En France, on n’a pas de cloud, mais on a des idées
Comme le slogan de 1974 "En France on n'a pas de pétrole mais on a des idées" ou attendre que la dépendance numérique devienne dangereuse, commander un rapport de 453 pages, puis annoncer que nous allons bâtir une filière d’excellence.
en France, on n’a pas de cloud, mais on a des idées Et surtout beaucoup de licences américaines, ce qui revient presque au même tant qu’on ne regarde ni la facture, ni les conditions générales d’utilisation.
Microsoft pour les postes de travail, Oracle pour les bases de données, VMware pour les serveurs, AWS, Azure ou Google pour le cloud, Visa et Mastercard pour payer, puis quelques modèles américains pour ajouter de l’intelligence artificielle par-dessus. La France n’a peut-être pas de pétrole, mais elle possède une remarquable capacité à confier les clés de son infrastructure numérique à des entreprises placées sous l’autorité d’un autre État.
Le rapport n° 3054 de l’Assemblée nationale, consacré aux « dépendances structurelles et vulnérabilités systémiques dans le secteur du numérique », vient de consacrer 453 pages à cette légère contrariété. Présenté par la rapporteure Cyrielle Chatelain et présidé par Philippe Latombe, il s’appuie sur six mois de travaux, 45 auditions et 112 personnes entendues. Un travail sérieux et particulièrement documenté qui confirme, chiffres à l’appui, ce que les informaticiens, les défenseurs du logiciel libre et quelques parlementaires répètent depuis une vingtaine d’années dans une ambiance générale de salle d’attente.
Un rapport important, mais pas une cartographie complète
Le document se concentre principalement sur les logiciels, le cloud, les données, les grandes plateformes, l’intelligence artificielle et les centres de données. Il étudie plus particulièrement les dépendances au modèle numérique américain.
Il ne traite pas en profondeur des cyberattaques, des ingérences informationnelles, des câbles sous-marins ou des semi-conducteurs. Ces sujets auraient ajouté quelques centaines de pages et probablement nécessité une commission d’enquête sur la capacité des commissions d’enquête à terminer leurs rapports.
Cette limitation est clairement exposée par les auteurs. Le rapport ne prétend donc pas dresser l’inventaire complet de toutes nos faiblesses numériques. Il montre déjà que, sur le seul périmètre étudié, la dépendance n’est pas un simple problème économique. Elle touche à la continuité des services publics, à la confidentialité des données, à la capacité de décision politique et, finalement, à l’exercice même de la souveraineté.
Microsoft, Oracle et VMware : les colocataires devenus propriétaires
Le premier constat est sans grande surprise : les administrations françaises utilisent massivement des technologies américaines pour faire fonctionner leurs systèmes d’information (ah bon ?).
Les applications métiers sont encore majoritairement développées par des fournisseurs français. Sur les 466 applications recensées par la commission, environ deux tiers sont des logiciels spécifiques construits pour les besoins des administrations. Le problème se situe surtout en dessous, dans les fondations techniques : systèmes d’exploitation, annuaires, bases de données, virtualisation, bureautique, messagerie et outils collaboratifs.
À l’exception notable de la gendarmerie nationale, toutes les administrations interrogées utilisent largement les produits Microsoft. Oracle reste profondément implanté dans les bases de données, VMware dans la virtualisation, IBM dans certains systèmes historiques et Red Hat dans plusieurs infrastructures (oui bon, OK, ça c'est Open Source, mais quand même). Ces produits ne sont pas seulement installés sur quelques ordinateurs/serveurs. Ils sont entremêlés avec les applications, les procédures, les formats de documents, les outils de sécurité, les compétences internes et les contrats de support.
Autrement dit, retirer Microsoft ou Oracle d’un ministère ne consiste pas à cliquer sur « Désinstaller ». Ce serait trop simple, donc parfaitement incompatible avec l’informatique administrative. Il faut souvent réécrire des applications, former les agents (aïe), reconstruire les interfaces, migrer les données et maintenir en parallèle deux environnements pendant plusieurs années.
