Souveraineté numérique, cloud de confiance, cybersécurité renforcée, ce que la France veut reprendre aux géants étrangers

La souveraineté numérique revient au centre des décisions publiques françaises, sous l’effet combiné des tensions géopolitiques, des exigences de cybersécurité et de la dépendance persistante aux grands fournisseurs étrangers. Selon IT Social, la France multiplie les gestes institutionnels et les initiatives de terrain pour reprendre la main sur ses infrastructures, ses données et ses usages critiques. Le mouvement ne repose pas sur une mesure unique, mais sur une accumulation de décisions dans le cloud, la commande publique, la sécurité informatique, les collectivités et les services publics. Cette orientation place l’État, les entreprises technologiques et les administrations locales devant une même question: comment gagner en autonomie sans ralentir les projets numériques déjà engagés.

L’État français resserre le pilotage des données sensibles

Le premier terrain de cette politique concerne le pilotage des informations jugées critiques. L’État français cherche à mieux identifier les services qui manipulent des données de santé, des données fiscales, des informations de sécurité ou des fichiers liés aux politiques sociales. Cette cartographie devient un préalable avant tout choix technique. Elle permet de distinguer les usages courants, comme la bureautique ou l’archivage général, des traitements dont la perte de contrôle aurait des conséquences directes pour les citoyens ou les administrations.

La DINUM, l’ANSSI et les ministères disposent déjà de cadres pour orienter les administrations, mais la difficulté se situe dans l’exécution. Les directions numériques doivent arbitrer entre coûts, délais, sécurité et continuité de service. Dans certains cas, les solutions déjà installées sont profondément intégrées aux outils métiers. Les remplacer demande des audits, des migrations progressives et des équipes capables d’accompagner les agents. La souveraineté numérique devient donc moins un slogan qu’un chantier de transformation interne.

Les données sensibles représentent un point de vigilance particulier, car elles circulent souvent entre plusieurs systèmes. Un dossier administratif peut passer par une plateforme d’hébergement, un outil de relation usager, une messagerie, un prestataire de maintenance et une application métier. Chaque maillon crée une exposition potentielle. Les services de l’État poussent de ce fait les administrations à réduire les dépendances contractuelles mal maîtrisées et à vérifier les conditions d’accès aux données, notamment lorsque les prestataires relèvent de législations extraterritoriales.

Cette démarche modifie aussi la relation avec les fournisseurs. Les acteurs publics demandent davantage de transparence sur la localisation des données, les sous-traitants, les procédures de support et les garanties juridiques. Le débat ne porte plus seulement sur la performance d’un logiciel. Il inclut la capacité à maintenir un service en période de crise, à auditer les accès et à conserver une maîtrise opérationnelle. Cette exigence crée une pression nouvelle sur les offres numériques destinées au secteur public.

Cloud de confiance: Paris pousse SecNumCloud dans les achats

Le cloud constitue le dossier le plus visible de la souveraineté numérique française. Les administrations utilisent massivement des services hébergés pour stocker, analyser et partager leurs données. Paris encourage désormais le recours à des offres de cloud de confiance, en particulier lorsque les systèmes traitent des informations critiques. Cette orientation vise à limiter la dépendance envers les plateformes mondiales tout en conservant les bénéfices du cloud: élasticité, supervision, sauvegarde et déploiement rapide des applications.

La qualification SecNumCloud, délivrée selon un référentiel exigeant, devient un repère central dans les achats publics. Elle garantit un niveau élevé de sécurité technique, d’organisation et de gouvernance. Pour les acheteurs, ce cadre facilite la comparaison entre offres. Pour les fournisseurs, il impose des investissements lourds en infrastructure, en documentation, en contrôle d’accès et en procédures d’audit. Tous les prestataires ne peuvent pas atteindre ce niveau sans revoir profondément leur modèle d’exploitation.

Le sujet reste délicat pour les administrations déjà engagées avec de grands acteurs internationaux. Les services de Microsoft, Amazon Web Services ou Google Cloud offrent un catalogue très large, des outils d’intelligence artificielle, des capacités de calcul étendues et une présence industrielle mondiale. Les alternatives qualifiées ou européennes progressent, mais elles doivent encore convaincre sur la richesse fonctionnelle, les coûts et la disponibilité des compétences. Les décideurs publics avancent donc souvent par étapes, avec des architectures hybrides et des périmètres réservés aux données les plus sensibles.

