Souveraineté numérique : ce qu'il faut retenir de la plénière Jamespot

En bref

• Pour une entreprise, le bon mot n'est pas souveraineté mais résilience numérique : mesurer et réduire ses dépendances.
• L'autonomie est illusoire sur le matériel, mais possible et quasi totale sur le logiciel.
• Trois risques imposent d'agir : extraterritorialité des données, hausses tarifaires et kill switch.
• La méthode qui marche : la politique des petits pas (1 à 2 % du SI) et l'exigence de réversibilité.
• Le levier public : 5 % de commande fléchée = 10 % de croissance pour la filière française.

Pendant longtemps, la souveraineté numérique est restée un mot de colloque. Un sujet qu'on trouvait important mais lointain, qu'on remettait à plus tard faute de contrainte réelle. Ce temps est fini. La plénière de la Semaine de la souveraineté organisée par Jamespot l'a montré, avec trois tables rondes qui réunissaient des DSI de grands comptes, des dirigeants du cloud et du logiciel, une centrale d'achat publique et un député, tous autour d'un même constat. On est passé du discours à l'action.

Trois chocs se sont additionnés en quelques mois. Le kill switch d'abord. L'été 2025 a prouvé qu'un fournisseur américain pouvait couper l'accès d'un utilisateur à tout un pan de l'écosystème numérique, du jour au lendemain. La pression tarifaire ensuite, avec des licences qui augmentent de 15 à 20 % par an et rognent les budgets IT, au détriment de la cyber, du matériel et de la formation. L'IA enfin, qui accélère les dépendances comme les opportunités.

Cet article reprend l'essentiel de ces trois heures : ce que veut dire être souverain, si l'autonomie technologique est atteignable, comment la filière européenne s'organise, par où commencer, et quel rôle l'État et la commande publique doivent jouer.

Qu'est-ce qu'être souverain, au juste ?

Le mot souveraineté est aujourd'hui tellement galvaudé qu'il ne veut plus dire grand-chose. (Nous y revenons en détail dans de quoi parle-t-on vraiment ?.) Une étude Forrester parue au printemps classait les meilleurs « clouds souverains » du marché : en tête, Google, Amazon, Microsoft et Oracle, puis l'acteur chinois Tencent. Côté politique, un choix d'IA présenté comme « stratégique et souverain » pour l'État reposait sur une entreprise hébergée chez AWS et détenue par un fonds américain. Quand le label s'applique à tout, il ne protège de rien.

Plutôt que de définir la souveraineté, les intervenants ont préféré dire ce qu'elle n'est pas. Au niveau de l'État, difficile d'en parler quand 83 % des commandes IT, cloud et logiciels confondus, partent vers des acteurs américains, soit environ 264 milliards d'euros par an, d'après l'étude Asterès commandée par le Cigref en avril 2025. Au niveau des entreprises, trois signaux d'alerte reviennent, tous incompatibles avec l'idée de souveraineté.

Le premier tient à la confidentialité des données. Les lois à portée extraterritoriale comme le Cloud Act, le FISA ou l'executive order 12333 font qu'une donnée confiée à ces acteurs n'est jamais vraiment à l'abri, et le risque vaut pour les acteurs chinois autant qu'américains. Le deuxième tient aux pratiques tarifaires : un fournisseur qui se sait incontournable impose des hausses répétées, un caillou permanent dans la chaussure du DSI. Le troisième est le plus récent, et c'est celui qui change la donne. En 2025, un magistrat de la Cour pénale internationale s'est retrouvé banni de l'écosystème numérique américain, et l'épisode Fable 5 / Mythos de juin dernier a montré qu'un service pouvait être coupé pour tout le monde, sauf pour les Américains. C'est le kill switch.

La Caisse des Dépôts a posé une nuance utile. Pour une entreprise ou une institution, le bon mot n'est peut-être pas « souveraineté », qui relève de l'État, mais résilience numérique. On ne cherche pas une pureté théorique, on mesure et on réduit ses dépendances, qu'elles soient géostratégiques, économiques ou techniques. C'est à ça que sert l'Indice de Résilience Numérique (IRN), conçu pour parler au Comex et pas seulement au DSI.

Peut-on vraiment être autonome technologiquement ?

A-t-on les moyens de se passer des technologies américaines ? Oui, à condition de distinguer les couches. (Pour aller plus loin : comment passer à l'action, étape par étape.)

Sur le matériel, l'indépendance est illusoire, et pas seulement pour l'Europe : tout le monde se tient par la barbichette, les Chinois compris, qui dépendent eux aussi des Américains. Cette couche restera inextricable, tout comme les câbles et les réseaux, où la France était leader mondial avant qu'Orange ne cède cette activité.

