Ce qu'on a trouvé

Une commission d'enquête, c'est des mois d'auditions, des dizaines d'heures, des centaines de milliers de mots. Personne n'a le temps de tout lire — et c'est bien le problème : on t'en sert les extraits qui arrangent chacun, jamais l'ensemble. Nous, on a tout lu. Enfin, notre outil : une intelligence artificielle qu'on a bridée pour une seule chose — restituer, sans trancher, ce que 45 auditions et tables rondes ont dit sous serment devant l'Assemblée. Chaque citation renvoie, mot pour mot, à un compte rendu public que tu peux rouvrir ; on en a passé 1 063 au crible, une à une. Honnêteté d'abord : ce sont les invités d'une commission qui avait déjà sa thèse, pas la vérité révélée. On te livre ce qu'ils ont dit — à toi de juger. Voilà l'essentiel, en deux pages.

1. La dépendance, l'État y est jusqu'au cou — et il le reconnaît

Le fait le plus net du corpus n'est pas dans une entreprise lointaine : il est à Bercy et à Matignon. Ceux qui pilotent la souveraineté numérique de la France travaillent eux-mêmes sous Microsoft. « Nous utilisons au quotidien la suite Microsoft », lâche Benjamin Delozier, du Trésor (M. Thomas Courbe) ; le ministre David Amiel chiffre « 90 % des dépenses tournées vers des acteurs extra-européens, et singulièrement vers Microsoft » (Mme Anne Le Hénanff). Plus troublant encore : la Dinum, la direction interministérielle du numérique, avoue ne pas savoir chiffrer précisément sa propre dépense (Schaer, Mme Stéphanie Schaer).

Le cas d'école, c'est le Health Data Hub — la grande base qui regroupe les données de santé des Français. Elle est hébergée chez Microsoft Azure depuis sa création, une solution présentée comme provisoire… qui a duré sept ans (CNIL, Mme Marie-Laure Denis ; Ghariani, Mme Hela Ghariani). La sortie vers un hébergeur français, Scaleway, n'a été officiellement décidée que le 23 avril 2026.

À l'échelle du marché, trois entreprises américaines — Amazon (AWS), Microsoft (Azure) et Google — captent autour de 70 % du cloud européen, pendant que la part des acteurs européens recule (« de 27 % en 2017 à 15 % aujourd'hui », Lescop, des fournisseurs de cloud .). Retiens surtout ceci : la dépendance n'est pas une menace extérieure, elle est déjà à l'intérieur.

2. La vraie arme n'est pas la technologie, c'est le droit — et on ne s'accorde pas sur son danger

Beaucoup croient qu'il suffit de stocker ses données « en France » pour être tranquille. Les témoins disent le contraire, et à peu près tous. En cause, deux lois américaines : le Cloud Act (2018), qui permet à un juge américain de réclamer des données détenues par une entreprise américaine même si elles sont stockées à Paris ; et la section 702 du FISA, qui autorise la surveillance de tout non-Américain. C'est comme un coffre-fort posé en France mais ouvrable avec une clé fabriquée à Washington. « La localisation ne change en rien l'extraterritorialité du droit », tranche le président Latombe (M. Arnaud Caudoux). L'ANSSI, l'agence de cybersécurité de l'État, verrouille : « le chiffrement ne protège pas du Cloud Act et encore moins d'un kill switch » (Strubel, M. Vincent Strubel).

Le kill switch, justement — l'idée qu'on puisse « couper » un service à distance, ou juste arrêter ses mises à jour jusqu'à le rendre inutilisable —, c'est là que les témoins se divisent frontalement. Pour Cédric O, ex-secrétaire d'État au numérique, Washington « pourrait demain éteindre la lumière » (M. Cédric O). Les représentants des géants américains jugent au contraire un tel geste « improbable », voire « suicidaire » pour leur propre commerce (des représentants en France des Gafam) ; Aiman Ezzat (Capgemini) estime le risque « très faible » (M. Aiman Ezzat) ; l'ANSSI le prend au sérieux (M. Vincent Strubel). On ne tranchera pas à ta place : le levier de coupure existe dans le droit, sa probabilité reste disputée.

Que ce ne soit pas de la science-fiction, un cas le montre. Le magistrat Nicolas Guillou, sanctionné par les États-Unis, s'est retrouvé coupé de moyens de paiement par des entreprises françaises « alors qu'il n'y a aucun élément de rattachement aux États-Unis » (M. Nicolas Guillou). Un seul cas, personnel — mais il rend l'abstraction très concrète.