Les fournisseurs européens disposent dans ce contexte d’une fenêtre commerciale réelle. Ils peuvent se positionner sur l’hébergement souverain, la sauvegarde sécurisée, les environnements de développement et les plateformes de données. Leur défi consiste à proposer des services suffisamment standardisés pour être compétitifs, sans perdre les garanties attendues par l’État. Les prochains appels d’offres seront observés de près, car ils diront si la préférence souveraine se traduit par des volumes significatifs ou par des expérimentations limitées.

Collectivités et hôpitaux testent des solutions locales

La souveraineté numérique ne se joue pas seulement dans les ministères. Les collectivités, les établissements publics et les hôpitaux sont directement concernés, car ils gèrent des données de proximité très sensibles. Une commune administre l’état civil, les inscriptions scolaires et les services sociaux. Un département traite des dossiers d’aide sociale. Un centre hospitalier conserve des comptes rendus médicaux, des images et des informations de prise en charge. Cette diversité rend le terrain plus complexe que les annonces nationales.

Dans plusieurs territoires, les projets se concentrent sur des briques concrètes: messagerie sécurisée, hébergement local, coffre-fort numérique, sauvegardes hors ligne et plans de reprise d’activité. Les solutions locales répondent à une préoccupation simple: continuer à fonctionner après une panne majeure ou une attaque. Les cyberattaques contre des collectivités ont montré que la paralysie d’un système informatique peut bloquer l’accueil du public, la facturation, la paie des agents ou la gestion des équipements municipaux.

Les sauvegardes deviennent un indicateur de maturité. Il ne suffit plus de disposer d’une copie des fichiers. Les responsables informatiques doivent tester la restauration, isoler certains jeux de données, documenter les procédures et former les équipes. Dans un hôpital, quelques heures d’indisponibilité peuvent perturber les admissions, les prescriptions et la coordination entre services. Dans une petite mairie, l’absence d’un agent spécialisé peut retarder le retour à la normale. Le besoin de mutualisation se renforce donc entre communes, syndicats numériques et centres de gestion.

Le frein principal reste la capacité humaine. Les collectivités disposent rarement des mêmes équipes que les grands ministères ou les grandes entreprises. Les élus doivent arbitrer entre sécurité informatique, voirie, école, transport et logement. Les prestataires locaux jouent alors un rôle important, mais leur niveau de sécurité varie fortement. Le mouvement engagé pousse les territoires à professionnaliser leurs contrats, à exiger des engagements vérifiables et à intégrer la cybersécurité dans les budgets courants, et non plus dans des dépenses exceptionnelles après incident.

IA générative et cybersécurité concentrent les décisions de 2026

L’année 2026 place deux dossiers au premier plan: l’IA générative et la cybersécurité. Les administrations veulent bénéficier des outils capables de résumer des documents, d’assister les agents et d’améliorer la relation avec les usagers. Mais ces usages soulèvent une question immédiate: quelles données peuvent être envoyées dans un modèle, où sont-elles traitées et qui peut les réutiliser. Les projets les plus avancés cherchent donc à encadrer les expérimentations plutôt qu’à les bloquer.

Les modèles d’intelligence artificielle entraînent aussi une nouvelle dépendance industrielle. Les capacités de calcul, les processeurs spécialisés, les centres de données et les logiciels d’orchestration sont dominés par un nombre limité d’acteurs mondiaux. Pour la France, la souveraineté ne signifie pas tout produire seule. Elle consiste à choisir les dépendances acceptables, à protéger les données stratégiques et à maintenir des alternatives crédibles pour les usages publics sensibles. Cette ligne impose une coordination entre recherche, entreprises, administration et financeurs.

La cybersécurité suit la même logique. Les menaces ne ciblent plus uniquement les grands groupes. Elles touchent les PME, les hôpitaux, les communes et les prestataires qui travaillent pour le secteur public. Les rançongiciels, l’hameçonnage et le vol d’identifiants demeurent des risques courants. Les autorités poussent les organisations à renforcer l’authentification, la surveillance, la segmentation des réseaux et les exercices de crise. Les outils comptent, mais les procédures et les réflexes des agents restent déterminants.

Le dernier enjeu concerne les compétences. Un plan de souveraineté numérique échoue s’il manque d’architectes cloud, d’experts sécurité, de juristes du numérique, d’acheteurs formés et de chefs de projet capables de dialoguer avec les métiers. Les écoles, les organismes de formation et les administrations doivent donc élargir leur vivier. Les gestes institutionnels mentionnés par IT Social prennent leur portée seulement lorsqu’ils se traduisent en postes, en budgets, en audits réguliers et en outils utilisés par les équipes de terrain.