Souveraineté du fournisseur : hypothèse d'un critère de passation devenu dominant

La souveraineté numérique est un mot commode : chacun l'emploie et peu de documents contractuels le définissent. Tant qu'il reste au niveau du discours, il ne coûte rien et n'engage personne. Il change de nature le jour où il devient un critère qui écarte une offre, car il faut alors dire précisément ce qu'il recouvre, comment on le vérifie, et ce qui distingue une offre conforme d'une offre écartée. C'est ce passage du discours à la clause qui fait l'objet de cet article.

Entreprisma rapporte qu'après la cyberattaque ayant touché l'administration fiscale française, le ministre de l'Action et des Comptes publics, David Amiel, a indiqué que le gouvernement souhaite faire appel à des fournisseurs français d'intelligence artificielle, notamment Mistral, pour identifier les vulnérabilités des services publics, et qu'il exclut OpenAI pour ce type de mission au motif qu'il s'agit d'un fournisseur américain, en invoquant la souveraineté technologique. Entreprisma indique que la cyberattaque a entraîné le vol de données d'environ 678 000 utilisateurs, chiffre attribué à Reuters.

Le Fil de la Veille a rendu compte de cet arbitrage et de ses suites. Le présent texte en tire une hypothèse de travail, posée comme telle et non comme une prédiction : la souveraineté du fournisseur deviendra un critère dominant de passation sur un périmètre restreint de missions, et restera secondaire ailleurs. Nous énonçons l'hypothèse, nous décrivons son mécanisme, nous précisons ce qui la réfuterait.

Ce que recouvre la souveraineté d'un fournisseur

Trois propriétés distinctes se cachent derrière le mot. La première est le rattachement juridique : la loi à laquelle l'entreprise et sa maison mère sont soumises, et les obligations d'accès aux données qui en découlent, indépendamment de la volonté du prestataire. La deuxième est la localisation des traitements et des données, qui commande la juridiction applicable au stockage et l'exposition aux interruptions. La troisième est le contrôle de la chaîne technique : composants, dépendances logicielles, matériel d'exécution.

Ces trois propriétés ne se recouvrent pas. Une entreprise de droit national peut faire tourner ses traitements sur une infrastructure contrôlée à l'étranger. Une infrastructure localisée sur le territoire peut être exploitée par une entité soumise à une obligation d'accès extraterritoriale. Un fournisseur irréprochable sur les deux premiers points peut dépendre entièrement, en couche basse, de composants qu'il ne maîtrise pas. Une clause qui n'exige que l'une des trois propriétés produit une conformité apparente.

Il faut y ajouter une quatrième dimension, rarement traitée : la réversibilité. Un fournisseur dont on ne peut pas sortir en un délai borné crée une dépendance qui rend le critère initial largement décoratif. La question n'est pas seulement de savoir qui l'on choisit, mais ce qu'il en coûte de changer d'avis, et sous quel délai.

Ce que dit l'arbitrage rapporté, et ce qu'il ne dit pas

L'arbitrage relaté par Entreprisma porte sur un type de mission précis, l'identification de vulnérabilités de services publics, et non sur l'ensemble des achats publics de technologie. Cette délimitation est la partie la plus instructive du fait. Elle indique que le critère ne s'applique pas uniformément mais se déclenche selon la sensibilité de la mission, ce qui est très différent d'une préférence générale.

Ce que le fait ne dit pas mérite d'être posé avec la même rigueur. Il ne dit pas qu'un critère de souveraineté sera écrit dans les documents de consultation à venir, ni qu'il sera éliminatoire, ni qu'il survivra aux contraintes de mise en concurrence. Une déclaration ministérielle exprime une orientation ; une clause produit un effet juridique. Entre les deux se trouve tout l'objet de l'hypothèse examinée ici.

Pourquoi ce critère est difficile à écrire dans un cahier des charges

Un critère de passation doit être objectif, vérifiable et proportionné à l'objet du marché. La souveraineté résiste aux trois exigences. Objectif : la nationalité d'une entreprise se constate, mais la chaîne de contrôle capitalistique change avec les opérations financières. Vérifiable : la localisation des traitements se déclare plus facilement qu'elle ne s'audite. Proportionné : plus l'exigence descend dans la chaîne technique, plus elle restreint le nombre d'offres recevables.

Le résultat courant est un critère qui exclut sans protéger. Il écarte des offres sur le rattachement visible tout en laissant intacte la dépendance en couche basse, qui est celle par laquelle passe le risque réel. Le tableau ci-dessous distingue les dimensions et leur vérifiabilité.

