La souveraineté numérique : quand la dépendance devient une faille de sécurité intérieure

Par Bruno Mahieux, adhérent du CRSI

Nos services de renseignement travaillent sur des infrastructures dont la maîtrise juridique échappe à l’État français. Ce n’est plus une question de politique industrielle : c’est une question de sécurité nationale.

Il est une habitude bien française que de confondre la forme et le fond, le label et la réalité. Appliquée au numérique, cette tendance produit des effets particulièrement dangereux. On souveraine-wash à tour de bras : des serveurs localisés en France, des contrats rédigés en droit français, des logos tricolores sur des interfaces dont l’architecture profonde reste soumise au bon vouloir, et au droit, d’États étrangers. Il est temps de nommer les choses.

La souveraineté numérique n’est pas un enjeu de politique industrielle ou de valorisation des startups nationales. C’est, au premier chef, une condition de l’exercice des fonctions régaliennes de l’État. Quand nos forces de l’ordre, nos services de renseignement, nos systèmes judiciaires fonctionnent sur des infrastructures dont la maîtrise leur échappe en partie, c’est la capacité même de l’État à protéger ses citoyens qui est compromise.

Le Cloud Act, ou la souveraineté sous condition

Le Cloud Act américain, adopté en 2018, autorise les autorités fédérales américaines à contraindre toute entreprise de droit américain à livrer des données hébergées par ses soins peu importe où ses serveurs sont physiquement implantés. Un fichier stocké à Roubaix sur une infrastructure Microsoft relève donc, en droit américain, de la juridiction de Washington. Sans que la France soit consultée. Sans que l’utilisateur en soit informé.

Ce n’est pas une clause obscure d’un texte technique. C’est la règle du jeu telle qu’elle s’applique aujourd’hui à une part significative des systèmes d’information des administrations françaises. En octobre 2025, la Cour des comptes a confirmé que certains ministères utilisent des solutions informatiques extra-européennes pour traiter des données sensibles. La commission d’enquête sénatoriale a qualifié le recours à Microsoft pour le Health Data Hub de faute politique.

Peut-on sérieusement prétendre à l’autorité de l’État sur son territoire quand les données qui permettent d’exercer cette autorité transitent par des tuyaux dont on ne détient pas les clés ?

La question n’est pas rhétorique. Elle appelle une réponse concrète, que les textes récents, la Stratégie nationale de cybersécurité 2026-2030, dévoilée en janvier par le gouvernement, commencent timidement à esquisser en plaçant enfin la sécurité numérique au rang de priorité stratégique pour la souveraineté et la sécurité nationale.

Une menace qui épouse les réseaux

La dépendance numérique ne serait qu’un inconvénient diplomatique si les menaces auxquelles nous faisons face étaient celles d’hier. Elles ne le sont plus. En 2026, la radicalisation terroriste est d’abord une radicalisation en ligne. Les plateformes numériques — dont les données d’usage sont hébergées hors de France et soumises à des législations étrangères — sont les vecteurs principaux par lesquels des individus, souvent très jeunes, basculent dans la violence.

La menace terroriste sur le territoire national est désormais principalement endogène. Les profils se radicalisent sans contact physique avec les organisations, par la seule exposition à la propagande diffusée sur les réseaux sociaux. L’intelligence artificielle générative permet aujourd’hui de recycler et personnaliser des contenus d’incitation à la violence à un coût marginal. Les plateformes, dont les serveurs et les algorithmes sont hors juridiction française, constituent ainsi la première salle de recrutement des groupuscules violents.

Face à cette réalité, nos services de renseignement intérieur se trouvent dans une position paradoxale : ils doivent surveiller des espaces numériques dont ils ne contrôlent ni les règles d’accès, ni les conditions de conservation des données, ni les décisions de modération. Chaque fois qu’une plateforme américaine supprime unilatéralement un compte ou efface un historique de contenus, c’est une enquête qui perd une piste, parfois définitivement.

L’autorité de l’État ne souffre pas d’externalisation

Le CRSI a toujours défendu une conviction centrale : sans autorité effective de l’État, il n’y a pas de sécurité durable pour les citoyens. Cette autorité suppose des moyens — juridiques, humains, matériels. Elle suppose aujourd’hui, inévitablement, des moyens numériques souverains.

Or le constat est accablant. Selon le Cigref, près de 80 % des dépenses européennes en logiciels et services cloud professionnels alimentent des entreprises américaines. Cette dépendance concerne aussi les administrations régaliennes : gestion des fichiers de sécurité, communications opérationnelles, traitement des données judiciaires. On a externalisé, par commodité et par défaut de politique industrielle cohérente, des fonctions que la raison d’État aurait dû sanctuariser.

La bonne nouvelle est que le tabou commence à se fissurer. Le gouvernement a publié en février 2026 une circulaire orientant les achats publics vers des solutions souveraines. L’ANSSI durcit progressivement le référentiel SecNumCloud pour le rendre imperméable aux lois d’extraterritorialité étrangères. La Commission européenne vient d’attribuer ce mois-ci un marché de 180 millions d’euros à quatre fournisseurs cloud européens pour couvrir les besoins de ses institutions.

Ce sont des pas dans la bonne direction. Mais ils demeurent des pas de bureaucrates là où il faudrait des décisions de soldats. La temporalité des appels d’offres n’est pas celle des menaces.

