant » ; je pense qu’il faut surtout être stratégique jusqu’au bout : à quoi bon mettre de l’argent public dans un Mistral AI si, in fine, on ne le laisse pas se développer en France ?

Mme Cyrielle Chatelain, rapporteure. C’était tout le sujet de ma question. Dans l’enquête publiée par Mediapart sur Mistral, on découvre que ce ne sont pas seulement quelques éléments qui ont été scrapés du net, mais des ouvrages entiers, sous droit d’auteur, qui ont été copiés. À quoi cela sert-il d’avoir un modèle français si c’est pour reproduire un modèle américain qui n’obéit pas à nos lois et qui ne respecte pas nos règles ?

Mme Maya Noël. J’entends complètement votre point de vue. Quand vous scrapez des données sur le web, il peut s’agir d’images, par exemple de quelqu’un qui s’est pris en photo dans un musée avec, derrière lui, une œuvre. Cette œuvre, alors même qu’elle peut être soumise à une forme de licence, sera nécessairement visible sur le net, publique, et sera donc récupérée de manière automatique. Il existe des options d’opt-out dans le scraping, c’est-à-dire que si un ayant droit décide que l’œuvre affichée sur une page web ne pourra pas être utilisée pour du scraping, la machine ne pourra pas la lire. Mais la donnée est tellement présente, partout, sous différentes formes, qu’il est parfois compliqué in fine de ne pas l’utiliser.

M. le président Philippe Latombe. Ça veut donc dire qu’il faut abandonner le modèle de la propriété intellectuelle et du droit d’auteur, puisqu’il faut laisser la possibilité de scraper le web ?

Mme Maya Noël. Pas du tout.

M. le président Philippe Latombe. Deuxième question : est-ce que cela bloquera davantage les acteurs français que les acteurs américains ? Comment fonctionnera un Grok ?

Mme Maya Noël. Il ne faut pas mal interpréter mon propos : je ne dis pas qu’il ne faut pas protéger les ayants droit. Je pense au contraire que c’est une priorité, mais cela nécessite de repenser le modèle. J’en reviens à l’enjeu géographique : si on n’a pas le droit de le faire en France sur des données françaises, qu’est-ce qui empêchera des acteurs qui ne sont pas français de le faire ? Et là, on ne parle pas de Mistral, on parle des autres. Or Mistral doit aussi faire face à cette concurrence. Il faut donc repenser les règles. L’une des propositions que nous avons soumises en décembre 2024 – ce n’est pas la seule solution ; il y en a peut-être d’autres – consiste à prévoir une cotisation spéciale payée par ceux qui produisent de l’IA, et qui pourrait abonder un fonds permettant de rémunérer les ayants droit.

Il faut imaginer un système. Je ne dis pas que l’idée de la proposition de loi de Mme Darcos est mauvaise, mais elle crée une exception française alors qu’il existe un calendrier européen en la matière : c’est au niveau européen que ce sujet doit être traité. Il est primordial de préserver la notion de propriété intellectuelle et de rémunérer les auteurs à leur juste valeur, mais il faut trouver un moyen de le faire. La proposition de loi, qui ne s’appliquerait qu’en France, ne ferait que détourner de notre pays ceux qui produisent des IA ou les dissuader de s’y installer et, surtout, d’utiliser des données d’ayants droit français. Or le risque avec l’IA est justement qu’elle en vienne à invisibiliser certaines cultures, certaines œuvres de certains pays, parce qu’on fait le choix de la biaiser. Dans une IA, il faut que tout soit représenté. Il faut donc non pas créer une exception au niveau français, mais trouver une mesure efficace pour les deux parties : les créateurs et les utilisateurs d’IA d’une part, et les ayants droit de l’autre. C’était cela, le fond de mon argumentaire.

M. le président Philippe Latombe. Je note votre proposition de faire une sorte de droit voisin de l’IA qui marcherait mieux que les droits voisins tels qu’on les connaît au niveau européen.

Mme Cyrielle Chatelain, rapporteure. Selon vous, l’IA fait partie des secteurs dans lesquels il est important d’investir. Il faudrait d’abord s’entendre sur le type d’IA dont on parle, car l’intelligence artificielle recouvre des réalités multiples : dans le domaine médical, l’IA s’entraîne sur des données spécifiques de santé ; dans le domaine industriel, elle s’entraîne sur des données propriétaires pour développer des solutions propres à l’entreprise ; dans le domaine public, elle fonctionne avec des LLM (grands modèles de langage) – Grok, ChatGPT, etc.

Il y a de plus en plus de questionnements sur la bulle générée par ces grands modèles. On constate que même de grands acteurs comme Open AI commencent à fermer des services tels que Sora, parce que les coûts sont trop élevés. Aujourd’hui, les Américains investissent à perte, ce qui les amène à fermer des services dans lesquels les pertes sont vraiment trop fortes. Selon les analyses économiques que j’ai pu lire, les modèles d’IA, notamment les gros modèles de langage, supportent un coût d’infrastructure extrêmement élevé, que ce soit pour l’investissement ou pour la maintenance, contrairement aux modèles de services tels que Spotify ou Doctolib, qui se développent en verrouillant le marché et ne supportent pas de coûts d’infrastructure. Avez-vous produit une analyse de ce modèle économique et de sa robustesse ? Avez-vous déterminé si l’investissement était intéressant et permettait un retour ? Il y a des secteurs pour lesquels il l’est moins, précisément parce que le coût en infrastructure est réel et élevé, contrairement à ce qui se passe pour les services qui reposent sur des infrastructures existantes, dont ils ne supportent pas le coût – nous en avons parlé ce matin avec les représentants d’Orange.

Mme Maya Noël. Tout dépend de ce que vous entendez par « investir dans l’IA ». Certains investissements sont très risqués – à perte, comme vous dites. La logique est de parvenir à atteindre le plus grand nombre de parts de marché tout de suite. C’est le principe du winner takes all : dès lors que vous êtes le premier, tout l’investissement que vous avez fait est gagnant, et l’investissement fait par les autres est perdant. Ça, c’est pour la conquête de parts de marché. Mais l’IA, c’est toute une chaîne de valeur qui inclut de nombreuses sous-couches. Investir dans l’IA, cela implique d’investir dans les puces, dans les serveurs, et ces investissements ne sont pas perdus : c’est une infrastructure qui sera de toute façon nécessaire dans l’utilisation de l’IA, à des fins de service ou d’application. Est-ce le sens de votre question : dans quelle application faut-il investir ?

Mme Cyrielle Chatelain, rapporteure. Ma question était sans doute mal posée. Pensez-vous que le principe du winner takes all fonctionne pour l’IA ?

Dans toutes les autres applications que nous avons citées, on investissait à perte, on prenait des parts de marché, on verrouillait les usages et après on pouvait développer, sans se soucier des impacts en matière d’infrastructure. Orange nous a expliqué que la charge de l’augmentation du flux n’est pas supportée par les grands acteurs américains et que la question de leur contribution aux infrastructures se pose.

La principale différence, avec l’IA, c’est qu’il faut investir pour bâtir l’infrastructure et qu’il faut la maintenir. Peut-on dès lors reproduire le modèle qui a eu cours pour le digital ou les services dans le domaine de l’IA, celle-ci étant beaucoup plus demandeuse d’investissements, qui plus est sur du temps long, ce qui représente un investissement relativement important ? Ainsi, il pourrait être intéressant de développer certains secteurs tandis que d’autres services ne seront jamais rentables et commencent à fermer. Avez-vous identifié les secteurs dans lesquels l’IA ne sera jamais rentable ?

Ma dernière question porte sur les gains de productivité. Je serais très intéressée par des études sur ce sujet. Le rapport Draghi a abordé cette question mais, selon Martha Gimbel, de Yale, les gains de productivité aux États-Unis sont liés à un croisement entre l’augmentation de l’investissement dans l’IA, les data centers, etc., et une stagnation de l’emploi, mais pas à une augmentation du taux de productivité. C’est confirmé par une étude de la Réserve fédérale, ainsi que par une autre étude, du MIT (Massachusetts Institute of Technology), selon laquelle le retour sur investissement pour les entreprises ayant développé l’IA générative est globalement égal à zéro. Si vous avez des études autres que le rapport Draghi montrant ces gains de productivité, je serais très intéressée de les connaître.

Mme Maya Noël. Je n’ai pas de chiffres ou de références à vous fournir aujourd’hui, mais je pourrai étayer et contribuer a posteriori.

En tout cas, je pense que des investissements doivent être faits sur toutes les couches. En fait, quand on parle d’IA, on parle beaucoup des nouveaux modèles – modèles de langage, modèles vocaux. On est un peu dans la course au modèle aujourd’hui, et l’usage qui en est fait évolue très vite : en l’espace de deux mois, le paysage est complètement chamboulé dans ce qu’on peut faire avec l’IA et ses modèles, notamment au travail. Anthropic a sorti Claude Code il n’y a pas très longtemps et, en l’espace de trois mois, cela a permis d’accomplir des choses assez extraordinaires. Il est donc compliqué de vous dresser un tableau de toutes les perspectives, de tous les gains de productivité.

Ce qui est certain, en revanche, c’est que cela s’appuie toujours sur une couche d’infra qui, elle, est connue : les puces, les data centers… Toutes ces couches vont capter de la valeur économique. Si l’enjeu est la souveraineté, je pense qu’il faut continuer d’investir dans ces couches.

M. le président Philippe Latombe. Je vous remercie pour votre présence à cette audition.

* *

Audition, ouverte à la presse, de M. Arnaud Caudoux, directeur général adjoint de Bpifrance, M. Lionel Chaine, directeur des systèmes d’information, et Mme Sophie Rémont, directrice en charge de l’expertise et des programmes au sein de la direction de l’innovation (mardi 21 avril 2026)

M. le président Philippe Latombe. Mes chers collègues, nous poursuivons les auditions de notre commission d’enquête en recevant les représentants de BPIFrance, que je remercie pour leur disponibilité.

Je vous laisserai d’abord la parole pour un propos liminaire, à la suite duquel nous pourrons échanger. Quel rôle joue BPIFrance pour renforcer l’écosystème de la French Tech ? Comment repérer de futurs champions du numérique et comment les aider à passer à l’échelle ? Autant de questions qui nous intéressent.

Je vous remercie au préalable de nous déclarer tout intérêt public ou privé de nature à influencer vos déclarations.

(Mme Sophie Rémont et MM. Arnaud Caudoux, Thierry Sommelet et Lionel Chaine prêtent serment).

M. le président Philippe Latombe. Je vous remercie. Vous avez la parole dans l’ordre que vous souhaiterez.

M. Arnaud Caudoux, directeur général adjoint de BPIFrance. Est-il nécessaire que nous fassions part des postes d’administrateur que nous détenons au titre de nos fonctions chez BPIFrance ?

M. le président Philippe Latombe. Oui, s’il vous plaît.

M. Arnaud Caudoux. Je déclare être administrateur des sociétés Technip Energies, Veolia et Younited. Younited est une fintech spécialisée dans le crédit à la consommation.

M. Thierry Sommelet, directeur au sein de la direction du capital-développement. Pour ma part, je représente BPIFrance au conseil d’administration d’Orange, de Worldline, de Vantiva, d’Idemia et de Campus IA.

Mme Sophie Rémont, directrice en charge de l’expertise et des programmes au sein de la direction de l’innovation. Je suis déportée des sujets Soitec à titre personnel et je siège au conseil d’administration de l’École des mines, mais je pense que cela ne pose pas de difficulté.

M. le président Philippe Latombe. Je vous remercie pour ces précisions. Je vous laisse la parole pour le propos liminaire dans l’ordre que vous voudrez.

M. Arnaud Caudoux. C’est nous qui vous remercions de nous donner l’occasion de nous exprimer devant vous sur ce sujet, qui est évidemment important et stratégique pour nous. Je me permets de rappeler rapidement ce qu’est BPIFrance et ce que cette banque fait au quotidien. Notre mission, que vous connaissez, est de financer l’économie française à travers ses entreprises, à tous les stades de leur développement, depuis la création jusqu’à la transmission, en couvrant toutes les phases d’innovation, de transmission et d’exportation. Nous le faisons à travers nos différents métiers, principalement sur un modèle que l’on pourrait qualifier de dual, qui est à la fois celui d’une banque et celui d’une société d’investissement.

En tant que banque, nous accordons du crédit aux entreprises françaises dès lors qu’elles sont solvables. Nous octroyons environ 10 milliards d’euros de crédit par an à plusieurs milliers d’entreprises, et nous avons 50 milliards d’euros d’encours de crédit auprès d’elles, essentiellement des crédits à long terme. De ce point de vue, nous sommes une banque régulée par la Banque centrale européenne (BCE), soumise à toutes les contraintes d’opérabilité et de soutenabilité des établissements de crédit.

En tant que société d’investissement, nous investissons environ 5 milliards d’euros par an en fonds propres dans les entreprises de l’économie française. Nous le faisons directement en capital-risque, en investissant dans de jeunes sociétés technologiques et prometteuses qui ne sont pas encore rentables. En 2025, à titre d’exemple, nous avons investi environ 550 millions d’euros.

Nous intervenons ensuite en capital-développement dans des sociétés qui sont devenues rentables ou qui ont vocation à l’être très rapidement, qu’elles soient technologiques ou non. Toujours en 2025, nous avons investi à ce titre environ 2,5 milliards d’euros.

Enfin, nous agissons en fonds de fonds, et nous y reviendrons j’imagine, pour soutenir l’ensemble de l’écosystème du capital-investissement français, tant en capital-risque qu’en capital-développement. Nous soutenons ainsi l’ensemble des acteurs privés qui co-investissent à nos côtés dans les sociétés innovantes comme dans les sociétés plus matures. Là aussi, à titre d’exemple, en 2025, nous avons investi 1,8 milliard d’euros dans l’ensemble des fonds gérés par ces équipes.

Pour information, nous exerçons également, au nom et pour le compte de l’État, la mission d’assurer l’ensemble des crédits à l’exportation français. À ce titre, nous contribuons à l’exportation des technologies françaises dès lors qu’elles bénéficient d’un financement export.

À côté de cela, et c’est important pour le sujet qui nous occupe, nous apportons des missions de conseil aux entreprises sous une forme assez compacte, adaptée aux start-up, aux PME et aux ETI. Il ne s’agit pas de grandes missions de conseil, mais de missions menées avec des experts qui nous permettent de les aider à cibler ou de les sensibiliser sur des sujets qui nous paraissent importants. À ce titre, nous effectuons notamment ce que nous appelons des diagnostics, des missions très rapides où nous indiquons à une entreprise quel est le sujet important dans sa situation. Nous réalisons ces diagnostics en particulier sur l’intelligence artificielle et sur la cybersécurité. À titre d’exemple, sur la cybersécurité, nous avons mené plus de 300 missions de diagnostic auprès de 300 entreprises en 2025, souvent en partenariat avec la direction générale de l’armement (DGA), ce qui nous permet de sensibiliser l’ensemble de l’économie française à ce sujet. Dans le domaine de l’intelligence artificielle, nous avons réalisé 630 missions. Là aussi, nous sommes sur un enjeu d’adoption, de sensibilisation et de compréhension des enjeux par l’ensemble du terreau économique français.

Nous sommes donc une banque et un fonds d’investissement, mais je tiens à préciser que nous sommes également sensibles à tous ces sujets de souveraineté numérique en tant qu’entreprise. Nous avons des enjeux de continuité d’exploitation, de protection de nos données, de confidentialité ; en somme, tous les sujets que rencontrent les grands fonds d’investissement et les banques systémiques, qui sont d’ailleurs largement aidées en la matière par la BCE, qui les sensibilise beaucoup et à juste raison à ces questions.

Si l’on en vient au sujet du jour, la dépendance numérique, nous portons un regard, je pense, partagé par beaucoup, qui est nécessairement réaliste et pragmatique. En Europe, nous sommes en situation de dépendance numérique, essentiellement vis-à-vis des acteurs américains et, honnêtement, assez peu des acteurs chinois. Dans les grandes verticales du numérique, que ce soit le cloud, le logiciel, les plateformes de données ou l’IA, une grande partie de nos infrastructures dépend des acteurs américains. C’est le résultat d’un processus de très long terme et de nombreuses mécaniques qui se sont mises en place depuis plusieurs dizaines d’années. Pour les acteurs américains, il s’agit souvent d’un cercle vertueux, et pour nous, d’un cercle vicieux, qui fait que les acteurs dominants vont plus vite, grossissent plus rapidement et étendent plus largement le champ de leur verticale que les acteurs européens. C’est le sujet du jour, le diagnostic de base que nous posons, et c’est dans ce contexte que nous agissons pour préparer au mieux la suite, assurer un minimum d’indépendance et faire en sorte que, dans les nouvelles technologies émergentes, les acteurs français et européens aient une chance de se battre à armes égales et de disposer au moins d’un marché européen sur lequel ils puissent s’épanouir et grandir.

Ce n’est donc pas un sujet simple, mais c’est un sujet majeur. Dans ce que nous faisons en financement de l’innovation, que ce soit en capital-risque où nous aidons à l’innovation, le numérique reste le principal secteur financé, et nous le faisons en étant présents dès que nous pensons que c’est raisonnable. Il y a des schémas et des domaines où il est difficile de se battre, mais il y en a d’autres où c’est encore possible. C’est d’autant plus possible que nous sommes sur des technologies émergentes et que les choix sont encore ouverts pour les acteurs qui vont acheter ces services numériques, car nous ne sommes pas encore trop confrontés ni aux effets d’échelle, ni aux effets de réseau qui font la force des grands acteurs américains.

Nous avons par ailleurs des succès, que vous connaissez. En matière de protection des données et de déplacement des infrastructures en Europe, nous avons maintenant les moyens d’avoir des clouds sécurisés, soit parce qu’ils sont fournis par des acteurs européens, soit parce qu’ils font l’objet de partenariats entre des acteurs français et américains. Nous avons aujourd’hui les moyens de mettre en place des clouds sécurisés, que nous utilisons d’ailleurs pour nos données confidentielles, mais pas pour les données non confidentielles. Nous avons les moyens d’exiger que nos données soient localisées en Europe, quels que soient les fournisseurs d’infrastructures, et c’est même le cas en France.

En termes de financement, nous nous concentrons sur les secteurs où nous pensons que les batailles sont possibles. Elles le sont dans le logiciel, un secteur largement remis en jeu par l’intelligence artificielle, où nous n’avons pas de grands acteurs mondiaux dominants, mais des acteurs qui peuvent être leaders sur des marchés de niche ou des verticales sectorielles. Nous nous concentrons sur l’IA, un secteur émergent où tout est encore ouvert. Nous nous concentrons sur la cybersécurité, parce que c’est tout simplement nécessaire ; il n’y a pas de monde où l’on puisse se passer d’un minimum de souveraineté sur les logiciels et les outils de cybersécurité. Nous nous concentrons sur les services de données et sur différentes verticales de ce que nous appelons la deep tech, c’est-à-dire le futur du numérique, que ce soit le quantique ou la blockchain. Il s’agit de toute une série de segments émergents sur lesquels, du fait des compétences de nos ingénieurs et de la qualité de nos entreprises, nous sommes encore dans la course aujourd’hui.

Voilà, très rapidement, ce que je pense utile de vous dire en propos liminaire, car je crois avoir atteint les dix minutes.

M. le président Philippe Latombe. Merci beaucoup. Avant de passer la parole à Mme la rapporteure, j’ai peut-être une première question. Sans vouloir être désobligeant, mais en référence aux prises de position parfois tranchées du président de BPIFrance, qui s’exprime au nom de l’intégralité de l’institution, je ne parle pas de ses positions personnelles sur certains sujets politiques. Il a exprimé au Sénat, il y a quelques semaines, une position que j’ai cru déceler dans vos propos, mais je voudrais m’assurer que nous comprenons bien. Il a expliqué aux sénateurs que la bataille du cloud était perdue, qu’il ne servait à rien de s’en occuper et qu’il fallait passer à autre chose. J’ai un peu retrouvé cette idée lorsque vous avez parlé de batailles qui étaient perdues et de la nécessité de se concentrer sur d’autres. Ce propos semble à rebours de beaucoup d’auditions que nous avons pu avoir, qui nous expliquent que sans le cloud, il n’y a pas d’IA, et qu’il faut absolument reconquérir le cloud. Le déplacement que nous avons fait à Bruxelles nous a montré que la Commission européenne investigue également ce sujet de façon très massive. N’êtes-vous pas à contre-courant d’un certain nombre d’autres institutions ou d’autres mouvements européens sur ce sujet ?

M. Arnaud Caudoux. Je ne le pense pas. En revanche, il est certain que le terme « cloud » est très générique. Dans le cloud, il y a les infrastructures de données partagées et un certain nombre de couches de services par-dessus. Le propos de notre directeur général, et la vision que l’ensemble de la banque partage, est qu’aujourd’hui, il n’est pas possible de se battre à armes égales avec les grands hyperscalers américains. En termes de niveau et de nombre de services fournis, ainsi que de vitesse de mise à disposition des nouveaux services, la bataille face à ces géants, dont les montants d’investissement en capitaux sont de 10 à 100 fois supérieurs à ce que peuvent faire les acteurs européens, n’est pas gagnable.

Cela ne veut pas dire qu’il n’y a pas moyen d’avoir des acteurs de cloud européens qui, progressivement, atteignent un niveau où leurs offres permettent à énormément d’entreprises de fonctionner. Simplement, les Américains auront toujours un temps d’avance en termes de nouveaux services. Par conséquent, fonctionner sur des clouds européens plutôt que sur des clouds américains demande une maturité technologique supplémentaire, ce qui est particulièrement difficile pour beaucoup de start-up aujourd’hui. Si vous voulez aller très vite et ne pas trop vous préoccuper de la dépendance à certains services fournis par votre fournisseur de cloud, il est plus facile de s’adresser aux Américains, et ce retard est très difficile à rattraper.

Cela ne veut pas dire que les acteurs européens ne sont pas capables de fournir de plus en plus de services de qualité et d’empiler des couches de services, ce qu’ils font progressivement, qui permettront à de plus en plus d’entreprises de domicilier leurs services chez eux. Cela ne veut pas dire non plus que des solutions comme le SecNumCloud, avec des partenariats entre un Thales et un Google par exemple, ne sont pas des solutions qui assurent complètement la sécurité, la confidentialité et le bon fonctionnement d’un système d’information ou d’une base de données.

Il y a bien deux choses différentes. Nous n’allons pas rattraper les grands acteurs américains en termes de capacité et de vitesse sur le cloud classique. En revanche, nous avons des opérateurs qui se développent et des solutions hybrides qui satisfont les règles européennes et françaises en matière de sécurité du cloud. Ce que nous disons, c’est que la bataille frontale, toutes choses égales par ailleurs, entre les acteurs américains et les acteurs français, ne nous paraît pas gagnable aujourd’hui. Nous ne connaissons d’ailleurs personne qui la mène à proprement parler.

Ensuite, il y a le sujet de l’IA, qui est un type d’infrastructure spécifique et émergent partout. Les choses sont différentes. Je passerai la parole à Thierry tout à l’heure quand nous parlerons de Campus IA, par exemple. Ce n’est pas la même chose que le cloud classique sur lequel tournent toutes vos infrastructures et vos logiciels. Le point central est vraiment le niveau de maturité d’un système d’information qu’il faut pour tourner sur un cloud plutôt que sur un autre.

M. le président Philippe Latombe. C’est à ce titre que vous, en tant que banque, avez beaucoup utilisé AWS pour un certain nombre d’opérations et avez promu AWS lors des BPI Tours il y a quelques années pour la digitalisation de notre économie ?

M. Arnaud Caudoux. C’est à ce titre qu’un certain nombre de nos services tournent encore sur AWS. C’est à ce titre, effectivement, qu’au moment de la mise en place du prêt garanti par l’État (PGE), dans l’urgence et sur de très gros volumes, nous avons eu recours aux services d’AWS. Très honnêtement, à l’époque, nous n’aurions pas pu mettre en place le PGE en quinze jours sans la plateforme AWS. C’est absolument clair.

Quant à savoir si nous avons fait la promotion d’AWS, je n’en ai pas connaissance. Cela m’étonnerait que cela ait duré longtemps, en tout cas. Pour être honnête, je ne crois pas que nous l’ayons fait.

M. le président Philippe Latombe. Lors des BPI Tours, après le covid, il y a eu un financement, notamment par la fondation AWS, avec une marque qui a été apposée sur l’ensemble de la communication.

Mme Cyrielle Chatelain, rapporteure de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Pour rebondir et continuer la réflexion sur le cloud, avant d’aborder l’IA, vous avez commencé par dire que le cloud se composait de différentes couches. Identifiez-vous des couches sur lesquelles la bataille peut encore se mener ? Même si nous avons une divergence d’analyse, il serait intéressant de connaître celle de BPIFrance sur la couche matérielle des serveurs et l’ensemble des logiciels développés. La question de pouvoir garantir des services on-premise se pose de plus en plus, et il y a des développements différents, même dans le milieu du cloud. Puisque vous parlez de couches, quelles sont pour vous les couches stratégiques sur lesquelles il est intéressant d’investir ?

Deuxièmement, pour rebondir sur la question de la mise à niveau, nous avons l’exemple assez intéressant du Health Data Hub, la Plateforme des données de santé. On a du mal à savoir si c’est une autopersuasion qu’il n’y avait pas de solution française qui a finalement conduit à augmenter la dépendance à une solution américaine, dont nous allons sortir, ou s’il n’y avait vraiment pas de ressources. Finalement, quand une décision politique de sortir est prise, même si j’ai conscience que la maturité des acteurs n’est plus la même, il semble qu’il y ait une convergence étonnante entre la volonté politique et la solution technique. Peut-être y a-t-il aussi un discours autoréalisateur : plus on pense être dépendant des infrastructures américaines, plus on y stocke nos données, et plus ils peuvent à partir de là développer des services. J’aimerais avoir votre avis sur cette logique qui s’auto-alimente.

Enfin, sur la solution européenne, ce que je décèle dans votre propos, c’est qu’elle est une solution hybride, avec des capitaux européens mais de la technologie américaine. Cela signifie tout de même une continuité de la dépendance technologique, ce qui pose question en termes d’indépendance. N’avons-nous pas d’autres acteurs qui soient, pour le coup, de technologie européenne ou française avec des financements français ? Je suis un peu étonnée de ne pas forcément l’entendre dans votre réponse.

Pour finir, vous parliez des start-up et de votre rôle de conseil. Quand on est une start-up, on a besoin de services, on va stocker des données, et souvent, on cherche à développer des services innovants. La question de l’espionnage industriel se pose-t-elle ? Si l’on développe quelque chose que l’on pense inédit, le fait de stocker des données dans des espaces dont la confidentialité n’est pas garantie est un risque. S’il y a une crainte que ces données puissent être transmises à l’État américain, cela signifie qu’il y a une crainte sur la capacité d’accès à ces données. Est-ce un sujet qui est évoqué ? Au-delà de la question de la dépendance et du risque du kill switch, abordez-vous ces questions avec les start-up ?

M. Arnaud Caudoux. Je reviens rapidement sur AWS. Nous n’avons pas d’enjeu particulier avec AWS. Il se trouve que c’est AWS que nous avons utilisé à l’époque du PGE. Nous sommes ce qu’on appelle multi-cloud : nous utilisons le cloud de Google, en particulier dans le cadre de S3NS avec Thales, et le cloud de Microsoft pour nos services bureautiques, comme beaucoup d’entreprises. Nous n’avons pas d’enjeu particulier vis-à-vis d’aucun des acteurs américains. Nous utilisons un maximum les clouds français pour un certain nombre de solutions SaaS (software as a service), pour lesquelles nous imposons à nos éditeurs fournisseurs de domicilier leurs solutions sur des infrastructures françaises, que ce soit OVH, Scaleway ou d’autres. Ces acteurs existent et sont parfaitement capables d’héberger des solutions qui tournent ensuite pour notre compte. Une trentaine de solutions que nous achetons pour faire fonctionner BPIFrance tournent aujourd’hui sur OVH ou Scaleway. Nous sommes volontairement et de manière assumée multi-cloud. Nous utilisons les clouds américains quand nous n’avons pas le choix, car ils fournissent des services que nous ne pouvons pas trouver ailleurs, et nous utilisons les acteurs français ou européens dès que nous le pouvons, en les imposant aux fournisseurs de solutions, qu’ils soient américains ou européens.

Je souhaite être parfaitement clair là-dessus. De même, et cela répond à votre point sur le secret, quand nous utilisons les acteurs américains, nous le faisons dans un cadre où nous imposons la domiciliation des données en France ou, parce qu’il faut toujours un deuxième lieu d’hébergement en cas de dommage matériel, nous imposons que le lieu de secours soit au minimum en Europe. Nous avons donc toujours un lieu principal et un lieu de secours qui sont tous les deux en Europe, le premier étant toujours à Paris, quel que soit le fournisseur. Deuxième chose, tout ce que nous faisons – le transport, le traitement et le stockage des données – est chiffré. Les clés de chiffrement de ces données sont chez nous, dans des coffres numériques sur nos serveurs. Donc, en aucune façon, même en appliquant le droit extraterritorial américain et même si le gouvernement fédéral avait accès à nos serveurs chez un fournisseur de cloud américain, il ne pourrait déchiffrer ces données. Que ce soit absolument clair. Cela répond au point sur le secret : aucune donnée ne peut être extraite d’un serveur et déchiffrée par un gouvernement étranger. De ce point de vue, nous pensons être sur un niveau de sécurité équivalent, voire supérieur, à celui d’un cloud français.

La bataille sur les clouds classiques se fait sur les couches de service et essentiellement sur la vitesse à laquelle ces couches s’accumulent. C’est bien là le sujet. On peut se battre sur les couches de base et sur le matériel, c’est ce que nous faisons et c’est là que nous avons des fournisseurs de services de cloud tout à fait au niveau. On peut aussi se battre sur les tout nouveaux services, en essayant d’aller plus vite. Ce sont les deux endroits où nous pensons que la bataille est livrable.

La logique hybride représente une solution. Je suis désolé si j’ai laissé entendre que c’était la seule dans notre esprit, ce n’est pas le cas. Mais c’est une solution qui fonctionne aujourd’hui, et il est important de le dire. La France est pionnière en la matière. Nous sommes les seuls aujourd’hui à avoir ce type d’approche opérationnelle, qui nous permet, par exemple, de faire tourner des métiers qui manipulent des données à proprement parler secrètes en toute sécurité dans un environnement formellement SecNumCloud. Oui, ça fonctionne, et je pense que c’est une victoire en soi.

Il y a d’autres façons de faire. Vous savez qu’AWS n’est pas qualifié SecNumCloud, et nous avons eu de nombreuses discussions avec eux à ce sujet. En revanche, ils se sont engagés à respecter les règles européennes qui, à peu de choses près, reprennent l’essentiel des règles SecNumCloud. Il y a aujourd’hui un cloud AWS à Francfort qui respecte le standard européen.

Encore une fois, nous avons des acteurs européens. Vous les connaissez, vous les avez entendus. Nous les connaissons aussi, nous leur parlons et nous travaillons avec eux pour pouvoir progressivement transférer un maximum de choses sur leurs propres infrastructures. C’est une autre solution. Ils progressent, ils bénéficient d’investissements, et nous travaillons bien sûr avec eux. C’est fondamental. Nous allons progressivement avoir des acteurs qui fourniront un service de plus en plus important. Notre point est de dire que, de l’autre côté, nous avons des acteurs qui courent très vite et qui investissent très fort. Il ne faut donc pas se tromper de bataille.

Ensuite, il y a le champ du cloud pour l’IA, qui est un nouveau domaine sur lequel les montants investis par les Américains sont absolument colossaux, mais sur lequel je pense que nous avons, comme pays et comme continent, pris conscience très vite de l’impérieuse nécessité d’avoir des infrastructures chez nous, et nous faisons en sorte que ces infrastructures puissent émerger.

M. le président Philippe Latombe. Peut-être avant de passer à l’IA, restons sur la partie cloud et hébergement, car certains points de votre réponse me surprennent assez. Le premier concerne la localisation. La localisation ne change en rien l’extraterritorialité du droit. Le fait d’exiger que les données soient localisées en France ou en Europe ne change rien à la possibilité pour les agences américaines d’utiliser des outils comme le Cloud Act (Clarifyng lawful overseas use of data Act) ou Fisa (Foreign intelligence surveillance act).

De même, vous nous dites que tout est chiffré et que tout va bien. Sauf si BPIFrance a inventé le chiffrement homomorphe qui fonctionne, ce que je ne vois pas sur le marché et qui reste un véritable espoir, les données ne peuvent pas être chiffrées au moment du traitement. Elles peuvent l’être au repos ou en transit, mais on ne sait pas faire de calcul sur des données chiffrées dans des serveurs distants, sauf à disposer de puissances de calcul telles que même les hyperscalers ne peuvent pas le fournir. Il y a donc bien un enjeu sur cette partie des données.

De plus, même si des données sont chiffrées, le fait qu’il y ait une activité intense d’une société sur des clouds montre qu’il y a éventuellement une rupture technologique ou un intérêt économique, ce qui constitue un signal d’alerte pour certains acteurs qui se diront que cette société a fait une percée et qu’il faut s’y intéresser. Cela a été démontré par plusieurs commissions d’enquête.

Dernier point, sur lequel j’aimerais vous entendre dans le cadre de votre mission de conseil : proposez-vous systématiquement aux start-up que vous accompagnez de profiter au maximum des crédits cloud ? Le grand avantage de ces crédits est qu’ils représentent un investissement en moins pour la start-up, mais en contrepartie, ils la lient au fournisseur de cloud. Je ne vise pas simplement AWS, même s’ils en ont fait beaucoup, mais c’est aussi une pratique de Microsoft et de Google, qui n’est absolument pas celle des entreprises de cloud françaises et européennes. C’est une question que nous avons débattue dans le cadre de la loi Sren et pour laquelle nous attendons des décrets. Comment voyez-vous cette pratique des crédits cloud et comment fonctionnez-vous avec cela ?

M. Arnaud Caudoux. Effectivement, j’ai oublié de répondre à cette partie sur le conseil pour une bonne raison : nous ne fournissons aucun conseil en ce sens et nous ne conseillons surtout pas aux start-up et aux entreprises que nous finançons d’utiliser ces crédits. Après, nous sommes un investisseur minoritaire, et elles prennent leurs propres décisions de gestion. En général, au conseil d’administration, nous surveillons ce qu’elles font, mais nous n’avons pas le pouvoir de leur interdire le recours à ce type de solution. Nous avons simplement le pouvoir de les avertir qu’elles se mettent en situation de dépendance excessive en y recourant. La mécanique est bien connue : je fournis un certain nombre de services gratuitement – c’est d’ailleurs Google, à ma connaissance, plus qu’AWS, qui a eu et a encore cette pratique – pour créer une dépendance, un vendor lock-in, qui renforce ensuite la capacité de vendre ces services à un prix élevé. Oui, nous prévenons les entreprises qu’en s’enfermant chez un seul fournisseur de cloud dès le départ, elles se mettent à risque de dépendance très élevée et que c’est profondément malsain. Nous assumons ce rôle et le faisons systématiquement pour toutes les entreprises que nous finançons, de même que nous les auditons sur le plan de la cybersécurité pour nous assurer qu’elles ne sont pas en situation de fragilité excessive, même s’il faut être modeste en la matière.

Sur le chiffrement, il se trouve que nous finançons, car c’est une des forces françaises, un certain nombre de start-up en cryptographie qui travaillent sur l’homomorphique. Nous savons donc assez précisément ce qui peut être fait et ce qui ne peut pas l’être. Quand nous avons des calculs à faire sur des données sensibles, nous rapatrions ces calculs chez nous. Pour le reste, beaucoup de calculs peuvent tout à fait se faire dans le cloud, mais le gros de l’usage du cloud concerne le stockage et le recours à des services. Honnêtement, je suis assez certain que les données que nous avons chez AWS sont protégées.

Je suis d’accord que la localisation en France ou en Europe n’empêche pas l’exercice de l’extraterritorialité. Pour autant, je pense que vous pourriez en convenir, je préfère avoir mes données et mes serveurs sur le territoire européen que sur le territoire américain. Il y a quand même une dimension physique dans l’accès qui est importante.

M. le président Philippe Latombe. C’est votre réponse à mon interrogation. Je ne suis pas sûr de la partager, mais nous avons le droit de ne pas être d’accord.

M. Arnaud Caudoux. Si le sujet était simple, nous ne serions pas là.

M. le président Philippe Latombe. C’est pour cela que le référentiel SecNumCloud utilise des critères stricts sur la détention du capital, les droits de vote et le personnel non étranger au sein des centres de données.

Mme Cyrielle Chatelain, rapporteure. J’avais les mêmes questionnements, donc je ne les reposerai pas. Peut-être, pour comprendre exactement la question des données et du chiffrement, je comprends que pour utiliser des services, il faut un traitement de données, et c’est au moment de ce traitement que le chiffrement n’est plus opérant, d’où la question de la garantie de la confidentialité. Vous avez indiqué que pour les données les plus sensibles, une partie n’était pas dans des clouds américains et que vous pouviez les rapatrier. Pourriez-vous nous donner une idée de la manière dont vous jugez qu’une donnée est sensible ou non ? La question sous-jacente est : qu’est-ce qu’une donnée sensible dans un monde où le recoupement de données peut transformer des données anodines en données sensibles ?

Deuxièmement, vous avez évoqué le recours à Microsoft et AWS. Pourriez-vous nous donner un ordre de grandeur des coûts de licence que cela représente pour BPIFrance ?

Enfin, sur le cloud, des start-up aux gros acteurs, votre collègue, M. Sommelet, siège chez Orange. Orange a fait le choix de développer une solution hybride à côté d’un cloud souverain déjà existant. Pourriez-vous nous expliquer ce qui a motivé cette décision ? La deuxième question, que nous avons posée à la directrice d’Orange mais pour laquelle elle s’en est remise à l’avis des administrateurs, concerne les dividendes. Nous avons beaucoup échangé avec elle sur les besoins d’investissement du secteur. Nous avions une inquiétude quant à la bonne affectation des fonds et nous nous demandions si la politique de dividendes n’affaiblissait pas la capacité d’investissement. Votre regard en tant qu’administrateur nous intéresserait.

M. le président Philippe Latombe. Sur la classification des données, nous appliquons une méthode qui s’impose aux établissements de crédit, qui consiste à classifier les données en quatre catégories : C0, C1, C2 et C3, allant des données internes non sensibles jusqu’aux données secrètes. Nous avons donc les données publiques, les données internes, les données confidentielles et les données secrètes. Nos données sont classifiées selon ce schéma, comme dans l’ensemble des établissements de crédit.

Ce que nous nous interdisons strictement de mettre ailleurs que dans un cloud souverain, ce sont les données C3, les données secrètes. Pour les autres, et je vous propose de revenir vers vous avec une note plus précise du directeur des systèmes d’information à ce sujet, quand nous devons faire des calculs sur des données confidentielles, il est très facile, et nous le faisons tous les jours, de rapatrier les données pour effectuer ces calculs, puis de les renvoyer sur un cloud.

Sur les coûts de licence, de même, nous reviendrons vers vous. Honnêtement, je ne les connais pas par cœur, en tout cas pas par opérateur. Sur Orange, je passe la parole à Thierry.

M. Thierry Sommelet, directeur au sein de la direction du capital-développement. Pour revenir rapidement sur ce sujet du cloud hybride versus souverain, il me semble que, quelle que soit l’initiative que l’on prend, on ne sera jamais 100 % européen dans la constitution d’un cloud si l’on part du matériel jusqu’au logiciel. Il y a de toute façon des équipements de réseau ou des équipements télécoms qui, pour certains, ne sont plus fabriqués en Europe. Il y a des dépendances ; on essaie de les réduire au maximum, mais c’est un long chemin. Nous voyons cela comme un mur de briques où l’on essaie, l’une après l’autre, d’avoir des briques souveraines, mais parfois, certaines ont disparu et il n’est pas toujours évident de les remplacer. Je parlais des équipements de réseau, mais cela peut être vrai aussi pour les logiciels de virtualisation, où les offres sont essentiellement américaines.

Orange a fait le choix de développer une solution en partenariat avec Microsoft et Capgemini, qui s’appelle Bleu, pour essayer de trouver une offre qui permette de pallier le manque de certaines couches logicielles, notamment les logiciels intermédiaires et les applications grand public de la suite Office. On entend souvent dire qu’il y a des alternatives open source, mais il y a un effet de réseau énorme avec ces applications. Le chemin sera très difficile si l’on veut mettre en place une suite collaborative compatible avec tous ceux qui utilisent Microsoft Teams. Ils ont donc fait le choix de s’appuyer sur l’effet de réseau et l’implantation de cette couche logicielle dans un grand nombre d’entreprises, tout en fournissant une infrastructure sécurisée en dessous qui donne les meilleures garanties en termes de souveraineté. Cela laisse une dimension de dépendance. Nous avons eu des débats sur le fait que Microsoft pourrait un jour arrêter de fournir les mises à jour de la version spéciale de son logiciel destinée au cloud souverain. C’est une possibilité. Pour autant, aujourd’hui, cette solution répond à un certain nombre de besoins. Elle n’est pas aussi parfaite que si tout était européen, mais elle a le mérite d’exister.

S’agissant de la politique de dividendes, je crois qu’aujourd’hui, Orange a les moyens de son développement. Elle l’a prouvé par un certain nombre d’opérations qui lui permettent de se développer non seulement en France, mais également à l’étranger. Pendant longtemps, le cours de bourse d’Orange était bas par rapport à ses pairs. Le fait d’avoir une politique de dividendes attractive fait partie des éléments qui peuvent faire revenir un certain nombre d’investisseurs. La meilleure garantie de la capacité d’Orange à investir et à se développer, c’est aussi d’avoir un cours de bourse qui lui permet d’avoir une capitalisation qui attire des investisseurs et, par conséquent, de pouvoir emprunter et d’avoir un mix de financements pour son développement. Nous avons effectivement souvent ces débats sur l’investissement au conseil d’Orange. Orange investit dans ses infrastructures. Devrait-elle se lancer dans de nouveaux champs, par exemple en répliquant elle-même des infrastructures de cloud ? S’ils ne le font pas, cela renvoie à la difficulté qu’évoquait Arnaud Caudoux tout à l’heure. Se dire qu’on va développer soi-même la plateforme logicielle pour se substituer à Microsoft est un pari que peu d’acteurs sont prêts à prendre aujourd’hui, et ce n’est pas forcément un acteur venant des télécoms qui sera le mieux placé pour le faire. Je pense qu’aujourd’hui, Orange a les moyens de son développement, et je ne pense pas que le dividende soit un obstacle à ce stade.

M. le président Philippe Latombe. Pour poursuivre la question de la rapporteure et aller au-delà du cas d’Orange, la question qui se pose est la suivante : est-ce que la politique française et européenne, plutôt orientée vers la distribution de dividendes, contrairement à ce que font les États-Unis qui favorisent la capitalisation et la conservation des résultats, n’a pas un impact sur l’accompagnement de ce que vous faites en tant que banque publique d’investissement ? On nous a dit qu’on manquait de capitaux privés pour l’investissement. La banque publique est là pour amorcer et accompagner, mais elle ne peut rien faire toute seule. Il faut des investisseurs privés, et il n’y aurait pas assez, selon nos auditions, d’entreprises privées qui investissent dans des sociétés d’avenir pour lesquelles elles pourraient, en plus, être des clientes à terme. Ce serait un double effet avantageux : se réserver un accès aux produits et réaliser un investissement rentable qui permettrait d’amorcer cette fameuse boucle vertueuse que vous avez évoquée.

M. Arnaud Caudoux. C’est un sujet essentiel que de faire en sorte qu’on ait en Europe l’écosystème qui permette aux entreprises technologiques de grandir. C’est absolument clair. Il nous semble que c’est d’abord un sujet de valorisation des grandes entreprises, plus qu’un sujet de niveau de dividendes et de capacité d’investissement. Ce qu’on voit aujourd’hui en Europe, c’est un système qui fonctionne assez bien sur les premières étapes de la vie des jeunes entreprises. En France, il n’y a pas de fonds de pension, il y a BPIFrance, mais comme vous l’avez dit à très juste titre, on ne fait jamais rien seul, on a besoin d’investisseurs privés pour nous accompagner, et souvent, ces investisseurs sont américains.

Il y a donc un sujet de taille de l’écosystème de capital-risque. On a besoin que les entreprises de capital-risque européennes continuent à grandir et à lever plus de fonds. Pour cela, il faut qu’elles trouvent plus d’investisseurs : fonds de pension, assureurs, très grands groupes. Le fait est qu’il faut attirer plus de capitaux chez ces acteurs pour qu’ils puissent investir des tickets toujours plus importants dans des entreprises qui, sur les nouvelles technologies comme le quantique, la deep tech, la cybersécurité ou l’IA, ont des besoins de capitaux de plus en plus importants. C’est le premier élément de différence entre les États-Unis et l’Europe aujourd’hui : la taille du segment du capital-risque. Cette taille vient de deux choses : la disponibilité des capitaux à s’investir dans le capital-risque – ce sont beaucoup les fonds de pension américains et les endowments des universités, que nous n’avons pas à la même échelle en Europe – et la capacité de ces fonds ensuite à vendre les entreprises.

Effectivement, les fonds américains ont une capacité à vendre les entreprises à de très grandes entreprises américaines, beaucoup plus importante que notre capacité à vendre nos entreprises à de grandes entreprises européennes. On est effectivement dans ce cercle vertueux d’un côté et vicieux de l’autre. Est-ce à cause des dividendes ? Il me semble que c’est d’abord une question de valorisation de ces grandes entreprises. Beaucoup de ces rachats se font en titres, et donc avoir une valorisation très importante permet d’acheter des entreprises sur une valeur importante en échangeant des actions. La question clé numéro un, c’est la valeur de nos grandes entreprises, leur volonté de prendre du risque, et la capacité du marché actions à évaluer l’opportunité de ces acquisitions. Il y a une dimension de maturité du marché actions pour juger de la bonne valeur d’une entreprise et de l’opportunité de l’achat d’une start-up elle-même très bien valorisée. La partie dividende est un élément de la bonne valorisation de l’entreprise, mais ce n’est pas le seul. Est-ce que cela aiderait de laisser un peu plus d’argent à investir chez les grandes entreprises ? Probablement. Est-ce que c’est la clé qui va tout déverrouiller ? Je ne pense pas.

M. le président Philippe Latombe. Peut-être avant de vous laisser répondre sur Orange, je voudrais réagir à ce que vous venez de dire. Nous avons auditionné Maya Noël de France Digitale, qui a fait quasiment un appel au secours en disant : « Donnez-nous de l’argent public, parce qu’on a un certain nombre d’entreprises qui ne vont pas bien et qui doivent pivoter ». N’est-ce pas parce que nous avons des entreprises qui étaient plutôt des licornes B2C et qui n’ont pas forcément trouvé leur marché ? Je pense à Doctolib, par exemple, qui a été valorisée à un moment à plus de 6 milliards d’euros et dont la dernière augmentation de capital la valorise beaucoup plus bas, parce qu’elle n’a pas la rentabilité qui était estimée. Ou encore Sorare, où il y a eu des levées de plusieurs centaines de millions d’euros et qui est aujourd’hui dans une situation assez inquiétante. Est-ce que, comme le disait Maya Noël, c’est à l’argent public d’intervenir pour ces pivots ? La vraie question est : n’avons-nous pas eu des valorisations qui, à un moment, étaient faites sur des PowerPoint et sur une idée, alors que, confrontées au marché, elles n’atteignent pas la rentabilité attendue ? N’est-ce pas une différence par rapport aux États-Unis, qui financent des entreprises de technologies de pointe – aérospatiale, quantique, logiciels de pointe – qui sont ensuite utilisées mondialement, alors que nous avons des sociétés qui ne sont pas dans ce marché ?

M. Arnaud Caudoux. J’ai envie de dire oui et non. Évidemment, il y a des entreprises qui doivent pivoter. Nous ne sommes pas investisseurs chez Sorare, mais il est assez clair qu’ils doivent réinventer leur modèle. C’est une entreprise et un succès absolument brillants, mais il se trouve que ça ne marche plus, et c’est effectivement du B2C. Le cas de Doctolib, où nous sommes investisseurs, est différent. On ne peut pas dire qu’ils n’ont pas trouvé leur marché. On peut discuter du juste niveau de valorisation de Doctolib, mais ils ont imposé une marque et une solution qui est utilisée et qui continue à grandir.

Il y a eu un phénomène de très forte valorisation par le capital-risque après le premier covid, en 2021-2022. Il y a eu un phénomène de survalorisation des licornes, pas seulement en France ou en Europe, mais partout dans le monde. On a eu la même chose aux États-Unis. Ce n’est pas qu’une question de capacité des marchés financiers à évaluer les choses. C’est un sujet où l’on n’a pas du tout la même profondeur de marché financier en Europe qu’aux États-Unis. Le passage de la valorisation privée par des fonds de capital-risque à la valorisation de marché par des acteurs institutionnels, l’IPO (introduction en bourse), est effectivement plus difficile en Europe. D’ailleurs, on voit un certain nombre d’entreprises aller se coter aux États-Unis plutôt qu’en Europe, malgré tous les efforts qui sont faits, parce que la profondeur de marché et l’écosystème des analystes ne sont pas les mêmes.

Mais on a les mêmes phénomènes aux États-Unis. Nous sommes, à travers le fonds Cathay Innovation, investisseur dans Chime, une société B2C de services bancaires aux États-Unis. Après son IPO, sa valeur sur le marché américain est largement inférieure à sa dernière valorisation privée. Ce phénomène de survalorisation par les acteurs du capital-risque a été observé partout. Nous sommes dans une phase d’ajustement de ces valorisations depuis deux ou trois ans. C’est encore plus vrai pour le B2C, je partage assez votre avis là-dessus, mais cela concerne toutes les entreprises de technologie partout dans le monde.

M. le président Philippe Latombe. Avez-vous une idée de la dépréciation que cela peut représenter dans votre bilan ? Peut-être que vous ne les aviez pas valorisées à la hauteur complète de la valorisation il y a trois ans, mais est-ce que ce reflux exerce une influence sur votre bilan ?

M. Arnaud Caudoux. Pour avoir une idée de ce qu’est le marché, nous sommes acteurs de fonds de fonds, donc nous sommes présents dans la plupart des bons fonds de capital-risque français. La valeur de ces fonds a très significativement augmenté entre 2019 et 2022, et elle stagne depuis. La traduction de ce phénomène est une valeur qui a quasiment fait fois deux en trois ans, puis qui a stagné pendant les trois années suivantes. Nous avons donc observé ce double phénomène : une très forte augmentation des valeurs post-covid, dans un marché qui allait déjà très bien avant, et depuis 2023, une stagnation en moyenne des valeurs sur le secteur du capital-risque français.

M. le président Philippe Latombe. Je vous propose que l’on revienne sur Orange avant que la rapporteure ne pose ses questions.

M. Thierry Sommelet. C’était peut-être pour compléter, car Orange reste avant tout une entreprise des télécoms. Pour revenir sur votre constat, je crois que l’un des sujets que l’on a identifiés est vraiment le passage à l’échelle post-venture. Depuis dix ans, l’écosystème venture (capital-risque) a été très alimenté. Ce que l’on voit aux États-Unis, c’est qu’il y a un segment du private equity (capital-investissement) dans la technologie qui est très développé et qui permet d’assurer le développement des entreprises entre le moment où elles sortent du venture et celui où elles sont assez grosses pour être cotées en Bourse. En Europe, ce segment existe peu.

Le fait, comme vous le disiez, qu’il n’y ait pas beaucoup d’entreprises qui puissent racheter les start-up vient aussi du fait qu’on a très peu de grands acteurs du logiciel cotés en Europe. En France, on a Dassault Systèmes, en Allemagne, on a SAP, mais le nombre d’entreprises qui pèsent quelques milliards de capitalisation boursière et qui peuvent développer cet écosystème est assez rare. C’est pourquoi, dans le plan stratégique de BPIFrance et du groupe Caisse des dépôts, il y a cette ambition d’assurer ce chaînon manquant qui permet aux entreprises rentables de passer de quelques dizaines de millions de chiffre d’affaires à plusieurs centaines, voire un milliard, et d’atteindre la taille qui leur permettra d’être cotées en Bourse. Ce sera un chemin relativement long.

Aujourd’hui, la plupart des investisseurs majoritaires dans le segment du logiciel ne sont pas français. Il y en a quelques-uns, mais ils sont rares. La plupart des investisseurs qui avaient l’expertise pour développer une entreprise de logiciel, lui faire faire des acquisitions et l’aider à se développer aux États-Unis – car si vous n’êtes pas présent sur le marché américain, c’est un handicap – étaient des fonds américains. Nous avons souvent investi à côté de ces fonds en essayant de nous assurer qu’il y avait une gouvernance équilibrée. Ensuite, on aimerait bien pouvoir les amener en bourse, mais comme le souligne Arnaud Caudoux, le marché boursier en Europe n’est pas complètement éduqué sur ces sujets. C’est un peu la poule et l’œuf : si on en met quelques-uns, on aura des analystes qui vont se former, et plus on aura d’analystes formés, plus ce sera facile de faire une introduction en bourse à des valorisations compatibles.

Le phénomène de baisse des valorisations depuis quelques mois est assez cyclique et n’est pas malsain en soi. Il y a un certain nombre d’entreprises qui tombent, mais dans le capital-risque, toutes les entreprises n’ont pas vocation à être pérennes. Il est normal que certaines se transforment, soient rachetées ou refinancées par de nouveaux acteurs avec une stratégie différente. C’est cette fluidité du capital, très présente aux États-Unis, qui nous manque peut-être un peu. Ce qu’on peut trouver de positif, c’est que cela remet l’accent sur les sociétés qui ont su être rentables. Il y a beaucoup de sociétés de technologie qui existaient avant la vague de start-up des années 2015 et qui ont été assez surprises de voir qu’on ne parlait pas d’elles alors qu’elles étaient rentables, et qu’on mettait l’accent sur des sociétés beaucoup plus petites qui levaient beaucoup de fonds.

Nous avons investi par exemple l’année dernière dans Septeo, qui fournit des logiciels à des notaires, des avocats, des professions réglementées. Le fondateur de Septeo disait : « On ne parle pas de nous ». On connaît bien moins Septeo que Doctolib ou Sorare, alors qu’ils font plusieurs centaines de millions de chiffre d’affaires, sont profitables et en croissance.

M. le président Philippe Latombe. En tout cas, si j’étais Septeo, je vous remercierais pour la publicité que vous venez de leur faire.

Mme Cyrielle Chatelain, rapporteure. Pour passer à un autre sujet après le cloud, j’ai deux questions. Nous avons évoqué les suites collaboratives. Il me semble que BPIFrance a financé plusieurs outils, comme CollabNext, IS Suites ou Wimi, qui visent à apporter une alternative. Quel est l’état d’avancement de ces différentes alternatives ? Et surtout, quelle est leur capacité à percer le marché privé face à un monopole de cette ampleur ?

Deuxième question sur l’IA. Vous avez lancé un appel à projets « Pionniers de l’intelligence artificielle ». Pouvez-vous nous en donner les objectifs ? Quand on parle d’IA, on pense très vite à l’IA générative, aux chatbots, aux grands modèles de langage. Pourriez-vous nous dire sur quel type d’IA vous vous concentrez ? On a aussi de l’IA plus précise dans le secteur industriel ou médical. Finalement, à qui s’adresse cet appel à projets ?

Mme Sophie Rémont. Je vais prendre la parole, car je m’occupe pour BPIFrance de la mise en œuvre de France 2030 dans le cadre des appels à projets nationaux. Vous avez cité l’appel à projets qui avait été mis en place pour financer des suites collaboratives. Trois projets sont financés. Lorsque nous finançons un projet dans le cadre de France 2030, nous établissons un contrat avec un versement progressif en fonction du passage des étapes. Ces trois projets, qui durent en général trois ans, avancent conformément à ce qui était attendu. Deux étapes ont été passées, il en reste une avant le solde. Ils avancent techniquement correctement.

En revanche, du point de vue commercial, comme ils sont encore en phase de développement, seul un projet a déjà franchi de premières étapes commerciales, mais c’est vraiment le tout début. Ils n’ont pas fini les développements et ne sont donc pas en phase de déploiement commercial fort. L’un des projets est un peu plus avancé de ce point de vue-là que les deux autres. Effectivement, pour eux, la question du déploiement se posera. Il ne suffit pas de développer la technologie et de montrer qu’elle peut marcher, il faut ensuite passer à la phase de déploiement. Ce que nous finançons dans le projet, ce sont bien les développements techniques et la mise en œuvre.

« Pionniers de l’IA » est un appel à projets assez particulier. L’objectif est de financer des projets de recherche et développement (R&D) qui présentent une rupture, un verrou technologique en matière d’intelligence artificielle, et qui démontrent un impact applicatif durable sur l’économie. Le porteur de projet doit nous présenter à la fois un verrou technologique à lever et un secteur d’application où il nourrit une ambition majeure de déploiement.

L’appel à projets se déroule en plusieurs phases. Nous avons déjà effectué deux relèves pour la première phase, qui constitue une étape de faisabilité d’une durée de six à douze mois, durant laquelle les projets doivent atteindre de premiers jalons. La phase suivante est consacrée au développement, avec une amélioration significative des performances. La dernière phase vise le déploiement, la concrétisation et l’industrialisation du dispositif. Nous suivons donc cette progression par étapes et nous nous situons actuellement aux premières d’entre elles.

Les projets qui nous sont présentés sont portés soit par des entreprises, soit par des laboratoires. En effet, nous menons cet appel à projets en partenariat avec l’Institut national de recherche en sciences et technologies du numérique (Inria), et un parcours parallèle, porté directement par un laboratoire, est possible pour cette première étape. Nous sommes donc dans cette phase de développement de verrous technologiques. Je pourrai vous communiquer plus spécifiquement la liste des porteurs de projets et la nature de leurs travaux, car je n’ai pas en tête les vingt projets exacts. Je peux vous transmettre l’ensemble de ces informations afin que vous puissiez en examiner le détail. Les bénéficiaires sont majoritairement de jeunes start-up.

M. le président Philippe Latombe. Puisque nous avons évoqué le volet France 2030 et ces trois projets, j’aimerais savoir comment vous, BPIFrance, percevez le rôle de la direction interministérielle du numérique (Dinum) et de sa suite collaborative, par rapport à cet appel à projets que vous avez accompagné. Les acteurs que nous rencontrons nous font part d’une forme de schizophrénie de l’État : d’un côté, il accompagne le développement technique de ces entreprises pour les amener à un certain niveau ; de l’autre, une autre branche de l’État fabrique une solution concurrente et, de surcroît, la fait financer par des ministères qui participent à sa fabrication.

Comment analysez-vous cette situation, alors que vous êtes, d’une certaine manière, des deux côtés ? Vous possédez en effet une capacité d’analyse à la fois technique, à travers l’accompagnement des projets, et commerciale, puisque l’étude des marchés fait également partie de vos missions.

Mme Sophie Rémont. Dans le cadre de France 2030, notre rôle est celui d’opérateur pour le compte de l’État. Cela signifie que nous sommes chargés de la mise en œuvre de l’appel à projets, de sa coordination et de la proposition des sélections. À chaque étape, BPIFrance formule des propositions, mais la décision finale revient bien à l’État, sur la base de nos recommandations qui sont généralement suivies. C’est la gouvernance interministérielle de France 2030 qui décide. La Dinum participe au comité de pilotage et est présente au sein du comité interministériel qui valide les choix. Elle nous interroge ensuite sur le suivi des projets dès que des évolutions surviennent.

En revanche, nous ne sommes pas directement impliqués dans le volet des appels d’offres 100 % étatiques, ni dans les procédures d’achat public, et encore moins dans les procédures de développement en interne que peuvent engager les ministères. Sur ce plan, nous ne sommes pas du tout intégrés au débat.

M. le président Philippe Latombe. Je comprends parfaitement votre réponse sur le plan technique. Je reviens cependant à mon propos liminaire et à la suite du vôtre : votre directeur général prône une très grande efficacité de l’argent public. Dans cette perspective, est-il opportun et raisonnable de maintenir ces deux projets concomitants au sein de la sphère publique ? Je conçois que vous agissiez en tant qu’opérateur appliquant les demandes de l’État, mais vous jouez également un rôle qui vous permet, avec une certaine distance, de donner votre avis. Votre directeur général, en tout cas, s’exprime assez régulièrement sur ces sujets.

Mme Sophie Rémont. Ce qui est certain, c’est que cette situation suscite des interrogations chez les porteurs de projets en phase de développement. Ils sont conduits à s’interroger et sont actuellement en pleine révision de leur modèle économique. De notre côté, cela nous a amenés à revoir avec eux leur plan d’affaires. Par ailleurs, on peut considérer que ces projets ne doivent pas compter uniquement sur les clients publics. Néanmoins, cette situation ne facilite pas leur déploiement. Il est évident que, notamment pour les start-up, un ancrage auprès de premiers clients publics constitue une aide pour faire leurs preuves. Si des développements parallèles sont portés directement par l’État, la situation est moins simple pour elles.

Mme Cyrielle Chatelain, rapporteure. Pour changer de sujet et revenir à l’intelligence artificielle, pourriez-vous nous présenter le projet de Campus IA, ses objectifs et le mandat que l’État vous a confié dans ce cadre ?

M. Thierry Sommelet. Le Campus IA est un projet qui s’inscrit dans le cadre d’un partenariat entre les Émirats arabes unis et l’État français, signé en 2024 par le Président de la République et le président des Émirats arabes unis. Cet accord comporte plusieurs volets, et le Campus IA en couvre un certain nombre, notamment l’usine de calcul IA, le développement du cloud européen, la recherche en IA et la formation.

Le projet de Campus IA est porté par le fonds MGX, qui est lui-même une émanation de Mubadala, le fonds souverain des Émirats arabes unis. L’objectif est de créer un campus de centres de données d’une capacité d’un gigawatt IT, ce qui correspond à 1,4 gigawatt électrique. Le terme de « campus » a été choisi car la société dans laquelle nous sommes investisseurs aux côtés de MGX n’a pas vocation à être l’investisseur exclusif dans ces centres de données. Elle assure la partie développement : elle a identifié et acheté les terrains, et elle gère les raccordements ainsi que les permis de construire. Elle allouera et revendra ensuite ces terrains à des développeurs de centres de données, en partie contre du numéraire et en partie en échange d’une participation dans leurs projets. Ces développeurs auront eux-mêmes vocation à accueillir un certain nombre de clients.

BPIFrance est investisseur minoritaire dans ce projet, avec pour mandat de garantir la place de la France dans les grandes infrastructures d’IA. Notre rôle est de veiller à ce que le siège social de ces structures reste en France et d’œuvrer à attirer des développeurs français et européens sur le site. Nous devons également nous assurer qu’il y ait des retombées en matière de recherche et d’éducation. Un partenariat a déjà été signé avec l’École polytechnique, et d’autres sont en cours de développement, afin que les retombées économiques et financières du projet alimentent également la recherche et la formation.

Voilà les objectifs du projet. À ce jour, le site a été identifié, les premiers travaux ont commencé et les phases d’allocation de terrains ou de recherche de partenaires sont en cours.

Mme Cyrielle Chatelain, rapporteure. Ma première question porte sur le développement des centres de données. S’il existe un consensus sur la nécessité de disposer de telles infrastructures en France, quelle est votre politique en matière de réduction des impacts environnementaux, que ce soit en termes de consommation d’eau ou d’énergie ? Vous êtes-vous fixé des objectifs, par exemple en matière de respect de normes ISO ou autres ? En somme, quel cadre vous donnez-vous pour la réduction des impacts environnementaux ?

Deuxièmement, pourriez-vous nous préciser la place de MGX dans cette coentreprise ? S’agit-il d’un acteur dont l’objectif se limite à capter des dividendes ou de la plus-value, dans le cadre de l’accord France-Émirats, ou a-t-il un rôle plus important ? Je sais que dans d’autres projets, ils sont propriétaires du centre de données. J’ignore quel est leur rôle précis dans le Campus IA.

De même, quels sont les engagements réciproques entre Nvidia et la coentreprise ?

Enfin, pour avoir une vision plus globale, les Émirats investissent massivement en France, mais également aux États-Unis. Si l’on considère l’ensemble des engagements de construction de centres de données, on atteint un niveau globalement reconnu comme non soutenable. Des projets n’aboutiront pas, mais ils créent une bulle extrêmement importante, notamment sur les composants matériels. Quel regard portez-vous sur cette bulle autour des investissements liés aux centres de données ? Et pensez-vous que la situation en Iran et son impact sur les Émirats pourraient entraîner des conséquences sur leurs investissements ?

M. Thierry Sommelet. Sur la première question relative aux impacts environnementaux, je ne peux pas vous donner de normes précises, car cela sera examiné au cas par cas avec les développeurs de chaque centre de données. Ce que je peux vous dire, c’est qu’il était très important pour la communauté de communes retenue que nous ne puisions pas dans les nappes phréatiques. Un engagement a donc été pris par les porteurs de projet pour qu’il n’y ait pas de consommation d’eau extérieure. D’autres engagements ont été pris : nous avons par exemple agrandi le site après avoir découvert des espèces d’oiseaux qui devaient y nicher. Nous en sommes maintenant à la phase des recherches archéologiques. Ce n’est pas un projet typique pour BPIFrance, car il s’agit d’une entreprise de développement partant de zéro, dite greenfield. Historiquement, nous investissons peu dans les infrastructures. Nous avons toutefois estimé qu’il était pertinent d’essayer d’attirer sur le territoire français des capacités de calcul en GPU as a service, car nous pensons que c’est la prochaine étape du cloud, du moins pour l’IA.

Je note d’ailleurs que lors de la présentation du projet sur place, un élu s’opposait au puisage dans les nappes phréatiques, tandis qu’un autre s’inquiétait des mesures de protection du site contre les inondations. Cela illustre la difficulté de bien faire les choses dans ce genre de projet. Je crois qu’en l’occurrence, les porteurs de projet, et notamment MGX en tant qu’actionnaire majoritaire, ont vraiment essayé de procéder au mieux. Ils ont d’ailleurs sollicité la Commission nationale du débat public (CNDP), une démarche spontanée et non obligatoire, pour s’assurer que toutes les parties prenantes puissent faire valoir leurs interrogations et que nous puissions y répondre dans la mise en œuvre du projet.

S’agissant des objectifs de MGX, je pense qu’ils sont doubles, bien que je ne puisse parler à leur place. D’une part, il s’agit d’un investissement financier dans un projet d’infrastructure qui a vocation à être rentable. D’autre part, MGX est actionnaire d’un développeur de centres de données, Khazna, un opérateur émirati qui a vocation à opérer une partie de ce site. Je pense que cela s’inscrit dans une stratégie plus large de diversification des investissements de ces pays pour préparer l’avenir, dans un contexte où la ressource pétrolière diminuera un jour. Ils sont extrêmement investis dans le domaine de l’IA et apportent à ce projet des compétences, un savoir-faire et des relations à très haut niveau avec la plupart des acteurs du secteur. Leurs investissements internationaux dans de nombreuses structures, que ce soit au niveau de l’infrastructure, des modèles ou des sociétés exploitant l’IA, font bénéficier ce projet de leur réseau de partenaires et de leur connaissance du domaine, ce qui nous paraît très important pour en assurer le succès.

Effectivement, nous avons étudié ce projet en étroite collaboration avec RTE, qui nous a indiqué, comme ils l’ont peut-être fait auprès de vous, anticiper une explosion très significative de la demande en France, sur un grand nombre de projets. Je pense qu’il y a deux phénomènes : d’un côté, l’opportunité que ce type de projet peut représenter pour des collectivités locales, et de l’autre, une recherche menée par l’État pour identifier des sites capables d’accueillir ces centres de données, ce qui a fait fleurir beaucoup de projets. Je ne sais pas si tous iront à leur terme, mais il s’agit bien de projets locaux.

Au niveau international, lorsque j’ai analysé le nombre de projets l’année dernière pour étudier le plan d’affaires de la structure, nous craignions à un moment de ne pas avoir assez de demande. Cependant, depuis le début de l’année et l’engouement pour les modèles les plus récents, on peut affirmer que la demande est bien présente. Nous avons aujourd’hui clairement trois à quatre fois plus de demandes que ce que le site peut fournir en capacité. Il ne faut pas se cacher qu’aujourd’hui, la majeure partie de cette demande est américaine. Les acteurs français consomment des mégawatts de puissance de calcul, mais pour des demandes de plusieurs centaines de mégawatts, une partie de la capacité proviendra forcément de clients non européens.

Concernant l’Iran, nous ne voyons pas d’impact clair à ce jour. Potentiellement, cela pourrait même renforcer l’intérêt pour un acteur émirati de diversifier ses investissements dans d’autres zones géographiques, notamment pour ses opérateurs de centres de données. C’est sûrement une piste de développement privilégiée pour eux.

M. Arnaud Caudoux. Un mot sur les normes environnementales, qui sont un point important pour la France. Nous disposons d’une électricité nucléaire décarbonée, ce qui suscite beaucoup de demandes. RTE a reçu des demandes de connexion pour un total de 80 gigawatts, ce qui représente la quasi-totalité du parc nucléaire français. C’est le chiffre cité par l’ancien directeur général de RTE. C’est évidemment déraisonnable et cela n’arrivera jamais.

M. le président Philippe Latombe. Ce chiffre de 80 gigawatts correspond à des inscriptions dans la file d’attente pour obtenir un raccordement, qui n’aboutiront pas toutes. La Commission travaille d’ailleurs à purger ces files d’attente pour éviter que certains s’inscrivent simplement pour vendre leur place. C’est pourquoi nous avions un chiffre différent, la Commission visant 70 gigawatts pour l’ensemble du niveau européen.

M. Arnaud Caudoux. C’est exactement mon point. Cette demande est complètement absurde et n’aboutira jamais. Cela dit, elle témoigne de l’attractivité de la France, due à la simple existence d’un parc nucléaire réputé, pour les années à venir, relativement surcapacitaire. Cette capacité à fournir une électricité stable et décarbonée est un atout majeur pour faire de la France un pays doté de centres de données et de calcul pour l’IA les plus propres possible.

Par ailleurs, comme vous l’avez peut-être vu avec Veolia – je déclare à nouveau que BPIFrance en est actionnaire et que j’en suis administrateur –, l’entreprise a annoncé viser un milliard d’euros de chiffre d’affaires sur les centres de calcul IA. Cela peut paraître contre-intuitif, mais c’est lié à notre capacité à promouvoir les meilleures pratiques en matière de refroidissement en circuit fermé et d’utilisation d’eau recyclée. Nous assurons cette optimisation verticale qui est à la fois une protection de l’environnement et une carte à jouer pour la France à l’échelle mondiale dans ce secteur.

Mme Cyrielle Chatelain, rapporteure. Pour revenir sur la demande d’électricité, le chiffre que vous avez donné illustre bien cette bulle : nous avons une demande complètement déconnectée de la capacité réelle. La capacité de production du parc nucléaire français étant d’environ 60 gigawatts, la demande est supérieure à la totalité de la puissance produite. Cela donne une idée de la bulle actuelle et interroge sur ce que nous ferons des terrains identifiés où aucun projet ne se concrétisera.

Deuxièmement, je m’inquiète, de manière plus globale, de voir apparaître les premiers centres de données alimentés au gaz, comme avec l’accord entre GRDF et Choreus datacenter Le modèle énergétique sous-jacent est préoccupant. Aux États-Unis, les centres de données reposent principalement sur les énergies fossiles. En France, notre modèle électrique, largement décarboné, pourrait être menacé par une appétence, notamment américaine, pour augmenter la puissance avec d’autres sources d’énergie.

Par ailleurs, les demandes que vous signaliez de la part d’élus locaux – à la fois une attention à ne pas puiser dans la nappe et une vigilance face aux inondations – ne sont pas contradictoires. Elles sont les deux faces des impacts du réchauffement climatique : d’une part, une baisse des réserves d’eau potable et, de l’autre, des pluies de plus en plus intenses provoquant des inondations, aggravées par la bétonnisation.

À la suite de vos réponses, je comprends que vous agissez aujourd’hui comme un opérateur foncier : vous avez acheté le terrain, vous allez le viabiliser pour le revendre à des opérateurs, parmi lesquels Khazna, un opérateur émirati, et majoritairement des acteurs américains. Vous avez fait le choix du GPU as a service, c’est-à-dire de l’IA, car les GPU, très énergivores, sont conçus pour ce type de traitement. Cela oriente le profil des investisseurs. Au vu du paysage de l’IA, il n’est pas étonnant que ce soient majoritairement des Américains.

Ma question est donc la suivante : nous avons un acteur majoritaire émirati, mais aussi de l’argent public, qui finance un projet où seront installés des centres de données appartenant à des sociétés émiraties ou américaines, pour répondre à la demande croissante de l’IA générative américaine – ChatGPT, Copilot. J’ai du mal à voir en quoi cela répond à nos enjeux de souveraineté. Nous aurons une infrastructure située chez nous, mais qui ne nous appartiendra pas, et dont les données stockées serviront des firmes américaines ou émiraties pour développer des services américains ou émiratis.

N’y aurait-il pas un modèle inverse, qui consisterait à développer des centres de données, pas nécessairement avec des GPU, mais pour faire du cloud, voire de l’IA avec des puces moins puissantes, afin de répondre à un besoin de stockage de données pour les entreprises françaises et européennes ? N’aurions-nous pas plutôt intérêt à financer des opérations pour relocaliser la donnée via des acteurs français ou européens, sur notre territoire et avec notre énergie ?

M. le président Philippe Latombe. Pour prolonger la question de la rapporteure sous un autre angle, vous allez permettre la construction de centres de données équipés principalement de GPU, donc de puces Nvidia, ce qui va encore faire augmenter leur coût alors que nous sommes déjà en pénurie. Nous avons auditionné la Commission hier, qui nous a parlé de réfléchir à un Chips Act II en tenant compte des erreurs du premier.

Comment BPIFrance accompagne-t-elle les sociétés qui fabriquent ou innovent en matière de puces ? Je ne vous ai pas vu au capital de VSora, ni à celui de SiPearl, que nous avons pourtant intégré dans le projet de supercalculateur, lequel fonctionnera avec des GPU Nvidia mais avec la possibilité de basculer sur SiPearl. Nous parlons de puces très particulières, des CPU moins consommatrices mais capables de faire de l’IA, et la banque publique n’est pas présente.

Êtes-vous procyclique en soutenant l’écosystème de Nvidia, ou contracyclique en phase avec la Commission et son Chips Act ? Ne pourriez-vous pas proposer aux Émiratis et aux autres d’accompagner la création de ces entreprises de puces plutôt que de soutenir Nvidia qui, avec une valorisation de 2 000 milliards de dollars, n’a peut-être pas besoin de notre aide ?

M. Arnaud Caudoux. Sur la microélectronique, vous ne nous avez peut-être pas vus au capital de SiPearl directement, mais vous nous avez vus au capital de Kayrros, de STMicroelectronics ou de Soitec. Nous sommes donc présents chez un certain nombre d’acteurs.

M. Thierry Sommelet. French Tech est dans SiPearl.

M. Arnaud Caudoux. Oui, et c’est nous qui gérons le fonds French Tech Souveraineté. Techniquement, l’actionnaire est BPIFrance Investissement. Nous sommes présents chez beaucoup de ces acteurs. Cela étant dit, aller affronter Nvidia aujourd’hui relève de stratégies très risquées.

M. Thierry Sommelet. L’ambition était de pouvoir accueillir de la capacité de GPU as a service, ce qui ne signifie pas que tout le campus sera dédié aux GPU. Cela dépendra des opérateurs qui viendront ; il y aura un mélange d’hébergement, de stockage, de cloud traditionnel et de GPU as a service. Mais il est clair que la demande pour de grosses capacités est aujourd’hui davantage tournée vers le calcul de type IA. Il existe déjà beaucoup d’infrastructures de cloud traditionnel en France, opérées par des acteurs français ou étrangers, et la croissance de la demande y est moindre.

Concernant les enjeux de souveraineté, c’est un critère que nous examinons, mais ce n’est pas le seul. Il ne vous aura pas échappé que Mistral est partenaire de ce projet. Nous sommes en discussion permanente avec eux pour voir comment nous pouvons fournir les infrastructures répondant à leurs besoins et comment ils se positionnent dans ce projet.

Quant à Nvidia, nous sommes leur partenaire non pas pour les accompagner, mais parce que nous avons besoin d’eux. Même si nous soutenons l’émergence d’acteurs du semi‑conducteur, qui est l’un des domaines où le retard est le plus difficile à rattraper, aujourd’hui, pour faire de l’IA, nous n’avons pas vraiment d’autre choix que de nous tourner vers Nvidia ou potentiellement AMD. Les seules autres puces existantes sont propriétaires, chez Google ou Amazon. D’ailleurs, des discussions ont lieu avec ces acteurs pour travailler sur d’autres puces afin de ne pas dépendre d’un seul fournisseur. Je vous l’accorde, cela reste des puces américaines.

Enfin, sans être un expert du Chips Act, je peux dire, en tant qu’actionnaire via BPIFrance des principales entreprises de la microélectronique française, que ce sont des entreprises qui ne sont pas positionnées sur le calcul numérique de très haut niveau. C’est l’une des batailles sur lesquelles nous n’avons pas d’acteurs européens significatifs et où il est très difficile de reconstruire des alternatives.

M. Arnaud Caudoux. Pour revenir sur la différence entre construire des centres d’entraînement ou d’inférence de modèles d’IA et construire des centres de données classiques, je pense que nous serons d’accord pour dire qu’il ne faut pas les opposer. Il faut faire les deux. Nous n’envisageons pas un monde dans lequel la France et l’Europe ne disposeraient pas de leurs propres infrastructures d’entraînement et d’inférence de modèles.

Ensuite, quelle sera la part des acteurs européens ou américains qui utiliseront ces centres ? Si, au début, une logique de mutualisation des capacités nous permet de réaliser les investissements nécessaires pour avoir ces centres chez nous, qui permettront aux acteurs européens – on a parlé de Mistral, mais il y en a beaucoup d’autres qui développent des modèles plus ciblés – d’avoir ces capacités d’entraînement et d’inférence sur notre territoire, c’est essentiel. Sinon, nous nous retrouverions dans une dépendance totale, avec l’obligation d’envoyer nos données et de faire nos calculs à l’étranger.

Mme Cyrielle Chatelain, rapporteure. Je vais reformuler ma question. Premièrement, j’entends que la souveraineté ne soit pas votre unique objectif. Il est cependant normal que nous, législateurs, insistions sur le fait que l’argent public doit viser à accroître notre souveraineté, d’autant que ce Campus IA, suite du sommet France-Émirats, a été placé sous ce signe.

Deuxièmement, le Cigref (club informatique des grandes entreprises françaises) chiffre à 264 milliards d’euros les sommes qui partent au niveau européen pour acheter des solutions américaines. Ma question est : le Campus IA permettra-t-il de réduire cette fuite ? La question n’est pas seulement la localisation de l’infrastructure. Si nous ne voulons pas que la plus-value économique parte vers les États-Unis ou les Émirats, il faut que cette infrastructure appartienne à des acteurs français ou européens, et que les services payés soient également français ou européens.

Enfin, vous ouvrez la porte à une question sur STMicroelectronics, en ce jour de publication d’un rapport très critique de la Cour des comptes. Ce rapport étrille les financements accordés à la filière, près de 5 milliards d’euros, des montants historiques, en soulignant qu’ils ne sont pas conditionnés et ont peu d’effets en matière d’emploi ou d’investissement. Il met en lumière le cas du site de STMicroelectronics en Isère, avec des engagements de l’État à hauteur de 2,9 milliards d’euros. D’un côté, la France tient ses engagements et paie ; de l’autre, le partenaire américain n’a absolument pas commencé le projet. On voit bien ici la limite : si les financements ne sont pas conditionnés, encadrés et ne répondent pas à une stratégie industrielle planifiée, que ce soit dans la microélectronique ou l’IA, nous risquons d’avoir dans cinq ans la même analyse, à savoir un gâchis d’argent public pour des impacts industriels mineurs.

M. Arnaud Caudoux. Sur la partie IA, je le répète, développer ces capacités ici permettra à des acteurs européens d’entraîner leurs modèles et de les faire tourner de manière indépendante des États-Unis. Si ces infrastructures servent aussi aux Américains, il y aura un partage des plus-values entre les opérateurs des centres et leurs utilisateurs. La manière dont cette plus-value s’allouera entre le centre et le fournisseur de modèles n’est pas déterminée aujourd’hui ; tout ne repartira pas nécessairement aux États-Unis. Concernant STMicroelectronics, je ne suis pas administrateur et ne connais pas la situation en détail.

M. Thierry Sommelet. Je ne suis pas administrateur non plus, c’est notre directeur général qui l’est. Je crois qu’il y avait un projet de développement qui répondait à une demande du marché à un instant donné. Un partenaire du projet a finalement fait marche arrière au motif que la demande anticipée n’était plus présente. Cela s’est produit à un moment où l’Europe, et notamment la Commission, affichait une forte volonté d’attirer des fabricants de microprocesseurs, comme lorsque Intel avait annoncé une usine en Allemagne, projet qu’ils ne feront finalement pas. C’est une nouvelle illustration de nos dépendances. Si nous voulons des processeurs de haut niveau, ce sont aujourd’hui les acteurs américains qui les fabriquent. Est‑ce une bonne chose qu’ils viennent les produire sur notre territoire plutôt que chez eux ? C’est un premier pas, qui favorise le développement de compétences locales et d’un écosystème. Mais je suis d’accord avec vous : il serait préférable que l’ensemble soit européen. Aujourd’hui, je ne pense pas que ce soit possible.

Mme Sophie Rémont. Sur ce projet et le rapport de la Cour des comptes, il faut préciser que les financements sont bien conditionnés aux investissements. Si nous n’avons pas versé l’intégralité des aides, c’est précisément parce que les investissements n’ont pas été réalisés. Aucune avance n’est versée. Pour la partie du projet portée par STMicroelectronics, qui se réalise, de l’argent public a bien été versé. En revanche, pour la partie de l’autre acteur, qui ne tient pas sa part, rien n’a été versé puisqu’il n’y a pas eu d’investissements. On ne peut donc pas dire que l’aide n’est pas conditionnée. Elle n’est versée que si les investissements sont réalisés en face. Des engagements d’emploi existent également pour chacune des parties, mais ils sont conditionnés au développement effectif des investissements.

M. le président Philippe Latombe. Je voudrais revenir sur la question du centre de données. Je ne saisis pas le raisonnement jusqu’au bout. Je comprends la nécessité d’avoir de la capacité de calcul pour abaisser les coûts d’inférence et d’entraînement, rendant les modèles accessibles aux sociétés françaises et européennes. Là où je ne comprends plus, c’est pourquoi nous le faisons en l’ouvrant à des investisseurs étrangers qui vont bénéficier de notre seule force restante : une énergie nucléaire décarbonée, moins chère et plus stable.

Nous gâchons ainsi notre avance industrielle et compétitive en mettant ces capacités à la disposition des concurrents de ceux qui pourraient développer nos propres modèles, à un moment où le marché se ferme et se consolide autour des géants américains. Je comprends que Mistral ait besoin de puissance de calcul, mais Mistral seule ne fera rien. L’écosystème de l’IA se verrouille par des acquisitions massives de la part de Microsoft, Google, AWS ou OpenAI.

En termes de souveraineté, nous offrons notre capacité électrique à des étrangers. La question est là : pourquoi procédons-nous ainsi ? Pourquoi ne sommes-nous pas capables de décider que l’argent public doit servir à créer cette puissance de calcul pour abaisser les coûts de nos entreprises françaises et européennes, et surtout pas pour aider les Émiratis, qui ont du gaz, ou les Américains, qui ont leur gaz de schiste ?

M. Arnaud Caudoux. Sur le plan strictement environnemental, nous pouvons nous réjouir que ces calculs se fassent avec de l’électricité décarbonée plutôt qu’avec du gaz de schiste ou du pétrole. C’est toujours cela de pris.

Au-delà de cet aspect, il s’agit d’infrastructures construites sur notre sol. C’est un peu comme avoir un investisseur étranger dans un aéroport ou une autoroute. L’infrastructure est ici, pour être utilisée au bénéfice des citoyens européens. Nous ne devons pas partir du principe que la bataille de l’IA est déjà perdue et que seuls des acteurs américains exploiteront ces GPU à terme.

L’État aurait-il pu financer l’intégralité de cet investissement ? Non. Il nous faut trouver d’autres investisseurs pour construire des infrastructures qui coûtent très cher. Si des investisseurs étrangers viennent investir en France dans une infrastructure qui, malgré tout, assure notre souveraineté en matière d’inférence et d’entraînement de modèles, cela me paraît un compromis équitable. Aurions-nous préféré 100 % de capitaux français ? Oui. Néanmoins, l’infrastructure est chez nous et elle permettra aux nombreux acteurs européens et français de travailler dans de meilleures conditions.

M. le président Philippe Latombe. Avez-vous cherché, pour ces centres de données, des investisseurs au niveau européen, comme Schwarz, SAP ou d’autres entreprises qui auraient besoin de faire du jumeau numérique industriel ? Si vous l’avez fait, et votre expression corporelle semble l’indiquer, pourquoi ces investisseurs européens n’ont-ils pas voulu participer, vous obligeant à vous tourner vers des investisseurs étrangers, notamment américains ?

M. Thierry Sommelet. Le projet Campus IA, au-delà de son portage politique, n’est pas dans sa nature très différent du projet de n’importe quel investisseur étranger qui vient s’implanter en France. Il y a d’ailleurs beaucoup d’opérateurs de centres de données étrangers déjà présents, tout comme il y a des opérateurs français qui louent de la capacité à des acteurs étrangers.

Je souligne que BPIFrance est un investisseur minoritaire et n’avait pas vocation à porter l’intégralité de ce projet. Les montants que nous investissons ne sont pas extraordinaires, car pour l’instant, nous sommes investis uniquement dans la partie foncière. Nous avons accompagné ce projet en essayant d’assurer, par notre présence, un peu de souveraineté dans les accords qui seront passés avec les autres acteurs.

Il n’y a donc pas eu une recherche active d’autres investisseurs, mais une recherche active de clients. Les porteurs du projet, et parfois nous avec eux, avons parlé à l’ensemble des acteurs français et européens susceptibles d’être présents à un niveau de la chaîne de valeur, que ce soit pour l’opération ou la clientèle du centre de données. Certains préfèrent être propriétaires de leurs propres infrastructures, d’autres sont prêts à venir sur une infrastructure tierce. C’est ce qui explique la structure capitalistique actuelle.

M. le président Philippe Latombe. Il s’agit donc d’un investissement dans lequel il y aura des investisseurs directs qui seront en partie clients du centre de données, mais aussi une ouverture à de la colocation pour des acteurs qui ne seront pas investisseurs mais auront besoin de puissance de calcul.

M. Thierry Sommelet. Oui, la structure que nous portons accueillera des projets de centres de données. Au sein de ces derniers, il y aura tout type d’usage, y compris de la colocation, et ces centres s’ouvriront à leurs clients habituels, que ce soit pour de la puissance de calcul ou pour d’autres usages.

Mme Cyrielle Chatelain, rapporteure. Je vous remercie. J’ai encore quelques questions. Pour revenir à la capacité d’entraînement pour les acteurs européens, existe-t-il des conditions qui facilitent leur accès à ces capacités ? Est-ce que ce sont des points qui ont été discutés et convenus avec l’actionnaire majoritaire ? Deuxièmement, vous avez mentionné votre rôle d’actionnaire minoritaire pour faire avancer la souveraineté. Quelles sont précisément les conditions ou les propositions que vous avez formulées pour garantir cette souveraineté ? Enfin, en dehors de Mistral, a-t-on identifié d’autres acteurs français pour le Campus IA ?

M. Thierry Sommelet. De nombreuses discussions et appels à candidatures sont encore en cours. Sur certains de ces sujets, notamment les engagements des diverses parties qui relèvent du pacte d’actionnaires, nous vous répondrons peut-être par écrit. À ce jour, rien n’est encore signé sur qui viendra s’installer sur le site et dans quelles conditions. Il est donc difficile à ce stade de garantir de meilleures conditions, mais cela fait partie de nos discussions.

Nous négocions pour que les retombées économiques du projet permettent de fournir de la capacité, notamment à la recherche et à la formation. Le volet éducation et formation est assez présent dans ce projet. Il a commencé modestement par la signature d’un accord avec l’École polytechnique pour financer des thèses, mais nous avons négocié qu’une partie des retombées financières du projet soit allouée à la recherche et à la formation. Cela pourrait prendre la forme d’argent ou de capacités de calcul mises à disposition à des conditions préférentielles.

M. le président Philippe Latombe. Nous discutons en ce moment même de la loi de programmation militaire, qui comporte tout un volet sur la protection de la recherche et des chercheurs. Comment pourrez-vous garantir la sécurité et la confidentialité, par exemple pour des thèses critiques menées par des étudiants de Polytechnique, dans un montage juridique comme celui-ci ? Comment garantir que ces travaux ne fassent pas l’objet d’une prédation de la part d’actionnaires ou d’acteurs au cœur du projet ? C’est la question de ne pas faire rentrer le loup dans la bergerie.

M. Thierry Sommelet. Je n’ai pas de réponse précise à cette question, car à ce stade, nous sommes opérateur minoritaire d’une structure essentiellement foncière. Cela devra être examiné au cas par cas. La question que vous posez est plus large que ce simple projet. Je vous rejoins sur le fait qu’il est très difficile de préserver l’ensemble des données et des calculs de potentiels intérêts étrangers. Je pense néanmoins que la localisation en France facilite un certain degré de protection physique, même si cela ne répond pas à toutes les contraintes d’extraterritorialité. Il est certainement plus difficile pour des acteurs étrangers de contrôler tous les maillons de la chaîne, mais cela ne garantit absolument pas une inviolabilité totale.

Mme Cyrielle Chatelain, rapporteure. J’avais une question plus générale, en tant qu’investisseur. Une grande partie de l’appétence pour l’IA repose sur son impact attendu en termes de productivité. J’aimerais revenir sur ce point. Disposez-vous d’analyses ou d’études sur l’impact en productivité de l’IA générative, cette IA très consommatrice en capacité de traitement ?

À ce stade, les connaissances sont partielles, mais une étude du MIT suggère que l’IA générative n’a pas encore permis de retour sur investissement dans les entreprises où elle est déployée. Plusieurs analyses indiquent que la hausse de productivité observée aux États-Unis est liée aux investissements eux-mêmes, et non à des gains de productivité horaire ou par tête. On observerait plutôt des gains de productivité nuls. Je serais intéressée par vos analyses ou par des études de chercheurs sur cette question.

M. Arnaud Caudoux. C’est un sujet sur lequel nous sommes en veille très active. Un point ne fait pas débat : à ce jour, l’IA générative et l’IA agentique n’ont pas apporté de gains de productivité significatifs dans la plupart des secteurs économiques. Ce constat est partagé. Le débat porte sur les gains de productivité futurs, et les avis des économistes sérieux divergent.

Nous restons donc humbles, mais nous poussons beaucoup les entreprises à se poser la question de la transformation de leur métier. Nous savons qu’il y aura des disruptions. Une grande partie des entreprises du secteur du logiciel, par exemple, devront s’adapter à de nouveaux acteurs qui utiliseront l’IA de manière beaucoup plus native. Nous pensons très fortement qu’il y aura des gains de productivité significatifs dès lors que les entreprises pourront déployer l’IA agentique à l’échelle. Ce n’est pas encore le cas aujourd’hui, pour des raisons de sécurité, de confidentialité et de certitude que les données et les processus de l’entreprise injectés dans ces modèles restent bien sa propriété.

On retrouve un peu les problématiques du cloud, avec des sujets comme la continuité de la mémoire des modèles. Si une entreprise souhaite changer de fournisseur, il faut que la mémoire accumulée par les agents puisse être transférée. Tout cela est en train de se mettre en place. Ce sont des briques encore naissantes qui expliquent qu’à notre connaissance, aucune grande entreprise n’a réellement déployé des agents IA à l’échelle. Nous ne voyons donc pas encore les gains de productivité et il est difficile de les évaluer. Nos économistes étudient le sujet, mais nous n’avons honnêtement pas de rapport qui vous apporterait d’élément nouveau.

Mme Cyrielle Chatelain, rapporteure. Merci. Une remarque : ce que j’avais compris de l’étude du MIT, c’est qu’elle portait justement sur des entreprises ayant déployé l’IA générative, mais que celle-ci n’avait pas encore modifié les processus internes. La question n’était donc pas tant le déploiement que l’intégration dans le fonctionnement de l’entreprise.

Ma question est la suivante : lorsque vous accompagnez les entreprises, est-ce forcément sur l’IA générative, qui crée une forte dépendance, ou également sur de l’IA plus ciblée, développée à partir de leurs propres données ? Derrière le mot « IA », il y a des modèles très différents, avec des modes de captation de la valeur qui le sont aussi. Dépendre d’un prestataire extérieur n’est pas la même chose que de développer une IA sur ses propres données, sur laquelle on peut avoir des droits de licence. Quel type de conseil donnez-vous ?

M. Arnaud Caudoux. Sur le déploiement, en dehors de quelques processus bien identifiés comme les centres de service client, l’IA est encore très peu déployée dans le reste de l’économie. Nous avons donc très peu de matière pour analyser les impacts.

Sur les conseils que nous donnons, la force de l’IA générative est qu’elle permet l’IA agentique, qui automatise des processus et des tâches. Elle permet aussi d’appeler des logiciels d’IA prédictive plus classiques, qui ne sont pas des grands modèles de langage. L’émergence de l’IA générative entraîne l’ensemble des technologies d’IA en en facilitant l’usage. C’est ainsi que nous le voyons.

Mme Cyrielle Chatelain, rapporteure. Si je comprends bien, vous vous orientez majoritairement vers l’IA générative et même vers l’automatisation de la décision. Ce modèle, où une IA génère elle-même des tâches, la place au cœur du fonctionnement de la machine, ce qui repose la question de la protection des données.

Deuxièmement, quelle est votre analyse des taux d’erreur ? L’exemple du Danemark ou des Pays-Bas, qui ont automatisé le traitement des amendes de stationnement, a montré une augmentation de 10 % des amendes injustifiées, faute de prise en compte du contexte. Sur cette automatisation de la décision, il y a encore un certain nombre d’inconnues sur la qualité du rendu, même après vérification humaine.

M. Arnaud Caudoux. Cela nous ramène à votre question initiale. L’IA agentique suppose d’injecter l’IA au cœur des processus de l’entreprise, ce qui exige une grande fiabilité. C’est à chaque entreprise d’évaluer cette fiabilité pour chaque usage. Le cas que vous citez est vrai, et un taux de 10 % ne me surprend pas à ce stade.

Il est de la responsabilité de chaque entreprise d’évaluer où l’IA est pertinente et de réévaluer régulièrement, car les modèles progressent très vite. Il est aussi de sa responsabilité de réentraîner un modèle sur ses propres données, que ce soit par du RAG ou du fine-tuning, pour qu’il s’améliore sur ses cas d’usage spécifiques.

Je pense que très peu d’entreprises développeront leurs propres modèles fondamentaux, car cela coûtera très cher. Il y aura des modèles très efficaces pour beaucoup de cas d’usage dès lors qu’ils sont bien entraînés sur les données de l’entreprise, et de très grands modèles de pointe pour les cas d’usage ultra-complexes. La question ne sera pas de réinventer ce que les grands fournisseurs développent, mais de savoir comment adapter un modèle à son propre écosystème.

On en revient toujours à la question de savoir comment on peut, en toute confiance, mettre des modèles d’IA au cœur de son entreprise, sous supervision humaine, en s’assurant que les données et la mémoire de l’IA restent bien la propriété de l’entreprise.

M. le président Philippe Latombe. Ma dernière question est en fait une remarque. Je suis assez surpris qu’au cours de cette audition, nous n’ayons pas du tout parlé de changement de législation, alors que nous sommes restés à corpus législatif constant. La plupart des entreprises que nous rencontrons nous disent qu’il faut changer la législation. Elles demandent un Small Business Act européen, un Buy European Act, une capacité à adresser la commande publique et une protection de marché face à des concurrents en position ultradominante qui pratiquent le verrouillage propriétaire (vendor lock-in).

Nous n’en avons pas parlé pendant près de deux heures. Est-ce que cela signifie que pour vous, la stratégie est de s’adapter au corpus législatif actuel, alors même que nous subissons des droits de douane supplémentaires et des augmentations de tarifs très fortes de la part de fournisseurs américains, comme VMware, qui mettent des directions des systèmes d’information entières en difficulté ? Je suis surpris que ce sujet n’ait pas été abordé, alors que nous sommes dans une commission parlementaire dont l’objectif est aussi de proposer d’éventuels changements législatifs.

M. Arnaud Caudoux. Évidemment, nous soutenons cette demande. Je commencerai par un point de détail qui n’a pas été abordé mais qui me semble très pertinent : le cas de VMware, racheté par Broadcom. La multiplication des prix par deux, trois, cinq ou même dix qui en a résulté constitue pour nous, et pour de nombreux autres acteurs, une occasion de sortir de l’écosystème VMware. Cette migration implique de remplacer la couche de virtualisation des serveurs par des logiciels open source, ce qui nous rend beaucoup plus aptes à adopter une stratégie multicloud et à recourir à des fournisseurs de cloud européens. De ce point de vue, le cas VMware est emblématique. Notre direction des systèmes d’information a vu venir le phénomène. Bien que sa première réaction ait été négative, nous avons collectivement estimé que le moment était venu d’agir. L’investissement nécessaire pour sortir de Broadcom et de VMware au profit de l’open source s’est avéré rentable, car ce mouvement nous a rendus beaucoup plus facilement compatibles avec un certain nombre de fournisseurs de cloud européens. C’est donc une véritable opportunité.

Cela étant dit, nous soutenons bien entendu largement toutes les démarches que la plupart des entreprises appellent de leurs vœux, et que je concède ne pas avoir présentées jusqu’ici. Je pense notamment au Small Business Act et au Buy European Act. Il est clair que de telles mesures aideraient l’ensemble de l’écosystème, y compris les entreprises dans lesquelles nous avons investi. Il n’y a aucune ambiguïté sur ce point. Nous en parlons depuis si longtemps que nous avons peut-être omis de le mentionner aujourd’hui, mais ce sont des sujets fondamentaux. Tout ce qui peut contribuer à ouvrir et à élargir les marchés pour les entreprises numériques françaises et européennes, qu’il s’agisse de start-up ou de grands groupes, est bienvenu. Il faut toutefois veiller à ne pas créer de contraintes excessives qui obligeraient les acteurs économiques à faire des choix déraisonnables. Il convient de privilégier les solutions européennes dès lors qu’elles sont raisonnablement possibles. C’est là, je crois, que réside toute la subtilité pour le législateur.

M. le président Philippe Latombe. Je souhaite vous poser une dernière question, qui s’inscrit dans le même champ de réflexion et que j’avais déjà adressée à Maya Noël. Dans le contexte de crise des finances publiques qui ne vous a pas échappé – et je ne parle pas ici de la crise du crédit et de ses impacts potentiels pour BPIFrance –, ne serait-il pas temps de conditionner le versement de l’argent public à son remboursement dans certains cas ? Je pense notamment au crédit d’impôt recherche (CIR), qui est très utilisé par les entreprises que vous accompagnez. La proposition, qui revient presque systématiquement lors de chaque cession d’entreprise sans jamais avoir été mise en œuvre, serait de conditionner le CIR à un remboursement de l’argent public en cas d’exit au profit d’une société étrangère, américaine par exemple. Est-ce que ce ne serait pas le moment de le faire ? Quel serait l’impact, favorable ou défavorable, d’une telle mesure sur la création d’entreprises ?

La réponse de Maya Noël a été très claire : elle y est opposée et estime qu’il faut d’abord obtenir plus d’argent public avant d’envisager une quelconque conditionnalité. Notre position est inverse : nous pensons qu’il faut d’abord réfléchir à la conditionnalité avant de demander plus d’argent public. Quelle est donc la position de BPIFrance sur ce sujet ?

M. Arnaud Caudoux. Je ne pense pas que nous ayons de position officielle, pour la simple raison que le diable se cache dans les détails. Sur le papier, conditionner les aides publiques est évidemment une bonne idée. Cependant, lorsque les entreprises sont rachetées, nous dépendons d’un écosystème d’acheteurs qui sont en grande partie étrangers. Si nous nous coupons de cet écosystème, et si les entreprises perdent une partie de leur valeur au moment de leur vente, nous ne trouverons plus d’investisseurs pour les financer. Les investisseurs en capital-risque, en effet, investissent dans le but de vendre les entreprises à terme. La part des sociétés qui finissent par être cotées en bourse est malheureusement très faible ; c’est l’exception. La plupart des entreprises dans lesquelles nous investissons, y compris les plus performantes, sont destinées à être vendues à d’autres acteurs, qu’ils soient français, européens ou étrangers. Des règles existent déjà pour empêcher la vente d’entreprises stratégiques à des investisseurs étrangers.

Si une entreprise ayant reçu d’importantes aides publiques perd la valeur de ces aides au moment de sa cession, cela soulève une question majeure quant à sa valeur de sortie. Je ne dis donc pas que c’est impossible, mais je souligne que ce mécanisme doit être dosé très finement pour ne pas briser toute la chaîne de valeur du capital-risque, qui dépend in fine de la valeur de revente des entreprises. Je vous concède que cette chaîne de valeur dépend également du montant des aides publiques que ces entreprises reçoivent au départ. C’est une idée qui a souvent été discutée, et à l’issue de ces discussions, nous avons toujours constaté que l’équilibre subtil à trouver était difficile à atteindre. Nous sommes toutefois tout à fait ouverts à retravailler sur ce sujet avec vous.

M. le président Philippe Latombe. Merci beaucoup pour cette audition et pour votre présence. J’ai cru comprendre que vous suiviez nos auditions de façon assidue. Si certaines idées qui y sont exprimées vous paraissent bonnes et que vous souhaitez les appuyer, ou si au contraire d’autres vous semblent mauvaises et que vous souhaitez y apporter un contrepoint, n’hésitez pas à nous adresser des contributions écrites. Celles-ci viendraient en complément des documents que nous attendons déjà de votre part sur les sujets que nous avons discutés.

* *

Table ronde, ouverte à la presse, réunissant des fournisseurs de cloud (mardi 21 avril 2026)

La commission entend, lors de sa table ronde réunissant des fournisseurs de cloud :

– M. Eric Haddad, président exécutif de NumSpot,

– M. Octave Klaba, président-directeur général d’OVHcloud, et Mme Solange Viegas Dos Reis, directrice juridique,

– M. Sébastien Lescop, directeur général de Cloud Temple,

– M. Damien Lucas, directeur général de Scaleway

– M. Philippe Miltin, directeur général d’Outscale Dassault Systèmes, et M. David Chassan, directeur de la stratégie.

M. le président Philippe Latombe. Nous réunissons cet après-midi, pour une table ronde, les fournisseurs français de cloud, à qui je laisserai la parole pour un propos liminaire d’environ cinq minutes chacun. Je vous demanderai de nous présenter succinctement votre activité et de nous indiquer comment vous vous positionnez par rapport à la forte croissance de la demande de cloud dans le secteur public. La demande publique amorce-t-elle celle du secteur privé ? La norme SecNumCloud est-elle pertinente ? Toutes ces questions sont intéressantes pour nous aujourd’hui. Je vous demanderai d’être brefs, sans que cela doive obérer l’exhaustivité de vos propos, mais comme nous sommes relativement nombreux, l’idée est de pouvoir ensuite échanger sous forme de questions-réponses.

Je vous remercie de nous déclarer au préalable tout intérêt public ou privé de nature à influencer votre déclaration. Auparavant, je vous rappelle que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter serment de dire la vérité, toute la vérité, rien que la vérité.

(Mme Solange Viegas Dos Reis et MM. Sébastien Lescop, Éric Haddad, Philippe Miltin, David Chassan, Octave Klaba et Damien Lucas prêtent serment).

M. Sébastien Lescop, directeur général de Cloud Temple. Je voudrais d’abord remercier cette commission pour l’enquête qu’elle conduit. Elle va dans le sens d’un combat que nous menons au quotidien avec nos confrères ici présents : en finir avec l’idée reçue que la sécurité et la souveraineté seraient incompatibles avec la performance. C’est faux, et nous en sommes la démonstration quotidienne.

La France a construit des secteurs industriels d’une puissance rare : le nucléaire, l’aéronautique, la pharmacie, la banque ; des secteurs qui font que la France pèse dans le monde économiquement, diplomatiquement et stratégiquement. Ces secteurs se numérisent à une vitesse que nous n’avions pas anticipée. C’est une transformation souhaitable, mais à une condition : que nous en conservions la maîtrise. Or, nous sommes en train de la perdre, non par négligence, mais par défaut de choix industriels assumés. La part des acteurs européens dans le cloud est passée de 27 % en 2017 à 15 % aujourd’hui. 265 milliards d’euros de dépenses numériques européennes partent chaque année vers des entreprises étrangères. La tech représente 10 % du PIB en Chine et aux États-Unis, et seulement 5 % en France et en Europe. Ce n’est pas un problème de talent ici, c’est un problème de choix industriels.

Pendant longtemps, la dépendance technologique était un problème que l’on pouvait circonscrire. On achetait à l’étranger des composants, des logiciels, et on conservait ici la compétence, la décision, la valeur. La technologie traitait des données, la connaissance restait chez nous. Ce n’était déjà pas sans risques : des données de santé hébergées hors juridiction, des secrets industriels confiés à des infrastructures étrangères, des processus stratégiques dépendants d’acteurs soumis à des lois extraterritoriales. La vulnérabilité était réelle, même si elle restait contenue.

L’intelligence artificielle franchit un seuil supplémentaire. Pour la première fois, la technologie ne traite plus seulement des données, elle traite de la connaissance. Elle assiste à la décision médicale, juridique, financière, stratégique. Ce n’est plus l’accès aux données qui est en jeu, c’est l’accès au raisonnement, à l’analyse, à la décision elle-même.

Il n’y aura pas d’intelligence artificielle souveraine sans cloud de confiance. Héberger des modèles d’IA sur des infrastructures que l’on ne contrôle pas, c’est externaliser simultanément nos données et notre capacité d’innovation. Quand un hôpital confie ses protocoles à une IA non souveraine, quand un laboratoire pharmaceutique fait tourner ses simulations hors de notre juridiction, quand un groupe industriel optimise ses processus critiques sur une infrastructure qu’il ne contrôle pas, ce n’est plus une question de confidentialité ni de risque de cybersécurité : c’est un risque de désindustrialisation cognitive.

La souveraineté numérique est souvent représentée comme un bouclier. Je vous propose de la penser comme une stratégie de puissance, offensive et non défensive. 70 % des infrastructures mondiales ne sont pas encore dans le cloud. La partie se joue maintenant. C’est probablement la plus grande opportunité industrielle de la décennie pour les acteurs européens. Il existe un baromètre simple pour évaluer toute décision de politique numérique : cette décision crée-t-elle de la puissance technologique ici, des emplois qualifiés sur notre territoire, une industrie qui irrigue nos secteurs stratégiques plutôt que de les fragiliser ? Chaque décision d’achat qui choisit un acteur dont la chaîne de valeur garantit l’indépendance est un acte industriel. Elle crée de la puissance, des emplois et de l’industrie sur notre territoire.

Cloud Temple est né d’une conviction : certaines infrastructures numériques doivent rester sous contrôle européen, avec la plus haute exigence de sécurité. Comme les budgets de cybersécurité n’avancent jamais aussi vite que la menace, la seule réponse viable dans le temps est une sécurité construite à l’échelle industrielle et intégrée dès la conception. Nous sommes un pure player de la sécurité sur le marché du cloud français. L’intégralité de notre catalogue est qualifiée SecNumCloud ou ambitionne de le devenir. Nous finalisons actuellement la qualification Prestataire d’administration et de maintenance sécurisées (Pams), un autre référentiel de l’Agence nationale de la sécurité des systèmes d’information (Anssi) pour les cas d’usage que SecNumCloud ne couvre pas. Nous portons cette exigence à l’échelle européenne en passant les certifications équivalentes en Allemagne, en Italie et en Espagne.

Nos clients couvrent les secteurs qui ne peuvent pas se permettre de faillir : la défense, l’industrie, la finance, la santé. Parmi eux figurent la direction générale de l’armement (DGA), Naval Group, Framatome, la Banque de France, EDF, Veolia ou encore le Samu. Pour eux, la sécurité est non négociable. Nous sommes la preuve que des alternatives sont possibles.

M. Éric Haddad, président exécutif de NumSpot. NumSpot a été créée en 2023 pour répondre précisément au sujet qui nous réunit aujourd’hui. L’entreprise a été fondée à l’initiative de la Banque des territoires, donc de la Caisse des dépôts, de Docaposte, de Dassault Systèmes et de Bouygues Telecom. L’idée de départ était d’offrir aux administrations et, d’une façon générale, aux métiers régulés qui gèrent des données sensibles, une alternative aux clouds américains et chinois. Nous sommes aujourd’hui une entreprise à dominante technologique, majoritairement composée d’ingénieurs, avec une proportion de femmes en augmentation.

Nous nous sommes aperçus assez rapidement qu’ajouter une offre verticale supplémentaire de cloud français risquait d’être dilutif par rapport au marché et à sa taille. Nous avons donc décidé de nous positionner davantage comme une plateforme inclusive de l’écosystème. C’est ainsi que nous avançons et que nous faisons évoluer notre feuille de route. L’idée est d’apporter un haut niveau de souveraineté grâce à la conformité de nos services. Certains référentiels ont été cités : bien entendu ISO 27001, hébergeur de données de santé (HDS) pour les données de santé, SecNumCloud, et nous regardons avec beaucoup d’attention tout ce qui se passe au niveau européen.

Nous le faisons avec un haut niveau d’autonomie et de capacité de réversibilité pour nos clients et les institutions qui nous font confiance, grâce à une approche 100 % open source. Tout ce que nous produisons est en open source ; nous n’utilisons aucune licence dans le développement et la construction de nos logiciels. Nous le faisons avec une indépendance opérationnelle, liée au fait que nous n’avons ni filiale ni organisation extra-européenne. Tout cela est développé en cohérence avec l’un de nos actionnaires, Dassault Systèmes, puisque nous développons notre plateforme sur l’infrastructure d’Outscale. Toutefois, de manière logique et cohérente avec une approche inclusive de l’écosystème, nous faisons en sorte que notre plateforme soit portable sur d’autres types d’infrastructures. Cela nous permettrait une expansion européenne en nous appuyant sur les infrastructures locales de nos pays voisins.

Nous le faisons aussi en anticipant les besoins en processeurs spécialisés pour l’IA, qui sont extrêmement rares aujourd’hui, afin de pouvoir nous déployer sur des infrastructures spécialisées, je parle en l’occurrence de clusters de GPU, si vous connaissez ce terme. Nous répondons également aux besoins des entreprises et des administrations qui ont beaucoup investi dans des clouds privés internes et qui ont des besoins d’hybridation entre leurs infrastructures internes et la capacité de déborder de façon élastique et agile sur des clouds publics. C’est ce que peut apporter la plateforme NumSpot.

L’ensemble de nos actionnaires, de nos ingénieurs et de nos partenaires rejoint ce projet, car nous avons une conviction, qui relève presque de la foi, quant à cette nécessité de souveraineté que Sébastien Lescop a largement présentée et que mes successeurs, j’en suis sûr, aborderont également. Le message est le suivant : serons-nous suivis ? Les pouvoirs publics qui nous accompagnent et nous supportent pourront-ils aider à l’accélération de ce marché qui, objectivement, au vu du nombre d’acteurs présents, est aujourd’hui relativement petit au niveau national et européen ?

M. Philippe Miltin, directeur général d’Outscale Dassault Systèmes. Outscale est une marque de Dassault Systèmes, créateur de valeur industrielle au service de 400 000 clients de toute taille et de tout secteur dans 159 pays. Le groupe a enregistré l’année dernière un chiffre d’affaires de plus de 6 milliards d’euros et se positionne comme le premier éditeur de logiciels français. Dassault Systèmes regroupe treize marques, parmi lesquelles Outscale, qui opère la plateforme cloud et IA du groupe pour l’ensemble de ses clients.

Notre mission, depuis 2010, est de démontrer qu’une souveraineté numérique effective est possible et réelle. Nous avons répondu aux exigences les plus strictes : premier cloud français intégralement certifié ISO 27001, certifié HDS, Tisax (trusted information security assessment exchange) et, enfin, premier cloud public qualifié SecNumCloud depuis 2019. Aussi, nous travaillons avec les sociétés les plus performantes et exigeantes au niveau mondial sur des cas d’usage sensibles, en leur proposant à la fois des services de cloud et d’IA. Outscale a donc la singularité de fournir des services de cloud et d’IA à l’échelle mondiale pour Dassault Systèmes et ses 400 000 clients, d’élargir sa proposition de service auprès du secteur public, des acteurs de la santé et de la finance, et de développer des services d’IA souveraine et d’IA industrielle connectés à la science.

Le sujet de votre commission d’enquête est l’un des plus stratégiques pour la France et l’Europe. C’est également une préoccupation mondiale. Le marché mondial du cloud est structurellement déséquilibré : trois acteurs américains, AWS, Microsoft Azure et Google Cloud, représentent plus des deux tiers du marché global. En France, les acteurs européens et français ont capté une part croissante de la commande publique. Le marché du cloud public affiche une hausse de 62 %, mais la réalité de l’ensemble du marché privé reste largement gouvernée par les hyperscalers. Cette situation expose à des risques qui renvoient à trois dépendances : juridique, opérationnelle et technologique.

La dépendance juridique désigne la capacité d’une autorité étrangère à s’appuyer sur ses lois à portée extraterritoriale pour obliger un acteur du cloud soumis à ce droit de lui remettre des données, même sans l’autorisation des autorités ou du client concerné. Nous parlons communément des États-Unis, mais la Chine, l’Inde, le Canada, le Brésil et l’Australie sont tous des exemples de pays qui intègrent dans leur droit des lois à portée extraterritoriale.

La dépendance opérationnelle désigne l’absence de maîtrise sur les opérations, les accès et les personnels qui administrent l’infrastructure. Elle se caractérise par une exploitation confiée à des équipes hors de la juridiction locale, sans auditabilité vérifiable, sans gestion des identités et des accès sous le contrôle du client, et sans modèle de gouvernance cyber adapté aux exigences de l’organisation. Cette opacité devient critique dans les situations de crise ou de contrôle réglementaire.

Enfin, la dépendance technologique désigne l’enfermement progressif dans des choix techniques propriétaires : piles logicielles en boîte noire, formats et API non interopérables. Plus une organisation construit ses services sur ces briques, plus le coût de migration augmente et plus la capacité à changer de fournisseur se réduit. Cette dépendance expose au risque d’indisponibilité et entraîne mécaniquement une perte de résilience. Tolérer l’installation de ces dépendances revient à s’exposer à des risques accrus en matière de protection des données et de la propriété intellectuelle, de hausse des coûts et de continuité de service, autant de vulnérabilités qui peuvent servir de leviers de pression et d’affaiblissement de notre position sur la scène internationale.

En réponse à cela, depuis sa création, Outscale a construit une architecture qui adresse simultanément ces trois dimensions de la dépendance. Nous fondons notre approche sur trois piliers indissociables, qui sont la traduction de la lutte contre ces dépendances. L’autonomie juridictionnelle : Outscale est une entité française, marque de Dassault Systèmes, société cotée française. Notre structure capitalistique et organisationnelle nous place hors du champ d’application des lois à portée extraterritoriale. L’autonomie opérationnelle : nos équipes, nos processus, notre gouvernance et notre support sont entièrement situés en France et en Europe. L’indépendance technologique et financière : notre système d’orchestration de cloud, Tina OS, est développé en interne à base de briques open source. Il introduit une couche de virtualisation. Notre pile logicielle critique repose sur des technologies que nous maîtrisons et qui permettent l’interopérabilité et la réversibilité. Nous disposons de notre propre capacité d’investissement, ce qui nous permet d’assurer nos propres choix sans ingérence.

Une garantie nous distingue fondamentalement des hyperscalers : nous ne facturons aucuns frais de sortie. Un client qui souhaite partir le fait sans pénalité technique ni financière. C’est ce que nous entendons par une réversibilité réelle, et c’est une position largement partagée au sein de l’écosystème du cloud français et européen.

Alors, où en sommes-nous ? Des progrès réels ont été accomplis et des actions sont à renforcer. Chez Outscale, nous défendons une stratégie de la complémentarité, du « et » plutôt que du « ou » : confier les données sensibles et les traitements critiques à des offres souveraines, sans s’interdire de recourir aux hyperscalers ou à d’autres clouds de communauté pour des usages moins sensibles. L’essentiel pour l’acheteur est d’être au clair sur les dépendances auxquelles il s’expose et de les choisir en connaissance de cause. Il nous semble que cette prise de conscience est encore insuffisante et qu’il est possible de progresser vers plus de pédagogie sur les garanties proposées par chaque type d’offre. En témoigne le débat autour de SecNumCloud lorsque la première offre hybride a été qualifiée, qui déplace désormais les enjeux de résilience vers les questions de dépendance technologique et de capacité à se protéger contre un risque de rupture de service.

La stratégie cloud de l’État, et notamment la doctrine « cloud au centre », a produit des effets positifs. Nous reconnaissons qu’elle a joué un rôle important dans l’orientation de l’achat public vers des offres de marché souveraines. Les annonces publiques récentes en faveur d’une commande publique mieux ciblée sont également positives. Nous ne pouvons qu’encourager le renforcement des supports de sensibilisation et d’accompagnement des acheteurs publics de cloud sur les enjeux de souveraineté numérique. Le lancement, le 8 avril dernier, du plan interministériel de réduction des dépendances extra-européennes, qui prévoit l’élaboration par chaque ministère d’une stratégie de réduction de ses dépendances numériques, peut également servir de levier structurant. Mais nous remarquons que certaines grandes économies mondiales ne se gênent pas pour soutenir directement leurs champions technologiques. Nous devons faire la même chose en France et en Europe, via une préférence assumée pour la technologie, en particulier sur les usages sensibles.

Nous soutenons également que des progrès peuvent être faits dans la manière dont les centrales d’achat présentent et catégorisent les offres souveraines. Les modes de présentation actuels ne permettent pas aux acheteurs publics d’identifier rapidement quelles solutions offrent des garanties sérieuses de souveraineté et quelles offres les exposent à des risques de dépendance. Plus encore, cette confusion ne permet pas aux entités publiques soumises aux obligations de la loi Sren de distinguer clairement quels fournisseurs de cloud leur permettent de se mettre en conformité. Les offres de cloud SecNumCloud pourraient être rassemblées et mises en avant dans des catégories dédiées des catalogues et sites des centrales d’achat.

La réduction des dépendances numériques, tout particulièrement pour les services de cloud, est une condition de notre autonomie stratégique. Les solutions existent, elles sont matures et déjà disponibles en France et en Europe. D’ailleurs, le niveau européen est sans doute le plus pertinent pour traiter cette problématique, car il offre assez de profondeur de marché pour permettre aux solutions souveraines d’atteindre une taille critique. La France et son écosystème ont été particulièrement moteurs sur ces questions de souveraineté, de protection des données sensibles, de résilience technologique et de réduction des dépendances. Les grands rendez-vous européens à venir, comme la révision du Cyber Resilience Act et l’adoption du règlement Cada sur le cloud souverain, seront déterminants. Nous formons donc le vœu que les ambitions de votre commission d’enquête puissent être aussi concrétisées au niveau européen. L’enjeu est aussi d’ordre politique : il s’agit de développer les conditions d’un choix éclairé et pleinement assumé. Outscale, aux côtés de l’écosystème, est prêt à y contribuer.

M. Octave Klaba, président-directeur général d’OVHcloud. Cela fait vingt-huit ans que je fais ce métier. J’ai créé l’entreprise en 1999 avec cette idée d’indépendance, probablement pour des raisons que l’on pourrait qualifier de paranoïaques au début, mais qui se sont avérées très positives par la suite. Très tôt, nous avons investi dans nos propres data centers. Très tôt, nous avons investi dans nos lignes de production de serveurs. L’ensemble de l’infrastructure que nous déployons dans les data centers provient de nos usines de fabrication, dans lesquelles nous choisissons, testons et validons l’ensemble des composants que nous utilisons. Côté logiciel, nous avons progressivement ajouté différentes couches que nous appelons aujourd’hui public cloud, private cloud et d’autres typologies de cloud. L’entreprise a évolué avec cette volonté et cette nécessité d’indépendance pour éviter d’être bloquée dans son déploiement et son expansion. Telle était la motivation initiale. À travers l’open source et le développement de produits, nous avons décidé d’investir dans des couches supplémentaires à partir de 2010 environ, en apportant des services de cloud additionnels à nos clients. Nous nous sommes étendus dans de nombreux pays, en Europe et à travers le monde.

Qu’avons-nous cherché à travers cela ? Une certaine masse critique. Les investissements sont si importants qu’on ne peut compter sur un seul pays ou un seul secteur vertical pour les rentabiliser. Il faut donc chercher une masse critique à travers le nombre de clients, de pays, de stratégies de commercialisation et les différentes typologies de clients – consommateurs, professionnels, grandes entreprises, secteur public – pour pouvoir assumer ces investissements.

Aujourd’hui, la commande publique a évolué positivement, surtout ces trois dernières années, grâce notamment à SecNumCloud. Mais on parle de millions d’euros. C’est très bien, c’est déjà mieux qu’il y a cinq ou dix ans, où l’on n’en parlait pas. Mais pour atteindre une taille critique, il faut parler en milliards. Et aujourd’hui, cette échelle, on ne l’entend pas en Europe. Nous l’avons vue ces dix ou quinze dernières années aux États-Unis, où la commande publique a sponsorisé le développement de technologies auprès des hyperscalers, grâce à des contrats de plusieurs dizaines de milliards de dollars, ce qui leur a permis de créer les offres que l’Europe attendait. Aujourd’hui, la commande européenne se chiffre en millions ou en dizaines de millions, pas en milliards. D’ailleurs, en Europe, il n’existe pas de contrats de plusieurs dizaines ou centaines de millions d’euros ; ce sont des ruisseaux d’affaires de 100 000 euros à un million par an.

La difficulté que nous avons en Europe pour construire des géants est que nous avons de nombreux pays, langues et devises. La complexité pour toucher ces marchés et générer suffisamment de revenus à réinvestir est immense, car tout est extrêmement segmenté et subdivisé. Il faut être présent presque partout, avec des coûts que n’a pas un acteur américain. Aux États-Unis, il suffit d’être présent sur la côte Est et la côte Ouest pour avoir l’ensemble du pays à sa portée, en parlant anglais et en faisant des affaires en dollars. Ce sont principalement ces freins structurels que nous avons en Europe. Je n’ai pas de solution à ces problèmes, si ce n’est peut-être un courage et une volonté de la part des institutions et du secteur privé.

Aujourd’hui, nous existons en réalisant 1,2 milliard d’euros de chiffre d’affaires, ce qui est peu. Dans le cloud, 1,2 milliard de chiffre d’affaires reste modeste, car cela ne permet d’investir que 350 millions par an. Mais nous avons atteint une taille qui nous permet d’envisager de nouveaux développements et de continuer notre croissance. Nous nous situons dans un moment assez opportun, car l’administration américaine montre des intentions qui, en tant qu’Européens, nous effraient. Forcément, cela contribue à rendre concrets les concepts de souveraineté et de dépendance dont nous parlons depuis une dizaine d’années, comme en témoigne cette commission. Des événements comme le rachat de VMWare par Broadcom constituent une autre onde de choc qui a rendu très nerveux l’ensemble des acteurs du numérique en Europe, notamment les clients.

Nous sommes donc dans un moment opportun, car cette discussion est enfin sur la table. Maintenant, il faut la transformer pour créer des géants capables de réaliser 5, 10 ou 20 milliards de chiffre d’affaires. Est-ce possible ? Prenez juste cet exemple, qui est une estimation : si vous prenez le secteur public en Europe – l’ensemble des gouvernements et la Commission européenne –, vous avez environ 10 milliards d’euros de chiffre d’affaires annuel qui partent chez AWS, Azure et Google, et très peu chez les acteurs européens. La Commission européenne a bougé et a lancé un appel d’offres de 180 millions d’euros, attribué à quatre acteurs. C’est un excellent démarrage. Je pense que nous devrions voir davantage ce genre d’initiatives en Europe, car c’est précisément ainsi que nous créerons la masse critique nécessaire pour permettre à ces entreprises d’évoluer et d’investir.

Je suis plein d’espoir. Il a fallu plus de vingt ans d’attente, mais ce moment est enfin arrivé. Nous croyons qu’il est possible de faire des choses, et c’est encore plus important. Nous sommes portés par l’ensemble des acteurs du marché, pas seulement de notre côté. Les clients, les acteurs financiers, tous croient qu’il est possible aujourd’hui de créer, et nous avons une vraie volonté de le faire.

M. Damien Lucas, directeur général de Scaleway. Scaleway est une filiale du groupe Iliad. C’est un point important, car le directeur général du groupe, Thomas Reynaud, a annoncé il y a quelque temps un investissement de 4 milliards d’euros dans le cloud et l’IA. Quatre milliards, c’est l’ordre de grandeur des investissements dont nous avons besoin, et j’y reviendrai.

Chez Scaleway, nous faisons du cloud public. Le cloud public, ce n’est pas seulement héberger des serveurs, c’est fournir une boîte à outils à nos clients. Évidemment, plus cette boîte à outils est complète, plus nos clients seront efficaces pour construire leurs applications. Nous sommes également un cloud « boosté à l’IA », avec la plus grande capacité de calcul dédiée à l’IA dans le cloud en Europe aujourd’hui. C’est important pour l’avenir. Les perspectives de l’entreprise sont bonnes, voire très bonnes. Nous accroissons nos effectifs de plus de 100 personnes chaque année et notre croissance est probablement trois fois supérieure à celle du marché.

Notre proposition de valeur est double, et je ne parlerai pas de souveraineté, car on ne sait plus très bien ce que l’on met sous ce label, qui a peut-être été victime d’un peu trop de « sovereignty washing ». Je parlerai de deux choses. Premièrement, l’immunité aux lois extraterritoriales. Comme ces lois étrangères évoluent, chez Scaleway, nous appliquons un concept très simple : pas d’actionnaire direct ou indirect en dehors de l’Europe, pas de filiale en dehors de l’Europe et pas de personnel en dehors de l’Europe. Cela permet de garantir à nos clients que leurs données seront protégées contre l’ingérence de puissances extérieures. La deuxième proposition de valeur est l’indépendance technologique. Nous développons tous nos logiciels. Nous utilisons évidemment de l’open source, mais nous ne dépendons d’aucune licence tierce, que ce soit de VMWare, Broadcom, IBM, Red Hat, Microsoft ou Google.

Pourquoi est-ce important ? Pour éviter le risque de kill switch. Trop souvent, on réduit le cloud à la question de la protection de la donnée. Mais il est encore plus important de protéger les flux de travail et les opérations de nos clients. Nous le savons, quand il y a une panne chez Azure ou AWS, les avions européens sont cloués au sol. Si l’on coupe le cloud, plus rien ne fonctionne dans notre économie. Oui, il faut protéger la donnée, mais il faut également se protéger contre l’arrêt intempestif du cloud.

Pour vous donner quelques ordres de grandeur, les investissements sont très importants : un euro de croissance, ce sont trois euros d’investissement. On parlait de corriger la part de marché en milliards ; multipliez ce chiffre par trois pour avoir les investissements nécessaires. La deuxième chose est l’échelle. Le cloud public repose sur la mutualisation des ressources. Plus on opère à grande échelle, plus on peut tirer profit de ce facteur de mutualisation. La seule échelle viable pour un fournisseur de cloud public aujourd’hui, c’est l’Europe.

Quelques remarques. Non, le combat du cloud n’est pas perdu. C’est le lobbying des Américains qui le prétend. Non seulement il n’est pas perdu, mais il est plus important que jamais, car aujourd’hui, toute l’innovation européenne, ou presque, est dépendante du cloud. De plus, le cloud européen génère des retombées locales : un euro dépensé chez Scaleway, c’est 68 centimes qui restent en Europe ; un euro dépensé chez les hyperscalers, c’est moins de 20 centimes. Cela fait une grande différence.

Ce lobbying américain répète à qui veut l’entendre que l’offre n’est pas au niveau et que les clouds souverains sont plus chers. Ces deux affirmations sont fausses. J’en veux pour preuve que l’offre est disponible : chez Scaleway, nous couvrons 90 % des cas d’usage. Pour les 10 % restants, nous développons à la demande, comme nous le faisons pour France Télévisions, avec qui nous développons en partenariat les services vidéo qui manquent à notre boîte à outils. Deuxièmement, en moyenne, nous sommes presque 40 % moins chers que les hyperscalers. Quand on connaît leur niveau de marge, ce n’est pas le plus difficile.

En revanche, reconquérir la chaîne de valeur est effectivement complexe. Notre métier, c’est le logiciel. En dessous, il y a le hardware. Nous n’avons pas beaucoup de fournisseurs de serveurs en Europe, ce qui manque pour construire des clouds réellement souverains et indépendants technologiquement. En dessous des serveurs, il y a les data centers. Aujourd’hui, opérer dans des data centers européens à capital européen est de plus en plus difficile. Cela fait partie de notre promesse chez Scaleway, mais il y a de moins en moins de capitaux européens investis dans les data centers français. J’en veux pour preuve la part des capitaux européens dans les 109 milliards annoncés par le président Macron lors de Choose France pour la construction de centres de données. Mettre des clouds européens dans des data centers américains, c’est prendre le risque qu’ils soient coupés.