Sur le logiciel, l'autonomie est possible, et quasiment totale. C'est la couche qui crée le plus de valeur, encore davantage avec l'IA. Dans chaque catégorie, du CRM à la digital workplace, des bases de données à la facturation, on compte au moins cinq à dix acteurs français et une cinquantaine d'acteurs européens. Une forêt d'éditeurs pousse, et pas uniquement sur le plan technologique : en tant qu'écosystème, avec des distributeurs, des intégrateurs et des partenaires pour accompagner.

Un chiffre résume la situation. La Caisse des Dépôts, qui a déployé l'IRN en interne, fonctionne avec moins de 50 % de logiciels non européens, quand le marché est à 83 %. Passer de 83 à 50 % est donc faisable, à condition d'une vraie volonté politique et d'un arbitrage assumé entre résilience et performance. Sur les domaines récents, ceux de l'IA, il n'y a aucun retard, avec Mistral en tête et un tissu d'acteurs matures autour.

Pas de Goliath, mais une armée de Samson

L'Europe n'a pas d'hyperscaler à l'échelle des américains, et n'en aura pas à court terme. L'image qui est revenue dans les débats le dit bien : pas de Goliath européen, mais plusieurs Samson à mettre en mouvement ensemble.

Des champions, il y en a : OVHcloud, Scaleway, Cloud Temple et NumSpot en France, Stackit en Allemagne, Aruba en Italie. Le problème n'est pas l'offre, c'est la mise en synergie. Un constat lucide a été posé : mettez OVH, Cloud Temple, Scaleway et NumSpot dans la même salle en espérant qu'ils s'accordent spontanément, ça ne marchera pas. Il faut des acteurs qui prennent le bâton de pèlerin pour animer et coordonner cet assemblage, et pas seulement entre hébergeurs, puisqu'il faut aussi embarquer la data, les orchestrateurs d'agents et l'infrastructure.

Le vrai sujet, c'est le timing. Le temps joue contre l'Europe, les acteurs américains et chinois vont plus vite. Il faut accélérer la création de valeur en partant des besoins réels des secteurs économiques, comme le fait la stratégie européenne Apply AI, qui fait s'exprimer dix secteurs pour mettre les acteurs tech en dynamique. Les clients d'hier deviennent des partenaires : ils ne veulent plus seulement consommer, ils veulent construire leur transformation avec la filière.

Un point qui compte : cette voie européenne par juxtaposition de Samson se construit autour des communs numériques et de la réversibilité. L'assemblage n'a de sens que si l'on peut aussi en sortir, et on y revient plus bas.

La politique des petits pas

Quand un DSI cartographie ses dépendances, il ressent souvent un effet vertige. « Je porte des services essentiels, je n'ai pas droit à l'erreur, et si je touche à mon cœur métier, je prends un risque énorme. » Ce vertige tue l'ambition : à peine la bonne volonté apparaît qu'on se demande si le jeu en vaut la chandelle.

Le message des intégrateurs présents est simple, il ne faut pas raisonner en zéro ou un. Viser 0 % de dépendance d'un coup est irréaliste, et fixe un horizon si lointain qu'on ne voit pas comment l'atteindre. Mieux vaut commencer petit, sur un périmètre critique mais réduit, en sortant 1 ou 2 % du système d'information de sa dépendance. Ça paraît modeste, mais le bénéfice est réel. On fait monter des équipes en compétence sur une technologie alternative, en production, et on sort de la théorie. On se crée une expérience concrète qui rassure et se partage avec d'autres acteurs friands de retours terrain. Et surtout, on se dote d'un levier de négociation. Quand un éditeur augmente votre licence de 15 % par an et que vous n'avez rien essayé d'autre, vous vous couchez, vous n'avez pas le choix. Avec 2 % de votre SI déjà sur une alternative qui tourne, le discours change : « Si vous continuez, je passe à 5 %, puis 10, puis 15 % l'an prochain. » Ce n'est plus une menace en l'air.

Ce premier pas est vertueux sur le plan économique, sur les compétences, sur la vision et jusque dans l'organisation. On quitte un monde où quelques éditeurs portaient tout le SI pour des solutions plus morcelées, qui changent la façon de travailler. Et chaque étape se traite à petite échelle, sans tout miser d'un coup.

