Cloud, cybersécurité, intelligence artificielle, logiciels : la dépendance technologique européenne s’est installée au fil de décennies de décisions d’achat. Lors d’une plénière organisée ce mercredi 16 septembre au SIDO, à Lyon, industriels, acteurs publics et spécialistes de la cybersécurité ont défendu une approche résolument concrète : la souveraineté numérique ne se proclame pas, elle se construit par l’investissement, la commande publique et privée, la maîtrise des données et la capacité à conserver une liberté de choix.
La souveraineté numérique est partout dans les discours. Mais que recouvre-t-elle réellement lorsqu’une entreprise doit choisir son cloud, renouveler un contrat logiciel, déployer une intelligence artificielle ou sécuriser son système d’information ?
C’est autour de cette question que s’est articulée la plénière « La souveraineté numérique ne se décrète pas, elle se construit », organisée au SIDO dans l’Auditorium Confluence. Animée par Julien Bergounhoux, de L’Usine Digitale, elle réunissait Jean-Noël de Galzain, président de Wallix et d’Hexatrust, Florent Kirchner, directeur du pôle souveraineté au Secrétariat général pour l’investissement dans le cadre de France 2030, Christophe Leray, DSI du groupe STEF, et Christophe Lombard, président de la CANUT.
Derrière les différences d’approche, une idée a traversé les échanges : la souveraineté ne peut rester une formule politique. Elle dépend aussi des choix technologiques, industriels et financiers effectués aujourd’hui.
De la souveraineté à la résilience numérique
Premier enjeu : définir les termes. Christophe Leray a notamment distingué la souveraineté, qui relève selon lui d’abord de l’État, de la « résilience numérique » des entreprises.
Pour ces dernières, l’enjeu consiste à conserver la capacité de poursuivre leurs opérations et d’assurer la continuité de leurs moyens numériques quelles que soient les circonstances. Une préoccupation ancienne dans les directions informatiques, à travers notamment les plans de reprise d’activité, mais dont la portée a profondément changé.
L’informatique est désormais omniprésente dans les organisations. Une interruption prolongée du système d’information peut directement interrompre l’activité d’une entreprise. Le développement du cloud et du SaaS a également transformé le rapport aux fournisseurs. Là où une entreprise pouvait autrefois continuer à exploiter pendant un certain temps un logiciel installé dans ses propres infrastructures, un service cloud peut créer une dépendance beaucoup plus immédiate.
À cela s’ajoutent la concentration du marché entre quelques fournisseurs mondiaux et un contexte géopolitique qui pousse les organisations à réexaminer des dépendances longtemps considérées comme purement techniques.
Florent Kirchner a résumé la problématique autour de deux capacités : pouvoir prendre soi-même ses décisions et disposer des moyens permettant de les mettre en œuvre. Autrement dit, l’autonomie ne signifie pas nécessairement tout produire seul, mais être capable de décider et d’agir, y compris dans un environnement ouvert et coopératif.
Une dépendance construite par les décisions d’achat
Pour Jean-Noël de Galzain, la situation actuelle n’a rien d’une fatalité technologique. Elle est également le résultat de décisions accumulées pendant plusieurs décennies.
Le président d’Hexatrust a cité lors de la conférence un chiffre de 83 % d’achats de technologies extra-européennes dans les systèmes d’information, en référence aux travaux du Cigref. Son raisonnement est simple : si la dépendance a été construite par les achats, une partie de l’autonomie peut également être reconstruite par eux.
Christophe Leray, ancien de Capgemini, PMU et du groupement Les Mousquetaires a d’ailleurs reconnu avoir lui-même contribué, au cours de sa carrière, à cette situation en privilégiant des solutions américaines lorsqu’elles apparaissaient plus performantes. Un réflexe longtemps partagé par de nombreux décideurs technologiques.
Mais le contexte change. Au-delà des fonctionnalités et du prix immédiat, les entreprises commencent à intégrer dans leurs arbitrages la maîtrise des données, les risques géopolitiques, la réversibilité ou encore leur dépendance économique à un fournisseur.
La question devient alors moins « quelle est la meilleure technologie sur le papier ? » que « de quelle technologie ai-je réellement besoin et quelles dépendances suis-je prêt à accepter ? ».
Sur ce point, les intervenants ont toutefois nuancé leurs positions. Là où Christophe Leray estime qu’il peut être pertinent de retenir une solution française ou européenne qui n’est pas encore la plus performante afin de contribuer à son développement, Florent Kirchner a défendu une lecture différente : des entreprises françaises sont déjà capables, dans plusieurs secteurs, de rivaliser avec les meilleures offres internationales.
La cybersécurité est régulièrement revenue comme exemple.
La cybersécurité française présentée comme un secteur de pointe
Détection, cryptographie, identité, protection des données, remédiation : Florent Kirchner a insisté sur l’existence d’un tissu français capable de se mesurer aux acteurs internationaux.
