Afficher le résumé Masquer le résumé
La souveraineté numérique ? Un mirage français. Le rapport publié le 31 octobre par la Cour des comptes sonne comme un désaveu cinglant pour l’État. Vingt ans après les premières alertes, cinq ans après les promesses martelées à coups de discours sur l’indépendance stratégique, la France continue de livrer ses données aux géants américains du cloud. Et pas à la marge : près de 70 % des dépenses publiques en infrastructures numériques finissent chez Amazon, Microsoft ou Google. Trois firmes soumises aux lois extraterritoriales des États-Unis. Trois firmes que l’État français alimente avec la régularité d’un automate.
A LIRE AUSSI
Souveraineté industrielle : où en est la France ?
Un État incapable de faire ce qu’il dit
Le contraste est saisissant entre les mots et les actes. On parle de souveraineté, de maîtrise des données, de cybersécurité. Mais dans les faits, les services publics préfèrent le confort des solutions américaines à la rigueur des choix souverains. Non pas faute d’alternatives — certaines existent, même si elles sont imparfaites — mais faute de volonté réelle, de constance, d’une stratégie assumée.
La Direction interministérielle du numérique (Dinum), censée coordonner cette transformation, est pointée du doigt. À raison. Sa doctrine « Cloud au centre » ? Déjà vidée de sa substance. Son autorité sur les ministères ? Théorique. Chacun continue de signer ses contrats dans son coin, selon ses contraintes techniques ou budgétaires. Le numérique public fonctionne en silo, comme si le XXIe siècle n’était jamais arrivé.
A LIRE AUSSI
Exaion, la vente qui menace la souveraineté française
La grande illusion de la doctrine
La loi SREN, promulguée en 2024, a encore affaibli ce qu’il restait de doctrine. Désormais, seules certaines données « sensibles » doivent impérativement être hébergées sur des clouds dits « souverains ». Traduction : la majorité des données publiques peuvent transiter par les serveurs de Seattle ou de Mountain View sans que cela ne déclenche le moindre signal d’alerte.
Même les cas les plus emblématiques finissent dans l’angle mort. Le Health Data Hub, censé agréger les données de santé des Français ? Hébergé par Microsoft. L’Éducation nationale, censée être un bastion de l’indépendance numérique ? Partenaire fidèle de Microsoft 365. À force d’exceptions, la règle s’est évaporée.
Des investissements qui tournent à vide
Pendant ce temps, l’État injecte de l’argent dans des clouds internes, comme Nubo ou Pi, pour des résultats faméliques. 55 millions d’euros en neuf ans pour des plateformes sous-utilisées, peu performantes et peu attractives. Leur promesse : un cloud souverain, basé sur des logiciels libres, mieux sécurisé, hébergé en France. Leur réalité : des projets mal intégrés, techniquement à la traîne, et incapables d’atteindre une masse critique.
La Cour des comptes recommande leur convergence. On en est encore à poser les bases. Combien d’années avant de voir une plateforme publique crédible ? Et surtout, combien de contrats auront été signés avec les GAFAM entre-temps ?
Une certification qui ne suffit pas
On brandit la certification SecNumCloud comme étendard. C’est bien, mais c’est insuffisant. Car l’offre reste limitée, les délais de certification longs, et les administrations se plaignent du manque de solutions réellement utilisables. OVHcloud progresse, S3NS affiche des ambitions, mais les clients publics continuent de préférer la simplicité des géants américains. À croire que la souveraineté numérique est un luxe que l’État français n’a pas les moyens – ou l’envie – de se payer.
En avril, le gouvernement a relancé le programme PEPR Cloud, flanqué de 51 millions d’euros supplémentaires. L’Inria et le CEA sont à la manœuvre, un Observatoire de la souveraineté numérique est en gestation. Très bien. Mais ces mesures ressemblent plus à une réponse institutionnelle à la critique qu’à un vrai changement de cap. Et pendant ce temps, les flux de données continuent de filer à l’étranger, hors du champ juridique français.
L’Europe ? En mode veille
On attendait l’Europe comme levier. Elle reste un moteur en veille. Gaia-X, censé porter une alternative européenne, patine. Le Cloud Sovereignty Framework, annoncé en octobre, est un pas dans la bonne direction. Mais il ne fixe aucune règle contraignante. Comme souvent, Bruxelles préfère le cadre au contenu.
La Cour des comptes fixe l’échéance à 2026. D’ici là, l’État doit démontrer qu’il peut réellement protéger ses données. Qu’il sait coordonner, piloter, choisir. En clair : qu’il est capable d’être souverain dans un monde numérique qui ne l’attend pas.
