La Commission européenne a présenté, le 3 juin 2026, un ensemble de mesures pour réduire la dépendance de l’Europe aux fournisseurs étrangers dans les secteurs stratégiques du numérique. Cet ensemble législatif européen sur la souveraineté technologique comprend : 

• un règlement sur le cloud et le développement de l’intelligence artificielle (le Cloud and AI Development Act) qui prévoit de tripler les capacités européennes en matière de centres de données dédiés à l'IA d'ici 5 à 7 ans ; 

• un règlement pour soutenir la production de semi-conducteurs dans l'Union européenne (le Chips Act 2.0) ; 

• une stratégie dédiée à l'open source qui vise notamment à promouvoir les logiciels libres dans les marchés publics ; 

• une feuille de route pour la numérisation dans le domaine de l'énergie pour garantir l’intégration des centres de données dans le système énergétique européen de manière durable et transparente.

La notion de souveraineté numérique est employée pour décrire la capacité d’un État à garder le contrôle de ses données, de ses services et de ses infrastructures numériques. Il s'agit de limiter les risques de dépendance technologique vis-à-vis de pays tiers. Cela implique de compter sur ses propres ressources et outils numériques pour le fonctionnement de ses infrastructures et services ou encore de mettre en place des normes de sécurisation pour la protection des données, en particulier les données sensibles des systèmes d’information de l’État. Il s’agit des données qui relèvent de secrets protégés par la loi ou indispensables aux missions essentielles de l’État et dont la divulgation pourrait nuire à l’ordre public, à la sécurité publique, à la santé ou à la vie des personnes, ainsi qu’à la protection de la propriété intellectuelle. 

D'après une enquête de l'Agence nationale de la sécurité des systèmes d'information (Anssi), le niveau de cyberattaques en France demeure élevé en 2025. Sur les 1 366 incidents de cybersécurité confirmés par l'Anssi, 34% concernent le secteur de l'éducation et de la recherche, 24% les ministères et collectivités territoriales et 10% la santé. Ces opérations sont parfois menées par des groupes criminels, mais aussi par des États liés à des intérêts géopolitiques. Elles peuvent paralyser des administrations publiques, sans compter le vol de données confidentielles. Face à la multiplication des attaques numériques visant les systèmes d'information de l'État, le Premier ministre a présenté un plan de renforcement de la cybersécurité. Parmi les mesures annoncées figure la création d'une autorité nationale du numérique et de l'intelligence artificielle, autour de la Direction interministérielle du numérique (Dinum). Celle-ci sera chargée d'assurer la standardisation et la sécurisation des infrastructures numériques des ministères. Le gouvernement prévoit également de débloquer 200 millions d’euros pour investir dans des applications et des outils de détection, et d'affecter les amendes de la Commission nationale de l'informatique et des libertés (CNIL) à un fonds de modernisation des infrastructures numériques de l'État. À partir de 2027, les ministères auront l’obligation de consacrer 5% de leurs budgets numériques à la cybersécurité.

La dépendance technologique des pays européens vis-à-vis des pays tiers expose les citoyens, administrations et entreprises à de nombreux risques : 

• risques de sécurité et de surveillance (espionnage, cyberattaques, application extraterritoriale des droits américain et chinois) ;
• risques politiques (lobbying des géants du numérique dans l’élaboration des politiques publiques pouvant conduire à une régulation affaiblie, des pratiques anticoncurrentielles et à un environnement numérique centralisé, abusif et antidémocratique) ;
• pressions économiques (hausses unilatérales des tarifs) et géopolitiques (restriction d'accès aux services technologiques).

Au plan européen, la souveraineté numérique est axée sur la protection des données personnelles des citoyens avec le règlement général sur la protection des données (RGPD), en vigueur depuis 2018. Tout transfert de données hors de l’UE n'est possible que si les acteurs concernés mettent en place des garanties précises (clauses contractuelles types, décision d’adéquation…). Elle repose également sur le Digital Services Act (DSA), qui s'applique à l'ensemble des services numériques depuis février 2024, et dont l'objectif est de renforcer le contrôle démocratique et la surveillance des grandes plateformes du numérique pour atténuer les risques qu'ils génèrent, tels que la manipulation de l'information. L’Union européenne dispose d’un cadre juridique lui permettant d’imposer de lourdes sanctions aux entreprises qui ne respectent pas ses règles, notamment en matière de protection des données.

Le marché européen du cloud est dominé par trois acteurs américains (Amazon Web Services, Microsoft Azure et Google Cloud). Ces entreprises sont soumises au droit américain, y compris lorsqu’elles opèrent en dehors des États-Unis, c'est ce qu'on appelle l'extraterritorialité du droit. Plusieurs textes à portée extraterritoriale encadrent ainsi l’accès aux données détenues par ces fournisseurs (Cloud Act, FISA...). Le Cloud Act, adopté en 2018 sous l'administration Trump, autorise les autorités américaines à accéder à des données stockées à l’étranger par des entreprises américaines, même lorsque ces serveurs sont situés sur le sol européen et hébergent des données nationales, sans avoir à passer par des procédures d’entraide judiciaire internationale. Cette loi fait peser un risque sur les données sensibles gérées par l’État ou les données personnelles des citoyens. Par ailleurs, elle entre en conflit avec le Règlement européen sur la protection des données (RGPD) qui stipule que les autorités d’un pays tiers ne peuvent obtenir des données qu’à travers des accords internationaux ou des mécanismes de coopération judiciaire.