En un mot pour conclure, ce que nous attendons des pouvoirs publics, c’est une commande publique exemplaire et, surtout, une harmonisation réglementaire au niveau européen, car c’est la seule échelle viable pour un fournisseur de cloud public. Merci de m’avoir écouté.

M. le président Philippe Latombe. J’aurais peut-être une première question, avant de passer la parole à la rapporteure, qui fait écho à ce que vous avez dit, monsieur Lucas, et sur laquelle j’aimerais avoir votre vision à tous. Il y a quelque temps, le secrétaire d’État au numérique, Cédric O, nous disait que le combat du cloud était perdu et qu’il fallait passer à autre chose, comme le quantique et l’IA. D’autres auditions, comme celle de M. Lucas, nous ont dit le contraire : le cloud n’est pas mort, il faut investir. La Commission européenne semble abonder dans ce sens avec son appel d’offres de 180 millions d’euros. Pourtant, nous avons encore entendu, pas plus tard que ce matin de la part de BPIFrance, et il y a quelques jours de la part de la directrice générale de France Digitale, que la bataille du cloud est finie.

Ma première question est donc la suivante : partagez-vous l’avis de M. Lucas selon lequel le cloud n’est pas mort ? Je suppose que votre présence ici le confirme. Mais au-delà du discours américain, pourquoi un certain nombre de personnes continuent-elles à défendre cette idée, et comment pouvons-nous, comme l’a suggéré M. Klaba, retrouver un récit ou une capacité à expliquer que ce n’est pas le cas ?

M. Octave Klaba. Pour éclaircir ce point, le cloud est une boîte à outils logicielle adossée à une capacité matérielle. Vous ne pouvez pas faire d’IA aujourd’hui si vous ne disposez pas de cette boîte à outils. Les entreprises américaines qui développent de l’IA utilisent le cloud pour le faire à grande échelle et sans réaliser d’investissements massifs, car leur métier reste le logiciel, et non la gestion de data centers ou les dépenses d’investissement, qui relèvent d’une autre typologie de métier.

On peut bien sûr essayer de faire de l’IA ou du quantique, mais l’ensemble de notre économie repose sur des données. Ces données, il faut les stocker, les transformer, les diffuser, et peut-être les utiliser pour l’IA ou à d’autres fins. Si vous n’avez pas toutes ces capacités de transport et de stockage de l’information, vous n’avez pas le reste. Vous ne pouvez pas faire d’intelligence artificielle. Il ne s’agit donc pas de l’un ou de l’autre ; ce ne sont pas deux choses différentes. L’IA est un service complémentaire sur le cloud, un outil de plus que nous ajoutons pour que nos clients, les développeurs, puissent créer des applications. Si demain vous leur proposez uniquement l’IA, ils vous diront qu’il manque tout le reste pour pouvoir développer leurs applications.

M. Philippe Miltin. Je pense qu’il y a plusieurs sujets. Le premier est que lorsque des personnes vous disent que le cloud est mort, elles ont été influencées par des acteurs américains qui affirment une chose vraie : « On ne peut pas nous remplacer ». En effet, aujourd’hui, si l’on considère la profondeur de leur catalogue de services et leurs dizaines, voire centaines de milliards d’investissements, l’ensemble des acteurs autour de cette table ne peuvent pas les remplacer du jour au lendemain. La réponse est non.

Cependant, ce n’est pas le sujet. Le sujet est de savoir si nous sommes en capacité de développer des outils logiciels, comme l’ont rappelé Damien Lucas et Octave Klaba, pour opérer un certain nombre de solutions, notamment critiques. La réponse est oui, et nous le prouvons absolument tous les jours, en France, en Europe et dans le monde. Chez Dassault Systèmes, de plus en plus de pays nous demandent de fournir une solution dite souveraine, en dehors des hyperscalers, parce que nous disposons de ces capacités, avant tout d’un point de vue logiciel. Nous opérons notre propre orchestrateur et hyperviseur, développé par Outscale, et cette capacité à fournir une boîte à outils est un élément extrêmement important. Nous savons le faire. Nous avons toutes les capacités en termes d’ingénierie système. Il faut avoir à l’esprit que les mathématiques françaises sont parmi les plus réputées, et nos ingénieurs sont très recherchés en France comme à l’étranger. Nous avons toute cette capacité de développement.

C’est toujours le sujet de la complémentarité. Si l’on parle de remplacer directement des hyperscalers qui génèrent plusieurs centaines de milliards en Europe, évidemment que non, nous ne pouvons pas le faire du jour au lendemain. Mais ce n’est absolument pas le sujet. Le sujet, aujourd’hui, est de savoir comment nous allons opérer des solutions critiques et des données sensibles pour l’ensemble des opérateurs et des clients. De plus en plus de clients industriels viennent nous voir pour développer des solutions complémentaires. Une fois de plus, nous n’allons pas remplacer du jour au lendemain l’ensemble des hyperscalers. Nous avons toutes les capacités en termes de cloud public, de logiciels et d’infrastructures. Pour l’infrastructure, nous savons nous approvisionner en double source, que ce soit en Europe, aux États-Unis ou en Asie. Il est absolument invraisemblable d’entendre que le cloud est un sujet terminé. Au contraire, c’est un sujet d’actualité en France, en Europe et dans le monde.

M. Damien Lucas. Peut-être une hypothèse de réponse à la question du « pourquoi ». Mon hypothèse est que ce discours prend particulièrement bien parce que l’on craint les investissements. Le marché du cloud public en Europe représente au moins 80 milliards d’euros annuels. Il faudrait corriger au moins 50 milliards de ce montant pour que l’écosystème européen ait une part correcte. Cela représente donc 50 milliards de croissance pour les acteurs européens, soit 150 milliards d’investissements à trouver. Je pense que cette équation fait peur à beaucoup de monde, et il est beaucoup plus facile de se dire que l’on passe à autre chose.

Mais pour répondre à votre deuxième question, on ne pourra pas passer à autre chose tant qu’on n’aura pas réglé le problème du cloud. Octave Klaba l’a expliqué : il n’y a pas d’IA sans données, et les données sont dans le cloud, donc il n’y a pas d’IA sans cloud. La transitivité est simple mais brutale. Pour le quantique, je ferai appel à un autre élément. Si vous regardez la complexité des infrastructures, il y a dix ans, un serveur pouvait être installé dans le local de ménage d’une entreprise. Aujourd’hui, un GPU, compte tenu de sa consommation et des technologies de refroidissement, n’a pas d’autre solution que d’être placé dans un data center, voire dans un cloud. Après-demain, quelles entreprises pourront se payer et héberger un ordinateur quantique ? Pas beaucoup. Aujourd’hui, qui peut le faire ? Les fournisseurs de cloud. Ce sont les seuls. Et demain, ce sera pareil. Pas de cloud, pas de quantique. Si l’on veut fournir de la capacité de calcul quantique aux entreprises européennes, il faut des fournisseurs de cloud.

M. Éric Haddad. Je vais essayer de proposer un point de vue un peu nuancé, car l’idée que le cloud est fini peut être perçue comme vraie. En réalité, il se transforme. Le cloud, tel qu’il a été développé d’un point de vue technique et commercial à partir de la fin des années 2010, correspondait à ce qu’on appelait le « move to cloud ». Pour des raisons économiques, on transférait des cas d’usage ou des applications vers un cloud externe. Les Américains ont bien capté cette valeur, car ils ont été capables, avec les économies d’échelle qui ont été rappelées, d’offrir une offre permettant de capter ce transfert à un prix moyen plus bas, grâce à des contrats pluriannuels de plusieurs dizaines ou centaines de millions d’euros qui leur permettaient de fidéliser leurs clients. Je pense que ce marché est en train de se terminer ou, en tout cas, qu’il est en décroissance par rapport à ces premières années.

En revanche, un nouveau marché du cloud se développe en parallèle. C’est celui de la donnée et de l’IA. La bonne nouvelle pour nous, Européens, est que, qui dit donnée, dit souvent donnée sensible. Le curseur est subjectif ou objectif, mais d’une façon générale, on a toujours de bonnes raisons de considérer que la donnée est sensible, auquel cas il faut qu’elle soit gardée et traitée de façon locale ou, en tout cas, au niveau européen. C’est pourquoi je pense, et nous le voyons à notre échelle, que la plupart des cas d’usage, probablement les deux tiers, sont des demandes de clients et d’institutions liées à la donnée et à l’IA. Toutes ces données d’économie nous permettent d’augmenter la productivité et d’améliorer la relation avec les clients ou les citoyens.

Tout cela représente une opportunité pour nous, Européens. Il ne faut surtout pas se laisser endormir par l’idée que le cloud est fini. Oui, l’ancien cloud est peut-être fini, mais le nouveau est fantastique et formidable. Il faut capter cette valeur très rapidement.

Je voudrais ajouter un point à ce qui a été dit par Octave Klaba et Damien Lucas : la clé du succès réside probablement dans la mutualisation, la consolidation et la capacité à monter en échelle au niveau de l’infrastructure. Il faut absolument que nous maîtrisions la citoyenneté de nos data centers et que nous puissions gagner en échelle sur la notion d’infrastructure. Que nous soyons ensuite plusieurs à proposer des offres de valeur au-dessus de cette infrastructure mutualisée et consolidée, c’est un autre sujet. Mais objectivement, si l’infrastructure n’est pas à l’échelle européenne et si elle ne peut pas être mutualisée pour un nombre important d’offreurs, notamment de logiciels et de plateformes, la comparaison avec la capacité capitalistique des Américains ou des Chinois sera compliquée.

M. Sébastien Lescop. On pourrait poser la question différemment : ce combat du cloud peut-il être perdu ? Deux mouvements se réalisent en parallèle. Le premier, pour paraphraser mes confrères, est que le cloud fait aujourd’hui tourner l’économie du numérique, deep tech incluse. C’est important de le comprendre : sans le cloud, même si nous avons les meilleures innovations applicatives, nous ne saurons pas les faire tourner. Nous n’aurons pas cette liberté d’action. Le deuxième mouvement est un transfert de plus en plus fort de la valeur métier, en particulier de nos secteurs stratégiques qui portent aujourd’hui le PIB français, vers le numérique, valeur qui quitte le territoire français puisque les Français sont aujourd’hui de faibles producteurs de numérique.

Il est important de comprendre qu’il y aurait deux impacts à perdre cette guerre – qui pour l’instant n’est qu’une bataille, et nous sommes tous confiants autour de la table sur ce combat générationnel. Le premier est un impact économique fort, car cela va drainer énormément de valeur hors de l’économie française. Le deuxième est que, pour nos secteurs stratégiques, c’est aussi un enjeu de liberté, celle de pouvoir décider de leur avenir. Si une partie de leur capacité décisionnelle et de leur capacité de production est numérisée et qu’elle n’est plus détenue par des acteurs français, on peut se poser la question de la pérennité de leur capacité à décider et à innover.

Mme Cyrielle Chatelain, rapporteure de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Pour poursuivre la question du président et vos réflexions, vous l’avez dit, l’un des arguments utilisés pour affirmer que la bataille du cloud était perdue concerne l’offre de services. Il revient souvent que les offres européennes et françaises n’auraient pas les mêmes niveaux de service. Cela rejoint d’une certaine manière le bilan de la doctrine « cloud au centre » qui a été fait au mois de février par la direction interministérielle du numérique (Dinum), qui a conclu que les besoins concernent aujourd’hui la couche de services managés à développer. Que pensez-vous de cette analyse et que répondez-vous sur cette question du besoin d’étendre les services associés aux offres de cloud françaises et européennes ?

M. Damien Lucas. Je prends volontiers la parole sur ce sujet. Je pense qu’il y a un aspect historique. La France et l’Europe ont été pionnières en matière d’hébergement de serveurs. En 1999, OVH, Scaleway et quelques autres étaient en avance sur les Américains. Peut-être que l’Europe a un peu tardé à construire cette couche que nous appelons dans notre jargon le PaaS, les services managés (Platform as a Service). Si ce constat était vrai il y a cinq ans, il ne l’est plus aujourd’hui. Désormais, tous autant que nous sommes, nous avons développé cette offre de services managés. Seuls ou en consortium, nous savons répondre aux besoins de la Commission européenne, comme cela a été annoncé vendredi. Nous savons répondre aux besoins de la Dinum, comme elle l’a annoncé. Nous savons répondre aux besoins des grandes entreprises françaises qui font le choix, peut-être courageux, de ne pas choisir les Américains.

Il y a vingt ans, on disait « Nobody got fired for choosing IBM ». Je pense qu’aujourd’hui, on pourrait appliquer cet adage en remplaçant IBM par AWS. La réalité est que les offres sont là et que cela a été démontré à plusieurs reprises. Le lobbying américain est très fort. Pour en donner une idée, les services managés d’AWS représentent probablement 600 services. Quelles sont les entreprises qui ont envie de faire une comparaison service par service sur 600 services pour vérifier si, chez Scaleway, OVH, Outscale, NumSpot ou CloudTemple, ces 600 services sont présents ? Il est beaucoup plus facile de rester là où l’on sait qu’ils sont.

Mme Cyrielle Chatelain, rapporteure. Vous avez évoqué deux sujets concernant les offres hybrides : la dépendance technologique, avec le risque du kill switch, et la question des data centers et des capitaux. Pourriez-vous développer un peu les risques contenus dans cette dépendance technologique et ce kill switch ? Dans certaines auditions que nous avons pu avoir, ces risques ont été relativisés. Votre analyse m’intéresserait. Sur l’autre sujet, vous avez souligné l’importance d’héberger vos services dans des data centers à capitaux européens. Quel est l’enjeu derrière cela ?

M. Philippe Miltin. Si je peux me permettre, sur la partie kill switch, je voudrais surtout aborder l’angle du pricing power. Au-delà du kill switch – même si un exemple est arrivé dernièrement avec la Cour pénale internationale (CPI) –, le sujet absolument majeur est l’augmentation permanente des prix imposée par les éditeurs américains, dont les entreprises européennes sont de plus en plus dépendantes. Au-delà des sujets d’IA qui vont devenir essentiels, se dégager de cette dépendance vis-à-vis des éditeurs américains est crucial. Il y a eu l’affaire VMWare-Broadcom, mais au-delà de cela, il y a des augmentations significatives et permanentes chaque année, qui créent une dépendance extrêmement forte.

On a parlé des 600 services d’AWS, mais lorsqu’une entreprise a développé l’ensemble de ses solutions autour de ces services, en sortir est extrêmement compliqué. La réversibilité et l’interopérabilité ne sont absolument pas des sujets maîtrisés par nos amis américains. Ces enjeux sont aujourd’hui majeurs, non seulement pour permettre à l’économie européenne de perdurer, ce qui est vital, mais aussi pour contrer ce pouvoir sur les prix qui est, pour moi, l’élément le plus déterminant.

M. Éric Haddad. Je reviens sur votre première question. Je pense que les 600 ou 200 services, selon l’offreur américain, sont plus un argument de vente contractuel, un moyen de créer une adhérence entre le fournisseur et l’acheteur. On parle beaucoup d’adhérence technologique, mais je pense qu’il y a une très forte adhérence économique liée à l’achat et aux contrats pluriannuels. L’un des moyens de justifier un bon projet d’achat est cette quantité de services qui, en réalité, seront très peu utilisés. Damien Lucas a tout à fait raison : la panoplie de services que nous proposons est très largement suffisante, et quand elle ne l’est pas, nous nous arrangeons avec le client pour développer ce qui est nécessaire.

Le vrai sujet n’est pas là. Le vrai sujet est la capacité de négociation à grande échelle des Américains, la construction de grands contrats pluriannuels, où le nombre de services et la diminution apparente du coût sur le volume servent d’arguments de vente, mais renforcent l’adhérence. Il est extrêmement difficile, au-delà de l’adhérence technologique, de sortir d’un contrat sur lequel on s’est engagé pour quatre ou cinq ans. C’est une réalité, surtout quand le commercial revient vous voir un ou deux ans avant la fin pour renégocier, en arguant qu’il serait dommage de ne pas profiter de la baisse des prix sur le volume. En tant que bon acheteur, vous signez un bon contrat. C’est une logique d’adhérence qui se poursuit indéfiniment.

C’est pourquoi, objectivement, il est extrêmement compliqué pour des acteurs comme nous d’avoir un argumentaire convaincant dans le secteur privé, au-delà du fait que le move to cloud est en train de s’étioler. C’est là où l’État a un rôle d’exemplarité à jouer pour montrer qu’il est possible de sortir de cette logique d’achat, de profiter des nouveaux usages liés à la donnée, où il y a un vrai besoin de gestion des données sensibles et de souveraineté, et de créer une rupture avec ces adhérences économiques et ces logiques de services d’achat.

M. le président Philippe Latombe. Pour prolonger la question de la rapporteure, prenons l’exemple de ce qui s’est passé avec la Commission européenne et son appel d’offres de 180 millions d’euros. Ce qui est assez impressionnant, c’est que sur les quatre attributaires, beaucoup ont répondu en consortium. Il y a très peu d’entreprises qui ont répondu de façon individuelle. OVH, par exemple, a répondu avec Clever Cloud et un autre partenaire. On l’a vu aussi un peu sur le Health Data Hub, où quelques consortiums s’étaient formés.

J’ai deux questions en une. Premièrement, avez-vous intégré cette logique de consortium pour améliorer votre offre de services en profitant des complémentarités de chacun ? Travaillez-vous ensemble de temps en temps, sans vous voir uniquement comme des concurrents ? Deuxièmement, avez-vous le sentiment que les acheteurs, tant publics que privés, sont de plus en plus dans cette logique d’accepter des consortiums, au lieu de vouloir un seul contrat avec une seule personne qui fournit l’intégralité des services ? Sentez-vous ce changement de paradigme, aussi bien dans le secteur privé que dans le secteur public ?

M. Octave Klaba. Pour répondre à la question sur la Commission européenne, nous avons répondu en consortium pour une raison simple : nous avions une relation établie avec Deep depuis deux ou trois ans. Deep était venu témoigner à notre sommet sur des développements que nous avions faits avec eux, car ils ont une certaine ambition pour le cloud au Luxembourg. Il se trouve qu’ils avaient formé un consortium avec Clever Cloud pour répondre à la Commission européenne. Comme nous nous entendions très bien avec Deep et Clever Cloud, j’ai décidé d’explorer cette possibilité de travailler dans un cadre très innovant pour nous. C’est très disruptif pour une entreprise comme OVHcloud de construire une réponse à trois. C’était intéressant de devoir se mettre d’accord. Maintenant, le vrai travail va commencer, car ce n’est que l’ouverture du contrat ; il faut maintenant aborder la partie légale, la facturation, puis aller voir toutes les agences et travailler sur chaque contrat. Cela m’a intéressé d’explorer où cela pouvait nous mener. C’était une certaine prise de risque pour nous, car nous aurions très bien pu répondre seuls ; d’ailleurs, nous nous étions fait référencer comme candidat possible et avons retiré notre candidature pour rejoindre le consortium.

Pour répondre à votre deuxième question, c’est très intéressant car on observe des comportements un peu différents. Souvent, les fournisseurs de cloud répondent avec un partenaire, mais nous ne sommes pas le contractant principal. C’est le partenaire qui répond à l’appel d’offres et qui embarque un fournisseur de cloud. Cependant, il nous arrive de plus en plus souvent qu’on nous demande d’être le contractant principal et de prendre la responsabilité non seulement du cloud, mais aussi du développement pour répondre aux besoins du client. Nous sommes en train d’expérimenter ce type de réponse pour voir ce que cela implique juridiquement et en termes de livraison, et si les expériences sont bonnes. Je n’ai pas d’avis tranché aujourd’hui.

Souvent, les fournisseurs de cloud sont en arrière-boutique, en support d’un partenaire. Très rarement, nous nous mettons en avant car nous ne prenons pas la responsabilité finale du produit livré ; c’est notre partenaire qui utilise le cloud pour assembler la solution dont le client final a besoin. Surtout, le partenaire connaît très bien le client lui-même, il a investi beaucoup de temps dans la relation finale. Nous ne sommes pas censés avoir cette intimité avec les clients dans la chaîne de valeur. Mais c’est en train de changer. J’ai parlé de 1,2 milliard d’euros de chiffre d’affaires et de notre ambition d’aller à deux milliards. Nous nous posons ces questions : quel est notre rôle dans la chaîne de valeur ? Jusqu’où devons-nous le remettre en question ? Quel est le rôle des partenaires ? Faut-il réinventer ce rôle et cesser d’être un acteur passif pour devenir plus actif, car certains clients le demandent ?

M. Damien Lucas. Pour revenir sur la question des offres hybrides, je voudrais souligner un point, car soit il y a quelque chose que je n’ai pas compris, soit je vais être extrêmement jaloux. J’ai entendu dire que certaines offres hybrides imaginaient, en cas de coupure des mises à jour, pouvoir faire fonctionner leur cloud pendant un an sans recevoir de correctifs de leurs partenaires américains. Alors là, je ne sais pas comment ils font. Chez Scaleway, nous faisons 72 mises à jour quotidiennes, dont une proportion non négligeable sont des mises à jour de sécurité. Je vois donc deux options : soit ils ont une technologie incroyable que je ne connais pas, soit ils connaissent déjà toutes les failles de sécurité qui seront découvertes dans les douze prochains mois et les ont déjà corrigées. Mais il y a quelque chose que je n’ai pas compris, et je pense qu’on n’a pas poussé l’exercice jusqu’au bout sur ce sujet.

M. le président Philippe Latombe. Peut-être est-ce parce qu’ils ont tout mis en avance de phase et qu’ils ont tout expérimenté.

M. Damien Lucas. Je savais que je ferais bien de venir aujourd’hui.

Sur votre question concernant les data centers, nous, fournisseurs de cloud, opérons tous dans des data centers. Or, il est extrêmement simple de les éteindre ; c’est un véritable switch. Avoir des data centers dont le capital de l’entreprise qui les détient n’est pas européen, c’est soumettre tous les flux de travail à cette menace de coupure. Je suis évidemment d’accord avec Philippe Miltin : cette question du kill switch ne sera peut-être jamais utilisée, mais pensez au soft power que représente la seule menace de pouvoir couper. Et gardez à l’esprit que la plupart des data centers en Europe sont de nationalité étrangère. S’ils décident de les éteindre, nous n’avons pas grand-chose pour nous y opposer.

Sur votre dernière question concernant les consortiums, je serai peut-être le mouton noir de l’assemblée. Chez Scaleway, nous n’y croyons pas. C’est trop compliqué. Nos clients cherchent une alternative à AWS, à GCP (Google Cloud Platform) ou à Azure. Ils ne cherchent pas un conglomérat de multiples petites entreprises – un acteur pour la France, un autre pour la Belgique, un autre pour l’Allemagne, etc. Ils ne cherchent pas un consortium avec un acteur pour l’infrastructure et un autre pour les services managés. Ils cherchent juste une alternative crédible et à l’échelle à leur fournisseur actuel. Car reconnaissons-le, en dehors du prix et des pratiques commerciales où le droit européen est régulièrement bafoué, nos clients adorent le service proposé par AWS, GCP et Azure. Ils veulent juste des alternatives européennes qui respectent le droit commercial en Europe.

M. le président Philippe Latombe. C’est bien d’avoir un avis différent, cela me va bien.

M. Éric Haddad. Je pense que la notion de consortium est contextuelle. L’appel d’offres européen était un cas particulier. Pour chaque contexte de client ou d’appel d’offres, on peut effectivement travailler en consortium. En tout cas, chez NumSpot, nous le faisons nativement, au-delà même de notre structure capitalistique. Je pense qu’il est bénéfique pour les clients de se constituer en consortium, en partenariat, en écosystème, pour être capable d’apporter une réponse intelligente. Je pense que cela va s’arrêter là. Quant à savoir si cela peut se poursuivre de façon plus structurelle, je n’en sais rien, mais de façon contextuelle, pour répondre à un marché et pour être plus fort face à des entreprises très organisées et capitalistiquement plus puissantes, ce n’est pas stupide.

M. Philippe Miltin. Je voulais juste ajouter que si la Commission européenne ou des acteurs privés sont prêts à étudier le sujet du consortium, c’est que ce sujet devient tellement critique pour eux que toutes les solutions sont envisageables. Effectivement, avoir un seul fournisseur est ce qu’il y a de mieux. Mais de temps en temps, pouvoir s’appuyer sur plusieurs acteurs pour couvrir plusieurs pays avec plusieurs offres de services, ce sont des choses qui sont envisagées aujourd’hui. Et si elles le sont, c’est que le sujet est devenu si important que les choses se font.

M. Sébastien Lescop. Je voudrais juste rajouter un complément sur les data centers. Il faut savoir que les data centers sont ceux qui revendent l’électricité. Aujourd’hui, nous avons la chance en France d’avoir une offre d’électricité compétitive et décarbonée. Il y a donc une question sur la préemption et la captation à la source de cette valeur française par des data centers étrangers, dans lesquels demain il y aura peut-être des fournisseurs de cloud. Il faut s’assurer que cette valeur sera bien redistribuée à l’écosystème technologique, mais également aux consommateurs. C’était une ouverture. Je pense qu’aujourd’hui, nous avons suffisamment de capacité en data centers, je parle pour les trois prochaines années, pour avoir une émulation et une compétition qui nous protègent d’une augmentation significative de nos prix d’électricité. Mais qu’en sera-t-il demain, lorsque nous commencerons peut-être à avoir une saturation du marché ?

Mme Cyrielle Chatelain, rapporteure. Mes questions porteront sur deux thèmes distincts. Le premier concerne les investissements. Vous avez évoqué à plusieurs reprises dans vos propos la question de l’investissement et de la masse d’investissements à réaliser. Selon vous, par qui ces investissements doivent-ils être portés ? Est-il nécessaire de prévoir un apport de fonds publics ? Ou, à l’inverse, la solution réside-t-elle dans la structuration de capacités d’investissement de capitaux privés européens ? Quelle est également votre propre part dans ces investissements ? En somme, pour atteindre le niveau d’investissement requis, qui doit, selon vous, amorcer cette augmentation significative, même si des investissements sont déjà en cours ?

Ma deuxième série de questions porte sur les référentiels. Nous disposons avec SecNumCloud d’un référentiel assez unique en Europe. Le jugez-vous satisfaisant ? Est-il aujourd’hui stabilisé et permet-il de stocker, notamment, les données les plus sensibles des administrations ? Par ailleurs, comment envisagez-vous son évolution ? Une réglementation européenne sur les questions du cloud est attendue. Or, jusqu’à présent, dans le cadre du schéma européen de certification des services de cloud, nous n’avons pas réussi à intégrer un aspect de souveraineté dans la certification. Nous avons manqué la première étape ; il faut espérer ne pas manquer la seconde. Avez-vous des échanges à ce sujet au niveau européen ? Quelles sont les perspectives ? L’appel à projets témoigne-t-il déjà de la prise en compte de cette nécessité de mettre en avant les enjeux de souveraineté ?

Enfin, existe-t-il d’autres référentiels intégrant la notion de souveraineté ? Par exemple, la certification Hébergeur de données de santé (HDS), qui comporte un certain nombre d’exigences mais pas celle d’être développé par des compagnies françaises ou européennes, pourrait-elle permettre d’orienter une partie de la commande, notamment privée, vers des offres de cloud françaises ou européennes ?

M. le président Philippe Latombe. Pour un simple complément de question, la fusion ou le rapprochement du référentiel HDS et de la qualification SecNumCloud serait-elle une bonne solution ?

M. Octave Klaba. Concernant les investissements, j’ai la conviction que ce n’est pas au domaine public de porter les investissements d’entreprises privées. Celles-ci doivent assumer une part du risque, c’est leur métier. De plus, il faut savoir que les capitaux disponibles sont abondants et ne demandent qu’à être investis, pourvu que les projets présentent des perspectives de revenus. La véritable problématique réside dans la capacité à générer des revenus et à obtenir des engagements suffisants pour soutenir les investissements, que ce soit en fonds propres, en dette ou par d’autres moyens. On évoque les milliards investis par les acteurs américains, mais il faut analyser correctement leurs comptes de résultat, car on mélange deux choses. Il existe deux types d’investissements. Le premier relève du fonctionnement courant, le « business as usual ». Ces investissements sont obligatoires pour conserver des clients sur des produits existants ; il s’agit de renouveler des équipements, comme des serveurs qui ont une certaine obsolescence, ou d’ajouter de nouvelles ressources pour accompagner la croissance. Plus de 90 % des investissements annoncés relèvent de cette croissance ou du fonctionnement courant. Les chiffres qui peuvent donner le tournis ne représentent que leur activité normale. Il ne s’agit pas, dans leur bilan, d’une prise de risque démesurée dans des technologies qui n’existent pas encore. C’est simplement l’investissement nécessaire pour acquérir de nouveaux clients et assurer la croissance de leur revenu sur des produits existants.

En distinguant bien cette partie, je peux prendre notre exemple : sur un investissement de 350 millions d’euros, environ 70 millions sont investis dans le logiciel. Nos informations sont publiques, l’entreprise étant cotée. Cela correspond aux salaires des développeurs. Sur un peu plus de 3 000 personnes dans l’entreprise, nous avons 1 000 développeurs, 1 000 personnes à la production dans les centres de données et 1 000 personnes dans les fonctions commerciales. Je capitalise donc environ 70 millions d’euros par an, qui sont dédiés au développement de nouveaux produits. Le reste, soit la différence par rapport aux 350 millions, concerne les centres de données et le matériel que je renouvelle ou que j’ajoute pour la croissance.

La qualification SecNumCloud est complexe à mettre en œuvre. Je la trouve cependant très intéressante, car elle est axée sur la cybersécurité d’un point de vue technique, ce que les autres réglementations ne font pas. Celles-ci imposent généralement des processus aux entreprises, avec des audits pour vérifier leur suivi. Dans le cas de SecNumCloud, il ne se limite pas à cela. Une part très importante concerne la manière de construire l’infrastructure, de chiffrer les données ou de gérer les accès clients. Le référentiel est contraignant, en ce sens qu’il n’accorde pas une liberté totale sur la manière de concevoir le produit ; il impose de le construire d’une certaine façon. C’est ce qui explique la longueur des délais d’obtention de la qualification SecNumCloud. Le problème n’est pas l’audit, mais le temps nécessaire pour adapter une technologie qui fonctionne de manière autonome en cloud public à l’ensemble des exigences de SecNumCloud. C’est en cela qu’il est très intéressant, et personne d’autre ne le fait en Europe. Aucune autre autorité, que ce soit en Allemagne, en Italie ou ailleurs, n’impose une telle manière de procéder. Cette approche vient de l’Agence nationale de la sécurité des systèmes d’information (Anssi), qui a capitalisé sur de nombreux retours d’expérience pour élaborer un manuel de bonnes pratiques visant à éviter des incidents comme ceux survenus dans les hôpitaux, avec des rançongiciels et autres attaques. C’est un guide de bon sens pour construire et opérer un cloud destiné à l’État, aux données extrêmement sensibles, aux besoins militaires ou à d’autres usages critiques. C’est en cela que je trouve une valeur incroyable à ce qui a été construit par l’Anssi. Nous l’utilisons de cette manière et nous essayons bien sûr d’obtenir les certifications pour monétiser commercialement tout le travail accompli. Mais ce travail de cybersécurité est extrêmement intéressant à analyser, à approfondir pour élaborer des offres dans cet état d’esprit.

Enfin, concernant la fusion de la certification HDS et de la qualification SecNumCloud, j’en serais personnellement très satisfait, car nous détenons SecNumCloud. Je pense cependant que beaucoup d’acteurs protesteraient, car la certification HDS n’est pas très complexe à obtenir. Elle repose sur la norme ISO 27001, à laquelle on ajoute deux ou trois processus. SecNumCloud est d’une tout autre nature ; il s’agit véritablement d’une approche militaire du cloud. Imaginez que votre cloud soit sur un champ d’opérations et que vous perdiez les conteneurs dans lesquels il se trouve. Si l’ennemi saisit ces conteneurs alors que le système est toujours en fonctionnement, peut-il récupérer les données ? Peut-il utiliser ce qui tournait dessus ? Quelles mesures mettez-vous en place pour que personne ne puisse récupérer les informations, y compris avec un tournevis ou n’importe quel autre moyen ? C’est cela, le niveau d’exigence de SecNumCloud. Et c’est unique.

M. le président Philippe Latombe. L’actualité nous montre que des questions de cybersécurité émergent quotidiennement. C’est également une demande forte pour les données les plus sensibles.

M. Damien Lucas. Pour commencer sur la question des investissements, comme l’a très justement dit Octave Klaba à l’instant, il y a deux types d’investissements pour un fournisseur de cloud : l’investissement dans les ressources humaines pour développer les technologies d’avenir, et l’investissement dans les infrastructures pour héberger les workflows de nos clients.

Sur la partie humaine, les différentes initiatives, y compris l’appel à projets sur le renforcement de l’offre de services cloud, sont bienvenues, car elles aident à continuer d’investir et à développer de nouveaux produits innovants. Mais la très grande majorité des investissements concerne les infrastructures. Et je ne crois pas que ces investissements d’infrastructure doivent être financés par de l’argent public. Ils doivent être adossés à des engagements de commandes, à un marché florissant, pour pouvoir être financés par de la dette ou par des fonds à moindre risque, car le carnet de commandes suit. C’est en s’engageant sur des volumes de commandes, comme l’a fait la Commission européenne, que l’on crée la capacité à financer ces investissements avec de l’argent privé, que ce soit par la dette ou l’investissement, dans des conditions favorables. Je pense que ce montage est beaucoup plus intéressant pour aider à développer l’offre que de recourir à l’argent public. Nous parlons de dizaines de milliards d’euros d’investissements ; je ne crois pas qu’il soit sain aujourd’hui pour les différents États membres de l’Union européenne d’engager de telles dépenses, alors qu’elles pourraient être assumées par le secteur privé, à condition que le carnet de commandes soit au rendez-vous.

Pour revenir sur la question des différentes certifications et des référentiels, la première demande, comme je l’avais indiqué dans mon propos liminaire, est l’harmonisation au niveau européen. Rappelons-le, il n’existe pas d’échelle viable en dehors du marché européen. Si la France a SecNumCloud, l’Allemagne le C5 avec le BSI, et l’Italie l’ACN Level 1, cela signifie que pour un fournisseur de cloud, il faut passer les certifications vingt-sept fois dans le pire des cas. Aucun d’entre nous autour de cette table ne peut se le permettre. Seuls les géants du secteur, dont vous voyez à qui je fais allusion, en ont les moyens. Aujourd’hui, la fragmentation des différents référentiels retarde le déploiement du cloud européen et favorise les géants étrangers. Le premier point est donc l’harmonisation.

Le second point est qu’il ne faut pas, à mon sens, avoir un label unique binaire, de type « oui/non ». Un tel label signifierait soit que l’on place la barre très haut, comme avec SecNumCloud, qui est un bon référentiel, mais dans ce cas, le nombre d’offreurs en Europe serait extrêmement limité ; soit que, pour assurer une offre suffisante face à la demande, on abaisse le niveau d’exigence et l’on se met à autoriser des offres hybrides, voire des « AWS Sovereign Cloud » en Allemagne, dont on peut se demander d’où ils tirent le qualificatif de « souverain ». Mais là, on crée un problème. Je suis un fervent défenseur de l’approche de la Commission avec le Cloud Sovereignty Framework, qui permet de procéder à une évaluation selon différents axes, de manière que les entités ou les entreprises puissent ensuite faire leur choix en toute connaissance de cause, en fonction de la criticité de leurs données, plutôt que d’être face à un choix binaire « SecNumCloud ou rien ». Autrement, nous n’aurons pas assez d’offres pour répondre à la demande.

M. Philippe Miltin. Je suis entièrement en phase avec ce que viennent d’exposer MM. Klaba et Lucas : l’investissement doit être absolument privé. Si je prends le cas d’Outscale, nous avons la chance d’être financés par un leader mondial du logiciel, Dassault Systèmes, ce qui représente des centaines de millions d’euros d’investissement pour favoriser le développement du SaaS. Ce qui est intéressant dans cette situation, c’est que Dassault Systèmes met en œuvre l’intelligence artificielle pour tous ses clients en mode SaaS, partout dans le monde. Ces technologies, nous allons ensuite les distribuer en France et en Europe. Il est évident que la demande de la part des clients privés pour des technologies d’IA et de cloud souverain est de plus en plus forte, car la souveraineté est une attente locale, et ce au niveau mondial, pas seulement en France ou en Europe. Ces développements sont financés parce qu’il y a un modèle économique derrière, celui du SaaS. Cela est normal et doit se faire ainsi.

Les appels à projets sont évidemment importants pour nous aider à accélérer notre développement, mais il faut aussi pouvoir les flécher sur quelques champions. Le morcellement actuel est mortel, car si nous avons besoin d’aide, il faut le faire de façon significative et non dispersée. Je pense que c’est extrêmement important.

Le dernier point que je voulais ajouter est que je suis aussi tout à fait d’accord sur la nécessité d’avoir une certification européenne. Nous n’avons pas les moyens d’obtenir toutes les certifications nationales. Mais il faudrait aussi ajouter quelques critères aux référentiels. Par exemple, le critère intégrant les exigences d’indépendance technologique nous semble important pour la résilience et pour maîtriser notre pricing power, afin de ne pas être dépendants. Le fait de repeindre en bleu, blanc, rouge ou aux couleurs de l’Europe des technologies américaines ne confère aucune indépendance technologique. Je pense que ce sont des critères qui doivent être ajoutés, au-delà de l’aspect cybersécurité, qui est, comme Octave Klaba l’a bien rappelé, un élément extrêmement important.

M. Éric Haddad. S’agissant de SecNumCloud, cette qualification a la vertu de clarifier le marché, de guider l’acheteur et de permettre d’objectiver une situation, notamment face au sovereign washing ou marketing agressif de certains acteurs qui se prétendent « justes et souverains ». C’est une façon d’objectiver les choses et de les rendre très claires pour les acheteurs.

Faut-il jumeler la certification HDS avec d’autres types de certifications comme SecNumCloud ? Je ne le crois pas. Il me semble plutôt intelligent de conserver un nivellement, car il y a un marché pour tous les profils et différents types d’acteurs. Effectivement, comme l’a dit Octave Klaba, développer une offre SecNumCloud est extrêmement coûteux du point de vue humain et financier en ingénierie, et tout le monde n’est pas prêt à le faire.

Faut-il une qualification ou une certification européenne ? Je le souhaiterais. Cependant, objectivement, bien que je ne suive pas ce dossier de près, cela me semble très ambitieux vu la fragmentation des positions en Europe. Si au moins nous avions un référentiel commun, ce serait une avancée. Par exemple, être qualifié SecNumCloud ou un équivalent dans son pays, complété par un ou deux autres critères, pourrait suffire pour permettre une expansion européenne qui ne soit pas trop onéreuse. Je pense qu’il faut être réaliste. Nous avons en France une bonne qualification, SecNumCloud, qui tient la route. Elle ne répond pas à tout, et contrairement à ce qui est écrit dans les journaux, il y a beaucoup d’amalgames. Il est important de clarifier à quoi elle sert et à quoi elle répond. Une qualification européenne serait idéale, mais si nous pouvions au moins avoir un référentiel commun, ce serait moins ambitieux mais nous permettrait d’avancer. Je pense que c’est ce qui a été fait récemment, même si l’acronyme m’échappe. C’est une bonne façon d’établir des critères pour une offre et de faire en sorte que les acteurs qui ont investi sur la souveraineté et l’autonomie numérique puissent être qualifiés de façon objective.

M. Sébastien Lescop. Concernant les financements publics, je voudrais revenir sur la dépendance technologique vis-à-vis des hyperscalers. On observe aujourd’hui une situation à deux vitesses. Pour les nouveaux projets, la loi Sren est très utile pour éviter les coûts de réversibilité et les crédits cloud. Néanmoins, il y a tout l’existant, qui constitue la plus grosse partie du marché. Lorsqu’un client a ses équipes formées sur une technologie propriétaire et que ses applications sont développées avec des API propriétaires, il devient extrêmement coûteux de quitter un hyperscaler. L’un des seuls moyens qui pourrait être utilisé pour réduire cette dépendance – je ne dis pas qu’il faut l’utiliser, mais c’est une option – serait de la financer, en augmentant artificiellement la compétitivité des acteurs français et européens.

Concernant la certification HDS, le monde de la santé est assez fragmenté. Il est vrai qu’imposer une rigueur telle que celle de SecNumCloud pourrait être destructeur pour l’innovation. Néanmoins, qui dit données de santé ne dit pas forcément données non sensibles. Certaines données de santé, comme des bases de données concernant des millions de Français, pourraient être considérées comme sensibles, car elles peuvent être la cible de cyberattaques et potentiellement déstabiliser un gouvernement. Il ne faut donc pas écarter la possibilité que les deux référentiels puissent s’appliquer à une même application et aux mêmes données.

Pour ce qui est de SecNumCloud, en tant que pure player de ce référentiel, nous en sommes naturellement partisans. Nous constatons que cette qualification est en train de devenir un standard de marché, en tout cas en France. Il y a un véritable engouement autour d’elle, et le directeur général de l’Anssi, M. Vincent Strubel, en parle très bien. Ce que nous pouvons constater, en tant que fournisseur, c’est que lorsque les exigences sont intégrées dès la conception, les surcoûts de production ne sont pas si importants.

Mme Cyrielle Chatelain, rapporteure. Je voudrais reformuler ma dernière question sur la certification HDS. J’ai bien compris que fusionner les deux labellisations serait probablement contre-productif et très compliqué pour certains acteurs. Cependant, des acteurs français qui cherchent à faire valoir leurs spécificités par rapport à des concurrents extra-européens plus petits qui parviennent à obtenir la certification HDS, nous disent qu’il est dommage de ne pas avoir un volet de souveraineté pour les données de santé. Sans aller jusqu’au niveau de cybersécurité de SecNumCloud, y aurait-il un intérêt, pour ces données de grande qualité et à la sensibilité spécifique, à favoriser les acteurs européens ou français en intégrant à la certification HDS une dimension de souveraineté ? Ou estimez-vous que cela reste complexe au vu du marché actuel ?

Ma deuxième question est d’un tout autre ordre et concerne le développement des centres de données et leur impact environnemental. Vous avez mentionné la consommation énergétique. Il est vrai que la consommation d’énergie et d’eau fait partie des préoccupations aujourd’hui grandissantes. Il y a un enjeu à disposer d’infrastructures en France, tout en parvenant à réduire leur impact environnemental. En effet, si l’on triple la capacité des centres de données en Europe, conformément à l’objectif de la Commission, la consommation énergétique dépasserait la production actuelle des capacités nucléaires installées en France. Nous parlons de quantités importantes. Pourriez-vous nous indiquer où vous en êtes de votre réflexion sur l’impact environnemental de ces infrastructures énergivores, ainsi que sur la question sensible de l’eau ?

M. le président Philippe Latombe. J’ai vu de nombreuses mains se lever et je vais donc exercer mon rôle de président en distribuant la parole. Je la donne d’abord à M. Klaba, puis à M. Lucas. L’ordre changera ensuite, ne vous inquiétez pas, je poserai une question qui vous permettra de commencer.

M. Octave Klaba. Je vais tenter de répondre à la deuxième question sur les centres de données. Nous avons fait le choix assez tôt, dès 2004, de posséder le terrain, le bâtiment et de concevoir tout ce qu’il y a à l’intérieur de nos centres de données pour une raison simple : nous voulions qu’ils soient plus écologiques et moins consommateurs d’énergie. Aujourd’hui, l’ensemble de nos centres de données fonctionnent avec nos propres systèmes de refroidissement par eau (watercooling). Nos 500 000 serveurs physiques partout dans le monde sont refroidis avec cette technologie. Cela nous apporte une réduction d’environ 50 % de la facture énergétique. Les chiffres sont publics : aujourd’hui, la facture énergétique d’OVH représente environ 5 % de notre chiffre d’affaires. Si nous n’avions pas le watercooling, cela représenterait 10 %.

Cette approche, que nous suivons depuis vingt ans, nous permet de réaliser des économies que nous répercutons sur nos clients, puisque nous sommes moins chers que nos concurrents. Ces 5 % de différence sur les prix constituent un très bon argument commercial. Pendant très longtemps, nos concurrents ont expliqué nos prix bas par une prétendue moindre qualité. Structurellement, nous avons mis en place des solutions qui permettent de réduire cette facture. Nous avons tout un système autour du refroidissement et de la circulation de l’eau. L’avantage est que nous avons des ingénieurs qui travaillent sur ce sujet en interne ; ce ne sont pas des technologies que nous achetons à l’extérieur. Nous avons des spécialistes en mécanique des fluides, en tuyauterie, et des experts dans tous les métiers que nous intégrons, puisque nous construisons nos propres centres de données. Nous sous-traitons l’exécution de la construction à des acteurs locaux pour maximiser l’impact local. Si nous déployons un centre de données en Pologne, en France ou en Italie, nous travaillons avec de petits sous-traitants locaux pour que l’argent irrigue l’économie de la région. Nous aimons avoir cet impact social et régional. Mais toute la technologie vient de chez nous et nous en maîtrisons l’ensemble.

Nous avons une approche similaire concernant l’obsolescence des serveurs. Ceux-ci fonctionnent au maximum neuf ans. Au bout de cette période, il faut les sortir et en faire quelque chose. Nous avons tout un département qui récupère l’ensemble des pièces détachées et les recycle à travers différentes filières. C’est un système que nous avons mis en place depuis au moins douze ou treize ans et qui s’intègre dans le cycle de vie de nos investissements. D’un côté, nous investissons dans nos usines pour construire nos serveurs et nos baies, nous les envoyons dans les centres de données, puis nous les démantelons et les faisons repasser par les mêmes usines pour recycler l’ensemble des pièces. Tout cela est intégré au sein de l’entreprise.

C’est un ensemble de métiers que nous maîtrisons pour pouvoir opérer à grande échelle. Nous construisons 70 000 à 75 000 serveurs physiques par an dans nos deux usines en Europe et au Canada, ce qui nous donne la masse critique pour le faire. C’est rare. L’autre usine que je connais en France est celle de Bull ; sinon, il n’en existe pas. Nous sommes l’un des plus gros acheteurs de mémoire vive, de disques durs et de pièces détachées, et l’un des plus gros constructeurs de serveurs en Europe. Tout ce savoir-faire que nous avons ajouté à notre portefeuille de compétences nous sert aujourd’hui précisément sur ces enjeux. Nous faisons des économies, nous sommes plus écologiques, et grâce à cela, nous pouvons nous déployer. Par exemple, à Singapour, la construction de nouveaux centres de données est interdite depuis trois ou quatre ans. OVH a obtenu l’autorisation d’en construire parce que nos centres de données sont refroidis par eau. Nous avons bénéficié de dérogations car nous avons démontré que notre impact était moindre. C’est un avantage que nous ne mettons pas toujours en avant. Pendant très longtemps, nous n’en parlions pas, car on se faisait insulter : « Tu mets de l’eau dans les baies informatiques, mais tu es complètement dingue ! ». Il se trouve qu’aujourd’hui, vous avez l’obligation de le faire pour récupérer la chaleur. C’est devenu obligatoire dans les dernières générations de GPU, une chose que nous faisons à une autre échelle et avec un autre recul depuis une vingtaine d’années.

M. Damien Lucas. Je ne vais pas répondre à votre première question, mais je vais vous dire pourquoi. Sur la question d’intégrer un critère de souveraineté au référentiel HDS, je ne crois pas que ce soit une question pour les fournisseurs de cloud. C’est une question pour les citoyens. Les citoyens français acceptent-ils que leurs données de santé soient hébergées sur des clouds qui ne sont pas européens ? J’ai un avis en tant que citoyen, pas en tant que directeur général de Scaleway. En tant que directeur général, nous offrons la certification HDS, mais je ne crois pas que la question se situe à ce niveau. La vraie question est celle de la prise de conscience par le peuple français, et plus généralement européen, du risque pesant sur leurs données de santé.

Sur la question des centres de données, plusieurs éléments. Premièrement, chez Scaleway, à l’opposé de ce qu’a fait Octave Klaba, nous avons décidé d’arrêter de construire nos propres centres de données. Nous en avons fait beaucoup par le passé, en travaillant à les rendre très efficaces énergétiquement. Nous considérons aujourd’hui que nous préférons choisir les partenaires les plus efficaces en termes d’énergie pour notre expansion. De ce fait, deux constats s’imposent. Le premier est qu’en France, nous sommes à court de centres de données. Il n’y a plus de capacité disponible, et nous sommes obligés de nous déployer à l’étranger. Il n’y a plus de capacité dans des centres de données sur le sol français, et en particulier, il n’y a plus rien du tout dans des centres de données européens sur le sol français. Quand de la capacité sera à nouveau disponible, ce sera probablement chez des opérateurs étrangers installés en France. De plus, à court terme, pour 2026-2027, il n’y a plus de capacité du tout. C’est un problème, car nous sommes contraints de nous tourner vers l’étranger.

Or, à l’étranger, la situation est généralement beaucoup moins favorable qu’en France, où nous bénéficions d’une électricité hautement décarbonée. Quand certains acteurs américains construisent des projets à l’échelle du gigawatt en brûlant du gaz de schiste dans des turbines, ce n’est pas très décarboné. Heureusement, en France, c’est interdit. Nous avons une électricité de bonne qualité. On parlait de la consommation d’eau : en France, il est interdit pour les centres de données de refroidir avec des tours qui utilisent l’eau de manière ouverte, c’est-à-dire de l’eau que l’on ne récupère pas. Je parle de ces fameuses tours que l’on voit sur les centrales nucléaires, d’où s’échappe un nuage de vapeur. C’est l’une des très rares industries en France où l’on a le droit d’utiliser l’eau de manière ouverte pour le refroidissement : on prend l’eau du fleuve, on la fait passer sur le circuit chaud, elle s’évapore et disparaît. Pour les centres de données, c’est interdit. Aux États-Unis, c’est une méthode de refroidissement très répandue, et donc beaucoup plus consommatrice d’eau. En France, globalement, les centres de données ne sont pas de gros consommateurs d’eau et utilisent une énergie largement décarbonée. Mais il faut des années pour obtenir les autorisations de construction. À cause de ces délais, on n’en construit pas, on en manque, et on est obligé de se déployer dans des pays voisins. Honnêtement, il est dommage aujourd’hui de devoir se déployer dans des pays où l’électricité est beaucoup plus carbonée et dépendante de l’approvisionnement en gaz, souvent russe, alors que nous avons l’électricité en France et que nous pourrions le faire ici.

Mme Cyrielle Chatelain, rapporteure. Combien de projets sont aujourd’hui en attente d’autorisation, à votre connaissance ?

M. Damien Lucas. De tête, au moins cinq. Mais la question n’est pas tant le nombre de projets que la puissance totale associée. Il s’agit d’au moins cinq projets de plus de 100 mégawatts chacun, ce qui représenterait quasiment un doublement de la capacité existante sur le territoire français. Cela correspond probablement au besoin actuel, mais ces projets sont en attente d’obtenir les fameuses autorisations d’exploiter, les études « quatre saisons », etc. Le délai est d’au moins deux ans, je pense.

M. le président Philippe Latombe. Nous serions preneurs si vous pouviez nous transmettre cette liste de cinq projets afin que nous puissions les examiner.

M. Damien Lucas. Nous vous enverrons ces détails par écrit.

M. Philippe Miltin. Je n’ai que peu de choses à ajouter à ce qu’ont dit MM. Klaba et Lucas. Aujourd’hui, nous utilisons des data centers extérieurs et nous multiplions nos fournisseurs. Le critère du 100 % décarboné est effectivement extrêmement important. L’urbanisme des nouvelles salles, avec l’arrivée de l’IA, est également clé. Octave l’a rappelé, il y a aujourd’hui peu de fournisseurs d’infrastructures. Nous travaillons avec Bull, qui va nous fournir nos infrastructures d’IA, car nous allons développer ce que nous appelons des « IA factories » en dehors du cloud. C’est un sujet majeur qui demande un refroidissement à eau de base, mais qui présente aussi des caractéristiques différentes. Il est évident que les centres de données décarbonés, optimisés avec refroidissement à eau, sont une nécessité. Il est tout aussi évident que nous n’en avons pas suffisamment en France et en Europe. C’est un sujet sur lequel nous sommes tous en contact avec les promoteurs. Le temps de mise en œuvre reste un enjeu majeur.

Enfin, sur la partie HDS, je suis tout à fait d’accord avec Damien Lucas : c’est un sujet pour les citoyens. Je pense toutefois que combiner HDS et SecNumCloud reste, pour les données de santé, un élément de sécurité indispensable.

M. le président Philippe Latombe. Cela me permet de poser une question, ce qui changera l’ordre des intervenants. Je plaisantais à peine avec l’affaire Mythos tout à l’heure, mais c’est un phénomène que nous observons. Nous avons vu la Réserve fédérale américaine convoquer les banquiers américains pour leur expliquer qu’ils pouvaient trouver des failles. La BCE a fait de même, semble-t-il, le week-end dernier. Nous voyons l’IA arriver avec des capacités particulières. Sur la cybersécurité, qui était un argument très mis en avant par certains promoteurs des solutions américaines, notamment de cloud, affirmant que c’est dans ces solutions que la sécurité était la plus forte, nous assistons à une forte concentration des entreprises de cybersécurité, avec notamment le rachat d’entreprises européennes par des acteurs américains. Y voyez-vous un risque de dépendance à venir pour votre activité ? Est-ce une tendance qu’il faut inverser ? Comment percevez-vous cette concentration du marché de la cybersécurité, notamment au profit de capacités américaines ?

M. Sébastien Lescop. Pour parler de l’affaire Mythos, ce qui a été découvert, de ce que j’ai compris, c’était principalement ce qu’on appelle des vulnérabilités, des J0, qui n’étaient pas corrigées. Il faut savoir que le référentiel SecNumCloud impose que toutes les mises à jour de sécurité soient réalisées dans les temps. L’Anssi s’en assure lors de ses audits ; cela fait partie des vérifications standards.

Deuxièmement, sur le fait qu’un partenaire puisse changer de pavillon, est-ce un risque ? Je pense que c’est surtout un risque pour la France et son économie. Pour le consommateur d’un fournisseur de cloud, le risque dépend de la manière dont ce dernier gère ses partenaires. Chez Cloud Temple, nous avons construit une couche logicielle d’abstraction qui permet de ne pas répercuter la technologie que nous utilisons sur le consommateur final. C’est-à-dire que demain, si nous sommes en désaccord stratégique ou financier avec un partenaire, ou s’il y a un rachat et que se produit un « effet Broadcom », nous sommes capables de garantir à nos clients un plan de continuité de service. C’est l’engagement que nous prenons auprès d’eux. Bien sûr, nous préférons ne pas avoir à lancer de tels chantiers s’ils n’apportent pas de valeur ajoutée à nos clients. Néanmoins, nous nous sommes déjà prémunis, dès la conception de la plateforme, pour pouvoir y faire face si besoin était.

M. Éric Haddad. Nous n’avons pas identifié de vulnérabilité ou de dépendance par rapport à ce type de menace, car nous développons tout en open source, en système ouvert. Nous maîtrisons complètement ce que nous développons. Il n’y a pas de licences à payer à des acteurs américains, en l’occurrence, jusqu’à présent.

M. le président Philippe Latombe. Vous n’utilisez absolument aucune solution de centre opérationnel de sécurité (SOC), de plan de reprise d’activité ou autre ?

M. Éric Haddad. Le SOC que nous avons est celui de La Poste. Mais pour notre plateforme, tout ce que nous utilisons, y compris pour les aspects de cybersécurité, est issu de l’open source.

M. le président Philippe Latombe. Y a-t-il un sujet que nous n’avons pas abordé et que vous voudriez évoquer ? C’est la question rituelle de fin. Je sais que vous suivez les auditions. Si des sujets émergent au cours des prochaines auditions et sur lesquels vous souhaitez réagir, positivement ou négativement, n’hésitez pas à nous faire parvenir des contributions écrites.

Je précise, puisque cette audition est retransmise sur le site de l’Assemblée nationale, que vous faites partie des fournisseurs de cloud, mais que d’autres auraient pu être invités. Nous avons essayé de limiter le panel, ce qui ne signifie pas que vous êtes les seuls. C’était important de vous avoir, mais je préférais expliquer pourquoi vous étiez tous les cinq.

Merci en tout cas de votre présence. La séance est levée.

* *

Audition, ouverte à la presse, du collectif #Fab8, représenté par : MM. Antoine Duboscq, président de Wimi, et Timothée Demoures, chef de cabinet, MM. Thomas Fauré, président de Whaller, et Grégory Saccomani, directeur de la communication et M. Alain Garnier, président de Jamespot (mercredi 29 avril 2026)

M. le président Philippe Latombe. Nous poursuivons notre cycle d’auditions dans le cadre de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Nous recevons aujourd’hui le collectif #Fab8, qui rassemble huit acteurs de la tech française. Il est aujourd’hui représenté par M. Antoine Duboscq, président de Wimi, M. Thomas Fauré, président de Whaller, et M. Alain Garnier, président de Jamespot.

Messieurs, je vous remercie de vous être rendus disponibles pour cette audition. Avant de vous céder la parole pour un propos liminaire précédant nos échanges, je vous demande de déclarer au préalable tout intérêt public ou privé de nature à influer sur vos déclarations. Je rappelle également que cette audition est ouverte à la presse et fait l’objet d’une retransmission vidéo en direct. Enfin, l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission de prêter serment de dire la vérité, toute la vérité, rien que la vérité.

(MM. Antoine Duboscq, Thomas Fauré et Alain Garnier prêtent serment).

M. Alain Garnier, président de Jamespot. Je vous remercie de nous donner l’opportunité d’exposer la position de notre filière. Je m’exprime devant vous au nom du collectif #Fab8, mais aussi du Comité stratégique de filière logiciels et solutions numériques de confiance (CSF), dont je suis administrateur et dans lequel je représente les éditeurs de solutions collaboratives. Le CSF, créé en 2025, regroupe les éditeurs et les industriels français engagés auprès du secteur public sur les sujets qui préoccupent votre commission d’enquête. Cette filière, qui pèse 25 milliards d’euros, est devenue à la fois importante et stratégique.

Par ailleurs, je dirige Jamespot, une solution complète visant à remplacer Microsoft 365 et qui est éligible aux dispositifs liés à la souveraineté. Jamespot emploie 50 collaborateurs et réalise 5 millions d’euros de chiffre d’affaires. Elle compte plus de 400 clients et 400 000 utilisateurs quotidiens, dont 40 % dans le secteur public. Autofinancée et détenue par ses fondateurs, elle est 100 % souveraine et lauréate de l’appel à projets « suite bureautique collaborative » de France 2030.

La question de la dépendance et de la souveraineté numérique n’est pas nouvelle. Pour ma part, j’en ai pris conscience en 2006, il y a près de vingt ans, en constatant que Google supprimait des sites de manière unilatérale – le web, que j’imaginais libre et ouvert, se refermait et devenait un espace de dépendance.

En 2016 a été créé le collectif Entrepreneurs en France pour l’édition de logiciel (Efel). Cette initiative répondait au déséquilibre croissant que nous constations vis-à-vis des acteurs américains. L’année 2020 a marqué un basculement avec le mouvement PlayFrance Digital, né au moment de l’affaire du Health Data Hub, qui nous a sidérés et a suscité un mouvement considérable autour de nous. Dans la foulée, en 2021, le collectif #Fab8 a été créé, car les outils collaboratifs sont au cœur de ce combat. En 2025, c’est autour du CSF de voir le jour, peu après la remise du rapport Draghi et au moment du rapport du cabinet Asterès pour le Cigref, qui ont tous deux permis de quantifier la dépendance numérique : le premier estime que 30 % du PIB est affecté par notre dépendance numérique, tandis que le second chiffre à 262 milliards d’euros par an les transferts financiers liés au numérique.

En 2026, nous avons appris une bonne nouvelle : le Health Data Hub, à la suite d’un appel d’offres, a retenu un fournisseur de cloud français, Scaleway. Parallèlement, la Commission européenne fait appel à des fournisseurs de cloud européens, parmi lesquels Scaleway, OVH et Clever Cloud, pour la migration de ses agences. Nous sommes donc à un tournant, une forme de retour de la puissance européenne. Il est désormais prouvé que des alternatives sont possibles, contrairement à ce que certains affirmaient, et il nous appartient, à présent, de nous demander jusqu’où il est possible d’aller : il s’agit d’un véritable enjeu industriel.

Je ne peux passer sous silence le fait qu’en 2022, l’État a initié une véritable politique industrielle en lançant un appel à projets France 2030, bien doté, pour les suites bureautiques alternatives. Trois lauréats ont été désignés : Wimi, Jamespot et Interstis. Cependant, alors que cette politique industrielle était enclenchée, l’État a opéré un changement de cap en développant une offre étatique unifiée, nommée LaSuite. Cette initiative a entraîné une réduction de fait de la place du marché, un manque de visibilité sur l’articulation des offres et d’importantes frictions, qui n’ont été que difficilement résolues par des arbitrages ministériels successifs. Pourquoi passer d’un modèle de soutien à un écosystème de filière, qui a fait ses preuves partout dans le monde, à un modèle de production centralisée ?

La doctrine d’achat de l’État est pourtant claire et elle a été réaffirmée : recourir en priorité aux solutions disponibles sur le marché. Ce principe fondamental n’est pas toujours appliqué, alors même que nos solutions sont utilisées par des administrations de premier plan, par exemple par la Caisse nationale de l’assurance maladie (Cnam) pour ce qui concerne Jamespot. Le problème n’est pas celui de l’offre, qui existe, et nous en sommes la preuve, mais celui des achats de l’État, qui se montre particulièrement frileux. J’ai en tête les propos d’un directeur des systèmes d’information (DSI) de l’État devant votre commission, qui affirmait ne pas pouvoir travailler avec des PME. Les entreprises ici présentes sont des PME, et nous en sommes fiers. Exiger de travailler avec des entreprises de plus de 2 000 salariés, comme cela a été suggéré, est irréaliste dans le secteur de l’édition de logiciels en France, où de telles structures sont quasi inexistantes. Une telle exigence exclut d’emblée les acteurs nationaux.

L’impact économique des choix publics n’est pas neutre. Le modèle de développement étatique interne représente un coût direct pour l’État et détruit la filière, car les logiciels ainsi créés ne sont pas exportables, ce qui prive l’État de la perspective d’un retour sur investissement, que ce soit en TVA ou en cotisations sociales. Nous sommes au contraire dans un modèle de pure dépense, et nous avons estimé la perte dans le secteur du collaboratif à plus de 1 milliard d’euros sur cinq ans. Le marché du collaboratif en France représente aujourd’hui 2 milliards d’euros par an. La filière française en capte environ 10 %, le reste étant dominé par Microsoft, suivi de Google et d’autres acteurs étrangers. À l’inverse, un modèle s’appuyant sur plusieurs éditeurs français permettrait une création de valeur nette estimée entre 50 et 200 millions d’euros par la création de 3 000 à 4 000 emplois, notamment grâce à l’exportation. Dès lors, il est permis de se demander ce qui incite l’État à fragiliser la filière par la commande publique, au lieu de la structurer.

Le rôle de l’État, tel que nous le concevons, est clair : il doit être architecte, régulateur et accélérateur, en utilisant la commande publique comme levier, y compris en faveur des PME. Les modèles qui réussissent, comme les modèles américain ou israélien, sont ceux dans lesquels les éditeurs de logiciels sont au premier plan. Les États-Unis, avec Microsoft, en sont le meilleur exemple, l’entreprise ayant été massivement financée par des fonds publics lorsque cela était nécessaire.

Nous identifions quatre leviers immédiatement mobilisables, parce que nous estimons que nous sommes à un moment où il est encore possible d’agir. Premièrement, la doctrine dite « cloud au centre » doit être appliquée pleinement, dans une logique de souveraineté, en orientant les achats numériques vers la filière nationale. Deuxièmement, il est nécessaire d’organiser la diversité des fournisseurs, en incluant les PME, afin d’éviter de recréer un monopole, qu’il soit d’État ou privé comme celui de Microsoft. Troisièmement, l’interopérabilité doit devenir un sujet central. Quatrièmement, il convient d’utiliser les clauses stratégiques déjà existantes dans la commande publique, sans même attendre le futur Buy European Act. Ces clauses concernent la performance globale, les retombées économiques et l’impact environnemental – domaine dans lequel nous sommes mieux-disants.

La filière s’est structurée en se dotant d’outils, en étant présente à VivaTech et en lançant le projet Open Interop pour favoriser l’interopérabilité. Nous avons également été moteurs dans l’organisation de rencontres entre offreurs et demandeurs, sur le cloud et les outils collaboratifs, et bientôt sur l’intelligence artificielle et l’informatique quantique. Ce cadre nous permet de répondre aux enjeux de souveraineté, de maîtrise des risques et de structuration de la filière industrielle française et européenne.

Les choix d’aujourd’hui ne sont pas seulement techniques ; ce sont des choix industriels structurants pour permettre à la France de rattraper son retard en termes de balance commerciale, sans creuser ses déficits, et en donnant toute leur place à l’innovation et aux acteurs de la filière.

M. Thomas Fauré. Je suis président de Whaller, une société éditrice de logiciels fondée en 2013. Nous sommes une PME d’une trentaine de collaborateurs, réalisant un chiffre d’affaires de 2 à 3 millions d’euros.

Lorsque j’ai créé Whaller, la souveraineté numérique n’était pas ma préoccupation première. Cependant, je me suis vite rendu compte qu’en créant des logiciels en France il y a dix ou quinze ans, on était immédiatement comparé aux fameux Gafam. Je suis donc rapidement devenu, en quelque sorte, « technosouverainiste », convaincu que nous ne pouvions continuer à dépendre à ce point de puissances étrangères en matière de logiciels et de technologie. Cette défense de la souveraineté numérique s’inscrit en toute logique dans mon travail d’entrepreneur.

La souveraineté numérique est d’abord, à mes yeux, un geste de confiance envers les entrepreneurs et, au fond, envers la nation. Or la nation a parfois le sentiment que l’État se comporte envers elle comme un adversaire. En outre, l’État fait preuve d’une grande incohérence en matière de politique numérique. Il n’y a d’ailleurs pas une mais des politiques numériques, tantôt mises en œuvre, tantôt abandonnées ou effilochées. Cesser cette incohérence me semble déterminant.

M. Antoine Duboscq, président de Wimi. Je suis le président de la société Wimi, créée il y a quinze ans. L’origine de la société remonte à une activité de conseil en stratégie que j’exerçais, notamment auprès de la Caisse des dépôts sur sa doctrine d’investissement dans le numérique. J’ai alors constaté la carence de l’offre française et européenne en la matière.

Nous considérons que la souveraineté numérique est un sujet stratégique, au même titre que l’était la maîtrise du nucléaire dans les années 1950 et 1960. Le grand public a peut-être été habitué à voir le numérique comme un simple outil, mais il revêt en réalité une dimension stratégique, comme l’illustre l’évolution géopolitique actuelle. C’est pourquoi nous avons choisi de travailler, au sein de Wimi, sur deux volets : la défense et le civil.

Dans le domaine de la défense, nous avons noué un partenariat avec le groupe Thales. Nous avons déployé notre suite numérique collaborative sur des infrastructures de défense et obtenu, avec nos partenaires, des homologations de diffusion restreinte qui nous permettent aujourd’hui d’adresser le marché européen. Nous avons déjà nos premiers clients dans ce domaine, qui est celui des données classifiées.

En parallèle, nous travaillons dans le domaine des données sensibles et de la cybersécurité, en partenariat étroit avec l’Agence nationale de la sécurité des systèmes d’information (Anssi). Nous sommes en phase finale de qualification SecNumCloud avec notre partenaire et nous sommes qualifiés Hébergeur de données de Santé (HDS). Ce sont des investissements lourds pour une PME, car ils impliquent de répondre à des exigences qui n’ont pas été conçues pour des structures de notre taille.

Nous y sommes parvenus et nous avons des clients dans divers secteurs. Nous équipons, par exemple, les hôpitaux de Marseille et de Bordeaux, nous comptons la région Martinique parmi nos clients et, dans le secteur bancaire, le groupe Covéa, la Coface ou BPIFrance font confiance à Wimi. Nous avons également noué un partenariat avec Atos pour se positionner plus rapidement sur le marché des données sensibles des grands groupes, où la demande a fortement crû ces derniers mois, sous l’influence du processus de découplage entre l’Europe et les États-Unis.

Pourquoi, en dépit de ses belles références, un acteur de la filière tel que Wimi est encore aussi petit ? Notre phase d’accélération n’a pas suivi la même courbe que celle des géants américains. Plusieurs facteurs l’expliquent. Le caractère fluctuant des politiques publiques en est un, assurément, en dépit de certaines continuités, notamment le travail de l’Anssi avec son référentiel SecNumCloud, qui a le mérite de placer la barre très haut en Europe en matière de cybersécurité pour les données sensibles.

Cependant, le principal obstacle n’est plus l’offre, qui est devenue mature ces cinq dernières années grâce au travail d’acteurs de la French Tech comme nous. Ce n’est plus non plus la prise de conscience, qui a progressé ces derniers trimestres, notamment en raison des événements outre-Atlantique et des enjeux à l’Est. Le dernier obstacle à franchir pour la France est culturel : c’est la capacité des grands acteurs à travailler avec les petits. Les Américains savent le faire. Ils savent favoriser leurs grands acteurs, mais ils savent aussi confier des contrats majeurs à de petites entreprises, comme on l’a vu en biotechnologie ou dans le numérique, grâce à des instruments tels que la Defense Advanced Research Projects Agency (Darpa). L’Allemagne le fait aussi, avec un modèle qui a permis l’émergence d’entreprises de taille intermédiaire (ETI), trois à quatre fois plus nombreuses qu’en France.

Cette difficulté culturelle des grands à travailler avec les petits peut être surmontée avec un coup de pouce de l’exécutif et du législatif. Il faut encourager les décideurs de terrain – acheteurs, DSI, dirigeants – à oser franchir le pas. Les accords que Wimi a noués avec Atos, Thales, La Poste ou le Centre scientifique et technique du bâtiment (CSTB), avec qui nous avons créé une coentreprise, sont des exemples de succès qui montrent qu’il n’y a pas de fatalité. Il reste des réticences, des peurs, mais les raisons invoquées sont souvent des paravents. Lorsque l’on entend un haut fonctionnaire déclarer ne pas vouloir discuter avec des sociétés de moins de 2 000 personnes, on voit que ce frein est avant tout dans les esprits.

Pour toutes ces raisons, nous appelons de nos vœux une véritable politique industrielle, un fléchage des achats et, surtout, une volonté affirmée de faire émerger des champions nationaux et européens.

M. le président Philippe Latombe. Je vous remercie. Vous avez souligné les uns et les autres que le secteur public avait du mal à faire confiance aux petites entreprises. Vous avez expliqué, monsieur Duboscq, que Wimi s’était par conséquent allié à de plus grands acteurs pour atteindre la taille critique requise. Les entreprises de services du numérique (ESN), qui sont une spécialité française, sont-elles selon vous un moyen efficace pour vous d’accéder aux marchés ? En retirez-vous autant de valeur ajoutée que si vous contractiez en direct ? Ne constatez-vous pas une captation de la valeur ajoutée par ces grands groupes qui répondent aux appels d’offres et qui, via la sous-traitance, vous la rétrocèdent partiellement ? Parvenez-vous à négocier de façon équilibrée avec ces entreprises, tout en maintenant un niveau de marge suffisant pour financer votre recherche et développement, et alimenter ainsi un cercle vertueux ? Mes questions s’adressent naturellement à Whaller, Jamespot et à l’ensemble de la filière.

M. Antoine Duboscq. Nous travaillons avec des partenaires avec lesquels nous avons trouvé un équilibre économique raisonnable. Notre sujet principal, aujourd’hui, concerne la demande, celle qui provient de la sphère publique au sens large, et aussi des entreprises car, au pays de Colbert, tout le monde regarde ce que fait l’État.

M. Thomas Fauré. Pour moi, la réponse est moins évidente. Chez Whaller, nous avons déjà travaillé avec des ESN. Je peux citer l’exemple d’un contrat que nous avons remporté il y a quelques années auprès de Pôle emploi grâce à Accenture. Il me semble qu’à cette occasion il y a eu une captation de valeur importante. Accenture a dirigé le projet au départ, mais nous a ensuite facturé une sorte de mensualité pendant toute la durée du contrat, qui n’était qu’une rétribution pour nous avoir apporté l’affaire, sans service associé.

Par ailleurs, certaines ESN se positionnent aujourd’hui en concurrentes des éditeurs que nous sommes. Je pense notamment à Sopra Steria, qui vient d’annoncer la création d’une suite souveraine alors qu’il en existe déjà plusieurs. Aujourd’hui, nous constatons qu’un produit bien conçu n’a plus besoin d’intégrateur – pour rappel, l’intégration consiste à adapter le produit souche à l’écosystème existant d’un client. À l’heure de l’intelligence artificielle, je pense que les ESN ont du souci à se faire, en particulier pour leur activité d’intégration et de développement de briques logicielles spécifiques. Les journées de développement, qu’elles facturaient 800 ou 1 000 euros, sont aujourd’hui réalisées en quelques heures, voire quelques minutes, par des IA génératives. Ces modèles économiques sont par conséquent appelés à basculer. Je pense que les éditeurs pourront assurer plus facilement qu’hier l’intégration. En tout cas, Whaller a fait le choix de s’écarter de ce type de partenariat.

Mme Cyrielle Chatelain, rapporteure. Contrairement à d’autres, nous avons souhaité, dans cette commission d’enquête, nous en tenir à des propos justes et mesurés. Entendre que l’État serait « l’adversaire de la nation » ne me semble ni juste, ni mesuré. Chacun est libre de ses propos, mais il me semble important de rester dans la mesure. Ces mots ont un sens, surtout lorsqu’on les prononce à l’Assemblée nationale.

Ma première question porte sur les 2 milliards d’euros de chiffre d’affaires que vous avez évoqués, monsieur Garnier, correspondant au marché des suites collaboratives. Pourriez-vous préciser la répartition de ce montant entre le secteur public et le secteur privé ?

M. Alain Garnier. Il s’agit d’une estimation que nous avons réalisée avec le CSF. En réalité, nous disposons de très peu de chiffres détaillés pour vous répondre précisément. Cette estimation provient de plusieurs éléments : la part du collaboratif au sein des 25 milliards d’euros de la filière, et la part de marché de Microsoft, qui représente 80 % à 90 % des outils collaboratifs. Nous connaissons approximativement les revenus de Microsoft, bien qu’ils soient noyés dans leur division Professional Cloud. Tout cela repose sur des hypothèses, et nous attendons tous impatiemment le résultat de travaux en cours pour obtenir des chiffres plus précis. Par exemple, nous ne savons même pas combien l’État dépense dans ce domaine. Depuis deux ou trois ans, nous réclamons ces chiffres auprès de la direction générale des entreprises (DGE).

Ce que nous savons, en revanche, c’est que la dépendance de 80 % à 90 % vis-à-vis des logiciels américains est une constante. Il suffit de regarder les chiffres des entreprises américaines cotées en Bourse, qui sont publics. Dans le secteur collaboratif, cette situation est encore plus prégnante en raison du monopole de fait de Microsoft, que même Google n’a pas réussi à briser. Il faut savoir que Google, malgré son modèle dit freemium, et sa stratégie de gratuité pour pénétrer les marchés, n’a obtenu que 10 % de part de marché. C’est beaucoup de notre point de vue, mais ce n’est pas un grand succès pour un acteur de cette taille. La domination de Microsoft est une domination de longue date, qui a été accentuée par le passage au cloud et par des mécanismes d’offres groupées assez subtils.

En additionnant les chiffres d’affaires de toutes les entreprises françaises du secteur collaboratif, nous arrivons à un total de 50 millions d’euros pour le cœur de métier. Si l’on étend le périmètre, à l’image de Microsoft 365 qui regroupe une centaine de produits, on atteint 200 millions d’euros. Cela corrobore le chiffre de 2 milliards d’euros que j’ai avancé, puisque ces 200 millions d’euros correspondent à 10 %, sachant que Microsoft représente 80 % du marché, et Google 10 %.

Mme Cyrielle Chatelain, rapporteure. Je vous rejoins sur la nécessité d’avoir plus de données et de transparence ; c’est un constat que nous partageons.

Vos propos liminaires ont beaucoup porté sur le secteur public, et je pense que nous y consacrerons une grande partie de cette audition. Cependant, une part importante des achats provient du secteur privé. Avez-vous des idées pour accélérer la réorientation des commandes dans ce secteur ? Quelles propositions pourriez-vous faire dans ce domaine ?

M. Alain Garnier. Face au secteur privé, nous menons un travail commercial de longue haleine et, concernant Jamespot, les chiffres que je vous ai donnés illustrent notre présence sur ce marché.

Notre perception est que, face à la situation de monopole de Microsoft dans les outils collaboratifs, l’action publique a un double rôle à jouer. Il lui appartient, non pas seulement de représenter 40 % du PIB et donc 40 % du marché potentiel, mais aussi d’exercer un rôle d’exemplarité et d’entraînement sur de larges cohortes.

Prenons un exemple simple : nos enfants sont biberonnés aux outils Microsoft. Nous avons laissé cette situation s’installer car, à un moment donné, c’était financièrement intéressant. J’ai moi-même mené et perdu l’un de mes premiers combats en m’opposant à l’entrée de Microsoft dans les écoles. Au moment même où Microsoft a cherché à entrer dans les écoles, un autre géant américain, Coca-Cola, a voulu distribuer gratuitement des canettes dans les écoles. Cela a provoqué un tollé, et son projet a été rejeté. En revanche, faire entrer gratuitement les outils bureautiques de Microsoft pour nos enfants a été perçu comme une excellente chose. Tout cela s’est passé la même semaine, et cette anecdote est révélatrice de notre culture : face à la malbouffe, nous sommes vent debout et tous unis pour agir ; mais pour le numérique, nous nous sommes félicités de cette prétendue chance. Je crois que cela illustre la manière dont, à cette époque, une forme d’acculturation s’est opérée.

À cet égard, le secteur public a un rôle essentiel à jouer. Si nous ne voulons pas sacrifier une ou deux générations de plus sur l’autel de la dépendance numérique, il faut rééduquer nos enfants à consommer différemment. De la même manière que nous essayons de limiter leur consommation de hamburgers trop gras, nous devrions nous préoccuper des outils numériques américains. Cette gratuité apparente, leur caractère énergivore – contrairement à nos solutions, qui sont plus frugales par nécessité –, tout cela soulève des questions de fond.

M. Antoine Duboscq. La distinction public-privé n’est pertinente que dans une certaine mesure. Les sujets dont nous parlons, par exemple la cybersécurité, transcendent cette distinction. Qu’un hôpital public ou une clinique privée soit victime d’une cyberattaque mettant en cause la sécurité des patients, l’enjeu est le même.

Si l’on entend la souveraineté numérique comme un véritable enjeu de souveraineté face à des puissances étrangères concurrentes, voire hostiles, alors c’est un sujet d’intérêt général. Les politiques qui concernent le secteur privé en matière de cybersécurité sont largement définies au niveau européen et national. Je prends l’exemple du secteur des services financiers avec le règlement sur la résilience opérationnelle numérique du secteur financier, ou Digital Operational Resilience Act (Dora), qui est paneuropéen, et auquel tous les acteurs financiers de France devront s’adapter. On voit bien que le cadre législatif et réglementaire est déterminant pour le privé également.

M. Thomas Fauré. Se positionner en tant que concurrent de Microsoft, Google et Meta est un enfer. Pour perdurer en tant qu’entreprise, en tant que solution et en tant qu’employeur, il faut trouver des niches de marché et des astuces stratégiques. Chez Whaller, comme ailleurs, il nous a paru évident que la souveraineté numérique pouvait être étroitement liée à la cybersécurité, un sujet de plus en plus tendu. Vous avez constaté comme moi que la France est une cible privilégiée en matière de fuites de données et de cyberattaques.

Finalement, l’État, par ses achats régaliens – ceux des ministères de la défense et de l’intérieur, où l’on manipule des données sensibles et classifiées –, est le mieux placé pour comprendre qu’une solution française ou européenne est préférable à une solution étrangère. Le secteur privé a du retard dans cette prise de conscience, même si cela évolue avec l’émergence de sujets d’espionnage et de guerre économique. En d’autres termes, la commande publique est plus mature que le secteur privé quant à la nécessité de disposer de solutions souveraines.

Environ la moitié des clients de Whaller relèvent de la sphère publique. La commande publique est le premier acheteur du pays, et tout le monde doit travailler avec le secteur public, notamment les grandes entreprises, qui achètent nos solutions, qualifiées SecNumCloud par l’Anssi, parce qu’elles travaillent avec l’État. C’est une bonne chose, car en réalité, la concurrence en Europe n’est pas libre et non faussée – et j’espère ne pas choquer à nouveau madame la rapporteure –, puisque nous faisons face à des sociétés étrangères hégémoniques qui pratiquent une concurrence déloyale, en offrant par exemple leurs solutions dans toutes les écoles. Cela s’appelle du dumping.

Je pense que l’État et la commande publique doivent être exemplaires. C’est le principal vecteur de vente et de croissance pour nos entreprises du logiciel.

M. le président Philippe Latombe. N’êtes-vous pas en mesure de faire ce que font les Gafam, c’est-à-dire de proposer quasi gratuitement vos suites collaboratives aux enseignants ou aux écoles pour les déshabituer des produits dominants ? Pensez-vous qu’à la faveur du règlement sur les services numériques (Digital Services Act, DSA) et du règlement sur les marchés numériques (Digital Markets Act, DMA), ce combat que vous dites avoir perdu, monsieur Garnier, à l’époque où Microsoft est entré dans les écoles, puisse être relancé et gagné ?

M. Alain Garnier. Les grandes entreprises américaines s’implantent en s’appuyant sur un modèle freemium, qui consiste à offrir gratuitement un service complet à un très grand nombre d’utilisateurs, avec l’espoir d’en convertir une partie en clients payants. Pour que cela fonctionne, il faut accepter de perdre beaucoup d’argent pendant très longtemps, mais celui qui finit par l’emporter rafle la mise, selon le modèle de la Silicon Valley du « winner takes all ». C’est généralement à ce moment-là que les prix augmentent et que surgissent les problèmes que nous connaissons aujourd’hui, comme les augmentations de prix unilatérales. C’est un modèle que je trouve discutable d’un point de vue éthique, mais c’est un autre débat. Il est surtout extrêmement coûteux. Pour la France, le calcul est simple : nos entreprises n’ont pas cette capacité financière. À l’école par exemple, si le coût est de 1 ou 2 euros par mois et par élève, on voit bien que les sommes en jeu sont considérables.

En outre, le match a déjà été gagné par Microsoft, non seulement contre nous, mais aussi contre des acteurs comme Slack, un outil de communication au travail qu’ils ont mis à genoux et contraint à se faire racheter par Salesforce. Une fois que tous les concurrents sont à terre, aucun investisseur ne veut plus entrer dans la partie. J’ai récemment discuté avec un investisseur qui m’expliquait que la seule présence d’un Gafam bien installé sur un marché suffisait à dissuader d’investir dans un concurrent.

Dans ces conditions, il convient de réfléchir à très long terme, et non pas répéter les mêmes schémas sur le temps court. Sur le temps long, il faut viser une reprise de parts de marché de 10 % à 15 % par an pour rééquilibrer le marché. L’enjeu n’est pas de chasser Microsoft de France ou d’Europe, mais de rééquilibrer sa position de domination dans les outils collaboratifs, mais aussi dans d’autres domaines, par exemple la gestion de l’identité ou les postes de travail équipés avec Windows. Pour cela, il faut aménager des zones protégées où la filière pourra reprendre des forces. Dans tous les exemples de réussite dans le monde, on retrouve cette idée des zones protégées. Nos voisins allemands, par exemple, ont des entreprises de 50 millions d’euros de chiffre d’affaires dans notre secteur, alors que les nôtres plafonnent entre 5 et 15 millions d’euros, car ils ont eu une politique d’achat local beaucoup plus forte. L’objectif en France devrait être de faire remonter rapidement ce plafond de verre de 15 millions d’euros à 50 millions d’euros, pour ensuite faire émerger des champions à 100, 200 ou 300 millions d’euros de chiffre d’affaires, capables de peser sur l’innovation et à l’international. Il faut se donner une feuille de route industrielle. Ces dernières années, la route était sinueuse et la pente raide.

Mme Cyrielle Chatelain, rapporteure. Je pense que nous partageons votre analyse sur le rôle essentiel de l’école et de l’éducation dans la création des habitudes dès le plus jeune âge. Il me semble que des initiatives existent, que ce soit dans les EdTech ou les communs numériques, pour développer les outils à disposition des enseignants et des élèves. Au regard de l’implantation profonde et durable de Windows, il est évident que ces efforts doivent être franchement accélérés.

Monsieur Duboscq, vous avez souligné l’importance du cadre législatif et réglementaire, et expliqué que la souveraineté devait se penser en complémentarité avec la cybersécurité. Cela signifie-t-il qu’il y aurait un intérêt à avoir un cadre réglementaire plus contraignant, y compris dans le domaine privé, sur ces sujets ? Je voudrais simplement bien comprendre jusqu’où il vous semblerait intéressant d’aller sur ce lien entre cybersécurité et souveraineté.

M. le président Philippe Latombe. Pour prolonger cette question, et en tant que président de la commission spéciale sur la résilience, je m’interroge : devrions-nous, dans le cadre du futur texte sur la résilience, à l’instar de ce qui a été fait pour Dora, intégrer des indicateurs objectifs de dépendance à des solutions logicielles ? Et comment pourrait-on imposer la mise en place de solutions alternatives qui pourraient, à terme, devenir les solutions principales pour des organisations publiques ou privées ?

M. Antoine Duboscq. Le cadre réglementaire est en effet un élément déterminant. J’ai mentionné Dora pour les services financiers, on pourrait aussi citer la directive Network and Information Security 2 (NIS2) sur la cybersécurité, qui concerne tous les secteurs. Sur ce sujet, le rapport sur le référentiel cyber France (ReCyF) de l’Anssi montre combien la réflexion a changé, et combien la notion d’intérêt vital s’est élargie : les organismes vitaux ne sont plus seulement les grandes organisations névralgiques de la nation, mais aussi des milliers de structures plus petites, qui sont susceptibles de constituer des points de fragilité face aux cyberattaques.

Le cadre réglementaire, tel qu’il existe et tel qu’il est déployé notamment sous l’impulsion de l’Anssi, nous semble aller dans le bon sens. Il ne nous paraît pas nécessaire de le réviser, et le sujet actuel porte sur son implémentation – celle de Dora a été mise en œuvre en 2025, celle de NIS2 est programmée en 2027, et d’autres réglementations arriveront, notamment sur la diffusion restreinte et le SecNumCloud.

Le véritable enjeu est la construction des champions capables de répondre à ce cadre réglementaire. Pour que les organisations publiques et privées puissent adopter ces nouvelles règles, il est nécessaire que l’industrie soit capable de fournir les solutions. C’est là que se situe notre constat partagé au sein de la filière : nous aimerions voir des politiques qui flèchent de manière volontariste une partie substantielle des commandes vers les acteurs nationaux et européens.

Si l’on considère, comme c’est notre cas, que c’est un sujet de souveraineté, tant pour les enjeux de défense que civils, alors il faut regarder l’histoire. Dans l’histoire de la France comme dans celle d’autres nations, les secteurs souverains ont toujours bénéficié d’une impulsion déterminante de l’État. Lorsque la France a décidé de se doter d’une aviation de chasse dans les années 1950, elle n’a pas commencé par acheter massivement des avions américains, même s’ils étaient déjà disponibles alors que les avions français, quant à eux, étaient en retard. Non, la France a décidé volontairement, sur une dizaine d’années, de soutenir la filière par la commande publique.

Le cadre réglementaire existe et se déploie, et je souligne à nouveau le rôle de l’Anssi qui rayonne en Europe. Mais il faut faire émerger ces champions souverains. Ce n’est pas le rôle de l’État de choisir les gagnants, mais une fois que des acteurs répondent au cadre réglementaire, il faut que les acheteurs leur attribuent des marchés pour faire baisser notre dépendance de 90 %. Il y a deux manières de le faire. Soit on adopte une politique de bannissement total, comme l’ont fait les Chinois, qui ont décrété que tout le numérique gouvernemental devait être chinois en cinq ans. Nous ne sommes pas en position de faire cela. Soit l’État mène une politique de soutien pour passer d’une dépendance quasi totale à un rééquilibrage.

Cette voie est aujourd’hui accessible pour la France et pour l’Europe. Nous avons des atouts. La France est en pointe sur le numérique en Europe, tant sur le plan réglementaire qu’industriel. Nous avons une option stratégique pour prendre le leadership en Europe, mais pour cela, il faut faire émerger nos champions nationaux. Les outils juridiques et législatifs pour opérer ce ciblage existent. Là où il y a une volonté, il y a un chemin.

Mme Cyrielle Chatelain, rapporteure. Dans ces décisions récentes, l’Union européenne a choisi de ne pas retenir la souveraineté dans la définition du schéma de certification européenne de cybersécurité pour les services cloud (EUCS), bien que cette question ait été débattue. Un futur texte permettra sans doute de revoir cette définition. Pour vous, serait-ce l’occasion de rattraper ce retard et de renforcer l’aspect souveraineté sur le cloud ?

M. Alain Garnier. Sur ce point, nous aurons peut-être des avis divergents. À titre personnel, je pense que l’on a utilisé un instrument, celui de la cybersécurité, à des fins de souveraineté. Or, selon moi, ces deux sujets sont orthogonaux. Ils peuvent se rejoindre, mais ils sont distincts. Je ne veux pas engager toute la filière derrière cette vision, mais je considère que la souveraineté, c’est-à-dire la résilience et la réduction de la dépendance, est un enjeu en soi, valable pour le numérique comme pour tout autre secteur. La cybersécurité en est un autre. Les deux sont nécessaires, mais il faut se garder de confondre les causes et les conséquences.

En France, nous avons eu l’idée, judicieuse, de dire qu’en mélangeant les deux, nous obtiendrions les deux. Pour ma part, j’étais sceptique car je pensais que l’Europe n’était pas prête. Les faits m’ont donné raison : l’Europe n’a pas voulu de notre approche et a préféré séparer les variables. D’un côté, il y a la problématique de la cybersécurité avec l’EUCS, et de l’autre, des textes comme le Cloud Sovereignty Framework qui définissent des niveaux de souveraineté.

Ma position est qu’il vaudrait mieux séparer ces deux variables, ce qui ne signifie pas sacrifier l’une à l’autre. Je pense que nous y verrions beaucoup plus clair dans de nombreux débats si nous séparions ces deux enjeux.

M. Thomas Fauré. Je ne partage pas ce point de vue. Le critère exact qui figure dans la norme SecNumCloud, que la France a tenté de porter au niveau européen auprès de l’Enisa dans le cadre de l’EUCS, est en réalité un double critère : le premier est que le capital de l’entreprise doit être majoritairement européen ; le second est l’absence de dépendance à des lois extracommunautaires. Je considère que ce critère est pleinement un sujet de cybersécurité, parce que la cybersécurité ne se résume pas à la sécurité du numérique : elle est la condition même de la maîtrise de nos systèmes informatiques.

Quand on analyse les risques et ce qu’il faut sécuriser, on identifie des risques techniques, mais aussi des risques liés au management, au personnel ou à l’organisation. Nous avons eu des exemples fameux de fuites de données où l’attaquant a simplement utilisé les identifiants d’une personne ; il ne s’agissait pas d’une faille technique. Il existe même des cas de personnes vendant leurs identifiants pour se venger d’un ancien employeur. Ce sont des schémas connus. Enfin, il y a des risques juridiques. Qui pourrait nier leur existence ? Lorsqu’une entreprise française utilise des systèmes hébergés aux États-Unis par une entreprise américaine, par exemple, elle n’a aucune garantie que ses données ne soient pas consultées par les services de renseignement américains. Je peux d’ailleurs vous assurer que c’est le cas. L’enjeu est donc bien celui de l’espionnage industriel et de la guerre économique.

C’est la raison pour laquelle Guillaume Poupard, l’ancien directeur de l’Anssi, a imaginé d’ajouter cette contrainte : pour que nos données sensibles ne soient pas dérobées et n’aillent pas nourrir des logiques étrangères. Pour la première fois, nous voyions une norme qui instaurait finalement une forme de préférence communautaire au sein de l’Union européenne. Selon moi, l’État avait eu raison d’établir ces normes, et je crois qu’aujourd’hui encore, elles représentent une opportunité.

Prenons l’exemple de S3NS, le partenariat entre Thales et Google que tout le monde connaît et qui a obtenu le label. Je considère qu’il y a une faille dans cette idée de labelliser des partenariats avec les Gafam, dans cette dépendance à un acteur étranger qui nous empêche de développer nos propres technologies. C’est un sujet fondamental, mais c’est un sujet strictement d’ordre politique. Sur le strict plan de SecNumCloud, il n’y a aucun problème. Microsoft s’est également allié avec Orange et Capgemini au sein de Bleu. Pour le moment, ils ne sont toujours pas qualifiés SecNumCloud, alors que cette annonce avait été faite en grande pompe et avait affaibli toutes les autres bonnes volontés françaises, ce qui est regrettable. Néanmoins, ils finiront sûrement par être qualifiés, car des alliances se sont formées, l’actionnariat est probablement européen ou français, les centres de données sont en France et, surtout, le personnel est européen.

Je crois qu’il faut maintenir ce critère dit souverain. L’appellation est d’ailleurs bien choisie. Il faut le maintenir, car il représente encore une opportunité pour toutes les entreprises européennes ou françaises qui ont été qualifiées. Quand vous regardez la liste des entreprises qualifiées SecNumCloud, elles sont quasiment toutes françaises, et c’est formidable.

M. le président Philippe Latombe. Sans aborder en détail la question de Bleu et de S3NS, mais pour rester quelques instants sur la cybersécurité, nous avons assisté depuis deux ans à une concentration assez forte des entreprises de ce secteur, et notamment à des rachats par des entreprises américaines. Aujourd’hui, dans le cadre de votre activité industrielle, percevez‑vous un risque de dépendance à des outils de cybersécurité américains pour produire vous‑mêmes vos propres outils ? Vous avez dit, monsieur Duboscq, que le numérique et la cybersécurité étaient intimement liés ; je ne peux donc que me poser la question de la dépendance à ce type d’outils. La société Vade a été rachetée par Hornetsecurity, elle-même rachetée ensuite par Proofpoint, alors qu’elle fournissait l’une des seules solutions pour sécuriser Microsoft 365. Cette concentration au profit d’acteurs américains vous inquiète‑t‑elle ?

M. Thomas Fauré. Elle nous inquiète, bien entendu, mais avons-nous encore le luxe de l’inquiétude ? Pour ma part, je ne le pense pas. Nous en sommes au stade du constat : dans le monde de la cybersécurité comme dans tous les domaines technologiques, les Américains ont vingt ou trente ans d’avance sur l’Europe et, à part les Chinois, probablement les Russes et peut-être les Indiens ou les Sud-Coréens, très peu de nations ont réussi à faire émerger des puissances technologiques.

Cela ne signifie pas pour autant que rien ne se passe en Europe et que nous n’avons pas encore l’opportunité – et je pense que nous l’aurons toujours – de rattraper ce retard. Mais cela ne se fera pas sans un coup de pouce. C’est la raison pour laquelle je défends encore SecNumCloud. En effet, cette qualification instaure, pour les données sensibles de l’État, une priorité d’achat pour les solutions déjà qualifiées par l’Anssi. Or, parmi ces solutions, beaucoup sont françaises et européennes. C’est une opportunité.

J’ai moi-même été très critique vis-à-vis de S3NS jusqu’au jour où ils ont choisi Whaller afin d’héberger leurs données, notamment leurs données juridiques. Pourquoi nous ont-ils choisis ? Parce qu’ils ne voulaient pas dépendre de Google et obtenir la qualification de l’Anssi. Cela signifie que ce jeu, qui consiste à s’appuyer sur les normes et à miser sur les sujets de cybersécurité et de souveraineté, est productif. Il se nourrit de lui-même.

C’est une logique qui vise à créer un appel d’air face à une concurrence largement faussée. De surcroît, sur ce sujet de la cybersécurité, nous disposons d’un écosystème formidable, il faut le rappeler. Il existe aujourd’hui de nombreuses solutions françaises. On peut sécuriser un système d’information entier avec des solutions presque exclusivement françaises, et il en existe une multitude. Mais il faut commencer par les faire connaître et, surtout, par les acheter, par le jeu de la concurrence, des prix et, bien évidemment, des normes, en particulier SecNumCloud.

Mme Cyrielle Chatelain, rapporteure. Pour revenir sur les questions relatives au secteur public, j’aimerais, monsieur Garnier, que vous précisiez votre raisonnement à propos de la perte de 1 milliard d’euros sur cinq ans que vous avez évoquée.

M. Alain Garnier. L’État, c’est-à-dire les ministères mais aussi les agences, n’est pas aujourd’hui totalement équipé, par exemple, par le cloud de Microsoft. C’est d’ailleurs l’une des grandes problématiques. Beaucoup d’entités publiques hésitent à franchir le pas, précisément parce qu’elles ne veulent pas devenir dépendantes et souhaitent préserver leur souveraineté. Cet ensemble d’utilisateurs, compris entre deux et quatre millions, doit plutôt basculer sur des solutions cloud dans le cadre de la doctrine « cloud au centre ». En prenant cette base, on obtient une estimation du marché. Ou bien ces utilisateurs basculent sur des solutions souveraines locales, ou bien ils ne le font pas, auquel cas le manque à gagner est colossal, de l’ordre du milliard d’euros sur cinq ans.

On dit souvent que les achats publics représentent très peu par rapport au secteur privé. C’est vrai, mais ce « très peu » représente beaucoup pour des acteurs de taille modeste comme nous. En outre, les achats publics ont un effet de levier : doubler le marché public crée les conditions pour se tourner vers l’export, car nous avons aujourd’hui un enjeu de taille critique pour devenir des acteurs européens. En effet, il est plus facile d’attaquer le marché européen quand on réalise 20 ou 50 millions d’euros de chiffre d’affaires que lorsqu’on en fait 2 ou 5 millions d’euros. Sans parler des autres pays, en Afrique ou en Asie, qui sont en attente de souveraineté et de solutions alternatives.

Ou bien l’État développe lui-même ses solutions, mais dans ce cas l’argent est dépensé pour un outil qui n’est pas revendu, et il n’y a donc pas d’effet économique. Ou bien, au contraire, il achète à une filière qui, elle-même, construit les conditions de sa croissance et de son déploiement au-delà de nos frontières. Je ne parle même pas des effets de friction que l’on connaît bien lorsque l’argent public est utilisé en interne ; il y a des pertes dues à la structure même des modalités d’achat de l’État.

L’État a toute légitimité pour développer des solutions lorsque cela relève de ses fonctions régaliennes et, surtout, lorsque les solutions n’existent pas sur le marché. C’est même inscrit dans le code de la commande publique. Or, dans le cas présent, les solutions existent. Pire encore, elles ont été financées par l’État à travers des programmes de subventions. C’est ce défaut d’alignement que nous dénonçons, et qui engendre un manque à gagner économique important.

Je fais un lien avec une question que vous avez souvent abordée dans vos auditions : celle des communs numériques. En tant que professionnel du monde du logiciel, j’estime que l’open source et les communs numériques ont transformé notre métier, et tout le monde les utilise. Cependant, si les communs numériques sont un levier d’accélération de la capacité industrielle, ils ne rendent pas un industriel capable de packager un produit, d’innover et d’assurer un support. Un commun est ce qu’il est, ou il est développé par des acteurs qui le poussent en fonction de leurs propres intérêts économiques. Si l’on prend l’exemple le plus répandu, Linux, qui en a bénéficié ? Les hyperscalers, c’est-à-dire les grands fournisseurs de services cloud. Ils en ont tiré de la valeur et ont, certes, contribué en retour au commun, mais c’est avant tout parce qu’ils avaient un intérêt économique à le faire.

Nous avons tous besoin de communs, et la fonction publique a un rôle à jouer pour aligner les efforts et financer en amont. Mais ce ne sont pas les communs qui nous permettent à nous, industriels, de concevoir et mettre des produits sur le marché. Sinon, Microsoft aurait disparu depuis longtemps et les communs seraient installés partout. Pourquoi Microsoft existe encore ? Parce qu’il package des produits, conçoit une feuille de route, réfléchit au support attendu par le client. En un mot, parce qu’il exerce un métier, et qu’un produit ne se réduit pas à un code réutilisable.

Certains préconisent de tout miser sur les communs comme un antidote face aux Gafam. Mais tout miser sur les communs revient à fournir aux Gafam la matière première qu’ils utilisent aujourd’hui pour leurs intelligences artificielles et leurs systèmes. Nous serions alors dans un modèle encore plus dangereux : nous financerions par nos impôts les outils logiciels open source que les Gafam réutiliseraient pour faire des profits, avant de nous les revendre avec le marketing, le support et l’intégration adéquats. C’est le risque que nous courons pour les dix prochaines années.

À l’inverse, si nous faisions confiance à la filière industrielle et que nous l’organisions pour qu’elle produise du commun, non seulement nous gagnerions la bataille économique, mais en plus nous produirions du commun. Les Européens font du commun culturel, c’est une de leurs forces, mais il ne faut pas inverser les rôles dans une politique industrielle.

Plutôt que voir les communs comme une solution pour affronter la concurrence des Gafam, je pense qu’il faudrait plutôt remettre tout le monde autour de la table – la puissance publique, les achats publics – et organiser une structuration des communs qui soit une conséquence de cette politique, et non son point de départ. Depuis quelques années, la puissance publique fait du commun. Avez-vous le sentiment que Microsoft est en danger ? Pas vraiment. On en revient à imposer une solution par la force publique. Ce n’est pas le commun qui a fait que les gens ont adopté les solutions, c’est qu’on les leur a imposées. Il faut donc revenir à l’action politique dans ce qu’elle a de meilleur et de plus structurant, pour nous assurer notre avenir.

M. Antoine Duboscq. Une autre manière d’aborder ces sujets revient à s’interroger sur les moyens de réduire cette fameuse dépendance numérique. Nous sommes au pied d’une montagne : on nous assène les chiffres des investissements colossaux réalisés notamment par les Américains, on nous répète sans cesse que nous avons un immense retard en matière de puces vis-à-vis de Taïwan ou de la Chine. Par où prendre le problème ? Notre position est la suivante : tirons le fil là où nous avons un début de solution, là où nous avons un début de filière dans plusieurs domaines.

Certaines filières sont particulièrement stratégiques parce que ce sont des ensembliers. Souvenons-nous de l’époque où l’Europe, et la France en particulier, a su faire émerger des champions. Nous avons tous en tête les grands champions des Trente Glorieuses qui constituent aujourd’hui une grande partie du CAC 40. À chaque fois, sur quels types de secteurs la puissance publique a-t-elle mis le paquet ? Sur des ensembliers, parce qu’ils tirent tout le reste de la filière. Dans le numérique, les hébergeurs sont des ensembliers. Derrière un hébergeur, il y a des centaines de composants logiciels et techniques qui embarquent de l’intelligence française et européenne.

Il y a aussi notre filière, celle des suites numériques. Si nous sommes là, c’est parce que nous sommes des acteurs ensembliers, c’est-à-dire que nous embarquons l’ensemble des composants. Il faut bien distinguer les composants des ensembles. Le Rafale n’est pas fait avec des communs, même si de nombreux éléments qui le composent relèvent de connaissances scientifiques et technologiques partagées, y compris avec des laboratoires chinois ou américains. Certains composants technologiques sont importés, ce qui pose la question de la dépendance, mais c’est un autre sujet.

En choisissant quelques filières sur lesquelles elle décide de flécher concrètement ses achats et sa stratégie, la puissance publique va entraîner l’ensemble de l’écosystème derrière elle. Les suites collaboratives sont importantes à ce titre parce que ce sont des ensembliers. Elles sont également importantes parce qu’elles capturent de la donnée. Nous n’avons pas beaucoup évoqué l’intelligence artificielle jusqu’à présent, mais le sujet de la souveraineté, c’est finalement un autre mot pour dire la liberté, la liberté d’action.

Je pense que la cybersécurité fait partie intégrante de la question de la liberté. Ce que nous faisons de nos données en fait également partie. L’enjeu, c’est aussi l’usage qui est fait de nos données. Les deux endroits névralgiques, les deux goulots d’étranglement par où transitent les données, ce sont les hébergeurs et les suites collaboratives. Ces dernières, qu’il s’agisse de Wimi ou de Microsoft, centralisent dans une organisation les messages instantanés, les visioconférences, les documents, les tableaux et plans de travail, les tâches. Notre métier, en tant qu’éditeur de suites collaboratives, n’est pas d’exploiter ces données ; nous n’y avons pas accès, puisqu’elles appartiennent au client. En revanche, nous sommes tout à fait conscients des enjeux que cela représente. Les suites collaboratives sont une filière stratégique parce que ce sont des ensembliers qui entraînent toute l’industrie et qui produisent les données qui seront ensuite utilisées par l’intelligence artificielle.

Mme Cyrielle Chatelain, rapporteure. Nous sommes tous confrontés au problème du verrouillage technologique, qui a été beaucoup abordé lors de nos auditions. La difficulté du changement tient aux habitudes, qui sont profondément ancrées. Votre idée, si je la simplifie, serait que l’État choisisse un ou plusieurs acteurs afin de créer un effet d’entraînement. Vous espérez que cela permette à ces acteurs de gagner en capacité économique pour ensuite se développer vers le secteur privé et potentiellement à l’étranger. J’imagine que cette question se pose tant pour l’État que pour les collectivités locales. Ai-je bien résumé votre propos ?

Ma deuxième question porte sur vos relations avec les acheteurs publics. J’imagine que vous travaillez avec l’Union des groupements d’achats publics (Ugap) et d’autres centrales d’achat. Vous l’avez dit, il semble que le processus d’achat public ne soit pas toujours le plus fluide, ce qui peut parfois motiver une décision de développement interne. Je souhaiterais donc comprendre vos rapports avec ces acheteurs.

Enfin, concernant l’intelligence artificielle, j’imagine que vous intégrez de plus en plus d’outils d’IA embarqués dans vos solutions. Pourriez-vous nous dire quelles collaborations techniques vous mettez en place sur cet aspect ?

M. Alain Garnier. La position du CSF, qui est aussi la mienne, est claire : l’idée de choisir une seule solution parmi celles du marché ne nous semble pas la meilleure. Nous pensons qu’il ne faut pas passer d’un verrou à un autre. La concurrence a bien des vertus. De plus, les ministères souhaitent parfois disposer de solutions différentes, notamment pour des raisons d’ordre régalien.

Pour gravir une échelle, il faut passer d’un barreau à l’autre. Or nous voulons tout de suite une solution ultime. La proposition du CSF est de faire passer les acteurs qui réalisent entre 5 et 15 millions d’euros de chiffre d’affaires à 50 millions, puis à 100 millions. Ce sont des étapes à franchir. Ce serait, à mon avis, une erreur de ne choisir qu’un seul acteur. Au contraire, jouons le jeu de la concurrence, avec pour arbitre l’État, qui doit imposer aux acteurs des normes d’interopérabilité – c’est d’ailleurs le travail que nous menons au sein du CSF avec le projet Open Interop, qui vise à garantir cette interopérabilité et éviter les frictions.

Vouloir tout de suite un acteur de grande taille est une erreur. Souvenons-nous de l’exemple d’Orange, que l’on est allé chercher parce qu’il fallait immédiatement un gros acteur pour le cloud. Voyez comme cela s’est terminé, alors qu’au même moment OVH, qui était naissant, proposait des solutions intéressantes. On trouvera toujours un gros acteur dans le numérique, mais au risque de choisir une entreprise qui ne sera pas forcément la meilleure pour l’État et qui n’aura pas la même sensibilité ni la même proximité que des acteurs plus modestes vis-à-vis de leurs clients. Whaller, Wimi et Jamespot n’offrent pas les mêmes solutions : réjouissons-nous qu’un ministère choisisse Whaller, un autre Jamespot et un troisième Wimi. Ainsi nous grandirons, ainsi nous franchirons les barreaux de l’échelle un à un, et finalement les champions apparaîtront naturellement.

Pour répondre à votre question sur l’IA, je vais citer un exemple concret. L’année dernière, nous avons racheté une entreprise spécialisée, SafeBrain, pour intégrer de l’IA souveraine dans Jamespot, et offrir ainsi l’équivalent de Microsoft Copilot, ce fameux assistant que tout le monde veut aujourd’hui dans une suite bureautique. Comment avons-nous fait ? En créant de la croissance. Assurer la croissance des acteurs, c’est leur permettre d’enclencher des logiques de build-up, c’est-à-dire des synergies par acquisitions, et ainsi se donner la capacité de faire émerger des champions. Certains croîtront rapidement, d’autres se spécialiseront sur des niches, d’autres encore rachèteront leurs confrères. La concurrence jouera et l’État aura tout à y gagner, avec des prix plus bas et plusieurs fournisseurs face à lui. Encore une fois, choisir un seul acteur est une impasse, et notre présence devant vous, alors que nous sommes des concurrents unis dans un collectif, montre bien que nous sommes convaincus qu’une diversité d’acteurs est bénéfique à tout le monde.

Mme Cyrielle Chatelain, rapporteure. Vous avez mentionné l’interopérabilité, qui est en effet un point clé, d’ailleurs évoqué dans plusieurs auditions. Vous préconisez un modèle présentant plusieurs solutions, pour se prémunir du risque de passer d’une dépendance à une autre. Ma question est la suivante : cela signifierait-il, par exemple, que la suite numérique de l’État, LaSuite, pourrait être interopérable avec vos solutions ? Pourrait-on imaginer que cette suite soit utilisée dans les ministères, mais que d’autres options soient disponibles dans les agences ? En effet, une pluralité d’acteurs permettrait de développer des compétences et des échanges entre l’État acheteur et l’État développeur, afin de garantir la qualité des services.

M. Thomas Fauré. Avant de vous répondre, j’aimerais revenir un instant sur les ensembliers. Depuis très longtemps, je parle, comme mes confrères, de suites collaboratives, mais je crois qu’après avoir entendu les propos de M. Duboscq, je vais changer de vocabulaire. En effet, une suite collaborative est constituée de différents outils : tableur, messagerie, réseau social d’entreprise, etc. Or, précisément, la force de nos entreprises se rapporte à leur capacité à construire des plateformes. Une plateforme n’est pas une simple somme de composants, qui peuvent d’ailleurs être issus des communs numériques. Une plateforme est un ensemble cohérent, offrant à l’utilisateur final une expérience fluide. Ce qui fait de nous, comme l’a montré M. Duboscq, des ensembliers.

J’en viens à LaSuite, qui est opérée par la direction interministérielle du numérique (Dinum). Cette plateforme numérique, assemblée à grand frais, est une somme de composants strictement séparés les uns des autres : une messagerie instantanée, Tchap, un système de transfert de fichiers, France Transfert, un outil de visioconférence, Visio – lequel a été lancé lors d’une conférence de presse qui, je dois le dire, m’a fait un peu mal en tant que contribuable –, un outil de stockage, Fichiers, etc. Mais il n’y a pas de liant entre ces composants.

Je sais que le mot « adversaire » vous a déplu, madame la rapporteure. Certes, l’État, dans son ensemble, n’est pas un adversaire des entrepreneurs. Mais une partie de l’État, en l’occurrence la Dinum, se comporte comme tel, c’est une évidence, et je vais vous le montrer.

Les entrepreneurs, c’est la nation qui travaille. Vous-même, madame la rapporteure, vous n’êtes absolument pas dans l’État, vous êtes députée de la nation. La nation n’est pas un gros mot ; la nation, c’est le peuple. Et l’État non plus n’est pas un gros mot. Vous savez que la souveraineté appartient à la nation.

M. le président Philippe Latombe. Revenons au sujet de nos échanges, s’il vous plait.

M. Thomas Fauré. En imposant LaSuite, la Dinum s’est trouvée vis-à-vis de nous dans une situation de concurrence. Nous avions affaire à des administrations qui nous disaient utiliser LaSuite plutôt que nos solutions parce qu’elles n’avaient pas le choix, d’autant plus que LaSuite est gratuite. C’est une concurrence insupportable.

Toutefois, si la Dinum impose ses composants, elle ne produit pas de plateforme. Concevoir et produire des plateformes, c’est notre métier, mais nous ne fabriquons pas des composants. Whaller propose un outil de visioconférence, BigBlueButton, qui est une brique open source, un commun, et qui fonctionne très bien. Alors que l’État utilise beaucoup BigBlueButton, ainsi qu’un autre outil comparable, Jitsi, voilà que la Dinum se met en tête de créer un troisième outil, Visio. J’ai donc décidé, puisque cela correspondait à une demande de mes clients, d’offrir la possibilité d’intégrer les outils de LaSuite dans Whaller, autrement dit de faire fonctionner Whaller avec Visio comme avec les autres composants conçus par la Dinum.

J’ai évoqué cette possibilité avec la Dinum. On ne m’a pas dit non, mais on m’a expliqué que parmi toute la liste des logiciels de LaSuite, seul Visio serait interconnectable avec d’autres systèmes – ce qui est pour le moins étonnant. Ensuite, on m’a dit que la Dinum n’avait pas pour habitude d’interconnecter les solutions. J’ai donc demandé que l’on me fournisse un serveur de développement pour que nous puissions nous intégrer via des API, comme le font toutes les entreprises privées depuis une dizaine d’années. On m’a répondu que c’était impossible. Conclusion : la Dinum produit une suite numérique qui n’est interconnectable avec aucun système.

Ce n’est pas faute d’avoir entendu, pendant des années, la Dinum nous inviter à travailler avec elle, à intégrer ses communs numériques. Mais la Dinum ne fabrique pas des communs numériques. Au moment où nous nous portons volontaires parce que nos clients sont obligés d’aller vers les solutions de la Dinum, celle-ci nous ferme la porte. Je trouve que c’est un scandale. C’est en ce sens que je parlais de l’État comme un adversaire. Vous comprenez bien que cela ne vise ni tout le monde, ni l’ensemble de l’État, mais c’est rageant. Nous essayons de travailler pour nos clients, et nous en avons beaucoup dans les services publics, qui viennent nous voir parce qu’ils ont conscience de l’importance de la souveraineté numérique. Nombreux sont les acheteurs, à toutes les échelles, qui effectuent un travail remarquable, et à qui l’on impose LaSuite dont certains composants, en outre, ne fonctionnent pas très bien, d’après ce qui m’a été rapporté.

Mme Cyrielle Chatelain, rapporteure. Permettez-moi de revenir un instant sur notre différend. Vous avez le droit de considérer que la Dinum est un concurrent. Mais la formule « l’État, adversaire de la nation » associe deux concepts très larges. Vous avez ensuite précisé qu’il ne s’agissait pas de l’État, mais de la Dinum. Il reste que vous avez posé la nation, c’est-à-dire vous, entrepreneurs, comme adversaire de cette entité. Il me semble que la nation ne peut justement pas se réduire à une somme d’intérêts privés, individuels, qu’ils soient entrepreneuriaux ou économiques. La nation, c’est le peuple dans sa diversité. Notre rôle, en tant qu’élus, est justement de garantir l’intérêt général de la nation au-delà des intérêts particuliers.

Je comprends l’intérêt de développer une filière numérique, qui peut relever de l’intérêt général. Dans ce cadre, poser la question de la cohérence de l’action de l’État est logique. Cependant, que l’État veuille se doter de compétences et d’outils qu’il maîtrise relève aussi de l’intérêt général. Qu’il cherche à se prémunir contre les rachats, qu’il entende maîtriser les compétences de ses outils, et à ce titre dialogue avec les acteurs privés, relève aussi d’un intérêt de souveraineté.

Je ne cherche pas à minimiser votre témoignage, mais à souligner que ces termes, État, nation, intérêt général, ont un sens, notamment dans une instance comme la nôtre. Au-delà de la puissance des mots, nous avons sans doute un désaccord : à mes yeux, le développement de la filière n’a de sens que s’il sert l’intérêt général de la nation. Cela suppose, parfois, de combiner la logique d’un État qui développe ses propres compétences, et la logique de soutien aux acteurs privés. La question est de savoir comment nous arrivons à faire les deux.

M. Antoine Duboscq. L’articulation entre les efforts au sein de l’État, notamment de la Dinum, et le développement de la filière est en effet un sujet délicat, qui le restera tant que certains arbitrages n’auront pas été pris encore plus clairement pour distinguer les rôles. C’est une question de gouvernance : mêler le rôle de régulateur et celui d’opérateur est malsain. Cela conduit aux frustrations qui s’expriment ici. Cela se traduit par des situations où des clients du secteur public, qui avaient commencé à déployer Wimi, ont reçu un coup de fil de la Dinum pour bloquer le processus et imposer leur solution, ou plus exactement leurs composants. Dans ce type de cas, on a vraiment l’impression que l’État joue contre son camp, d’où les sentiments parfois vifs.

Je pense que ce sont des errements qui peuvent se corriger et je crois qu’ils ont commencé à l’être. Nous appelons à une clarification de la gouvernance, et à une définition claire du rôle du régulateur. Il n’est pas possible que le régulateur cherche à favoriser ses propres solutions. Je connais la notion de start-up d’État, et je comprends que pour un haut fonctionnaire, il soit formidable de pouvoir se sentir entrepreneur sur fonds publics, mais ce n’est pas très sain. En même temps, il est tout à fait légitime que l’État développe des composants qui assurent des éléments de souveraineté sur des sujets importants. Simplement, l’articulation entre ces différents rôles doit être clarifiée.

Concernant la politique industrielle, nous sommes tous les trois d’accord pour dire qu’il n’est pas souhaitable de favoriser un seul acteur, comme la France a pu le faire dans le passé, par exemple avec Dassault pour l’aviation militaire. Les stratégies de développement de filière les plus efficaces se concentrent sur les deux ou trois meilleurs acteurs, à l’image de ce qui a été fait, avec un relatif succès, pour les télécommunications mobiles en France avec les trois opérateurs.

Faire émerger deux ou trois acteurs permet d’avoir des plateformes à même de devenir de véritables forces souveraines en Europe à partir d’un seuil de 50 ou 100 millions d’euros de chiffre d’affaires. À partir de 50 millions, une entreprise peut commencer à exporter, à installer une équipe dans un autre pays. Et il existe des pays européens et extra-européens qui sont en quête de souveraineté numérique, étouffés dans la dualité actuelle entre les États-Unis et la Chine. À cet égard, l’Europe et la France ont un rôle à jouer. Acheter un Rafale n’est pas seulement un choix technique, c’est aussi une façon de régler un équilibre de pouvoir. Je pense que nous pouvons faire la même chose avec le numérique. Nous avons les ingénieurs, la base technologique et la recherche et développement, notamment en France qui est à la pointe en Europe.

Pour ce qui est de l’IA, Wimi travaille avec Mistral et avec Delos, qui sont deux belles structures françaises. D’autres entreprises ont fait le choix de l’intégration par acquisition. Chacun poursuit sa stratégie, et je crois que c’est cette diversité qui fait la richesse de notre filière.

M. Alain Garnier. L’Ugap a longtemps reflété le marché. Lorsqu’on ouvrait la page du site internet des achats de logiciels, on voyait un gros logo Microsoft, un gros logo Oracle et un gros logo SAS Institute, et le reste se trouvait dans un fichier Microsoft Excel. L’Ugap est en train de changer clairement de position. Nous travaillons avec le CSF pour modifier non seulement les politiques d’achat, mais aussi le marketing de l’offre, afin que les acheteurs publics ne soient plus dirigés vers les grands acteurs par ce qui relevait d’une forme de publicité fléchée. Un travail est en cours avec la filière pour mettre en tête de gondole les acteurs français qui comptent dans chaque catégorie. Ce changement est une bonne nouvelle.

De manière générale, si certaines choses évoluent dans le bon sens, tout n’est pas aligné, ce qui peut s’avérer frustrant. Régulièrement, nous sommes tout près d’enclencher un mouvement vertueux, et une mauvaise décision intervient, et le lancement du projet étatique sur les suites bureautiques en 2022 en est un exemple. L’Ugap vient de prendre un virage très intéressant, et j’espère que rien ne viendra contrarier cette dynamique.

Les bonnes nouvelles et les facteurs d’espoir ne manquent pas : Scaleway, l’évolution de l’Ugap, le fait même que nous soyons toujours là depuis vingt ans, solides, ayant survécu à Microsoft. En outre, l’IA rebat les cartes et offre de nouvelles opportunités. Dans un moment aussi déterminant, tout le monde doute, Microsoft le premier. Lorsqu’un cataclysme se produit, tout à coup les petits mammifères ont l’avantage, et les dinosaures disparaissent. C’est pourquoi je suis très confiant.

M. le président Philippe Latombe. Sur ces mots, qui font peut-être référence au manifeste récemment publié par Palantir, se termine cette audition. Nous vous remercions, messieurs, d’avoir répondu à nos questions.

* *

Audition, ouverte à la presse, de Mme Hela Ghariani, directrice de la Plateforme des données de santé (Health Data Hub) (mercredi 29 avril 2026)

M. le président Philippe Latombe. Le cycle d’auditions de notre commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France, nous amène à recevoir la nouvelle directrice générale de la Plateforme des données de santé (PDS), Mme Hela Ghariani. Je rappelle qu’au début de nos travaux, nous avions reçu le directeur par intérim de la PDS, M. Laurent Vilbœuf.

Mme Ghariani, je vous remercie d’avoir répondu à notre invitation. Nous avons plusieurs questions à vous poser, mais avant cela, nous souhaitons vous entendre sur votre vision de la PDS et sur vos priorités d’action. Nous souhaitons également faire le point sur le projet de migration des données de santé vers une solution d’hébergement souveraine, qui sera bientôt une réalité.

Avant de vous céder la parole, je vous demande de déclarer au préalable tout intérêt public ou privé de nature à influer sur vos déclarations. Je rappelle également que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission de prêter le serment de dire la vérité, toute la vérité, rien que la vérité.

(Mme Hela Ghariani prête serment).

Mme Hela Ghariani, directrice générale de la Plateforme des données de santé. Je me présente devant vous en tant que nouvelle directrice générale de la Plateforme des données de santé. J’ai pris mes fonctions il y a tout juste deux semaines. Auparavant, j’étais responsable de la délégation ministérielle au numérique en santé, où j’ai notamment porté, aux côtés de nos collègues de l’assurance maladie, la mise en place de Mon espace santé, le carnet de santé numérique des Français, un service public souverain, universel et gratuit, qui permet à chacun d’avoir la main sur ses données les plus sensibles. Avant cela, j’ai travaillé sous la direction d’Henri Verdier, que vous avez auditionné, à la mise en œuvre du programme beta.gouv.fr, qui a été l’un des premiers espaces dans lesquels nous avons internalisé des compétences numériques au cœur des services publics.

Je pense que vous m’interrogerez, au cours de cette audition, sur notre choix de retenir un hébergeur français, Scaleway, pour la PDS. Ce choix est avant tout le résultat d’un travail engagé dès 2019, destiné, d’une part, à garantir techniquement la réversibilité de la plateforme, c’est-à-dire notre capacité effective à changer d’hébergeur, et, d’autre part, à suivre assidûment l’évolution de l’offre de cloud française et européenne.

La PDS a pour vocation de permettre à des centaines, et je l’espère un jour à des milliers, d’acteurs d’accéder selon des standards de sécurité très élevés à des espaces de travail élastiques, c’est-à-dire capables de s’adapter à leurs besoins pour traiter des volumes massifs de données intrinsèquement sensibles. Pour réaliser cette mission, nous devons disposer d’une architecture technique avec un niveau d’exigence très élevé en termes d’élasticité et de sécurité.

Le choix dont nous allons discuter aujourd’hui est en réalité la rencontre entre ces besoins, particulièrement exigeants, et la maturité de l’offre aujourd’hui disponible. Nous avons annoncé notre choix la semaine dernière, mais je tiens à remercier l’ensemble des fournisseurs de cloud qui ont participé à la démarche et qui ont fait preuve d’un niveau d’engagement à la hauteur de nos attentes, permettant de créer les conditions d’un travail serein et de grande qualité. Si vous avez des questions sur le détail de ces offres, je me permettrai de vous adresser mes réponses par écrit, car un certain nombre d’informations sont couvertes par le secret des affaires.

La Plateforme des données de santé est devenue un projet emblématique des questions de souveraineté liées à l’hébergement et au cloud, et nous en sommes parfaitement conscients. Mais notre mission est avant tout de permettre aux acteurs qui préparent l’avenir de notre système de santé de travailler dans les meilleures conditions, de concevoir des projets, des études, des évaluations et des thérapies sur la base de données qui ressemblent à nos populations et qui nous appartiennent. Si nous contribuons humblement aux enjeux de souveraineté numérique, j’espère que nous contribuerons aussi activement à poser les bases d’une souveraineté sanitaire, dans le contexte de l’arrivée du règlement relatif à l’espace européen des données de santé (EHDS).

M. le président Philippe Latombe. Pourriez-vous préciser le calendrier prévu pour la migration, avec la marge d’incertitude inhérente à un projet informatique ? Cette intégration se fera-t-elle uniquement sur des ressources propres, de votre part et de celles du prestataire, ou bien comptez-vous recourir à un intégrateur ? Si oui, s’agira-t-il de celui qui était déjà présent au sein de la plateforme, à savoir Capgemini ?

Mme Hela Ghariani. Nous avons prévu de construire les infrastructures nécessaires pour héberger la base principale des données de remboursement de l’assurance maladie, d’ici la fin de l’année 2026 ou le début de l’année 2027. Ce rétroplanning intègre des enjeux réglementaires importants, notamment l’audit de la sécurité des systèmes d’information (Passi), et la demande d’autorisation auprès de la Commission nationale de l’informatique et des libertés (Cnil) pour opérer la copie de la base principale du système national des données de santé (SNDS).

Le projet sera mené essentiellement par des équipes internes à la PDS. Nous avons demandé aux acteurs qui ont participé à la procédure de nous présenter des propositions d’accompagnement. L’offre que nous avons retenue, celle de Scaleway, prévoit la mobilisation de deux de leurs experts qui seront accueillis en immersion chez nous le temps du développement. Il n’y a pas d’intégrateur tiers prévu dans le projet. Je tiens toutefois à indiquer qu’une partie des équipes de développement de la plateforme sont des prestataires externes, mais il s’agit généralement de freelances qui interviennent directement au sein de notre équipe.

Mme Cyrielle Chatelain, rapporteure. Vous l’avez souligné, la Plateforme des données de santé est devenue un objet emblématique de la question de la souveraineté. Vous avez également indiqué que la PDS avait suivi l’évolution de l’offre de cloud. Quels sont les éléments déterminants dans l’évolution de cette offre, au-delà de la volonté politique, qui vous ont conduit à choisir une offre française ?

Mme Hela Ghariani. Il convient dans un premier temps de rappeler la nature de nos besoins. Nous avons une architecture nativement sécurisée, pour laquelle nous avons choisi des mécanismes de défense en profondeur. Cela signifie que pour chaque risque de sécurité susceptible de compromettre l’intégrité et la disponibilité de nos données, nous avons une, deux, voire trois mesures de sécurité. Cette stratégie s’appuie sur des services cloud et des options de configuration exigeants, ce qui explique notre capacité à offrir des conditions de sécurité très poussées.

Ce niveau d’exigence a été régulièrement mesuré au regard de la disponibilité des offres. La PDS avait établi un rapport dès 2019, renouvelé en 2020, puis une nouvelle étude en 2022. J’ai moi-même participé au suivi d’une étude menée en 2023 à la demande de la Cnil sur le projet EMC2, et plus récemment à l’analyse des offres. Ce que j’ai pu observer, notamment entre 2023 et ce nouvel exercice de comparaison, c’est d’abord l’apparition de nouvelles offres sur le marché, mais aussi, au sein de ces offres, de nouvelles fonctionnalités. Je pense à la gestion des identités et des accès, aux systèmes de gestion des clés et de chiffrement, ou encore à la brique Kubernetes, qui était pour nous un élément très attendu. Ces options sont aujourd’hui disponibles et présentent des niveaux de service et de configuration qui nous permettent de mettre en œuvre notre stratégie de défense en profondeur.

Nous avons passé plus de vingt-huit heures en audition avec les huit fournisseurs de cloud qui ont bien voulu nous présenter une offre depuis le mois de février. Eux-mêmes ont constaté, lors de ces auditions, une évolution certaine de l’offre disponible qui nous permet aujourd’hui d’amorcer cette bascule. Nous avons adressé aux fournisseurs un cahier d’exigences très fourni, comportant plus de 350 points. Aucune des offres ne satisfaisait l’intégralité de ces exigences, ce qui montre le niveau de notre cahier des charges. Néanmoins, nous avons collectivement estimé – je dis « collectivement » car nous étions accompagnés par des collègues de l’Institut national de recherche en sciences et technologies du numérique (Inria), de la direction interministérielle du numérique (Dinum) et du ministère de la santé – que, malgré les fonctionnalités manquantes, nous étions capables de mettre en place avec le partenaire retenu des mesures de contournement raisonnables en termes de délai et de sécurité.

