rapport d'information fait au nom de la mission d'information sur le thème « Bâtir et promouvoir une souveraineté numérique nationale et européenne » — Auditions

La mission d’information sur le thème « Bâtir et promouvoir une souveraineté numérique nationale et européenne » est composée de : M. Jean-Luc Warsmann, président ; Mmes Virginie Duby-Muller, Danièle Hérin, MM. Denis Masséglia, Jean-Michel Mis, vice-présidents ; M. Philippe Latombe, rapporteur, Mme Valéria Faure-Muntian, M. Philippe Gosselin, Mmes Marietta Karamanli, Amélia Lakrafi, secrétaires ; Mme Laetitia Avia, MM. Xavier Batut, Éric Bothorel, Moetai Brotherson, Mmes Frédérique Dumas, Paula Forteza, MM. Thomas Gassilloud Bastien Lachaud, Christophe Lejeune, Mme Marion Lenne, MM. Philippe Michel-Kleisbauer, Jérôme Nury, Pierre Person, Pierre-Alain Raphan, Mme Nathalie Serre, membres.

SOMMAIRE

Pages

1. Audition, ouverte à la presse, de Mme Naomi Peres, secrétaire générale adjointe du secrétariat général pour l’investissement (SGPI), et de M. Clément Jakymiw, directeur adjoint du programme industries et services du secrétariat général pour l’investissement (11 mars 2021)
2. Audition, ouverte à la presse, de M. le professeur Thibault Douville, professeur des universités, directeur du master Droit du numérique à l’Université Caen Normandie (11 mars 2021)
3. Audition, ouverte à la presse, de M. Julien Nocetti, docteur en sciences politiques, chercheur associé à l’institut français des relations internationales (Ifri) et enseignant-chercheur en relations internationales et études stratégiques aux Écoles de Saint-Cyr Coëtquidan (11 mars 2021)
4. Audition, ouverte à la presse, de MM. Julien Groues, directeur général, et Stéphan Hadinger, directeur technique, d’Amazon Web services (AwS) (18 mars 2021)
5. Audition, ouverte à la presse, de MM. Olivier Esper, chargé des relations institutionnelles, et Fenitra Ravelomanantsoa, responsable des affaires publiques, de Google France (18 mars 2021)
6. Audition ouverte à la presse, de M. Bruno Sportisse, président-directeur général de l’institut national de recherche en sciences et technologie du numérique (Inria) (18 mars 2021)
7. Audition, ouverte à la presse, de MM. Jean-Claude Laroche, vice-président, et Henri d’Agrain, délégué général, du Club informatique des grandes entreprises françaises (Cigref) (18 mars 2021)
8. Audition, ouverte à la presse, de M. Gwendal Le Grand, secrétaire général adjoint de la Commission nationale de l’informatique et des libertés (CNIL) (25 mars 2021)
9. Audition de M. Guillaume Poupard, directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) (25 mars 2021)
10. Audition, ouverte à la presse, de M. Fabrice Brégier, président de Palantir France, de MM. Olivier Tesquet, journaliste spécialisé dans les questions numériques à Télérama, et d’Olivier Laurelli, cofondateur de Reflets.info (25 mars 2021)
11. Audition, ouverte à la presse, de M. Éric Baissus, président-directeur général de Kalray (30 mars 2021)
12. Audition, ouverte à la presse, de M. David Ofer, président de la Fédération française de la Cybersécurité (30 mars 2021)
13. Audition, ouverte à la presse, de MM. Pierre Lelièvre et Olivier Charlannes, vice-présidents de la société IDEMIA, et de M. Cosimo Prete, président fondateur de la société Crime Science Technology (1er avril 2021)
14. Audition, ouverte à la presse, de Mme Valérie Péneau, inspectrice générale de l’administration, directrice du programme interministériel France Identité numérique (FIN), et de Mme Anne-Gaëlle Baudouin-Clerc, préfète, directrice de l’agence nationale des titres sécurisés (ANTS) (1er avril 2021)
15. Audition commune, ouverte à la presse, de MM. Rodolphe Belmer, directeur général d’Eutelsat, et Hervé Derrey, président-directeur général de Thales Alenia Space) (6 avril 2021)
16. Audition commune, ouverte à la presse, de représentants - du groupe Atos : Mme Coralie Héritier, responsable des identités numériques, dirigeante d’IDnomic, et d’IN Groupe : MM. Romain Galesne-Fontaine, directeur des relations institutionnelles, et Yann Haguet, vice-président exécutif identité numérique, copilote du groupe de travail identité numérique au sein du comité stratégique de filière des industries de sécurité (6 avril 2021)
17. Audition, ouverte à la presse, de M. Jérôme Notin, directeur général du groupement d’intérêt public Action contre la Cybermalveillance (GIP ACYMA) (8 avril 2021)
18. Audition, ouverte à la presse, de M. Guillaume Vassault-Houlière, président-directeur général et cofondateur, et Mme Rayna Stamboliyska, vice-présidente en charge des affaires publiques et institutionnelles, de Yes We Hack (8 avril 2021)
19. Audition, ouverte à la presse, de M. Michel Van Den Berghe, président de la mission Campus Cyber (13 avril 2021)
20. Audition, ouverte à la presse, de M. Arnaud Dechoux, responsable des affaires publiques « Europe », de la société Kaspersky (13 avril 2021)
21. Audition, ouverte à la presse, de M. Laurent Degré, président-directeur général de la société Cisco Systems France et de M. Bruno Bernard, directeur des affaires publiques de la société Cisco Systems France (13 avril 2021)
22. Audition commune, ouverte à la presse, de Mme Bénédicte Roullier, cheffe du pôle « Transformation numérique des TPE/PME », et de M. Aurélien Palix, sous-directeur des réseaux et des usages numériques à la direction générale des entreprises (ministère de l’économie, des finances et de la relance) (15 avril 2021)
23. Audition, ouverte à la presse, de M. Paul-François Fournier, directeur exécutif en charge de l’innovation de Bpifrance (15 avril 2021)
24. Audition, ouverte à la presse, de Mme Martine Garnier, responsable du département « Numérique et mathématiques appliquées », et de M. Frédéric Precioso, responsable scientifique « Intelligence artificielle », de l’Agence nationale de la recherche (ANR) (15 avril 2021)
25. Audition, ouverte à la presse, de Mme Raphaëlle Bertholon, secrétaire nationale à l’économie, l’industrie, le logement et le numérique, et de M. Nicolas Blanc, délégué national au numérique, de la confédération française de l’encadrement–confédération générale des cadres (CFE-CGC) (20 avril 2021)
26. Audition, ouverte à la presse, de M. Rémy Ozcan, président de la fédération française des professionnels de la blockchain (FFPB) (22 avril 2021)
27. Audition, ouverte à la presse, de M. Sébastien Dupont, président co-fondateur d’UNIRIS et de M. le général d’armée Grégoire de Saint-Quentin, président du cabinet de conseil Petra advisors et ancien conseiller du gouvernement pour la défense (22 avril 2021)
28. Audition commune, ouverte à la presse, de MM. Francesco Bonfiglio, directeur général, et Pierre Gronlier, directeur des technologies, de l’association internationale sans but lucratif GAIA-X et de Mme Marine de Sury, coordinatrice du French GAIA-X Hub (22 avril 2021)
29. Audition, ouverte à la presse, de M. Simon Polrot, président, et Mme Faustine Fleuret, directrice stratégique et relations institutionnelles, de l’association pour le développement des actifs numériques (ADAN) (27 avril 2021)
30. Audition, ouverte à la presse, de Me Nathalie Chiche, avocate au Barreau de Paris, déléguée à la protection des données, rapporteure de l’étude du Conseil économique, social et environnemental : « Internet : pour une gouvernance ouverte et équitable » (27 avril 2021)
31. Audition, ouverte à la presse, de Mme Liliane Dedryver, directrice de projets « Technologies et solutions numériques émergentes » du service de l’économie numérique à la direction générale des entreprises (DGE), et de Mme Pauline Faucon, adjointe au responsable du pôle « Affaires internationales, coordination européenne et enjeux technologiques du secteur financier », MM. Thimothée Huré, bureau « Épargne et marché financier » (FinEnt1), et Clément Robert, bureau « Services bancaires et moyens de paiement » (BancFin4), de la direction générale du Trésor (DGT) (ministère de l’économie, des finances et de la relance) (29 avril 2021)
32. Audition, ouverte à la presse, de MM. Édouard Geffray, conseiller d’État, directeur général de l’enseignement scolaire, et Jean-Marc Merriaux, inspecteur général de l’Éducation nationale, directeur du numérique pour l’éducation (ministère de l’Éducation nationale) (4 mai 2021)
33. Audition commune, ouverte à la presse, de MM. Renaud Vedel, préfet, coordonnateur de la stratégie nationale pour l’Intelligence artificielle et Julien Chiaroni, directeur du « Grand défi » intitulé « Sécuriser, certifier et fiabiliser les systèmes fondés sur l’Intelligence artificielle » (6 mai 2021)
34. Audition commune, ouverte à la presse, de Mme Françoise Mercadal-Delasalles, co-présidente du conseil national du numérique et directrice générale du Crédit du Nord, et de M. Gilles Babinet, co-président du conseil national du numérique et digital champion auprès de la Commission européenne (6 mai 2021)
35. Audition de M. le général de corps aérien Jean-François Ferlet, directeur du renseignement militaire (DRM) (ministère des armées) (20 mai 2021)
36. Audition de M. le général de division aérienne Didier Tisseyre, officier général commandant de la cyberdéfense (état-major des armées) (ministère des armées) et de l’ASC Sébastien bombal, chef du pôle stratégie (21 mai 2021)
37. Audition, ouverte à la presse, de M. Mehdi Gharsallah, conseiller stratégique pour le numérique auprès de la directrice de l’enseignement supérieur et de l’insertion professionnelle (ministère de l’enseignement supérieur, de la recherche et de l’innovation) (25 mai 2021)
38. Audition, ouverte à la presse, de M. Jean-Luc Sauron, professeur associé à l’université de Paris-Dauphine (25 mai 2021)
39. Audition, ouverte à la presse, de MM. Olivier Vallet, président-directeur général de Docaposte, membre du comité de direction de la branche numérique, et Gabriel de Brosses, directeur de la cybersécurité, du groupe La Poste (25 mai 2021)
40. Audition, ouverte à la presse, de Mme Corinne Caillaud, directrice des affaires extérieures, publiques et juridiques, membre du comité exécutif, et M. Jean-Renaud Roy, directeur des affaires institutionnelles, de Microsoft France (27 mai 2021)
41. Audition, ouverte à la presse, de M. Arnaud Castaignet, directeur de la communication et des affaires publiques de Skeleton Technologies, ancien directeur des relations publiques du programme e-Residency du gouvernement estonien (1er juin 2021)
42. Audition, ouverte à la presse, de M. Stéfane Fermigier, co-président du conseil national du logiciel libre (CNLL) (1er juin 2021)
43. Audition, ouverte à la presse, de M. Marc Hansen, ministre délégué à la digitalisation du gouvernement du Grand-Duché du Luxembourg (3 juin 2021)
44. Audition de M. Nicolas Lerner, administrateur civil hors classe, directeur des services actifs de la police nationale, directeur général de la sécurité intérieure (DGSI) (ministère de l’intérieur) (4 juin 2021)
45. Audition ouverte à la presse de M. Margiris Abukevicius, vice-ministre de la défense nationale de la République de Lituanie. (8 juin 9021)
46. Audition, ouverte à la presse, de M. Andres Sutt, ministre du commerce et des technologies de l’information de la République d’Estonie (9 juin 2021)

Audition, ouverte à la presse, de Mme Naomi Peres, secrétaire générale adjointe du secrétariat général pour l’investissement (SGPI), et de M. Clément Jakymiw, directeur adjoint du programme industries et services du secrétariat général pour l’investissement (11 mars 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. Nous recevons Mme Naomi Peres, secrétaire générale adjointe, et M. Clément Jakymiw, directeur adjoint du programme industries et services, du secrétariat général pour l’investissement (SGPI).

Le secrétariat général pour l’investissement est chargé, sous l’autorité du Premier ministre, de mettre en œuvre le programme d’investissements d’avenir (PIA). Ce programme soutient les projets d’excellence dans les filières structurantes pour la France et fait l’objet d’un suivi attentif par le Parlement. Trois programmes d’investissements d’avenir ont été initiés depuis 2010. Un quatrième PIA, d’un montant total de 20 milliards d’euros sur cinq ans, a été créé par la loi de finances pour 2021.

Nous partageons, Mme la secrétaire générale adjointe et M. le directeur adjoint, bon nombre de problématiques : le soutien aux projets technologiques critiques est en effet nécessaire pour construire une forme de souveraineté numérique nationale et européenne – c’est l’objet du plan de relance et du PIA 4 dont votre service est chargé. Nous souhaitons donc vous interroger sur votre vision dans ce domaine et sur la façon dont vos activités s’articulent avec celles du Haut-commissaire au Plan.

M. Philippe Latombe, rapporteur. Je souhaite vous interroger sur trois points en particulier.

Nous aimerions d’abord vous entendre sur ce que la souveraineté numérique recouvre, selon vous. Ce sujet fait l’objet d’une attention croissante, de la part des pouvoirs publics, notamment depuis la crise sanitaire. Au cours de nos auditions, nous avons eu l’occasion de recueillir plusieurs définitions de cette notion très large, que certains rapprochent parfois d’une forme d’autonomie stratégique ou décisionnelle. J’aimerais donc savoir comment vous appréhendez cette notion et de quelle façon les investissements d’avenir contribuent à promouvoir une forme de souveraineté numérique nationale ou européenne.

Je souhaiterais ensuite vous interroger sur les forces et faiblesses françaises dans les technologies stratégiques pour notre avenir, puisque vous disposez d’une vision très large de ces enjeux. Diverses initiatives ont d’ores et déjà été mises en œuvre au niveau européen, comme le plan intelligence artificielle présenté en 2018, le plan quantique annoncé plus récemment ainsi que le plan nano 2022. Nous souhaiterions connaître l’état des lieux des initiatives suivies par le SGPI et prendre connaissance des segments dans lesquels il nous faudrait, selon vous, renforcer notre action.

Enfin, j’aimerais que nous échangions sur le financement de l’innovation en France et sur la question des brevets. Nous avons auditionné France Brevets, structure créée en 2011 dans le cadre du PIA 1. Ses représentants nous ont indiqué que les entreprises françaises ont intérêt à se protéger des stratégies d’agression en achetant un certain nombre de brevets impactant leurs concurrents. La protection de nos pépites et les opportunités d’acquisitions d’acteurs clés semblent être un enjeu économique important. Je souhaiterais recueillir votre avis sur ce sujet, qui renvoie à une approche assez offensive de la souveraineté numérique.

Mme Naomi Peres, secrétaire générale adjointe du secrétariat général pour l’investissement (SGPI). Nous nous sommes intéressés à la notion de souveraineté avant la crise, lorsque nous avons commencé à préparer le quatrième PIA, en 2019. Nous avions alors convenu que la doctrine ou le principe d’investissement du PIA ne pouvait plus être la seule croissance – évidemment, le PIA vise à investir pour l’avenir, à créer des emplois et à développer la croissance, mais plus seulement. Nous avons donc réfléchi à compléter les principes d’investissement du PIA avec, d’une part, la transition écologique et, d’autre part, un concept rassemblant les aspects de résilience, de souveraineté et d’autonomie. Je vous rejoins sur le fait que la définition de la souveraineté n’est pas si simple. Nous retenons la définition suivante : la capacité d’apprécier une situation et de décider et d’agir sans contrainte et sans influence extérieure. Cette définition s’applique à l'État souverain. Nous lui avons préféré, dans le PIA 4, la notion de résilience, qui est à nos yeux plus large et emporte aussi une notion de souveraineté et d’autonomie. La résilience est la capacité d’un pays ou d’une organisation à résister aux conséquences d’une crise ou d’une agression et à retrouver le plus rapidement possible un fonctionnement normal, même si celui-ci est différent du fonctionnement précédent. La notion de résilience emporte donc mécaniquement la notion de souveraineté, en particulier en matière numérique. Les principes d’investissements du PIA sont donc constitués des trois concepts suivants : croissance potentielle, transition écologique et résilience des organisations socio-économiques au sens large.

En souhaitant appliquer cette notion à la matière numérique, nous avons réfléchi à trois grands aspects : le matériel, le logiciel et les usages. Ces trois éléments sont assez liés. Nous nous sommes posés la question suivante : dans quoi serait-il légitime d’investir, pas seulement dans une logique de retour sur investissement purement financier, mais extra-financier, c’est-à-dire dans une logique permettant d’augmenter notre autonomie, notre capacité à décider, notre capacité à rester maîtres de nos données, de nos logiciels et de nos matériels ?

Nous souhaitons appliquer cette notion à tous les domaines à chaque fois que nous bâtissons une stratégie, et pas seulement au numérique : la nouvelle logique du PIA 4 est construite autour de grandes stratégies d’investissement. Pour le PIA 4, nous avons souhaité prendre le temps de réunir l’ensemble des ministères compétents et de consulter assez largement, avant de lancer des appels à projets. Ainsi, nous associons largement les chercheurs, les parties prenantes, les collectivités territoriales, les entreprises. Avant de lancer un programme de recherche ou un programme d’investissement industriel, nous nous interrogeons de la manière suivante : dans ce domaine, quels sont les forces et faiblesses du pays, où se situent les besoins et un programme comme le PIA peut-il intervenir intelligemment ? Pour cela, nous essayons également d’articuler les outils normatifs, fiscaux et réglementaires, car nous avons plus de chances de réussir une transformation si nous nous sommes mis d’accord ensemble, auparavant, sur la feuille de route pour y arriver.

Nous avons travaillé de cette manière dans le secteur numérique. Les premières stratégies présentées par le Président de la République sont la stratégie quantique et la stratégie cyber. Plusieurs autres stratégies sont actuellement en cours d’élaboration, avec des consultations en ligne et des appels à manifestations d’intérêt. Nous tâchons d’appliquer cette notion de résilience et de souveraineté à tous les domaines. Nous l’avons, par exemple, appliquée à la stratégie hydrogène. Nous nous sommes interrogés de la manière suivante : quelle est la capacité de production d’hydrogène en France et à quel moment devons-nous déclencher le mécanisme d’aide à l’achat ? Il s’agit de trouver l’équilibre entre la volonté de développer rapidement l’hydrogène vert et bleu et le souci d’éviter d’acheter des catalyseurs chinois. Il y a donc un équilibre à trouver entre la volonté d’atteindre rapidement des objectifs et la volonté de garantir, grâce à ces investissements, notre autonomie et notre souveraineté.