Des offres matures, et une réversibilité qui se prouve

L'objection classique selon laquelle les solutions souveraines ne seraient pas assez éprouvées ne tient plus. Le problème, ce n'est pas la maturité, c'est la méconnaissance, car le réflexe d'aller vers le leader du marché a longtemps masqué une offre pourtant dense. Des panoramas existent désormais, produits par le comité stratégique de filière ou par Exatrust avec le CESIN, qui recensent les offres disponibles.

La maturité se mesure en usages réels. Jamespot, 20 ans d'existence, sert plus de 1,4 million d'utilisateurs ; à la CNAM, 58 intranets tournent en parallèle sur 100 000 utilisateurs, gérés par une petite équipe centrale. Des clients publics comme la ville de Gentilly ou le GHT Bourgogne (4 000 agents) témoignent d'une bascule réussie, avec une raison qui revient, la maîtrise des coûts, calés sur l'indice Syntec plutôt que sur des hausses à deux chiffres. Le message de fond est le même : la souveraineté ne doit jamais servir d'excuse à un produit médiocre. On choisit une solution parce qu'elle est meilleure, pas seulement parce qu'elle est souveraine. C'est d'ailleurs tout l'objet de notre label souverain, qui distingue les éditeurs vraiment indépendants des offres qui en empruntent seulement le nom.

Le critère qui monte, c'est la réversibilité. Longtemps promise sur un slide sans jamais être démontrée, elle doit désormais se prouver, aussi bien techniquement qu'économiquement. Une architecture devrait intégrer d'emblée sa porte de sortie, savoir comment sortir avant même d'entrer. C'est l'inverse du vendor locking des GAFAM, dont Doctolib, qui peine à quitter AWS où il a démarré, reste l'exemple. L'idée avancée consiste à formaliser noir sur blanc, dans les appels d'offres, la part de la réponse consacrée à la sortie de technologie. L'avantage, c'est que ce n'est pas discriminatoire, puisqu'on demande la même chose à tout le monde, européen ou non.

L'open source est une des meilleures voies, sans être une voie magique. Son atout, c'est qu'il protège largement du kill switch, puisque vous détenez le produit et pouvez continuer à l'utiliser même sans évolution, et qu'il réduit l'exposition aux hausses tarifaires. Mais attention aux retournements, car le risque éditeur n'est pas qu'américain : SAS (data mining) a pu facturer +5 % pour une baisse d'usage de 60 %, et SAP a posé le même genre de problèmes. Des exemples concrets émergent, comme ces ESN qui quittent VMware pour XCP-ng (Vates) et financent directement le développement open source des briques manquantes.

Le rôle de l'État : développer avec, pas à la place de

Sur le rôle de l'État, un consensus et une critique. Le consensus veut que l'État ne développe pas à la place de la filière, mais avec elle : financer une partie de l'innovation et de la R&D, puis acheter. C'est la logique du pacte numérique et IA signé il y a quelques semaines entre l'écosystème (comités stratégiques de filière, Numeum, Exatrust) et les ministères, pour aligner les besoins de l'administration sur la production de l'écosystème et laisser le meilleur gagner. La critique, c'est que l'argent public a trop souvent servi à refaire en interne ce qui existait déjà, avec des centaines de millions dépensés pour des outils déjà disponibles et un seul gagnant sur le collaboratif, Microsoft.

L'autre levier tient en un calcul simple : 5 % de fléchage de la commande publique et privée des grands groupes vers la filière française, c'est 10 % de croissance pour cette filière. Passer de 83 à 78 % de dépendance n'est pas un bouleversement, c'est presque rien, mais l'impact pour l'écosystème est énorme. À côté, deux chantiers restent ouverts : l'accès au capital, quand les concurrents lèvent des montants sans commune mesure et qu'il faudrait des fonds de pension et une épargne fléchée vers le long terme, et la formation scientifique dès le plus jeune âge, avec un effort particulier vers les femmes.

Deux reproches plus durs ont été formulés. Le premier vise le manque de courage politique, les annonces peinant à se traduire en actes. L'exemple du Health Data Hub est parlant : il a fallu une crise complète et quatre à cinq ans pour faire passer la plateforme des données de santé de Microsoft à un acteur français, quand on pensait y arriver en un an. Le second vise l'absence de stratégie claire, puisqu'un commissariat à la souveraineté numérique était envisageable dès 2016 et que l'Observatoire de la souveraineté numérique lancé en avril 2025 n'a, à ce stade, rien produit de visible.

Un signal positif quand même, le sujet est devenu transversal. À l'Assemblée comme au Sénat, la souveraineté n'est plus l'affaire d'un camp, et l'on voit des amendements identiques venus de tout l'échiquier politique.