Cette difficulté porte un nom : le verrouillage fournisseur, ou vendor lock-in. Plus une organisation reste longtemps dans un écosystème propriétaire, plus son départ devient coûteux. Le fournisseur peut alors augmenter ses tarifs, imposer de nouvelles versions ou regrouper plusieurs services dans un abonnement, puisque le client a autant de liberté de mouvement qu’un réfrigérateur encastré dans une cuisine sur mesure.
1,5 milliard d’euros par an pour louer notre dépendance
Le rapport tente de chiffrer les achats de logiciels extra-européens réalisés par les administrations publiques. Les données disponibles sont incomplètes et proviennent de périmètres différents. Les auteurs le reconnaissent et utilisent donc des extrapolations.
Sur le périmètre des administrations d’État étudiées, 202 millions d’euros sur 244 millions dépensés auprès des principaux fournisseurs en 2025 bénéficiaient à des entreprises américaines. Une autre estimation gouvernementale aboutit à 268 millions d’euros de dépenses extra-européennes sur un total de 361 millions.
En élargissant le calcul aux collectivités, établissements publics et établissements de santé à partir des achats de l’UGAP (Union des groupements d’achats publics), le rapport évalue les dépenses annuelles auprès des fournisseurs américains à environ 1,5 milliard d’euros. Sur cette somme, environ un milliard d’euros correspondrait à des logiciels pour lesquels des solutions libres ou ouvertes ont été identifiées : LibreOffice, Linux, PostgreSQL, Proxmox, OpenStack, Kubernetes ou d’autres technologies équivalentes. Il ne s’agit pas d’un milliard récupérable instantanément, car les migrations ont elles-mêmes un coût. Mais l’ordre de grandeur mérite mieux qu’un haussement d’épaules accompagné de la phrase « les utilisateurs sont habitués à Office ».
Le rapport relève également la hausse rapide des dépenses. Entre 2023 et 2025, les achats auprès de Microsoft auraient progressé de 27 %, ceux de VMware de 37 % sur le périmètre ministériel étudié, tandis que les données de l’UGAP font apparaître une augmentation de 113 % pour VMware. Le CEA évoque une hausse d’environ 20 % lors du renouvellement de son contrat Microsoft. Un établissement hospitalier aurait même reçu, après le rachat de VMware par Broadcom, une proposition tarifaire augmentée de 800 % à besoins constants.
À ce niveau-là, ce n’est plus une hausse de prix. C’est un exercice pédagogique destiné à expliquer au client qu’il n’est pas réellement propriétaire de son système d’information.
La gendarmerie prouve que l’alternative existe
Le rapport ne se contente pas d’aligner les catastrophes annoncées. Il présente aussi un cas concret de sortie progressive des logiciels propriétaires : celui de la gendarmerie nationale.
Depuis le début des années 2000, elle a généralisé Linux et LibreOffice, remplacé Outlook et Exchange par des solutions libres, déployé une plateforme de partage reposant sur Nextcloud et développé en interne une grande partie de son environnement technique. Microsoft Office équipe moins de 2 % de ses postes de travail, principalement pour des raisons de compatibilité avec certains partenaires.
La plateforme de partage basée sur Nextcloud est utilisée par 106 000 personnels de la police et de la gendarmerie. Même les smartphones professionnels reposent sur une version sécurisée d’Android dont l’environnement est maîtrisé par l’administration.
L’Agence du numérique des forces de sécurité intérieure estime les dépenses évitées depuis 2004 à 534 millions d’euros. Cette estimation doit être comparée aux coûts de développement, d’exploitation et de compétences internes. Elle montre néanmoins que la migration n’est ni une légende racontée par trois barbus dans un salon Linux, ni une expérience réservée à une association disposant de quatre ordinateurs récupérés.
Le principal enseignement est moins technique qu’organisationnel : la gendarmerie a conservé des équipes internes capables de comprendre, modifier, sécuriser et exploiter ses outils. La souveraineté ne s’achète pas sous forme d’abonnement. Elle nécessite des ingénieurs, des administrateurs, du temps et une stratégie suivie pendant plusieurs années. Le détail désagréable est qu’il faut donc recruter et conserver des compétences, au lieu de tout externaliser puis de s’étonner que le prestataire soit devenu indispensable.
