Généralisation de l’open source au sein de l’Etat, bannissement de Microsoft à l’école, moratoire des projets des datacenters pour les hyperscalers… La commission d’enquête sur les dépendances numériques du mois de juillet prescrit un remède de cheval pour s’affranchir progressivement des acteurs extra-européens.
La publication du rapport de la commission d’enquête de l’Assemblée nationale sur les dépendances numériques est arrivé à point nommé pour éclairer la stratégie de souveraineté de l’Etat mais aussi des acteurs privés. Après avoir entendu 112 experts et conduit 45 auditions, la commission présidée par le député MoDem Philippe Latombe et rapportée par l’écologiste Cyrielle Chatelain (photo) dresse, sur 453 pages, un constat sans appel qui devrait faire date.
Dans sa première partie, « le diagnostic », le rapport pose quelques chiffres pour quantifier le phénomène. Sur les cinquante principaux éditeurs de logiciels référencés par l’Ugap, la principale centrale d’achats publics, les acteurs extra-européens concentraient 79 % des achats en 2025. Ce qui rejoint les conclusions de l’étude menée par le cabinet Asterès pour le compte du Cigref. A lui seul, Microsoft représentait 293 millions d’euros de ventes (22 % du total), devant Oracle, VMware, Red Hat, Salesforce et Adobe.
En extrapolant les données disponibles, les rapporteurs estiment à environ 1,5 milliard d’euros par an les achats de logiciels auprès d’entreprises américaines par l’ensemble des administrations publiques. Sur cette somme, près d’un milliard d’euros pourrait être substitué par des solutions de substitution open source. « Pour les acteurs privés, l’utilisation de solutions propriétaires les expose à des hausses tarifaires parfois brutales, imposées par des éditeurs en position de force du fait de l’absence d’alternative ou des coûts de migration », rappelle la commission.
Les bons et mauvais élèves du secteur public
Le recours à des alternatives ouvertes suppose de disposer de l’expertise en interne. Le rapport donne, en exemples, la gendarmerie nationale et la DGFIP qui se sont très tôt dotées des compétences ad hoc, permettant de maîtriser les développements et l’intégration de briques open source. La gendarmerie nationale a ainsi largement basculé vers LibreOffice, limitant Microsoft Office à moins de 2 % de son parc de postes de travail.
L’état des lieux dans le cloud est plus contrasté. Le rapport reconnaît l’efficacité de la politique suivie par l’Etat. La doctrine « Cloud au centre » et le référentiel SecNumCloud ont permis de protéger les données sensibles des administrations contre les lois extraterritoriales, notamment le Cloud Act américain. Pour autant, des exceptions à la règle persistent parmi « les ministères les plus faiblement dotés ». Les ministères sociaux et de la culture sont ainsi plus enclins à se tourner vers des offres de cloud commercial.
C’est aussi le cas d’administrations placées sous leur tutelle. « Alors que la Cnam assure l’hébergement et l’exploitation de ses applications cœur de métier et de ses téléservices en interne sur ses quatre data centers, dont deux certifiés « Hébergeur de données de santé » (HDS), la Cnaf a externalisé l’exploitation de certains composants chez des opérateurs américains, notamment Oracle et Microsoft Azure, pour des montants très significatifs : 15 millions d’euros pour l’année 2025 », illustre le rapport.
Des opérateurs publics dépendent également très largement de solutions extra-européennes. « C’est notamment le cas de France Travail, dont 83 % des dépenses de services cloud de l’année 2025 étaient concentrées sur trois fournisseurs américains : essentiellement ServiceNow, mais également AWS et Microsoft Azure », tacle la commission. Les opérateurs d’importance vitale (OIV), telles qu’EDF, Enedis, ADP, la RATP ou SNCF Réseau, recourent, eux aussi, aux hyperscalers pour une partie de leurs applications (voir tableau).
L’IA générative, un nouveau foyer de risques
Le déploiement accéléré de l’IA générative crée un nouveau foyer de risques. Si les administrations développent des outils internes, exploitent des modèles ouverts ou utilisent les offres du français Mistral AI, les travaux de la commission d’enquête ont mis en évidence des cas d’usage de Claude (Anthropic), Copilot (Microsoft), Gemini (Google) ou de ChatGPT (OpenAI) « au sein de plusieurs ministères, des caisses de sécurité sociale, de l’AP-HP et de France Travail. »
Sans compter le phénomène du « shadow AI ». Une enquête réalisée par le ministère de l’action et des comptes publics, entre janvier et avril 2026, auprès de 1 867 agents publics montre que 85 % des personnes interrogées disent recourir aux outils fournis par leur administration mais 55 % reconnaissent également utiliser des agents conversationnels « de manière informelle ». « Il existe dès lors un risque de divulgation de données sensibles de façon non maîtrisée », en conclut le rapport.