Ce que l’État doit s’interdire de déléguer

La véritable ligne de crête est celle-ci : toutes les dépendances numériques ne sont pas équivalentes. Qu’une collectivité locale utilise un logiciel de comptabilité américain est discutable ; que les fichiers du renseignement territorial soient hébergés sur des infrastructures soumises au droit américain est inacceptable. La gradation des risques doit guider une doctrine d’emploi claire, distinguant ce qui peut être externalisé de ce qui ne peut l’être sous aucun prétexte.

La souveraineté n’est pas un curseur que l’on déplace selon le cours de l’euro ou les urgences budgétaires. Elle est, ou elle n’est pas.

La France dispose de compétences réelles — à l’ANSSI, dans ses industries de défense, dans ses opérateurs de confiance. Le problème n’est pas d’ordre technique ; il est d’ordre politique. Il faut la volonté de protéger ce qui doit l’être, d’imposer aux administrations régaliennes des standards non négociables, et d’accepter que la souveraineté ait un coût — infiniment moindre, au demeurant, que celui d’une compromission.

La sécurité intérieure se joue désormais aussi dans les datacenters. Il est temps que ceux qui ont la charge de la garantir en prennent pleinement la mesure.

Sources : Stratégie nationale de cybersécurité 2026-2030 (SGDSN) · Rapport Cour des comptes oct. 2025 · Cigref · Rapport sénatorial sur les dépendances numériques (Cigref) · La dépendance technologique aux softwares & cloud services américains : une estimation des conséquences économiques en Europe (Asterès pour le Cigref/Numeum, avril 2025.) • Baromètre CESIN 2026

Par Sandrine Molgatini, DPO et Consultante en protection des données

Alors que la France est particulièrement touchée par les menaces cyber, la France est en train de se doter d’une législation très structurante en matière de cybersécurité, en transposant la directive 2022/2555 du 14 décembre 2022 dite « NIS 2 » (« Network and Information System Security » en anglais, « Sécurité des Réseaux et des systèmes d’Information » en français).

De nombreuses entités concernées

Cette directive européenne remplace la directive « NIS 1 » pour sensiblement renforcer la cybersécurité en imposant de nouvelles obligations à des organisations de secteurs d’activités « hautement critiques » ou « critiques », établies dans l’Union européenne ou y fournissant des services.

Onze secteurs hautement critiques sont visés : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC interentreprises, administration publique, espace. Les secteurs critiques, eux, sont au nombre de sept : services postaux et d’expédition, gestion des déchets, produits chimiques, denrées alimentaires, industries, fournisseurs numériques, recherche.

Deux types d’entités publiques ou privées de ces secteurs sont régulées :

– Entité essentielle : entité d’un secteur hautement critique employant au moins 250 personnes et ayant un chiffre d’affaires annuel supérieur 50 millions d’euros ou un bilan annuel excédant les 43 millions d’euros ;

– Entité importante : entité qui n’est pas une entité essentielle et qui emploie au moins 50 personnes et a un chiffre d’affaires annuel ou un bilan annuel supérieur à 10 millions d’euros.

Cependant le projet de loi de transposition en droit français prévoit un cumul de seuils différent (une surtransposition ?), de nature à engendrer une augmentation du nombre d’entreprises concernées :

– Entité essentielle : entité d’un secteur d’activité hautement critique qui emploie au moins 250 personnes ou dont le chiffre d’affaires annuel excède 50 millions d’euros et dont le total du bilan annuel excède 43 millions d’euros ;

– Entité importante, lorsqu’elle n’est pas une entité essentielle : entité d’un secteur d’activité hautement critique ou critique et qui emploie au moins 50 personnes ou dont le chiffre d’affaires et le total du bilan annuel excèdent chacun 10 millions d’euros ;

Attention : la directive s’applique à certaines entités, quelle que soit leur taille : opérateurs de communications électroniques, prestataires de services de confiance, registre des noms de domaine de premier niveau, fournisseurs de services DNS, fournisseurs de services d’enregistrement de noms de domaine, certaines administrations publiques, entités identifiées comme essentielles ou critiques. De plus, certaines entités sont automatiquement qualifiées d’entités essentielles.

En outre, une entreprise économiquement dépendante d’une autre société peut être soumise à la directive (« entreprises partenaires et entreprises liées »).

Les Etats membres disposent d’une marge de manœuvre dans la transposition. Par exemple, ils peuvent décider de réguler les entités de l’administration publique au niveau local ainsi que les établissements d’enseignement, ou décider de désigner telle entité comme essentielle et non comme importante.

Enfin, les fournisseurs et prestataires de services directs des entités visées seront indirectement concernés et devront se conformer aux exigences de cybersécurité imposées par leurs clients concernés par NIS 2.

Au final, de très nombreuses organisations vont se retrouver dans le champ de NIS 2.

Des obligations renforcées

Les entités désignées essentielles ou importantes devront se conformer à de nombreuses obligations.

En matière de gouvernance, les organes de direction vont devenir co-responsables de la cybersécurité (formation, approbation et supervision des mesures…). En matière de déclarations, les entités vont devoir communiquer des informations générales à l’ANSSI mais aussi notifier en plusieurs étapes les incidents importants (avec une « alerte précoce » dans les 24 heures).

Les entités visées devront adopter des mesures pour gérer les risques et les incidents, par exemple des politiques d’analyse des risques et de sécurité, la gestion des incidents et la continuité des activités, la sécurité de la chaîne d’approvisionnement (fournisseurs et prestataires de services directs), la sécurité de l’acquisition, du développement et de la maintenance des SI, les politiques de contrôle d’accès et de gestion des actifs, la sécurité des ressources humaines, ou encore l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications sécurisées, et de systèmes internes sécurisés de communication d’urgence. Le niveau de sécurité imposé sera adapté à la maturité et au profil de l’entité concernée (entité essentielle versus entité importante).

