Souveraineté numérique : de quoi parle-t-on vraiment ?

En bref

• Le label « souverain » est devenu si large qu'il ne garantit plus rien : des clouds américains et chinois sont classés « souverains ».
• Trois risques comptent vraiment : extraterritorialité des données, hausses tarifaires et kill switch.
• Mieux vaut viser la résilience numérique (réduire ses dépendances) que la souveraineté absolue.
• Pas de Goliath européen, mais des champions à assembler : OVHcloud, Scaleway, Cloud Temple, NumSpot.
• L'État doit développer avec la filière, pas à sa place : 5 % de commande fléchée valent 10 % de croissance.

« C'est quoi, être souverain ? » La question, posée par la journaliste Delphine Sabattier, ouvrait la première table ronde de la Semaine de la souveraineté organisée par Jamespot. Autour de la table, Alain Issarni (Libralis, ancien DSI de la DGFiP et de la CNAM, ancien CEO de NumSpot), Patrick Laurens-Frings (DSI de la Caisse des Dépôts), Nicolas Duffour (Cloud Temple) et Michel Paulin (directeur général d'OVHcloud). Une heure plus tard, une certitude : le mot est devenu si élastique qu'il faut d'abord dire ce qu'il n'est pas.

Un mot dénaturé

Alain Issarni a donné le ton avec deux exemples. Une étude Forrester parue au printemps classait les meilleurs « clouds souverains » du marché, et plaçait en tête Google, Amazon, Microsoft et Oracle, suivis de Tencent. Quatre américains et un chinois présentés comme la référence du cloud souverain. Côté public, un choix d'IA annoncé comme « stratégique et souverain » pour l'ensemble de la sphère État reposait sur une entreprise hébergée chez AWS et, au moment de la décision, détenue par un fonds américain. Quand le label s'applique à tout, il ne garantit plus rien.

Difficile, dès lors, de définir la souveraineté par l'affirmative. Ce qui la contredit parle mieux. Au niveau de l'État, 83 % des commandes IT européennes, cloud et logiciels confondus, partent vers des acteurs américains, soit environ 264 milliards d'euros par an, d'après l'étude Asterès commandée par le Cigref en avril 2025. On peine à appeler ça de la souveraineté.

Trois risques qui changent la donne

Côté entreprise, la question se pose autrement, et Alain Issarni a identifié trois sujets qui gênent vraiment. Le premier tient à la confidentialité des données, car les lois à portée extraterritoriale comme le Cloud Act, le FISA ou l'executive order 12333 font qu'une donnée confiée à ces acteurs n'est jamais vraiment protégée, et le constat vaut pour les acteurs chinois autant qu'américains. Le deuxième tient aux pratiques tarifaires d'un fournisseur qui se sait incontournable, un sujet ancien pour les DSI mais toujours là. Le troisième est nouveau, et c'est celui qui change la donne : en 2025, un magistrat de la Cour pénale internationale s'est retrouvé coupé de l'écosystème numérique américain, et l'épisode Fable 5 / Mythos de juin dernier a montré qu'un service pouvait être suspendu pour tout le monde sauf pour les Américains. Les deux premiers risques n'avaient pas fait bouger grand-chose en vingt ans ; ce kill switch, peut-être.

Résilience plutôt que souveraineté

Patrick Laurens-Frings a recadré le débat du point de vue de la Caisse des Dépôts. Pour une institution, le bon mot n'est pas « souveraineté », qui relève de l'État, mais résilience numérique. On ne vise pas une pureté théorique, on mesure et on réduit ses dépendances, qu'elles soient géostratégiques, économiques ou d'architecture. C'est l'objet de l'Indice de Résilience Numérique (IRN), un outil pensé pour parler au Comex et pas seulement au DSI ou au directeur des risques.

Un chiffre vaut démonstration. La Caisse des Dépôts fonctionne avec moins de 50 % de logiciels non européens, quand le marché est à 83 %, et personne ne dira que l'institution n'est pas efficace. La filière le répète : un autre équilibre est possible, à condition d'arbitrer entre résilience et performance.