Mme Cyrielle Chatelain, rapporteure. Je retiens de votre propos que, même si aucune offre ne répondait aux 350 exigences, les huit offres que vous avez étudiées étaient globalement solides.

Avez-vous une idée du coût de la migration ? Le recours à une offre française entraîne-t-il un surcoût par rapport à une solution non souveraine ?

Mme Hela Ghariani. Concernant le coût de la migration, l’essentiel des travaux relève du développement, qui sera en grande partie à la charge de la PDS. Il s’agit donc simplement d’une question de priorisation de nos ressources de développement internes, et on peut dire qu’il n’y a pas de surcoût entraîné par la migration en tant que telle.

Néanmoins, il convient de garder à l’esprit que, dans notre stratégie, nous serons amenés à maintenir notre infrastructure actuelle, hébergée chez Microsoft Azure, pendant douze à dix-huit mois. En effet, plus de 250 projets y sont hébergés, et il n’est pas question de les arrêter tant que la nouvelle infrastructure n’est pas capable de les accueillir. Le surcoût est donc plutôt lié à cette période de transition, durant laquelle nous opérerons deux plateformes simultanément.

Nous vous transmettrons par écrit le détail des offres financières. L’offre que nous avons retenue faisait partie des moins chères. Pour autant, cela ne nous permet pas d’établir qu’elle nous coûtera moins cher sur le long terme. Quand on fait les simulations, sur un modèle où l’on paie à la consommation (« pay as you go »), nous ne devrions pas avoir de différence substantielle d’un point de vue financier. Toutefois, nous n’en sommes qu’au début des échanges techniques avec le partenaire retenu et nous ne sommes pas encore entrés dans les subtilités des mécanismes de réservation de capacité. Nous pourrons donc établir un bilan financier plus précis dans un second temps.

M. le président Philippe Latombe. Concernant la copie du SNDS, vous comptez demander la rédaction et la prise d’un décret uniquement à la fin du processus. Aujourd’hui, la Cnil conserve son rôle d’autorisation des recherches. Il a été envisagé, à un moment, de ne plus avoir à passer par le filtre de la Cnil. Le fait de basculer vers une solution souveraine, répondant ainsi à la demande formulée par la Cnil, signifie-t-il pour vous que nous pourrons évoluer vers un système ne nécessitant plus le recours à son avis préalable ?

Ma deuxième question porte sur l’espace européen des données de santé. Le choix, très significatif, de retenir un fournisseur de cloud français, permettant ainsi de solder une partie des difficultés passées, pourrait-il constituer un signal envoyé à l’Union européenne ? Comment comptez-vous promouvoir ce choix stratégique français au niveau européen ? Je note que, le jour même où la PDS a annoncé son choix de confier l’hébergement à Scaleway, cela ne vous a pas échappé, l’Union européenne annonçait que parmi les quatre fournisseurs de cloud qu’elle retenait pour accompagner les agences de la Commission européenne, figurait ce même acteur. Mon propos n’est pas de vous inciter à promouvoir la même solution, naturellement, mais ce mouvement commence à trouver des échos en Europe. Pensez-vous que l’espace européen des données de santé permettra d’éviter les mêmes errements que nous avons connus autour de la PDS, et de s’orienter directement vers une solution souveraine européenne ?

Mme Hela Ghariani. Concernant l’impact de notre projet de bascule sur le rôle réglementaire de la Cnil dans l’autorisation des projets, il convient de rappeler que notre objectif est de récupérer une copie de la base principale des données de l’assurance maladie afin d’accélérer la mise à disposition des données dans des bulles sécurisées. Cependant, toute la phase réglementaire en amont, c’est-à-dire l’avis de la Cnil et celui du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (Cesrees), ne sera pas affectée par la bascule. En d’autres termes, un projet s’appuyant sur les données du SNDS devra toujours prouver son respect de l’intérêt public après avis du Cesrees, et sa conformité au règlement général sur la protection des données (RGPD) après avis de la Cnil. Ainsi, la récupération d’une copie de la base principale ne déroge en rien au cadre réglementaire existant.

En revanche, et je tiens à saluer le travail des équipes de l’assurance maladie qui opèrent un portail de gestion des demandes d’accès depuis 2019, cette bascule permettra à nos équipes, qui préparent aujourd’hui l’appariement et les jeux de données, de le faire dans les conditions offertes par notre plateforme technologique, plutôt que d’avoir à envoyer des codes à l’assurance maladie pour que celle-ci réalise les extractions. C’est donc toute cette phase, en aval du processus réglementaire, que nous ambitionnons d’accélérer.

Le règlement européen prévoit de généraliser partout en Europe le régime des permis, qui est très calqué sur le modèle français. Il nous incombe donc désormais, en associant les parlementaires, de définir par la loi un processus d’accès aux données de santé qui soit à la fois simple pour les porteurs de projets, afin d’accélérer la recherche et l’innovation, tout en garantissant les droits des personnes et les libertés individuelles.

Dans ce contexte, le rôle de la PDS sera de mettre à disposition les infrastructures techniques et de faciliter la recherche des données d’intérêt via son catalogue des métadonnées. Pour ce qui est du régime des autorisations, des permis, des contrôles et des audits, je pense que ce travail se fera en lien étroit avec la Cnil. C’est cette répartition des missions au sein de l’organisme responsable de l’accès aux données (Orad) que nous devons encore définir, puis entériner par la loi.

Pour en venir à votre question sur les modalités de sécurisation de l’hébergement des données prévues par le règlement européen, je peux vous dire qu’en 2021-2022, lorsque nous abordions ces questions avec nos homologues européens, nos préoccupations recevaient un faible écho. Je me souviens avoir bataillé pour que des exigences sur l’hébergement des données par les Orad soient inscrites dans le règlement, et que tous les Health Data Hubs européens soient soumis à un même niveau d’exigence.

Nous avons réussi, avec le soutien de quelques États membres, à obtenir que les données soient hébergées sur le territoire européen, ce qui constituait une victoire symbolique. En revanche, nous n’avons pas réussi à obtenir un équivalent de ce que prévoit la loi visant à sécuriser et à réguler l’espace numérique, dite loi Sren, avec des exigences de cloud spécifiques. Aujourd’hui, le règlement impose que tous les acteurs chargés de l’accès aux données veillent à ce que celles-ci soient hébergées sur le territoire européen. Il prévoit une dérogation permettant à certains États d’héberger ces données chez des acteurs dépendants de législations étrangères disposant d’une décision d’adéquation avec le RGPD, ce que la France ne fera pas, la loi Sren ayant déjà fixé notre cadre. Le règlement établit donc un socle, la localisation, mais ne nous interdit pas d’être plus exigeants.

Enfin, des exigences de sécurité supplémentaires doivent encore être affinées avec les États membres, et il ne nous sera bien évidemment pas interdit de pousser pour élargir au maximum ce niveau d’exigence. Vous pouvez compter sur moi pour le faire.

M. le président Philippe Latombe. Comment concilier les exigences françaises très élevées, issues de la loi Sren et d’une décision du Parlement, avec la nécessité de mutualiser des données avec des pays qui n’appliqueront que le socle minimum, à savoir la localisation ? Un conflit de normes apparaîtra sur ce sujet. Comment le gérerez-vous ? Vous allez devoir partager des données avec la Hongrie ou d’autres pays qui auront choisi de n’utiliser que le socle minimum, alors que la loi Sren vous interdit de transférer les données de nos concitoyens vers des solutions qui ne sont pas certifiées SecNumCloud.

Mme Hela Ghariani. Je pense qu’une jurisprudence devra s’établir. Dans les discussions que nous avons aujourd’hui avec les autorités nationales dans le cadre de la mise en œuvre du règlement européen, il est évident que l’Orad français devra indiquer qu’il ne souhaite pas partager de données avec des acteurs dont les niveaux d’exigence sont inférieurs aux siens. Je pense qu’il y aura des recours contre ces décisions et qu’une jurisprudence se constituera avec le temps. Cependant, il nous reste une fenêtre de négociation : les actes d’exécution qui, comme je le disais, fixeront les exigences de sécurité applicables aux conditions d’hébergement. Je pense que, dans ce cadre, nous pourrons établir que des États ayant choisi des niveaux de sécurisation supérieurs seront en droit de refuser d’envoyer des données à des États dont les niveaux d’exigence sont inférieurs.

M. le président Philippe Latombe. Avez-vous une idée du calendrier de publication de ces actes d’exécution ?

Mme Hela Ghariani. Pour le moment, la Commission européenne annonce un calendrier qui nous amène jusqu’à la mi-2027. Ces sujets sont donc en cours de discussion. Nous ne sommes pas encore entrés dans le détail des exigences de sécurité, mais nous commençons déjà à discuter avec la Commission des actes d’exécution portant, par exemple, sur le contenu des demandes de permis et d’accès.

Mme Cyrielle Chatelain, rapporteure. La Plateforme des données de santé, vous l’avez dit, recense un grand nombre de données de santé, ce qui lui confère une expertise sur leur caractère sensible. Nous savons qu’il existe également des acteurs privés. Pouvez-vous nous dire si, pour vous, les données de santé présentent une sensibilité particulière ? Dans votre approche, distinguez-vous différents niveaux de sensibilité ou considérez-vous que toute donnée de santé est, par nature, sensible ?

Mme Hela Ghariani. J’ai passé les six dernières années de ma vie à traiter des données de santé à caractère personnel et, à mon sens, elles sont particulièrement sensibles. L’une des raisons pour lesquelles j’ai choisi de m’investir sur ces questions est que je considère qu’elles représentent une forme de dernière frontière. Leur caractère particulièrement sensible nous permet de prévoir un cadre distinct de celui qui s’applique aux autres données personnelles – cadre qui est certes très bien encadré par le RGPD, mais sur lequel on observe une forme de cannibalisation par les géants du numérique extracommunautaires.

Sur les données de santé, nous conservons une sorte de pré carré. Si l’on regarde les données de santé utilisées dans le contexte du soin, on constate que beaucoup d’acteurs européens sont encore présents sur ces marchés. Cela fait partie, à mon sens, des derniers espaces sur lesquels nous pouvons exercer une forme de souveraineté réelle, c’est-à-dire disposer des moyens de garantir à la fois la sécurité et l’usage de ces données pour la pérennité de notre système de sécurité sociale et de nos systèmes de santé européens.

Les données de santé pseudonymisées et anonymisées destinées à un usage secondaire restent, à mon sens, tout aussi sensibles, ne serait-ce que parce que, dans le contexte de la PDS, nous parlons de données massives. Autant l’opinion est malheureusement de plus en plus habituée aux cyberattaques, autant je pense qu’il ne faut pas s’y accoutumer. Nous devons continuer à nous indigner et à considérer qu’il est inacceptable que ces données soient utilisées à d’autres fins que celles autorisées et encadrées par la loi.

L’une des missions de la PDS est de garantir cette sécurité, depuis les phases de pseudonymisation jusqu’à la vérification des finalités d’usage. Je pense notamment, en tant que secrétaire du Cesrees, à la nécessité de s’assurer que la finalité d’intérêt public soit toujours vérifiée au moment où l’on autorise l’usage de ces données.

M. le président Philippe Latombe. Votre réponse me permet d’évoquer un arrêt récent de la Cour de justice de l’Union européenne, qui considère que les données personnelles anonymisées et transférées à un tiers ne sont plus personnelles. Cette définition a été reprise par la Commission européenne dans son projet Omnibus. Quel regard portez-vous sur cette nouvelle définition et qu’est-ce que cela pourrait changer concrètement en termes d’obligation pour la plateforme qui, en France, est soumise à la loi Sren ? Je rappelle que d’après cette loi, les données, même pseudonymisées, restent des données personnelles et donc d’une sensibilité particulière.

Mme Hela Ghariani. Le ruissellement de cette décision n’impacte pas encore nos activités ni le cadre légal qui les encadre. Pour le moment, la situation reste inchangée. À la PDS, nous avons commencé à travailler avec les acteurs de l’écosystème sur la notion de données synthétiques. Nous considérons que, dans le champ de la santé, il serait préférable d’établir des méthodologies scientifiques nous permettant de garantir la production de jeux de données parfaitement anonymisés car synthétiques, c’est-à-dire ne reflétant aucune situation individuelle réelle. Nous pensons que cette approche nous protégera bien plus que de considérer que les données pseudonymisées et anonymisées ne sont pas retraçables. Il nous semble préférable de travailler à la généralisation de l’usage des données synthétiques plutôt que d’essayer d’alléger le cadre réglementaire qui encadre les données qui ont été personnelles à un moment de leur cycle de vie.

M. le président Philippe Latombe. Un acteur français, Doctolib pour ne pas le nommer, a accès à une quantité très importante de données de santé. L’hébergement de ces données est certifié Hébergeur de données de santé (HDS), alors que vous êtes soumis à la certification SecNumCloud, comme la loi vous l’impose.

Une convergence entre HDS et SecNumCloud est-elle, selon vous, nécessaire ? Si oui, comment y parvenir ? La plupart des personnes que nous avons interrogées nous disent qu’imposer SecNumCloud immédiatement nuirait à la capacité à héberger des données de santé. Comment peut-on continuer à expliquer à nos compatriotes qu’il existe une telle divergence dans la sécurisation des données, avec d’un côté HDS et de l’autre SecNumCloud ?

Mme Hela Ghariani. L’hébergement des données de santé constitue l’un des premiers actes de régulation de l’hébergement de données sensibles dans l’histoire du droit numérique français. Les questions qui se posaient à l’époque n’étaient pas les mêmes qu’aujourd’hui. L’accent était mis sur la qualité et la sécurité des mécanismes liés à la gestion de l’hébergement et aux fonctions de cloud, davantage que sur les questions de souveraineté, au sens de la nationalité des entreprises qui assurent ces services. Cet historique explique qu’aujourd’hui, nous comptions 302 acteurs certifiés HDS, contre seulement neuf acteurs, sauf erreur, certifiés SecNumCloud. Il serait donc compliqué, sur le plan industriel, d’établir une correspondance immédiate entre HDS et SecNumCloud.

Néanmoins, lors de la dernière révision du référentiel HDS, qui date de 2023 ou 2024, il a été établi dans le préambule de l’arrêté, qui est public, qu’une nouvelle révision devrait certainement avoir lieu en 2027. Cette échéance tient compte des discussions européennes sur la certification européenne de cybersécurité pour les services cloud (EUCS), discussions qui ont connu des avancées plus ou moins heureuses. Dans le cadre de mes précédentes fonctions, j’ai pu échanger sur ces questions avec les collègues du ministère de l’économie et des finances, qui suivent ces discussions à l’échelle européenne, afin d’établir une trajectoire industrielle lisible pour les acteurs du cloud.

Des paliers ont été définis, comme l’obligation d’inscrire de manière systématique dans les contrats des hébergeurs HDS la transparence sur leur exposition à des lois extracommunautaires, et de rendre cette information publique sur le site de l’Agence du numérique en santé (ANS), qui liste l’ensemble des 302 hébergeurs de données de santé. Je sais que cette transparence ne suffit pas, mais elle envoie un signal aux acteurs qui produisent et achètent ces services. À titre personnel, j’estime que la convergence entre la certification HDS et SecNumCloud doit relever d’une décision industrielle prise avec mesure.

Mme Cyrielle Chatelain, rapporteure. Sur les 302 acteurs certifiés HDS, avez-vous une idée, même approximative, du nombre d’entre eux qui sont soumis à des lois extraterritoriales ? Il nous a été rapporté que la certification SecNumCloud comporte un volet de protection contre les lois extraterritoriales, mais aussi des volets de protection physique très étendus. Envisager un SecNumCloud légèrement moins strict en termes de protection physique, maximale dans le référentiel actuel, mais davantage exigeant sur la protection contre les lois extraterritoriales, constituerait-il une approche plus progressive pour les industriels ?

Mme Hela Ghariani. J’entends l’idée de créer une forme de gradation entre le référentiel HDS actuel et SecNumCloud. En toute sincérité, je n’ai pas d’opinion arrêtée sur la question. Je pense que les collègues de l’Agence nationale de la sécurité des systèmes d’information (Anssi), du ministère de la santé et bien sûr de la direction générale des entreprises (DGE) ont très certainement un avis beaucoup plus éclairé que le mien sur le sujet.

Je ne suis pas en mesure de vous dire aujourd’hui combien des 302 acteurs sont soumis à des lois extraterritoriales. Cependant, avec l’entrée en vigueur de la nouvelle version du référentiel, tous les acteurs certifiés HDS devront le déclarer. Nous pourrons donc à terme en établir un diagnostic clair, et cette information sera publique.

Enfin, nous avons établi une forme de correspondance entre HDS et SecNumCloud, en annexe du référentiel, pour bien identifier les exigences communes et distinctes, et ainsi mesurer précisément les écarts. C’est à partir de là que nous pourrons établir une sorte d’éventail des options de sécurité.

M. le président Philippe Latombe. Avez-vous une idée du budget que la PDS va consacrer à la cybersécurité ? Les fuites de données irritent beaucoup nos concitoyens et posent une question de confiance vis-à-vis de l’État.

Mme Hela Ghariani. La PDS a retenu une stratégie d’architecture de défense en profondeur. Par conséquent, toutes nos dépenses liées au développement de notre plateforme et à son maintien en condition de sécurité sont pour nous des dépenses de cybersécurité, même si notre comptabilité analytique ne les étiquette pas comme telles.

En revanche, nous aurons des dépenses spécifiques. Dans le cadre de l’audit Passi pour obtenir l’homologation SNDS, nous devrons réaliser un test d’intrusion. Ce sera très clairement une des dépenses à réaliser au cours de l’année 2026 pour vérifier le niveau de sécurité de l’infrastructure de Scaleway. De plus, nous allons provisionner, l’année prochaine, des crédits pour organiser des exercices de crise en situation réelle afin de nous préparer à différents scénarios d’attaques et de fuites possibles. Si nous avons bien appris quelque chose dans le secteur de la cybersécurité, c’est que la meilleure manière d’éviter une attaque, au-delà de toutes les actions de prévention, c’est aussi d’être prêt le jour où elle survient, afin de limiter le niveau de divulgation, de diffusion et de compromission des données que nous gérons.

M. le président Philippe Latombe. Nous arrivons au terme de cette audition. Nous vous remercions, madame Ghariani, d’avoir fait le point sur le calendrier et les perspectives de la Plateforme des données de santé.

* *

Audition conjointe, ouverte à la presse, de MM. Laurent Choukroun, directeur général d’Oreus et Julien Lescoulié, directeur technique, et M. Charles-Antoine Beyney, directeur général de DataOne (mercredi 29 avril 2026)

M. le président Philippe Latombe. Dans le cadre des travaux de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France, nous recevons deux jeunes sociétés, Oreus et DataOne, créées toutes deux en 2024. Je remercie M. Laurent Choukroun, président-directeur général d’Oreus et M. Julien Lescoulié, directeur technique, ainsi que M. Charles-Antoine Beyney, directeur général de DataOne, de s’être rendus disponibles pour cette audition.

Avant de vous céder la parole, messieurs, pour un propos liminaire qui vous permettra de présenter vos sociétés, je vous demande de déclarer au préalable tout intérêt public ou privé de nature à influer sur vos déclarations. Je rappelle également que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission de prêter le serment de dire la vérité, toute la vérité, rien que la vérité.

(MM. Laurent Choukroun, Julien Lescoulié et Charles-Antoine Beyney prêtent serment).

M. Charles-Antoine Beyney, directeur général de DataOne. Je suis le fondateur de DataOne, qui fait partie d’un groupe plus large nommé BSO, dont je suis également le fondateur et l’ancien président. BSO est un groupe de connectivité, qui relie aujourd’hui environ 350 data centers dans le monde, sur tous les continents. Nous fournissons près de 650 clients et assurons environ 70 % des échanges financiers mondiaux. Vous ne nous connaissez peut-être pas, mais vous connaissez nos clients : BNP, Société Générale, Goldman Sachs, etc. Ils recourent à nos services pour faire transiter leurs informations financières.

BSO utilise bien sûr de la capacité dans les data centers, et nous avons créé DataOne en 2024 en procédant à l’acquisition de deux sites dans l’Isère, à Eybens et Villefontaine, qui appartenaient auparavant à DXC Technology. Nous avons acquis ces sites pour y développer ce que nous appelons des usines d’intelligence artificielle. Nous avons pour ambition de poursuivre le développement de notre groupe, en priorité à l’échelle nationale, mais aussi à l’étranger. Nous développons d’ailleurs des data centers bien plus importants aux États-Unis pour le compte d’une entreprise, Nebius, qui a pour client Microsoft. Nebius est un néo-cloud européen coté au Nasdaq, mais dont le siège se trouve à Amsterdam.

DataOne emploie un peu plus de 600 personnes dans le monde, et nous devrions atteindre environ mille personnes dans les quatre à cinq prochains mois, pour un chiffre d’affaires qui excède 200 millions de dollars. Notre entreprise est aujourd’hui détenue à 100 % par des capitaux européens. Nos financements proviennent essentiellement de France, de la société de capital-investissement Ardian, de nos fonds propres et de ceux de nos clients.

M. Laurent Choukroun, président-directeur général d’Oreus. Je suis un entrepreneur engagé depuis plus de vingt ans, convaincu que la France dispose de tous les atouts pour relever le défi historique de la souveraineté. Mon parcours m’a appris que notre pays ne manque ni de talents ni d’idées, mais parfois lui manque la volonté collective nécessaire pour transformer ces atouts en force motrice. Je suis ici en tant que PDG d’Oreus. Je ne suis ni technicien ni ingénieur, ni l’un des brillants experts en mathématiques ou en algorithmes que vous avez pu entendre au cours de vos auditions. Je suis ce que l’on appelle un entrepreneur social, dont le métier est de créer les conditions pour que la jeunesse puisse révéler ses talents.

Il y a près de vingt ans, j’ai fondé une association, Synergie Family, dédiée à l’éducation, à la petite enfance, à la jeunesse et à l’égalité des chances. Puis, en 2020, avec la Banque des territoires, l’Agence nationale pour la rénovation urbaine (Anru), des fonds à impact et des entrepreneurs engagés, nous avons acheté les locaux historiques de Ricard à Marseille, plus de 20 000 mètres carrés dédiés à l’éducation, à l’innovation et à l’attractivité d’un territoire trop souvent délaissé. Ce lieu a été conçu pour faire se rencontrer des mondes qui n’en avaient pas l’habitude : l’économie, l’innovation, la jeunesse, la formation et l’inclusion. Grâce à ce projet et aux cinquante structures qui s’y sont installées, des milliers de jeunes ont pu être accompagnés vers une formation et un emploi, notamment dans le cadre des plans d’investissement dans les compétences.

Parmi ces structures, une digital factory, Dev-id, créée par Julien Lescoulié, illustre parfaitement cette dynamique. Convaincus que le métier de développeur relève davantage de l’artisanat que de l’ingénierie, ses créateurs se sont inspirés du compagnonnage pour former les talents de demain. Résultat, Dev-id est devenue l’une des pépites de l’innovation française, dont les réalisations ont reçu de nombreux prix, notamment au Consumer Electronics Show de Las Vegas. Ses clients, autrefois des start-up, sont aujourd’hui également des TPE, des PME, et même des grands groupes du CAC40.

En février 2024, lors du sommet pour l’action sur l’intelligence artificielle de Paris, une évidence s’est imposée à nous : le développement de l’IA est un enjeu de souveraineté industrielle, défensive, sanitaire et éducative. Pourtant, il reste concentré entre les mains d’une élite financière, intellectuelle ou technologique, éloignée du tissu économique réel et surtout des publics que nous accompagnons. Si nous, entrepreneurs français, ne nous en emparons pas, notre énergie servira de nouveau à alimenter une IA fabriquée ailleurs, et nous augmenterons encore notre dépendance technologique. C’est pourquoi nous avons décidé de porter une voie, la nôtre : Oreus. Notre vision est de proposer une offre de service souveraine, de l’infrastructure jusqu’à l’utilisateur final. Pour y parvenir, nous nous sommes associés à un collectif d’entrepreneurs, et j’aurai l’occasion de détailler notre projet au fil de nos échanges.

M. le président Philippe Latombe. Qu’en est-il de l’actionnariat d’Oreus ? Quelles nationalités sont représentées autour de la table ?

M. Laurent Choukroun. L’actionnariat est 100 % français, et je dirais même 100 % marseillais.

M. le président Philippe Latombe. Monsieur Beyney, vous avez parlé de Nebius, une société cotée au Nasdaq dont le siège social est situé à Amsterdam. Avez-vous effectué une étude sur sa soumission aux règles extraterritoriales américaines, qui peuvent s’appliquer aux entreprises cotées en dollars ? Je fais le lien avec nos précédentes auditions sur l’extraterritorialité du droit américain pour les entreprises ayant des activités en dollars. Comment Nebius pourrait-il s’en affranchir ?

M. Charles-Antoine Beyney. Nous n’avons pas fait d’étude particulière à ce sujet, car cela n’est pas nécessaire. Nebius est notre client aux États-Unis, donc nous sommes forcément payés en dollars. Mais nous ne sommes en rien soumis au droit américain, puisque DataOne est un groupe européen. DataOne est un fournisseur d’infrastructures. Cela signifie que nous fournissons des électrons, de l’eau refroidie et que nous sécurisons l’aspect physique de l’accès aux données ou aux processeurs graphiques (Graphics Processing Unit, GPU). Notre rôle s’arrête là. Tout ce qui entre dans le rack informatique – les serveurs, les GPU et donc les données – relève de la responsabilité de nos clients, que ce soit Core42 en France, DXC Technology ou Nebius aux États-Unis. De fait, nous fournissons un service critique avec des niveaux de service (SLA) qui nous obligent à garantir une disponibilité proche de 100 % chaque mois, sous peine de pénalités financières. C’est le métier classique d’un hébergeur informatique. Par conséquent, je n’ai pas à satisfaire le Patriot Act ni à subir une quelconque forme d’ingérence étrangère.

M. le président Philippe Latombe. Dans cette infrastructure que vous possédez et que vous opérez, y a-t-il des éléments de réseau de type chinois ou américain ? Je pose cette question car les Américains viennent d’interdire l’acquisition de routeurs chinois, tandis que leurs homologues chinois ont fait de même avec des puces et des systèmes de télécommunication américains. Comment cela fonctionne-t-il chez vous, notamment sur le cross-connect ?

M. Charles-Antoine Beyney. Pour des raisons de confidentialité et de sécurité, vous me permettrez de ne pas divulguer les marques de nos équipements. Avant même de parler des interfaces réseau, commençons par les équipements physiques de nos data centers. Pour le système de contrôle d’accès, nous utilisons des équipements sud-coréens. Nos caméras, elles, sont européennes et fonctionnent avec des logiciels européens et américains. Le système de contrôle d’accès et les caméras sont deux équipements physiques indispensables pour lesquels il convient d’être vigilant, et nous savons qu’a priori, il n’y a pas de backdoor sur ce matériel. BSO utilise des équipementiers américains pour ses équipements réseau. Il faut savoir que plusieurs opérateurs sont présents sur nos sites, pas seulement BSO. On y trouve par exemple Verizon et Comcast aux États-Unis, et en France, la quasi-totalité des opérateurs comme Orange ou SFR peuvent nous connecter.

M. le président Philippe Latombe. Les équipementiers américains ont été inclus dans la section 702 du Foreign Intelligence Surveillance Act (Fisa) par la provision 504 lors de son renouvellement temporaire. Cela ne vous amène-t-il pas à penser que vous n’êtes pas immunisé contre l’extraterritorialité du droit américain ? Celle-ci pourrait s’exercer non pas par une réquisition de votre fait, mais par une réquisition auprès de votre fournisseur de matériel. Comment vous assurez-vous que ce fournisseur ne permet pas l’exfiltration de données ?

M. Charles-Antoine Beyney. Monsieur le président, je vais vous répondre très franchement : je ne sais même pas de quoi vous me parlez. Je suis désolé de le dire ainsi, mais je ne connais pas ces directives ni ces textes.

M. le président Philippe Latombe. Peut-être que vos collaborateurs pourront nous apporter des réponses sur ce point, par écrit.

M. Julien Lescoulié, directeur technique d’Oreus. Dans le cadre de l’entraînement de l’IA, les données ne transitent pas forcément par ce type de réseaux. La connexion internet sert par exemple pour l’inférence ou pour des logiques de génération à enrichissement contextuel (RAG). Cependant, pour le traitement, les données sont hébergées au plus près des GPU, directement sur les machines, sans transit réseau. Il ne peut donc pas y avoir d’exfiltration de données par ce genre de procédés. C’est une particularité de l’IA : on rapproche la donnée du GPU pour son traitement.

M. le président Philippe Latombe. Cela signifie que vos clients injectent les données directement dans les serveurs, et seule l’inférence pourrait faire l’objet d’un envoi à distance ?

M. Julien Lescoulié. Exactement.

Mme Cyrielle Chatelain, rapporteure. Si je résume les informations que vous nous avez transmises avant l’audition, Core42, un acteur émirati, investit dans les GPU dans le cadre du partenariat lié au sommet de l’IA. Par conséquent, les GPU lui appartiennent. Ensuite, le data center – le terrain, le bâtiment – appartient à DataOne. Où intervient Oreus dans cette organisation ? Assure-t-il la gestion quotidienne du data center ? Et quel est le lien entre BSO et DataOne ? Pourriez-vous, en somme, clarifier votre organisation ?

M. Charles-Antoine Beyney. BSO détient 80 % de DataOne, et j’en détiens personnellement 20 %. On peut donc dire que DataOne est une filiale du groupe BSO. La différence est que BSO s’occupe historiquement de la connectivité et des services cloud en général, tandis que DataOne se consacre exclusivement à l’hébergement et à l’infrastructure d’hébergement. Quand je parle d’infrastructure, comme vous l’avez bien noté, je veux dire que nous sommes propriétaires du site, des infrastructures de refroidissement et des infrastructures électriques. Concrètement, lorsque vous entrez dans une de nos salles serveur, nous fournissons les prises électriques et les tuyaux pour se connecter à notre réseau de refroidissement.

Core42, qui fait partie du groupe G42, est devenu notre client à la faveur d’un partenariat qui découle d’un contrat-cadre signé en 2023 entre la France et les Émirats arabes unis par Bruno Le Maire, alors ministre de l’économie et des finances, qui engage les deux pays à collaborer et à échanger savoir-faire et investissements. Core42 finance les serveurs contenant les GPU et les racks, ces armoires informatiques dans lesquelles on place les serveurs. Nous utilisons une nouvelle technologie de refroidissement liquide, avec des micro-canaux sur les GPU pour un refroidissement très efficace.

Si notre client est bien le propriétaire de ce matériel, il n’en est pas nécessairement l’opérateur. C’est là qu’Oreus intervient. Oreus est potentiellement l’opérateur de ces serveurs, et dispose de toute la couche logicielle, du traitement de données et d’autres services à très forte valeur ajoutée.

Pour résumer, nous fournissons de l’eau, des électrons et la sécurité du site. C’est notre métier. Nous sommes propriétaires de cet ensemble. Tout ce qui se trouve à l’intérieur de la salle informatique, qu’il s’agisse de serveurs ou de données numériques, ne nous concerne plus. C’est l’affaire de nos clients. Pour le dire de manière triviale, ils pourraient y installer des machines à laver, s’ils le souhaitaient. Nous n’avons bien évidemment aucun accès à leurs données. En d’autres termes, c’est comme si nous étions propriétaires d’une autoroute : nous ne savons pas ce que transportent les camions qui y transitent. De même, nous n’avons ni la capacité légale ni la capacité technique d’auditer les serveurs.

M. Laurent Choukroun. Pour reprendre l’image de l’autoroute, nous nous occupons du dernier kilomètre. La mission d’Oreus est d’activer la puissance de l’intelligence artificielle au service des enjeux de nos entreprises, de nos administrations et de nos citoyens. Notre action est clairement liée à des enjeux d’intérêt général, d’innovation, d’éducation, d’attractivité et de transformation de notre économie. C’est la raison d’être de notre projet : reprendre toute cette puissance et la mettre au service de nos concitoyens.

M. Julien Lescoulié. Nos équipes opèrent à l’intérieur des salles du data center. Elles sont recrutées par Oreus et ses partenaires, sous contrat de travail français. Nous gérons donc toute la sécurité et les connexions de nos clients directement dans le data center. Nous sommes en cours de finalisation d’un contrat avec Core42 pour devenir l’opérateur exclusif de ces salles. Finalement, seules nos équipes auront accès aux serveurs et aux données de nos clients pour en assurer l’entretien.

Je précise que l’interface de programmation d’application (API), autrement dit l’interface d’accès à ces data centers, a été entièrement développée par nos équipes à Marseille. La plupart de nos clients se connecteront via notre API, et non via des API américaines ou chinoises.

M. Laurent Choukroun. Sauf erreur de ma part, il n’existe pas de définition légale de la souveraineté – d’ailleurs, si le législateur venait à en proposer une, cela nous serait très utile. En l’absence de cette définition, il nous semble important d’identifier les principaux enjeux qui permettent d’assurer un niveau maximal de souveraineté. Nous avons créé au sein d’Oreus un « SovScore », une sorte de « nutri-score » de la souveraineté, car nous pensons qu’il faut pouvoir objectiver cette notion.

Le premier critère est le lieu. Les data centers et les GPU sont situés en France. À lui seul, ce critère est insuffisant, car si dans un data center français les couches logicielles ou le matériel sont soumis à des lois extraterritoriales, cela pose un problème.

Le deuxième élément est l’entreprise elle-même. Qui la contrôle ? Et, au-delà du contrôle actionnarial, de quel type de contrat disposent les personnes qui travaillent sur les GPU et les serveurs ?

Le troisième aspect concerne toutes les couches logicielles. Concernant Oreus, ce que nous appelons l’engine, qui permet d’orchestrer les serveurs, a été entièrement développé en interne à Marseille. Nous sommes allés jusqu’à créer une plateforme et un équivalent français de Copilot. Cet outil permet d’utiliser, de télécharger, d’entraîner et d’affiner tous les modèles open source directement. L’idée est de rapprocher l’outil de l’utilisateur final, qu’il soit développeur, salarié ou entrepreneur. Si je posais un GPU sur cette table, peu d’entre nous sauraient quoi en faire. Il faut donc tout un ensemble d’outils, et la souveraineté de ces couches logicielles est un enjeu extrêmement important.

Mme Cyrielle Chatelain, rapporteure. Pour bien comprendre votre activité, on peut dire qu’Oreus assure la gestion quotidienne sur site et le développement de services et de logiciels, et qu’il fait le lien avec les clients qui recherchent des capacités de stockage et de traitement, principalement pour l’intelligence artificielle. Mais j’aimerais comprendre ce que viennent chercher vos clients, sachant que vous développez aussi une IA.

M. Julien Lescoulié. Nous travaillons avec de nombreux groupes du CAC 40, mais aussi des TPE et des PME. La plus grande partie du marché de l’IA en France se fera avec ces TPE-PME, qui constituent notre tissu économique. Ces entreprises ne connaissent pas précisément leurs besoins en nombre de GPU ; elles viennent nous voir avec des cas d’usage et la volonté d’intégrer l’IA à leur activité. Elles cherchent des applications concrètes. Nous avons créé un centre d’innovation où nos designers travaillent avec elles afin d’identifier les manières dont l’IA peut les aider. Les solutions d’IA ainsi développées doivent ensuite être hébergées.

Le deuxième aspect est la création d’un standard d’accès. En tant qu’acteur du néo‑cloud, nous nous positionnons sur les GPU. Nous offrons à des acteurs français de l’IA, qui utilisaient auparavant Google Cloud, par exemple, et qui sont attirés par notre offre souveraine, la possibilité d’héberger leurs solutions sur notre plateforme. En outre, nous proposons de manière assez inédite de distribuer au grand public et aux entreprises les solutions de ces développeurs d’IA. Non seulement ils viennent héberger leurs solutions sur notre cloud, mais nous avons également créé un « AI Agent Store » souverain afin de distribuer leurs agents d’IA aux entreprises. C’est pour cette raison qu’ils nous choisissent : nous leur offrons non seulement la capacité d’héberger leurs solutions sur des GPU en France, mais aussi la possibilité de les distribuer par l’intermédiaire de nos outils.

M. le président Philippe Latombe. Lorsque vous parlez de modèles français, incluez-vous les modèles en open source ou, plus précisément, en open weight et open code, comme Llama 4 ? Les considérez-vous comme souverains du fait de leur ouverture ?

M. Julien Lescoulié. Nous avons décidé d’utiliser, dans le but d’informer nos clients, des indicateurs sous forme de drapeaux, ainsi que le SovScore évoqué précédemment. Cela permet de signaler qu’un modèle est open code, ce qui signifie que nous avons pu examiner le code. Ce n’est pas le cas, par exemple, du modèle d’IA de Google, Gemma, distribué sous licence Apache 2.0 mais qui reste opaque. Toutefois, une entreprise qui souhaiterait utiliser un modèle de Google a la possibilité de l’héberger sur notre plateforme. Simplement, nous remonterons la chaîne pour déterminer le niveau de souveraineté du modèle, parce que créer un agent, et y ajouter des connecteurs tiers, implique une perte de souveraineté. Nos indicateurs permettent d’informer les utilisateurs sur ce qui interagit avec leurs données.

Mme Cyrielle Chatelain, rapporteure. Vous visez une augmentation de puissance énergétique très forte, de l’ordre de 200 mégawatts, ce qui représente des capacités de traitement considérables, par comparaison avec de nombreux data centers français dont la puissance est de l’ordre de 15 mégawatts. Une telle capacité implique un développement d’activité majeur. J’entends l’argument des TPE-PME, mais je ne suis pas sûre que leurs besoins justifient une telle échelle.

Aussi j’aimerais comprendre qui seront finalement vos clients. Vous vendez un service à un opérateur d’IA, qui propose ensuite des applications sur votre place de marché. Mais votre premier client reste cet opérateur d’IA. Un grand acteur français, en cours de développement, prendra certainement de la place, à terme, mais aujourd’hui le marché est dominé par de très gros acteurs étrangers. Une fois que vous aurez augmenté vos capacités énergétiques, même si cela prend du temps, cela signifie qu’il faudra potentiellement vous ouvrir à des modèles d’IA américains comme ceux d’Amazon Web Services ou d’OpenAI.

M. Laurent Choukroun. Les enjeux, le travail et les clients de DataOne et d’Oreus sont complémentaires mais différents. Lorsque nous avons créé Oreus, notre objectif était de mettre l’IA au service des enjeux d’intérêt général, d’innovation, d’éducation et d’impact pour les citoyens. Nous n’avons pas créé Oreus pour faire du « GPU as a service ». En revanche, nous avons estimé que, pour être souverains et le démontrer, il fallait posséder la maîtrise de l’infrastructure jusqu’à l’usager final. C’est la vision d’Oreus.

Le sujet de l’IA en France aujourd’hui est un sujet d’éducation, d’adoption et de transformation des pratiques. C’est cela que nous souhaitons accompagner. Est-ce que nous allons utiliser 200 mégawatts pour cela ? La réponse est clairement non. Ce n’est pas notre sujet. Nous allons piloter une partie de la capacité dont le marché français et européen a besoin. Nous recevons quelques demandes d’acteurs étrangers, européens et parfois extra-européens, et nous avons alors à nous interroger sur la manière d’y répondre. Mais ce n’est pas la raison d’être d’Oreus, c’est plutôt celle de DataOne.

Mme Cyrielle Chatelain, rapporteure. Oreus est une entreprise jeune, et le data center d’Eybens semble être votre première grande expérimentation en matière de gestion. Si je résume : les murs appartiennent à DataOne, les serveurs à Core42, et Oreus est le gestionnaire qui assure la maintenance, les patchs de sécurité, etc. Oreus a donc d’une part sa mission première, pour laquelle vous allez utiliser une partie du data center, et d’autre part la gestion de l’ensemble de ce data center et de l’ensemble des serveurs. J’imagine que vous êtes aussi un vendeur : vous allez bien devoir trouver des clients pour remplir cet espace. Au-delà de la question de l’impact, votre modèle financier exige que des gens utilisent vos services.

M. le président Philippe Latombe. Quel est votre modèle financier ? Comment la valeur est-elle répartie ? Étant donné que vous revendiquez une vocation sociale, y aura-t-il une différenciation tarifaire entre les gros acteurs et les plus petits ? Ou bien le tarif sera-t-il le même pour tous ? Sera-t-il basé sur des paliers d’utilisation de GPU ou d’énergie ? En tant qu’entreprise se réclamant de l’économie sociale et solidaire, appliquerez-vous cette philosophie à votre grille tarifaire ?

M. Julien Lescoulié. Premièrement, notre rôle est celui d’un garant pour nos clients, d’un acteur de confiance qui leur assure la traçabilité de ce qu’ils utilisent et de l’endroit où ils placent leurs données. Deuxièmement, comme vient de le préciser Laurent Choukroun, nous ne voulons pas faire du « GPU as a service ». Nous avons donc créé une API et décentralisé la puissance de calcul à notre disposition, en utilisant une blockchain pour la notariser afin d’être pleinement conformes au règlement européen sur l’intelligence artificielle (AI Act). Notre modèle économique ne repose pas sur la facturation au token d’IA, car nous ne sommes pas détenteurs d’un modèle propriétaire ; nous sommes agnostiques et nous travaillons sur plusieurs modèles. Nous avons donc créé un nouveau type de modèle économique qui soit le plus juste possible. C’est très important pour nous. Il s’agit d’une facturation à l’usage, ou plus précisément au cas d’usage. Un cas d’usage regroupe un ensemble de tokens qui correspondent à la puissance de calcul nécessaire.

N’importe qui peut avoir accès à notre solution, acheter des tokens et les utiliser. Nous avons évidemment opté pour une formule d’abonnement, afin d’offrir une meilleure lisibilité, qui donne accès à un nombre défini de tokens. Tout est parfaitement transparent : les clients savent ce qu’ils achètent et c’est ainsi que nous souhaitons fonctionner, avec des tarifs très agressifs pour rendre la solution accessible à tous. Et quand je dis « à tous », c’est véritablement à tous. La solution sort la semaine prochaine ; vous pourrez la télécharger et l’utiliser. Vous constaterez alors que notre offre est très intéressante.

Nous avons voulu rendre l’IA la plus accessible possible en France. Exercer un contrôle total sur l’exploitation, depuis les serveurs jusqu’à l’utilisateur final, est le moyen de définir ce coût accessible. Comme Mme la rapporteure l’a souligné, nous n’aurons pas le contrôle sur la totalité du data center, mais ce n’est pas notre objectif. Pour obtenir les certifications de souveraineté, Oreus se devait d’avoir le contrôle des salles qu’il opère dans le data center. En revanche, ce qui se trouve en dehors de ces salles n’est pas notre sujet.

Mme Cyrielle Chatelain, rapporteure. J’entends votre argument, mais dans les faits, vous gérez bien l’ensemble du site. Ma question vise précisément à approfondir ce point.

M. Charles-Antoine Beyney. Sans entrer dans les détails, un data center comprend en effet plusieurs salles informatiques, des data halls pour utiliser l’anglicisme. Oreus peut être amené à opérer une ou deux de ces salles. Dans la première phase de développement du site d’Eybens, par exemple, nous disposons de cinq data halls abritant des serveurs. Le nombre de salles qu’Oreus opérera véritablement dépend de l’accord qu’il trouvera avec notre client, Core42, et de leur succès commercial.

Aujourd’hui, le client de DataOne, Core42, est émirati. Ce n’est un secret pour personne, et ce client entretient d’ailleurs une relation privilégiée avec la France à de nombreux égards, car nos deux pays ont des liens étendus sur les plans scientifique, économique et militaire. Sur ce point, je suis donc totalement agnostique, même si, bien évidemment, j’essaie de promouvoir des acteurs comme Oreus ou de grandes PME de services qui pourraient utiliser notre infrastructure. Je peux suggérer à notre client de privilégier ce type d’acteurs plutôt que d’imposer, une fois de plus, les Gafam. Mais le client reste maître de ses choix, puisque ce sont ses GPU et son matériel qu’il installe. Je ne peux pas interdire à un locataire d’installer la télévision de son choix ; il est libre. Il en va de même dans notre data center.

Par conséquent, si nous voulons assurer cette souveraineté totale, il faut également maîtriser tous les paramètres de financement. Or, c’est bien là tout le problème aujourd’hui : vous ne trouverez pas en France de financier capable de signer un chèque de 2, 4 ou 10 milliards d’euros, car ce sont les ordres de grandeur dont nous parlons pour financer des GPU. Il faut donc bien trouver des sources de financement étrangères, et Core42 en fait partie.

Aujourd’hui, lorsqu’on me demande ce que fait DataOne, je réponds très simplement que nous sommes la base de l’infrastructure de l’intelligence. C’est ce que sont les data centers d’IA : ils vendent de l’intelligence, et rien d’autre. Dès lors, il nous appartient de nous demander si nous voulons être les plus intelligents ou les moins intelligents. Avec un data center d’IA, on peut mettre au point des remèdes contre le cancer, découvrir comment faire voler 2 000 drones pour se défendre, bref, trouver une multitude de solutions. C’est ce que nous appelons véritablement l’intelligence.

Nous construisons beaucoup en France, mais ce n’est rien en comparaison de ce que nous faisons aux États-Unis. Je suis très franc et pas très politiquement correct en disant cela, mais c’est la réalité des chiffres. Quand je développe 15 ou 30 mégawatts en France, j’en développe 350 aux États-Unis dans le même temps, pendant que d’autres entreprises développent des gigawatts. En France, ces échelles nous effraient. Mais nous les avons, ces gigawatts. Simplement, ils ne servent à rien ; ils sont vendus ou injectés à perte dans le sol. La question est la suivante : voulons-nous être le plus intelligent de la classe ou le moins intelligent de la classe ? Nous voyons bien que ce qui nous a placés au sommet de la pyramide et de la chaîne alimentaire, c’est notre intelligence. Et nous savons très bien que l’avenir n’ira pas dans le sens de la stupidité. Il est difficile de faire passer ce message dans un contexte où beaucoup de questionnements, d’inquiétudes et de désinformation circulent autour de notre métier. Nous faisons face à des gens qui s’opposent avec véhémence aux data centers. À l’inverse, ceux qui comprennent les enjeux soutiennent totalement ce type de projet.

Pour répondre à votre question, madame la rapporteure, 200 mégawatts représentent beaucoup d’électricité, c’est exact, mais à l’échelle du développement international de l’IA, c’est dérisoire.

M. le président Philippe Latombe. Si je comprends bien, DataOne loue les cinq salles du data center d’Eybens à prix fixe à Core42, qui les sous-loue en partie à Oreus et à d’autres acteurs ? Je suppose que le prix est fixe pour chaque salle, afin de vous garantir une rentabilité, à moins qu’il ne soit indexé sur la puissance de calcul.

Je m’adresse maintenant à Oreus. Bénéficiez-vous d’une sous-location moins chère, voire gratuite, qui sait, en tant que partenaire privilégié de Core42, par rapport à un opérateur américain qui aurait besoin de cette puissance de calcul ? Disposez-vous d’une clause qui vous réserve une partie de la puissance de calcul quoi qu’il arrive, même si vous n’avez pas encore atteint la rentabilité totale de votre modèle économique, afin d’éviter de vous faire évincer par un Gafam ?

M. Charles-Antoine Beyney. En ce qui concerne DataOne, la relation contractuelle est très simple : il s’agit d’un contrat de service d’une durée de dix ans portant sur un certain nombre de kilowatts. DataOne fournit une puissance électrique, ce qui implique bien évidemment une dissipation calorifique, car l’effet Joule impose de transférer la chaleur vers l’extérieur. À Eybens, ce contrat est conclu uniquement avec Core42, qui a réservé l’intégralité de la capacité. À Villefontaine, ce sera peut-être un autre client ; nous discutons avec différents acteurs.

M. Laurent Choukroun. Votre question soulève plusieurs points. Notre objectif est de peser en faveur des intérêts de la souveraineté française et de fournir de la puissance de calcul à nos entreprises, à nos administrations et à nos concitoyens. Et nous discutons. Est-ce que tout est simple ? La réponse est clairement non. Y a-t-il des enjeux économiques qui nous dépassent ? Évidemment, oui.

Cependant, depuis le sommet sur l’IA et les premières discussions, Core42 a exprimé le souhait d’avoir un partenaire capable de déployer une partie de la puissance de calcul qu’il a acquise au bénéfice des entreprises, des administrations et des citoyens français. Il s’agit en quelque sorte du postulat de départ. À partir de là, comme vous l’imaginez, les discussions s’engagent sur une multitude de sujets et ne sont pas simples, surtout dans le contexte géopolitique actuel.

Oreus bénéficie-t-il de gratuités ? La réponse est non. Core42 a acquis des GPU moyennant une dépense considérable. De notre côté, nous nous efforçons d’obtenir le plus d’avantages possible pour les intérêts de la France et de notre souveraineté. Telle est la situation. Je ne peux pas vous en dire beaucoup plus, car, comme vous l’imaginez, une grande partie de ce que nous évoquons est couverte par différents accords de non-divulgation.

M. le président Philippe Latombe. Vous n’avez pas tout à fait répondu à ma question. Si jamais vous n’atteignez pas une rentabilité suffisante ou les volumes de calcul nécessaires, Core42 est-elle en capacité de vous évincer pour y installer des acteurs qui, eux, auraient besoin de cette puissance, mais qui ne partageraient pas votre logique ? Ces derniers utiliseraient alors de l’énergie française décarbonée et à coût relativement réduit pour développer leurs propres modèles, qui pourraient se retourner contre nous sur le plan économique.

M. Laurent Choukroun. J’entends votre préoccupation, mais nous devons jouer collectif. Il convient de s’assurer qu’une partie de l’infrastructure est bloquée, réservée pour les enjeux et les intérêts français. Pour cela, nous avons besoin de la puissance publique. Nous sommes à la table des négociations, aidez-nous à faire en sorte que nous obtenions le plus de puissance de calcul possible, verrouillée pour assurer les besoins de nos concitoyens, de nos administrations et de nos entreprises.

Le risque que vous décrivez existe-t-il ? Théoriquement, oui. Puisque Core42 est l’acquéreur, l’infrastructure lui appartient, et il est souverain dans ses choix. De notre côté, nous essayons de porter tous les messages nécessaires au plus haut niveau. Ils se montrent tout de même collaboratifs, car il existe des accords entre les Émirats arabes unis et la France sur ce volet, pour bénéficier de notre puissance de calcul.

Voulons-nous dépendre uniquement de Core42 pour le développement d’Oreus ? Non. Cherchons-nous d’autres solutions de financement ? Oui. Nous avons nous-mêmes financé les premiers GPU installés à Marseille, avec le soutien de la BNP. Nous avons ainsi couvert nos propres besoins, ne serait-ce que pour entraîner nos dispositifs, notre plateforme, et pour produire ce que nous avons réalisé jusqu’à présent.

M. le président Philippe Latombe. Comment la puissance publique pourrait-elle vous aider, dans vos négociations avec Core42, à réserver une part minimale de puissance de calcul et à la sanctuariser ? À combien estimez-vous cette part ?

M. Laurent Choukroun. Je ne sais pas si ma réponse plaira à Charles-Antoine Beyney mais, comme nous l’avons dit, les enjeux pour Oreus et DataOne ne sont pas les mêmes. Qu’est-ce qui pourrait nous aider ? Décréter qu’aucun data center ne peut voir le jour en France si 100 % de ses clients (off-takers) sont extraterritoriaux. Obtenir une telle règle serait intéressant pour Oreus, et pour la France aussi.

M. Charles-Antoine Beyney. Permettez-moi de rebondir sur ce point. Aujourd’hui – et tous les entrepreneurs français vous diront la même chose –, nous avons perdu l’appétit du risque en France, sur toute la chaîne de financement. Pourquoi ? Parce que, comme je le disais précédemment, aucun conglomérat financier français ne financera 10 000 GPU. Et 10 000 GPU, ce n’est rien à l’échelle du marché actuel.

Si nous souhaitons vraiment aboutir à ce que Laurent Choukroun vient de décrire, alors il nous faut une chaîne complète de financement. Nous avons 6 000 milliards d’euros d’épargne en France. Si nous pouvions simplement arrêter de financer les fonds de pension américains, qui eux-mêmes financent les Gafam, ce serait formidable. Si nous voulons une véritable IA souveraine, avec une infrastructure réellement souveraine, il suffit de réorienter légèrement l’épargne des Français vers quelque chose qui apportera beaucoup plus de valeur ajoutée à l’ensemble des Français.

Certes, cela peut paraître un vœu pieux, mais ce n’est pas impossible, et des textes réglementaires pourraient contraindre les assurances et les banquiers à réserver une allocation à ce que l’on pourrait appeler un « fonds GPU stratégique ». Cela signifierait que DataOne, plutôt que d’avoir Core42 comme client, pourra contracter avec un conglomérat financier français qui viendrait héberger ses GPU chez nous et qui aurait toute latitude pour s’adresser uniquement à des clients français.

Si j’ai créé mes deux premières AI Factories en France, dès novembre 2024, c’est bien pour doter notre pays de ses premiers supercalculateurs à grande échelle. Il n’en existait pas auparavant. Mes entreprises sont mondiales aujourd’hui, j’ai des clients et des bureaux sur tous les continents. Il aurait été beaucoup plus aisé de commencer aux États-Unis ; comme je l’ai indiqué tout à l’heure, quand je signe pour 350 mégawatts aux États-Unis, je signe pour 30 mégawatts en France.

J’ai voulu d’abord m’installer en France, avant d’aller aux États-Unis, parce que je suis profondément français. Mais le financement, ici, reste très difficile. Quand vous allez voir BPIFrance, BNP ou Arkéa – et je ne crains pas de les nommer –, ils sont tous frileux et réticents à s’engager. En revanche, une fois que tout est livré, que tout fonctionne et qu’il n’y a plus aucun risque, alors ils sont prêts à mettre de l’argent. Je suis désolé, mais les affaires, ça ne fonctionne pas comme ça.

Le Concorde, le TGV, toutes les grandes réussites industrielles françaises, qu’est-ce qui les a rendues possibles ? Un financement par l’État. La prise de risque était collective. Aujourd’hui, nous avons perdu cette appétence au risque, et c’est là le drame. On entend toujours qu’il n’y a pas d’argent. Mais enfin, nous avons 6 000 milliards d’euros d’épargne ! Ne me dites pas que nous n’avons pas d’argent en France. Nous en avons, il suffit simplement de l’orienter correctement.

Il est indispensable d’encourager en France un investissement responsable de la part de tous nos grands acteurs financiers. Et cela passe par une série de textes, pas simplement par l’identification de fonciers en France. Combien de projets sortent effectivement de terre en France ? En dépit d’une multitude d’annonces, aucun projet de grande échelle, financé et opérationnel, n’a vu le jour, à part le nôtre. Dans le même temps, les Chinois et les Américains accumulent des gigawatts de puissance. En France, nous avons plus de 7 gigawatts, facilement exportables, dont nous ne savons pas vraiment quoi faire. C’est frustrant.

M. Julien Lescoulié. Oreus a vu dans Core42 une opportunité pour se lancer, puisque le data center était déjà construit. Nous devions nous déployer rapidement, et nous avons travaillé ensemble pour délivrer les premiers niveaux de puissance proposés sur ces data centers. C’est le bras de fer que nous menons en ce moment en termes de négociation.

J’ai évoqué tout à l’heure l’API que nous avons développée. L’avantage de la décentralisation est qu’il est possible de connecter cette API où l’on veut, sur ce data center comme sur un autre. Si, à terme, nous n’obtenons pas satisfaction et que des renégociations ont lieu, les clients viendront avec Oreus ; ils ne sont pas liés directement au data center et leur trafic peut être redirigé ailleurs. Dans la négociation, c’est un avantage considérable. Nous avons conçu Oreus de façon à pouvoir travailler sur différentes infrastructures et à nous déployer partout où il y a des GPU, autrement dit de travailler au développement sans dépendance à long terme.

M. le président Philippe Latombe. Est-ce que cela signifie qu’Oreus est agnostique en termes de technologie ? Que vous êtes en mesure, par exemple, de passer d’un GPU Nvidia H100 à un GPU SiPearl ou à un autre matériel quand vous le voulez ?

M. Julien Lescoulié. Nous avons créé un centre de recherche et développement à Marseille et nous avons mené des travaux avec AMD, ainsi qu’avec les GPU H100, H200, B200, B300 et les RTX 6000 Pro. Nous savons donc opérer tout type de GPU et, en effet, notre API est agnostique. Des optimisations sont nécessaires à chaque fois, et nous allons proposer différents services. Nous devons travailler en partenariat avec toutes les marques possibles, y compris potentiellement des marques françaises – je pense par exemple à l’inférence qui a été annoncée par Vesora. Tout ce que nous avons construit vise à pouvoir opérer en multimodalité, en agnosticité totale et sur une architecture multi-GPU, parce que notre centre de recherche et développement s’inscrit dans un horizon d’indépendance.

Mme Cyrielle Chatelain, rapporteure. Oreus, vous l’avez dit, envisage ce projet comme une opportunité, mais conserve la capacité de se tourner vers d’autres projets si jamais celui-ci ne se déroulait pas bien. Oreus travaille avec des serveurs émiratis et un acteur français qui a construit le bâtiment. Dès lors, la question de l’implication de la puissance publique se pose. Il est vrai que pendant longtemps, lors des grands changements technologiques, on collectivisait le risque. Mais il est également vrai que l’on collectivisait beaucoup moins les bénéfices, ce qui a pu encourager une certaine prudence.

Qu’est-ce qui, aujourd’hui, garantit que les murs des data centers ne seront pas revendus aux Émiratis ou à d’autres acteurs ? Monsieur Beyney, vous avez conduit de nombreux projets, mais l’un de vos plus importants data centers a été revendu en 2008 à Equinix, une société américaine. De même, un certain nombre de data centers d’Etix ont été revendus en 2020 à Vantage, une société américaine. Qu’est-ce qui garantit, quand on voit cette répétition d’investissements suivis de reventes, que le scénario ne sera pas le même cette fois-ci ?

Le risque, ici, est de commencer un projet avec des acteurs français et à vocation souveraine, pour se retrouver dans cinq ou six ans avec une infrastructure 100 % américaine. Or, cette infrastructure sera toujours là, et elle consommera toujours de l’eau. J’entends que vous construisez les tuyaux, mais l’eau, pour le coup, n’appartient à personne et elle est fournie jusqu’à vos installations par la collectivité, tout comme l’énergie produite en France. La question porte donc sur les garanties derrière le mot « souveraineté ». Quelles garanties avons-nous que cela reste souverain ? J’entends votre souhait de défendre les intérêts de la France, et je le salue. Mais je note également que BSO est basée en Irlande.

M. Charles-Antoine Beyney. Quelle garantie puis-je apporter que le projet restera 100 % français ? Je vais répondre très franchement : aucune. Pourquoi ? Parce que BSO n’est pas une association à but non lucratif. Pour le dire très clairement, si nous ne construisons pas un schéma de refinancement ou un schéma d’investissement fort en Europe, les Américains continueront à nous acheter à bas prix, comme ils le font depuis cinquante ans. Si j’ai vendu à Equinix, c’est parce que cette société m’a présenté la meilleure offre. Si j’ai vendu à Vantage en 2020, c’est aussi parce que la meilleure offre était américaine. Pourquoi cette offre ne vient-elle pas d’un acteur français ? À offres équivalentes, je donnerai toujours la préférence à une société française, soyez-en sûre. Mais les Français n’existent même pas sur ce marché. Je n’ai reçu aucune offre française. Que voulez-vous faire dans ces cas-là ? Imaginez que vous ayez besoin de liquidités et que vous décidiez de vendre votre maison. Si aucune offre ne provient de vos voisins français, mais qu’un Chinois ou un Américain vous fait une offre intéressante, vous n’allez pas lui dire non. C’est la même chose pour ma société.

Ceci étant posé, je vais répondre plus concrètement à votre question. Notre ambition est-elle de revendre à court terme les sites d’Eybens et de Villefontaine ? Non. Parce que nous avons un plan pluriannuel d’investissement, parce que nous essayons de bâtir une entreprise d’une taille respectable, et parce que nous envisageons une introduction sur le marché public d’ici douze à dix-huit mois. Je souhaite conserver le contrôle de mon entreprise, tout en garantissant une liquidité sur les titres à mes 600 collaborateurs, car ils sont tous actionnaires de la société, ce qui implique d’introduire DataOne en Bourse.

DataOne, fondée il y a un an et demi, comptera bientôt mille collaborateurs. Nous employons des électriciens, des plombiers, et nous recrutons à peu près cent personnes chaque semaine aux États-Unis. En France, les effectifs atteignent entre quatre-vingts et cent personnes, car le chantier est beaucoup plus petit.

Quand je vais entamer la construction d’un deuxième énorme data center aux États-Unis, il faudra embaucher entre mille et deux mille personnes supplémentaires pour la durée de la construction. Une fois la construction achevée, nous retiendrons une centaine de collaborateurs par site – je le précise, parce que l’on entend souvent qu’un data center n’emploie qu’une dizaine de personnes, ce qui est faux. Lorsque Eybens et Villefontaine seront opérationnels, ils emploieront une centaine de personnes.

M. le président Philippe Latombe. Si DataOne entre en Bourse, elle sera cotée au Nasdaq ?

M. Charles-Antoine Beyney. Je ne suis pas en mesure de vous répondre sur ce point à ce stade.

M. le président Philippe Latombe. Vous nous avez dit que DataOne était une entreprise française détenue par des capitaux français. Si elle est cotée au Nasdaq, il devient difficile de continuer à l’affirmer.

M. Charles-Antoine Beyney. Ce serait mentir que de vous dire que DataOne est une société française. DataOne France est une société française, mais la holding de DataOne est luxembourgeoise. La holding de BSO, vous l’avez bien noté, madame la rapporteure, est irlandaise depuis 2010. En revanche, 90 % du capital sont détenus par deux Français.

M. le président Philippe Latombe. Coter la holding DataOne au Nasdaq, ce n’est pas la même chose que la coter à Paris, Milan, Luxembourg ou Dublin. La liquidité n’est pas tout à fait la même non plus.

Par ailleurs, si vous revendez la société – ce qui n’est pas prévu à court terme, vous l’avez dit, mais peut-être à moyen terme –, qu’est-ce qui nous assure que les contrats d’acquisition d’énergie, qui représentent un actif très important, seront maintenus ? Pour combien de temps sont-ils noués avec le fournisseur d’énergie ?

M. Charles-Antoine Beyney. Comme je l’ai indiqué, je n’ai aucune idée, à ce jour, de la place où sera cotée DataOne. Aucune décision n’a été prise, et nous sommes à douze ou dix-huit mois de l’échéance. Le Nasdaq est l’option la plus probable, et peut-être Euronext, car il est tout à fait possible d’être coté sur deux places. Être coté au Nasdaq ne soumet en rien DataOne au Patriot Act. Ce qui compte, c’est le lieu d’enregistrement de la société, et je n’entends pas placer DataOne dans le giron américain.

Même si nous mettons 10 % ou 20 % de flottant sur le marché, cela ne signifie pas qu’il y aurait une majorité américaine. Et ces 20 % pourraient tout à fait être détenus par des acteurs de différentes nationalités, y compris des investisseurs européens. Si des Français veulent investir dans DataOne à terme, ils pourront le faire très librement. Si les Américains veulent en prendre une grande partie, ils le pourront aussi. Mais je pense que nous resterons français pour quelques années encore. À plus long terme, je ne saurais le dire, je ne sais pas de quoi l’avenir est fait.

M. le président Philippe Latombe. J’attire néanmoins votre attention sur un point qui a été confirmé lorsque nous avons auditionné des établissements bancaires : l’extraterritorialité du dollar s’exerce en dehors du Patriot Act. La cotation au Nasdaq pose donc une question, mais elle la pose de la même manière à d’autres opérateurs de data centers en France, je pense notamment à Data4, qui sont canadiens mais cotés au Nasdaq.

M. Charles-Antoine Beyney. Pour moi, ce n’est pas un sujet. Si demain je n’ai plus accès au dollar, cela ne me posera aucun problème. Je ne suis pas une banque. Je peux renégocier mes contrats en euros, en bitcoins, ou toute autre monnaie, du moment que mon client est d’accord. Étant donné que j’ai peu de clients, il est aisé de négocier de gré à gré.

Si demain, dans le pire des scénarios, DataOne devenait majoritairement détenue par des Américains, les serveurs financés par des clients européens ou émiratis ne tomberaient pas pour autant sous le joug du Patriot Act, car DataOne n’aurait aucun accès physique aux données. De fait, il faudrait plutôt s’intéresser aux clients de DataOne pour évaluer un éventuel problème de souveraineté numérique, même si le capital de l’enveloppe qu’est DataOne devenait majoritairement étranger.

Quant aux contrats d’acquisition d’énergie, leur durée actuelle est d’une année, car nous sommes en phase de montée en charge et nous devons étudier le profil de consommation. Dans dix-huit à vingt-quatre mois, la situation sera plus stable et nous pourrons alors signer des contrats à plus long terme.

M. le président Philippe Latombe. Ma question sur l’électricité n’était pas tout à fait celle-là, mais plutôt : comment s’assurer que l’électricité produite en France, décarbonée et peu chère, ne devienne pas un actif acheté par des Américains pour faire du calcul sur site français, simplement parce que c’est moins cher et plus décarboné que l’énergie que l’on trouve aux États-Unis ?

M. Charles-Antoine Beyney. C’est exactement la raison pour laquelle je disais qu’il fallait regarder les clients de DataOne, et non DataOne elle-même. Si demain DataOne était rachetée, les contrats sur dix ou vingt ans passés avec des entreprises émiraties ou européennes perdureraient. Si des entreprises françaises sont clientes derrière, elles conserveront les mêmes bénéfices, car, encore une fois, DataOne n’est qu’une enveloppe.

Par ailleurs, et contrairement à une idée reçue, l’énergie aux États-Unis n’est pas plus chère qu’en France. Le prix du kilowattheure est de l’ordre de quatre ou cinq centimes, voire un centime si l’on pratique le torchage (flaring). En France, le coût de l’énergie est élevé – c’est d’ailleurs la raison pour laquelle davantage de data centers sont en construction en Finlande, où le kilowattheure coûte cinq centimes. Le principal attrait de la France n’est donc pas du tout le prix de son énergie ; nous sommes juste dans la moyenne.

En tant qu’opérateur, et nonobstant les fluctuations, nous ne sommes pas en permanence sur des prix de marché. Puisque nous construisons, nous achetons des blocs sur le moyen ou le long terme, ce qui nous donne accès à des prix de gros plus intéressants. Aux États-Unis, je génère ma propre énergie à partir de pipelines de gaz, et je peux vous dire que je suis inférieur en termes de prix. Après, nous pourrons parler de l’impact environnemental si vous le souhaitez.

Mme Cyrielle Chatelain, rapporteure. Avant d’aborder la question de l’impact énergétique, je voudrais revenir sur le modèle économique de DataOne, dont on peut dire qu’il est en quelque sorte un opérateur de BTP spécialisé dans les data centers. DataOne construit l’enveloppe, notamment les systèmes de refroidissement, garantit l’accès à l’énergie, et réalise des rénovations et des agrandissements. J’ai vu les photos des sites en construction, c’est assez impressionnant. J’imagine que le nombre de salariés est donc très dépendant du nombre de projets de construction ?

Ma deuxième question concerne les personnes employées sur site. Vous avez parlé de cent personnes employées par DataOne, et ce chiffre m’interpelle si l’on considère que DataOne se consacre à l’enveloppe, quand une autre structure opère les serveurs. D’après ce que nous avons pu observer, un data center de cette taille, même en croissance, fonctionne avec des effectifs qui, bien que présents 24 heures sur 24, sont nettement en-deçà de cent personnes. Au vu de l’existant, je peine à comprendre comment vous pourriez rester compétitif avec autant de personnel.

Enfin, monsieur Beyney, puisque vos réponses sont particulièrement franches, ce que nous apprécions grandement, il serait intéressant de savoir quels éléments clés poussent un entrepreneur français, préoccupé de souveraineté comme vous l’êtes, à installer ses holdings au Luxembourg et en Irlande.

M. Charles-Antoine Beyney. Sur ce dernier point, je n’ai rien à cacher. En effet, je lutte avec des acteurs internationaux qui pratiquent une optimisation fiscale bien plus agressive que la nôtre, qui est légale. J’ai décidé de rester en Europe plutôt que de baser les holdings dans des paradis fiscaux tels que Jersey, par exemple, où DataOne ne paierait aucun impôt. En Irlande, nous payons 12,5 % d’impôt sur les sociétés, ce qui ne nous empêche pas de payer nos impôts au taux légal en France et dans tous les pays européens où nous opérons. Nous sommes audités par l’administration fiscale tous les trois ans, et Bercy vérifie régulièrement que nous ne pratiquons pas de transferts de prix agressifs.

Le Luxembourg est également avantageux sur le plan fiscal, mais nous avons décidé d’y installer la holding de DataOne parce que cela nous permet de nous internationaliser et d’optimiser une partie de nos investissements. Nous sommes obligés d’optimiser nos investissements, sans quoi nos coûts seraient supérieurs à ceux de nos concurrents et nos marges inférieures. Les taux de prélèvements obligatoires en France sont les plus élevés au monde, l’OCDE l’a confirmé. La France ne représente que 5 % de notre activité, par conséquent nous utilisons les places européennes pour optimiser nos revenus internationaux et ne pas payer doublement ou triplement des taxes. C’est une réponse très concrète, et j’assume totalement cette réalité que beaucoup d’entrepreneurs taisent.

Pourquoi ai-je dit que cent personnes travaillaient dans un data center ? Parce que nous inventons des AI factories, des usines d’intelligence artificielle. J’ai été le premier au monde à développer ce type de design, qui permet d’héberger des racks informatiques à échelle industrielle, allant de 80 kilowatts à 1 mégawatt par rack. Les Gafam ont reconnu que nous avions cinq ans d’avance sur eux et sur la concurrence. DataOne rend possible la connexion à grande échelle et à bas coût de centaines de milliers de GPU, ce qui assure un modèle économique compétitif et pérenne pour nos clients.

Cette architecture est sans commune mesure avec celles de nos concurrents. Mais elle suppose de mener des opérations complexes, et par conséquent requiert des effectifs élevés, en rotation 24 heures sur 24, 7 jours sur 7 : électriciens, plombiers, automaticiens, ingénieurs en data center, en sécurité, mais aussi personnel de ménage et de sécurité. Des équipes qui gèrent les fluides, l’aspect chauffage-ventilation-climatisation (CVC), qui est crucial et d’une complexité incomparable à celle d’un data center classique. C’est cette complexité qui explique que nos concurrents ne soient pas encore arrivés à construire des salles aussi grandes et une infrastructure aussi performante. Il faut environ cinq personnes par rotation pour les fluides, autant pour l’électricité, sans compter le réseau et le reste.

En outre, notre design est éco-responsable. Nous avons un système de refroidissement innovant qui ne consomme quasiment pas d’eau. C’est un circuit fermé, comme le radiateur d’une voiture. Il faut qu’il fasse plus de 45 °C à l’extérieur pour que nous consommions l’équivalent d’une piscine par an. Notre efficacité énergétique a des années-lumière d’avance sur ce que fait l’industrie aujourd’hui. Nous redéfinissons les seuils normatifs.

Enfin, nous assurons les opérations globales de l’infrastructure, jusqu’à la connexion des fibres et des routeurs. Comme nous ne sous-traitons rien, cela génère de l’emploi. Si, en outre, notre client nous demande d’opérer ce que l’on appelle les gestes de proximité – remplacer un disque dur ou un GPU, par exemple –, alors le nombre d’employés explose. Mais ces 100 personnes concernent uniquement l’infrastructure. Des clients tels qu’Oreus devront eux-mêmes dépêcher plusieurs dizaines de personnes sur site pour gérer leurs milliers de serveurs, car les pannes sont fréquentes.

Mme Cyrielle Chatelain, rapporteure. Vous avez dit, monsieur Beyney, que l’activité de DataOne était modeste en France, et très importante aux États-Unis. L’équilibre économique de la société repose donc essentiellement sur des opérations américaines, ce qui pose une question d’extraterritorialité. J’entends que vous n’avez pas accès aux données, mais imaginons que l’un de vos clients européens soit visé par les autorités américaines. Une injonction américaine pourrait vous interdire tout contact, ce qui signifierait que vous ne pourriez plus rendre l’ensemble des services que vous avez décrits, sous peine de sanctions. On touche ici aux limites de la souveraineté. Le risque serait de devoir choisir entre la poursuite de vos activités aux États-Unis et la continuité du service pour les clients ciblés. Nous voyons bien que la question de l’indépendance s’imbrique de multiples manières.

M. Charles-Antoine Beyney. Nos activités européennes et américaines sont complètement séparées, tant sur le plan opérationnel que financier. Elles sont financées différemment et sont toutes deux rentables et autonomes. Que l’une des deux soit interrompue n’empêcherait pas la société de continuer à exister. Nous avons bâti le groupe BSO avec pour principe que chaque opération soit en mesure de s’autosuffire. Les fonctions support du groupe (finance, marketing, etc.) sont déjà très largement absorbées par le volume d’activités et, avec plus de 650 clients dans le monde, BSO n’attend pas après DataOne pour vivre. Le chiffre d’affaires et les profits du groupe BSO sont de nature différente de ceux de DataOne. Nous nous sommes donné les moyens d’être autosuffisants et indépendants.

M. Nicolas Bonnet (EcoS). Je vous ai entendu dire, monsieur Beyney, qu’avec les data centers d’IA, on allait trouver des remèdes contre le cancer, et aussi que vos confrères aux États-Unis développent bien plus de puissance qu’en France.

Cependant, ce qui consomme le plus de puissance aujourd’hui en matière d’IA, ce ne sont pas les modèles utilisés dans la médecine. Ceux-ci sont des modèles dédiés qui n’ont pas besoin d’absorber tout internet, mais très peu de données en comparaison avec les masses de données utilisées par les IA génératives. Ce ne sont pas eux qui nécessitent des data centers gigantesques, et je ne suis pas certain que ce soit avec des méga-data centers que l’on résoudra le problème du cancer. J’ai tendance à penser que les besoins croissants de puissance correspondent, en réalité, au nombre exponentiel de requêtes adressées à des chatbots pour obtenir des réponses sur le sens de la vie ou des vidéos de chatons volants. Qu’en pensez-vous ? Pourriez-vous nous éclairer sur les principales applications de ceux qui louent vos services en termes de capacité de calcul, et sur les finalités de ces clients ?

Ma seconde question s’adresse à Oreus. Vous avez dit, monsieur Choukroun, vouloir rendre service aux entreprises, aux administrations et aux citoyens. Je n’ai pas bien compris quels outils et quels types de services vous proposiez concrètement. Pourriez-vous nous éclairer sur ce point ?

M. Charles-Antoine Beyney. Dans le domaine de la santé, selon les modèles que l’on utilise, des superordinateurs d’une puissance extraordinaire sont nécessaires. En effet, certains modèles, que l’on peut qualifier d’avant-garde, comptent plus de 90 milliards de paramètres et peuvent synthétiser l’intégralité des protéines et de l’ADN du corps humain. En modifiant un seul de ces paramètres, on peut observer en temps réel les effets produits sur le vivant. Pour obtenir ces résultats rapidement, il faut des milliers, voire des centaines de milliers de GPU, car la complexité de ces calculs est immense.

Aujourd’hui, l’IA permet de prévalider des médicaments. La plupart des grands laboratoires pharmaceutiques utilisent déjà l’IA pour leurs essais, ce qui leur permet d’accélérer considérablement les phases de test et de réaliser des découvertes extraordinaires. La médecine régénérative, par exemple, progresse à pas de géant grâce à l’IA, mais je ne suis pas suffisamment expert en la matière pour déterminer la capacité de calcul réellement requise pour ce type d’application.

L’IA peut servir des fins très diverses, certaines futiles, d’autres très utiles. Pour ma part, je ne suis pas en position de décider des usages de l’IA par mes clients, mais je peux au moins vous dire que leurs applications sont essentiellement destinées aux entreprises. Entre les vidéos de chatons volants et la recherche d’un remède contre le cancer, le spectre est large. On utilise l’IA pour sécuriser les marchés financiers, pour réguler le trafic autoroutier, pour optimiser les récoltes agricoles et réduire la consommation d’eau, etc. Les exemples d’applications extraordinaires permises par l’intelligence artificielle sont infinis.

Certes, générer des vidéos de chatons volants n’est sans doute pas la façon la plus intelligente de consommer de l’électricité, je vous l’accorde. Mais nous sommes dans un marché libéral : s’il y a un client et un marché, qui suis-je pour juger ? C’est une question complexe. À titre personnel, et en tant que citoyen, je peux bien sûr m’indigner que l’on consomme de l’énergie pour des usages futiles. Mais si demain je devais consacrer une gigantesque quantité d’énergie pour trouver un remède contre le cancer, je le ferais sans hésiter.

Et ce n’est qu’un exemple parmi des millions. Mes enfants apprennent des langues étrangères grâce à ces outils, ils se documentent sur des sujets que je serais bien en peine de leur expliquer, car je ne suis pas professeur. S’ils souhaitent se faire répéter une information cinquante fois sans se faire réprimander, l’IA est un excellent compagnon. Les applications sont donc véritablement extraordinaires. Est-ce une réponse universelle à tous nos problèmes ? Sans doute pas, mais lorsque l’on crée de l’intelligence, on peut réaliser de grandes choses si l’on sait bien l’utiliser.

Je considère que les méga-data centers sont utiles. Réunir une grande puissance de calcul en un seul endroit permet de réaliser des économies financières substantielles, mais surtout d’optimiser les ressources de manière extraordinaire. Moins l’on transporte la donnée, moins l’on consomme d’énergie, plus on est rentable et respectueux de l’environnement. C’est une réalité. Un modèle qui tourne avec de petits data centers répartis dans tout le territoire sera moins efficace en raison des problèmes de latence, plus lent, et plus gourmand en énergie, car faire transiter des térabits de bande passante entre deux data centers est énergivore. Regrouper un grand nombre de machines au même endroit permet également de mutualiser les groupes froids avec de meilleurs rendements, ainsi que les transformateurs et toute l’infrastructure associée. L’échelle à laquelle DataOne opère est plus écoresponsable qu’une multitude de petites installations.

En tant qu’entrepreneur dans les usines d’intelligence artificielle, ma première préoccupation, peut-être parce que je suis trop français – ce qui amuse beaucoup aux États-Unis – et père de deux enfants, est de pouvoir me regarder dans le miroir en me disant que je ne détruis pas la planète. J’ai mentionné la technologie basée sur des refroidisseurs à sec que nous avons choisie, qui permet de ne pas consommer d’eau, alors que de nombreux data centers de première génération consomment encore des millions de litres d’eau par jour car ils utilisent des tours de refroidissement à eau. Lorsque nous achetons notre énergie en France, nous payons un centime de plus par kilowattheure pour garantir auprès d’EDF que nos électrons sont issus de sources renouvelables : éoliennes, barrages hydroélectriques, panneaux photovoltaïques. Nous payons plus cher pour cette garantie. Enfin, nous nous sommes installés sur des friches industrielles, comme à Grenoble, sur un ancien campus de Hewlett-Packard qui employait près de trois mille collaborateurs avant que tout ne s’arrête dans les années 2000. Nous nous sommes inscrits dans ce foncier existant en transformant le moins de choses possible. Nous avons même conservé les fenêtres en réalisant notre isolation par l’intérieur. Les parkings ont été rénovés et transformés en parcs. Nous avons cherché à réduire au maximum notre empreinte foncière au moyen d’une approche environnementale globale.

Aux États-Unis, nous générons de l’électricité à partir de gaz naturel, une source qui produit beaucoup de CO2, de composés organiques volatils et d’autres polluants. Il était hors de question pour moi de polluer comme mes concurrents. J’ai donc investi dans une entreprise française révolutionnaire, Skylea, pionnière des photobioréacteurs à base d’algues et de micro-organismes. Concrètement, nous allons installer à l’échappement de nos groupes électrogènes des filtres biologiques qui, après plusieurs traitements complexes, nous permettront de réduire de 98,5 % à 99,5 % l’intégralité de nos polluants. Ainsi, avec 400 mégawatts de puissance, nous polluerons autant que deux cents vaches.

Il s’agit d’une solution avérée, validée, auditée, qui représente un immense espoir. J’ai investi dans Skylea plus de 10 millions d’euros, financés par l’activité de nos data centers, car personne en France ne voulait la soutenir. Nous travaillons avec eux depuis plus d’un an, et eux-mêmes développent cette technologie depuis trente-cinq ans. L’IA leur a fait gagner environ neuf ans de recherche et développement. Skylea travaille désormais avec les grands cimentiers français et tous les grands pollueurs de la planète pour déployer ces technologies.

Je tenais absolument à évoquer ce partenariat avec Skylea, car il définit véritablement DataOne. Il est très important pour moi de rappeler que notre empreinte environnementale est proche de zéro, que nous créons des emplois, que nous sommes là pour le long terme et que nous œuvrons pour la souveraineté numérique de la France.

M. Nicolas Bonnet (EcoS). Je ne nie aucun des usages potentiels de l’IA que vous avez mentionnés. Mais coordonner des feux de circulation, par exemple, demande très peu de moyens de calcul ; ce n’est pas cela qui constitue la masse. Ce qui m’intéresse, au-delà d’une liste à la Prévert de tous les usages possibles de l’IA – certains d’intérêt général et peu consommateurs, d’autres très consommateurs et de faible intérêt général –, ce sont les proportions d’usage.

Dans un data center, quelle est la part de la puissance de calcul consacrée à des applications utiles, et celle allouée à de grands opérateurs d’IA générative capables de produire tout et surtout n’importe quoi ? Ce sont ces proportions qui m’intéressent. L’impact environnemental ne se limite pas à l’usage, comme vous l’avez bien expliqué ; il réside aussi dans la production. Ce n’est pas vous qui fabriquez le matériel électronique nécessaire à ces gigantesques data centers, et vous n’ignorez pas la quantité énorme de matériaux qu’il faut extraire pour les faire sortir de terre – et sans récupération des gaz à effet de serre.

Je suis ravi d’apprendre que la technologie développée par Skylea a pu être financée grâce à vous. En effet, capter les gaz à effet de serre en sortie d’usine est le contexte idéal pour réaliser cette transformation, ce qui n’est pas possible pour de nombreuses autres sources de CO2. Néanmoins, cela ne réduit pas drastiquement l’impact environnemental global du numérique, qui est bien plus large. L’extraction et le raffinage de minerais augmentent avec l’augmentation des usages du numérique, et l’impact environnemental de ces activités est très élevé. Il convient, par conséquent, de s’interroger sur notre usage du numérique et ne pas sombrer dans une sorte d’ivresse technologique sous prétexte que l’on récupère les gaz à effet de serre en sortie de data center. Ce n’est pas aussi simple.

Ma question porte donc sur les usages de vos clients. Seriez-vous capable, sans citer de noms, de nous donner une évaluation, même approximative, des proportions de vos capacités de calcul allouées respectivement à la recherche médicale et autres usages d’utilité générale, et à l’IA générative ?

M. Charles-Antoine Beyney. Je ne dispose pas de données fixes, réelles ou exactes sur l’utilisation des GPU dans mes data centers, car je ne la supervise pas. Je ne sais pas qui est le client final ni quel est son usage. En revanche, je peux vous dire que, compte tenu du client qui occupe mes GPU aux États-Unis, en l’occurrence Microsoft – ce n’est pas un secret, l’information est publique –, l’usage est destiné à Copilot et aux besoins de leurs différentes filiales. Ce n’est donc pas pour générer des vidéos de chats que l’on fabrique plutôt avec ChatGPT. Je ne peux nier qu’une grande partie de la capacité de calcul est certainement, en quelque sorte, jetée à la poubelle. En tant que citoyen, il est évident que j’aimerais que tout soit optimisé à 100 %, et que ce gaspillage, comme le gaspillage alimentaire, me révolte. Mais que puis-je y faire ?

Concernant les terres rares et le recyclage, vous avez raison. Les GPU, les drones que l’on voit au Moyen-Orient ou en Ukraine, tout cela génère une pollution extraordinaire en raison des composants électroniques. Je suis entièrement d’accord avec vous. Cependant, il est possible de recycler 100 % de ces matériaux, à condition d’y mettre des moyens financiers. Nous disposons aujourd’hui de toutes les technologies pour le faire, reste à savoir si nous souhaitons investir pour les rendre viables à l’échelle industrielle. Aujourd’hui, les États n’investissent pas dans ce secteur parce qu’ils s’en moquent. Les iPhones sont changés tous les ans ou tous les deux ans. Que voulez-vous que je vous dise ? Je n’en suis pas responsable.

En revanche, à mon échelle d’entrepreneur, je suis en mesure d’influer sur l’impact environnemental de l’activité industrielle que je mène. Et j’essaie de faire en sorte que celle-ci soit la plus exemplaire possible. Mes clients, quant à eux, font ce qu’ils veulent avec les outils que je mets à leur disposition. Je ne peux pas dicter l’usage des GPU qui leur appartiennent, mais je m’efforce de les choisir en fonction des applications qu’ils développeront. J’y parviens à peu près, car la liste des entreprises qui souhaitent travailler avec nous est longue. Ayant la chance d’être en mesure de choisir mes clients, je peux dire que nos infrastructures, aux États‑Unis comme en France, ne serviront pas à générer des vidéos de chatons.

Mme Cyrielle Chatelain, rapporteure. Concernant l’emploi, les chiffres dont j’ai connaissance pour des data centers neufs au Royaume-Uni font plutôt état de trois employés par équipe tournante. Le niveau d’emploi que vous annoncez, monsieur Beyney, est sensiblement plus élevé, et je continue de m’interroger sur cet écart. Par ailleurs, vous avez mentionné que vous respectiez un certain nombre de normes. Pourriez-vous nous indiquer lesquelles, voire en fournir une liste par écrit ?

Monsieur Choukroun, vous avez indiqué que la dynamique du sommet de l’IA vous avait inspiré. Depuis ce sommet, bénéficiez-vous d’un accompagnement de la part de l’État ? Quels sont vos interlocuteurs et en quoi consiste cet accompagnement ?

M. Laurent Choukroun. M. Bonnet m’a posé une question pleine de bon sens sur les usages, et lui répondre me permettra d’enchaîner avec votre question, madame la rapporteure. La question des usages est en effet centrale, et concerne les fondements mêmes d’Oreus. Rappelons-nous l’utilisation que nous faisions d’internet il y a trente ans : nous n’avions absolument pas conscience de la manière dont cet outil allait transformer définitivement notre quotidien, les modèles économiques de nos entreprises et permettre la création de nouvelles activités. Mon engagement en tant qu’entrepreneur à impact depuis plus de vingt ans est lié à une prise de conscience sur cette question d’usage, et sur les enjeux d’éducation et de formation.

La bonne nouvelle des vidéos de chatons, c’est qu’elles ne sont pas rentables. Lorsque OpenAI a lancé son outil de génération de vidéos, Sora, l’expérience a tourné court. Pourquoi ? Parce que si les vidéos de chatons font sourire, personne n’est disposé à payer pour en fabriquer. Le modèle économique ne tenait pas. Aujourd’hui, tous les opérateurs commencent d’ailleurs à modifier le modèle économique de leur IA en limitant le nombre de jetons que l’on peut utiliser, car ils constatent que, pour certains usages en entreprise, le coût des jetons est susceptible de dépasser le coût salarial.

En voulant maîtriser la chaîne de bout en bout, Oreus entend maîtriser non seulement la dimension souveraine de ses activités, mais aussi leur impact économique et leurs coûts, afin de rendre ses services les plus accessibles possible à l’utilisateur final. Aujourd’hui, plus de quatre Français sur dix utilisent l’IA, dont mes enfants de 11 et 13 ans, qui l’utilisent quasiment tous les jours, sans aucune forme de contrôle, pour faire leurs devoirs et, bien sûr, pour s’amuser. Toute la question est de savoir comment accompagner nos concitoyens et les parents à utiliser intelligemment l’IA. L’IA peut en effet concourir à l’éducation des enfants, mais à condition de maîtriser cet outil.

Lors des salons nationaux et internationaux auxquels nous avons participé, toutes les administrations qui sont venues nous voir nous ont exprimé le même besoin. Elles ont conscience de leur obligation d’utiliser l’IA, mais sont très souvent enfermées avec des outils américains – Copilot pour ne pas le citer. Elles souhaitent une alternative souveraine. Nous devons répondre à ce besoin en nous montrant capable de proposer aux fonctionnaires des outils sécurisés, souverains, accessibles et surtout performants. Car à la fin, ils seront comparés terme à terme avec les outils américains, et si la comparaison leur est défavorable, en termes de facilité d’utilisation et de puissance de calcul, ils ne seront ni utiles ni utilisés.

Nous avons lancé notre activité il y a un peu plus d’un an et nous avons réalisé environ 500 000 euros de volume d’activité la première année. Nos clients sont des entreprises, notamment de grandes start-ups françaises de l’IA, qui viennent chercher chez nous une puissance de calcul souveraine. Nous discutons bien sûr avec la direction générale des entreprises (DGE), qui suit notre projet de près et nous propose d’autres sites pour poursuivre notre développement. Nous bénéficions également d’un accompagnement de BPIFrance et de banques françaises. Nous travaillons actuellement à structurer notre financement, car notre enjeu est de rester 100 % français, ou à tout le moins 100 % européen, ce qui est loin d’être simple.

Mme Cyrielle Chatelain, rapporteure. Lors de notre rencontre au tech&fest de Grenoble, vous aviez évoqué un accompagnement spécifique de l’Élysée. Est-il toujours d’actualité ? Par ailleurs, j’ai constaté que l’équipe d’Oreus s’est étoffée ces derniers mois. En revanche, certains noms ont disparu de votre site internet. Je me demandais donc si Sabrina Agresti-Roubache, qui est depuis devenue ministre chargée de l’enseignement et de la formation professionnels et de l’apprentissage, et Kévin Polizzi, le président d’Unitel Group, étaient toujours actionnaires.

M. Laurent Choukroun. Matthieu Landon, secrétaire adjoint du cabinet du président de la République, nous a reçus dans le cadre de nos échanges avec la DGE, afin de prendre la mesure de ce que nous étions en train de déployer, notamment sous l’aspect de nos relations avec notre partenaire émirati.

Dès son retour au gouvernement, Sabrina Agresti-Roubache a pris les mesures de déport qui s’imposaient pour satisfaire les exigences de la Haute Autorité pour la transparence de la vie publique (HATVP). À ce jour, elle n’est plus présente au capital d’Oreus. Pour être précis, c’est sa structure personnelle qui figurait au capital, et c’est au sein de cette structure que les changements ont eu lieu.

Enfin, Unitel Group, dirigé par Kévin Polizzi, est toujours au capital d’Oreus. Il a un rôle un peu moins actif aujourd’hui sur le déploiement spécifique à Grenoble, mais il reste bien actionnaire de la structure. Le capital d’Oreus n’a pas changé depuis sa création.

M. Charles-Antoine Beyney. Je dois une réponse à Mme la rapporteure sur les normes, qui est un sujet technique. Dans notre industrie, il existe deux indicateurs extrêmement importants : l’indicateur d’efficacité énergétique (Power Usage Effectiveness, PUE) et l’indicateur d’efficacité de consommation d’eau (Water Usage Effectiveness, WUE). Le PUE mesure l’efficacité énergétique globale du data center. La future réglementation européenne vise un PUE de 1,5, ce qui signifie que pour 1 kilowatt fourni aux machines, 1,5 kilowatt est consommé sur le réseau électrique. Aujourd’hui, nous nous situons entre 1,05 et 1,15. Nous sommes donc entre dix et vingt fois plus performants que le seuil réglementaire. Concernant le WUE, nous sommes dans l’ensemble de nos sites proches de zéro, et donc très largement en dessous de tous les seuils normatifs.

M. le président Philippe Latombe. Nous aurions encore de très nombreuses questions à vous poser, et j’aurais moi-même aimé vous interroger sur l’impact de la géopolitique au Moyen-Orient sur les investissements en GPU. Mais nous sommes rattrapés par le temps. Je vous remercie, messieurs, pour la franchise de vos réponses et pour le ton que vous avez employé. Il est parfois appréciable d’entendre les choses dites ainsi.

* *

Audition, ouverte à la presse, de M. Vincent Strubel, directeur général de l’Agence nationale de la sécurité des systèmes d’information (Anssi) (jeudi 30 avril 2026)

M. le président Philippe Latombe. Les missions de l’Anssi sont au cœur des préoccupations de notre commission d’enquête. Quelle est votre analyse de la vulnérabilité des administrations publiques et, plus généralement, de l’économie française aux solutions et technologies numériques extra-européennes ? Pouvez-vous décrire l’action que mène l’Anssi pour certifier des solutions souveraines ?

Je vous prie tout d’abord de déclarer tout intérêt public ou privé de nature à influencer vos déclarations. Je vous rappelle également que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter serment de dire la vérité, toute la vérité, rien que la vérité. Je vous invite donc à lever la main droite et à dire « je le jure ».

(M. Vincent Strubel prête serment.)

M. Vincent Strubel, directeur général de l’Agence nationale de la sécurité des systèmes d’information (Anssi). Bien que le mot ne figure pas strictement dans l’intitulé de votre commission, et bien que je professe régulièrement de me méfier de ce terme, je comprends que derrière l’ensemble de ces sujets se posent des questions de souveraineté. J’axerai donc mon propos liminaire sur les trois déterminants que j’identifie généralement pour notre souveraineté numérique, en précisant à chaque fois leur intersection avec les missions de l’Anssi puisque cette dernière n’est pas, à proprement parler, en charge de la souveraineté numérique, même si elle y contribue. J’adopterai cet angle de lecture lié à nos dépendances extra-européennes ou, plus généralement, à nos dépendances numériques, car je pense que le seul critère de lecture européen ou non européen n’est pas toujours le plus significatif.

Je rappelle rapidement, à titre d’introduction, que du point de vue de l’Anssi, la souveraineté numérique recouvre trois enjeux. Le premier est la cybersécurité au sens propre, c’est-à-dire notre capacité à ne pas être une victime facile de cyberattaques. Lorsque l’État échoue à protéger les données des concitoyens ou lorsque les services publics sont paralysés, ces atteintes à la sécurité deviennent des atteintes fondamentales à la souveraineté. Y répondre et les éviter autant que possible constitue la mission fondamentale de l’Anssi. Le deuxième pilier de la souveraineté numérique est celui du droit. Il s’agit d’appliquer notre droit et nos règles telles que nous les avons choisies dans l’expression de la souveraineté définie par notre Constitution, et de ne pas subir les règles définies par d’autres, sur lesquelles nous n’aurions pas voix au chapitre, ce qui renvoie à toute la question du droit extraterritorial. C’est un sujet de préoccupation pour l’Anssi lorsqu’il se matérialise par des risques qui impactent nos missions en termes de confidentialité, d’intégrité et de disponibilité des données. C’est évidemment un sujet bien plus vaste, puisque l’on pourrait ranger dans la même catégorie la modération des contenus sur les plateformes en ligne, l’accès des mineurs aux réseaux sociaux ou aux contenus pornographiques, qui ne relèvent pas du registre de l’Anssi mais qui, fondamentalement, procèdent du même problème. Le troisième pilier est la liberté de choix d’usage des technologies critiques pour les missions de l’État. Cela renvoie à des enjeux de politique industrielle, qui ne sont pas la mission première de l’Anssi, même si elle y contribue.

Le défi que posent les dépendances numériques se retrouve dans ces trois dimensions de la souveraineté avec, à mes yeux, un même enjeu fondamental. Si je l’observe avec un regard historique, nous vivons un moment de prise de conscience collective : le paysage numérique construit ces 30 ou 40 dernières années s’inscrit dans cette « parenthèse dorée » des dividendes de la paix, en laissant de côté des crises et des tensions internationales qui reviennent aujourd’hui au premier plan. Ce contexte se reflète directement dans la manière dont ce paysage a été conçu : un numérique insuffisamment sécurisé, traversé de vulnérabilités, marqué par des dépendances mal maîtrisées et une complexité excessive, et dans lequel les risques n’ont ni été véritablement verbalisés ni formalisés. Pour le dire plus directement, nous avons trop souvent privilégié la rapidité et la facilité dans la construction de cet environnement numérique, et ces choix se traduisent aujourd’hui par des risques que nous peinons à maîtriser. Cela vaut pour l’État français comme pour les autres États, ainsi que pour les entreprises, même si la notion de souveraineté ne s’y applique pas pleinement.

Si j’entre dans le détail de ces trois piliers, la cybersécurité constitue évidemment notre cœur de métier, et le défi fondamental tient à l’omniprésence de vulnérabilités basiques, présentes de longue date mais désormais mises en évidence par une menace qui s’est massifiée. Les cyberattaquants n’épargnent plus personne, sans même évoquer l’accélération que promet l’intelligence artificielle (IA), au bénéfice des attaquants comme de l’ensemble des acteurs. La menace apparaît donc importante et susceptible de s’aggraver. C’est le constat posé dans la Revue nationale stratégique, qui retient comme scénario central une escalade géopolitique se traduisant par une massification et une coordination des cyberattaques. Cela met en évidence un enjeu de diffusion des bonnes pratiques, au cœur de la stratégie nationale de cybersécurité et de la transposition de la directive NIS 2.

Mais au-delà de ces bonnes pratiques, se pose également la question de la maîtrise des dépendances, dans la mesure où elles contribuent directement à notre vulnérabilité. À cet égard, l’Anssi a publié en mars son panorama de la menace, qui détaille ses observations pour 2025 et fait apparaître un constat majeur inscrit dans une tendance de fond : les attaques que nous traitons sont de plus en plus liées à la chaîne d’approvisionnement. Les prestataires et sous-traitants informatiques deviennent ainsi des points d’entrée privilégiés dans les systèmes d’information des victimes finales, qu’il s’agisse de prestataires de maintenance, d’infogérance ou du cloud, qui n’est pas exempt de vulnérabilités, tandis que les composants logiciels eux-mêmes sont de plus en plus ciblés.

Collectivement, à l’échelle mondiale, nous sommes en train de perdre la bataille contre les vulnérabilités logicielles puisque leur nombre a progressé de 18 % par an en moyenne sur les cinq dernières années pour atteindre 50 000 vulnérabilités rendues publiques chaque année, un tiers d’entre elles étant exploitées dès le jour de leur publication, à un rythme bien trop rapide pour permettre leur correction. Cette course est perdue d’avance et se trouve encore compliquée par la complexité et la réutilisation des chaînes de valeur logicielles. Deux exemples récents l’illustrent avec des briques open source comme Axios et LightLLM, qui ont fait l’objet d’attaques par piégeage, c’est-à-dire d’intrusions au sein même de leur communauté de développement. Même lorsque ces attaques sont détectées très rapidement, nous nous heurtons à un problème majeur de traçabilité pour identifier l’ensemble des réutilisations de ces fragments de code. J’exprime souvent cette difficulté de manière imagée : nous disposons de davantage d’informations lorsque nous achetons une saucisse, dont nous pouvons retracer l’origine jusqu’au cochon, que lorsque nous acquérons un logiciel. La traçabilité fait défaut et la chaîne de contamination est, en pratique, impossible à retracer rigoureusement. Aujourd’hui, ni l’État ni les entreprises ne disposent d’une cartographie complète de leur environnement logiciel et je constate, à chaque attaque que nous traitons, que l’attaquant connaît souvent mieux le système d’information de sa victime que la victime elle-même. Une partie de la réponse viendra du règlement européen sur la cyber-résilience, le CRA, qui imposera une première forme de traçabilité avec le SBOM (Software Bill of Materials), mais il faudra évidemment étendre cette exigence à l’intelligence artificielle, sujet que nous portons notamment dans le cadre du G7.

L’enjeu du droit recoupe quant à lui directement les risques de cybersécurité, notamment à travers le droit extraterritorial, qui peut conduire à des accès non maîtrisés aux données, sans voie de recours. On pense au Cloud Act, aux lois FISA américaines ou à la loi chinoise sur le renseignement, ainsi qu’au risque de kill switch, c’est-à-dire la possibilité de couper des services numériques à travers l’application du contrôle export. Ces risques ne sont pas théoriques, ils sont déjà utilisés contre nous et, si ces dispositions existent, c’est pour être mises en œuvre. Aucune réponse purement technologique ne permet de faire face à ces risques puisque le chiffrement ne protège pas du Cloud Act et encore moins d’un kill switch. Cette réalité conduit à s’interroger sur la nationalité des fournisseurs, sans pour autant s’en tenir à une lecture binaire, car c’est l’ensemble de la chaîne de valeur qu’il faut examiner.

Pour des technologies structurantes comme la 5G ou le cloud, la complexité est réelle. Le référentiel SecNumCloud comporte 1 200 points de contrôle mêlant exigences techniques et non techniques, notamment sur la nationalité, la capitalisation et la gouvernance des fournisseurs. Il n’interdit pas le recours à des technologies étrangères, inévitables dans la pile logicielle du cloud, mais exige qu’elles soient maîtrisées par un prestataire européen. Dans ce cadre, cette qualification offre aujourd’hui le niveau de garantie le plus élevé face aux effets du droit extraterritorial. Cela vaut pour des approches hybrides, comme l’offre S3NS opérée par Thales reposant sur des technologies Google, comme pour des offres présentées comme non hybrides, qui intègrent elles aussi des briques américaines.

Sur ces sujets, il convient de distinguer le court et le moyen terme, qui relèvent de la maîtrise des risques, du long terme, qui renvoie à des enjeux de politique industrielle visant à multiplier les alternatives. Personne ne dispose aujourd’hui d’une solution face à une coupure généralisée d’accès aux technologies américaines ou chinoises, et si l’Europe se trouvait demain privée de mises à jour, la situation deviendrait rapidement intenable. Se pose également un enjeu de passage à l’échelle au niveau européen, car il n’est pas possible de traiter chaque technologie au cas par cas. Un cadre juridique plus générique est nécessaire et dans cette perspective, la révision du Cyber Security Act, le CSA II, constitue un vecteur pertinent : loin de clore le débat sur les risques non techniques, elle l’ouvre, la Commission ayant introduit un dispositif spécifique pour en assurer la prise en compte. L’essentiel est donc de rouvrir cette discussion à l’échelle européenne.

Enfin, l’Anssi, comme toute administration, est contrainte par ses dépendances numériques : lors du traitement d’un incident dans un cloud, elle dépend du prestataire et, lors d’une investigation sur un téléphone, du fabricant. Les options en matière d’outils spécialisés en cybersécurité sont souvent limitées, ce qui explique le développement interne d’outils, ensuite publiés en open source, et l’Anssi figure ainsi parmi les principales administrations productrices de logiciels libres. Répondre à ces contraintes liées à l’absence d’alternatives suppose donc une politique industrielle structurée car, dans certains cas, la diversité des offres mondiales suffit à éviter les situations de monopole et, dans d’autres, une maîtrise par des acteurs européens s’impose, sans pour autant viser une autarcie irréaliste. L’open source constitue un levier essentiel, sans être une solution unique. Son fonctionnement, sa pérennité et, le cas échéant, son financement doivent être examinés.

L’Anssi n’est pas chargée de conduire la politique industrielle, mais elle y contribue car ses visas de sécurité, qualifications et certifications peuvent éclairer les choix en tant qu’acteur neutre. Elle participe également à l’orientation des financements de France 2030 et des dispositifs européens pour combler les lacunes, notamment afin d’accompagner les plus petites structures appelées à relever de la directive NIS 2. Le principe est clair : mettre la politique industrielle au service de la cybersécurité, et non l’inverse. Les jugements en matière de cybersécurité ne sont pas infléchis pour promouvoir des solutions, même françaises ou européennes. Au sein de l’État, certaines administrations veillent à la sécurité des Airbus et des Boeing, tandis que d’autres soutiennent Airbus, et cette séparation répond à une logique fondée. Une vigilance particulière est également portée aux évolutions majeures, telles que l’intelligence artificielle ou la cryptographie post-quantique.

Pour conclure, la maîtrise des dépendances numériques apparaît comme un enjeu à la fois complexe et structurant, dont dépend notre sécurité et notre liberté d’action. Le fait que ce débat s’ouvre chez nos partenaires européens constitue une évolution positive, sans que cela doive conduire à en sous-estimer ni la complexité, ni les temporalités, ni le coût. Reprendre la maîtrise de ces dépendances, notamment en recourant à des fournisseurs européens, se fait rarement à coût nul ou à performance équivalente. Cela suppose d’entrer dans une logique d’investissement, les solutions européennes étant vraisemblablement plus coûteuses, mais relevant d’un choix d’investissement pertinent.

M. le président Philippe Latombe. Ma question fait écho à deux auditions récentes : celle d’un général spécialisé dans le numérique à l’Otan et nos échanges avec la DG Connect à Bruxelles, qui convergent sur l’importance des réseaux. Dans le contexte géopolitique actuel, les États-Unis ont commencé à recommander de ne plus acquérir de routeurs ou de cross-connects chinois. La France a engagé une démarche comparable avec la loi sur la 5G et la DG Connect envisage d’en reprendre les principes dans de futures réglementations européennes. En parallèle, la Chine adopte une approche similaire. La DG Connect souligne toutefois que la situation n’est pas symétrique puisque les Chinois seraient des adversaires, tandis que les Américains demeurent des alliés proches, ce qui rendrait difficile toute mesure discriminatoire à leur encontre. À l’inverse, le général de l’Otan insiste sur la nécessité de retrouver une capacité industrielle pour produire ces équipements, la maîtrise des réseaux étant essentielle. Quelle est, dans ce contexte, la position de l’Anssi sur ces enjeux, et comment entend-elle contribuer aux discussions européennes à venir ?

M. Vincent Strubel. C’est une question qui comporte de nombreuses ramifications. Les réseaux sont évidemment essentiels. L’attention se porte volontiers sur des technologies visibles et innovantes comme l’intelligence artificielle, alors même qu’elles reposent sur des infrastructures d’hébergement et de connectivité qu’il faut considérer en permanence. C’est dans cet esprit que la France a anticipé, au moins pour la 5G, en abordant la sécurité de ces réseaux non seulement sous l’angle technique mais aussi au regard des risques d’ingérence. La loi de 2019 n’est pas dirigée contre Huawei, mais vise à affirmer la souveraineté de nos réseaux numériques face à toute ingérence non européenne.

La question n’est pas de savoir s’il faut se protéger des Chinois, des Américains ou des deux, et la réduire à une opposition entre alliés et adversaires serait une erreur. L’enjeu réside dans les leviers que des États étrangers peuvent actionner à notre encontre, qu’ils le fassent ou non de manière hostile, en s’appuyant sur un droit à l’égard duquel nous ne disposons d’aucun recours. Cela ne revient pas à placer ces deux pays sur un même plan, car les États-Unis sont formellement nos alliés, mais des choix technologiques qui engagent sur 20 ou 30 ans ne peuvent reposer sur la seule configuration actuelle des alliances, au risque de supposer qu’elle restera inchangée à cette échéance, hypothèse que rien ne permet de garantir. C’est la logique à l’œuvre dans SecNumCloud ou dans la loi 5G : il ne s’agit pas de qualifier des partenaires, mais d’objectiver les leviers susceptibles d’être utilisés contre nous, sans présumer de l’intention de ceux qui les détiennent. Ces leviers existent, et la question est celle de leur acceptabilité. La 5G ne constitue qu’un volet des réseaux de télécommunication, mais elle montre que, même lorsque l’enjeu est identifié, sa prise en compte s’inscrit dans le temps long : la transformation d’infrastructures de réseau s’opère sur plusieurs années, pour des raisons à la fois économiques et industrielles.

Mme Cyrielle Chatelain, rapporteure de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Si j’ai bien compris votre réponse, la question est de savoir comment objectiver les risques d’ingérence étrangère, quelle que soit la nationalité, selon une grille de lecture applicable sur le temps long. Pouvez-vous nous donner les grandes caractéristiques qui permettent d’objectiver ces risques ?

Concernant la cybersécurité, plusieurs témoignages nous ont indiqué que les outils de sécurité actuels étaient très majoritairement américains. Partagez-vous ce constat ? Si oui, quel est votre degré d’inquiétude quant à la limitation de notre capacité de choix, et comment anticipez-vous le risque de kill switch pour ces infrastructures critiques ? La question de l’absence de mise à jour fait-elle partie des tests que vous prenez en compte ?

Enfin, nous avons beaucoup parlé des États, mais nous voyons aujourd’hui des acteurs économiques qui prennent des positions politiques. Je pense particulièrement à Palantir, qui a publié un manifeste il y a quelques jours. Ces acteurs fournissent des services que l’on peut considérer comme critiques en matière de renseignement. Quel regard portez-vous sur ces acteurs ?

M. Vincent Strubel. Objectiver ces leviers implique de passer par une analyse rigoureuse des risques. Le processus consiste à recenser les risques, à en apprécier la plausibilité et à évaluer l’effectivité des contre-mesures. Cette analyse se conduit au cas par cas, car celle applicable à la 5G diffère de celle du cloud. Sur le cloud, il est possible de concevoir un montage où un prestataire européen de confiance, soumis en priorité au droit européen, opère une technologie étrangère. C’est le modèle de SecNumCloud, qui apporte une garantie solide contre l’accès extraterritorial aux données et contre un éventuel kill switch décidé par des autorités étrangères. Pour la 5G, l’analyse conduit en revanche à conclure que l’intervention directe du fournisseur sur le réseau étant indispensable, certains fournisseurs doivent simplement être écartés.

Sur les outils actuels de sécurité, l’idée selon laquelle seules les solutions américaines seraient performantes ne me semble pas correspondre à la réalité. La France et l’Europe disposent d’offres de cybersécurité de très haut niveau, qui figurent dans les catalogues de solutions recommandées par l’Anssi parce qu’elles satisfont aux critères de qualification. Les produits qualifiés sont, pour l’essentiel, français ou européens. Le choix se porte pourtant souvent sur des solutions mises en avant dans le Magic Quadrant de Gartner, rarement européennes, car il est perçu comme plus sûr à titre individuel. Cette logique de confort entretient une forme de monoculture qui constitue en elle-même un facteur de risque. L’épisode intervenu juste avant les Jeux olympiques et paralympiques l’a illustré : une mise à jour défaillante de la solution dominante sur le marché a paralysé des millions d’ordinateurs dans le monde, la France ayant été relativement moins touchée, en partie grâce à une moindre dépendance à cette monoculture.

S’agissant de Palantir, il ne s’agit pas d’entrer dans une analyse politique, mais de rappeler que le fonctionnement de notre démocratie suppose de ne pas dépendre de fournisseurs qui, par leurs prises de position, en viendraient à contester les règles fixées par le législateur. Une entreprise n’a pas vocation à se substituer à celui-ci et lorsque certains acteurs du numérique affirment qu’une disposition législative serait impossible à mettre en œuvre, il convient de rester vigilant. Cet argument peut en effet traduire avant tout une incompatibilité avec leur modèle économique, ce qui ne constitue pas un motif recevable dans le cadre du processus législatif.

M. le président Philippe Latombe. Pour prolonger la question sur l’écosystème cyber, on observe une concentration des acteurs, avec des acquisitions importantes de la part d’entreprises américaines. Comment analysez-vous ce phénomène ? Vous est-il déjà arrivé de saisir le service de l’information stratégique et de la sécurité économiques (Sisse) ou d’être interrogé par lui, sur l’opportunité de s’opposer à la cession d’une entreprise française ? Comment fonctionne la coopération entre le Sisse et l’Anssi ?

M. Vincent Strubel. Cela relève en effet d’un processus quotidien et encadré. Par construction, tout investissement étranger dans une entreprise française du secteur de la cybersécurité donne lieu à une saisine de l’Anssi par le Sisse afin d’évaluer les risques. Cette analyse fait partie de notre activité courante. Une vigilance particulière s’exerce pour prévenir toute prise de contrôle étrangère d’entreprises fournissant des solutions critiques pour des enjeux régaliens ou pour les opérateurs d’importance vitale et il nous arrive, le cas échéant, de nous opposer à ce type d’opérations.

M. le président Philippe Latombe. Lorsque l’entreprise se situe en dessous des seuils de revue du Sisse, disposez-vous de la faculté de signaler qu’elle présente, selon vous, un caractère critique justifiant un examen, même si elle n’entre pas formellement dans le champ de contrôle ?

M. Vincent Strubel. Nous contribuons en effet au dispositif de protection et de sécurité économique pour identifier les entreprises stratégiques à protéger en priorité. Lorsqu’il s’agit de bloquer un investissement étranger, les critères de droit s’appliquent et en dessous des seuils, il est possible d’alerter mais pas de s’opposer.

Plus largement, la recomposition du paysage industriel impose d’éviter les situations de monopole, tout en répondant à un enjeu de taille critique pour les offres françaises et européennes, aujourd’hui très morcelées. L’existence de PME innovantes et agiles constitue un atout, mais beaucoup n’atteignent pas la masse nécessaire. Une forme de consolidation apparaît donc souhaitable, qu’elle soit capitalistique ou fondée sur des coopérations et des offres communes. Là où un grand acteur permet d’accéder à une gamme complète de solutions, le recours à une multitude de PME suppose de multiplier les actes d’achat et d’en assurer l’intégration. Ce morcellement demeure une faiblesse de l’offre européenne.

Mme Cyrielle Chatelain, rapporteure. Pour revenir sur SecNumCloud et la question de l’extraterritorialité du droit, vous avez affirmé que le chiffrement ne protégeait pas du Cloud Act. Pourriez-vous développer ce point ?

Par ailleurs, le fait de stocker des données sensibles d’opérateurs d’importance vitale (OIV) doit-il relever de SecNumCloud ? Quelle est votre appréciation de la protection actuelle de ces données par les OIV ?

S’agissant enfin des solutions hybrides, comment garantir concrètement l’absence d’accès, notamment lors des mises à jour ? Vous avez indiqué que le kill switch constituait un risque pour toute solution comportant une composante américaine. Combien de temps un service peut-il fonctionner sans mises à jour ? Dès lors que les solutions les plus répandues sont aussi les plus ciblées, une telle situation n’engendre-t-elle pas une vulnérabilité accrue ?

M. Vincent Strubel. Sur le chiffrement, l’argument souvent avancé par certains acteurs du cloud est insuffisant car même si les données sont chiffrées, leur traitement implique que la clé de déchiffrement soit présente dans le cloud, aux côtés des données, ce qui permet au prestataire d’y accéder. Les technologies de confidential computing visent à remédier à cette limite, mais elles ne sont aujourd’hui ni suffisamment fiables ni généralisables, ce qui ne permet pas de se dispenser de la confiance accordée au prestataire. C’est pourquoi SecNumCloud ne garantit pas la protection des données contre l’opérateur de cloud, mais par celui-ci contre des tiers, et impose qu’il soit européen.

La notion de solution hybride est en réalité trompeuse puisque toutes les offres SecNumCloud reposent, à des degrés divers, sur des technologies non européennes, qu’il s’agisse de systèmes d’exploitation, de bases de données ou de solutions de virtualisation. Une infrastructure de cloud agrège une multitude de composants, qu’aucun acteur ne maîtrise intégralement. L’enjeu ne réside donc pas dans l’origine de chaque brique, mais dans l’organisation de l’exploitation : le prestataire européen opère l’infrastructure, tandis que les fournisseurs de technologies n’ont ni accès aux données ni rôle dans son fonctionnement quotidien. Dans ces conditions, ils ne peuvent pas interrompre le service, et le scénario de kill switch ne s’applique pas. En revanche, une interruption prolongée de l’accès aux mises à jour poserait un problème majeur, quel que soit le modèle de cloud, car le niveau de sécurité se dégrade rapidement. Cette dépendance est généralisée et souvent mal connue, du fait de la complexité des chaînes logicielles.

Pour les OIV, l’exigence est claire : tout système d’information critique hébergé dans le cloud doit relever de SecNumCloud. Pour les autres systèmes, il convient d’identifier les données sensibles, d’éviter leur concentration et de ne pas les placer dans des environnements soumis à des droits extraterritoriaux.

Mme Cyrielle Chatelain, rapporteure. Pour continuer sur les offres en partenariat franco-américain, comment les mises à jour se passent-elles concrètement ? J’imagine que des équipes de Windows ne peuvent pas prendre la main sur les équipements. Les employés de la société française ont-ils connaissance du code des logiciels installés ? L’objectif est-il de pouvoir reconstruire à partir de ce code ? Une vérification du code des mises à jour est-elle effectuée ?

M. Vincent Strubel. Sans promouvoir un modèle en particulier, le cas de S3NS, seule offre dite hybride aujourd’hui qualifiée SecNumCloud, illustre un point précis : le cycle de mise à jour repose sur un flux continu, au sein duquel des équipes françaises disposent, dans leurs processus, de la capacité d’inspecter, tester et vérifier chaque mise à jour. Elles ont accès au code source et procèdent à une analyse systématique. Cette capacité a évidemment ses limites puisque l’examen du code ne permet pas de détecter toutes les vulnérabilités, faute de quoi la question de la cybersécurité serait déjà résolue. Mais ce droit de regard existe. On peut même observer, non sans une certaine ironie, que les mises à jour de Google dans un environnement comme S3NS font l’objet d’un contrôle bien plus attentif que celles de Microsoft, déployées quasi automatiquement sur les systèmes de nos administrations et de nos entreprises. Cette situation rappelle que la dépendance aux technologies américaines ne se limite pas au cloud.

Enfin, sans que cela constitue un objectif recherché par l’Anssi, le fait que des acteurs européens développent une capacité de maîtrise de technologies américaines produit un effet positif. Il ne s’agit pas de renoncer à construire des alternatives, mais cette maîtrise renforce notre capacité d’analyse et de compréhension, tout en offrant un point d’appui pour appréhender plus finement le fonctionnement ou les éventuelles difficultés liées à ces technologies.

M. le président Philippe Latombe. Je souhaite aborder la question des dépendances propres à l’Anssi. La stratégie nationale cyber française a été publiée concomitamment à la stratégie américaine, qui s’inscrit dans une perspective sensiblement différente. Cette dernière évoque notamment le transfert au secteur privé de capacités cyberoffensives sur des réseaux communs, un point absent de la stratégie française, tandis que, parallèlement, la communauté du renseignement cyber a été affectée par d’importantes coupes budgétaires. Dans ce contexte géopolitique marqué par une évolution notable de la stratégie américaine, l’Anssi et ses homologues européens disposent-ils aujourd’hui d’une capacité réelle d’autonomie en matière de renseignement cyber ?

M. Vincent Strubel. Je ne m’aventurerai pas à comparer le degré d’offensivité des deux stratégies, la France ayant fait le choix clair de distinguer les composantes offensive et défensive. Ces dernières dialoguent et partagent du renseignement dans le respect de leurs rôles respectifs, mais je n’ai ni vocation à connaître nos capacités offensives ni à les commenter.

S’agissant du cœur de métier de l’Anssi, la compréhension de la menace repose sur des sources multiples. Elle s’appuie tout d’abord sur nos propres observations, issues de la supervision des réseaux de l’État et des investigations menées lors des incidents : en intervenant, nous traitons la crise, mais nous analysons également les modes opératoires, afin d’enrichir nos capacités de détection et d’analyse. Cette connaissance est complétée par les services de renseignement, par les apports du secteur privé en matière de Cyber Threat Intelligence, ainsi que par les échanges avec nos partenaires étrangers dans le cadre d’une coopération fondée sur le partage d’alertes et d’analyses.

La France dispose ainsi aujourd’hui d’une véritable autonomie d’appréciation de la menace, puisque ces apports extérieurs enrichissent notre analyse, mais ne la conditionnent pas. Nous sommes en mesure de détecter et de comprendre des menaces par nous-mêmes, y compris celles émanant d’acteurs peu documentés. Autrement dit, nous ne sommes pas dépendants de ces contributions, même si nous en tirons naturellement bénéfice.

Mme Cyrielle Chatelain, rapporteure. Pour poursuivre sur le cloud, vous évoquez un travail quotidien, et j’imagine en effet qu’il y a des interventions constantes à mener. Dans le cadre des solutions de partenariat franco-américain intégrant des technologies américaines, une partie des mises à jour est-elle de nature standard, ou s’agit-il de mises à jour quotidiennes émanant du fournisseur qui doivent être analysées au jour le jour ? Vous avez par ailleurs indiqué que la plupart des offres actuelles intègrent des composantes américaines. Si ces dernières requièrent des mises à jour quotidiennes, un délai de six mois pour qualifier une nouvelle offre peut sembler long. J’ai le sentiment que des failles de sécurité majeures pourraient apparaître et que la dégradation pourrait être rapide.

Concernant les référentiels de souveraineté du cloud, l’autorité de cybersécurité allemande a retenu une approche plus granulaire, avec des barèmes et plusieurs niveaux de maîtrise. Quelle est votre analyse de cette logique et comment peut-elle s’articuler avec une approche comme celle de SecNumCloud ?

Enfin, plus globalement, vous avez défini la souveraineté comme la capacité à faire appliquer nos propres règles. L’Union européenne a adopté des réglementations extrêmement ambitieuses comme le RGPD (règlement général sur la protection des données), le DSA (Digital Services Act) ou DMA (Digital Markets Act). Toutefois, plusieurs témoignages suggèrent que leur application n’est pas encore pleine et entière. Quel est votre regard sur le niveau d’application effectif de ces réglementations ?

M. Vincent Strubel. S’agissant des mises à jour, leur flux est effectivement quotidien, mais c’est une caractéristique inhérente à toute infrastructure numérique complexe, quel que soit le prestataire. Un prestataire de cloud ne fournit pas seulement de l’infrastructure mais aussi un catalogue très large de logiciels que les clients peuvent instancier à la demande. La valeur du cloud tient précisément à cette capacité à déployer en quelques clics des environnements hétérogènes, combinant par exemple plusieurs systèmes d’exploitation et différentes bases de données. L’ensemble de ces composants, au-delà de la seule couche d’infrastructure, doit être maintenu et mis à jour, ce qui implique un flux continu portant sur un nombre très important de logiciels.

S’agissant des logiques de barème et de notation, de légères divergences existent avec nos partenaires allemands. La différence tient à l’approche, puisqu’eux n’ont pas fait le choix d’une certification exigeante comme SecNumCloud, qui repose sur un processus lourd et structuré. Ce choix peut se discuter, mais il correspond à une exigence de garantie que nous estimons nécessaire. Le débat européen portera donc autant sur les critères eux-mêmes que sur les modalités de leur vérification, qui constituent, à mon sens, le véritable point de différenciation. Les approches par notation présentent un intérêt, mais elles demeurent complémentaires et ne sauraient se substituer à une qualification. Cette logique de barème a d’ailleurs été reprise par la Commission européenne dans son Cloud Sovereignty Framework, ainsi que par des initiatives françaises comme l’indice de résilience numérique. Ces outils permettent d’approfondir l’analyse des dépendances et de tenter d’en mesurer l’intensité en évaluant, par exemple, la part de composants non européens. Si cette démarche est utile, elle ne constitue pas une réponse en matière de couverture des risques car lorsqu’il s’agit de se prémunir contre l’application du droit extraterritorial, la logique ne peut être graduelle et est nécessairement binaire. Or dans ces systèmes de notation, ce critère ne représente qu’une part limitée de l’évaluation globale, ce qui peut conduire à obtenir une bonne note tout en restant pleinement exposé à ce risque.

La démarche la plus pertinente consisterait donc à articuler une certification permettant de garantir que les risques majeurs sont effectivement couverts, et une notation visant à apprécier le niveau de dépendance. Ce dernier point revêt également une dimension économique, car la dépendance à un fournisseur unique expose à des évolutions tarifaires subies. La question des dépendances ne se limite donc pas à l’accès ou à la sécurité, et renvoie aussi au risque d’enfermement technologique et financier.

M. le président Philippe Latombe. Une nouveauté récente est l’arrivée de l’IA, notamment sa capacité à produire et à inspecter du code. Je pense en particulier à Mythos. Avez-vous eu accès à Mythos ? Avez-vous pu l’évaluer et que pouvez-vous nous en dire ? Ce modèle a fait suffisamment de bruit pour que le président de la Réserve fédérale américaine convoque les banquiers pour leur dire d’y recourir face à un risque jugé réel, alors même que ces derniers sont censés être familiers de l’IA depuis des années.

Par conséquent, envisagez-vous d’intégrer dans vos réflexions et vos futures certifications l’utilisation de l’IA comme moyen de réaliser des tests d’intrusion, de la vérification de code ou de la recherche de failles ? Envisagez-vous de modifier vos référentiels à la lumière de ces évolutions technologiques ?

M. Vincent Strubel. Nous n’avons pas accès à Mythos. Comme la plupart des observateurs, nous l’analysons à partir de témoignages indirects, ce qui invite à une certaine prudence. Ce qui en ressort, au-delà du discours porté par Anthropic, c’est moins une rupture qu’une étape marquante dans une trajectoire déjà engagée. L’évolution était prévisible et elle va se poursuivre. En cela, Mythos ne constitue pas un cas isolé appelé à dominer durablement le paysage car d’autres acteurs atteignent déjà des niveaux comparables, et les prochaines générations de modèles iront plus loin. Nous sommes face à une dynamique d’amélioration continue, dont l’accélération impose de raisonner à moyen terme plutôt qu’en termes de rupture ponctuelle.

Dans ce contexte, l’intelligence artificielle devient effectivement de plus en plus apte à identifier des vulnérabilités et à produire du code permettant de les exploiter. Cela ne signifie pas qu’un modèle comme Mythos soit aujourd’hui capable de conduire de manière autonome une cyberattaque de bout en bout, mais il peut fournir à un attaquant humain des éléments crédibles, tant pour la détection des failles que pour leur exploitation. La conduite complète de l’attaque, avec la compréhension de l’infrastructure et l’enchaînement des actions, demeure en revanche du ressort humain. Il s’agit d’une évolution significative et la réponse à votre deuxième question est donc positive : il faut intégrer ces évolutions dans nos logiques de certification et, plus largement, dans la production logicielle. Nous sommes déjà, collectivement, en difficulté face aux vulnérabilités puisque des dizaines de milliers sont découvertes chaque année, non pas seulement à la sortie des logiciels, mais sur des systèmes déjà en circulation, et elles peuvent être exploitées très rapidement. Cela impose de traiter un flux continu de correctifs, que la plupart des organisations ne parviennent pas à absorber dans les délais, même sans l’apport de l’IA. Des architectures de défense en profondeur permettent d’en atténuer les effets, mais elles ne dispensent pas de traiter le problème à la source, dès la conception des logiciels.

Dans cette perspective, la certification peut constituer un levier, mais elle ne suffit pas : le recours à l’IA doit s’inscrire au cœur du cycle de développement, au même titre que les outils d’analyse existants. Se contenter d’accélérer la détection et la correction des vulnérabilités reviendrait à rester en position défensive, l’enjeu étant d’empêcher leur apparition dans les produits diffusés, ce qui suppose une transformation profonde du cycle de vie logiciel.

À titre prospectif, on peut envisager qu’une future évolution du cadre européen impose qu’un produit numérique mis sur le marché ait fait l’objet d’une analyse par des outils d’IA. Une telle orientation soulèverait toutefois des questions de dépendance technologique, selon les acteurs capables de fournir ces outils. Sur ce point, il existe néanmoins des perspectives de développement d’acteurs européens capables d’atteindre rapidement des niveaux de performance comparables en matière de détection et de correction des vulnérabilités.

Mme Cyrielle Chatelain, rapporteure. L’écriture de code par l’IA représente-t-elle selon vous un risque de perte de qualité et de création de vulnérabilités ? Quelle est votre analyse sur ce point ?

Pour changer de sujet, vous avez rappelé que la mission première de l’Anssi n’est pas de mener une politique industrielle. Vous avez néanmoins vocation à encourager le développement d’offres de services et de produits de sécurité, et vous avez notamment été fortement impliqué dans le volet cybersécurité de France Relance. Quel regard portez-vous sur ce qui a été fait et quels outils vous semblent pertinents pour dynamiser cette filière industrielle ?

M. Vincent Strubel. S’agissant de l’IA générant du code, la principale difficulté tient à l’évaluation de sa propre sécurité. L’usage de l’IA comme outil, qu’il serve les attaquants ou les défenseurs, constitue un enjeu, mais le risque majeur apparaît lorsque l’IA remplace progressivement les logiciels traditionnels, soit en produisant le code, soit en prenant directement des décisions. Or, il faut garder à l’esprit qu’aucune méthode ne permet aujourd’hui d’apporter à ces systèmes des garanties de sécurité comparables à celles que l’on peut offrir pour un logiciel classique. Leur évaluation demeure imparfaite et leur certification n’est pas maîtrisée. Cette question constitue une priorité des travaux engagés dans le cadre de l’Institut national pour l’évaluation et la sécurité de l’intelligence artificielle (Inesia) réunissant notamment l’Anssi et l’Institut national de recherche en sciences et technologies du numérique (Inria). Elle se double d’une difficulté d’analyse a posteriori : face à un comportement anormal, il est souvent impossible de déterminer de manière certaine s’il résulte d’une attaque ou d’un dysfonctionnement propre au modèle. Contrairement à un logiciel traditionnel, une IA ne peut pas être corrigée par un simple correctif puisque sa modification suppose un réentraînement, avec des cycles et des incertitudes différents.

Ces éléments introduisent des risques significatifs, d’autant qu’une pression forte existe pour déployer rapidement ces technologies. Les biais constituent également un point d’attention : les IA apprennent à partir de données produites par les humains et sont susceptibles de reproduire leurs erreurs. Là où des développeurs commettent des fautes variées, une IA peut systématiser un même défaut, créant ainsi un risque de vulnérabilités à grande échelle. Ces enjeux font partie des axes de travail en cours, sans qu’une solution pleinement satisfaisante n’existe à ce stade.