Le spectre du « kill switch »
Les géants américains de la tech exercent leurs positions de domination grâce à la maîtrise de l’ensemble de la stack du numérique. Infrastructures physiques, protocoles de base, systèmes d’exploitations, applications et plateformes, ils concentrent l’ensemble des couche matérielles et logicielles dans une intégration à la fois verticale et horizontale.
Pour maintenir cette emprise et orienter les règles du jeu en leur faveur, les « big tech » déploient, par ailleurs, « des moyens humains et financiers considérables au service de leur stratégie d’influence. » En 2025, les GAFAM ont dépensé, à eux seuls, 35 millions d’euros en lobbying auprès des institutions européennes. « Un lobbying féroce », estime la commission.
Le rapport énumère ensuite l’ensemble des risques techniques, économiques et juridiques que fait peser cette domination. Avec ses lois extraterritoriales, le droit américain permet aux autorités fédérales de demander à des entreprises placées sous juridiction américaine de transmettre des données, y compris lorsqu’elles sont hébergées hors des États-Unis. Plus récemment est apparu le spectre d’un « kill switch », soit un embargo numérique imposée par l’administration américaine à ses anciens alliés du Vieux Continent. Pour rendre tangible cette éventuelle, le rapport évoque le cas du juge français Nicolas Guillou, magistrat à la Cour pénale internationale (CPI). En représailles à l’émission par la CPI de mandats d’arrêt internationaux à l’encontre du Premier ministre et de l’ancien ministre de la Défense israéliens, il s’est vu privé de services numériques et de moyens de paiement, du fait du quasi-monopole des plateformes américaines dans ces domaines. « Ma vie personnelle est devenue un laboratoire de la perte de souveraineté », a-t-il déclaré (son audition en vidéo).
« Zéro Microsoft pour les écoles »
Face à ce diagnostic sans appel, la commission liste un certain nombre de recommandations. Pour flécher les achats dans le bon sens, elle préconise d’étendre les principes de la doctrine Cloud au centre à l’ensemble des entreprises publiques et plus largement d’inviter toutes les entreprises à migrer immédiatement leurs données sensibles vers des offres qualifiées SecNumCloud.
Il s’agit aussi d’imposer aux centrales d’achat d’informer leurs clients sur la nationalité des éditeurs de logiciels et d’instaurer une préférence européenne (Buy European Act). La commission recommande ai d’inclure dans les marchés publics une « clause de souveraineté finale » assurant la continuité de l’accès à la technologie en cas de rupture de contrat ou de cession
Dans l’arsenal pro souveraineté, la rapporteure prévoit le remboursement des aides à l’amorçage et du crédit impôt recherche en cas de vente d’une entreprise innovante à un acteur extra-européen. Elle propose aussi que l’État exerce une sorte de droit de veto via une participation (golden share) pour bloquer une prise de contrôle par des puissances étrangères de pépites nationales comme ChapsVision ou Mistral AI.
Proposition la plus structurante, la commission conseille de rendre obligatoire l’open source dans les marchés publics des administrations et des opérateurs de l’État et autres entreprises publiques d’ici le 1er janvier 2030. Une échéance qui laisserait le temps de cartographier les dépendances, de préparer les migrations et de former les agents. Le ministère de la justice est désigné comme une priorité.
La rapporteure propose de créer une fondation France Libre Open Source, baptisée Flos, chargée de pérenniser les briques ouvertes utilisées par l’État et les collectivités, et d’instaurer un dispositif de soutien à l’open source, destiné aux entreprises de moins de 250 salariés sur le modèle du crédit d’impôt innovation. Le rapport fixe également un objectif de « zéro Microsoft dans les écoles » d’ici à 2030 et recommande l’apprentissage des logiciels libres et le développement de l’esprit critique en milieu scolaire.
Créer les conditions d’ouverture
La rapporteure ne se limite pas au cloud et aux logiciels. Elle préconise de « prononcer un moratoire sur les projets de data centers ne répondant pas à l’impératif de souveraineté », c’est-à-dire « développés par des acteurs extra-européens, des fonds d’investissement ou des acteurs immobiliers, ou dont l’utilisation envisagée n’est pas destinée à des acteurs européens ». Sans sous-estimer les effets que produirait une telle décision. Elle « sera nécessairement critiquée pour le signal négatif qu’elle enverrait aux investisseurs internationaux et le coup d’arrêt mis au développement de l’intelligence artificielle. »
En conclusion, le rapport ne prétend, au regard du chantier qui s’ouvre, que la France puisse remplacer en quelques années les géants américains du cloud, du logiciel ou de l’IA. Une politique de souveraineté ne consiste pas à substituer un monopole français ou européen à un monopole américain, mais de créer les conditions d’ouverture, de réversibilité et d’interopérabilités évitant tout risque d’enfermement.
Xavier Biseul
