Souveraineté numérique : penser la chaîne, pas le champion

Chaque législature, ou peu s'en faut, a sa souveraineté numérique : son plan, son sommet, son label, son communiqué. Toutes ont en commun de promettre un champion, un pays, une licence, et de découvrir quelques années plus tard que la réalité est plus longue, plus maillée et plus tenace que le discours.

Cet article plaide pour une autre manière de penser le sujet. Ni champion français ou européen à qui l'on confierait, une fois pour toutes, le soin de notre indépendance ; ni repli sur le « tout local » ; ni foi absolue dans le « tout open source ». Mais une chaîne de dépendances, de codépendances et d'interdépendances, qu'il faut cartographier avant de prétendre la briser.

Pour prendre de la hauteur, je m'appuie sur un texte qui ne parle pas de numérique. Son auteur, David Manise, est ce que l'on nomme un « survivologue » : il étudie et écrit sur la résilience des sociétés, et sa signature est sans doute inconnue de la plupart des DSI à part les fan de rando par -20°C en mode sac à dos. C'est précisément l'intérêt. Le prix du fusil (juillet 2026) traite d'interdépendance et de souveraineté à travers l'histoire, du comptoir à fourrures au Japon de Meiji, sans jamais parler de serveurs. Je ne l'invoque pas comme une caution, ce n'est pas un expert du numérique, mais comme un éclairage méthodologique : les enjeux de souveraineté ne sont pas l'apanage de l'informatique, et lever la tête de sa propre discipline permet souvent un éclairage salvateur.

Le plan tient en quatre temps :

• 3 chimères à éviter
• Penser une chaîne de transmission plutôt qu'un état
• 5 épreuves pour tout échange asymétrique
• 1 méthode

1. Trois chimères qui ont la vie dure

La chimère du champion

Le « cloud souverain » a déjà eu lieu. Né du projet Andromède, il a donné naissance en 2012 à deux sociétés, Cloudwatt et Numergy (que ceux qui s'en souviennent lèvent la main !) , qui ont représenté environ 450 millions d'euros d'investissements dont 150 millions de financement public. Cloudwatt a été débranché le 1er février 2020. Conçu sous Nicolas Sarkozy, lancé sous François Hollande, éteint sous Emmanuel Macron : on ne reprochera pas à la souveraineté française un manque de continuité dans l'inconstance.

Aujourd'hui, la formule s'appelle « cloud de confiance ». Elle est plus fine. La qualification SecNumCloud de l'ANSSI protège juridiquement contre les lois extraterritoriales, et le montage (une entreprise de droit français adossée à la technologie d'un géant américain) a permis à S3NS, coentreprise de Thales et de Google, d'être qualifiée le 17 décembre 2025. La polémique n'a pas tardé : le directeur général de l'ANSSI, Vincent Strubel, a lui-même rappelé ce que cette qualification garantit et ce qu'elle ne couvre pas, notamment en matière de dépendances technologiques extra-européennes, et qualifié ces offres d'« hybrides ».

Que l'on me comprenne bien : ces offres valent mieux que rien, et il serait absurde de briser des initiatives qui réduisent l'exposition juridique des organisations sensibles. Simplement, être moins dépendant, ou l'être sur moins de couches, ne veut pas dire être indépendant. Il faut le savoir, l'écrire et le piloter. un risque connu et documenté vaut largement mieux qu'un idéal national mal connu et pas à niveau.

Cette démarche doit d'abord devenir une cartographie. Dans cette exemple, le maillon juridique est solide, le maillon technologique est américain, et le maillon des compétences reste à documenter. Un champion n'est qu'un maillon costumé en chaîne.

La chimère du tout-local

Prenons la plus européenne des ambitions : un modèle de langage « souverain ». et nos amis de Mistral AI... (et qui viennent de signer un partenariat avec Microsoft) Il s'entraîne sur des processeurs graphiques dont le premier fournisseur est américain, gravés à Taïwan, au moyen de machines néerlandaises, dans des centres de calcul alimentés par une énergie dont la géographie ne doit rien à nos vœux. Aucun État, pas même le plus puissant, ne maîtrise seul cette chaîne. Le tout-local n'est pas une stratégie, c'est une nostalgie, (sur laquelle on peut d'ailleurs faire campagne dans tous les partis), mais c'est tout sauf une stratégie pensée de souveraineté. Le tout local ne s'entend que si la stack technologique entière est locale et même dans ce cas, il faut que les ressources premières soient locales, leurs extractions soient locales et la viabilité économiques des maillons soient également plus solides que la solidité juridique d'un maillon contractuel hébergé à l'étranger.