En matière de numérique, cette logique est à l’œuvre dans les investissements conduits en faveur des matériels pour la 5G ou la 6G : nous veillons à ne pas être trop dépendants de matériels ou de composants dont nous ne maîtrisons pas la chaîne de production. Il en va de même pour le logiciel. Nous avons largement investi dans l’intelligence artificielle de confiance, avec le souci suivant : comment certifier les logiciels d’intelligence artificielle qui prendront peut-être, demain, une place prépondérante dans nos vies ?

Nous travaillons depuis trois ans à réaligner les investissements du PIA avec les activités de chaque ministère. Nous sommes un service du Premier ministre, afin de faire travailler ensemble toutes les parties prenantes avant de débloquer les fonds. Nous évitons d’adopter des prises de position et des points de vue qui ne seraient pas construits et partagés en interministériel. Le rôle du SGPI est très structurant dans le travail gouvernemental : il consiste à réunir tous les acteurs et à ouvrir la discussion avec des experts externes. Nous forgeons notre avis et nos convictions sur la base des avis d’experts, qu’ils soient issus des ministères, du Parlement ou de l’Organisation de coopération et de développement économiques (OCDE). Le SGPI ne regroupe que trente personnes, nous avons donc besoin de recourir à des sources d’expertise extérieures. Ce que je vous livre est donc le fruit d’une réflexion collégiale et ouverte au-delà du seul SGPI.

Nous avons travaillé sur la notion de souveraineté avec le Secrétariat général de la défense et de la sécurité nationale (SGDSN) et le Service de l'information stratégique et de la sécurité économiques (Sisse). Lors de la préparation du PIA 4, nous avons abouti à la conclusion suivante : la croissance économique est très bien caractérisée ; la transition écologique commence à l’être également, en particulier quant aux sujets de décarbonation et de référentiels d’appréciation de la biodiversité ; en revanche, il existe moins de littérature sur la résilience et sur la souveraineté. Nous avons donc collaboré avec les services qui travaillent de longue date sur ces sujets, pour savoir comment transposer une logique de souveraineté ou d’autonomie à d’autres champs, par exemple à l’éducation ou à la vieillesse. La notion d’autonomie et de résilience peut exister dans de nombreux autres domaines et nous devons réfléchir à la façon de la caractériser.

Nous nous efforçons d’apprécier les forces et faiblesses des différents secteurs en matière de souveraineté numérique. Nous considérons, par exemple, que la France dispose de toutes les compétences de haut niveau en matière quantique. Nous disposons de chercheurs compétents et nous réussissons à créer de formidables start-up dans ce domaine ; mais souvent, au moment où elles se mettent à grossir et qu’elles sont en capacité de conquérir des marchés, elles se heurtent à la fragmentation des marchés européens. Je pense que nous avons dépassé le sujet du financement en matière numérique : nous arrivons, à l’échelle européenne, à mobiliser les financements nécessaires pour permettre à ces entreprises de croître. Il se pose, en revanche, un sujet d’accès au marché en Europe. Il est plus facile, pour les entreprises, d’aller conquérir le marché américain que de s’adapter aux différents marchés européens. Nous essayons de mener ce diagnostic de forces et faiblesses, de manière très précise, pour chacune de nos stratégies. Les forces et faiblesses sont assez variables en fonction des secteurs considérés : en matière de cybersécurité, l’enjeu est de ne pas perdre l’avance gagnée ; en matière quantique, l’enjeu est d’abord d’investir dans l’amont, c’est-à-dire dans la recherche et le transfert technologique.

M. Clément Jakymiw, directeur adjoint du programme industries et services du secrétariat général pour l’investissement (SGPI). J’ajouterai un complément à propos du lien entre la notion de souveraineté et celles d’autonomie et de résilience. Ces notions sont différentes. On peut être souverain, sans nécessairement faire preuve d’autonomie ou d’une très forte résilience. Les enseignements de la crise sont extrêmement intéressants à cet égard : ils ont montré que les notions d’autonomie et de résilience sont bien plus prégnantes que l’on pouvait l’imaginer auparavant. Cela est particulièrement visible dans le domaine de la santé, en raison des débats soulevés à propos des masques, des respirateurs ou des vaccins. Il faut bien entendu généraliser cette réflexion au secteur du numérique. Cette notion de souveraineté, avec un double prisme d’autonomie et de résilience, est au cœur des attentions médiatiques et des industriels.

M. Philippe Latombe, rapporteur. Petite équipe d’une trentaine de personnes, placée sous l’autorité du Premier ministre, ce format vous apporte-t-il de l’agilité, et cette agilité est-elle une force dans l’exercice de votre mission ? Le fait d’être placé sous l’autorité directe du Premier ministre vous donne-t-il une capacité à mobiliser, beaucoup plus importante ?

D’autre part, ne nous manque-t-il pas aujourd'hui une administration spécialisée dans l’innovation et le numérique ? Le secrétaire d’État au numérique est à Bercy ; la ministre déléguée à l’innovation l’est également. Les activités ne devraient-elle pas être plus transversales ?

Mme Naomi Peres. Il n’est pas facile de trouver le juste milieu entre une « agencisation » sur le format de l’Agence d'innovation de défense (AID) et notre format actuel. L’ « agencisation » aurait beaucoup d’avantages, car les moyens de mise en œuvre des crédits seraient concentrés. Cela nous rendrait également plus visibles. Notre service est peu connu des bénéficiaires finaux. Nos grands opérateurs sont Bpifrance, la Caisse des dépôts et consignations, l’Agence de l'environnement et de la maîtrise de l'énergie (ADEME) et l’Agence nationale de la recherche (ANR) – nos bénéficiaires les connaissent beaucoup mieux que nous. Ce modèle a été décidé il y a dix ans : il explique que ce sont souvent ces grands opérateurs qui sont identifiés comme les acteurs de l’innovation dans leur domaine. Nous avons capitalisé sur l’image et sur la force de ces grands opérateurs.

Le fait d’être placés à Matignon nous offre effectivement une grande agilité. Ce rattachement est, à mes yeux, extrêmement important. Nous sommes un petit service, rassemblant des directeurs « métiers », experts dans leurs domaines et fonctionnant quasiment sous la forme d’un cabinet. Nous bénéficions d’une grande liberté d’accès aux administrations et aux ministères. En ce qui concerne la construction des stratégies et des politiques d’innovation, notre force est de pouvoir réunir des acteurs multiples pour les faire travailler ensemble à la construction d’un projet commun. Il est parfois difficile de garantir l’équilibre des arbitrages. Notre responsabilité est de proposer au Premier ministre des arbitrages et des décisions de financement. Il n’y a pas de lieu plus neutre que Matignon pour faire valoir les différents points de vue. In fine, Matignon arbitre et c’est son rôle. Le rattachement au Premier ministre est, à mes yeux, fondamental.

Ce sujet est un petit peu différent de la forme. L’équilibre du modèle entre, d’une part, « l’agencisation », sur le modèle de l’agence de l’innovation, et, d’autre part, un petit secrétariat, sur le format du secrétariat général à l’investissement qui s’appuie sur les opérateurs, pose une vraie question. Les deux options ont leurs avantages et leurs inconvénients. Cette question a été en partie développée dans le rapport de notre comité de surveillance. Le rapport a développé les différents modèles d’organisation possibles. Chacun des modèles suppose des moyens différents en administration centrale. Chaque modèle a également des impacts en matière d’appropriation des stratégies d’investissement par les ministres. Cela n’aurait pas beaucoup de sens de financer une stratégie cloud qui ne serait pas articulée avec ce qui est en train d’être négocié, par le secrétariat d’État au numérique, au niveau européen, sur la sécurisation du cloud, ou avec la stratégie de l'État en matière de cloud. Aujourd'hui, notre service est discret et ne concurrence pas les ministres, en termes de visibilité et de portage.

Cela est important, si l’on réfléchit au fait que ces actions doivent essaimer dans le temps. Le PIA est un programme d’innovation qui intervient dans beaucoup de secteurs et dont le rôle est de faire la preuve de concept. Ce programme ne sera jamais capable de gérer un déploiement. Si l’on centralise trop et que les ministères ne s’approprient pas le travail sur l’innovation, on risque alors, quand l’innovation aura fait ses preuves, que les ministères ne s’en emparent pas et ne lèvent pas les derniers verrous réglementaires à son déploiement. Il n’est pas si simple de trouver le bon modèle en matière d’innovation.

S’agissant du rattachement du secrétariat d’État au numérique à Matignon ou à Bercy, nous travaillons avec tous les ministres et les secrétaires d’État, quel que soit leur rattachement. Si le positionnement à Matignon aide dans la discussion interministérielle, en revanche, les moyens d’administration sont à Bercy. Il n’y a donc pas de réponse évidente, s’agissant du positionnement du secrétariat d’État au numérique. Nous nous attachons à faire vivre cette notion d’innovation en interministériel : un seul comité interministériel suit l’ensemble des stratégies d’investissements. Il est important de garder une dynamique collective : tous les ministères sont présents autour de la table, même quand nous discutons de sujets pointus, comme la 5G ou le cloud. Petit à petit, la transversalité se construit. Depuis dix ans, le PIA a toujours été capable de travailler en interministériel.

Le PIA 1 a financé France Brevets, dont le modèle économique et le format sont actuellement en cours d’examen. Le gouvernement ne s’est pas encore prononcé à ce sujet. Nous avons veillé à traiter du mieux possible la composante propriété intellectuelle au sein de chacune de ces stratégies d’accélération. Tout un chapitre lui est consacré dans les stratégies cyber et quantique. Nous nous demandons comment mobiliser les bonnes expertises. L’achat de brevets, qui est une stratégie agressive, n’est pas la seule solution. Nous réfléchissons également à accompagner nos start-up pour les amener à protéger leurs technologies, au bon moment, avant d’en acheter d’autres. Un défaut d’accompagnement persiste aujourd'hui à ce sujet et nous travaillons avec Bpifrance pour construire cette offre de services. Ce sujet est identifié, à la fois sur la base du retour d’expérience et des expertises de France Brevets, et du rôle d’accompagnement de Bpifrance auprès des start-up. Nous essayons de construire une offre de services, dont une partie sera quasiment assurée par du service public, et une autre partie recouvrira l’activité concurrentielle de France Brevets. L’intervention de l'État ne peut donc pas être la même dans les deux cas. Le PIA 4 accordera les moyens nécessaires afin que la protection de la propriété intellectuelle, et éventuellement, par la suite, les stratégies d’acquisition, puissent être mises en œuvre, si elles sont pertinentes dans le domaine considéré.

M. Philippe Latombe, rapporteur. Vous avez exprimé, dans votre propos liminaire, l’idée selon laquelle il est nécessaire d’arbitrer entre la volonté de développer rapidement la filière de l’hydrogène et la volonté de ne pas acheter des catalyseurs chinois : il faut donc trouver un moyen de promouvoir la filière en achetant des produits français ou européens. Dans le numérique, les entreprises françaises font part de leurs difficultés à accéder aux marchés publics. Dans le même temps, les acteurs publics mettent en avant la simplicité du recours à des solutions intégrées américaines, qui fournissent des prestations de cloud et les outils logiciels les accompagnant. Cela traduit une sorte de dissonance cognitive : d’un côté, les pouvoirs publics veulent promouvoir les solutions françaises et européennes et y investissent beaucoup d’argent ; de l’autre, les marchés publics sont construits de telle façon que seuls les grands acteurs peuvent y répondre. Comment voyez-vous les choses ?

Mme Naomi Peres. Il faut distinguer les sujets sur lesquels l’offre est déjà présente (ce qui n’est pas le champ d’intervention du PIA) et les sujets sur lesquels elle ne l’est pas. L’offre des géants du Web – Google, Apple, Facebook, Amazon et Microsoft (GAFAM) – ne recouvre pas le champ d’intervention du PIA. Le PIA s’intéresse à des solutions futures. En matière de cyber, par exemple, la bataille n’est pas perdue : il est encore temps de construire une offre française, qui constituerait une troisième ou quatrième voie. Nos services publics, demain, pourraient recourir à des solutions de cybersécurité issues d’une offre industrielle française. Cette offre n’existe pas encore. Les entreprises reconnaissent que le marché constitué par les collectivités territoriales, les hôpitaux, les ports, les gares est considérable, mais il n’est pas du tout organisé pour leur parler.

Le PIA 4 va permettre de mettre en place des démonstrateurs territoriaux. Nous avons voulu contrecarrer la critique récurrente adressée au PIA, selon laquelle le programme produit de l’innovation sur étagère, sans aller au bout de la preuve de concept et sans tester cette innovation dans des conditions réelles. Nous avons donc créé un nouvel instrument, intitulé « soutien au déploiement », qui a vocation à financer des formations et à tester, dans des conditions réelles, les technologies en pré-déploiement.

En ce qui concerne la cybersécurité, les démonstrateurs territoriaux vont identifier des territoires pilotes, en avance sur le sujet, qui vont nous aider à qualifier l’offre industrielle française. Ensuite, nous financerons le surcoût de développement ou d’adaptation de cette offre pour qu’elle puisse se retrouver sur le marché. L’enjeu est de créer des solutions industrielles correspondant aux besoins des acteurs publics, collectivités locales, hôpitaux ou ports. Si nous ne faisons pas, aujourd'hui, les efforts nécessaires pour faire dialoguer les parties prenantes sur le sujet, un acteur extérieur viendra, demain, développer cette offre. Il serait très frustrant que cette offre ne soit pas française, car nous avons tout ce qu’il faut pour la développer.

La question s’est également posée, de manière très concrète, en matière éducative. En préfiguration de la stratégie sur l’éducation et le numérique qui sera annoncée par le Premier ministre à la fin du mois de mars, nous avons développé un certain nombre d’actions en 2020, pour un budget total de 300 millions d’euros de PIA. Nous optons pour une approche intégrée par territoire, et non plus par grand plan. Nous avons identifié quelques territoires pilotes et nous y avons investi dans la formation des professeurs et des parents ainsi que dans les équipements. Les start-up et les entreprises des technologies de l'éducation (EdTech) ne veulent plus de financements, elles veulent que nous les aidions à faire sauter le verrou d’accès au marché de l’Éducation nationale. Sur ces démonstrateurs financés par le PIA, nous avons pu faire « sauter les verrous ». Avec les vingt démonstrateurs territoriaux du PIA 4, nous espérons montrer que donner aux acteurs de terrain la liberté de choisir eux-mêmes des solutions – dont on sait, grâce à l’ANSSI, qu’elles sont solides – fonctionne. Nous souhaitons casser la logique de passer par d’énormes marchés publics qui ne peuvent être obtenus que par d’énormes entreprises, alors que de petits marchés peuvent être satisfaits par de petites entreprises.

Dans le PIA 4, nous avons souhaité que les procédures compétitives et ouvertes puissent prendre d’autres formes, y compris celle des partenariats d’innovation. Les marchés publics permettent beaucoup de choses. Nous sommes frileux à l’idée d’utiliser les outils à disposition : les partenariats d’innovation sont un outil formidable, qui est très peu mis en œuvre. Il est toujours plus facile et moins risqué de mettre en œuvre des marchés publics classiques. Les partenariats d’innovation permettent de travailler avec de plus petits partenaires sous la forme du dialogue compétitif. Ils permettent également de travailler en direct, en faisant appel à plusieurs entreprises pour des sommes inférieures à 40 000 euros. Nous y avons régulièrement recours pour les besoins très spécifiques du SGPI. Il est facile de blâmer les marchés publics : le droit des marchés publics autorise beaucoup d’outils, que nous n’utilisons pas encore assez.

M. Philippe Latombe, rapporteur. En matière éducative, vous vous êtes rendus compte que les envies et les besoins du fournisseur et du client convergeaient, et que les marchés publics centralisés posaient problème. Est-ce le cas dans d’autres domaines que l’éducation ? Comment, à terme, mettre en œuvre cette liberté et cette territorialisation à plus grande échelle ? Comptez-vous sur des outils législatifs et réglementaires ?

Mme Naomi Peres. En la matière, il est important d’« embarquer » tout de suite les ministères. Il est difficile de centraliser ces dynamiques dans une agence de l’innovation. Il a fallu du temps pour mettre au point cette stratégie et travailler avec tous les services du ministère de l’Éducation nationale et du ministère de l’Enseignement supérieur. Cela nécessite une forte volonté des ministres concernés.

Aujourd'hui, nous ne voulons plus débloquer des moyens du PIA, si nous n’avons pas répondu à la question : « que se passera-t-il si cela marche ? ». La réponse à cette question nécessite un engagement mutuel entre les ministères : les ministères doivent identifier les moyens qu’ils réorienteront et mobiliseront, si la stratégie d’innovation fonctionne. Ils doivent s’engager quant à leurs actions, si la preuve de concept est faite. Ensuite, il faut espérer que la ligne soit tenue. Cette discussion a eu lieu, y compris avec les opérateurs du ministère de l’Éducation nationale, comme le réseau Canopé.

Un budget comme le PIA donne une capacité d’action rapide pour mettre en place des pilotes et des expérimentations. Cela permet au ministère de prendre le temps de construire sa stratégie sur la base d’une expérimentation qui a fonctionné. Les ministères témoignent d’une certaine aversion au risque : il est très difficile de réussir à préserver leurs budgets d’innovation. En période de crise, les premiers budgets que l’on coupe dans les entreprises sont ceux alloués à la communication et à l’innovation. L’État a donc repris à sa charge ces postes de dépenses : le budget du PIA 4 est ainsi passé de 10 à 20 milliards d’euros. Le PIA permet cette respiration. Des envies s’expriment au sein des ministères : notre travail consiste à les trouver, à les réunir et à les entraîner. L’« agencisation » permet d’aller plus vite sans forcément produire des résultats plus transformants. Les moyens réglementaires ne nous appartenant pas, il nous faut donc convaincre par la preuve.

M. Philippe Latombe, rapporteur. Dans votre travail de mutualisation, quels rapports entretenez-vous avec le Haut-commissaire au Plan ? Vous intervenez à la fois sur la prospective et sur la mise en œuvre. Comment mutualisez-vous les idées ?

Quels domaines du numérique n’avons-nous pas investi alors que nous le devrions, d’autres pays étant, eux, en train de les investir ?