UGAP et commande publique : un marqueur, pas une fin

La commande publique est revenue à chaque table ronde. L'UGAP, première centrale d'achat public, en a détaillé les ressorts. (Détail dans notre volet dédié : UGAP et commande publique.) Une centrale d'achat passe des marchés et y donne accès aux administrations, qui achètent alors en dispense de procédure. L'UGAP a une particularité, elle exécute ses marchés : le client commande à l'UGAP, qui commande au fournisseur, le paie, puis refacture au client. Elle injecte ainsi environ 500 millions d'euros dans l'économie en payant les fournisseurs avant d'être elle-même payée par l'État.

Les chiffres montrent un mouvement réel. Sur le cloud, 68 % des ventes de l'an dernier allaient à des hébergeurs souverains, et 84 % depuis le début de l'année au 1er octobre, signe que la loi SREN et la doctrine SecNumCloud produisent leurs effets, très nettement côté État. Sur les logiciels, le marché multi-éditeurs compte 3 917 éditeurs, dont 2 924 français, 357 de l'Union européenne et 656 autres. Côté dynamique, on observe une baisse de 26 % des dépenses Microsoft, de 15 % sur Oracle, et une hausse de 13 % sur les autres acteurs, dont 11 % sur les alternatives à Microsoft. Ces chiffres sont à prendre avec prudence, car ils bougent beaucoup d'une année sur l'autre, les contrats pluriannuels créent des effets cycliques, et une partie de l'activité peut fuir vers des centrales moins surveillées.

Le contrat d'objectifs et de performance (COP) 2026-2028 place le soutien aux PME et à l'innovation, et la contribution à la souveraineté, parmi ses premiers objectifs. Il s'appuie sur trois leviers. L'identification d'abord, avec la cartographie des fournisseurs et un sourcing permanent. La promotion ensuite, via des filtres dédiés sur le site, qu'il s'agisse des alternatives à Microsoft, des solutions IA issues de l'appel à manifestation d'intérêt de la DINUM ou d'une entrée par les start-up. Le pilotage enfin, avec une remontée à la tutelle des opérations logicielles au-delà de 500 000 € et une suspension des commandes de plus de 2 M€ dans l'attente de la validation DINUM, désormais obligatoire.

Plusieurs limites ont été posées sans détour. Le référencement n'est pas la commande : près de 40 % des 3 000 solutions référencées ne font l'objet d'aucune commande, et être titulaire d'un marché UGAP ne dispense pas d'un effort commercial. Le sujet n'est plus l'accès à la commande publique, il est réglé, mais l'incitation des clients publics à y recourir. La commande publique ne fera pas non plus la masse, et va même baisser en volume ; elle sert surtout de marqueur et de vitrine, une référence publique française aidant une entreprise à attaquer les marchés étrangers. Un euro de chiffre d'affaires vaut d'ailleurs environ sept à huit euros de subvention, sans les coûts cachés administratifs de la subvention, d'où la logique de moins de subventions et de plus de commande. Enfin, la commande directe échappe à l'UGAP, puisque de grands ministères passent leurs gros marchés hors centrale, par habitude, par perte de compétence interne, et via des ESN qui fournissent du Microsoft parce qu'elles y excellent. Allotir ces marchés géants compliquerait la vie d'acheteurs biberonnés au droit, dont l'ennemi désigné reste le tribunal administratif, pas l'échec technologique. Et l'État doit enfin payer vite et correctement, car le délai de paiement en contrat direct asphyxie les TPE, PME et ETI en croissance.

Un point sur les éditeurs américains mérite d'être noté. L'UGAP, comme les autres, passe rarement commande directement aux éditeurs, car Microsoft, Oracle ou VMware répondent via des distributeurs. Ce système facilite l'inclusion bien plus que l'exclusion, et il ne permet pas, en l'état du droit, d'écarter un acteur pour optimisation fiscale, puisque le marché public reste un système documentaire fondé sur les certificats.

Le cadre européen : préférence, certification et lenteur

L'inflation réglementaire européenne, avec NIS2, DORA et bientôt le Cyber Resilience Act, pose une vraie question : ces textes aident-ils les acteurs européens ou favorisent-ils les Américains et les Chinois ? Deux textes récents penchent du bon côté.