Concernant France Relance et les dispositifs d’accompagnement associés, nous avons mobilisé ce plan conformément à sa finalité initiale de soutenir une économie fragilisée par la crise sanitaire en y contribuant par le renforcement de la cybersécurité. Le bilan est, à mon sens, très positif. Sur les 176 millions d’euros engagés, 100 millions ont été consacrés aux parcours de cybersécurité, qui ont permis de mobiliser des prestataires labellisés par l’Anssi au bénéfice de petits établissements publics. Près d’un millier de collectivités, d’établissements d’enseignement et d’autres structures ont ainsi été accompagnés pour amorcer une démarche de sécurité, avec des effets concrets, puisque certains hôpitaux ont évité des cyberattaques susceptibles de les paralyser. Ce dispositif a également eu un effet structurant sur la filière, puisque les financements ont bénéficié très majoritairement à des prestataires français et européens sans que cela résulte d’un choix délibéré de l’Anssi. Les autres actions menées dans ce cadre, notamment le financement d’équipements de cybersécurité, ont suivi la même logique, en soutenant l’acquisition de pare-feux, de solutions de chiffrement ou de VPN figurant dans les catalogues qualifiés.

Ce dispositif a donc permis de renforcer la sécurité des acteurs publics, de soutenir la filière nationale et européenne et d’accélérer l’équipement des structures concernées. La question de sa reproductibilité demeure toutefois ouverte, tant au regard des contraintes du droit européen en dehors d’un contexte exceptionnel que de la situation des finances publiques, mais son utilisation apparaît, rétrospectivement, pleinement justifiée.

M. le président Philippe Latombe. Si, au fil des auditions que vous avez suivies, des points vous paraissent importants à souligner ou si, à l’inverse, vous estimez que certaines idées sont mauvaises ou non conformes à votre analyse, n’hésitez pas à nous en faire part par écrit.

* *

Audition, ouverte à la presse, de M. Henri d’Agrain, délégué général du Club informatique des grandes entreprises françaises (Cigref) (jeudi 30 avril 2026)

M. le président Philippe Latombe. Mes chers collègues, nous recevons à présent M. Henri d’Agrain, délégué général du Cigref (Club informatique des grandes entreprises françaises). Au cours de nos auditions, il a souvent été question d’une étude sur la dépendance technologique européenne estimant que 83 % des achats de services cloud et logiciels des entreprises européennes sont adressés à des acteurs américains, soit environ 265 milliards d’euros par an. Pouvez-vous présenter cette étude et sa méthodologie ? Comment rapatrier ces services en France ?

Je vous remercie de nous déclarer tout intérêt public ou privé de nature à influencer vos déclarations. Auparavant, je vous rappelle que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter serment de dire la vérité, toute la vérité et rien que la vérité.

(M. Henri d’Agrain prête serment).

M. Henri d’Agrain, délégué général du Club informatique des grandes entreprises françaises. Je vous remercie de me recevoir aujourd’hui. À titre liminaire, je souhaite préciser mes intérêts. Je suis personnalité qualifiée au sein d’une commission extra‑parlementaire, la Commission supérieure du numérique et des postes (CSNP), présidée par le sénateur de l’Isère, M. Damien Michallet. Pour le reste, je suis un ancien officier de la marine nationale et, depuis une dizaine d’années, délégué général du Cigref.

Avant d’entrer dans le fond, permettez‑moi de rappeler brièvement que le Cigref est une association loi 1901, à but non lucratif, sans activité commerciale. Ses membres sont les grandes entreprises françaises ou de racines françaises, ainsi que de grandes administrations publiques françaises, en leur qualité d’utilisatrices de produits et de services numériques. Le Cigref porte donc la voix des grandes organisations publiques et privées utilisatrices du numérique en France.

Le propos que je tiens aujourd’hui s’appuie sur les travaux d’intelligence collective conduits avec nos adhérents, que je représente aujourd’hui. Mon intervention se limitera volontairement aux domaines que nous connaissons et sur lesquels nous travaillons, en particulier le marché B2B des logiciels et des services cloud à usage professionnel. Je n’aborderai pas le marché B2C, pour lequel le Cigref ne dispose pas d’une expertise spécifique distincte de celle de tout usager, même si les opérateurs peuvent parfois être les mêmes.

Venons‑en à la notion de dépendance technologique telle qu’elle est perçue par les adhérents du Cigref. Il faut d’abord rappeler que toute organisation s’inscrit dans un écosystème de dépendances : dépendance à l’égard des actionnaires, des collaborateurs, notamment pour les compétences critiques, dépendance vis‑à‑vis de partenaires et de fournisseurs de toute nature. La dépendance technologique, en elle‑même, n’est donc ni anormale ni honteuse ; elle constitue le cadre ordinaire de fonctionnement de toute entreprise ou administration.

En revanche, lorsque l’on est dépendant, il est indispensable de disposer d’une cartographie rigoureuse des risques induits par ces dépendances. Cette démarche vise ainsi à réduire les menaces pesant sur la résilience de l’organisation, c’est‑à‑dire sa capacité à absorber, encaisser et surmonter des chocs ou des perturbations de toute nature.

Or, depuis des décennies, les conséquences systémiques des dépendances numériques des entreprises, des administrations publiques et, plus largement, de notre économie ont été largement sous‑estimées. Elles ont été insuffisamment analysées et souvent minimisées par de nombreux décideurs, qu’ils soient économiques ou politiques. Dans un contexte de conflictualité croissante, la résilience numérique est ainsi devenue une préoccupation de tout premier plan pour l’ensemble des membres du Cigref.

Cette prise de conscience ne date pas d’hier. Elle s’inscrit dans le prolongement de travaux réglementaires importants, tels que le règlement sur la résilience opérationnelle numérique du secteur financier (Dora) ou la directive NIS 2. Ces textes ne traitent pas uniquement de cybersécurité au sens strict, mais bien de résilience, entendue comme la maîtrise des dépendances stratégiques. Dora vise explicitement la résilience opérationnelle, notamment dans le secteur financier, et constitue aujourd’hui un standard de réflexion qui s’étend progressivement à l’ensemble des secteurs critiques. La définition de la résilience qu’il propose nous semble pertinente pour être appliquée à tous les secteurs confrontés aux enjeux de dépendance numérique.

Lorsque l’on parle de dépendance technologique, il est essentiel d’en mesurer les conséquences majeures. Nous en identifions trois catégories principales, communes aux organisations publiques et privées. La première est d’ordre économique. Lorsqu’une organisation se trouve en situation de dépendance et de verrouillage technologique, elle offre à son fournisseur la possibilité d’exploiter cette dépendance de manière abusive, qui se traduit généralement par des hausses tarifaires excessives. Ce phénomène est aujourd’hui massif. Vous avez évoqué la première étude Asterès que nous avons publiée en avril 2025, mais une seconde étude sera publiée à la mi‑mai 2026. Elle portera spécifiquement sur les hausses tarifaires à l’horizon de cinq ans, jusqu’en 2030‑2031, et sur leurs conséquences macroéconomiques pour l’économie européenne. Il s’agit là d’un sujet de préoccupation majeure pour nos adhérents, car il touche directement à la captation de valeur par des acteurs dominants. Ces conséquences sont aujourd’hui exploitées de manière massive.

La deuxième conséquence est d’ordre juridique. Les données, qu’elles soient personnelles ou non, ainsi que les traitements associés, sont souvent hébergés dans des infrastructures cloud soumises à des législations non européennes. Cela ouvre la voie à des accès légaux et secrets par des puissances étrangères. L’exemple le plus connu est celui de la section 702 du Foreign Intelligence Surveillance Act (Fisa) américain. La Chine dispose d’un dispositif comparable avec sa loi sur le renseignement du 27 juin 2017. Ces cadres juridiques posent de lourdes questions en matière de confidentialité des données. Ils peuvent également être mobilisés dans des stratégies de sanctions, comme l’illustrent certains cas récents, notamment ceux des magistrats de la Cour pénale internationale.

La troisième conséquence est d’ordre géopolitique. Dans un monde marqué par des tensions exacerbées, ces dépendances systémiques peuvent devenir des leviers de contrainte ou de rétorsion, utilisés pour influencer le comportement d’États rivaux ou même alliés.

À ce stade, je souhaite attirer votre attention sur une illusion dangereuse, parfois relayée par certains observateurs. Je pense notamment à l’idée déployée par Mario Draghi dans son rapport, selon laquelle l’Europe aurait perdu la bataille du cloud et devrait désormais se concentrer sur celle de l’intelligence artificielle. Cette vision est trompeuse : l’intelligence artificielle est un service cloud comme un autre ; il n’y a pas d’IA sans infrastructures cloud. Imaginer une stratégie d’IA indépendante des infrastructures relève de la même logique que certaines doctrines industrielles passées, comme la doctrine des entreprises sans usines (« fabless ») de Serge Tchuruck dans les années 1990, qui ont contribué à accélérer la désindustrialisation de l’Europe.

Il n’existe pas de stratégie « serveurless » viable. L’entraînement et le déploiement des modèles d’IA sont indissociables des infrastructures matérielles. Lorsque l’on observe les coûts complets, on constate une répartition de l’ordre de 80‑20 : 80 % relèvent des infrastructures, 20 % du développement des modèles.

Une économie avancée ne peut durablement accepter que 80 % de sa production industrielle soit localisée en Asie et 80 % de ses services numériques aux États‑Unis. Une telle dynamique serait insoutenable. Il n’y a pas d’avenir pour une économie européenne qui renoncerait à la maîtrise de ses infrastructures numériques critiques.

Par ailleurs, puisque ce point figurait dans votre questionnaire, je souhaite revenir sur la notion de souveraineté. Du point de vue du Cigref, il est impératif de distinguer clairement deux niveaux d’analyse : le niveau microéconomique et le niveau macroéconomique. Le premier relève des entreprises elles‑mêmes. Il engage directement la responsabilité des dirigeants, des directions du numérique et des systèmes d’information. Leur mission consiste à développer la résilience numérique de leur organisation à partir d’analyses de risques qui leur sont propres. Ces risques sont par nature hétérogènes ; ils varient selon les secteurs d’activité, les implantations géographiques, les chaînes de valeur.

Le second niveau est macroéconomique. La responsabilité revient à l’État et à l’échelle pertinente aujourd’hui, aux institutions européennes. Il relève des politiques publiques de créer des cadres de souveraineté, à travers la réglementation, les investissements stratégiques, la commande publique et les politiques industrielles.

Sur ce point, la position du Cigref est claire et rigoureuse : la souveraineté est un attribut exclusif de l’État. Il suffit de se référer à la définition du dictionnaire de l’Académie française ou au rapport remarquable du Conseil d’État sur la souveraineté publié en 2024. La souveraineté désigne la compétence exclusive de l’État à exercer ses responsabilités sur une population et un territoire, compétence limitée uniquement par les engagements internationaux qu’il a librement consentis.

Dans ces conditions, parler de « solutions souveraines » ou de « cloud souverain » relève bien souvent d’une forme de paresse intellectuelle. Rien ne justifie que, dans le champ numérique, on s’écarte de cette définition fondamentale. C’est pourquoi le Cigref parle, pour les entreprises, de résilience, et appelle les États et les institutions européennes, dans le cadre de leurs compétences respectives, à mettre en œuvre de véritables politiques de souveraineté dans le champ de l’économie numérique.

Or, force est de constater qu’à ce jour, ces politiques sont largement inexistantes ou très insuffisamment mises en œuvre, en particulier sur le marché B2B des logiciels et des services cloud, qui constitue le cœur de notre champ d’observation. Prenons l’exemple de la régulation de la concurrence. Sur ce marché, il existe manifestement un défaut d’action publique, puisqu’à de rares exceptions près, les autorités de concurrence et les pouvoirs publics sont restés largement inertes. Le rachat de VMware par Broadcom en constitue une illustration emblématique. Ce rachat a été annoncé en mai 2022. Or, dès septembre 2021, le Cigref avait saisi l’Autorité de la concurrence sur les pratiques abusives de Broadcom à la suite du rachat de CA Technologies et de Symantec Enterprise. Malheureusement, cette saisine n’a jamais été instruite.

En 2022, nous avons alerté la Commission européenne et les autorités françaises : si Broadcom rachetait VMware, les mêmes mécanismes se reproduiraient. À l’époque, tous les adhérents du Cigref, publics comme privés, étaient clients de VMware d’une manière ou d’une autre. Le risque de position ultradominante était donc évident. Les faits nous ont malheureusement donné raison. En 2024 et 2025, nous avons observé des hausses tarifaires massives, des modifications unilatérales des modèles de licences et de tarification, et une véritable prédation sur l’économie européenne, dans un climat d’atonie quasi totale des pouvoirs publics, et notamment des autorités de concurrence.

Dès lors, une politique de souveraineté, sur ce marché où 264 milliards d’euros sont transférés chaque année vers les États‑Unis et où 83 % des achats européens de logiciels et de services cloud B2B sont captés par des acteurs américains, devrait commencer par l’application effective du droit de la concurrence. Ce serait là un premier pilier concret d’une politique de souveraineté. En l’absence de régulation, la plupart des opérateurs dominants exploitent de manière systématique et abusive les situations de dépendance économique et technologique de leurs clients.

Un autre exemple de ce vide régulatoire est fourni par le règlement sur les marchés numériques (DMA). Celui‑ci identifie dix « core platform services », parmi lesquels figurent les services cloud, en dépit d’un intense lobbying visant à les en exclure. Pourtant, lorsque la Commission européenne a désigné les gatekeepers le 6 septembre 2023, aucun acteur n’a été désigné pour les services cloud. Nous sommes dans cette situation depuis plus de deux ans.

En novembre dernier, à Berlin, la Commission a annoncé l’ouverture d’enquêtes sur AWS et Microsoft, ainsi qu’une réflexion sur les modalités de désignation de gatekeepers dans les cloud services. Mais au regard des délais observés et de la rapidité des évolutions technologiques, il est permis de douter.

Les positions dominantes continuent de se renforcer, notamment par l’intégration de nouveaux services comme les outils d’intelligence artificielle, qui sont eux‑mêmes des services cloud. Je pourrais multiplier les exemples. Mais le message essentiel est celui‑ci : il n’y aura pas d’avenir pour l’économie européenne si elle ne se dote pas d’une véritable industrie du numérique. De fait, il n’y a pas d’avenir pour l’économie européenne si celle-ci ne dispose pas de sa propre industrie du numérique.

Par ailleurs, il me semble que le regard porté sur la régulation du numérique entre l’Europe et les États‑Unis a profondément évolué, même si cette évolution n’est pas toujours perçue clairement. On entend souvent l’idée selon laquelle les États‑Unis innoveraient tandis que l’Europe se contenterait de réguler. À mon sens, cette formule est trompeuse, car elle repose sur une lecture biaisée de ce que recouvre réellement la notion de régulation.

En Europe, la régulation est traditionnellement conçue avec deux objectifs primaires : garantir des prix bas pour le consommateur et assurer la protection de la vie privée. Lorsque l’on observe la situation américaine à travers ces lunettes européennes, on en conclut rapidement que les États‑Unis ne régulent pas. Or cette conclusion est erronée : il existe bien une régulation aux États‑Unis, mais elle repose sur un objectif fondamentalement différent, qui concerne la préservation et le renforcement de la puissance nationale.

L’industrie de la technologie et du numérique constitue l’un des quatre piliers de la puissance et de l’hégémonie américaines dans le monde. Cette réalité structure la manière dont les États‑Unis conçoivent leur régulation. De ce point de vue, il serait souhaitable que l’Europe accepte, au moins ponctuellement, d’adopter les lunettes du régulateur américain lorsqu’il s’agit de penser l’avenir de son industrie numérique et la résilience de son économie.

Je souhaite conclure ce propos introductif en revenant sur les principaux enseignements de l’étude que nous avons publiée en avril 2025 sur le coût de la dépendance technologique européenne. Les chiffres sont connus, mais il me semble utile de les rappeler. Chaque année, 264 milliards d’euros sont dépensés sur le marché B2B des logiciels et des services cloud auprès d’entreprises américaines. Cela représente 83 % des achats réalisés par l’économie européenne sur ce segment.

Environ 80 % de la valeur ainsi générée est créée aux États‑Unis, ce qui permet d’y soutenir près de 1,9 million d’emplois directs, indirects et induits. L’étude se concluait par une projection volontairement prudente : si, d’ici 2035, l’Europe parvenait à rapatrier seulement 15 % de ces dépenses vers des opérateurs européens, cela pourrait permettre la création de plus de 450 000 emplois sur le continent. Ce chiffre est loin d’être marginal.

Je tiens à préciser que cette étude ne s’inscrit absolument pas dans une logique d’éviction des technologies américaines. L’objectif était de mettre en évidence une dynamique de dépendance croissante, qui s’opère au détriment de l’économie européenne. À titre de comparaison, les 264 milliards d’euros consacrés chaque année aux services numériques américains sont du même ordre de grandeur que les dépenses européennes annuelles en gaz et en pétrole, qui s’élèvent à environ 350 milliards d’euros.

Vous m’avez également interrogé sur la méthodologie de cette étude. Il convient d’abord d’expliquer pourquoi nous avons confié ce travail au cabinet Asterès. En 2023‑2024, lorsque nous avons cherché à quantifier le coût de ces dépendances, nous avons constaté qu’aucune donnée consolidée n’existait. Ni Eurostat, ni la Banque centrale européenne (BCE), ni le FMI ne disposaient de chiffres permettant d’identifier précisément le montant des achats européens de services numériques auprès d’entreprises américaines.

Cette lacune s’explique par la nature même de ces flux. Lorsqu’une entreprise européenne achète un service numérique à un acteur américain, il s’agit juridiquement d’un échange intra-européen, puisque les filiales sont implantées en Europe. Les revenus sont ensuite rapatriés vers les États‑Unis sous forme d’investissements directs étrangers (IDE), le plus souvent via des structures localisées en Irlande, mais également aux Pays‑Bas ou au Luxembourg, pour des raisons d’optimisation fiscale. La première conclusion de notre étude n’est donc pas tant le chiffre de 264 milliards que le constat suivant : il n’est pas normal que l’Europe ne dispose d’aucune donnée fiable sur un phénomène de cette ampleur.

Ensuite, la méthodologie retenue repose sur une analyse microéconomique approfondie. Six entreprises issues de secteurs différents ont été interrogées, avec un examen détaillé de leurs factures, de leurs contrats et de leurs usages. Les économistes d’Asterès ont ensuite extrapolé ces données à l’échelle macroéconomique européenne à l’aide de leurs modèles. Des vérifications de cohérence ont été menées, notamment par comparaison avec les études semestrielles de conjoncture de Numeum et les données du marché du logiciel. De fait, les ordres de grandeur obtenus apparaissent robustes.

Nous publierons à la mi‑mai 2026 une deuxième étude, également réalisée avec Asterès, portant sur l’impact macroéconomique des hausses tarifaires observées sur le marché du logiciel et des services cloud. Cette étude s’appuie sur un échantillon élargi de cinquante-quatre entreprises européennes, incluant des acteurs français, allemands, néerlandais et belges. Elle analyse les hausses tarifaires constatées depuis cinq ans et projette leur évolution à l’horizon 2030‑2031.

Les premiers résultats sont particulièrement préoccupants. Alors que l’inflation « normale » des prix des logiciels devrait se situer autour de 2,7 %, nous observons une hausse effective proche de 9 %, soit un facteur trois. Les projections indiquent une poursuite de cette dynamique entre 9 % et 12 % par an sur les cinq prochaines années. À ce rythme, une facture double en moins de huit ans.

Si rien ne change, les 264 milliards d’euros actuels pourraient dépasser 500 milliards à l’horizon 2032, à périmètre constant. Or 93 % des directions interrogées estiment que ces hausses ne sont pas justifiées par des gains de productivité équivalents. Nous évaluons donc le surcoût annuel moyen pour l’économie européenne à 68 milliards d’euros, dont 45 milliards d’euros repartiraient directement vers les États‑Unis chaque année.

Sur le plan macroéconomique, Asterès estime que ces hausses pourraient entraîner une perte de 0,3 point de PIB par an pour l’économie européenne d’ici 2030 et la destruction d’environ 660 000 emplois. Je ne suis pas économiste et je ne prétends pas juger de la pertinence ultime de ces modèles, mais Asterès est reconnu pour son sérieux et ses travaux font référence.

Enfin, je souhaite répondre à une remarque relative à une supposée naïveté passée des dirigeants européens concernant l’accès des agences de renseignement américaines aux données des citoyens non américains. Il ne s’agissait pas tant de naïveté que d’un impensé ; la question ne se posait pas réellement il y a dix ans. Elle aurait sans doute dû se poser plus tôt. En revanche, depuis trois à cinq ans, je constate une prise de conscience très nette chez nos adhérents. Ainsi, les grandes organisations disposent désormais, pour la plupart, de stratégies visant à conserver leurs données les plus sensibles et stratégiques sur leurs propres infrastructures. Elles utilisent les outils des grands fournisseurs internationaux en pleine connaissance de cause, mais sans y exposer leurs actifs informationnels critiques.

Cette prise de conscience se heurte toutefois à une limite : l’incapacité actuelle des institutions européennes à adopter des cadres juridiques réellement protecteurs des données sensibles et stratégiques des entreprises. Les hésitations et revirements observés depuis 2023 sur la certification européenne pour les services de cloud (EUCS) et notamment le niveau High +, en témoignent.

M. le président Philippe Latombe. Je vous remercie pour ce panorama. Le chiffrage que vous avez donné, issu de votre première étude, a fréquemment été cité lors des différentes auditions. Vous la prolongez cette année avec une autre étude portant sur les augmentations tarifaires, à isopérimètre, c’est-à-dire hors IA.

M. Henri d’Agrain. Des projections ont effectivement été établies, nous sommes actuellement au stade de la vérification, avant la prochaine publication.

M. le président Philippe Latombe. À périmètre équivalent de l’étude que vous aviez menée en 2025, vous projetez les augmentations tarifaires. Vous indiquez qu’elles ne sont pas justifiées par une augmentation de la productivité des entreprises clientes. Cependant, à un moment ou à un autre, elles doivent avoir une justification pour l’entreprise qui fournit son produit. Comment l’expliquez-vous ? S’agit-il de pouvoir financer d’autres investissements, par exemple dans l’IA ? S’agit-il de profiter d’une position dominante ?

M. Henri d’Agrain. Lorsqu’un fournisseur occupe une position dominante, il dispose de mécanismes puissants de verrouillage, communément désignés sous le terme de « vendor lock‑in ». Ces mécanismes reposent sur plusieurs facteurs structurels. Pour une grande organisation déjà engagée sur une solution donnée, sortir de cette solution pour migrer vers une alternative, ou même vers plusieurs alternatives, ne relève jamais d’une opération simple. Il s’agit, dans tous les cas, de projets industriels lourds et complexes.

L’exemple de la sortie de VMware est à cet égard éclairant. Pour les membres du Cigref, une telle transition implique des investissements financiers considérables, la mobilisation de compétences spécialisées, ainsi que des délais très longs. Pendant toute la durée du projet, qui peut s’étendre sur trois, quatre ou cinq ans, l’organisation ne peut évidemment pas interrompre ses services. Elle est donc contrainte de continuer à utiliser la solution initiale, de recontractualiser lorsque le contrat arrive à échéance, et d’accepter les nouvelles conditions imposées par le fournisseur.

Au terme de ce processus, l’organisation se retrouve souvent sur une solution équivalente, sans gain de productivité significatif. Elle a simplement quitté une relation devenue toxique, avec le risque d’en recréer une autre. Certaines entreprises ont ainsi envisagé de passer de VMware à Citrix, avant de constater que des mécanismes similaires de verrouillage étaient mis en place, notamment après l’arrivée, chez Citrix, d’un ancien dirigeant ayant piloté le rachat de VMware par Broadcom.

Il convient enfin de souligner que l’exploitation d’une situation de verrouillage n’est pas l’apanage des sociétés américaines. Des acteurs européens peuvent également s’inscrire dans ce type de dynamique. Ainsi, la société SAP constitue aujourd’hui un exemple régulièrement discuté avec fermeté par ses clients. Nous estimons que ces pratiques relèvent d’une exploitation abusive, même si leur qualification juridique ne nous appartient pas. C’est précisément pour cette raison que nous appelons de nos vœux des enquêtes et une intervention des autorités de régulation afin d’en apprécier objectivement la nature.

Mme Cyrielle Chatelain, rapporteure de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. J’aimerais prolonger la réflexion que vous avez esquissée en conclusion de votre propos. Vous avez évoqué à plusieurs reprises, tant dans votre intervention introductive que dans vos réponses, ce que vous qualifiez d’« apathie » des autorités de la concurrence. Pourriez‑vous préciser les freins que vous avez identifiés à l’origine de cette situation ? Existe‑t‑il, selon vous, un cadre juridique qui demeure inappliqué ?

Vous indiquez également ne pas avoir obtenu de retours. S’agit‑il d’avis explicitement négatifs, d’échanges informels, ou d’une absence totale de réponse ? Des contacts ont‑ils été noués, soit avec les autorités européennes, soit avec les autorités françaises, et si oui, avec quels résultats ? Ces éléments nous aideraient à mieux comprendre la nature de cette situation.

Par ailleurs, vous avez évoqué la régulation américaine, fondée sur la considération du numérique comme l’un des piliers de la puissance nationale. Lorsque vous suggérez d’adopter, au moins partiellement, les « lunettes » du régulateur américain, pourriez‑vous nous donner des exemples concrets de dispositifs ou de pratiques que vous jugez particulièrement pertinents, même s’ils ne sauraient être transposés à l’identique dans le contexte européen ?

M. Henri d’Agrain. Votre première question est relative à l’attitude des autorités de régulation. Je demeure très prudent quant aux raisons profondes de l’apathie, voire de l’atonie, que nous constatons sur le marché B2B du numérique. Il est probable que plusieurs facteurs se conjuguent. Toutefois, certains faits objectifs méritent d’être rappelés.

Nous avons disposé d’exemples particulièrement clairs et avons, à ce titre, alerté Mme Vestager, alors vice‑présidente exécutive de la Commission européenne en charge de la concurrence et, à ce titre, autorité compétente pour le contrôle des concentrations. Elle devait se prononcer sur le projet de rachat de VMware par Broadcom. Nous l’avons alertée de manière formelle et documentée, en nous appuyant notamment sur les éléments de notre saisine de 2021, en expliquant très précisément ce qui s’était produit après le rachat de CA Technologies et de Symantec Enterprise. Nous indiquions que le même scénario se reproduirait inévitablement.

Il ne s’agissait pas d’un procès d’intention, mais d’une analyse fondée sur les pratiques passées. Le PDG de Broadcom, M. Hock Tan, n’achète pas des technologies pour les faire prospérer au bénéfice de leurs clients, mais des situations de dépendance afin de les exploiter de manière intensive au service de la performance financière du groupe. C’est exactement ce qui s’est produit.

Or, engager une action contre un acteur comme Broadcom constitue une opération extrêmement complexe pour toute autorité de régulation. Cela requiert non seulement une capacité juridique élevée, mais également des instruments adaptés. Or, il me semble que les procédures actuelles du droit de la concurrence sont fondamentalement inadaptées à la dynamique temporelle des technologies numériques. Lorsqu’une autorité commence à instruire un dossier, à notifier des griefs, puis à mener une enquête approfondie qui peut durer trois, quatre ou cinq ans, le marché a déjà basculé. Les positions dominantes se sont consolidées, les modèles économiques ont évolué, et l’effet correcteur devient marginal, voire inexistant.

Nous disposons donc, selon moi, d’outils de régulation qui ne sont pas adaptés au fonctionnement du marché numérique B2B. Je ne généralise pas ce constat à l’ensemble des secteurs économiques ; il est possible que ces instruments fonctionnent dans d’autres domaines. Mais dans celui qui nous occupe, ils se révèlent manifestement inefficaces.

Une seconde raison mérite également d’être soulignée : le traitement de tels dossiers exige des compétences extrêmement spécialisées et des ressources importantes. Je ne comprends toujours pas, à titre personnel, pourquoi la saisine de 2021 n’a jamais été instruite, alors même que nos conseils juridiques nous avaient assuré de la solidité du dossier. Il est possible que les autorités aient été confrontées à un déficit de moyens, à un volume excessif de dossiers ou à la complexité particulière de ceux‑ci. Je n’en ai pas la certitude, précisément parce qu’aucune explication ne nous a été fournie.

Au niveau européen, et plus spécifiquement au sein de la direction générale de la concurrence, on observe en outre une extrême prudence, sans doute liée à des considérations dépassant le strict champ du droit de la concurrence. Ces dossiers s’articulent nécessairement avec des enjeux de politique commerciale et de relations diplomatiques avec les États dont relèvent ces grands acteurs. Il n’est jamais simple de s’attaquer frontalement à des fournisseurs américains d’envergure mondiale, même lorsque les indices d’abus sont nombreux.

Du point de vue des utilisateurs européens, il existe pourtant une matière évidente à intervention, non pas en raison de la nationalité de ces entreprises, mais parce qu’elles concentrent, à elles seules, l’essentiel du marché. Sur le segment que nous observons, 83 % du marché est capté par des acteurs américains, et cette concentration obéit à la règle classique du 80‑20 : environ 20 % des fournisseurs détiennent près de 80 % du marché. Nous sommes donc dans des situations de monopole ou, à tout le moins, d’oligopole.

À ce titre, l’exemple des suites collaboratives est particulièrement révélateur. Sur le marché B2B, environ 70 % des entreprises utilisent la suite collaborative Microsoft 365, près de 20 % utilisent Google Workspace, et les 10 % restants se répartissent entre une multitude d’acteurs. Dans les grandes entreprises, la réalité est encore plus tranchée.

S’agissant désormais de votre seconde question, relative à la régulation américaine, je mentionnerai deux textes fondamentaux pour comprendre la manière dont les États‑Unis conçoivent la régulation du numérique. Le premier est la stratégie nationale de sécurité des États‑Unis. Le second est la « stratégie cyber du Président Trump pour l’Amérique », dont le titre même est particulièrement explicite quant aux ambitions poursuivies. Ces documents expriment clairement une vision stratégique : la régulation de la technologie est indissociable de la préservation du leadership national.

Parmi les instruments concrets, je citerai le FedRamp (Federal Risk and Authorization Management Program), qui encadre la certification de sécurité pour l’accès aux marchés publics américains. Sans être explicitement présenté comme tel, ce dispositif produit un effet d’éviction massif à l’encontre des acteurs non américains dès lors que des enjeux de sécurité sont en jeu.

À cela s’ajoute une utilisation extrêmement volontariste de la commande publique comme levier industriel. L’histoire d’Amazon Web Services (AWS) est, à cet égard, éloquente. Avant l’attribution d’un contrat fédéral majeur de 600 millions de dollars au début des années 2010, AWS était un acteur parmi d’autres. Après ce contrat, l’activité a connu une croissance fulgurante, atteignant rapidement plus de 30 % de parts de marché mondiales, position qu’elle occupe encore aujourd’hui. En résumé, l’effet de levier de la commande publique joue un rôle majeur.

La différence essentielle avec l’Europe réside dans la rapidité des choix. Les États‑Unis sélectionnent des champions, investissent de manière concentrée et agissent dans des temporalités compatibles avec le rythme du numérique. Il s’agit de procéder à de vrais choix industriels, pour ensuite grandir très rapidement.

M. le président Philippe Latombe. Je souhaiterais formuler une question complémentaire, en lien avec votre référence au règlement Dora. Sa transposition n’a pas encore eu lieu et, en France, elle est envisagée de manière articulée avec les directives NIS 2 et REC. Dès lors, pensez‑vous qu’il serait pertinent d’étendre la notion de résilience, telle qu’elle est définie dans Dora, aux cadres des directives NIS 2 et de REC ? Plus précisément, la cartographie des risques exigée des acteurs devrait‑elle intégrer explicitement la capacité à se défaire de dépendances technologiques identifiées comme critiques ?

Par ailleurs, les grands groupes, dont certains sont vos adhérents, ont‑ils engagé ce travail ? Vous avez évoqué la protection des données les plus sensibles par des solutions « on‑premise » ou sur site. Existe‑t‑il aujourd’hui, au‑delà de cette approche, une réflexion structurée sur le recours à des solutions européennes ?

M. Henri d’Agrain. Notre approche ne consiste pas à appeler prioritairement à une intervention législative. Nous avons d’abord cherché à clarifier le cadre conceptuel. Nous avons repris la définition de la résilience numérique telle qu’elle est formulée dans le règlement Dora et nous avons affirmé que cette définition constituait une base pertinente pour appréhender la résilience numérique de toute grande organisation, quelle que soit sa nature.

Nous avons proposé cette définition à nos adhérents en leur indiquant qu’elle pouvait servir de référence commune. Dans le contexte actuel, où l’ensemble des grandes organisations s’interrogent sur leur résilience, et en particulier sur leur résilience numérique, cette approche rencontre un large consensus. Nous échangeons d’ailleurs depuis l’origine avec les porteurs de l’indice de résilience numérique, auxquels nous avons suggéré d’utiliser cette définition issue de Dora pour structurer leurs travaux. Il nous paraissait naturel de nous appuyer sur un texte européen existant, qui offre une définition claire et opérationnelle.

Certes, Dora n’a pas encore été transposé formellement en droit français, mais il est d’ores et déjà mis en œuvre. Les régulateurs s’en sont emparés, en particulier la Banque centrale européenne, qui supervise les banques systémiques. Depuis environ un an et demi, la dynamique est largement engagée, notamment à travers les travaux conduits avec les vingt principales banques européennes. Cette trajectoire est désormais bien enclenchée et appelée à se renforcer.

De notre côté, nous œuvrons pour diffuser cette culture de la résilience numérique auprès du public le plus large possible, en France comme en Europe. Nous avons ainsi proposé de travailler sur cette notion avec nos partenaires que sont Voice en Allemagne, CIO Platform aux Pays‑Bas, Beltug en Belgique. Très récemment, l’un des vice‑présidents du Cigref s’est rendu en Pologne avec un collaborateur pour échanger avec le ministre du numérique et une trentaine d’entreprises, chambres de commerce et représentants économiques, autour de cette thématique.

Il importe toutefois de préciser que la définition de la résilience numérique que nous portons ne se limite pas à la seule maîtrise des dépendances. Elle intègre également la gestion des compétences critiques, la sécurité numérique, la stratégie, la qualité des architectures et d’autres dimensions structurantes. Huit piliers, issus de Dora, permettent ainsi d’articuler l’ensemble des enjeux de la résilience numérique.

Enfin, nous ne recommandons pas d’étendre mécaniquement l’application de Dora à toutes les entreprises, ce qui serait irréaliste et difficilement applicable. En revanche, promouvoir une définition commune de la résilience numérique, partagée par le secteur public comme par le secteur privé, nous paraît constituer une démarche pertinente.

Mme Cyrielle Chatelain, rapporteure. Je souhaiterais revenir sur le chiffre des 264 milliards d’euros annuels qui irriguent l’économie américaine au titre des services numériques. Vous avez souligné à juste titre le double enjeu qui y est attaché : d’une part, une réorientation, même partielle, de ces flux vers l’Europe ; d’autre part, une diversification indispensable afin de limiter les pratiques agressives liées aux situations de quasi‑monopole.

Les auditions menées convergent vers un constat clair. Cette réorientation suppose l’émergence d’acteurs européens capables d’atteindre une taille critique et de répondre aux exigences du marché. En tant que représentants de grands donneurs d’ordre, publics comme privés, vos adhérents occupent une position stratégique. Quel rôle peuvent‑ils jouer dans la structuration et la montée en puissance de ces acteurs européens ? Comment peuvent‑ils, par leurs choix contribuer concrètement à dynamiser un écosystème européen du numérique ?

M. Henri d’Agrain. Les grands donneurs d’ordre contribueront effectivement à l’émergence et à la consolidation d’acteurs numériques européens à la condition que l’environnement dans lequel ils évoluent soit réellement favorable. Tout l’enjeu réside précisément dans la création de cet environnement. Celui‑ci suppose une mise en cohérence, au niveau européen, de l’ensemble des instruments de politique publique – réglementation, fiscalité, commande publique et politique d’investissement. Sans cette cohérence, il est illusoire d’espérer faire émerger de véritables champions européens.

Or, aujourd’hui, dans le champ des technologies numériques, les politiques industrielles publiques souffrent d’un défaut majeur : elles refusent de faire des choix clairs. Cette indécision produit des situations que je considère, du point de vue des très grandes organisations, comme économiquement irrationnelles. Je prendrai un exemple concret : le cloud dit de confiance en France, tel qu’il est défini dans le cadre de SecNumCloud.

Sur ce segment stratégique, trois acteurs dits de cloud public représentent à eux seuls plus de 70 % du marché : AWS, Google Cloud et Microsoft Azure. Face à eux, sur le périmètre national, on recense une pluralité d’acteurs de cloud de confiance tels que Bleu, OVHcloud, Scaleway, Outscale, Cloud Temple, et d’autres encore. Ce sont toutes des entreprises de grande qualité, innovantes. Mais peut‑on raisonnablement penser qu’une telle dispersion permettra de faire émerger un champion de taille européenne ? Pour ma part, j’ai du mal à percevoir la rationalité économique d’une telle fragmentation.

Cette question est d’autant plus sensible que les grandes entreprises, qu’elles soient publiques ou privées, opèrent à l’échelle européenne, voire mondiale. Elles ne peuvent se permettre de travailler avec un dispositif de certification en France, un autre en Allemagne, encore un autre en Espagne, et ainsi de suite. Cette hétérogénéité constitue un frein majeur à l’adoption de solutions alternatives européennes.

C’est précisément pour cette raison que nous estimons que la révision du Cyber Security Act, que l’on désigne sous le terme de CSA 2, constitue une opportunité stratégique. Elle devrait permettre de créer un schéma européen de certification de sécurité des services cloud, offrant des labels optionnels, adaptés aux besoins des utilisateurs. Parmi ces critères, l’intégration de garanties d’immunité à l’égard des législations extraterritoriales non européennes, lorsque cela est nécessaire, nous paraît déterminante. Un tel schéma serait un levier majeur pour accélérer le développement du cloud de confiance en Europe et renforcer l’émergence de véritables alternatives.

M. le président Philippe Latombe. L’absence, jusqu’à récemment, de solutions cloud allemandes expliquait l’opposition de l’Allemagne à certains dispositifs européens, notamment l’EUCS. Le développement de solutions de type Schwartz nous permettra-t-il de trouver une solution avec les Allemands sur le sujet ?

M. Henri d’Agrain. À mon sens, cette interprétation n’est pas la bonne. L’analyse que je propose repose sur les échanges que nous avons eus avec nos partenaires allemands. Jusqu’à la mi‑2023, le schéma EUCS comprenait un niveau renforcé, dit High +, intégrant des critères d’immunité face aux législations extraterritoriales.

Le 25 mai 2023, les principales associations représentant les entreprises technologiques américaines, notamment la Computer and Communications Industry Association (CCIA) et la Business Software Alliance (BSA), ont adressé un courrier à l’administration Biden pour exprimer leur opposition à ce dispositif européen, qu’elles considéraient comme une menace potentielle pour la sécurité nationale américaine. En septembre 2023, le secrétaire d’État américain Antony Blinken a adressé une note diplomatique à la Commission et aux chancelleries européennes, indiquant que l’adoption de l’EUCS en l’état pourrait engendrer des conséquences sur les relations économiques et sécuritaires transatlantiques.

À l’automne 2023, la Commission européenne décide alors de renvoyer le schéma à l’Agence européenne de cybersécurité (Aesri). Lorsqu’il réapparaît en mars 2024, il est expurgé de l’ensemble des critères d’immunité aux législations extraterritoriales. À l’été 2024, la Commission justifie cette décision par une analyse de son service juridique, soutenant qu’un schéma de certification fondé sur le Cyber Security Act ne pourrait contenir que des critères dits « techniques », c’est-à-dire technologiques.

C’est ainsi qu’a émergé dans le CSA 2 une distinction artificielle entre risques techniques et risques non techniques, distinction qui, du point de vue des utilisateurs, n’a aucun sens. Qu’un risque soit qualifié de technique ou non, dès lors qu’il affecte la confidentialité, l’intégrité ou la disponibilité des données et des traitements associés, il constitue un risque de sécurité numérique.

En Allemagne, cette évolution s’est traduite par un revirement politique rapide. Les conséquences économiques potentielles, notamment pour l’industrie automobile très exposée au marché américain, ont pesé lourdement. Pourtant, le 30 octobre 2023, un communiqué trilatéral entre la France, l’Italie et l’Allemagne affirmait encore la volonté de travailler à un schéma européen de certification de sécurité intégrant des critères d’immunité extraterritoriale. Un mois plus tard, la position allemande avait changé.

À cela se sont ajoutées les réticences d’autres États, tels que les Pays‑Bas, exprimant la crainte de restrictions d’accès au marché américain et aux garanties de sécurité américaines. Ce faisceau de pressions et de lobbying a finalement conduit à l’abandon des critères d’immunité dans le schéma européen de certification. Telle est, en tout cas, l’analyse que j’en fais, au regard des éléments dont nous disposons.

Mme Cyrielle Chatelain, rapporteure. Je souhaiterais revenir sur la question centrale de la réorientation des achats, en m’appuyant sur l’exemple que vous avez développé à propos du cloud. Nous partageons pleinement la nécessité d’une harmonisation au niveau européen et nous constatons que la France porte, sur la scène européenne, une position claire et constante en faveur de l’immunité face aux législations extraterritoriales. L’enjeu consiste désormais à convaincre nos homologues des autres États membres afin d’élargir ce consensus.

S’agissant de SecNumCloud, ma compréhension actuelle, confirmée par l’audition récente du directeur de l’Agence nationale de la sécurité des systèmes d’information (Anssi), est la suivante : en France, SecNumCloud est obligatoire pour certains types de données des administrations ou des opérateurs d’importance vitale (OIV).

M. Henri d’Agrain. Cela ne concerne que les opérateurs de l’État, et non les opérateurs d’importance vitale.

Mme Cyrielle Chatelain, rapporteure. En revanche, pour les autres entreprises, et notamment pour les grands acteurs privés, il n’existe aucune obligation de recourir à SecNumCloud. Il s’agit d’un label offrant un niveau de garanties renforcées, qui peut être intégré volontairement dans une stratégie de sécurité, mais qui ne s’impose pas juridiquement. Je tenais à clarifier ce point, car la manière dont la question avait été formulée pouvait laisser entendre une contrainte généralisée qui n’existe pas en l’état.

À l’écoute de l’ensemble des auditions, j’ai le sentiment que nous faisons face à une forme de cercle vicieux. D’un côté, de fortes attentes pèsent sur les pouvoirs publics : ils sont appelés à initier des dynamiques, à mobiliser des financements publics, à structurer des marchés et à soutenir l’émergence d’acteurs européens. De l’autre côté, lorsque l’on interroge les acteurs privés, la réponse récurrente consiste à renvoyer la balle aux décisions publiques et à la disponibilité de financements ou de cadres réglementaires favorables.

Or ce décalage pose une difficulté majeure de politique publique. Les institutions publiques ont indéniablement un rôle déterminant à jouer : elles doivent mieux exercer leurs compétences réglementaires, utiliser la commande publique comme levier. Sur le cloud, par exemple, on observe des évolutions, notamment à travers la stratégie dite du « cloud au centre ».

Mais le risque est réel : si l’argent public et l’énergie collective mobilisés se heurtent à des verrous structurels du côté de la demande privée, nous pourrions assister à une situation où des opérateurs européens sont aidés à monter en puissance sans parvenir à trouver un marché suffisant pour consolider leur modèle économique. Certains pourraient être rachetés, d’autres disparaître faute de débouchés.

Si l’on veut véritablement créer un contrepoids aux situations de quasi‑monopole actuelles et diriger une partie des flux financiers qui quittent aujourd’hui l’Europe, il faudra construire, à un moment donné, une forme de coalition entre acteurs publics et grands donneurs d’ordre privés. De quelle manière les grands acteurs privés peuvent-ils contribuer pour réorienter une partie de ces sommes ?

M. Henri d’Agrain. En tant que législateurs français, votre raisonnement repose sur un prisme essentiellement national, ce qui est compréhensible. Toutefois, la réalité des grandes entreprises internationales françaises est différente. Depuis plus de vingt ans, elles ont cherché à optimiser leurs systèmes d’information, afin de réduire les coûts et d’assurer une cohérence opérationnelle à l’échelle mondiale.

Certaines contraintes géopolitiques les ont déjà forcées à revoir cette optimisation. En Chine, elles ont dû accepter une forme de désoptimisation ou inventer d’autres équilibres. En 2022, nombre d’entre elles ont été contraintes de séparer brutalement leurs activités en Russie. Aujourd’hui, elles se retrouvent avec une organisation optimisée pour le reste du monde et commencent à s’interroger : la situation induite par les États‑Unis doit‑elle, à son tour, conduire à une nouvelle architecture ? À tout le moins, cette réflexion devrait pouvoir s’inscrire à une échelle européenne.

Lorsque j’évoque les conditions nécessaires, je parle de la création d’un véritable marché numérique européen. En effet, un marché fragmenté en marchés nationaux français, allemand, espagnol ou italien ne peut pas fonctionner durablement. Ce sont toujours les acteurs qui bénéficient d’un marché unifié qui s’imposent face aux autres. Pour les grandes entreprises, celles que je connais et que je représente, il est indispensable d’aboutir enfin à ce marché numérique unique, ce « digital single market » dont nous parlons depuis quinze ou vingt ans, sans jamais réellement le concrétiser. Il ne s’agit plus de raisonner en termes d’acteurs nationaux, mais d’identifier les grands opérateurs européens de cloud sur lesquels il conviendrait de concentrer des investissements massifs.

Si une telle dynamique voyait le jour, appuyée par des instruments comme un schéma européen de certification type EUCS garantissant une protection juridique effective des données, un consensus émergerait rapidement parmi les grandes entreprises. En revanche, désoptimiser l’organisation européenne pour multiplier des solutions fragmentées selon les pays n’est ni viable ni soutenable.

Mme Cyrielle Chatelain, rapporteure. Je souhaiterais poursuivre l’analyse afin de vérifier que nous nous comprenons pleinement. J’entends bien, et certains opérateurs cloud comme OVH l’ont exprimé eux‑mêmes, que le marché pertinent est d’emblée européen lorsqu’il s’agit de la commercialisation des services. Le Cigref est une organisation représentant avant tout de grands donneurs d’ordre, c’est‑à‑dire des grandes entreprises clientes et acheteuses de solutions numériques.

Dans cette perspective, je comprends que des fournisseurs européens, qu’il s’agisse d’OVHcloud, de Scaleway ou d’autres, soulignent la difficulté de composer avec une multiplicité de normes nationales. Cela renforce l’évidence de la nécessité d’un cadre européen unifié. Par ailleurs, il semble qu’une convergence progressive soit en cours sur les exigences minimales de sécurité, ce qui permet d’espérer une meilleure cohérence à terme entre États membres.

À ce stade, votre position confirme que vous raisonnez bien prioritairement du point de vue des acheteurs. Prenons l’exemple d’une grande entreprise industrielle, active dans l’automobile ou dans un tout autre secteur sans lien direct avec le numérique. Cette entreprise n’est pas soumise aux réglementations applicables aux fournisseurs de cloud, son besoin est avant tout fonctionnel. Dans ce contexte, qu’est‑ce qui pourrait conduire un tel acheteur à accepter une prise de risque relative en se tournant vers des acteurs européens émergents, plutôt que vers des solutions dominantes éprouvées ?

Les institutions européennes et nationales semblent déjà tester la capacité d’acteurs européens à répondre à des appels d’offres stratégiques, comme on l’a vu récemment. Si des offres commencent à émerger, la question devient alors centrale : qu’est‑ce qui ferait basculer un grand acheteur privé ? Si des solutions existent ou sont en voie d’exister, quels leviers concrets permettraient aux acheteurs privés de franchir le pas et de contribuer, par leurs choix, à la construction d’un écosystème numérique ?

M. Henri d’Agrain. En effet, le Cigref représente des grandes organisations qui achètent, mais elles conçoivent également leurs architectures de systèmes d’information, administrent leurs infrastructures et, dans de nombreux cas, développent elles‑mêmes une part significative des services numériques qu’elles utilisent. Réduire une direction du numérique ou des systèmes d’information à un simple service achat constituerait une méconnaissance profonde de sa réalité et de ses responsabilités, quels que soient les secteurs d’activité concernés.

Dans certaines industries, et notamment dans le secteur bancaire, l’outil de production est avant tout numérique. Un réseau ferroviaire européen ne peut fonctionner efficacement si chaque pays adopte un écartement de rails différent. Dans ce cas, le train devient inutilisable au profit du transport routier, avec toutes les externalités négatives que cela implique, notamment en termes d’émission de CO2.

C’est exactement la situation à laquelle nous sommes confrontés dans le numérique européen. Les grandes organisations doivent opérer à l’échelle du continent. Si les normes, cadres et architectures diffèrent d’un État à l’autre, elles renoncent à ces solutions fragmentées et se tournent vers des plateformes globales, unifiées, principalement américaines. Autrement dit, l’absence d’un socle européen cohérent conduit mécaniquement les acteurs à privilégier des solutions extérieures, par nécessité opérationnelle.

Mme Cyrielle Chatelain, rapporteure. Permettez‑moi de préciser ma question. Une fois qu’une grande entreprise a structuré en interne ses architectures et identifié les besoins qu’elle ne peut satisfaire seule, est‑elle aujourd’hui en mesure de trouver des offres françaises ou européennes capables de prendre en charge cette complexité ?

Ma seconde interrogation demeure inchangée depuis le début de nos échanges. Quelle part les grands acheteurs peuvent‑ils prendre, d’autant plus qu’ils disposent souvent de fortes compétences internes, dans la dynamique visant à accompagner et à renforcer l’émergence d’opérateurs européens ?

M. Henri d’Agrain. Je choisirai résolument une posture optimiste. La conscience est désormais largement partagée : il est impératif de renforcer la résilience de l’économie européenne. Cette prise de conscience se traduit par des réflexions engagées au sein de nombreux acteurs. Lors du Forum international de la cybersécurité l’an dernier, M. Patrick Pouyanné lui‑même soulignait que, lorsqu’un opérateur n’a le choix qu’entre trois acteurs américains, une forme de malaise s’installe, y compris pour une entreprise dont l’activité est très largement implantée aux États‑Unis.

La réalité est aujourd’hui la suivante : pour opérer efficacement à l’échelle mondiale – et, a minima, à l’échelle européenne –, peu d’acteurs sont en mesure d’offrir les performances, l’étendue fonctionnelle et la maturité technologique des hyperscalers américains. Nous pouvons toutefois espérer une réduction progressive de cet écart. Des acteurs européens comme OVHcloud, Scaleway ou encore Stackit au sein du groupe Schwarz, commencent à proposer des services à l’échelle. Néanmoins, force est de constater qu’ils ne disposent pas encore de la même richesse fonctionnelle que leurs homologues américains.

Cela étant, la prise de conscience progresse rapidement. De plus en plus d’adhérents nous interrogent sur les alternatives existantes, sur les trajectoires possibles et sur les stratégies de diversification. L’élément déterminant, toutefois, demeure la création des conditions d’environnement permettant d’accélérer concrètement ces choix. En l’absence de cohérence entre les différentes politiques publiques – européennes ou nationales – les évolutions resteront marginales. Même dans le secteur public, malgré certaines inflexions positives, les mécanismes actuels ne suffisent pas à provoquer un véritable effet de marché.

Prenons un exemple précis : la commande publique numérique. Pour produire un effet structurant, elle doit être massifiée. Or, l’autonomie de gestion des collectivités territoriales empêche aujourd’hui d’activer pleinement ce levier à l’échelle nationale et européenne, tant pour le cloud que pour le logiciel. Il en résulte un financement dispersé d’une multitude d’acteurs, aussi compétents soient‑ils, mais qui contribue in fine à maintenir le statu quo plutôt qu’à faire émerger de véritables champions européens.

Mme Cyrielle Chatelain, rapporteure. Plusieurs interrogations surgissent autour de ce chiffre désormais central des 264 milliards d’euros. La première concerne la répartition entre achats publics et achats privés.

M. Henri d’Agrain. Je ne saurais vous dire, à l’échelle européenne, l’exercice est complexe. Si je prends le périmètre du Cigref, on estime à près de 100 milliards d’euros par an les achats informatiques, tous périmètres confondus, à l’échelle mondiale. À titre d’illustration, quatre banques systémiques concentrent à elles seules environ un cinquième de ce montant, soit un peu plus de 20 milliards d’euros. À titre de comparaison, les achats de l’État représentent un peu plus de 4 milliards d’euros par an. Cela signifie que la commande publique étatique stricto sensu correspond à 4 % à 5 % du total. Ce chiffre suffit à montrer que le levier public, pris isolément, demeure relativement limité.

Mme Cyrielle Chatelain, rapporteure. Cela renvoie précisément à la question du levier privé. C’est précisément à ce stade qu’apparaît une difficulté plus profonde, commune aux acteurs privés comme aux acteurs publics, c’est-à-dire une forme de verrouillage culturel. Comme pour l’utilisateur particulier, les organisations se sont habituées à certains services, à des usages, y compris pour des fonctionnalités qu’elles n’utilisent pas nécessairement, mais qu’elles savent disponibles. Comment amorcer un changement culturel permettant d’accepter que la transition ne se fasse jamais à l’identique ?

Par ailleurs, l’Anssi nous indiquait que des investissements importants avaient été effectués. Réorienter les choix suppose nécessairement des coûts – coûts financiers, coûts organisationnels – puisque sortir d’une solution implique souvent de faire fonctionner des systèmes en parallèle et de réinvestir.

Dès lors, percevez‑vous aujourd’hui une réelle disposition des acteurs économiques à consentir cet effort, au moins partiellement ?

M. Henri d’Agrain. Une entreprise ne décidera jamais de quitter une solution existante et d’engager des efforts significatifs si cette démarche n’apporte aucun bénéfice tangible. Elle ne le fait que si cela répond à un besoin directement lié à son activité, à sa productivité, à sa compétitivité. En l’absence d’enjeu avéré, notamment en matière de sécurité, les entreprises n’ont aucun rationnel économique pour changer.

J’en discutais récemment avec la dirigeante d’un grand adhérent du Cigref, une entreprise française dont plus de 50 % de l’activité est réalisée aux États‑Unis, y compris à travers des marchés publics conclus avec des agences fédérales américaines. Dans une telle configuration, le recours à Microsoft s’impose de fait ; ne pas l’utiliser reviendrait à se priver d’une part essentielle de son marché. Lorsqu’une entreprise réalise la moitié de son chiffre d’affaires aux États‑Unis, il n’existe aucun raisonnement économique consistant à se dire qu’en France elle adopterait une solution, par exemple open source. Les situations sont donc extrêmement hétérogènes selon les modèles d’affaires et les géographies.

Il faut également dépasser l’idée selon laquelle ces arbitrages relèveraient uniquement d’un problème de culture. Bien sûr, la culture de la sécurité et de la résilience est essentielle, et les entreprises ont accompli un travail considérable sur ces sujets ces dernières années : sur la cybersécurité, sur la protection de leur patrimoine informationnel, et désormais sur la résilience globale de leurs systèmes. Mais cette évolution culturelle ne conduit pas mécaniquement à des choix industriels si ceux‑ci ne génèrent pas une plus-value en termes de résilience, de renforcement de la sécurité, d’impact positif sur leur productivité et leur compétitivité.

C’est dans cette logique que s’inscrit aujourd’hui la dynamique à l’œuvre au sein de ces entreprises : l’hybridation des systèmes d’information. Cette hybridation consiste à recourir à plusieurs fournisseurs, sur différentes zones géographiques et pour des briques spécifiques de la chaîne technologique. Elle complexifie l’exploitation des systèmes, nécessite des compétences multiples et renchérit les coûts opérationnels. Lorsqu’une entreprise opère avec un seul fournisseur cloud, elle forme ses équipes sur cet environnement. En en mobilisant deux pour des fonctions similaires, elle doit doubler ses compétences, donc ses efforts de formation et ses dépenses.

À cela s’ajoute une contrainte forte, qui correspond à la disponibilité des compétences sur le marché. Les grandes entreprises du numérique forment massivement aux technologies d’AWS, d’Azure ou de Google Cloud. Les compétences existent beaucoup moins pour exploiter des plateformes européennes, même si, sur le plan technique, les différences ne sont pas fondamentales.

M. le président Philippe Latombe. Quelles seraient aujourd’hui vos préconisations pour éviter de reproduire les mêmes erreurs, dans le financement des entreprises innovantes et dans l’achat de produits IA ?

M. Henri d’Agrain. À titre personnel, et au regard des évolutions actuelles dans le domaine de l’intelligence artificielle, je souhaite partager une conviction. Nous nous trouvons, selon moi, à un moment d’urgence stratégique pour l’Europe, comparable à des ruptures historiques telles que la crise de Suez en 1956 ou le choc pétrolier de 1973. Ces événements avaient conduit la France, sous l’impulsion du général de Gaulle puis du plan Messmer, à faire des choix décisifs en matière d’autonomie stratégique, notamment dans les domaines nucléaire et énergétique. La situation géopolitique actuelle, appliquée au numérique et à l’intelligence artificielle, appelle une réflexion de même nature à l’échelle européenne.

Il serait pertinent d’envisager la création d’une structure européenne de référence, qui jouerait un rôle comparable à celui du Commissariat à l’énergie atomique (CEA) à ses débuts, c’est-à-dire une entité capable d’éclairer l’avenir par la recherche fondamentale et appliquée, et de soutenir massivement l’innovation par l’investissement.

Dans le champ de l’intelligence artificielle, les dynamiques temporelles sont infiniment plus rapides et exigent des réponses à la hauteur. Cela suppose d’assumer des choix clairs : sélectionner un nombre limité d’acteurs européens et les soutenir de manière déterminée afin de bâtir une autonomie stratégique indispensable. Les compétences existent, les bases technologiques et scientifiques sont bien présentes en Europe. Ce qui fait aujourd’hui défaut, c’est une volonté politique forte, inscrite dans la durée et capable de résister aux fluctuations conjoncturelles.

Sans un tel engagement, des dépendances systémiques risquent de s’installer durablement et de se renforcer. L’enjeu consiste donc à financer rapidement les infrastructures critiques, de soutenir les équipes de recherche et de définir une stratégie cohérente, portée par une détermination politique constante

M. le président Philippe Latombe. Je vous remercie. N’hésitez pas à nous adresser des contributions écrites, afin de compléter vos propos.

* *

Audition, ouverte à la presse, de M. Umberto Berkani, rapporteur général de l’Autorité de la concurrence (mardi 5 mai 2026)

Mme Sophie-Laurence Roy, présidente. Au cours des auditions que nous menons depuis près de deux mois, il a souvent été question de la domination des géants américains. Le droit de la concurrence de l’Union européenne, qui repose sur les articles 101 et 102 du traité sur le fonctionnement de l’Union européenne (TFUE), a été complété par le DMA (Digital Markets Act), règlement qui vise à lutter contre les pratiques anticoncurrentielles des géants d’internet et à corriger les déséquilibres de leur domination sur le marché numérique européen.

Sommes-nous désormais suffisamment outillés pour lutter contre les pratiques anticoncurrentielles des acteurs dominants ? Comment l’Autorité de la concurrence contribue‑t‑elle à faire respecter notre ordre juridique français et européen ?

Je vous invite à nous déclarer tout intérêt public ou privé de nature à influencer vos déclarations et vous rappelle que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter le serment de dire la vérité, toute la vérité, rien que la vérité.

(MM. Umberto Berkani et Julien Neto prêtent serment.)

M. Umberto Berkani, rapporteur général de l’Autorité de la concurrence. L’Autorité de la concurrence est une autorité administrative indépendante composée d’environ 200 personnes. Je suis accompagné de M. Julien Neto, l’un de mes rapporteurs généraux adjoints, qui est en charge notamment des sujets liés aux télécommunications et au numérique. Notre organisation ne prévoyant pas de section dédiée au numérique au sens strict, ces problématiques sont en réalité abordées de manière transversale par l’ensemble de nos services. L’Autorité réunit principalement des juristes et des économistes mais s’appuie également, depuis quelques années, sur un service de l’économie numérique dont les data scientists nous aident à décrypter diverses pratiques. Ainsi, si les questions numériques relèvent en partie du service de Julien Neto, elles mobilisent aussi d’autres unités dès lors qu’elles concernent d’autres secteurs, par exemple le secteur des transports ou d’autres domaines d’activité.

L’Autorité de la concurrence est à la fois une autorité généraliste, intervenant sur l’ensemble des secteurs de l’économie, et une autorité spécialisée qui examine cette activité sous l’angle unique du droit de la concurrence. Notre compétence s’exerce d’abord à travers la répression des pratiques anticoncurrentielles, régies par deux articles fondamentaux du traité prohibant, d’une part, les ententes et, d’autre part, les abus de position dominante. Bien que ces textes fournissent quelques illustrations, les définitions et les infractions qu’ils recouvrent demeurent très larges. Notre seconde mission réside dans le contrôle des opérations de concentration. À ce titre, nous examinons les transactions qui dépassent les seuils de compétence nationaux sans toutefois atteindre les seuils européens, lesquels relèvent de la Commission. Selon les cas, nous autorisons ces opérations directement ou sous réserve d’engagements et, de manière beaucoup plus exceptionnelle, nous les interdisons. Enfin, depuis sa création en 2009, l’Autorité dispose d’un pouvoir général d’avis, qui nous permet d’appréhender des phénomènes économiques de manière plus globale, tout en conservant notre prisme d’analyse concurrentielle. L’ensemble de ces leviers a été, d’une manière ou d’une autre, mobilisé pour répondre aux enjeux du numérique.

S’agissant des grandes questions relatives au numérique, je retiendrai d’abord que le droit de la concurrence n’entre pas en compte dans la création de grands champions européens. Le contrôle des concentrations ne s’oppose pas à l’émergence de tels acteurs, mais consiste à analyser les pouvoirs de marché au sein d’espaces définis. Ainsi, lorsque les marchés examinés présentent une dimension nationale, par exemple en raison de réglementations spécifiques, l’analyse du pouvoir de marché s’exerce nécessairement à cette échelle. Si une opération de concentration y crée une domination trop forte, les règles de concurrence s’appliquent. En revanche, si un marché dispose d’une dimension plus large, notamment européenne grâce à une réglementation homogène, l’analyse est alors menée à ce niveau.

Le droit de la concurrence ne limite donc pas la création de champions européens, et nous pourrons d’ailleurs nous réjouir le jour où existeront des entreprises européennes dominantes dans le numérique que nous pourrons sanctionner pour abus, car cela signifiera qu’elles auront été créées. La mission d’une autorité de concurrence est de vérifier que le marché fonctionne correctement et que les positions acquises, notamment par les opérateurs qui ont conquis une place prépondérante par leurs mérites, leur créativité et leur innovation, sont maintenues ou développées uniquement par ces mêmes mérites concurrentiels, et non en utilisant improprement la puissance de marché précédemment acquise.

Je tiens ensuite à souligner que la concurrence, loin d’être une fin en soi, constitue un moyen dont l’objectif précis est de garantir le développement de marchés ouverts et équitables. S’il existe d’autres ambitions politiques, notamment en matière économique, il n’appartient que marginalement au droit de la concurrence de se substituer à la représentation nationale ou aux gouvernements pour atteindre des objectifs de politique industrielle ou commerciale. Cela ne signifie pas que le droit de la concurrence soit hermétique à ces enjeux, mais que sa mission principale consiste à garantir le bon fonctionnement des marchés dans le cadre de la réglementation en vigueur. À titre d’exemple, lors de la création du groupe ferroviaire unifié il y a treize ans, un objectif de politique industrielle clair était poursuivi. Saisis sur ce projet de loi, nous avons rendu un avis prenant en compte ces orientations : nous avions alors analysé si les dispositions prévues étaient proportionnées à l’objectif fixé, tout en signalant celles qui restreignaient potentiellement trop la concurrence. Notre action n’est donc pas déconnectée des réalités politiques mais, pour une stricte raison de légitimité, il n’appartient pas aux autorités de concurrence de définir elles-mêmes les objectifs de politique économique.

Dès lors, que peut faire le droit de la concurrence face aux acteurs trop puissants du numérique ? Il peut vérifier que ces acteurs n’abusent pas de leur position sur le marché au détriment de leurs concurrents, de leurs clients ou des consommateurs. Dans nos réponses écrites, que nous vous communiquerons après cette audition, vous trouverez notamment la liste de toutes les décisions et tous les avis que nous avons rendus dans le domaine du numérique. Vous constaterez que depuis sa création en 2009, l’Autorité a été très active sur ces sujets, que ce soit en contentieux ou par des avis sur des textes ou à son initiative. Depuis plusieurs années, nous nous efforçons de préempter certains sujets numériques, non pas pour identifier immédiatement des pratiques anticoncurrentielles, mais pour décrypter et traduire en langage du droit de la concurrence les risques posés par le développement de tel ou tel marché. Nous l’avons fait récemment pour le cloud et pour l’IA générative, et nous instruisons actuellement un avis sur les agents conversationnels.

Pour mener à bien nos missions, nous mobilisons l’ensemble de nos compétences juridiques et économiques, complétées depuis peu par l’expertise de nos data scientists. Nous nous heurtons toutefois à deux limites majeures. La première tient à l’échelle d’intervention car, sur les enjeux numériques, le niveau national n’est pas toujours pertinent. Ces sujets étant par nature mondiaux, une réponse efficace doit être apportée au moins à l’échelon européen, ce qui justifie l’articulation entre le droit commun de la concurrence et l’application du DMA.

La seconde limite concerne nos moyens, car la conduite des enquêtes, des dossiers contentieux et la production des avis que nous souhaitons porter exigent des ressources qui nous font aujourd’hui défaut. Pour la première fois depuis la création de l’Autorité, nos effectifs ont subi une réduction de nos ETP (équivalents temps plein) ces deux dernières années. Avec un peu plus de 120 agents au sein des services d’instruction, nous figurons parmi les petites autorités de concurrence mondiales et une diminution continue de nos effectifs nous empêcherait, à terme, de remplir l’intégralité de nos missions.

Enfin, un mot sur le DMA, conçu pour compléter le socle traditionnel du droit de la concurrence. Contrairement au traitement ex post des pratiques anticoncurrentielles, cette régulation ex ante permet d’intervenir plus rapidement sur des problématiques ciblées et auprès d’entreprises préalablement identifiées. Cet outil puissant, principalement mis en œuvre par la Commission européenne, réserve néanmoins une place aux autorités nationales. Toutefois, pour que l’autorité française puisse s’y investir pleinement, des ressources supplémentaires seraient nécessaires. Les nouvelles compétences qui nous ont été attribuées dans le cadre du DMA n’ayant été accompagnées d’aucun renfort, nous rappelons qu’une compétence dépourvue de moyens ne peut être exercée de manière effective.

Mme Sophie-Laurence Roy, présidente. Votre objectif est de déterminer si des entreprises peuvent être concurrentes les unes des autres sur le territoire de la France. Vous l’avez rappelé, votre rôle n’est pas de décider d’autoriser la création d’une entreprise en lui faisant de la place. Compte tenu de la situation existante, sur laquelle vous ne pouvez qu’intervenir en cas de dysfonctionnement, et compte tenu de votre avis de 2023 sur le cloud, dans lequel vous indiquiez que le secteur était dominé par AWS, Microsoft Azure et Google Cloud, disposant d’une force de frappe financière et d’écosystèmes capables d’entraver la concurrence, peut-on encore parler d’un marché véritablement concurrentiel ? Ces acteurs se font très bien la concurrence entre eux, sans laisser beaucoup de place aux éventuelles entreprises françaises qui voudraient émerger. Ainsi, peut-on parler d’un marché concurrentiel lorsque l’essentiel des infrastructures numériques des entreprises et des administrations françaises passe par trois acteurs, principalement américains ? Avez-vous évalué la part réelle des administrations françaises, des opérateurs d’importance vitale (OIV) et des grandes entreprises françaises qui dépendent directement ou indirectement de ces trois acteurs ? La mission de notre commission est de rechercher les voies de l’indépendance numérique française, mais le constat que nous dressons est celui d’une très grande dépendance.

M. Umberto Berkani. Bien que nous ne disposions pas de données chiffrées précises sur le degré de dépendance des entreprises ou des administrations françaises, nous identifions un certain nombre d’acteurs prépondérants. J’emploie ce terme plutôt que celui de « dominant », car ce dernier revêt une acception juridique stricte impliquant généralement un acteur unique sur un marché donné. Or la complexité du numérique réside dans l’absence d’un secteur ou d’un marché unifié. La puissance de ces acteurs ne se cristallise pas sur un marché unique, mais résulte d’une sédimentation d’activités où s’additionnent effets de réseau, économies d’échelle, effets d’apprentissage et mécanismes de verrouillage des clients. Si occuper la première place est initialement un mérite concurrentiel, cette position permet ensuite de capter des informations et d’ériger des barrières à l’entrée. C’est là tout le paradoxe de la concurrence : on ne la pratique que dans l’espoir de devenir, à terme, l’unique opérateur de son marché. Sur certains segments du numérique, on observe ainsi une accumulation de phénomènes qui, pris isolément, se retrouvent sur n’importe quel marché, mais dont le cumul engendre une prépondérance manifeste. Les acteurs puissants dans le secteur du cloud, que vous avez cités, le sont également sur de nombreux services adjacents.

Toute la difficulté pour le droit de la concurrence, fondé sur le principe de la liberté d’entreprendre, est que l’on ne peut limiter l’action d’un opérateur que si ce dernier contrevient aux règles relatives aux ententes ou à l’abus de position dominante. Pour ce faire, il est impératif d’identifier un marché spécifique sur lequel l’acteur exerce sa domination. Dès lors que trois acteurs se partagent 80 % d’un marché, établir la dominance de l’un d’entre eux devient complexe, ce qui interroge l’applicabilité même du droit commun. En revanche, sur les marchés où l’un de ces acteurs est clairement dominant, nous disposons, à l’instar de la Commission européenne, d’une jurisprudence abondante sanctionnant les abus constatés. Mais lorsque nous sommes face à des prépondérances multiples, et en partant du principe que ces acteurs sont en concurrence et ne s’entendent pas, il faut un autre texte pour intervenir. C’est là qu’intervient le DMA, qui permet d’agir même en l’absence d’un cas de dominance classique.

Je saisis cette occasion pour évoquer l’articulation entre le DMA et le droit de la concurrence. Loin d’être contradictoire avec ce dernier, le DMA constitue un outil puissant relevant du principe de régulation, déjà éprouvé dans d’autres secteurs. Il répond simultanément à un enjeu géographique, en ciblant le bon niveau d’intervention, et à un impératif de rapidité. En effet, la qualification d’une infraction en droit commun est un processus long : elle exige de définir le marché pertinent, de calculer les parts de marché, de s’assurer de l’absence de produits substituables, puis d’analyser les pratiques en détail. Le droit de la concurrence a toutefois permis d’identifier un certain nombre de comportements qui, lorsqu’ils sont mis en œuvre par des plateformes jouant un rôle de passage obligé, devaient être proscrits ex ante. C’est ainsi qu’est né le DMA : il codifie ces pratiques au sein d’un texte normatif prévisible, applicable aux plateformes atteignant un seuil de puissance critique. Cette approche gagne en efficacité pour les consommateurs, qui bénéficient d’une réponse plus rapide, pour les autorités de contrôle, et pour les entreprises régulées, qui disposent désormais de règles du jeu claires. Par ailleurs, le DMA ne se limite pas à des interdictions, mais instaure également des obligations et des droits nouveaux pour les usagers.

Pour répondre plus précisément à votre question, nous pourrions, dans le cadre d’une enquête sur un marché donné, être amenés à vérifier la composition de la clientèle d’une entreprise et mesurer ainsi la dépendance de certains acteurs. Nous disposons d’ailleurs d’un texte spécifique sanctionnant l’abus de dépendance économique. Toutefois, n’ayant pas vocation à produire des études panoramiques, c’est précisément pour pallier les limites du droit de la concurrence face à cette réalité que le DMA a été conçu, afin d’apporter une réponse plus agile et plus efficace.

Mme Cyrielle Chatelain, rapporteure de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Ma première question concerne la nature de la prédominance des acteurs du numérique. Il me semble que nous sommes passés d’acteurs prédominants dans une couche spécifique du numérique à une prédominance verticale, qui traverse les différentes couches comme les infrastructures critiques, les outils collaboratifs et le cloud. Cette prédominance de certains acteurs dans la quasi-totalité des secteurs du numérique modifie-t-elle votre appréhension de la concurrence dans ce secteur ?

De nombreux témoignages recueillis par cette commission ont fait état de pratiques qualifiées de « carnassières », particulièrement en matière tarifaire : un acteur se retrouve verrouillé, puis subit des augmentations de prix pouvant atteindre, comme dans l’exemple récent du rachat de VMware par Broadcom, jusqu’à 800 %. Des cas de ventes forcées ont également été rapportés. Comment évaluez-vous ces pratiques récurrentes et avez-vous déjà prononcé des sanctions à ce titre ?

Par ailleurs, compte tenu du consensus sur la très forte prédominance de certains acteurs, quels obstacles entravent aujourd’hui votre action ? S’agit-il d’une insuffisance de la base juridique, de difficultés d’application ou d’une problématique politique liée à la capacité de lobbying de ces entreprises ?

M. Umberto Berkani. Concernant la convergence des acteurs, votre constat est exact. Alors que nous observions jusqu’à présent des entreprises issues de domaines distincts étendre progressivement leur influence, nous assistons aujourd’hui à une véritable hybridation. Ces différents acteurs se retrouvent désormais en concurrence sur des marchés communs, chacun avec ses forces et ses faiblesses. Cette évolution change-t-elle la donne ? Oui et non. Oui, car l’émergence de ce phénomène inédit a précisément justifié la création du DMA comme outil supplémentaire. Non, car l’extension d’opérateurs dominants vers d’autres marchés ou différents niveaux de la chaîne de valeur est un mécanisme que nous avons déjà rencontré par le passé.

S’agissant des pratiques que vous évoquez, elles correspondent exactement à celles que nous avons identifiées dans nos avis relatifs au cloud et à l’IA. L’autopréférence, concept central du DMA, désigne la stratégie d’un acteur dominant privilégiant ses propres services ou ceux de sa filiale sur un marché secondaire concurrentiel. Bien qu’adaptées au numérique et parfois démultipliées dans leurs effets, ces pratiques ne sont pas nouvelles puisque nous les traitions déjà sur d’autres marchés de réseau, comme les télécommunications ou l’énergie, lorsqu’il s’agissait de déterminer si l’opérateur d’une infrastructure essentielle favorisait ses propres activités. Nous en retrouvons aujourd’hui les équivalents dans l’espace numérique.

Une fois le problème identifié, se pose la question des solutions et de leurs limites. Le DMA constitue à cet égard un premier élément de solution. La Commission européenne relève d’ailleurs, dans ses rapports, des avancées concrètes en termes d’interopérabilité, de portabilité des données et de liberté de choix pour les clients. Il est toutefois prématuré d’en mesurer pleinement les effets puisque, comme tout texte nouveau, il fait l’objet de contestations par les entreprises visées, et il faudra attendre que cette pratique soit validée par les cours de justice, ce qui mobilise du temps et des ressources.

Sommes-nous pour autant limités dans notre action ? Si l’on peut toujours perfectionner nos procédures, l’arsenal juridique français et européen me paraît déjà solide. La création du DMA et du DSA (Digital Services Act, règlement sur les services numériques) n’a pas été une mince affaire et ces derniers constituent un socle robuste. De mon point de vue, la principale difficulté réside désormais dans les moyens : avec davantage de ressources, nous pourrions accroître notre efficacité à cadre juridique constant. Je n’ignore pas la situation budgétaire générale, mais si l’on souhaite que nous intensifiions notre action, un choix clair doit être opéré.

Mme Sophie-Laurence Roy, présidente. Vous nous expliquez que l’Autorité de la concurrence, indépendamment du manque de moyens, n’est peut-être pas la bonne autorité pour corriger une éventuelle défaillance systémique en France. Votre rôle consiste à juger la loyauté de la guerre que se livrent des entreprises sur notre territoire, mais vous ne pouvez pas créer de concurrents, alors même que vous connaissez ce marché mieux que personne. N’y aurait-il pas une solution qui permettrait à la France de récupérer une partie de son pouvoir sur cette activité numérique fondamentale ? Notre objectif est de trouver des solutions pour rendre à la France son indépendance sur ce sujet, que nous avons laissé nous échapper.

M. Umberto Berkani. Je vous répondrai avec une certaine prudence, car j’atteins ici les limites de ma légitimité pour m’exprimer sur un tel sujet. Je confirme néanmoins votre analyse : si nous sommes face à des défaillances de marché, la question relève de notre compétence mais, dans le cas contraire, elle échappe à notre ressort.

Les pistes de réflexion que soulève votre propos tiennent davantage à la stratégie industrielle qu’au droit de la concurrence. D’une part, les activités numériques présentant des degrés d’évolution et de fermeture variables, il pourrait s’avérer plus judicieux de concentrer les efforts sur les marchés encore ouverts plutôt que sur ceux déjà verrouillés.

D’autre part, la question du niveau d’intervention pertinent pour garantir notre indépendance, national ou européen, reste entière. Si l’on décidait d’intégrer des critères spécifiques, par exemple nationaux, dans les appels d’offres, il conviendrait d’en mesurer précisément les conséquences. À supposer qu’une telle démarche soit conforme au droit de la commande publique, ces critères pourraient certes créer des opportunités, mais aussi induire des limites puisque certaines petites entreprises pourraient ne pas avoir l’envergure nécessaire pour y répondre, tandis que les grands acteurs pourraient se désintéresser de critères strictement franco-français. Un arbitrage est donc nécessaire sur la nature des critères à privilégier et l’échelle de leur application, point sur lequel je ne dispose pas d’une solution préétablie.

M. Julien Neto, rapporteur général adjoint de l’Autorité de la concurrence. Il est en effet compliqué de trouver un outil législatif qui permettrait à un petit opérateur français d’aller concurrencer ces grands opérateurs américains, à la fois verticalement intégrés et horizontalement étendus. Cela sort de notre rôle.

Mme Sophie-Laurence Roy, présidente. Par exemple, en excluant de la concurrence le fait de choisir un opérateur français dans le cadre d’un marché public.

M. Julien Neto. Cela rejoint les propos de M. Berkani concernant l’insertion de critères nationaux dans les marchés publics. Il convient également de considérer que ces grands opérateurs assoient leur développement par le rachat de structures plus modestes. Pour y répondre, nous disposons d’outils permettant d’appréhender ce que l’on appelle les acquisitions prédatrices. Ce levier de notre arsenal est mobilisé non seulement dans le cadre du contrôle préventif des concentrations, mais il peut aussi être envisagé a posteriori sous l’angle du droit antitrust.

M. Umberto Berkani. La question des acquisitions prédatrices est un moyen d’empêcher les grands acteurs dominants d’étouffer l’innovation dans l’œuf. Une stratégie rationnelle pour un acteur établi est de repérer les pépites innovantes et de les absorber, soit pour neutraliser une menace future, soit pour s’approprier l’innovation et renforcer sa position. Ce sont des phénomènes que le droit de la concurrence peut traiter.

Pour revenir à votre question sur les critères nationaux, même si je ne suis pas légitime pour discuter de leurs conséquences en droit administratif ou européen, je veux simplement souligner que les normes peuvent avoir des effets économiques ambivalents, qui doivent être soigneusement arbitrés avant de s’engager dans cette voie.

Mme Cyrielle Chatelain, rapporteure. Quel est l’objectif des règles de la concurrence ? Visent-elles à protéger la liberté d’entreprendre de chacun ou bien à garantir un équilibre qui permette aux clients de ne pas se retrouver coincés ? En fonction des acteurs que l’on cherche à protéger, j’imagine que l’analyse n’est pas la même.

Vous avez par ailleurs souligné que les pratiques d’augmentation de prix ou de verrouillage ne sont pas nouvelles, mais jugez-vous normale la situation actuelle dans le domaine du numérique ? Nous recueillons en effet les témoignages d’acteurs issus de secteurs très divers qui s’accordent tous sur l’existence de mécanismes de verrouillage et de politiques tarifaires particulièrement offensives. Ces descriptions me semblent s’opposer à la définition d’un marché sain et je souhaiterais savoir si, selon votre analyse, ce marché fonctionne normalement.

S’agissant enfin des marchés que vous qualifiez de fermés, pourriez-vous préciser lesquels sont concernés et comment ils ont pu aboutir à un tel état ? La mission de la concurrence ne consiste-t-elle pas, précisément, à garantir qu’un marché ne se ferme jamais totalement ? Si l’on prend l’exemple de Microsoft, dont la prédominance dans les outils bureautiques est ancienne, sa stratégie de pénétration par le biais des établissements scolaires et les centres de formation à des prix très bas pour conquérir des parts de marché est bien connue. N’y avait-il pas des mesures à prendre en amont ? Alors que ce secteur semble désormais figurer au rang des marchés fermés, quels sont les leviers pour le rouvrir ?

M. Umberto Berkani. Le droit de la concurrence a été instauré car nous avons fait le choix d’une économie de marché, système dont nous connaissons le travers naturel. Il convient de veiller à ce que cette tendance n’entrave pas l’objectif recherché, à savoir le bénéfice du consommateur. En théorie, un marché concurrentiel se définit par une pression permanente entre offreurs et demandeurs, qui porte les prix au niveau le plus optimal. Ce dynamisme peut être faussé de deux manières. Premièrement, par les ententes, lorsque des acteurs décident de ne plus se faire concurrence et s’accordent, par exemple, pour augmenter les prix au détriment direct du consommateur. Nous protégeons le processus concurrentiel précisément parce qu’il profite au consommateur. D’ailleurs, une entente peut être exemptée si le gain qu’elle génère est partagé avec les consommateurs.

Le second cas, celui de l’abus de position dominante, s’avère plus complexe. Si une position dominante a été acquise par le mérite, elle n’est pas répréhensible en soi. En revanche, l’acteur concerné ne doit pas utiliser cette puissance pour fausser la concurrence sur un autre marché. Par exemple, le producteur exclusif de micros de haute qualité ne doit pas pouvoir contraindre ses clients à acquérir également ses composants de qualité inférieure en liant les deux produits, car il gagnerait ainsi artificiellement des parts de marché. L’idée fondamentale est qu’un monopole, même mérité, finit par augmenter ses tarifs au préjudice du consommateur. Le droit de la concurrence intervient donc pour sanctionner les pratiques qui ne relèvent plus du mérite, mais de l’utilisation abusive d’une position acquise, toujours dans le but ultime de protéger le consommateur.

Alors, ces pratiques sont-elles problématiques ? Dans la mesure où je ne peux pas me prononcer sur une pratique particulière sans avoir mené une instruction complète, avec une procédure contradictoire, je ne peux pas qualifier telle ou telle pratique d’anticoncurrentielle dans ce cadre. En revanche, les pratiques que vous citez comme étant potentiellement mises en œuvre actuellement par des entreprises dans les activités numériques sont faciles à identifier. Ce sont, par exemple, celles que nous avons fixées comme des interdictions dans le DMA. Cela signifie bien que nous nous attendons à ce qu’elles soient mises en œuvre. Nous savons que sur n’importe quel marché, un acteur qui gagne des parts de marché aura tendance à adopter de tels comportements. Il se dira que ses clients sont captifs et qu’il serait dommage de ne pas augmenter ses prix. Ou bien, constatant que ses concurrents sont peu solides, il pourrait décider de baisser ses prix pendant un temps pour les évincer du marché, car une telle situation serait pour eux insoutenable, pour ensuite se retrouver seul et pouvoir les augmenter. Ce phénomène est récurrent.

Quant à savoir si nous trouvons cela acceptable, si de telles pratiques sont avérées, la réponse est non. Dans tout marché laissé libre, le législateur, qui a considéré à un moment que l’économie de marché présentait des avantages, savait également qu’il existait des risques. C’est pour cette raison que les autorités de concurrence ont été créées : pour que nous puissions bénéficier des avantages sans en courir les risques. Tout cela est malheureusement naturel, car la concurrence présente de bons et de mauvais côtés.

Concernant le verrouillage, la pratique décisionnelle de la Commission européenne et de l’Autorité de la concurrence illustre bien les mesures déjà prises. Plusieurs entreprises, dont Microsoft, ont été sanctionnées pour avoir abusé de leur position dominante sur certains marchés, comme les systèmes d’exploitation, afin d’imposer d’autres produits. Dans ces cas, le succès commercial ne reposait pas sur le mérite intrinsèque du produit, mais sur son adossement à un marché déjà dominé, caractérisant ainsi une pratique anticoncurrentielle sanctionnée par la Commission. Si l’on peut s’interroger sur l’efficacité et le caractère dissuasif des sanctions, nos pouvoirs d’injonction permettent d’aller plus loin en imposant des obligations structurelles. À l’instar du démantèlement des trusts américains, nous pouvons défaire des positions dominantes, bien que le standard de preuve requis soit extrêmement élevé. Cela se justifie par le respect de la liberté d’entreprendre : des mesures attentatoires aux libertés individuelles ne peuvent être prises que dans des situations exceptionnelles. Toute la difficulté consiste à distinguer l’abus de la position légitimement acquise par le mérite, la vision ou la performance technologique, qu’une autorité de concurrence n’a pas vocation à remettre en cause.

Je précise enfin que le droit de la concurrence est strictement neutre quant à la nationalité des acteurs. Un abus de position dominante est sanctionné de la même manière, que l’entreprise soit européenne, américaine ou chinoise. À l’inverse, si les critères de preuve ne sont pas réunis, la pratique n’est pas jugée anticoncurrentielle, quelle que soit l’origine de la société. Le droit de la concurrence n’a pas pour mission de seconder les politiques commerciales ou industrielles des États, il s’agit d’un domaine distinct où nous ne sommes pas légitimes pour intervenir, bien que cette distinction soit fréquemment interrogée.

Mme Cyrielle Chatelain, rapporteure. La question centrale demeure l’efficacité de nos outils actuels. Si le DMA constitue un levier prometteur, son application soulève des interrogations, notamment face à des signalements qui semblent rester sans suite. Le Cigref indique par exemple avoir saisi les autorités dès 2021 sans obtenir de retour tangible. Le cas des acquisitions est tout aussi révélateur, à l’image du rachat de VMware par Broadcom : alors que des alertes avaient été émises sur des pratiques antérieures de hausses de prix injustifiées après rachat, l’opération s’est déroulée sans entrave. Face à des acteurs perçus comme prédateurs qui exploitent leur domination sans innover, comment restaurer un rapport de force ? Au-delà des enjeux de politique industrielle, il s’agit de comprendre quels outils le droit de la concurrence peut mobiliser pour contrer ce sentiment de verrouillage généralisé.

Par ailleurs, la situation des marchés fermés résulte souvent de stratégies délibérées. Le socle détenu par ces entreprises semble aujourd’hui conditionner l’accès aux marchés futurs. Dans le domaine de l’intelligence artificielle, le développement de modèles repose sur une captation massive de données, issues des réseaux sociaux, des messageries ou du web, couplée à une puissance de calcul colossale. En laissant s’installer une telle prédominance, ne verrouille-t-on pas préventivement tout nouveau secteur ? Les théories classiques de la concurrence sont-elles encore opérantes face à des acteurs de cette dimension, dont l’influence dépasse parfois le simple cadre économique ?

M. Umberto Berkani. L’instauration d’un nouveau niveau de régulation s’explique par la complexité de la collecte de données, issue de sources et de stratégies très diverses. Si le droit de la concurrence dispose de leviers puissants, il ne peut cependant pas tout traiter seul. Le DMA a donc été conçu comme un complément indispensable pour gagner en réactivité face à des pratiques déjà bien identifiées, sans pour autant chercher à innover juridiquement. Il n’appartient pas au DMA de créer de nouvelles catégories d’abus, cette mission demeurant le propre du droit de la concurrence. Une réelle complémentarité s’opère ainsi : dès lors qu’une pratique ne relève pas spécifiquement du DMA, elle continue d’être appréhendée sous l’angle de l’abus de position dominante, même si elle concerne une plateforme régulée. Nos services consacrent leur quotidien à instruire ces théories, mais nous devons composer avec le contrôle des cours de justice. La Commission européenne, comme nous-mêmes, n’obtient pas toujours gain de cause. Les juridictions nous rappellent parfois qu’une pratique, bien qu’elle puisse nuire économiquement à certains acteurs, relève de la liberté d’entreprendre et non de l’abus caractérisé. La qualification juridique exige donc une rigueur et un temps d’analyse que le simple constat d’un déséquilibre économique ne saurait remplacer.

La difficulté réside systématiquement dans cet équilibre entre liberté d’entreprendre et sanction des pratiques anticoncurrentielles. Bien que ces entreprises aient érigé des îlots de dominance désormais exploités, elles n’ont jamais cessé d’être sous la surveillance des autorités. Elles ont été sanctionnées, ont parfois gagné en appel et, si le système peut paraître perfectible, la persistance de certaines pratiques ne signifie pas pour autant son inefficacité. Nous évoluons dans une dynamique où coexistent désormais le contrôle classique de la concurrence et une régulation plus mécanique.

À cet égard, lorsqu’on crée des outils automatiques qui limitent l’analyse au cas par cas, il faut être certain de leur pertinence économique dans toutes les situations. C’est ce travail de cristallisation que nous avons mené avec le DMA. La Commission examine d’ailleurs déjà s’il convient d’étendre ce cadre à de nouvelles plateformes ou à des secteurs comme le cloud. S’agissant du dossier Broadcom quel aspect souhaitez-vous que j’aborde ?

Mme Cyrielle Chatelain, rapporteure. Lors de l’annonce du rachat de VMware par Broadcom, des alertes ont été émises sur le passif de l’acquéreur, connu pour instaurer des pratiques tarifaires prédatrices après le rachat d’acteurs prépondérants. Or c’est précisément ce qu’il semble se passer aujourd’hui, puisque Broadcom utilise une position significative pour augmenter ses prix. Dès lors, n’avez-vous pas eu le temps de traiter ce dossier ? N’avez-vous pas jugé qu’il existait un risque concurrentiel majeur ? Les effets de ce rachat étant désormais concrets, notamment avec des hausses de prix liées à l’imposition d’offres groupées interdisant aux clients de choisir leurs options, allez-vous examiner la politique de Broadcom sous l’angle du droit de la concurrence ?

M. Umberto Berkani. Je ne peux répondre directement à cette interrogation, mais je vous transmettrai en complément tous les éléments à notre connaissance. Cette opération de concentration ayant été traitée par la Commission européenne, une telle procédure n’exclut en rien d’éventuelles poursuites ultérieures. Une entreprise, même après une fusion, peut être sanctionnée pour pratiques anticoncurrentielles, a fortiori si l’opération a renforcé sa position dominante.

Mme Cyrielle Chatelain, rapporteure. S’agissant des moyens, vous indiquez avoir reçu de nouvelles compétences, notamment avec le DMA, sans bénéficier des ressources associées. Avez-vous évalué les besoins nécessaires à l’exercice de ces missions ? Par ailleurs, le numérique étant actuellement traité par plusieurs services, y aurait-il un intérêt à constituer des équipes dédiées ? Ce secteur, bien qu’il mobilise des mécanismes classiques, présente des spécificités qui pourraient justifier une organisation adaptée.

Enfin, les moyens considérables déployés par les géants du numérique, particulièrement en matière de contentieux, constituent-ils un frein à la bonne application du droit ? Vous retrouvez-vous submergés par des recours ou des masses documentaires excessives ? S’agit-il, selon vous, d’une stratégie délibérée visant à affaiblir le droit en entravant l’action administrative et judiciaire ?

M. Umberto Berkani. Sur votre dernière question, la réponse est oui. Bien que ce phénomène ne soit pas propre au numérique, l’écart de ressources entre les grandes entreprises et les autorités de concurrence est colossal. Dans un État de droit, les entreprises ont le droit de se défendre, et il nous appartient de rendre nos procédures plus efficaces pour compenser ce déséquilibre. Je reste d’ailleurs à votre disposition pour proposer des pistes d’amélioration des dispositifs que nous jugeons aujourd’hui moins performants.

Concernant nos moyens, le constat est simple : à missions constantes, nous avons perdu cinq ETP en deux ans. Avant d’envisager de nouvelles prérogatives, il faudrait donc déjà pouvoir assurer nos missions historiques avec les effectifs antérieurs. C’est la rançon du succès puisque, depuis 2009, l’Autorité a vu ses pouvoirs s’étendre au contrôle des concentrations, aux enquêtes contentieuses et à une activité consultative intense, notamment pour répondre aux sollicitations du Parlement. Il faut souligner que notre institution est un centre de profit, puisque les sanctions infligées sont reversées au budget de l’État. Réduire nos ressources est donc un calcul budgétaire risqué, car moins de personnel signifie moins d’affaires traitées et donc moins de recettes pour l’État. Quant au DMA, si nous avons bien reçu les compétences nécessaires, nous n’avons pas pu développer d’activité d’investigation autonome, faute de moyens. Nous nous contentons aujourd’hui de transférer les informations pertinentes à la Commission européenne, car mener nos propres enquêtes sur ces sujets serait un luxe que nous ne pouvons pas nous offrir. Nous pourrons vous fournir une évaluation chiffrée de nos besoins.

Sur l’organisation, nous avons privilégié une approche transversale, considérant que le numérique, au même titre que le développement durable, imprègne tous les secteurs : santé, médias, transports ou télécoms. Plutôt que de créer un service isolé, nous avons mis en place des réseaux internes permettant aux spécialistes de chaque domaine de collaborer. Cette structure matricielle nous semble la plus pertinente pour appréhender la réalité économique actuelle.

Enfin, nous avons intégré des compétences spécifiques avec la création, il y a quelques années, d’un service de l’économie numérique, qui compte aujourd’hui quatre data scientists. Si ces profils nous permettent de mener des analyses techniques inédites, ils ne font évidemment pas le poids face aux armées d’experts mobilisées par nos interlocuteurs. C’est le choix organisationnel que nous avons fait à ce jour, même si d’autres modèles pourraient être envisagés.

M. Julien Neto. Nos équipes sont également très impliquées dans la gouvernance du DMA, une mission particulièrement chronophage qui mobilise nos ressources au-delà des enquêtes. En collaboration avec la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF), elles participent activement à plusieurs comités de pilotage ainsi qu’aux groupes dits « de haut niveau » au sein de la Commission européenne. Cet investissement est essentiel pour porter et faire valoir les positions des autorités françaises sur les enjeux numériques.

Mme Cyrielle Chatelain, rapporteure. Ma dernière question porte sur les hyperscalers et comporte deux volets. Le premier concerne les crédits cloud, désormais encadrés par la loi « sécurité et régulation de l’espace numérique » (Sren) : cet encadrement produit-il ses effets ou ces crédits demeurent-ils un outil de distorsion de la concurrence ?

Le second concerne le développement massif des data centers. L’enjeu réside dans l’accès à une puissance électrique installée considérable, dont les besoins européens pourraient excéder la capacité nucléaire française totale. Suivez-vous le risque de verrouillage que pourraient créer les acteurs s’appropriant aujourd’hui les terrains et les raccordements au réseau ? L’implantation foncière et la réservation de puissance auprès de RTE pourraient en effet constituer une stratégie d’accès privilégié à la ressource énergétique, verrouillant ainsi le marché pour l’avenir.

M. Umberto Berkani. Je commencerai par votre seconde question, ce qui me permet d’évoquer l’étude sur l’intelligence artificielle et l’énergie que nous avons publiée, ainsi que le webinaire disponible sur notre site. Vous avez raison : l’accès à l’énergie et la surréservation constituent deux risques concurrentiels majeurs que nous avons formellement identifiés. Toutefois, identifier un risque pour la concurrence ne signifie pas nécessairement qu’il s’agisse d’une pratique anticoncurrentielle au sens strict, qui nécessiterait l’action d’un acteur dominant. C’est pourquoi la réponse est avant tout réglementaire. Sous l’impulsion de RTE et de la Commission de régulation de l’énergie (CRE), plusieurs mesures sont en cours de déploiement parmi lesquelles la vérification systématique de la détention du foncier avant toute réservation et le contrôle périodique de l’avancement des projets pour éviter l’encombrement des files d’attente.

Sur le sujet des crédits cloud, notre analyse est nuancée. Si ceux-ci présentent des avantages pour les clients et pour certains opérateurs, nous restons attentifs à leurs effets. Nous avions surtout exprimé la crainte qu’une réglementation purement française n’impose des ajustements complexes lors de l’entrée en vigueur des textes européens en 2027. À ce jour, le décret d’application de la loi Sren sur ce point n’a pas été adopté, et les difficultés anticipées ne se sont pas encore matérialisées. Par ailleurs, les opérateurs ont déjà commencé à faire évoluer leurs pratiques, notamment sur les frais de sortie, en prévision du Data Act. Le sujet des crédits cloud perdra donc de son acuité à mesure que l’échéance de 2027 approchera. Nous vous transmettrons une réponse écrite plus détaillée sur ces points.

Mme Sophie-Laurence Roy, présidente. Dans un monde idéal, si vous disposiez des effectifs et du budget nécessaires, quelles seraient les trois modifications législatives que notre commission devrait recommander pour réduire les dépendances numériques de la France ? Faut-il selon vous renforcer vos pouvoirs sur les marchés stratégiques, créer une procédure d’alerte dédiée à la souveraineté, instaurer une obligation de réversibilité ou encore mieux contrôler les partenariats entre les hyperscalers et les acteurs français ?

M. Umberto Berkani. A priori, la question des partenariats est déjà couverte par notre activité dès lors qu’ils présentent une dimension anticoncurrentielle. De même, un signalement lié à la souveraineté relève déjà de nos compétences si les pratiques dénoncées nuisent à la concurrence. Les services d’instruction peuvent être saisis à tout moment par quiconque constate de tels agissements, et la création d’une procédure d’alerte spécifique ne modifierait donc pas substantiellement notre capacité d’intervention. Quant à l’opportunité de renforcer nos pouvoirs sur des marchés définis comme stratégiques, cette piste mérite une analyse approfondie.

Mme Sophie-Laurence Roy, présidente. Si vous avez des idées concernant ces dernières questions qui dépassent le cadre de vos activités actuelles, n’hésitez pas à nous en faire part.

* *

Table ronde, ouverte à la presse, sur le logiciel libre (mercredi 6 mai 2026)

La commission entend, lors de sa table ronde sur le logiciel libre :

– M. Renaud Chaput, directeur technique de Mastodon ;

– MM. Loïc Dayot, membre du conseil d’administration de l’April, et Étienne Gonnu, chargé de plaidoyer ;

– M. Pierre-Yves Gosset, coordinateur des services numériques de Framasoft ;

– M. Nicolas Vivant, fondateur de France numérique libre, directeur de la stratégie et de la culture numériques de la commune d’Echirolles.

Mme Sophie-Laurence Roy, présidente. Nous recevons cet après-midi des associations qui œuvrent dans le domaine du logiciel libre.

L’Europe et la France sont très dépendantes des services numériques fournis par des entreprises extra-européennes, principalement américaines mais aussi chinoises. Quels sont les atouts des logiciels libres ou de l’open source pour retrouver la maîtrise de nos systèmes d’information ? Les modèles économiques du logiciel libre sont-ils viables ?

Je vais vous laisser la parole pour un propos liminaire d’environ 5 minutes chacun. Je vous remercie de nous déclarer tout intérêt public ou privé de nature à influencer vos déclarations. Nous pourrons ensuite échanger sous forme de questions et réponses.

(MM. Renaud Chaput, Loïc Dayot, Étienne Gonnu, Pierre-Yves Gosset et Nicolas Vivant prêtent successivement serment.)

M. Renaud Chaput, directeur technique de Mastodon. Je tiens à déclarer que j’exerce une mission d’expertise à temps très partiel pour la direction interministérielle du numérique (Dinum). Je précise que cette activité est sans rapport avec mon engagement au sein de Mastodon.

Je commencerai par présenter Mastodon, qui est à la fois un organisme à but non lucratif et plusieurs autres choses. Mastodon est d’abord un réseau social distribué, composé de plus de 7 000 serveurs dans le monde, tous opérés de manière indépendante mais capables de communiquer entre eux. C’est aussi une marque, présente et opérée indépendamment. Ce réseau social a été créé il y a dix ans comme une alternative à Twitter. Il compte actuellement un million d’utilisateurs actifs dans le monde et fait partie d’un écosystème interopérable plus vaste.

Mastodon, c’est également le logiciel du même nom, le code informatique qui fait fonctionner ce réseau. C’est l’objet de ma présence ici : un logiciel libre, dont le code est développé de manière ouverte et accessible à tous. Enfin, c’est le nom de notre organisation à but non lucratif, basée en Allemagne et aux États-Unis, qui développe ce logiciel depuis dix ans et emploie aujourd’hui une quinzaine de personnes à temps plein, majoritairement au sein de ma direction technique.

Pour répondre à l’une de vos questions préliminaires, notre organisation à but non lucratif est principalement financée par les dons de ses utilisateurs, par des mécènes et par des financements publics, dont des fonds du programme Horizon Europe depuis l’année dernière et de la Sovereign Tech Agency en Allemagne.

Ce réseau social alternatif connaît une très forte croissance depuis trois ans. Auparavant, seules deux personnes y travaillaient à temps très partiel ; nous sommes désormais seize, grâce à un regain d’intérêt pour notre solution et à une augmentation des financements disponibles. C’est aussi une organisation jeune, pour laquelle nous portons une attention particulière à la gouvernance. Notre devise, « le réseau social qui n’est pas à vendre », est facile à écrire, mais plus complexe à mettre en pratique, car nous savons que l’argent peut tout acheter, comme l’a illustré le rachat de Twitter en 2022. Nous travaillons donc beaucoup sur notre gouvernance pour garantir concrètement que nous ne soyons pas « à vendre ». Notre modèle à cet égard est Wikipédia, une fondation à but non lucratif dont les statuts et la gouvernance visent à assurer son indépendance et sa souveraineté.

Un autre aspect sur lequel nous concentrons nos efforts est de proposer un logiciel libre utilisable par tous. La majorité des logiciels libres sont développés par des bénévoles sur leur temps libre. Face à nous, nous avons des géants comme Meta, qui a lancé son réseau social Threads avec une équipe de 200 à 300 ingénieurs, ou Twitter, financé par l’homme le plus riche du monde avec un budget de plusieurs centaines de millions de dollars. Nous sommes également en concurrence avec TikTok ou Blue Sky, qui a levé 150 millions de dollars. La question se pose donc de savoir comment constituer une alternative crédible avec des moyens des centaines, voire des milliers de fois inférieurs à ceux de nos concurrents.

Notre but est de fournir une alternative éthique et ouverte aux plateformes de réseaux sociaux traditionnelles, qui sont presque toutes la propriété de quelques milliardaires américains. Par ce biais, ces derniers exercent un contrôle non seulement théorique, mais bien réel sur ces réseaux à des fins idéologiques. Nous l’avons constaté aux États-Unis – et je sais que vous avez auditionné David Chavalarias sur ce sujet, donc je ne m’étendrai pas –, mais ces plateformes ont eu un impact réel sur des élections. Cela continue, comme lors de l’élection en Roumanie l’an dernier. Ces réseaux sociaux, aux mains de quelques puissants, sont devenus des outils idéologiques.

Nous voulons créer une plateforme alternative qui ne puisse être contrôlée par une seule personne. C’est dans cet esprit que les 7 000 serveurs Mastodon sont indépendants. Chaque serveur est autogéré et décide de ce qui est légal ou acceptable pour sa communauté. Notre organisation, Mastodon, n’a aucun moyen d’imposer sa vision. Personne ne peut imposer son point de vue en utilisant Mastodon. La clé de notre raison d’être est de créer ce logiciel libre, ce réseau social qui ne peut être contrôlé par personne et qui permet à différentes organisations d’être souveraines dans leur communication.

Ces dernières années confirment la pertinence de notre vision. Nous observons un regain d’intérêt pour notre solution en Europe, et moins, étrangement, aux États-Unis, qui contrôlent déjà tous les autres réseaux. La Commission européenne dispose de son propre serveur Mastodon et travaille activement à son développement. Les gouvernements allemand et néerlandais communiquent de plus en plus sur ce réseau et commencent à le soutenir financièrement, dans le but de maîtriser leur communication publique sur une plateforme souveraine, non soumise à des intérêts américains ou chinois.

En France, nous observons un début de prise de conscience. Les discours, y compris au plus haut niveau de l’État, sur la nécessité de créer nos propres plateformes européennes sont nombreux. Toutefois, je dois avouer que ces discours sont suivis de peu d’actes. J’ai tenté de contacter de nombreux interlocuteurs au sein du gouvernement, des directions du numérique et des ministères. Il est très difficile d’obtenir un rendez-vous et, plus encore, que cela ait des conséquences concrètes. Il ne s’agit même pas de raisons financières, car le coût des solutions libres est globalement très faible par rapport aux solutions existantes. Même des actions simples, comme cesser de communiquer exclusivement sur Twitter pour les personnalités politiques ou les institutions, qui n’ont pas un coût élevé, ne sont pas mises en œuvre en France. Nous espérons que la situation s’améliorera, à l’instar de nos voisins, mais nous avons pour l’instant assez peu de relais.

Par nature, un réseau social requiert des mouvements d’ampleur, la mobilisation de communautés et d’audiences entières. C’est sur ce point que nous nous heurtons à des difficultés en France.

Mme Sophie-Laurence Roy, présidente. Il faut faire de la publicité sur X.

M. Renaud Chaput. Le service de communication du Parlement européen nous l’a suggéré mais nous n’en avons pas les moyens.

M. Loïc Dayot, membre du conseil d’administration de l’April. Outre ma fonction de membre du conseil d’administration de l’April, je suis fonctionnaire territorial, en tant que directeur des systèmes d’information de la ville de Villejuif. Pour la présentation de l’April, je cède la parole à mon collègue.

M. Étienne Gonnu, chargé de plaidoyer de l’April. L’April, fondée en 1996, fêtera bientôt ses trente ans. Elle est la principale association de promotion et de défense du logiciel libre dans l’espace francophone. Nos deux champs d’action principaux sont la sensibilisation du grand public aux enjeux du logiciel libre et le plaidoyer auprès des pouvoirs publics. L’April est financée en très grande majorité par les cotisations de ses membres, qui sont plafonnées, ce qui nous assure une stabilité financière et une indépendance vis-à-vis de tout membre unique. Ce financement nous permet d’employer quatre salariés, dont je fais partie. L’association compte près de 3 000 membres cotisants, dont environ 300 personnes morales – entreprises, associations ou collectivités. Sa gouvernance est assurée par un conseil d’administration bénévole, élu par liste chaque année lors de son assemblée générale, et dont Loïc Dayot est membre. Je précise que l’actuelle présidente de l’April n’est pas informaticienne mais libraire, ce qui rappelle que nous ne sommes pas une association technique, mais une communauté réunie autour d’une éthique partagée, au bénéfice de tous. D’ailleurs, notre seul engagement envers nos membres est de défendre cette éthique commune du logiciel libre.

Le logiciel libre se définit par sa licence, qui garantit ce que nous appelons les quatre libertés fondamentales : la liberté d’étudier le code, la liberté d’usage, la liberté de modification et la liberté de partage. S’arrêter là serait toutefois réducteur. S’il est important de réfléchir en termes d’alternatives aux solutions dominantes, il ne faut pas s’enfermer dans ce seul discours. Les logiciels libres ne sont pas que des produits ; ils incarnent une approche globale. Les quatre libertés inscrites dans les licences doivent être appréhendées comme des vecteurs d’autonomie stratégique, de souveraineté et de démocratie, en apportant des garanties structurelles d’indépendance. Nous ne sommes pas naïfs : le logiciel libre seul ne suffit pas à atteindre une véritable autonomie stratégique, mais il en est une condition nécessaire minimale.

Au-delà du code informatique, l’enjeu est de se réapproprier la maîtrise de la définition des besoins et des usages, en amont même du recours à une solution logicielle. Un des piliers pour y parvenir est la commande publique . Il s’agit d’intégrer comme pratique dans les achats numériques un principe de priorité au logiciel libre. Pour paraphraser le président de votre commission, qui a publié un excellent rapport sur la souveraineté numérique en 2021, il s’agit de « systématiser le recours au logiciel libre en faisant de l’utilisation des solutions propriétaires une exception ». Je précise que cette approche est déjà compatible avec le droit de la commande publique. Le Conseil d’État a en effet rappelé en 2011, dans une jurisprudence peut-être méconnue, que, de par leurs caractéristiques, les logiciels libres permettent de passer un marché sur une solution spécifique sans créer de rupture d’égalité dans l’accès à ce marché. Nous défendons en ce sens l’inscription d’un principe normatif de priorité au logiciel libre, assorti d’un décret d’application en Conseil d’État pour lui donner corps.

Il s’agit également pour les administrations de passer d’une logique de consommation passive de leurs logiciels à une logique de contribution plus active. Celle-ci doit s’inscrire au cœur d’une stratégie politique transversale, qui priorise les dépenses logicielles les plus critiques, intègre l’importance des logiques de gouvernance et vise, par une politique de la demande, à la consolidation des écosystèmes et des standards interopérables. J’ouvre ici une parenthèse pour saluer l’approche qui se développe en Allemagne avec le Deutschland-Stack qui place les normes interopérables au cœur de la stratégie allemande. La France gagnerait beaucoup à s’en inspirer, notamment en renforçant drastiquement le référentiel général d’interopérabilité (RGI), un instrument précieux mais insuffisamment appliqué.

Il faut aussi sortir de la quête d’un « champion », terme qui me semble revenir souvent dans vos auditions, et dépasser le strict enjeu de la nationalité, sans même parler de la problématique de l’application extraterritoriale de certaines lois. Ce qui est nécessaire, ce sont des logiciels libres dotés d’écosystèmes robustes, qui s’appuient sur des TPE-PME et une gouvernance claire et transparente. Mastodon ou PeerTube, dont Pierre-Yves parlera peut-être, sont des exemples flagrants de projets libres qui fonctionnent avec des écosystèmes et une gouvernance clairs, sans nécessiter de champion particulier. On peut aussi citer le soutien officiel de la Dinum à la fondation Matrix, qui gère le protocole de messagerie interopérable sur lequel est basée la solution Tchap. L’engagement de l’État dans l’investissement, la gouvernance du protocole et la contribution au code est un bon exemple des pistes à explorer.

Notre regard sur la politique française en matière de logiciel libre est celui, ancien, d’une forte inertie et d’un manque de stratégie transversale coordonnée au niveau de l’État. Ce défaut de coordination a été pointé à plusieurs reprises, notamment par la Cour des comptes ou récemment par le très bon rapport d’une commission d’enquête sénatoriale sur la commande publique publié en 2024, dont vous avez sans doute connaissance. Nous avons aussi l’impression de rendez-vous manqués. En 2001, Michel Rocard rencontrait les communautés du logiciel libre, prélude à ce qui serait, quatre ans plus tard, la victoire contre les brevets logiciels en Europe. En 2012, nous avons eu l’emblématique circulaire Ayrault sur l’usage des logiciels libres. En 2013, une priorité au logiciel libre a été affirmée dans l’enseignement supérieur, mais elle n’a de toute évidence pas été suivie d’effets, faute de portage politique. L’éducation est pour nous un enjeu systémique majeur. En 2016, il y a eu la loi pour une République numérique ; en 2021, un plan d’action pour l’ouverture des données et des codes avec la circulaire Castex. Mais tout cela ne s’est jamais traduit en une véritable politique industrielle de soutien au développement d’une économie du logiciel libre.

Puisque vous vous interrogiez, Madame la présidente, sur la robustesse économique des logiciels libres, une étude de 2022 menée par nos amis du Conseil national du logiciel libre (CNLL) estimait que le secteur du logiciel libre en France représentait près de 6 milliards d’euros de chiffre d’affaires et près de 64 000 emplois directs, soit un marché multiplié par quarante en moins de vingt ans. Une autre étude de la Commission européenne, « Impact of open source software and hardware on technology independence », estimait qu’un investissement public d’un milliard d’euros dans le logiciel libre générerait un impact de 65 à 95 milliards d’euros sur le PIB européen. Peu de secteurs peuvent se prévaloir d’un tel retour sur investissement.

Les annonces récentes de la Dinum, notamment sa migration symbolique vers un système GNU/Linux ou une récente circulaire sur les achats numériques, sont à saluer. Nous espérons que cela suffira, mais cela ne résoudra pas tout. Nous attendons les plans ministériels annoncés pour l’automne pour évaluer le niveau de coordination et de cohérence stratégique que nous appelons de nos vœux. Il y a beaucoup à dire sur la commande publique, l’interopérabilité, l’acculturation, l’éducation, le financement ou la durabilité.

M. Pierre-Yves Gosset, coordinateur des services numériques de Framasoft. Je vous remercie d’avoir invité notre association à témoigner aujourd’hui. Je suis peu familier de cet exercice, mais je tiens à déclarer que notre association travaille ponctuellement en tant que prestataire pour divers acteurs publics, notamment la Direction du numérique pour l’éducation, sur des montants très faibles, hors marchés publics, et je pourrai vous fournir plus d’informations si vous le souhaitez.

Framasoft, malgré une consonance qui pourrait évoquer Microsoft, est en réalité une association loi 1901 à but non lucratif et d’intérêt général, dont l’objet social est l’éducation populaire aux enjeux du numérique et des communs culturels. Dans ce cadre, notre association mène de nombreuses actions visant à faciliter l’émancipation par le numérique. Notre expertise repose sur plus de vingt ans d’expérience sur des sujets touchant au numérique, notamment les logiciels libres, le respect de la vie privée et les communs numériques. Depuis plus de douze ans, nous avons développé une expertise reconnue sur la problématique de la toxicité des géants du numérique dits Gafam et de leurs modèles, tels que l’économie de l’attention, les dark patterns ou le capitalisme de surveillance.

Créée il y a plus de vingt ans, notre association est reconnue pour plusieurs projets. Historiquement, notre annuaire de logiciels libres, proposé dès 2004, demeure l’une des portes d’entrée francophones vers le monde du libre, un peu à l’image du socle interministériel de logiciels libres (SILL), mais à destination du grand public. Depuis notre création, les membres de l’association ont réalisé plus de 1 000 interventions sous forme de conférences, d’ateliers ou de témoignages comme aujourd’hui.

Nous sommes également éditeurs de plusieurs logiciels libres, notamment, comme l’évoquait Étienne, PeerTube, une alternative à YouTube (propriété de Google) ou à Dailymotion (propriété du groupe Bolloré). PeerTube permet d’organiser le stockage et la diffusion de plus d’un million de vidéos sur un réseau de plus de 2 000 serveurs interconnectés, sur le même principe que le réseau social Mastodon. Cette solution est utilisée par le ministère de l’éducation nationale – Audran Le Baron a dû l’évoquer lors de son audition –, par des institutions européennes ou par des collectivités comme la ville d’Échirolles.

Framasoft est cependant surtout connu pour sa campagne « Dégooglisons Internet », lancée en 2014 à la suite des révélations d’Edward Snowden, qui pointaient déjà il y a plus de dix ans notre dépendance croissante aux Gafam. Nous avons été l’une des associations pionnières à lever le voile sur ce que l’on appelle le capitalisme de surveillance, ce modèle économique qui soutient des entreprises dont les dirigeants, ouvertement transhumanistes, font aujourd’hui bien plus que flirter avec les pouvoirs technofascistes. Cela nous a poussés à mettre en place une suite de services en ligne que l’on pourrait qualifier de souverains, car ils reposent entièrement sur du logiciel libre. Ainsi, Framasoft propose depuis plus de dix ans des services comme Framadate, une alternative à Doodle, Framaform, une alternative à Google Forms, ou encore Framaspace, un service de cloud associatif libre et gratuit qui équipe aujourd’hui plusieurs milliers d’associations francophones. Cette suite accueille plus de deux millions de personnes par mois, faisant de Framasoft le plus gros hébergeur de services en ligne collaboratifs hors marché, c’est-à-dire non capitalistes, au niveau mondial.

Nos services étant ouverts à tous, sans publicité ni exploitation des données, nous avons longtemps constitué le « shadow IT », c’est-à-dire le service informatique officieux de nombreux agents de l’État ou de collectivités, palliant ainsi les carences de leurs systèmes d’information respectifs. Je peux affirmer, car cela m’a été rapporté par les intéressés eux-mêmes, que le travail de notre association a fortement inspiré des initiatives aujourd’hui portées par l’État, telles que la suite de la Dinum ou le projet Apps.education.fr porté par la direction du numérique pour l’éducation (DNE).

Nous réalisons l’ensemble de ces actions avec une équipe extrêmement réduite d’une dizaine de salariés et d’une vingtaine de bénévoles. Notre modèle économique est basé quasi exclusivement sur le don de particuliers et de quelques fondations et entreprises. Cela nous permet d’être totalement indépendants de toute subvention publique, à la fois pour des raisons d’indépendance financière, mais aussi parce que nous refusons de signer le contrat d’engagement républicain, que nous jugeons inefficace et liberticide.

Pour résumer la vision de notre association, nous souhaitons outiller les citoyens avec des outils « conviviaux », au sens du philosophe Ivan Illich, afin de progresser vers plus de justice sociale. Nous souhaitons revenir aux fondamentaux d’un internet autonome et robuste, non soumis au désir de gouvernements qui pourraient aspirer à mettre les citoyens sous surveillance, ni au bon vouloir d’entreprises gigantesques qui disposent d’un pouvoir démesuré sur nos vies numériques et physiques. Enfin, nous souhaitons préserver et renforcer un espace numérique émancipateur, qui redonne du pouvoir d’agir à toutes et tous.

M. Nicolas Vivant, fondateur de France numérique libre, directeur de la stratégie et de la culture numériques de la commune d’Échirolles. L’exemple d’Échirolles illustre une prise de conscience, dès 2014, du caractère éminemment politique du numérique. C’est la conviction d’Aurélien Farge, l’adjoint au maire en charge du numérique, qu’il existe plusieurs façons d’envisager le numérique et que toutes ne sont pas cohérentes avec le projet politique de la majorité, ni avec les valeurs du service public. Cependant, entre l’impulsion politique et la réalisation concrète par les services, un écart peut exister, et le mandat 2014‑2020 n’a pas été satisfaisant du point de vue de la mise en œuvre opérationnelle du projet.

La situation d’Échirolles en 2021 était celle de la plupart des communes qui se posent aujourd’hui les mêmes questions : peut-on vraiment agir sur les grands enjeux du numérique – la sobriété, l’inclusion, la souveraineté, la cybersécurité, la gestion des données personnelles, etc. – et, si oui, comment ?

La première étape a été la création d’un groupe de travail réunissant plusieurs élus de la majorité, qui ont réfléchi aux enjeux numériques dans leurs domaines respectifs et rédigé une feuille de route politique pour le mandat 2020-2026. La deuxième étape, en concertation avec la direction générale des services (DGS), a été la création d’une direction de la stratégie et de la culture numérique. Positionné entre le directeur général des services et le service informatique, ce directeur a pour mission de rédiger un schéma directeur, de veiller à sa mise en œuvre et de porter un travail transversal avec l’ensemble des directions de la commune. J’ai été nommé sur ce poste en février 2021.

En positionnant le service informatique sous ma responsabilité hiérarchique, les élus et la DGS m’ont donné dès 2021 les moyens d’agir concrètement sur l’organisation et les orientations du service. Six mois ont été nécessaires pour prendre la mesure des ressources, réfléchir à la meilleure façon d’atteindre les objectifs et rédiger un schéma directeur. Le passage au logiciel libre s’est alors imposé comme le moyen le plus efficace de répondre aux différents objectifs fixés. En novembre 2021, à la demande d’Aurélien Farge, ce schéma directeur a été présenté en conseil municipal et voté à l’unanimité. Ma direction bénéficie donc, en plus de ce positionnement hiérarchique, d’un soutien particulièrement important de l’ensemble de la collectivité, ce qui a été déterminant pour la réalisation du projet.

Un passage au logiciel libre ne consiste pas simplement à remplacer des logiciels propriétaires ; c’est un nouveau paradigme, un nouveau projet, une nouvelle façon de travailler, et donc un changement complet à opérer. Or, un service informatique est une équipe avec des compétences techniques, des équilibres et des habitudes de travail qui peuvent être fortement ancrées. Quand les compétences, parfois durement acquises, reposent sur des logiciels propriétaires, et que les agents qui les maîtrisent sont valorisés, un changement de cap induit forcément des bouleversements qu’il ne faut pas négliger. Tenter de convaincre tout le monde et de faire monter en compétences l’ensemble de l’équipe, c’est s’attaquer à l’Everest par la face nord en hiver.

Une approche plus efficace consiste à revoir le recrutement. La stratégie la plus efficace consiste à utiliser le renouvellement naturel de l’équipe pour recruter des talents qui disposent déjà des compétences attendues, d’une appétence pour le projet et d’un sens affirmé du service. Cela prend du temps et nécessite de revoir les fiches de poste et les offres d’emploi, mais c’est ce qui permet une véritable montée en puissance. L’auto-hébergement des serveurs, la reprise en main du réseau et la gestion interne de l’informatique ont également fortement contribué à notre objectif de souveraineté.

En fin de mandat, en 2026, nos objectifs ont été atteints : nous n’avons plus aucune dépendance envers les grands acteurs de la tech comme Microsoft, Google, Amazon ou Oracle. Des événements tels que le rachat de VMware par Broadcom, le passage à Windows 11 ou les différentes pannes récentes ne nous ont aucunement affectés. Nous maîtrisons non seulement notre infrastructure et nos outils, mais aussi notre budget. Les économies réalisées sur les coûts de fonctionnement s’élèvent à plus de 2 millions d’euros sur la durée du mandat.

Si vous interrogez les agents de la ville d’Échirolles, ils vous diront qu’ils n’ont pas noté de grands changements. Pourtant, ces changements ont été nombreux : réorganisation de l’équipe, préparation budgétaire, reporting, monitoring, documentation, tout a changé.

Échirolles est également à l’origine d’AlpOSS, un événement dédié à l’open source co‑organisé avec l’association OW2 et la société Belledonne Communications, ainsi que du collectif France numérique libre. Ce dernier réunit 400 responsables informatiques de collectivités de tout le territoire, y compris ultramarin, qui s’intéressent aux logiciels libres. L’objectif de France numérique libre est de permettre l’échange entre pairs sur les outils disponibles, les méthodologies et les stratégies de déploiement. En effet, l’une des problématiques du logiciel libre est le sourcing et la veille technologique : en l’absence de démarche commerciale, il faut trouver l’information par soi-même, et l’échange entre pairs facilite grandement cette découverte. Je vous remercie.

Mme Sophie-Laurence Roy, présidente. Merci à tous, vous avez répondu à plusieurs de mes questions. Vous avez notamment décrit de manière très pratique comment le changement de logiciel a dû être accompagné auprès du personnel. Vous avez expliqué qu’il a fallu s’adapter aux habitudes, voire renouveler une partie des équipes.

La question qui en découle, et que nous avons constatée avec la rapporteure lors de précédentes auditions, est que le changement de logiciel génère souvent de grandes difficultés auprès des personnels. Ceux-ci sont habitués à leurs outils, et Microsoft, comme le fait remarquer la rapporteure, les fidélise très astucieusement en proposant des tarifs attractifs aux lycéens, aux étudiants et à leurs familles. Dans ce contexte, vous arrive-t-il d’être sollicités par des administrations pour mener des actions de sensibilisation, de formation ou d’accompagnement auprès de leurs personnels ?

M. Nicolas Vivant. L’accompagnement est indispensable, mais il n’est pas propre à l’adoption de logiciels libres. Tout changement de logiciel, y compris le passage d’une solution propriétaire à une autre, nécessite un accompagnement. La vraie question est celle du changement d’habitude. En réalité, il n’y a pas de résistance de la part des utilisateurs lorsque vous leur proposez un logiciel meilleur que celui qu’ils utilisent.

La véritable résistance, comme je l’ai expliqué dans mes réponses à votre questionnaire, se situe du côté du service informatique. Le passage au logiciel libre implique en effet de nouveaux outils auxquels le service informatique doit s’adapter, et il n’en a pas toujours la compétence. Imaginez une équipe de dix personnes où une seule maîtrise Linux et toutes les autres travaillent sous Windows. Si vous arrivez et déclarez que Windows n’est plus la priorité et que l’on va désormais travailler sous Linux, un déséquilibre se crée. La personne auparavant marginalisée se trouve soudain valorisée, tandis que les autres membres du service se sentent en difficulté par rapport au projet. La résistance, et je ne l’ai pas observée uniquement dans ma commune car nous échangeons beaucoup entre communes, provient davantage du service informatique que des utilisateurs.

À ce sujet, ayant suivi l’ensemble de vos auditions, je tiens à souligner que la résistance des utilisateurs est d’autant plus mise en avant que les intervenants ont une faible expérience du terrain. Quand on a cette expérience, on constate que la majorité des problèmes ne se situe pas là. Il y a quelques exceptions, comme le changement de suite bureautique qui peut être très structurant, mais avec un accompagnement adéquat de la part de la DSI – et c’est notre responsabilité de le faire –, ces transitions peuvent se dérouler dans de bonnes conditions.

Mme Sophie-Laurence Roy, présidente. Je vous remercie. Vous avez dit qu’un utilisateur est toujours prêt à changer de logiciel quand le nouveau qu’on lui propose est meilleur que le précédent. Comment faites-vous pour que les logiciels open source soient meilleurs et le restent ?

M. Loïc Dayot. Comme pour tout changement de logiciel, si l’on change, c’est que l’on a identifié des défauts dans la solution précédente et que l’on souhaite une amélioration. On choisira donc de toute façon une solution qui sera meilleure pour les utilisateurs. Il n’est a priori pas question d’opérer des migrations vers des solutions qui rendraient un moins bon service. Que ce soit du logiciel libre ou non ne change rien au saut à accomplir, qui peut être plus ou moins facile pour les utilisateurs et qui réclame de l’accompagnement. Mais ce saut est beaucoup plus facile si la nouvelle solution résout des problèmes qui existaient depuis un certain temps et qui ont motivé le changement.

À Villejuif, environ un tiers des logiciels ont été remplacés par des logiciels libres au cours des dix dernières années. La plupart des agents ne savent pas que ce sont des logiciels libres ; ils ont simplement constaté une amélioration. C’est le bon choix du logiciel qui garantit une meilleure qualité.

Mme Sophie-Laurence Roy, présidente. Comment faites-vous pour que les logiciels libres soient meilleurs que les logiciels propriétaires ?

M. Nicolas Vivant. On fait un meilleur logiciel. De fait, et c’est de plus en plus souvent le cas, des logiciels libres sont bien meilleurs que leurs équivalents propriétaires. Nous utilisons une solution très connue et très utilisée qui s’appelle Nextcloud, avec de l’édition collaborative. On pourrait la considérer comme une alternative à SharePoint de Microsoft ou à Google Workspace. Tous les vendredis après-midi, j’assure des formations au sein de ma collectivité sur les différents outils que nous utilisons, dont une sur Nextcloud. Pas une seule fois, j’ai entendu quelqu’un me dire que Google Workspace ou Microsoft SharePoint étaient plus performants que la solution Nextcloud que nous avons déployée. Comment ont-ils fait ? Il faudrait poser la question à Nextcloud. Toujours est-il qu’aujourd’hui, ce logiciel est plus simple, plus complet et plus performant que tout ce que les agents avaient pu utiliser.

M. Renaud Chaput. J’interviens en tant qu’éditeur de logiciel, en l’occurrence un logiciel de réseau social. Contrairement à des logiciels d’entreprise ou de collectivité, je pense que tout le monde a au moins un réseau social sur son téléphone. C’est un domaine dans lequel les Gafam ont énormément investi pour créer des logiciels les plus faciles à utiliser, les plus rapides et les plus performants, sous peine de perdre leurs utilisateurs face à la concurrence.

Chez Mastodon, jusqu’à l’an dernier, nous n’avions pas de designer, personne pour travailler sur le graphisme ou l’expérience utilisateur. Et je dois avouer que cela se voyait, et se voit encore un peu. Ce qui change la donne pour un éditeur de logiciel, c’est de disposer de plus de moyens, ou du moins de moyens minimums pour accomplir ce travail. Je prenais l’exemple de Meta, qui a lancé son réseau social Threads il y a deux ans avec une équipe de dix ou quinze designers uniquement pour réfléchir à l’interface, quand nous, chez Mastodon, n’en avions aucun.

Cependant, le fait d’être un logiciel libre et de travailler de manière ouverte rend ce travail beaucoup moins coûteux. Nous avons une large base d’utilisateurs, nous travaillons sur des technologies qui fonctionnent, et nous n’avons pas d’intérêts contradictoires comme la gestion d’une régie publicitaire ou de données personnelles, ce qui simplifie nos logiciels. Ainsi, un budget qui paraîtrait ridicule dans une grande entreprise nous suffit pour employer une ou deux personnes au design, une ou deux autres sur l’interface, et obtenir des résultats très efficaces. Dès que nous disposons de ce minimum de moyens, nous sommes capables de créer des logiciels plus performants.

