Philippe Folliot - Emmanuel Dupuy, Cybersécurité : la France peut-elle encore prétendre à la souveraineté numérique ?

Amazon, Google, Microsoft : la France est-elle encore maître de son destin numérique ?

À l’occasion d’une audition en commission des Affaires étrangères, de la Défense et des Forces armées au Sénat, un constat alarmant a été confirmé : 70 % du marché français de l’hébergement des données est aujourd’hui contrôlé par trois entreprises américaines – Amazon, Google et Microsoft, toutes soumises à l’extraterritorialité du droit américain. Ce chiffre a été révélé lors des échanges avec le Secrétariat Général de la Défense et de la Sécurité Nationale (SGDSN), l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) et le Service de vigilance et de protection contre les ingérences numériques étrangères (Viginum).

Malgré l’existence d’une doctrine française de souveraineté numérique, incarnée par la qualification SecNumCloud de l’ANSSI, et malgré des exemples inspirants comme les choix de la Gendarmerie nationale, certains ministères, à l’image de celui de la Santé avec le F-Data Club, continuent d’externaliser des données sensibles vers des prestataires étrangers. Pourtant, la menace la plus insidieuse réside dans les offres hybrides, telles que BLEU (coentreprise entre Microsoft, Orange et Capgemini) ou S3NS (coentreprise entre Google et Thales). Un risque pèse alors sur notre capacité collective à défendre nos intérêts face à une puissance étrangère déterminée et sans compromis.

L’affaire Alstom, sous la pression du FCPA, est devenue l’emblème d’une stratégie d’extraterritorialité analysée avec acuité par Frédéric Pierucci dans Le Piège Américain. Plus de dix ans après, le constat reste accablant : les États-Unis ont durci et élargi leur arsenal juridique. Le Cloud Act, le FISA, le Patriot Act ou encore la réglementation ITAR leur permettent de contraindre les entreprises étrangères. Un simple courriel transitant par un serveur américain, ou une opération financière libellée en dollars, suffit à placer une entreprise européenne sous leur coupe, au nom de la sécurité nationale ou de la lutte contre la corruption.

Pire encore, ces textes offrent aux autorités américaines un accès quasi systématique à nos données, souvent à notre insu. Le FISA, par exemple, autorise la NSA à consulter les informations des entreprises étrangères dès lors qu’elles transitent par les États-Unis ou sont hébergées par une société de droit américain. Le Cloud Act va plus loin : il oblige ces entreprises à transmettre toutes les données qu’elles détiennent, même stockées en Europe. En 2014, Microsoft a dû remettre des emails hébergés en Irlande aux États-Unis, malgré l’opposition de l’Union européenne. La Cour suprême américaine a tranché sans ambiguïté : peu importe où sont les données, si l’entreprise est américaine, Washington y a accès.

Malgré les exigences de la jurisprudence Schrems II, le Data Privacy Framework signé en 2023 reste une illusion de protection. Le Cloud Act et le FISA n’ont pas été réformés. Ces instruments ne visent pas seulement la sécurité nationale : ils protègent aussi les intérêts économiques américains. L’exemple du conflit Airbus-Boeing est édifiant. Les États-Unis n’ont pas hésité à pratiquer de l’espionnage ciblé (écoutes de la chancelière Angela Merkel en 2013) ou à imposer des mesures de rétorsion commerciales brutales (taxes sur le vin, le Roquefort) pour affaiblir Airbus. L’intelligence économique est une arme de guerre commerciale, et les GAFAM en sont les relais les plus efficaces.

La doctrine SecNumCloud, portée par l’ANSSI, prouve que des alternatives 100 % françaises ou européennes existent. La Gendarmerie nationale l’a compris en optant pour des solutions souveraines. Pourtant, des ministères comme celui de la Santé, via le F-Data Club, ou des entreprises stratégiques comme EDF, avec son choix récent de BLEU, continuent de s’appuyer sur des infrastructures contrôlées par des acteurs américains.

Pourquoi est-ce un problème majeur ? Parce qu’une offre hybride comme BLEU ou S3NS, même labellisée SecNumCloud, conserve une dépendance structurelle aux États-Unis. Microsoft et Google restent soumis au Cloud Act et au FISA. Une seule brique américaine dans une infrastructure suffit à exposer nos données les plus sensibles. BLEU, par exemple, propose les services Microsoft 365 et Azure dans un « cloud français », mais Microsoft garde la main sur les couches logicielles critiques. S3NS, associant Google et Thales, ne change rien : Google reste une entreprise américaine, soumise aux mêmes obligations légales.

Ces partenariats étouffent les alternatives européennes (OVHcloud, Mistral AI, Qarnot) et financent notre propre dépendance. Nous payons pour des solutions présentées comme souveraines, alors qu’elles conservent une porte dérobée vers les États-Unis. C’est une illusion dangereuse, et nous ne pouvons plus fermer les yeux.

Après le charbon, le pétrole et les microprocesseurs, les données sont devenues la ressource clé du XXIe siècle. Elles alimentent nos intelligences artificielles, optimisent nos industries et déterminent notre compétitivité. Pourtant, nous continuons de les confier massivement à des acteurs étrangers.

Les conséquences sont lourdes : perte de souveraineté, risques économiques majeurs, et menace sur notre capacité d’innovation. Nos secrets industriels, algorithmes et dossiers médicaux peuvent être réquisitionnés par une puissance étrangère. Nos champions industriels, comme Alstom ou Airbus, pourraient être affaiblis par des fuites de données ou des pressions extérieures. Laisser les GAFAM contrôler nos données, c’est renoncer à notre avenir technologique.

Face à cette prédation organisée, une commission d’enquête parlementaire s’impose. Son rôle : auditer les risques, identifier les secteurs vulnérables (santé, énergie, défense), et mesurer les pertes subies (emplois, brevets, parts de marché). Elle doit proposer une réponse politique coordonnée : interdire les offres hybrides pour les données sensibles, réserver les marchés publics aux solutions 100 % européennes et renforcer le label SecNumCloud en excluant toute participation américaine.

Cette commission doit impulser une réaction forte : comprendre pour protéger, protéger pour garantir notre indépendance économique, technologique et démocratique. Nous n’avons plus le choix : agir maintenant ou accepter de devenir un protectorat numérique.

La Gendarmerie nationale a montré la voie. Il est temps que l’État suive cet exemple. Les données sont le nouveau pétrole. La France ne peut se permettre de les laisser entre les mains de ceux qui en feront une arme contre nous.

Tribune de Philippe Folliot Sénateur du Tarn Membre de la Commission des affaires étrangères, de la défense et des forces armées Membre de la Délégation sénatoriale aux outre-mer Président de l’Alliance Centriste

et Emmanuel Dupuy Président de l’Institut Prospective et Sécurité en Europe (IPSE) Enseignant en géopolitique à l’Université catholique de Lille et à HEIP-ISG Secrétaire national chargé des questions de défense du parti Les Centristes