Le cloud souverain ne consiste pas à installer Azure en France
Le rapport distingue utilement trois questions souvent mélangées : l’emplacement physique des serveurs, la nationalité de l’opérateur et le droit auquel cet opérateur est soumis.
Des données hébergées dans un centre de données situé en France ne sont pas nécessairement protégées contre une demande étrangère. Une entreprise américaine reste soumise aux lois américaines, notamment au Cloud Act et au Foreign Intelligence Surveillance Act, y compris lorsque ses infrastructures ou ses filiales se trouvent en Europe.
Le référentiel français SecNumCloud tente de réduire ces risques par des exigences techniques, juridiques et capitalistiques. Il impose notamment que l’opérateur soit établi dans l’Union européenne, qu’aucune entité extra-européenne ne dispose seule de plus de 24 % du capital et qu’aucun sous-traitant étranger ne puisse accéder techniquement aux données.
L’État n’est pas entièrement assoupi. L’hébergement interne reste majoritaire dans les administrations les plus sensibles. Les ministères de l’Intérieur et des Finances disposent de leurs propres infrastructures, tandis que la doctrine « Cloud au centre » a réorienté une partie de la commande vers des acteurs européens. En 2025, 99 % des achats de cloud des administrations centrales auraient été dirigés vers des fournisseurs européens, essentiellement français. Sur le marché plus large de l’UGAP, cette proportion tombe toutefois à 70 %.
Les incohérences demeurent nombreuses. Plusieurs ministères utilisent Office 365 avec ses services cloud. France Travail concentrait en 2025 83 % de ses dépenses cloud sur ServiceNow, AWS et Microsoft Azure. Près de 98 % des dépenses cloud de la Caisse nationale des allocations familiales concernaient des opérateurs américains. Certaines applications manipulant des données personnelles ou sensibles sont encore hébergées chez Microsoft, Oracle, Salesforce, AWS ou Google.
Il existe donc une doctrine, des certifications, des circulaires et même quelques lois. Il reste maintenant à accomplir l’étape expérimentale consistant à les appliquer systématiquement.
Le « bouton rouge » américain n’est plus une simple plaisanterie
Le risque le plus spectaculaire étudié par le rapport n’est pas l’espionnage, mais la coupure des services.
Une entreprise américaine peut être contrainte par son gouvernement de suspendre ses prestations à une personne, une organisation ou un pays. Le rapport documente le cas du juge français Nicolas Guillou, membre de la Cour pénale internationale et soumis à des sanctions américaines.
Ses réservations effectuées sur certaines plateformes ont été annulées, plusieurs services numériques lui sont devenus inaccessibles et il ne peut plus obtenir de carte bancaire utilisant les réseaux Visa ou Mastercard. Une autre magistrate sanctionnée a vu ses comptes Apple, iCloud, Amazon et PayPal bloqués. Le juge résume sa situation d’une phrase : « Ma vie personnelle est devenue un laboratoire de la perte de souveraineté. »
Ce cas individuel montre ce que permet la combinaison d’une décision politique américaine et de la domination mondiale de quelques prestataires privés. Il n’est même pas nécessaire de fermer Internet à tout un pays. Couper les services d’un magistrat, d’un parlementaire, d’un fonctionnaire ou d’un dirigeant peut suffire à exercer une pression.
Le rapport étudie aussi l’hypothèse d’un kill switch généralisé. Une décision américaine pourrait théoriquement interrompre la vente de logiciels, le support technique, les services cloud ou les mises à jour destinées à des organisations européennes. Le directeur général de l’ANSSI estime qu’aucune solution ne permettrait actuellement de supporter durablement une coupure générale des technologies américaines ou chinoises.
