Qui parle, et à quel titre
La commission entend trois magistrats de la Cour des comptes venus présenter le rapport « Les enjeux de souveraineté des systèmes d'information civils de l'État », publié le 31 octobre 2025 : Emmanuel Marcovitch, président de section à la première chambre, accompagné des conseillers référendaires Patrice Huiban et Laurent Zerah (Marcovitch porte seul la parole). L'angle n'est pas militant mais gestionnaire : la Cour audite le degré de maîtrise, par l'État, des technologies qu'il utilise pour « conserver une pleine autonomie de l'action publique », sur trois niveaux — matériels, logiciels, données. La séance est présidée non par le président Latombe (absent) mais par la rapporteure Cyrielle Chatelain, qui mène l'essentiel des échanges.
La substance
Le constat d'ensemble, repris d'entrée par Chatelain, est que « l'ambition affichée par la France en matière de souveraineté numérique peine à être satisfaite ». Sur le matériel, Marcovitch tranche : « Il n'y a pas de souveraineté nationale ou européenne sur ce segment » (semi-conducteurs, réseaux, smartphones), l'Anssi ne pouvant que veiller à la fiabilité de ce qui est acheté. Le point le plus sensible est celui des données. La qualification souveraine SecNumCloud de l'Anssi ne compte que « dix-sept fournisseurs », et depuis le resserrement de la doctrine « cloud au centre » en 2023, son recours n'est exigé que sous un double critère cumulatif (secret protégé par la loi + atteinte possible à l'ordre public, la santé, etc.). Le surcoût du souverain est chiffré « entre 25 % et 45 % ».
Marcovitch documente ensuite la dépendance aux éditeurs par des chiffres marquants : le rachat de VMware par Broadcom a « multiplié le prix des licences jusqu'à un facteur sept » (surcoût de 35 % pour l'AIFE) ; une sortie de SAP/Chorus aurait coûté « 64 millions d'euros » (+110 à 160 %). Le Cloud Act de 2018 et le FISA exposent toute donnée confiée à une entreprise américaine, même hébergée en Europe — les hyperscalers « installent des data centers partout en Europe, ce qu'ils font valoir [...] comme un gage de souveraineté », mais « nous n'avons aucune garantie du respect de cette souveraineté ». Deux cas emblématiques : le Health Data Hub, hébergé chez Microsoft Azure en 2019 « à titre temporaire » et toujours pas migré sept ans après ; les clouds interministériels Pi et Nubo (« 55 millions d'euros » en neuf ans), sous-investis et peu utilisés. Marcovitch cite aussi Pronote, Doctolib (certification HDS sans critère de souveraineté), et les réussites volontaristes de la Dinum (Tchap contre WhatsApp/Telegram, Visio).
Les enjeux et les tensions
La thèse la plus forte est doctrinale et clivante : « le parfait exercice des missions de service public peut être garanti sans nécessairement aligner les spécifications des systèmes d'information sur le plus haut niveau technologique ». La Cour retourne le réflexe habituel de la commande publique — viser une performance « suffisante » plutôt que maximale pour préserver la souveraineté. À propos du Health Data Hub, elle affirme même qu'« une plateforme disposant de moins de fonctionnalités mais souveraine aurait probablement permis un déploiement moins heurté ».
L'audition reste cordiale, sans confrontation frontale, mais Chatelain resserre méthodiquement : coûts pour l'État, clauses de pénalité, transparence du code des prestataires. Sur ce dernier point Marcovitch esquive honnêtement à plusieurs reprises — « Je ne saurais pas vous dire », renvoyant à l'Anssi — parce que le rapport n'a pas couvert ces angles. Deux députés ouvrent d'autres flancs : Hervé Saulignac (SOC) pointe le gaspillage du « développement parallèle » de Pi et Nubo ; Isabelle Rauch (HOR) déplace le débat vers la faisabilité (compétences, conduite du changement des agents).
Ce que l'audition apporte au dossier
Elle offre à la commission une caution institutionnelle chiffrée au diagnostic de dépendance : le lock-in n'est pas une hypothèse militante mais un mécanisme documenté (« une simple décision politico-administrative ne suffit pas » à migrer). Elle désigne des responsabilités précises — la Dinum (feuille de route sans stratégie de souveraineté), l'absence de cartographie interministérielle des données sensibles, l'échec français à faire intégrer un niveau SecNumCloud au schéma européen EUCS. Elle défend enfin une doctrine de sobriété technologique et, point notable, désamorce l'argument budgétaire : « Aller plus loin ne nécessiterait probablement pas d'investissements lourds ». Le blocage est donc présenté comme un problème de gouvernance et de volonté, non de moyens.