Souveraineté numérique : la nouvelle bataille des États en Europe

Face aux tensions géopolitiques, aux sanctions extraterritoriales et à la dépendance aux plateformes américaines ou asiatiques, la souveraineté numérique revient au centre du jeu européen, des capitales nationales à Bruxelles. Données de santé, clouds, IA, cybersécurité, services publics : partout, la même question surgit, qui contrôle l’infrastructure, les logiciels, et surtout les informations ? Derrière les discours, les États investissent, régulent, et parfois s’opposent, avec un objectif clair : reprendre la main, sans casser l’innovation.

Cloud, données : l’Europe veut reprendre la main

Qui garde nos données, et selon quelles lois ? La question n’est plus technique, elle est politique, et l’Union européenne l’a appris au fil des contentieux et des crises. Depuis l’invalidation du Privacy Shield par la Cour de justice de l’UE en 2020, les transferts de données vers les États-Unis restent juridiquement fragiles, même si un nouveau cadre, le Data Privacy Framework, est entré en vigueur en 2023, contesté par plusieurs acteurs, et susceptible d’être à nouveau examiné de près. Dans ce contexte, l’enjeu dépasse la conformité au RGPD, il touche au risque de demandes d’accès par des autorités étrangères, et à la capacité d’un État à garantir la continuité de ses services si une relation commerciale ou diplomatique se dégrade.

Les chiffres traduisent la dépendance. Selon Synergy Research Group, les trois géants américains, Amazon Web Services, Microsoft Azure et Google Cloud, concentrent autour des deux tiers du marché mondial du cloud public, tandis que les fournisseurs européens restent fragmentés et loin derrière. Résultat : même quand une administration ou un hôpital veut « héberger en Europe », elle se heurte à la réalité des services, des coûts, et des écosystèmes. La réponse européenne s’organise par strates : règles, labels, et projets industriels. En France, la doctrine « Cloud au centre » impose depuis 2021 des exigences de sécurité pour l’État; et le label SecNumCloud, délivré par l’ANSSI, est devenu une référence pour les environnements sensibles, avec des contraintes fortes sur l’immunité face aux législations extraterritoriales. Au niveau européen, Gaia-X, lancé pour structurer des standards et une interopérabilité, peine à incarner un champion unique, mais il a installé une idée : la souveraineté ne se résume pas à un drapeau sur un datacenter, elle suppose des garanties juridiques, des contrôles, et une capacité d’audit.

Cette bataille se joue aussi sur les données industrielles. Le Data Act, adopté en 2023, vise à faciliter l’accès et le partage des données issues d’objets connectés et de machines, et à réduire les verrouillages contractuels, notamment dans le cloud. Le texte, qui s’appliquera progressivement, veut rendre plus simple la portabilité entre fournisseurs, tout en encadrant le recours à des prestataires non européens lorsque des demandes d’accès gouvernementales étrangères menacent la confidentialité. Derrière la technicité, le message est limpide : l’Europe veut créer un marché où changer de fournisseur devient réellement possible, et où les règles limitent la captation des données par quelques acteurs dominants. Reste le point le plus délicat, celui du passage à l’échelle, car sans offres compétitives, la souveraineté risque de rester un idéal, ou un surcoût que seuls les secteurs les plus régaliens peuvent absorber.

IA, applications : l’intime devient stratégique

Le numérique s’est glissé partout, et jusque dans la vie privée. Quand des millions d’Européens confient leurs doutes, leurs projets, parfois leurs secrets, à des assistants conversationnels, la souveraineté prend une dimension nouvelle : ce ne sont plus seulement des fichiers administratifs ou des plans industriels, ce sont des fragments d’existence. Les usages explosent, et les études convergent sur un point : l’IA générative devient un outil du quotidien, au travail comme à la maison. En France, plusieurs baromètres récents situent l’adoption de l’IA générative à des niveaux inédits depuis 2023, avec une diffusion rapide dans les métiers de bureau, l’éducation, et les services. Et au-delà des statistiques globales, un phénomène intrigue les sociologues comme les autorités de régulation : l’usage « confident », documenté par de nombreux témoignages et enquêtes, qui interroge la protection des données, la dépendance psychologique, et la responsabilité des plateformes. Pour une plongée dans ces pratiques, on peut visiter ce site ici même, qui décrit comment l’IA s’invite dans la sphère intime et ce que cela raconte de notre rapport au numérique.