Mme Naomi Peres. Un des principaux services du Haut-commissariat au Plan est France Stratégie, un service du Premier ministre avec lequel nous travaillons de longue date. Notre temporalité n’est pas la même que celle du Haut-commissariat au Plan. Nous sommes une petite équipe. Par conséquent, nous construisons notre capacité prospective sur la base de travaux existants, et notamment ceux élaborés par France Stratégie. Nous entretenons par ailleurs beaucoup de liens avec eux au titre d’une autre de nos missions : l’évaluation socio-économique des grands projets d’investissement. Le Haut-commissariat rend visible un travail de prospective que nous pouvons intégrer. Lorsque nous construisons une stratégie à cinq ans, il est extrêmement intéressant de savoir quelle est la stratégie de l'État à dix ans. Nos travaux s’articulent donc assez naturellement.

Nous avons voulu construire un PIA qui ne soit pas préprogrammé à l’avance. Notre PIA est désormais désectorisé. Il est construit avec des grands outils d’intervention, de l’amont à l’aval, mais nous n’indiquons plus à l’avance quel montant du budget sera consacré aux transports, à l’hydrogène ou à la cybersécurité. Nous disposons de moyens, nous avons construit une doctrine et des principes d’intervention, et nous les appliquons à différentes stratégies. Si demain, le Haut-commissaire au Plan identifie un sujet majeur de transformation publique qui nécessite des investissements dans l’innovation, le PIA peut intervenir. Nos travaux se répondent donc.

En ce qui concerne les secteurs du numérique, certaines stratégies sont déjà annoncées et une vingtaine, en cours d’élaboration, font l’objet de consultations publiques ou d’appels à manifestation d’intérêt. Ces stratégies en cours d’élaboration dans le numérique sont les suivantes : l’enseignement et le numérique ; la santé numérique ; la 5G et les technologies des réseaux de communications ; un complément à la stratégie d’intelligence artificielle concernant la confiance dans l’intelligence artificielle ; le cloud ; le verdissement du numérique ; la nanoélectronique à la suite du plan nano ; les transports pour le volet de digitalisation des mobilités ; la transition numérique des industries culturelles. Le numérique prend une très grande place dans le PIA 4 : indépendamment des sujets abordés d’un point de vue technologique, le numérique sera présent dans nombre des stratégies d’investissement que nous financerons. Le numérique est pour nous, à la fois, un secteur et un levier très transverses.

Tous ces domaines ont été identifiés après une large consultation. Si demain un domaine était identifié comme prioritaire – comme le quantique l’a été –, notre programme peut intervenir, du moment que l’on respecte sa doctrine et que l’on pense au déploiement des innovations. Il n’y a pas de restriction à cet égard.

M. Philippe Latombe, rapporteur. Que recouvre la stratégie relative à l’enseignement ?

Mme Naomi Peres. Je ne souhaite pas dévoiler les annonces prochaines. Nous pourrons vous faire connaître les actions conduites en préfiguration de cette stratégie, qui ont commencé dès 2020. En plus du dispositif des démonstrateurs territoriaux, nous avons œuvré à doter les universités de moyens pour hybrider les formations. Nous avons également couvert un volet de recherche, qui comprend la constitution de cohortes pour pouvoir suivre les élèves sur le long terme. Nous souhaitons transposer, dans l’éducation, la logique des grands équipements de recherche que sont les cohortes pour la santé. Nous avons également travaillé sur l’intelligence artificielle appliquée à l’éducation et ouvert un concours d’innovations pour débloquer des financements. Nous travaillons enfin énormément à la formation : nous avons travaillé sur les instituts nationaux supérieurs du professorat et de l'éducation (Inspé) du futur ; nous avons également développé la formation à distance des enseignants.

La stratégie « Éducation et numérique » expose aussi, en plus des investissements du PIA, les actions du ministère et de ses opérateurs pour déployer les innovations. Cette stratégie apporte une visibilité sur les actions à venir pour les trois ou quatre prochaines années, qu’il s’agisse des investissements du PIA en faveur de l’innovation et des actions de déploiement et de généralisation du ministère et de ses opérateurs.

M. Philippe Latombe, rapporteur. Votre démarche apporte des financements et des solutions technologiques. Comment le ministère vous accompagne-t-il par un mouvement de fond, permettant l’intégration de ces technologies dans les formations des professeurs ou dans la scolarité des élèves ? Avez-vous un effet d’entraînement sur les ministères ?

Mme Naomi Peres. Nous essayons d’avoir un effet d’entraînement. Nous évaluons beaucoup nos actions. L’effet d’entraînement se mesure différemment en fonction des secteurs. Il est assez nouveau, pour nous, d’intervenir dans l’éducation avec cette ampleur. Nous n’avions jamais pu, par le passé, construire une stratégie d’innovation avec le ministère. Sur ce sujet, notre démarche ne peut fonctionner que s’il existe un très fort alignement avec la stratégie du ministère. Par exemple, nous finançons quatre Inspé du futur, à charge ensuite, pour le ministère, de généraliser les dispositifs qui auront fonctionné.

De manière générale, nous appliquons à la sélection de nos projets un critère de réplicabilité. Nous nous posons la question suivante : les projets que nous finançons ont-ils la capacité à être généralisés ? S’il s’agit d’une technologie, nous nous interrogeons sur la demande existante pour cette technologie et sur la capacité des industriels à l’insérer dans leurs processus de production.

Les projets territoriaux supposent de complètement renverser cette approche. Par l’action « Territoires d’innovation » par exemple, nous avons cherché des porteurs de projets aux idées novatrices. Nous avons donc identifié des sujets, aussi bien dans la santé que dans l’agriculture. Nous souhaitons accompagner les acteurs à agir différemment. Ce programme est novateur et il a été difficile à monter.

Notre logique pour convaincre de généraliser les innovations que nous finançons est la suivante :

– tout d’abord, associer le ministère, en amont, dans l’élaboration de la stratégie – cela est plus long car nous prenons le temps de nous mettre d’accord sur une feuille de route ;

– ensuite, démontrer que les solutions fonctionnent.

Nous avons la chance d’être rattachés au Premier ministre. Le PIA 4 est allé un cran plus loin : nous apportons désormais un soutien au déploiement en finançant des formations et de l’ingénierie de formation. Nous sommes prêts à aller jusqu’au bout de la preuve de concept. Une fois que cette preuve de concept est faite, il n’appartient plus au SGPI de la déployer. Parfois, il revient au marché de prendre le relais. Parfois, le ministère doit prendre le relais pour faire « sauter les derniers verrous ». Parfois, enfin, les opérateurs comme la Caisse des dépôts et consignations prennent le relais. Cela peut très bien fonctionner. Le premier financement est souvent le plus difficile – c’est pourquoi nous sommes là.

M. Philippe Latombe, rapporteur. Y’a-t-il des ministères ou des secteurs d’activité dans lesquels vous n’êtes jamais sollicités ? Ou à l’inverse, vient-on vous solliciter avec de nombreux projets – qui ne sont pas tous innovants – et êtes-vous obligés de faire un tri ?

Mme Naomi Peres. Le PIA 4 a beaucoup élargi notre champ d’intervention. Cela ne veut pas dire que nous interviendrons dans tous les domaines. Nous souhaitons avant tout élaborer une stratégie conjointe avant de lancer un appel à projets. Les situations sont très hétérogènes. Certains ministères sont très mûrs et l’élaboration d’une stratégie d’innovation peut aller très vite. Pour certains ministères, cette démarche est nouvelle : elle prend plus de temps – car il s’agit des ministères avec lesquels nous travaillions moins, le PIA ayant historiquement moins investi dans leurs secteurs d’intervention.

Il n’y a pas de ministère avec lequel nous ne travaillons pas du tout. En revanche, nous travaillons davantage avec certains ministères : le ministère de l’industrie et le ministère de la recherche sont de grands « clients ». Nous essayons même d’articuler nos interventions avec le ministère de la défense en matière de technologies duales. Nous ne travaillons en revanche pas beaucoup avec le ministère de la justice.

M. Philippe Latombe, rapporteur. Je m’interrogeais justement sur deux ministères : le ministère de la justice et le ministère de l’intérieur.

Mme Naomi Peres. Le PIA 4 est ouvert. Si un ministère présente une stratégie d’intervention qui procure des retombées en matière de transition écologique ou de résilience, le PIA peut intervenir. Nous avons souhaité renforcer encore davantage sa dimension interministérielle et ouvrir le champ à de nouveaux secteurs, dans la limite des conditions d’intervention du programme.

M. Philippe Latombe, rapporteur. Y a-t-il des sujets que nous n’avons pas abordés et que vous souhaiteriez porter à notre connaissance ?

Mme Naomi Peres. Je reviendrai sur la formation, qui est un domaine dans lequel le PIA a déjà beaucoup travaillé par le passé. L’intervention du PIA est très connue en ce qui concerne le regroupement d’universités. Nous avons également récemment conduit beaucoup d’investissements dans le champ de l’innovation pédagogique, par exemple, par les campus des métiers et des qualifications. Le PIA intervient aussi bien pour les masters et les thèses que pour l’ingénierie de formation professionnelle ou pour la formation initiale. Nous souhaitons renforcer cette dimension dans le PIA 4. L’enveloppe consacrée au soutien au déploiement s’élève à trois milliards d’euros sur cinq ans. Une bonne partie de ce budget concernera l’ingénierie de formation. Ce levier est extrêmement important.

M. Philippe Latombe, rapporteur. Comment articulez-vous l’action du PIA avec l’action menée au niveau européen ? Cela concerne à la fois la gestion des moyens et les orientations stratégiques. Couvrez-vous des domaines que l’Europe ne couvre pas, ou inversement ?

Mme Naomi Peres. Le PIA est intégré, pour une partie de ses crédits, dans le plan de relance. Le PIA porte ainsi la majeure partie du plan de relance dans le secteur du numérique. Le travail est en cours avec la Commission pour définir le contenu du plan de relance français : nous devons aligner les axes d’intervention en matière de numérique. Par ailleurs, nous travaillons au quotidien avec la direction générale du numérique, dont la mission principale est d’aligner les orientations de l'État sur celles de la Commission. L’alignement stratégique en matière de numérique est également très suivi par l’Élysée. Nous n’éprouvons donc pas de grande difficulté à comprendre les grandes orientations stratégiques dans ce domaine.

Nous devons néanmoins les mettre en œuvre. Nous avons travaillé en amont avec la Commission sur un appel à projets à destinations des universités européennes de recherche. Plutôt que de lancer un appel à projets français et un appel à projets européen, nous avons opéré de la manière suivante : puisque nous savons que le processus de sélection européen est extrêmement exigeant, nous nous sommes engagés à financer toutes les universités françaises retenues par la Commission. Nous avons travaillé en amont avec la Commission sur le cahier des charges et nous savons que leur processus de sélection est extrêmement exigeant, il est donc normal que nous nous alignions sur leur sélection. Nous pourrions dupliquer cette approche à des entreprises.

Nous travaillons également sur les régimes des important projects of common european interest (IPCEI) qui impliquent nécessairement deux pays au minimum. Nous travaillons sur plusieurs IPCEI avec l’Allemagne ; nous participons également à un IPCEI réunissant quatre pays sur le sujet du cloud.

De manière générale, la subsidiarité est une question intéressante. Considérant les volumes consacrés au numérique et les difficultés d’accès au marché européen, nous pourrions agir en subsidiarité, et décider de financer ce que l’Europe ne finance pas. Mais honnêtement, si les projets ne sont pas cofinancés par plusieurs États, je ne suis pas sûre que l’on puisse arriver à aligner les financements suffisants pour des projets numériques. Je ne sais pas si nous y aurions intérêt. Nous tentons plutôt de bien nous articuler avec l’action européenne et de simplifier au maximum les démarches pour les entreprises.

M. Clément Jakymiw. En ce qui concerne le partage des feuilles de route, nous nous posons systématiquement la question de l’articulation des dossiers qui nous parviennent avec le programme Horizon 2020. Nous devons comprendre comment les projets s’intègrent dans une dynamique de structuration des filières à l’échelle européenne, afin de soutenir des projets qui, à terme, pourront s’insérer sur le marché européen, parce qu’ils seront considérés par la Commission européenne. Cela est important. La notion de marché européen est critique dans le déploiement des entreprises en ce qui concerne le volet numérique. Nous nous posons donc systématiquement la question de l’articulation de la feuille de route nationale et de ses filières avec la feuille de route européenne, afin qu’il n’y ait pas de solution de continuité, mais qu’au contraire un biseau se crée, au niveau national, transnational et européen.

Mme Naomi Peres. J’ajouterai un élément sur le nouvel instrument French Tech Souveraineté. Nous y avons consacré des fonds propres. Les précédents PIA ont eu un vrai rôle de structuration du marché du financement, en particulier dans le numérique. Le PIA intervient en fonds de fonds pour la structuration du marché. Il intervient également en fonds direct en cas de faille de marché. Le nouvel instrument French Tech Souveraineté n’est pas un fonds d’investissement, il est une poche d’intervention à la main de l'État. Il permet, par exemple, de se défendre contre les comportements agressifs d’achats de start-up. Cette enveloppe d’intervention peut permettre de racheter des start-up, à la manière d’une petite agence des participations de l'État (APE) des entreprises technologiques. Nous avons donc renforcé l’arsenal des outils du PIA pour que nos pépites ne subissent pas la préemption d’un investisseur étranger.

Audition, ouverte à la presse, de M. le professeur Thibault Douville, professeur des universités, directeur du master Droit du numérique à l’Université Caen Normandie (11 mars 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. Nous recevons M. le professeur Thibault Douville, professeur des universités en droit privé et directeur du master Droit du numérique à l’Université Caen Normandie.

Cette audition porte sur les aspects juridiques de la souveraineté numérique, s’agissant notamment de la protection des données personnelles. Plusieurs décisions sont intervenues à ce sujet ces derniers mois – la plus importante étant la décision Schrems II, rendue par la Cour de justice de l’Union européenne (CJUE) le 16 juillet 2020. Celle-ci invalide le Privacy Shield, c’est-à-dire la décision de la Commission européenne permettant le transfert de données par des entreprises européennes vers des pays tiers. Cette décision a suscité des doutes chez nombre d’acteurs, même si une recommandation du Comité européen à la protection des données est intervenue, depuis, pour préciser de quelle façon les entreprises pourraient, elles-mêmes, évaluer le cadre juridique externe afin de poursuivre correctement leurs transferts de données. Nous souhaiterons vous entendre également à propos des autres initiatives européennes en cours.

M. Philippe Latombe, rapporteur. Je souhaite vous questionner sur trois points en particulier.

Je souhaite d’abord vous interroger sur la définition de la souveraineté numérique. Ce sujet fait l’objet d’une attention croissante de la part des pouvoirs publics depuis la crise sanitaire. Au cours de nos auditions, nous avons eu l’occasion de recueillir plusieurs définitions de cette notion très large, que certains rapprochent parfois d’une forme d’autonomie stratégique ou décisionnelle. J’aimerais donc savoir comment vous appréhendez ce concept, en votre qualité de juriste, et quelle définition vous pouvez lui donner.

Ma deuxième interrogation concerne la décision Schrems II prise par la CJUE le 16 juillet 2020. De nombreux acteurs auditionnés, depuis le début des travaux de notre mission d’information, nous ont indiqué que cette décision avait créé beaucoup d’incertitudes. Le Health Data Hub a mandaté un cabinet d’expertise juridique pour en mesurer la portée exacte en ce qui concerne ses propres activités. J’aimerais donc que vous nous présentiez ses conséquences en droit et votre interprétation de sa portée.

Quelles sont les conséquences, pour la France, de l’arrêt de la CJUE du 2 mars 2021 concernant l’affaire Prokuratuur, dont les acteurs estiment qu’il pourrait poser des difficultés pour la bonne marche des procédures judiciaires françaises.

J’aimerais enfin aborder avec vous les différents projets de régulation du numérique et des données qui occupent l’actualité européenne ces derniers mois. Je pense en particulier au Digital Services Act (DSA), au Digital Market Act (DMA) et au Data Governance Act (DGA). Pensez-vous que ces initiatives s’orientent dans le bon sens ? Avez-vous des remarques ou des points d’alerte à nous communiquer sur ces projets qui n’ont pas encore fait l’objet du processus de trilogue ?

Pr Thibault Douville, professeur des universités, directeur du master Droit du numérique à l’Université Caen Normandie. La souveraineté numérique est un concept émergent en droit. Il ne fait pas l’objet, pour l’instant, d’une définition juridique. Comment la définir par référence au concept classique de souveraineté ? La souveraineté désigne le caractère suprême d’une puissance qui n’est soumise à aucune autre. Trois caractéristiques sont généralement mises en avant pour préciser sa définition. On s’attache tout d’abord au titulaire de celle-ci – qui est souverain ? On s’attache ensuite aux prérogatives mises en œuvre – quelle est la puissance souveraine ? On considère enfin la souveraineté comme une qualité constitutive de l'État : elle permet de distinguer l'État des autres organisations. Ce concept est donc étroitement dépendant d’une logique territoriale, qui pose difficulté dans l’environnement numérique.

Comment définir la souveraineté dans l’environnement numérique ? La souveraineté comme expression d’une puissance souveraine – c'est-à-dire la possibilité d’adopter des normes et de les faire appliquer dans l’environnement numérique – est un aspect admis de la souveraineté. De ce point de vue, l'État exerce une souveraineté sur l’espace numérique par les dispositions qu’il adopte, sous réserve des difficultés liées à la compétence territoriale.

La souveraineté numérique est, dans l’ordre externe, la capacité de l'État à demeurer indépendant. Ce deuxième aspect de la souveraineté numérique complète le premier : il existe, d’une part, l’aptitude à émettre des normes dans l’environnement numérique, et, d’autre part, son autonomie stratégique dans l’environnement numérique.

À mon sens, ces deux aspects permettent de définir la souveraineté numérique : elle recouvre un aspect normatif et un aspect lié à l’autonomie stratégique – économique, juridique et technologique. Ces deux aspects rejoignent, d’une certaine manière, la distinction classique entre la souveraineté interne et la souveraineté externe.

Le terme de souveraineté numérique n’est généralement pas admis en droit, pour une raison assez simple : Internet repose sur une logique initialement libertarienne. Ce réseau pourrait donc se passer d’État. Cette approche trouve son fondement dans la déclaration d’indépendance du cyberespace de 1996. Elle est aujourd'hui remise en cause par les acteurs d’Internet, puisque nous assistons à un mouvement de privatisation de ce réseau. L’émergence d’acteurs importants comme les géants du web américains – Google, Apple, Facebook, Amazon et Microsoft (GAFAM) – et chinois – Baidu, Alibaba, Tencent, Xiaomi (BATX) – met en exergue l’idée selon laquelle les États deviennent des colonies numériques. Il est vrai que la souveraineté réelle de l'État interroge, dès lors que des acteurs maîtrisent des données, émettent une monnaie, contrôlent les paiements, maîtrisent les places de marché, contrôlent la liberté d’expression en ligne et proposent des solutions d’identité numérique. Les différents modes d’expression de l'État sont ainsi petit à petit « mangés » par ces acteurs.