Les grandes entreprises concernées assurent qu’une telle décision serait économiquement suicidaire. C’est probablement vrai. Mais une entreprise soumise à une injonction fédérale ne décide pas uniquement en fonction de son chiffre d’affaires. Les banques européennes appliquent déjà des sanctions américaines à des transactions réalisées en euros. Rien ne garantit donc qu’un fournisseur de cloud pourrait tranquillement répondre à Washington : « Merci pour votre décret présidentiel, mais notre contrat prévoit un préavis de douze mois. »
Même les offres européennes utilisant une technologie américaine resteraient vulnérables à l’interruption des mises à jour. Un cloud moderne reçoit en permanence des correctifs de sécurité. Scaleway indique effectuer environ 72 mises à jour quotidiennes. Faire tourner pendant un an une infrastructure privée de correctifs relèverait moins de la souveraineté que d’une expérience sociale menée avec des pirates informatiques.
Les données personnelles, cette matière première que nous produisons gratuitement
Le rapport revient longuement sur l’économie de la captation des données. Les grandes plateformes accumulent des informations sur les comportements, déplacements, relations, centres d’intérêt et habitudes de consommation afin de profiler les utilisateurs et de vendre de la publicité ciblée.
Autour d’elles gravite toute une industrie de courtiers en données, les data brokers, qui collectent, agrègent et revendent des fichiers dont les personnes concernées ignorent généralement l’existence. Le modèle fonctionne admirablement : nous fournissons les données, les plateformes vendent les profils et nous recevons en contrepartie une vidéo verticale sélectionnée par un algorithme pour nous empêcher d’aller dormir.
Le RGPD a permis d’imposer des obligations et de prononcer des sanctions importantes. Son application reste toutefois très inégale. Le mécanisme du « guichet unique » confie souvent le contrôle des grandes plateformes à l’autorité du pays où elles ont installé leur siège européen. Comme beaucoup ont choisi l’Irlande, l’autorité irlandaise de protection des données joue un rôle central, que le rapport juge particulièrement bloquant.
La commission s’inquiète également d’un projet européen de règlement « omnibus numérique » qui modifierait plusieurs dispositions du RGPD et faciliterait l’utilisation de données personnelles pour l’intelligence artificielle. Les auteurs estiment que ce texte introduirait de nouvelles exceptions et affaiblirait les droits d’accès, d’opposition et d’effacement.
À Bruxelles, le logiciel libre a une communauté ; les GAFAM ont 210 lobbyistes La différence de moyens est mesurable.
En 2025, les dix plus grandes entreprises technologiques auraient dépensé 49 millions d’euros en lobbying auprès des institutions européennes, dont 35 millions pour les seuls GAFAM. Elles disposaient de 210 lobbyistes déclarés, dont 85 accrédités au Parlement européen.
Cette même année, Amazon aurait rencontré la Commission européenne à 70 reprises, Microsoft à 57 reprises, Google à 53 reprises, Apple à 44 reprises et Meta à 41 reprises. Avec l’association DigitalEurope, cela représente plus d’un rendez-vous par jour ouvré.
Le logiciel libre, de son côté, dispose surtout de dépôts Git, de listes de diffusion et de développeurs qui ont parfois aussi un emploi. L’équilibre des forces est donc remarquable, un peu comme une négociation entre une armée de juristes et quelqu’un qui vient bénévolement maintenir une bibliothèque utilisée par la moitié d’Internet.
Le rapport relève en outre de fortes similitudes entre certaines modifications proposées dans le règlement omnibus et des demandes transmises auparavant par Google, Microsoft ou leurs représentants. Il indique qu’aucune véritable étude d’impact n’a été menée sur les modifications envisagées du RGPD. La simplification européenne possède décidément cette capacité fascinante à simplifier surtout la vie de ceux qui disposent déjà de plusieurs centaines d’avocats.
L’intelligence artificielle : refaire les mêmes erreurs, mais beaucoup plus vite
L’IA ouvre un nouveau front de dépendance !
Les administrations utilisent déjà Mistral, les outils interministériels Albert et l’Assistant IA, mais aussi Copilot, Claude, Gemini et GPT. Plusieurs ministères développent leurs propres plateformes sécurisées. D’autres expérimentent des services américains, parce qu’ils sont immédiatement disponibles, performants et déjà intégrés aux logiciels en place.