Enfin, le Règlement d’exécution de la Commission européenne 2024/2690 du 17 octobre 2024 complète la directive concernant les mesures de gestion des risques et la définition des incidents importants, dans certains secteurs : registres des noms de domaine de premier niveau, services DNS, cloud computing, centres de données, réseaux de diffusion de contenu, services gérés, services de sécurité gérés, places de marché en ligne, moteurs de recherche en ligne, réseaux sociaux, services de confiance.

Pouvoirs de l’ANSSI et sanctions

L’ANSSI aura le pouvoir notamment de mener des contrôles et de prononcer des sanctions telles qu’une amende (jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, ou jusqu’à 7 millions d’euros ou 1,4% du chiffre d’affaires mondial pour les entités importantes), la suspension d’activités ou de services ou l’interdiction temporaire pour les dirigeants d’exercer des fonctions de direction.

Etat de la transposition

La Commission européenne a initié une procédure contre la France pour retard de la transposition en droit français car cette dernière aurait dû intervenir au plus tard en octobre 2024. L’examen au Parlement du Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui vise à transposer les directives « NIS 2 », « REC » et « DORA », ne sera pas finalisé avant, au mieux, septembre 2026. De plus, la loi devra être complétée par des décrets et arrêtés ministériels.

Compte-tenu de ce retard, l’ANSSI a déjà organisé des évènements et mis en place un site web pour ces entités : La directive NIS 2 — ANSSI qui inclut, notamment, un test pour qu’une organisation détermine si elle sera concernée par NIS 2, et le « Référentiel Cyber France (ReCyF, document de travail listant les exigences de NIS 2.

Pourquoi se préparer dès maintenant ?

Mettre en œuvre les mesures requises va prendre beaucoup de temps, il importe donc de se préparer sans attendre la publication des textes de transposition. Il est ainsi recommandé de :

– vérifier si votre organisation est visée par la directive ;

Si oui ;

– se pré-enregistrer sur le téléservice de l’ANSSI ;

– consulter et analyser les documents de l’ANSSI ;

– effectuer une cartographie des risques cyber et des actifs critiques ;

– évaluer le niveau de maturité de la gouvernance en cybersécurité ;

– élaborer les politiques et procédures ;

– former le personnel ;

– prévoir des clauses de cybersécurité spécifiques avec les fournisseurs et prestataires de services directs ;

– prévoir des audits internes et ;

– prévoir des tests de crise.

Quant aux fournisseurs et prestataires de services directs des entités régulées, qui vont devoir se conformer aux exigences de cybersécurité de leurs clients concernés, ils devraient eux aussi anticiper la transposition de la directive.

Si les entités concernées attendent la publication des textes français pour agir, elles prennent le risque d’entamer une démarche de mise en conformité dans la précipitation avec pour conséquences probables des délais d’attente notamment dans l’enregistrement auprès de l’ANSSI, la fourniture de prestations et produits de cybersécurité ou encore les discussions contractuelles avec les fournisseurs et prestataires de services directs.

Alors même que l’actualité nous montre que la menace cyber impacte le quotidien de tous et est plus que jamais un enjeu de souveraineté, il est urgent de ne plus attendre…

– par François, membre du CRSI

Lancement présidentiel du projet

Le 24 Janvier dernier, E. Macron avait demandé au gouvernement d’engager une procédure accélérée, qui permet de raccourcir la discussion parlementaire, pour une interdiction des réseaux sociaux au moins de 15 ans applicable dès Septembre 2026 (ainsi que pour une interdiction des téléphones portables dans les lycées).

Le président justifie l’interdiction par le fait que « le cerveau de nos enfants et de nos adolescents n’est pas à vendre » et « que leurs émotions ne sont pas à vendre, ou à manipuler, ni par les plateformes américaines, ni par des algorithmes chinois ».

Le sujet n’est pas nouveau et le président avait déjà manifesté cette volonté à plusieurs reprises, notamment suite au rapport de la commission parlementaire sur les effets de TikTok (Septembre 2025) et suite à l’assassinat d’une surveillante à Nogent-sur-Marne (Juin 2025).

Parallèlement, l’ambassadrice pour le numérique et l’IA, Claire Chappaz, s’efforce de faire avancer cette question au niveau Européen.

Plusieurs pays Européens réfléchissent actuellement à la mise en place de ce type d’interdiction, mais la France est résolument « en pointe » sur le sujet.

Les arguments pour l’interdiction

Pour quantifier le phénomène, un adolescent sur deux passe entre deux et cinq heures par jour sur son smartphone, le plus souvent pour se connecter aux réseaux sociaux.

L’utilisation exagérée des réseaux par les plus jeunes peut conduire à de l’anxiété, des troubles dépressifs, des troubles du sommeil et de l’attention, et à une forme d’enfermement avec une perte de socialisation. Poussé à l’extrême, il existe des risques d’addiction, avec des phénomènes d’hyper-connexion.