Il existe une production législative très importante pour encadrer le numérique, depuis une dizaine d’années, à l’initiative de l’Union européenne. Nous faisons face à un empilement très important de textes qui apportent des dispositions en matière de services de confiance, de protection des données personnelles et non personnelles, de protection des équilibres économiques. Nous assistons à une densification normative pour encadrer le numérique. Je ne suis pas persuadé que les réponses à ces enjeux soient nécessairement toujours juridiques. Il y a, à mon sens, un vrai problème de politiques publiques en matière de souveraineté numérique.

J’en veux pour exemple l’identité numérique, qui traduit l’aptitude des États à exercer leur souveraineté numérique. Elle constitue une clé pour transformer les services publics et pour développer la confiance dans les services en ligne. Du point de vue de l'État, ce service se développe très lentement avec France Connect Plus, qui n’est pas encore notifié à la Commission et qui n’est pas encore interopérable – alors même que des acteurs privés prétendent proposer des solutions en la matière, comme Facebook avec ID Connect. L'État a pourtant naturellement vocation à proposer une solution d’identification électronique à ses citoyens, et ainsi favoriser l’émergence d’un socle de confiance en ligne et réaffirmer sa place dans l’environnement numérique.

La souveraineté numérique s’exprime au-delà du droit par des moyens suffisants, comme les effectifs de la Commission nationale de l'informatique et des libertés (CNIL) ou de la Plateforme d'harmonisation, d'analyse, de recoupement et d'orientation des signalements (PHAROS). Il existe une vraie question d’investissement humain et technique, ainsi qu’une nécessité d’investissement dans la recherche de technologies innovantes. Cela constitue de vraies difficultés pour les États, qui doivent investir suffisamment dans l’innovation pour conserver une longueur d’avance par rapport aux acteurs privés.

L’arrêt Schrems II est un arrêt fondamental en droit des données à caractère personnel. Cet arrêt était inattendu du point de vue de sa solution, car le contentieux qui a amené à l’arrêt Schrems II ne portait pas sur la validité de la décision d’adéquation Privacy Shield, mais sur le recours à des clauses contractuelles-types par Facebook pour transférer des données aux États-Unis.

Le contentieux ayant donné lieu aux arrêts Schrems I et II est assez ancien. L’autorité irlandaise de protection des données, amenée à se prononcer, a formulé, par deux fois, des questions préjudicielles qui ont conduit la Cour de justice à rendre un arrêt. Dans le cas de Schrems II, à l’occasion de l’appréciation de la validité des clauses contractuelles-types pour le transfert des données, la Cour de justice a jugé nécessaire de se prononcer sur la décision d’adéquation du Privacy Shield. Pour qu’un transfert de données à caractère personnel puisse avoir lieu d’Europe vers un pays tiers ou vers une organisation internationale, il faut s’appuyer sur une base juridique (comme une décision d’adéquation) permettant d’obtenir des garanties équivalentes à ce qui existe en droit de l’Union pour la protection des données, ou à défaut, sur des mécanismes beaucoup plus simples comme le consentement à un traitement de données pour des transferts ponctuels.

Dans l’arrêt Schrems, la Cour de justice a été amenée à apprécier la validité de la décision d’adéquation sur le point de savoir si les États-Unis présentaient ou non un niveau de protection des données équivalent à celui offert par le droit de l’Union. Elle a estimé que les États-Unis n’offraient pas cette protection équivalente. Elle s’est appuyée sur la protection du droit au respect de la vie privée garanti par l’article 7 de la Charte des droits fondamentaux, la protection du droit au respect des données à caractère personnel et son régime exprimé à l’article 8 de la Charte des droits fondamentaux et enfin, sur l’article 47 de la Charte des droits fondamentaux qui consacre le droit à un recours juridictionnel au titre des droits protégés par cette Charte.

Partant, la Cour de justice a été amenée à mettre en œuvre le contrôle habituel de proportionnalité. Elle s’est intéressée au but poursuivi par la législation américaine, à la nécessité de ce but et à la proportionnalité dans l’atteinte portée aux droits garantis par la Charte. À l’issue de cette analyse, la Cour de justice a estimé que la protection des données aux États-Unis ne présentait pas un niveau de garantie suffisant, car les personnes concernées ne bénéficient ni de droits effectifs et opposables, ni d’un droit à un recours juridictionnel. Elle a également jugé que le médiateur mis en place par les États-Unis, en tant qu’autorité chargée de protéger les données à caractère personnel des citoyens européens, ne présentait pas de garantie d’indépendance et ne disposait pas d’un pouvoir permettant d’adopter des dispositions contraignantes en matière de protection des données.

Par ce raisonnement, la Cour de justice a donné des indications importantes sur la manière d’apprécier le niveau de garantie équivalent présenté par une législation étrangère. Cela est important, car ce critère permet d’apprécier la validité d’une décision d’adéquation ou le caractère adéquat du recours à des garanties complémentaires, en l’absence d’une décision d’adéquation, comme des clauses contractuelles types ou des règles d’entreprise contraignantes. En rendant cet arrêt Schrems, la Cour de justice a donc donné la méthode : elle a précisé le niveau de protection des données requis en droit de l’Union, et donc requis d’un État tiers pour qu’une décision d’adéquation soit adoptée ou pour que des garanties appropriées soit adoptées pour compenser la différence de niveau de protection.

Pour les États-Unis, le recours à des clauses contractuelles-types ne permet pas de compenser la différence de niveau de protection, car celles-ci ne sont pas opposables à l'État américain et elles ne permettent pas, en elles-mêmes, d’accorder un recours juridictionnel aux citoyens européens, ni d’instituer une autorité de contrôle indépendante. En conséquence de cette décision, le transfert de données à caractère personnel vers les États-Unis est impossible. La législation américaine qui prévoit le contrôle et le stockage généralisé des données à caractère personnel transitant par les États-Unis rend difficilement possible l’adoption d’une nouvelle décision d’adéquation ou le recours à d’autres garanties appropriées. Le transfert des données vers les États-Unis est donc aujourd'hui prohibé. Le fait de procéder à un transfert de données entraîne une non-conformité au droit de l’Union, ce qui, en France, constitue une infraction pénale.

Cela cause un cataclysme dans les activités économiques. 65% de l’offre cloud est offerte par Amazon, dont une partie des serveurs se situe aux États-Unis. Dans le cas du Health Data Hub, Microsoft stocke des données en Europe, mais on sait que des opérations sur les données sont, pour partie, conduites grâce à un transfert temporaire via des serveurs américains. Ces situations causent potentiellement une non-conformité au droit de l’Union à la suite de l’arrêt Schrems II.

M. Philippe Latombe, rapporteur. Quelles sont les conséquences de cet arrêt pour les structures des entreprises ou des administrations qui utilisent des clouds américains ? Pour le Health Data Hub, le Conseil d’État a accordé à l’État un délai complémentaire au motif que les clés de chiffrement sont propriété de l’organisation qui collecte les données, qui est de droit européen. Il a été par ailleurs exigé, par contrat, que les données soient hébergées dans des serveurs en Europe. Est-ce suffisant aujourd'hui ?

Pr Thibault Douville. La conséquence de principe de cet arrêt est que la décision d’adéquation ne peut plus servir de fondement juridique pour le transfert de données à caractère personnel. Nécessairement, un autre fondement juridique doit être retenu pour procéder à ce transfert. Puisque la décision d’adéquation est invalidée, des fondements juridiques doivent présenter des garanties appropriées permettant de compenser la différence de niveau de protection. Il est ainsi admis qu’un transfert peut intervenir vers un pays tiers dans l’hypothèse où des mesures complémentaires sont adoptées. Le chiffrement des données constitue un exemple de mesure complémentaire pouvant être adoptée pour assurer une protection des données à caractère personnel de niveau équivalent. D’autres moyens existent, comme une pseudonymisation ou à une anonymisation des données. Si des mesures complémentaires peuvent être adoptées pour compenser la différence de niveau de protection, encore faut-il que ces mesures soient effectives. Le chiffrement des données est un moyen intéressant pour lever l’obstacle au transfert des données.

M. Philippe Latombe, rapporteur. Lors d’une précédente audition, IBM nous a expliqué ne pas être soumis au Cloud Act et n’avoir aucun problème d’extraterritorialité : IBM France est une filiale d’IBM Corporation, mais il s’agit d’une société de droit français qui n’est, à ce titre, pas soumise aux règles extraterritoriales américaines. Le fait, pour une société de droit européen, d’entretenir un lien capitalistique majoritaire avec une société américaine assujettit-il la société à la réglementation américaine ? Si tel n’était pas le cas, le fait d’utiliser des algorithmes ou des solutions informatiques propriétés de la maison-mère aux États-Unis, assujettit-il la société à la réglementation américaine ?

Pr Thibault Douville. Je ne suis absolument pas spécialiste du Cloud Act, et par conséquent je me permettrais de ne pas répondre à votre question. Je procèderai à une vérification et vous apporterai une réponse écrite par la suite.

S’agissant de l’utilisation des moyens, toute la difficulté est de savoir comment ces moyens sont utilisés. Si des moyens de traitement de données sont utilisés dans le cloud et que ceux-ci supposent un transfert de données vers des serveurs hébergés aux États-Unis, la question se pose à la fois du transfert des données à caractère personnel vers un pays tiers et de l’application du Cloud Act.

Dans l’hypothèse du traitement des données dans le cloud, la question du maintien des mesures complémentaires, par exemple du déchiffrement des données, peut se poser. À cette occasion, la non-conformité au Règlement général sur la protection des données (RGPD) peut réapparaître, puisque les mesures complémentaires de protection des données seront levées pour un temps déterminé.

M. Philippe Latombe, rapporteur. La CJUE connaît une actualité forte sur ces sujets. L’arrêt Prokuratuur fait suite aux arrêts Tele2 et La quadrature du Net suite à une question préjudicielle du Conseil d’État sur le stockage des métadonnées. Quels sont les impacts de ces arrêts sur le droit français ?

Pr Thibault Douville. Cette dynamique jurisprudentielle trouve son origine dans la directive européenne de mars 2006 sur la conservation des données de communications électroniques. Cette directive est intéressante car elle prévoit la conservation généralisée d’un certain nombre de données liées aux communications électroniques, qu’il s’agisse de données d’identification des utilisateurs ou de métadonnées. C’est ce qui est en cause dans la législation interne, notamment les dispositions du code des postes et des télécommunications électroniques et du code de la sécurité intérieure.

La Cour de justice a invalidé la décision de 2006 dans son arrêt Digital rights en affirmant l’interdiction du stockage et de la conservation généralisée de l’ensemble des données de connexion. Ce stockage et cette conservation sont, selon la Cour, disproportionnés par rapport aux buts poursuivis. Dès 2014, la Cour de justice mettait en avant l’ingérence dans le droit au respect de la vie privée et le non-respect des données à caractère personnel. Elle mettait en avant l’idée selon laquelle le texte n’opérait aucune différenciation entre les différents objectifs poursuivis par le législateur : la conservation des données était déconnectée du but poursuivi, soit de prévention d’atteinte à la sécurité publique ou de lutte contre la criminalité grave.

Postérieurement à l’invalidation de cette décision de 2006, la Cour de justice s’est à nouveau prononcée sur la question, cette fois au sujet de dispositions nationales par l’arrêt Tele2 puis par l’arrêt La quadrature du Net, en reprenant des solutions similaires et en apportant des précisions quant à ces arrêts antérieurs. Elle mettait notamment en avant une échelle de mesures pouvant être adoptées selon le but poursuivi : lutte contre le terrorisme, lutte contre la criminalité grave ou protection de la sécurité publique. En fonction du but poursuivi, les mesures de conservation des données varient : elles peuvent être des mesures de conservation généralisée mais temporaire, des mesures de conservation ciblée et temporaire, des mesures de conservation uniquement des données d’identification des utilisateurs. Les solutions apportées par les différents arrêts ne sont qu’une application de l’exigence de proportionnalité entre la protection des données, d’une part, et le but poursuivi, d’autre part.

En l’état, les dispositions internes sont remises en cause et supposent une réécriture. Cette réécriture ne me semble pas impossible : elle suppose de tenir compte du but poursuivi, qui varie en fonction de la gravité de l’infraction en cause.

Le récent arrêt Prokuratuur possède tout de même une spécificité. La Cour de justice se prononçait cette fois sur l’hypothèse dans laquelle des infractions peu graves auraient été commises – il s’agissait de vols pour des montants relativement réduits. Pour identifier l’auteur de ces vols, une juridiction estonienne avait permis la collecte et la conservation de l’ensemble des données concernant l’auteur des vols. La Cour de justice a considéré que la conservation généralisée des données de l’utilisateur permettait de dresser un profil de la vie privée de l’individu et était, là encore, disproportionnée par rapport au but poursuivi. La Cour de justice rappelle donc sa jurisprudence antérieure et la nécessité de cantonner les mesures de collecte et de conservation des données à la criminalité grave et à des menaces graves contre la sécurité publique. Cela n’interdit pas forcément l’ensemble des mesures de collecte ou de conservation des données, dès lors qu’elles sont ciblées et qu’elles ne permettent pas de dresser un portrait de la vie privée de l’individu. La portée donnée à la solution de cet arrêt est peut-être excessive : la Cour de justice n’interdit pas des mesures ciblées de conservation ou d’accès aux données mais la communication de données doit être limitée dans son étendue temporelle et matérielle.

Ces arrêts, depuis Tele2 jusqu’au récent arrêt de mars 2021, viennent mettre en œuvre l’exigence de proportionnalité. Le législateur n’est pas interdit de mettre en place des mesures de conservation de données, mais ces mesures doivent être proportionnées par rapport au but poursuivi. Dès lors, il est étonnant que le législateur interne n’ait pas mis en œuvre l’exigence de proportionnalité en droit interne dès l’arrêt Tele2. Il aurait pu prévoir, par exemple, de rendre possible la conservation de l’ensemble des données d’identité des utilisateurs, de limiter la conservation de l’activité de l’utilisateur à certaines circonstances de lutte contre la criminalité grave et d’instituer un régime à paliers, selon la gravité des infractions ou du but de prévention.

M. Philippe Latombe, rapporteur. Au-delà des données personnelles, l’arrêt Prokuratuur questionne-t-il l’indépendance de la procédure ? L’arrêt de la Cour de justice indique que le ministère public ne présentait pas les garanties d’indépendance nécessaires pour demander la communication de ces informations. Est-ce un élément nouveau dont il faut tirer des conséquences ?

Pr Thibault Douville. Oui, cela est un élément nouveau. La Cour de justice ne s’était pas prononcée sur cet aspect dans les arrêts précédents. Sur le fondement de l’article 15 de la directive 2002-58, la Cour de justice s’oppose à une réglementation nationale donnant compétence au ministère public pour autoriser l’accès d’une autorité publique aux données relatives au trafic et aux données de localisation aux fins d’une instruction pénale. Elle pose l’exigence de l’intervention d’un juge indépendant pour autoriser l’accès aux données, le ministère public ne remplissant pas, dans le cas estonien, les conditions suffisantes d’indépendance. Cela est certainement également applicable au droit français : je pourrais imaginer que l’on confie la mission d’autoriser l’accès aux données au juge des libertés et de la détention, en raison de l’atteinte aux droits et libertés que cet accès va entraîner.

M. Philippe Latombe, rapporteur. Cela veut-il dire que cette décision serait également applicable au juge d’instruction en France ?

Pr Thibault Douville. Oui. Deux aspects ressortent de l’arrêt : la Cour de justice distingue bien, d’une part, l’autorité de poursuite et, d’autre part, la mission d’instruction. Ni l’un ni l’autre ne pourrait se voir confier cette prérogative, qui serait laissée à un tiers. Ce tiers pourrait être le juge des libertés et de la détention en France, qui présente les garanties d’indépendance requises pour adopter une mesure attentatoire au droit au respect de la vie privée ainsi qu’à la liberté d’expression, puisque les données recueillies au titre de la criminalité grave permettent de dresser un profil complet de la personne concernée.

M. Philippe Latombe, rapporteur. Quel impact peut avoir cet arrêt sur nos procédures en cours ? Le Conseil d’État a saisi la CJUE d’une question préjudicielle. Dans un mémoire, le gouvernement a fait état d’une inapplicabilité de la décision de la CJUE pour des raisons constitutionnelles. Qu’en pensez-vous ?

À la lumière de ce nouvel arrêt, les procédures en cours seraient-elles susceptibles d’être remises en cause ? Quelles mesures correctives faut-il donc prendre ?

Pr Thibault Douville. Je répondrai d’abord à l’argument de l’identité constitutionnelle de la France comme moyen d’échapper à cette jurisprudence et plus largement au régime applicable à la protection de la vie privée dans le cadre des communications électroniques. L’identité constitutionnelle de la France est une notion assez récente, découverte par le Conseil constitutionnel au début des années 2000. À l’occasion de la transposition en droit interne d’une directive communautaire, le Conseil constitutionnel a estimé, par une décision en date du 27 juillet 2006, que s’il n’appartenait qu’au juge communautaire de contrôler le respect de cette directive et des compétences définies par les traités, il a précisé que la directive pourrait faire l’objet d’un contrôle dans l’hypothèse où elle irait à l’encontre d’une règle ou d’un principe inhérent à l’identité constitutionnelle de la France. Plus tôt, dans une décision du 10 juin 2004, le Conseil constitutionnel avait évoqué l’idée de l’identité nationale inhérente aux structures fondamentales et politiques constitutionnelles de la France.

Cette notion pose un problème de définition. Nous avons bien du mal à identifier le contenu de l’identité constitutionnelle de la France : la langue, l’unicité du peuple, la laïcité peuvent naturellement en faire partie. La procédure pénale et la conservation des données à fins de prévention des infractions ou de lutte contre la criminalité relèvent-elles de l’identité constitutionnelle ? Doit-on considérer que l’exercice de la souveraineté pour garantir la sûreté publique est rattaché à l’identité constitutionnelle de la France ?

À mon sens, cela n’est pas le cas, pour deux raisons au moins. Tout d’abord, les dispositions relatives à la protection des données de communications électroniques font l’objet d’une européanisation depuis bientôt vingt ans. L'État français applique cette législation, sans avoir jusqu’à présent invoqué l’identité constitutionnelle de la France. Ensuite, du point de vue du droit de l’Union européenne, l’invocation de l’identité constitutionnelle de la France permettrait d’échapper à l’application du droit de l’Union. Cet élément pose question. Un certain nombre de matières ne relèvent pas du champ du droit de l’Union, comme par exemple la défense nationale. La lutte contre les infractions ou la criminalité, en revanche, fait l’objet d’une européanisation. J’ai du mal à imaginer, dans ce contexte, en quoi les dispositions internes en matière de procédure pénale et de conservation des données présentent une spécificité française. Enfin, la France sert de modèle et invoquer l’identité constitutionnelle nationale pour échapper à l’application de ces dispositions conduirait d’autres États à tirer parti de l’argument.

