On a longtemps traité la souveraineté numérique comme un truc de juristes anxieux, de DSI à casque lourd. Des gens qui voient des complots dans chaque data center. Puis Microsoft France est passée sous serment devant une commission d’enquête du Sénat. Et là, plus personne n’a ri.
La scène s’est jouée à l’EPITA, lors d’une table ronde organisée par le XVDSI et Libralis. Alain Issarni, président de Libralis et ancien DSI de la DGFiP puis de la CNAM, a ouvert la soirée avec une vidéo. On y voit le rapporteur Dany Wattebled interroger Anton Carniaux, alors directeur des affaires publiques de Microsoft France. La question est simple : peut-il garantir que les données des Français ne seront jamais transmises aux autorités américaines sans accord de la France ? Réponse, sous serment : « Non, je ne peux pas le garantir, mais cela ne s’est encore jamais produit. »
Le marketing se tait, le droit parle. Le Cloud Act et la section 702 du FISA s’appliquent très bien à des données stockées en Europe, tant que la chaîne de contrôle reste américaine. La localisation seule ne suffit plus. C’est ce constat qui a transformé la souveraineté numérique en sujet d’architecture, pas en sujet de tribune.
La souveraineté numérique n'est pas une incantation, c'est une clause.
Tomasz Blanc, chef du service des systèmes d’information de la DGFiP, résume l’ambiance d’avant : « On a été vus comme des paranoïaques. » Sauf qu’à la DGFiP, secret fiscal oblige, la question a tranché depuis longtemps l’usage des GAFAM. Le reste du secteur public commence à faire pareil. Pas par idéologie, mais parce que la loi SREN et son décret d’avril 2026 imposent désormais une protection réelle contre les accès d’autorités étrangères non autorisées.
L’exemple le plus parlant vient de la CNSA. Sur un marché de 50 millions d’euros, Macaire Lawin, son DSI, a inséré des clauses de conformité. Elles imposent de ne jamais transmettre de données hors Union européenne sans autorisation. Résultat : sur six candidats, quatre ont signé spontanément. Comme le dit Alain Issarni, « on n’exclut pas les entreprises américaines, on exclut celles qui ne s’engagent pas ». La souveraineté numérique cesse d’être un discours de tribune. Elle devient une ligne dans un cahier des charges.
Ce que le droit permet déjà d'écrire (et que personne n'écrit).
Le grand mensonge par omission de la commande publique française, c’est de répéter qu’on ne peut rien exiger. Faux. L’article L. 2112-2 du Code de la commande publique permet d’inscrire des conditions d’exécution liées à l’objet du marché. Son voisin, l’article R. 2152-7, autorise des critères sur la sécurité des approvisionnements ou l’interopérabilité. Un acheteur public ne peut pas écrire « je refuse les fournisseurs américains ». Il peut en revanche exiger une chaîne de sous-traitance auditée, une réversibilité documentée, l’absence de coupure sous l’effet d’une sanction extraterritoriale. Ce n’est pas du protectionnisme déguisé. C’est simplement bien acheter.
Audran Le Baron, directeur du numérique pour l’Éducation nationale, va plus loin. Pour lui, la vraie dépendance n’est pas technique, elle est dans les usages. Sortir de Microsoft, ce n’est pas remplacer Word par LibreOffice. C’est se désintoxiquer du réflexe du document Word envoyé en pièce jointe. À la DGFiP, LibreOffice tourne depuis dix ans chez 95 000 agents. La preuve que l’habitude, contrairement à la légende, peut changer.
Le kill switch n'est plus un fantasme de roman d'anticipation.
Nouamane Cherkaoui, DGA de BPCE Solutions Informatiques, pose la phrase qui devrait finir sur tous les murs de comex : « Le numérique, c’est comme l’eau ou l’électricité. Quand on n’en a plus, on ne fait plus rien. » Il refuse l’image du gros bouton rouge. Il préfère parler de plusieurs boutons, dispersés dans la messagerie, le cloud, le paiement, les sous-traitants. Et il assume une position simple, loin du réflexe anti-américain : « Je ne suis pas anti-Microsoft, je suis contre l’absence de choix. »
Cette absence de choix, la souveraineté numérique européenne tente justement d’y répondre, à plus grande échelle. Le règlement européen sur le cloud et l’IA en préparation prévoit quatre niveaux d’assurance. Du simple hébergement en Union européenne jusqu’au contrôle capitalistique complet par des acteurs européens. De quoi enfin sortir du débat stérile entre « souverain » et « pas souverain », et raisonner en niveau de risque proportionné.
La souveraineté numérique, une discipline, pas un totem.
La souveraineté numérique ne se décrète pas depuis un plateau télé. Elle se prouve dans les arbitrages budgétaires et dans les clauses qu’on ose écrire. Y compris dans la gouvernance qu’on met en place autour des systèmes IA, qui manipulent déjà ces mêmes données sensibles. Alain Issarni résume tout en une phrase, qui vaut mieux qu’un livre blanc : « La confiance, ça ne se décrète pas, ça se signe. »
Les paranoïaques avaient donc raison. Reste à savoir qui, parmi les acheteurs, les DSI et les juristes, aura le courage d’arrêter de les traiter comme tels.