Les spécialistes relèvent encore 3 points notables :

• une exposition supérieure et une plus grande vulnérabilité chez les filles, qui utilisent davantage les plateformes très visuelles, centrées sur la mise en scène de soi et subissent plus de pressions sociales et d’effets négatifs liés à l’image du corps
• les algorithmes de personnalisation de contenu amplifient l’exposition à des publications liées à l’automutilation, aux troubles alimentaires ou à la consommation de drogues. Les experts évoquent aussi des défis extrêmes et des gestes auto-infligés
• il existe un lien étroit entre harcèlement scolaire et cyberharcèlement sur les réseaux. Les violences subies hors ligne se prolongent en ligne, avec insultes, rumeurs, chantage et diffusion d’images intimes sans consentement.

Pour un certain nombre de scientifiques ou de professionnels de santé, l’interdiction est donc une mesure de protection indispensable. Par exemple, selon Michel Desmurget, directeur de recherche à l’Inserm, « quand on regarde l’ensemble des rapports publiés ces dernières années, non seulement interdire fait sens, mais c’est un minimum absolu« . Selon lui, l’argument consistant à privilégier l’éducation par rapport à l’interdiction ne tient pas : « le cerveau n’est pas fini, l’autorégulation n’est pas possible ».

Il eut été intéressant que M. Desmurget développe ce qu’il souhaiterait au delà du « minimum absolu » de l’interdiction, mais malheureusement ses propositions s’arrêtent là.

Les arguments contre et l’expérience Australienne

Pour d’autres spécialistes, nombreux, l’interdiction serait inutile, voir contre-productive. La dégradation de la santé mentale des adolescents serait davantage liée à l’incertitude économique, à la précarité, à la  violence, à la crise climatique, et l’addiction aux écrans serait une conséquence et non pas une cause de cette dégradation.

Aujourd’hui, les réseaux font partie intégrante de la socialisation de jeunes. Le numérique constitue aussi un droit d’accès à l’information. Il serait préférable de développer une éducation au numérique, qui permette un apprentissage, des repères, et un regard critique. Le message serait paradoxal de demander aux jeunes de développer leurs compétences numériques tout en leur interdisant les réseaux.

D’autre part, la question est posée du rôle essentiel des familles. Les psychologues poussent les parents à accompagner les pratiques numériques de leurs enfants, en conseillant et le cas échéant en interdisant ; sur quelles applications vont-ils ? qu’y font-ils ? quels influenceurs suivent-ils ? Il est bien évident que tous les environnements familiaux ne sont pas égaux en matière d’éducation au numérique, mais dans quelle mesure, et surtout avec quels résultats, l’état et la loi peuvent-ils se substituer efficacement aux familles ?

Par ailleurs, l’Australie a été le premier pays à appliquer une mesure d’interdiction ; depuis fin 2025, une dizaine de plateformes sont interdites aux moins de 16 ans. Mais l’expérience Australienne a montré que les adolescents avaient fait preuve d’une grande ingéniosité pour contourner les dispositifs en place ; VPN permettant de se localiser dans un pays où l’interdiction ne s’applique pas, papiers d’identité empruntés, selfie vieilli par l’IA, outils d’évitement des contrôles …

Le projet voté au parlement

Le 26 Janvier, les députés ont approuvé par 130 voix contre 21 la proposition de loi de la députée Macroniste Laure Miller visant à interdire les réseaux sociaux aux mineurs de moins de 15 ans.

Les encyclopédies en ligne et les répertoires éducatifs sont exclus de l’interdiction, ainsi que les messageries privées interpersonnelles comme WhatsApp.

Le 31 Mars, le Sénat a remanié la version votée par l’assemblée, principalement sur 2 points :

• en réponse à une objection du conseil d’état, l’interdiction ne concernerait que les réseaux susceptibles de nuire à l’épanouissement physique, mental ou moral, et figurant sur une liste établie par un arrêté du ministre chargé du numérique pris après avis de l’ARCOM,
• l’accès aux réseaux ne figurant pas sur cette liste interdite serait conditionné à l’accord d’au moins un des responsables légaux. Celui-ci pourra préciser “les conditions et les limites de l’accès du mineur au service, notamment la nature des contenus accessibles, la durée maximale quotidienne et les heures d’utilisation”.

Concrètement, Instagram, Pinterest, TikTok, X, YouTube, Facebook et Snapchat pourraient figurer sur cette « liste noire » des réseaux nuisibles.

Les suites du projet et la conformité au droit Européen

Concernant la suite du projet de loi, il existe 2 hypothèses ; le gouvernement peut donner le dernier mot à l’Assemblée Nationale ; mais l’hypothèse la plus probable est que députés et sénateurs se retrouvent dans le cadre d’une commission mixte paritaire pour élaborer un compromis.

La version finale du texte devra prendre en compte un risque juridique de non-conformité au droit Européen, qui avait déjà été signalé par le Conseil d’état. En effet, la loi se traduirait concrètement par une obligation faîte aux plateformes en ligne et aux réseaux sociaux de déployer des outils de vérification d’âge. Or, imposer de telles règles est depuis le DSA (Digital Service Act) une prérogative de niveau Européen.

La France a sollicité l’aval de la Commission Européenne, et une réponse est attendue pour le 10 Juillet. L’objectif du gouvernement reste une entrée en vigueur à la rentrée 2026, devançant ainsi un éventuel règlement Européen sur le sujet dont l’élaboration pourrait prendre 2 à 3 ans.

Il est utile de préciser que la loi du 7 Juillet 2023 avait déjà instauré une majorité numérique à 15 ans pour l’inscription sur les réseaux sociaux. Mais ce texte n’avait jamais été appliqué car aucun décret d’application n’avait été pris, suite au retour de la Commission Européenne jugeant les dispositions de cette loi non conformes au DSA.