Pas de Goliath, une armée de Samson

Nicolas Duffour a resitué ce que demandent les entreprises : des solutions multicloud interopérables à l'échelle européenne pour bâtir leur transformation sur l'IA. Le constat partagé, c'est qu'il n'existe pas d'hyperscaler européen, et qu'il n'y en aura pas à court terme. « Pas de Goliath, plusieurs Samson à mettre en groupe. » Des champions, pourtant, il y en a : OVHcloud, Scaleway, Cloud Temple, NumSpot en France, Stackit en Allemagne, Aruba en Italie.

Le problème n'est pas l'offre, c'est l'assemblage. Mettez OVH, Cloud Temple, Scaleway et NumSpot dans la même salle en espérant qu'ils s'accordent spontanément, ça ne marchera pas. Il faut des acteurs qui prennent le bâton de pèlerin pour animer et coordonner, et pas seulement entre hébergeurs, puisque la data, les orchestrateurs d'agents et l'infrastructure sont aussi concernés. Et vite, car le temps joue contre l'Europe pendant que les américains et les chinois avancent plus vite. La stratégie européenne Apply AI va dans ce sens, en faisant s'exprimer dix secteurs économiques pour mettre les acteurs tech en dynamique.

L'open source, bonne voie sans être magique

Interrogé sur l'open source comme « voie royale », Alain Issarni a nuancé. L'atout est réel, car l'open source protège largement du kill switch, puisque vous détenez le produit et pouvez continuer à l'utiliser même sans évolution, et il réduit l'exposition aux hausses tarifaires. Mais le risque éditeur n'est pas qu'américain. Il en a fait l'expérience à la DGFiP : réduire de 60 % l'usage de l'outil de data mining SAS lui a coûté 5 % de plus sur la facture. Et le grand éditeur allemand SAP a posé le même genre de problèmes. L'open source coche plusieurs cases, à condition de faire des choix judicieux.

Le rôle de l'État : développer avec, pas à la place de

La discussion a fini sur l'État, entre consensus et critique. Le consensus veut que l'État finance l'innovation et la R&D, puis achète, plutôt que de refaire en interne ce qui existe déjà. C'est la logique du pacte numérique et IA signé entre l'écosystème (comités stratégiques de filière, Numeum, Exatrust) et les ministères. La critique, c'est que des centaines de millions ont servi à développer des outils déjà disponibles dans la filière, avec un seul gagnant sur le collaboratif, Microsoft.

Michel Paulin a mis en avant le levier le plus cité, une équation simple : 5 % de fléchage de la commande publique et privée des grands groupes vers la filière française, c'est 10 % de croissance pour cette filière. Passer de 83 à 78 % de dépendance n'est pas un bouleversement, mais l'impact est énorme. À côté, l'accès au capital, quand les concurrents lèvent des montants sans commune mesure, et la formation scientifique dès le plus jeune âge, avec un effort vers les femmes.

Deux manques ont été pointés. Le courage politique d'abord, puisqu'il a fallu une crise complète et quatre à cinq ans pour faire passer le Health Data Hub de Microsoft à un acteur français, quand on visait un an. La stratégie ensuite, car un commissariat à la souveraineté numérique était envisageable dès 2016, et l'Observatoire lancé en avril 2025 n'a, à ce stade, rien produit de visible.

La demande, elle, s'organise. Patrick Laurens-Frings l'a illustré avec la démarche européenne « On recommence » menée au sein du Cigref, qui a réuni onze coalitions dès son lancement, avec un premier pilote où douze grands comptes se sont engagés à commander auprès de deux PME, une française et une allemande, pour disposer d'une alternative d'ici fin 2026 et migrer en 2028. Treize sociétés du CAC 40 se sont déjà lancées dans l'IA. La bascule est amorcée, reste à la transformer en commandes.

À lire aussi

Cet article couvre la première des trois tables rondes de la plénière. Pour la vue d'ensemble, lisez notre synthèse de la Semaine de la souveraineté Jamespot. Les deux autres volets : Autonomie technologique : comment passer à l'action et UGAP et commande publique : les coulisses de l'achat souverain.