Dès 2011, la France a tenté de développer un "cloud souverain" (projet Andromède) pour garantir un stockage des données sur le territoire national, qui s’est soldé par un échec. Pour accompagner le développement du cloud au sein de l’État, deux infrastructures ont été développées par le ministère des finances (cloud Nubo) et par le ministère de l’intérieur (cloud Pi). Elles s'appuient sur le réseau interministériel de l’État (RIE) qui raccorde l'ensemble des services de l'État. Ces clouds ont été ouverts aux administrations, mais restent peu utilisés. En cause, une offre de services limitée (en termes de disponibilité, d’expérience utilisateur ou de recours à l’intelligence artificielle) et une tarification considérée comme peu attractive, selon un rapport de la Cour des comptes. Face à l’absence d'alternative française crédible, le gouvernement a progressivement encadré l’usage du cloud dans les administrations. Depuis 2021, une stratégie nationale privilégie la notion de "cloud de confiance", qui remplace celle de "cloud souverain". L’objectif n'est plus de disposer d’une solution de cloud interne, mais de garantir une protection des données fondé sur la qualification "SecNumCloud". Créé en 2016, ce label assure un haut niveau de sécurité et une immunité contre les lois extraterritoriales américaines. 

Les puces électroniques, aussi appelées semi-conducteurs, sont indispensables à la souveraineté numérique européenne. La production des semi-conducteurs est largement dominée par l’Asie (80% de la production mondiale), tandis que les États-Unis occupent la première place pour la conception et la vente de produits finis. L’essor de l’intelligence artificielle fait exploser la demande mondiale de puces et les tensions géopolitiques fragilisent les chaînes d’approvisionnement, accentuant la nécessité pour l’Europe de renforcer son autonomie industrielle et ses capacités d’innovation. Sur le plan national, la filière des semi-conducteurs a bénéficié de 8,7 milliards d'euros d'aides programmées entre 2018 et 2025, l'un des montants les plus élevés accordés à un secteur industriel, selon la Cour des comptes. Dans sa stratégie électronique France 2030, la France vise une augmentation de 90% de sa capacité de production de semi-conducteurs à l’horizon 2030. En Europe, des plans de soutien ont été déployés, dont le Chips Act, entré en vigueur en 2023, qui vise à atteindre les 20% du marché mondial d'ici 2030 (contre 10% aujourd'hui). Si ce texte a contribué à mobiliser 52 milliards d'euros d'investissements publics et privés dans le secteur, l’UE reste dépendante des pays tiers dans des domaines clés. Le règlement sur les semi-conducteurs 2.0, proposé par la Commission européenne en juin 2026, vise à renforcer les capacités dans le domaine des technologies de pointe en matière de semi-conducteurs, sur lesquelles reposent les applications d'IA.

L’explosion de l’intelligence artificielle a renforcé les inquiétudes autour de la souveraineté numérique. Les modèles d'IA (GPT, Claude, Gemini) sont principalement développés aux États-Unis. Celui qui maîtrise l’IA pourrait demain influencer l’économie, l’éducation, la santé ou encore la défense. Pour la France et l'Union européenne, l’enjeu est double : éviter une dépendance stratégique, tout en garantissant que le développement de l’IA respecte les droits fondamentaux, les valeurs européennes et ses normes de sécurité. C’est dans cette logique qu’a été adopté le règlement européen sur l’IA (AI Act), qui vise à encadrer les usages selon leur niveau de risque. Pour entraîner les systèmes d'IA, il faut des quantités gigantesques de données et une puissance de calcul considérable. Pour ne pas décrocher dans la course à l’IA, l’UE prévoit de tripler le nombre de data centers sur son territoire. En février 2025, Bruxelles avait annoncé le lancement d’InvestAI, un fonds de 20 milliards d’euros réservé à la construction de cinq gigafactories à travers l’Europe, des installations informatiques à grande échelle dédiées au développement et à la formation de modèles d'IA. En parallèle, la start-up française Mistral IA a levé 830 millions de dollars pour construire un grand centre de données à Bruyères-le-Châtel, dans l’Essonne. La startup, qui incarne l'IA à l'européenne, mise sur l’open source et la maîtrise des données pour rivaliser avec ses concurrents américains.

L'open source est souvent présenté comme un moyen de réduire la dépendance aux technologies de pays tiers et de renforcer le contrôle sur les infrastructures numériques critiques. Il s'agit d'un modèle de développement logiciel où le code source est accessible publiquement. Cela permet à quiconque de consulter, d'utiliser, de modifier et de redistribuer le logiciel selon les conditions définies par sa licence. Les solutions open source présentent plusieurs avantages : elles permettent de réduire le risque de dépendance à un fournisseur unique, facilitent l’interopérabilité entre les systèmes et offrent davantage de transparence sur le fonctionnement des outils numériques. Les logiciels libres représentent 70 à 90% du code de l'économie numérique, pourtant la majeure partie de la valeur générée par les communautés open source européennes est exportée hors de l'UE, profitant aux géants technologiques étrangers, selon la Commission européenne. L’Europe reste confrontée à plusieurs obstacles : les projets open source peinent souvent à trouver des financements, à franchir le cap de l’industrialisation ou à accéder aux marchés publics. La nouvelle stratégie de l’UE dédiée à l’open source entend renforcer la coordination entre les États membres, améliorer les mécanismes de financement et soutenir des modèles commerciaux open source durables.

Vous pouvez consulter les lettres thématiques déjà publiées
sur notre site www.vie-publique.fr