La souveraineté technologique passée du discours au bon de commande

La souveraineté technologique appartenait jusqu'ici surtout au registre déclaratif. Elle figurait dans les stratégies nationales, les discours de salon et les préambules d'appels d'offres, sans peser lourd au moment de comparer des offres sur une grille de notation. Un arbitrage récent en cyberdéfense fait passer cette notion du préambule au critère effectif de sélection.

TradingView rapporte qu'après le piratage de l'administration fiscale française et l'exposition des données de 700 000 contribuables, l'État a retenu l'intelligence artificielle de Mistral AI pour la détection de vulnérabilités et écarté OpenAI. La décision est présentée comme ancrée dans le programme « Notre IA » et dans les datacenters qualifiés SecNumCloud, avec l'objectif explicite de ne pas cartographier ses failles sur des technologies étrangères.

Le Fil de la Veille a rapporté cet arbitrage. Ce qui mérite ici d'être décortiqué, c'est le raisonnement qui le soutient : pourquoi la localisation du fournisseur devient un paramètre de sécurité, ce que ce raisonnement couvre réellement, et ce qu'il laisse dans l'ombre pour les organisations qui vont s'en inspirer.

Ce qui distingue un critère d'achat d'une déclaration d'intention

Une préférence exprimée dans un document stratégique n'oblige personne. Un critère inscrit dans une décision d'attribution, en revanche, produit trois effets concrets : il exclut des candidats, il fixe un précédent invocable lors des consultations suivantes, et il oblige l'acheteur à motiver toute décision ultérieure qui s'en écarterait. C'est une différence de nature, pas de degré.

Ce basculement transforme aussi le travail des fournisseurs. Tant que la souveraineté restait rhétorique, l'argument commercial suffisait. Dès qu'elle devient notée, elle appelle des preuves : localisation des traitements, nationalité de l'actionnariat, qualification des hébergements, chaîne de sous-traitance documentée. Les acteurs qui n'avaient pas préparé ces éléments découvrent qu'ils ne concourent plus dans les mêmes conditions.

Pour les directions achats et sécurité du secteur privé, l'effet d'entraînement est prévisible. Un arbitrage public visible sert de référence dans les comités d'investissement, où il devient difficile d'écarter une question désormais posée au plus haut niveau de l'État. Cette diffusion se fait rarement par obligation réglementaire, presque toujours par mimétisme et par prudence.

Ne pas cartographier ses failles chez un tiers : la logique de fond de l'arbitrage

L'argument central rapporté par TradingView mérite d'être isolé, car il ne porte pas sur la performance comparée des modèles. Il porte sur un sous-produit de l'analyse : quand un système examine du code, des configurations et des journaux pour y trouver des vulnérabilités, il produit au passage une carte des points faibles de l'organisation analysée.

Cette carte est un actif de renseignement d'une valeur difficile à surestimer. Elle indique où frapper, dans quel ordre et avec quelles chances de succès. Sa circulation, même accidentelle, même limitée à des journaux techniques conservés à des fins d'amélioration, crée un risque qui n'a aucun équivalent dans un achat logiciel ordinaire. La question de la juridiction applicable cesse d'être théorique.

Le raisonnement est donc solide dans son périmètre : il s'applique aux usages où l'outil accède aux entrailles du système d'information. Il s'affaiblit dès qu'on l'étend mécaniquement à tous les logiciels. Une bureautique, un outil de traduction ou un moteur de recherche documentaire ne produisent pas de carte des failles, et leur soumettre le même critère revient à payer une prime de souveraineté sans contrepartie de risque.

Le coût d'opportunité d'un choix guidé par la localisation

Tout critère ajouté à une grille en déplace d'autres. Si la localisation pèse fortement, la performance brute, la maturité de l'écosystème d'intégration ou la profondeur du support pèsent nécessairement moins. Reconnaître ce coût d'opportunité n'est pas contester le choix : c'est refuser de le présenter comme gratuit, ce qui interdirait ensuite d'en mesurer honnêtement les effets.

Ce coût varie selon la maturité du domaine considéré. Sur des fonctions où l'écart technique entre offres est faible, la prime de souveraineté est presque indolore. Sur des fonctions où un acteur dispose d'une avance nette, elle se paie en capacité opérationnelle réduite. Une doctrine d'achat sérieuse distingue ces deux situations plutôt que d'appliquer une règle uniforme.

Il existe une contrepartie souvent négligée : la proximité juridique et géographique du fournisseur raccourcit les délais de traitement des incidents et facilite l'accès aux équipes d'ingénierie. Pour une administration en situation de crise après une compromission, ce paramètre pèse parfois davantage que quelques points de performance sur un banc d'essai.

La bonne question n'est pas de savoir qui édite l'outil, mais qui détient la carte que l'outil produit.