Une enquête réalisée auprès de 1 867 agents publics indique que 89 % utilisaient déjà l’intelligence artificielle dans leur travail. Parmi eux, 55 % reconnaissaient utiliser informellement des outils conversationnels extérieurs. Cette « IA fantôme » expose les administrations à la transmission incontrôlée de documents, de données personnelles ou d’informations confidentielles. Un agent copie un dossier dans un assistant en ligne pour gagner dix minutes, et quelque part un responsable de la sécurité vient de perdre trois ans d’espérance de vie.
Dans la population française, le rapport indique que 48 % des personnes de plus de douze ans utilisaient déjà des outils d’IA générative. ChatGPT représentait 79 % des utilisateurs d’IA, soit environ 22 millions de personnes, contre quatre millions pour Le Chat de Mistral.
Le problème n’est pas seulement de savoir qui fournit le modèle. Les acteurs dominants contrôlent déjà les infrastructures cloud, les puces, les données, les systèmes d’exploitation, les navigateurs et les suites bureautiques. Ils peuvent intégrer directement leurs assistants dans les outils utilisés quotidiennement, puis rendre cette intégration progressivement indispensable.
L’IA risque ainsi de renforcer toutes les dépendances existantes : davantage de cloud, davantage de données confiées à des tiers, davantage de puissance de calcul et davantage de contrats propriétaires. Nous n’avons pas encore terminé de sortir d’Office 365 que Copilot propose déjà de s’installer dans chaque document. L’industrie appelle cela l’innovation. Un serrurier parlerait plutôt de changement de cylindre pendant que le propriétaire cherche encore ses clés.
Des centres de données français, pour des intérêts parfois très étrangers
Le gouvernement présente régulièrement l’installation de centres de données en France comme un moyen de renforcer notre souveraineté numérique. Le rapport nuance fortement cette affirmation.
La France héberge environ 352 centres de données, dont 70 % en Île-de-France. Les demandes de raccordement de nouveaux projets au réseau de transport représentent près de 15 gigawatts, soit environ 24 % de la puissance installée du parc nucléaire français. Sur ces 15 GW, 7,7 GW ont été réservés durant la seule année 2025.
La nationalité du développeur ne garantit pas celle du futur utilisateur. Sur les capacités réservées par les hyperscalers et les exploitants spécialisés, les acteurs américains représentent déjà davantage de puissance que les acteurs français. Certains centres installés en France réalisent l’essentiel de leur activité avec des clients non européens.
Les retombées locales sont également limitées. Le rapport estime qu’un centre de données de 100 MW crée environ trente emplois directs permanents. La construction génère temporairement de l’activité, mais les machines, processeurs et équipements les plus coûteux sont souvent importés. Nous fournissons donc le terrain, le raccordement électrique et parfois des facilités administratives afin que des entreprises étrangères puissent alimenter leurs propres plateformes. C’est une forme très élaborée d’hospitalité industrielle.
Le réseau électrique national pourrait absorber une partie de cette consommation, mais des congestions locales sont déjà possibles. Les centres de données entrent alors en concurrence avec l’électrification de l’industrie, les transports ou d’autres projets de décarbonation. Le rapport insiste également sur la consommation d’eau, les groupes électrogènes de secours et la nécessité de garantir réellement l’origine renouvelable de l’électricité, heure par heure et non à travers de simples certificats annuels.
Le logiciel libre existe, fonctionne et représente déjà une industrie
Contrairement au discours selon lequel aucune solution européenne crédible n’existerait, la France dispose d’une filière open source importante.
En 2022, le marché français du logiciel libre et des services associés représentait environ 5,9 milliards d’euros, 63 800 emplois équivalents temps plein et 11 % du marché national des logiciels et services numériques. La France représentait environ 22 % du marché européen de l’open source, devant le Royaume-Uni et l’Allemagne.