La place des réseaux sociaux et des médias internet

D’une manière générale, il est entendu que les réseaux sociaux contribuent à une forme de polarisation du débat public. En présentant toujours les mêmes opinions, généralement formulées de façon radicale, et sans présenter ni confronter d’autres points de vue, les algorithmes des réseaux ont tendance enfermer les individus dans des bulles d’information et à favoriser un entre-soi idéologique.

Cependant, le net joue un rôle de plus en plus important dans l’information, avec ses réseaux, ses influenceurs, ses créateurs de contenus et ses nombreux médias alternatifs. Selon le Reuters Institute, près d’un quart des moins de 35 ans s’informent au moins une fois par semaine sur la chaîne Hugo décrypte, qui compte 3,5 millions d’abonnés sur YouTube et 7,2 millions sur TikTok.

De plus, les médias internet en général et les réseaux sociaux en particulier jouent souvent un rôle de révélateur, en donnant à voir de manière très crue la réalité de certains événements. En voici deux exemples :

• le soir du second tour des dernières élections municipales, les réseaux sociaux ont largement contribué à diffuser des scènes de maires sortants malmenés dans plusieurs villes gagnées par LFI. Ces séquences avaient fait débat dans les jours suivants, et il est permis de se demander si cela aurait été le cas sans les réseaux pour faire écho aux événements
• lors du triomphe du PSG en Champions League le 31 Mai 2025, les grands médias avaient sur le moment évoqué quelques débordements de supporters alcoolisés. Mais les réseaux avaient montré des scènes de pillage, des razzias avaient même dit certains. Et les médias avaient dû revenir sur les faits et rectifier le tir les jours suivants, à la lumière de ce que les réseaux avaient dévoilé.

Force est de constater que l’ensemble des médias internet bénéficient (encore ?) d’une réelle liberté d’expression, tandis que les chaînes de la TNT et les radios subissent un contrôle de plus en plus serré de l’ARCOM.

Au delà de l’interdiction, le vrai sujet de la censure

Sous le couvert légitime de la protection de la jeunesse, il est permis de se demander s’il ne s’agit pas de la première étape d’une volonté de contrôle plus large dans la mesure où l’accès aux plateformes se ferait alors via des applications de contrôle de l’identité ; ce qui marquerait la fin de l’anonymat et la porte ouverte à d’autres types de contrôles et de restriction.

Les débats du président avec les lecteurs de la Presse Quotidienne Régionale en Novembre 2025 s’intitulaient « la démocratie à l’épreuve des réseaux sociaux et des algorithmes » ; comme une manière de désigner les réseaux sociaux comme une menace existentielle ; et comme si l’échauffement du pays n’était pas le symptôme de difficultés très réelles, mais la faute des vecteurs qui le rende visible.

L’interdiction des réseaux sociaux peut être rapprochée de 2 autres préoccupations gouvernementales qui vont toujours dans le sens du contrôle, pour ne pas dire de la censure ; l’instauration d’un « label » pour les sites d’information et la mobilisation d’associations dans la lutte contre « la haine en ligne ».

Toutes les études confirment que le lien entre jeunesse et médias traditionnels est rompu, comme si les nouvelles générations préféraient voir le réel plutôt que de se le faire raconter ; par exemple, le CREDOC indique que 50 % des moins de 25 ans ne consultent jamais les médias traditionnels, mais qu’ils sont près de 90 % à s’informer via TikTok, YouTube, Instagram ou X. Dans ces conditions, la tentation existe de maîtriser, réguler, contrôler ces nouveaux espaces informationnels, pour reprendre la main sur le récit médiatique.

En conclusion, l’interdiction des réseaux sociaux aux plus jeunes peut trouver une justification fondée, même s’il est permis de s’interroger sur son efficacité réelle. Mais il conviendra d’être attentif à tout prolongement qui viserait à quadriller et à censurer des espaces qui inquiètent car le réel n’y est plus filtré, tamisé, et mis en forme par les canaux habituels.

Par Isabelle Gonthier, adhérente du CRSI

La souveraineté numérique ne se limite pas à construire des data centers

Dans un rapport sur l’informatisation de la société, publié en 1974, Simon Nora et Alain Minc écrivaient : « Le savoir finira par se modeler, comme il l’a toujours fait, sur les stocks d’informations. Laisser à d’autres, c’est-à-dire à des banques (de données) américaines le soin d’organiser cette mémoire collective, en se contentant d’y puiser, équivaut à accepter une aliénation culturelle. La mise en place de banques de données constitue donc un impératif de souveraineté ».

Dans un contexte géopolitique ou la confiance dans nos alliés américains est fortement entamée, la construction de centres de données sur le sol français est présentée par nos pouvoirs publics comme une priorité stratégique pour protéger nos données vis-à-vis des lois extra-territoriales américaines. Lors du sommet Choose France, le président Macron a annoncé un plan d’investissement de 109 milliards d’Euros dans l’IA d’ici 2030, recouvrant notamment de nombreux projets de centres de données.

Pour autant, cette politique industrielle est-elle suffisante pour préserver notre souveraineté numérique ?

Les « Centres de Données », de quoi s’agit-il ?

La généralisation des solutions cloud, de l’intelligence artificielle et l’émergence de l’internet des objets, génèrent une croissance exponentielle des capacités de stockage des données et de puissance de traitement. Alors que la capacité de stockage mondiale (base installée) estimée était de 6,7 Zettaoctets [1] en 2020, le volume mondial de données a atteint 181 Zettaoctets en 2025 !