Je note un point important : pourquoi le droit de l’Union européenne et le RGPD ont-ils vocation à s’appliquer ? Le droit de l’Union s’applique car sont visées, à chaque fois, des exigences de conservation de données qui s’imposent aux acteurs des traitements de données. C’est dans ce contexte que la Cour de justice a été amenée à se prononcer. J’ai du mal à concevoir que la législation interne pourrait être considérée comme distinctive par rapport au droit des autres États ou au droit de l’Union, et permettrait de justifier une forme d’exemption. Le Conseil constitutionnel n’a par ailleurs pas donné de définition générale de la notion d’identité constitutionnelle de la France, ce qui laisse la question en suspens.

Je répondrai maintenant à votre question sur les changements induits par cet arrêt en ce qui concerne la procédure pénale. L’arrêt Prokoratuur a une incidence en droit pénal interne, notamment du point de vue des actes d’instruction ou bien des actes d’enquête hors instruction. Pour l’instant, le juge des libertés et de la détention n’a pas vocation à autoriser la conservation ou l’accès aux données : un travail de réécriture serait donc à opérer de ce point de vue.

M. Philippe Latombe, rapporteur. Quelles seraient les conséquences d’une éventuelle acceptation par le Conseil d’État de l’argument de l’identité constitutionnelle de la France pour écarter le droit de l’Union ? Un de vos collègues professeur de droit a évoqué le risque de « balkanisation » du droit européen. Est-ce le vrai risque ?

Pr Thibault Douville. Il est évident qu’il existe un risque de balkanisation : suivre une telle approche peut conduire les autres États à adopter le même argument pour s’écarter du droit de l’Union, avec des champs d’application qui peuvent être variables. Pourquoi ne pas répliquer l’argument dans d’autres domaines ?

Il existe également un risque de conflit entre les juges. La Cour de justice pourrait tout à fait être amenée à se prononcer sur la position du Conseil d’État et à considérer que le droit de l’Union a vocation à s’appliquer à ces dispositions concernant la conservation et l’accès aux données de connexion. Cela créerait un problème de conciliation des positions entre l’ordre interne et l’ordre communautaire. Le fait d’évoquer l’argument de l’identité constitutionnelle de la France en la matière est absolument inédit.

Le sujet pourrait également être traité à l’occasion de la révision de la directive qui constitue le futur Règlement e-privacy. Il serait possible d’introduire directement dans le Règlement e-privacy un certain nombre de dispositions prévoyant la conservation de données de connexion à certaines conditions et dans certains buts de prévention du terrorisme ou de lutte contre la criminalité grave, ce qui permettrait de donner un socle européen à ces dispositions. La Cour de justice pourrait tout à fait être amenée à contrôler la validité de ce texte à l’aune de la Charte des droits fondamentaux et il ne faudrait donc pas que ce texte présente de disproportion. L’exigence de proportionnalité conduit à raisonner en escalier : plus l’on descend des marches de gravité, moins les données qui peuvent être conservées sont importantes.

M. Philippe Latombe, rapporteur. Cela nous permet d’échanger sur les trois projets de directives en cours. Selon vous, ces directives sont-elles bien calibrées et atteignent-elles leur but ?

Pr Thibault Douville. La proposition de règlement DSA, qui constitue une réforme de la directive sur le commerce électronique et le statut des intermédiaires techniques, est très intéressante. Tout en maintenant l’acquis communautaire en matière d’intermédiaires techniques (c'est-à-dire le principe d’irresponsabilité pour les hébergeurs et les fournisseurs d’accès à Internet), la proposition pose un cadre juridique, à plusieurs niveaux, en ce qui concerne la modération du contenu. Le texte s’applique aux prestataires de services intermédiaires, puis aux prestataires de services intermédiaires ayant la qualité de plateforme en ligne, puis aux grandes plateformes en ligne, avec des obligations différentes pour chaque sous-qualification.

Le DSA propose d’instituer un régime de modération des contenus par les plateformes en ligne. Son apport est très intéressant puisqu’il vise, à la fois, à lutter contre certains contenus illégaux ou illicites par rapport aux conditions générales d’utilisation des services et à garantir la liberté d’expression. Nous savons que l’équilibre est difficile à trouver. Le DSA propose un mécanisme intéressant, alliant des exigences concernant les notifications et les instructions de communication de données par les autorités compétentes, d’une part, et des mécanismes de recours interne, de règlement des différends, d’évaluation des risques systémiques présentés par les grandes plateformes en ligne quant à la liberté d’expression, d’autre part.

Certains aspects de ce mécanisme peuvent néanmoins poser difficulté. Le premier aspect problématique est politique : la régulation des contenus va d’abord peser sur des acteurs privés, la modération relèvant des plateformes. L’institution d’une autorité de contrôle indépendante – le Conseil supérieur de l'audiovisuel (CSA) pour la France – est une proposition intéressante, mais elle s’inscrit dans une logique de régulation.

Un point technique peut par ailleurs être bloquant : le recours à des traitements automatisés pour procéder à la modération des contenus. Le DSA prévoit une exigence de transparence. La question de la transparence algorithmique soulève une vraie difficulté. Ne faudrait-il pas mettre en place des tests plus poussés des algorithmes dans des situations déterminées, ou par rapport à des types de propos déterminés ? On avance souvent l’idée d’une forme d’analyse d’impact algorithmique, mais il n’est pas certain que cela soit suffisant.

L’internalisation du mécanisme de recours est intéressante – il s’agit d’un mécanisme de règlement interne des différends dans l’hypothèse de suppressions de comptes ou de contenus. Là encore, le règlement interne a vocation à être indépendant, mais relève de la sphère privée. Nous assistons à une forme de marginalisation du juge dans le cas des atteintes à la liberté d’expression et cela peut poser problème. Il est, de plus, proposé de mettre en place un mécanisme de règlement extra-judiciaire des différends, en cas d’insatisfaction quant à la décision de règlement interne adopté. Cet empilement de mécanismes n’est pas forcément satisfaisant et risque d’être très long. Il peut être intéressant de maintenir une procédure judiciaire rapide pour qu’une juridiction se prononce sur un conflit lié à l’absence de modération d’un propos ou à la suppression d’un propos. La marginalisation du juge me surprend, avec la désignation du CSA comme autorité de contrôle. Le recours contre une décision du CSA relève du Conseil d’État et non du juge judiciaire, garant des libertés individuelles. En tant que juriste privatiste, cette décision m’interroge.

Le projet de loi renforçant le respect des principes de la République va à mon sens dans le bon sens, proposant une forme d’introduction anticipée du DSA : il permettra d’expérimenter par avance le système du DSA et de bénéficier d’un retour d’expérience qui pourra être intéressant lors des négociations sur le texte.

M. Philippe Latombe, rapporteur. Dans les futures négociations, les pays européens sont-ils d’accord sur les contenus qui seront soumis à cette réglementation ? Les pays européens ont-ils la même interprétation de ce qu’est la liberté d’expression ?

Pr Thibault Douville. C’est en effet une question centrale. Nous le voyons déjà en matière de droit au déréférencement et de droit à la protection des données personnelles. Les conceptions de la liberté d’expression varient. Les plateformes en ligne ont une interprétation autonome et globale de la liberté d’expression, qui répond à des critères différents des nôtres. Il n’est pas prévu que le DSA définisse une liste des propos illégaux. Au regard de l’état de son droit, chaque État membre va être amené à définir le caractère illicite de certains propos. Nous faisons donc face à un risque d’éclatement ou de fragmentation de la manière dont sera apprécié le caractère illicite de certains propos. Avec un mécanisme comme le DSA instituant la compétence du prestataire en la matière, il y a un risque que l’appréciation des propos varie en fonction des opérateurs.

M. Philippe Latombe, rapporteur. Le RGPD a mis en place un fonctionnement dans lequel toutes les autorités de contrôle nationales de type CNIL travaillent ensemble sous la direction d’un chef de file. Le DSA, lui, ne prévoit pas de tel mécanisme. Chaque pays conduira donc sa propre interprétation ?

Pr Thibault Douville. On peut imaginer une coopération entre les autorités de contrôle – cela est dans la logique de l’instrument. Mais effectivement, le texte ne prévoit pas de mécanisme instituant une autorité de contrôle chef de file avec un mécanisme de règlement des conflits entre autorités (dans le RGPD, ce rôle est confié au Comité européen). Il y a donc un vrai risque de fragmentation de la manière dont la liberté d’expression est appréciée dans l’Union européenne, ainsi qu’un risque de définition variable des contenus illicites, au sens des conditions générales d’utilisation des acteurs.

En revanche, il ne faut pas oublier que la Charte des droits fondamentaux promeut la liberté d’expression et garantit la protection de la vie privée et des données à caractère personnel. Les autorités nationales s’inspireront naturellement tant de la jurisprudence de la Cour de justice que de celle de la Cour européenne des droits de l’Homme. Cet acquis apportera quelques garanties dans la mise en œuvre de ces mécanismes.

M. Philippe Latombe, rapporteur. Les conditions générales d’utilisateurs ne sont pas spécifiquement visées dans le DSA. Ne devrions-nous pas récupérer de la souveraineté sur ce sujet ? Il s’agit de réglementations privées s’appliquant à l’ensemble des utilisateurs. Les États n’ont-ils pas le devoir de s’y intéresser et de les réguler ?

Pr Thibault Douville. Le DSA ne prévoit en effet pas l’encadrement des conditions générales d’utilisation, au-delà d’une exigence de transparence et de la nécessité de préserver la liberté d’expression – cela demeure très vague.

À titre individuel, les utilisateurs pourront toujours se prévaloir d’une atteinte à leur liberté d’expression résultant de l’application des conditions générales d’utilisation. On peut imaginer que certaines conditions générales d’utilisation prohibant certains propos soient contraires à la liberté d’expression : la clause pourrait alors être déclarée illicite car contraire à l’ordre public, et frappée de nullité partielle.

À titre plus général, est-il possible d’imaginer un mécanisme de contrôle des conditions générales d’utilisation ? On pourrait dresser un parallèle avec le mécanisme de contrôle des clauses abusives en droit de la consommation. Il pourrait être intéressant d’intégrer dans le DSA un mécanisme similaire de contrôle visant à encadrer ou à limiter la liberté d’expression sur les plateformes, afin de déterminer les frontières du licite et de l’illicite dans ces clauses. Cela est tout à fait imaginable. En la matière, le mécanisme de contrôle des clauses abusives est un bon exemple qu’il serait possible de dupliquer.

Le DGA constitue une proposition très intéressante qui vise à faciliter le partage des données. Le texte considère que les données constituent une infrastructure qu’il est possible et souhaitable de mobiliser pour différents usages et en vue de différentes finalités. Le DGA propose donc la mise en place de services de partage des données à travers les data hubs. La difficulté de ces plateformes est la confiance des utilisateurs, aussi bien ceux détenant les données que ceux qui pourraient les réutiliser, à la fois, quant aux jeux de données et à la protection du secret et aux finalités de la réutilisation. L’instrument européen cherche à répondre à cet enjeu de confiance. Il promeut certains services nouveaux, comme la mise à disposition de données à caractère personnel en faveur de réutilisateurs ou la mise en place de services de coopératives de données.

Au-delà de son affirmation de principe, très intéressante, beaucoup de questions se posent. Le partage des données demeure facultatif et volontaire. La question de la qualité des données partagées se pose : nous avons besoin d’un référentiel en matière de fraîcheur, de format, de contenu et des finalités de réutilisation des données. Les data hubs mis en place ne sont pas toujours une réussite : il demeure un écart entre l’affirmation politique et économique de la création d’un data hub et les réutilisations effectives de données. Il n’est pas certain, pour l’heure, que les data hubs aient trouvé leur public.

Je relève un constat final intéressant : les acteurs concurrents de l'État (les GAFAM et les BATX) collectent des données et les conservent pour améliorer leurs services et dégager de nouvelles connaissances. L’état du droit de l’Union, en revanche, ne va pas dans le sens d’une affirmation du partage des données. Par exemple, le Règlement européen Platform to business de 2019 vise à rétablir l’équilibre entre plateformes et entreprises utilisatrices et pose une exigence de transparence, quant au partage de données, en faveur des utilisateurs. On peut donc se poser la question de savoir si la simple mise en place d’un cadre de confiance pour le partage des données est suffisante afin de tirer parti des données collectées. Il pourrait être important également de diffuser une culture de la donnée à destination des acteurs économiques et des citoyens, afin de favoriser l’utilisation des données et de développer des solutions techniques qui permettent leur valorisation – celles-ci ne sont pas forcément disponibles actuellement.

Le texte est donc intéressant pour le cadre de confiance apporté, mais je ne suis pas certain qu’il réussira à atteindre son objectif qui est de favoriser la mise en place d’une économie de la donnée.

M. Philippe Latombe, rapporteur. Le texte ne réussira pas à atteindre son objectif car vous pensez qu’il n’apporte pas assez de confiance ?

Pr Thibault Douville. Cela n’est pas forcément dû à la confiance. L’instrument du data hub est intéressant, mais ce qui pose difficulté est de savoir pourquoi des détenteurs de données les mettraient à disposition de réutilisateurs. Dans quel but le feraient-ils ? Pourquoi des personnes mettraient-elles à disposition leurs données à caractère personnel ? Dans quel but le feraient-elles ? Il n’est pas certain que l’offre corresponde à la demande. Imaginons par exemple qu’un industriel récolte des données à l’occasion de sa production et qu’il cherche à les mettre à disposition d’autres acteurs. Quels autres acteurs seraient intéressés ? Il se pose un problème de correspondance entre collecteurs de données, d’une part, et réutilisateurs de données, d’autre part.

S’agissant de l’économie de la donnée, la plupart des transferts de données à caractère onéreux interviennent, aujourd'hui, dans le cas d’activités commerciales publicitaires. Il y a un alignement des intérêts des collecteurs de données et des réutilisateurs en la matière. Du point de vue industriel, cela est plus difficilement le cas. Je ne sais pas si mettre en place des plateformes de confiance, mettant en relation des collecteurs et des réutilisateurs, est la solution pour faciliter la réutilisation des données. Au-delà de l’instrument, se pose la question du marché : il existe un problème de marché et de circuit de la donnée.

M. Philippe Latombe, rapporteur. Quels sont les sujets juridiques auxquels nous devrions nous intéresser maintenant au regard des nouvelles technologies émergentes ? Je pense notamment à l’intelligence artificielle ou au quantique. En ce qui concerne l’intelligence artificielle, par exemple, des questions se posent sur la propriété intellectuelle d’algorithmes produits par l’intelligence artificielle. Devons-nous dès maintenant créer un cadre, ou devrons-nous nous adapter au fur et à mesure des avancées technologiques ?

Pr Thibault Douville. C’est une question fondamentale. Je me permettrai, pour débuter, un parallèle avec la blockchain. Il y a eu, en matière de blockchain, une volonté politique très forte de consacrer un cadre juridique, afin de favoriser l’émergence de la blockchain et de servir de modèle à l’échelle de l’Union européenne. Aujourd'hui, on se rend compte que le cadre mis en place a favorisé des initiatives, qui sont bloquées pour des raisons réglementaires, notamment de certifications. Nous avons assisté à un mouvement de mobilisation des énergies pour s’emparer de ces outils, et, aujourd'hui, un ralentissement en raison de contraintes réglementaires.

Le fait d’adopter des normes permet-il vraiment de faire émerger des initiatives et de prendre de l’avance ? Cela est vraiment discutable. Nous pouvons partir du principe que le premier cadre défini permet de servir de modèle, d’asseoir la confiance des utilisateurs et de favoriser l’investissement – cela est vrai : cela a été le cas pour l’utilisation de la blockchain en matière financière. Inversement, la mise en place d’un cadre juridique est un frein pour des acteurs qui sont encore à la recherche de solutions techniques.

L’intelligence artificielle reste, pour l’heure, des algorithmes sous maîtrise humaine. La question des créations peut trouver une réponse sur le fondement du droit actuel de la propriété intellectuelle ou par d’autres mécanismes contractuels. Je ne sais donc pas si la mise en place d’un cadre juridique est le meilleur moyen d’encourager les initiatives en la matière. Il demeure cependant des questions importantes sur lesquelles le législateur pourrait se pencher, comme la mise en place d’un cadre pour l’audit des algorithmes ou la transparence des algorithmes. Cette question très intéressante n’est pas réglée et mériterait de l’être. S’il s’agit d’adopter un texte pour mettre en place des règles très générales sur l’intelligence artificielle, la question de la pertinence de ce cadre se pose.

En matière de souveraineté juridique, une question actuelle pose difficulté : il s’agit de l’identité numérique. Je ne comprends pas que nous ne disposions pas de moyens d’identification électronique, que l'État ne se réapproprie pas l’identité électronique, que l’identité numérique ne soit pas ouverte aux fournisseurs de services afin de favoriser son adoption, que l’on ne se saisisse pas de ce moyen pour opérer une transformation de l'État et des services publics permettant le déploiement de services de confiance, comme la signature électronique qualifiée, l’horodatage qualifié, la lettre recommandée électronique qualifiée – sous réserve évidemment de la protection des personnes exclues du numérique.

Parmi les actions concrètes immédiates, l’identité numérique est à mes yeux une clé de la transformation numérique de l'État et de la souveraineté de l'État. L’État est le détenteur naturel de l’identité de tous ses concitoyens : il a le monopole de l’émission des titres d’identité. Ce sujet est au croisement des dispositions législatives, réglementaires et de l’investissement public. Le déploiement d’une identité numérique étatique permettrait d’opérer une transformation de l'État en mettant le citoyen au cœur de la transmission de ses données entre administrations. Ceci apporterait aux citoyens une plus grande confiance dans le déploiement du numérique et permettrait de développer de nouvelles technologies : le recours au deep pour les services financiers, par exemple. Ce sujet est urgent à mes yeux.