3. Le « cloud souverain » : ceux qui le vendent n'y croient pas tous

Face à cette dépendance, la France a une réponse : des « clouds de confiance » de droit français — Bleu (adossé à la technologie de Microsoft) et S3NS (adossé à celle de Google). Statut juridique français dessus, technologie américaine dessous. D'où le procès en « souveraineté de façade » : d'Agrain (Cigref) parle de « paresse intellectuelle » (M. Henri d’Agrain), et Max Schrems, le juriste qui a fait tomber deux accords de transfert de données, résume par « un bon vieux serveur américain paré d'un drapeau européen » (M. Max Schrems). Fait notable : même Christel Heydemann (Orange), pourtant co-investisseuse de Bleu, reconnaît « qu'il n'y a pas d'indépendance technologique » (Mme Christel Heydemann).

Mais l'autre camp est dans le même écran, et il n'est pas absurde : un cloud 100 % européen relèverait aujourd'hui de l'illusion, et ces offres hybrides sont défendues comme pragmatiques, le temps de bâtir mieux. La brique de référence reste le label SecNumCloud de l'ANSSI, conçu pour protéger contre le droit extraterritorial — mais son marché est étroit. Là encore, le corpus expose les deux versions et ne t'impose ni « bouclier » ni « peinture tricolore ».

4. Reprendre la main : par la loi ou par l'usine ?

C'est le clivage qui traverse tout le dossier, et le corpus ne le referme pas. Faut-il réguler (le RGPD, le DMA et le DSA qui encadrent les géants, la loi française SREN) ou produire (financer des champions capables de rivaliser) ? La formule qui revient : « nous avons beaucoup réglementé mais pas construit à l'échelle ». Pour plusieurs témoins, le verrou premier n'est ni la technologie ni le droit, c'est l'argent — « le premier problème auquel se heurte la souveraineté européenne, c'est l'argent » (Cédric O, M. Cédric O). Le levier le plus consensuel est la commande publique : « un euro d'achat public équivaut à sept euros de subventions » (Benhamou, M. Bernard Benhamou).

Et un doute, posé par la rapporteure elle-même, plane sur tout : à quoi bon un champion national — un « Mistral français » de l'IA — s'il « reproduit un modèle américain qui n'obéit pas à nos lois » (Chatelain) ? En face, d'autres misent sur des alternatives publiques, décentralisées, et sur le logiciel libre, résumé par la formule « l'argent public doit produire du code public ».

Les vraies questions

Une fois la poussière retombée, voilà ce que le citoyen a intérêt à garder en tête — des questions ouvertes, pas des verdicts :

• Qui décide où vivent tes données ? Souvent, personne ne le sait clairement — l'État lui-même peine à cartographier ses dépendances. La constante du corpus, c'est que le citoyen est le dernier informé.
• Qui peut te couper ? Une loi étrangère, un fournisseur, un moyen de paiement : le droit d'un autre pays peut atteindre ton service public, ton hôpital, ta carte bancaire.
• Qui paie — et pour reprendre la main, par quel chemin ? Réguler ou produire, subventionner ou acheter, un géant unique ou des communs partagés : chaque option a ses défenseurs sérieux, aucune ne fait l'unanimité.
• Qui écrit les règles ? À Bruxelles se joue, sous le mot « simplification », une bataille sur le niveau de protection de tes données — avec un lobbying massif que plusieurs témoins ont chiffré et dénoncé.

Le mot de la fin

Le numérique est devenu le socle invisible de nos vies — et ce socle, une bonne part repose sur des prises que quelqu'un d'autre tient. Ce corpus ne désigne aucun coupable unique ; il ne dit pas si le cloud américain est « dangereux » ni si l'IA est « une bulle ». Il montre autre chose, de plus utile : comment une démocratie perd — ou reprend — le contrôle de son numérique, et à quel point ceux qui décident pour nous ne sont pas toujours ceux qu'on croit. Le reste, c'est à toi de le juger. Ce dossier est fait pour ça : te donner la matière, sourcée, pour te faire ton idée.

Pour aller plus loin : le dossier en 11 pièces (une question de citoyen par chapitre, le récit complet), l'explorateur (fouiller le corpus par thème), et l'agent qui a tout lu et te renvoie, à chaque réponse, au verbatim officiel.