Une étude commandée par la Commission européenne estimait la valeur économique de l’open source en Europe entre 65 et 95 milliards d’euros. Selon cette étude, une hausse de 10 % des contributions au logiciel libre pourrait générer entre 0,4 % et 0,6 % de PIB européen supplémentaire et favoriser la création d’environ 600 jeunes entreprises par an. Ces chiffres reposent sur des modèles économiques et ne doivent pas être pris pour un ticket de loto garanti. Ils montrent néanmoins que le libre n’est pas uniquement un choix défensif ou militant. C’est aussi une politique industrielle possible.
Le logiciel libre n’est pas gratuit à produire ni à maintenir. Il faut financer les développeurs, les audits, la documentation, le support et les infrastructures. La différence est que l’investissement sert à développer une compétence et un patrimoine technologique partageable, au lieu de financer exclusivement un droit temporaire d’utilisation soumis aux décisions d’un éditeur.
Ce que propose le rapport
La rapporteure formule 18 recommandations immédiatement applicables et 29 propositions destinées à modifier plus profondément le modèle numérique français et européen. Le document glisse d’ailleurs une « proposition n° 30 » à la place de la septième. Même la numérotation a tenté une sortie non maîtrisée du référentiel propriétaire.
Parmi les mesures les plus marquantes :
- rendre l’open source obligatoire dans les marchés publics de l’État, des entreprises publiques et des concessionnaires de services publics d’ici au 1er janvier 2030 ;
- fixer un objectif « zéro Microsoft dans les écoles » et enseigner l’utilisation des logiciels libres ;
- créer une fondation et un fonds français consacrés au financement des communs numériques ;
- permettre aux agents publics de consacrer une journée par an à un commun numérique ;
- instaurer une préférence européenne dans les achats publics ;
- imposer des clauses de réversibilité, d’interopérabilité et de dépôt du code source ;
- créer un dispositif d’accompagnement open source pour les PME ;
- prononcer un moratoire sur les centres de données ne répondant pas à un objectif de souveraineté ;
- activer les instruments européens de blocage et de lutte contre la coercition en cas de sanctions extraterritoriales ;
- créer une banque publique capable de fonctionner indépendamment du marché américain ;
- créer un ministère du Numérique de plein exercice et une délégation parlementaire permanente.
La souveraineté ne signifie pas tout fabriquer nous-mêmes
L’objectif n’est pas de construire un Internet national fermé, de bannir tous les logiciels américains ou de réécrire chaque ligne de code en France. Aucun pays européen ne peut produire seul toutes les puces, tous les systèmes, toutes les applications et toutes les infrastructures nécessaires.
La souveraineté consiste à conserver une capacité de choix et d’action. Pouvoir changer de fournisseur. Récupérer ses données. Continuer à travailler si un service disparaît. Maintenir soi-même une infrastructure. Comprendre le code utilisé. Refuser une hausse tarifaire absurde. Ne pas dépendre d’une décision politique étrangère pour envoyer un courriel, ouvrir un dossier médical ou accepter un paiement.
Ce rapport ne révèle donc pas un complot secret. Il décrit une dépendance que nous avons méthodiquement construite par commodité, manque de compétences internes, achats mal orientés, absence de stratégie industrielle et fascination pour les solutions immédiatement disponibles.
Les États-Unis ont développé leurs géants numériques grâce à un immense marché intérieur, à la commande publique, à l’investissement et à une politique industrielle cohérente. Pendant ce temps, l’Europe a surtout développé des règlements pour encadrer les produits des autres. C’était intellectuellement élégant. C’est simplement moins pratique lorsqu’un dirigeant américain décide que le commerce international doit fonctionner comme une partie de Monopoly dont il possède déjà toutes les rues.
En France, nous n’avons pas de pétrole. Nous avons effectivement des idées. Nous avons aussi des entreprises, des développeurs, des logiciels libres, des centres de recherche et des administrations qui ont déjà démontré qu’une autre voie était possible.
Il reste à prendre ces idées au sérieux avant que quelqu’un, de l’autre côté de l’Atlantique, ne découvre l’interrupteur (déjà qu'ils ont le mot de passe admin ...).
Source : Assemblée Nationale
Commentaires (0)
Connectez-vous pour commenter.