La chimère du tout-libre

Le logiciel libre est un mode de production et une licence, pas un certificat de souveraineté. Un code que l'on peut lire mais que personne chez soi ne sait maintenir n'est pas souverain : il est décoratif. Il donne bonne conscience (ce qui dans certains cas, peut aboutir à une situation pîre) et le libre a ses propres fragilités : la dépendance à un mainteneur épuisé (la porte dérobée découverte en 2024 dans XZ Utils l'a rappelé avec brutalité), les changements de licence en cours de route (HashiCorp en 2023, Redis en 2024), l'hébergement du code sur des plateformes que d'autres possèdent, le fork inopiné entre 2 fondateurs passionnés qui ne parviennent pas çà se mettre d'accord sur le modèle économique (ex : GLPI / ITSM-NG). Le libre reste un excellent levier (réversibilité, auditabilité, pluralité), mais un levier n'est pas une chaîne.

2. Une chaîne, pas un état

On parle de souveraineté comme d'un état : on l'aurait, ou on ne l'aurait pas. C'est plutôt une position dans un réseau. Trois mots la décrivent :

• La dépendance est unilatérale : je ne peux pas me passer de vous, la réciproque n'est pas vraie.
• La codépendance est un confort partagé : le prestataire vit de votre incapacité à partir, vous vivez de sa capacité à tout faire. Personne n'a décidé ce piège, chacun y trouve son compte, et c'est ce qui le rend solide. Le monde du logiciel l'appelle enfermement. Une variation dans l'environnement peut redéfinir ce partenariat, parce les conditions d'équilibre tiennent plus du concours de circonstance que de la stratégie pilotée. Le jour où l'un des 2 parties trouvent mieux, le partenariat s'effondre.
• L'interdépendance est réciproque et assumée : chacun détient un maillon dont l'autre a besoin.

Les politistes Henry Farrell et Abraham Newman ont montré, dans un article de 2019 devenu classique (« Weaponized Interdependence »), que les réseaux économiques mondiaux sont asymétriques : quelques nœuds concentrent le pouvoir, et l'État qui a juridiction sur ces nœuds peut voir ce qui circule (l'effet « panoptique ») ou interdire l'accès aux autres (l'effet « goulet d'étranglement »). La souveraineté, dans cette lecture, se joue moins dans l'indépendance que dans la place que l'on occupe : être un maillon dont les autres ne peuvent se passer. L'Europe n'est pas sans atouts à cet égard : le seul fabricant au monde de machines de lithographie par ultraviolet extrême, sans lesquelles il n'y a pas de puces de pointe, est européen (ASML).

Concrètement, la chaîne d'un service numérique se lit en sept couches :

• l'énergie et les réseaux ;
• le matériel et les composants ;
• les infrastructures et le cloud ;
• les systèmes et les logiciels ;
• les données ;
• les compétences (les vôtres) ;
• le droit et la juridiction qui s'appliquent à chacune des couches précédentes.

Pour chaque couche, trois questions :

• Qui tient le robinet ?
• En combien de temps et à quel coût puis-je changer ?
• Que se passe-t-il si l'autre dit non demain matin ?

3. Cinq épreuves pour tout échange asymétrique

Manise raconte un village qui achète des fusils. Le fusil ne fonctionne qu'avec de la poudre, des balles et des réparations que le village ne sait pas produire : la souveraineté sort du village le jour où le fusil y entre. Chaque échange, pris isolément, est librement consenti ; c'est l'ensemble qui est un piège. Il oppose à cette histoire celle du Japon de l'ère Meiji, qui importe massivement la technologie occidentale mais garde la main sur l'interface, fait venir des experts étrangers puis les remplace par des Japonais : il paie pour apprendre, non pour consommer. Le mérite de ce texte est de proposer une grammaire (dépendance fabriquée, interface contrôlée, capacité à métaboliser, diversification des contreparties, refus crédible) qui s'applique aussi bien à un royaume qu'à une direction des systèmes d'information. Voici comment je la traduis en cinq épreuves.

