La souveraineté numérique : quand la dépendance devient une faille de sécurité intérieure
Par Bruno Mahieux, adhérent du CRSI
Nos services de renseignement travaillent sur des infrastructures dont la maîtrise juridique échappe à l’État français. Ce n’est plus une question de politique industrielle : c’est une question de sécurité nationale.
Il est une habitude bien française que de confondre la forme et le fond, le label et la réalité. Appliquée au numérique, cette tendance produit des effets particulièrement dangereux. On souveraine-wash à tour de bras : des serveurs localisés en France, des contrats rédigés en droit français, des logos tricolores sur des interfaces dont l’architecture profonde reste soumise au bon vouloir, et au droit, d’États étrangers. Il est temps de nommer les choses.
La souveraineté numérique n’est pas un enjeu de politique industrielle ou de valorisation des startups nationales. C’est, au premier chef, une condition de l’exercice des fonctions régaliennes de l’État. Quand nos forces de l’ordre, nos services de renseignement, nos systèmes judiciaires fonctionnent sur des infrastructures dont la maîtrise leur échappe en partie, c’est la capacité même de l’État à protéger ses citoyens qui est compromise.
Le Cloud Act, ou la souveraineté sous condition
Le Cloud Act américain, adopté en 2018, autorise les autorités fédérales américaines à contraindre toute entreprise de droit américain à livrer des données hébergées par ses soins peu importe où ses serveurs sont physiquement implantés. Un fichier stocké à Roubaix sur une infrastructure Microsoft relève donc, en droit américain, de la juridiction de Washington. Sans que la France soit consultée. Sans que l’utilisateur en soit informé.
Ce n’est pas une clause obscure d’un texte technique. C’est la règle du jeu telle qu’elle s’applique aujourd’hui à une part significative des systèmes d’information des administrations françaises. En octobre 2025, la Cour des comptes a confirmé que certains ministères utilisent des solutions informatiques extra-européennes pour traiter des données sensibles. La commission d’enquête sénatoriale a qualifié le recours à Microsoft pour le Health Data Hub de faute politique.
Peut-on sérieusement prétendre à l’autorité de l’État sur son territoire quand les données qui permettent d’exercer cette autorité transitent par des tuyaux dont on ne détient pas les clés ?
La question n’est pas rhétorique. Elle appelle une réponse concrète, que les textes récents, la Stratégie nationale de cybersécurité 2026-2030, dévoilée en janvier par le gouvernement, commencent timidement à esquisser en plaçant enfin la sécurité numérique au rang de priorité stratégique pour la souveraineté et la sécurité nationale.
Une menace qui épouse les réseaux
La dépendance numérique ne serait qu’un inconvénient diplomatique si les menaces auxquelles nous faisons face étaient celles d’hier. Elles ne le sont plus. En 2026, la radicalisation terroriste est d’abord une radicalisation en ligne. Les plateformes numériques — dont les données d’usage sont hébergées hors de France et soumises à des législations étrangères — sont les vecteurs principaux par lesquels des individus, souvent très jeunes, basculent dans la violence.
La menace terroriste sur le territoire national est désormais principalement endogène. Les profils se radicalisent sans contact physique avec les organisations, par la seule exposition à la propagande diffusée sur les réseaux sociaux. L’intelligence artificielle générative permet aujourd’hui de recycler et personnaliser des contenus d’incitation à la violence à un coût marginal. Les plateformes, dont les serveurs et les algorithmes sont hors juridiction française, constituent ainsi la première salle de recrutement des groupuscules violents.
Face à cette réalité, nos services de renseignement intérieur se trouvent dans une position paradoxale : ils doivent surveiller des espaces numériques dont ils ne contrôlent ni les règles d’accès, ni les conditions de conservation des données, ni les décisions de modération. Chaque fois qu’une plateforme américaine supprime unilatéralement un compte ou efface un historique de contenus, c’est une enquête qui perd une piste, parfois définitivement.
L’autorité de l’État ne souffre pas d’externalisation
Le CRSI a toujours défendu une conviction centrale : sans autorité effective de l’État, il n’y a pas de sécurité durable pour les citoyens. Cette autorité suppose des moyens — juridiques, humains, matériels. Elle suppose aujourd’hui, inévitablement, des moyens numériques souverains.
Or le constat est accablant. Selon le Cigref, près de 80 % des dépenses européennes en logiciels et services cloud professionnels alimentent des entreprises américaines. Cette dépendance concerne aussi les administrations régaliennes : gestion des fichiers de sécurité, communications opérationnelles, traitement des données judiciaires. On a externalisé, par commodité et par défaut de politique industrielle cohérente, des fonctions que la raison d’État aurait dû sanctuariser.
La bonne nouvelle est que le tabou commence à se fissurer. Le gouvernement a publié en février 2026 une circulaire orientant les achats publics vers des solutions souveraines. L’ANSSI durcit progressivement le référentiel SecNumCloud pour le rendre imperméable aux lois d’extraterritorialité étrangères. La Commission européenne vient d’attribuer ce mois-ci un marché de 180 millions d’euros à quatre fournisseurs cloud européens pour couvrir les besoins de ses institutions.
Ce sont des pas dans la bonne direction. Mais ils demeurent des pas de bureaucrates là où il faudrait des décisions de soldats. La temporalité des appels d’offres n’est pas celle des menaces.
Ce que l’État doit s’interdire de déléguer
La véritable ligne de crête est celle-ci : toutes les dépendances numériques ne sont pas équivalentes. Qu’une collectivité locale utilise un logiciel de comptabilité américain est discutable ; que les fichiers du renseignement territorial soient hébergés sur des infrastructures soumises au droit américain est inacceptable. La gradation des risques doit guider une doctrine d’emploi claire, distinguant ce qui peut être externalisé de ce qui ne peut l’être sous aucun prétexte.
La souveraineté n’est pas un curseur que l’on déplace selon le cours de l’euro ou les urgences budgétaires. Elle est, ou elle n’est pas.
La France dispose de compétences réelles — à l’ANSSI, dans ses industries de défense, dans ses opérateurs de confiance. Le problème n’est pas d’ordre technique ; il est d’ordre politique. Il faut la volonté de protéger ce qui doit l’être, d’imposer aux administrations régaliennes des standards non négociables, et d’accepter que la souveraineté ait un coût — infiniment moindre, au demeurant, que celui d’une compromission.
La sécurité intérieure se joue désormais aussi dans les datacenters. Il est temps que ceux qui ont la charge de la garantir en prennent pleinement la mesure.
Sources : Stratégie nationale de cybersécurité 2026-2030 (SGDSN) · Rapport Cour des comptes oct. 2025 · Cigref · Rapport sénatorial sur les dépendances numériques (Cigref) · La dépendance technologique aux softwares & cloud services américains : une estimation des conséquences économiques en Europe (Asterès pour le Cigref/Numeum, avril 2025.) • Baromètre CESIN 2026