Face à cette montée en puissance, l’Europe a choisi une voie réglementaire singulière. L’AI Act, adopté en 2024, est présenté comme le premier cadre global de régulation de l’intelligence artificielle, avec une logique par niveaux de risque, et des interdictions ciblées. Certaines pratiques jugées inacceptables, comme une partie des usages de « social scoring », sont proscrites; d’autres, notamment dans les domaines sensibles, sont strictement encadrées. Pour les modèles dits « à usage général », dont les grands modèles de langage, le texte impose des obligations de transparence, de documentation, et, dans certains cas, de gestion des risques systémiques. L’objectif officiel est double : protéger les citoyens et créer un marché de confiance. L’objectif officieux est tout aussi clair : éviter que l’IA, comme le cloud avant elle, ne devienne une dépendance structurelle sans contrepartie.

Mais la souveraineté de l’IA ne se décrète pas seulement par la loi. Elle se mesure aux infrastructures, aux talents, et à l’accès aux composants critiques. Les GPU, indispensables à l’entraînement et au déploiement des grands modèles, restent dominés par quelques acteurs mondiaux, et l’Europe dépend largement d’importations. Les États investissent donc dans des « usines à IA », des supercalculateurs, et des clouds de calcul, souvent via des programmes nationaux et européens. En parallèle, la bataille se joue sur les données d’entraînement, la langue, et les secteurs. Une IA utile à l’Europe doit comprendre ses corpus juridiques, ses normes, ses systèmes de santé, ses langues, et ses PME; or ce sont des ensembles de données hétérogènes, parfois protégés, parfois difficiles d’accès. À ce stade, l’équation reste serrée : comment stimuler l’innovation sans offrir un boulevard à des solutions clés en main non européennes, et comment financer des alternatives crédibles, sans tomber dans le fétichisme du « tout souverain », plus coûteux et parfois moins performant ?

Cybersécurité : l’État revient au cœur

La cybersécurité n’est plus une ligne budgétaire, c’est un réflexe de survie. Depuis la multiplication des attaques par rançongiciel et l’augmentation des opérations de déstabilisation, la question de la souveraineté numérique s’est durcie, parce qu’elle touche à la continuité de l’État, des hôpitaux, des collectivités, et des entreprises stratégiques. Le coût est massif, même si les chiffres varient selon les méthodologies. Le rapport « Cost of a Data Breach » d’IBM situe, ces dernières années, le coût moyen mondial d’une violation de données à plusieurs millions de dollars, et souligne que les secteurs critiques paient davantage. En Europe, les autorités constatent surtout une industrialisation des attaques, avec des chaînes d’approvisionnement compromises, des prestataires communs, et des failles exploitées en cascade.

La réponse européenne s’est structurée en un arsenal dense. La directive NIS2, qui renforce les obligations de cybersécurité, élargit le nombre de secteurs concernés, et durcit la responsabilité des dirigeants, doit être transposée dans le droit national, avec des exigences de gestion des risques, de notification d’incidents, et de contrôle. DORA, pour la finance, impose des tests de résilience, une gouvernance des risques ICT, et une surveillance des prestataires critiques, précisément parce que la dépendance au cloud et à des fournisseurs tiers est devenue une faiblesse. À cela s’ajoutent le Cybersecurity Act, qui consolide les cadres de certification, et des initiatives nationales qui montent en puissance, avec des agences comme l’ANSSI en France ou le BSI en Allemagne, davantage dotées et plus visibles dans le débat public.