Épreuve n° 1 : La réversibilité. Puis-je sortir, à quel coût, en combien de temps ? Exemple : depuis son rachat fin 2023, Broadcom a supprimé les licences perpétuelles de VMware au profit d'abonnements en bouquets, avec des hausses rapportées de plusieurs centaines de pour cent, parfois davantage. Ceux qui avaient bâti leur infrastructure sur ce socle ont découvert le prix de la sortie au moment de renégocier.

Épreuve n° 2 : L'apprentissage. Cet échange m'apprend-il à faire, ou seulement à consommer ? Une DSI qui externalise tout, y compris la compréhension de ce qu'elle achète, ne fait pas des économies : elle se désarme.

Épreuve n° 3 : La maîtrise de l'interface et des termes. Qui décide des conditions, des mises à jour, de l'accès ? Trois illustrations récentes, à lire avec précision.

• En juin 2025, devant la commission d'enquête du Sénat sur la commande publique, le directeur des affaires publiques et juridiques de Microsoft France a été interrogé sur la possibilité de garantir, sous serment, que des données de citoyens français ne seraient jamais transmises aux autorités américaines sans l'accord de la France. Sa réponse : « Non, je ne peux pas le garantir ». Il a ajouté, à raison, que cela ne s'était encore jamais produit.
• En 2025 également, l'agence AP a rapporté que la messagerie du procureur de la Cour pénale internationale, Karim Khan, avait été coupée après les sanctions américaines qui le visaient. Microsoft affirme n'avoir ni interrompu ni suspendu ses services à la Cour, et reconnaît avoir déconnecté l'agent sanctionné. La nuance est de taille pour le juriste ; elle l'est moins pour l'utilisateur dont la boîte se ferme.
• Du 12 juin au 1er juillet 2026, Claude Fable 5, modèle d'Anthropic, a été suspendu dans le monde entier. Le département du Commerce américain avait ordonné de couper l'accès à tout ressortissant étranger ; faute de pouvoir vérifier la nationalité de chaque utilisateur en temps réel, l'entreprise a tout coupé. Les contrôles ont été levés le 30 juin. Dix-neuf jours pendant lesquels des organisations du monde entier ont découvert que la disponibilité d'un service dépend aussi d'une décision prise dans une capitale qui n'est pas la leur, pour des raisons de sécurité nationale dont l'entreprise disait ne pas avoir reçu le détail.

Épreuve n° 4 : La pluralité. Ai-je plus d'une porte ? Diversifier n'est pas dupliquer à grands frais : c'est s'assurer qu'aucun maillon critique n'a un seul fournisseur possible. Un partenaire unique n'est plus un partenaire, c'est un régime.

Épreuve n° 5 : Le refus. Suis-je capable de dire non, cette semaine, sur un cas réel ? Un plan de sortie que l'on n'a jamais répété n'est pas un plan : c'est de la littérature. L'exercice annuel de bascule, même partiel, même sur un service secondaire, est le seul test de souveraineté qui ne se laisse pas rédiger par un cabinet, y compris le mien.

4. Cartographier avant de proclamer

Pour une organisation, notamment publique, la méthode tient en cinq gestes :

1. Dresser la chaîne des services critiques sur les sept couches.
2. Qualifier chaque lien : dépendance subie, codépendance (enfermement) ou interdépendance
3. Mesurer le coût et le délai de sortie, puis les tester
4. Décider maillon par maillon : accepter, diversifier, internaliser ou basculer vers du libre, et consigner pourquoi
5. Inscrire ces décisions dans la commande publique : clauses de réversibilité, formats ouverts, exports de données, droit d'audit

Ce n'est pas glamour. Cela ne se signe pas devant un drapeau. C'est pourtant ce qui distingue une politique d'un slogan. Et la géographie de la dépendance n'a rien de neuf : en 1901 déjà, la carte des câbles télégraphiques sous-marins dessinait, autour d'une poignée de nœuds, le pouvoir de ceux qui en tenaient les extrémités.

Conclusion

Ni champion, ni autarcie, ni religion. La souveraineté numérique n'est pas l'absence de dépendance, nul n'y parvient, mais la capacité de choisir ses dépendances, de les connaître et de pouvoir dire non à temps. Le jour où un fournisseur changera ses conditions, vous ne pourrez compter ni sur son sens de l'amitié, ni sur le communiqué de votre ministre.

Reste à savoir si vous ferez l'exercice ou si vous préférerez, comme tant d'autres, attendre d'y être contraint. Goethe le disait de la liberté ; il en va de même de la souveraineté : nul n'est plus esclave que celui qui se croit souverain sans l'être.