Toutes ces données sont conservées dans des installations physiques conçues pour héberger les serveurs informatiques et les baies de stockage de nos données : les centres de données (ou Data Centers). Ce sont des ressources indispensables à la diffusion du numérique et à la compétitivité de nos entreprises dans tous les secteurs de notre économie. Avec les infrastructures de communications, ils forment la colonne vertébrale de tous nos usages numériques.

Jusqu’au début des années 2020, les data centers étaient réservés aux usages des grandes entreprises. Une surface de l’ordre de 1000 m2 était largement suffisante pour héberger leurs serveurs et la puissance électrique nécessaire ne dépassait que rarement les 10 MW.

Avec l’émergence de l’intelligence artificielle, un nouveau type d’acteur est apparu sur le marché des data centers : les hyperscalers. Ils construisent des centres de grande taille, pouvant atteindre des superficies de plusieurs dizaines de milliers de m2 pour les plus grands, dotés d’une puissance électrique de plusieurs centaines de MW.

Un marché en plein développement

Selon les données les plus récentes [2] , il y aurait environ 12 000 data centers répartis sur 174 pays à travers le monde. La répartition sur le globe est très inégale, l’Amérique du Nord et l’Europe concentrant l’essentiel des infrastructures.

Les Etats-Unis dominent largement le marché en raison de la présence des GAFAMS qui hébergent leurs données sur le sol américain. Près du tiers des data centers se situent aux États-Unis (4165 installations en novembre 2025 selon le site Statista). Les États-Unis ont actuellement une longueur d’avance en termes d’expertise dans les hyperscalers grâce à leurs investissements massifs. Les centres de données sont sur le point de prendre le pas sur la construction de bureaux.

L’Europe est le second marché mondial, avec plus de 3300 data centers répartis sur 44 pays, avec une concentration sur le marché historique de l’hébergement, formé par les villes de Frankfurt, Londres, Amsterdam, Paris et Dublin (souvent désignées par l’acronyme FLAPD). Ces 5 villes ont longtemps dominé le marché des centres de données en Europe, avec 75 % du marché européen.

La révolution de l’IA dope le marché des data centers. Les investissements se multiplient pour dominer un secteur considéré comme stratégique. Les États-Unis ont annoncé près de 500 milliards de dollars d’investissements dans le cadre du projet Stargate et les Chinois ne sont pas en reste, avec 138 milliards d’investissements estimés.

Un défi pour les infrastructures énergétiques

L’impact de l’IA sur les data centers de nouvelle génération est structurel et majeur. Beaucoup de data centers ne sont pas adaptés aux enjeux de l’AI et doivent être totalement reconstruits. Au-delà de la capacité de traitement et de stockage, c’est toute la conception du Data Center qu’il faut revoir, avec des capacités en énergie et des équipements de climatisation sans commune mesure avec celle des data centers les plus anciens.

Le foncier est le premier obstacle : les projets de data centers sont concentrés géographiquement, en priorité sur des zones qui doivent remplir plusieurs critères techniques : des critères de taille, pour construire la surface nécessaire aux bâtiments permettant d’héberger les serveurs en nombre suffisant pour subvenir aux besoins des hyperscalers, et des critères de connectivité aux réseaux de télécommunications, pour réduire les délais de latence.

Autre problème dans un contexte de réchauffement climatique et de raréfaction des ressources en eau, l’augmentation significative de la consommation d’eau, nécessaire aux systèmes de refroidissement. Dans un rapport de l’AIE (Agence Internationale de l’Énergie), à l’échelle mondiale, la consommation des data centers atteignait 560 milliards de litres d’eau en 2023 et pourrait doubler, passant à 1200 milliards de litres d’eau d’ici 2030.

Mais le problème majeur reste la sécurisation de la puissance électrique. L’électricité est le premier poste de dépense d’un data center, (elle peut représenter entre 45 et 60 % des coûts opérationnels, en fonction du mix énergétique disponible et des politiques locales en matière fiscale). Selon l’Agence Internationale de l’Énergie, les data centers installés dans le monde consomment environ 1,5 % de la consommation mondiale actuelle (415 TWh en 2024). Mais compte tenu des projets annoncés et en construction, cette consommation pourrait plus que doubler d’ici 2030, à environ 945 TWh (soit la consommation actuelle du Japon) !

Dans de nombreux pays, les projets de Data Centers sont ralentis en raison d’un goulot d’étranglement chez les distributeurs d’énergie, incapables de satisfaire la demande des hyperscalers sans mettre en péril l’approvisionnement des particuliers [3].

La France est en retard, mais dispose de nombreux atouts face à la concurrence internationale

La France compte aujourd’hui plus de 320 data centers actifs, selon les dernières données publiées par le Syndicat des Data Centers et l’ARCEP. C’est 20 % de plus que le nombre de data centers identifiés 3 ans plus tôt (267 data center en 2023), mais cela reste beaucoup moins que nos voisins européens : l’Allemagne et la Grande-Bretagne en possèdent environ 500 chacun, et surtout, c’est très inférieur aux quelque 5000 Data Centers situés en Amérique du Nord.

En termes de puissance électrique installée, ce n’est guère mieux : la France aurait 2,9 GW de puissance informatique installée quand l’Allemagne dispose de 3,5 GW et les États-Unis de 53, 7 GW (Source Datagora).