La vraie difficulté pour beaucoup de logiciels libres est que le terme est souvent associé au bénévolat. Énormément de logiciels libres ont été initiés par des passionnés, qui ont peut-être trouvé d’autres passionnés, mais qui développaient ces projets en plus de leur travail. Chez Mastodon, nous nous sommes rendu compte que pour créer un logiciel qui fonctionne bien, qui est simple au point que l’on oublie que c’en est un, qui n’est pas « moche » et qui marche mieux que les autres solutions, il est essentiel d’avoir quelques personnes qui y travaillent à temps plein. C’est un effort constant. Nous avons récemment lancé une nouvelle fonctionnalité qui paraît toute simple, mais qui a nécessité neuf mois de travail pour deux personnes afin d’atteindre cette simplicité. C’est un niveau de finition que beaucoup de logiciels libres ont du mal à atteindre, car ils sont souvent développés par des personnes qui y consacrent quelques heures par-ci par-là. Or, rendre un logiciel simple à utiliser est un vrai métier.

Notre solution est donc d’y allouer des moyens. Avec des budgets modestes comparés à beaucoup d’acteurs, nous pouvons employer des personnes très compétentes à plein temps pour résoudre ces problèmes. Chez Mastodon, nous sommes très privilégiés en tant que logiciel libre, car nous disposons enfin d’un budget qui nous a permis d’embaucher les bonnes personnes. Si vous interrogez n’importe quel utilisateur de Mastodon, il vous dira que l’interface s’est énormément améliorée au cours de la dernière année et que nous avons réglé 80 % des gros problèmes qui existaient, et ce, grâce à ces embauches.

Mme Sophie-Laurence Roy, présidente. Si je vous comprends bien, quitter les logiciels propriétaires pour choisir des logiciels libres est un plaisir et une source d’économies. Pourquoi tout le monde ne le fait-il pas ?

M. Nicolas Vivant. L’objectif d’une collectivité n’est pas de mettre en œuvre des logiciels libres. Une collectivité fournit des services à la population. La personne qui vous remet votre passeport se moque de savoir si le logiciel utilisé est libre ou non.

Comme je l’ai expliqué dans mon propos liminaire, les logiciels libres sont un moyen d’atteindre certains objectifs : la cybersécurité, la bonne gestion des données personnelles, la souveraineté, la résilience de l’infrastructure. L’objectif n’est pas de se faire plaisir.

Pourquoi tout le monde ne le fait pas ? Tous ceux qui l’ont fait se posent la question. J’ai noté dans les différentes auditions que les personnes qui ont une véritable expérience du sujet, comme Henri Verdier, se posent toutes cette question. Tous ceux qui ont franchi le pas viennent témoigner que c’est possible. La gendarmerie l’a fait, la DGFIP utilise Libre Office depuis des années. Tous ces exemples sont la preuve concrète que c’est possible. J’ai d’ailleurs toujours beaucoup de mal à entendre des personnes auditionnées affirmer que c’est très compliqué et que cela coûtera très cher, quand soi-même on l’a fait et que l’on peut attester d’une économie de 2,5 millions d’euros sur le mandat.

Ce qui m’a rassuré, c’est que j’ai noté que ces réserves dépendaient beaucoup du niveau technique des personnes qui s’exprimaient. Henri Verdier, qui a de solides connaissances techniques, disait par exemple que c’était jouable. D’autres étaient plus circonspects. C’était très notable en fonction du niveau technique des DSI des différentes agences et ministères que vous avez auditionnés. Mais effectivement, la question se pose, car c’est non seulement jouable, mais c’est de plus en plus facile. C’était beaucoup plus compliqué il y a une dizaine d’années.

M. Étienne Gonnu. Un des aspects est ce que l’on pourrait qualifier d’adhérences culturelles, qui ne sont pas un fait isolé mais qui ont une cause. Cette cause, c’est que les géants du numérique comme Microsoft ou Google ont clairement conscience de l’enjeu et cherchent à garder captifs leurs utilisateurs. Ils déploient pour cela des moyens de lobbying énormes. Un observatoire européen estime à 151 millions d’euros les dépenses de lobbying au niveau de l’Union européenne, une somme en très forte croissance ces dernières années.

Il y a aussi les pratiques que la rapporteure rappelait sur les licences à prix cassés, qui permettent de restreindre l’imaginaire de l’informatique pour la majeure partie de la population. Pour beaucoup de gens, l’informatique, c’est Microsoft, Google, Apple. Imaginer qu’une autre forme d’informatique est possible n’est pas si simple, surtout quand on est captif de ces systèmes depuis l’école jusqu’à la vie active.

Il y a également la vente forcée. Ce phénomène, qui concerne surtout les particuliers mais expose aussi les organisations, fait que lorsque l’on achète un équipement informatique, on est presque certain que Windows y sera déjà installé, sans avoir conscience du surcoût que cela représente. C’est sans doute l’un des seuls produits que l’on nous vend sans que nous l’ayons demandé et sans savoir combien il a coûté. Il n’y a pas d’affichage de prix distincts. Nous appelons notamment à une distinction des prix entre la licence logicielle et la machine. Je pense que cette adhérence culturelle globale explique en grande partie la difficulté du changement.

Mme Cyrielle Chatelain, rapporteure. Je vous remercie pour votre présence, vos propos liminaires et vos premières réponses.

Je voudrais poursuivre sur la question : « pourquoi est-ce que tout le monde ne le fait pas ? ». Peut-être en commençant par identifier qui le fait. Pourriez-vous nous rappeler, pour ceux qui ne connaissent pas Échirolles, le nombre d’habitants et d’agents, afin que l’on puisse se représenter le type de collectivité concernée ? Vous avez également mentionné un réseau ; y a-t-il d’autres collectivités qui ont engagé la même démarche et quelle est leur taille ?

Deuxièmement, nous parlons beaucoup du secteur public, mais avez-vous connaissance d’entreprises du secteur privé qui ont engagé une démarche similaire ? Cela permettrait d’avoir une meilleure connaissance des acteurs qui s’engagent dans cette voie.

Enfin, sur les raisons qui poussent à engager cette démarche, que ce soit dans le secteur public ou privé, vous avez rappelé les objectifs. Vous avez suivi les auditions, et plusieurs freins nous ont été évoqués. Nous avons beaucoup parlé de l’accompagnement au changement. On nous a aussi opposé l’argument du manque de réponses intégrées : « avec un gros opérateur, j’achète un package qui répond à tous mes besoins, alors qu’avec le libre, je dois diversifier les acteurs ». La question de l’échelle est aussi revenue fréquemment : « je suis une structure trop grosse pour le libre ». Enfin, avec l’émergence de l’intelligence artificielle, une inquiétude se fait jour : comment être sûr de la qualité des contributions open source ? Ne risque-t-on pas d’être submergé par des contributions malveillantes ? Je résume ici les doutes et les questions qui peuvent émerger.

M. Nicolas Vivant. Échirolles est une ville de 37 000 habitants, avec environ 1 000 agents et 1 500 postes informatiques en incluant le centre communal d’action sociale (CCAS) et les écoles. C’est une commune de taille moyenne.

La question de la taille revient souvent, avec une double problématique : celle des toutes petites communes et celle des très grosses. Chacune nous renvoie que si c’est possible à Échirolles, c’est parce que nous avons la taille idéale, alors que ce serait plus dur pour elles. Je voudrais faire une déclaration officielle : la taille ne compte pas. En revanche, la méthodologie pour atteindre l’objectif est très différente.

Pour avoir une idée des chiffres, sur les 35 000 communes en France, seules 2 000 ont plus de 5 000 habitants. Je prends ce seuil car je n’ai jamais vu de commune de moins de 5 000 habitants disposant d’un service informatique en interne. Cela signifie que sur 35 000 communes, 33 000 voient leurs orientations numériques dépendre de prestataires et d’opérateurs publics de services numériques (OPSN), c’est-à-dire de syndicats intercommunaux ou mixtes. Cela n’empêche pas d’atteindre les objectifs, mais cela pose la question du choix du prestataire, car il en existe qui ont conscience de ces enjeux et proposent des solutions basées sur des logiciels libres. Une nouveauté très importante est l’arrivée de la « suite territoriale », proposée par l’Agence nationale de la cohésion des territoires (ANCT) et relayée par les OPSN. C’est une suite complète et intégrée d’outils à destination des communes de moins de 3 500 habitants et des OPSN de moins de 14 000 habitants. C’est une initiative nouvelle, très bien faite et très adaptée aux petites communes.

Pour les très grandes communes, le projet de passage au libre est évidemment plus lourd : plus d’agents, plus de logiciels, plus de serveurs. Mais elles ont aussi plus de moyens. Je parlais de la nécessaire adaptation du service et du recrutement dans mon propos liminaire. Dans une commune de taille importante, le renouvellement des équipes est plus rapide, et donc la vitesse à laquelle on peut faire évoluer son service est proportionnellement plus grande. Les projets sont plus lourds, mais on dispose aussi de plus de ressources humaines et financières. À ce sujet, notez que tous les DSI des ministères et des agences qui ont évoqué un passage au libre ont parlé de réinternalisation des compétences. Cela me semble un point majeur pour les grosses structures : réorienter le service avec un peu moins de prestations et des compétences techniques internes plus fortes.

Concernant l’intégration des solutions, j’ai entendu beaucoup d’intervenants déplorer le manque de solution intégrée. Pour les communes de taille moyenne ou importante, c’est notre métier d’intégrer de façon cohérente l’ensemble des solutions dans notre système d’information. C’est notre métier d’interfacer une IA avec notre Nextcloud pour résumer un texte, ou de lancer une visioconférence depuis notre messagerie. Quand on a les compétences en interne, ou même en s’appuyant sur des prestataires, ce travail d’intégration peut être fait. La filière du libre a raison de dire que son incapacité à proposer une solution « tout-en-un » est un handicap face aux big tech. Mais dans les collectivités, nous pouvons aussi réaliser cette intégration par nous-mêmes.

M. Pierre-Yves Gosset. Pour poursuivre ce que disait Nicolas Vivant, je voudrais prendre un peu de hauteur en rappelant que les logiciels libres font partie de ce que l’on appelle les communs numériques. Un commun se définit par trois caractéristiques : une ressource (ici, le code du logiciel), une communauté et une gouvernance (les règles qui régissent la vie, la maintenance et la feuille de route du logiciel).

Si l’on considère le logiciel libre comme un produit sur étagère qui coûte zéro, cela ne peut pas fonctionner. La vraie difficulté est de passer d’une stratégie de consommation à une stratégie de contribution. Si vous ne faites que récupérer le logiciel sans travailler dessus, sans le maîtriser, cela ne fonctionnera pas. On ne peut pas simplement se dire : « je prends Libre Office et je le mets entre les mains des agents ». Il faut de l’accompagnement, mais il faut aussi améliorer progressivement Libre Office, ne serait-ce que pour l’adapter à de nouvelles fonctionnalités ou de nouveaux usages. Il faut contribuer à ce commun numérique.

Souvent, que ce soit dans les administrations ou les entreprises, on constate une grande difficulté à opérer cette bascule mentale, à se dire : « je ne paie pas, mais je ne vais pas contribuer en plus ». Si le discours était : « vous n’avez peut-être pas payé le logiciel, mais vous allez reverser du code et des améliorations pour le bien commun et l’intérêt général », je pense que nous aurions déjà franchi un pas.

Je reviens sur deux freins importants. Le premier est que le logiciel libre a peu de porte-parole pour son plaidoyer. L’April est sans doute le meilleur représentant en France et dans la francophonie, mais le lobbying des éditeurs de logiciels propriétaires est extrêmement puissant, notamment auprès des entreprises. Nous jouons à armes totalement inégales. Évidemment, Microsoft a tout intérêt à vous dire que quitter son écosystème coûtera cher, car son modèle économique est menacé par le logiciel libre.

Enfin, il y a la question des compétences. Au cours des trente dernières années, l’État a externalisé les compétences de développement logiciel. La question se pose donc de savoir comment réinternaliser ces compétences pour que, lorsqu’une ville, une entreprise ou un ministère installe un logiciel libre, il y ait des personnes capables de « soulever le capot » et de comprendre comment il fonctionne. Le philosophe Bernard Stiegler parlait de « prolétarisation » : on nous a retiré le savoir sur le fonctionnement du logiciel. On nous parle de « cloud » comme si c’était dans les nuages, alors qu’il s’agit de quelque chose de très territorialisé et physique. Il va falloir reprendre la main sur la compréhension, les savoirs et les connaissances du fonctionnement du numérique si nous souhaitons que des collectivités, des entreprises et des administrations puissent basculer vers le libre.

M. Loïc Dayot. J’ajoute un complément sur les compétences. Celles-ci ne tombent pas du ciel. Recruter des personnes capables de reprendre la main sur les systèmes d’information, notamment à base de logiciels libres, n’est pas forcément facile. Cela vient de loin, car il y a une culture dominante. C’est pourquoi certains symboles, comme l’annonce récente du passage de la Dinum à Linux, sont importants, non pas en volume, mais pour le symbole qu’ils représentent.

Dans l’éducation, le symbole et l’exemple sont cruciaux. Si l’on utilisait davantage de logiciels libres ou si l’on avait une approche agnostique, en parlant de « traitement de texte » plutôt que de nommer le produit dominant, cela aiderait. Au niveau de la formation professionnelle, le niveau de compétences des techniciens et ingénieurs est encore assez inégal. Ils sont parfois habitués à des marques, des modèles, voire des versions spécifiques ; ils ont appris à faire, mais pas forcément à comprendre pourquoi ils le font.

La bonne nouvelle, c’est que lorsqu’une collectivité ou une administration commence à se forger une réputation sur le logiciel libre, elle attire les compétences. C’est un avantage particulièrement intéressant pour le secteur public, qui peut connaître des difficultés de recrutement.

Mme Cyrielle Chatelain, rapporteure. Je voudrais poursuivre la réflexion sur le fait que vous ne jouez pas à armes égales avec les opérateurs de la big tech, notamment en termes de moyens pour le lobbying. Quelles sont vos attentes vis-à-vis de l’État ou du législateur pour rééquilibrer ce rapport de force ?

Deuxièmement, concernant la commande publique, au-delà de l’aspect législatif, la considérez-vous comme un outil à mobiliser ? Vous avez souligné l’importance des compétences. J’entends qu’il y a deux manières de contribuer à l’open source : financièrement ou par la contribution au code. Mais pour financer des ETP, faut-il passer par la commande publique ou par un autre modèle économique que celui de l’exploitation des données ?

Troisièmement, puisque j’aborde la commande publique, de nombreuses auditions nous ont fait part non seulement d’incohérences, mais aussi de ce qui est vécu par une partie de la filière comme une concurrence de la part de l’État dans le développement d’outils numériques, comme la suite collaborative. Vivez-vous de la même manière ce développement de solutions numériques par l’État pour ses propres agents ?

M. Renaud Chaput. Le cas de Mastodon est assez particulier, car nous ne sommes pas un logiciel d’entreprise que seuls les agents de l’État utiliseraient. L’application Mastodon, à l’instar d’Instagram, est destinée à tout un chacun. Cependant, nous constatons un intérêt marqué, principalement en Europe, de la part des directions de la communication de diverses entités. Celles-ci commencent à considérer comme problématique le fait que l’intégralité de leur communication grand public transite par une entité américaine susceptible de leur couper l’accès du jour au lendemain. Nous avons eu des discussions avec des membres de la Commission européenne qui réalisent des simulations de cyberguerre, explorant ce qui se produirait si l’État américain ordonnait aux sociétés américaines de fermer leurs services en Europe et comment les États pourraient alors reprendre le contrôle. Dans cette perspective, ils manifestent un grand intérêt pour les logiciels libres, non par idéologie, mais parce que nous représentons la seule alternative. Nombreux sont ceux qui nous disent : « Que vous soyez un logiciel libre ou non nous importe peu ; nous voulons savoir si nous pouvons utiliser votre solution. »

Lorsque nous expliquons aux institutions que Mastodon est un logiciel libre utilisable gratuitement, elles nous demandent désormais de les facturer. Elles ne souhaitent pas opérer elles-mêmes le logiciel, ce qui rejoint ce qui a été dit précédemment : les compétences pour opérer ces outils ont disparu. Chez Mastodon, nous avons donc lancé notre offre commerciale d’hébergement, car nous nous sommes rendu compte que lorsque nous présentions notre logiciel libre à la puissance publique, nos interlocuteurs ne savaient pas comment l’opérer. Ils préfèrent nous payer une prestation pour un logiciel de réseau social clé en main. Nous avons la chance de disposer d’une structure légale en Europe derrière Mastodon, ce qui nous permet de facturer ces services. C’est ce que nous faisons pour la Commission européenne et d’autres entités. Ces financements, obtenus en échange d’un service que nous opérons pour eux, nous permettent en retour d’améliorer le logiciel. Ce fut toutefois une très longue démarche.

À Bruxelles, on m’a récemment parlé d’un règlement en cours de discussion, le Digital Fairness Act. Pour préparer ce texte, la Commission a auditionné Meta plus de soixante fois afin de recueillir son avis sur la pertinence de cette législation européenne visant l’interopérabilité et le contrôle des algorithmes. À ma connaissance, aucune association de logiciels libres n’a été conviée à la table à ce moment-là. Je ne pense pas que mes collègues ici présents disposent d’un lobbyiste à temps plein à Bruxelles. On nous a clairement signifié que si Mastodon voulait exister à l’échelle européenne, il serait bon que nous ayons quelques personnes à Bruxelles pour participer à toutes les discussions. C’est sur ce point que je rejoins totalement l’idée que « nous n’avons pas les moyens ».

Un véritable défi réside dans la manière dont la commande publique peut nous financer. Le logiciel libre constitue tout un écosystème. Énormément d’entreprises utilisent des logiciels libres sans le savoir. La plateforme Azure de Microsoft, par exemple, repose en grande partie sur des logiciels libres ; ils y ont simplement apposé un logo et embauché des dizaines de milliers de personnes pour la présenter comme un produit. Google Cloud et les services d’Amazon sont entièrement construits sur du logiciel libre. Face au manque de compétences, notamment dans les organisations publiques, ces grandes sociétés ont compris qu’il fallait cesser de vendre le logiciel pour vendre des services, et que les organisations publiques paieraient pour que cela fonctionne. Une piste que nous explorons chez Mastodon est de vendre ce que les institutions recherchent.

Une autre difficulté de financement réside dans le fait qu’un organisme public ne peut pas faire de dons, ou très difficilement. Or, nous sommes tous ici des organisations à but non lucratif. Je discute parfois avec des responsables qui nous disent : « Nous aimerions vous soutenir, mais nous ne savons pas comment. Répondre à un appel d’offres est hors de portée pour la plupart des structures de logiciel libre que je connais ; nous n’en avons ni les moyens ni la structure. Ensuite, si nous répondions à un appel d’offres, ce serait avec une solution gratuite, en précisant qu’il faut employer des gens pour l’opérer. Cette conception des choses n’existe pas dans le cadre actuel.

La question reste donc ouverte : comment pouvons-nous recevoir du financement public ? Je tiens à saluer l’initiative allemande avec la Sovereign Tech Agency, une organisation dotée de fonds publics qui passe des contrats. Il ne s’agit pas de dons, mais de contrats avec des projets open source. Ils leur disent : « Proposez-nous des fonctionnalités que vous souhaitez développer, dites-nous combien cela coûte. Vous construirez ainsi un commun numérique qui servira à la fois à nos services et à toute la communauté. » Mastodon a récemment obtenu un peu moins de 700 000 euros de contrats avec eux en échange du développement de fonctionnalités. Nos interlocuteurs nous ont expliqué : « Cela, nous pouvons le faire, car c’est un contrat, non un don, et nous avons un livrable à l’arrivée. » Toutes ces questions exigent de repenser entièrement le concept de financement, sa destination et sa forme.

Je pense que Framasoft refuse les subventions pour des raisons similaires. En dehors des subventions, qui s’accompagnent souvent de contraintes et de cadres spécifiques, il est très compliqué pour un projet de logiciel libre de recevoir de l’argent de l’État.

M. Pierre-Yves Gosset. Mes collègues de l’April auront sans doute aussi des choses à dire sur ce sujet. Pour moi, le point principal est que l’argent public doit produire du code public. Je suis conscient que nous vivons dans un monde capitaliste, même si je peux le regretter et le critiquer à titre personnel, mais la question de l’utilisation de cet argent public est centrale.

Je prendrai l’exemple d’une autre structure non présente aujourd’hui, l’Association des développeurs et utilisateurs de logiciels libres pour les administrations et les collectivités territoriales (Adullact). Son président disait que l’argent public ne doit payer qu’une seule fois. L’exemple concret qu’ils utilisent régulièrement est celui d’Open Cimetière, un logiciel de gestion des cimetières. Cet exemple m’avait beaucoup marqué il y a plus de dix ans, car il illustre une forme de gaspillage de l’argent public : sur les 36 000 communes de France, plusieurs milliers achètent chacune un logiciel de gestion de cimetières, alors que la logique reste la même partout. Derrière cela se pose la question de savoir comment produire et mutualiser des logiciels qui servent l’intérêt général et le public au sens large. L’idée que l’argent public doit financer du code public me paraît fondamentale.

Le deuxième point est que la recherche et développement en matière de logiciels est de fait mutualisée, puisque le code est public et que tout le monde peut l’examiner. Lorsqu’on veut lancer une nouvelle fonctionnalité, différentes personnes peuvent contribuer à la réflexion sur les innovations ou les corrections à apporter. Nous sommes très conscients d’un problème dans le logiciel libre : le financement de la maintenance. C’est bien d’avoir un logiciel qui sort en 2026, mais comment faire pour qu’il soit toujours fonctionnel en 2027, en 2028 et au-delà ? Sur ce point, j’encourage l’État à réfléchir à la manière de financer et de soutenir la maintenance de ces logiciels, ce que fait en partie le Sovereign Tech Fund allemand.

M. Nicolas Vivant. Les attentes des collectivités vis-à-vis de l’État en matière de logiciels libres sont de deux ordres. Il y a d’abord un enjeu d’exemplarité : un logiciel libre adopté par l’État est plus simple à faire adopter dans les collectivités. Prenons l’exemple de l’éducation nationale : lorsque le ministère renouvelle son contrat avec Microsoft, il devient compliqué d’aller dans une école pour leur dire « je vous assure, Libre Office, c’est vraiment très bien », alors que le ministère lui-même a fait un choix différent.

Il y a une deuxième chose qui constitue, à mon sens, « un trou dans la raquette ». Nous voyons de plus en plus d’initiatives de financement, au niveau européen ou français, pour le développement de logiciels ou l’aide au financement de briques existantes. C’est primordial. Cependant, dans les collectivités, nous avons un vrai problème d’adoption. C’est bien de financer la création de logiciels libres, mais si une petite collectivité n’a pas les moyens de payer une prestation ou d’installer une solution en interne, on passe à côté de l’objectif. On pourrait peut-être imaginer une forme d’aide à l’adoption. Je pense par exemple à la suite territoriale, proposée par des OPSN mais à un certain coût. J’ai entendu parler d’OPSN qui la proposaient à un coût supérieur à celui de la suite Microsoft. Comment voulez-vous qu’une petite collectivité, qui peine à boucler son budget, fasse le choix de la suite territoriale – un choix souverain développé par une entité publique – si elle est plus chère qu’un logiciel propriétaire ? Un petit coup de pouce de l’État sur le financement pourrait faire basculer un certain nombre de collectivités.

Enfin, concernant la commande publique, lorsque l’État fait le choix d’un logiciel, il crée une dynamique qui génère de la valeur économique. Si, à Échirolles, nous faisons tout en interne, nous avons conscience d’être une exception. La plupart des collectivités s’appuient sur des prestataires de services qui bénéficient grandement de ces projets d’installation. Les éditeurs que vous avez rencontrés ont peut-être tendance à critiquer la Dinum, mais je peux vous donner des exemples de chiffres d’affaires en hausse chez des prestataires de services pour des installations d’Open-Xchange, la messagerie choisie par l’État pour sa suite. Une activité économique indirecte est créée par le simple fait que l’État, sans être prescripteur en raison de la libre administration des collectivités, génère de l’activité par son exemplarité.

Pour reprendre un vieux combat de l’April, qui a été porté plusieurs fois à l’Assemblée et a fait l’objet de questions au gouvernement, l’acquisition d’un logiciel libre ne peut être considérée de la même manière que celle d’un logiciel propriétaire. D’abord, pour les logiciels propriétaires, on est désormais le plus souvent sur des contrats de location de licence, et non plus sur de l’achat. Quand vous faites l’acquisition d’un logiciel libre, via une prestation d’aide à l’installation, on est dans de l’investissement. Une fois le logiciel installé sur vos machines, vous en disposez librement et pouvez l’amortir sur plusieurs années. Cela ressemble plus à un investissement matériel qu’à des coûts de fonctionnement. Or, si l’on considère que les logiciels libres peuvent être imputés sur les budgets d’investissement, cela signifie que l’on peut recourir à l’emprunt pour financer leur installation, ce qui serait très incitatif pour de nombreuses collectivités. Aujourd’hui, du point de vue du code de la commande publique, un logiciel libre est traité exactement comme un logiciel propriétaire, alors que leur philosophie et leur principe même sont radicalement différents.

M. Étienne Gonnu. Je ne changerais pas une virgule à ce qui vient d’être dit. En complément, il est important, surtout au niveau de l’État, de ne pas naviguer à vue lorsque l’on prend de telles décisions. Nous appelons depuis longtemps à un état des lieux des dépenses logicielles de l’État. J’ai été heureux d’apprendre, lors de l’audition de la directrice de la Dinum, qu’un tel chantier était ouvert. Je veux aussi citer le ministère de l’enseignement supérieur et de la recherche, dont le directeur général de la recherche et de l’innovation avait demandé en avril dernier un état des lieux des risques de perte d’accès aux données et logiciels hébergés aux États-Unis. Nous n’en connaissons pas les résultats ; nous avons fait une demande auprès de la Commission d’accès aux documents administratifs (Cada), mais peut-être que si la commission s’y intéresse, elle obtiendra une réponse plus rapidement. Je pense que ce sont des métriques très précieuses. Nous avons besoin de savoir où nous en sommes pour mener des politiques plus efficaces.

Pierre-Yves Gosset mentionnait le code public. Il faut rappeler qu’en France, un code source produit par l’État est déjà du code public et doit être placé sous licence libre. Un complément à cela concerne une dépendance forte et non négligeable : celle aux forges logicielles, ces outils numériques où l’on développe les logiciels de manière communautaire. Pour le moment, elles dépendent d’acteurs privés. Il y a GitHub de Microsoft, mais aussi la forge de l’Adullact, qui reste maintenue par une entité privée qui pourrait disparaître du jour au lendemain. En termes de continuité du service public pour les codes concernés, cela peut poser question. C’est pourquoi nous appelons à une forge logicielle développée et maintenue par la puissance publique.

Concernant la commande publique, je rappellerai le principe de priorité aux logiciels libres. Il est presque évident : si l’on considère que les quatre libertés du logiciel libre – étudier, modifier ou faire modifier, et partager – répondent à des impératifs d’intérêt général (indépendance, mutualisation, maîtrise de l’équipement), alors une administration qui, dans son appel d’offres, choisit de se priver de l’une de ces capacités doit le justifier au regard d’autres intérêts contradictoires de même valeur, selon un principe de proportionnalité somme toute classique. Nous considérons que la commande publique doit être un levier extrêmement important, notamment pour consolider les écosystèmes, comme l’a dit Nicolas Vivant.

M. Loïc Dayot. Je compléterai très brièvement sur l’aspect du code de la commande publique. Tous les textes existent déjà pour permettre de commander du logiciel libre si on le souhaite. Là où l’on pourrait être aidé, c’est sur les normes existantes, qui ne sont peut-être pas complètes. Nous appelons à ce qu’elles soient complétées et deviennent contraignantes. Actuellement, des commandes publiques qui ne respectent pas les référentiels généraux d’accessibilité, d’interopérabilité, de sécurité ou de sobriété peuvent encore être passées, ce qui n’est pas normal. Il serait vraiment intéressant de les renforcer. Pour les données personnelles, la Commission nationale de l’informatique et des libertés (Cnil) vérifie la conformité ; elle n’a sans doute pas assez de moyens, mais sa présence envoie un signal. Nous appelons par exemple à une « Cnil de l’interopérabilité », qui empêcherait que n’importe quelle solution puisse être achetée par la fonction publique.

La commande publique a un effet entraînant, moteur, exemplaire, mais aussi très structurant pour créer ou renforcer un écosystème, car elle représente un chiffre d’affaires important et conforte des acteurs qui sont le plus souvent locaux.

Une petite difficulté subsiste cependant avec la commande publique. Pour reprendre l’exemple d’Open Cimetière et l’appliquer à un projet qui n’existe pas en libre alors qu’il y a 35 000 acteurs en France qui en ont besoin, comme un logiciel de gestion d’état civil : nous travaillons au sein du réseau France numérique libre à élaborer un cahier des charges pour obtenir une solution en logiciel libre. Il n’y a en effet aucune raison que la solution soit payée 35 000 fois, c’est aberrant. Cependant, la commande mutualisée n’est pas très facile et demande des montages complexes qui exigent une forte volonté.

Un autre défaut de la commande publique est qu’elle encourage le plus souvent les grands groupes, car la réponse à un marché public est relativement lourde. Les petits acteurs doivent se regrouper pour qu’une entité fasse l’intermédiaire. Peut-être y a-t-il quelque chose à creuser de ce côté-là également.

Mme Cyrielle Chatelain, rapporteure. Plusieurs de vos interventions ont évoqué soit la manière dont les géants de la technologie réutilisent des codes libres pour vendre leurs solutions, soit la manière dont ils commencent à s’immiscer dans cet écosystème, par exemple avec Microsoft rachetant GitHub ou finançant la fondation Linux. Quelles sont aujourd’hui les solutions pour se prémunir d’une appropriation de ce qui est fait dans un objectif commun d’intérêt général par des opérateurs privés pour leurs propres bénéfices financiers ? J’imagine que ce débat existe dans vos communautés.

Ma deuxième question concerne la suite numérique. Vous avez mentionné que certains OPSN la proposaient à des coûts importants. Si j’ai bien compris, il existe une suite numérique développée par l’État. Pourriez-vous nous préciser ce qu’est la suite territoriale destinée aux collectivités locales, dont on a beaucoup moins parlé que la suite de l’État ? Repose-t-elle sur des communs ? Et si oui, pourquoi certains acteurs la vendent-ils aujourd’hui plus cher que Microsoft ? En somme, qui réalise des profits ?

M. Nicolas Vivant. Il faut en effet distinguer deux suites. D’une part, la suite numérique de l’État, développée par la Dinum à destination exclusive des ministères. D’autre part, l’ANCT déploie une autre suite, la suite territoriale, proposée aux communes de moins de 3 500 habitants pour répondre à leurs besoins spécifiques, mais aussi à une exigence de sécurité mise en avant par l’Agence nationale de la sécurité des systèmes d’information (Anssi). Beaucoup de ces petites communes ont une adresse électronique officielle hébergée chez un prestataire américain comme Gmail, ou parfois chez Orange, ce qui pose des problèmes de confidentialité et de gestion des données personnelles.

La suite territoriale est très différente de celle de l’État. Les outils ne sont pas les mêmes, même si l’on en retrouve certains, comme l’outil de visioconférence, qui est intégré aux deux. Par exemple, le logiciel de messagerie de la suite de la Dinum est Open-Xchange, tandis que celui de la suite territoriale est un logiciel développé en interne par l’ANCT, qui travaille par ailleurs à l’intégration de cette suite pour les petites collectivités.

Pourquoi cette suite peut-elle être vendue assez cher ? J’ai l’exemple d’un OPSN dont l’offre avait choqué une petite commune qui m’avait dit : « Tu m’encourages à utiliser la suite territoriale, mais le prix qu’on me propose ne me le permet pas. » La raison est que ces OPSN – qu’il s’agisse de syndicats intercommunaux, de syndicats mixtes ou de groupements d’intérêt économique (GIE) – ont des coûts associés à l’installation, à l’hébergement et à la maintenance de ces solutions. Ils doivent aussi assurer leur viabilité et gérer leur charge de travail. Je ne sais pas comment leurs calculs sont faits, mais le coût de revient est sûrement plus élevé si une seule commune adopte la suite que s’il y en a cinquante. Je ne sais pas comment ils ont calculé l’amortissement de leur investissement. J’ai beaucoup encouragé l’adoption de la suite territoriale, mais je le fais moins aujourd’hui, car si les propositions financières ne sont pas adaptées aux budgets très serrés des petites communes, cela ne fonctionne pas. Ces OPSN sont systématiquement des acteurs publics, avec différents statuts juridiques : syndicat intercommunal, groupement d’intérêt public (GIP), syndicat mixte ou société publique locale (SPL).

M. Renaud Chaput. J’ajoute qu’au niveau des coûts, il y a une vraie question de mutualisation. Lorsqu’un syndicat se lance avec une suite nouvelle, s’il n’a que trois clients, ses coûts fixes sont probablement les mêmes à 90 % que s’il en avait deux cents. Nous le voyons côté Mastodon, et je pense que c’est vrai pour tous les logiciels libres : un des avantages des géants du numérique est justement leur taille. Ils ont développé une automatisation massive qui leur permet d’opérer pour des millions de clients avec un nombre très réduit d’intervenants humains. Mais cela est le fruit d’années d’investissements se chiffrant en centaines de millions ou en milliards de dollars, y compris de la part de la puissance publique américaine, qui ont amené ces géants à une taille telle que leurs coûts de revient deviennent marginaux.

C’est une des magies de l’informatique : on peut automatiser beaucoup de choses, mais la mise en place de cette automatisation a des coûts fixes élevés. Demander aux très petites structures qui sont les premières à se lancer dans la suite territoriale de financer le déploiement de toutes ces automatisations, c’est un peu leur faire supporter le coût de rattrapage de dix, quinze ou vingt ans de retard sur la mutualisation. C’est un facteur de coût réel.

M. Pierre-Yves Gosset. Je reviens sur votre première question concernant la concentration, avec l’exemple de GitHub, et comment s’en prémunir. Microsoft a racheté GitHub pour 8 milliards de dollars en 2018. À l’époque, le coût paraissait extrêmement important, mais Microsoft a fait une excellente affaire, car aujourd’hui, une énorme partie des développements de code libre se fait sur cette plateforme. La raison pour laquelle les développeurs du monde du logiciel libre vont sur une plateforme opérée par Microsoft est simple : c’est l’effet de réseau. Plus il y a de monde sur une plateforme, plus il est simple d’entrer en contact.

La deuxième bonne opération de Microsoft, au-delà de la quantité de code, a été d’y faire tourner ses modèles d’intelligence artificielle. GitHub est la plus grande bibliothèque de code au monde, ce qui leur permet de repérer des talents, des logiciels émergents, et d’entraîner leurs IA pour ensuite les revendre.

Comment s’en prémunir ? Il faut créer d’autres silos de données à côté de cet énorme silo qu’est GitHub. Chez Framasoft, nous avons une forge qui s’appelle FramaGit. Je peux aussi citer Codeberg, une forge opérée en Allemagne qui héberge des codes libres du monde entier, sans publicité ni exploitation des données personnelles. Le ministère de l’éducation nationale héberge également une forge des communs numériques. Il faut multiplier ces forges logicielles, qui sont encore trop peu nombreuses, et les interconnecter. Mastodon ou PeerTube fonctionnent sur ce principe : pouvoir discuter les uns avec les autres même si l’on n’est pas hébergé au même endroit. Il va falloir opérer une bascule, avant tout psychologique, pour comprendre qu’un service peut être rendu par de multiples opérateurs et non un seul. Sur notre forge, nous hébergeons plus de 60 000 projets libres. Si demain les utilisateurs veulent déménager, ils le peuvent.

Je terminerai par une petite pique gratuite à GitHub : aujourd’hui, sa taille est telle que la qualité de service se dégrade. Les développeurs du monde entier commencent à critiquer fortement sa lenteur et sa lourdeur. Le fait de tout concentrer fait aujourd’hui de GitHub un géant aux pieds d’argile. Si l’on veut de la souveraineté, mais aussi de la robustesse, il faudra multiplier ce type de forges. C’est un méta-outil indispensable à la souveraineté pour que nous puissions collaborer demain sur des forges qui ne dépendent pas des services américains.

M. Loïc Dayot. Pour répondre de manière plus générale, si le libre est repris par les géants de la technologie, c’est un succès du libre ; cela signifie qu’il était bon. Il ne faut pas le voir comme quelque chose de forcément négatif. Le souci que cela amène est le plus souvent un défaut de gouvernance, puisque celle-ci se déplace avec le propriétaire du projet, et c’est là que le problème se pose. En réalité, ce n’est pas le problème du logiciel libre, mais celui de l’écosystème. Si ces géants les ont rachetés, c’est qu’il n’y a pas eu d’autres acteurs suffisamment solides pour faire grandir ces projets là où ils sont nés. Il est vrai que beaucoup de projets, y compris français, nés ici, ont finalement été rachetés et nous en avons perdu la maîtrise. La question se situe donc plutôt à ce niveau.

M. Étienne Gonnu. Vous évoquiez dans le questionnaire les licences copyleft. Celles-ci garantissent qu’un projet logiciel construit avec ce type de licence conserve cette même licence libre dans le temps. Ce n’est pas une baguette magique contre les risques de réappropriation mais c’est clairement un outil puissant.

On pourrait aussi réaffirmer l’importance de l’interopérabilité et de la consolidation de standards interopérables, comme semble le prévoir la stratégie allemande. Si l’on consolide des standards, par exemple pour la bureautique, et que l’on s’assure que les formats ouverts comme l’open document format devienne la norme d’usage, voire deviennent hégémoniques, on garantit que toute nouvelle solution devra se conformer à ce standard. C’est aussi une manière de s’assurer que les usages ne dépendent pas uniquement de logiques de profit, mais de quelque chose que l’on maîtrise collectivement. Le sujet de l’interopérabilité et de la consolidation des normes est un enjeu majeur, et je suis persuadé que la puissance publique, notamment par le biais de la commande publique, a un rôle essentiel à jouer. Je pense que là où la puissance publique a le plus à gagner, c’est sur les dépendances logicielles critiques et sur la consolidation de ces standards.

M. Renaud Chaput. Sur le sujet de l’interopérabilité, qui est au cœur de Mastodon, notre réseau social fonctionne comme les courriels : peu importe le fournisseur de la personne à qui vous écrivez, qu’elle soit chez Gmail, Hotmail ou Orange, cela fonctionne. Les pouvoirs publics ont un rôle majeur à jouer en mandatant l’utilisation de standards interopérables. On l’a vu au niveau européen avec le Digital Market Act (DMA), qui impose l’interopérabilité – la capacité à être compatible avec d’autres plateformes – et la portabilité.

La portabilité est cruciale pour lutter contre l’enfermement propriétaire. Les Gafam sont très forts pour vous enfermer dans leur écosystème, par exemple en offrant des licences gratuites aux étudiants pour s’assurer une rente sur trente ans. On le voit très bien dans les réseaux sociaux : beaucoup de gens ne veulent pas quitter Twitter parce qu’ils y ont trois millions d’abonnés et n’ont aucun moyen de partir. Sur Mastodon, grâce à la portabilité, si vous n’êtes pas content de votre fournisseur de service, vous pouvez déménager sans perdre vos contacts. C’est très important pour les artistes qui passent des années à se créer une audience sur une plateforme, puis voient celle-ci utiliser leurs œuvres pour entraîner une IA ou revendre leurs données. Beaucoup d’artistes se sentent dépendants d’Instagram : s’ils partent, ils n’existent plus.

La puissance publique, avec le DMA de la Commission européenne, a été très forte. Le problème, c’est que de l’avis général, ce règlement n’est pas vraiment appliqué. Les personnes consultées sur le DMA sont des acteurs comme Meta, qui expliquent que cela restreint l’innovation et que l’Europe va prendre dix ans de retard. On voit un vrai affaiblissement de ces réglementations européennes avec l’IA, où, sous prétexte de vouloir une Europe forte en IA, on détricote ces textes parce que des entreprises européennes et américaines affirment que l’Europe sera en retard. Ces grandes avancées, beaucoup portées par l’Europe, sont en train d’être détricotées.

C’est possible parce que beaucoup de pays ne se sont pas approprié ces concepts. Si la commande publique des pays européens ne sanctuarise pas ces besoins de portabilité et d’interopérabilité dans les marchés, ces principes disparaîtront sous les assauts des grands éditeurs et de leurs armées de lobbyistes, qui affirment que cela attaque l’innovation. Mais quand ils disent « innovation », il faut comprendre « nos profits, nos monopoles ». Réaffirmer ces besoins partout serait un vrai pas en avant qui ne demande pas de budget, mais une volonté politique. S’il y a une volonté politique, les services et l’écosystème suivront, et cela mettra en avant des TPE et PME qui pourront construire un vrai modèle économique. Mais pour lutter contre l’argent quasi illimité des Gafam et des quelques milliardaires qui les utilisent à des fins idéologiques, il faut des actes forts de la puissance publique.

Mme Cyrielle Chatelain, rapporteure. Je vous remercie. Nous arrivons à la fin de cette audition. J’ai une dernière série de questions. La première concerne GitHub : si Microsoft décidait de fermer la plateforme, que se passerait-il, qu’adviendrait-il de cette bibliothèque de code ? J’ai compris qu’il existait d’autres forges, ce qui offrirait des solutions alternatives mais y aurait-il une capacité à retrouver ce qui a été développé sur cette forge ?

La deuxième question porte sur Mastodon. Vous avez dit qu’il y a 7 000 serveurs dans le monde, fonctionnant de manière indépendante mais avec des protocoles ouverts permettant à un utilisateur sur un serveur A de communiquer avec un utilisateur sur un serveur B. Dans un monde où tout serait interopérable, pourrais-je, depuis Mastodon, communiquer avec quelqu’un sur Twitter ou Blue Sky ? Est-ce une question d’intégration de ces protocoles ouverts ? Par ailleurs, est-ce l’indépendance des serveurs qui vous empêche, vous, Mastodon, de prendre le contrôle, contrairement à X qui peut le faire ? Inversement, cela signifie-t-il que sur une plateforme comme X, l’opérateur peut supprimer un compte ou modifier des informations ?

La troisième question concerne l’exemple allemand, avec le Deutschland-Stack et le Sovereign Tech Fund. Vous n’êtes pas les premiers à évoquer ce modèle. Pouvez-vous développer ce que vous y trouvez d’intéressant et ce qui pourrait inspirer des modes de fonctionnement en France, notamment l’objectif de développer des socles communs de briques logicielles pour différents types d’utilisateurs ?

M. Pierre-Yves Gosset. Si GitHub ferme, des millions de développeurs et développeuses seront embêtés, mais pour peu de temps. Il existe aujourd’hui plusieurs dizaines de logiciels permettant de déployer une forge sur un serveur. Des structures comme Framasoft pourraient tout à fait encourager, développer, voire financer d’autres structures pour déployer ce type de forge. La capacité à passer à l’échelle pour absorber les millions de projets de GitHub ne serait pas simple. Si cela arrivait demain, ce serait compliqué. Mais si l’on nous donne six mois, cela peut s’envisager et se préparer. Les coûts sont relativement raisonnables : notre forge FramaGit, qui héberge plus de 60 000 projets et fonctionne à 99 % comme GitHub, nous coûte environ 2 000 ou 3 000 euros par an à maintenir. C’est donc tout à fait faisable.

M. Nicolas Vivant. Juste un mot sur les niveaux de dépendance. Il y a des dépendances immédiates, permanentes et fatales. Quand vous avez une suite bureautique propriétaire hébergée dans le cloud, la dépendance est immédiate : si vous perdez l’accès au service, vous ne pouvez plus travailler. Il y a d’autres types de dépendances, comme celle au matériel ou aux semi-conducteurs. Une fois que le matériel est chez vous, vous ne dépendez plus du fabricant asiatique, sauf au moment de l’approvisionnement. C’est un peu la même chose pour la Linux Foundation : les entreprises américaines financent beaucoup son développement, mais une fois que Linux est installé sur mon serveur, il est à moi. Si demain la fondation coule, j’ai le temps de travailler tranquillement à une alternative. Pour GitHub, c’est pareil : si la plateforme venait à disparaître, nous avons des copies de nos codes en local sur nos machines. C’est le principe de GitHub : synchroniser des machines en local avec le dépôt. Effectivement, cela prendrait un peu de temps de créer un compte ailleurs, mais nous sommes capables de déplacer le code. Ce n’est pas du tout le même niveau de dépendance.

J’entends souvent des discours sous-entendant que, puisqu’on ne maîtrise ni les semi‑conducteurs ni les câbles sous-marins, on ne s’en sortira jamais. C’est faux. À Échirolles, en agissant sur ce sur quoi nous pouvions agir – le logiciel, l’hébergement, l’infrastructure du réseau local –, nous avons pu mesurer sur la durée d’un mandat que notre niveau de dépendance a très largement baissé.

Un terme que l’on a peu prononcé est celui de résilience. Nous utilisons un serveur Mastodon, colter.social, via un syndicat intercommunal dont nous sommes membres. C’est une infrastructure ultra solide. Si demain notre serveur plante, cela ne plantera pas Mastodon. La messagerie utilisée par l’État, Tchap, sur laquelle nous travaillons pour un projet destiné aux collectivités, repose sur la même architecture distribuée. Si demain Tchap tombe, les collectivités pourront continuer à discuter entre elles. Seules les solutions libres et fédérées permettent ce niveau de résilience. Cette décentralisation est indispensable. Une étude du Ripe (réseau IP européen) sur la résilience de l’internet en Ukraine en situation de guerre a montré que le réseau n’est jamais tombé. Pourquoi ? Parce qu’en Ukraine, il n’y a pas quatre grands opérateurs, mais des dizaines de milliers de petits opérateurs locaux interconnectés. Il est impossible de détruire l’infrastructure internet globale du pays.

M. Renaud Chaput. Madame la rapporteure, vous avez parfaitement compris le fonctionnement de Mastodon. Chaque serveur est indépendant, et si l’un d’eux tombe, seuls ses utilisateurs sont impactés. D’autres services, comme Twitter ou Instagram, pourraient et devraient même, si l’on suit le DMA, implémenter ces protocoles ouverts et libres. D’ailleurs, lorsque Meta a lancé Threads, ils ont mis en avant le fait que le réseau se basait sur le même protocole que Mastodon, le rendant théoriquement interopérable. C’était un argument pour attirer les créateurs de contenu, en leur promettant la portabilité. Deux ans plus tard, alors qu’ils ont des centaines de millions d’utilisateurs, on n’entend plus parler de cette interopérabilité. Ils s’en sont même servis pour ne pas lancer le service en Europe, prétextant une incompatibilité avec le règlement général sur la protection des données (RGPD).

On observe une tendance : les réseaux sont pour l’interopérabilité quand ils sont petits, puis la ferment dès qu’ils atteignent une masse critique d’utilisateurs pour les enfermer. Facebook l’avait fait il y a quinze ans avec son Messenger basé sur le protocole ouvert Jabber. Le DMA et le DSA sont de très bons textes, mais ils ne sont pas mis en œuvre. Il n’y a actuellement aucune conséquence pour les gros acteurs à ne pas être interopérables. Ils sont devenus « too big to fail », trop gros pour être régulés.

Concernant le contrôle de Mastodon, nous opérons une grosse instance, mastodon.social, sur laquelle s’appliquent nos règles de modération et la loi allemande. Mais nous n’avons aucun moyen de forcer les autres serveurs à faire quoi que ce soit, et nous ne le voulons pas. Nous poussons à la décentralisation car nous voyons bien les abus possibles. Même si Mastodon devenait un succès immense, nous ne voulons pas de cette responsabilité, ni qu’un gouvernement puisse nous forcer la main, comme on l’a vu avec Elon Musk utilisant son réseau social à des fins politiques. C’est l’antithèse de nos idées. Mastodon a commencé comme un projet technique, mais c’est aujourd’hui un projet politique. Le numérique est si important que les choix d’architecture, comme l’interopérabilité, sont devenus des enjeux clés pour la démocratie.

M. Loïc Dayot. Pour répondre à la question sur l’exemple allemand, le Deutschland-Stack découle d’une loi adoptée par le Bundestag qui autorise le gouvernement à prendre des décisions s’appliquant à tout le secteur public. Cet outil impose tout un ensemble d’obligations à partir de 2028 pour tout ce qui sera produit par la fonction publique ou issu de la commande publique : respect de normes, catalogues d’outils, impératifs à tous les étages, de l’hébergement à l’interopérabilité. Cela a un effet nécessairement entraînant pour tout l’écosystème, car l’Allemagne est un gros marché et toute l’Europe en bénéficiera probablement. Si la France allait dans ce sens en ajoutant des impératifs à ce qui est produit en interne – par exemple en encourageant davantage les agents qui développent du logiciel libre – ou à ce qui est commandé, tous les acteurs, y compris non libres, seraient obligés de respecter ces normes.

M. Étienne Gonnu. Le Deutschland-Stack est emblématique pour la bureautique. Microsoft peut implémenter le format odt (open document format). Si toute la puissance publique utilise et impose ce format, il devient beaucoup plus facile de quitter Microsoft, car n’importe qui d’autre peut proposer une alternative compatible. On réduit ainsi drastiquement l’adhérence. Cela ne résout pas tout d’un coup de baguette magique, mais cela crée de l’offre par la demande. Quand c’est fait à l’échelle d’un État comme l’Allemagne, on voit bien comment ce genre d’investissement peut soutenir et amplifier l’écosystème. C’est notre sentiment, bien que nous attendions une traduction pour en saisir toutes les subtilités.

M. Renaud Chaput. Je terminerai sur la Sovereign Tech Agency, le nouveau nom du Sovereign Tech Fund. C’est une agence du gouvernement fédéral allemand dont la mission est de financer l’open source pour des projets d’infrastructure. Cela revient à la notion de maintenance. Un logiciel vit et évolue. Des failles de sécurité et des bugs apparaissent, nécessitant des corrections. Souvent, cela repose sur un réseau de volontaires qui maintiennent des logiciels libres très spécifiques mais omniprésents dans nos téléphones et ordinateurs. Récemment, une faille a été découverte dans une bibliothèque logicielle gérée par une seule personne sur son temps libre. Cette faille impactait des serveurs dans le monde entier. Cette personne a rappelé que, malgré l’utilisation massive de son travail, elle n’avait jamais reçu un euro de financement.

L’Allemagne a donc décidé de créer cette agence pour financer cette maintenance. Ils ont des programmes pour salarier des mainteneurs à temps plein ou partiel, les former, ou les aider à recruter. Ils se concentrent sur cette infrastructure que personne ne voit.

Nous sommes financés par Sovereign Tech Agency car elle considère qu’un réseau social ouvert est nécessaire à une démocratie fonctionnelle et fait donc partie de l’infrastructure de la démocratie numérique. Elle nous a demandé de lui proposer des projets et a choisi de financer ceux qui lui paraissaient clés pour les infrastructures numériques. Elle passe également des contrats avec les fournisseurs d’infrastructures pour améliorer les logiciels.

Elle a donc trois axes : financer la maintenance et la gouvernance de logiciels essentiels mais méconnus, notamment lorsque les mainteneurs ne sont plus là ; aider des projets d’infrastructure comme Mastodon à s’améliorer ; et financer la gouvernance de ces projets.

Leur troisième rôle consiste à porter ces projets et à nous faciliter l’accès aux institutions publiques. En tant qu’agence d’État, elle peut nous ouvrir des portes et commence à lancer des programmes visant à constituer notre branche commerciale ou marketing au sein des services de l’État. Cette initiative part du constat que, sans investisseurs et sans capacité d’emprunt, il nous est impossible de créer un service commercial pour nous financer. L’agence propose donc d’agir comme notre agent, ainsi que pour de nombreux autres acteurs, afin de promouvoir et de commercialiser nos services auprès de l’État allemand. L’objectif est d’initier une relation qui serait autrement impossible à établir sans disposer d’équipes de lobbyistes ou d’un réseau influent. Voilà en quoi consiste la Sovereign Tech Agency.

Je me réjouis de voir que l’Edic Digital Commons a annoncé que l’un de ses deux programmes principaux serait une expérimentation visant à mettre en place une Sovereign Tech Agency à l’échelle européenne. J’espère que ce projet aboutira, car l’Allemagne a clairement démontré l’efficacité de ce modèle. Quiconque discute avec les acteurs quotidiens de l’open source vous confirmera que la Sovereign Tech Agency a un impact réel sur ce secteur et sur sa viabilité à grande échelle.

Mme Sophie-Laurence Roy, présidente. Je vous remercie pour la clarté de vos explications et pour votre contribution à nos travaux.

* *

Audition commune, ouverte à la presse, de M. Tomasz Blanc, chef du service des systèmes d’information de la direction générale des finances publiques (DGFIP) et le Général Marc Boget, directeur de l’agence du numérique des forces de sécurité intérieure (Anfsi) (jeudi 7 mai 2026)

M. Aurélien Taché, président. Notre commission se préoccupe de la question de la souveraineté numérique et, en particulier, des risques que les solutions numériques proposées par des États étrangers peuvent faire peser sur notre souveraineté. Elle a déjà auditionné des directions des systèmes d’information (DSI) d’autres administrations et nous souhaitions poursuivre ces échanges avec la DGFIP, qui gère le système d’information fiscal avec un cloud souverain propriétaire, Nubo, ainsi qu’avec la gendarmerie, qui se situe également au cœur des missions de l’État et a développé une culture numérique indépendante en s’appuyant sur le logiciel libre. Cette approche ne se retrouve pas dans d’autres ministères en charge de la sécurité, je pense par exemple aux accords qui peuvent interroger, comme celui de la direction générale de la sécurité intérieure (DGSI) avec Palantir.

Pourriez-vous tout d’abord nous présenter les spécificités des systèmes d’information (SI) que vous gérez au regard des enjeux de souveraineté et de vulnérabilités technologiques ?

Je vous remercie de nous déclarer tout intérêt public ou privé susceptible d’influencer vos déclarations. Je vous rappelle également que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter serment de dire la vérité, toute la vérité, rien que la vérité. Je vous invite donc à lever la main droite et à dire « Je le jure ».

(M. Tomasz Blanc et le général de corps d’armée Marc Boget prêtent serment.)

M. Tomasz Blanc, chef du service des systèmes d’information de la direction générale des finances publiques (DGFIP). En matière numérique, la souveraineté constitue effectivement un enjeu stratégique majeur. Historiquement dominé par des acteurs américains, ce domaine a longtemps imposé un arbitrage entre performance et souveraineté, ce dernier critère s’étant largement imposé ces dernières années. Le système d’information de la DGFIP, fort de 795 applications, sert 95 000 agents ainsi que l’ensemble des usagers et entreprises. En interface avec toutes les administrations pour les questions financières, notre direction se distingue par une imbrication totale entre le numérique et des métiers, mais également par la manipulation de données d’une grande sensibilité, plaçant la sécurité au cœur de nos priorités.

Compte tenu de l’ancienneté de notre système, des dépendances extra-européennes subsistent, que nous nous efforçons de maîtriser et de réduire. Nos principales dépendances concernent les infrastructures matérielles, avec IBM et Oracle, quasi exclusivement produites en Asie et aux États-Unis à défaut de solutions européennes complètes. Nous activons toutefois les leviers de la concurrence dans l’acquisition des matériels et des marchés afin de maîtriser au mieux ces dépendances. S’agissant d’IBM, notre dépendance est héritée des années quatre-vingt, à l’image des serveurs IBM Z, qui supportent encore nos applications historiques de calcul de l’impôt ou d’échanges bancaires. Bien que fiables et performants, ces systèmes sont coûteux (4,5 millions d’euros en 2025) et en sortir s’avère complexe. La migration d’applications écrites en Cobol (Common Business-Oriented Language) vers des logiciels libres exige en effet des projets longs et des tests rigoureux, comme l’illustre la refonte progressive de la paie des fonctionnaires d’État. Cette complexité structurelle limite d’ailleurs notre capacité de négociation contractuelle. Quant à Oracle, sur lequel s’appuient encore de nombreuses applications, notre dépendance date du début de l’ère web, époque où cet éditeur s’imposait pour la fiabilité des bases de données. Oracle, qui représente 8,5 millions d’euros annuels, équipe notamment la déclaration en ligne des revenus et la comptabilité locale. Là encore, la richesse fonctionnelle de ces outils rend leur remplacement long et onéreux.

Si ces dépendances sont avérées, elles diminuent donc au fil du temps. À noter que notre exposition aux Gafam reste limitée, puisque seul le système d’exploitation des postes de travail dépend de Microsoft. Nous n’utilisons ni la suite Office ni Active Directory et, grâce à nos choix technologiques dans le cloud, nous avons su éviter toute nouvelle dépendance envers les hyperscalers américains.

S’agissant des leviers que nous employons pour progresser en souveraineté, ils sont au nombre de quatre : le recours au logiciel libre, l’appui sur nos forces internes pour la maitrise et la fabrication de nos systèmes d’information, la standardisation de la fabrication et, enfin, une réflexion stratégique sur le long terme.

Le logiciel libre constitue le pilier central de cette démarche. Depuis les années 2000, l’émergence de solutions matures (telles que Linux pour les systèmes d’exploitation ou PostgreSQL pour les bases de données) offre des performances comparables aux produits propriétaires. Pour pallier l’absence de support éditeur, nous avons structuré dès 2005 un marché de support devenu interministériel s’appuyant sur des entreprises françaises spécialisées. Cette approche nous garantit une expertise de haut niveau et une correction réactive des bogues, pour un coût nettement inférieur aux licences classiques. Les résultats concrets valident ce choix puisque depuis 2010, la priorité est systématiquement donnée au logiciel libre pour tout nouveau projet. C’est le cas du prélèvement à la source, dont la brique de collecte des revenus est intégralement libre. Cette stratégie a permis de réduire notre parc Oracle et de limiter l’influence de Microsoft, en privilégiant LibreOffice et Samba. Pour ce dernier outil, un investissement de 1,5 million d’euros dans l’amélioration du code source nous a évité des millions d’euros de redevances annuelles. Cependant, le libre impose une rigueur interne accrue car s’il favorise l’écosystème économique français, il offre parfois une ergonomie ou des fonctions collaboratives moins abouties que des suites comme Office 365. Cela exige un effort constant de pédagogie auprès de nos agents et une discipline technique pour ne pas s’égarer dans un écosystème trop foisonnant.

Le deuxième levier réside dans la maîtrise de nos forces internes pour le SI. Avec un corps de 5 000 informaticiens, nous limitons l’externalisation pour protéger le caractère stratégique de nos missions. Chaque projet est ainsi piloté par une équipe noyau de la DGFIP qui assure la conception et l’architecture, ne déléguant que l’exécution technique sous une surveillance étroite. Cette philosophie a guidé notre transition vers le cloud. Face aux risques posés par les lois extraterritoriales américaines, nous avons refusé les offres des grands acteurs étrangers pour développer Nubo, notre cloud interne interministériel. Conçu à partir de logiciels libres et exploité par nos propres agents, Nubo héberge aujourd’hui 25 % de notre SI. Bien que moins riche en fonctionnalités que les solutions des hyperscalers américains, il garantit la sécurité absolue du secret fiscal et nous force à une sobriété technologique bienvenue, en nous concentrant sur les besoins essentiels.

Le troisième levier est la standardisation de la fabrication applicative. En imposant des normes strictes, nous facilitons la réversibilité technique, c’est-à-dire notre capacité à quitter un prestataire si un risque émerge. Cette discipline est essentielle puisqu’en évitant d’utiliser les fonctions trop spécifiques des produits propriétaires, comme les optimisations exclusives d’Oracle, nous reprenons l’ascendant lors des négociations commerciales. Cette méthode nous a déjà permis de sortir presque totalement d’Oracle sur le périmètre de la fiscalité des entreprises.

Enfin, le dernier levier est celui de la constance stratégique sur le long terme. La souveraineté numérique ne se décrète pas, elle se construit sur des décennies. Notre bascule vers le libre a été amorcée il y a vingt ans. Déconstruire des dépendances héritées de systèmes quarantenaires, tout en intégrant chaque année les évolutions des lois de finances, impose une stratégie immuable. La réussite de ce chantier dépendra de notre capacité à maintenir cette priorité et à poursuivre la montée en compétence technique de nos équipes sur le très long terme.

M. le général de corps d’armée Marc Boget, directeur de l’agence du numérique des forces de sécurité intérieure (Anfsi). Mon propos liminaire portera sur ce qui constitue, à mes yeux, une urgence absolue : la souveraineté numérique comme pilier de nos forces de sécurité intérieure.

L’Anfsi, qui assure la direction des systèmes d’information pour la police et la gendarmerie nationales, s’appuie sur 530 agents en administration centrale, renforcés par 100 développeurs et environ 200 personnels dédiés à l’exploitation de 5 000 serveurs répartis sur nos data centers de Rosny-sous-Bois et de Nogent-sur-Marne. À mon sens, la souveraineté numérique ne se négocie pas mais s’impose comme une nécessité vitale pour protéger notre démocratie. Sans la maîtrise de nos outils, l’indépendance de l’action publique, principe compris depuis longtemps par la gendarmerie, ne peut subsister. Cette souveraineté est devenue la condition sine qua non de la continuité de l’État et de la protection de nos libertés individuelles, comme l’illustrent trois enjeux majeurs.

Le premier est le risque d’extraterritorialité : le Cloud Act américain nous rappelle que confier nos données à des tiers revient à accepter que les justices étrangères puissent s’immiscer dans nos dossiers judiciaires et nos fichiers de police. Sans souveraineté technique et physique sur nos serveurs, le secret de nos enquêtes est directement menacé par des intérêts divergeant des nôtres.

Le deuxième enjeu concerne la fragilité de la chaîne d’approvisionnement logiciel. Moins nous maîtrisons cette chaîne, plus nous nous exposons à des défaillances critiques. L’incident CrowdStrike de 2024, où une mise à jour défectueuse a paralysé 8,5 millions d’ordinateurs, démontre qu’un tel accident constituerait, pour la police et la gendarmerie, une rupture grave de la protection des populations. C’est pour parer à cette vulnérabilité que le choix du logiciel libre et la maîtrise interne du code source sont vitaux.

La troisième illustration réside dans l’usage du numérique comme arme dans les conflits hybrides. L’exemple de l’Ukraine montre que des coupe-circuits logiciels peuvent servir d’outils de coercition. Au début du conflit, l’attaque contre le réseau Viasat, par l’introduction d’un virus dans les modems, a paralysé une partie des armées ukrainiennes et neutralisé des milliers d’éoliennes en Allemagne. Sans autonomie totale sur ses systèmes de commandement, la France s’expose à un risque de neutralisation à distance en cas de tensions géopolitiques majeures. Être souverain, c’est garantir que seul l’État français conserve le contrôle de l’interrupteur de ses propres SI.

La gendarmerie nationale a été précurseur en opérant, dès le début des années 2000, un virage stratégique vers Linux pour ses serveurs et ses postes de travail. Ce choix du logiciel libre visait à rompre avec les dépendances aux éditeurs étrangers pour garantir l’intégrité de nos systèmes et redevenir maîtres de notre destin numérique et financier. Aujourd’hui, nous ne possédons plus aucun serveur Windows et seuls 1 054 postes sur 80 000 conservent ce système pour des besoins de niche très spécifiques. De la même façon, nous achevons notre sortie d’Oracle au profit de bases de données libres comme PostgreSQL. Nous nous intégrons en outre activement aux communautés open source selon un modèle d’accord gagnant-gagnant où nos développements profitent également à tous.

Ce système repose sur une intégration forte entre les outils techniques et le modèle humain de la gendarmerie puisque, depuis 30 ans, nous cultivons une filière d’experts qui alternent entre-temps de missions de terrain et spécialisation technique. Cette polyvalence permet à nos officiers et sous-officiers de concevoir des outils parfaitement adaptés aux réalités opérationnelles. Pour anticiper les besoins futurs, nous formons chaque année nos cadres dans de grandes écoles. À titre d’exemple, j’ai envoyé des officiers se former sur le quantique dès 2023 pour préparer l’horizon 2030.

L’internalisation de ces compétences garantit la maîtrise permanente de nos systèmes critiques. Mon premier principe est de ne jamais déléguer le pilotage de nos outils et si nous recourons ponctuellement à des prestataires extérieurs français, c’est toujours sous la direction d’un noyau dur interne. Je dois être capable, à tout moment, de changer d’industriel sans fragiliser l’institution. Mon second principe concerne la conservation des données dans des data centers souverains. Comme un trésor que l’on protège, nos données sensibles ne sortent jamais de nos centres car même un SecNumCloud ne peut offrir les garanties de sécurité que procure une exploitation directe par des gendarmes au sein de nos propres casernes. Actuellement, nous exploitons deux data centers et construisons une troisième région pour le cloud Pi, le second cloud interministériel avec Nubo.

Face à des vulnérabilités mondiales de plus en plus fréquentes et rapidement exploitées, détenir tous les leviers de contrôle est une nécessité absolue. Ce modèle d’autonomie exige toutefois des ressources humaines conséquentes. La nouvelle grille salariale de la direction interministérielle du numérique (Dinum) est, à cet égard, un progrès majeur pour recruter rapidement dans un secteur privé très concurrentiel.

En conclusion, je tiens à souligner que ce combat exige une vigilance de chaque instant. Nous concentrons nos efforts sur la modularité de nos systèmes d’information afin de pouvoir remplacer n’importe quel composant sans en fragiliser l’ensemble, tout en définissant un cadre de cohérence technique pour standardiser nos développements. Il faut toutefois reconnaître que certains volets, tels que les routeurs, le matériel, les processeurs ou certains logiciels dont l’offre open source manque encore de maturité, ne sont pas totalement couverts. Dans ces cas précis, je m’efforce de mitiger le risque en diversifiant les solutions pour ne jamais dépendre d’un acteur unique. À ce titre, nous participons activement aux travaux collaboratifs menés avec les autres ministères, la Dinum et l’écosystème européen, notamment à travers le programme Impact. Ma priorité absolue demeure d’éviter toute impasse technologique, et j’ai la chance de bénéficier de la confiance de mes deux directeurs généraux, qui s’inscrivent pleinement dans cette dynamique et m’octroient les moyens humains et financiers nécessaires à cette ambition.

M. Aurélien Taché, président. Vous avez tous deux abordé la question des lois américaines à portée extraterritoriale, notamment le Cloud Act, et souligné la menace qu’elles représentent pour notre souveraineté. Il est rassurant d’apprendre que des institutions aussi éminentes que la DGFIP et la gendarmerie nationale sont propriétaires de leur propre cloud. Mon général, vous avez d’ailleurs précisé que, même pour vos données sensibles hébergées, vous privilégiez systématiquement des solutions non américaines.

Ma première interrogation porte sur le traitement des données dites non sensibles : le recours à des prestataires américains est-il envisageable pour ce type d’informations et, le cas échéant, selon quels critères distinguez-vous les données sensibles de celles qui ne le sont pas ?

Ma seconde question vise à comparer vos deux modèles, dont le haut niveau d’intégration prouve qu’il est possible de s’affranchir des grands fournisseurs de cloud, aux solutions bénéficiant du visa SecNumCloud. Ces dernières, parfois moins intégrées, ne risquent-elles pas de fragiliser notre souveraineté ?

M. le général de corps d’armée Marc Boget. La règle que j’applique est simple : dès qu’une donnée est sensible, ce que je détermine grâce au repère infaillible que constitue la déclaration de tous mes SI auprès de la Commission nationale de l’informatique et des libertés (Cnil), souvent accompagnée d’un décret en Conseil d’État, elle demeure strictement au sein de nos infrastructures. Pour les données non sensibles, notamment celles destinées à être ouvertes à nos concitoyens, j’utilise actuellement une solution imparfaite consistant à les héberger à l’extérieur. Pour protéger mes données sensibles, j’ai instauré un barrage interdisant toute intrusion dans mon système interne depuis l’extérieur. Toutefois, ce dispositif devient inopérant lorsqu’il s’agit d’interagir avec les usagers, ces derniers n’ayant pas de droit d’accès. J’utilise donc un point applicatif externe, hébergé chez un prestataire rigoureusement sélectionné, où je viens recueillir les données pour les rapatrier. Ce processus repose sur une coupure protocolaire permanente, évitant ainsi tout lien direct avec mes systèmes internes.

Concernant les nouvelles applications en cours de développement, qui s’appuient sur le cloud public pour la partie front, nous expérimentons différentes options, notamment des solutions bénéficiant du visa SecNumCloud proposées par certains hébergeurs du nord de la France, afin d’arrêter le choix le plus éclairé possible.

Si je ne confie pas de données sensibles à un cloud qualifié SecNumCloud, c’est pour une raison bien précise. Bien que ce label de l’Agence nationale de la sécurité des systèmes d’information (Anssi) résulte d’un travail remarquable pour se prémunir du Cloud Act américain, il m’ôte la maîtrise des opérateurs exploitant les serveurs. Un environnement SecNumCloud est en effet géré par des salariés du secteur privé dont je ne peux surveiller l’activité en permanence. Or face au coût mondial de la cybercriminalité, estimé à plus de 10 500 milliards de dollars en 2025, la réalité de la corruption ne peut être ignorée. Une telle menace exige que les agents soient soit étroitement contrôlés, soit totalement insensibles à la pression économique. Dès lors que les serveurs ne sont pas hébergés et administrés par des gendarmes, je ne peux plus garantir ni surveiller l’intégrité des opérations, ce qui justifie mon refus d’y déposer la moindre donnée sensible.

M. Tomasz Blanc. En pratique, la quasi-totalité de nos données, même non sensibles, est hébergée en interne dans nos propres centres de données. Le recours aux Gafam demeure tout à fait exceptionnel et ne concerne que des données publiques, comme c’est le cas pour l’exploitation de photos aériennes au sein de notre SI.

Comme je l’ai précédemment souligné, la standardisation constitue un enjeu majeur, car multiplier les filières d’hébergement et de fabrication engendre des coûts importants. Notre SI traitant très majoritairement des données sensibles, qu’elles soient fiscales ou personnelles, tant pour les particuliers que pour les professionnels, nous ne souhaitons pas développer de filière spécifique pour les rares applications qui n’en contiendraient pas. Nous privilégions une standardisation massive en maintenant ces applications sur les architectures et les filières utilisées pour le reste de nos activités.

S’agissant de la comparaison entre nos infrastructures internes et les solutions SecNumCloud, je précise que ce label s’adresse prioritairement aux offres commerciales. Néanmoins, lors des procédures d’homologation de notre cloud Nubo, nous intégrons les règles de sécurité technique de ce référentiel, auxquelles nous ajoutons les exigences de la politique de sécurité des systèmes d’information de l’État (PSSI-E). En matière de sécurité, le cloud Nubo se situe donc au même niveau, sinon au-delà, des offres SecNumCloud. Comme l’évoquait le général Boget, la différence réside dans le fait que nos infrastructures sont exploitées par des agents de la DGFIP, contrôleurs ou inspecteurs des finances publiques. Nous assurons ainsi une maîtrise de bout en bout, de l’intégration du logiciel à l’exploitation par nos agents, jusqu’à l’hébergement au cœur de nos propres centres de données.

Mme Cyrielle Chatelain, rapporteure de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Mes premières interrogations concernent la gestion des compétences et l’évolution de vos effectifs. Pourriez-vous nous préciser si vos équipes s’étoffent ou si elles se maintiennent à un niveau constant, et dans quelle mesure cette dynamique a transformé votre politique de recrutement ? Certains témoignages suggèrent que l’usage du logiciel libre valorise des savoir-faire spécifiques : cela a-t-il orienté vos critères d’embauche ou privilégiez-vous plutôt la formation interne des agents recrutés ? Par ailleurs, vous avez mentionné l’importance de l’indépendance à travers la notion de taux d’externalisation. Disposez-vous de seuils d’alerte précis vous permettant de qualifier une situation d’acceptable, de préoccupante ou de critique pour la sécurité de vos services ?

Ma seconde question porte sur la transition des solutions propriétaires vers le logiciel libre, un processus que vous avez décrit comme long et onéreux. Pourriez-vous nous éclairer sur les délais et les coûts engendrés, en vous appuyant sur un ou deux cas concrets ? La gendarmerie nationale nous offrant l’opportunité d’une analyse sur le temps long, estimez-vous, avec le recul nécessaire, que les investissements consentis sont aujourd’hui rentabilisés ?

M. le général de corps d’armée Marc Boget. Sur les recrutements, la gendarmerie investit dans ce domaine depuis 1987, date de création de la sous-direction des télécommunications et de l’informatique. Notre politique en la matière n’a donc pas été bouleversée, car elle intègre cette dimension de longue date. Nous avons toujours privilégié un pluralisme de profils : anciens sous-officiers, officiers issus des grandes écoles militaires ou recrutés sur titres après une expérience dans le privé, et diplômés de niveau bac+5 par voie de concours universitaire. Cette adaptation permanente me permet, en tant que responsable de filière, d’anticiper les besoins en volumes et en compétences à un horizon de trois ans.

Un aspect fondamental de notre stratégie d’internalisation réside dans le refus d’une filière exclusivement numérique. Un ingénieur ne rejoindra pas la gendarmerie pour y exercer les mêmes missions que dans le secteur privé, où les rémunérations sont plus attractives. Ce qui motive ces personnels et garantit leur fidélité, c’est la perspective d’une carrière alternant des fonctions techniques et opérationnelles. Ce modèle, qui offre à la fois du sens et une visibilité sur la trajectoire professionnelle, est notre meilleur rempart contre la rotation des effectifs, alors même que ces profils sont très courtisés par le marché.

Quant au passage au logiciel libre, initié il y a vingt ans, la transition fut conduite avec une rigueur toute militaire, peut-être un peu brusque, mais elle s’est accomplie en trois ans sans heurts majeurs. Aujourd’hui, l’exercice est bien plus aisé puisque l’environnement Linux et la suite LibreOffice sont devenus si conviviaux que même les recrues formées aux outils Microsoft s’y adaptent sans difficulté.

Enfin, sur le plan financier, nous avons évalué les économies générées par cette stratégie, qu’il s’agisse des postes de travail ou de nos smartphones professionnels, équipés d’un système d’exploitation souverain. Ce choix technique nous protège d’ailleurs efficacement : les téléphones des directeurs généraux de la gendarmerie et de la police nationales ont ainsi été préservés de l’infiltration par le logiciel Pegasus. Depuis 2004, ces dépenses évitées s’élèvent précisément à 534 millions d’euros. Dans un contexte de budgets contraints, c’est un argument de poids.

M. Tomasz Blanc. Les effectifs de la DGFIP comptent 5 000 informaticiens. Le nombre total d’agents de la direction a significativement diminué depuis 2008, passant de 130 000 à 95 000, et l’outil numérique a largement contribué à cette réduction. Toutefois, depuis la mise en œuvre du prélèvement à la source, la DGFIP a adopté une véritable stratégie de priorisation du numérique et, depuis 2020, nous avons stabilisé puis renforcé nos moyens, alors même que le reste de la direction subissait encore des suppressions d’emplois. Ce choix affirmé démontre que le numérique est devenu un levier stratégique pour nos métiers financiers. En matière de pilotage, le taux d’externalisation moyen de la DGFIP s’établit à 40 %. Bien que ce chiffre soit conforme aux normes de la Dinum, qui fixent le seuil de risque au-delà de 60 %, certains de nos projets dépassent localement cette limite. Concernant le recrutement, si le concours spécialisé demeure notre voie d’accès privilégiée, l’importance des départs à la retraite nous conduit, depuis 2020, à solliciter davantage de contractuels. Cela a permis de diversifier nos profils tout en capitalisant sur l’attractivité de nos missions, sur notre culture du logiciel libre et sur la maîtrise de nos projets, des arguments forts face à la concurrence du secteur privé.

Bien que nous n’ayons pas réalisé d’étude sur les coûts évités grâce au logiciel libre, l’exemple de LibreOffice est révélateur puisque son coût annuel est quasi nul là où une suite propriétaire reviendrait à environ 10 millions d’euros par an. Pour un usage courant, nos enquêtes annuelles de satisfaction révèlent que les agents jugent ces deux solutions équivalentes. Si nous nous autorisons l’achat ponctuel de licences Microsoft pour des besoins d’expertise spécifiques, la généralisation de LibreOffice garantit notre résilience puisqu’en cas de défaillance du fournisseur privé, la continuité de service serait assurée pour tous.

Le déploiement d’outils libres exige toutefois une conduite du changement rigoureuse. LibreOffice est désormais parfaitement intégré depuis 2015 grâce à un effort soutenu de pédagogie, et nous étudions maintenant la possibilité de basculer vers des systèmes Linux. Malgré les progrès des distributions libres, l’écart avec Windows persiste et un tel déploiement nécessitera donc une préparation minutieuse pour vaincre les résistances prévisibles.

Mme Cyrielle Chatelain, rapporteure. Pour le déploiement sur Linux, avez-vous une idée du calendrier et de la manière dont vous vous préparez à l’accompagnement ?

Ma deuxième question porte sur les marchés publics. Vous avez mentionné le développement de marchés de support dédiés aux logiciels libres ainsi que l’intégration d’exigences spécifiques dans vos cahiers des charges. Or il ressort de nos auditions que le code de la commande publique ne permet pas systématiquement de privilégier des solutions françaises ou européennes. Pourriez-vous nous préciser les critères de vigilance que vous retenez pour sélectionner les prestataires les plus fiables et les mieux protégés contre les lois extraterritoriales ? Par ailleurs, comment s’articule votre collaboration avec les plateformes d’achat de l’État ? Observez-vous une évolution de ces marchés vers une meilleure prise en compte de vos besoins ?

M. Tomasz Blanc. Sur la question de Linux, je précise qu’avant d’engager la conduite du changement, nous devons valider plusieurs préalables techniques. Sur un parc comptant entre 110 000 et 115 000 postes de travail, le défi ne réside pas tant dans l’installation de Linux que dans notre capacité à administrer l’ensemble de la flotte. Il est impératif de pouvoir diffuser rapidement des correctifs de sécurité et de déployer des logiciels à distance sans intervention physique. Actuellement, notre environnement Windows bénéficie d’une automatisation très poussée et nous devons nous assurer de disposer d’outils équivalents offrant le même niveau de performance, car nous ne pouvons nous permettre aucune régression de la productivité de notre support utilisateur. L’étude que nous menons cette année porte précisément sur ce point critique afin d’obtenir les garanties nécessaires avant toute décision.

S’agissant de la commande publique, force est de constater qu’elle a été conçue pour prévenir les risques de corruption et garantir l’efficacité de la dépense, plutôt que pour répondre aux enjeux de souveraineté. Si elle remplit efficacement ses objectifs initiaux, elle s’avère moins adaptée aux impératifs de souveraineté. Par conception, la DGFIP privilégie le logiciel libre et, tout comme la gendarmerie, nous assurons la maîtrise interne de nos projets grâce à nos propres équipes. Nous achetons ainsi principalement de la prestation de services qui, en France, provient majoritairement d’entreprises nationales ou de succursales locales. La difficulté réelle apparaît lors de l’achat de logiciels sur étagère : imposer des exigences de souveraineté dans ce cadre contractuel semble bien plus complexe, même si cette question mériterait l’expertise de spécialistes du droit de la commande publique.

M. le général de corps d’armée Marc Boget. À l’instar des services de Bercy, nous privilégions généralement la prestation d’expertise aux achats de produits sur étagère. Toutefois, lorsqu’un tel achat s’avère nécessaire, la situation est en effet complexe. Si le code des marchés publics n’est pas réputé pour sa souplesse, il nous permet néanmoins de mettre en avant certains critères auxquels nous sommes particulièrement vigilants, tels que la normalisation, le respect des standards, la réversibilité ou, lorsque cela est envisageable, l’audit du code source. En somme, nous nous efforçons d’intégrer un maximum d’exigences pour conserver une maîtrise optimale sur nos acquisitions.

Je précise que mon agence n’est pas directement responsable de la passation des marchés, cette mission incombant au service de l’achat, de l’innovation et de la logistique du ministère de l’intérieur (Sailmi). Mes équipes se chargent de la rédaction des cahiers des clauses techniques particulières (CCTP), et nous militons systématiquement pour que le critère technique bénéficie de la pondération la plus élevée possible. Un arbitrage est souvent nécessaire entre l’acheteur, dont l’objectif est d’accorder une importance prédominante au prix, et le technicien, qui souhaite privilégier la valeur technique pour garantir le bon fonctionnement du service. Afin de trouver ce compromis tout en gardant la main sur les orientations technologiques, nous exigeons systématiquement des garanties de réversibilité et de conformité aux normes impératives d’ouverture, ce qui permet d’écarter les solutions propriétaires. La sélection s’opère ensuite sur la base de la valeur technique lors de l’examen des offres. À cet égard, nous avons la chance de pouvoir compter en France sur des entreprises d’un très haut niveau, qui n’ont rien à envier à leurs concurrents américains.

M. Aurélien Taché, président. Vous avez tous deux parfaitement exposé les vertus des logiciels libres, qui sont à la fois moins onéreux, pratiques et simples d’utilisation. Vous avez également précisé que la gendarmerie utilise sur ses terminaux mobiles des systèmes d’exploitation indépendants, ce qui vous a préservés de l’espionnage par le logiciel Pegasus. Dès lors, pour quelles raisons les autres services de l’État ne franchissent-ils pas le pas ?

Je souhaite par ailleurs revenir sur le cas de la DGSI, car son partenariat avec Palantir, ainsi que l’utilisation de ce logiciel pour le traitement des données, sont particulièrement préoccupants. Cette entreprise, qui poursuit un agenda géopolitique, vient en effet de publier une sorte de « manifeste techno-fasciste ». Comment une telle situation a-t-elle pu s’instaurer ? Comment pouvons-nous en sortir et convaincre les autres administrations d’adopter vos solutions sans plus tarder ?

Ma dernière question porte sur l’intelligence artificielle. J’imagine que vous observerez la même prudence en évitant le recours à des logiciels tels que Claude, dont les liens avec certains acteurs technologiques posent question, ou d’autres outils de même nature. Il serait très éclairant de connaître votre position sur ce sujet.

M. le général de corps d’armée Marc Boget. S’agissant de l’intelligence artificielle, nous avons déjà déployé un modèle s’appuyant sur une plateforme souveraine. J’ai la chance de compter, parmi mes effectifs d’officiers de gendarmerie, des data scientists de haut niveau, grâce auxquels nous disposons d’une plateforme accessible aux policiers et aux gendarmes. Les données y sont totalement maîtrisées en interne et ne sont jamais externalisées vers des services tiers, ce qui constitue pour moi une exigence absolue. Notre infrastructure actuelle, qui utilise une IA développée en interne baptisée l’Agent, va prochainement migrer vers le modèle Génial du ministère des armées. Ce dernier a accompli un travail remarquable en développant une solution basée sur l’open source et un modèle communautaire, parfaitement adaptée aux besoins des forces de sécurité intérieure.

Quant à savoir pourquoi les autres administrations ne franchissent pas le pas vers Linux, je pense qu’il ne faut pas sous-estimer l’ampleur du défi que représente la conduite du changement. Un acteur comme Microsoft déploie une stratégie de lobbying extrêmement efficace dès le milieu scolaire, et cette approche n’a rien d’anodin puisqu’une personne formée exclusivement sur ces outils dès son plus jeune âge cherchera naturellement à les retrouver dans sa vie professionnelle. Cette habitude ancrée constitue un frein majeur au changement pour de nombreuses organisations. Nous observons toutefois une évolution notable à l’échelle internationale puisque de grandes municipalités, notamment en Allemagne, ainsi que des entreprises d’envergure, opèrent désormais une transition vers Linux. La Dinum vient par ailleurs de publier une distribution Linux dédiée au poste de travail, ce qui prouve que les lignes bougent, même si le processus est lent.

Sur le sujet de Palantir, je ne suis ni compétent ni en possession des informations nécessaires pour m’exprimer. Nous touchons là au domaine du renseignement et seule la DGSI pourrait vous répondre. Ce que je peux toutefois vous confirmer, c’est que les équipes techniques de la DSI sont constituées de personnes particulièrement intelligentes et responsables, dotées d’un haut niveau d’expertise, qui agissent rarement sans raison.

M. Tomasz Blanc. Sur la question de savoir pourquoi les autres administrations ne franchissent pas encore ce pas, je serais plus nuancé. L’ensemble des services de l’État que je côtoie a désormais engagé une démarche en faveur du logiciel libre, même si les rythmes et les contraintes diffèrent. Le modèle de la gendarmerie, où le poste de travail lui-même fonctionne sous Linux, représente un stade avancé qui exige d’avoir préalablement éliminé toute dépendance aux logiciels propriétaires. À la DGFIP, une telle généralisation était inenvisageable il y a dix ans, car certains de nos outils n’étaient compatibles qu’avec Windows. Depuis, ces logiciels ont été modernisés ou remplacés, ce qui nous permet aujourd’hui d’étudier sérieusement cette transition.

Ces transformations s’inscrivent nécessairement dans le temps long, car faire évoluer tout un système d’information pour gagner en souveraineté, notamment par le levier du logiciel libre, requiert environ une décennie. L’enjeu majeur, lors de chaque révolution technologique, est d’éviter de créer de nouvelles dépendances. L’intelligence artificielle en est l’exemple type : si l’apparition de ChatGPT a suscité un fort engouement, il faut garder le recul nécessaire pour comprendre que, sous l’angle de la souveraineté, le recours à un tel outil est exclu.

À la DGFIP, nous appliquons à l’IA le modèle de maîtrise interne que j’ai exposé. Nous nous appuyons sur nos propres data scientists et ingénieurs pour exploiter des modèles de langage libres sur nos propres puces GPU, hébergées dans nos centres de données. Cette infrastructure garantit que les données ne sortent jamais de nos murs et offre la flexibilité nécessaire pour changer de modèle aisément. Cette plateforme centralisée alimente déjà plusieurs cas d’usage, dont le plus visible est le nouveau moteur de recherche du site impots.gouv.fr, qui utilise l’IA pour améliorer la pertinence des résultats.

Je ne m’interdis pas, à l’avenir, d’intégrer des modèles de langage propriétaires tels que Mistral, à la condition impérative qu’ils soient suffisamment standardisés pour s’insérer dans notre architecture. Cela nous permettrait de bénéficier d’éventuels gains de performance tout en conservant la faculté de basculer à nouveau vers des modèles libres si la politique commerciale de l’éditeur ou les risques pour notre souveraineté l’exigeaient. Enfin, nous allons également étudier de près le modèle Génial du ministère des armées afin de déterminer s’il peut nous aider à accélérer nos propres travaux.

Mme Cyrielle Chatelain, rapporteure. Je souhaiterais désormais évoquer la question du kill switch, particulièrement pertinente pour des solutions hybrides comme celles développées par S3NS. Vous avez souligné en début d’audition qu’une faille est désormais exploitée dans un délai très court. Le risque lié au kill switch réside dans l’interruption brutale des mises à jour technologiques : le service ne s’arrête pas instantanément, mais les vulnérabilités ne sont plus corrigées. Compte tenu de la rapidité avec laquelle ces failles sont aujourd’hui exploitées, comment évaluez-vous le danger que représente cette absence de maintenance pour des solutions hybrides dont nous n’avons pas la pleine maîtrise technique ? Selon vous, combien de temps une telle solution peut-elle encore fonctionner de manière sécurisée une fois privée de ses mises à jour ?

M. le général de corps d’armée Marc Boget. Ces éléments nourriront la réflexion que j’ai engagée car il s’agit, très clairement, d’un sujet majeur. Pour S3NS, cet enjeu est central : le principe repose sur la détention des clés de chiffrement par un tiers, et non par le fournisseur de cloud, afin d’interdire à ce dernier tout accès physique aux données. Si cette garantie est appréciable, elle n’élude pas le risque qu’un arrêt des mises à jour de sécurité par Google ne rende le système rapidement obsolète et vulnérable. Avec 35 000 vulnérabilités découvertes cette année, rien ne laisse présager une baisse de cette menace à l’avenir. La capacité à parer ces failles constituera donc un point de vigilance essentiel de mon étude, pour lequel S3NS devra apporter des garanties incontestables.

M. Tomasz Blanc. Sur la question du kill switch, je n’ai pas encore approfondi le sujet, car la DGFIP n’envisage pas de recourir à ces solutions à brève échéance mais, pour l’instant, je reste dubitatif et n’ai pas trouvé d’arguments convaincants.

Mme Cyrielle Chatelain, rapporteure. Existe-t-il aujourd’hui une volonté de généraliser l’usage de Nubo et de Pi, qui sont des clouds interministériels ou, en tout cas, d’offrir la possibilité à d’autres ministères d’utiliser ces solutions ?

M. Tomasz Blanc. Ces solutions sont d’ores et déjà accessibles à l’échelon interministériel : le ministère de la culture s’appuie ainsi sur Nubo pour un service d’archivage, tout comme la Dinum qui l’utilise pour la solution ProConnect dédiée à l’authentification des agents et des professionnels. Une importante marge de progression subsiste toutefois dans leur adoption généralisée.

Il faut en effet mesurer l’effort considérable que représente, pour une organisation, le passage d’un mode de développement classique vers une architecture cloud. À la DGFIP, en tant que concepteurs de Nubo, nous avons bénéficié d’une impulsion stratégique déterminante de notre direction générale, assortie d’objectifs chiffrés. Cette dynamique a permis de basculer environ un quart de nos SI, nous donnant aujourd’hui une vision claire de la transformation profonde des pratiques nécessaires pour tirer pleinement profit des avantages du cloud.

Par ailleurs, si Nubo et Pi coexistent, nous ne travaillons pas de manière isolée, et nos collaborations actuelles visent à garantir une interopérabilité entre ces deux environnements. Bien que nos solutions techniques diffèrent légèrement, cette capacité de migration de l’un vers l’autre constitue un levier majeur de résilience, nous permettant de réagir efficacement en cas de défaillance de l’un des systèmes.

M. Aurélien Taché, président. Vous avez insisté sur la nécessité de la conduite du changement et sur l’investissement que cela implique pour que nos administrations soient le plus souveraines possible. J’espère que votre exemple inspirera le maximum de ministères, de communes et de grandes entreprises françaises.

* *

Audition commune, ouverte à la presse, de M. Benjamin Delozier, chef du service des politiques écologiques et sectorielles à la direction générale du Trésor et MM. Thomas Courbe, directeur général des entreprises (DGE), et Loïc Duflot, chef de service de l’économie numérique de la DGE (jeudi 7 mai 2026)

M. Aurélien Taché, président. La souveraineté numérique représente un sujet majeur sur lequel notre assemblée entend apporter des réponses.

Pour commencer, comment rapatrier en Europe les services numériques qui sont aujourd’hui essentiellement localisés aux États-Unis ? Pouvez-vous dresser un panorama chiffré de la filière numérique française et nous indiquer comment la développer ? La législation européenne constitue-t-elle un levier pour bâtir un modèle qui nous soit propre ?

Je vous remercie de nous déclarer tout intérêt public ou privé de nature à influencer vos déclarations. Je vous rappelle également que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter serment de dire la vérité, toute la vérité, rien que la vérité. Je vous invite donc à lever la main droite et à dire « je le jure ».

(MM. Benjamin Delozier, Victor Amoureux, Thomas Courbe, Loïc Duflot et Florent Kirchner prêtent serment.)

M. Thomas Courbe, directeur général des entreprises (DGE). Je concentrerai mon propos liminaire sur l’idée que les enjeux de souveraineté numérique reposent sur trois grands piliers d’action.

Le premier pilier consiste à soutenir une offre numérique française et européenne compétitive, afin de garantir aux entreprises une réelle liberté de choix. Cette action s’inscrit dans notre politique industrielle, déployée à l’échelle nationale à travers le plan France 2030 et au niveau européen à travers les projets importants d’intérêt européen commun (Piiec). Ces dernières années, nous avons concentré nos efforts sur des secteurs critiques tels que les services de cloud, l’intelligence artificielle et le quantique. Toutefois, le développement de cette offre exige également de mobiliser des financements privés, notamment pour combler la faille de marché persistante concernant les « séries C ». Faute de capitaux européens suffisants pour accompagner leur croissance, nombre de nos entreprises se tournent vers les États-Unis, au risque de voir leurs activités s’y délocaliser. Il est donc impératif de mieux canaliser l’investissement privé européen vers ces acteurs stratégiques.

Le deuxième enjeu réside dans la diffusion des solutions numériques au sein du tissu économique, condition sine qua non de notre compétitivité globale. Depuis 2018, l’initiative France Num, complétée en juillet 2025 par le plan « Osez l’IA », a permis d’obtenir des résultats probants puisque la part des TPE et PME utilisant l’intelligence artificielle a bondi de 5 % en 2023 à 26 % en 2025. Parallèlement, nous encourageons les grands groupes à privilégier les solutions nationales à travers l’initiative « Je choisis la French Tech », dans le cadre de laquelle 14 entreprises se sont engagées à conclure 1 milliard d’euros de contrats avec des pépites françaises entre 2024 et 2026. Pour renforcer ce mouvement, nous portons au niveau européen l’idée d’une préférence européenne, un levier juridique qui permettrait de prioriser l’offre continentale dans l’attribution des financements et de la commande publique. À cet effet, un groupe de travail franco-allemand a été lancé en novembre 2025 pour établir une définition méthodologique précise des services numériques européens, en vue de peser sur le futur paquet de mesures de la Commission dédié à la souveraineté.

Enfin, notre troisième levier d’action est réglementaire et poursuit trois objectifs majeurs. Le premier est de bâtir un cadre juridique sécurisant et simplifié pour les développeurs et les utilisateurs, notamment à travers le règlement sur l’IA. Le deuxième concerne la sécurité des données : nous plaidons pour que le droit européen garantisse une protection robuste, tant technique que juridique, contre les législations extraterritoriales de pays tiers. Le dernier objectif vise à restaurer progressivement une égalité de traitement entre les acteurs européens et les géants du numérique. Si les effets du règlement sur les marchés numériques (Digital Markets Act, DMA) se font déjà sentir, nous devons en approfondir l’application. À ce titre, l’ouverture récente d’une enquête européenne sur les services de cloud, ainsi que nos demandes visant à renforcer le DMA dans les domaines de l’intelligence artificielle et de la publicité en ligne, témoignent de notre volonté de garantir des conditions de concurrence équitables pour nos entreprises.

M. Benjamin Delozier, chef du service des politiques écologiques et sectorielles à la direction générale du Trésor (DGT). Depuis une vingtaine d’années, le cloud, les infrastructures numériques et les logiciels accessibles à distance (software as a service) se sont imposés comme des leviers structurels de productivité et de compétitivité, indispensables aussi bien aux entreprises qu’aux administrations. Cette transformation conditionne désormais la performance et la résilience de nos organisations. Toutefois, ce virage a été largement capté par un nombre restreint d’acteurs extra-européens. Dans le secteur du cloud, les hyperscalers américains dominent le marché grâce à une intégration verticale massive, englobant les infrastructures, la cybersécurité et désormais l’IA, tout en proposant horizontalement des services très interconnectés. Les chiffres du Cigref selon lesquels 80 % des achats numériques B2B des entreprises concernent des solutions extra-européennes convergent avec les constats de l’Autorité de la concurrence dans son avis de 2023 : les trois principaux acteurs américains, les hyperscalers, captent plus de 70 % du marché français du cloud. L’espace numérique subit par ailleurs des effets de réseau et d’écosystème massifs. Une entreprise trouve un intérêt immédiat à adopter des suites bureautiques intégrées et des solutions clés en main déjà utilisées par ses partenaires. Le rapport Draghi souligne d’ailleurs que l’incapacité de l’Europe à prendre pleinement ce tournant, tant sur la production que sur l’adoption, constitue un facteur de décrochage majeur vis-à-vis des États-Unis. Il est donc impératif que l’Europe s’affirme comme un espace d’innovation compétitif et non plus seulement comme une zone de régulation.

L’intelligence artificielle inaugure une séquence nouvelle qui impose, pour porter ses fruits, une diffusion large des usages alliée à une sécurisation rigoureuse des infrastructures. En tant que technologie de rupture à usage général, son impact potentiel sur l’ensemble de notre économie est considérable. Bien que votre commission d’enquête ne traite pas spécifiquement des enjeux macroéconomiques, il importe de rappeler qu’une innovation capable d’accroître la croissance de la productivité de 0,8 à 1,3 point par an sur une décennie place la France et l’Union européenne à la croisée des chemins. Soit elle accentue le décrochage économique souligné par le rapport Draghi ainsi que nos dépendances, soit elle devient le levier d’un repositionnement stratégique majeur. Pour développer cette technologie, la France dispose d’atouts solides, qu’il s’agisse de ses talents, d’une énergie abondante et largement décarbonée ou du dynamisme de ses entreprises innovantes. Nous partons toutefois avec des dépendances notables. Comme l’ont souligné l’Autorité de la concurrence en 2024 et la Commission européenne lors de sa récente revue du DMA, le déploiement de l’IA risque de consolider les positions des acteurs maîtrisant déjà les infrastructures cloud, les capacités de calcul, les données, les modèles et les réseaux de distribution.

Dès lors, l’action publique doit garantir un financement adéquat dès la phase d’innovation, en ciblant prioritairement les ruptures technologiques. C’est l’ambition du plan France 2030, ainsi que du programme européen Horizon Europe qui gagnerait à renforcer son soutien à l’innovation de rupture en s’inspirant du modèle de l’Agence pour les projets de recherche avancée de défense (Defense Advanced Research Projects Agency, Darpa) américaine. Plus en amont encore, l’investissement dans la recherche de pointe demeure essentiel. Au stade du passage à l’échelle, la mobilisation des capitaux publics et privés devient déterminante. La direction générale du Trésor œuvre en ce sens pour orienter l’épargne institutionnelle vers les technologies de pointe, et soutient au niveau européen des chantiers structurants comme l’Union de l’investissement et de l’épargne. Cette attractivité repose également sur un cadre d’accueil performant : notre stratégie en faveur des centres de données vise ainsi à inciter les leaders technologiques mondiaux à implanter leurs campus et leurs experts sur notre territoire, générant un effet d’entraînement pour des acteurs locaux tels que STMicroelectronics.

Par ailleurs, l’établissement de conditions de concurrence équitables est indispensable pour maximiser les retombées du numérique, stimuler l’innovation et garantir des prix compétitifs. À cet égard, le DMA constitue un levier fondamental pour assurer la contestabilité des marchés européens, même s’il ne saurait constituer une réponse unique. Son application se heurte encore aux résistances des contrôleurs d’accès, aux ressources limitées de la Commission et à un contexte transatlantique complexe. Pour autant, son potentiel pour orienter les grandes plateformes vers des modèles plus vertueux reste réel. Si certains acteurs prétendent que ce règlement freine la diffusion des technologies de pointe en Europe, cet argument semble largement surestimé au regard des coûts économiques réels. L’évaluation publiée par la Commission le 27 avril dernier confirme d’ailleurs les effets bénéfiques du texte, citant des avancées concrètes pour les moteurs de recherche alternatifs, les magasins d’applications ou l’accès aux interfaces de programmation (API) par des entreprises tierces.

En conclusion, l’intervention publique sur ce sujet stratégique doit obéir à des principes économiques rigoureux. Dans le contexte budgétaire actuel, notre action doit être particulièrement ciblée : il ne s’agit pas de financer indistinctement tous les segments, mais d’intervenir là où les défaillances de marché sont avérées et où l’effet de levier est maximal. Cette sélectivité est la condition sine qua non pour éviter le saupoudrage et garantir la cohérence de notre stratégie nationale.

M. Florent Kirchner, directeur du pôle souveraineté numérique au secrétariat général pour l’investissement (SGPI). Quel est le rapport entre la dépendance numérique et l’innovation ? Mon propos liminaire essaiera d’éclairer, à travers certaines des réflexions portées par les équipes en charge de la mise en œuvre du plan France 2030, le lien entre ces deux sujets. S’il existe réellement un lien, comment des politiques publiques d’innovation peuvent-elles contribuer à réduire ces dépendances ou, inversement, comment sont gérés les impacts potentiels de ces dépendances sur nos politiques d’innovation ?

Vous l’avez beaucoup entendu au fil de vos auditions, il n’existe pas de réponse simple à ces questions. Sans entrer dans les détails, je rappellerai que ces outils, que l’on utilise parfois d’un simple clic, mobilisent des milliards de lignes de code pour la seule partie logicielle, et au moins l’équivalent pour les infrastructures matérielles sous-jacentes. Le sujet des dépendances est lui aussi complexe, tout comme celui de l’innovation. Les solutions simples, lorsqu’elles sont avancées, me semblent soit naïves, soit assez malintentionnées. Il est donc nécessaire de les analyser en profondeur, et il faut saluer la mobilisation de cette commission à cet égard. Cependant, complexe ne veut pas dire insoluble, même si certains aimeraient nous faire croire qu’il faut baisser les bras.

Pour structurer cette réflexion, il convient tout d’abord de définir ce que signifie l’autonomie de décision dans l’espace numérique, cette notion de souveraineté numérique aujourd’hui très usitée. Nous l’abordons selon deux axes complémentaires. Le premier est la capacité intellectuelle à établir ses propres priorités et à prendre ses décisions dans l’espace numérique. Le second concerne les moyens institutionnels, politiques et matériels de mettre en œuvre ces décisions, afin d’agir en coopération ou, si nécessaire, seul. Cette définition demeure parfaitement compatible avec les approches plus opérationnelles, notamment celles de l’Agence nationale de la sécurité des systèmes d’information (Anssi).

Il faut ensuite considérer le paysage numérique actuel comme le résultat de 30 années d’un développement organique. Ce système, devenu indispensable, s’avère toutefois inégal en matière de fiabilité, d’accessibilité et de maîtrise de ses impacts sociaux, économiques, culturels ou stratégiques. Cette scorie de croissance impose aujourd’hui des contraintes inédites telles que l’usage forcé de certaines applications, les incitations à l’abandon des droits à la vie privée ou l’omniprésence des contenus sponsorisés. Ce phénomène s’explique par l’intégration verticale et horizontale des plateformes et les effets de réseau, mais également par une logique économique propre au numérique où les coûts marginaux de distribution sont nuls. En s’affranchissant des règles de compétition ouverte ou d’interopérabilité, certains acteurs créent un environnement dont les politiques d’innovation doivent nous permettre de sortir pour rétablir une approche systémique de conformité. La construction de ces capacités exige une accélération synchronisée avec celle de l’écosystème mondial, et c’est cette nécessité de bâtir nos moyens tout en restant dans la course qui justifie un effort d’innovation permanent pour répondre aux vulnérabilités systémiques. Le plan France 2030 s’inscrit précisément dans cette démarche puisqu’en tant que politique publique globale mobilisant l’ensemble des services de l’État, il contribue à la réduction des dépendances numériques à travers une palette d’outils allant de la recherche fondamentale au premier déploiement. Cette approche, saluée notamment par l’OCDE, se distingue par son intégration sur tout le cycle de l’innovation, une vigilance sur les dépendances documentées dans les projets et une gouvernance interministérielle garantissant la cohérence de l’action publique. Sa doctrine de prise de risque et d’impact transformant produit des résultats marquants puisque les projets financés affichent des performances dix fois supérieures à la moyenne nationale en termes de publications, avec des taux de conversion vers les brevets ou les start-up atteignant 20 %. L’effet de levier sur l’investissement privé est tout aussi fort, puisque 40 % des entreprises lauréates font l’objet de réinvestissements.

Ainsi, en nous concentrant sur les technologies de rupture que sont l’intelligence artificielle, le quantique ou les neurotechnologies, nous préparons la société de demain. L’enjeu est de ne pas se laisser distancer et de maintenir la France et l’Europe en tête de cette compétition mondiale. Sur ces sujets stratégiques, nos initiatives sont observées avec la plus grande attention par l’ensemble des acteurs mondiaux, y compris les géants actuels du numérique.

M. Aurélien Taché, président. Vous l’avez tous évoqué dans vos introductions, le paysage numérique a fortement évolué depuis 30 ans pour devenir un secteur absolument clé de notre économie. Pour autant, il semble quelque peu noyé dans la catégorie plus large des services. Pensez-vous que cette non-distinction a pu contribuer au fait que, jusqu’à une période très récente, nous ayons très peu discuté de notre dépendance quasi exclusive à des logiciels américains ? L’expression de « colonie numérique des États-Unis » est parfois employée pour décrire la situation française. On parle beaucoup du déclin de l’industrie, mais très peu de celui du numérique, alors même que c’est un secteur extrêmement stratégique, avec des spécificités comme les lois extraterritoriales qui permettent aux États-Unis de puiser dans nos données si nous recourons à leurs solutions.

M. Thomas Courbe. Force est de constater que la conscience des dépendances numériques demeure encore partielle au sein des débats européens. Si la France est sans doute l’État membre qui affiche l’ambition la plus résolue pour réduire ces vulnérabilités, la réalité des négociations avec la Commission et nos partenaires révèle un paysage contrasté. En effet, bien que la dépendance elle-même ne soit généralement pas contestée dans les faits, sa perception en tant que problème stratégique n’est pas uniformément partagée, et certains États membres ne considèrent pas qu’elle constitue un enjeu majeur.

Cette prise de conscience, bien que globale et récente, progresse néanmoins parmi nos partenaires. Les débats mondiaux autour du concept de kill switch, cette capacité d’interrompre l’accès à des services numériques par une décision politique, ont notamment fait mûrir la réflexion de plusieurs États. Pour autant, la France doit encore déployer des efforts considérables dans chaque négociation européenne pour faire avancer les sujets essentiels que sont la sécurité des données, l’égalité de traitement ou la régulation de la concurrence.

Quant à l’opportunité de comptabiliser séparément le secteur numérique dans les indicateurs, une telle mesure ne répondrait qu’en partie au défi posé. Un effort substantiel de convergence avec nos partenaires européens reste impératif pour que l’évolution du cadre réglementaire, les mécanismes de financement et la politique industrielle soient à la hauteur des enjeux soulevés. Si nous partageons pleinement vos préoccupations, force est de reconnaître qu’elles ne font pas encore l’objet d’un consensus total au sein de l’Union européenne.

M. Florent Kirchner. Je considère que l’idée de « dividende de la paix » a largement favorisé l’ouverture internationale et la mondialisation des chaînes de production. Le numérique a longtemps été traité comme un simple intrant industriel, mais une telle approche revient à méconnaître profondément la nature spécifique du numérique et ses différences fondamentales avec les biens matériels.

La prise de conscience que le numérique ne s’apparente pas à une simple commodité importée s’est opérée, notamment, sous la menace très réelle de l’activation du kill switch. Cette évolution doit désormais pénétrer tous les niveaux de décision et ne pas rester cantonnée à la sphère politique. Il est impératif de porter ce sujet dans un domaine éminemment complexe, trop longtemps perçu comme une affaire de techniciens relégués aux fonctions supports pendant que les comités exécutifs décidaient de la stratégie. Cette organisation n’est plus viable et si des changements sont déjà perceptibles dans le secteur de la cybersécurité, l’État doit continuer d’envoyer un signal fort pour généraliser cette prise de conscience.

Mme Cyrielle Chatelain, rapporteure de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Pour m’inscrire dans la continuité de nos échanges, je souhaiterais revenir sur la difficulté d’harmoniser la perception de la souveraineté au sein de l’espace européen. Vous avez mentionné le groupe de travail franco-allemand dont la vocation est de soumettre des propositions à la Commission mais, vus de l’extérieur, nos deux pays ne semblent pas encore partager une définition commune de cette souveraineté. Est-ce là une perception erronée de la situation ? Dans quelle mesure estimez-vous possible d’aboutir à une proposition conjointe qui intégrerait une définition robuste de la souveraineté, incluant notamment une immunité face aux législations extraterritoriales, qu’elles soient américaines ou chinoises ?

M. Thomas Courbe. Il convient de distinguer les deux enjeux que vous soulevez : la protection des données et la préférence européenne. Sur le premier point, qui fait l’objet de négociations de longue date, notamment autour de la certification européenne de cybersécurité pour les services cloud (European Union cybersecurity certification scheme on cloud services, EUCS), nous constatons qu’un effort de conviction substantiel reste à mener. La nécessité de prévoir un cadre contre les accès extraterritoriaux demeure un sujet de débat vif entre États membres. Si l’enjeu juridique nous semble gérable, le fond du problème est d’ordre politique puisque certains de nos partenaires, soucieux de préserver leur relation avec le gouvernement américain, craignent de créer un contentieux. Bien que la prise de conscience progresse, elle ne s’est pas encore traduite par une majorité en faveur d’un cadre juridique inspiré des principes de la certification française SecNumCloud. Nous restons toutefois déterminés et mobilisons toute notre énergie dans cette négociation, qui devra aboutir lors de la révision du Cybersecurity Act et du futur paquet sur la souveraineté numérique.

Concernant le second sujet, nous espérons faire intégrer la définition d’un « service numérique européen ». La Commission prévoit de proposer la notion de « service numérique souverain », qui ne recouvre pas exactement les mêmes réalités. Dans le cadre du groupe de travail franco-allemand, nous avons proposé de définir le service européen par l’origine de sa valeur ajoutée. L’idée n’est pas d’introduire une nationalité d’entreprise mais d’évaluer, comme pour les biens matériels, la localisation de la valeur produite en Europe. Ces travaux sont actuellement soumis à l’arbitrage du gouvernement allemand. Notre objectif est d’assurer la cohérence entre ces différentes définitions pour que le cadre européen permette, à terme, d’instaurer une préférence européenne sur certains services critiques. Cela concerne tant la protection des données les plus sensibles que la garantie de continuité de services ne devant pas pouvoir être interrompus par une puissance étrangère. Les propositions que la Commission formulera à la fin du mois seront déterminantes pour engager une discussion plus détaillée.

Mme Cyrielle Chatelain, rapporteure. Je souhaite ensuite aborder la suite du sommet sur l’IA et la question des investissements dans les centres de données. Alors que 109 milliards d’euros ont été engagés, parvenons-nous à suivre concrètement la réalisation de ces projets et l’état d’avancement des projets ? Disposons-nous d’une visibilité sur la part de ces infrastructures détenue ou opérée par des acteurs européens ? Il serait intéressant de savoir quel pourcentage d’entreprises européennes y sont clientes ou y stockent leurs données, car la diversité des projets est forte, particulièrement dans le domaine de l’IA où le monopole est marqué. En somme, ces nouvelles capacités bénéficient-elles principalement aux géants américains ou parvenons-nous à garantir une part substantielle aux acteurs européens ?

Ma deuxième question concerne les dispositifs de soutien. Au-delà des investissements annoncés, existe-t-il des outils d’accompagnement spécifiques ou des fonds publics, français comme européens, et ces aides sont-elles assorties de conditionnalités particulières ?

J’aimerais enfin vous interroger sur l’enjeu énergétique. Dans son avis de décembre 2025, l’Autorité de la concurrence a identifié un risque de verrouillage du marché par les hyperscalers, qui pourraient réserver des capacités électriques au-delà de leurs besoins réels. Partagez-vous ce diagnostic et, le cas échéant, comment pouvons-nous contrer de telles stratégies de préemption ?

M. Aurélien Taché, président. Juste un complément sur la question des centres de données. Au regard des divergences de vues que vous évoquiez entre la France et l’Allemagne sur notre dépendance au numérique américain, peut-on considérer que ce désaccord explique l’absence de fonds européens dédiés au financement de ces infrastructures ?

M. Thomas Courbe. Ce plan est déployé depuis février 2025 et notre visibilité sur les trois points soulevés est variable. Si nous identifions désormais clairement les porteurs de projets de centres de données, notre vision de la chaîne de valeur est plus diffuse, et celle de la clientèle finale reste encore à préciser. Sur les 109 milliards d’euros annoncés, environ 90 milliards sont dédiés aux centres de données. Pour ces derniers, les trois quarts des projets disposent d’une première tranche sécurisée et bien qu’un acteur important se soit retiré, l’essentiel de ces chantiers se concrétise grâce à la mobilisation des services de l’État, des collectivités et de RTE. Si l’on dénombre beaucoup d’acteurs étrangers, des entreprises françaises majeures interviennent également, soit comme investisseurs, soit comme opérateurs.

Sur la production des centres de données, la visibilité est moindre car les mises en compétition de fournisseurs n’ont pas toujours eu lieu. Nous savons cependant que des entreprises françaises ont des offres très compétitives sur la construction, les équipements électriques et les systèmes de refroidissement. Certains composants du système numérique lui‑même peuvent aussi être fournis par des acteurs français. Le potentiel est donc significatif et nous essayons de l’encourager dans la mesure du possible.

L’évaluation de la clientèle finale constitue la partie la plus complexe à ce stade. La plupart des projets prévoient des contreparties, telles que l’accès à la capacité de calcul pour les PME ou la recherche, mais la répartition exacte demeure difficile à établir. À cet égard, le programme européen AI Gigafactory joue un rôle clé en orientant, par des financements publics, ces capacités vers des besoins stratégiques. Cela démontre d’ailleurs qu’il n’existe pas d’opposition frontale entre la France et l’Allemagne puisque nos deux pays soutiennent cette initiative et ont tiré des conclusions communes lors du sommet sur la souveraineté numérique européenne en novembre dernier, même si les négociations globales ne sont pas encore totalement abouties. Pour l’immense majorité de ces 90 milliards d’euros, il s’agit de fonds privés ne nécessitant pas de soutien public. Nous sommes convaincus que l’aide de l’État doit rester limitée à des finalités bien identifiées. L’accompagnement a donc été plus administratif que financier, ce qui a permis un déploiement particulièrement rapide.

Enfin, la question de la réservation des capacités énergétiques fait l’objet d’une attention soutenue. RTE a déjà pris des mesures techniques pour limiter les réservations excessives, et une consultation est en cours pour réformer les modalités d’attribution de la puissance. L’objectif est de passer du principe du « premier demandeur, premier servi » à celui du « premier prêt, premier servi », sous l’égide de la Commission de régulation de l’énergie (CRE). Par ailleurs, les acteurs de plus petite taille sont préservés de tout effet d’éviction par les très grands projets, car ils sont majoritairement raccordés au réseau de distribution et non au réseau de transport.

Mme Cyrielle Chatelain, rapporteure. Avons-nous une visibilité sur les acteurs qui portent ces très grands projets aujourd’hui ?

M. Thomas Courbe. Je pourrai vous en adresser la liste dans le cadre du questionnaire mais, pour en citer quelques-uns, on peut mentionner MGX, qui porte le projet le plus important en taille, ainsi que Brookfield avec Data4, qui est un acteur français. C’est un exemple où un investisseur, Brookfield, confie la réalisation du projet à Data4, une entreprise française spécialisée. On peut également citer Iliad, qui est à la fois investisseur et opérateur pour les besoins de son futur centre de données.

Mme Cyrielle Chatelain, rapporteure. Je voudrais passer à la question de la capacité d’investissement et des failles possibles dans l’accompagnement des projets, qui amènent un certain nombre d’acteurs français ou européens à être rachetés ou financés majoritairement par des acteurs américains. Quelles sont tout d’abord vos recommandations pour structurer cette capacité d’investissement au niveau européen ? Quelle est par ailleurs votre position sur le remboursement des aides publiques, comme le crédit d’impôt recherche, lorsqu’une entreprise est rachetée par des acteurs américains ? Enfin, certains acteurs de start-up ont l’impression que, lorsqu’ils sont en phase d’accélération, ils sont financés par des acteurs européens dont l’objectif est de réaliser une plus-value en les revendant à des Américains. Certains nous ont dit avoir mis dans leurs contrats des clauses prévoyant une sorte d’autodissolution de la structure en cas de rachat par des Américains. Est-ce que ce sont des clauses qui vous semblent intéressantes à généraliser pour garantir une certaine maîtrise sur ces rachats ?

M. Thomas Courbe. Le déficit massif de capital-risque privé en Europe est un fait largement documenté, dont les causes sont multiples. Pour y remédier, nous sommes convaincus de la nécessité d’une approche globale, agissant de front sur la mobilisation prudentielle des capitaux et sur l’orientation des investissements privés à travers des initiatives publiques. L’initiative Tibi a déjà produit d’excellents résultats et nous entrons désormais dans une phase d’européanisation, marquée notamment par le lancement d’un fonds par la Commission. En France, si l’amorçage et le stade A sont relativement bien pourvus par le marché privé, les difficultés apparaissent lors des phases de croissance, aux stades B et C. C’est précisément sur ce segment que nous concentrons nos efforts, car cette faille de marché influence directement les choix stratégiques des entreprises, et singulièrement leur localisation. Plusieurs leviers sont aujourd’hui mobilisés pour créer un effet de levier sur les financements privés : le dispositif Tibi, le nouveau fonds de croissance de la Commission, qui apportera pour la première fois des financements publics significatifs, ainsi que la deuxième étape de l’initiative champions technologiques européens (European Tech Champions Initiative, ETCI). Nous espérons que cela permettra de créer un effet de levier sur les financements privés.

Concernant la question des rachats, il est fréquent que nos entreprises prometteuses se développent grâce à des capitaux non européens lors de leurs phases de croissance, l’essentiel étant de garantir le maintien de leur empreinte en Europe et en France. Pour les entités stratégiques, notre action vise prioritairement à sanctuariser sur notre territoire les instances de décision, la recherche et développement, la propriété intellectuelle et les infrastructures critiques. Cet ancrage local prévaut sur la nationalité des capitaux. Compte tenu de la persistance de la faille de marché, renoncer aux financements de pays tiers serait contre-productif et condamnerait ces entreprises à l’arrêt. Lorsque les dossiers sont particulièrement sensibles, notre cadre juridique de contrôle des investissements étrangers nous permet d’imposer des conditions de localisation, un outil que nous utilisons de manière très volontariste.

Enfin, la question de la conditionnalité des aides publiques fait l’objet de travaux en cours, intégrant notamment les récentes réflexions parlementaires, bien qu’aucune décision ne soit encore arrêtée. Il convient toutefois de rappeler que ces aides sont allouées avec l’objectif précis d’achever une phase de recherche ou d’implanter une usine en France. Cette finalité doit rester prioritaire. L’ajout de conditions supplémentaires risquerait d’amoindrir l’attractivité du dispositif ou d’entraver le développement de l’entreprise. D’un point de vue économique, il me semble donc préférable de préserver un lien direct entre l’aide et sa vocation première, qui est de permettre la croissance des entreprises sur le sol français.

M. Benjamin Delozier. Je souhaite apporter un complément sur le risque d’instrumentalisation des centres de données à des fins de verrouillage concurrentiel. Je rejoins pleinement l’analyse de la DGE : l’enjeu réside dans la transition d’une logique de « premier payeur, premier servi » vers un principe de « premier prêt à déployer, premier servi ». Il faut garder à l’esprit que ce risque de verrouillage par les hyperscalers concerne l’ensemble des intrants critiques de l’intelligence artificielle et qu’au-delà des centres de données et de l’énergie, il s’étend également aux talents ou encore aux puces.

Concernant le financement, je partage le constat selon lequel les principales difficultés de nos start-up technologiques dans leur passage à l’échelle se concentrent sur le late stage, malgré le dynamisme de notre écosystème entrepreneurial. Pour y répondre à l’échelle nationale, l’initiative Tibi, coordonnée par la direction générale du Trésor depuis 2020, mobilise l’épargne des investisseurs institutionnels français vers ce segment. Ce dispositif repose sur l’homologation de fonds spécialisés répondant à un cahier des charges exigeant, ce qui favorise l’acculturation des investisseurs à cette classe d’actifs. Les résultats sont probants puisqu’en 2026, l’initiative a mobilisé plus de 14 milliards d’euros d’investissements privés, avec un objectif porté à 15 milliards. Sur les 160 fonds homologués, une majorité se consacre au capital-croissance et à la deep tech, secteur qui capte désormais 27 % des investissements (biotech, énergie, cybersécurité, IA ou quantique) et a permis de décupler la part des levées de fonds en phase de scale-up. La deuxième phase, déployée entre 2023 et 2026, a élargi son périmètre à l’early stage ainsi qu’aux transitions écologique et numérique, avec plus de 7 milliards d’euros investis dès la fin 2025. Cette ambition s’est européanisée en 2026 par le lancement d’une plateforme commune franco-allemande, puis paneuropéenne, visant à structurer un marché de capitaux plus profond.

Au niveau européen, d’autres instruments suivent cette logique, notamment l’ETCI. Ce fonds de 3,75 milliards d’euros, soutenu par la Banque européenne d’investissement et plusieurs États membres, bénéficie largement à la France : six fonds nationaux ont déjà été sélectionnés pour plus d’un milliard d’euros, leur faisant gagner deux à trois ans de croissance grâce à des tickets d’investissement massifs. L’ETCI s’intègre plus largement dans les réflexions sur l’union de l’épargne et de l’investissement. Enfin, conformément aux recommandations du rapport Noyer-Kukies remis en janvier dernier, les discussions techniques pour le lancement d’une phase ETCI 2.0 sont en cours, le Fonds européen d’investissement prévoyant un déploiement dès le courant de l’année 2026.

Mme Cyrielle Chatelain, rapporteure. J’ai plusieurs questions sur l’intelligence artificielle et l’intérêt des solutions intégrées. Dans votre propos liminaire, vous sembliez préconiser, pour une entreprise, le recours à de telles solutions. Je m’interroge sur l’existence d’études établissant un lien entre l’adoption de solutions intégrées et la productivité. Au-delà de la facilité d’utilisation, dispose-t-on d’études sur l’intérêt économique concret de ces outils pour une entreprise ?

De même, concernant l’IA, vous avez évoqué son déploiement au sein des entreprises, notamment des PME. À ce stade, les études indiquent qu’il n’existe pas encore de retour sur investissement tangible. Disposez-vous d’éléments démontrant un retour sur investissement pour les entreprises qui ont déjà procédé à un déploiement ? Je précise qu’il s’agit de l’IA générative, un type d’IA très particulier fondé sur les grands modèles de langage (LLM), et non de l’IA spécifiquement conçue pour une entreprise.

Enfin, que ce soit pour l’IA ou pour les solutions bureautiques intégrées qui interagissent avec le cloud, la question des données et de leur protection est centrale. Quel accompagnement ou quels conseils fournissez-vous aux entreprises pour les sensibiliser au risque que représente le stockage de leurs données sur un cloud comme celui de Microsoft ? Ces données peuvent en effet être utilisées ou consultées par un acteur tiers, ce qui soulève le spectre de l’espionnage industriel. Menez-vous des actions de sensibilisation sur ces enjeux auprès des entreprises que vous accompagnez ?

M. Thomas Courbe. Les besoins des entreprises en matière d’intelligence artificielle se répartissent en trois catégories. On distingue d’abord les outils généralistes, tels que les agents conversationnels ou les fonctions de transcription, dont l’usage est universel. Viennent ensuite les services spécialisés, segment sur lequel l’écosystème français s’illustre particulièrement, notamment à travers des offres juridiques en mode software as a service (SaaS). Enfin, le sur-mesure répond à des fonctions spécifiques, un domaine où des acteurs comme Mistral AI déploient de nombreuses prestations. Si les deux premières catégories s’adaptent naturellement aux petites entreprises, la troisième s’adresse davantage aux grands groupes.

En l’absence d’études macroéconomiques globales, nous élaborons un catalogue de solutions pour favoriser la diffusion de l’IA dans les entreprises. Ce répertoire, axé sur les usages universels et les besoins des petites structures, évalue systématiquement le retour sur investissement éprouvé par les clients. Bien que cette approche soit par nature microéconomique, elle met en lumière des services générant une valeur ajoutée concrète, mesurée directement par les utilisateurs. Nous pourrons bien entendu vous transmettre ce document qui détaille les performances solution par solution. Pour illustrer cette dynamique, certains cabinets d’avocats ont chiffré précisément le gain d’heures de travail permis par les outils juridiques. De même, des travaux menés avec l’Union nationale des professions libérales (UNAPL) ont permis à des médecins d’expérimenter l’assistance à la rédaction de comptes rendus. Là encore, les gains de temps quantifiés sont très significatifs. Ces exemples démontrent que des solutions d’IA accessibles et faciles à mettre en œuvre apportent des bénéfices immédiats, y compris pour les très petites entreprises.

M. Benjamin Delozier. Pour compléter sur les études et les effets sur la productivité, sur le plan macroéconomique, nous sommes encore clairement dans une phase d’estimation ex ante. Nous évaluons les gains macroéconomiques qui pourront être tirés de l’IA à partir d’observations microéconomiques, mais nous ne les observons pas encore directement. Nous pensons que ces gains pourront être importants, bien que l’estimation reste comprise dans une fourchette très large, qui dépendra des cas d’application rendus possibles et des taux de diffusion de l’intelligence artificielle.

Sur le plan microéconomique, nous disposons de nombreuses études sur les gains de productivité à l’échelle des tâches. Nous constatons que la diffusion de l’IA dans certaines professions a des effets mesurables et quantifiables sur la productivité d’un travailleur donné dans un contexte spécifique, souvent dans le secteur des services. Ce qui ressort fréquemment, c’est que les gains de productivité les plus importants sont observés chez les travailleurs les moins expérimentés. Par exemple, un jeune avocat bénéficiera de gains de productivité considérables en utilisant une IA générative, car il n’a pas encore toute la jurisprudence en tête et l’outil l’aide à avancer rapidement. En revanche, un avocat ayant vingt ans d’expérience en tirera moins de bénéfices. Cela soulève des questions sur les effets sur le marché du travail. Les jeunes, qui enregistrent les plus grands gains de productivité grâce à l’IA, sont aussi probablement plus substituables à celle-ci. Cela pose donc des questions sur l’intégration des jeunes sur le marché du travail. Nous avons publié une partie de cette revue de littérature en 2024 dans un numéro de Trésor-Éco et nous pourrons vous transmettre le complément des études parues depuis.

M. Florent Kirchner. D’un point de vue plus prospectif, il faut garder à l’esprit que dans l’adoption des technologies, on commence par utiliser un nouvel outil pour faire ce que l’on sait déjà faire, avant d’inventer de nouveaux usages. Dans le cadre du plan France 2030, nous avons précisément des dispositifs qui visent à explorer les nouveaux usages des IA génératives, en encadrant cette exploration et en observant l’émergence de ces nouveaux usages. Cela va jusqu’à des dispositifs comme « Pionniers de l’IA », où nous encourageons activement les acteurs à repenser le geste professionnel en y intégrant l’IA. Il ne s’agit pas simplement de remplacer une démarche existante, mais de redéfinir la finalité recherchée.

Cette démarche fait le lien avec votre question sur la protection des données. Dans le cadre de l’accompagnement des projets d’innovation, nous agissons sur deux plans. Nous finançons tout d’abord des projets de recherche et d’innovation sur les nouvelles techniques de protection des données, en particulier dans des contextes où le partage de données est nécessaire mais où les niveaux de confiance et de contrôle d’accès sont difficiles à maîtriser. L’appel à projets sur les technologies innovantes et critiques, par exemple, s’est spécifiquement focalisé sur la protection des données, qu’elles soient en mouvement, en cours de calcul ou stockées. L’instruction des projets que nous soutenons examine en outre systématiquement où sont stockées les données et quels moyens sont mis en œuvre par les porteurs de projet pour atténuer les risques liés à l’accès et à la protection de ces données.

Mme Cyrielle Chatelain, rapporteure. Je poursuis sur ce sujet, car la mesure de l’impact de l’IA revêt plusieurs dimensions. Concernant la productivité, on observe donc des gains de temps individuels qui, à ce stade, ne se traduisent pas en retour sur investissement pour l’entreprise. Il serait intéressant d’analyser si ce gain de temps a d’autres effets plus structurels, que ce soit en termes de qualité de vie pour les salariés ou de retour sur investissement différé.

Sur le sujet des compétences, l’exemple que vous donniez sur les juniors est pertinent. Étudie-t-on l’impact à long terme sur la construction des compétences stratégiques si les juniors ne réalisent plus certaines tâches fondamentales, désormais automatisées ?

Ma deuxième question concerne le risque de verrouillage économique. De nombreuses auditions ont alerté sur la dépendance vis-à-vis des prestataires : lorsqu’une entreprise bâtit son architecture informatique autour d’un fournisseur unique, les coûts de sortie deviennent prohibitifs, la rendant captive d’éventuelles hausses tarifaires. Dans la mesure où l’IA impose de repenser l’infrastructure même des organisations, ce risque de verrouillage semble appelé à s’intensifier. Travaillez-vous sur ces enjeux ? Cela m’amène également à vous interroger sur le degré de conscience des entreprises face aux risques liés à la protection de leurs données.

S’agissant ensuite de la balance économique du secteur, le Cigref évalue à 264 milliards d’euros le montant versé aux acteurs américains pour les services de cloud à l’échelle européenne. Disposons-nous d’un chiffrage équivalent pour la France, agrégeant les acteurs publics et privés ? Par ailleurs, la question de la valeur ajoutée conservée en Europe m’amène à vous interroger sur le rôle de l’Irlande. Ce pays est souvent décrit soit comme la porte d’entrée des big tech sur le continent, soit comme une voie de sortie pour la valeur créée. Quel est votre avis sur ce sujet ?

Je souhaiterais enfin savoir quels outils numériques vous utilisez vous-même au quotidien, qu’il s’agisse de votre suite bureautique, de votre système d’exploitation ou de vos solutions de cloud.

M. Aurélien Taché, président. L’Irlande est en effet un pays perçu comme un point d’entrée pour les big tech. Disposez-vous d’une évaluation de la perte de valeur générée par notre dépendance à ces sociétés extra-européennes qui y sont basées, profitant du taux d’impôt sur les sociétés le plus bas d’Europe ?

M. Thomas Courbe. Le risque de verrouillage nous semble comparable à celui observé dans les autres segments du numérique. La réponse réside donc dans le cadre juridique que nous avons mis en place, notamment le DMA, pour lutter contre ces effets. Une partie des risques de verrouillage liés à l’IA peut être traitée par le DMA, mais tout dépendra de sa mise en œuvre. À cet égard, les résultats des deux enquêtes menées par la Commission sur le cloud dans le cadre du DMA seront un indicateur de sa capacité à appliquer ce règlement de manière volontariste.