Votre mission d’information s’intéresse principalement aux usages et aux services. Il pourrait être intéressant, pour le législateur, de s’intéresser à l’infrastructure. Il s’agit de se demander si l’infrastructure numérique n’a pas vocation à relever, dans une certaine mesure, de services publics. Cela concerne l’hébergement de données – avec des garanties d’indépendance, par exemple – et les réseaux. L’ouvrage récemment publié par Thibault Verbiest et Jonathan J. Attia, « Un nouvel Internet est-il possible ? » raisonne sur la couche de l’infrastructure. Il propose d’intégrer à la norme des protocoles Internet TCP/IP de nouvelles fonctionnalités d’identification, de certification de contenus, de transferts de données, qui permettraient à l'État et au citoyen de retrouver une certaine maîtrise sur leurs usages. Cette approche a été peu développée jusqu’à présent. Les directives européennes s’attachent davantage à réguler les usages ou le marché.

M. Philippe Latombe, rapporteur. Notre mission d’information ouvrira une séquence pour traiter du sujet de l’identité numérique. Mme Christine Hennion et M.Jean-Michel Mis ont déjà remis un rapport à ce sujet. Leurs recommandations n’ont pas été mises en œuvre.

Pr Thibault Douville. Ce rapport formulait d’excellentes propositions. Nous disposons de France Connect Plus et une notification à la Commission devrait en principe intervenir cet été. La question est vraiment celle de l’ouverture du système à des fournisseurs de services privés pour permettre au citoyen de s’en emparer. Une vraie communication doit être faite à ce sujet.

M. Philippe Latombe, rapporteur. En ce qui concerne la blockchain, vous avez évoqué la partie financière et la volonté marquée dans la loi relative à la croissance et la transformation des entreprises, dite loi PACTE, d’avancer à ce sujet. La réglementation par décret a, par la suite, bloqué les intermédiaires financiers. Mais la blockchain permet aussi l’horodatage et l’inscription au registre. Certains pays sont très en avance et ont adopté des réglementations internes pour donner une force probante à la blockchain. Où en est la France et quelles mesures devons-nous adopter en urgence ?

Pr Thibault Douville. Un rapport et plusieurs propositions parlementaires sont intervenus à ce sujet. Votre collègue, M. Jean-Michel Mis, avait proposé, à l’occasion de la loi PACTE, d’introduire dans le code civil une disposition visant à donner une force probante aux enregistrements sur une blockchain.

Je formule à ce sujet plusieurs remarques. Le déploiement de la technologie de la blockchain demeure limité en dehors des cryptomonnaies ou des actifs numériques. Cela étonne, dès lors que la blockchain est connue et commence à être maîtrisée par tous. Du point de vue des usages, la blockchain pose la question de la conservation de l’information, de son intégrité et de sa datation. Elle ouvre la possibilité de la digitalisation de l’activité contractuelle par les smart contracts.

En ce qui concerne la force probante, la consécration d’une forme d’intégrité des données pourrait être intéressante. Le code civil permet d’ores et déjà d’utiliser une signature électronique avancée qui permet de garantir l’identité du signataire et de faire le lien entre la signature et l’acte. Il est possible à des prestataires de services de confiance de combiner leurs services avec des services de blockchain privés. La question de la consécration de la force probante sur des blockchains publiques se pose : elle pourrait être intéressante, au moins s’agissant d’une présomption quant à la datation de l’enregistrement et quant à l’intégrité de l’information, mais non une présomption quant à l’identité de celui ou celle ayant enregistré l’information – car cet élément ne peut pas faire l’objet d’un contrôle s’agissant d’une blockchain publique, sauf si un intermédiaire intervient pour délivrer des clés d’identification.

Il pourrait être intéressant de réfléchir à l’intégration d’un régime de smart contracts. L’autonomisation d’un certain nombre de contrats a vocation à intervenir, s’agissant des clauses contractuelles pouvant faire l’objet d’une mise en œuvre automatique, comme, par exemple, les conditions suspensives d’obtention d’un prêt. Le smart contract ne serait-il alors qu’une déclinaison de clauses contractuelles dans la blockchain, ou peut-on imaginer un contrat entièrement codé ? Cette seconde option poserait des questions de transparence, de compréhension par les parties et d’expression du consentement par les parties. Dans un premier temps, on pourrait imaginer la consécration de l’utilisation de smart contracts, c'est-à-dire d’exécution automatique de contrats sur une blockchain. Cela permettrait de lever un certain nombre d’incertitudes quant à l’inexécution éventuelle du contrat, mais pose, dans le même temps, des problèmes en ce qui concerne sa suspension éventuelle. Cela soulève beaucoup de questions qui mériteraient une vraie réflexion.

Le prochain congrès annuel des notaires aura pour thème l’homme, le numérique et le droit. Les notaires proposeront notamment un premier clausier de smart contracts, sur des opérations simples (conditions suspensives, terme d’un contrat, paiement d’une somme d’argent), qui ne requièrent pas d’information ou d’exécution extérieure de la part d’une personne. Cela pose une première brique de réflexion intéressante.

En France, en ce qui concerne les faits juridiques, un enregistrement sur une blockchain peut parfaitement être invoqué devant une juridiction, en vertu du principe de non-discrimination des documents électroniques instauré par le Règlement européen eIDAS. Une révision du Règlement eIDAS est envisagée, notamment pour y intégrer les blockchains. Jusqu’à présent, le Règlement eIDAS traite de l’identification électronique et des services de confiance, qu’il envisage de manière centralisée. Il est envisagé d’intégrer la blockchain dans ce Règlement : cela poserait davantage de questions pour les blockchains publiques que pour les blockchains privées.

En France, contrairement à la Belgique, nous n’avons pas profité de l’adaptation du droit français au Règlement eIDAS pour intégrer un statut des prestataires de confiance ou des tiers de confiance numériques. Il pourrait être intéressant de le faire. J’en veux pour exemple la consécration du coffre-fort numérique comme service de confiance en France. Le pouvoir réglementaire n’a pas indiqué qui peut proposer un service de coffre-fort numérique et quel est son statut. Il pourrait être intéressant de consacrer un régime général, peut-être dans le code de commerce, de l’activité de services de confiance en ligne. Cette activité pourrait être entendue soit de manière restrictive (c'est-à-dire tous les services de confiance au sens du Règlement eIDAS ou ajoutés par le législateur interne), ou bien plus largement : le tiers de confiance pourrait être celui qui propose des services de confiance ou la certification d’information par voie électronique. Cela peut être intéressant à l’occasion du déploiement des blockchain qui proposent des services de conservation d’actifs numériques, en rattachant les prestataires de services d’actifs numériques à cette catégorie des tiers de confiance.

Cela ferait apparaître un acteur qui bénéficierait d’un statut sur lequel le législateur pourrait s’appuyer pour de nouveaux usages à consacrer par la suite : des garanties financières de responsabilité, de respect des données à caractère personnel, de cybersécurité, qui seraient variables selon la qualité du tiers de confiance. On pourrait par exemple imaginer que les notaires puissent être tiers de confiance pour la certification et l’authentification d’information. On pourrait également imaginer que les prestataires de services qualifiés au sens d’eIDAS bénéficient de ce statut pour les services donnés. Cela permettrait d’agréger un certain nombre d’acteurs sous une qualification unique. Le législateur pourrait ensuite consacrer de nouveaux services de confiance se rattachant à cette catégorie de tiers de confiance bénéficiant d’un régime unitaire.

M. Philippe Latombe, rapporteur. Vous ne préconisez pas de créer une profession juridique réglementée spécialisée ? D’autres pays européens l’ont fait.

Pr Thibault Douville. Derrière la notion de « confiance en ligne » se cache une multitude de services possibles. Il existe les services de confiance au sens classique, c'est-à-dire au sens du règlement eIDAS. La Poste, dans le cadre de la délivrance de moyens d’identification électroniques, exerce, elle aussi, une activité de confiance. Ce service de confiance de vérification d’identité n’est pas consacré par le législateur – il est rattaché à un référentiel de l’Agence nationale de la sécurité des systèmes d'information (ANSSI). Pour permettre le déploiement des smart contracts, les notaires pourraient eux aussi exercer une activité d’authentification d’information en ligne. Il serait donc intéressant de disposer d’un statut unique de prestataire de services de confiance, dont les titulaires pourraient être habilités à proposer un service d’authentification de documents, aussi bien que de vérification d’identité. Cette catégorie a vocation à être adaptable en fonction du service de confiance proposé par les différents professionnels.

En consacrant la notion de prestataire de services de confiance ou de tiers de confiance, on pourrait associer à cette qualification un ensemble d’obligations communes de transparence, de responsabilité, de certification. Cette qualification bénéficierait de l’ensemble de l’acquis interne et européen, tout en permettant d’ouvrir de nouveaux usages par la suite. Un service de confiance d’authentification de documents est fondamental pour le déploiement des blockchain : il permettrait d’ajouter une présomption d’intégrité et de validité des informations enregistrées sur une chaîne de bloc. Nous avons besoin d’une catégorie.

M. Philippe Latombe, rapporteur. L’État travaille à sa numérisation et a besoin de plus en plus de données. Pour le contrôle fiscal par exemple, Bercy a souhaité pouvoir aspirer les données des réseaux sociaux. À l’occasion de l’examen du projet de loi sur la sécurité globale, la question du stockage des images filmées par les drones a également été débattue. Pensez-vous que l'État a aujourd'hui une suffisante culture de la donnée ?

Pr Thibault Douville. C’est une question difficile. Tout dépend des ministères et des services concernés. L’État mène une politique volontaire d’open data – c'est-à-dire d’ouverture des données – depuis bientôt vingt ans et cela commence à porter ses fruits. Un service public de la donnée a été créé et l’on constate aujourd'hui la mise à disposition d’un certain nombre de bases de données.

Votre question porte peut-être davantage sur les données que l'État collecte et traite dans ses activités. Ces données sont-elles valorisées et pourraient-elles l’être davantage ? Une récente initiative du ministère de la justice donne des clés de compréhension à ce sujet. Le décret DataJust de mars 2020 vise à mettre en place un traitement automatisé de données à caractère personnel. Un algorithme, établi à partir de décisions judiciaires, permet, par exemple, d’établir un barème d’indemnisations en matière de dommages corporels, de faire de la prospective et de l’analyse de moyens des juridictions, d’informer les justiciables concernant leurs droits et, potentiellement, l’indemnisation à laquelle ils peuvent prétendre. Cela favoriserait la mise en place de mécanismes de règlement extrajudiciaire des litiges. Cette initiative du ministère de la justice consiste à valoriser des données existantes, avec un objectif d’ordre à la fois opérationnel, prospectif, d’information et de pédagogie auprès des citoyens.

Ce modèle peut être dupliqué. La prospective et l’analyse de données peuvent, évidemment, être utiles à l'État – l'État le fait d’ailleurs déjà dans certains ministères et a vocation à le faire davantage. Cette initiative est également le moyen, pour l'État, de garder la main sur ses données et d’éviter que des acteurs privés ne s’en emparent. Les legal tech, par exemple, développent leurs activités sur des données judicaires : par son initiative, le ministère de la justice propose un service étatique et garde ainsi la main sur ses données. L’utilisation et la valorisation des données sont également un moyen de favoriser la confiance. La crise du COVID a montré que l’ouverture des données sanitaires était un très bon moyen de donner aux citoyens une prise sur l’évolution de la situation sanitaire. Plusieurs cas de réutilisation de données ouvertes par l'État ont ainsi été salués.

Les moyens posent problème dans la valorisation de la donnée. Nous en sommes toujours là. Nous avons créé le Health Data Hub ; il aurait été possible de prévoir une modernisation et une uniformisation des systèmes d’information des hôpitaux pour permettre une valorisation des données stockées localement, mais la difficulté est l’éclatement des suites logicielles utilisées dans les différents services des hôpitaux. En matière judiciaire, la même difficulté se pose : l’absence de rénovation du parc informatique et l’absence de matériel suffisant et à jour bloquent le développement de nouveaux usages. La mise à disposition de l’open data des données en matière judiciaire est aujourd'hui bloquée par la constitution de bases de données progressives. Nous sommes confrontés à un vrai problème d’investissement dans les politiques numériques, ainsi que de normalisation, d’uniformisation et de rénovation numérique de l'État. Cela bloque un certain nombre d’initiatives que l'État pourrait lancer et cela est dommage.

M. Philippe Latombe, rapporteur. La culture de la protection de la donnée fait-elle partie de la culture de l'État, ou l'État doit-il l’acquérir ? Avez-vous des recommandations à partager en matière de protection des données ?

Pr Thibault Douville. L’État est actif en matière de protection des données. La loi de programmation militaire 2013-2019 a été, par exemple, la première à créer la catégorie des opérateurs d’importance vitale pour protéger les systèmes d’information et les données. L’État est par ailleurs actif par le cadre juridique mis en place, par exemple, concernant la sécurité des données de santé qui font l’objet d’un hébergement. Il existe une vraie politique étatique en matière de protection des données. De ce point de vue, il me semble que l'État est assez proactif, aussi bien en matière de protection des données que de cybersécurité.

Il est plus surprenant peut-être de constater la défiance que les citoyens peuvent entretenir à l’égard de l'État quant à la manière dont il traite les données et aux finalités poursuivies par ces traitements. Le projet Alicem en est un exemple concret : le traitement de données visait à permettre la création d’un moyen d’identification électronique sur un smartphone. Il a provoqué des réactions assez vives en raison des risques que le système poserait quant à la protection des données à caractère personnel, notamment en raison du stockage centralisé d’un certain nombre de données. L’État devrait peut-être mettre en œuvre une politique pour minimiser les données traitées afin de favoriser la confiance des citoyens. Était-il par exemple nécessaire, dans le projet Alicem, de prévoir un stockage centralisé des données à des fins d’authentification compte tenu des usages possibles du moyen d’identification électronique ? L’État devrait peut-être développer une politique de minimisation des données pour favoriser la confiance des citoyens. Il me semble que la quantité ou le volume des données traitées, par l'État, peut créer une difficulté pour les citoyens. La meilleure protection des données est la minimisation. La meilleure anticipation du risque cyber est la minimisation des données traitées.

La collecte massive des données génère un risque. Il est tout à fait possible de modifier, par voie réglementaire ou législative, la finalité de l’utilisation des données pour transformer l’objet du traitement. C’est en cela que le raisonnement sur la finalité du traitement n’est pas forcément satisfaisant à lui seul. Une mise en œuvre du principe de minimisation des données constitue une vraie protection complémentaire des droits et libertés. La minimisation constituait le principe de base du RGPD, et l’on se focalise aujourd'hui davantage sur les finalités poursuivies que sur la minimisation des données.

La transformation numérique de l'État est un point fondamental en ce qui concerne la souveraineté. La place de l'État dans l’environnement numérique a vocation à se renforcer : l'État est très présent hors numérique, mais quelle est sa place dans l’environnement numérique ? Il y a toute sa place. Pour cela, l’État a certainement vocation à remettre le citoyen au cœur de ses données et au cœur de son identité ainsi qu’à minimiser les données traitées, afin de redonner une certaine prise au citoyen sur l’activité de l'État en matière numérique et à lui redonner confiance. Il est aberrant que les citoyens aient, en France, davantage confiance en Facebook ou Google qu’en l'État pour traiter leurs données.

M. Philippe Latombe, rapporteur. Y a-t-il des sujets que nous n’avons pas abordés et que vous souhaitez évoquer ?

Pr Thibault Douville. Nous avons, je crois, couvert l’essentiel des questions. Je vous enverrai une réponse écrite sur le périmètre d’application du Cloud Act aux filiales d’entreprises américaines.

Audition, ouverte à la presse, de M. Julien Nocetti, docteur en sciences politiques, chercheur associé à l’institut français des relations internationales (Ifri) et enseignant-chercheur en relations internationales et études stratégiques aux Écoles de Saint-Cyr Coëtquidan (11 mars 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. Pour évoquer les enjeux géopolitiques de la souveraineté numérique, nous avons le plaisir de recevoir M. Julien Nocetti, docteur en sciences politiques, chercheur associé à l’institut français des relations internationales (Ifri) et au centre Géopolitique de la Datasphère (GEODE), qui vient d’ailleurs d’obtenir le label d’excellence du ministère des Armées. Enseignant les relations internationales et les enjeux numériques aux Écoles militaires de Saint-Cyr Coëtquidan, ses travaux portent notamment sur la diplomatie du numérique et l’intelligence artificielle, sur l’évolution de la cyber-conflictualité – avec une expertise de longue date sur la Russie – et sur les rapports entre États et grandes plateformes du numérique. Sur l’ensemble de ces sujets, M. Nocetti participe régulièrement à des conférences internationales et multiplie les interventions dans les médias français et étrangers.

M. Philippe Latombe, rapporteur. Je vous interrogerai sur trois points.

Quel sens peut revêtir la notion de souveraineté numérique, abordée sous l’angle géopolitique et diplomatique ? Nous avons échangé à de multiples reprises –– c’est une question-type que je pose régulièrement en début d’audition – sur ce concept, que l’on peut définir comme une forme d’autonomie stratégique ou décisionnelle. J’aimerais donc savoir comment vous appréhendez cette notion et comment elle contribue à remodeler les relations internationales.

Le deuxième point se rapporte aux enjeux de cyberdéfense et de cybersécurité et à leurs conséquences géopolitiques. Comme vous le savez, ce sujet est prégnant au niveau national, comme en témoignent les nombreuses cyberattaques relayées par la presse, mais également au niveau international, comme l’affaire SolarWinds. La Commission européenne a défini une stratégie en matière de cybersécurité, qui doit soutenir le développement de capacités de cyberdéfense et l’établissement d’une politique internationale de cyberespace ouverte et cohérente. La France et l’Europe sont-elles prêtes à faire face à l’importance croissante de ces enjeux ? Comment percevez-vous les nombreux projets de régulation du numérique portés au niveau européen, comme les directives Digital Services Act (DSA), Digital Markets Act (DMA) ou Data Governance Act (DGA) ?

Enfin, en ce qui concerne la diplomatie numérique française et européenne, notre mission d’information a auditionné l’ambassadeur pour le Numérique, M. Henri Verdier, ainsi que l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (ARCEP), qui participe aux travaux des organismes internationaux traitant de ces sujets. La France se distingue-t-elle des autres pays en confiant la coordination de la défense de ses intérêts à un acteur dédié ? Plus globalement, comment peut-on qualifier le positionnement de la diplomatie numérique française ?

M. Julien Nocetti, docteur en sciences politiques, chercheur associé à l’institut français des relations internationales (Ifri). Je vous remercie de m’avoir invité à m’exprimer sur ces enjeux que vous venez d’esquisser, qui sont absolument passionnants, éminemment complexes, très évolutifs et qui mobilisent votre mission d’information. En guise de préambule, je me permets de préciser que je dirige aussi, depuis peu, la chaire Cybersécurité de Rennes School of Business, au sein de l’une des plaques territoriales de la cybersécurité en France.