Le CADA (Cloud and AI Development Act) inverse la logique habituelle, puisqu'au lieu d'imposer des cadres aux fournisseurs, il part de la demande. L'acheteur public détermine le niveau de sensibilité de ses données et achète exclusivement auprès d'acteurs qualifiés du niveau 1 à 4, le niveau 4 étant le plus haut degré de souveraineté. C'est aussi là que la Commission pose les prémices d'une préférence européenne, en basculant d'une Europe qui privilégie le consommateur, et donc les produits pas chers, vers une Europe qui privilégie l'emploi sur son sol. Le Cyber Security Act prévoit de son côté des schémas de certification européens harmonisés, c'est-à-dire à terme une seule certification au lieu de 27, et un moyen de se différencier des acteurs américains sur le volet souveraineté.

Reste la question des pays « couverts ». La proposition distingue les pays couverts par un accord, qu'il s'agisse des membres de l'accord OMC sur les marchés publics ou d'accords bilatéraux, comme les États-Unis, la Corée du Sud ou le Japon, et les pays non couverts, la Chine au premier chef. Pour les non couverts, le pouvoir adjudicateur peut exclure ; pour les couverts, c'est la Commission seule qui décide. Un débat traverse les États, entre le règlement, qui s'impose intégralement, et la directive, qui laisse une marge nationale, la France défendant la directive. Un autre débat de fond oppose ceux qui veulent laisser la main à la Commission, au risque qu'elle manque de courage, et ceux qui veulent garder une capacité d'action nationale. L'Europe dispose pourtant d'un levier qu'elle sous-utilise, sa puissance de marché, la plus large au monde.

Le principal reproche adressé à Bruxelles, c'est sa lenteur, puisque le CADA ne sera vraisemblablement pas actif avant 2030. D'où l'intérêt d'anticiper, comme le fait la France avec la loi SREN, dont les décrets d'application sont passés en 2026. L'UGAP la juge même extensible au-delà de l'État, car une donnée sensible reste sensible qu'elle soit dans un ministère, une collectivité ou un hôpital. Les associations comme Eurocloud ou Exatrust poussent pour que l'écosystème adopte dès maintenant les réflexes que ces textes imposeront.

Une fenêtre à ne pas manquer

Le message qui ressort de cette plénière, c'est celui d'un moment rare. Trois forces se conjuguent. Le kill switch et le découplage géopolitique, qui ont fait tomber l'illusion d'un partenaire fiable. La pression économique, avec des hausses de licences qui rendent le statu quo intenable. Et l'IA, qui rebat les cartes. Cette conjonction ouvre un espace qu'on ne reverra pas de sitôt.

Mais l'urgence ne suffit pas à déclencher l'action. Les industriels avanceront en protégeant leur modèle économique, donc prudemment. Pour déborder vraiment, il faut aussi jouer l'imaginaire, mobiliser des designers et des étudiants, une génération qui s'est construite avec l'IA et dont la créativité explose. Or ces étudiants sont encore massivement gavés d'outils américains, faute de licences et de terrains de jeu européens. La souveraineté n'est pas qu'un sujet industriel ou réglementaire, c'est aussi un sujet d'imaginaire, et ça se joue maintenant.

Pour agir, quelques repères. Raisonner résilience plutôt que pureté, en mesurant ses dépendances avec l'IRN et en visant une réduction progressive. Commencer petit, puisque 1 à 2 % du SI suffisent pour gagner des compétences, une expérience et un levier de négociation. Exiger la réversibilité, et en faire un critère formel et prouvé plutôt qu'une promesse de slide. Flécher la commande, en se rappelant que 5 % vers la filière valent 10 % de croissance, et qu'un référencement UGAP ne vaut pas une commande. Anticiper, enfin, le cadre européen qui arrive avec le CADA, le Cyber Security Act et la préférence européenne, la loi SREN permettant déjà de prendre de l'avance.

La bascule est amorcée. Treize sociétés du CAC 40 se sont lancées dans l'IA souveraine, la Caisse des Dépôts prépare un déploiement de bout en bout sur Mistral et NumSpot, et les premières coalitions de la demande s'organisent au sein du Cigref. Le plus dur reste à faire, transformer cette prise de conscience en commandes, en compétences et en habitudes. Mais pour la première fois, les conditions sont réunies.

Les intervenants

Les trois tables rondes ont été animées par la journaliste Delphine Sabattier.

Les enjeux : technologie, économie, autonomie — Michel Paulin (OVHcloud), Patrick Laurens-Frings (Caisse des Dépôts), Nicolas Duffour (Cloud Temple) et Alain Issarni (Libralis).

Les preuves techniques : infra, cloud, mail, sécurité — Alain Garnier (Jamespot), Servane Augier, Sébastien Tinetti (Cloudeo, groupe OCI) et Emeric Grangette.

Commande publique : l'État et les territoires — Philippe Latombe (député) et Edward Jossa (UGAP).