Concernant la sécurité des données, le sujet comporte plusieurs facettes. Pour une entreprise, le premier enjeu est celui de la cybersécurité, en vérifiant qu’elle a pris les mesures adéquates. Pour le reste, notamment la protection des données contre les menaces extraterritoriales, la nature du problème est la même que pour les politiques de sécurité des données en général. Il existe en France 17 offres certifiées SecNumCloud, qui assurent le plus haut niveau de protection, aussi bien sur le plan de la cybersécurité que de l’accès extraterritorial aux données. Nous incitons les entreprises à intégrer cette dimension et à recourir à des solutions SecNumCloud pour leurs données les plus sensibles, à l’image de ce que la loi « sécurité et régulation de l’espace numérique » (Sren) impose désormais à l’État pour ses propres données. Nous soutenons par ailleurs l’initiative privée d’indicateurs de résilience, qui doivent permettre à chaque entreprise d’évaluer sa dépendance à des solutions étrangères. Nous établissons, avec l’Observatoire de la souveraineté numérique, une mesure équivalente au niveau national qui nous fournira des indicateurs objectifs de ces niveaux de dépendance.

Sur la taille du marché du cloud, il est difficile d’obtenir des chiffres précis. Les estimations varient selon les périmètres, mais celle de 50 milliards d’euros pour le marché français est un ordre de grandeur plausible. La part de marché de 80 % attribuée aux acteurs américains par le Cigref lors de vos auditions nous semble également correcte en ordre de grandeur. Pour obtenir une approximation, on peut donc appliquer ce ratio de 80 % aux 50 milliards.

M. Benjamin Delozier. Votre première question sur la construction des compétences est tout à fait pertinente. Bien que la littérature sur le sujet soit encore balbutiante, le risque est réel : déléguer à l’IA des tâches que l’on aurait accomplies soi-même, et qui constituent le socle de l’apprentissage, est susceptible de ralentir le développement des savoir-faire. À l’inverse, l’IA peut aussi agir comme un accélérateur de compétences. Des études démontrent toutefois que l’utilisation passive de l’outil limite l’apprentissage par rapport à une production autonome. Il s’agit là d’un point de vigilance crucial, car il conditionnera directement les gains de productivité futurs.

Pour répondre à votre dernière interrogation, nous utilisons au quotidien la suite Microsoft. Nous disposons également d’outils interministériels développés par la direction interministérielle du numérique (Dinum), notamment la messagerie sécurisée Tchap, ainsi que d’un assistant d’intelligence artificielle reposant sur un modèle conçu par Mistral AI.

M. Florent Kirchner. Sur l’enjeu prospectif des compétences à long terme, et pour utiliser une analogie, il ne s’agit pas tant de former des cochers de calèches seniors à un métier qui disparaît, mais de prendre acte que l’invention de l’automobile transforme la nature même de leur activité. Cette métaphore illustre la nécessité d’anticiper des mutations profondes qui toucheront non seulement l’économie, mais aussi l’essence même des métiers et de ceux qui les exercent. À l’avenir, nous aurons besoin de moins de cochers et de davantage de conducteurs. La question centrale est donc de savoir comment former à la conduite de ce nouvel outil que représente un numérique enrichi par l’IA, et quelles compétences cognitives spécifiques il convient de développer pour y parvenir. Dans cette optique, nous mobilisons l’un des volets du plan France 2030 dédié aux compétences et métiers d’avenir. À travers des efforts transversaux, nous veillons à ce que les projets porteurs de ces nouvelles compétences intègrent une réflexion sur l’impact de l’IA dans les processus d’apprentissage, afin de préparer au mieux l’évolution des savoir-faire de la population française.

Enfin, pour répondre à votre dernière question, les services du Premier ministre ainsi que ceux de Bercy sont équipés d’ordinateurs fonctionnant sous Windows. Nous avons par ailleurs accès à la suite numérique de la Dinum, incluant l’assistant IA et la messagerie Tchap.

M. Aurélien Taché, président. Vos réponses étaient extrêmement précises et précieuses. J’ai noté qu’une contribution écrite pourrait nous être envoyée en complément des questions de la rapporteure.

* *

Audition, ouverte à la presse, de M. Luca Belli, professeur de gouvernance et régulation numériques à la fondation Getulio Vargas de Rio de Janeiro (jeudi 7 mai 2026)

M. Aurélien Taché, président. Le sujet des vulnérabilités est central et le modèle brésilien me semble, à titre personnel, inspirant dans sa manière de gérer la relation aux puissances étrangères ainsi qu’aux Gafam. Peut-être pourrez-vous nous parler de l’exemple de X en particulier.

La diffusion massive d’appels à la haine et de fausses informations sur les réseaux sociaux a joué un rôle clé dans l’attaque de la place des Trois Pouvoirs par des militants d’extrême droite, le 8 janvier. Selon vous, cet événement a-t-il provoqué une prise de conscience quant à la nécessité de réguler les grandes plateformes ? Pourriez-vous nous indiquer les différentes mesures que le président Lula a mises en œuvre à cette occasion, au travers de l’agenda numérique du Brésil ?

M. Luca Belli, professeur de gouvernance et régulation numériques à la fondation Getulio Vargas de Rio de Janeiro. C’est un honneur de participer à cette audition. Je souhaiterai, par la suite, exposer nos recherches sur la souveraineté numérique et les dépendances nées ces huit dernières années, selon une approche qui dépasse le cadre législatif. Au-delà de la régulation pure, nous intégrons en effet les politiques industrielles et la gouvernance pour compléter le modèle régulatoire classique.

Pour commencer par vos questions, concernant les événements du 8 janvier, s’ils marquent indéniablement un tournant pour la République brésilienne, il est discutable d’y voir le déclencheur d’une régulation structurante des contenus numériques. Certes, l’exécutif a souhaité refondre le cadre juridique pour accroître la régulation des plateformes, dans la lignée de la proposition de loi 2630 de 2020 sur les fake news, qui prévoyait des obligations de transparence algorithmique et de diligence renforcée. Toutefois, l’analyse des dynamiques institutionnelles impose la nuance, car ce texte manque de soutien au Congrès national. Une convergence d’intérêts lie les grandes technologies à de nombreux parlementaires, qui voient dans les réseaux sociaux un puissant levier électoral. Le lobbying intense des entreprises du secteur, comme Google dénonçant une « législation de censure », illustre un manque de résilience face aux stratégies de désinformation et d’influence. Notre analyse de la souveraineté numérique évalue précisément cette résilience à la manipulation cognitive et les risques systémiques des recommandations algorithmiques. Ces pressions ont fortement pesé sur les décideurs publics, puisque l’unique avancée effective reste l’adoption de l’ECA Digital pour la protection des mineurs en ligne. Cette exception s’explique par le fait que ce type d’intervention bénéficie d’un consensus politique extraordinaire, car il serait politiquement suicidaire de s’opposer à la protection des enfants en ligne.

Parallèlement, après une décennie de débats, le Tribunal suprême fédéral (Supremo Tribunal Federal, STF) a joué un rôle déterminant en déclarant partiellement inconstitutionnel l’article 19 du « Marco Civil da Internet ». Ce texte subordonnait la responsabilité civile des intermédiaires à une décision judiciaire préalable, un modèle adapté à l’internet d’autrefois mais obsolète face aux risques systémiques actuels. Par cet arrêt, notre Cour suprême a en réalité rappelé au Congrès national son devoir de réguler les plateformes. Le STF a jugé ce régime absolu incompatible avec la protection des droits fondamentaux, soulignant qu’un délai moyen de neuf mois pour obtenir une injonction était inacceptable face à des contenus illicites ou des menaces de coup d’État. Cette décision a consacré une inflexion vers un modèle de responsabilité plus exigeant et un passage vers un devoir de vigilance proactif, proche de l’esprit du règlement sur les services numériques (Digital Services Act, DSA) européen, tout en laissant au législateur, encore inactif, le soin d’en définir le cadre détaillé.

Même si la posture assertive du STF a été essentielle lors des attaques de janvier 2023, elle demeure toutefois controversée. Elle s’inscrit notamment dans le contexte d’une enquête ouverte en 2019 sur la désinformation, dont le caractère extensif suscite des critiques quant au respect de la séparation des pouvoirs et de la sécurité juridique.

M. Aurélien Taché, président. Une décision du TSF a en effet marqué les esprits, le 30 août 2024, en ordonnant le blocage immédiat de X sur le territoire brésilien jusqu’à la suspension de certains comptes et au règlement d’amendes. Qu’est-ce qui a rendu une telle décision possible au Brésil, alors que tant d’autres juridictions peinent à s’imposer face aux géants du numérique ? Est-ce une mesure dont la France ou l’Europe pourraient s’inspirer et, selon vous, ce précédent constitue-t-il un point d’appui pour nos propres réflexions ?

M. Luca Belli. Il est nécessaire de distinguer le fondement juridique, le contexte et la mise en œuvre de cette décision pour mieux la comparer à la situation européenne. Au Brésil, la liberté d’expression est garantie par la Constitution, mais elle doit être conciliée avec la préservation de l’État démocratique de droit, la régularité du processeur électoral et la protection contre les discriminations. Contrairement aux affirmations d’Elon Musk, la liberté d’expression n’est nulle part absolue, et la jurisprudence du STF exclut d’ailleurs toute protection pour les contenus incitant à la violence ou menaçant l’ordre constitutionnel.

Dans le cadre des enquêtes sur les « milices numériques », la plateforme X a fait l’objet de sanctions prévues par le « Marco Civil da Internet ». Après avoir ignoré les mises en demeure de transmettre des informations essentielles à l’enquête sur le rôle des « milices numériques » dans les attaques de janvier 2023, l’entreprise a adopté une posture de confrontation ouverte avec les autorités judiciaires et politiques brésiliennes. La fermeture de ses bureaux et l’absence de représentant légal sur le territoire ont constitué une violation explicite de la loi sur la protection des données. Face à ce refus délibéré de se soumettre à l’ordre juridique national, le STF a appliqué la loi de manière stricte. Le processus a ainsi suivi les étapes légales : après le non-respect des mises en demeure et des amendes, l’article 12 du « Marco Civil » autorise la suspension temporaire de l’activité. Cette mesure a été exécutée par le biais d’injonctions adressées aux fournisseurs d’accès, à travers des blocages de DNS et d’adresses IP, sous la supervision du régulateur des télécommunications. L’impact a été significatif et la plateforme a finalement obtempéré après un mois de suspension, se remettant ainsi en conformité avec le droit brésilien.

En théorie, un mécanisme comparable pourrait exister dans l’Union européenne, mais dans des conditions différentes, en raison de garanties procédurales et institutionnelles spécifiques. Alors que le STF brésilien intervient directement par voie judiciaire pour protéger l’ordre démocratique, le modèle européen privilégie une régulation administrative centralisée autour de la Commission. Le DSA instaure un cadre graduel et rigoureusement encadré, loin de l’assertivité créative du juge brésilien. En vertu des principes de proportionnalité et de subsidiarité, la suspension d’une plateforme demeure une ultima ratio. Un tel dénouement exigerait des années de procédures, incluant injonctions de conformité, audits, sanctions financières et mesures de mitigation des risques. Sur le plan juridique, la protection de la liberté d’expression, garantie par la Charte des droits fondamentaux de l’UE et la Convention européenne des droits de l’homme, rendrait un blocage généralisé extrêmement délicat. La jurisprudence de la Cour européenne des droits de l’homme (CEDH), notamment l’arrêt Yıldırım concernant YouTube, souligne d’ailleurs le caractère souvent disproportionné de telles mesures.

En définitive, une restriction sévère ne pourrait être envisagée qu’en cas de cumul exceptionnel : refus systématique d’exécuter les décisions de justice, suppression de toute représentation légale en Europe et violations répétées du DSA doublées d’une défiance ouverte envers les autorités. Ce faisceau de conditions reste fort improbable au regard du cadre juridique européen, particulièrement contraignant pour l’action publique.

Mme Cyrielle Chatelain, rapporteure. Je souhaite tout d’abord revenir sur les impacts et les réactions suscités par cette suspension temporaire d’activité, tant chez les utilisateurs que du côté de la plateforme X, qui a finalement fini par se mettre en conformité.

Pourriez-vous également préciser la nature du lobbying mené contre la proposition de loi sur les fake news ? Il nous importe de mieux comprendre les risques liés à cette plateforme, ainsi que la teneur de la désinformation diffusée au Brésil.

M. Luca Belli. L’impact immédiat de cette suspension a été une migration des usagers, principalement vers LinkedIn pour les échanges professionnels et vers le réseau BlueSky, alors en plein essor, bien qu’on ne puisse parler d’une véritable substitution de X. Il convient ici de souligner la centralité des réseaux de l’entreprise Meta, notamment WhatsApp et Instagram, qui sont subventionnés de fait au Brésil comme dans la plupart des pays du Sud global. Cette situation nuit à la souveraineté numérique et facilite les manipulations en affaiblissant la résilience informationnelle de la population.

Bien que le Brésil ait consacré la neutralité d’internet dès 2014 dans son « Marco Civil da Internet », l’autorité de la concurrence a de fait autorisé le zero rating, soit la subvention d’applications spécifiques. Devenus de véritables infrastructures numériques privées, les réseaux du groupe Meta sont désormais essentiels au fonctionnement économique et social du pays. Or il est vain de réguler la modération ou de promouvoir le contrôle de la véracité des informations (fact-checking) si l’accès aux contenus de la population passe exclusivement par ces plateformes, et si la vérification d’une information hors de ces réseaux entraîne un coût pour l’usager.

Contrairement à l’Europe, où l’arrêt Telenor de la Cour de justice de l’Union européenne (CJUE) a limité ces pratiques, le Brésil les juge compatibles avec les forfaits prépayés utilisés par 78 % de la population. La majorité des Brésiliens dispose ainsi d’un accès illimité aux réseaux de Meta, principaux vecteurs de fake news, tandis que l’accès au reste d’internet demeure onéreux, un forfait illimité représentant 10 à 20 % d’un salaire minimum. Ces barrières infrastructurelles et économiques doivent impérativement être prises en compte pour élaborer une régulation efficace.

À l’inverse du Brésil, l’Inde a déclaré le zero rating illégal, ce qui a contraint les opérateurs à réduire leurs tarifs de 92 % en huit ans, augmentant la connectivité de 350 %. Ce succès a stimulé l’innovation nationale, car les services y sont choisis pour leur qualité et non par l’effet de stratégies de captation. Au Brésil, la dépendance envers Meta favorise la désinformation et la concentration des données. En intégrant nativement Meta AI à ses réseaux, le groupe s’assure en outre que 78 % des Brésiliens n’interagissent qu’avec son intelligence artificielle, l’entraînant quotidiennement avec leurs données.

C’est pourquoi les politiques industrielles brésiliennes, bien que positives, doivent s’attaquer à cette vulnérabilité systémique. Investir dans des capacités de calcul nationales est inutile si la population reste captive de Meta AI. Dans mes travaux, et notamment dans un rapport récent pour le ministère des sciences, de la technologie et de l’innovation, je propose non seulement un diagnostic des vulnérabilités et des atouts brésiliens, mais je souhaite aussi que la législation existante, comme la loi sur la protection des données, soit utilisée de façon plus décidée, conséquente et effective.

Mme Cyrielle Chatelain, rapporteure. Meta joue donc aujourd’hui un rôle extrêmement structurant. À votre avis, la décision concernant X a-t-elle pu être prise parce que cette plateforme n’était pas un opérateur aussi essentiel que Meta ? Si Meta venait à avoir le même type de comportement, les mêmes types de réactions seraient-elles possibles ?

M. Luca Belli. Il est complexe de se prononcer sur les conséquences d’un tel comportement de la part de Meta. L’entreprise, dans le cadre de son analyse de risque, privilégie une coopération avec les autorités judiciaires, adoptant ainsi une posture bien moins conflictuelle que celle de X. Ce scénario d’opposition frontale semble donc improbable. Meta garde par ailleurs en mémoire l’impact économique des blocages de WhatsApp en 2016 et 2017, qui avaient provoqué une migration massive vers Telegram et une perte substantielle de chiffre d’affaires. Consciente de ces enjeux, l’entreprise mesure parfaitement les risques encourus.

Mme Cyrielle Chatelain, rapporteure. Ce blocage était-il similaire, c’est-à-dire un blocage technique décidé par une cour de justice ?

M. Luca Belli. Oui, dans ce cas également, il s’agissait d’un blocage technologique ordonné par une cour de justice sur le fondement des normes précitées. C’est précisément cette possibilité qui incite WhatsApp à privilégier une posture coopérative avec les autorités judiciaires brésiliennes.

S’agissant d’une éventuelle mesure visant Meta, l’évaluation de la Cour suprême pourrait différer. Toutefois, au regard de l’assertivité du juge à l’origine du blocage de X, un tel scénario n’est pas totalement à exclure. Il demeure néanmoins fort improbable, car les réseaux sociaux opérant au Brésil choisissent aujourd’hui de respecter la législation. Ce choix relève d’une évaluation pragmatique du risque économique plutôt que d’une considération éthique : il est plus judicieux de se conformer à la loi que d’adopter une posture d’opposition frontale, dont le cas de X illustre de façon éloquente les conséquences.

Mme Cyrielle Chatelain, rapporteure. Ce qui semble vous conférer une certaine souplesse, sous réserve de votre confirmation, est la capacité d’une cour de justice à prononcer des sanctions dans le cadre d’enquêtes, contrairement au modèle administratif européen. Le débat politique sur le contrôle des plateformes paraît plus complexe au Brésil, freiné par le lobbying, hormis sur des sujets consensuels tels que la protection de l’enfance. La force du modèle brésilien résiderait donc dans l’application rigoureuse de la loi par les instances judiciaires.

S’agissant de la politique industrielle, vous avez souligné qu’elle parvenait davantage à fédérer les acteurs politiques. Pourriez-vous nous présenter les outils développés dans ce cadre, et nous préciser si l’open source ainsi que les logiciels libres occupent une place significative dans cette stratégie de soutien à l’innovation ?

M. Luca Belli. Votre observation est tout à fait exacte. Il est paradoxal de constater que si les autorités administratives indépendantes sont conçues pour agir avec expertise et neutralité face aux pouvoirs politiques et économiques, leur efficacité réelle est parfois idéalisée. Au Brésil, la vigueur de la régulation a été rendue possible par l’intervention du pouvoir judiciaire, là où des autorités administratives se montrent souvent plus prudentes, voire léthargiques, malgré leur mission originelle. Cette situation s’explique également par l’absence, à ce jour, d’un régulateur dédié aux plateformes. L’Autorité nationale de protection des données commence à peine à endosser ce rôle, à la suite de sa récente compétence pour la mise en œuvre de l’ECA Digital. Jusqu’alors, ce vide institutionnel laissait une grande marge de manœuvre aux acteurs du numérique, rendant ainsi nécessaire l’affirmation d’un pouvoir judiciaire plus assertif.

Mme Cyrielle Chatelain, rapporteure. Et sur la politique industrielle ?

M. Luca Belli. Le Brésil a historiquement été l’un des principaux promoteurs du logiciel libre, une stratégie que nous analysons dans nos travaux sur la souveraineté numérique au sein des Brics. Dès 2003, sous la première administration Lula, le pays a fait figure de pionnier en adoptant l’open source pour s’émanciper de la dépendance envers Microsoft. Cet engagement s’appuie sur l’atout juridique unique que constitue l’article 219 de la Constitution fédérale, qui érige l’autonomie technologique en objectif constitutionnel. À ma connaissance, aucun autre pays au monde n’inscrit une telle nécessité dans sa loi fondamentale. Toutefois, le Brésil n’est pas devenu un grand exportateur de technologies comme la Chine ou l’Inde. L’erreur a été de concevoir l’open source uniquement comme une solution à adopter, et non comme une technologie à produire. Or la souveraineté numérique ne peut se limiter à la régulation, elle exige de comprendre le fonctionnement technique et de développer des alternatives concrètes. Faute de cette vision, la politique de 2003 a été délaissée dès 2017, rendant aujourd’hui l’administration publique totalement dépendante des grands fournisseurs comme Google, Microsoft ou AWS. La comparaison avec le modèle chinois est ici intéressante puisque la Chine possède son propre système d’exploitation, Kylin, adopté par le gouvernement depuis 2003, et utilise l’open source comme un outil d’exportation de sa puissance technologique. Le Brésil, quant à lui, a cruellement appris que l’adoption sans production mène à une impasse.

Des perspectives encourageantes apparaissent néanmoins avec le plan pour l’intelligence artificielle de 2024 et la nouvelle politique industrielle, Nova Indústria Brasil, qui promeuvent des solutions systématiques, notamment l’architecture ouverte RISC-V pour la fabrication de processeurs, afin de briser l’hégémonie d’ARM ou de X86. Le gouvernement actuel soutient également la relance des centres publics de production de semi-conducteurs, qui avaient failli disparaître sous la précédente mandature.

Le principal défi reste cependant la fragilité liée aux cycles électoraux car contrairement à la Chine, qui bénéficie d’une stabilité structurelle, les politiques industrielles brésiliennes sont exposées aux changements de majorité. Cette instabilité politique constitue un risque majeur pour la continuité des efforts d’innovation et la réussite de l’autonomie technologique sur le long terme.

M. Aurélien Taché, président. Puisque nous abordons la politique industrielle, je souhaiterais rebondir sur le facteur politique que vous avez mentionné. Le Brésil, sous l’impulsion du président Lula, semble être le seul exemple récent de résistance efficace face à l’impérialisme numérique d’Elon Musk. Cependant, cette fermeté a entraîné des conséquences immédiates puisque les États-Unis ont imposé des droits de douane de 50 % au Brésil, officiellement pour un motif de « préoccupations sur la liberté d’expression » à la suite des décisions de la Cour suprême, tout en menaçant de mesures de rétorsion en cas de régulation des grandes plateformes. Ces pressions ont-elles eu un effet dissuasif ? Enfin, comment se prémunir contre de telles sanctions, alors que l’extraterritorialité du droit américain suscite de vives inquiétudes aussi bien en France qu’au Brésil ?

M. Luca Belli. Les pressions, particulièrement intenses au cours de cette dernière année, ont effectivement produit un effet dissuasif, sur une partie au moins du système politique brésilien. Elles ont notamment contribué à renforcer la prudence du Congrès national face aux initiatives de régulation et ont consolidé un discours selon lequel une régulation plus contraignante pourrait entraîner des coûts économiques et diplomatiques significatifs.

Je perçois toutefois quelque chose de positif dans cette posture agressive, volatile et imprévisible des États-Unis. L’effet principal de cette pression ne réside finalement pas dans la menace directe, mais dans ce que l’on pourrait appeler un wake-up call, un réveil de la classe politique qui a enfin compris le coût et le risque de cette dépendance structurelle.

Je souhaiterais souligner ici un succès majeur de la politique industrielle brésilienne, largement inspiré du modèle indien mais encore méconnu en Europe : le système PIX. Lancé en 2020 par la Banque centrale du Brésil, ce système de paiement numérique instantané fonctionne sans interruption. Avant son introduction, le Brésil, comme de nombreux pays, dépendait exclusivement des réseaux Visa et Mastercard pour ses transactions numériques. Or une telle dépendance représente un risque géopolitique considérable. Il suffit d’imaginer le coût pour une économie nationale si l’administration américaine décidait, demain, d’utiliser la restriction ou l’interdiction de ces réseaux comme un levier de pression contre un pays ou une entité.

M. Aurélien Taché, président. Oui, nous avons eu un exemple symbolique ici en Europe puisqu’un juge français de la Cour pénale internationale s’est retrouvé dans cette situation.

M. Luca Belli. Tout à fait. Si un blocage des réseaux Visa et Mastercard survenait au Brésil, dans la continuité des sanctions déjà prises contre certains juges, le pays disposerait d’une résilience inédite grâce à PIX. Cette infrastructure publique numérique, fondée sur des protocoles de standards ouverts et pilotée par la banque centrale, est désormais adoptée par l’ensemble du secteur bancaire national. Les bénéfices de cette politique sont multiples. Outre l’autonomie stratégique, elle permet de réinjecter dans l’économie les 3 à 5 % de commissions autrefois captés par les acteurs américains. Cette somme, qui représente plusieurs milliards, est désormais reversée dans les poches des consommateurs et des entreprises brésiliennes. Surtout, PIX brise le monopole de Visa et Mastercard sur la collecte et le traitement des données. Ces entreprises, qui sont en réalité des géants du big data et de l’intelligence artificielle, utilisaient ces informations pour innover hors du Brésil, souvent dans des paradis fiscaux. Grâce à PIX, cette capacité d’innovation est redistribuée aux acteurs locaux, favorisant l’emploi et une taxation juste sur le territoire national.

Ce succès repose sur la vision systémique de la Banque centrale, l’une des institutions les plus stables du pays. En 2020, elle a ainsi su identifier le risque posé par le lancement concomitant de WhatsApp Payment. Consciente que la position dominante de Meta aurait pu étouffer PIX, elle a imposé un délai au service de WhatsApp au nom de la protection de la concurrence et des données.

Toutefois, malgré ces avancées majeures, des vulnérabilités subsistent. Les données de PIX sont encore traitées par les grandes banques sur des infrastructures de calcul fournies par Oracle, AWS ou Google Cloud. Ce constat souligne la nécessité d’une approche plus intégrée de la politique industrielle et de la régulation pour harmoniser ces différents leviers de souveraineté.

Mme Cyrielle Chatelain, rapporteure. Il est vrai qu’en Europe, nous connaissons peu ce qui se passe au Brésil en termes d’innovation. Pourtant, j’ai le sentiment que nous partageons la volonté de sortir des dépendances vis-à-vis des oligopoles, qu’ils soient américains ou chinois. Selon vous, quelles coopérations peuvent se dessiner entre le Brésil, l’Union européenne et peut-être d’autres membres des Brics, justement pour concevoir les outils qui permettent de sortir de la dépendance envers ces grandes entreprises qui dominent le marché ?

M. Luca Belli. Je suis particulièrement heureux d’être ici aujourd’hui, car je constate un intérêt pour l’analyse de modèles proposés par des économies émergentes qui, précisément en raison de leur statut, ont dû développer des solutions. C’est peut-être pour cela qu’il est aujourd’hui plus intéressant pour les pays européens d’analyser ce que les économies en développement ont fait en développant des alternatives, ce que l’Europe est précisément appelée à faire aujourd’hui.

Cela ne signifie évidemment pas développer des alternatives en autarcie. Un élément que je considère essentiel est que la souveraineté numérique n’est pas synonyme d’autarcie ou d’isolement. Au contraire, les plus grands succès en matière d’autonomie technologique sont atteints par la coopération, que ce soit en définissant des standards communs ou des programmes de partenariat.

Je voudrais mentionner un autre exemple particulièrement intéressant de succès technologique brésilien, basé sur le partenariat : l’entreprise Embraer. Créée comme une entreprise d’État puis privatisée, elle est aujourd’hui le troisième exportateur d’avions civils et militaires au monde, et l’un des rares exemples d’entreprise du Sud global capable de concurrencer les acteurs historiques de l’aéronautique, Airbus et Boeing. Elle a construit son autonomie technologique par le biais de partenariats et est en train de construire le futur de la mobilité grâce à l’intelligence artificielle. En effet, à partir de 2027, Embraer prévoit la commercialisation de véhicules électriques à décollage et atterrissage vertical, qui reposent sur des systèmes extrêmement sophistiqués de traitement de données, d’IA embarquée, d’automatisation, de robotique, de connectivité et de cybersécurité. Cet exemple montre que la souveraineté technologique ne signifie pas l’autarcie. La capacité d’innovation d’Embraer repose sur des partenariats internationaux stratégiques et complexes, impliquant des chaînes d’approvisionnement mondiales, une coopération industrielle et la participation à l’élaboration de standards techniques.

Dans mon récent travail pour le ministère, j’ai souligné que nous sommes peut-être prisonniers d’un narratif artificiel sur la nécessité d’investir des milliards en capacité de calcul pour construire des modèles d’IA de frontière. Il n’est pas forcément nécessaire de subventionner des entreprises américaines de cloud ou de matériel, et il est peut-être plus intelligent d’investir dans les succès que nous avons déjà pour ensuite les répliquer dans d’autres secteurs. C’est ce que les Indiens appellent la frugal AI : investir dans des modèles plus simples mais plus efficaces pour l’automatisation d’industries qui sont déjà à la pointe du développement technologique national.

Cela dit, cela implique toujours des dépendances qu’il faut calibrer de manière stratégique. La souveraineté numérique ou technologique ne consiste pas à tout produire seul mais consiste, à mon sens, à préserver une capacité effective de décision, de choix, de contrôle et de gouvernance au sein d’écosystèmes pluriels et nécessairement interconnectés. Il faut pour cela être très stratégique, non seulement avec la régulation et la politique industrielle, mais aussi avec l’articulation entre les acteurs qui existent déjà et qui pourraient être exploités de façon beaucoup plus stratégique.

Mme Cyrielle Chatelain, rapporteure. Je reviens sur le blocage de X et de WhatsApp. Une fois que la décision est prise par l’autorité judiciaire, comment cela se passe‑t‑il concrètement ? Comment arrive-t-on à couper, pour un temps donné, l’accès à ces plateformes ?

M. Luca Belli. Les outils de blocage par résolution du système de nom de domaine (DNS) ou d’adresse IP sont connus depuis au moins deux décennies. La différence entre le Brésil et l’Europe est qu’au Brésil, le marché est dominé par trois principaux fournisseurs d’accès, et cette concentration rend beaucoup plus facile pour le régulateur des télécoms de mettre en œuvre l’ordre judiciaire. Bien qu’il existe près de 4 000 micro‑entreprises de connectivité, leur part de marché est marginale.

L’exécution a donc été facilitée par les caractéristiques du marché brésilien. De plus, l’ordre judiciaire était directement adressé au président de l’autorité de régulation, engageant sa responsabilité personnelle dans sa mise en œuvre. L’ordre a donc été exécuté rapidement.

Évidemment, il était tout à fait possible de contourner ce blocage avec un VPN. Cependant, tout citoyen brésilien qui aurait contourné le blocage et communiqué publiquement sur le réseau social en question aurait engagé sa propre responsabilité. Il y avait donc des usagers qui continuaient à utiliser les réseaux sociaux avec un VPN, mais ils prenaient tous la précaution de ne pas rendre leur usage public.

M. Aurélien Taché, président. C’était vraiment passionnant, nous avons appris beaucoup de choses. Nos modèles sont assez différents, mais je retiens que le Brésil a une longueur d’avance en matière de souveraineté numérique et que les solutions y sont innovantes. Vous avez dit être heureux que l’on s’intéresse à ce qui se passe dans le Sud global et que ses solutions puissent inspirer des pays comme la France, et je partage cette conviction. Nous avons eu une vision assez large de la stratégie brésilienne, et nous vous en remercions.

* *

Audition, ouverte à la presse, de M. Arthur Mensch, cofondateur et directeur général de Mistral AI, et Mme Audrey Herblin-Stoop, directrice des affaires publiques et de la communication (mardi 12 mai 2026)

Mme Isabelle Rauch, présidente. Dans le monde de l’intelligence artificielle (IA) générative, Mistral AI fait figure d’exception. Non seulement votre modèle est open source, mais de plus tous vos principaux concurrents sont extra-européens. Beaucoup d’espoirs reposent sur vous.

On présente souvent l’intelligence artificielle comme un secteur encore suffisamment ouvert pour que des acteurs européens puissent rivaliser avec les géants du numérique. Dans la course à l’IA, quels sont les atouts de la France et de l’Europe ? Que pouvons-nous faire pour assurer la souveraineté numérique de l’Europe, et de la France en particulier ?

Avant de commencer, je vous remercie de nous déclarer tout intérêt public ou privé de nature à influencer vos déclarations.

L’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter le serment de dire la vérité, toute la vérité, rien que la vérité.

(M. Arthur Mensch et Mme Audrey Herblin-Stoop prêtent successivement serment.)

M. Arthur Mensch, cofondateur et directeur général de Mistral AI. Merci de nous avoir invités pour parler de l’autonomie de l’Europe en matière d’intelligence artificielle et plus largement de services numériques ; c’est un sujet crucial. Selon moi, il ne faut pas séparer ces deux domaines : les services numériques sont essentiellement faits d’intelligence artificielle, et ce sera encore davantage le cas demain. Certes, il y a un peu de stockage et d’exécution d’agents mais, fondamentalement, les services numériques, le cloud, c’est l’intelligence artificielle. Il n’y a pas de distinction à faire.

L’intelligence artificielle redéfinit les équilibres économiques et géopolitiques. La question n’est pas tant de savoir si l’Europe peut rivaliser – y renoncer, ce serait abandonner toute participation au concert des nations – mais de déterminer comment. Le peut-elle sans dépendre d’acteurs extra-européens ? La réponse est évidemment non. En revanche, je pense qu’elle pourra y parvenir en renforçant sa position vis-à-vis de ses fournisseurs et en tant qu’exportateur de technologies, et en faisant en sorte de pallier les déséquilibres économiques, qui vont encore s’aggraver.

Nous avons fondé Mistral AI le 28 avril 2023, avec l’intuition que l’intelligence artificielle générative rebattrait largement les cartes dans le domaine des services numériques et changerait profondément le fonctionnement de l’économie. En effet, l’IA déplace l’intelligence du travail vers le capital et les machines.

Parce que notre expérience chez les gros acteurs américains nous avait convaincus, mes cofondateurs – Guillaume Lample et Timothée Lacroix – et moi, qu’un oligopole se dessinait, nous avons créé Mistral AI, pour le contrer. Nous étions accompagnés d’une quinzaine de personnes, en France et en Angleterre, essentiellement des chercheurs. Nous avons d’abord montré que nous savions entraîner des modèles de langue, puisque c’est ce qu’il faut pour faire de l’intelligence artificielle générative. Nous avons créé un modèle ouvert, c’est-à-dire que nous avons donné ces modèles au monde ; chacun pouvait s’en emparer, les modifier, les déployer où il voulait. C’est une technique de décentralisation et de déplacement des acteurs établis. Puis nous avons continué à investir dans les modèles – cette année, nous consacrons 1 milliard à la R&D (recherche et développement). Nous sommes un des leaders des modèles ouverts.

Notre modèle économique est double. D’une part, il fonctionne par-dessus : nous proposons une plateforme de déploiement d’agents, de délégation de tâches à de l’intelligence artificielle, et nous créons des applications métier au contact de nos clients, qui sont souvent de grosses entreprises.

D’autre part, il fonctionne en amont : nous hébergeons également les modèles, nous les mettons sur des machines, et nous leur faisons générer ce qu’on appelle des tokens – des jetons. Le token est l’unité économique de l’intelligence artificielle. On entraîne des modèles qui génèrent des séquences ; à partir de ces générations de séquences, on décide d’exécuter des actions, on réfléchit. Les séquences sont faites de tokens, à savoir de chiffres, compris entre 0 et 65 000. On génère ces tokens pour nos clients, en les hébergeant. On transforme des électrons en tokens.

L’entreprise compte désormais 1 000 collaborateurs ; elle est valorisée 12 milliards d’euros et nous visons 1 milliard de revenus d’ici à la fin de l’année. Nos clients sont des entreprises et des institutions publiques ; en France, ce sont par exemple la Dinum (direction interministérielle du numérique), la Caisse des dépôts, France Travail, CMA‑CGM, Stellantis, TotalEnergies, BNP Paribas, etc. Nous faisons à peu près 30 % de notre chiffre d’affaires en France, 75 % en Europe. Donc nous sommes un exportateur de technologies, vers les États-Unis et vers l’Asie.

Ce qu’il faut comprendre sur l’intelligence artificielle, générative notamment, c’est qu’elle consiste à transformer de l’énergie en intelligence. Il s’agit de générer des tokens ensuite utilisés pour déléguer des tâches, faire de la recherche mathématique, opérer des chaînes logistiques, améliorer des outils, déployer des systèmes embarqués dans des robots ou des drones, etc. Puisqu’on transforme de l’électricité en tokens, il faut réfléchir à l’intelligence comme on réfléchit à l’énergie – à une ressource naturelle. Notre objectif est de fournir une intelligence peu chère – affordable, disons, en anglais ; dont l’approvisionnement est sécurisé – qu’on n’a pas besoin d’aller chercher chez les Américains, par exemple ; et durable – elle transforme une énergie moins carbonée qu’ailleurs, en particulier parce qu’elle est française. On n’y pense pas assez en ces termes : l’intelligence, c’est finalement comme l’électricité.

On a par ailleurs tendance, à tort selon moi, à séparer les services numériques de l’intelligence artificielle. Or le cloud, et sa croissance, c’est maintenant de l’intelligence artificielle ; les services à haute valeur ajoutée, c’est-à-dire ceux qui offrent une forte marge donc permettent de financer de la R&D, c’est l’intelligence artificielle. À partir du moment où on développe l’intelligence artificielle, on peut construire tout le reste des services du cloud, qui sont surtout des commodités. Ça consiste en grande partie à savoir exploiter du logiciel open source, puisque c’est devenu l’infrastructure mondiale.

Notre chaîne de valeur va de l’opération des clusters et des serveurs à la création des applications métier ; nous sommes une unité atomique de la chaîne de valeur plus large, qui va de la construction de semi-conducteurs – avec par exemple ASML, une entreprise qui fait de la lithographie et pour qui nous travaillons – au déploiement dans les entreprises.

Le cloud et l’IA, c’est donc vraiment la même chose.

Il faut arrêter de penser à la souveraineté comme à un isolationnisme et y penser comme ceux qui font des affaires, en se posant la question des leviers. Dans un monde où on importerait la totalité des services numériques des États-Unis, on n’aurait pas de levier pour agir sur eux. Il en va différemment si on crée une partie de nos services et qu’éventuellement on les exporte. On le voit dans les négociations de l’Union européenne : exporter des biens nous donne des arguments. Si nous ne pouvons faire autrement que d’importer la totalité de nos services numériques des États-Unis, nous avons un vrai problème.

Pour comprendre l’importance des enjeux, il faut raisonner à l’échelle de la masse salariale. Chez Mistral, notre consommation d’intelligence artificielle représente 10 % de notre masse salariale. Comme nous fabriquons cette technologie, nous l’adoptons un peu plus vite que d’autres. Mais en extrapolant, on comprend que, d’ici trois à quatre ans, toute l’Europe utilisera l’intelligence artificielle à hauteur de 10 % de sa masse salariale, soit environ 1 trilliard. Nous parlons ici de services numériques, puisqu’il faut bien générer les tokens. Si nous importons pour cela une technologie non européenne, alors notre déficit commercial augmentera de 1 trilliard ; cette somme partira et sera investie dans la R&D ailleurs qu’en France et en Europe.

Il faut donc réfléchir à la souveraineté du point de vue macroéconomique. C’est un sujet essentiel, dont on ne réalise pas l’importance.

Un autre problème est la sécurité économique. Quand vous déployez de l’intelligence artificielle dans des services essentiels, il faut vous assurer que l’accès ne puisse pas être coupé. On l’a vu à différents endroits, la question n’est pas théorique. Évidemment, ce point est essentiel dans tous les domaines régaliens, notamment pour la défense. L’intelligence artificielle est désormais au cœur des centres opérationnels des armées : elle est l’outil qui permet de prendre les décisions sur les champs de bataille et de faire du renseignement, par exemple. Si nous n’avons pas ces technologies, nous devrons les importer, donc nous risquons de nous les voir refuser.

Dernier problème, qui ne concerne pas directement notre entreprise parce que notre activité grand public n’est pas significative : l’intelligence artificielle, parce qu’elle génère du contenu, façonne les représentations culturelles, la langue, l’éthique. En effet, les modèles que nous créons ont une certaine politique ; ils actionnent certains leviers, ils écrivent un certain type de code, etc. Tout cela devient une médiation de l’information et une médiation de l’action. Faute de solution alternative européenne, nous serons contraints d’importer des modèles, donc nous dépendrons de choix faits par d’autres, les États-Unis et la Chine en particulier, et des biais qui en découlent.

Pour finir, je formulerai quelques recommandations. L’intelligence artificielle offre l’espoir de rebattre les cartes. Vous m’avez demandé quels étaient les atouts de l’Europe, en particulier de la France. Le premier, c’est son vivier de talents. C’est une entrée dans le système. Si nous n’avons pas de grandes entreprises, innovantes, capables de capter ces talents et de les convaincre de travailler pour nous, ils partiront porter leur valeur ailleurs. On l’a vu beaucoup ; les choses commencent un peu à se renverser, il faut qu’on en bénéficie.

En dehors des talents, l’Europe n’a pas beaucoup d’atouts. Sa réglementation est plus lourde. Son marché est fragmenté, ce qui veut dire plus de difficultés pour vendre – mais aussi des partenariats de plus long terme, ce qui est un atout. Sa grande diversité culturelle, linguistique par exemple, est aussi un atout pour l’intelligence artificielle.

Nous n’existons que s’il y a un marché. Le problème, c’est que ce marché se matérialise un peu trop lentement : les entreprises n’ont pas encore pleinement conscience de la quantité d’intelligence artificielle qu’elles utiliseront dans les années à venir. La conséquence, c’est que les Américains vont être plus à même d’investir avant la demande.

En effet, en France, nous avons du surplus énergétique – près de 9 gigawatts en moyenne. Il sera en grande partie capté par les entreprises les plus agressives du point de vue capitalistique et capables de mettre de l’argent sur la table pour transformer ces électrons en tokens avant les autres. Nous arrivons à être assez agressifs mais nous aimerions l’être encore plus. Pour cela, nous avons besoin d’une visibilité sur le marché. Celui-ci est constitué d’entreprises privées, qui choisissent de travailler avec nous pendant cinq ou sept ans – il y en a plein –, mais aussi de la demande publique, qui forme près de 50 % du PIB de l’Europe.

Il faut donc faire en sorte que la demande publique ruisselle sur toute la chaîne de valeur, en partant de l’endroit où nous sommes forts, où nous avons de la valeur ajoutée, c’est-à-dire l’intelligence artificielle. Et il faut le faire de manière concentrée, et non distribuer des subventions pour alimenter la demande en bout de chaîne, à savoir dans les services numériques. C’est un atout essentiel, que nos partenaires américains et chinois utilisent massivement, mais que nous avons toujours eu peur d’utiliser en Europe ; il faut absolument changer cela.

De manière générale, nous essayons de structurer les marchés et d’avoir une demande unifiée. Les marchés unifiés, c’est utile, les marchés de capitaux unifiés, c’est utile – on n’en fait jamais assez.

S’agissant des seules infrastructures, la France a la chance d’avoir de l’électricité en surplus. Il faut continuer à en produire : l’intelligence artificielle, c’est environ 1 kilowatt par personne à l’horizon de cinq ans. Ça veut dire 40 gigawatts à fabriquer en France, 400 gigawatts en Europe, soit quelque 20 trilliards à investir. Il faut en avoir conscience ; il faut produire l’électricité ; surtout, il faut faire en sorte que les électrons soient transformés en tokens par des entreprises européennes.

Pour construire 400 gigawatts en Europe, il faut accélérer les projets : il faut délivrer les permis plus rapidement et prévoir une réservation des capacités énergétiques.

Pour répondre à votre seconde question, en matière de services numériques, au-delà de l’IA, on peut faire du database management, de l’hébergement, des machines virtuelles, etc. Mais ce sont des services qui ont une marge très faible. Or vous ne pouvez pas construire un business à l’échelle en partant d’un endroit où la marge est faible. Il faut partir de l’endroit où la marge est importante ; ensuite, une fois que vous êtes suffisamment gros, vous utilisez une partie de votre R&D – même faible – pour créer tous les services que vous utilisez.

Si vous partez de l’endroit où la marge est faible, et que de surcroît vous n’avez pas de volume, vous n’avez aucune chance d’arriver à l’échelle. Avec une faible marge mais un gros volume, vous pouvez remonter la chaîne de valeur – c’était la stratégie chinoise. Si vous êtes dans un segment où vous avez une haute marge et peu de volume au début, votre seule possibilité, c’est de descendre la chaîne de valeur. C’est très important d’avoir ça à l’esprit. Donc il faut partir des services haut niveau et descendre vers les services bas niveau, qui ont moins de marge. Sur le plan stratégique, c’est comme ça que nous appréhendons le problème.

Mme Cyrielle Chatelain, rapporteure. Merci pour cette introduction, centrée sur le modèle économique – c’est un élément essentiel.

Commençons par les questions simples : quel est le coût de revient d’un token ?

M. Arthur Mensch. Le token est l’unité économique de l’intelligence artificielle. On facture en millions de tokens ; par exemple, sur un de nos modèles, 1 million de tokens coûtera 1 euro. Si vous m’envoyez 1 million de tokens afin d’accomplir une tâche qui va nécessiter que je génère 1 million de tokens, vous me paierez 1 euro pour l’entrée et 3 euros pour la sortie.

Un token, c’est quelques lettres dans un mot, un chiffre, quelques pixels dans une image, un très court son. Et on sait gérer de la donnée multimodale. C’est l’unité.

Notre modèle économique est partiellement hébergé, ou à la consommation : vous hébergez de la technologie chez nous et vous payez au token ou à l’unité de temps de CPU (unité centrale de traitement) quand vous faites autre chose que de l’intelligence artificielle – vous payez au stockage. Nous avons également un modèle de plateforme : nous apportons notre logiciel chez le client et nous le déployons sur son infrastructure : il paie celle-ci – ses GPU (unités de traitement graphique), ses CPU, son stockage et, par ailleurs, nous lui facturons un modèle de type licence auquel s’ajoute une couche de services pour transformer l’entreprise et construire de la valeur.

Mme Cyrielle Chatelain, rapporteure. Les chiffres que vous avez cités, 1 euro et 3 euros, correspondent-ils à ce que paie le consommateur ?

M. Arthur Mensch. On parle plutôt du développeur, qui va créer des applications avec les données.

Mme Cyrielle Chatelain, rapporteure. Les développeurs sont vos clients ?

M. Arthur Mensch. Oui.

Mme Cyrielle Chatelain, rapporteure. Donc ces chiffres désignent ce que vous facturez à vos clients mais, pour produire ces tokens, vous-mêmes avez dû investir. Nous avons besoin d’évaluer les capex (dépenses d’investissement) nécessaires pour développer le modèle, qu’il s’agisse de l’infrastructure ou de l’énergie. Combien cela vous coûte-t-il de générer 1 token ?

M. Arthur Mensch. Le token est l’unité client du service numérique – quand vous achetez un service numérique, vous achetez des tokens. Pour financer nos projets, nous raisonnons plutôt en mégawatts – l’électricité qu’on va transformer en intelligence.

Quand vous investissez dans la création d’un data center et que vous mettez des cartes graphiques, qui vous permettront de générer des tokens dans le cadre d’un modèle hébergé, il faut investir 50 milliards de dollars sur cinq ans pour créer 1 gigawatt. Donc ça vous coûte à peu près 10 milliards par an. Pour avoir une idée des marges, sachez qu’avec ça, si vous faites les choses correctement, si vous êtes à peu près à l’échelle – 1 gigawatt, c’est à peu près à l’échelle –, vous pourrez vendre environ 20 milliards de tokens par an, donc faire à peu près 20 milliards de revenus. Donc sur la fourniture du service numérique, la marge brute est d’environ 50 %. Significative, elle permet de faire de la R&D, en particulier de financer l’entraînement des modèles, qui coûte extrêmement cher. En effet, nous utilisons aussi nous-mêmes des GPU : nous avons besoin de dizaines de mégawatts pour entraîner des modèles.

J’ai dit que 10 % de la masse salariale européenne pourrait devenir de l’intelligence artificielle. On parle d’environ 400 gigawatts. En effet, on va dire qu’on parle de 10 000 euros par an, c’est-à-dire environ 1 kilowatt de GPU – 1 GPU, c’est 2 kilowatts, donc avec cette somme, vous louez 0,5 GPU. Pour construire ça, il faut donc investir 20 trillions, qui vont rapporter environ 8 trillions par an – autant de revenus qui pourraient partir aux États-Unis. Les ordres de grandeur sont significatifs, vous le voyez.

J’ai dit que la marge brute du fournisseur de services était de 50 % environ. En fait, dans la chaîne qui va de l’électron au token, l’électron représente à peu près 10 % du coût total. Autrement dit, si l’Europe se contente de fournir l’énergie, 90 % de la valeur partira ailleurs, pour être investie ailleurs, recyclée en R&D, et utilisée comme vecteur de puissance.

Mme Isabelle Rauch, présidente. Monsieur le président, puisque vous êtes parmi nous, avez-vous des questions ?

M. le président Philippe Latombe. Quelles limites éthiques vous êtes-vous fixées ? Ma question concerne le domaine de la défense, en écho à la polémique qui a opposé Anthropic au ministère de la guerre des États-Unis – puisque c’est comme cela qu’ils l’appellent maintenant –, mais aussi le remplacement des êtres humains, puisque vous avez parlé du remplacement de la masse salariale.

Avez-vous pu toucher du doigt Mythos et voir ce que ça vaut ? Nous avons posé la question à Vincent Strubel, qui nous a dit qu’il ne l’avait pas lui-même manipulé. Est-il aussi puissant qu’on le dit ?

Avec l’IA, on assiste à une accélération. Des modèles toujours plus puissants sortent régulièrement. Quelle étape ne faut-il absolument pas rater si nous voulons ne pas décrocher ? À quel terme faut-il investir ? À quelle chronologie la puissance publique doit-elle réfléchir ?

Les Chinois pratiquent beaucoup la distillation, notamment avec DeepSeek. Est-ce un bon moyen de rattraper le temps, ou est-ce que cela permet de compenser un peu mais sans réelle utilité, parce que le modèle produit est moins puissant ou efficace que ceux utilisés pour l’entraînement ?

M. Arthur Mensch. Votre première question concerne l’éthique. Nous faisons des systèmes qui aident les humains à être plus efficaces. Ils automatisent des procédés en laissant les humains dans la boucle pour prendre les décisions importantes. Nous avons toute une équipe de designers, composée d’une dizaine de personnes, qui réfléchissent aux interactions entre l’homme et la machine. Quand l’intelligence artificielle résume des informations et aide à décider, ils font en sorte qu’elle fournisse suffisamment d’éléments pour que l’humain reste informé.

Ce n’est pas facile, parce que l’humain a tendance à être un peu paresseux : plus le truc fait à sa place, moins il réfléchit. Donc, pour le laisser dans la boucle, ce qui est important, il faut le stimuler quand il est face à la machine. Évidemment, ce sont des problèmes auxquels nous réfléchissons.

Une des questions éthiques porte plus précisément sur l’engagement dans la défense. Nous travaillons avec le ministère des armées ainsi qu’avec des alliés de la France. Comme il s’agit d’une technologie à usage dual, la réglementation relative au contrôle des exportations s’applique. En tant que société, nous ne pouvons prétendre avoir la légitimité pour définir nous‑mêmes le cadre éthique. En revanche, nous nous inscrivons dans un cadre qui a une légitimité démocratique, ce qui nous permet de travailler correctement et de ne pas faire ce que nous n’avons pas le droit de faire.

Au contraire d’autres acteurs, nous ne prétendons pas avoir un droit de regard sur l’utilisation finale que le ministère des armées fera de nos produits. Nous n’avons pas la légitimité pour expliquer aux armées ce qu’elles peuvent ou ne peuvent pas faire de la technologie. Nous pouvons, dès le stade du projet, leur expliquer la fiabilité des outils, par exemple. Mais, ensuite, c’est l’armée qui décide souverainement de leur utilisation. Elle a pour ce faire une légitimité démocratique que nous n’avons pas. Nous, nous avons un devoir de conseil : nous expliquons comment ça fonctionne. Je peux vous dire qu’aujourd’hui, l’intelligence artificielle est utilisée de manière raisonnable, dans les limites de ce qu’elle peut faire.

Il faut avoir conscience que l’intelligence artificielle peut servir la défense. Elle permet d’avoir des armées beaucoup plus opérationnelles. Mais elle est aussi un facteur de dissuasion décisif. Certaines armées, comme l’armée russe, l’utilisent massivement dans les drones : si, en face, on n’est pas capables d’avoir des contres, eux-mêmes activés par de l’intelligence artificielle, notre dissuasion n’est pas suffisante. Donc le déploiement de l’intelligence artificielle, dans des systèmes autonomes en particulier, il ne faut absolument pas y couper. C’est indispensable pour avoir une dissuasion conventionnelle. Ce qui veut dire qu’il faut maîtriser l’intelligence artificielle de bout en bout.

J’en viens à la cyberdéfense et à la cyberattaque. L’un de nos concurrents américains sait très bien faire du marketing de la peur. On parle de modèles qui seraient d’excellents programmeurs, capables d’orchestrer des attaques, de découvrir des vulnérabilités et de proposer des exploitations. Mais ça fait six mois que ça monte ; de plus, ça monte de manière linéaire et prédictible, et ça monte chez tout le monde en même temps. Un autre de nos concurrents américains a un modèle qui fait exactement la même chose. Certains acteurs chinois le font également. Et nos modèles à nous sont capables de découvrir toutes les vulnérabilités qui ont été citées comme mises à jour par Mythos notamment.

Nous travaillons avec nos clients pour les aider dans ce domaine. Là encore, c’est un sujet régalien : cela fait un argument supplémentaire pour contrôler cette technologie. On ne peut pas envisager que les bases de code de l’armée française soient scannées par Mythos. La dépendance dans ce domaine est tellement irrémédiable qu’il faut trouver des solutions.

Vous avez évoqué la question du temps. Eh bien justement, nous en manquons, notamment parce que, pour transformer de l’électricité en tokens, nous utilisons des ressources naturelles qui ne sont pas infinies. D’ailleurs, les États-Unis saturent leur électricité afin de la transformer en intelligence artificielle. Ils dépensent à cet effet 1 trilliard de dollars, ce qui veut dire qu’ils attendent 2 trilliards en retour. Car ils voient bien que, face à la création d’un immense marché, le gagnant est celui qui dispose des chips, qui possède les processeurs et les électrons, qui accède de façon massive à l’énergie.

La France dispose de 90 térawattheures d’électricité par an. On les utilise, entre autres, pour l’intelligence artificielle. Certains acteurs ont largement les moyens financiers nécessaires pour transformer des électrons en IA, quelle que soit la demande. Ils vont le faire dans les deux prochaines années. Ensuite, il n’y aura plus d’électricité et il faudra créer de nouvelles centrales. On assiste à un phénomène, qui s’accélère à une vitesse folle, de monopolisation de la ressource énergétique européenne. On n’a pas conscience de ce processus pourtant irrémédiable.

Nous sommes confrontés à un problème de demande : les Américains, qui nous ont devancés sur le cloud, fournissent toute l’industrie européenne et bien sûr l’État français. Non seulement leur poids est de plus en plus important, mais leur part de marché dans le secteur du cloud et de l’intelligence artificielle augmente, tandis que celle des acteurs non américains a plutôt tendance à se compresser. S’agissant de l’intelligence artificielle, la tendance pourrait s’inverser, comme nous commençons d’ailleurs à l’observer – si l’on en juge par nos clients, par nos revenus et par notre croissance.

Cependant, même si on règle le problème de la demande, celui de l’offre demeure. Une fois que celle-ci est monopolisée par des acteurs américains, il ne nous reste plus rien : nous ne pouvons plus transformer des électrons en tokens. Il faut donc investir, dès aujourd’hui – dans deux ans, il sera trop tard –, des centaines de milliards de dollars, ce qui suppose que les acteurs et les États européens nous permettent d’avoir une forte visibilité sur le marché et la demande, ce qui n’est pas le cas actuellement. Une prise de conscience de cette urgence est nécessaire. Malheureusement, je ne vois pas comment elle pourrait intervenir. L’objectif de Mistral est d’atteindre une puissance de calcul d’1 gigawatt d’ici à 2029, ce qui est encore insuffisant.

J’en viens enfin à la distillation, une opération qui consiste à concevoir, à partir d’un grand modèle, un modèle plus petit et plus efficace. Nous y avons recours de façon massive pour proposer à nos clients des modèles moins coûteux. Nous construisons et entraînons également de grands modèles car c’est indispensable pour connaître le contenu des modèles et pour les contrôler. Cela nous coûte très cher car cela suppose de disposer, en propre, de fortes capacités de calcul, ce qui nécessite des investissements importants – c’est un pur enjeu de R&D. C’est donc une technologie qui permet de réduire les coûts en interne ; elle ne permet pas de rattraper le temps.

M. Arnaud Saint-Martin (LFI-NFP). Le projet Campus IA, auquel vous êtes associé, est en cours d’installation à Fouju, au nord de ma circonscription. J’aimerais avoir des détails sur son architecture générale. Une concertation, à laquelle j’ai participé, a été menée en amont et l’enquête publique est réalisée en ce moment. Pour cet énorme projet, présenté comme notre vaisseau amiral lors du sommet pour l’action sur l’IA de 2025, le fonds souverain d’Abou Dhabi MGX a abondé 35 milliards et un partenariat a été conclu avec l’Américain Nvidia.

Quelle est votre appréciation des impacts environnementaux de ce mégaprojet ? Il consommera 100 hectares de terres arables – une ressource à protéger –, ce qui n’est pas rien, et aussi une grande quantité d’électricité, 1,4 à 1,6 gigawatt – le niveau de la centrale de Flamanville, souvent citée comme référence en la matière.

De même, comment envisagez-vous la question de la souveraineté numérique, dans la mesure où la construction de ce projet inclut un acteur moyen-oriental, venu faire des affaires dans notre pays. J’ai bien compris que la volonté d’attirer de telles entreprises était le fruit d’une politique gouvernementale mais j’aimerais savoir comment vous vous positionnez à l’intérieur de cette architecture sur le plan à la fois économique et technique.

Par ailleurs, à quoi serviront ces data centers modulaires destinés à former une macro-infrastructure ? Quels usages sont envisagés ? Qui sont les potentiels clients que vous démarchez – vous en avez cité quelques-uns ? Quel est le calendrier ?

Il est important que vous apportiez des réponses à la représentation nationale. En effet, ce projet est colossal parce qu’il représente 35 milliards – voire beaucoup plus – et parce qu’il transformera ce territoire de Seine-et-Marne de façon importante. Il a déjà fait disparaître les champs de betteraves et de blé qu’on y trouvait auparavant – l’archéologie préventive effectue actuellement des fouilles.

Je m’interroge aussi sur le nom « Campus IA ». Des partenariats avec Polytechnique ou d’autres structures de l’enseignement supérieur et de la recherche avaient été évoqués mais ne s’agit-il pas uniquement d’une mesure d’affichage pour vendre le projet ? D’après ce que j’ai compris, on fera peu de recherche sur ce « campus ».

M. Arthur Mensch. Le rôle de Mistral dans le projet Campus IA est très mineur. Nous avons pris une toute petite participation. Au sein de la chaîne de valeur, nous savons construire les clusters : nous achetons les serveurs puis nous les branchons dans les bâtiments – un peu comme des racks physiques. En revanche, nous ne nous occupons ni des bâtiments eux-mêmes, ni des transformateurs, ni de leur refroidissement ; pour cela, nous devons aller chercher des partenaires, nous avons besoin de développeurs de data centers. Une partie de Campus IA jouera pour nous un rôle de fournisseur, une autre partie alimentera les hyperscalers.

Il faut construire des infrastructures car 80 % des services numériques européens sont importés des hyperscalers. La France et l’Europe doivent avoir pour objectif de réduire cette part.

Vous m’interrogez également sur le nom ; ce n’est pas moi qui l’ai choisi.

Par ailleurs, je n’ai pas d’information concernant la place de la recherche mais il est certain qu’une partie des revenus sera reversée à la recherche publique.

J’en viens à la question du capital. Si l’on dispose de fonds importants, la location d’un data center représente un business assez intéressant, qui séduit beaucoup d’entreprises, car elle assure un bon retour sur investissement – d’autant plus que tout le monde veut des data centers. Il faut préciser que des sites de cette dimension nécessitent des acteurs aux reins solides, capables de dépenser des dizaines de milliards d’euros.

Faute de fonds de pension, en France par exemple, nous devons nous tourner vers des investisseurs étrangers : sur les marchés de capitaux en Europe, personne n’est en mesure d’apporter ce type d’investissements. Il faut opter pour cette solution dès lors qu’un contrôle est garanti et que la gouvernance est bonne – à cet égard, BPIFrance, qui dispose d’un siège au conseil d’administration, joue son rôle – car ces investissements sont bénéfiques et nous permettent d’accélérer, de construire des projets. Bien sûr, on perd de l’argent lorsque des capitaux étrangers entrent en jeu puisque les investisseurs voudront ensuite récupérer leurs billes. Reste que, sans eux, nous ne pourrions rien construire.

Nous ne sommes pas capables, pour l’instant en tout cas, de proposer un modèle totalement intégré : nous n’opérons pas depuis l’installation sur le terrain jusqu’au fonctionnement des services numériques. En revanche, il y a un partage de la valeur. Nous sommes en mesure de créer de la valeur en gagnant de la marge – sur les étapes qui vont des opérations des serveurs jusqu’aux services numériques – et en réinvestissant cet argent dans la R&D.

Il faut donc envisager la souveraineté comme un chemin. Le point de départ, c’est un certain état de l’économie, marqué par différents équilibres sur l’ensemble de la chaîne de valeur. Si on ne le juge pas satisfaisant, il faut changer les choses, et donc affecter les ressources là où elles sont nécessaires. Cela demande du temps mais, peu à peu, cela produit des effets.

J’en arrive aux questions environnementales. Bien sûr, ce type de projet a un coût, et il y a des externalités. Par exemple, la production de semi-conducteurs nécessite beaucoup d’intrants et des terres rares. Le problème du terrain ne me semble pas essentiel, en particulier en Europe, en raison de la densité qui caractérise ce type d’installation : par exemple, une centaine d’hectares suffit pour un centre d’1 gigawatt – bien sûr, à l’échelle d’une ville, c’est important, mais ça l’est moins à l’échelle du continent.

Les électrons, en revanche, représentent un réel enjeu. Puisque 70 % de l’électricité produite en France est d’origine nucléaire, l’empreinte carbone de l’électron est très faible. Dès lors – et puisque nous avons besoin de tokens –, il est nettement préférable de construire en France qu’ailleurs, par exemple au Texas, car on contribue ainsi à réduire le réchauffement de l’atmosphère.

S’agissant de l’eau – un autre intrant –, des progrès technologiques importants ont été réalisés pour récupérer la chaleur fatale, permettre un refroidissement plus efficace et faire en sorte que les électrons soient majoritairement utilisés pour les calculs.

Par ailleurs, pour avoir consulté les documents, il me semble que tout a été mis en œuvre pour préserver la biodiversité.

Les enjeux environnementaux sont importants pour nous. Certes, d’un point de vue écologique, une forêt est toujours préférable à un data center mais un data center est important d’un point de vue économique. Nous sommes conscients qu’il a des effets sur l’environnement. Il faut donc aussi penser l’intelligence artificielle d’un point de vue écologique. Si l’on considère les tokens comme, d’une certaine manière, une ressource naturelle, il faut envisager les data centers comme des mines.

Nous devons construire des data centers sur notre territoire, sinon d’autres problèmes se poseront. Plus nous les construirons nous-mêmes, plus nous aurons voix au chapitre en ce qui concerne les externalités. Si nous nous contentons d’importer ce que d’autres nous proposent, nous serons contraints d’accepter aussi leurs critères – qui sont bien différents des nôtres – en matière de biodiversité et de réchauffement climatique. Il est absolument essentiel d’internaliser la production, ce qui suppose de faire des compromis – la France a accepté, de la même manière, d’ouvrir des mines de lithium.

Ce qui serait vraiment dommage, ce serait de construire des data centers dont la valeur économique échapperait pour l’essentiel à la France. Quitte à subir des externalités, bâtissons des projets qui nous permettront d’investir dans la R&D et qui auront des effets bénéfiques pour notre pays.

Mme Audrey Herblin-Stoop, directrice de la communication et des affaires publiques de Mistral AI. J’ajoute que Mistral AI est la première entreprise d’intelligence artificielle qui ait procédé à une analyse du cycle de vie de ses modèles. Celle-ci s’est déroulée l’an dernier, avec l’Ademe, l’Agence de la transition écologique, et Carbone 4, et nous nous apprêtons à recommencer pour analyser nos nouveaux modèles. L’objectif est d’offrir davantage de transparence et de proposer une méthodologie. Une telle initiative peut inspirer d’autres entreprises et permet en tout cas à nos clients et aux pouvoirs publics de s’appuyer sur des éléments concrets et fiables pour opérer des choix. Elle pourra ainsi encourager une forme de standardisation.

M. Arthur Mensch. Nous entraînons la nouvelle génération de modèles en France. Nous sommes d’ailleurs fiers de posséder le plus gros cluster de calcul de notre pays car c’est un important facteur de réduction de l’empreinte carbone.

Par ailleurs, contrairement à certains concurrents, nous préférons réfléchir aux cycles de vie, donc avoir une approche qui intègre toutes les dimensions du projet, plutôt que de prévoir des compensations. C’est un peu trop facile, lorsque son bilan carbone est très élevé, d’atteindre un équilibre grâce à des quotas. Il faut offrir une transparence projet par projet plutôt que de vouloir proposer une transparence globale.

Mme Isabelle Rauch, présidente. Vous avez évoqué, dans vos propos liminaires, la lourdeur de la réglementation. Qu’entendez-vous par là et quelles pistes d’amélioration identifiez-vous ? Le recours à l’analyse du cycle de vie, que vous avez mentionné, ne pourrait-il pas, par exemple, devenir un critère pris en compte par les pouvoirs publics au moment de lancer un projet lié à l’intelligence artificielle ?

Vous avez également expliqué que la fragmentation du marché pouvait constituer une chance plutôt qu’un frein, avant de tempérer immédiatement cette affirmation. Qu’en est-il exactement ?

M. Arthur Mensch. Un des problèmes de l’Europe en matière réglementaire, c’est que, dès que l’on entre dans un pays européen, on doit ouvrir une nouvelle entité, comprendre un nouveau régime de stock-options, une nouvelle réglementation du travail… Par conséquent, il faut très vite une équipe sur place. J’ai moi-même signé des centaines de documents et ouvert des dizaines de comptes en banque pour ouvrir des entités dans une dizaine de pays d’Europe. Faute de réglementation unifiée, de droit social unifié, il faut s’adapter à chaque pays.

Il en va de même en matière de fiscalité, ce qui pose problème lorsqu’on veut instaurer des systèmes d’incitation des employés qui soient intéressants. On procède donc à des petits ajustements, on essaie de faire au mieux mais la diversité des systèmes fiscaux d’un pays à l’autre est assez catastrophique. Cette absence de marché unifié constitue la principale lourdeur du système.

On est aussi confronté à un empilement de réglementations, plus ou moins cohérentes entre elles : le RGPD, le règlement général sur la protection des données, les lois sur le copyright et le text and data mining, ou encore l’AI Act, le règlement européen sur l’IA, qui entrera en vigueur en août. Tous ces textes traitent plus ou moins du même sujet – les données, notamment personnelles, disponibles sur internet – sans dire exactement la même chose, ce qui nous oblige à nous documenter, et chacun des vingt-sept pays européens dispose de son propre organe, plus ou moins zélé, chargé de les faire appliquer.

À l’arrivée, l’équipe de compliance chez Mistral compte pas moins de cinq personnes. Pour nous, c’est jouable, parce que nous sommes suffisamment gros, et que ces dépenses sont incorporées dans les frais généraux – même si c’est pénible. En revanche, un entrepreneur qui veut se lancer aura peur. Face à cette situation et à l’ambiance générale dans notre pays – où l’on s’est réjoui, en 2024, d’avoir réglementé encore davantage, avec l’AI Act –, il aura envie de partir aux États-Unis. D’ailleurs, c’est ce qui se passe : nous perdons de nombreux entrepreneurs. Des investisseurs pensent que l’Europe a perdu parce qu’elle réglemente trop. Les États-Unis ne se privent pas de s’emparer du récit selon lequel l’Europe serait perdante à cause des ronds-de-cuir qui réglementent à Bruxelles parce qu’ils sont incapables d’innover. Ce récit est d’autant plus destructeur qu’il est intériorisé par les Européens – on peut parler d’une forme de colonialisme. Il faut renverser ce récit, ce qui suppose de prévoir des réglementations plus simples et unifiées afin que nous puissions aller plus vite.

La fragmentation du marché n’est pas un atout. C’est plutôt un inconvénient parce qu’elle nécessite de composer des équipes différentes, qui vendent de façon différente selon les endroits.

Il faut savoir qu’il existe environ soixante opérateurs de télécommunications en Europe alors que les États-Unis en comptent seulement trois – le budget de chacun étant donc vingt fois plus élevé. Dès lors, lorsqu’ils investissent dans l’intelligence artificielle, ils peuvent mettre beaucoup d’argent sur la table. Voilà pourquoi la technologie américaine est partout.

Les start-up vendent, dans un premier temps, aux autres start-up – car la course à la réussite, dans sa version venture capitalist, fonctionne de façon circulaire – puis aux autres entreprises américaines, qui sont énormes et peuvent rapidement acheter. Une fois qu’elles sont ainsi passées à l’échelle, elles exportent vers l’Europe, où aucun acteur n’a émergé à temps, et rachètent les quelques boîtes qui ont développé des compétences, ce qui leur permet de se consolider. C’est ainsi qu’elles absorbent tout le marché.

Entre les pays européens, cela ne se passe pas comme ça : la viscosité est beaucoup plus forte car les entreprises sont plus petites. En outre, il faut parler une vingtaine de langues et maîtriser vingt-sept réglementations différentes.

Cette fragmentation n’est donc plutôt pas du tout une chance. Il y a un aspect positif : c’est que les entreprises sont plus ouvertes au partenariat, ont des approches plus constructives, d’autant plus que nous avons la chance de compter de nombreux champions, en particulier dans le secteur de l’industrie. Et comme les Américains ne peuvent pas vraiment répliquer ces approches partenariales, ces revenus sont plus facilement défendables. La viscosité, qui joue au départ en notre défaveur, peut donc tourner à notre avantage, face à un concurrent qui veut s’emparer d’un marché. Cependant, globalement, il serait préférable que le marché européen soit bien moins fragmenté.

J’en viens enfin à l’idée selon laquelle la réglementation pourrait représenter un outil de défense contre les Américains. Certes, l’intention est bonne – favoriser les start-up européennes – mais dans les faits, nous n’avons jamais réussi à atteindre notre but. La raison est très simple : la réglementation entraîne un surcoût qui est surmontable uniquement par des entreprises assez solides. Donc on se retrouve à importer des acteurs américains. En technologie plus qu’ailleurs, l’existence d’une réglementation favorise les gros. Comme on dit, l’enfer est pavé de bonnes intentions.

J’indique une piste d’amélioration : il faudrait que la demande publique soit recyclée pour faire de la R&D sur le territoire européen – cela vaut aussi bien pour la défense que pour les autres secteurs publics. C’est nécessaire, il faut une prise de conscience politique sur ce point. C’est d’ailleurs ce que les Américains font avec succès depuis les années 1940. Faut-il faire évoluer la réglementation dans ce sens ? Peut-être mais nous devons veiller à maintenir une concurrence très élevée en Europe. Si l’on peut parler de planification puisqu’il est question de choisir où vont les dépenses de l’État, il ne faut pas pour autant préciser comment cet argent doit ensuite être utilisé.

En résumé, réglementer pour défendre, cela ne fonctionne pas.

Mme Isabelle Rauch, présidente. Je n’ai pas dit qu’il fallait réglementer pour défendre. Je demandais s’il ne serait pas intéressant que la réglementation prévoie que les opérateurs publics prennent en considération l’analyse du cycle de vie plutôt qu’un autre critère.

M. Arthur Mensch. Sur ce point, je suis d’accord. En revanche, ce n’est pas parce qu’on ajoutera des règles que les Européens s’en sortiront mieux. Car, lorsque de nouvelles règles apparaissent, il faut avoir recours à des lobbys pour faire en sorte que ces règles s’appliquent de la manière la plus favorable. Or les acteurs américains sont puissants et disposent de beaucoup plus de lobbyistes à Bruxelles que nous ; ce sont eux qui gagnent la partie.

Mme Cyrielle Chatelain, rapporteure. Vous avez cité des infrastructures de 1 gigawatt. Est-ce que cela signifie que celles dont la puissance installée est inférieure ne sont plus adaptées ?

M. Arthur Mensch. Il faut avoir à l’esprit l’idée du réseau plutôt que de parler, comme on l’a beaucoup fait à propos de l’intelligence artificielle, de giga-usines. Il est question de services numériques qui ont besoin d’une puissance électrique qui est distribuée. Il n’est donc pas forcément nécessaire de construire une infrastructure imposante. Une forte colocalisation n’est pas indispensable. On peut tout à fait construire plusieurs sites de 100 mégawatts.

En revanche, lorsqu’on implante un site d’1 gigawatt, par exemple Campus IA, on fait des économies d’échelle. Cela permet de déployer des clusters d’entraînement qui, eux, ont besoin d’être colocalisés. Ils mobilisent simultanément un très grand nombre de GPU et doivent donc être très connectés entre eux pour pouvoir communiquer, par conséquent il est préférable de les rapprocher géographiquement. En outre, l’empreinte environnementale est moins élevée : la taille d’une station de transformation reste à peu près la même, que sa puissance soit de 100 mégawatts ou d’1 gigawatt. Toutefois, en France, le réseau électrique est performant ; par conséquent, nous ne sommes pas obligés de construire uniquement des gros sites.

Par exemple, à Mistral AI, nous ne disposons pas uniquement de gros sites : nous implantons souvent des clusters de 40 mégawatts, nous en avons un de 25 mégawatts en Suède, nous avons aussi un projet de centre de 80 mégawatts en France pour l’an prochain. De toute façon, pour déployer un centre de 1 gigawatt, il faut beaucoup de temps. Nous atteindrons cette échelle seulement à horizon 2028 ou 2029.

Mme Cyrielle Chatelain, rapporteure. Vous avez parlé assez justement du risque de verrouillage si les data centers, une fois construits, sont principalement occupés par des acteurs extra-européens et qu’il n’est ensuite plus possible de récupérer la puissance qui a ainsi été captée. La réglementation ne pourrait-elle pas permettre d’empêcher ce phénomène ?

M. Arthur Mensch. Actuellement, la loi européenne ne le permet pas. L’accès aux électrons en Europe repose sur un principe fondamental de neutralité. Il existe bien sûr des volontés politiques mais le problème, c’est qu’il y a assez peu de centralisation en la matière. Ce n’est pas l’État qui décide d’un plan stratégique afin de déterminer à quel endroit il déploie une installation et à quel acteur il la loue. Cette compétence est distribuée entre les intercommunalités, qui ne comprennent pas forcément les enjeux supranationaux.

La location fonctionne de façon largement sous-optimale même si elle repose sur un principe économique : elle est proposée à ceux qui peuvent payer, ce qui suppose qu’ils aient de la demande. Mistral est par exemple en mesure de payer des sommes assez importantes ; et nous aimerions payer plus, mais il nous faudrait davantage de demande. Une fois que la demande est là, si l’on a une visibilité à long terme et que l’on sait qui achètera les tokens, on peut chercher des financements, lever de la dette et construire un projet plus rapidement que les autres. Or ce type de planification n’est pas d’actualité.

Mme Audrey Herblin-Stoop. Plusieurs projets de réglementation sont en cours de discussion à Bruxelles, notamment le Cloud and AI Development Act et le paquet souveraineté. Il y a là deux leviers d’action : premièrement la définition de ce qu’est un cloud souverain, deuxièmement la préférence européenne dans la commande publique, qui nous semble être une manière – certes imparfaite – de créer des opportunités pour les entreprises européennes.

La définition du cloud souverain doit être la plus juste et la plus pertinente possible. Le fait qu’une entité juridique soit vaguement établie dans un pays ne suffit pas : il faut s’assurer que le contrôle de l’entreprise n’est pas exercé par des entités étrangères et que la donnée stockée n’est à aucun moment soumise aux juridictions américaines notamment – je pense au Cloud Act.

M. Arthur Mensch. Il y a en effet un sujet d’extraterritorialité, mais aussi un sujet économique : où la R&D est-elle réinvestie ? Quand des sociétés européennes sont totalement contrôlées par des sociétés étrangères, tous les revenus repartent au siège. C’est cela qu’il faut regarder.

Mme Cyrielle Chatelain, rapporteure. D’où l’importance de ne pas attendre un verrouillage pour agir ! J’entends qu’il est possible d’accroître la capacité d’achat et le potentiel du marché ; mais je pense que les collectivités locales ont peu leur mot à dire dans les projets. Il me semble que les acteurs qui décident des espaces d’implantation sont soit les acteurs économiques et les investisseurs, soit l’État dans son rôle de pilote.

Avez-vous une idée de la part de la commande publique dans votre chiffre d’affaires ?

M. Arthur Mensch. De tête, je dirais que la commande publique globale représente 20 % de notre chiffre d’affaires, sur la partie logiciels, et la commande publique française 10 %. Nous ne cherchons pas à la faire beaucoup augmenter, mais tout croît.

Nous avons des contrats-cadres significatifs avec le Luxembourg par exemple, où nous faisons du déploiement en administration centrale. Nous ne le faisons pas du tout à ce type d’échelle en France mais beaucoup dans les territoires, avec la Caisse des dépôts, et dans le domaine de la défense avec le ministère des armées.

Les administrations centrales devraient voir l’intelligence artificielle générative comme une manière de créer la productivité dont elles ont besoin, étant donné la démographie européenne en particulier. Je pense que l’IA pourrait être plus largement adoptée. Cela serait bénéfique pour la qualité des services publics, pour les finances publiques ainsi que pour l’écosystème : la commande est recyclée en R&D et permet l’émergence d’autres fournisseurs européens, etc.

Mme Cyrielle Chatelain, rapporteure. Avez-vous connaissance d’études macroéconomiques sur les gains de productivité et les retours sur investissement générés par l’IA ? Nous avons posé la question à plusieurs reprises sans obtenir de réponse.

M. Arthur Mensch. Nous avons beaucoup d’études microéconomiques : nos clients nous disent qu’ils enregistrent des retours largement supérieurs à ce qu’ils dépensent en intelligence artificielle chez nous. Dans certains cas d’usage, ils font 50 millions de retour sur investissement parce que les machines fonctionnent mieux. On observe aussi des gains de productivité d’un facteur 5 dans des services clients ; autrement dit, pour effectuer une tâche, il faut 20 % du temps qu’il fallait avant l’IA. C’est donc très significatif.

Je pense qu’il n’y a pas encore beaucoup d’études macroéconomiques parce qu’on manque de recul : la délégation de tâche à un agent pendant toute la journée n’est possible que depuis six mois. Je le disais, avec 10 % de notre masse salariale consacrés à l’équipement de notre personnel, nous avons fait un gain de productivité de facteur 2 par rapport à il y a six mois. Ce n’est pas une étude macroéconomique, c’est vrai, mais on parle d’un gain de productivité pour un coût représentant 10 % à 20 % des opex (dépenses d’exploitation) ou de la masse salariale dans le monde.

Certes, la productivité ne sera pas multipliée par deux partout ; chez nous c’est assez facile car, compte tenu de la faible empreinte physique de notre activité, l’utilisation des agents suscite peu de frictions. Dans l’industrie lourde, c’est un peu plus difficile, parce qu’il faut tester des systèmes physiques. Mais pour 10 % de la masse salariale – sachant qu’en général, un client achète une technologie lorsque celle-ci ne lui prend pas plus de 50 % de la valeur –, il y a 20 % de gains de productivité. Il faut avoir en tête que ce ne sera pas forcément 20 % de croissance en plus : il y aura de la croissance mais aussi des destructions d’emplois – du moins une modification des emplois existants.

Je reviens à une approche macroéconomique : certains métiers disparaissent presque, et les gens s’adaptent assez vite. Il n’est pas exclu qu’il y ait une augmentation du chômage dans certains domaines et un déplacement de la valeur du travail vers le capital – lequel est, pour le moment, largement extra-européen.

La situation est, je pense, assez explosive : à cause de l’intelligence artificielle, il y a des destructions d’emplois – en tout cas, des modifications très rapides de la structure de l’emploi en Europe ; il y a ensuite des conflits d’usage de l’électricité – tout le monde en veut, mais il n’y en a pas assez –, et donc une inflation ; il y a enfin une explosion du déficit commercial qui, dans le domaine des services, sera multiplié par cinq dans les cinq prochaines années. Une situation comme celle-ci est révolutionnaire. Il faut la prendre en compte, en parler davantage et avoir un point de vue de plus long terme sur ce qu’elle implique pour l’économie, pour la société et pour les équilibres géopolitiques. Si on ne le fait pas assez rapidement, on n’aura plus aucun choix – une situation que l’on ne voudrait pas voir advenir.

Mme Cyrielle Chatelain, rapporteure. Quels sont les cas d’usage dans lesquels l’IA est la plus utilisée ?

Il y a par ailleurs une situation que l’on pourrait qualifier de bulle. En tout cas, face à une capacité de levée de fonds très importante des acteurs de l’intelligence artificielle, il y a un modèle économique dont certains économistes disent qu’il n’est pas stabilisé, s’agissant notamment des coûts d’investissement. Vous avez cité des chiffres qui donnent le vertige. Il y a donc de très fortes capacités d’investissement dans les infrastructures comme les data centers, qui auront besoin d’une maintenance en continu. Dans le même temps, le coût de l’IA est très faible aujourd’hui pour les clients ; ce n’est peut-être pas votre modèle mais c’est en tout cas la promesse faite par les acteurs américains comme OpenAI. Compte tenu des montants colossaux des investissements et du coût de la maintenance des infrastructures, sera-t-il possible de conserver un prix modéré ? N’y a-t-il pas un risque de verrouillage ? Si les opérateurs augmentent fortement leurs prix, des acteurs économiques ayant revu leur organisation du travail pourraient se retrouver dans l’impossibilité de se dégager de ces nouveaux services numériques.

M. Arthur Mensch. Le premier cas d’usage est le développement logiciel. Chez Mistral, les ingénieurs n’écrivent plus de lignes de code. La façon de travailler, dans ce domaine, a profondément changé au cours des six derniers mois. Auparavant, les contributeurs individuels étaient des artisans qui écrivaient du code. Les gens aimaient cet artisanat ; j’en viens, et c’était mon cas. Aujourd’hui, ce ne sont plus des artisans mais des managers, des donneurs d’ordres : ils demandent à des agents d’écrire le code pour eux en leur décrivant des spécifications. C’est un changement assez profond, qui s’accompagne de gains de productivité plus ou moins importants selon la taille de l’équipe : quand vous êtes seul, vous pouvez aller dix ou vingt fois plus vite ; quand vous êtes cinq, les gains sont un peu moindres parce qu’il y a l’enjeu de la communication. Dans une très grosse entreprise, il faut lever les goulots d’étranglement organisationnels pour atteindre les gains de productivité dont on rêve.

Mme Cyrielle Chatelain, rapporteure. À combien de tokens équivaut un salarié écrivant des lignes de code ?

M. Arthur Mensch. Je compte plutôt en mégawatts. L’ordre de grandeur, c’est environ 1 kilowatt par salarié, soit un demi-GPU (processeur graphique) ou encore 10 000 euros par an par personne – ce qui représente au niveau de l’Europe, c’est-à-dire 400 millions de personnes, 8 trilliards.

Avec 10 000 euros par an, soit 30 euros par jour, vous générez 10 millions de tokens. Sachant qu’une ligne de code, c’est environ 100 tokens, cela fait environ 100 000 lignes de code. Mais quand vous demandez à un agent de faire du code, il fait aussi autre chose. Il va beaucoup réfléchir, et générer des tokens pour se demander : dois-je faire ceci ou cela ? Dois‑je faire tourner ce test ? Est-ce que ça marche ? Dois-je le réécrire ? Le code qu’il écrit à la fin est court mais il a fait beaucoup d’expériences – celles que le développeur logiciel faisait auparavant.

Quant à la bulle, on a dit pendant longtemps qu’il y en avait une, mais ce n’est pas le cas. Une bulle, c’est quand la demande est surestimée. Or le problème aujourd’hui est plutôt celui de l’offre. Beaucoup de gens viennent nous voir en nous disant qu’ils ont besoin de plus de tokens que ce qu’ils avaient prévu. Il n’y a pas assez de logique, donc de chips ; pas assez de mémoire, de cartes mères, de disques durs ; pas assez d’hélium pour les semi-conducteurs ; pas assez d’électrons. Toute la chaîne des semi-conducteurs est mise sous pression par l’intelligence artificielle. Le manque est donc plutôt du côté de l’offre que de celui de la demande.

Pour que le modèle économique fonctionne, il faut qu’une entreprise de technologie qui investit 50 milliards pour bâtir 1 gigawatt puisse repartir avec 100 milliards ; ce qui signifie que vous devez créer 200 milliards de valeur pour votre client. Est-on aujourd’hui à ces équilibres ? Pas complètement. On met évidemment de l’argent sur la table au début parce qu’on sait qu’une fois qu’on a capturé la demande et l’offre, on peut monter les prix et les marges. Le risque est donc celui que j’évoquais tout à l’heure : si vous ne déployez pas suffisamment vite, vous n’allez pas capturer suffisamment de parts de marché. Des oligopoles vont se former ; eux vont retrouver leurs billes. Toute l’économie américaine ne met pas 1 trilliard sur la table chaque année si elle ne s’imagine pas repartir avec 2 trilliards. Je ne m’inquiète pas pour eux ; je m’inquiète plutôt pour nous.

M. Arnaud Saint-Martin (LFI-NFP). J’aimerais d’abord vous interroger sur l’économie des travailleurs du clic, auxquels des enquêtes journalistiques ont été consacrées récemment. D’où viennent les annotateurs ? Comment entraînent-ils les modèles ? Combien sont-ils payés et au travers de quelles entreprises ?

Vous avez évoqué des modèles qui ont une certaine politique, qui actionnent certaines choses. On connaît les polémiques autour de X, notamment. Pourriez-vous nous apporter des précisions à ce sujet ? Sur quelle politique vous appuyez-vous pour générer votre business ? Quels sont les verrous éthiques qui cadrent votre activité ?

Je m’interroge enfin sur la soutenabilité financière de votre entreprise car je pense quant à moi qu’il y a une bulle ; une réflexion est en cours à ce sujet en économie politique du numérique. Il y a des effets d’entraînement massifs, avec des entreprises qui surcapitalisent et des valorisations financières indécentes. Comment vous protégez-vous d’une éventuelle implosion ? Quand bien même vous faites état d’une demande pléthorique, comment vous prémunissez-vous contre le possible effondrement d’une économie qui, pour l’instant, fonctionne largement sur la promesse de retours sur investissement qui restent assez théoriques ?

M. Arthur Mensch. Durant les premières années de l’IA générative, les modèles étaient largement entraînés avec de l’annotation humaine – des gens qui donnent leurs préférences, etc. Cela nous a permis d’arriver collectivement à un niveau de modèle qui parvient à engager des conversations.

Au fur et à mesure que la technologie s’est développée, on a eu besoin d’annotateurs de plus en plus qualifiés. Aujourd’hui, les annotateurs chez Mistral sont des gens qui ont des thèses ; ce sont des gens à qui on demande de résoudre des problèmes de sécurité dans un répertoire de code, ou des problèmes de physique des particules. Souvent ce ne sont pas des gens, d’ailleurs, mais des environnements, car ce n’est pas de signaux humains qu’on a besoin, mais de signaux d’environnement : vous demandez à l’agent de faire des modifications sur le code, puis vous mettez celui-ci dans un environnement qui va l’exécuter et vous dire s’il fonctionne ou pas. Vous pouvez faire ça aussi avec de la 3D ou avec des fichiers Excel.

Le sujet n’est donc plus tant celui des annotateurs humains que celui des développeurs de logiciels qui créent les environnements pouvant être utilisés largement à l’échelle, et donner un signal au modèle. Pour nous, il s’agit maintenant de distiller des environnements, de comprendre comment un environnement de code fonctionne, de prendre le signal et de le ramener vers le modèle. Imaginons un outil de simulation numérique : vous le faites tourner de nombreuses fois, vous prenez le signal à la sortie et vous l’utilisez pour que le modèle comprenne un peu mieux la physique que vous êtes en train de simuler.

Le sujet, c’est de ramener le signal de l’environnement vers le modèle, ce qui implique un travail beaucoup moins intense. Le changement s’est fait en 2023-2024.

Pour l’annotation, nous avions toujours travaillé avec des fournisseurs qui nous apportaient des garanties s’agissant des salaires, notamment.

M. Arnaud Saint-Martin (LFI-NFP). Où étaient-ils implantés ?

M. Arthur Mensch. Aux États-Unis, en Europe… Comme nous avons besoin de travailleurs qualifiés et parlant un certain nombre de langues européennes, nous sommes obligés de nous tourner plutôt vers l’Europe. Pour nos activités de robotique, nous travaillons avec Madagascar et nous avons mis en place un cadre de travail pour faire en sorte que les gens soient bien rémunérés, entre autres.

J’en viens à votre question sur la politique. Le modèle répond comme il veut à la question que vous lui posez. Il y a donc un enjeu en quelque sorte éditorial : déterminer ce qu’il va vous répondre quand vous lui posez une question orientée. Notre stratégie en la matière consiste à suivre les instructions et à avoir le moins de biais possible. C’est un sujet scientifique et technique, que nous ne prétendons pas résoudre complètement. La question éditoriale se pose vraiment quand vous faites des chatbots pour le grand public, ce qui n’est pas vraiment notre sujet.

En revanche, les systèmes qui écrivent et exécutent du code peuvent choisir différentes bibliothèques de code et faire des choix plus ou moins sécurisés. Nous faisons donc en permanence un travail de sécurisation du code généré : nos clients nous le demandent. Il y a un vrai enjeu de sécurité, à partir du moment où les modèles sont exécutés pour faire des actions irréversibles, pour exécuter du code et éventuellement pour actionner certaines chaînes logistiques, par exemple. Nous avons une équipe dédiée à la sécurité et à la sûreté : c’est un sujet très important pour nous. Nous le traitons aussi en donnant des outils à nos clients afin qu’ils soient capables d’observer et de vérifier que les applications font bien ce qu’ils ont envie qu’elles fassent.

Mme Cyrielle Chatelain, rapporteure. J’ai une dernière question assez simple : demain, les Américains pourraient-ils racheter Mistral AI ?

M. Arthur Mensch. Nous avons avec nous quelques sociétés de VC (venture capital), qui représentent moins de 30 % de notre capital. Nous aurions été ravis de prendre des Européens, mais il n’y en avait pas ! On y perd sur le plan économique : la partie general partner du retour sur investissement dans Mistral repart aux États-Unis, par le biais des fonds américains. Quant à la partie limited partner (LP), elle revient partiellement en Europe, car les Américains lèvent dans le monde entier. Donc on perd du retour, parce qu’on n’a pas tout l’écosystème. C’est dommage mais c’est comme ça.

Notre objectif est de rester indépendants. Il arrive évidemment qu’on nous demande si l’on peut nous racheter : nous répondons non, car notre mission est de rester indépendants, d’aller vers une cotation, à terme, et de faire en sorte de fournir une alternative.

Si vous réussissez, vous ne vous faites pas racheter. Si vous vous faites racheter c’est que, d’une certaine manière, vous avez raté. En tout cas, c’est comme ça qu’il faudrait réfléchir. De nombreux entrepreneurs, en Europe, réfléchissent à des stratégies d’exit qui consistent plutôt en des rachats par des sociétés américaines. Ces stratégies sont perdantes – enfin, vraiment dommageables sur le plan macroéconomique. Ce qu’il faut, c’est créer des champions européens indépendants. C’est à ça que nous travaillons ! Nous n’avons pas encore gagné, mais nous y travaillons.

Mme Isabelle Rauch, présidente. Souhaitez-vous ajouter quelque chose ?

M. Arthur Mensch. Non, je crois que nous avons couvert beaucoup de sujets !

Je redis qu’il ne faut surtout pas distinguer la question du cloud du reste de l’IA. Nous ne devons pas nous dire qu’on a perdu la bataille du cloud. Au contraire, il faut remonter ; et pour cela, il faut passer par la valeur ajoutée importante, celle qui fait la croissance : l’intelligence artificielle. À partir de là, tout le reste du cloud peut suivre. Il faut concentrer les efforts là où l’on est fort. Il se trouve que nous avons la chance d’être relativement forts en intelligence artificielle et d’avoir de la capacité électrique. Si l’on combine les deux, on peut retrouver une part de marché soutenable. Il faut absolument le faire ; sinon, nous allons devenir un État vassal.

Mme Isabelle Rauch, présidente. Merci d’être venu devant nous.

M. Arthur Mensch. Merci beaucoup de m’avoir écouté.

Mme Isabelle Rauch, présidente. Nous avons bien compris le message final, et ce que l’Assemblée nationale va devoir faire.

* *

Audition, ouverte à la presse, de M. Fabrice Coquio, président-directeur général de Digital Realty (mardi 12 mai 2026)

Mme Isabelle Rauch, présidente. Monsieur Coquio, je vous remercie de vous être rendu disponible pour nous présenter Digital Realty et Interxion, ainsi que vos activités et implantations en France, et répondre à nos questions.

Avant de vous donner la parole, je vous prie de nous déclarer tout intérêt public ou privé de nature à influencer vos déclarations. Je vous rappelle également que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter le serment de dire la vérité, toute la vérité, rien que la vérité.

(M. Fabrice Coquio prête serment.)

M. Fabrice Coquio, président-directeur général de Digital Realty. Je travaille dans le secteur des data centers depuis 1999. J’ai d’abord exercé les fonctions de président d’Interxion, un groupe européen dont je fus l’un des fondateurs et, depuis 2020 et la fusion des deux sociétés par OPE (offre publique d’échange), je suis président de Digital Realty. Ces près de trente années d’expérience et d’engagement en faveur du déploiement des infrastructures indispensables à l’économie numérique et au développement de notre pays m’ont permis d’apprécier les transformations majeures de ce secteur. Je suis donc très heureux de pouvoir exposer, devant les représentants de la nation, ma vision dudit secteur, de notre société et des enjeux auxquels nous devons faire face.

Digital Realty est le premier opérateur européen et mondial de data centers. Le groupe est présent dans un peu plus de 30 pays ; il exploite 320 data centers dans le monde – une trentaine sont en construction – et a réalisé, l’an dernier, un chiffre d’affaires global d’un peu plus de 6 milliards de dollars. Le groupe emploie, à l’échelle mondiale, près de 5 000 personnes.

Nous sommes implantés en France depuis vingt-six ans. Nous y exploitons dix-sept data centers : treize en région parisienne et quatre à Marseille. Notre chiffre d’affaires s’élèvera, en 2026, à environ 500 millions d’euros. Nous versons, chaque année, à l’État près de 4 millions au titre de l’impôt sur les sociétés. Au cours des trois derniers exercices, nous avons contribué à la fiscalité locale à hauteur, en moyenne, de 7,5 à 8 millions – 9 millions en 2026. Entre 1999 et 2024-2025, nous avons investi 2,5 milliards sur le territoire national et nous avons pour objectif d’y investir 5,2 milliards supplémentaires d’ici à 2030. Nous employons, à ce jour, 400 collaborateurs en France, auxquels s’ajoutent un peu plus de 1 500 emplois indirects, soit la somme des employés qui nous sont dédiés par nos sous-traitants pour faire tourner nos data centers vingt-quatre heures sur vingt-quatre. Nous sommes fiers d’avoir tenu, souvent même de manière anticipée, les engagements que nous avions pris en mai 2025 auprès du président de la République lors du sommet Choose France.

Ces chiffres témoignent de notre ancrage industriel profond et ancien en France. Surtout, notre stratégie est d’y assurer une présence durable, comme l’attestent notamment les investissements que je viens d’évoquer.

Je déploie, avec mes équipes, des data centers qui hébergent les plateformes informatiques et télécoms de nos clients. Digital Realty participe ainsi modestement mais concrètement aux investissements qui concourent à doter la France des infrastructures numériques essentielles pour son économie, sa résilience et son fonctionnement. Soyons conscients que notre pays est encore dans une phase de construction de ses capacités en matière de data centers. Dans ce domaine, il a longtemps accusé un retard structurel par rapport à ses voisins européens : Pays-Bas, Allemagne ou Royaume-Uni. Ainsi, le marché de la région parisienne, qui concentre environ 70 % des capacités installées, reste très sensiblement inférieur à certains grands marchés européens comme Francfort ou Londres. Quant à la capacité installée totale de la France, elle vient seulement de dépasser, fin 2025, celle des Pays-Bas, qui représente un quart de sa population et un quart de son PIB.

Le marché français est donc en phase de rattrapage et d’investissement. De fait, le secteur que je représente, celui des data centers mutualisés, croît d’un peu plus de 10 % par an. Mais, à ce rythme-là, il faudra encore du temps et beaucoup d’investissements pour que la France prenne sa place au titre des infrastructures nécessaires.

Dans sa réalité la plus concrète, un data center est une infrastructure physique : il est composé de bâtiments sécurisés, alimentés en électricité, refroidis en permanence et connectés à des surconcentrations de réseaux télécoms de tous types : sous-marins, terrestres ou satellitaires. Ces usines de l’immatériel sont néanmoins bien réelles et sont soumises à des contraintes industrielles, environnementales et réglementaires, comme toutes les installations classées. La sécurité physique des data centers est ainsi un élément essentiel de mon métier. Depuis un peu plus de trente ans, le groupe Digital Realty participe au renforcement constant – conformément aux différentes demandes de l’administration, aux réglementations ou aux certifications – de la sécurité physique et cyber de nos installations.

Un data center est le lieu où nos clients installent leurs plateformes informatiques et – c’est peut-être ce qui nous distingue – où les données sont mises en relation et s’échangent avec les réseaux télécoms. Nos infrastructures permettent donc à des opérateurs télécoms, à des fournisseurs de services cloud, à des entreprises de toute taille, à des administrations, de se connecter directement entre eux sans passer par l’internet public ou des réseaux externes. Nous appelons ce modèle le Neutral Carrier Data Center and Hotel. Neutres, ouverts à tous les clients, nous ne sommes pas des hébergeurs de cloud : nous ne fournissons pas d’infrastructures informatiques – hardware, software ou quoi que ce soit d’autre – mais l’infrastructure bâtimentaire sur laquelle s’appuient les acteurs de l’informatique, des télécoms et du cloud.

Cette neutralité est fondamentale. Nos clients – acteur de la tech mondiale, opérateur télécoms français, entreprise de taille modeste, ONG ou administration publique – coexistent dans nos infrastructures mutualisées sans que nous ayons accès à leurs données ou que nous ayons connaissance de leurs contenus.

S’agissant du segment public, les administrations et organismes publics représentent un peu moins de 2 % de notre chiffre d’affaires, mais ils témoignent de la confiance que nous inspirons. Quant aux clients certifiés SecNumCloud, ils représentent moins de 5 % de notre chiffre d’affaires en France. Cette certification est cependant en cours d’obtention par un certain nombre d’acteurs, de sorte que leur part augmentera vraisemblablement dans les prochaines années.

Au sein du groupe Digital Realty, la France est pionnière en matière environnementale. Depuis 2014, nous nous y fournissons uniquement en énergie renouvelable – c’est également le cas de l’ensemble de nos data centers en Europe depuis 2021 – et nous compensons intégralement nos émissions du scope 1 et du scope 2. Par ailleurs, le refroidissement de la quasi‑totalité de nos sites parisiens et marseillais est assuré par un système en boucle fermée, de sorte que, la plupart du temps, nous ne consommons pas d’eau. Du reste, en France, la consommation du secteur des data centers ne représente que 0,0023 % de la consommation industrielle nationale.

Le véritable enjeu environnemental de notre secteur est désormais le scope 3, c’est‑à‑dire les émissions liées à l’activité de notre chaîne de valeur, donc de nos sous-traitants, et à la construction de nos infrastructures. Nous travaillons donc à réduire notre empreinte avec pour objectif d’abaisser de 25 % à 30 % nos émissions du scope 3 d’ici à 2030. Nous sommes convaincus que cet enjeu environnemental contribue non seulement à notre acceptabilité politique et sociétale mais aussi à notre indépendance et à notre résilience.

J’espère avoir su exprimer la passion pour ce métier qui m’anime depuis très longtemps et l’engagement d’un acteur industriel ancré en France, investi dans la durée, conscient de ses responsabilités.

Avant de répondre à vos questions avec franchise et, bien sûr, transparence, permettez‑moi de préciser quelques éléments importants de ma carrière. Fort d’une expérience de vingt‑six ans, je crois avoir une bonne connaissance du marché français, de ses fournisseurs, de ses écosystèmes et de son avenir à court et à moyen terme.

En 2008, j’ai créé le syndicat professionnel France Datacenter, qui rassemble un peu plus de 150 membres représentant l’intégralité de la filière, composée des opérateurs et exploitants, de certains clients et de la chaîne de valeur permettant la construction et l’exploitation des data centers. J’ai assuré la présidence de ce syndicat pendant dix ans et je suis toujours membre de son bureau exécutif.

En 2010, avec le Renater, le Réseau national de télécommunications pour la technologie, l’enseignement et la recherche, qui est toujours mon client, nous avons créé le France-IX – un GIX (Global Internet Exchange) –, qui est un élément essentiel à l’infrastructure et au fonctionnement d’internet sur le territoire national. Nous hébergeons d’ailleurs encore aujourd’hui ce que l’on appelle les Core POP (Point of Presence), c’est-à-dire les principaux cœurs de réseaux de France-IX.

En 2014, j’ai fourni les infrastructures nécessaires à la création du hub de Marseille, qui est devenu depuis le sixième hub mondial d’échange de contenus, derrière la région parisienne, cinquième – l’unité de mesure utilisée pour ce classement est le téraoctet par seconde. La France a la chance extraordinaire d’être le seul pays européen à disposer de deux hubs classés dans le top 10 mondial. Plus récemment, depuis la fusion avec Digital Realty, je me suis vu confier des responsabilités qui couvrent l’ensemble de la Méditerranée afin de continuer à développer le rôle fondamental du hub de Marseille.

Mme Cyrielle Chatelain, rapporteure. Les data centers sont effectivement des infrastructures indispensables. Arthur Mensch, que nous avons auditionné juste avant vous, compte, quant à lui, en mégawatts ou en gigawatts. Pouvez-vous donc nous dire combien de mégawatts représentent les dix-sept data centers de Digital Realty et leurs perspectives de développement ?

M. Fabrice Coquio. Ce qui intéresse nos clients, ce sont les mégawatts qu’ils peuvent exploiter. Mon activité consiste en effet à leur fournir, outre des équipements matériels, une infrastructure électrique, c’est-à-dire des mégawatts IT, qui leur permette de faire fonctionner leurs plateformes informatiques et télécoms. Pour cela, nous contractons donc des mégawatts auprès des réseaux d’approvisionnement – Enedis ou RTE, selon que la puissance du data center ou du campus de data centers est inférieure ou supérieure à 40 mégawatts. La différence entre les premiers et les seconds correspond à la consommation de l’infrastructure bâtimentaire du data center.

Pour répondre à votre question, nous gérons environ 250 mégawatts IT – ceux qui sont commercialisés dans le cadre de contrats : un peu plus de 200 pour Paris et de 50 pour Marseille. Mais si l’on cumule les raccordements théoriques des dix-sept bâtiments en exploitation, c’est‑à‑dire la puissance nécessaire pour faire tourner à pleine charge pendant au moins trente ans des machines qui n’existent pas encore, on atteint 400 à 450 mégawatts raccordés.

Mme Cyrielle Chatelain, rapporteure. À quelle quantité de mégawatts contractualisés correspondent vos projets de développement ?

M. Fabrice Coquio. Dans notre métier, en l’absence d’effet d’échelle, le ratio est à peu près le même pour tous : 100 mégawatts correspondent à 1 milliard d’euros d’investissement, soit 10 millions le mégawatt. Par conséquent, les 5,2 milliards d’investissement que nous avons annoncés au président de la République correspondent à 520 mégawatts : 420 à Paris, 100 à Marseille.

Mme Isabelle Rauch, présidente. Le risque n’est-il pas que la France devienne un territoire d’hébergement et qu’elle soit dépourvue d’une véritable maîtrise stratégique des données et de leur traitement ? J’ai bien conscience que ma question n’est pas directement liée à votre activité, mais je souhaiterais connaître votre réflexion à ce sujet.

M. Fabrice Coquio. Le domaine de l’informatique et des télécoms est composé de plusieurs couches d’infrastructures ou de services associés. Les acteurs de data centers mutualisés, comme Digital Realty, forment la couche la plus « basse » : ce sont les fondations. Viennent ensuite successivement le hardware, c’est-à-dire les équipements – serveurs, systèmes de calcul, moteurs quantiques ou appareils télécoms tels que des switches… –, le software, qui va faire tourner tout cela, le cloud, c’est-à-dire un système mutualisé d’hébergement des données distant, et enfin des applications d’intelligence artificielle.

Digital Realty ne fournit aucun service à valeur ajoutée, notamment des machines. Nous n’intervenons pas sur les équipements de nos clients, qui sont très sécurisés au sein de nos bâtiments : ils peuvent être enfermés dans une cage ou dans une pièce privative, voire surveillés par un gardien employé par le client. Nous connaissons le nom de l’entité qui contracte avec nous et, en fonction de ce que notre client nous dit ou de sa dénomination sociale, son activité. Mais on ne sait pas ce qui se trouve sur ses machines ni toujours celles qu’il utilise.

Quant à la donnée, elle est très rarement inerte : elle circule dans le monde à la vitesse de la lumière. Ainsi, mes clients de Marseille envoient un paquet de données à Singapour en 115 millisecondes, soit 0,11 seconde ! Notre rôle est modeste : il consiste à assurer la continuité de l’activité. De fait, si je débranche la prise ou si j’arrête de refroidir les équipements, plus grand-chose ne fonctionne.

Mme Isabelle Rauch, présidente. Ma question portait davantage sur la réflexion prospective que vous pouvez avoir en tant que dirigeant d’entreprise.

M. Fabrice Coquio. Les data centers sont des infrastructures essentielles. Il vaut donc mieux qu’ils se trouvent sur notre territoire, de même qu’il est préférable que les réseaux télécoms – terrestres, sous-marins ou satellitaires – y aboutissent. Ainsi, les autorités compétentes peuvent exercer un contrôle et, surtout, les différents usages – ceux des particuliers, des entreprises, des services publics, etc. – peuvent plus facilement se développer. En revanche, on ne peut pas forcément parler d’une territorialité de la donnée, car elle circule à une vitesse extrême. Nous n’avons aucune idée de l’endroit où elle se trouve à un instant donné, non plus, parfois, que nos clients eux-mêmes, qui gèrent de façon continue des processus d’échange.

Les hubs, c’est-à-dire des concentrations de data centers, sont implantés dans les zones métropolitaines mondiales, où se trouve l’essentiel du PIB informatique. La région parisienne, par exemple, représente 2,2 % du territoire français, 20 % de la population, 31 % du PIB national et environ 70 % du PIB informatique. Cette situation s’explique moins par l’aspect centripète de la donnée que par le fait qu’elle est par nature échangée. La localisation de nos data centers a donc vocation à permettre à nos clients – sans que nous prélevions la moindre dîme sur leurs échanges de données – d’être au bon endroit pour, de façon agile, évolutive et surtout au moindre coût, réaliser leur transformation digitale, quel que soit l’usage : e‑commerce, film, logiciel d’entreprise ou service public.

Mme Cyrielle Chatelain, rapporteure. Quelle est la part de vos clients extra-européens ?

M. Fabrice Coquio. Elle est grosso modo de 50 %. C’est le cas en France comme, du reste, dans chacun des pays européens où nous sommes implantés, sauf à Marseille, où la part des clients étrangers est plutôt de 60 % à 70 %. En effet, dans l’organisation mondiale de la donnée, trois zones métropolitaines – Singapour, Miami et Marseille – sont, du fait de leur situation géographique, des gateways, c’est-à-dire, des portes d’entrée et de sortie. Si Marseille est devenue très rapidement le sixième hub mondial et croît d’environ 30 % par an, c’est parce qu’elle se situe à l’interface entre, d’un côté, l’hinterland, c’est-à-dire le cœur européen – Paris, Francfort, Londres, Amsterdam –, et, de l’autre, l’Afrique, le Moyen-Orient, l’Inde et l’Asie. Un peu plus de 5 milliards d’êtres humains sont connectés à Marseille ! C’est pourquoi les clients étrangers sont surreprésentés dans ce hub.

Mme Cyrielle Chatelain, rapporteure. Interxion a fusionné récemment avec l’américain Digital Realty. Où est basée votre société mère ? Comme vous l’avez souligné, la localisation permet le contrôle. Or Digital Realty est vraisemblablement soumis au droit américain. Dans cette configuration, de quelle capacité de contrôle disposez-vous ? La fusion a-t-elle renforcé vos dépendances à l’égard de clients ou d’acteurs américains ?

M. Fabrice Coquio. Je préside Digital Realty France, société française de droit français. Nous sommes un groupe de holding coté. Dans la chaîne assez complexe de participations de mon actionnaire unique, j’appartiens à Digital Realty Inc., société cotée en bourse dont le siège est à Austin, au Texas. Nous sommes cotés au NYSE (New York Stock Exchange) de façon extrêmement transparente. Si nous avons fait une OPE, c’est parce qu’Interxion, acteur européen, était lui-même coté depuis 2011 au NYSE. Il y a à cela une raison fondamentale, dont témoignent les montants d’investissement que j’ai évoqués précédemment : nous exerçons un métier extrêmement capitalistique. Une étude récente de France Datacenter a montré qu’aucune autre industrie ne présentait une telle concentration capitalistique à l’hectare, à part peut-être celle des microprocesseurs. Pour vous donner un exemple, l’un des projets que j’ai annoncés au président de la République, à Dugny, au nord de Paris, représente 2 milliards d’euros d’investissement sur moins de 10 hectares, pour une capacité de 200 mégawatts. Nos usines – car ce sont des usines – se caractérisent par une surconcentration capitalistique. Elles sont extrêmement résilientes et comportent de nombreux équipements – machines électriques, climatisation, systèmes de monitoring… La partie bâtimentaire propre, c’est-à-dire le gros œuvre et le second œuvre, représente moins de 20 % du total des investissements.

Digital Realty France s’est engagé à réaliser 5,2 milliards d’investissements sur cinq ans. Nous sommes le leader en France et réalisons 500 millions d’euros de chiffre d’affaires. Nous avons donc besoin d’accéder à des moyens de financement. Si même Interxion, en son temps, était entré à la Bourse de New York, c’est que c’est le meilleur moyen pour une entreprise d’accéder à des financements de ce type. En 2011 – et encore aujourd’hui –, la Bourse de Londres, qui est pourtant très développée en matière d’investissements digitaux, n’avait absolument pas l’écosystème nécessaire en matière de capitalisation de fonds, passifs ou pas, pour financer de telles infrastructures. C’est la raison fondamentale de notre présence à la Bourse de New York. Aujourd’hui, 99 % de notre capital est flottant ; ainsi, tout le monde peut être actionnaire de Digital Realty.

Pour ma part, je suis sous mandat social d’une entreprise française répondant aux obligations légales françaises. Nous opérons sous les règles françaises. Cela a-t-il changé quoi que ce soit à la répartition des clients ? Non, pas du tout. Quand nous étions français et/ou européen, nous traitions exactement avec les mêmes types de clients, c’est-à-dire aussi bien avec des géants de la tech globale qu’avec des acteurs de l’informatique européenne et des entreprises françaises, jusqu’à des administrations et des clubs de football.

Mme Cyrielle Chatelain, rapporteure. La société Digital Realty France répond aux lois françaises, mais confirmez-vous que la maison-mère américaine dont vous dépendez répond aux lois américaines ?

M. Fabrice Coquio. Tout à fait.

Mme Cyrielle Chatelain, rapporteure. Sans vous demander de dévoiler le nom de vos clients, je voudrais comprendre comment vous établissez qu’un acteur est européen ou américain. Nous savons qu’un grand nombre de groupes américains s’installent en Europe, notamment en Irlande, comme Google. Considérez-vous qu’ils sont européens ou américains ?

M. Fabrice Coquio. Nous travaillons avec tous les acteurs de la tech mondiale. Beaucoup sont américains, quelques-uns chinois. En général, leurs infrastructures sont plutôt gérées par leurs équipes centrales et sont dissociées des activités de commercialisation ou autres. Nous traitons donc directement avec leurs sièges sociaux aux États-Unis.

Mme Cyrielle Chatelain, rapporteure. Cela signifie-t-il que parmi vos 50 % de clients européens, il n’y a pas de filiales de groupes extra-européens installées à Amsterdam ou en Irlande ?

M. Fabrice Coquio. Autant nous ne savons pas forcément quels types d’activités tournent sur les machines de nos clients, autant les entités ne sont pas comptées de façon abusive. Pour déterminer la nationalité de nos clients, nous nous référons à leurs sièges sociaux.

Mme Cyrielle Chatelain, rapporteure. La puissance énergétique est un enjeu déterminant de votre activité, et un sujet d’inquiétude. Pour vos futurs projets, envisagez-vous d’appliquer une politique particulière visant à favoriser des clients européens ?

M. Fabrice Coquio. Comme je l’ai précisé dans mon propos introductif, nous respectons un principe de neutralité qui consiste à ouvrir nos infrastructures à tout type de clients. Digital Realty est un des rares acteurs du data center dans le monde à être un généraliste : nous opérons aussi bien une baie pour une start-up que des dizaines de mégawatts pour des grands acteurs de la tech. À l’inverse – le sommet Choose France l’a illustré –, beaucoup d’annonces portent sur des hyperscalers, c’est-à-dire des bâtiments dédiés à un client, deux au maximum. Tel n’est pas du tout notre positionnement. Il y a une raison à cela. Si la croissance de notre modèle est supérieure à la moyenne du marché, c’est parce que notre neutralité nous conduit à travailler avec une diversité d’acteurs. Dans le monde de la data, personne ne peut rien faire seul. On a besoin de s’interconnecter. Il faut être deux pour faire passer une data et pratiquer ce qu’on appelle désormais le manufacturing de la data.

Cette notion de manufacturing est assez délicate à appréhender pour la data alors qu’on voit très bien de quoi il s’agit pour un produit manufacturé – une voiture, un frigidaire, etc. Depuis près d’une dizaine d’années, l’activité consiste en l’agglomération de prestations et de data de différentes natures pour offrir un service plus global, plus complet, pouvant intégrer des télécoms, de la cybersécurité, de l’IA, du legacy informatique – c’est-à-dire des éléments ou des données propres à une entreprise ou à une organisation – pour aboutir à un autre type d’éléments. On sait tous comment se fabrique une voiture, avec diverses parties prenantes ; c’est exactement la même chose pour la data. La valeur que nous offrons à nos clients, au-delà de la prestation de base qu’est l’hébergement des infrastructures, réside dans la possibilité d’accéder de façon agile, évolutive et à moindre coût aux diverses composantes du manufacturing de la data. Le modèle de hub que nous développons – plusieurs data centers interconnectés les uns avec les autres et, surtout, connectés avec des parties prenantes ayant des capacités très importantes – vise à permettre à nos clients d’aujourd’hui et de demain de travailler avec le prestataire de leur choix. Pour cela, il faut de la diversité.

Les data centers hubs sont exactement le contraire des hyperscalers ou des IA factories dédiés à un seul client, ayant un seul objet et dont les infrastructures n’ont d’ailleurs pas la même pérennité que les nôtres. En 2026, j’opère toujours avec mes équipes dans le bâtiment que j’ai construit en 1999 à Aubervilliers. C’est le signe d’une résilience de l’infrastructure et surtout d’une permanence de l’usage, même s’il a fallu rétrofiter un certain nombre d’équipements pour nous mettre en conformité avec les nouvelles règles, notamment avec les directives européennes. Nous avons une relation continue avec de nombreux clients ; certains sont là depuis vingt-six ans, d’autres nous ont rejoints depuis. Tous nos data centers fonctionnent ainsi.

Mme Cyrielle Chatelain, rapporteure. Pardon si mes questions vous paraissent naïves, mais je cherche à bien comprendre votre fonctionnement. Vous êtes un opérateur bâtimentaire physique, et votre modèle permet à vos clients de bénéficier des prestations de leur choix. J’imagine que vous avez à la fois des clients qui stockent leurs propres données et proposent des modèles de services numériques et de traitement de la donnée, et des clients qui stockent de la donnée et utilisent les services de Google, Amazon Web Services (AWS) ou autres. Il y a un intermédiaire entre le stockage et les services. Dans la majorité des cas, qui rend ce service intermédiaire ?

M. Fabrice Coquio. C’est assez compliqué à faire marcher, mais on peut expliquer le fonctionnement de façon très simple.

Le concept de manufacturing et d’échange de la donnée se décline en trois phases.

Dans la première phase, vous créez de la donnée. Cette création est réalisée à 20 % par les particuliers et à 80 % par les entreprises et les organisations. La forte appétence pour notre activité tient, au-delà d’un phénomène de rattrapage, à l’essor de la création de data. Celle-ci croît de quelque 140 % par an, soit une multiplication par dix tous les six ans : c’est considérable. Il faut donc que toute la chaîne de valeur – optronique, télécoms, data centers, machines, cartes, CPU (unités centrales de traitement), GPU (unité de traitement graphique), etc. – mène un travail de densification pour absorber cette masse. Cela explique l’effet de ciseaux qu’on constate actuellement : le marché des data centers augmente de 10 % à 15 % par an – un peu plus pour Digital Realty – parce qu’il doit absorber cette création de data. Certes, la donnée peut être créée en dehors des data centers quand elle provient des particuliers, mais elle l’est de plus en plus en leur sein, spécialement quand elle concerne les entreprises. Voilà pour la première phase.

La deuxième phase est celle au cours de laquelle nos clients stockent, traitent et manufacturent de la data, c’est-à-dire agrègent différents services pour construire un autre élément à partir de la data brute créée en phase 1.

La troisième phase est celle de l’échange de data ; et comme dans toutes les règles économiques, c’est au moment de l’échange que se crée la valeur. D’où l’importance fondamentale de la localisation des data centers. Un data center implanté dans le désert ne sert pas à grand-chose ; en revanche, s’il est posé exactement sur le point d’agrégation d’infrastructures de télécoms diversifiées tant dans leurs capacités que dans leurs acteurs, l’échange et la création de valeur sont possibles. Nos clients ont besoin d’échanger la data, celle qui circule à la vitesse de la lumière grâce aux réseaux de télécoms en fibre optique ou, désormais, en liaison satellitaire – on fait le tour de la Terre en moins de deux secondes !

Pour créer de la data en phase 1, vous n’avez pas besoin de data center. C’est plus facile, plus rapide et sûrement plus efficace avec un data center, mais cela peut être fait à l’extérieur. En revanche, en phases 2 et 3, cette couche est essentielle. Derrière, comme vous le décriviez, madame la rapporteure, un certain nombre d’acteurs apportent leur brique à la coconstruction ou à l’échange de data – que ce soit entre une entreprise et un particulier, un service public et un particulier, deux services publics, des entreprises, etc. C’est très compliqué à faire fonctionner, mais c’est toujours le même concept. Avec vingt-six ans de recul, je peux dire que cela n’a pas beaucoup changé.

Si nos clients en France ont besoin de services de cloud, ils peuvent opter pour du cloud américain, chinois, français, souverain et certifié SecNumCloud… Ils font ce qu’ils veulent ou ce à quoi ils sont contraints. Notez que ces services sont de plus en plus nécessaires ; on voit d’ailleurs se multiplier les fusions de solutions IA au sein de plateformes de cloud. Quant à nous, nous laissons chacun choisir les partenaires avec lesquels il coconstruit la phase 2 et la phase 3 – c’est en cela que nous sommes neutres.

Mme Cyrielle Chatelain, rapporteure. Quels sont les acteurs prédominants dans le process et le manufacturing des données ?

Vous avez expliqué que la localisation géographique des data centers était déterminante pour l’échange de data, mais pourquoi Marseille plutôt que le Caire ou Barcelone ? J’imagine qu’avoir un data center en Europe facilite les échanges de données conformes au droit européen, en particulier au règlement général sur la protection des données (RGPD). J’imagine aussi que vos clients préfèrent respecter la loi et que cela permet à des acteurs non européens de garantir à leurs clients que leurs données seront traitées dans le respect de la loi.

M. Fabrice Coquio. Je ne peux pas répondre pour mes clients : ils prennent leurs responsabilités en fonction des règles applicables. Pour ce qui est de Digital Realty, étant installé dans un pays européen, nous respectons bien évidemment les normes européennes, y compris le RGPD pour ce qui nous concerne, c’est-à-dire pour nos données propres et non celles de nos clients.

Mme Cyrielle Chatelain, rapporteure. Je ne doute pas que vous respectiez le RGPD. Je voulais plutôt savoir si, dans l’optique de faire de l’échange de données, le fait d’être situé dans un pays soumis au RGPD a eu un impact dans votre décision d’implantation.

M. Fabrice Coquio. Pas du tout. Nous sommes là où nos clients ont besoin de nous. C’est en les écoutant que nous avons décidé de nous installer à Marseille en 2014 : cette destination présentait un nouvel intérêt du fait des changements qui s’opéraient dans la technologie des câbles télécoms, qui avaient un impact sur le temps et les coûts. Plus que Barcelone ou le Caire, Marseille est le parfait point de rencontre avec le cœur européen. Les quatre zones métropolitaines que j’ai mentionnées, qu’on appelle Flap dans le jargon des télécoms – Francfort, Londres, Amsterdam et Paris – concentrent 60 % du PIB informatique européen. C’est ce qu’on appelle un hinterland par rapport à l’Afrique, au Moyen-Orient, à l’Inde et à l’Asie. Depuis peu, des câbles sous-marins arrivent d’Amérique du Sud directement sur la façade atlantique, essentiellement au Portugal, pour se reconnecter à Marseille et remonter en flux physique vers le cœur européen.

Toute société qui fournit un service s’implante là où ses clients ont besoin de ses infrastructures. Il n’y a là rien de virtuel : les plateformes ont des clients à servir ou à conquérir, qui justifient d’avoir des infrastructures à proximité. C’est indispensable pour accomplir la phase 3, c’est-à-dire échanger. Cet échange, peu importe s’il se fait à la vitesse de la lumière ou pas, doit être consommé – car en définitive, ce sont bien des produits qui sont commercialisés ; qu’on soit un acteur du cloud, un acteur des médias numériques qui propose de la vidéo ou du téléchargement de films, une station météorologique ou un service public, c’est toujours la même notion. La localisation est donc essentielle.

Nous sommes numéro 1 en Afrique. Nous sommes présents dans un certain nombre de zones métropolitaines africaines – notamment en Afrique du Sud et au Kenya – parce que nos clients ont besoin de ce type de services.

Mme Cyrielle Chatelain, rapporteure. Le dernier projet de développement de data center à Marseille a beaucoup fait débat, notamment pour sa consommation électrique. Comment appréhendez-vous les demandes de transparence en la matière, sachant que d’autres secteurs peuvent aussi avoir d’importants besoins électriques ? Comprenez-vous les inquiétudes liées à la consommation énergétique des data centers, en particulier dans des endroits comme Marseille où cette activité se développe très rapidement ?

M. Fabrice Coquio. Nous gérons quatre data centers à Marseille, dont trois sont implantés dans le port, c’est-à-dire sur le territoire national et non municipal. Deux autres sont en construction, l’un dans le port, représentant un investissement d’un peu plus de 300 millions d’euros, l’autre à Bouc-Bel-Air, à une quinzaine de kilomètres au nord de Marseille, en direction de l’aéroport Marignane – les travaux commencent dans une semaine.

Dans le cadre d’une concertation lancée à l’époque par le préfet Mirmand et de comités stratégiques d’évolution des data centers à Marseille, nous avions rassemblé tous les acteurs concernés : data centers, acteurs de l’énergie – Enedis, RTE –, municipalité, métropole, département, région et État. Cela a abouti à un « dire » de l’État sur la destination future des data centers et des atterrages des câbles sous-marins – élément stratégique qui explique, entre autres raisons, pourquoi Marseille est devenue un hub.

La vision de l’État devait être transposée par la métropole, qui avait compétence pour déterminer l’emplacement des futurs data centers ; l’exercice peut être comparé à celui du Sdrif, le schéma directeur de la région Île-de-France.

Un data center a besoin de foncier, d’un raccordement électrique et de réseaux télécoms. Je ne reviendrai pas sur ces derniers, Marseille étant un nœud de surconcentration sous-marine, terrestre et satellitaire. S’agissant du foncier, Digital Realty, avec ses clients, a créé le sixième hub mondial en consommant 2,5 hectares. Je ne suis pas persuadé que cela crée une rupture complète dans l’offre foncière des Bouches-du-Rhône… J’ajoute que nous y avons procédé exclusivement en transformant des friches, qui étaient parfois abandonnées depuis la deuxième guerre mondiale. C’est d’ailleurs un des atouts des data centers : notre business model nous permet de transformer des friches, de les dépolluer et de les désamianter, quand d’autres secteurs ne le pourraient pas.

J’en viens au raccordement électrique, qui est le cœur de votre question. Nous dépendons bien évidemment de la disponibilité des réseaux. Une précision me paraît utile à ce stade. La France jouit d’un énorme atout : elle est l’un des rares pays européens, pour ne pas dire le seul, à disposer d’un excès de production électrique pour au moins les deux ou trois décennies à venir. La preuve en est que l’année dernière, nous avons exporté quasiment 20 % de notre production nationale, soit 95 térawattheures. La production n’est pas un problème en France, en tout cas pour le moment.

Il en va autrement du raccordement, c’est-à-dire de la distribution. Les besoins ne peuvent pas toujours être satisfaits par l’électricité immédiatement disponible sur le réseau, que ce soit en haute tension – pour RTE – ou en moyenne tension – pour Enedis –, ce qui peut causer des encombrements et poser des problèmes d’attribution. La CRE (Commission de régulation de l’énergie) et les opérateurs de réseaux en sont conscients. Ils semblent en voie de changer quelque peu les règles – même si ce n’est pas encore complètement acté – pour passer de la logique « premier demandeur, premier servi » à celle de « projet mature, projet servi ». Cela permettrait de faire des arbitrages au détriment des projets fantômes qui ne se concrétisent pas. Il revient aussi probablement à l’État de décider si le raccordement et l’attribution d’une ressource par définition finie doivent être régis par un certain nombre de critères. C’est le rôle de la CRE. Elle s’y emploie actuellement avec les porteurs de projet, acteurs de data centers et autres acteurs industriels. Cela renvoie à des enjeux de réindustrialisation et de décarbonation de certaines activités – je pense par exemple à la zone industrielle de Fos-sur-Mer –, mais aussi de mobilité, de transport et d’électrification des usages.

Encore une fois, la consommation d’électricité, y compris par les data centers, n’est pas vraiment un sujet de préoccupation. La consommation électrique en France décroît depuis 2005 pour de nombreuses et bonnes raisons : des particuliers jusqu’aux industriels, tout le monde a fait des efforts d’efficience énergétique.

La vraie difficulté, qui peut poser des questions d’aménagement du territoire et d’accès à la ressource pour les porteurs de projets – au-delà des data centers – est le goulot d’étranglement qui apparaît sur les réseaux de distribution. J’observe ce phénomène dans toute la zone dont je m’occupe, de la Grèce au Portugal. Ce n’est en rien spécifique à la France.

Mme Cyrielle Chatelain, rapporteure. Il y a certes un goulot d’étranglement quant aux capacités d’installation, mais n’oublions pas que la capacité de production est finie. Au niveau européen, la consommation d’électricité prévue pour les data centers d’ici à quelques années pourrait dépasser la capacité de production française d’électricité. Nous parlons bien d’une industrie qui consomme de l’énergie – même si elle n’est pas la seule et s’il y en a des plus consommatrices –, ce qui pose logiquement des questions en matière de critères d’attribution de la ressource et même de politiques publiques.

Marseille illustre parfaitement le phénomène de circulation de l’information que vous décrivez. Les data centers s’y sont installés parce que les câbles sous-marins situés à proximité permettent des transmissions intercontinentales extrêmement rapides de données. Cela en fait un espace stratégique. Ces données transitent, circulent, s’échangent. D’où ma question : en définitive, quelle plus-value cela représente-t-il pour le territoire ? Au-delà des activités de construction et de maintenance liées à leur implantation, quelle plus-value les data centers apportent-ils en matière de R&D, d’emplois, etc. ? Quelle valeur ajoutée créent-ils réellement pour le territoire ?

M. Fabrice Coquio. L’échange de données – la phase 3 que j’évoquais tout à l’heure – est bien sûr une part cruciale de l’activité à Marseille, mais le transit de la data y précède largement notre arrivée : des câbles sous-marins desservent Marseille depuis trente ans, c’est-à-dire depuis une époque où les capacités des data centers y étaient presque inexistantes. Ce qui a fondamentalement changé depuis, c’est le concept de manufacturing de la data : il ne s’agit plus de faire arriver la donnée par un câble sous-marin et de la faire repartir par voie terrestre ailleurs en Europe ou dans le monde, mais de créer de la valeur en agrégeant des plateformes informatiques. N’oublions pas que, pour chaque euro investi par Digital Realty, nos clients en investissent quatre : si nous investissons 1 milliard dans l’infrastructure de data center de Marseille, nos clients investiront 4 milliards de plus en hardwares et en softwares. Les sommes en jeu sont considérables.