Mon propos liminaire reprendra naturellement les questions que vous m’avez adressées. Il sera nécessairement partiel, eu égard à la diversité de ces grands enjeux de souveraineté numérique, quitte à créer une forme de frustration qui, je l’espère, sera aussi réduite que possible.

En lien avec votre première interrogation, je débuterai par une série de constats relatifs à cette souveraineté numérique – qui est ardemment souhaitée et rarement satisfaisante pour nous en Europe – et à ses enjeux, avant de m’attarder sur des enjeux plus immédiats et plus prégnants.

D’abord, le concept de souveraineté numérique n’a pas émergé partout au même moment. En Europe, et en France en particulier, le lien entre la souveraineté des États et l’ère de foisonnement numérique a commencé à être évoqué dès la fin des années 2000. Sans surprise, nous constatons une montée en puissance de ce concept à l’occasion des révélations d’Edward Snowden, avant que l’emprise des grandes plateformes américaines du numérique ne vienne nous révéler crûment, et de manière progressive, nos propres failles en matière de souveraineté.

La souveraineté numérique n’est pas toujours pareillement comprise – permettez-moi cette litote – dans les différentes zones du globe, ce qui induit d’y prêter un regard plus global et plus géopolitique. Des États comme la Chine et la Russie – mais non eux seuls – ont pensé, de très longue date, la souveraineté numérique sous le prisme de la souveraineté de l’information, avec l’idée que les contenus produits et échangés sur le web comptaient tout autant, sinon plus, que l’infrastructure physique. Cette différence peut sans doute nous paraître « lointaine » car relevant d’une autre culture politique, mais il s’agit précisément du biais que nous devons éviter.

J’en arrive à un sujet que nous avons peut-être occulté ces derniers temps. Les grandes plateformes du web, que nous connaissons tous, ont été conçues pour défaire l’autoritarisme et défendre la démocratie. Pourtant, nous vivons aujourd’hui une séquence où la contrainte pesant sur le respect de la vie privée en ligne – et la tyrannie de la transparence qui peut aussi en découler – suggère une forme d’alignement progressif des pratiques de nos États démocratiques sur celles des régimes autoritaires. Je ne dresse évidemment pas des tables d’équivalence, mais cette tendance est clairement d’actualité depuis cinq ou six ans.

Dans ce contexte, le sujet de la souveraineté numérique constitue, depuis longtemps, une ligne de fracture dans la gouvernance internationale de l’espace numérique, avec des États – je les ai mentionnés – ayant pour eux le mérite de la constance de leurs positions. C’est un point que nous avons certainement sous-estimé les années précédentes, avant que ne se renforce, en Europe et en France en particulier, notre propre appareil diplomatique en matière de numérique.

Nous observons, par ailleurs, que l’enjeu de la souveraineté numérique est parfois exploité, par les États que j’ai mentionnés, à des fins stratégiques et de politique étrangère. Il est d’ailleurs frappant de relever, soit dit en passant, que certains médias russes – que nous connaissons bien depuis 2017 – n’ont aucun complexe à instrumentaliser ce sujet de la souveraineté numérique, ou plutôt l’absence de souveraineté numérique en Europe, avec en contrepoint les différents scandales d’espionnage qui ont émaillé la vie politique et stratégique européenne depuis une dizaine d’années. La souveraineté numérique est donc une thématique qui est aussi exploitée à nos propres dépens, et nous devons nécessairement prêter attention à cette dimension dans l’élaboration de doctrines et pour peser dans ce domaine.

De surcroît – c’est peut-être un lieu commun –, cette thématique est devenue indissociable de l’effet systémique produit, d’abord, par les géants américains Google, Apple, Facebook, Amazon et Microsoft (GAFAM), mais également par les géants chinois Baidu, Alibaba, Tencent et Xiaomi (BATX). Nous connaissons bien le phénomène de grignotage – certains diraient de dépeçage, mais je n’irais peut-être pas jusque-là aujourd’hui – des prérogatives souveraines des États par ces acteurs. Je n’insisterai pas outre mesure sur ce point, mais je citerai quelques exemples en guise d’illustration. À l’heure actuelle, le meilleur cadastre au monde est l’outil Google Maps. Pour sa part, Facebook détient probablement plus de données sur ses utilisateurs que n’en possédera jamais l’état-civil. Sur le plan monétaire, le projet Libra porté par Facebook pourrait, à terme, prendre de vitesse l’Union africaine dans son ambition de relier les États africains par le biais d’une monnaie unique. En matière de sécurité, de plus en plus de géants du numérique ont développé des capacités pour parer aux cyberattaques. Enfin, dans une perspective plus diplomatique, certains de ces géants aiment à se comparer aux acteurs diplomatiques traditionnels. Je ne mentionnerai aucun nom, mais ce phénomène est clairement visible sur la scène internationale.

Il me semble qu’il existe une forme de contradiction entre le phénomène de territorialisation du cyberespace, qui est renforcé par des considérations de souveraineté, et la position des GAFAM en tant que signes hors-sol de la puissance américaine. Ce point important n’est pas toujours bien mesuré en Europe occidentale, et plus particulièrement en France. Notre manière de penser les relations internationales et la géopolitique repose sur l’idée d’espace, de frontière, de territoire. Pourtant, nous assistons aujourd’hui à un phénomène de déspatialisation, qui dépasse le numérique, mais qui le concerne très nettement. Il existe déjà une réalité du rapport de pouvoir dématérialisé, qu’il est très difficile de juridiciser. Toutefois, les dirigeants américains ont eu le génie d’être les premiers à l’appréhender. Avant même la chute du mur de Berlin en 1989, ils ont compris qu’ils allaient perdre le contrôle effectif de l’espace, mais qu’ils pourraient exercer leur pouvoir et leur puissance en maîtrisant les signes hors-sol. Nous en avons vu la première manifestation dans les révolutions monétaristes et financières, dont il n’est pas question aujourd’hui, puis dans le développement du numérique, d’Internet et de l’économie globale.

L’exercice du pouvoir américain – et la mondialisation qui en découle depuis plusieurs décennies – se caractérise également par l’existence de courts-circuits, sur lesquels se fonde, en grande partie, cette puissance numérique américaine. Dans cette logique, la construction originelle basée sur l’espace est court-circuitée par d’autres éléments. En effet, ce pouvoir repose sur la maîtrise et le contrôle de différents signes, notamment monétaires et numériques, qui permettent aux Américains d’exercer une forme de souveraineté sur tous les autres domaines d’activité, mais aussi sur tous les autres pays. Pour maîtriser les signes, tout doit passer par le territoire américain. À cet égard, la question des données illustre parfaitement mon propos. Si vous ne deviez retenir qu’un seul chiffre, sachez que 90 % des données produites sur le continent européen transitent, à un moment, par le territoire américain. Je pense que c’est un paramètre que nous devons bien mesurer.

Au-delà du cas américain, nous devons bien appréhender l’évolution extrêmement rapide de cette notion de souveraineté numérique et des enjeux qu’elle charrie. En 2021, la souveraineté numérique est très différente de la souveraineté numérique que nous commencions à appréhender en 2010 ou en 2014, un an après l’affaire Edward Snowden. À l’époque, lorsque l’on évoquait la notion de souveraineté numérique, les débats se focalisaient essentiellement sur une seule question : qui contrôle Internet ? Aujourd’hui, les enjeux sont extrêmement différents, puisque la question dépasse le champ numérique traditionnel – infrastructures, Internet, web, etc. Par conséquent, nous devons urgemment élargir notre propre focale en y incluant les technologies critiques. L’intelligence artificielle, la 5G et l’informatique quantique ne peuvent pas être occultées de notre conception de la souveraineté numérique, tout comme l’enjeu de l’approvisionnement en composants critiques, sur lequel je reviendrai dans quelques instants. Je pense également à la maîtrise d’algorithmes sensibles. Ces problématiques sont d’une très grande complexité lorsqu’elles s’intercombinent. Je vous laisse donc imaginer à quel point toute ambition de souveraineté numérique est vertigineuse.

Je viens d’évoquer un point particulier, sur lequel j’apporterai quelques développements, et auquel les médias prêtent de plus en plus d’attention. Il s’agit des semi-conducteurs. Cet aspect a été occulté durant des années, avant d’animer l’actualité à la faveur ou à la défaveur des tensions sino-américaines et des différents décrets adoptés par Donald Trump à partir de mai 2019. Les semi-conducteurs sont aujourd’hui absolument fondamentaux et centraux dans ces ambitions de souveraineté numérique. Le sujet n’est pas nouveau, mais il s’est amplifié à mesure de notre dépendance accrue à ces composants, et à mesure que nous prenions conscience de la complexité des chaînes de valeur globales des semi-conducteurs. Nous dépendons d’acteurs américains pour leur conception et leur design, d’acteurs taïwanais pour la fonderie et leur production physique, mais aussi d’acteurs chinois, britanniques ou singapouriens pour d’autres volets de ces chaînes de valeur. Ces composants technologiques revêtent logiquement une dimension géopolitique extrêmement forte, ainsi qu’une dimension économique majeure au regard de leur prolifération et de l’industrie très globalisée qui les entoure. L’enjeu est également stratégique. En effet, si nous avons surtout tendance à aborder la dimension civile et commerciale de ces semi-conducteurs, qui innervent nos smartphones et autres produits informatiques, nous ne devons pas en oublier les enjeux critiques en termes de supériorité militaire pour les décennies à venir.

La question des semi-conducteurs induit donc des enjeux de souveraineté numérique et technologique extrêmement puissants. Par cet aspect, la dimension industrielle est intimement liée à la dimension géopolitique. C’est par le biais de ce composant qui paraissait initialement anodin – le semi-conducteur – que nous mesurons aujourd’hui toute la complexité et toute l’interdépendance de nos chaînes de valeur. Dans ce domaine, l’Europe dispose d’une faible marge de manœuvre, du moins pour le moment. Ses acteurs – Infineon, NXP, STMicroelectronics – demeurent relativement modestes en termes de taille. En outre, le climat stratégique autour de la 5G – dont les semi-conducteurs constituent l’ossature la plus avancée – nuit à l’homogénéité de vues entre Européens et à la prise de décision.

Comme vous l’évoquiez, l’Europe cumule des faiblesses déjà bien identifiées en matière de souveraineté numérique, qu’il s’agisse de facteurs internes ou externes. En interne, citons l’insuffisante intégration du marché numérique, les problématiques de financement de l’innovation, les divergences politiques entre États membres, etc. À l’extérieur, l’Europe s’expose de plus en plus à des stratégies de puissance prédatrices et éprouvées. J’ai déjà évoqué, dans le cas des États-Unis, une longue tradition combinant puissance financière, puissance technologique, mais aussi attraction des GAFAM – par le biais d’un écosystème extrêmement performant – et extraterritorialité du droit américain. Du côté de la Chine, la célérité et le centralisme de la prise de décision, conjugués à une absence totale de considérations éthiques en interne, expliquent pourquoi cette spécificité chinoise parvient à acquérir quelques avantages en matière stratégique, au détriment de l’Europe.

Vous avez également évoqué l’idée d’autonomie stratégique qui, à mon sens, vient s’entrechoquer avec cette notion de souveraineté numérique. Ce concept d’autonomie stratégique, extrait du champ lexical de la défense française depuis l’époque du général de Gaulle, a fait son entrée dans la politique européenne, y compris dans différents documents d’orientations stratégiques de l’Union européenne en matière de sécurité et d’affaires étrangères. Le problème est que les États membres ne soutiennent pas tous le développement d’une autonomie stratégique européenne, tandis que ses partisans ne s’accordent ni sur ce qu’elle recouvre ni sur le niveau d’ambition stratégique que l’Europe devrait acquérir et mettre en œuvre dans le domaine numérique. À cet égard, l’attitude à adopter vis-à-vis des États-Unis demeure une divergence fondamentale, tandis que les risques qu’une autonomie stratégique européenne pourrait faire peser sur les relations transatlantiques – particulièrement sur les sujets de défense – demeurent un véritable point de crispation

Le contexte actuel en matière de numérique s’avère donc assez particulier pour l’Europe. À la lecture d’une Europe perçue comme une « colonie numérique » s’oppose une approche plus nuancée mettant en avant le volontarisme de l’actuelle Commission européenne en matière de protection numérique ou d’intelligence artificielle. Nous avons d’ailleurs affaire à une Commission européenne qui se veut « géopolitique », selon les propres mots de sa présidente. Pourtant, plusieurs signaux contradictoires sont envoyés depuis quelques mois.

D’un côté, nous retrouvons l’activisme bien connu du commissaire au marché intérieur, qui se superpose d’ailleurs aux différentes initiatives du Portugal, qui préside actuellement le Conseil de l’Union européenne. Je songe notamment à différentes initiatives intéressantes relatives aux câbles sous-marins, qui font suite à des propositions en matière de cloud et de semi-conducteurs, avec un accent très marqué – j’insiste sur ce sujet – sur les infrastructures critiques. Ce point majeur témoigne bien de l’évolution de l’Europe dans son appréhension du phénomène et de sa dépendance vis-à-vis d’infrastructures maîtrisées par des puissances extérieures.

D’un autre côté, la stratégie dite « boussole numérique 2030 » récemment publiée s’avère relativement décevante. Pour être tout à fait franc, l’on n’y décèle pas, loin de là, une tonalité géopolitique faisant transparaître une réelle ambition de souveraineté numérique, même si le terme y est employé, quoiqu’à une seule reprise. Par ailleurs, d’autres déclarations et d’autres formes de rhétorique brouillent quelque peu le message de la Commission européenne. Je fais ici référence à une récente lettre ouverte adressée par la chancelière allemande et les premières ministres estonienne, finlandaise et danoise à Ursula von der Leyen, qui nous fait penser que ce concept de souveraineté numérique masque des logiques d’interdépendances devenues un véritable marqueur de notre époque, en dépit des stratégies dites « de découplage » que les États-Unis tentent d’imposer « avec force » depuis quelque temps.

Pour en revenir à votre première question relative à la définition de la souveraineté numérique, je rappellerai d’abord que beaucoup s’y sont déjà essayés, et que je ne suis donc pas certain de pouvoir y apporter une contribution fondamentalement nouvelle. Néanmoins, en lien avec cette logique d’interdépendances, la souveraineté numérique pourrait consister à pouvoir choisir nos interdépendances. Par cette formule, je sous-entends l’idée de choix, de stratégies, de moyens, de capacités, mais également l’idée que nous évoluons dans un contexte global d’interdépendances. Nous devons bien mesurer que certaines approches de la souveraineté numérique édictées ou martelées au cours de la dernière décennie ont pu parfois sembler cantonnées à des logiques nationales extrêmement réductrices, sans doute caricaturales, qui occultaient complètement le fait que notre monde demeurait extrêmement globalisé et soumis à des logiques d’interdépendances, en dépit des formes de nationalisme technologique auxquelles nous avons pu assister du côté chinois comme du côté américain.

Nous évoluons aussi dans un contexte particulier, comme je l’indiquais précédemment, de par la récente élection de Joseph Biden à la présidence des États-Unis, qui vient nécessairement trancher avec les quatre années de la présidence de Donald Trump. Le moment est sans doute paradoxal pour nous autres Européens. Cette présidence Trump, ô combien chaotique et problématique à certains égards, nous a tout de même réveillés, en nous donnant enfin l’occasion d’affronter nos propres vulnérabilités et nos propres failles dans le domaine numérique et le domaine technologique au sens large. Avec la présidence Biden, nous risquons d’en revenir à ce vieux consensus transatlantique et d’en oublier nos propres divergences vis-à-vis de certaines thématiques numériques, d’abord, sur les enjeux de fiscalité, mais aussi sur les enjeux de transferts des données, qui constituent précisément, depuis des années, l’une des pierres majeures d’achoppement entre l’Europe et les États-Unis. De la part de cette administration Biden, nous devons peut-être nous attendre à une forme de géoéconomie très brute, qui ne tranchera pas nécessairement avec la présidence Trump, mais qui sera enveloppée de multilatéralisme très poli.

Je pense à l’instant à un autre paramètre à prendre en compte sur cette thématique du numérique. Qu’il s’agisse des questions de cybersécurité, d’échanges de données, de droits de l’homme, etc., nous devons nous attendre à interagir avec des interlocuteurs américains très expérimentés. Certains d’entre eux occupaient déjà des postes à haut niveau sous la présidence de Barack Obama. Surtout, ces interlocuteurs sont extrêmement compétents. Il s’agit évidemment d’un aspect tranchant avec la présidence Trump, durant laquelle certains postes à responsabilités au sein de la haute administration américaine étaient parfois restés vacants. Aujourd’hui, ces postes sont pourvus et occupés par des individus à l’expertise extrêmement riche. Cette dimension ne doit pas être sous-estimée, du côté européen, lorsque nous cherchons à échanger avec nos alliés et à leur faire passer nos propres messages.

J’en termine sur ce propos introductif, qui m’a permis de répondre brièvement à une partie de vos questions liminaires. Comme vous le sous-entendiez, ces enjeux sont bien plus vastes. Par exemple, je n’ai pas eu l’occasion d’évoquer, dans mon propos, l’enjeu du capital humain, qui est certainement l’un des aspects les plus sous-estimés de ces enjeux de souveraineté numérique. C’est aussi en évitant la fuite des cerveaux et en formant massivement ses propres experts que l’Europe pourra s’affranchir de sa tutelle numérique. À cet égard, trois enjeux se superposent : l’enjeu de la formation, que nous venons d’évoquer ; l’enjeu de la rétention de nos cerveaux ; l’enjeu de la captation. C’est sur cet enjeu humain que la question du numérique prend une dimension quasi géopolitique, d’autant que nous l’avons trop longtemps sous-estimé, alors que les États-Unis peuvent s’enorgueillir d’une expérience extrêmement riche en la matière. Si l’Europe ambitionne de peser dans ce domaine et de s’affranchir, au moins partiellement, de ces formes de tutelle que je viens d’évoquer, elle doit nécessairement et urgemment répondre à cet enjeu de formation au long cours.

M. Philippe Latombe, rapporteur. S’agissant des semi-conducteurs et du volet matériel dans son ensemble, vous indiquiez que l’Europe était quelque peu à la traîne – en tout cas, je l’ai compris ainsi – et que les Américains avaient pris de l’avance. Pour faire écho à vos propos sur la nouvelle administration américaine, Joseph Biden a initié un grand plan sur les semi-conducteurs afin de rapatrier la production aux États-Unis, mais également pour chercher des solutions d’avenir. Est-ce à dire que les Américains ont aujourd'hui peur de l’émergence chinoise sur le marché des semi-conducteurs ? Devons-nous nous attendre à une nouvelle guerre sino-américaine sur ce segment en particulier, et considérer que les tensions avec Huawei n’étaient que les prémices de prochaines étapes conflictuelles ? Dans ce cas, comment l’Europe peut-elle s’affranchir de ce conflit pour ne pas se retrouver prise entre deux feux, autrement dit entre les États-Unis et la Chine ?