Cette reprise en main a une conséquence immédiate : les achats publics et les stratégies d’entreprise évoluent. On voit se généraliser des clauses de localisation, des exigences de chiffrement, et des audits de conformité qui, il y a cinq ans, étaient l’exception. L’État redevient prescripteur, parfois même architecte. Mais cette volonté se heurte à un mur bien connu : la pénurie de compétences. Selon (ISC)², l’écart mondial de talents en cybersécurité se compte en millions de postes, et l’Europe n’échappe pas à la tension, avec des salaires tirés vers le haut et une concurrence entre public et privé. À ce problème s’ajoute une autre vulnérabilité, moins visible : la dépendance logicielle. Les administrations et les grandes entreprises reposent sur des briques open source ou propriétaires, parfois maintenues par de petites équipes, et une faille critique peut devenir, en quelques heures, une crise nationale. Souveraineté, ici, signifie donc aussi capacité à auditer, à contribuer, et à sécuriser, pas uniquement à « produire local ».

Industrie européenne : l’argent, et l’échelle

Sans moyens, la souveraineté n’est qu’un slogan. L’Europe l’a compris en réagissant, parfois tardivement, à la puissance d’investissement des États-Unis et de la Chine. Sur les semi-conducteurs, l’EU Chips Act, entré en vigueur en 2023, vise à mobiliser des dizaines de milliards d’euros d’investissements publics et privés, avec l’ambition affichée de porter la part de l’UE dans la production mondiale de puces à 20 % à l’horizon 2030. C’est une cible politique autant qu’économique, car la crise des chaînes d’approvisionnement pendant la pandémie a révélé une dépendance dangereuse, jusque dans l’automobile et les équipements médicaux. Mais fabriquer des puces avancées exige des usines à plusieurs milliards, des compétences rares, et une visibilité de long terme, dans un secteur où la taille critique compte autant que l’innovation.

Le même dilemme se pose sur les logiciels, les plateformes, et les services numériques. L’Union européenne a durci ses règles de concurrence et de marché, avec le Digital Markets Act (DMA) et le Digital Services Act (DSA), applicables depuis 2024, pour limiter les pratiques abusives des très grandes plateformes, renforcer la transparence, et mieux protéger les utilisateurs. Ces textes, en imposant des obligations d’interopérabilité et de contrôle, peuvent ouvrir des espaces à des acteurs européens, mais ils ne créent pas mécaniquement des champions. La stratégie passe donc aussi par des financements, des commandes publiques, et des coalitions industrielles. Des États cherchent à mutualiser des achats, à développer des solutions communes pour l’identité numérique, la messagerie sécurisée, ou l’hébergement de données sensibles, tout en évitant de reconstruire vingt fois la même chose.

Reste une réalité brute : la souveraineté a un prix, et elle doit convaincre au-delà des cercles régaliens. Pour une PME, choisir une solution « souveraine » n’a de sens que si elle est compétitive, simple à déployer, et interopérable; pour un hôpital, elle doit tenir la charge et répondre aux exigences de sécurité; pour une administration, elle doit survivre aux alternances politiques, et aux cycles budgétaires. Les États européens jouent donc une partie fine, en combinant régulation, soutien industriel, et pragmatisme technologique. Trop de protectionnisme peut ralentir l’innovation et renchérir les coûts; trop de dépendance peut fragiliser l’économie et la démocratie. La souveraineté numérique, au fond, devient une politique publique de long terme, qui se mesure à la résilience, à la capacité d’arbitrer, et à la possibilité, enfin, de choisir.

Réserver, financer : le concret de la souveraineté

Pour les organisations, la priorité est d’établir une feuille de route, puis de budgéter un audit cloud, données et cybersécurité, et de planifier une migration par paliers, en commençant par les services les plus sensibles. Des aides existent via des dispositifs nationaux et régionaux, et des programmes européens selon les secteurs. La commande publique, elle, peut accélérer l’adoption, si les critères restent lisibles.