Si l’on constate de telles concentrations d’investissement dans les différentes couches d’infrastructures, c’est bien parce que Marseille est devenue non plus un simple centre de transit, mais un centre de production, qui concentre des très fortes capacités de cloud, d’IA, de systèmes de cybersécurité, de systèmes télécoms, de systèmes satellitaires : tous les maillons de la chaîne de valeur du numérique y sont présents massivement. Le fait que nous venions d’investir 1 milliard d’euros à Marseille sur une période très courte alors que nous n’y avions dépensé que 500 millions en dix ans montre d’ailleurs bien le phénomène d’accélération et d’agrégation en cours.

Quant à l’impact direct de ces infrastructures pour le territoire concerné, il s’observe d’abord pendant la phase de construction : le chantier en cours à Marseille emploiera 400 à 450 compagnons pendant deux ans, sans parler des machines que nous sommes susceptibles d’acheter à des fabricants français ou européens.

Plus largement, la logique est exactement la même que pour un port ou un aéroport – j’en parlais d’ailleurs récemment avec le président de l’aéroport Marseille-Provence. Nous sommes une infrastructure d’échanges : je choisis où implanter l’aéroport, je le construis et le gère vingt-quatre heures sur vingt-quatre ; mes clients sont les compagnies aériennes ; les data sont les passagers. Comme un aéroport, un data center a un impact direct lié à l’usage de ses infrastructures, qui sont nécessaires à la survie de tout un écosystème regroupant aussi bien des particuliers que des start-up ou des services publics. La métropole d’Aix-Marseille-Provence, l’ARS (agence régionale de santé) ou l’Établissement français du sang font partie de nos clients, précisément parce qu’ils bénéficient de l’infrastructure. Il y a un an ou deux, un de mes clients, basé à Besançon, avait publié sur LinkedIn un post expliquant en quoi il dépendait absolument du hub de Marseille, de la même manière que des personnes habitant à Besançon doivent pouvoir aller à Roissy, Marseille ou Nice pour prendre l’avion. Les mêmes logiques sont à l’œuvre.

L’impact du hub de Marseille dépasse donc très largement sa simple présence dans la ville ou même dans les Bouches-du-Rhône, si l’on tient compte des services qu’il fournit aux entreprises et aux organisations françaises.

Mme Cyrielle Chatelain, rapporteure. Pour reprendre votre exemple, un aéroport présente certes à peu près la même intensité en emplois qu’un data center au stade de sa construction, mais, une fois qu’il fonctionne, il accueille des passagers qui vont prendre un taxi, louer une chambre d’hôtel, visiter Marseille, consommer dans les restaurants et les magasins, etc. Il me semble que la comparaison avec la donnée s’arrête là. De la même manière, un aéroport fait travailler des stewards, des agents de sécurité et des fonctions support, tandis que, si un data center emploie bien évidemment des personnes chargées d’en assurer la sécurité ou la maintenance, l’intensité en emplois y est beaucoup plus faible, puisque les personnes qui exploitent la donnée peuvent travailler aussi bien à Besançon que partout ailleurs dans le monde. J’ai donc du mal à percevoir quelle plus-value un data center apporte concrètement à un territoire. Vous avez la métropole pour client ; cela signifie surtout qu’elle vous paye. Ce n’est pas exactement le genre de retombées directes auxquelles je songeais.

M. Fabrice Coquio. Contrairement à ce qu’on pense parfois, on pourrait presque dire qu’un data center fourmille : en moyenne, dans chacun de nos quatre centres marseillais, 120 à 170 personnes entrent et sortent par tranche de vingt-quatre heures. L’image d’un centre regroupant des machines qui tournent toutes seules dans le noir est très éloignée de la réalité. Ces infrastructures étant tout à fait critiques, elles mobilisent énormément de gens, depuis les agents de sûreté et les agents de prévention Ssiap (Service de sécurité incendie et d’assistance à personne) jusqu’au personnel chargé du ménage technique ou de l’entretien des machines. Un data center de Digital Realty est divisé de façon à peu près égale entre les locaux techniques et les espaces d’hébergement des clients. On peut dire, de façon non abusive, qu’il s’agit d’une véritable usine.

L’entretien de cette usine qui fonctionne en permanence suppose d’assurer la maintenance préventive – nous dépensons des fortunes pour éviter toute rupture de continuité du service – et d’employer des myriades de personnels spécialisés. Par ailleurs, lorsqu’ils sont chez nous, nos clients sont chez eux : ils accèdent physiquement aux locaux – dès lors qu’ils y sont autorisés de façon temporaire ou permanente, évidemment – et y font également intervenir leurs sous-traitants directs chargés de l’entretien et de la modification de leurs machines. Beaucoup de clients jugent en outre ces infrastructures si sensibles qu’ils y affectent des équipes à demeure, lesquelles restent donc chez nous en permanence. Je n’inclus pas ces résidents dans le nombre d’emplois indirects créés.

Un élu marseillais m’a récemment interpellé en me reprochant d’investir beaucoup mais de ne pas créer beaucoup d’emplois. Il est vrai que les data centers restent des infrastructures : ils sont intensifs en capital plus qu’en salariés. Toutefois, nous avons créé 150 CDI en dix ans et nous employons 450 à 500 autres personnes à temps plein : plus de quatre-vingt-dix pour la sûreté, plus de soixante pour le ménage, sans compter les agents Ssiap et les autres. Quelle autre société a créé – véritablement créé, pas déplacé – 600 emplois à Marseille au cours des dix dernières années ? On peut toujours souhaiter faire mieux, mais l’impact de nos data centers en matière d’emploi local n’est pas négligeable.

Encore une fois, nous rendons un service d’infrastructure : nos clients, qu’ils soient à Besançon, à Paris ou ailleurs, ne peuvent fonctionner que si l’infrastructure existe. C’est toute la chaîne économique reposant sur le numérique, c’est-à-dire quasiment tous les services que nous consommons en tant que particulier ou que citoyen, qui est directement affectée par la présence de telles infrastructures. D’ailleurs, pour en revenir à ma comparaison, un aéroport crée surtout de l’emploi indirect et a surtout des impacts induits.

Mme Cyrielle Chatelain, rapporteure. J’imagine néanmoins que l’équilibre économique d’un aéroport n’accueillant que 120 à 170 personnes par jour serait assez fragile. Je retiens donc que vous avez créé environ 150 emplois, auxquels s’ajoutent ceux créés par vos clients.

M. Fabrice Coquio. Le chiffre global est plutôt de 600, en comptant les emplois indirects qui nous sont dédiés. Les agents de sûreté que j’emploie, par exemple, travaillent exclusivement pour nous. Je peux d’ailleurs très facilement les comptabiliser, car, en France, contrairement à ce qui se fait dans d’autres pays européens, un employé dédié à une entreprise dispose du droit de vote au CSE (comité social et économique). Je connais donc exactement, à l’unité près, le nombre de personnes indirectes dédiées que nous employons dans nos data centers à chaque fin d’exercice.

Mme Cyrielle Chatelain, rapporteure. Quelle technique utilisez-vous pour refroidir vos data centers ? Des prélèvements d’eau sont-ils nécessaires ?

M. Fabrice Coquio. Comme la plupart des data centers européens, ceux de Digital Realty fonctionnent en boucle fermée. Pour prendre une image un peu triviale mais assez juste, le système est exactement le même que pour un réfrigérateur : l’eau circule dans une boucle alimentée par des compresseurs, elle passe devant la machine à une température de 20 à 25 degrés, on la récupère à 29 degrés, on la traite pour qu’elle retombe à 20 degrés et ainsi de suite. Deux centres fonctionnent toutefois différemment, l’un à Paris et l’autre à Marseille.

À Marseille, un bâtiment que nous avons racheté en 2014 – et dont nous avons en quelque sorte hérité, donc – utilise depuis 2001 une tour réfrigérée. Cette technique est très efficiente sur le plan énergétique, mais elle n’est plus du tout adaptée dans des périodes de stress hydrique qui n’existaient pas forcément à l’époque où elle a été adoptée. Comme il ne nous est pas techniquement possible de changer ce design, nous devons vivre avec ce bâtiment. Pour être très précis, il consomme un peu plus de 56 000 mètres cubes d’eau par an, soit la consommation d’environ 1 000 Français. Nous avons beaucoup travaillé pour optimiser cette consommation et réduire les phénomènes de perte par évaporation – environ 60 % de cette eau est tout de même renvoyée dans le système de collecte.

En région parisienne, un de nos bâtiments est soumis à une contrainte imposée par la préfecture au titre du régime des ICPE (installations classées pour la protection de l’environnement), qui nous astreint à limiter ses impacts sonores. Nous devons ainsi parfois arrêter les aérocondenseurs que nos systèmes de ventilation utilisent pour extraire la chaleur – notamment quand la température ambiante dépasse les 31 ou 32 degrés, ce qui est de plus en plus fréquent –, afin de ne pas dépasser le seuil de 71 décibels. La seule façon de régler le problème est alors de faire ce que préconisent les services de la Dreal (direction régionale de l’environnement, de l’aménagement et du logement), c’est-à-dire de pulvériser de l’eau et d’utiliser le refroidissement naturel permis par l’évaporation – c’est ce qu’on appelle un rafraîchissement adiabatique. Nous avons ainsi consommé 20 000 mètres cubes l’année dernière, soit l’équivalent de la consommation de 350 Français.

Peut-être songez-vous aussi à une autre expérience que nous conduisons à Marseille. Depuis plus de cinq ans, avec le soutien de l’Ademe (Agence de la transition écologique) et du fonds Vert régional, nous utilisons pour nos data centers l’eau d’une cunette – un gros égout – qui, depuis 1887, évacue les remontées et les résidus minéraux de la mine de Gardanne dans le port. Après avoir obtenu l’autorisation du Coderst (conseil départemental de l’environnement et des risques sanitaires et technologiques), nous avons créé, avec l’acteur français Dalkia, une station de pompage qui nous permet de prélever 2 000 mètres cubes d’eau et de refroidir naturellement l’intégralité des data centers du port.

Si cette initiative est soutenue par l’Ademe, qui lui a accordé sa plus grosse dotation régionale, et même nationale, en 2022, c’est d’abord parce qu’une telle innovation est unique en Europe, mais aussi parce qu’elle favorise le développement des énergies renouvelables – nous avons produit 20 mégawatts de froid par ce biais. Surtout, les bâtiments concernés sont les plus efficients d’Europe, dans la mesure où ils sont refroidis sans aucune consommation électrique pendant 99,4 % du temps – les 0,6 % restant correspondent à la maintenance du système. L’eau pompée n’est pas consommée : nous la détournons, nous la refroidissons et nous la rejetons à une température de 29 degrés. Dans deux ans, lorsque Dalkia aura terminé le dernier tronçon, nous pourrons récupérer le retour d’eau et la calorie basse produite par le data center pour alimenter la station de Massileo, qui utilise l’énergie pour rafraîchir ou chauffer le quartier Euroméditerranée, au nord de Marseille. Pour le moment, l’eau est rejetée dans le port, sous contrôle préfectoral : nous mesurons ses impacts sur la faune et la flore tous les trimestres et communiquons les résultats selon les règles établies auprès de la Dreal.

En tout état de cause, nous ne captons pas d’eau de ville dans ce cadre.

Mme Cyrielle Chatelain, rapporteure. D’après un article paru dans La Marseillaise le 25 mars dernier, la préfecture vous aurait demandé d’installer des détecteurs de fuite de gaz fluoré dans un de vos sites, et ce dans un délai de quatre mois. Une alerte similaire aurait déjà été lancée en octobre 2023 ; vous auriez alors expliqué qu’il vous était techniquement impossible de limiter les fuites et de remplacer le gaz utilisé par un autre, moins polluant. Quelles mesures envisagez-vous à ce sujet, votre plan d’action initial ayant visiblement été jugé insuffisant ?

M. Fabrice Coquio. En l’occurrence, le problème concerne des fluides frigorigènes nécessaires au fonctionnement d’un compresseur. Nous traitons effectivement ce dossier avec la Dreal – et non avec la presse. Certaines de nos installations, pourtant fournies par un fabricant français de premier ordre, présentent un défaut matériel récurrent. Nous nous sommes efforcés de résoudre progressivement tous ces problèmes de qualité. La première mesure a consisté, conformément à la recommandation de la préfecture, à remplacer systématiquement les anciens gaz par de nouveaux, qui ont impact en matière d’effet de serre quatre-vingt-dix fois inférieur. La mise en demeure que nous avons reçue récemment concerne l’installation de sniffers, c’est-à-dire de systèmes de pré-alerte permettant d’identifier toute fuite éventuelle.

Digital Realty respecte le droit : dès que nous dépassons un certain seuil de fuite, nous le déclarons systématiquement, à Paris comme à Marseille. Je m’étonne d’ailleurs parfois que d’autres n’agissent pas de façon aussi proactive. Dans le cas auquel vous faites référence, nous avions tout simplement un problème technique : notre fabricant n’était pas en mesure d’installer des sniffers. Cela a depuis été fait ; nous avons écrit à la préfecture en ce sens il y a quelques semaines et lui avons adressé notre plan de remédiation. Le problème est en cours de traitement et sera résolu sous peu.

Au passage, cet exemple prouve que les data centers français sont régulièrement contrôlés et audités, notamment par les agents des préfectures et des Dreal, qui sont extrêmement compétents.

Mme Isabelle Rauch, présidente. Que préconiseriez-vous, au-delà de l’allègement des contraintes et des normes, pour que la France renforce sa souveraineté dans ce domaine ?

M. Fabrice Coquio. L’Europe est très en avance sur le reste du monde en matière de réglementation et de prise en compte des enjeux environnementaux. Notre groupe ne fait pas du tout partie de ceux qui demandent des dérogations, des changements, des allégements ou que sais-je : nous estimons au contraire que les directives européennes vont dans le bon sens, même si elles sont parfois très strictes et même si leur application peut se heurter à des limites physiques – on peut songer à l’impact sonore, que j’évoquais, ou aux objectifs d’efficience, qui peuvent être très compliqués à atteindre pour une infrastructure qui ne contrôle pas la consommation finale de ses clients. Ces enjeux sont fondamentaux. Si des efforts de simplification doivent être fournis, ils doivent concerner le traitement administratif des permis et nullement la réglementation environnementale. Voilà l’avis que je me suis fait après vingt‑six ans d’expérience.

Pour ce qui est de la prospective, au-delà du fait que les data centers sont clairement une infrastructure essentielle pour la vie de tout citoyen, entreprise ou organisation, il faut distinguer deux aspects : la souveraineté et la résilience.

L’exigence de souveraineté, c’est-à-dire le fait de ne pas dépendre d’un autre État, impose clairement à la France de se doter de ce type d’infrastructures. Encore une fois, l’Europe est un espace de droit ; or c’est le droit qui permet de régler les usages et les principes d’utilisation des infrastructures.

Quant à la résilience, elle passe par la multiplication et la diversité des solutions disponibles pour les utilisateurs de ce type de plateformes. C’est vrai pour les points d’atterrage des câbles sous-marins alimentant le port de Marseille, qui se situent aussi bien à Monaco qu’à La Seyne-sur-Mer, Toulon ou sur les plages de Bonneveine ou du Prado : c’est cette diversité qui fait la résilience. La même logique vaut pour les infrastructures de data centers. Nos clients l’ont d’ailleurs bien compris, raison pour laquelle ils ne concentrent jamais leurs zones de disponibilité – en IA ou en cloud – dans un seul bâtiment ou chez le même prestataire. La diversité de l’offre est indispensable pour que les utilisateurs finaux, qu’il s’agisse d’une entreprise française ou étrangère, d’une organisation ou d’un service public, puissent choisir leur infrastructure en fonction de leurs contraintes ou de leurs enjeux spécifiques. Nous n’avons pas vocation de répondre à toutes les demandes : il faudra certainement multiplier les capacités, en tenant compte, bien sûr, de leurs impacts en matière de raccordement électrique ou de foncier et surtout de leurs conséquences sociétales et environnementales.

Mme Cyrielle Chatelain, rapporteure. Vous indiquez que votre chiffre d’affaires se divise de façon à peu près équitable entre acteurs européens et extra-européens. Retrouve-t-on la même répartition dans l’énergie consommée ?

M. Fabrice Coquio. Nous mesurons chaque disjoncteur de chaque baie informatique de chaque client, dans chaque salle. Nous avons donc une idée très précise de la consommation électrique de chacun – cela vaut d’ailleurs mieux pour nous, puisque nous facturons nos clients à la fin du mois.

Peu de plateformes informatiques consomment de l’électricité de façon stable pendant la journée. C’est d’ailleurs un des atouts de nos bâtiments mutualisés : quand les bureaux d’une compagnie d’assurances ou d’un courtier ferment à 18 h 30, leur consommation baisse, mais leurs employés, quand ils rentrent chez eux et allument leur box, font augmenter la consommation d’autres clients. C’est pour cette raison que des acteurs comme RTE ou Enedis nous aiment bien : notre consommation est très stable et prévisible, sans réels pics de consommation. Pour nos clients pris individuellement, c’est très différent – même si certains, comme les plateformes de cloud, ne dépendent pas non plus de la durée du jour ou des usages, parce qu’ils offrent eux-mêmes des services partout dans le monde. À Marseille, par exemple, 20 % des flux traités concernent l’Inde.

Les profils de consommation, en tout cas, sont globalement très similaires. Il y a une raison à cela : nos clients, dès lors qu’ils contractent de l’infrastructure informatique, ont tout intérêt à la consommer – sinon, ça leur coûterait fort cher.

Mme Isabelle Rauch, présidente. Il me semble que la rapporteure voulait savoir si les acteurs extra-européens, qui représentent environ 50 % de votre chiffre d’affaires, consomment aussi 50 % de l’électricité, ou s’ils en utilisent moins ou davantage.

M. Fabrice Coquio. Nous ne constatons pas vraiment de différence dans le profil de consommation de nos clients en fonction de leur activité ou de leur nationalité.

Mme Cyrielle Chatelain, rapporteure. Nous serions très favorables à ce que vous nous communiquiez par écrit des informations plus précises sur vos clients. On entend en effet régulièrement que 80 % de l’activité de cloud est opérée par des acteurs extra-européens, ce qui ne semble pas correspondre aux chiffres dont vous nous avez fait part, que je ne mets pas en doute mais que j’aimerais mieux comprendre.

M. Fabrice Coquio. Je vous ferai très volontiers une réponse écrite, pour respecter le secret des affaires et les règles de confidentialité qui nous lient à nos clients.

Encore une fois, nous gérons en France un peu plus de 650 clients. Parmi eux, les tech giants sont peu nombreux, mais ils ont des usages très particuliers.

Mme Cyrielle Chatelain, rapporteure. J’imagine d’ailleurs qu’ils sont très consommateurs.

M. Fabrice Coquio. C’est pour cette raison que je me suis permis de faire la distinction entre les bâtiments hyperscale, dédiés à un ou deux clients, et le modèle de Digital Realty, qui est beaucoup plus mutualisé. Certains de nos bâtiments parisiens accueillent jusqu’à 150 entreprises, dont des dizaines que je ne connais absolument pas parce qu’elles sont elles‑mêmes clientes de prestataires d’infogérance informatique. Le fait de mutualiser les bâtiments nous permet de compenser les profils de consommation de chacun, mais également de gagner en résilience en résistant plus facilement à l’éventuel défaut d’un client.

Mme Isabelle Rauch, présidente. Merci beaucoup de vous être prêté à cet échange.

* *

Table ronde, ouverte à la presse, réunissant des représentants en France des Gafam (mercredi 13 mai 2026)

La commission entend, lors de sa table ronde réunissant des représentants en France des Gafam :

– Mme Corine de Bilbao, présidente de Microsoft France, et M. Philippe Limantour, directeur technologie et cybersécurité ;

– M. Sébastien Missoffe, directeur général de Google France et M. Frédéric Geraud de Lescazes, directeur des affaires publiques de Google Cloud ;

– M. Julien Lépine, représentant en France d’Amazon Web Services Europe, Moyen‑Orient, Afrique (AWS EMEA), et M. Arnaud David, directeur des affaires publiques France et Union européenne de AWS.

M. le président Philippe Latombe. Madame, messieurs, je vous remercie de vous être rendus disponibles pour participer à cette table ronde réunissant les représentants en France des géants du numérique, les Gafam.

À eux trois, Amazon Web Services (AWS), Microsoft Azure et Google Cloud représentent 70 % du marché européen du cloud. Comment les données hébergées sont-elles protégées ? Comment sont-elles exploitées ?

Je vais vous laisser la parole pour un propos liminaire d’une dizaine de minutes chacun. Vous pourrez nous présenter vos entreprises respectives au niveau mondial et européen, ainsi que l’activité réalisée en France. Au préalable, je vous remercie de nous déclarer tout intérêt public ou privé de nature à influencer vos déclarations.

L’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter le serment de dire la vérité, toute la vérité, rien que la vérité.

(Mme Corine de Bilbao, M. Philippe Limantour, M. Sébastien Missoffe, M. Frédéric Geraud de Lescazes, M. Julien Lépine et M. Arnaud David prêtent successivement serment.)

Mme Corine de Bilbao, présidente de Microsoft France. Je vous remercie sincèrement de nous donner l’occasion de contribuer à vos travaux. Les questions que vous examinez sont légitimes, importantes et complexes. Des échanges comme celui-ci, avec la représentation nationale, nous permettent d’apporter des réponses factuelles et opérationnelles aux questions que les enjeux de souveraineté et le contexte géopolitique suscitent.

La réalité, c’est que ces questions se posent également avec nos clients. Elles ont conduit Microsoft à prendre des engagements concrets visant à renforcer la continuité des services, la protection des données et la résilience numérique en Europe. En tant que présidente de Microsoft France, que j’ai rejoint en 2021, je porte une attention constante à ces enjeux car, dans notre industrie, la confiance constitue un fondement essentiel.

Le numérique, comme toute chaîne de valeur stratégique, repose sur un ensemble d’interdépendances, des minerais critiques et infrastructures énergétiques jusqu’aux centres de données, aux capacités de calcul, aux modèles d’intelligence artificielle (IA), ou encore aux logiciels. Aussi l’enjeu réside-t-il dans l’organisation et la gouvernance de ces interdépendances, ainsi que dans les garanties concrètes apportées par les différents acteurs de cette chaîne pour les maîtriser.

Microsoft est présent en France depuis plus de quarante ans et compte près de 2 200 collaborateurs. Mais la réalité de notre présence ne se résume pas à nos effectifs : Microsoft est en effet un moteur de la filière des services informatiques et des logiciels, grâce à la constitution d’un écosystème de 10 500 partenaires, qui représentent 80 000 emplois répartis sur l’ensemble du territoire.

Notre modèle en France est avant tout un modèle de plateforme et de partenariat. Nous intervenons comme fournisseur de technologies avec une logique de collaboration, de complémentarité et de partage de valeur, sans nous substituer à nos clients. Aujourd’hui, pour 1 euro de solutions et de services facturés par Microsoft en France, les partenaires génèrent près de 6 euros de chiffre d’affaires. Cet effet multiplicateur illustre le rôle d’entraînement que peut jouer notre présence dans l’économie numérique française. Par exemple, s’agissant du secteur public, Microsoft ne répond pas directement aux procédures de passation des marchés publics : ce sont les revendeurs, intégrateurs et prestataires qui se positionnent sur ces consultations, dans le respect du droit de la commande publique.

Notre présence en France se traduit également par des investissements concrets. En 2024, nous avons annoncé un investissement de 4 milliards d’euros pour développer des infrastructures de cloud et d’intelligence artificielle de pointe, former un million de Français aux usages de l’IA et accompagner 2 500 start-up dans cette nouvelle économie.

J’en viens à un point important : le modèle de l’économie du cloud. Nos technologies ne sont jamais simplement posées sur étagère : elles doivent être intégrées, configurées et opérées pour répondre aux besoins de nos clients. Ce travail est, dans une très large mesure, réalisé par des acteurs français, dont de nombreuses PME.

Dans cette économie du cloud, Microsoft a depuis longtemps fait le choix de l’ouverture. Notre plateforme de cloud public Azure n’est pas une infrastructure propriétaire fermée. Nos clients peuvent choisir librement parmi un grand nombre d’options propriétaires ou open source pour les serveurs, les bases de données ou les réseaux. Ainsi, environ deux tiers des machines virtuelles de nos clients sur Azure exécutent Linux. Dans le domaine de l’IA, nous appliquons les mêmes principes : notre infrastructure Azure propose un catalogue de plus de 11 000 modèles comprenant des offres de Mistral, d’OpenAI ou l’ensemble des modèles open source d’Hugging Face.

La protection des données est au cœur de la relation de confiance avec nos clients. Elle repose sur des garanties concrètes, des contrats, des protections techniques et, lorsque c’est nécessaire, la capacité de défendre nos clients devant les tribunaux. Ainsi, Microsoft conteste systématiquement les demandes d’accès aux données de ses clients, en Europe comme dans le reste du monde.

Il me paraît important de rappeler ce que le Cloud Act permet et ce qu’il ne permet pas. Le Cloud Act n’autorise pas un accès automatique, massif ou non ciblé aux données des clients, bien au contraire : toute demande d’accès à des données de contenu nécessite l’intervention d’un juge, sur la base d’une cause probable que les données demandées contiennent des preuves d’un crime grave et spécifique relevant de la juridiction américaine, par exemple un acte de terrorisme ou de pédocriminalité.

Microsoft n’accorde en aucun cas aux autorités un accès général ou illimité aux données de ses clients. L’entreprise ne communique ni les clés de chiffrement de ses clients, ni aucun moyen permettant de contourner les mécanismes de protection ; elle conteste toute demande imprécise, excessive ou en conflit avec le droit d’un autre pays. Je tiens également à préciser que Microsoft n’a jamais divulgué de données d’un client du secteur public français à des autorités étrangères, y compris américaines.

Ces garanties juridiques s’inscrivent dans une logique plus large de convergence entre États démocratiques en matière de protection des citoyens contre les crimes les plus graves. Ainsi, l’Union européenne a adopté en 2023 le règlement « e-evidence », qui permet à une autorité d’un État membre d’ordonner directement à un prestataire de cloud de produire ou de conserver des preuves électroniques, quel que soit le lieu où se trouvent les données.

Pour aller plus loin, j’évoquerai les engagements de Microsoft pour la protection des données de ses utilisateurs. Le règlement général sur la protection des données (RGPD) a constitué un jalon majeur, que nous avons choisi d’étendre au niveau mondial. Au-delà de ce cadre juridique, nous avons mis en place, en Europe, des garanties opérationnelles supplémentaires. Notre initiative EU Data Boundary (frontière européenne des données), finalisée en 2025, vise à ce que les données des clients soient localisées et traitées au sein de l’Union européenne et de l’Association européenne de libre-échange (AELE). Enfin, en cohérence avec ce modèle, Microsoft s’engage contractuellement à ne pas utiliser les données de ses clients entreprises et du secteur public à des fins publicitaires, ni à en tirer des informations à des fins commerciales. Ce n’est pas notre modèle économique.

J’en viens à la souveraineté. Les exigences en matière de souveraineté opérationnelle varient d’un pays à l’autre, et même d’un client à l’autre. Nous nous conformons systématiquement à la législation des États dans lesquels nous opérons. Tout d’abord, les contrats conclus avec nos clients européens prévoient expressément notre engagement à respecter le droit de l’Union européenne, dans tous les cas et sans exception. Ensuite, depuis près d’un an, nos offres de cloud proposent des fonctionnalités renforcées de protection, de confidentialité des données et de chiffrement permettant à nos clients de déployer nos solutions dans des configurations adaptées à leurs contraintes opérationnelles, y compris dans des environnements totalement déconnectés et pour les modèles d’IA.

La confiance passe aussi par des dispositifs concrets de transparence et de coopération avec les autorités publiques. En France, cette coopération est engagée depuis le début des années 2000 avec l’Agence nationale de la sécurité des systèmes d’information (Anssi). Elle se traduit par un partage d’informations sur les menaces, des échanges techniques avec nos équipes d’ingénierie et un accès sécurisé, en lecture seule, à une sélection de codes sources.

De plus, la France s’est dotée d’un cadre protecteur pour les données les plus sensibles, matérialisé par la qualification SecNumCloud. C’est dans ce cadre qu’Orange et Capgemini ont conjointement créé Bleu, un cloud français sécurisé opéré par une entité de droit français totalement indépendante de Microsoft. Nous sommes seulement un fournisseur technologique, sans lien capitalistique ni contrôle opérationnel. Les services cloud de Bleu sont physiquement déconnectés du cloud public de Microsoft.

Enfin, en partenariat avec plusieurs acteurs européens, nous développons des dispositifs de continuité pour assurer la disponibilité des services essentiels dans toutes les situations.

Je souhaite enfin revenir sur le sujet majeur de la cybersécurité. C’est une dimension centrale de toute la réflexion sur les dépendances numériques. D’après notre rapport annuel de cybersécurité, la France se classe au quatrième rang des pays les plus attaqués en Europe. Les services publics critiques sont particulièrement ciblés par les cybercriminels. La lutte contre la cybercriminalité repose sur une coopération étroite entre les acteurs publics et privés. Microsoft partage avec la France des informations détaillées sur l’état de la menace afin de contribuer à la protection des infrastructures critiques. La résilience des services numériques passe aussi par la capacité à protéger physiquement les infrastructures. Ainsi, en 2022, nous avons pu alerter les autorités ukrainiennes des risques de destruction de leurs infrastructures informatiques et organiser le transfert de leurs données et services critiques vers des data centers situés en Europe.

Aucun État ni aucune entité ne pourra maîtriser seul l’intégralité de la chaîne de valeur de l’intelligence artificielle. Celle-ci est trop vaste, trop intensive en capital, en talents, en recherche, en infrastructures et en cybersécurité pour être concentrée durablement dans un seul pays. Cela signifie que la chaîne de valeur de l’IA reposera sur des interdépendances fortes, à la fois technologiques, industrielles et géographiques. La France dispose à cet égard de nombreux atouts : d’excellentes entreprises dans le développement de modèles tels que Mistral AI, des acteurs innovants dans les applications d’IA, des équipes de recherche de premier plan, des compétences fortes dans l’évaluation, la cybersécurité et l’intégration de ces technologies dans l’économie. C’est peut-être dans cet esprit d’ouverture que nous pourrons essayer de contribuer utilement aux travaux que vous menez sur les questions de dépendance, de résilience et de capacité d’action.

M. Sébastien Missoffe, directeur général de Google France. Nous vous remercions de votre invitation. Nous sommes pleinement conscients de l’importance du travail de votre commission d’enquête, qui traite d’un sujet important, au cœur de vos préoccupations et de celles des Françaises et des Français, dans un contexte géopolitique source de tensions et d’inquiétudes très légitimes.

Je vais vous partager brièvement le point de vue de Google. Quant à mon collègue Frédéric Geraud de Lescazes, il répondra à vos questions concernant spécifiquement le cloud et vous présentera les solutions pratiques et responsables sur lesquelles nous travaillons avec nos partenaires locaux, comme Thales pour la partie informatique en nuage.

Google a ouvert son premier bureau à Paris en 2004. Quand j’en ai pris la direction, en 2017, il y avait environ 700 employés ; nous sommes aujourd’hui 1 350, soit quasiment le double.

La mission de Google est de rendre l’information accessible et utile pour tous. Nous la prenons très au sérieux, car elle est au cœur de notre engagement. Nos collaborateurs représentent la majorité des activités clés de l’entreprise : marketing, cloud, ingénierie, recherche, partenariat. Nos équipes accompagnent nos clients et nos utilisateurs pour leur permettre de tirer pleinement parti des technologies numériques.

C’est dans ce cadre que nous avons développé des partenariats étroits avec des entreprises françaises, pour contribuer à leur compétitivité. Nous travaillons avec de grands groupes industriels français, par exemple sur des jumeaux numériques, afin d’améliorer la sécurité de leurs produits ou de lancer des produits plus rapidement, contribuant ainsi à leur compétitivité. Nous travaillons également avec des start-up, pour les aider à se développer à l’international, contribuer à leur compétitivité et développer des champions internationaux depuis la France. Nous avons enfin des activités de recherche sur l’intelligence artificielle : en février 2024, nous avons ainsi ouvert un nouveau centre d’intelligence artificielle à Paris, comptant un peu plus de 300 personnes et développant nombre de collaborations, dont l’une avec l’Institut Curie sur des recherches de prédiction du cancer.

Les débats actuels concernent plus spécifiquement Google Cloud Platform, connue sous le nom de GCP, qui est l’un des derniers entrants sur le marché de l’informatique en nuage. Selon le dernier rapport de l’Autorité de la concurrence, que vous avez pris en référence pour vos travaux, GCP est le cinquième acteur du marché de l’informatique en nuage en France, avec moins de 10 % de parts de marché, derrière AWS, Microsoft, Orange Business et OVH.

Les trois acteurs ici présents représentent trois choix technologiques, trois positions de marché et trois stratégies différentes. Compte tenu de notre position de marché, nous sommes toujours favorables à toute action permettant de fluidifier et d’ouvrir ce marché en expansion, notamment en France, où l’adoption des technologies en nuage se fait plus lentement que dans le reste de l’Union européenne.

Côté secteur public, vous ne trouverez pas trace de Google dans le top 10 des fournisseurs de l’État – notamment dans les marchés de l’Union des groupements d’achats publics (Ugap) –, selon les chiffres de la direction interministérielle du numérique (Dinum). Ayant très peu de parts de marché dans le secteur public, notre action n’est pas guidée par la nécessité de les conserver : cela nous permet d’avoir une approche différente.

Google croit en un cloud au service de l’économie française, qui tient sa promesse initiale – une promesse d’ouverture, de sécurité, d’élasticité, de simplicité, et surtout une grande liberté de choix pour le client, notamment pour tester de nouvelles fonctionnalités et innovations. Google se différencie aussi par des services fondés sur des technologies open source. Nous sommes connus pour cela.

S’agissant de la sécurité des données, qui constitue l’un des principaux enjeux, nous offrons déjà à tous nos clients la capacité de choisir librement le type de contrôle requis et la localisation de leurs données.

Enfin, nos ingénieurs travaillent constamment à l’amélioration de l’efficacité énergétique de nos solutions : c’est nécessaire du point de vue de leur impact environnemental, mais cela relève aussi de notre intérêt économique. En 2024, nos centres de données ont fourni six fois plus de puissance de calcul par unité d’électricité que cinq ans auparavant. Nos centres de données ont utilisé 84 % moins d’énergie que la moyenne du secteur. Nous investissons aussi dans des énergies propres. Ces dernières années, Google a ainsi signé des accords en Europe portant sur plus de 4,5 gigawatts, notamment au travers de partenariats avec Engie.

Nous produisons enfin nos propres puces, dont chaque génération – nous en sommes à la huitième – apporte des gains considérables. Vous l’aurez compris, le mouvement d’amélioration est continu.

Je laisse Frédéric Geraud de Lescazes vous présenter plus en détail Google Cloud.

M. Frédéric Geraud de Lescazes, directeur des affaires publiques de Google Cloud. Le sujet de nos dépendances et vulnérabilités numériques n’est pas seulement une question technique : il concerne à la fois la sécurité nationale, la prospérité économique et la compétitivité, notamment au travers de la liberté de choix. Tout le monde a des dépendances, Google comme les autres.

Il n’y a, de notre point de vue, qu’un seul véritable sujet de dépendance sur le marché du cloud : c’est la monoculture, frein à l’adoption du multicloud et frein à plus d’interopérabilité, de sécurité et de portabilité, autrement dit de liberté de choix de son fournisseur. Cette monoculture est contrainte et souvent déloyale ; nombre de vos auditions ont déjà fortement souligné ce sujet. Nous dénonçons le vendor lock-in, c’est-à-dire des pratiques d’enfermement juridique des clients, issues des pratiques déloyales des acteurs présents avant l’arrivée de l’internet grand public. Nous en souffrons, comme tous les autres acteurs du marché. Il est important que la commission sache que ce combat, vieux de plus de dix ans, fut d’abord celui d’OVH et de l’ensemble des fournisseurs de cloud européens de toutes tailles, rassemblés au sein de l’organisation CISPE (Cloud Infrastructure Service Providers Europe). Puis ce fut celui du Cigref, le Club informatique des grandes entreprises françaises, qui rassemble leurs directions des systèmes d’information (DSI), notamment lors des débats sur la loi visant à sécuriser et à réguler l’espace numérique (loi Sren). Aucun acteur, petit, moyen ou grand, ne pourra grandir sur ce marché tant que perdureront ces pratiques anticoncurrentielles. Un client doit pouvoir quitter son fournisseur ; sinon, le jeu est faussé. L’autorité de la concurrence britannique, dont les travaux sont exemplaires, s’est d’ailleurs emparée de ce sujet.

Le deuxième mot-clé de cette commission est la vulnérabilité ; elle a pour pendant la résilience. La publication de la doctrine « Cloud au centre », en 2021, et le primat du SecNumCloud nous ont convaincus que, sur le segment des données sensibles, nous ne pourrions tout simplement plus exister. En effet, de nationalité et de capital, nous sommes américains. Par construction, le SecNumCloud ne peut pas être pour nous. Cela ne nous fait pas plaisir d’être exclus du marché des données sensibles, mais nous en avons pris acte, avec deux convictions fortes.

Notre première conviction, c’est que nous devons respecter nos utilisateurs. Eux seuls sont à même de définir leurs besoins, de savoir ce qu’ils veulent. À nous, Google Cloud, de trouver une solution pour leur répondre. Autrement dit, Google Cloud offrira toujours le choix.

Notre deuxième conviction, c’est que la France, comme n’importe quel autre pays, ne doit pas avoir à choisir entre l’innovation de pointe et son autonomie stratégique – ce que certains nomment souveraineté. Chez Google Cloud, nous pensons que la dépendance n’est pas une fatalité. Nous proposons déjà des solutions fonctionnelles entièrement déconnectées, avec de l’intelligence artificielle ; ces solutions « dans une bulle d’air » ont beaucoup de succès, notamment dans la défense et les services financiers.

Nous avons aussi apporté nos technologies à une autre offre du marché qui répond aux problèmes de vulnérabilité et de protection face aux lois extraterritoriales. Vous la connaissez sous le nom commercial de Premi3ns ; elle est opérée et contrôlée par une coentreprise nommée administrativement Thales Cloud Sécurisé, que vous connaissez sous la marque S3NS. Thales est le seul maître à bord de S3NS : Google Cloud ne dispose que d’un siège d’observateur, sans droit de vote ni droit de veto.

Cette offre Premi3ns est qualifiée SecNumCloud depuis décembre dernier, sur trois segments : l’infrastructure, les plateformes et les containers. Il n’y a pas la partie logicielle à la demande, dite SaaS (Software as a Service), où se situent notamment les suites collaboratives. Une place de marché SaaS se crée sous nos yeux, sur S3NS, avec de belles synergies en cours. D’ailleurs, le plus gros fournisseur de services SaaS européen est allemand : SAP ne s’y est pas trompé, il recourt à S3NS. Il existe donc déjà plusieurs solutions au problème de la vulnérabilité, grâce à la vision anticipatrice et au travail rigoureux et méticuleux engagé il y a près de quinze ans par les équipes de l’Anssi.

S3NS a pris le meilleur des deux mondes. Il s’agit de la seule offre SecNumCloud hyper-échelle, la seule offre qualifiée avec un catalogue de services bientôt aussi large qu’un hyperscaler, dont des solutions d’intelligence artificielle. C’est son avantage le plus connu, mais S3NS est également déjà résilient à l’arrivée du post-quantique, car Thales est un champion mondial des algorithmes résilients au quantique.

S3NS est un avantage stratégique à la main de Thales, dont le premier actionnaire est l’État. Il ne cache d’ailleurs pas son ambition de devenir le premier hyperscaler européen. Cela fait vingt-cinq ans que l’on souhaite avoir un champion français de taille européenne : nous y sommes, et ce champion français et européen capable de concurrencer les hyperscalers ne vient pas de l’informatique ni des télécoms, mais de la défense.

L’Anssi a dit qu’il n’existait pas d’offre 100 % française. L’Agence a aussi dit qu’elle ne faisait pas de politique industrielle – mais elle peut tout de même l’orienter… Vous avez depuis décembre dernier un champion européen de la défense et de la cybersécurité, avec des équipes massives d’ingénieurs de haute qualité en France, avec ses propres infrastructures, ses propres centres de données, ses propres lignes de production de matériel… Thales recrute beaucoup en France. Il apprend à faire du cloud et de l’intelligence artificielle avec Google. C’est une aventure industrielle où seul Thales décide.

S3NS profite également de la recherche et développement (R&D) de Google Cloud sans en supporter le coût, qui se chiffre en milliards. Le directeur général de l’Anssi a souligné ce bénéfice lors de son audition, d’abord pour Thales, mais probablement aussi pour de nombreux autres services de l’État. Il a fallu cinq ans – c’est long ! – avant de pouvoir sortir une solution fonctionnelle. Les ingénieurs de Thales ont accompli un travail titanesque : ils ont fait qualifier une trentaine de services et ont reçu la qualification SecNumCloud pour trois ans, sans aucune réserve de l’Anssi. Vraiment, c’est un travail remarquable des équipes Thales et S3NS !

Nous avons pris le risque de transmettre nos technologies et nos savoir-faire à S3NS, qui est, dans les faits, un nouvel offreur de services cloud, donc un concurrent des hyperscalers. Cela a pris cinq ans, car les référentiels de l’Anssi ne sont pas légers. L’Anssi a utilisé devant vous l’expression « dispositif lourd » : c’est un doux euphémisme ! Nous avons pu observer de près le parcours du combattant de S3NS pour obtenir la qualification. Il faut bien se rendre compte de la prouesse technologique. S3NS est unique au monde, car le SecNumCloud est unique au monde. S3NS, qui reçoit depuis peu des appels du monde entier, constitue un avantage stratégique pour la France et l’Europe. D’ailleurs, la Commission européenne a déjà retenu cette solution pour ses propres besoins sensibles, au sein d’un consortium.

Le risque n’est pas d’utiliser les meilleures technologies mondiales, mais de s’en priver. Pour nous, le cloud est d’abord une question de liberté de choix, notamment de choix d’architecture logicielle dite ouverte, mais aussi de gouvernance et des conditions juridiques vous permettant de quitter votre fournisseur – bref, de ne pas être enfermé. Encore faut-il trouver le bon partenaire, qui accepte de le faire selon vos conditions et de jouer selon vos règles, y compris celle de vous laisser partir.

M. Julien Lépine, représentant en France d’Amazon Web Services (AWS) Europe, Moyen-Orient, Afrique. Avant de partager nos observations, permettez-moi de vous présenter brièvement qui nous sommes et ce que nous faisons. Amazon Web Services, que je désignerai par l’acronyme AWS, est une entreprise fournissant des services d’infrastructure cloud aux organisations publiques et privées pour les aider à innover tout en protégeant leurs données.

Cette année, nous célébrons nos vingt ans, et l’année prochaine, les dix ans de nos premiers centres de données en France. AWS compte aujourd’hui près de 900 salariés sur le territoire français. Le métier d’AWS est de fournir des ressources informatiques à la demande, avec une tarification à l’usage. Concrètement, nos clients disposent d’un large choix technologique de plus de 200 services, d’une centaine de modèles d’intelligence artificielle, dont ceux de Mistral AI, et de dizaines de milliers de solutions logicielles partenaires au travers de notre place de marché. Ils n’utilisent que ce dont ils ont besoin, quand ils en ont besoin.

J’ai eu la chance de rejoindre AWS en 2012, alors que l’entreprise commençait son implantation en France. En tant qu’ingénieur formé en France, j’ai saisi l’opportunité de faire bénéficier à toute la filière technologique française des outils, de la sécurité et de l’innovation apportés par le cloud.

Je souhaite partager avec vous trois convictions qui guident notre action en France.

Premièrement, nous sommes fiers de contribuer au développement des entreprises françaises de toutes tailles. Depuis vingt ans, notre mission est de donner aux PME les mêmes moyens technologiques que les grands groupes pour innover et se développer.

Deuxièmement, nous sommes convaincus que le cloud AWS permet d’offrir à tous les clients français un niveau de sécurité des données qu’ils ne pourraient atteindre seuls. Face à l’explosion des cybermenaces, le cloud constitue la meilleure réponse pour protéger les données des organisations publiques et privées.

Troisièmement, nous pensons que les entreprises françaises ne devraient pas avoir à choisir entre innovation et souveraineté numérique : il faut garantir les deux. C’est précisément ce que nous permettons. Depuis sa création, AWS a accompagné des champions français et européens qui sont devenus des leaders mondiaux, que ce soit dans le transport, la gestion de flux financiers ou la recherche. Ces entreprises ont créé des milliers d’emplois en France, développé des innovations majeures, généré des milliards d’euros de recettes, réinvesti dans l’économie française et, surtout, changé la vie quotidienne et professionnelle des Français.

Lorsque nous avons ouvert nos infrastructures en France, en 2017, nous avons établi un plan d’investissement sur quinze ans, d’un montant de 6 milliards d’euros, pour soutenir la compétitivité des entreprises françaises. La majorité de ces investissements irriguent directement le tissu économique français – construction, raccordement, installation et exploitation partagée de centres de données en partenariat avec des entreprises locales.

La semaine dernière, Amazon a annoncé son plus grand investissement jamais réalisé en France : plus de 15 milliards d’euros sur trois ans, créant 7 000 emplois permanents. Les investissements d’AWS s’inscrivent naturellement dans l’ancrage d’Amazon en France, toutes activités confondues – logistique, distribution, médias et technologies. Depuis 2010, plus de 30 milliards d’euros ont été investis et plus de 25 000 emplois permanents ont été créés sur le territoire, au service de l’économie française.

Notre modèle d’affaires repose sur des centaines de partenaires qui cocréent de la valeur au plus près de nos clients, tels que Devoteam, Sopra Steria, Atos Eviden ou encore Kiiro. Ces partenaires conçoivent les solutions, accompagnent les transformations numériques et créent de l’emploi sur le territoire.

Comme toute entreprise technologique de taille mondiale, AWS s’appuie sur une chaîne d’approvisionnement globale. À ce titre, nous développons et utilisons des technologies conçues en Europe, tout en les diffusant dans le monde entier. Certaines de nos technologies de pointe, comme Nitro, notre système de sécurité matérielle garantissant qu’aucun opérateur d’AWS ne peut accéder aux données des clients, sont conçues dans nos centres de R&D en Europe, notamment en Allemagne. Les serveurs équipant nos centres de données en Europe sont assemblés, réparés et recyclés en Irlande aujourd’hui, et le seront bientôt en Espagne. Notre puissance de calcul repose sur des fournisseurs de solutions de semi-conducteurs avancées, comme celles de STMicroelectronics, leader franco-européen avec lequel nous venons de conclure un partenariat stratégique.

Cela reflète une réalité fondamentale : la chaîne de valeur technologique est mondiale et interdépendante. Les fournisseurs de cloud et d’IA dépendent de fournisseurs de puces informatiques, de routeurs, de serveurs, de disques situés en Europe et en dehors. Ce qui importe, c’est d’encourager l’utilisation des technologies innovantes tout en préservant la liberté de choix technologique, celle qui permet à chaque organisation de sélectionner les solutions les plus adaptées à ses besoins.

Ces investissements et ces partenariats visent précisément à répondre aux vulnérabilités que votre commission examine. La plus urgente, de loin, est la cybersécurité. Le paysage des menaces n’a jamais été aussi critique, et les PME en restent les premières victimes. Les organisations qui migrent vers le cloud bénéficient d’un niveau de protection qu’elles ne pourraient atteindre seules : chiffrement avancé, détection et correction automatisée des anomalies, redondances permettant la restauration rapide des systèmes en cas d’attaque.

La sécurité est notre priorité. AWS protège des millions de clients actifs dans le monde. Notre infrastructure de sécurité analyse chaque jour 400 000 milliards de flux réseau et détecte 182 000 nouveaux domaines malveillants. En 2025, nous avons bloqué plus de 300 millions de tentatives de rançongiciels. C’est le traitement de la cybersécurité à l’échelle qui rend le cloud plus sûr qu’une infrastructure isolée.

Le principe fondamental de la résilience est de ne pas concentrer les données en un seul endroit. Nos centres de données sont répartis sur trente-neuf zones géographiques, et nos clients choisissent où ils souhaitent stocker leurs données. C’est cette distribution qui protège contre les menaces modernes, qu’elles soient géopolitiques, environnementales ou techniques. Ainsi, en février 2022, dans les heures qui ont suivi l’invasion de l’Ukraine, nous avons aidé le gouvernement de ce pays à sécuriser plus de dix pétaoctets de quarante-deux autorités gouvernementales, pour ne plus dépendre de centres de données isolés et menacés de destruction. L’architecture cloud a permis de mettre ces données hors de portée des frappes, en quelques heures ; le gouvernement pouvait ainsi continuer d’exercer ses missions les plus critiques.

Le cloud offre le meilleur niveau de protection pour les données. Je l’ai dit, les organisations publiques et privées peuvent bénéficier d’un niveau de protection supérieur en ayant recours au cloud, leur permettant de prévenir, de détecter et de remédier aux cyberattaques.

Le cloud d’AWS répond déjà aux besoins de la majorité de ces organisations, grâce à son infrastructure située en France. Pour celles qui sont soumises à des exigences de souveraineté supplémentaires, notamment en matière de localisation des données, d’autonomie opérationnelle ou de conformité réglementaire, nous avons lancé en janvier dernier le cloud souverain européen d’AWS. Il s’agit d’un nouveau cloud indépendant pour l’Europe, physiquement et opérationnellement isolé des autres infrastructures AWS, qui propose plus de 100 services cloud innovants, y compris d’intelligence artificielle. Tout ce qui est nécessaire au fonctionnement du cloud souverain européen d’AWS se trouve dans l’Union européenne : les talents, la technologie, les infrastructures et la gouvernance. Aucun contrôle opérationnel ne s’exerce depuis l’extérieur des frontières européennes. Les opérations quotidiennes telles que l’accès aux centres de données, le support technique et le service client sont assurées exclusivement par du personnel européen. Ce nouveau cloud d’AWS bénéficie d’une autonomie de fonctionnement, même si l’Europe devait être coupée du reste du monde.

En définitive, l’enjeu n’est pas de choisir entre souveraineté et innovation, mais de garantir les deux. Aujourd’hui, le cloud ne représente que 20 % de l’informatique des organisations publiques et privées. Cela signifie que 80 % des systèmes d’information restent sur des infrastructures traditionnelles, souvent moins sécurisées, moins résilientes ou moins agiles. Il est donc impératif d’encourager l’adoption du cloud par les organisations publiques et privées pour leur permettre d’innover plus rapidement, de se transformer et de rivaliser à l’échelle mondiale tout en protégeant leurs données contre les menaces. C’est en migrant vers le cloud que les organisations accèdent aux meilleurs outils de cybersécurité, et c’est en garantissant la sécurité et la souveraineté que l’on crée la confiance nécessaire à cette adoption. C’est pour relever ce double défi qu’AWS s’engage en France par ses investissements à long terme, sa technologie, ses partenaires sur le territoire et des solutions adaptées aux exigences les plus strictes.

M. le président Philippe Latombe. Avant d’en venir au fond, j’aimerais vous poser quelques questions formelles.

Un salarié de Microsoft a été licencié quelques jours après son audition devant une commission d’enquête du Sénat, pour laquelle il avait prêté serment. Aussi, quelle valeur accordez-vous au fait de prêter serment ? Je tiens à vous rappeler que vous vous êtes engagés à dire la vérité, même si cela vous expose au risque de perdre votre emploi.

Interrogé sur l’une des réponses apportées par ledit salarié à la commission d’enquête, le patron de Microsoft a déclaré qu’il s’agissait d’une « réponse stupide à une question stupide ». Les parlementaires français sont-ils moins bons ou meilleurs que les Américains ?

Mme Corine de Bilbao. Pour être très claire, je précise que le départ de M. Anton Carniaux, car je suppose que c’est de lui que vous parlez, n’a strictement rien à voir avec son audition par une commission d’enquête du Sénat. Il n’y a absolument aucun lien.

Les sujets étudiés par votre commission sont extrêmement importants pour nous. J’en veux pour preuve l’ensemble des annonces et des investissements faits au niveau européen, que ce soit en matière de protection des données, de cybersécurité ou d’accompagnement des États. Je pense en particulier aux engagements contractuels que nous avons pris en matière de résilience, notamment envers les administrations publiques et les acteurs d’infrastructures et de services critiques.

Les enjeux relatifs au Cloud Act ont gagné en importance et, au cours des derniers mois, nos clients nous ont systématiquement posé des questions à ce sujet. J’ai rappelé dans mon propos liminaire ce que le Cloud Act permettait et ce qu’il ne permettait pas. Nous étudions chaque demande, qui doit être émise par un juge, avec des juristes américains et européens. Nous respectons le droit international, notamment la comity qui met en balance les droits des différents États. Les demandes sont transmises aux clients, et nous avons pris l’engagement contractuel de contester toute requête devant les tribunaux. Je tenais à le rappeler, car cela me semble important pour vos travaux.

M. le président Philippe Latombe. Vous ne répondez pas tout à fait à ma question, que je vous reposerai donc de manière différente. La sortie de votre président nous pousse à nous demander, nous, parlementaires français, si nos questions sont stupides. Je ne parle pas du Cloud Act, mais de la section 702 du Foreign Intelligence Surveillance Act (Fisa). Donnez-vous, oui ou non, des informations aux agences fédérales qui vous les demandent à ce titre ?

J’ai d’autres questions, auxquelles j’aimerais que chacune des entreprises me réponde par oui ou non.

Marco Rubio a envoyé un câble diplomatique indiquant qu’il fallait s’opposer à toute tentative de réglementation européenne, car elle constituait un problème pour les entreprises, notamment technologiques. Appliquez-vous ce câble diplomatique ? Faites-vous des opérations de lobbying contre la réglementation européenne ?

Enfin, le président Trump a demandé qu’il n’y ait plus de charte de diversité dans les entreprises américaines et a rappelé cette injonction à certaines entreprises françaises et européennes implantées aux États-Unis. Appliquez-vous la réglementation américaine, ou bien la réglementation européenne et française ? Désobéissez-vous au président Trump et à vos patrons, qui ont accepté de ne plus appliquer de telles chartes ?

M. Julien Lépine. Quelle valeur a notre parole ? Je peux parler en mon nom propre, et je me sens tout à fait soutenu par mon entreprise pour répondre à vos questions, qui sont pertinentes et légitimes.

La souveraineté est un enjeu vital pour la France, et nos entreprises l’ont bien compris. C’est l’un des fondamentaux de la création de notre plateforme et l’une des raisons pour laquelle nous agissons, en particulier en apportant des réponses technologiques sur lesquelles nous reviendrons. Se posent aussi des questions de process et de gouvernance. En tout cas, c’est la notion de souveraineté qui nous a guidés, ces vingt dernières années, dans la création d’infrastructures allant jusqu’à un cloud souverain européen.

Pour ce qui concerne le Fisa, je laisserai mon collègue Arnaud David vous répondre.

J’en viens à la diversité. Amazon, de manière générale, est une entreprise qui travaille avec des clients établis dans l’ensemble des pays : ils représentent toutes les religions, toutes les origines, toutes les manières de travailler. On ne peut pas se permettre d’avoir une entreprise qui ne s’adresse pas à ses clients. L’obsession client est une des valeurs fondamentales d’Amazon : si notre entreprise ne reflète pas la diversité de ses clients, nous ne pourrons pas les comprendre ni répondre à leurs demandes.

Pour la France, nous travaillons sur un ensemble d’initiatives. Nous publions, comme l’exige le droit français, un gender equality index. Nous menons aussi beaucoup d’activités en faveur de la diversité. La succursale que je représente est une entreprise européenne, dont les politiques et les manières de travailler sont européennes.

M. le président Philippe Latombe. Sur le câble diplomatique de M. Rubio, est-ce vous qui répondez, ou bien votre collègue ?

M. Arnaud David, directeur des affaires publiques d’AWS pour la France et l’Union européenne. Je commencerai par votre dernière question. Nous publions de manière semi-annuelle des rapports de transparence, que je serai ravi de vous communiquer, sur les demandes qui nous sont adressées. À la fin de chacun de ces rapports, nous donnons une indication très factuelle : aucune demande adressée à AWS n’a été suivie d’une transmission au gouvernement américain de données appartenant à des entreprises ou des gouvernements situés hors des États-Unis. Si nous indiquons cela aussi clairement dans le rapport, c’est notamment parce qu’il existe un principe sous-jacent à de nombreuses lois auxquelles vous faites référence : on ne peut communiquer des données sur une base légale qu’à partir du moment où on peut techniquement y avoir accès. Or nous utilisons un certain nombre de technologies qui ne permettent pas d’accéder aux données des clients.

M. le président Philippe Latombe. Intégrez-vous dans vos rapports les demandes assorties d’une demande de secret de la part des agences fédérales ?

M. Arnaud David. Oui, il s’agit de tout type de demandes.

M. le président Philippe Latombe. Le câble de Marco Rubio appelle à s’opposer à toute tentative de nouvelle réglementation européenne, voire à combattre les dispositions existantes, comme le RGPD. L’appliquez-vous ?

M. Arnaud David. Depuis longtemps, nous contribuons à des travaux dans plusieurs pays européens et à l’échelon européen en général. Ils démontrent que nous avons mis en place des mécanismes très avancés, notamment en matière de protection des données, en collaboration avec beaucoup d’entreprises du secteur. Je pense au code de protection des données dans le cloud, qui a été, à ma connaissance, l’un des deux seuls codes validés par les autorités de protection des données des vingt-sept États membres. Nous avons récemment collaboré avec le Bureau européen de l’IA autour du premier code de bonnes pratiques pour la mise en œuvre de l’AI Act.

De manière générale, nous soutenons les réglementations européennes dès lors qu’elles sont basées sur une approche par les risques, ce qui est le cas du RGPD ou de l’AI Act, dont c’est même l’un des principes fondateurs, et qu’elles garantissent la possibilité pour nos clients d’innover.

M. Frédéric Geraud de Lescazes. Nous respectons les législateurs, qu’il s’agisse des parlementaires présents dans cette salle ou de ceux qui siègent partout ailleurs dans le monde, et nous venons devant eux pour dire la vérité.

S’agissant du câble diplomatique de Marco Rubio, nous sommes un acteur économique, non des agents gouvernementaux. Nous faisons avancer nos sujets.

S’agissant du lobbying, de l’influence et de la représentation d’intérêts, nos activités sont déclarées – en France, auprès de la Haute Autorité pour la transparence de la vie publique (HATVP), mais aussi à l’échelle européenne. L’activité de représentation des intérêts d’un acteur privé consiste à faire valoir ses arguments pour éclairer le débat quand une loi ou un règlement sont élaborés. C’est en toute transparence que nous demandons des rendez-vous. Nos déclarations font l’objet de contrôles. Parmi les informations disponibles figurent notamment la taille du budget et les effectifs que nous dédions aux affaires publiques ; les sujets que nous abordons et les positions que nous défendons sont détaillés, ligne par ligne, action par action.

J’en viens au Fisa. Comme vous l’avez vous-même souligné, monsieur le président, le cadre réglementaire américain ne nous permet pas, à nous, entreprise américaine, de communiquer sur ces éléments. Vous trouverez dans notre rapport de transparence des fourchettes assez vagues, indiquant un ordre de grandeur allant de 0 à 500. Les équipes françaises n’ont pas connaissance d’éléments plus précis.

Sur la question de la diversité, nous n’avons absolument pas modifié nos engagements, notamment le soutien à certaines actions et initiatives, car nous pensons que notre diversité est une force.

Mme Corine de Bilbao. Je confirme ce qu’ont dit les autres entreprises : nous parlons en toute transparence sur l’ensemble des sujets.

Pour ce qui concerne le Cloud Act et le Fisa, nous pourrons vous transmettre notre rapport de transparence, qui recense l’ensemble des demandes émanant des juges. À cela s’ajoutent les réglementations françaises ou européennes, comme le règlement « e-evidence », qui concernent les demandes relatives à la criminalité et la cybercriminalité. Nous n’avons jamais communiqué de données issues des administrations publiques européennes. Par ailleurs, nous nous sommes engagés contractuellement à contester systématiquement les demandes devant les tribunaux, qu’elles relèvent du Cloud Act ou du Fisa. Je ne suis pas une spécialiste, mais nous vous communiquerons des éléments à ce sujet.

S’agissant de la réglementation européenne, nous avons adopté le RGPD dès le début, et nous avons même étendu son application au niveau mondial. Bien évidemment, en tant qu’entreprise mondiale, nous nous conformons aux réglementations de chacun des pays où nous sommes présents, et nous contribuons aux discussions à leur sujet.

Enfin, la diversité fait partie des valeurs de Microsoft. Permettre à chacun de réaliser ses ambitions fait partie de nos missions. Nos programmes de diversité sont toujours très dynamiques. En France, par exemple, nous avons six programmes portant notamment sur le genre, le handicap, l’âge et les origines. Bien évidemment, nous nous conformons à l’index de l’égalité et publions les rapports qui y sont associés. J’insiste sur ce point : la diversité fait partie des missions et des valeurs de notre entreprise, et cela ne change pas en fonction des gouvernements.

M. le président Philippe Latombe. Je note tout d’abord que vous n’appliquez pas les décisions américaines concernant la diversité. Cela me rassure, même si je ne vois pas comment il est possible, pour des entreprises telles que les vôtres, d’agir en ce sens. Mais nous allons regarder cela de plus près.

Je note ensuite, s’agissant du Fisa, une hétérogénéité de vos modes de fonctionnement : cela va de fourchettes très vagues, tenant compte du secret, à des informations à l’unité près ou presque.

Mme Cyrielle Chatelain, rapporteure. Vous avez apporté toutes les nuances nécessaires sur ce sujet complexe des demandes, qui comporte un volet juridique et un volet technique. Du point de vue juridique, tout d’abord, vous l’avez souligné, les demandes émises dans le cadre du Cloud Act sont soumises à certaines conditions. Toutefois, les outils juridiques prévus dans le cadre de la lutte contre le terrorisme sont utilisés pour sanctionner des juges de la Cour pénale internationale (CPI). Ma première question sera simple : si un juge, après contestation, valide la demande d’accès du gouvernement américain à des données françaises, publiques ou privées, avez-vous l’obligation légale de les transmettre ?

Mme Corine de Bilbao. Un cadre légal limite grandement la possibilité de donner suite à la demande. Celle-ci est transmise au client ; pour ce qui nous concerne, encore faut-il que nous soyons techniquement capables d’y répondre… Microsoft est dans l’impossibilité de fournir les données lorsque des clés de chiffrement ont été utilisées et que celles-ci sont dans le coffre du client, dans le cadre du confidential computing, ou lorsqu’elles sont hébergées dans un cloud sécurisé, certifié SecNumCloud. Entre les conditions juridiques, les engagements contractuels, par lesquels nous contestons les demandes devant les tribunaux – nous avons obtenu gain de cause devant la justice fédérale américaine au sujet d’une ordonnance relevant du Fisa – et les contraintes techniques, la possibilité que les données soient transmises est pratiquement réduite à néant. Ainsi, nous n’avons jamais communiqué de données émanant d’administrations publiques européennes. Je vous invite à consulter le rapport de transparence que nous vous transmettrons. Cela permettra de compléter mes propos.

Mme Cyrielle Chatelain, rapporteure. Le sujet est complexe, et j’ai indiqué qu’un autre volet de mes questions porterait sur les aspects techniques. Ma question renvoyait au cadre juridique : êtes-vous soumis à l’obligation légale de transmettre les données, qu’elles soient publiques ou privées, lorsque la demande a été validée par le juge ? Rappelons qu’un grand nombre de Français peuvent stocker leurs données dans les clouds de vos entreprises. J’aimerais donc que vous répondiez précisément à cette question sur votre responsabilité légale.

M. le président Philippe Latombe. Autrement dit, transmettez-vous les données, qu’elles soient chiffrées ou non, à l’autorité judiciaire américaine ou à l’agence fédérale qui vous en a fait la demande, une fois que toutes les voies de recours ont été épuisées ?

Mme Corine de Bilbao. Je vais sans doute me répéter, mais nous contestons ces demandes devant les tribunaux. S’agissant des administrations publiques, nous n’avons pas de cas où les données ont été transmises. Pour les entreprises privées, nous avons un cas dans les trois dernières années.

Mme Cyrielle Chatelain, rapporteure. Vous avez donc une obligation légale de transmission…

Mme Corine de Bilbao. J’essaie de vous apporter une réponse concrète, mais je ne suis pas une spécialiste de cette question. Je propose de vous transmettre une réponse plus détaillée par écrit. En vertu de la comity, autrement dit du principe de courtoisie internationale, nous devons nous conformer aux obligations des différents États où nous opérons.

Mme Cyrielle Chatelain, rapporteure. Je vous remercie d’avoir pris la parole en premier. Cette question n’est pas la plus simple, et je vois bien que la réponse est difficile à donner. Vous nous dites devoir vous conformer aux obligations des États dans lesquels votre entreprise exerce ses activités, mais son siège se trouve aux États-Unis. Si vous avez épuisé les voies de recours, il vous reste deux options : soit obéir au juge et à la loi américaine, soit désobéir. Quel serait votre choix ?

M. Arnaud David. Cette question ne s’est pas posée à nous, puisque, comme je l’ai indiqué au sujet de nos rapports de transparence, nous n’avons pas fourni de données de clients, qu’il s’agisse d’entreprises ou de gouvernements, situés en dehors des États-Unis, en réponse à des demandes du gouvernement américain.

Cela reste donc une hypothèse. J’entends que vous distinguiez cadre légal et cadre technique mais, comme vous le savez, dans tout cadre légal, il y a des exceptions. En l’occurrence, selon la loi, on ne peut fournir des données que dans la mesure où on y a accès sur le plan technique. Tout est lié.

Pour ce qui nous concerne, des solutions sont appliquées systématiquement, dont certaines sont intégrées dans nos serveurs comme AWS Nitro, qui nous empêchent d’accéder aux données de nos clients. Dans le cas que vous évoquez, nous serions dans l’impossibilité technique de répondre aux demandes formulées. Par ailleurs, il existe des solutions de chiffrement, que les clés soient managées par les services d’AWS ou stockées auprès de prestataires comme Devoteam ou Thales.

Nos actions consistent à faire en sorte que les demandes soient redirigées vers le client. Nous considérons en effet que nous n’avons pas de légitimité pour y répondre, dans la mesure où nous n’avons pas accès aux données. Les clients sont plus à même de le faire – prenons le cas d’un opérateur de forums ou de réseaux sociaux, qui a une relation directe avec ses utilisateurs finaux.

M. Frédéric Geraud de Lescazes. Google Cloud respecte l’État de droit : si un juge allemand, canadien, chilien, américain ou français nous demande de coopérer, nous le faisons. Nous nous conformons au droit. En France, sur une année courante, nous recevons près de 15 000 demandes – demandes d’informations, réquisitions judiciaires et administratives. Nous répondons à 80 % d’entre elles, avec diligence. Si 20 % restent sans réponse, c’est parce que le contenu a disparu, que le compte a été fermé ou que la demande a été mal libellée. Nous collaborons avec chacune des juridictions nationales des pays où nous avons décidé d’opérer en tant qu’acteur économique. Nous répondons aux demandes des juges, même si le matériel est inexploitable.

M. le président Philippe Latombe. Là encore, je note une hétérogénéité dans vos réponses. Je ne vois pas comment vous pouvez faire figurer dans un rapport un décompte à l’unité près sachant que certaines demandes relevant du Cloud Act ou du Fisa sont formulées dans un cadre secret. Tout cela signifierait que le Cloud Act et le Fisa ne servent à rien ! Je suis très rassuré et heureux de vous l’entendre dire sous serment… Mais si c’est bien le cas, on ne voit pas trop pourquoi le Cloud Act a été intégré, en tant que cavalier législatif, dans un texte budgétaire pendant le mandat d’un président à nouveau en exercice. On ne comprend pas non plus pourquoi le Congrès prend la peine de rediscuter en ce moment même du Fisa.

Mme Cyrielle Chatelain, rapporteure. Nous n’avons pas la même lecture, monsieur le président. Je constate qu’une seule entreprise a reconnu qu’elle coopérerait avec la justice, alors que c’est le cas de toute entreprise, me semble-t-il… Je remercie son représentant de l’avoir assumé. Pour les autres, le fait qu’à trois reprises, à une question très précise qui appelait simplement un « oui » ou un « non », il n’y ait pas eu de réponse est une réponse : oui, vous accepteriez de transmettre des données à la justice.

Vos entreprises se livrent à des activités de lobbying, de manière intensive et en toute transparence, notamment auprès de l’Union européenne. Adhérez-vous à la position de la Computer and Communications Industry Association (CCIA), dont vous êtes membres ? Dans un communiqué de presse de décembre 2025, elle appelait à opérer sans attendre une simplification digitale, laquelle vise, de notre point de vue, un affaiblissement ou une révision à la baisse des exigences du RGPD et l’AI Act. Les rendez-vous que vous prenez sont connus, mais nous aimerions savoir dans quel sens vous plaidez une fois la porte refermée.

M. Frédéric Geraud de Lescazes. Google est membre de la CCIA, organisation professionnelle qu’on qualifierait plutôt de « corps intermédiaire » en français. Ce syndicat comporte des groupes de travail thématiques, qui se réunissent pour établir une position commune concernant des projets de lois ou de réglementations. Chaque membre apporte sa contribution et, comme dans toute organisation professionnelle, c’est le plus souvent ceux qui s’engagent et qui travaillent le plus qui tiennent la plume. La position d’un syndicat professionnel reflète généralement celle de ses principaux membres. Pour dire les choses très simplement, la position de la CCIA reflète une partie des positions de Google.

Mme Corine de Bilbao. Nous considérons que le RGPD est une bonne réglementation ; nous avons d’ailleurs été l’une des premières entreprises à l’adopter, et nous l’avons même appliqué au niveau mondial. Nous nous conformons aux réglementations – nous ne pourrions pas opérer depuis quarante ans dans certains pays européens comme l’Allemagne, le Royaume-Uni ou la France sans nous y conformer. S’agissant de l’AI Act, nous attendons que sa mise en place soit achevée.

Nous avons démontré depuis de nombreuses années notre capacité à nous adapter aux réglementations. Ce qui nous importe, c’est qu’elles n’entrent pas en contradiction avec d’autres législations et que, du point de vue du business, elles soient lisibles et facilement applicables chez nos clients.

M. Arnaud David. Je ferai une réponse similaire. Il n’est pas question pour nous de soutenir une quelconque dérégulation. Nos positions reflètent aussi ce que nous disent les entreprises et nos clients en général. Il convient de faire en sorte que la conformité avec les réglementations repose sur des processus harmonisés en Europe. Je prendrai un exemple à propos d’un aspect qui fait actuellement l’objet de discussions dans le cadre de l’omnibus numérique : nous aimerions que le rapport d’évaluation des risques établi au titre du RGPD puisse servir de base au rapport d’évaluation directe demandé dans le cadre de l’AI Act. Il s’agit simplement d’éviter d’avoir à faire deux fois le même travail. Ce sont donc plutôt des considérations de bon sens qui nous guident ; cela ne va pas plus loin que ça.

M. le président Philippe Latombe. Me voilà rassuré !

Mme Cyrielle Chatelain, rapporteure. Vous respectez la loi, ce qui est normal. J’imagine que les sommes dépensées pour le lobbying ont aussi vocation à appeler l’attention sur les contraintes qu’implique le RGPD pour les entreprises du numérique.

Je suis ravie de vous entendre dire, madame de Bilbao, que le RGPD fonctionne bien. S’il ne s’agit que d’éviter des doublons dans les rapports, je vous garantis qu’il n’y aura pas de difficultés particulières. Ce qui nous inquiète davantage, c’est la modification de la définition des données personnelles. Lors de notre déplacement à Bruxelles, il y a quelques semaines, il nous a été indiqué que les propositions écrites, sans études préalables ni analyses extérieures, reprenaient plutôt les demandes conjointes des grands opérateurs que vous êtes, relayées notamment par vos syndicats ou vos corps intermédiaires. Si vous vous retrouvez globalement dans les positions défendues par la CCIA, on peut penser que vos souhaits vont au-delà d’une simplification de la rédaction des rapports.

J’aimerais vous interroger sur votre modèle économique. Dans un avis portant sur le fonctionnement concurrentiel de l’informatique en nuage, l’Autorité de la concurrence a relevé plusieurs problèmes : manque de transparence sur les tarifs ; crédits cloud très importants accordés aux start-up ; systèmes de licence rendant plus coûteuse l’utilisation de produits dans des environnements cloud concurrents, notamment pour Microsoft ; pour Amazon, mises à jour unilatérales de certains services faisant office de standard technique, auxquelles les autres acteurs ont accès avec un délai. Depuis la publication de cet avis, en 2023, vos pratiques ont-elles évolué ?

Google Cloud a déposé une plainte contre Microsoft auprès de la Commission européenne. Celle-ci a ensuite été retirée, non parce que les griefs n’étaient plus fondés, mais parce que la Commission européenne elle-même a voulu se saisir du sujet. Pourriez-vous nous expliquer les raisons pour lesquelles Google Cloud avait déposé plainte ? Où en sont les travaux de la Commission européenne sur ce sujet ?

Lors d’une audition précédente, le DSI d’une grande organisation nous a expliqué qu’il avait constaté une augmentation tarifaire de 20 % entre le nouveau et l’ancien contrat passé avec Microsoft, à périmètre identique. Il nous a précisé que Microsoft demandait expressément qu’il ne soit pas fait état de ces augmentations ; étant sous serment, il a été contraint de nous transmettre cette information, par souci de transparence. Pourquoi demander aux acteurs, notamment aux acteurs publics, de ne pas communiquer à ce sujet ? Qu’est-ce qui peut justifier une telle augmentation ?

Mme Corine de Bilbao. Pour ce qui est de la transparence des prix, nos prix de licences et de services cloud sont publiés sur un site que je pourrai vous indiquer. Ils sont calculés en dollars, puis convertis en euros pour l’Europe. Ce même site indique les remises consenties en fonction du volume. La transparence des prix est donc complète et accessible à tous nos clients, privés comme publics.

Quant aux augmentations de prix, elles existent, comme dans toute industrie, et sont liées à trois facteurs. Le premier est l’enrichissement des logiciels, des produits et des services, et pas seulement sur le plan de la sécurité. Le deuxième est lié, comme dans toute industrie, à l’augmentation des coûts de matériel, de personnel et d’investissement. Le troisième est l’évolution des taux de change. Nous sommes transparents sur les augmentations de prix. La dernière, qui a eu lieu en 2023, était de 11 %, en raison du taux de change entre l’euro et le dollar. Je précise qu’une fois les contrats signés, que ce soit pour trois ou cinq ans, les prix sont évidemment connus sur leur durée de validité – c’est ce que nous demandent nos clients. On a moins dit que de nouveaux taux de change ont entraîné, si ma mémoire est bonne, une baisse de prix de l’ordre de 7,6 % en février 2026. Je répète toutefois que nos prix sont finalisés dans des contrats et valables pour la durée de ceux-ci, que nos clients soient publics ou privés, étant précisé que, pour les clients publics, cela passe par des distributeurs et des partenaires.

J’en viens à votre troisième question, qui portait sur l’Autorité de la concurrence. Des discussions ont eu lieu en 2024, et un accord a été trouvé avec plusieurs fournisseurs de cloud, dont OVH et l’association CISPE, à propos de Windows Server. Je n’en ai pas les détails mais, cet accord ayant été trouvé, le sujet est clos. Il faudrait poser la question à Google, qui avait déposé une plainte avant de la retirer. Nous estimons, pour notre part, qu’il n’y avait pas de base juridique, mais je propose de laisser les représentants de Google répondre sur ce point spécifique.

Mme Cyrielle Chatelain, rapporteure. La mise à jour Windows 11 a donné lieu à tout un débat, parce qu’elle ne pouvait pas être installée sur certains matériels un peu anciens mais fonctionnels. Cette question se posera à nouveau. Windows 10 deviendra-t-il payant pour les personnes qui ne pourraient pas basculer vers Windows 11 ?

Mme Corine de Bilbao. Sur cette question technique, je laisse M. Philippe Limantour répondre.

M. Philippe Limantour, directeur technologie et cybersécurité de Microsoft France. La sécurité est notre principal souci. L’Anssi a déclaré qu’une « racine de confiance matérielle » de Windows 10 était vulnérable à des attaques, ce qui signifie que toute personne ayant accès à une machine équipée de cette ancienne technologie peut accéder aux données, quel que soit d’ailleurs le système d’exploitation – Linux, Windows ou autre – utilisé sur ce matériel. Nos systèmes d’exploitation ayant une durée de vie d’à peu près dix ans, souvent rallongée – celle de Windows 10 l’a été de trois ans –, nous ne pouvions pas nous permettre, au passage à Windows 11, d’aller contre l’avis de l’Anssi et d’autres autorités de sécurité. Une nouvelle puce, dénommée TPM 2.0, était nécessaire pour assurer la sécurité des données de nos clients.

Mme Cyrielle Chatelain, rapporteure. Alors, Windows 10 sera-t-il payant ?

M. Philippe Limantour. Des extensions de support pour la sécurité ont été proposées aux entreprises et aux particuliers qui restent en Windows 10, avec des extensions gratuites pour ces derniers. Les entreprises peuvent continuer d’utiliser ces matériels dans d’autres conditions si elles acceptent les risques de sécurité y afférents.

M. le président Philippe Latombe. Je suis heureux de noter que l’augmentation de tarifs de 2025 paie une partie de CrowdStrike.

M. Julien Lépine. Vous nous avez d’abord interrogés sur le manque de clarté des tarifs. Depuis la création d’AWS, notre catalogue de prix est complètement public et disponible en ligne pour l’ensemble de nos clients. C’est vraiment l’un des fondamentaux, en quelque sorte l’ADN d’Amazon, que le prix soit affiché publiquement et disponible sur un site internet. Comme chez tout commerçant, les prix baissent en fonction du volume acheté. Il y a eu 161 baisses de prix depuis la création de la plateforme : notre logique est donc plutôt de faire profiter nos clients, par des baisses de prix, des bénéfices que nous réalisons grâce à l’effet d’échelle.

Pour certains contrôleurs de gestion, un catalogue de prix où chaque service a un prix différent, certains étant facturés à la milliseconde, peut représenter une certaine complexité. Nous fournissons donc aussi un ensemble d’outils permettant de planifier, de décrire une architecture technique et d’obtenir une estimation du prix. Le but est que le client puisse faire un choix éclairé, sans engagement. Une fois que le client a commencé à travailler, il dispose d’outils de suivi qui lui donnent une vision du budget consommé et lui permettent de savoir si les dépenses dépassent le budget estimé. Nous avons donc vraiment travaillé sur ces points pour aider les clients, et sommes vraiment des avocats de la plus grande transparence possible sur le coût de nos services – je préfère ce mot à celui de « tarifs », auquel la géopolitique donne actuellement une signification un peu différente.

Vous évoquiez, en deuxième lieu, les crédits, qui ont effectivement donné lieu à un certain nombre d’analyses du point de vue de la concurrence. Les crédits sont un moyen, en particulier pour les PME, de venir essayer une plateforme, sans engagement. Dans les incubateurs, les start-up peuvent tester des crédits différents sur plusieurs plateformes, et plus de 80 % des entreprises recourent déjà au multicloud.

Une question qui nous était spécifiquement destinée portait sur les mises à jour unilatérales. Je ne connais pas en détail le cas précis qui a été évoqué, mais nous avons un certain nombre de réponses à vous apporter.

Si vous avez commencé à utiliser Amazon S3 – notre service de stockage Simple Storage Service, premier service sorti par AWS en mars 2006 – il y a vingt ans, vous pouvez continuer à l’utiliser de la même manière en 2026, avec exactement les mêmes appels, la seule différence concernant le niveau de sécurité. En 2006, en effet, les standards de sécurité du chiffrement n’étaient pas encore post-quantiques, car la question ne se posait pas. Ainsi, nous avons procédé à des mises à jour pour le chiffrement, mais le fondamental de l’API (interface de programmation d’application) reste le même.

Deuxième point important pour nous : les SDK, ou software development kits, qui permettent d’intégrer la plateforme AWS à une application ou à un développement logiciel, sont open source depuis leur création, auditables et téléchargeables. Nous avons travaillé avec des plateformes comme Terraform pour laisser le libre choix aux clients.

Je laisse Arnaud David vous parler des licences.

M. Arnaud David. Les pratiques déloyales en matière de licences de logiciels sont un problème pour nos clients, rapporté depuis déjà de nombreuses années, mais ce problème n’est pas lié au cloud. En soi, une licence de logiciel, c’est du code ; elle devrait donc être portable quel que soit l’environnement – sur site, dans le cloud ou ailleurs. Il faut également distinguer ces licences des environnements cloud, constitués d’une somme non seulement de logiciels, mais aussi de matériels, de réseaux et de dispositifs de sécurité qui s’exécutent dans un environnement spécifique. Mélanger ces deux réalités assez distinctes brouille le contexte et évite de mettre en lumière le problème des restrictions liées aux licences logicielles. Cela a été constaté par plusieurs organisations : outre l’Autorité de la concurrence, que vous avez citée, son homologue anglaise s’en est elle aussi saisie récemment, et le Cigref l’avait fait voilà quelques années également. Il s’agit donc d’un problème important, sur lequel il conviendrait effectivement d’agir.

Mme Cyrielle Chatelain, rapporteure. Les egress fees, autrement dit les frais pour des données sortantes, sont-ils toujours appliqués ? Si oui, à combien s’élèvent-ils ?

M. Arnaud David. Le principe est qu’AWS n’est pas au courant de l’utilisation que les clients font de ses services. Lorsqu’un client reprend ses données – ce qu’on appelle un « data transfer out » –, il peut le faire pour de nombreuses raisons, notamment parce qu’il souhaite quitter les services d’AWS, mais pas uniquement. Depuis l’origine, nous facturons cette utilisation de nos services ; en revanche, AWS ne facturait pas de frais de résiliation lorsque le client souhaitait quitter ses services. Nous avions donc instauré, de manière générale et hors cas de résiliation, des réductions en garantissant 100 gigaoctets par mois sans frais. Cette mesure s’appliquait depuis quelques années, et je crois qu’elle est d’ailleurs toujours applicable.

D’autres éléments sont venus s’y ajouter dans le cadre des discussions, notamment, de la réglementation Data Free Flow with Trust, puis du Data Act. Quelle que soit la raison de facturer l’utilisation d’un service, nous avons anticipé la réglementation entrée en vigueur en septembre 2025 et celle qui s’appliquera dans trois ans pour les frais de transfert, même s’il ne s’agissait pas de frais de résiliation, en permettant aux clients de quitter sans frais les services AWS s’ils le souhaitent et de recourir à leur gré à plusieurs solutions cloud en même temps – c’est ce qu’on appelle le multicloud –, au prix et en conformité avec la réglementation du Data Act.

Pour répondre à votre question, il n’y a donc pas de frais de sortie facturés.

M. Frédéric Geraud de Lescazes. Comme ceux de nos concurrents, nos prix sont publics et en ligne. Il y a un peu plus d’un an, l’Insee s’est rapproché de nous pour élaborer un indice de prix ; depuis lors, nous participons trimestriellement à la production de cette cohorte statistique en cours de mise en place. Comme vous pourrez le vérifier auprès de l’Insee, nos prix ne bougent pas depuis plusieurs trimestres. Du reste, lors de la crise énergétique, en 2022, nous n’avons pas augmenté nos prix, contrairement à certains de nos concurrents.

Comme vous l’a dit Sébastien Missoffe, c’est notre position de marché – de l’ordre de 10 % de parts de marché – qui guide notre stratégie. Nous avons donc fait clair et simple pour la partie relevant du Data Act, parce que nous voulons faire bouger le marché. Ainsi, nous avons été les premiers, par anticipation, à mettre fin aux coûts de sortie : lorsque le contrat avec le fournisseur cloud se termine et que le client doit migrer ses données en dehors pour qu’elles reviennent chez lui ou aillent chez un autre fournisseur, les frais ont été réduits à zéro. Nous avons beaucoup communiqué à l’époque et avons fait bouger les autres acteurs du secteur, qui ont été, dans les mois qui ont suivi, obligés de nous imiter.

Nous avons fait la même chose pour les egress fees facturés en cas de multicloud. Là encore, compte tenu de notre position de marché, nous sommes en faveur du multicloud. De fait, au-delà de l’aspect sécuritaire – il est conseillé de ne pas mettre tous ses œufs dans le même panier pour éviter de créer un seul point de rupture, un « single point of failure », sur le plan de la cybersécurité –, il est de notre intérêt d’offrir nos technologies. Nous avons donc réduit les frais à zéro. Là encore, nous étions les premiers à le faire, et nous avons emmené le marché. Nous essayons d’être différents pour attirer de nouveaux clients. C’est notre intérêt.

S’agissant des crédits cloud, je vous renvoie à une disposition de la loi Sren. Au cours des débats parlementaires, la Commission européenne a écrit par deux fois à la France pour lui expliquer que les dispositions qu’elle s’apprêtait à prendre en la matière étaient une surtransposition, puisque ces crédits n’étaient pas prévus dans le texte du Data Act, et qu’elles ne pourraient donc s’appliquer qu’aux acteurs facturant depuis la France. À cet égard aussi, donc, nous sommes différents : Google Cloud France SARL facture depuis la rue de Clichy, sous législation française, alors qu’à ma connaissance, AWS facture depuis le Luxembourg et Microsoft depuis l’Irlande. En somme, Google Cloud est donc le seul hyperscaler concerné.

En matière de coûts de sortie, nous sommes aussi signataires du code Swipo (Switching Cloud Providers and Porting Data), qui a été travaillé au niveau européen.

Quant à la plainte que nous avons retirée sur indication de la direction générale (DG) Concurrence de la Commission européenne, c’est pour nous une question de principe. Quel que soit l’acteur en cause, nous contestons la barrière que nous rencontrons et que rencontrent tous les acteurs sur ce marché.

M. le président Philippe Latombe. Est-ce à dire que si la DG Concurrence ne va pas au-delà de ce qu’elle fait actuellement, et que s’il n’y a pas de sanction ou de modification législative, vous pourriez reprendre votre plainte ?

M. Frédéric Geraud de Lescazes. La DG Concurrence nous a invités à retirer notre plainte, en nous indiquant que d’autres textes pourraient être le lieu approprié pour régler la question des licences juridiques déloyales.

M. le président Philippe Latombe. Mais si comme sœur Anne vous ne voyiez rien venir, reprendriez-vous votre plainte ?

M. Frédéric Geraud de Lescazes. Je ne sais pas répondre à votre question. Notre position est que ce combat est trop important pour que nous ne le continuions pas. J’aurais tendance à vous répondre que oui, à ce moment-là, nous remonterions au créneau… Mais nous espérons que certains textes aboutiront d’ici là pour régler la situation.

M. Aurélien Taché (LFI-NFP). Comme cela a été dit, l’État français et les Français hébergent une part croissante de leurs données sur vos infrastructures. Compte tenu des réponses que vous avez faites aux questions du président et de la rapporteure, je comprends qu’en cas d’injonction américaine de transmettre, au titre du Cloud Act ou du Fisa, les données des Français hébergées sur vos infrastructures, après la décision d’un juge, vous obtempéreriez. Vous n’avez pas répondu en disant que vous pourriez, dans ce cas, offrir aux Français une garantie juridiquement opposable – si je dis quelque chose de faux, merci de me contredire.

J’irai un peu plus loin dans la question. La plupart de vos entreprises ont financé la campagne de l’actuel président des États-Unis d’Amérique. Que se passerait-il en cas de conflit politique ou diplomatique majeur entre la France et ce pays ? Pouvez-vous garantir une continuité du service de vos entreprises dans ce cas précis ? La question paraît un peu surréaliste, mais je suis obligé de l’évoquer quand le président des États-Unis dit qu’il faut rebaptiser le golfe du Mexique en « golfe d’Amérique », puisque nous avons dans les Caraïbes des empreintes françaises, notamment les Antilles. Un conflit direct ou un conflit diplomatique majeur peut arriver – on le voit avec le juge Guillou qui, pour avoir fait appliquer le droit international, s’est vu couper ses moyens de paiement en application des lois extraterritoriales américaines. Comment réagiriez-vous à une injonction de l’administration américaine d’activer le kill switch et de ne plus assurer la continuité du service ? Quelles garanties pouvez-vous nous donner face à une telle hypothèse ? Quels sont les scénarios que vous avez documentés ? Étant des entreprises sérieuses disposant de moyens importants, vous avez certainement réfléchi à cette hypothèse…

M. Arnaud David. Pour ce qui est du contexte, nous fournissons des services aux organisations et aux entreprises, et avons donc été interrogés par nos clients à ce propos. Cette question est bien évidemment importante, mais elle occulte une réalité évoquée à plusieurs reprises : l’interdépendance, à de multiples niveaux, entre les États-Unis et l’Europe. AWS est une entreprise globale, qui a trente-neuf régions cloud dans le monde. Nous dépendons d’une chaîne de fournisseurs très variés dans de très nombreux pays, et nous investissons massivement dans des centres de données dans les pays où nous sommes présents, en France comme en Europe. Ce sont des investissements à long terme, qui nous engagent pour des durées de dix à quinze ans, voire plus. Le point fondamental est que nos clients comptent sur nous, comme vous le rappeliez, pour continuer à fournir les services en toutes circonstances.

Dans les cas où cette continuité de service serait menacée – de tels cas ne se sont, pour ce qui nous concerne, jamais réalisés –, nous prenons l’engagement ferme de mettre, en pratique, tout en œuvre pour continuer à fournir le service. Cet engagement, qui prendra probablement différentes formes en fonction de la situation, est très important.

Pour les clients qui souhaiteraient des garanties supplémentaires, nous avons lancé tout récemment, en janvier, comme nous l’avons rappelé dans nos propos liminaires, le cloud souverain européen, infrastructure dont les premiers centres de données sont basés en Allemagne – mais nous en avons annoncé d’autres dans d’autres pays européens – et qui se veut être un nouveau cloud pour l’Europe. Dans ce cadre, les infrastructures, le personnel et le management sont en Europe.

Cette infrastructure bénéficie aussi d’un réplicat du code source, ce qui signifie qu’elle n’a pas de dépendance critique vis-à-vis de nos autres infrastructures, en particulier aux États-Unis. Dans le cas d’une déconnexion mondiale de l’Europe, il y aurait tout ce qui est nécessaire pour continuer à opérer le service en Europe – c’est là un point fondamental.

J’ajouterai deux éléments supplémentaires. Du point de vue contractuel, pour les clients de ce nouveau cloud pour l’Europe, nous prenons l’engagement ferme que, si nous devions mettre fin à tout ou partie des services fournis par celui-ci, nous ne pourrions le faire qu’avec un préavis de douze mois, ce qui laisse de la visibilité aux entreprises.

Enfin, un détail qui ne remet pas en cause la question que vous venez de poser, mais qui a son importance : une étude publiée en février par le ministère néerlandais de la justice a analysé ce nouveau cloud au regard d’événements qui pourraient conduire à une rupture de continuité, et a qualifié ces événements d’improbables. Je ne veux pas dire que cela n’arrivera jamais, mais je tenais à signaler cet élément à votre attention.

M. le président Philippe Latombe. Le juge Guillou peut-il bénéficier des services d’AWS ? Outre la livraison de colis par Amazon, a-t-il accès à votre suite et à du stockage ?

M. Arnaud David. Je ne peux pas répondre à votre question, parce que nos clients sont principalement des entreprises. Or je ne sais pas si le juge Guillou a une entreprise qui souhaiterait utiliser les services d’AWS…

M. le président Philippe Latombe. On va lui demander de créer une entreprise unipersonnelle à responsabilité limitée (EURL) en France, qui pourra peut-être utiliser les services d’AWS !

M. Frédéric Geraud de Lescazes. Le système américain de financement électoral est très différent du nôtre. Ce financement passe principalement par les employés de l’entreprise regroupés dans ce qu’on appelle, je crois, des political action committees (PAC). C’est un processus que je ne connais pas très bien. Puisque le système américain est bipartisan, il existe un groupe républicain et un groupe démocrate, et nos employés financent par ce biais les campagnes électorales tant au niveau des États qu’au niveau fédéral, comme dans toutes les entreprises présentes sur le sol américain. Ce n’est pas plutôt l’un ou plutôt l’autre, mais les deux. Typiquement, la Californie est majoritairement démocrate, mais ce n’est pas le cas d’autres États. Ces choses évoluent dans le temps. J’ai toujours entendu parler du système bipartisan, mais il existe d’autres partis politiques aux États-Unis ; au vu du nombre de nos employés, il existe peut-être aussi un PAC pour ceux-là.

Pour ce qui est du kill switch, je rappelle que, dans le discours par lequel il lançait, en 2021, la doctrine « Cloud au centre », Bruno Le Maire a pris l’exemple du nucléaire français, soulignant notamment que dans les années 1950, pendant le mandat du général de Gaulle, ou du moins à l’époque d’une « certaine idée de la France », EDF, qui avait développé sa propre technologie de nucléaire civil, avait fait le choix conscient d’acheter des licences américaines de l’entreprise Westinghouse. Aujourd’hui, en 2026, l’ensemble du parc nucléaire civil français, hors EPR de nouvelle génération, tourne encore sur des licences Westinghouse. La question du kill switch est donc majeure et fondamentale : pourrons-nous allumer la lumière demain matin ?

Pour ce qui nous concerne – et c’est ce qui nous place peut-être dans une position plus confortable que nos concurrents –, notre solution « dans une bulle d’air », que j’ai déjà évoquée, est complètement déconnectée. Elle n’est donc pas déconnectable !

Je veux aussi citer les travaux liés au SecNumCloud. L’Anssi, qui travaille sérieusement, n’a pas attendu tel type de mouvement politique dans tel pays pour prévoir, dès le début de 2016, l’obligation d’un plan de réversibilité. La question de savoir comment continuer si l’on n’a plus accès à ces technologies fait partie intégrante du SecNumCloud. Outre notre offre préexistante, Google Cloud Platform, totalement déconnectée, vous pouvez donc aussi accéder à des technologies qualifiées SecNumCloud, localisées dans la filiale de Thales dénommée S3NS. En cas de kill switch, rien ne serait simple, et toute migration serait fort complexe, mais ces deux solutions existent.

Pour ce qui est des services de Google Cloud Platform en direct, nous avons pris l’engagement, en réponse aux craintes qui se sont exprimées – nous ne sommes pas aveugles aux tumultes du monde –, de fournir à nos clients, en cas d’interruption de nos services, l’accès à notre code pour qu’ils puissent, s’ils disposent des ingénieurs nécessaires, assurer la continuité du service. Ce ne sera pas simple, mais c’est notre engagement.

M. le président Philippe Latombe. Je vous poserai la même question qu’à AWS : avez-vous appliqué au juge Guillou la réglementation américaine, et lui avez-vous coupé l’accès à toute solution Google ?

M. Frédéric Geraud de Lescazes. En l’occurrence, il s’agit plutôt du compte mail. Nous offrons à tous nos utilisateurs, qu’ils soient ou non juges à la CPI, la possibilité de récupérer leurs données dans un format utilisable et interopérable pour qu’ils puissent migrer vers une autre solution, car nos technologies sont basées sur de l’open source. Si la loi le permet, nous prévenons l’utilisateur et lui fournissons le pas-à-pas pour migrer ses données. Si nous disposons des précisions suffisantes – par exemple, dans le cas d’une décision judiciaire –, nous lui indiquons à quelle date il doit effectuer telle action. Si la loi ne le permet pas, nous respectons l’État de droit, et nous appliquons la loi.

M. le président Philippe Latombe. Ce qui veut dire, en l’état actuel des choses, que le juge Guillou ne pourrait pas ouvrir un compte Gmail ni utiliser la suite de Google s’il le demandait, même à titre particulier.

M. Frédéric Geraud de Lescazes. Tout à fait.

Mme Corine de Bilbao. La probabilité d’un kill switch est extrêmement faible, voire inexistante. Microsoft est une entreprise globale, qui opère dans 180 pays et s’est engagée à augmenter de 40 % ses centres de données en Europe d’ici à 2027. Au vu du montant de nos investissements, il serait suicidaire d’appliquer un kill switch. L’entreprise n’est pas le gouvernement américain.

Cela dit, cette préoccupation arrive chez nos clients, et nous devons répondre à leurs questions. Nous le faisons de plusieurs manières. D’abord, sur le plan contractuel, nous avons pris des engagements de résilience envers nos clients du secteur public, mais aussi des services et infrastructures critiques au niveau européen. Nous avons également un conseil d’administration avec des Européens pour les data centers. À cela s’ajoutent des engagements techniques, avec une panoplie de possibilités en fonction de la localisation des clients. Je propose que Philippe Limantour vous décrive ces engagements techniques qui permettent aux clients de se protéger d’un kill switch.

M. le président Philippe Latombe. Cela signifie donc qu’il n’y a pas eu de kill switch de la part de Microsoft pour une entreprise indienne, une université chinoise, la CPI et, éventuellement, certains de ses juges, parce que le kill switch n’existe pas ?

Mme Corine de Bilbao. Pour ce qui concerne notamment l’entreprise indienne, je n’ai pas d’informations, car ce n’est pas dans ma zone de travail, mais nous vous en communiquerons. En revanche, pour ce qui concerne la CPI, Microsoft n’a pas coupé les services. C’est tout ce que je peux vous dire. Si vous avez besoin de plus d’informations sur cette question, qui ne relève pas de mon champ de compétence, nous vous ferons parvenir une note.

M. Philippe Limantour. Concernant la résilience, il existe effectivement pour nos clients plusieurs moyens de se prémunir d’un kill switch et d’assurer la continuité de l’activité.

Il est tout d’abord possible d’utiliser des mécaniques complètement déconnectées, que nous proposons nous aussi. Vous pouvez en effet installer dans vos propres centres de données une solution, Azure Local, qui permet d’être entièrement déconnecté de la plateforme Microsoft. Le matériel correspondant à cette solution est acheté auprès de revendeurs ; le client, public ou privé, en est donc entièrement propriétaire. Il peut également faire tourner sur ce matériel des logiciels de collaboration ou de partage SharePoint – c’est la solution Microsoft 365 local.

Il existe aussi des licences dites on-premise (sur site), où les données ne sont pas dans le cloud.

Le troisième moyen de se prémunir d’un kill switch passe également par SecNumCloud : l’entreprise Bleu a des plans de résilience et est complètement autonome pour servir ses clients, leur apporter un support et les facturer pour continuer les activités sur base de technologie Microsoft. Il y a une séparation complète entre l’opérateur et le fournisseur de technologie : nous fournissons la technologie à Bleu, qui est complètement autonome de Microsoft pour l’opérer.

M. le président Philippe Latombe. Quand Bleu sera arrivé à l’Assemblée…

M. Philippe Limantour. Pardon, mais Bleu est déjà là. Il faudrait dire : « quand Bleu aura la qualification SecNumCloud ».

M. le président Philippe Latombe. Vous avez un peu anticipé…

Madame de Bilbao, avec les réponses que vous nous donnerez à propos de l’entreprise indienne, pourriez-vous aussi nous dire quels sont les services auxquels le juge Guillou pourrait avoir accès ? Nous lui transmettrons ces éléments, ce qui lui permettra éventuellement de trouver des solutions. Je ne dis pas cela méchamment, mais si vous avez des solutions, nous sommes preneurs…

M. Nicolas Bonnet (EcoS). Après cette promenade dans les nuages à travers le cloud, je vais essayer de nous ramener un peu sur terre car, derrière la dématérialisation, il y a bien du matériel informatique. Vous n’êtes pas sans savoir – et vous l’avez d’ailleurs évoqué – que les appels de puissance et de stockage sont de plus en plus importants. Vous souhaitez développer les data centers en Europe, et sans doute aussi ailleurs. Tout cela a un impact environnemental grandissant, puisque cela représente déjà 4,4 % de l’empreinte carbone de la France, du moins pour le numérique ; selon les prévisions de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (Arcep) ou de l’Agence de la transition écologique (Ademe), le tendanciel, à l’horizon 2030, serait un triplement de l’empreinte carbone et un doublement de l’empreinte énergétique, alors qu’il faudrait au contraire diminuer fortement l’empreinte carbone pour respecter nos engagements climatiques.

Quelles actions entreprenez-vous pour que le numérique et l’IA, qui consomme une grande partie de la puissance de stockage et de calcul dans ce domaine, soient plus sobres en énergie et en ressources ? Avez-vous envisagé de vous appliquer la démarche qu’a engagée récemment Mistral, en travaillant avec l’Ademe sur une analyse du cycle de vie pour essayer d’objectiver davantage les efforts que chacun fait – ou ne fait pas – pour diminuer son empreinte carbone et sa consommation d’énergie ?

Si j’ai bien compris, vous représentez plutôt la partie cloud de vos entreprises : vous n’êtes donc a priori pas censés savoir ce que font vos clients. Pourriez-vous tout de même nous dire, du point de vue macro, quelle part des services que vous hébergez représentent respectivement, par exemple, les usages de services mail, d’IA générative accessible au grand public et d’IA appliquée à la recherche ? Quelqu’un a évoqué tout à l’heure la recherche sur le cancer, que nous considérons tous comme éminemment importante, mais je ne suis pas certain que, par rapport à la consommation de ressources et d’énergie de l’IA générative, de l’IA au sens large ou du streaming vidéo, sa part soit la plus grande. Pouvez-vous donc nous dire comment sont utilisées les puissances de calcul et de stockage dont vous disposez ?

Mme Cyrielle Chatelain, rapporteure. De combien de data centers êtes-vous les usagers uniques, que vous les possédiez déjà ou que vous en prévoyiez le développement ? Lorsque vous êtes en colocation, quel est votre pourcentage d’utilisation ?

Par ailleurs, s’agissant des projets que vous envisagez de développer en France, en propre ou en tant qu’actionnaires, quelle est la puissance énergétique de raccordement actuelle et quelle est la puissance demandée ?

M. Frédéric Geraud de Lescazes. Mistral n’a pas été le premier acteur du secteur à effectuer une analyse du cycle de vie, qui a été mondialement saluée. Quelques mois avant, Google avait analysé, étape par étape, la consommation énergétique de son modèle Gemini. La méthodologie utilisée a été rendue publique, en open source, afin de contribuer aux travaux mondiaux sur ces questions.

Google entretient une relation particulière avec la science : nous sommes nés d’un article de recherche publié en 1998, qui avait pour but de classer l’information disponible sur le web pour la rendre plus disponible, sans considération mercantile. Notre moteur de recherche est issu de la R&D. Au cours de deux dernières années, trois de nos collègues ont reçu un prix Nobel. Le plus récent est français : Michel Devoret a reçu le prix Nobel de physique pour ses travaux sur le quantique. Notre éminent collègue dirige actuellement le département d’intelligence artificielle quantique de l’université de Californie, à Santa Barbara. Ses travaux de recherche fondamentale, menés dans les années 1980, ont été mis en production et ont débouché sur la fabrication d’une puce dénommée Willow – l’une des premières puces quantiques. Je le disais, la science est importante pour Google.

Notre forge à modèles d’intelligence artificielle, Google DeepMind, est installée à Londres. Son directeur général a reçu l’année dernière, avec un autre collègue et un chercheur d’un laboratoire britannique, le prix Nobel de chimie pour le développement d’une base de données nommée AlphaFold, qui a permis à des chercheurs germano-turcs de trouver un vaccin contre le covid. Cette base de données permet de prédire la forme d’une protéine parmi un total de 200 millions de formes. Plus de 65 000 scientifiques français y ont gratuitement accès chaque jour. Notre moteur, c’est de faire avancer la science. C’est aussi ce qui a prévalu dans notre décision de partager notre méthodologie d’analyse de la consommation énergétique liée aux usages de l’IA.

Sur le territoire français, Google Cloud n’est propriétaire d’aucune infrastructure ni d’aucun data center. Notre région Cloud Paris correspond à trois lieux de colocation chez des hébergeurs classiques, que je ne citerai pas.

Nous avons cependant des projets de développement d’infrastructures en France. Celui situé à Ozans, dans la communauté d’agglomération de Châteauroux Métropole, est public. Nous avons signé la promesse de vente et terminé les études techniques relatives au terrain, qui est majoritairement karstique. La majorité des études environnementales sont également finalisées. Nous avons découvert la présence d’une population de crapauds persillés, des batraciens plutôt rares ; un bureau d’études réfléchit déjà à la meilleure manière de traiter cette question.

Le comité de pilotage de ce projet de centre de données de Google a tenu sa première réunion le 5 février dernier, en présence de l’ensemble des élus locaux – du département et de la région – et de représentants de l’État. Il est coprésidé par le préfet de l’Indre, qui vient de changer, et le président de Châteauroux Métropole, Gil Avérous. Des infrastructures électriques devant être développées dans le cadre de ce projet, des représentants d’Enedis et de RTE y participent également. Nous avons choisi de mobiliser la Commission nationale du débat public (CNDP) ; trois garants ont été nommés, et les premières réunions auront probablement lieu à la rentrée prochaine.

Nous avons présenté au comité de pilotage l’intégralité de ce qui n’est qu’un projet – nous ne sommes pas pleinement propriétaires du terrain et n’avons pas encore obtenu de permis de construire. Le préfet a demandé à avoir la haute main sur ce projet industriel ; de manière générale, les services de l’État apportent un soutien appuyé.

Je propose de demander aux deux coprésidents du comité de pilotage de vous inviter à sa prochaine réunion, afin que vous ayez connaissance de toutes ces informations.

Mme Cyrielle Chatelain, rapporteure. La puissance énergétique est un enjeu essentiel, voire stratégique, pour le développement des data centers. De quelle puissance énergétique aurez-vous besoin pour alimenter cet immense projet – de 190 hectares, je crois ?

M. Frédéric Geraud de Lescazes. La surface est précisément de 195 hectares.

Nous nous sommes engagés auprès de la CNDP à réserver à la population berrichonne la primeur des informations relatives à ce projet. C’est pourquoi je souhaite vous inviter aux réunions de son comité de pilotage.

La préfecture nous a demandé de ne pas prendre directement contact avec les associations locales, notamment environnementales, avant que se tiennent les rencontres qu’elle organisera ; il en va de même des rencontres avec les concessionnaires RTE et Enedis, ainsi qu’avec toutes les autres parties prenantes. Je souhaite vous embarquer dans cette aventure, parce que nous avons beaucoup à apprendre de vous.

Mme Cyrielle Chatelain, rapporteure. Je viendrai avec plaisir.

M. Julien Lépine. Monsieur Bonnet, vous avez parlé de l’impact environnemental du cloud et des besoins qui en résultent. Nous avons beaucoup parlé des logiciels, mais le cloud est aussi un métier d’opération et de logistique. J’en profite pour remercier nos équipes qui travaillent au quotidien dans les data centers ; ils font tourner les infrastructures vingt‑quatre heures sur vingt-quatre et sept jours sur sept pour servir nos clients.

Chez Amazon, nous avons un modèle mental qui est sans doute assez partagé : nous considérons le cloud comme le transport en commun de l’infrastructure. Les clouds ont besoin de plus d’infrastructures et plus de présence. Pour nous, l’efficacité énergétique est non seulement un impératif éthique important pour nos équipes, mais aussi un enjeu commercial. Un data center de type cloud moderne comme ceux que nous déployons est jusqu’à 4,1 fois plus efficace qu’un data center traditionnel. Tout un pan des travaux d’extension du numérique porte sur la modernisation des infrastructures.

Lors d’une audition que vous avez menée hier a été évoquée l’importante amélioration du nombre d’opérations de calcul par watt utilisé dans les data centers. Le PUE (power usage effectiveness, ou indicateur d’efficacité énergétique) est une norme internationale permettant de calculer cette amélioration : un data center traditionnel obtient un résultat légèrement supérieur à 1,6 PUE, ce qui signifie qu’il faut utiliser 1,6 watt d’énergie pour fournir 1 watt d’infrastructure ; AWS obtient un résultat de 1,15 PUE en moyenne mondiale et de 1,04 PUE en Europe. Nous dégageons donc un gain significatif.

Depuis de nombreuses années, nous travaillons également à fournir des infrastructures et des processeurs moins gourmands en énergie. Nous avons développé une puce, nommée Graviton, qui permet des gains d’énergie allant jusqu’à 60 % par rapport à une puce traditionnelle. Il est pour nous primordial de limiter le plus possible notre impact environnemental dans les infrastructures et les investissements.

AWS s’était engagée à produire une énergie 100 % renouvelable pour ses infrastructures de cloud en 2030 ; nous avons atteint cet objectif en 2023, avec sept ans d’avance. Nous nous sommes également engagés à atteindre la neutralité carbone en 2040, soit dix ans plus tôt que ce que prévoit l’accord de Paris.

Les modèles d’intelligence artificielle s’organisent selon deux parties : l’entraînement et l’inférence. Au cours des premières années de développement, la première était la plus consommée par les entreprises, mais la généralisation des agents conversationnels a rendu la deuxième plus intéressante et plus utilisée par les entreprises. Comme nous le faisons depuis vingt ans pour les infrastructures traditionnelles, nous avons développé des infrastructures spécifiques afin d’optimiser leur consommation énergétique. Notre objectif est d’avoir la plus grande capacité de calcul pour la plus faible consommation de watts.

À ce jour, AWS opère en France quinze data centers en colocation et aucun en propre. Nous travaillons avec plusieurs entreprises françaises, contribuant ainsi à leur développement.

Mme Corine de Bilbao. Microsoft a pris de nombreux engagements environnementaux, dont celui d’être « carbone négatif » d’ici à 2030. Depuis la fin de l’année dernière, tous nos data centers sont alimentés par des énergies renouvelables, ce qui contribue beaucoup au développement de cette filière et notamment à ses acteurs français, avec lesquels nous avons développé une vingtaine de projets. Dans le monde, Microsoft dispose de 40 gigawatts de power purchase agreements, c’est-à-dire de contrats à long terme d’énergie renouvelable.

Nos engagements environnementaux portent également sur notre consommation d’eau. Nos nouveaux data centers bénéficient d’un approvisionnement en eau en circuit fermé. De plus, depuis fin 2024, 90 % des déchets des serveurs sont recyclés dans l’un de nos huit centres de recyclage, dont l’un est basé à Amsterdam.

S’agissant des data centers, nous fonctionnons selon un système de leasing dans les trois régions où sont installés nos serveurs : Paris, Marseille et Petit-Landau, dans l’est de la France, où nous nous sommes engagés, dans le cadre du sommet Choose France, à créer un data center. Ce site, d’environ 35 hectares, a fait l’objet de présentations publiques – je me suis moi-même rendue à Mulhouse en novembre dernier.

La construction d’un data center prend du temps ; en mobilisant une quarantaine de métiers, elle s’inscrit dans un écosystème local. Sa maintenance demande ensuite l’intervention de vingt à vingt-cinq métiers, contribuant ainsi à l’attractivité du territoire.

M. Philippe Limantour. Nos clients ont tous un modèle de consommation énergétique différent. Le premier enjeu en la matière étant la transparence, nous leur fournissons des tableaux de bord de suivi de leur consommation, notamment carbone, relatifs aux services qu’ils utilisent. Nous travaillons régulièrement avec eux pour déterminer comment améliorer leur consommation ; il s’agit de trouver l’équilibre entre l’innovation et la productivité. De nombreux protocoles sont en libre accès pour accompagner cette évolution, y compris au premier niveau, car cela commence souvent par le développement de logiciels plus frugaux.

En matière de consommation, nous faisons beaucoup de R&D ; notre rapport de puissance est d’environ 1,16 au niveau mondial. Les dernières générations de data centers fonctionnent avec un circuit fermé d’approvisionnement en eau.

Nous menons de nombreux travaux, notamment concernant l’intelligence artificielle. Nous avons développé des puces pour certaines phases de développement particulièrement consommatrices, équipées de mécanismes de refroidissement innovants : plutôt que d’installer un radiateur sur le processeur, qui est organisé en couches superposées, des micro-canaux sont intégrés à l’intérieur même du processeur. Grâce au liquide circulant ainsi en son sein, celui-ci diffuse moins de chaleur et nécessite moins de refroidissement.

Nous avons également consacré de nombreux travaux à l’allongement de la durée de vie, non seulement des postes, mais aussi des serveurs et de l’ensemble des systèmes. En faisant ce que l’on appelle de la ségrégation, nous sommes capables de décomposer un serveur traditionnel et de regrouper entre eux différents équipements – les systèmes de stockage d’un côté, les puces graphiques de l’autre – pour lesquels les températures et les hygrométries doivent être maintenues à des niveaux différents. Plutôt que d’appliquer uniformément les niveaux correspondant aux équipements les plus exigeants, les adapter ainsi permet d’augmenter la durée de vie de tous les équipements et de réduire la consommation de matériaux et de terres rares – l’impact environnemental se mesure aussi en amont.

Une expérimentation est en cours concernant le bâti des data centers : des cloisons en bois remplacent les murs en béton. De plus, nous utilisons l’intelligence artificielle, avec des entreprises françaises, pour améliorer l’impact environnemental – en recourant à du béton moins carboné, par exemple – et découvrir de nouveaux procédés de fabrication. Nous aidons notamment nos clients à réduire leur consommation d’eau et d’énergie dans leurs processus de fabrication industrielle – dans l’utilisation de fours, notamment.

Alors que les chercheurs essayaient de trouver une solution depuis une quinzaine d’années, l’intelligence artificielle nous a aidés à créer, en quelques semaines, un liquide de refroidissement pour les data centers ne contenant pas de PFAS (substances per- ou polyfluoroalkylées). Nous avons aussi eu recours à l’IA pour aider un client à créer une batterie solide contenant 70 % de lithium de moins que les batteries traditionnelles, tout en étant plus performante.

Enfin, depuis le début, l’ensemble de la chaîne matérielle de Microsoft est diffusée en libre accès, dans le cadre de l’Open Compute Project. Les spécifications de tous nos serveurs, depuis le silicium jusqu’aux couches les plus hautes, sont en libre accès. Notre investissement dans la R&D est ainsi mis à la disposition de l’ensemble de la communauté, qui bénéficie des innovations. Toutes ces actions contribuent à améliorer l’impact environnemental.

M. le président Philippe Latombe. Le temps file, et nous n’aurons pas le temps d’aborder tous les sujets. Je vous remercie donc de bien vouloir nous transmettre par écrit vos réponses au questionnaire, ainsi que toute contribution susceptible d’éclairer nos travaux.

Nous n’avons pas parlé de Nitro, conçu par AWS, et nous serions intéressés par une note détaillée à son sujet. De même, nous aimerions savoir où sont stockées et comment fonctionnent les clés de chiffrement de Google et de Microsoft.

En matière de cloud souverain, Google et Microsoft ont développé des solutions avec des entreprises françaises, mais le modèle d’AWS est totalement différent : vous avez annoncé un cloud AWS souverain et nous aimerions avoir des informations écrites à ce sujet, afin d’écarter tout soupçon de « souverain-washing ». Quid du kill switch si les États-Unis vous demandaient de cesser de fournir vos services ? La nationalisation de cette société de cloud AWS souverain – à tout le moins celle des murs et des infrastructures – est-elle prévue dans les contrats ? Comment tout cela fonctionnera-t-il en pratique, au cas – improbable selon Microsoft – où surviendrait un kill switch généralisé ?

Mme Cyrielle Chatelain, rapporteure. Pour rester sur le sujet du cloud AWS souverain, la question du président sur la nationalisation des murs se pose également s’agissant des contrats, car les salariés, basés en Europe, signent un contrat de travail avec AWS. Je vous remercie d’intégrer cette dimension dans la note juridique que vous nous ferez parvenir, afin que nous ayons connaissance de l’ensemble de la chaîne de décision.

Nous avons beaucoup parlé de données chiffrées. Toutes les données que vous stockez – les échanges d’e-mails, les Google docs, etc. – sont-elles chiffrées ? Dans l’affirmative, par qui le sont-elles ? Qui possède la clé de chiffrement ? Les équipes françaises et européennes des infrastructures souveraines dites hybrides – S3NS ou Bleu – ont-elles accès au code ?

Quelle est la fréquence des mises à jour pour les clouds de ce type ? Sont-elles effectuées par vos équipes, qui prennent la main sur l’infrastructure, ou envoyez-vous des éléments de code aux équipes françaises, qui les installent ? Si une mise à jour n’est pas effectuée, combien de temps faut-il pour qu’une éventuelle faille soit identifiée et exploitée dans le cadre d’une cyberattaque ? L’Anssi estime qu’il faut en moyenne cinq jours ; d’autres professionnels nous ont parlé de vingt-quatre heures.

M. le président Philippe Latombe. Dans les notes que vous nous transmettrez, nous voudrions également que vous distinguiez le chiffrement au repos et celui en traitement, qui sont très différents. Nous serions intéressés par vos solutions de chiffrement homomorphiques, si vous en utilisez.

M. Frédéric Geraud de Lescazes. Thales dit publiquement qu’il a accès au code ; l’Anssi vous l’a confirmé, et je vous le confirme également. Dans le cas contraire, nous n’aurions pas atteint le niveau de confiance nécessaire pour obtenir la certification SecNumCloud.

S’agissant des mises à jour, nous utilisons une zone de quarantaine, c’est-à-dire un serveur sécurisé sur lequel Google dépose soit une mise à jour, soit un nouveau service. En effet, comme l’a annoncé Thales, des services vont se surajouter, car la gamme d’offres va s’enrichir progressivement, notamment avant la fin de l’année avec toute la partie intelligence artificielle de Google Cloud Platform. Une fois que Google Cloud a effectué ce dépôt, nous ne savons pas ce qui se passe, car nous tenir à distance est le principe même de SecNumCloud. Nous n’avons pas le droit d’entrer, ni même de sonner, dans cette maison dont nous détenons pourtant 5 % ; avant d’accepter notre participation, nous avons été mis à nu et examinés sous toutes les coutures…

Mme Cyrielle Chatelain, rapporteure. Vous devez y trouver un intérêt, j’imagine !

M. Frédéric Geraud de Lescazes. Oui. L’intérêt, c’est que nous sommes le seul hyperscaler en mesure de dire à ses clients : « Vous voulez une certification SecNumCloud ? Ce ne sera pas avec nous, mais nous savons faire, avec les mêmes architectures et les mêmes logiciels. » Les clients peuvent ensuite déterminer la sensibilité de leurs données et répartir en temps réel la charge de travail à des équipes d’ingénieurs qui maîtrisent le sujet et qui travaillent avec la même console d’administration. C’est là que réside la puissance du modèle S3NS : chaque client peut modifier le niveau de sensibilité de ses données. Ensuite, Thales procède à son expertise.

Comme l’Anssi vous l’a dit lors de son audition, les mises à jour sont continues – plus il y a de services, plus il y a de mises à jour. De même que l’on parle d’un continuum de cyberattaques, il existe un continuum de mises à jour. Thales a dimensionné ses équipes d’ingénieurs pour faire face à cet enjeu. Combien d’acteurs disposent d’équipes d’ingénieurs suffisamment expérimentées et nombreuses pour endosser cette charge de travail ? Ce faisant, Thales fait croître sa courbe d’apprentissage ; il voudra probablement suivre d’autres envies.

Dans le modèle S3NS, Thales a placé autour de toutes nos solutions des surcouches de sécurité, auxquelles nous n’avons pas accès. Enfin, il a pris publiquement l’engagement de maintenir le modèle S3NS pendant douze mois en cas de problème de mise à jour.

Mme Cyrielle Chatelain, rapporteure. Nous avons entendu plusieurs témoignages concernant les engagements de Thales.

Vous n’avez pas répondu à ma question : combien de temps faut-il pour qu’une éventuelle faille de sécurité soit identifiée et exploitée ?

M. Frédéric Geraud de Lescazes. Il existe différents types de vulnérabilités. Celles qu’on appelle « zero day » nécessitent une réponse très rapide. Lorsque les équipes de Google découvrent une telle faille dans nos solutions ou nos services, elles apposent un patch et le placent dans la zone de quarantaine. Ensuite, Thales décide seul de la mise en production de la mise à jour, éventuellement en mobilisant davantage d’ingénieurs pour l’accélérer s’il considère que réparer cette faille est crucial. Nous n’avons pas la main sur cette décision.

Mme Cyrielle Chatelain, rapporteure. Je suppose qu’une faille zero day implique un risque immédiat pour la continuité du service.

M. Frédéric Geraud de Lescazes. Tout à fait.

Mme Corine de Bilbao. Je ne voudrais pas que cette commission reste sur l’impression qu’il n’y a pas de concurrence. Cette concurrence est forte, tant concernant le SecNumCloud que le cloud public, même si Google se positionne en tant que challenger.

Cette concurrence est saine et Bleu y contribue, avec un modèle un peu différent, dépourvu de liens capitalistiques. Du reste, Bleu est le seul acteur à proposer à la fois le cloud et la suite collaborative Office.

M. Philippe Limantour. Depuis l’origine des développements de Microsoft, 100 % des données sont systématiquement chiffrées, qu’elles soient au repos ou en transit.

Les clés de chiffrement font l’objet d’une hiérarchie. Au sommet se trouve la possibilité pour le client de gérer sa propre clé, dont il est le seul détenteur – s’il perd sa clé, il perd ses données. Les clés peuvent être stockées dans un coffre muni d’un mécanisme de calcul confidentiel, provenant de l’un de nos trois fournisseurs ; ces mécanismes nous empêchent physiquement et techniquement d’accéder à la clé. Personne, chez Microsoft, n’a accès ni aux données ni aux plans de données : des mécanismes d’isolation systématique sont installés dans tous nos serveurs.

Le calcul confidentiel a été inventé par les laboratoires de recherche de Microsoft en 2014. Nous avons des services opérationnels dans Azure depuis 2017 ; ils ne s’appuient pas sur un chiffrement homomorphique, mais sur une racine de confiance matérielle. Depuis 2017‑2018, l’ensemble des spécifications – tous nos codes d’attestation et de signature associés à ces services – sont placées dans un consortium de calcul confidentiel open source.

Au-delà du transit et du repos, l’ensemble des mécanismes de traitement sont chiffrés, protégeant ainsi les codes logiciels de nos clients – la propriété intellectuelle et l’ensemble des traitements. Seul le bus de traitement du processeur a accès à la donnée en clair.

Un mécanisme protège la chaîne d’approvisionnement des attaques : des vérifications sont faites avant de libérer la clé et de donner accès aux traitements ; si la version du logiciel ou du firmware du client n’est pas celle qui est prévue, le système se bloque. Un système de cloud est complexe : les deux tiers de nos services sont basés sur des logiciels open source.

S’agissant des mises à jour, les attaquants sont de plus en plus efficaces : les vitesses d’exploitation des vulnérabilités sont variables, mais de plus en plus rapides. Ces attaques sont de plus en plus complexes et nécessitent une organisation en « petits pas » : plutôt qu’une porte grande ouverte, ce sont plusieurs éléments qui doivent être activés. Avant de recourir à des mises à jour, il existe des mécanismes de défense en profondeur permettant de bloquer l’un des maillons d’une chaîne de dix, quinze ou vingt petits pas, pour bloquer les attaques. Ainsi, ce n’est pas parce qu’on trouve une vulnérabilité dans un code qu’elle est exploitable. Cette chaîne d’actions complexe est défendable sans qu’il soit nécessaire de procéder à la mise à jour du logiciel.

Je ne dispose pas des détails de l’implémentation de Bleu. En l’absence de mise à jour – ce qui est le cas dans de nombreux data centers traditionnels – les systèmes ne s’arrêtent pas du jour au lendemain. Les délais avant que les risques deviennent suffisamment importants se compteraient en semestres.

Mme Cyrielle Chatelain, rapporteure. Vous avez parlé du sommet de la hiérarchie des clés de chiffrement, qui correspond au chiffrement par le client lui-même et au stockage dans des espaces sécurisés. Afin d’avoir une idée générale, quelle est la proportion des chiffrements effectués par Microsoft, des chiffrements effectués par les clients eux-mêmes mais non sécurisés et des chiffrements effectués par les clients eux-mêmes correspondant au sommet de la hiérarchie ?

M. Philippe Limantour. Le client peut chiffrer 100 % de ses données stockées. Les données accessibles sont les données stockées ; les clés de chiffrement sont disponibles pour l’ensemble de nos services utilisables par nos clients. Les services Azure Local permettent d’avoir accès aux mêmes outils que ceux proposés par Bleu, mais en propre ; les opérateurs de Microsoft n’y ont pas accès. Des mécanismes de double chiffrement sont également à la disposition de nos clients. Enfin, il existe un mécanisme de calcul confidentiel.

Mme Cyrielle Chatelain, rapporteure. Globalement, quel est le pourcentage de vos clients qui utilisent ces différents types de chiffrement ?

M. Philippe Limantour. Je ne connais pas ce pourcentage. Ce service est gratuit pour nos clients, et nous leur conseillons d’y recourir. Il figure dans notre architecture de souveraineté, et des mécanismes permettent de l’appliquer systématiquement à tous les services utilisés par le client. Outre les clés de chiffrement, d’autres mécanismes de protection interviennent ; ainsi, il est possible de ne pas exécuter un service si certaines conditions ne sont pas remplies.

M. Julien Lépine. Présenter Nitro serait en effet beaucoup trop long, mais je vais vous donner quelques éléments d’information ; nous vous transmettrons des éléments plus détaillés par écrit.

Par défaut, Nitro permet à tous nos clients, quand ils lancent gratuitement des infrastructures, de bénéficier de l’isolation de leurs données, qu’elles soient en traitement, en transit ou en repos ; celles-ci sont soit chiffrées, soit complètement isolées, sans aucune possibilité d’accès pour les opérateurs.

Pour tous nos clients, 100 % des données sont chiffrées gratuitement. Le chiffrement est actif par défaut lorsque vous utilisez un service AWS, par le biais de clés gérées par AWS. Je ne connais pas la proportion de clients qui opèrent eux-mêmes des HSM (hardware security module) – autrement dit, des boîtiers de sécurité.

Vous nous avez interrogés au sujet de notre modèle de souveraineté, qui diffère de celui des autres entreprises. Nous avons formé des ingénieurs et effectué un transfert de technologie vers les équipes présentes sur le sol européen ; elles ont accès à 100 % du code source et sont capables de le déployer et de le maintenir dans la durée. Cette façon de faire figure dans les statuts de l’entreprise.

Nous avons créé une entreprise qui gère les clés de sécurité sur le sol européen. Du point de vue technique, organisationnel et de gouvernance, nous nous sommes assurés que les droits allemand et européen seraient les premiers à être appliqués.

Vous avez posé la question de la fréquence des mises à jour. Nous proposons plus de 200 services, dont plus d’une centaine concernant le cloud souverain européen, ce qui implique de très nombreuses mises à jour – nous en effectuons beaucoup, chaque jour. Certaines d’entre elles sont des mises à jour critiques, nécessaires pour garantir la sécurité des infrastructures. Parallèlement, nous nous attachons à maintenir les capacités opérationnelles des équipes locales, qui doivent être en mesure de comprendre ce qui se passe, de procéder à des audits et d’apporter cette garantie.

Nous n’avons pas de chiffrement homomorphique largement disponible – nous aimerions pouvoir vous répondre par l’affirmative…

Les réponses aux vulnérabilités sont de plus en plus rapides : elles sont quasiment apportées dans la journée. Un système de cloud n’est pas juste une infrastructure ; l’une des véritables différences avec les infrastructures on-premise, c’est que nous analysons chaque jour 400 000 milliards de flux réseau. L’intérêt, avec une infrastructure comme AWS, c’est de ne pas être tout seul avec sa machine face aux vulnérabilités. Nous travaillons avec les autorités européennes et avec l’Anssi, afin de bénéficier du meilleur niveau de qualité en matière de sécurité. Ce faisant, toute entreprise, même une PME qui n’a pas les moyens de financer des équipes de sécurité renforcée, bénéficie de cet investissement. Ainsi, nous considérons le cloud à la fois comme un enjeu et comme un accélérateur de la sécurité.

M. Frédéric Geraud de Lescazes. L’autonomie stratégique n’est pas un sujet nouveau. Avec Thales, nous avons trouvé en 2019 un accord sur le chiffrement ; nous recherchions un système de chiffrement, qu’on appelle aujourd’hui EKM pour « external key management », c’est-à-dire gestion externalisée des clés, et Thales a été le premier à nous fournir ce service. L’aventure de S3NS est partie de là.

Désormais, tous nos clients ont accès à la solution EKM, qui leur permet de choisir où déposer leurs clés : chez nous ou chez un partenaire – le premier d’entre eux, en France, étant Thales, mais il en existe d’autres dans le reste du monde. Ils ont ainsi la garantie que nous ne pouvons y accéder et lire leurs données.

Mme Cyrielle Chatelain, rapporteure. Vous parlez de vos clients professionnels, mais Google propose ses services à un public plus vaste.

M. Frédéric Geraud de Lescazes. Je parlais bien de Google Cloud Platform, qui propose des services aux entreprises. Nous proposons une autre solution, nommée Client-Side Encryption – « chiffrement du côté du client » –, pour le grand public. Cette technologie, qui n’existe pas chez nos concurrents, a déjà été examinée par différents experts de la place.

M. le président Philippe Latombe. Merci beaucoup. Nous lirons avec intérêt les éléments que vous voudrez bien nous transmettre sur les divers sujets que nous n’avons pas eu le temps d’évoquer.

