Souveraineté numérique : au Sénat, on auditionne. Mais on agit quand ?
Le Sénat a fait ce qu'il sait faire : tenir une série d'auditions sur la souveraineté numérique. Experts, industriels, représentants de l'État.
Le Sénat a fait ce qu'il sait faire : tenir une série d'auditions sur la souveraineté numérique.
Encore une.
Experts, industriels, représentants de l'État. Beaucoup de constats lucides. Beaucoup de vœux pieux. Mais au final, toujours le même réflexe français : dire qu'on aurait dû faire mieux, sans jamais prendre les décisions qui changeraient vraiment les choses.
Il ne manque pas de rapports. Il manque de courage.
Depuis dix ans, on entend les mêmes phrases :
- « Il faut soutenir les acteurs européens. »
- « Il faut renforcer l'indépendance numérique. »
- « Il faut que l'administration donne l'exemple. »
Mais dans les faits, on continue de :
- Signer des contrats avec Microsoft pour l'Éducation nationale.
- Migrer les collectivités locales sur Google Workspace.
- Héberger nos données de santé sur des clouds non européens.
Tout le monde voit le problème. Personne ne tranche.
Que dit vraiment le rapport du Sénat de juillet 2025 ?
Le 9 juillet 2025, la commission d'enquête du Sénat sur les coûts et les modalités de la commande publique, présidée par le sénateur Simon Uzenat, a rendu ses conclusions après environ cent auditions menées en quatre mois. Le titre change, le refrain reste : le Sénat constate « une grande inertie de l'État » en matière de souveraineté numérique.
Un moment de l'enquête résume tout. Interrogé, le responsable des affaires juridiques de Microsoft France a reconnu ne pas pouvoir garantir que les données des citoyens français ne soient jamais transmises à des autorités étrangères sans l'accord de la France. Ce n'est pas une hypothèse d'école : c'est le fournisseur lui-même qui le dit, devant les sénateurs.
Le rapport pointe un cas devenu emblématique, le Health Data Hub, la plateforme des données de santé créée en 2019 et hébergée chez Microsoft. Les sénateurs parlent d'une « erreur caractérisée », un choix dicté par les délais et les coûts, pas par les besoins fonctionnels, une solution européenne ayant été jugée « cinq à huit mois » plus lente à déployer. Six ans plus tard, la migration attendue n'a toujours pas eu lieu, et la commission réclame un décret pour la rendre enfin effective.
Côté leviers, le Sénat propose un « Small Business Act » à la française, réservant au moins 30 % en valeur des marchés publics aux PME. Une idée juste. Une idée, aussi, qui traîne dans les rapports depuis plus de quinze ans.
Pourquoi la France reste-t-elle aussi dépendante ?
Cela fait dix ans que l'État stratégique est externalisé à marche forcée.
Les PME du secteur cloud et logiciel se font dévorer ou ignorent les appels d'offres trop orientés. Les décideurs publics achètent américain sans en assumer la portée. Et les rares dispositifs comme SecNumCloud, le visa de sécurité de l'ANSSI censé protéger les données sensibles contre les lois extraterritoriales, n'ont ni l'agilité ni les moyens de faire poids : la qualification protège l'infrastructure, pas les usages que l'on empile dessus, et elle reste marginale face à l'offre américaine.
On en est à regretter de ne pas avoir eu de « champion européen ». Mais qui l'a soutenu, ce champion ? Qui lui a donné accès aux grands contrats, aux références publiques, à l'accompagnement diplomatique ?
Quels choix clairs la souveraineté numérique exige-t-elle ?
La souveraineté n'a pas besoin de colloques. Elle a besoin de choix clairs. On peut parfaitement :
- Décider que toute donnée publique sensible sera hébergée en France ou en Europe, point.
- Allouer une partie des budgets IT à des acteurs locaux, même s'ils ne sont pas « leaders du marché ».
- Intégrer la sécurité et l'indépendance comme critères politiques, pas juste techniques.
Mais pour ça, il faut accepter de prendre position. De sortir du confort des équilibres industriels. De froisser certains partenaires.
Et c'est bien ce qu'on ne fait pas.
Il n'est plus temps de constater. Il est temps d'assumer.
Le prochain incident majeur ne viendra pas de l'absence d'IA ou de cloud souverain. Il viendra de notre incapacité à construire un modèle cohérent.
Le Sénat peut continuer à auditionner. Mais l'Histoire retiendra surtout ce qu'on a laissé filer.
Et pour l'instant, on laisse tout filer.
Sources
- Rapport de la commission d'enquête du Sénat sur la commande publique, constat d'inertie de l'État et cas du Health Data Hub : Acteurs Publics, 9 juillet 2025.
- Travaux du Sénat sur la souveraineté numérique : Sénat, comptes rendus de commission.
- Qualification SecNumCloud, visa de sécurité de l'ANSSI et doctrine « cloud au centre » : ANSSI, cyber.gouv.fr.
Questions fréquentes
Que dit le rapport du Sénat de juillet 2025 sur la souveraineté numérique ?
La commission d'enquête sur la commande publique, présidée par le sénateur Simon Uzenat, a rendu son rapport le 9 juillet 2025 après environ cent auditions menées en quatre mois. Elle constate « une grande inertie de l'État » et recommande notamment de réserver au moins 30 % en valeur des marchés publics aux PME.
Pourquoi le Health Data Hub pose-t-il un problème de souveraineté ?
Parce que cette plateforme des données de santé, créée en 2019, est hébergée chez Microsoft. Les sénateurs y voient une « erreur caractérisée », motivée par des enjeux de délai et de coût plutôt que par les besoins fonctionnels, et réclament un décret de migration vers une solution souveraine.
Les données françaises hébergées chez Microsoft sont-elles protégées des lois américaines ?
Devant le Sénat, le responsable des affaires juridiques de Microsoft France a reconnu ne pas pouvoir garantir que les données des citoyens français ne soient jamais transmises à des autorités étrangères sans l'accord de la France. La dépendance est donc aussi juridique que technique.
Qu'est-ce que la qualification SecNumCloud ?
C'est le visa de sécurité délivré par l'ANSSI aux offres de cloud de confiance. Il vise particulièrement à protéger les données sensibles contre les lois extraterritoriales, mais il ne garantit pas à lui seul la sécurité des services que le client déploie dessus.
Quelles décisions concrètes l'auteur propose-t-il ?
Imposer l'hébergement en France ou en Europe de toute donnée publique sensible, allouer une part des budgets IT à des acteurs locaux même non leaders du marché, et intégrer la sécurité et l'indépendance comme critères politiques, pas seulement techniques.
Quel est le principal obstacle à la souveraineté numérique française ?
Le manque de courage politique : trancher suppose d'assumer une position, de sortir du confort des équilibres industriels et d'accepter de froisser certains partenaires. Le manque n'est ni celui des rapports ni celui des idées.
L’auteur
Christophe MazzolaJ’écris sur la cybersécurité telle qu’elle se vit vraiment : gouvernance, facteur humain, et tout ce que les rapports d’audit n’osent pas dire au COMEX. Auteur de « Être en cybersécurité ».
Être en cybersécurité
Une feuille de route cyber en clair, pour tout le monde, pas seulement les experts.