Beaucoup de nos data centers actuels sont mal situés, loin des principaux hubs de connectivité, et surtout, ils ne sont pas conçus pour répondre aux besoins grandissants de l’intelligence artificielle, en matière de capacité de traitement, mais aussi de capacité énergétique, avec des besoins grandissants en électricité, pour faire tourner les serveurs, mais également les systèmes de refroidissement indispensables à leur bon fonctionnement.

Pour autant, la France dispose de nombreux atouts pour attirer les investisseurs et combler son retard face à ses principaux voisins européens :

– Sa situation géographique est favorable : la plupart des câbles sous-marins qui transportent l’essentiel des données numériques atterrissent en France, facilitant la connectivité des data centers au réseau Internet. C’est un critère essentiel pour réduire la latence (délai de transmission), ce qui a permis par exemple à la métropole de Marseille de devenir une terre d’accueil pour de nombreux Data Centers, devenant ainsi un hub majeur en Europe aux côtés des acteurs historiques FLAP-D

– Elle dispose d’une électricité peu chère et décarbonée : grâce à son parc de centrales nucléaires, la France propose des prix d’électricité en moyenne inférieurs à la plupart de ses voisins européens [4] . C’est un critère de choix pour les opérateurs, dans un contexte d’inflation des prix de l’énergie et de transition énergétique.

– Enfin, la France jouit encore d’une relative abondance en termes de production électrique, quand d’autres pays éprouvent de plus en plus de difficultés à satisfaire la demande croissante en puissance électrique des data centers.

Par ailleurs, l’état déroule le tapis rouge aux investisseurs pour développer les infrastructures de centre de données sur notre territoire :

– En lien avec EDF et RTE, l’état prévoit à terme la livraison de 63 sites « clefs en main », disposant de la surface foncière, de la connectivité et de la puissance électrique nécessaires aux hyperscalers [5] .

– Une politique fiscale attractive, avec un taux de taxe sur l’électricité (TICFE) presque divisé par deux (12 €/MWh contre 22,5 €/MWh pour les grandes entreprises) renforce la compétitivité de notre énergie.

– Enfin, à travers son article 15, la loi de simplification de la vie économique [6], assouplit le droit de l’urbanisme et de l’environnement pour favoriser l’émergence de sites dits hyperscalers. Cette politique volontariste de l’état commence à porter ses fruits. Selon un rapport de Nations Unis, 7 sur la seule année 2025, la France est la première destination en termes d’investissement étrangers « Greenfield », (qui impliquent de nouvelles installations opérationnelles et la création d’une nouvelle entreprise par une société-mère), pour la construction de data center. Ce sont 69 milliards qui ont été injectés, à comparer avec seulement 29 milliards aux Etats-Unis [8].

Pour autant, cette dynamique ne doit pas occulter une réalité préoccupante : la grande majorité des acteurs qui financent, opèrent les data centers en France, ou utilisent leurs capacités sont étrangers et majoritairement américains (Equinix, Digital Realty, Amazon Web Services, Microsoft Azure, Google Cloud) [9].

La souveraineté numérique ne doit pas être un artifice marketing

Le rapport Nora Minc de 1974 nous l’avait pourtant rappelé : il ne peut y avoir de souveraineté numérique sans souveraineté de la donnée. Pourtant, la création, le stockage, le traitement, la sécurisation et la monétisation de nos données reste l’angle mort de notre politique numérique : tant que nous ne maîtrisons ni les technologies ni les profits qui en découlent, la souveraineté numérique ne sera qu’un vain mot.

Les milliards d’Euros investis dans le déploiement de nos infrastructures (réseaux énergétiques, réseaux de télécommunications et centres de données), ne servent qu’à amplifier un modèle que nos opérateurs de télécommunications connaissent bien. La France dispose aujourd’hui d’infrastructures de télécommunications parmi les meilleures d’Europe, subventionnées par les impôts des Français, pour le bénéfice quasi exclusif des plate-formes de services américaines.

Si nous ne changeons rien, les GAFAMs américains continueront à vendre leurs services et à capter nos données dont ils auront la responsabilité, confortant ainsi une situation de quasi-monopole et une forme de vassalité de notre économie, qui se cantonnerait à fournir du foncier, de l’électricité et de la main d’œuvre.

Le temps est compté. Il faut reconstruire ce que nous avons délaissé pendant des décennies, par conformisme ou par paresse, à savoir une industrie du logiciel capable de développer des solutions souveraines sur l’ensemble de la chaîne de valeur de l’IA.

Pour y parvenir, les pouvoirs publics ont un rôle à jouer, non pas en légiférant, mais en utilisant la commande publique comme levier de diffusion du numérique au sein de nos entreprises, de notre administration et de nos collectivités locales, en s’appuyant sur les acteurs locaux, en particulier notre réseau d’Entreprises de Services du Numérique (ESN), et en développant les compétences dans les domaines clefs du traitement de la donnée, en particulier de l’IA et de la cybersécurité.

Notre souveraineté numérique en dépend.

[1] Un Zettaoctet correspond à un trillion de Gigaoctet, ou encore un milliard de Teraoctets.

[2] Cloudscene , Statista 2025, DAtaCentermap

[3] Selon l’IAE, les data centers en Irlande consomment déjà un cinquième de la production nationale d’électricité, (c’est déjà plus que la consommation des ménages urbains), et cette part pourrait atteindre 30 % de la consommation nationale dès 2026 si les projets en cours sont achevés

[4] A titre d’exemple : le mégawattheure livrable en 2027 vaut aujourd’hui 55 euros en France, contre 91 euros en Allemagne et 100 euros en Italie. (Source : l’opinion 16/04/2026)

[5] 26 projets de construction ont, à ce jour, été rendus publics essentiellement dans les Hauts-de-France, en Île-de-France et dans la vallée du Rhône

[6] Finalement votée en avril 2025, après deux ans de palabre au parlement !