Les angles morts d'une souveraineté définie par le pavillon du fournisseur

Un fournisseur national reste dépendant d'une chaîne matérielle qui ne l'est pas. Les processeurs spécialisés, les composants mémoire et une part des briques logicielles ouvertes proviennent d'ailleurs. La souveraineté d'un service se mesure donc en couches : juridiction de l'exploitant, localisation des données, origine des modèles, origine du matériel. Ne valider que la première couche produit une assurance partielle présentée comme totale.

Le second angle mort concerne les données d'entraînement. Un modèle édité en Europe peut avoir été entraîné sur des corpus dont ni la composition ni les biais ne sont publiquement documentés. Or les biais d'un système de détection déterminent ce qu'il voit et ce qu'il ignore. Cette opacité relève de la même famille de risques que celle qu'on cherche à écarter en choisissant le fournisseur.

Le troisième tient à la réversibilité. Un choix souverain qui enferme dans une dépendance unique reproduit, à l'échelle nationale, le problème qu'il prétendait résoudre. La maîtrise réelle se juge à la capacité de changer de fournisseur sans perdre ses données, ses règles de détection et son historique. C'est une exigence contractuelle et architecturale, pas une question de nationalité.

Ce que les organisations peuvent tirer de ce précédent pour leur propre veille

La transposition raisonnable consiste à classer ses usages selon ce qu'ils exposent. Un outil qui lit du code source, des tickets d'incident ou des journaux d'authentification relève d'un régime strict. Un outil qui traite de l'information publique relève d'un régime allégé. Cette classification vaut mieux qu'une politique uniforme, toujours trop coûteuse ou trop laxiste.

Elle suppose une cartographie préalable, rarement disponible : quels systèmes voient quoi, avec quelle persistance, sous quelle juridiction. L'Observatoire de l'Intelligence Économique documente régulièrement l'écart entre les inventaires déclarés et les usages réels dans les organisations, un écart qui rend inopérante toute doctrine d'achat qui ne s'appuierait que sur des déclarations.

La veille sur ces arbitrages a une valeur propre, car les décisions d'achat publiques annoncent les standards privés des années suivantes. NewsCore (www.newscore.fr) surveille en continu des millions de sources dans des dizaines de langues, relie les annonces institutionnelles aux signaux techniques et ramène chaque information à sa publication d'origine, ce qui donne aux directions un temps d'avance sur les exigences à venir.

Trois trajectoires plausibles pour les prochaines consultations

Première hypothèse de travail : le critère se généralise aux fonctions sensibles et se stabilise là, sans s'étendre à la bureautique. Le marché se segmente alors entre une zone souveraine, étroite et bien payée, et un reste soumis à la concurrence ordinaire. Les fournisseurs nationaux se spécialisent sur la première plutôt que de concourir partout.

Deuxième hypothèse : le critère glisse de la nationalité vers la vérifiabilité. Ce qui serait noté ne serait plus le pavillon mais la capacité à prouver la localisation des traitements, la non-conservation des artefacts d'analyse et la réversibilité contractuelle. Cette trajectoire favoriserait les fournisseurs capables d'audit, quel que soit leur pays d'origine.

Troisième hypothèse : l'exigence se dilue sous la pression des coûts et des délais, et redevient un critère de départage marginal. Elle resterait invoquée dans les communications sans peser sur les notations. Suivre laquelle de ces trois trajectoires se réalise se fait à peu de frais, en observant les avis d'attribution et la façon dont les grilles pondèrent effectivement le critère.

Questions fréquentes

Qu'est-ce que la souveraineté technologique appliquée à un achat de cybersécurité ?

C'est la capacité de conserver la maîtrise des données et des artefacts produits par un outil, y compris sous contrainte juridique étrangère. Elle se décline en couches successives : juridiction de l'exploitant, localisation des traitements, origine du modèle, origine du matériel. Un achat souverain valide explicitement les couches pertinentes pour l'usage visé, plutôt que d'invoquer un principe général.

Pourquoi la détection de vulnérabilités pose-t-elle un problème particulier ?

Parce que l'analyse produit une carte exploitable des points faibles de l'organisation. Ce sous-produit vaut, pour un adversaire, davantage que l'outil lui-même. La circulation ou la conservation de ces artefacts hors du périmètre de l'organisation crée un risque sans équivalent dans un achat logiciel classique, ce qui justifie un régime d'exigence renforcé sur cette fonction précise.

Un fournisseur national garantit-il l'indépendance technologique ?

Non, et le prétendre affaiblirait la démarche. La chaîne matérielle, les briques logicielles ouvertes et les corpus d'entraînement restent largement internationaux. La nationalité de l'éditeur règle la question de la juridiction applicable aux données, ce qui est important, mais elle ne règle ni la dépendance industrielle, ni l'opacité des modèles employés.

Comment une entreprise privée peut-elle transposer ce raisonnement ?

En classant ses usages selon ce qu'ils exposent, puis en réservant les exigences les plus fortes aux outils qui accèdent au code, aux journaux et aux configurations. Le reste relève d'un régime allégé. Cette approche par le niveau d'exposition coûte moins cher qu'une règle uniforme et se défend plus facilement devant un comité d'investissement.