Qui est auditionné
Audition commune, ouverte à la presse, tenue sous la présidence de M. Aurélien Taché (secrétaire de la commission), en présence de la rapporteure Cyrielle Chatelain. Deux hauts responsables des systèmes d'information de l'État régalien témoignent sous serment : M. Tomasz Blanc, chef du service des systèmes d'information de la DGFIP (fisc), et le général de corps d'armée Marc Boget, directeur de l'Agence du numérique des forces de sécurité intérieure (Anfsi, DSI de la police et de la gendarmerie). L'angle est explicitement présenté par le président comme celui de deux administrations « au cœur des missions de l'État » ayant fait le choix d'un cloud propriétaire et du logiciel libre, par contraste avec des services comme la DGSI et son partenariat avec Palantir.
La substance
Thèse centrale (Blanc, DGFIP). La souveraineté a supplanté la performance comme critère d'arbitrage : « ce domaine a longtemps imposé un arbitrage entre performance et souveraineté, ce dernier critère s'étant largement imposé ces dernières années ». Le SI de la DGFIP (795 applications, 95 000 agents, 5 000 informaticiens) repose sur quatre leviers : logiciel libre (priorité systématique depuis 2010 : Linux, PostgreSQL, LibreOffice, Samba), maîtrise interne, standardisation et constance de long terme (« la souveraineté numérique ne se décrète pas, elle se construit sur des décennies »). Chiffres marquants : un investissement de 1,5 M€ dans le code de Samba a évité « des millions d'euros de redevances annuelles » ; LibreOffice quasi gratuit contre ~10 M€/an pour une suite propriétaire. Les dépendances résiduelles sont matérielles et héritées — IBM Z pour le calcul de l'impôt en Cobol (4,5 M€ en 2025), Oracle (8,5 M€/an) — faute d'alternative européenne, mais décroissantes. Face au Cloud Act, la DGFIP a « refusé les offres des grands acteurs étrangers pour développer Nubo », cloud interne interministériel hébergeant 25 % du SI. Taux d'externalisation : 40 % en moyenne (seuil de risque Dinum à 60 %).
Thèse centrale (Boget, Anfsi). Cadrage maximaliste : « la souveraineté numérique ne se négocie pas mais s'impose comme une nécessité vitale ». Trois menaces : extraterritorialité (Cloud Act menaçant « dossiers judiciaires et fichiers de police »), fragilité de la supply chain logicielle (CrowdStrike 2024, 8,5 millions d'ordinateurs paralysés), et le numérique comme arme (attaque Viasat en Ukraine). D'où sa formule : « Être souverain, c'est garantir que seul l'État français conserve le contrôle de l'interrupteur de ses propres SI. » La gendarmerie n'a « plus aucun serveur Windows » (1 054 postes sur 80 000), exploite ses data centers (cloud Pi) et chiffre 534 M€ d'économies depuis 2004 — choix qui a préservé les téléphones des DG de Pegasus.
Les enjeux et confrontations
L'audition est largement consensuelle : deux modèles convergents et « exemplaires » que le président souhaite voir « inspirer le maximum de ministères ». Les tensions viennent des questions et non des désaccords. La rapporteure Chatelain presse sur le concret (calendrier Linux, coûts de migration, commande publique, kill switch) et obtient un aveu structurant de Blanc : le code de la commande publique « a été conçu pour prévenir les risques de corruption et garantir l'efficacité de la dépense, plutôt que pour répondre aux enjeux de souveraineté ». Sur le kill switch et les solutions hybrides (S3NS), Boget reconnaît un « sujet majeur » non résolu (35 000 vulnérabilités cette année), Blanc restant « dubitatif ».
Point le plus clivant : le président Taché charge frontalement le partenariat DGSI-Palantir, entreprise ayant selon lui publié « une sorte de "manifeste techno-fasciste" ». Esquive de Boget, qui se déclare « ni compétent ni en possession des informations nécessaires » et renvoie à la DGSI, tout en défendant le sérieux de ses équipes. Taché nomme aussi explicitement « des logiciels tels que Claude » comme IA à écarter ; Blanc répond que le recours à ChatGPT est « exclu » sous l'angle de la souveraineté, la DGFIP exploitant des modèles libres sur ses propres GPU (moteur de recherche d'impots.gouv.fr), Mistral n'étant envisageable que « standardisé », la gendarmerie migrant vers le modèle Génial du ministère des armées.
Ce que l'audition apporte au dossier
Elle fournit à la commission une preuve de faisabilité : deux administrations régaliennes démontrent, chiffres à l'appui, qu'on peut s'affranchir des hyperscalers. Point de doctrine le plus fort : Boget conteste le label phare de l'Anssi — « même un SecNumCloud ne peut offrir les garanties de sécurité que procure une exploitation directe par des gendarmes » — parce qu'il est exploité par des salariés du privé non contrôlables (cybercriminalité à 10 500 Md$). L'audition pointe deux responsabilités actionnables par le législateur : l'inadaptation de la commande publique à la souveraineté et le « lobbying [de Microsoft] dès le milieu scolaire » comme cause structurelle du verrouillage des administrations.