Le cloud a également été évoqué avec des entreprises comme Clever Cloud, Scaleway, OVHcloud ou Outscale. L’enjeu n’est donc plus uniquement de faire émerger une offre européenne, mais de la faire adopter.
Et c’est probablement là que se situe l’un des principaux obstacles.
Changer de fournisseur, modifier les habitudes des utilisateurs, assurer l’interopérabilité, reprendre des données ou adapter une technologie aux processus d’une entreprise demandent du temps et des compétences. La souveraineté numérique possède donc un coût de transition qu’il serait illusoire d’ignorer.
Pour les PME et ETI disposant de peu de ressources informatiques, la simplicité des grandes plateformes cloud et SaaS reste un argument redoutable.
Jean-Noël de Galzain a toutefois rappelé que les entreprises françaises du numérique travaillent déjà largement avec des ETI, des industriels, des hôpitaux ou des collectivités. L’intégration et l’accompagnement deviennent alors déterminants pour rendre ces offres réellement accessibles.
Le prix d’achat ne raconte qu’une partie de l’histoire
La conférence a également insisté sur un indicateur bien connu des directions informatiques : le TCO, ou coût total de possession.
Une solution attractive au moment de la signature peut devenir beaucoup plus coûteuse au fil des renouvellements, une fois l’entreprise fortement dépendante de son fournisseur. Les intervenants ont évoqué plusieurs augmentations tarifaires auxquelles leurs organisations ou leurs marchés ont été confrontés.
Christophe Leray a notamment cité le cas Broadcom-VMware pour illustrer les conséquences potentielles d’une forte dépendance technologique. Plus largement, il a défendu une analyse des contrats sur une durée supérieure à celle du premier engagement commercial.
Sa recommandation pour le cloud consiste notamment à conserver une logique de « multisourcing » : ne pas dépendre d’un fournisseur unique et maintenir, autant que possible, une capacité technique à déplacer ses services.
Cette stratégie peut coûter davantage à court terme, mais elle permet de conserver un levier de négociation et une capacité de sortie. Une forme très concrète de résilience numérique.
La commande publique, levier majeur de souveraineté
La question des achats publics a occupé une place centrale dans les débats. Pour Christophe Lombard, président de la CANUT, les centrales d’achat peuvent permettre aux petites collectivités d’accéder à des offres qu’elles auraient davantage de difficultés à négocier seules. La mutualisation donne également la possibilité de structurer les marchés afin de rendre accessibles certains appels d’offres à des acteurs plus petits.
Le défi dépasse néanmoins la simple mise en relation entre fournisseurs français et acheteurs publics. Il s’agit aussi de permettre à ces entreprises de passer à l’échelle.
Jean-Noël de Galzain a particulièrement insisté sur ce point : acheter une solution constitue également un investissement indirect dans l’entreprise qui la développe. La commande génère du chiffre d’affaires, permet de financer l’innovation et donne des références commerciales indispensables pour partir ensuite à la conquête d’autres marchés.
Selon une étude d’Hexatrust citée pendant la table ronde, 75 % des acheteurs interrogés indiqueraient vouloir augmenter la place du critère de souveraineté ou l’introduire dans leurs achats.
Dans le secteur privé, STEF a déjà intégré des critères de souveraineté dans certaines décisions d’achat, a expliqué Christophe Leray, qui relie cette démarche à la valeur d’indépendance revendiquée par son groupe.
Le secteur public évolue dans un cadre juridique plus contraint. Florent Kirchner a toutefois évoqué les discussions européennes destinées à introduire davantage de critères de souveraineté européenne dans certains dispositifs d’achat ou d’attribution d’aides publiques.
Il a également cité les parcours cyber français destinés aux établissements publics : selon les chiffres avancés pendant la conférence, plus de 80 % des offres et achats réalisés dans ce cadre proviendraient des catalogues français.
France 2030 et le difficile passage à l’échelle
La souveraineté numérique ne repose cependant pas uniquement sur la demande. Il faut aussi permettre aux fournisseurs européens de disposer des moyens financiers nécessaires pour développer leurs technologies.
Florent Kirchner a rappelé le rôle de France 2030 dans l’accompagnement de la prise de risque en recherche et développement. L’objectif n’est pas de se substituer aux entreprises, mais de leur permettre, dans certains dispositifs, de pousser plus loin leurs ambitions technologiques.
L’État cherche également à faciliter l’adoption de nouvelles solutions par les entreprises. Tester une technologie française émergente représente parfois un risque opérationnel ou financier. Le financement public peut contribuer à diminuer ce risque et accélérer les premières références.
Mais le marché français ne saurait constituer l’horizon final. Pour Florent Kirchner, une entreprise technologique doit penser très tôt à son développement européen. La taille du marché national ne suffit pas à soutenir durablement des ambitions mondiales.