* *

Audition, ouverte à la presse, de M. Cédric O, ancien secrétaire d’État chargé du numérique (mercredi 13 mai 2026)

M. le président Philippe Latombe. Monsieur O, vous avez été conseiller chargé de l’économie numérique auprès du président de la République et du premier ministre de mai 2017 à mars 2019, puis secrétaire d’État chargé du numérique jusqu’en mai 2022. Vous êtes devenu en avril 2023 cofondateur et actionnaire de Mistral AI, par l’intermédiaire de votre société de conseil Nopeunteo, avec un rôle de conseiller en affaires publiques jusqu’en février 2024.

Comment analysez-vous les dépendances et vulnérabilités systémiques de l’Europe et de la France dans le secteur du numérique ? Dans quelle mesure le déploiement à grande échelle de l’intelligence artificielle est-il susceptible de renforcer les vulnérabilités et dépendances européennes existantes ? De quels leviers dispose l’Union européenne pour favoriser l’émergence d’alternatives technologiques européennes aux solutions des hyperscalers ?

Je vais vous laisser la parole pour un propos liminaire d’une dizaine de minutes. Au préalable, je vous remercie de nous déclarer tout intérêt public ou privé de nature à influencer vos déclarations.

(M. Cédric O prête serment).

M. Cédric O, ancien secrétaire d’État chargé du numérique. Je suis désormais entrepreneur. J’ai traité ces sujets en étant membre du gouvernement. Après avoir cofondé Mistral AI, j’ai créé une nouvelle entreprise dans l’intelligence artificielle il y a un an et demi. J’ai donc traité les sujets numériques sous différents angles. Je m’étais aussi intéressé à ces questions chez Safran.

Je n’ai pas préparé de propos liminaire, mais je peux tout à fait en improviser un.

M. le président Philippe Latombe. Passons aux questions dans ce cas.

Mme Cyrielle Chatelain, rapporteure. Dans quel secteur de l’IA œuvrez-vous exactement ?

M. Cédric O. Nos produits sont à la croisée de l’IA et de l’éducation. Nous utilisons des modèles que nous spécialisons mais nous ne les produisons pas. L’entreprise est française et compte une trentaine de personnes.

Mme Cyrielle Chatelain, rapporteure. Qui sont les destinataires de vos produits ? L’éducation nationale, le secteur privé ?

M. Cédric O. Les parents directement.

Mme Cyrielle Chatelain, rapporteure. Le Sommet de l’IA a mobilisé des centaines de milliards d’euros d’investissements à destination des data centers. Devant la commission d’enquête sénatoriale sur la commande publique, vous vous étiez inquiété de ce que « la Commission européenne puisse subventionner des projets de data centers sur le sol européen […] non détenus par des entreprises européennes ». Cela vous inquiète-t-il toujours ? Si oui, pourquoi ?

M. Cédric O. Le retard pris dans le cloud est probablement l’un des plus gros problèmes – technologique, économique et de souveraineté – de l’Europe. Cela revient à déléguer une bonne partie de nos infrastructures aux Américains, au sein d’une relation très déséquilibrée. Aucun pays n’est autarcique en matière technologique, et l’Europe, dans sa quête d’indépendance, ne doit pas tendre vers l’autarcie mais vers l’équilibre. De toute évidence, elle a largement raté le virage technologique. Les fournisseurs de solutions technologiques, dont nous dépendons beaucoup trop, sont américains ou chinois. C’est vrai sur les plans macro comme micro. Je vois que l’Assemblée nationale utilise Zoom, ce qui illustre bien la dépendance française aux outils américains. Cette utilisation n’est pas problématique en soi, elle le devient quand on n’a pas d’autres solutions et que les Américains ne sont pas forcés, eux, d’utiliser des outils européens. Deux briques technologiques, que nous devrions défendre de toutes nos forces, restent à la main des Européens : ASML dans le domaine des puces et de l’intelligence artificielle, et la 5G. Il n’y a pas de fournisseur américain de 5G. Toutes les communications américaines, y compris militaires, passent par des stations de base Ericsson, Nokia ou Samsung.

Le cloud est d’autant plus au cœur du sujet qu’il crée des dépendances en chaîne. Dans le domaine de l’intelligence artificielle, la valeur est largement captée par les acteurs du cloud et les data centers. Dès lors que vous maîtrisez l’infrastructure, vous avez une forme de contrôle en tant que gatekeeper. Le premier frein dans le développement de l’intelligence artificielle, c’est le déploiement de data centers, lui-même conditionné par l’accès à l’électricité. Les États-Unis souffrent d’une limitation structurelle d’accès à l’énergie, à tel point qu’ils se demandent s’ils ne vont pas rouvrir les centrales à charbon pour faire tourner les data centers, ce qui ne me semble pas la meilleure solution. L’Europe et la France ont de l’énergie disponible. L’Europe doit avoir une approche équilibrée dans la mise à disposition de ses prises électriques, qui sont de la ressource rare, de sorte qu’elle puisse les utiliser à la fois pour les data centers américains et pour les acteurs européens, car c’est ce qui lui permettra de développer la stack technique du cloud sur laquelle il faut absolument progresser.

Mme Cyrielle Chatelain, rapporteure. Un débat existe au niveau européen entre une vision plutôt française et une vision allemande de la souveraineté, qui se cristallise autour de la question du SecNumCloud. Ce débat porte sur une conception de la souveraineté fondée à la fois sur la nationalité de l’entreprise et sur l’origine de ses capitaux. L’Allemagne souhaiterait intégrer davantage d’opérateurs extra-européens. Comment voyez-vous les choses ?

M. Cédric O. J’ai évidemment défendu la vision française du SecNumCloud. Ce n’est pas un sujet de tension uniquement avec l’Allemagne. Il serait aberrant que le plus haut niveau de certification SecNumCloud ne corresponde pas à un niveau d’exigence sécuritaire maximal, ce que la position allemande ne me paraît pas garantir. Il faut entrer dans le détail de ce que veut dire SecNumCloud – je crois que vous l’avez fait avec l’Anssi (Agence nationale de la sécurité des systèmes d’information). J’ai l’impression que le débat progresse, principalement grâce – si je puis dire – au président Trump. L’un de mes homologues européens m’avait fait remarquer un jour que c’était bien beau de défendre la souveraineté, mais que le parapluie nucléaire sur l’Europe de l’Est était offert par les Américains, et que le jour où les Français seraient prêts à offrir la même protection aux Européens de l’Est, on pourrait discuter de souveraineté européenne. Les choses changent, de toute évidence. Mais les réflexes nationaux hérités de l’histoire continuent de définir les liens de dépendance stratégique à l’égard des Américains.

Mme Cyrielle Chatelain, rapporteure. Malgré ces avancées, nous restons dépendants à 80 % d’acteurs extra-européens pour les services de cloud, tout comme les administrations et les entreprises françaises restent dépendantes de logiciels extra-européens. C’est la preuve que nous avons raté plusieurs étapes majeures. Lesquelles selon vous ? Que faudrait-il faire pour corriger la trajectoire ?

M. Cédric O. Le monde a changé. Réserver une partie de la commande publique à des acheteurs européens, leur donner des marchés pour les aider à se développer est essentiel. Vous connaissez mieux que moi les limitations légales à l’œuvre, qu’il convient absolument de faire évoluer. Le premier truc qu’on a loupé, c’est le financement. Open AI a été capable de lever 180 milliards d’euros il y a deux semaines pour construire l’intelligence artificielle, qui est probablement l’électricité et la vapeur de demain. La question qui se pose à l’Europe, avant même celle du rattrapage de son retard, est de savoir si elle sera capable de mobiliser – par des financements privés, publics ou les deux – des moyens à la hauteur de ceux des États-Unis. Sinon, au fond, nous risquons de nous concentrer sur la bataille d’hier sans être en mesure de mener celle de demain, qui est peut-être plus décisive encore.

Je ne parle pas au nom de Mistral, mais je vois exactement comment les choses se passent dans l’écosystème européen : le premier problème que rencontrent ces entreprises, c’est le financement. Si l’on considère que la vague de l’intelligence artificielle arrive, qu’elle va complètement bouleverser les équilibres et qu’elle est porteuse des dynamiques de puissance de demain, le premier élément dont l’Europe devrait se soucier, c’est d’avoir des entreprises capables de faire face à Google, Facebook, Microsoft, Open AI, Anthropic. Pour cela, il faut trois choses : de l’argent, des talents et un marché. Les talents, nous les avons ; le marché doit être mieux intégré au niveau européen ; quant à l’argent, c’est là où le bât blesse. Même si vous réservez une partie des marchés publics à des entreprises françaises ou européennes, au cours de leur développement, pour trouver de l’argent, elles finiront par se tourner vers les Américains, parce que seuls les États-Unis – et les pays du Moyen-Orient – sont capables d’y investir des milliards.

Pour résumer, le premier problème auquel se heurte la souveraineté européenne, c’est l’argent.

Mme Cyrielle Chatelain, rapporteure. Avez-vous réussi à financer votre entreprise grâce à des fonds européens, même si, après un an et demi, vous devez en être au stade de l’amorçage, qui ne nécessite pas encore trop d’argent ?

M. Cédric O. Ma vision est un peu biaisée, puisque je fais partie de ceux qui ont travaillé sur le sujet. Ce qui a énormément changé ces dix dernières années, c’est que, lorsque vous lancez une start-up européenne, vous trouvez de l’argent assez facilement si le projet et l’équipe sont bons. Vous pouvez lever jusqu’à 10, 20, 30 millions. Ce n’est pas vrai dans tous les secteurs, notamment les secteurs technologiques, qui sont les plus risqués. Le problème se pose réellement le jour où vous devez passer au développement : le pool de capitaux est très limité.

Cela renvoie à deux enjeux principaux. Le premier est celui du marché unique européen des capitaux, qui est absolument essentiel si l’on veut que davantage de capitaux européens soient investis dans les entreprises européennes. Le second concerne l’orientation de l’épargne européenne. La puissance financière américaine vient des fonds de pension. Lorsqu’un acteur comme Fidelity consacre seulement 1 % ou 2 % de ses actifs au capital-risque, ça représente des montants considérables. Je n’ai plus les chiffres exacts en tête, mais l’écart d’investissement dans les start-up entre les États-Unis et l’Europe était de l’ordre de 1 à 10. Il est probablement encore plus marqué désormais dans l’intelligence artificielle.

La question n’est évidemment pas de savoir si les États doivent investir eux-mêmes des dizaines de milliards d’euros chaque année dans les start-up ou l’innovation. Ce n’est pas leur rôle et ce n’est sans doute pas compatible avec leurs marges budgétaires. La véritable question est : que faisons-nous de notre épargne ? L’épargne européenne est majoritairement orientée vers des actifs peu risqués, donc peu rentables, comme l’immobilier ou les obligations d’État, y compris américaines. Si nous faisons collectivement le choix d’investir notre capital dans des actifs sûrs mais peu tournés vers l’avenir, nous finirons par avoir un problème. Le sujet de fond est là : si nous ne trouvons pas les moyens de financer l’avenir, nous n’aurons pas d’avenir. C’est vrai aussi pour l’environnement. Il faut comprendre qu’investir dans l’IA, c’est risqué. Investir dans l’environnement, c’est risqué aussi, parce qu’on n’est pas sûr que ça va marcher.

Ce qui est incroyable et qui fait que je suis malgré tout optimiste, c’est que lorsque Yann Le Cun a créé sa start-up il y a un mois il a réussi en quelques semaines à lever 1 milliard d’euros sur une simple idée. Ça aurait été impossible il y a dix ans en France et en Europe. La probabilité que Yann Le Cun échoue est grande, parce que son projet est risqué – et ce n’est pas un problème. Ce qu’il faudrait, c’est qu’il y ait quinze entreprises comme celles de Yann Le Cun. La prochaine levée qu’il devra faire s’élèvera à 15 milliards. Je ne vois pas beaucoup d’acteurs en Europe qui soient capables de lui donner cette somme. Il va devoir faire comme tout le monde : aller chercher de l’argent ailleurs.

Ce n’est pas forcément renoncer à sa souveraineté d’aller chercher de l’argent chez les autres. Par exemple, Mark Zuckerberg possède 21 % de son entreprise, et personne ne conteste le fait que ce soit bien lui qui contrôle Facebook. Il n’empêche que c’est un double problème, à la fois parce que ça ne peut pas être systématiquement chez les autres qu’on va chercher notre argent, au risque d’en dépendre excessivement, et parce que, quand vous levez de l’argent dans une start-up française qui réussit, vous enrichissez les retraités américains. Le vrai sujet de la souveraineté européenne à court terme, c’est l’investissement dans nos propres entreprises, qui reste pourtant très marginal.

Mme Cyrielle Chatelain, rapporteure. Les retraités américains investissent, donc parfois ils perdent de l’argent, parfois ils en gagnent. Mais les big tech sont toujours du côté des gagnants.

M. Cédric O. Les retraités américains gagnent plus que les retraités français, puisque sur trente ans la croissance des fonds de pension est supérieure à celle de l’économie française.

Mme Cyrielle Chatelain, rapporteure. N’allons pas ouvrir un débat sur les inégalités comparées des différents systèmes de retraite !

Meredith Whittaker nous a expliqué que, lors d’un changement politique aux États-Unis, la première chose que font les entreprises du numérique est de licencier une bonne partie de leur staff chargé des relations publiques et de s’aligner sur la nouvelle orientation de Washington. Mark Zuckerberg est bien à la tête de son entreprise, mais étant donné qu’il est dépendant des réglementations américaines et de commandes publiques, il s’adapte aussi au contexte politique.

M. Cédric O. Je ne suis pas entièrement d’accord avec vous. Facebook ne dépend pas des commandes publiques. Est-ce que la puissance technologique précède la puissance financière, notamment dans le cloud ? Mon sentiment, c’est que la puissance financière précède la puissance technologique. Aucun des plus grands acteurs du cloud – Google, Microsoft et Amazon – n’est originellement un acteur du cloud. Amazon a créé un supermarché en ligne ; Google a fait un moteur de recherche ; Microsoft a commencé avec des programmes d’ordinateur. Ces entreprises hégémoniques, qui valent des dizaines voire des centaines de milliards de dollars, ont décidé de s’occuper elles-mêmes du cloud, qui était devenu essentiel. Leur puissance financière était si grande qu’elles sont devenues meilleures que tous ceux qui fournissaient du cloud avant elles – IBM, Oracle. Si je fais le parallèle, Mistral n’est pas une entreprise de cloud à l’origine. Or elle est certainement celle qui, grâce à son succès, a le plus investi dans les capacités de hardware. Considérant que la maîtrise de son infrastructure était stratégique, elle a décidé d’investir un montant supérieur à ce que pouvaient investir les entreprises venant du cloud.

Je ne veux pas tomber dans une fétichisation de l’argent, malheureusement, le monde du VC (venture capital, capital-risque) est un monde d’argent. Pour renforcer notre indépendance, nous devons faire émerger des entreprises d’innovation, quel que soit le secteur, et faire qu’elles soient suffisamment puissantes afin de tenir tête aux acteurs américains et d’investir dans les briques technologiques. S’il faut aussi favoriser, bien sûr, les acteurs du cloud européens et investir dans des technologies précises, c’est l’objectif de développer un écosystème technologique d’innovation du même niveau que celui des Américains, quel qu’en soit le domaine, qui doit nous guider.

Je vais peut-être vous choquer, mais j’ai l’impression que, ces dernières années, les grandes entreprises américaines ont davantage façonné notre avenir que le législateur lui-même. Ce n’est pas le monde dans lequel j’ai envie de vivre, mais c’est pourtant celui dans lequel nous sommes. Si les Européens estiment que leurs valeurs et leur approche – qu’il s’agisse de l’équilibre entre les humanités et l’innovation ou de leur rapport à l’environnement – méritent d’être défendues, alors il ne suffit pas de réguler ; il faut surtout faire émerger des entreprises européennes capables de rivaliser avec les entreprises américaines. La régulation arrivera malheureusement toujours trop tard. Votre téléphone n’est probablement pas français, pas plus que ne le sont vos moyens de communication. Vos voitures sont moyennement françaises. L’impact de ces entreprises sur notre vie quotidienne est énorme. Sans entreprises profondément européennes, on ne défendra pas les valeurs européennes et on devra renoncer au combat.

Mme Cyrielle Chatelain, rapporteure. Assurément, la puissance américaine s’impose à nous tous. La question des capacités de financement privé se pose, mais aussi celle des choix stratégiques. La France accuse un retard dans le développement des data centers. Elle s’y met en plein pic. Dans ce contexte, on voit bien le risque : que les entreprises américaines verrouillent l’accès à l’énergie. Pourquoi sommes-nous dans la réaction et non pas dans l’anticipation ? Avons-nous toujours fait les bons choix ? Par exemple, l’entreprise Sorare a été fortement soutenue. Un article de la loi visant à sécuriser et à réguler l’espace numérique (Sren) lui a même été consacré. La voilà en liquidation judiciaire. N’avons-nous pas favorisé des services, qui n’avaient parfois même pas de marché, au détriment des infrastructures stratégiques ?

M. Cédric O. L’échec de Sorare – ou plutôt l’érosion de sa valorisation – ne prouve absolument rien.

Je prends un exemple emblématique de la manière française de voir les choses : Ynsect, entreprise très innovante, préoccupée par l’environnement et la santé des Français, dont l’objet était de substituer aux farines animales des larves d’insectes dans l’alimentation de poissons d’élevage. Son développement demandait beaucoup de capital mais aussi une évolution de la réglementation. L’État l’a beaucoup soutenue ; des aides publiques lui ont notamment été versées pour financer son usine. Finalement, cela n’a pas marché. Après cet échec, j’ai lu dans la presse des commentaires réprobateurs sur l’argent que l’État dépense pour soutenir des entreprises qui ne sont pas viables. Or c’est le principe même de l’innovation : sur dix entreprises créées, neuf ne survivront pas. Le fait que les entreprises ne marchent pas est une bonne nouvelle : c’est la preuve que le marché est sain et qu’il y a une prise de risque.

En 2016, le montant investi dans les start-up françaises s’élevait à 2 milliards. En 2022, il est de l’ordre de 15 milliards. Toutes choses égales par ailleurs, l’écosystème a donc énormément progressé. La France compte désormais des entreprises de niveau international : Doctolib, Mistral, Mirakl, Qonto, etc. Si Doctolib ne l’avait pas fait, Google l’aurait fait, je suis donc très content que Doctolib ait pu émerger. Je suis également très heureux qu’une entreprise européenne soit capable de tenir tête aux Américains et de fournir demain de l’intelligence artificielle aux grandes entreprises françaises ainsi qu’à l’armée française. Si Mistral n’existait pas, nous serions obligés de travailler avec les grandes entreprises américaines.

Il y a quinze ou vingt ans, le rapport entre l’Europe et les États-Unis en matière de capital risque était d’un pour quinze ; il était en 2022 d’un pour trois. L’Europe avait comblé une grande partie de son retard. Depuis, je crains que celui-ci ne se soit de nouveau creusé avec l’essor de l’IA.

N’oublions pas que l’émergence de la Silicon Valley date de 1957. La création d’un écosystème – avec des financeurs, des start-up, des entrepreneurs instruits par un premier échec – prend du temps. L’Europe est bien mieux positionnée qu’il y a dix ou quinze ans, mais elle n’a fait que 10 % du chemin.

En ce qui concerne les services, je suis en désaccord avec vous. Qui pensait qu’un supermarché en ligne deviendrait le premier fournisseur mondial de cloud ? Personne. Qui aurait dit qu’un annuaire d’université – Facebook – deviendrait l’une des premières capitalisations mondiales ? Personne. Ainsi va le monde de l’innovation : vous créez des entreprises ; très rarement, elles deviennent incroyablement puissantes – la plupart du temps, elles meurent – ; ainsi elles ont besoin d’investir dans la technologie pour maintenir leur avance.

Peut-être qu’un service de livraison de pizzas créera la plus grosse stack technologique d’Europe des dix prochaines années. Une fois en position hégémonique, la maîtrise de l’intelligence artificielle pour livrer des pizzas et celle du cloud pour contrôler sa stack technologique seront tellement vitales pour lui qu’il investira plusieurs milliards par an – j’exagère évidemment.

Je ne pense pas que l’accent a été mis exagérément sur les services. Il n’appartient tout simplement pas à l’État de choisir. Il faut faire en sorte que les entrepreneurs français puissent réussir dans un cadre démocratiquement défini – on ne peut pas tout permettre. La Darpa – l’agence américaine pour les projets de recherche avancée de défense – ne choisit pas les entreprises : elle investit partout, y compris parfois dans des entreprises européennes et à la fin, elle regarde ce qui survit. C’est ce que nous devons faire.

Le fait que des entreprises échouent est totalement naturel et plutôt une bonne nouvelle.

Mme Cyrielle Chatelain, rapporteure. J’aime bien votre image du service de livraison de pizzas. Pouvez-vous citer un exemple de service européen qui a permis de développer à la fois les services et les infrastructures ?

M. Cédric O. J’ai un très bon exemple : Criteo. L’entreprise conçoit des algorithmes qui permettent de mieux cibler la publicité – ce que l’on appelle du retargeting. Elle est la première licorne européenne. C’était la plus belle équipe d’intelligence artificielle de la place de Paris ; encore aujourd’hui, les anciens de Criteo sont reconnus pour leur expertise incomparable. Pourtant Criteo offre du pur service dont l’utilité marginale est en outre discutable.

Les plus belles entreprises françaises, celles ayant des stacks intéressantes – Mirakl, Qonto, je pourrai vous en citer plein – reposent sur du service.

Mme Cyrielle Chatelain, rapporteure. Vous citez des entreprises qui ont développé leur propre infrastructure – c’est déjà un pas supplémentaire vers l’indépendance puisque selon France Digitale, la plupart des entreprises de services ont recours à des services américains tels que AWS et Microsoft. Mais, dans votre exemple, le livreur de pizzas ne se contentait pas de développer son propre data center pour héberger ses données, il devenait un acteur structurant.

M. Cédric O. Mistral en est un.

Mme Cyrielle Chatelain, rapporteure. Absolument, mais c’est sans doute l’un des seuls.

M. Cédric O. Parce que cela coûte très cher. Les investissements chez AWS représentent 100 milliards d’euros par an. Nous n’avons pas encore l’entreprise européenne valorisée 100, 200 ou 300 milliards, ce qui lui permettrait de développer sa propre stack technologique sur le cloud. Sans elle, nous n’y arriverons pas.

Mme Cyrielle Chatelain, rapporteure. Vous maintenez que le financement des services permettra de rattraper le retard dans le domaine des infrastructures ? J’ai du mal à voir comment on peut se dispenser de soutenir, par le biais de SecNumCloud notamment, le développement d’infrastructures. C’est ce que fait Mistral en construisant ses propres data centers.

M. Cédric O. Il faut bien sûr le faire. Il est important que dans des domaines régaliens, tels que la santé et la défense, les prérequis soient plus élevés, y compris pour les acteurs privés. Je défends l’instauration de règles plus dures pour les achats publics. Nous vivons dans un monde où le gouvernement américain pourrait choisir demain d’éteindre la lumière. Il est donc impératif de réduire notre dépendance.

Dans un domaine encore plus compliqué que le cloud, celui des puces, qui investit ? Les Gafa car ce sont les seuls à disposer de la puissance financière pour essayer de contester la domination complète de Nvidia.

Nous devons rechercher des entreprises valorisées des centaines de milliards car sans elles, compte tenu des montants en jeu, nous n’y arriverons pas. Il faut favoriser leur émergence par tous les moyens – la réglementation sur les achats publics en est un –, mais il nous manque surtout l’argent. Si l’environnement était parfaitement favorable, le problème du financement resterait posé.

Il ne faut pas écarter les services. Les Américains nous ont montré que la dichotomie très française entre ce qui est noble – la technologie – et ce qui ne l’est pas – les services – n’a pas de raison d’être.

Quant à définir des priorités entre les deux, l’État n’ayant plus d’argent, il n’investira ni dans l’un, ni dans l’autre.

Mme Cyrielle Chatelain, rapporteure. Nous avons l’exemple d’une entreprise dans laquelle l’État a investi et pour laquelle il a modifié la loi. Il a choisi de la favoriser dans une période où sa capacité de financement était limitée.

M. Cédric O. En matière de régulation, le fait d’accroître la concurrence est une très bonne chose. Je ne pense pas que l’entreprise ait été favorisée.

Mme Cyrielle Chatelain, rapporteure. Nos collègues nous ont raconté que des articles de la loi Sren concernaient spécifiquement Sorare. Le choix a donc bien été fait de favoriser une entreprise, ce qui peut se comprendre.

M. Cédric O. Je ne crois pas que j’étais au gouvernement lors de l’examen de la loi Sren.

Mme Cyrielle Chatelain, rapporteure. Je vous apprends donc un scoop...

Quelles sont les étapes pour faire émerger les entreprises valorisées des centaines de milliards que vous appelez de vos vœux ? D’abord, déverrouiller, puisque les acteurs sont en situation de quasi-monopole.

Ensuite, le modèle sur lequel ils sont bâtis n’est pas vraiment conforme à nos principes, ni à nos valeurs, qu’il s’agisse du respect de la vie privée, du traitement des données personnelles, des droits d’auteur ou de la protection de la santé des enfants. Il n’est donc pas souhaitable de le reproduire. Dès lors, comment élabore-t-on un modèle européen respectueux de nos valeurs ? Faute de financements publics suffisants, comment réorienter la commande privée pour créer l’espace économique nécessaire ?

M. Cédric O. Je le répète, le financement est primordial. La part de notre PIB investie dans l’innovation détermine notre puissance de feu.

Mme Cyrielle Chatelain, rapporteure. Où faut-il aller chercher l’argent ? Orange ou Dassault doivent-ils procéder à des rachats ?

M. Cédric O. Je ne fais plus de politique…

Mme Cyrielle Chatelain, rapporteure. Vous êtes donc libre de votre parole.

M. Cédric O. Il faut savoir où doit s’investir le capital privé : dans le passé ou dans l’avenir. Si l’on choisit de favoriser les fonds en euros dans l’assurance vie et les placements sans risque, on a que ce qu’on mérite. S’il est plus intéressant d’investir dans la pierre ou dans les obligations d’État à dix ans que dans des entreprises risquées, l’argent va aux premières car les gens font des choix rationnels.

La fiscalité sur le capital est un sujet essentiel. Je n’ignore pas les inégalités qui en résultent mais le capital privé s’investit là où on lui offre des perspectives de rentabilité. Nous avons besoin que les gens investissent dans nos entreprises technologiques. La décision la plus importante pour l’écosystème technologique français des deux quinquennats d’Emmanuel Macron est l’instauration du prélèvement forfaitaire unique (PFU).

Mme Cyrielle Chatelain, rapporteure. Vous considérez que le PFU a eu un impact sur le développement de l’industrie technologique en France…

M. Cédric O. Un impact monstrueux.

Mme Cyrielle Chatelain, rapporteure. Ce n’est pas évident à première vue donc cela m’intéresse que vous développiez.

M. Cédric O. Je l’ai dit, les investissements dans la technologie française sont passés de 2 à 15 milliards.

Mme Cyrielle Chatelain, rapporteure. Ce n’est pas le sujet. En quoi le PFU a-t-il permis de rattraper notre retard par rapport aux Américains ? Je mets de côté Mistral qui est, à ce stade, la meilleure illustration de votre propos.

M. Cédric O. Il n’y a pas que Mistral. Notre pays compte aujourd’hui trente-cinq licornes contre deux ou trois en 2017. Cinq ans ne suffisent pas pour qu’une entreprise soit valorisée100 ou 200 milliards. Il faut quinze ou vingt ans.

Je pense à Doctolib.

Mme Cyrielle Chatelain, rapporteure. Doctolib semble dépendre énormément de services américains. Donc en quoi le PFU a-t-il permis de renforcer notre souveraineté ? S’il sert à payer AWS, l’intérêt est limité.

M. Cédric O. C’est toujours mieux de prendre ses rendez-vous médicaux par Doctolib, même s’il faut en passer par AWS – peut-être que ce ne sera plus le cas demain. Il faut bien commencer quelque part. Actuellement, la qualité des services offerts par les clouders américains est supérieure à celle des clouders français, bien qu’ils aient énormément progressé.

Mme Cyrielle Chatelain, rapporteure. Plusieurs témoignages semblent indiquer que le rattrapage a bien eu lieu mais que l’on se heurte à un verrouillage de la part des acteurs américains.

M. Cédric O. Le fossé est significativement moindre qu’il y a cinq ans. On pourrait débattre longtemps du sujet. Toujours est-il que je préfère prendre mes rendez-vous médicaux par Doctolib, même si ses données sont hébergées chez AWS, que par Google ; je préfère que les PME françaises soient chez Qonto – j’ignore qui est leur hébergeur ; je préfère que les places de marché soient fournies par Mirakl, etc.

Vous ne rattrapez pas quarante ans de retard technologique en cinq ans, ni même en dix.

Mme Cyrielle Chatelain, rapporteure. Outre la fiscalité, quels sont les autres leviers pour trouver les financements ?

M. Cédric O. L’épargne française représente 6 600 milliards d’euros en 2025. Toute la question est de savoir quelle part est investie dans notre avenir, dans lequel je range l’environnement aux côtés de la technologie.

Mme Cyrielle Chatelain, rapporteure. Quel rôle voyez-vous pour les grandes entreprises et, de manière générale, la commande privée ?

M. Cédric O. Ce ne sont pas les grandes entreprises qui feront de l’innovation mais elles peuvent être des bons clients.

Mme Cyrielle Chatelain, rapporteure. On nous dit qu’aux États-Unis, elles financent les entreprises innovantes. Les entreprises européennes dépensent 264 milliards sur le marché du cloud. Faut-il essayer de capter une partie de cette masse financière ?

M. Cédric O. Oui, il faut probablement essayer d’aller en chercher une partie, notamment dans les domaines régaliens. Il est indispensable d’imposer au moins aux entreprises de ces domaines une part d’achats auprès des start-up européennes. Il n’est pas impossible de le faire pour tout le monde. Le retard européen est tel !

L’autre levier qu’il faut actionner est la législation. Personne n’a envie de vivre dans le monde déréglementé et inégalitaire des Américains. Pour autant, l’approche européenne de l’innovation est systématiquement dictée par le risque. Si on refuse de prendre des risques, si on considère que la protection doit primer, on n’y arrivera pas. Si la réglementation aérienne avait été arrêtée avant que les innovateurs fabriquent les avions et se tuent en montant dedans, si les standards ferroviaires avaient été définis avant que les chemins de fer soient inventés, si les normes de protection avaient été établies avant que Marie Curie découvre la radioactivité, rien de tout cela ne serait arrivé.

Bien sûr, nous n’avons pas envie de vivre dans une jungle, mais le réflexe de peur à l’égard de l’innovation, s’il peut être cohérent – nous avons beaucoup à perdre –, nous prive d’un esprit conquérant.

Mme Cyrielle Chatelain, rapporteure. Nous sommes à la recherche d’études macroéconomiques sur cette question, notamment sur l’impact du RGPD (règlement général sur la protection des données) sur les entreprises. Personne n’a été capable de nous en donner.

M. Cédric O. Je n’en ai pas. Je prendrai l’exemple de l’AI Act. Le règlement européen sur l’IA était grosso modo satisfaisant. Je regrette le report des obligations aux entreprises des secteurs à haut risque, notamment l’enfance. Cette réglementation n’est pas bénéfique pour mon business mais il est normal qu’elle s’applique dès lors que l’on met des outils d’IA entre les mains des enfants.

À la suite de la lettre d’Elon Musk sur les risques systémiques de l’IA, la Commission européenne s’est réveillée et a décidé qu’il fallait en urgence réglementer les grands modèles d’IA. C’est assez étrange car pour la première fois, on régulait la technologie elle-même et non ses usages.

Je cite un exemple qui est souvent pris par Luc Julia : il n’existe pas de réglementation des marteaux ; en revanche, vous n’avez pas le droit de taper sur quelqu’un avec un marteau.

Mme Cyrielle Chatelain, rapporteure. Le marteau ne décide pas de là où vous allez taper. C’est une grosse différence avec les plateformes : on le sait, les algorithmes choisissent les contenus que vous voyez. Il ne s’agit pas d’un outil neutre.

M. Cédric O. On ne régule pas la puissance de la technologie. Pourtant c’est ce que l’Europe a choisi de faire, peu importe de savoir si cette puissance sert à Météo-France pour étudier le comportement des nuages, à un acteur qui veut développer des produits pour les enfants – en l’occurrence, c’est problématique, à un laboratoire pour développer des médicaments, ou simplement à vous proposer des vidéos de chats.

Mme Cyrielle Chatelain, rapporteure. Qu’entendez-vous par régulation de la puissance ?

M. Cédric O. Une régulation s’est imposée de manière horizontale à partir d’un certain niveau de puissance des modèles. Cela n’a aucun sens. Pour une entreprise comme Mistral qui a levé beaucoup d’argent, ce n’est pas un problème mais c’est différent pour des petites entreprises qui se créent dans le domaine de l’IA.

Vous passez votre temps à dépenser de l’argent auprès des avocats ou à embaucher des gens pour faire de la compliance, cela n’a aucun sens.

Mme Cyrielle Chatelain, rapporteure. Quels articles de l’AI Act posent problème ?

M. Cédric O. Je ne me souviens pas précisément de l’article. La volonté de réguler la technologie en elle-même a suscité un énorme débat. Mistral avait, à l’époque, fait part de son scepticisme.

Mme Cyrielle Chatelain, rapporteure. Puisque vous devez embaucher des avocats, j’imagine que vous les saisissez sur des sujets précis.

M. Cédric O. Il faut remplir beaucoup de papiers, être très précis. La psychologie de l’AI Act cherche à limiter les risques au maximum mais elle obère l’innovation.

Mme Cyrielle Chatelain, rapporteure. J’ai retenu de l’audition d’Arthur Mensch hier que l’IA exige des mégawatts pour alimenter sa puissance de calcul. J’en déduis que les risques dépendent de la puissance dont dispose l’acteur concerné.

M. Cédric O. Non, car il s’agit de puissance d’entraînement. À partir d’un certain niveau de puissance nécessaire à l’entraînement d’un modèle de langage, vous devez solliciter une autorisation.

Mme Cyrielle Chatelain, rapporteure. La puissance détermine votre capacité à faire.

M. Cédric O. Cela a peu de sens dès lors que les cas d’usage ne présentent aucun risque.

Mme Cyrielle Chatelain, rapporteure. Si l’on prend le traitement des données personnelles…

M. Cédric O. Vous êtes de toute façon soumis au RGPD, quelle que soit votre puissance.

Mme Cyrielle Chatelain, rapporteure. Le sort des données pseudonymisées est l’un des débats actuels dans le cadre de la réécriture de l’AI Act. Par ailleurs, chaque technologie est régulée selon son propre mode de fonctionnement. Je connais mieux le DSA (règlement sur les services numériques) qui régule les très grandes plateformes.

M. Cédric O. C’est moi qui l’ai négocié.

Mme Cyrielle Chatelain, rapporteure. J’ai cru comprendre que votre position avait évolué au fur et à mesure de l’élaboration du texte : vous étiez membre du gouvernement mais à la fin de la négociation, vous travailliez chez Mistral.

M. Cédric O. Vous faites une confusion : sur le DSA et le DMA (règlement sur les marchés numériques), j’ai clos les négociations à Bruxelles. Sur l’AI Act, la conversation a commencé quand j’étais encore ministre, mais les sujets sur lesquels je me suis exprimé publiquement et qui posent problème de mon point de vue ont été introduits en septembre 2023. N’oublions pas que ChatGPT n’existe pas avant novembre 2022.

Mme Cyrielle Chatelain, rapporteure. Vous êtes donc chez Mistral lorsque les discussions s’achèvent ? C’est important puisqu’on ne parle pas tout à fait de la même manière lorsqu’on représente l’État ou une entreprise.

M. Cédric O. Mes positions n’ont pas changé d’un iota. Je pourrai vous envoyer des citations de mes propos.

Mme Cyrielle Chatelain, rapporteure. Oui, cela m’intéresse.

M. Cédric O. J’ai toujours dit que le rapport à l’innovation de l’Europe était un énorme problème. À force de trop vouloir se protéger, on n’innove plus.

Le DSA et le DMA sont d’excellents textes, il y a de bonnes choses dans l’AI Act.

Mme Cyrielle Chatelain, rapporteure. Le DSA et le DMA prennent en compte la taille des plateformes – les grandes sont plus régulées que les petites.

M. Cédric O. Dans l’AI Act, il n’est pas question d’acteurs mais de la technologie en elle-même. C’est cela qui n’a aucun sens.

Les plateformes sont visées en raison de leur nombre d’utilisateurs. Il n’y aurait aucun problème à ce que l’AI Act impose des obligations très fortes dès lors que vous êtes dans un domaine d’application risqué ou que le nombre de vos utilisateurs fait de vous un acteur structurant. En revanche, je ne comprends pas pourquoi la technologie en tant que telle, quelle que soit la taille de l’entreprise – demain, il sera sans doute de plus en plus facile d’entraîner des modèles très puissants –, justifie la régulation.

Mme la présidente Cyrielle Chatelain. Quelles sont les régulations qui touchent des entreprises faisant de l’IA et employant entre une et dix personnes ?

M. Cédric O. Je ne connais pas le sujet dans son ensemble. L’IA Act est « navigable » du moins pour une partie du texte. Encore une fois, il faut distinguer. Il y a de très bonnes choses dans l’IA Act et la version originale du texte était très équilibrée. L’approche philosophique a ensuite changé.

Mme la présidente Cyrielle Chatelain. L’IA Act distingue des niveaux de risque. Ce sont les dispositions sur l’IA à haut risque dont l’application va être repoussée.

M. Cédric O. Je pense que c’est un problème. Je ne suis pas contre les régulations. Selon moi, certaines devraient être durcies, notamment dans certains secteurs de l’IA à haut risque – y compris celui qui me concerne directement, dans ma nouvelle entreprise. Je considère en effet qu’il ne faut pas faire n’importe quoi avec les enfants.

Les niveaux de risque ne me posent pas de problème. Mais ce n’est pas ce dont nous parlons. Nous parlons seulement de technologie.

Pour revenir à votre question, je n’ai pas en tête tous les détails, n’ayant plus de cabinet. Mais, de ce que je comprends, l’un des gros problèmes résulte de contradictions entre les législations, entre le RGPD et l’IA Act, ce qui rend difficile de savoir laquelle s’applique et laquelle prend le pas sur l’autre. C’est cette difficulté que doit régler l’omnibus. Cela étant, je ne sais pas si ce qui est proposé est bien ou non.

Mme la présidente Cyrielle Chatelain. La partie de l’omnibus qui concerne le RGPD propose une nouvelle définition de ce qu’est une donnée personnelle.

M. Cédric O. En tant qu’entrepreneur, il y a deux problèmes : le niveau de la règle et, pire encore, l’incertitude de la règle.

Quelle législation s’applique ? Le produit que vous proposez relève-t-il de la réglementation des services numériques, de celle de l’IA ou de celle des données personnelles ? Si jamais des éléments des réglementations sont contradictoires, lesquels faut‑il appliquer ? C’est un très gros problème et il est absolument indispensable que les choses soient les plus claires possible.

Mme la présidente Cyrielle Chatelain. Donc de faire aussi peu de modifications que possible, à ce stade.

M. Cédric O. Encore une fois, je n’ai plus les exemples en tête, mais nous avions beaucoup regardé ces sujets quand j’étais ministre. Les législations sont en partie contradictoires : vous ne savez plus à quel saint vous vouer.

Mme la présidente Cyrielle Chatelain. Nous nous sommes rendus à Bruxelles il y a trois semaines. Nos interlocuteurs ont indiqué que les réécritures prévues créent sans doute plus d’insécurité que de sécurité juridique. Ils craignaient justement qu’un certain nombre d’acteurs ne sachent plus comment interpréter la règle. Cela rejoint vos propos sur le fait de devoir recourir à des avocats pour vérifier la lecture de la règle et d’attendre la jurisprudence.

En tout cas, nous sommes ravis que l’IA Act n’ait pas empêché Mistral AI de très bien se développer.

M. Cédric O. Mistral AI a été créé avant l’IA Act. Une très bonne question serait de se demander si l’entreprise aurait pu être créée après.

Mme la présidente Cyrielle Chatelain. J’imagine que le projet était déjà en cours.

M. Cédric O. Mistral AI avait déjà levé plusieurs centaines de millions d’euros. Ce n’était plus une start-up.

Mme la présidente Cyrielle Chatelain. Même si vous êtes mieux placé que moi, vous serez ravi de savoir que de très nombreuses start-up d’IA sont créées chaque jour en France, et que certaines évoluent. C’est toujours la même chose avec les exemples : on peut en trouver qui vont dans un sens comme dans l’autre.

M. Cédric O. Pour moi, le sujet est qu’on survive dans un monde où l’IA sera l’équivalent de la machine à vapeur ou de l’électricité. Je ne suis pas sûr qu’on va réussir. Il y a un microclimat absolument extraordinaire en France, en partie lié à la qualité de l’école de mathématiques et de l’école de sciences de l’informatique françaises.

Beaucoup d’entreprises ont été créées et d’autres le sont encore. Il y a un dynamisme entrepreneurial très important, ce qui est étonnant au regard de l’état de l’économie. Ça reste hyperfragile. Personne n’a encore réussi à faire un Google en Europe ou en France. Le jour où l’on en verra un, on pourra se dire que c’est faisable. Pour l’instant, je constate qu’à partir d’un certain stade il devient extrêmement compliqué de croître et de créer des géants technologiques en Europe.

Mme la présidente Cyrielle Chatelain. Vous l’avez dit, le premier problème est d’arriver à mobiliser de l’argent privé.

M. Cédric O. Exactement : privé.

Mme la présidente Cyrielle Chatelain. Je n’ai plus de questions. Souhaitez-vous ajouter quelque chose ?

M. Cédric O. Je regrette que l’on ne parle pas assez des effets de l’IA sur l’avenir de l’Europe, parce que c’est un sujet absolument essentiel. Je vous remercie de vous en être saisie car, avec l’environnement, ce sont les deux seuls dont on devrait parler.

Mme la présidente Cyrielle Chatelain. Merci beaucoup d’avoir pris le temps de nous répondre.

* *

Audition commune, ouverte à la presse, de M. David Amiel, ministre de l’action et des comptes publics, et Mme Anne Le Hénanff, ministre déléguée auprès du ministre de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l’intelligence artificielle et du numérique (mercredi 20 mai 2026)

M. le président Philippe Latombe. Nous concluons aujourd’hui notre cycle d’auditions. Je souhaite la bienvenue à M. David Amiel, ministre de l’action et des comptes publics, et à Mme Anne Le Hénanff, ministre déléguée chargée de l’intelligence artificielle et du numérique, et les remercie de s’être rendus disponibles.

Nous avons réalisé près de cinquante auditions et adressé des questionnaires à tous les ministères, ainsi qu’à certains opérateurs d’importance vitale (OIV). Nous avons maintenant une vision d’ensemble assez précise, même s’il nous manque encore quelques chiffres, des dépendances de l’État à l’égard des fournisseurs et solutions numériques américains.

Comment sortir de ces dépendances ? L’État a commencé à prendre des mesures – je pense que vous nous les exposerez. En ce qui concerne le stockage des données et le cloud, une prise de conscience a eu lieu et l’État a progressé vers des solutions souveraines. Les OIV restent en revanche très dépendants des clouds fournis par les hyperscalers américains, peut-être parce que le critère de la cybersécurité efface celui de la souveraineté.

Enfin, notre enquête a montré que le secteur privé est massivement dépendant des solutions extraterritoriales, principalement américaines. Cela entraîne une perte de valeur pour notre économie. Le Cigref a montré qu’environ 264 milliards d’euros partaient chaque année de l’Europe vers les États-Unis, mais la perte de valeur est en réalité bien plus grande, car ce sont aussi toutes les données personnelles et industrielles qui sont transférées et seront utilisées notamment par les IA extra-européennes. Que peut-on faire pour accélérer la prise de conscience dans le secteur privé ? C’est là aussi une question que vous aborderez probablement.

Avant de vous laisser la parole, je rappelle que l’article 6 de l’ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d’enquête de prêter le serment de dire la vérité, toute la vérité, rien que la vérité.

(M. David Amiel et Mme Anne Le Hénanff prêtent successivement serment.)

Mme Anne Le Hénanff, ministre déléguée auprès du ministre de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l’intelligence artificielle et du numérique. Je me réjouis de pouvoir m’exprimer devant vous sur le sujet qui fait l’objet de votre commission d’enquête. Depuis ma nomination, j’ai fait de la souveraineté numérique le fil rouge de mon action et le premier ministre a rappelé encore très récemment à quel point le numérique était un enjeu régalien.

Être souverain repose sur trois exigences simples. La première est de connaître nos dépendances : nous devons savoir d’où et de quoi nous dépendons, sur quelles briques technologiques, dans quels secteurs et pour quels usages. La deuxième exigence est de développer une offre souveraine et de soutenir des alternatives françaises et européennes afin de réduire les dépendances identifiées. La troisième, c’est de défendre nos valeurs, de faire respecter nos règles en protégeant nos salariés, nos consommateurs, nos enfants et la population, et de garantir une concurrence à armes égales entre acteurs économiques.

Ces dépendances, d’où viennent-elles ? Même si la France et l’Europe forment de nombreux ingénieurs, mathématiciens et informaticiens, la révolution des semi-conducteurs et de l’informatique est venue des États-Unis, avec une dynamique puissante de création de valeur et de réinvestissement des bénéfices dans les ruptures technologiques successives. Bien que quelques groupes européens tirent leur épingle du jeu, force est de constater que, depuis une cinquantaine d’années, la France et l’Europe se fournissent largement en produits et services numériques hors de leurs frontières.

Ainsi, cette dépendance n’est pas nouvelle, mais elle pose un problème de souveraineté plus fort qu’auparavant. Marc Andreessen, investisseur américain de la Silicon Valley, annonçait dès 2011 : « Software is eating the world », c’est-à-dire que tous les secteurs économiques et toutes les chaînes de valeur sont peu à peu bouleversés par le numérique, qui prend une part de plus en plus grande de la valeur ajoutée – e-commerce, ubérisation des services, réseaux sociaux et, demain, voiture autonome et révolution robotique de l’IA dans le monde physique.

Cette captation croissante de la valeur ajoutée par le numérique s’accompagne d’une mutation de l’informatique traditionnelle vers le cloud et le software as a service, et donc d’une circulation exponentielle des données personnelles et non personnelles, ce qui renforce encore plus tous les risques de sécurité numérique.

Par ailleurs, au-delà de l’aspect économique et de la cybersécurité, nous passons tous de plus en plus de notre vie professionnelle et personnelle en ligne, ce qui signifie, dans cette situation de dépendance, qu’une part de plus en plus importante de notre vie est façonnée par des produits et services numériques conçus très loin de chez nous. Je pense notamment aux réseaux sociaux, qui façonnent notre existence contemporaine et induisent des risques spécifiques – j’y reviendrai.

Enfin, la situation géopolitique a considérablement évolué. La relation atlantique est dégradée et ne va plus de soi, y compris pour les États de l’Union européenne qui y accordent la plus grande importance. En face, la Chine a su se développer à marche forcée dans le secteur des nouvelles technologies, avec toutes les questions que cela pose.

Collectivement, constatant les dangers qu’elles suscitent, nous ne sommes pas restés les bras croisés face à ces dépendances. Je souhaite ainsi rendre hommage aux travaux de mes prédécesseurs. De longue date, le combat est mené pour soutenir le développement d’une offre tech en France et en Europe. Dès 2010 fut lancé le premier programme d’investissements d’avenir. En 2013 ont été créées BPIFrance et la mission French Tech. Cet effort connaît une forte accélération depuis 2017, avec des stratégies sectorielles ambitieuses : la Stratégie IA (stratégie nationale pour l’intelligence artificielle) en 2018, à la suite du rapport Villani, la stratégie nationale pour le cloud en 2021, promue par Bruno Le Maire et Cédric O, la stratégie nationale quantique lancée par le Président de la République en 2021 et, bien sûr, le plan France 2030, doté, fin 2021 également, de 54 milliards d’euros d’argent public pour accompagner la transformation de nos entreprises, écoles, universités et organismes de recherche, avec l’objectif de les aider à relever les défis écologiques et économiques à venir, tout en faisant émerger les futurs champions des filières d’excellence.

En parallèle, notre fiscalité encourage l’entreprenariat et l’innovation avec le crédit d’impôt recherche (CIR), véritable outil de soutien à la recherche et développement et d’attractivité du pays, ainsi qu’avec des dispositifs spéciaux pour les start-up comme le statut de jeune entreprise innovante (JEI), cher à votre collègue Paul Midy, dont je salue l’engagement auprès de cet écosystème.

Ces politiques publiques ont contribué à faire de la France, qui pouvait déjà compter sur la qualité de ses établissements d’enseignement supérieur et de recherche, ainsi que sur un tissu de PME (petites et moyennes entreprises) et d’ETI (entreprises de taille intermédiaire), une nation d’innovation et d’entreprenariat. C’est pour notre pays un facteur de souveraineté dont nous pouvons être fiers. Regardons les chiffres : la France compte plus de 18 000 start-up sur tout le territoire, ce qui représente plus de 450 000 emplois. La moitié des jeunes entreprises sont désormais créées hors d’Île-de-France. La France est le leader européen en matière d’innovations de rupture, avec des pépites notamment dans le quantique, le spatial, l’intelligence artificielle ou les biotech. C’est le résultat d’un effort de long terme, qu’il convient de maintenir. Nous avons fait émerger, notamment grâce à l’action de BPIFrance et à l’initiative Tibi, un écosystème robuste pour le financement en amorçage et en série A. Le nombre de fonds de capital-risque en France a été multiplié par trois depuis le début des années 2010 et les levées de capitaux par les fonds français par cinq. Sur la même période, les investissements en capital-risque dans les entreprises françaises ont été multipliés par quatre. Aujourd’hui, la France dispose du premier écosystème européen de financement technologique, avec plus de 150 fonds gérant près de 50 milliards d’euros.

En matière de régulation du numérique, le combat a été pleinement mené, au niveau national comme au niveau européen. Permettez-moi de lister rapidement la loi pour une République numérique de 2016, défendue par Axelle Lemaire, le RGPD (règlement général sur la protection des données), également adopté en 2016, la loi de 2019 visant à préserver les intérêts de la défense et de la sécurité nationale de la France dans le cadre de l’exploitation des réseaux radioélectriques mobiles (loi « 5G »), et le combat que mène la France depuis 2018 pour ce qui est devenu plus tard, au niveau européen, le DMA (règlement sur les marchés numériques) et le DSA (règlement sur les services numériques), dont les compromis ont été forgés pendant la présidence française de l’Union européenne en 2022 et qui sont véritablement le socle de la régulation des géants du numérique au niveau européen, en ce qu’ils permettent de s’attaquer à l’irresponsabilité des grandes plateformes.

Je peux également mentionner la loi visant à sécuriser et à réguler l’espace numérique (loi Sren), défendue par Jean-Noël Barrot et que vous avez – que nous avons – adoptée en 2024. Nous avons désormais atteint 84 % des mesures d’exécution, en publiant notamment l’arrêté d’application de l’article 27, qui a fixé des frais de transfert de données entre fournisseurs de cloud – les egress fees – à 0 euro, et le décret d’application de l’article 31 sur la protection des données sensibles de l’État, qui était très attendu.

Beaucoup a été fait. Toutefois, ces efforts importants et nombreux ont pu manquer de cohérence. J’ai identifié dès mon arrivée le besoin d’adopter une approche plus systémique. Il faut, je le disais, identifier nos dépendances. Ce travail d’analyse de l’état des lieux est le préalable à une action efficace. Dans le secteur privé, c’est tout l’objectif de l’Observatoire de la souveraineté numérique que j’ai décidé de confier au haut-commissariat à la stratégie et au plan. Dans le secteur public, des travaux sont également engagés par la Dinum (direction interministérielle du numérique) et la DAE (direction des achats de l’État) – mon collègue David Amiel en parlera.

Je pense également à la cybersécurité. Je ne détaillerai pas ici la longue litanie des cyberattaques qui ont émaillé l’actualité ces derniers mois et qui sont toutes regrettables, dans le secteur public comme dans le secteur privé. Nous devons améliorer la cartographie de nos systèmes d’information et de nos vulnérabilités, afin de pouvoir traiter ces dernières et rehausser la protection des premiers.

Par ailleurs, nos dépendances dans le numérique ne se limitent pas aux infrastructures ou à nos choix de logiciels. Elles se sont immiscées très profondément dans ce que nous avons de plus précieux : notre jeunesse et notre modèle démocratique. Nous avons confié aux grandes plateformes des réseaux sociaux les clés de nos débats démocratiques, ainsi que le cerveau et les émotions de nos enfants. Les réseaux sociaux nous avaient fait la promesse d’un monde plus ouvert, facilitant la communication et les mises en réseau. Aujourd’hui, 44 % des Français déclarent s’informer tous les jours sur les réseaux sociaux ; 20 % de la population dit s’informer d’abord et de manière majoritaire sur les réseaux sociaux, les plateformes de vidéos ou les outils IA, cette proportion montant à 39 % pour les 25-34 ans et à 54 % pour les moins de 25 ans. Les plateformes ont ainsi capté l’ensemble de notre attention et de notre temps de navigation en ligne. Cependant, nous savons désormais que le modèle de l’économie de l’attention est problématique pour le développement cognitif des enfants et adolescents, et que les réseaux sociaux sont le lieu de la diffusion en masse de fausses informations. Là aussi, il ne s’agit pas d’être alarmistes ni défaitistes, mais simplement d’être lucides et d’agir pour protéger nos populations et notre modèle démocratique.

Une fois ces dépendances identifiées, il faut œuvrer à les réduire. Comment ? Tout d’abord, en continuant à soutenir le développement de l’offre. Malgré le contexte budgétaire contraint, nous devons continuer à préserver France 2030, à faire vivre la French Tech et à soutenir les JEI. Le grand défi structurel auquel nous faisons face en matière d’innovation n’est plus celui de notre capacité à faire émerger des start-up, mais de les faire passer à l’échelle en France. Cela pose la question du financement, notamment des phases de croissance, en particulier à l’occasion des grands tours de table. Concrètement, nos entreprises rencontrent des difficultés dès qu’elles doivent lever 100, 200 ou 300 millions d’euros pour accélérer. C’est à ce niveau-là que l’écosystème européen atteint ses limites et que les capitaux extra-européens prennent le relais. Or c’est précisément à ce stade que se joue la captation de valeur et que se décident les choix industriels, les implantations et les stratégies d’expansion.

Cette situation reflète des faiblesses structurelles de notre modèle de financement. Première de ces faiblesses : l’Europe dispose d’un niveau d’épargne très élevé, mais trop faiblement orienté vers le financement du risque, en particulier vers le venture capital et le capital de croissance. Deuxième faiblesse : la fragmentation de nos marchés, qui limite la capacité à faire émerger des plateformes d’investissement paneuropéennes aux montants significatifs. Troisième faiblesse : la taille moyenne des fonds dans les pays européens demeure largement insuffisante.

C’est dans cet esprit qu’ont été lancés l’European Tech Champions Initiative (ETCI), et le Scaleup Europe Fund, capables d’investir en direct dans les deeptech les plus prometteuses. Je m’engage pleinement, avec Roland Lescure, ministre de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique, sur ce sujet critique du financement de la technologie, particulièrement de la deeptech.

Ensuite, nous devons lutter contre le déficit de compétences, frein majeur à notre compétitivité, à notre capacité d’innovation et à notre autonomie. Si nous voulons éviter le décrochage de notre nation et maintenir notre rang parmi les puissances numériques, nous allons devoir former davantage d’ingénieurs et de techniciens spécialisés, notamment des femmes, qui se tiennent encore éloignées des filières de la tech. De fait, 7 % seulement des adolescentes françaises s’intéressent aux métiers du numérique, contre 29 % des garçons ; 14,8 % seulement des professionnels de l’IA sont des femmes. Nous n’avons pas les moyens de nous priver de la moitié des talents. C’est tout l’enjeu des plans Filles et maths et TechPourToutes lancés par Élisabeth Borne.

Nous devons aussi mobiliser la commande publique et privée, car ce dont nos start-up et nos entreprises ont besoin, c’est avant tout de remplir leur carnet de commandes. Côté public, nous avons obtenu des premiers résultats très positifs sur le cloud grâce à une stratégie d’ensemble combinant le référentiel SecNumCloud, la commande publique et le soutien à l’offre, ainsi que sur le calcul quantique avec le programme Proqcima. Nous devons systématiser cette approche aux autres champs du numérique : c’est le sens de la circulaire du 5 février dernier nous dotant d’une nouvelle doctrine du make or buy. La commande publique est un véritable outil de soutien à l’innovation, à la souveraineté et à la sécurité.

Le secteur privé doit évidemment jouer son rôle. C’est le sens de l’initiative « Je choisis la French Tech » lancée en 2023, qui doit permettre de rapprocher les grands groupes et l’ensemble du secteur privé de nos start-up pour améliorer leur compréhension mutuelle et favoriser les achats innovants auprès de la filière française.

Bien sûr, c’est aussi par la régulation au niveau européen que nous pourrons nous attaquer à ces dépendances. C’est pourquoi je défends une préférence européenne pour le numérique dans des secteurs stratégiques tels que l’IA, le cloud, le quantique et la cybersécurité. Depuis le sommet de Berlin du 18 novembre 2025 sur la souveraineté numérique européenne, nous travaillons avec l’Allemagne à la définition de critères concrets tels que la localisation du siège social, de l’hébergement des données ou des effectifs liés à l’exploitation du service numérique. Je souhaite que le couple franco-allemand porte cette vision à l’échelle européenne. Nous aurons l’occasion d’en reparler, je l’espère, à l’occasion du salon VivaTech.

Le rapport Draghi nous invite également à améliorer notre compétitivité en simplifiant le superflu qui encombre. Dans cet esprit, je me réjouis de l’aboutissement des négociations sur le règlement omnibus sur l’IA, qui ont permis le report de l’entrée en vigueur du RIA (règlement européen sur l’IA) pour les systèmes d’IA à haut risque, mesure qui était attendue par l’écosystème français et européen. C’est aussi dans cette logique que nous abordons le paquet « omnibus numérique », en portant une attention particulière à l’équilibre entre simplification et protection des données.

Pour ce qui est, enfin, de la défense de nos valeurs, je conduis deux combats majeurs pour la régulation des réseaux sociaux en France et en Europe. Le premier est celui de la protection des mineurs en ligne, laquelle passe d’abord par la majorité numérique à 15 ans afin de préserver les plus jeunes des effets nocifs du modèle et des fonctionnalités des réseaux sociaux sur leur développement et leur santé. Le deuxième est celui de la lutte contre les manipulations d’informations, notamment en période électorale. Les grandes plateformes numériques ne sont plus de simples intermédiaires techniques : elles sont devenues des architectes de l’opinion. Les menaces s’intensifient et la France est le pays de l’Union européenne le plus ciblé par les ingérences numériques étrangères.

Sur ces sujets, j’ai constaté à quel point la voix de la France compte au niveau européen. Les discours du président de la République et les positions de la France sont reconnus et attendus en Europe. La France attend de la Commission européenne qu’elle se saisisse sans trembler de tous les outils dont elle dispose pour sanctionner les plateformes qui ne respectent pas nos règles. Elle l’a fait pour X et elle doit continuer sur cette voie avec fermeté. Plusieurs des personnes que vous avez auditionnées ont regretté que la Commission n’utilise pas assez cette arme et ne soit pas assez sévère. Je tiens toutefois à saluer l’effort réel qui est fait.

Nous devons continuer à renforcer nos outils de régulation. À court terme, la publication de lignes directrices constitue un levier pour préciser et opérationnaliser le DSA et renforcer nos capacités à réagir. À plus long terme, nous devons continuer à faire peser le bon niveau de responsabilité et d’obligation sur les plateformes, notamment s’agissant de la conception de leurs algorithmes. La Commission devra prochainement tirer un premier bilan du DSA et du DMA, en lien avec les États membres, et la France compte bien y contribuer fortement.

En matière de numérique, il est absolument nécessaire d’agir au niveau européen pour que nos entreprises et nos mesures de régulation atteignent la bonne échelle. Par le passé, la France a pu paraître isolée dans certains de ces combats. Désormais, je rencontre chaque jour plus de pays qui partagent nos préoccupations et veulent promouvoir une troisième voie. C’est donc déterminée et optimiste quant à notre capacité d’action que je suis à l’œuvre pour réduire nos dépendances technologiques. Bien sûr, les dépendances que vous avez identifiées au cours de vos auditions ne disparaîtront pas en quelques mois, ni même en quelques années : c’est un travail pas à pas, continu et de longue haleine. C’est ce qui guide mon action chaque jour au ministère.

M. David Amiel, ministre de l’action et des comptes publics. Comme on le sait, et comme le montre d’ailleurs votre commission d’enquête à chacune de ses auditions, nos dépendances sont partout. Elles sont très prégnantes et nous en subissons chaque jour les conséquences en matière énergétique avec la dépendance aux hydrocarbures importés, ainsi que pour ce qui concerne les engrais. On le voit aussi dans le domaine du numérique, avec à la fois des dépendances anciennes dans le digital et des dépendances nouvelles qu’il nous faut pouvoir anticiper et déjouer – je pense évidemment à l’intelligence artificielle. Cela a été rappelé à de nombreuses reprises au cours de vos travaux.

Les faits sont massifs : 80 % des dépenses de cloud et de logiciels des entreprises et des administrations européennes bénéficient à des acteurs américains. Pour ce qui est des administrations publiques et de l’État, la direction des achats de l’État a mené, à ma demande, une étude sur les domaines les plus critiques en matière de dépendance. Il en ressort que douze des quinze domaines les plus critiques sont liés au numérique.

Pendant des années, voire des décennies, la France a vécu dans une forme de confort et d’insouciance numériques, avec des logiciels qui fonctionnaient, des prix qui semblaient acceptables et des dépendances qui semblaient abstraites. Dans ce mouvement, nous nous sommes enfermés dans des infrastructures, des logiciels, des standards techniques et parfois même des habitudes intellectuelles dont la maîtrise se situe largement hors d’Europe.

Comme cela a été dit, la désintoxication est urgente, et elle a commencé. Les hausses brutales de tarifs, les risques extraterritoriaux, les sanctions récentes visant un juge de la Cour pénale internationale, les dépendances au cloud et l’explosion de l’intelligence artificielle générative nous rappellent une chose très simple : le numérique est le champ de bataille de notre liberté et de notre souveraineté. Je tiens à dire d’emblée que ceux qui promettent une sortie immédiate, totale et indolore des dépendances racontent des histoires : Rome ne se fera pas en un jour. Nous avons construit ces dépendances pendant des décennies, nous en payons aujourd’hui le prix et nous mettrons un certain temps à en sortir – c’est une raison supplémentaire pour le faire d’une manière déterminée, rigoureuse et organisée.

Comme l’a indiqué Anne Le Hénanff, notre responsabilité est de hiérarchiser les dépendances – dépendance technologique, extraterritorialité, cyber – pour en venir à bout avec ordre. Nous nous attaquons en priorité à nos infrastructures critiques – données de santé, annuaires d’identités, outils interministériels et briques de réseau –, dans un contexte où la préoccupation n’est pas seulement la nationalité d’un fournisseur, mais aussi la capacité de réversibilité, la maîtrise des compétences, la substituabilité, la dépendance économique, la résilience et la capacité à continuer à fonctionner en cas de crise.

Peu après ma nomination au gouvernement en octobre 2025, le sommet de Berlin a permis d’enclencher un changement de vitesse. Comme il s’agissait d’abord de poser le diagnostic, la direction des achats de l’État a engagé, je le disais, un travail de cartographie sans complaisance de nos vulnérabilités. La Dinum a été chargée de reprendre la main sur le pilotage de nos dépenses numériques et, en parallèle, nous avons, ces derniers mois, mis à jour notre doctrine. Pour ce qui concerne le cloud, nous avons fait publier le 16 avril dernier le décret d’application de l’article 31 de la loi Sren. La proportion d’achats publics consacrée à des offres de cloud souveraines progresse d’ailleurs de manière significative, à hauteur de 62 % en 2025.

Pour ce qui est de la commande publique numérique, la circulaire du premier ministre du 5 février 2026 a posé une doctrine claire, avec un principe de préférence pour les solutions souveraines et une hiérarchisation s’appuyant sur la logique « mutualiser, acheter, construire ». Il faut arrêter les développements spécifiques interminables auprès de prestataires dont nous sommes aussi devenus trop dépendants. Cela suppose de réinternaliser des compétences, non seulement pour améliorer l’action publique mais aussi au titre des comptes publics : nous payons souvent trop cher des prestataires là où réinternaliser des compétences serait meilleur pour notre souveraineté et pour nos dépenses publiques. Les pouvoirs de la Dinum ont aussi été renforcés pour étendre la procédure d’avis conforme aux achats de solutions logicielles supérieurs à 2 millions d’euros.

Nous avons également accéléré en matière de SI (systèmes d’information). Visio, notre outil de visioconférence 100 % souverain, est désormais déployé auprès de plus de 200 000 agents publics et deviendra l’unique solution autorisée d’ici à 2027. La Cnam (Caisse nationale de l’assurance maladie) a pris la décision de basculer ses 80 000 agents sur Visio et le CNRS (Centre national de la recherche scientifique) a abandonné Zoom. Au-delà de l’impact que cela revêt sur le plan de la résilience, puisque cet outil de la vie quotidienne est un moyen de communication indispensable au bon fonctionnement de l’administration en toutes circonstances, cette mesure représente aussi des millions d’euros d’économies et autant de données qui ne transitent plus par des infrastructures étrangères.

Le 23 avril 2026, la plateforme des données de santé a officiellement choisi Scaleway pour remplacer Microsoft Azure, la migration devant être effective entre la fin 2026 et le début 2027.

Par ailleurs, je le répète, l’intelligence artificielle ne doit surtout pas ouvrir un nouveau front de dépendance. Dans ce domaine, nous devons raisonner en semaines, voire en jours car, en ce moment même, des usages clandestins se généralisent dans les administrations, certains agents utilisant des outils grand public, accessibles gratuitement ou presque, pour la simple raison qu’ils sont efficaces. Si nous ne proposons pas nous-mêmes des alternatives souveraines de qualité, nous perdrons la bataille avant même de l’avoir commencée. C’est la raison pour laquelle nous déployons depuis l’automne un assistant IA interministériel qui s’appuie sur les meilleurs modèles de Mistral AI et est hébergé sur une infrastructure Outscale certifiée SecNumCloud. Il est testé par 10 000 agents et sa généralisation est prévue cette année.

En matière d’intelligence artificielle, nous devons, de manière générale, sortir de la logique des preuves de concept et des expérimentations pour adopter une logique de passage rapide à l’échelle, car une course de vitesse est engagée avec les acteurs extra-européens. Je présenterai dans les toutes prochaines semaines un grand plan de déploiement de l’intelligence artificielle dans les services publics, dont l’objectif sera de nous permettre de choisir l’IA que nous voulons, conforme à nos intérêts, à nos valeurs, à nos besoins et à l’intérêt général, plutôt que de subir une IA que nous ne voulons pas.

Nous devons changer de rythme. Le séminaire organisé le 8 avril 2026 par la Dinum, l’Anssi (Agence nationale de la sécurité des systèmes d’information) et la direction des achats de l’État a lui aussi posé un jalon important. L’ensemble de l’État, ministères comme opérateurs, allié à des industriels, s’y est engagé dans une démarche structurée de réduction des dépendances. La Dinum lance elle-même une expérimentation de migration de ses propres postes vers Linux. Surtout, chaque ministère devra formaliser cette année sa feuille de route de sortie des dépendances critiques autour des sept domaines identifiés par la direction des achats : postes de travail, outils collaboratifs, antivirus, intelligence artificielle, bases de données, virtualisation et équipement réseau.

Je peux aussi vous annoncer que l’Ugap (Union des groupements d’achats publics) mettra fin aux ventes de logiciels Oracle sur son marché dédié, hors renouvellement. C’est un signal fort envoyé à l’ensemble de la commande publique. Des renouvellements de contrats pourront avoir lieu pour assurer la continuité et se donner le temps d’effectuer certaines migrations très lourdes, mais nous cesserons d’approfondir cette dépendance et de la disséminer dans de nouvelles entités publiques. Là aussi, il était temps.

Nous allons, par ailleurs, renforcer les moyens de l’État en matière numérique. La création de l’Ariane, l’Autorité du numérique et de l’intelligence artificielle de l’État, constituera une nouvelle étape, après tout ce que la Dinum a permis d’accomplir ces dernières années : des changements très importants ont été réalisés grâce à cette organisation interministérielle. L’Ariane permettra de mieux piloter le numérique de l’État et de rationaliser notre socle technique dans tous les domaines – hébergement, cloud, IA ou identité numérique – selon un équilibre public-privé et une logique de BITN, de base industrielle et technologique du numérique, si je puis me permettre cette analogie avec le secteur de la défense, puisque nous devons suivre un peu la même approche dans ces deux domaines.

Le premier ministre a également annoncé 200 millions d’euros pour la cybersécurité ainsi que le fléchage des amendes prononcées par la Cnil (Commission nationale de l’informatique et des libertés). De plus, nous réinternaliserons dès 2027 plusieurs centaines de postes dans le numérique, en particulier en matière de cybersécurité et d’IA. Pour être souverain, il faut d’abord savoir de quoi on parle. Cette évolution permettra au passage de faire des économies concernant les prestations, qui sont souvent trop cher payées. S’agissant des RH, je m’engage à rouvrir le dossier des rémunérations dans le secteur du numérique public, car c’est un facteur essentiel pour attirer les meilleurs talents au sein de l’État.

Notre stratégie repose, vous l’aurez compris, sur trois principes : cartographier et hiérarchiser les risques, construire des solutions alternatives pour permettre des migrations réussies et jouer collectivement à l’échelle européenne. Je ne m’appesantirai pas sur ce dernier point, car Anne Le Hénanff y a déjà fait référence, mais il est évident qu’un État agissant seul ne peut pas faire le poids face aux géants américains et, de manière plus générale, extra‑européens. C’est pourquoi nous développons au niveau européen l’Edic Digital Commons (le Consortium pour une infrastructure numérique européenne dédié aux communs numériques), les gigafactories d’IA et l’alliance franco-allemande.

Enfin, cette stratégie n’aurait pas de sens si elle se limitait à l’administration centrale. Les opérateurs d’importance vitale, les grands services publics, les infrastructures critiques et les grandes entreprises doivent participer au combat et à la mobilisation. La souveraineté numérique n’est pas un slogan, un propos d’estrade ou un concept flatteur pour le gouvernement ou le Parlement, mais une exigence et une assurance vie contre les risques futurs. Ce qu’on a vu sur le plan énergétique pourrait, en effet, se reproduire en matière numérique : des dépendances en apparence anodines peuvent brutalement se retourner contre nous. Dans un environnement géopolitique plus incertain que jamais, notre devoir est d’accélérer notre désintoxication à des usages critiques extra-européens.

M. le président Philippe Latombe. Je reviens sur la création de l’Ariane. Nous avons auditionné la Dinum, la Cnil et l’Anssi, mais nous n’avons pas forcément compris quelle était l’articulation retenue : nous pensions qu’il y aurait une fusion entre la Dinum et la DITP (direction interministérielle de la transformation publique). Qu’en sera-t-il et quel rôle jouera désormais l’Anssi ?

Par ailleurs, comment le financement de la partie cybersécurité au moyen des amendes infligées par la Cnil s’organisera-t-il sur le plan technique ? Normalement, le produit des amendes est affecté au budget général de l’État. Celles de la Cnil étaient jusque-là essentiellement liées à l’e-privacy (confidentialité en ligne), c’est-à-dire aux cookies et traceurs, puis un basculement sur la cybersécurité s’est produit en 2026. Quand vous dites que le produit des amendes sera fléché vers ce domaine, cela ne concernera-t-il que la partie qui lui est liée ? Si c’est le cas, les montants concernés ne seront peut-être pas aussi constants qu’auparavant. Nous avons besoin de savoir comment tout cela fonctionnera afin d’inclure dans notre rapport des recommandations pour les années à venir.

M. David Amiel, ministre. La création de l’Ariane correspond à une réorganisation conjointe de la Dinum et de la DITP.

La Dinum est appelée à devenir une autorité nationale du numérique et de l’IA de l’État, qui servira d’architecte pour notre socle technique. À l’heure du cloud et de la révolution de l’IA, il faut rationaliser les infrastructures et faire converger les besoins de l’État en matière numérique avec l’offre privée, dans la logique de BITN que j’ai évoquée, c’est-à-dire au niveau agrégé. On conduit actuellement beaucoup d’initiatives au niveau ministériel ou infraministériel, par service, au risque d’avoir des doctrines différentes, des surcoûts et une mutualisation des moyens et des techniques insuffisante. C’est aussi une source de fragilité pour les entrepreneurs et les industriels, français comme européens, qui doivent frapper à beaucoup de portes et n’obtiennent pas toujours les mêmes réponses. Un des buts de l’Ariane sera d’apporter davantage de structure. La Dinum l’a fait en partie ces dernières années, et c’est pourquoi j’insiste sur l’idée que la création de l’Ariane est plutôt une nouvelle étape dans la construction de l’architecture numérique de l’État, à un moment où il faut accélérer en raison des enjeux géopolitiques – vous avez évoqué la souveraineté – et technologiques, notamment ceux du cloud, qui nécessitent une mutualisation des capacités de calcul, et de l’intelligence artificielle.

De son côté, la DITP prendra en charge la transformation numérique des démarches et des processus administratifs. L’idée est qu’elle devienne une direction des services publics centrée sur les usagers, l’accompagnement, la facilitation et la transformation des démarches dans toutes les dimensions, numériques comme physiques.

Mme Anne Le Hénanff, ministre déléguée. L’Anssi, qui dépend du premier ministre et qui est placée sous le contrôle du SGDSN (secrétariat général de la défense et de la sécurité nationale), n’a pas vocation à normer les infrastructures et les systèmes d’information des ministères. Son rôle est de servir de pompier et de gendarme – ou de policier. Elle a pour vocation de faire de la veille en ce qui concerne les menaces cyber, de traiter ces menaces, de diffuser les bonnes pratiques et d’accompagner les directions des systèmes d’information (DSI) des ministères quand ceux-ci subissent des cyberattaques, ce qui a été le cas récemment.

Les systèmes d’information des ministères fonctionnent en silos depuis des décennies. La protection de chacun d’entre eux en matière de cyber s’est développée dans une relative autonomie, sous le contrôle de la Dinum, et une sorte de millefeuille a ainsi vu le jour. Eu égard au nombre et à la qualité des cyberattaques, dont l’objectif est clairement de voler des données publiques ou relevant du secteur privé, le premier ministre a pris des décisions fortes qui visent à rétablir, sous son contrôle, une certaine cohérence et qui concernent aussi bien l’Anssi et la Dinum que la DITP.

Le rôle de l’Anssi ne changera pas. Il restera tout aussi stratégique en matière d’étude de la menace. C’est l’Anssi qui fait chaque année un rapport sur ce point. Comme l’a dit David Amiel, des réflexions sont en cours et des travaux auront probablement lieu pour rendre le trio actuel le plus efficace possible. La seule chose que je peux vous dire, c’est que l’Anssi, la Dinum et la DITP auront désormais la mission, qu’on peut considérer comme régalienne, de protéger les ministères, donc de leur imposer, d’une certaine manière et chacun dans son rôle, des niveaux de cybersécurité suffisants pour assurer la protection des systèmes d’information et des données produites et collectées par les ministères.

Le premier ministre a annoncé une mesure financière d’urgence – immédiate – de 200 millions d’euros, qui seront prélevés sur France 2030, ainsi que sa volonté de flécher le produit des amendes prononcées par la Cnil. Leur montant – 750 millions d’euros depuis 2022 – devrait croître fortement : la Cnil vient d’annoncer un durcissement des contrôles, et des organisations qui n’auraient pas respecté leurs obligations en matière de protection des données pourraient se voir infliger des amendes. L’idée est de constituer ainsi une masse financière qui ferait l’objet d’un fléchage vers les systèmes d’information des ministères, en vue d’assurer une montée de la cybersécurité, ce qui est indispensable pour des raisons de sécurité nationale. Pris individuellement, certains vols de données peuvent ne pas être dangereux, mais on sait qu’il y a dans le dark web des cyberattaquants qui n’ont aucun respect pour le RGPD et que nous courons un risque en cas de croisement des données. C’est contre cela que nous voulons absolument lutter.

M. le président Philippe Latombe. Cela veut-il dire que la mission de la Cnil, qui est d’émettre des avis, suivis ou non, à propos de certaines évolutions des systèmes d’information, ne changera pas ? Rappelons qu’un ministère a récemment ignoré un avis sur sa cybersécurité.

Mme Anne Le Hénanff, ministre déléguée. La Cnil, qui est une autorité indépendante, gardera son indépendance. Elle mène les enquêtes qu’elle veut et elle prononce aussi les sanctions qu’elle veut. On n’a pas à juger ni à commenter ses décisions.

M. le président Philippe Latombe. Ce n’était pas l’objet de ma question, mais on peut toujours modifier les missions d’une autorité administrative indépendante. C’est le rôle du Parlement, éventuellement sur proposition du gouvernement. Si je comprends bien, il y aurait donc des évolutions concernant le trio composé de la Dinum, de la DITP et de l’Anssi, mais pas de modification du rôle de la Cnil ?

Mme Anne Le Hénanff, ministre déléguée. À ma connaissance, il n’y aura pas de modification à ce niveau.

Mme Cyrielle Chatelain, rapporteure. Quels seront les leviers utilisés pour impulser certains ajustements en matière de doctrine, d’unification de règles ou de mutualisations et ensuite pour les faire respecter ?

M. David Amiel, ministre. J’ai évoqué le renforcement en cours des pouvoirs des structures interministérielles. C’est le cas pour la Dinum, avec la circulaire du premier ministre qui abaisse à 2 millions d’euros le seuil au-delà duquel elle exerce un contrôle sur le renouvellement des contrats.

D’une manière plus générale, l’Ariane aura vocation à mener des projets interministériels. Elle est encore en construction – son préfigurateur aura pour mission de détailler ses besoins techniques, organisationnels et budgétaires –, mais le rôle d’architecte qui lui sera confié pour le socle technique et les grands partenariats est vraiment très important. J’ai parlé du passage à l’échelle. Si l’on veut doter les agents publics de l’État d’outils similaires en matière d’intelligence artificielle, soit qu’il s’agisse de briques très généralistes – par exemple, la quasi-totalité des agents pourront utilement avoir recours à un agent conversationnel – soit qu’ils répondent à des besoins métier transverses – on trouve des juristes, des acheteurs publics ou des services RH dans différents ministères –, l’idée de conclure de grands partenariats pour avoir la même doctrine partout et pour mieux négocier avec les acteurs privés, sur le plan financier comme sur celui de la qualité de service, a beaucoup de sens. C’est notamment cela que la création de l’Ariane doit permettre.

Mme Cyrielle Chatelain, rapporteure. Vous n’avez pas mentionné les annonces que vous avez faites, il y a quelque temps, au sujet de la réorientation des 4,2 milliards d’euros de commandes publiques. Pourriez-vous préciser la répartition des grandes masses financières ? Par ailleurs, vous avez dit que les évolutions prendraient du temps, mais j’imagine qu’un calendrier commence à être établi. Qu’en est-il ? Et puisqu’on ne peut pas tout changer en une fois, quelles sont vos priorités en matière de réorientation des commandes publiques ?

M. David Amiel, ministre. Vos questions me permettent de dire que nous avons d’abord besoin, en matière de commandes publiques, d’un renforcement du pilotage et de la transparence, car beaucoup de données manquent – cela vaut pour le numérique, mais pas seulement. Le numérique et l’IA peuvent nous aider, pour le coup, à mieux piloter ces dépenses.

Il manque à l’État une vision consolidée. La dépense est éclatée entre les différents ministères et les supports contractuels sont très divers. J’ai donc créé au sein de la Dinum, peu de temps après mon arrivée, une mission chargée de piloter les dépenses numériques, avec le soutien de la direction du budget, de l’AIFE (Agence pour l’informatique financière de l’État), de la direction des achats de l’État et de l’Ugap, ce qui permettra d’avoir des chiffres consolidés. Les administrations compétentes ont développé en parallèle un outil d’IA, appelé Dépenses éclairées, pour mieux quantifier et qualifier nos dépenses de manière générale, au-delà du numérique. Si nous voulons être en mesure d’interroger rapidement notre base de données en matière de dépenses afin d’identifier des vulnérabilités ou des points critiques, il nous faut ce type d’outil. Son déploiement, qui est en cours, nous permettra de mieux qualifier nos dépendances.

S’agissant de la doctrine, la circulaire du premier ministre en date du 5 février 2026, qui a été prise conjointement avec le ministère de l’économie et celui du numérique, fixe un principe directeur qui est de commencer par mutualiser, puis d’acheter, de façon souveraine, et de construire en dernier ressort, suivant des critères de souveraineté et de sécurité dont le respect lors des procédures d’achat a été rendu obligatoire. La réorganisation prévue dans le cadre de l’Ariane doit permettre d’opérationnaliser cette préférence pour les solutions mutualisées. Je rappelle aussi qu’un vade-mecum sur la sensibilité des données au sens de l’article 31 de la loi Sren a été publié et que nous avons organisé à Bercy un rendez-vous national de coopération entre les administrations et les éditeurs français et européens, pour mettre tout cela en musique. La doctrine a aussi été clarifiée en ce qui concerne LaSuite. Tchap, Visio et ProConnect forment un socle stratégique, qui est géré directement par l’État parce qu’il est essentiel pour la continuité de l’action publique.

J’en profite pour souligner que Visio s’appuie sur des solutions diverses, de l’open source, de la recherche et des solutions innovantes d’intelligence artificielle, l’objectif étant d’avoir un outil à la fois souverain, ce qui est indispensable pour la continuité de la vie de l’État, et au meilleur standard. Pour dire crûment les choses, ma crainte en tant que ministre de l’action publique est de proposer des outils qui ne seraient utilisés par personne. Pour éviter les usages clandestins, nous devons déployer, chaque fois, des outils non seulement souverains mais également aussi performants que ceux que les agents publics peuvent utiliser dans leur vie personnelle. Si nous sommes en mesure d’interdire Teams et Zoom en 2027, c’est parce que nous avons, avec Visio, une solution qui est au meilleur standard, notamment grâce à des briques d’intelligence artificielle qui permettent une transcription automatique des échanges et simplifient beaucoup la vie.

S’agissant de la cartographie des vulnérabilités, les domaines critiques sont les conseils en cybersécurité, les équipements de téléphonie mobile, l’hébergement des systèmes d’information dans le cloud, les infrastructures informatiques physiques – serveurs et assimilés –, les services de communication satellitaire, les logiciels de cybersécurité, les logiciels pour les DSI, les logiciels RH – finances et gestion –, les solutions d’IA, la tierce maintenance matérielle, les matériels pour les réseaux informatiques et de données ainsi que les postes de travail. Parmi ces douze domaines identifiés par la DAE, nous en surveillons particulièrement deux, les suites bureautiques et les outils collaboratifs, au vu de leur sensibilité – y compris, pour être très franc, en cas de dégradations importantes. C’est cette cartographie qui sert de boussole pour le plan en cours de déploiement aux niveaux interministériel et ministériel.

Mme Cyrielle Chatelain, rapporteure. Les 4,2 milliards d’euros de dépenses correspondent-ils à ces douze domaines ? J’imagine que les choix n’ont pas été faits au hasard. Quels sont, au sein de ces 4,2 milliards, les différents périmètres et les grandes masses ?

M. David Amiel, ministre. Ces 4,2 milliards d’euros correspondent tout simplement aux dépenses numériques de l’État, hors opérateurs, en 2025.

Notre exposition est très variable selon les domaines. En matière de bureautique, 90 % des dépenses sont tournées vers des acteurs extra-européens, et singulièrement vers Microsoft. En revanche, 54 % des commandes publiques de logiciels passées en 2025 par l’État et les collectivités par l’intermédiaire de l’Ugap – c’est donc un périmètre plus vaste que celui des 4,2 milliards d’euros – concernaient des éditeurs français ou européens. Par ailleurs, les quinze domaines d’achat faisant l’objet d’une vulnérabilité particulière, dont douze sont liés au numérique, représentaient 1,5 milliard d’euros en 2024.

Le travail de cartographie est en cours. Vous avez raison de suggérer qu’il faut des données encore plus fines. C’est la raison pour laquelle, en plus de nous tenir à la disposition de votre commission, nous réorganisons le pilotage de la commande publique, y compris au-delà du numérique, parce que les mêmes questions se posent ailleurs. Le premier ministre a ainsi eu l’occasion de s’exprimer sur la commande des aliments servis dans la restauration collective de l’État : là aussi, l’enjeu est de tracer les pays d’origine pour nous réorienter vers des biens agricoles produits en France ou en Europe. Nous avons également besoin d’une cartographie dans le numérique, domaine où la commande publique, très franchement, n’était pas tellement pensée, depuis des décennies, sous l’angle de la vulnérabilité. On avait cette culture dans le domaine militaire, pour des raisons évidentes, mais c’était moins vrai dans le domaine civil. C’est pourquoi nous nous réarmons en matière de pilotage et d’organisation.

Mme Anne Le Hénanff, ministre déléguée. La souveraineté numérique passe par une internalisation, c’est-à-dire par le développement d’outils en interne lorsque c’est possible et que cela présente, notamment, une dimension stratégique. Par ailleurs, la commande publique est un facteur de souveraineté numérique dans le secteur privé. Les commandes publiques en matière de produits et de services numériques représentent ainsi quelque 4,3 milliards d’euros. C’est à peu près dix fois moins que les dépenses des grands groupes français – lesquelles approchent 47 milliards d’euros dans les entreprises du CAC40 –, mais cela contribue aussi à remplir les carnets de commandes d’entreprises françaises qui, elles-mêmes, contribuent à la souveraineté numérique de notre pays.

La cartographie des systèmes d’information et des usages est essentielle : on ne peut pas tendre vers la souveraineté numérique dans le secteur public sans identifier les secteurs stratégiques. Ces derniers sont par exemple le cloud, l’IA, le quantique, qui va arriver, et la cybersécurité. On peut faire certaines choses en interne, mais il y en a aussi beaucoup qu’on peut confier à des entreprises françaises ou européennes grâce auxquelles nous pourrons être souverains. David Amiel et moi-même avons lancé plusieurs initiatives, notamment en direction du CSF (comité stratégique de filière) logiciels et solutions numériques de confiance, et nous organisons des matchmakings (mises en relation) entre des opérateurs privés – généralement des start-up, des ETI ou des PME – qui proposent des solutions souveraines et des acheteurs publics qui ont besoin de solutions numériques.

Nous avons également nommé, au sein de chaque ministère, des ambassadeurs « Je choisis la French Tech », dont le rôle est de repérer des applications qui existent dans le privé, pour les favoriser en fléchant vraiment les commandes vers des entreprises françaises ou européennes. Il faut casser le réflexe qui consiste à chercher la facilité, le produit sur étagère pas cher et qu’on peut implémenter rapidement. On doit apprendre aux acheteurs, aussi bien dans le privé que dans le public, à s’y prendre différemment, en prenant le temps de regarder ce qui existe sur le marché. Tels sont les enjeux des 4,3 milliards d’euros de la commande publique en matière de produits numériques et des 47 milliards d’euros de dépenses du CAC40 que j’évoquais – le total est en réalité beaucoup plus élevé si l’on inclut l’ensemble des achats de produits numériques par les entreprises privées françaises.

Mme Cyrielle Chatelain, rapporteure. Je vous rejoins en ce qui concerne la nécessité de cartographier. Tout le monde bénéficiera de ce travail.

Avez-vous une idée de la masse globale des dépenses de bureautique ? Vous avez dit que 90 % allaient à des acteurs extra-européens, mais sait-on ce que représentent les licences ? Avez-vous un calendrier de sortie des dépendances aux acteurs extra-européens, notamment Microsoft qui, comme vous l’avez mentionné, est le premier opérateur ?

Les informations que nous avons recueillies nous amènent à penser qu’il faudrait nuancer l’affirmation selon laquelle 54 % des commandes publiques de logiciels – au sens large, puisque cela concerne l’État et les collectivités – se portent sur des éditeurs français ou européens. La société Asterès, qui avance ce chiffre, a considéré que VMware, par exemple, était une société européenne au motif que son siège était en Irlande. Or on sait qu’une implantation dans ce pays peut fausser la lecture de la situation. Il serait intéressant d’intégrer ce détail dans la cartographie des provenances.

Mme Anne Le Hénanff, ministre déléguée. L’Observatoire de la souveraineté numérique auquel j’ai fait référence aura pour mission de mieux identifier les niveaux de dépendance. Un questionnaire très précis a été mis en ligne à cette fin. Les entreprises et les services publics ont jusqu’au 12 juin pour y répondre. Voilà la première réponse que je peux vous apporter.

M. David Amiel, ministre. Les dépenses de bureautique, c’est-à-dire celles qui sont consacrées aux postes de travail, représentent 368 millions d’euros sur un total de 4,2 milliards. Nous vous transmettrons des documents précis sur le chiffrage afin de vous répondre de manière plus complète.

M. le président Philippe Latombe. Vous avez évoqué, madame la ministre déléguée, la féminisation des métiers de la tech. Réfléchissez-vous, avec les ministères de l’éducation nationale et de l’enseignement supérieur et de la recherche, à modifier Parcoursup pour favoriser l’orientation des jeunes femmes vers de tels cursus ? Envisagez-vous aussi des évolutions concernant la prise en compte de l’origine géographique ? Ce critère ayant un poids assez fort, de très bonnes prépas parisiennes accueillent peu d’élèves venant de province, et certaines grandes écoles constatent, de ce fait, un fort tropisme parisien à l’arrivée. Cela fait-il partie de vos réflexions ?

Mme Isabelle Rauch (HOR). Monsieur le ministre, vous avez répondu, presque par anticipation, aux questions que je souhaitais vous poser à propos de la réinternalisation des compétences. Vous avez indiqué que vous comptiez notamment ouvrir le chantier des rémunérations. Pouvez-vous nous en dire un peu plus sur la manière dont vous envisagez de vous y prendre ?

Sans être taquine – mais je le suis peut-être un peu tout de même –, je ne crois pas que vous nous ayez donné votre définition de la souveraineté numérique et de la dépendance.

Mme Sophie-Laurence Roy (RN). Vous avez dit, madame la ministre déléguée, que la commande publique pouvait servir à remplir les carnets de commandes d’entreprises françaises ou européennes pour permettre le développement de produits numériques. Sur le principe, je suis tout à fait d’accord avec vous et je pense que nous partageons tous cet objectif. Néanmoins, comme Mme la rapporteure l’a rappelé, si l’Irlande est un pays européen, elle héberge beaucoup de filiales de sociétés de droit américain.

Par ailleurs, je ne vous ai pas entendu parler des problèmes posés par les lois chinoises en matière de protection et d’espionnage, qui sont encore plus rigoureuses, plus anciennes et plus détaillées que les lois américaines, même si la question se pose pour les deux pays. L’application pure et simple du code de la commande publique et l’absence de préférence en ce qui concerne le choix des parties contractantes nous empêchent, par définition, d’être certains de sélectionner des entreprises franco-françaises.

Or le simple fait de choisir une entreprise qui n’est pas intégralement française et qui ne s’appuie pas techniquement ou technologiquement sur des produits exclusivement français expose notre pays à coup sûr, et immédiatement, à l’application des lois extraterritoriales des États-Unis et de la Chine, qui n’imposent pas à ces pays de nous prévenir lorsque d’autres acteurs piquent nos données pour les étudier et en faire tout ce qu’ils veulent.

Deuxième point, nous allons bientôt nous trouver face au problème des ordinateurs quantiques : en admettant que nos données soient suffisamment cryptées, il n’est pas sûr que ce soit toujours le cas dans cinq ans. Il s’agit d’un vrai problème pour notre sécurité numérique.

Enfin, comme vous le savez, les Chinois détiennent 40 % du marché des caméras de vidéoprotection. Je n’ai pas besoin de poser la question qui s’ensuit.

La souveraineté et la sécurité françaises dépendent exclusivement de notre capacité à nous appuyer sur des entreprises françaises et des produits français. Il faut choisir des entreprises de notre pays dans les commandes publiques et ne pas simplement soutenir leur activité.

M. David Amiel, ministre. La question de la définition de la souveraineté est vertigineuse. C’est un sujet de réflexion pour la philosophie politique depuis 3 000 ans. Je considère classiquement qu’elle est la capacité de se donner sa propre loi. Elle n’est évidemment pas l’autarcie. Dans le domaine numérique comme dans tous les secteurs de la vie économique, nous continuerons à avoir des échanges et à utiliser des solutions provenant de pays étrangers ; de la même manière, nos propres champions vendront – j’espère de plus en plus – des services dans l’ensemble du monde. En revanche, nous devons nous assurer de conserver la capacité de nous donner notre propre loi, pour parler un peu pompeusement.

Pour ce faire, nous devons nous montrer vigilants sur plusieurs éléments. Il y a tout d’abord les lois extraterritoriales. Ensuite, il faut parer les risques de kill switch ou coupe-circuit, à savoir l’interruption brutale d’un service qui rendrait notre pays vulnérable. Nous pourrions aussi être pris à la gorge en cas d’augmentation tarifaire brutale d’un service technologique dont nous sommes totalement dépendants. Nous devons avoir l’ensemble de ces différents risques en tête, car certains acteurs peuvent être rassurants sur un plan et moins sur un autre.

Nous préparons actuellement le futur projet de loi de finances (PLF), donc je ne vais pas donner de chiffre précis sur la réinternalisation. À l’AIFE, nous avons vu que 1 euro de salaire faisait économiser 2 euros de prestations. Nous devons absolument réduire notre dépendance à certains prestataires en matière numérique et conserver en interne la maîtrise des technologies et des solutions. L’État fera toujours appel à des prestataires dans ce domaine comme dans de nombreux autres, mais s’il garde ses compétences, il pourra faire le meilleur usage du recours à des acteurs extérieurs, notamment au moment de la négociation des aspects techniques et financiers.

Mme Anne Le Hénanff, ministre déléguée. Pour renforcer notre souveraineté numérique, nous devons tout d’abord mesurer nos dépendances. Il faut connaître les domaines dans lesquels nous sommes dépendants pour pouvoir agir. Dans certains secteurs d’activité, nous ne serons jamais souverains, ou alors nous ne le deviendrons qu’au prix d’un effort très long et très coûteux : les logiciels et les microprocesseurs – sur lesquels nous travaillons déjà – entrent dans cette catégorie.

Ensuite, il faut absolument soutenir l’offre, donc les acteurs français qui vendent des solutions numériques. Nous avons déployé des dispositifs d’accompagnement : France 2030, le plan Deeptech, la mission French Tech. Il convient également de souligner le travail exceptionnel de BPIFrance. Les commandes publiques et privées soutiennent l’offre et concourent à la visibilité des acteurs français sur le marché mondial.

Le troisième élément de la souveraineté numérique a trait à la défense de nos valeurs. Ce qui contribue également à notre souveraineté, c’est que nous, les Français et les Européens, nous ne sommes pas comme les Américains, ni comme les Chinois, les Indiens ou les Russes. Notre conception de l’environnement numérique nous est propre : elle place l’humain au cœur de la technologie, celle-ci devant être transparente, éthique et respectueuse de l’environnement. Voilà ce qu’est la troisième voie qu’évoque régulièrement le président de la République, Emmanuel Macron. Voilà une réponse très synthétique à votre question sur ce qu’est la souveraineté numérique. Je pourrais détailler toutes les mesures que nous déployons dans les trois volets de cette politique.

Madame Roy, l’idéal serait effectivement de réserver l’exclusivité aux acteurs français, mais ces derniers sont, comme nous, ouverts sur l’extérieur. Nos start-up et nos PME numériques ont besoin des marchés à l’étranger pour se développer. Elles ont besoin de travailler avec l’Allemagne ou avec l’Espagne. Dans certains cas, elles ont besoin, notamment dans les domaines de l’IA et du quantique, des marchés extra-européens, y compris aux États-Unis. Si nous nous limitons au marché français, nos boîtes françaises sont mortes.

Mme Sophie-Laurence Roy. Ce n’est pas vrai !

Mme Anne Le Hénanff, ministre déléguée. Si ! Essayez de me prouver le contraire, je serais très intéressée de savoir comment vous vous y prendriez. Le marché est mondial : les acteurs français ont autant besoin des marchés extérieurs que nous-mêmes avons besoin de travailler avec des acteurs européens. L’Europe n’est pas notre ennemie, puisque nous faisons partie, comme vingt-six autres pays, de l’Union européenne. Le marché européen est le plus grand du monde : c’est pour cela que les Américains ont tant envie de développer leur présence dans notre territoire peuplé de 450 millions d’habitants.

Ni le gouvernement, ni l’Arcom (Autorité de régulation de la communication audiovisuelle et numérique), ni l’Arcep (Autorité de régulation des communications électroniques, des postes et de la distribution de la presse) ne peuvent directement sanctionner un acteur dont le siège est situé en Irlande. Il est vrai que, parmi les grands opérateurs américains, beaucoup ont leur siège en Irlande. C’est bien à l’échelle de l’UE et de ses normes, notamment le DSA et le DMA, que nous parvenons, sous la responsabilité de la Commission européenne, à imposer nos règles à ces grands acteurs qui ont leur siège en Irlande. Vous avez raison de souligner qu’il est extrêmement difficile d’agir pour un pays seul. En France, il est possible, au titre de l’article 40 du code de procédure pénale, de saisir la justice contre les excès des plateformes de réseaux sociaux et de l’amener à ouvrir des enquêtes. L’Arcom, en revanche, saisit son homologue et la Commission européenne pour pouvoir sanctionner : c’est le principe du pays d’origine. La préférence européenne, en tout cas celle que je défends, offre des perspectives immenses à nos acteurs, notamment pour la filière tech française.

Lors du sommet de Berlin, nous avons décidé d’élaborer une définition franco-allemande du service numérique européen. Nous y travaillons depuis novembre : j’espère que nous pourrons présenter le résultat de notre réflexion au salon VivaTech, car je suis convaincue que le couple franco-allemand est capable de fédérer et de créer une coalition autour de la définition de ce service numérique européen. Les critères que les Français proposent de retenir – nous verrons s’ils le sont – sont le siège de la société, le nombre de salariés qui travaillent en Europe ou de prestataires domiciliés sur notre continent, ou encore la part européenne de la création de la valeur ajoutée. Quand nous aurons défini avec l’Allemagne ce qu’est un service numérique européen, il nous sera plus facile de présenter notre conception à nos amis européens, de telle sorte que la Commission en tienne compte et modifie les règles dans le sens de la reconnaissance d’une préférence européenne. On ne peut pas faire de préférence européenne sans savoir de quoi il est exactement question.

Sur les lois extraterritoriales, nous menons un combat quotidien. La qualification SecNumCloud de l’Anssi contribue à nous protéger des lois extraterritoriales quand un acteur ne respecte pas nos règles.

Sur la vidéoprotection, nous vivons dans un pays où tout n’est pas permis : en France, il est strictement interdit d’utiliser la reconnaissance faciale dans les vidéoprotections ou la vidéosurveillance. Ce n’est pas légal. Même si un acteur chinois remportait un marché public avec une commune et déployait des caméras produites dans son pays dans l’espace public, il ne serait pas autorisé à utiliser la reconnaissance faciale. Nous avons des règles et nous vivons dans un État de droit : ces principes s’appliquent à tous, y compris aux acteurs étrangers.

Mme Sophie-Laurence Roy (RN). La Chine n’applique pas le droit français.

Mme Cyrielle Chatelain, rapporteure. Le respect de notre droit par les acteurs extra-européens et la capacité de prendre des sanctions, en tout cas de faire appliquer nos réglementations, sont effectivement un sujet de vigilance important.

Pouvez-vous nous en dire plus sur l’enjeu de la réinternalisation ? Je comprends de vos propos que vous souhaitez réduire les dépenses liées aux prestations, dont une commission d’enquête avait mis en évidence le niveau élevé. Elles concernent en grande partie le domaine du numérique, dans lequel les prestataires sont des passeurs de technologies et ont l’habitude de faire appel à des opérateurs extra-européens. Cette réinternalisation serait l’occasion de mobiliser d’autres compétences et d’utiliser d’autres outils. Vous êtes-vous fixé un calendrier de réduction des prestations ? Y a-t-il des grands marchés à renouveler ?

L’un des enjeux très souvent évoqué lors de nos auditions est celui du passage à l’échelle. Nous pouvons accompagner des start-up, mais cette capacité s’étiole quand l’entreprise veut grossir et investir. Cette situation aboutit à de nombreuses reventes, notamment à des acteurs américains, de sociétés que la puissance publique française avait soutenues. Dans les propositions qui ont pu être débattues, notamment lors de l’examen du PLF, figurait le remboursement des aides de l’État à ces start-up : la réflexion du gouvernement a-t-elle avancé en la matière ?

Vous avez évoqué le programme « Je choisis la French Tech », mais, au-delà, comment pouvons-nous accompagner la réorientation de la commande privée ? Nous avons auditionné des membres du Cigref, qui ont insisté sur l’existence de nombreux freins : un changement d’outil visant non à gagner en productivité mais à réduire une dépendance ne présentait pas beaucoup d’attrait à leurs yeux. Or compte tenu du montant que représente la commande privée, il faut en réorienter une part pour parvenir à passer à l’échelle. Quels sont les outils qu’il vous semblerait intéressant de mobiliser dans ce domaine ?

M. David Amiel, ministre. La question de la réinternalisation ne peut pas être séparée de celle de l’organisation. La dépendance parfois excessive à des prestataires vient aussi de la fragilité de certains ministères – pas tous –, qui sont inégalement équipés en matière numérique : certains accusent des retards techniques considérables, d’autres ont moins de moyens que d’autres. Le renforcement du volet interministériel doit permettre d’attirer des profils intéressés par l’aventure que représente la participation à de grands projets publics. Nous rencontrons d’ailleurs moins de problèmes pour attirer que pour retenir : l’un des grands défis que l’État doit relever en matière de compétences numériques est de retenir les profils jeunes et brillants qui rejoignent le secteur public mais qui le quittent au bout de quelques années. L’Ariane aura un rôle à jouer en la matière.

Au sein de Bercy, je travaille moi-même à une réorganisation visant à structurer la filière numérique, puisque c’est évidemment le ministère sur lequel je peux le plus facilement agir.

J’ajouterai une remarque plus personnelle. Nos grandes écoles d’ingénieurs ont un rôle important à jouer pour orienter leurs diplômés vers les métiers du numérique. Nous allons, à coup sûr, vivre le grand âge des ingénieurs. Je ne le suis pas, donc il ne s’agit pas d’un plaidoyer pro domo, mais nous aurons indubitablement besoin dans les années qui viennent, comme lors des précédentes grandes révolutions industrielles, de profils forts et d’une filière d’ingénieurs puissante au sein de l’État. Cela signifie que les grandes écoles d’ingénieurs devront probablement consentir un effort important.

J’ai par ailleurs demandé aux écoles du service public, notamment l’Institut national du service public (INSP) et les anciens instituts régionaux d’administration – appelés à se rassembler dans le groupement des instituts du service public –, de renforcer la formation dans le domaine numérique, notamment dans l’intelligence artificielle : les administrateurs doivent placer ces enjeux au centre de leurs préoccupations et de leurs réflexions dans les postes d’administration générale, de ressources humaines ou d’affaires financières qu’ils occuperont. Il ne s’agit pas de recevoir des cours abstraits, mais de développer des réflexes et une culture opérationnels pour appréhender les dossiers relatifs à la souveraineté ou aux commandes publiques. Que cet aspect soit intégré dès la formation initiale me paraît très important.

Mme Anne Le Hénanff, ministre déléguée. Pour répondre à votre question précédente, monsieur le président, la souveraineté numérique passe aussi par les hommes et les femmes. Je ne sais pas si une action particulière est prévue concernant Parcoursup, mais il est certain qu’à ce stade, c’est déjà trop tard. Le ministre de l’enseignement supérieur, de la recherche et de l’espace et le ministre de l’éducation nationale sont très attentifs à ces sujets, dont nous discutons régulièrement. Ils savent la nécessité d’inverser la tendance dramatique qui se constate aussi bien pour le numérique et l’intelligence artificielle que pour l’ingénierie et qui voit les femmes se détourner de ces métiers. Des initiatives ont été lancées, notamment par Élisabeth Borne, comme TechPourToutes dont je veux faire une priorité. Le problème est profond, puisque nous constatons que les petites filles se détournent des mathématiques dès la fin du premier trimestre de CP. Le fossé se creuse ensuite tout au long du cursus scolaire : la tendance s’aggrave au collège puis encore au lycée où les options choisies les éloignent des filières scientifiques.

Il faut s’attaquer à ce problème à bras-le-corps en commençant par en parler. Je soutiens, dès que je le peux, les associations de femmes de la tech. Un travail interministériel doit être mené dans ce domaine, qui concerne l’enseignement supérieur, la recherche, le numérique, l’éducation nationale et tant d’autres départements, afin de changer cette situation dramatique pour notre pays. J’ai eu la chance d’aller en Inde, à New Delhi, pour le sommet de l’intelligence artificielle : ce pays produit énormément de femmes ingénieures. C’est impressionnant. Nous devons nous poser les bonnes questions pour parvenir à inverser cette tendance délétère pour notre pays – et pour l’Europe tout entière, puisque nous ne sommes pas les seuls à souffrir de ce problème.

Madame la rapporteure, le financement des entreprises bute effectivement sur un plafond. Nous sommes au rendez-vous pour leur lancement. Quand des entreprises naissent, grâce notamment à des plans comme Deeptech qui nous aident à repérer dans les centres de recherche des universités les futures pépites de la tech, des financements publics les accompagnent massivement dans plusieurs dispositifs – France 2030, qui représente tout de même 54 milliards d’euros, ou Deeptech et d’autres. La mission French Tech accompagne aussi bien les projets d’entreprise que la formation des dirigeants ou l’ouverture vers d’autres marchés.

Seulement, lorsque ces acteurs grandissent et franchissent une certaine taille, ils ne parviennent à obtenir des levées de fonds en France que jusqu’à un certain montant ; au-delà d’un certain seuil, 100 millions, 200 millions ou 300 millions d’euros, ils ne trouvent plus d’investisseurs capables de répondre à leurs attentes, même à l’échelle de l’Union européenne. Un cas m’a récemment marquée : j’ai visité l’entreprise Sekoia, qui est spécialiste de cybersécurité et qui a besoin d’une importante levée de fonds, supérieure à 100 millions. Son dirigeant m’a dit qu’il craignait ne pas pouvoir les trouver en France ni même en Europe. Des acteurs américains sont intéressés. Doit-il écarter 200 millions de fonds américains ou les accepter pour faire grandir son entreprise qu’il pense pouvoir devenir un leader mondial dans la cybersécurité ? Voilà la situation à laquelle est confronté un chef d’entreprise en France et en Europe.

Des améliorations se sont produites : nous y travaillons avec Roland Lescure. Le nombre de fonds de capital-risque a fortement augmenté depuis 2010 dans notre pays, puisqu’il a été multiplié par trois. Les fonds investis par BPIFrance dans des secteurs jusqu’alors quelque peu délaissés par la tech ont eu un effet d’entraînement et ont aidé certains acteurs à se développer. Les levées de capitaux par des fonds français ont également progressé. Les investissements en capital-risque dans les entreprises françaises ont été multipliés par quatre entre 2011 et 2024. Nous évoquons ce sujet à l’échelle européenne entre ministres des finances ou du numérique et de l’intelligence artificielle pour essayer de trouver des solutions, car on sait qu’une levée de fonds insuffisante en France pourrait bénéficier de perspectives beaucoup plus prometteuses au niveau européen. Les proportions des levées américaines et chinoises restent toutefois incomparables. C’est un motif de préoccupation important en matière de souveraineté numérique. Nous devons trouver des solutions. En 2027, la campagne pour l’élection du président de la République doit être l’occasion de proposer des idées et des initiatives novatrices. Nous pourrions, par exemple, européaniser le dispositif Tibi, qui est né en France et qui a permis de lever environ 15 milliards d’euros et d’homologuer 144 fonds dans lesquels les assureurs s’engagent. D’autres pistes sont imaginables, comme la mobilisation de l’épargne des Français ou la retraite par capitalisation. Nous devons trouver des solutions pour que nos champions français et européens puissent lever des fonds au-delà de 100 millions.

M. le président Philippe Latombe. Vous n’avez pas répondu, sauf erreur de ma part, à la question de la rapporteure sur le remboursement des aides en cas de cession de l’entreprise à des fonds américains ou non européens. Nous avions évoqué une telle piste lors de l’examen du PLF pour 2026 pour le crédit d’impôt recherche. La réflexion du gouvernement a-t-elle cheminé depuis ?

Mme Anne Le Hénanff, ministre déléguée. Le gouvernement est évidemment très attentif à la bonne utilisation des deniers publics et des aides d’État. Le CIR est accordé pour des projets bien spécifiques. Je pense à une entreprise que je connais bien, qui n’est pas dans la tech ni dans l’IA, mais qui est située dans mon territoire, à savoir Michelin : le CIR investi a contribué à maintenir l’activité de l’entreprise, à soutenir sa compétitivité par rapport aux producteurs de pneus chinois et à alimenter son développement, même si son site de Vannes a fermé depuis. La dépense en CIR n’est pas vaine, elle aide des entreprises de la tech et de l’intelligence artificielle à se développer ou à maintenir leur activité. Elle n’est pas conditionnée à des financements, pas plus qu’à l’absence ou à la présence d’investissements étrangers. Pour répondre clairement à votre question, il n’est pas envisagé de demander le remboursement, comme c’est le cas dans certains pays, du CIR.

En revanche, s’il y a un doute, lié notamment aux activités stratégiques, à la sécurité nationale ou à l’autonomie stratégique du pays, nous activons la procédure des investissements étrangers en France (IEF) pour préserver, face à des fonds étrangers puissants, notre sécurité et notre souveraineté. Plusieurs dossiers sont étudiés dans ce cadre chaque année : soit la demande est acceptée, soit elle est refusée, soit la réponse est assortie de réserves. Cet outil, placé sous le contrôle de la direction générale du Trésor à Bercy, est très efficace et fonctionne très bien.

Lorsque je me déplace en tant que ministre pour rencontrer des entrepreneurs de la tech ou de secteurs stratégiques pour notre pays, on me parle de levées de fonds et de l’intérêt montré par des acteurs américains pour y participer. Si des chefs d’entreprise souhaitent sceller une telle opération pour développer leur structure, je les invite systématiquement à se mettre en relation avec la direction générale du Trésor pour vérifier, avant de prendre leur décision, dont ils sont libres, qu’il n’y a pas de risque en matière de sécurité.

Mme Cyrielle Chatelain, rapporteure. Vous avez parlé des fonds, mais pas de la commande privée. Même si les entreprises investissent, le marché ne sera pas suffisant si nous ne parvenons pas à réorienter une partie de la commande privée. Si vous avez des idées en la matière, nous en sommes preneurs.

Vous avez évoqué la préférence européenne, notion soutenue dans toutes les auditions. Elle contribuerait à relever certains défis. Des pays puissants, les États-Unis ou la Chine, n’hésitent pas à emprunter cette voie, donc il est opportun de modifier quelque peu la culture européenne en la matière.

Vous avez indiqué travailler avec l’Allemagne à définir le service numérique européen sur la base de la localisation de la société et des salariés, mais vous n’avez rien dit du capital. C’est un point de divergence entre nous : peut-on considérer qu’une solution est souveraine si elle repose sur une entreprise dont le capital est extra-européen ? Y a-t-il des avancées dans le dialogue avec l’Allemagne sur ce point difficile, notamment en vue de la loi qui portera à la fois sur le cloud et l’intelligence artificielle à l’échelle européenne ?

Vous nous avez dit être vigilants sur l’équilibre du règlement « omnibus numérique ». La copie de la Commission atteint-elle cet équilibre ? Si tel n’est pas le cas, quelles modifications la France demande-t-elle à ce stade ?

M. le président Philippe Latombe. Le Sénat a adopté une proposition de résolution européenne invitant la France à ne pas toucher à la définition des données personnelles. Faites‑vous vôtre cette position ? Y a-t-il des discussions à ce sujet ?

À Bruxelles, la DG Connect (direction générale des réseaux de communication, du contenu et des technologies) nous a beaucoup parlé du paquet « souveraineté technologique », repoussé pour la troisième fois – il devait arriver à la fin du mois de mai mais n’arrivera pas avant au moins le 15 juin – après des discussions visiblement assez houleuses entre la Commission et le représentant de l’administration américaine, qui a déclaré que la présentation de ce paquet constituerait un motif de révision à la hausse des droits de douane. Est-ce acceptable ? Quelle est la position de la France sur ce sujet qui touche, une fois de plus, à la politique de souveraineté de l’Europe – une politique que vous avez jugée absolument nécessaire et présentée comme un élément clé de la politique du gouvernement ?

Mme Anne Le Hénanff, ministre déléguée. Avant de répondre à vos questions, permettez-moi de rappeler une chose clairement : nous n’avons rien contre aucun pays du monde. Nos décisions de régulation visent à assurer notre autonomie ; elles reflètent notre vision de la technologie et, d’une certaine manière, de notre liberté et des valeurs que nous défendons – des valeurs très européennes que j’ai rappelées tout à l’heure. La Chine et les États-Unis établissent eux-mêmes des règles pour préserver leur économie, leurs acteurs, leur autonomie stratégique, leur liberté ; nous avons la même ambition pour l’Europe. Nous souhaitons développer une filière technologique robuste, compétitive, respectueuse de nos valeurs, et nous n’avons pas à nous excuser pour cela.

Je ne commenterai pas les menaces. Si on travaille dans la crainte, dans le doute, on n’avance pas. Or nous avons une véritable ambition ; nous sommes optimistes et constructifs. Je souhaite que nous continuions de discuter avec tous les pays du monde sur notre vision : je le fais régulièrement, et lorsque je rencontre mes homologues extra-européens, notamment américains, je leur explique que notre position n’est pas de l’isolationnisme, que nous ne cherchons pas à construire cette filière technologique – car nous en sommes capables – pour nous opposer, mais pour gagner en souveraineté et en autonomie dans de nombreuses filières, même s’il est un peu irréaliste d’imaginer une indépendance technologique totale dans tous les secteurs.

J’ignorais que les sénateurs s’étaient prononcés sur l’omnibus numérique. Je vous remercie pour cette information, nous allons la regarder avec beaucoup d’attention au ministère. Je ne vous cache pas que je ne suis pas vraiment surprise : la France ne partage pas pleinement la révision du RGPD concernant les données personnelles, car cette modification n’est pas si légère.

Je suis convaincue qu’il faut simplifier, et c’est ce que les entreprises nous demandent : avec Roland Lescure, nous avons reçu il y a quelques jours les représentants des entreprises – dont la CPME (Confédération des petites et moyennes entreprises) et le Medef –, qui nous ont dit la nécessité de simplifier pour leur permettre de gagner en compétitivité et de pouvoir innover. Nous comprenons ce message et nous le défendons, mais pas à n’importe quel prix.

En France – et en particulier dans mon ministère –, nous sommes attachés au RGPD et à la protection des données personnelles. La Commission souhaite modifier cette définition pour donner de la souplesse aux entreprises et faciliter leur usage de données pseudonymisées. C’est certainement un point de divergence, ou à tout le moins de discussion, avec la Commission, car ce n’est pas parce qu’une donnée est pseudonymisée qu’elle n’est pas problématique en cas de vol ou de croisement de fichiers. Pour l’instant, la position de la France n’est pas arrêtée : nous sommes constructifs, mais nous avons fait savoir nos réserves sur ce sujet. Des discussions sont en cours et la position de la France sera clarifiée dans les semaines à venir.

Par ailleurs, nous avons une volonté décomplexée de préférence européenne. Cela peut faire peur à certains États : pour l’Allemagne, par exemple, ce n’est pas aussi naturel que pour nous. Pour la rendre claire, mesurable, qualifiable, nous travaillons à la définition du service numérique européen afin, nous l’espérons, d’introduire ensuite la notion de préférence européenne dans le Cada – le Cloud and AI Development Act – si nous obtenons l’adhésion d’autres pays. Pour l’instant, nous travaillons avec l’Allemagne, et nous avançons bien, mais d’autres pays nous ont fait des appels du pied en ce sens. Cette préférence européenne passerait notamment par un affichage clair dans la commande publique européenne. Mais cela prend du temps : il faut être très pédagogue, avancer pas à pas et, surtout, avoir un socle commun aux Vingt-Sept de ce que l’on entend par préférence européenne.

M. le président Philippe Latombe. L’omnibus tend également à fusionner la directive ePrivacy avec le RGPD. Toutes les amendes infligées par la Cnil au titre du non-respect des règles relatives aux cookies – les traceurs – seront donc dorénavant sous la responsabilité des Irlandais, et leur produit entrera dans le budget irlandais. Comme vous avez annoncé qu’une partie de ces amendes devrait financer la montée en cybersécurité des systèmes d’information de l’État, monsieur le ministre, je pense qu’il faut que vous convainquiez le MEAE (ministère de l’Europe et des affaires étrangères) et une partie des autres ministères que cette révision n’est pas la meilleure solution pour les comptes publics.

Mme Cyrielle Chatelain, rapporteure. Au-delà de la révision de la définition des données personnelles, l’omnibus vise à élargir l’intérêt légitime à l’entraînement de l’IA – ce qu’a fait Meta avec les données de nos concitoyens, considérant que c’était là un intérêt légitime de l’entreprise.

Pourriez-vous nous adresser une courte note sur les points de vigilance et la position de la France sur l’omnibus numérique ? Même si j’ai bien compris que cette dernière pouvait évoluer, cela nous permettrait d’avoir une vision plus complète et de formuler un certain nombre de préconisations.

Mme Anne Le Hénanff, ministre déléguée. Bien sûr. La révision de la définition des données personnelles fait actuellement l’objet de discussions, donc je ne pourrais pas vous donner une position ferme sur ce sujet, mais je détaillerai la position de la France sur les autres points, comme notre approche par les risques, qui est très marquée, le droit d’accès aux données, sur lequel nous soutenons globalement les mesures défendues par la Commission européenne, et l’intérêt légitime.

Mme Cyrielle Chatelain, rapporteure. Je vous remercie. Cela donnera sans doute lieu à d’autres échanges. Par exemple, la ligne en matière d’accès aux données va plutôt dans le sens d’une restriction. Il serait utile qu’il y ait un débat entre le gouvernement et le législateur s’agissant de l’équilibre de la position française sur ces mesures.

Nous ne pouvons pas parler de souveraineté numérique sans aborder le cas de Palantir, cet acteur américain du numérique devenu également un acteur politique – je pense à son manifeste, qui promeut clairement des valeurs contraires à celles de la France et de l’Europe. Je n’aborde pas la question des libertés publiques, qui n’entre pas dans le champ des travaux de notre commission, mais je note que les services de l’État utilisent Palantir alors que les Allemands, eux, ont choisi l’acteur français ChapsVision. Quand cesserons-nous d’utiliser Palantir au profit d’un acteur souverain ?

Le Sommet pour l’action sur l’intelligence artificielle de juillet 2025 a semblé extrêmement important pour le gouvernement. Nos sollicitations auprès des services du premier ministre pour obtenir un certain nombre d’informations sont restées sans réponse. Pourriez‑vous lui transmettre notre demande ou nous apporter des précisions sur la composition des 109 milliards d’investissements annoncés, la localisation de l’ensemble des sites, ou encore le nom de la cinquantaine d’entreprises ayant été suivies par la cellule d’accompagnement ? L’objectif du Sommet était de renforcer notre souveraineté ; ces données nous permettront de nous assurer que c’est le cas, dans un souci de transparence.

Après avoir entendu un certain nombre d’acteurs, nous sommes un peu inquiets, notamment de l’absence de processus ou de garde-fous pour privilégier ou garantir l’accès à une partie des capacités de calcul et de stockage construites dans les data centers à des acteurs souverains. Il existe même un risque de verrouillage, c’est-à-dire que des acteurs extra‑européens construisent et financent des data centers avec d’importantes puissances énergétiques, verrouillant ainsi les capacités à traiter les données. Comment orientez-vous et planifiez-vous les investissements pour qu’ils bénéficient d’abord à des acteurs européens plutôt qu’américains, chinois ou émiratis ?

M. David Amiel, ministre. Tracfin – qui est sous mon autorité – n’utilise pas Palantir, contrairement aux services du ministère de l’intérieur, qui a contractualisé avec lui en 2016 dans le contexte des attentats. Mais un projet OTDH (outil de traitement des données hétérogènes) a été lancé en 2019 par la DGSI (direction générale de la sécurité intérieure) dans l’optique, à ma connaissance, de remplacer l’outil actuel par une solution développée en partenariat avec des entreprises françaises uniquement, et le ministère de l’intérieur travaille à l’élaboration d’une solution souveraine.

Mme Cyrielle Chatelain, rapporteure. Nous ne comprenons pas comment les Allemands arrivent à se doter d’outils français plus rapidement que le ministère de l’intérieur.

Mme Anne Le Hénanff, ministre déléguée. Lors du Sommet pour l’action sur l’IA, le président de la République a en effet annoncé des investissements massifs pour l’accueil et la construction de data centers en France. Selon un rapport des Nations unies, 69 de ces 109 milliards ont effectivement été engagés, dont 25 dans les centres de données. Ces investissements financent des projets principalement privés, qui bénéficient, selon leur priorisation, d’un suivi par une task force. Les porteurs de projet des plus gros data centers sont accompagnés par la DGE (direction générale des entreprises), Business France et RTE (Réseau de transport d’électricité), notamment dans la mise en relation avec les collectivités locales lorsque des terrains sont identifiés.

Lors du Sommet, douze porteurs de projets avaient fait des annonces : pour 75 % de ces projets, un site a été sécurisé – donc en peu de temps, finalement. Actuellement, sur les soixante-trois sites réputés favorables à l’accueil d’un centre de données, vingt-six ont été sécurisés pour des porteurs de projets suivis par la task force, dont cinq en fast track, qui bénéficient d’un protocole de raccordement accéléré par RTE.

Grâce à ces investissements massifs, la construction de la filière avance très vite, avec des retombées locales énormes, au-delà des acteurs et porteurs de projet des data centers. Il y a la construction, le refroidissement, les infrastructures électriques, mais aussi la taxe foncière pour la commune, des dizaines de millions d’euros de rétributions à venir pour les EPCI (établissements publics de coopération intercommunale) et des retombées pour l’État. En 2024, on comptait 48 000 emplois autour des data centers ; ce chiffre devrait atteindre 100 000 d’ici 2030.

Sur les 109 milliards d’euros d’investissements privés annoncés lors du Sommet, 90 sont directement fléchés vers la construction de centres de données. Vous connaissez un certain nombre de ces grands projets, qui verront le jour dans les Hauts-de-France et en région parisienne, portés par exemple par MGX – avec des financements à hauteur de 50 milliards d’euros –, Data4-Brookfield, Fluidstack, Amazon, Evroc, Prologis, Iliad. Il y a donc des investisseurs français, européens et extra-européens.

Nous avons besoin de ces investissements massifs pour créer une filière. Nous espérons que ces data centers nous apporteront davantage d’autonomie en matière de puissance de calcul, de sauvegarde et de stockage des données sur notre sol. Il y va de notre souveraineté numérique – ou du moins de la protection de nos données –, car ce n’est pas parce qu’on investit dans un data center qu’on a accès aux données et aux infrastructures. Il faut bien distinguer le statut d’investisseur de celui d’opérateur.

Notre stratégie est claire : nous souhaitons accueillir en France des centres de données pour répondre à nos besoins croissants en termes de puissance de calcul et pour sauvegarder nos données sur notre sol – donc être souverains.

Mme Cyrielle Chatelain, rapporteure. Dans le cadre de notre mission de contrôle, nous cherchons aussi à déterminer si le déploiement de ces investissements permet d’atteindre l’objectif de souveraineté. Vous l’avez vous-même souligné : si un data center en France est opéré par un acteur étranger, c’est lui qui bénéficiera de la puissance de calcul. Dans le cas d’AWS, pour prendre un exemple connu de tous, le centre de données est situé en France mais la puissance de calcul bénéficie aux Américains, donc la valeur ajoutée repart aux États-Unis. D’où notre demande de précisions s’agissant des porteurs de projets que vous avez évoqués. C’est une question de transparence.

Je suis également intéressée par les éventuelles évaluations et analyses en votre possession s’agissant des retombées pour les collectivités locales. Vous avez parlé de dizaines de milliers d’euros : je viens d’un territoire où a été construit un data center à la suite du Sommet pour l’action sur l’IA, et les retours des collectivités sont diamétralement opposés au vôtre. À ce stade, l’acteur concerné prend ses décisions seul, et les retombées du projet sur le territoire sont très limitées – si toutefois il y en a. Je serais très heureuse d’apporter de bonnes nouvelles aux collectivités concernées.

Et vous ne m’avez pas répondu s’agissant de Palantir. J’imagine qu’en tant que ministre déléguée au numérique et à l’intelligence artificielle, vous avez un avis. Nous avons parlé de construction de filière, de soutien aux acteurs français ; en l’occurrence, il existe une solution française, utilisée par les Allemands mais pas par les Français. Au-delà de la question des libertés publiques, il faut se demander pourquoi on construit une filière et pourquoi on travaille à une solution alternative depuis plusieurs mois, voire plusieurs années, alors qu’il en existe déjà une et qu’elle n’a pas été choisie lors du renouvellement du contrat avec la DGSI. Certes, la contractualisation initiale avec Palantir remonte à 2016, mais le renouvellement est intervenu il y a quelques mois seulement. J’imagine qu’à ce moment-là, ChapsVision était mature. Nous avons du mal à comprendre le décalage entre l’intention et l’action.

M. le président Philippe Latombe. J’ai bien noté que vous nous adresseriez une note concernant les chiffres relatifs aux projets – nous relancerons également les services du premier ministre pour avoir une vision exhaustive. N’hésitez pas à nous faire parvenir également les études relatives aux retombées pour les collectivités.

Mme Anne Le Hénanff, ministre déléguée. Je peux d’ores et déjà vous lister les cinq sites en fast track, qui bénéficieront d’un raccordement RTE en trois ou quatre ans contre dix habituellement, et accueilleront des projets d’une capacité supérieure à 700 mégawatts. Tout d’abord, il y a Escaudain, dans le Nord, en phase de due diligence – audit d’acquisition – avec Data4.

Dans les procédures, nous insistons beaucoup auprès des opérateurs de data centers sur la nécessité absolue de discuter avec les collectivités territoriales, qui y sont très attachées ; et ils le font. Je suis en contact avec France Datacenter, avec des opérateurs. Il est clair que ne pas tenir compte de la collectivité est le meilleur moyen de faire capoter un projet. C’est déjà arrivé par le passé. Désormais, les opérateurs font très attention à impliquer les élus locaux, ce qui, en outre, facilite l’acceptabilité du projet localement.

Le deuxième projet en fast track est celui du Bosquel, dans la Somme, pour lequel l’AMI (appel à manifestation d’intérêt) est en cours. Il y a également le projet du Grand port maritime de Dunkerque, où la procédure de sélection est également en cours, et celui de Fouju, en Seine-et-Marne – un campus IA porté par un consortium composé de MGX, BPIFrance, Mistral AI et Nvidia, qui regroupera onze data centers et un centre de formation. Enfin, il y a le projet de Montereau, toujours en Seine-et-Marne, porté par Iliad.

Je vous ferai parvenir la liste des autres sites.

Quant à Palantir, je n’ai pas à commenter les décisions des Allemands. La situation prouve une chose : lorsque nous passons un marché public, nous le respectons jusqu’au bout. Et mon ministère n’intervient pas dans les choix des autres ministères.

Mme Cyrielle Chatelain, rapporteure. Dans votre propos liminaire, vous avez évoqué les dangers démocratiques. J’entends votre réponse, mais au-delà de l’importance des données, il y a la question du renseignement. On sait que tout modèle présente des biais, qu’il a une vision du monde. Arthur Mensch nous l’a dit : il y a une écriture politique du code. Dès lors, peut-on se satisfaire, d’un point de vue démocratique, que nos services de renseignement utilisent un outil conçu par des acteurs qui publient des manifestes affirmant leur adversité aux valeurs françaises et européennes ?

Mme Anne Le Hénanff, ministre déléguée. À une question posée ainsi, la réponse ne peut être que non.

Mme Cyrielle Chatelain, rapporteure. Vous ne partagez pas le diagnostic sur Palantir ?

Mme Anne Le Hénanff, ministre déléguée. Ce que je dis, c’est que le gouvernement s’engage pour la souveraineté numérique – voilà ce qu’il faut retenir de cette audition. David Amiel a longuement développé les différentes démarches entreprises dans son ministère ; le mien affiche clairement son soutien aux acteurs français et encourage très fortement à choisir des acteurs français et européens. Je ne peux pas vous dire autre chose.

Ne connaissant pas spécifiquement le dossier Palantir, je ne peux pas le commenter, et je ne suis pas ici pour donner un avis personnel. Il existe un marché public, il faudrait interroger le ministère de l’intérieur.

M. le président Philippe Latombe. Je vous remercie d’être venus. Nous attendons les documents que vous avez proposé de nous faire parvenir.

* *