[7] https://unctad.org/system/files/o\icial-document/diaeiainf2026d1_en.pdf

[8] Ces chiffres ne concernent pas les investissements réalisés par des entreprises domestiques, et excluent ainsi la plupart des projets annoncés par Amazon, Google ou Meta aux États-Unis.

[9] Selon McKinsey, 60 à 65% des capacités de centres de données seront captés par les hyperscalers. Source « AI power: Expanding data center capacity to meet growing demand ». Oct. 2024

– par Maëlys Gery, membre du CRSI

L’utilisation des réseaux sociaux grand public, et particulièrement de LinkedIn, par les services de renseignement étrangers (notamment chinois) marque un tournant dans les méthodes d’ingérence. Ce qui était autrefois un espace de réseautage professionnel « ennuyeux » est devenu un vivier stratégique pour le recrutement d’agents et le vol de données.

LA VULNÉRABILITÉ STRUCTURELLE DES RÉSEAUX PROFESSIONNELS

LinkedIn offre une transparence paradoxalement dangereuse pour les organisations sensibles :

• Cartographie en temps réel : La précision des profils permet aux services étrangers de reconstituer l’organigramme complet d’une administration ou d’une entreprise stratégique.
•  Ciblage psychologique : Les agents repèrent facilement les profils vulnérables, tels que les employés en quête de reconnaissance, les fonctionnaires frustrés par leur carrière ou les individus ayant des besoins financiers.
• L’usurpation d’identité : l’usage de « faux profils » de hauts dirigeants permet d’approcher des homologues en message privé pour extraire des informations confidentielles sous couvert de confraternité.

 LE MODE OPÉRATOIRE DE L’APPROCHE VIRTUELLE AU RECRUTEMENT RÉEL

Le renseignement chinois a mis au point un processus de recrutement par étapes, particulièrement visible en République tchèque (rapport du BIS) et aux États-Unis :

• Couverture professionnelle : Création de profils de « chasseurs de têtes » ou de « cabinets de conseil » basés à Singapour ou Hong Kong.
• L’appât académique et financier : Des universitaires sont sollicités pour rédiger des rapports rémunérés. Ce qui semble être une mission légitime sert de « test » avant d’exiger des informations non publiques.
•  La phase de « consolidation » : Les cibles sont invitées en Chine lors de voyages tous frais payés. Ces séjours visent à créer un lien de dépendance et un sentiment d’engagement envers les intérêts chinois.

UNE MENACE GLOBALE ET D’ENVERGURE ( ÉTATS-UNIS,FRANCE,EUROPE)

Le phénomène n’est plus marginal mais constitue une opération systémique :

• En France : Une note commune de la DGSI et de la DGSE révèle que plus de 4 000 cadres de grandes entreprises françaises ont été ciblés.
• Aux États-Unis : Des cas de corruption de fonctionnaires via LinkedIn ont été confirmés par le contre-espionnage et documentés par des enquêtes de presse (CNBC).
• Objectif géopolitique : Au-delà du simple vol de propriété intellectuelle, ces manœuvres visent à asseoir la Chine comme première puissance économique mondiale et à affaiblir l’influence des pays du G7.

LE FOCUS NATIONAL: LA FRANCE FACE À L’INGÉRENCE NUMÉRIQUE 

L’alerte lancée par les services français souligne que l’Hexagone est une cible prioritaire, notamment en raison de son excellence dans les secteurs de la défense, de l’aérospatiale, de l’énergie et du luxe.

SECTEURS ET PROFILS PARTICULIÈREMENT VISÉS EN FRANCE

• Les hauts fonctionnaires et contractuels : possédant des clés de compréhension sur les politiques publiques ou les régulations à venir.
•  Les cadres de la « Base Industrielle et Technologique de Défense » (BITD) : Détenteurs de secrets technologiques et de propriété intellectuelle.
• Les jeunes diplômés de grandes écoles : ciblés dès le début de leur carrière pour leur potentiel futur (stratégie du « pari sur l’avenir »).

LES PRÉCONISATIONS DE LA DGSI POUR LES COLLABORATEURS

Pour contrer cette « opération d’envergure », les services de renseignement français diffusent des conseils de vigilance spécifiques :

• Vérification de l’identité numérique : se méfier des profils trop parfaits ou « trop beaux pour être vrais » (photos générées par IA, parcours académique prestigieux mais sans recommandations réelles).
• Vérifier si le recruteur appartient réellement à l’entreprise citée via un canal tiers (site officiel, standard téléphonique).
• La règle de la « discrétion numérique » : éviter de mentionner sur son profil des détails trop précis sur des projets classifiés ou des technologies sensibles.
• Limiter la visibilité de son réseau : les agents étrangers utilisent votre liste de contacts pour identifier qui travaille avec qui (cartographie de l’influence).

Détection du « signal d’alerte » (Red Flag) : toute proposition de rémunération excessive pour une note de synthèse ou une simple « consultation » doit être considérée comme suspecte et toute invitation à poursuivre la conversation sur des messageries cryptées (WhatsApp, WeChat, Signal) dès le premier contact est un marqueur fort de la méthode chinoise.