L'hypothèse de travail : un critère dominant sur un périmètre restreint

L'hypothèse s'énonce précisément. La souveraineté du fournisseur deviendra dominante, au sens de critère éliminatoire, sur les missions qui donnent accès à des vulnérabilités, à des données d'identification massives ou à des systèmes de commande. Elle restera secondaire, au sens de critère pondéré parmi d'autres, sur le reste des achats. La partition ne suivra donc ni les secteurs ni les montants, elle suivra la nature de l'accès accordé.

Le mécanisme est celui de l'attribution des responsabilités après incident. Le critère devient dominant là où un décideur public ou privé peut se voir demander pourquoi il a confié un accès sensible à une entité soumise à une loi étrangère. Ce n'est pas un raisonnement de performance, c'est un raisonnement de justification a posteriori, et il se concentre naturellement sur les accès dont l'exploitation serait la plus difficile à expliquer.

Un critère devient éliminatoire quand l'incident qu'il prévient serait impossible à justifier, pas quand il est le plus probable.

La dépendance ne se loge pas seulement chez le fournisseur principal

Une tribune d'opinion signée Burak Oktenli et publiée par le Washington Examiner illustre le déplacement du risque vers les couches ordinaires. Elle rappelle que le cas Vizio traité par la Federal Trade Commission a montré que des téléviseurs connectés pouvaient collecter des informations de visionnage seconde par seconde et les associer à des données démographiques des ménages, et qu'une action de la Federal Communications Commission bloque principalement les nouvelles autorisations d'équipements tandis que les appareils déjà approuvés restent installés.

L'argument central de cette tribune vaut d'être retenu pour notre sujet : le risque ne dépend pas de la malveillance d'un appareil, la télémétrie ordinaire et l'accès aux systèmes contrôlés par le fournisseur suffisent à créer l'exposition, qui naît de la corrélation de flux sur une même personne ou un même lieu. Transposé à la passation, cela signifie qu'un critère de souveraineté appliqué au seul contractant de premier rang laisse ouverte la partie du risque qui provient du parc déjà installé.

Ce qui invaliderait l'hypothèse, et comment la tester

Deux observations la feraient tomber. La première : si les critères souverains restent formulés comme des pondérations modestes dans les grilles de notation, sans seuil éliminatoire, l'hypothèse d'une domination est fausse même si le vocabulaire se généralise. La seconde : si les recours contentieux sur la mise en concurrence font systématiquement tomber ces clauses, le critère restera déclaratif quelles que soient les intentions affichées.

Le test est observable et ne demande aucune spéculation : suivre, dans les documents de consultation publiés, l'apparition de seuils éliminatoires explicites, de clauses de sortie chiffrées et d'exigences portant sur la sous-traitance en cascade. C'est un travail de veille documentaire continue sur des sources publiques. NewsCore (www.newscore.fr) couvre en continu des millions de sources, suit les publications institutionnelles et les annonces de marché dans plusieurs langues, et ramène chaque signal à sa publication d'origine datée, ce qui rend ce suivi tenable dans la durée.

Questions fréquentes

Qu'est-ce qu'un fournisseur souverain, concrètement ?

L'expression n'a pas de définition unique, et c'est sa principale faiblesse opérationnelle. Elle combine au moins quatre propriétés distinctes : le rattachement juridique de l'entreprise et de ses actionnaires, la localisation des traitements et des données, le degré de contrôle sur la chaîne technique, et la possibilité de sortir du contrat dans un délai borné. Un fournisseur peut satisfaire l'une de ces propriétés et pas les autres, ce qui rend indispensable de préciser laquelle est exigée.

Un critère de souveraineté est-il compatible avec les règles de mise en concurrence ?

La compatibilité dépend de la formulation. Un critère fondé sur la nationalité de l'entreprise se heurte aux principes d'égalité de traitement. Un critère fondé sur des propriétés vérifiables et proportionnées à l'objet du marché, localisation des traitements, absence d'obligation d'accès extraterritoriale, réversibilité chiffrée, se défend mieux car il porte sur des caractéristiques de la prestation et non sur l'identité du candidat. C'est cette différence de rédaction qui décide de la solidité du critère.

Comment évaluer la dépendance réelle d'une organisation à un fournisseur ?

En partant de la sortie plutôt que de l'entrée. On établit, pour chaque fournisseur critique, le délai et le coût nécessaires pour transférer la prestation ailleurs, les données à récupérer et leur format, et les fonctions qui cesseraient pendant la transition. Cet exercice révèle des dépendances que le seul examen du contrat ne montre pas, notamment celles qui viennent des couches techniques sous-jacentes et du parc d'équipements déjà déployés.