Le débat a toutefois fait apparaître une nuance importante : partir à l’international ne dispense pas de disposer d’un marché domestique solide. Pour Jean-Noël de Galzain, les entreprises françaises ont besoin de leurs premiers clients en France avant de pouvoir exporter plus largement.
Commande locale et ambition européenne apparaissent ainsi moins contradictoires que complémentaires.
L’intelligence artificielle remet la donnée au centre
L’essor de l’intelligence artificielle générative donne désormais une nouvelle dimension au débat. Pour Christophe Leray, le danger réside notamment dans la quantité d’informations stratégiques que les salariés peuvent transmettre aux plateformes d’IA. Documents internes, processus, savoir-faire ou données métiers : l’utilisation massive de services externes pose une question qui dépasse largement celle de la performance des modèles.
Chez STEF, le groupe a choisi de développer une IA générative privée et sécurisée reposant sur un LLM open source, exécuté dans un environnement protégé. Christophe Leray reconnaît que cette approche peut ne pas offrir les mêmes performances que certains modèles propriétaires de premier plan. Mais le choix répond à une autre priorité : protéger l’information de l’entreprise.
« Pour apprendre à conduire, il n’y a pas besoin d’une Ferrari », a-t-il résumé pendant la conférence.
Florent Kirchner a également défendu les modèles ouverts en affirmant que l’écart de performances avec l’état de l’art propriétaire se réduisait rapidement. Selon l’estimation qu’il a présentée pendant la plénière, les modèles open source rattraperaient les modèles en tête du marché avec un décalage d’environ neuf mois, contre douze auparavant.
L’enjeu pour les organisations consiste donc à déterminer si quelques mois d’avance technologique justifient, pour chaque usage, les dépendances associées.
« Pas d’IA sans contrôle »
Pour Jean-Noël de Galzain, l’IA et la cybersécurité sont désormais intimement liées. L’apparition d’agents d’intelligence artificielle dans les organisations impose notamment de savoir les identifier, cartographier leurs droits d’accès et contrôler leurs comportements.
« Pas d’IA sans contrôle », a-t-il résumé.
L’intelligence artificielle agit ici comme un accélérateur. Elle ne crée pas à elle seule la question de la souveraineté, mais rend beaucoup plus visibles les enjeux de contrôle des données, d’extraterritorialité juridique, de dépendance aux infrastructures et de cybersécurité.
Les réglementations européennes, du RGPD à NIS2, au Cyber Resilience Act et à l’AI Act, participent également à la construction d’un cadre européen. Pour les intervenants, l’un des enjeux sera de veiller à ce que les règles applicables aux industriels européens concernent également les entreprises étrangères commercialisant leurs services sur le marché européen.
Construire plutôt que proclamer
Au terme des échanges, la souveraineté numérique apparaît moins comme une destination que comme une succession d’arbitrages.
Choisir un fournisseur européen lorsqu’il répond au besoin. Maintenir une possibilité de sortie. Évaluer le coût d’une technologie sur plusieurs années plutôt que son seul prix d’entrée. Éviter la dépendance à une infrastructure unique. Protéger ses données avant de déployer massivement l’IA. Utiliser la commande publique et privée pour donner aux entreprises technologiques européennes les moyens d’atteindre une taille critique.
Le changement ne pourra être instantané. Christophe Leray rappelle que les dépendances actuelles ont été construites pendant plusieurs décennies et qu’elles ne disparaîtront pas d’un claquement de doigts. Mais chaque décision technologique peut déplacer progressivement le curseur.
C’est finalement le principal enseignement de cette plénière du SIDO : derrière un terme parfois devenu abstrait à force d’être employé, la souveraineté numérique se joue désormais dans des décisions extrêmement concrètes. Dans les directions informatiques, les services achats, les conseils d’administration, les collectivités, les politiques d’investissement et les choix de financement.
Car acheter une technologie, c’est aussi choisir l’écosystème industriel auquel on donne les moyens de grandir. Et même lorsque l’on décide de privilégier les entreprises françaises, on n’est pas assuré de s’émanciper des Américains ou des Chinois, comme l’a souligné Christophe Lombard de la CANUT, qui a indiqué qu’il fallait également regardé la capitalistaion. Mistral AI, entreprise d’Inteligence artificielle membre du Forum économique mondial dont les investisseurs sont la plupart américain en est un parfait exemple. On peut également souligné que STEF AI qui se targue d’avoir une IA générative “maison” utilise dans certains cas des serveurs AWS, comme nous l’a confié Christophe Leray, à la fin de la plénière. Preuve que la souveraineté reste un véritable casse tête.
Sources :
SIDO — Plénière « La souveraineté numérique ne se décrète pas, elle se construit », mercredi 16 septembre 2026, Auditorium Confluence. Retranscription de la conférence fournie pour la rédaction de cet article.