M. Julien Nocetti. Ces questions recouvrent à nouveau des enjeux éminemment politiques, dont les impacts se feront ressentir jusqu’en Europe. D’abord, il est amusant de constater que cette problématique des semi-conducteurs émerge après deux ou trois années de tensions extrêmement vives entre Américains et Chinois. À l’origine, ce sont surtout les enjeux de propriété intellectuelle et de cybersécurité qui caractérisaient ces tensions. L’intelligence artificielle s’est ensuite retrouvée au cœur de la rivalité sino-américaine, au point de cristalliser un certain nombre de peurs – notamment de déclassement – chez les Américains, eu égard à la montée en puissance de la Chine. Plus récemment, le dossier de la 5G a provoqué un regain de tensions entre les deux acteurs, avec notamment les performances internationales de la société Huawei. De ce point de vue, l’enjeu des semi-conducteurs est particulièrement intéressant. Comme je l’indiquais précédemment, cet enjeu fut très longtemps occulté, surtout par les Européens, mais aussi par les Américains, qui n’avaient peut-être pas mesuré les ambitions chinoises d’autonomisation technologique en la matière.

Sans revenir en détail sur la stratégie de Pékin, différents plans ont été annoncés par les dirigeants chinois dans le domaine des technologies et des semi-conducteurs. Le plus fameux, « Made in China 2025 », consiste à acquérir une forme de souveraineté, disons de maîtrise, sur la plupart des technologies dites critiques. Plusieurs technologies clés ont ainsi été identifiées comme extrêmement vitales pour l’avenir de la Chine. En l’occurrence, les semi-conducteurs avancés, notamment ceux intégrant de l’intelligence artificielle, sont perçus comme à l’avant-garde de ce que la Chine doit maîtriser et produire massivement. Pourtant, du côté chinois, l’objectif est loin d’être atteint. Malgré les montants faramineux parfois avancés par les autorités de Pékin, la Chine ne maîtrise pas, à ce stade, les composants les plus sophistiqués, dont la miniaturisation est poussée à son paroxysme et qui peuvent être intégrés au sein des produits et des services les plus sensibles. De ce point de vue, les Chinois affichent encore, aujourd’hui, un déficit de souveraineté.

Du côté américain, la situation est paradoxale. Certains acteurs comme Qualcomm, Apple et Intel jouissent d’une forme de leadership sur certaines parties de la chaîne de valeur des semi-conducteurs, en particulier dans leur design. En revanche, les Américains ne maîtrisent pas l’ensemble du spectre et dépendent de chaînes de valeur tout à fait globalisées, comme je l’indiquais précédemment. C’est d’ailleurs pour cette raison que le géant américain Nvidia a tenté, l’été dernier, de racheter le britannique ARM, qui est extrêmement avancé dans la construction de semi-conducteurs. L’accord a semble-t-il capoté pour diverses raisons. Néanmoins, cette tentative montre bien que les Américains sont devenus extrêmement susceptibles sur cet enjeu des semi-conducteurs et cherchent à mettre certains de leurs alliés sous pression, notamment en Asie. Je pense notamment à Taïwan, qui revient en force dans cette géopolitique des technologies, et qui héberge notamment la société TSMC, leader mondial de la fonderie et de la production de ces composants. Durant sa présidence, Donald Trump a cherché à relocaliser, sur le territoire américain, précisément en Arizona, une partie de la production de TSMC. J’ignore si l’accord sera ou non maintenu par l’administration Biden, mais force est de constater que cet enjeu fut véritablement, durant plusieurs années, au centre de l’agenda bilatéral sino-américain et des tensions géopolitiques en matière de technologies.

De son côté, l’Europe commence à mesurer l’intérêt de cet enjeu. Il est tout à fait logique, d’ailleurs, que l’actuelle présidence portugaise du Conseil de l’Union européenne l’ait inscrit dans les premières lignes de son agenda politique.

M. Philippe Latombe, rapporteur. De nombreuses cyberattaques ont été attribuées à la Russie. Depuis quelque temps, et encore très récemment, la plupart des cyberattaques sont attribuées aux Chinois. Est-ce un révélateur de leur positionnement ou de leurs oppositions géopolitiques ? Voici quelques années, les Russes avaient été mis en cause pour le virus Petya. De leur côté, les Nord-Coréens avaient été accusés d’avoir lancé des cyberattaques sur le sol américain. Très récemment, l’attaque subie par Microsoft a été attribuée à des Chinois. S’agit-il donc d’un révélateur ou d’un bon thermomètre de la géopolitique et des antagonismes caractérisant l’univers du numérique ?

M. Julien Nocetti. Il s’agit effectivement d’un révélateur extrêmement éclairant. Par le passé, les Américains avaient déjà attribué quelques attaques à la Chine. Durant la présidence de Barack Obama, ces tensions et ces attributions étaient demeurées, sinon en sourdine, du moins relativement discrètes par rapport aux attributions formulées sous la présidence de Donald Trump. Les attributions publiques constituent d’ailleurs – nous basculons dans une autre thématique – un point extrêmement sensible de cette géopolitique.

Les Américains ne se privent absolument pas d’attribuer publiquement des cyberattaques. Au contraire, la France s’y montre plutôt réticente, pour différentes raisons, principalement parce que les capacités d’attribution reposent sur des traces techniques détectables et sur des capacités de renseignement. De fait, lorsque vous attribuez une attaque, vous révélez en partie vos propres capacités de renseignement. Nous comprenons donc les réticences de la France dans ce domaine. En revanche, les Américains appliquent une politique d’attribution publique systématique, dite du « name and shame », qui a débuté à la fin du mandat de Barack Obama, avec notamment différentes attaques attribuées à la Russie à l’occasion de la campagne présidentielle de 2016. Plus largement, les exemples nord-coréens jalonnent les présidences américaines successives. Souvenons-nous notamment de la cyberattaque ayant ciblé Sony Pictures en 2014, qui avait conduit Barack Obama à réagir publiquement à la télévision américaine pour attribuer cette attaque importante au régime de Pyongyang.

Sous l’administration Trump, les attributions publiques sont allées crescendo. Si ces attributions émanaient initialement de la Maison-Blanche, le processus d’attribution a graduellement été marqué par une forme de décentralisation. Les attributions n’émanaient plus nécessairement de Donald Trump ou de ses conseillers, mais du département de la Justice pour les mises en accusation et du département du Trésor pour les sanctions adoptées vis-à-vis de certains hackers, groupes criminels ou autres.

Avec Joseph Biden, nous devons nous attendre, malgré une volonté d’apaisement qui sera recherchée avec la Chine, à une politique du coup pour coup sur ces questions de cybersécurité, et à une stratégie de représailles systématiques contre ces velléités chinoises de tester les États-Unis. Nous le savons, les Américains sont amplement testés depuis quelque temps. Nous en avons vu la première manifestation avec l’attaque dirigée contre SolarWinds, qui fut pour partie attribuée à la Russie, tandis que certains acteurs chinois auraient également effectué quelques intrusions au sein des systèmes compromis. Je pense également à cette attaque subie par la Floride, dont les systèmes d’approvisionnement en eau auraient été compromis par l’intervention de pirates informatiques. Plus récemment, nous avons tous en tête l’attaque dirigée contre Microsoft Exchange par le biais de pirates chinois.

Aux États-Unis, cette tradition d’attributions publiques des attaques relève aussi d’une logique d’envoi de signaux : envoyer des signaux de dissuasion et/ou de coercition et empêcher que tel ou tel acteur ne se livre à des attaques répétées et plus conséquentes en termes de dégâts. S’il est probable que cette tendance se poursuive aux États-Unis, reste à savoir si cette systématisation des attributions se répercutera, à long terme, chez les alliés européens. Au Royaume-Uni, on observe depuis quelque temps une forme de mimétisme et d’alignement, avec de multiples cyberattaques attribuées à la Russie. Le reste de l’Europe est, quant à lui, marqué, sur ce plan également, par des divergences de politiques et de conceptions sur l’attribution ou la non-attribution de cyberattaques. À ce stade, aucun consensus ne semble véritablement se dégager. L’un des points fondamentaux suscitant le plus de débats est d’ailleurs l’enjeu du « hack back », ou piratage en retour, qui confère aux acteurs privés un rôle important en matière de représailles. Ce sujet ne fait absolument pas consensus et se prête parfois aux chamailleries des différents États européens au sein des enceintes de discussion communautaires.

M. Philippe Latombe, rapporteur. Si l’attribution de cyberattaques ou le fait d’y répondre s’apparente à l’envoi d’un signal, c’est bien qu’il existe une diplomatie numérique. En tout cas, cette diplomatie numérique existe assurément du côté des États-Unis, de la Russie et de la Chine. Où en est la diplomatie numérique européenne ? En France, nous disposons d’un ambassadeur pour le numérique, mais où l’Europe se situe-t-elle dans ce mouvement de plaques diplomatique ? Avons-nous une voix qui compte et une véritable diplomatie numérique ? Dans le cas contraire, comment pourrions-nous la construire ?

M. Julien Nocetti. S’agissant de la diplomatie numérique à l’échelle européenne, je resterais relativement mesuré. Bien que relevant des prérogatives du Service européen pour l’action extérieure (SEAE), ces compétences s’exercent encore aujourd’hui selon une logique géographique. En outre, ce paramètre numérique est scindé entre les différentes compétences des commissaires. Le commissaire au marché intérieur a son mot à dire sur certains aspects de diplomatie numérique, ce dont il ne se prive pas, comme en témoignent, depuis le mois de décembre, les différentes stratégies et déclarations formulées en matière de souveraineté et de réponse, vis-à-vis des États-Unis ou de la Chine. Néanmoins, le commissaire à l’innovation et le commissaire à la concurrence – bien évidemment – jouissent également de prérogatives en matière de diplomatie numérique.

Dans une logique plus diplomatique, les États membres européens conservent évidemment leurs compétences. Je relativiserai donc toute réalité ou toute consistance d’une diplomatie du numérique européenne, qui ne « fait pas le poids », pour l’instant, face aux deux acteurs américain et chinois prenant en étau l’Union européenne. Ce champ relève encore aujourd’hui des politiques nationales, avec des niveaux de maturité sans doute différents entre États européens.

M. Philippe Latombe, rapporteur. En lien avec ma précédente question, comment situez-vous les Anglais, qui ont quitté l’Union européenne ? Sur cet échiquier mondial, la petite plaque qu’est le Royaume-Uni se rapprochera-t-elle plutôt des Américains ou se maintiendra-t-elle plutôt dans notre environnement ? Je pense notamment à la protection des données, sachant que le Règlement général sur la protection des données (RGPD) ne sera plus applicable au Royaume-Uni à partir du 1er juillet 2021. Les Britanniques doivent ainsi décider, avant le mois de juin, quel modèle adopter en matière de protection des données. Conserveront-ils l’ancien modèle du RGPD ou entameront-ils une transition vers le modèle américain ? Ce sujet peut-il être source de difficultés ? Sait-on si le Royaume-Uni aurait fait des émules auprès d’États membres qui souhaiteraient se rapprocher des Américains ?

M. Julien Nocetti. Il s’agit d’une question relativement sensible. Avant le Brexit, la diplomatie numérique britannique était assez pléthorique, et le Royaume-Uni était sans doute l’acteur européen le plus consistant dans ce domaine, sans doute par mimétisme vis-à-vis du partenaire américain, mais aussi par connaissance de ces thématiques et par une plus grande maturité sur ces enjeux et sur la défense des intérêts britanniques en la matière. Cette consistance était particulièrement visible sur la plaque bruxelloise, avec des intérêts britanniques – notamment en matière de commerce et de protection des données – savamment défendus par les officiels de la Couronne, mais aussi une habileté à fonctionner en réseau avec des sociétés de conseil – ou autres – extrêmement efficaces dans la défense de ces intérêts et des approches promues par les Britanniques. Tout ne disparaîtra pas avec la transition et le départ du Royaume-Uni des instances communautaires, puisque le pouvoir britannique disposera toujours d’experts et de relais à Bruxelles.

Quoi qu’il en soit, le contexte numérique britannique est également très particulier, dans le sens où la crise de la COVID-19 a jeté une lumière assez crue sur les dépendances du Royaume-Uni en matière numérique et sur les choix de Londres vis-à-vis de la Chine. Ce dossier a suscité des débats extrêmement animés et placé le Premier ministre Boris Johnson en position parfois délicate. À l’été 2020, le Royaume-Uni a fait le choix assumé de moins chercher à s’attirer les faveurs de Pékin et contracter avec des sociétés technologiques chinoises. Mécaniquement, depuis neuf mois, l’on observe un retour vers l’allié américain, qui pourrait augurer d’un possible alignement des planètes entre Londres et Washington. D’ailleurs, avec l’élection de Joseph Biden, le discours vis-à-vis des Britanniques se voudra plus conciliant que sous la présidence de Donald Trump, durant laquelle les relations anglo-américaines étaient assez chaotiques malgré les déclarations d’amitié répétées de Donald Trump à Boris Johnson.

M. Philippe Latombe, rapporteur. S’agissant de l’espace numérique en tant que tel, les interactions et la diplomatie s’effectuent aujourd’hui dans un espace numérique ouvert. N’assistons-nous pas, progressivement, à une forme de régionalisation d’Internet ? D’un côté, les Chinois se calfeutrent derrière une muraille de Chine et entendent totalement maîtriser leur propre marché, notamment pour des raisons sociétales de contrôle de la population. D’un autre côté, les Américains sont hégémoniques sur leur marché, au point de ne laisser place à personne d’autre. Dans ce contexte où l’Europe serait le point de rencontre de ces deux grosses plaques régionales – je dirais même de ces châteaux forts – quasiment inattaquables, n’aurions-nous pas intérêt à trouver une troisième voie pour nous protéger ?

M. Julien Nocetti. C’est un point intéressant, dans la mesure où cette idée de troisième voie – sur laquelle je travaille actuellement – n’est pas nouvelle. Si l’on en retrace la généalogie, cette notion de troisième voie est surtout mise en avant depuis l’affaire Edward Snowden. À l’origine, certaines propositions politiques ont pu sembler farfelues ou décalées. En 2013, la proposition d’Angela Merkel de mise en place d’un Schengen de l’Internet avait suscité une série d’incompréhensions politiques à différents niveaux, avant d’être balayée d’un revers de main par les Américains. Je songe également aux stratégies d’évitement d’une ultra-dépendance aux câbles sous-marins contrôlés par des sociétés américaines. La question n’est donc pas nouvelle, puisque ces propositions pouvaient être envisagées, à l’époque, comme une forme de troisième voie permettant à l’Europe de se positionner entre cette vision très libertarienne à la californienne – bien que soutenue par le pouvoir fédéral – et cette vision techno-autoritaire à la chinoise.

Depuis, l’accent a fortement été mis sur les valeurs, en particulier avec l’adoption du RGPD en mai 2018. Loin de moi l’idée de critiquer ce point précis de la diplomatie numérique des États européens. Cela dit, alors que la diplomatie numérique à l’européenne se place uniquement sur la défense des valeurs, en particulier de l’éthique en matière de données et d’intelligence artificielle, les deux blocs américain et chinois n’ont absolument aucune pudeur à s’affranchir de ce type de considérations et à s’inscrire dans des logiques de puissance assez classiques. Je ne souhaite absolument pas relativiser ou mettre sous le tapis ce type de politique éminemment louable. Est-ce toutefois suffisant pour être en mesure de peser sur la scène internationale ? Est-ce suffisant pour entrer dans une démarche plus soutenue de souveraineté numérique ? Je n’en suis pas totalement certain.

Un choix est à opérer dans cette logique de troisième voie. Doit-elle impliquer une démarche plus proactive en matière numérique ou devons-nous nous reposer sur la défense d’une vision spécifique du numérique, qui nous classerait à part sur cette carte numérique internationale ? Ces questions demeurent ouvertes. En tout état de cause, nous parvenons à un tournant dans cette approche de troisième voie. Dans d’autres régions du monde, en Asie du Sud-Est, dans le sous-continent indien, en Afrique, au Moyen-Orient, les approches et les politiques américaines et chinoises s’entrechoquent et s’affrontent, tandis que l’Europe est parfois très absente. Nous devons donc veiller à ne pas rester invisibles ou en retrait sur notre piédestal de la défense d’un monde libre et débarrassé de ses contingences les moins réjouissantes. Ces éléments semblent peut-être abstraits, mais je suis convaincu que toute réflexion ultérieure sur cette idée de troisième voie devrait nous amener à penser le type de modèle que nous souhaiterions défendre.

M. Philippe Latombe, rapporteur. Vous avez souligné, à plusieurs reprises, que les Américains avaient pris conscience de l’inéluctabilité des problèmes d’espace, et qu’ils s’étaient pleinement engagés dans le numérique pour contrebalancer cette évolution. Si l’on se réfère au premier sens de la notion d’espace, à savoir l’Espace, situé au-delà de la surface de la Terre, nous observons que les Américains lancent, via des acteurs privés, des constellations de satellites pour être en capacité de communiquer partout sur tous les points du globe – c’est un autre projet d’Elon Musk. De notre côté, le commissaire européen souhaite lui aussi lancer sa propre constellation. Nous suivons ainsi les évolutions proposées par les Américains ou les Chinois, en nous efforçant de rattraper notre retard. D’après vous, avons-nous la possibilité, sur un certain nombre de technologies, de prendre de l’avance et d’être suffisamment proactifs pour assumer un leadership sur ces technologies indispensables à l’avenir ?

M. Julien Nocetti. Cette question est presque vertigineuse. Vous avez à juste titre évoqué cette forme de suivisme et d’approche défensive de l’Union européenne, notamment en matière de numérique ou de cybersécurité. Différents éléments peuvent pourtant nous apporter un peu d’espoir ou donner matière à réfléchir. Je pense ici aux différentes initiatives récemment avancées en matière de 6G. Dans la mesure où nous sommes encore dans une phase embryonnaire de déploiement de la 5G, parler de 6G pourrait sembler très abstrait. Pourtant, des réflexions et des projets très concrets ont déjà été initiés dans ce domaine.

De fait, si l’Europe pouvait s’engouffrer dans des niches – certes étroites – d’excellence, il s’agirait plutôt de niches intégrant une dimension normative et de standards. On doit bien comprendre que la plupart des tensions numériques et technologiques des quatre ou cinq dernières années ont étroitement associé des enjeux de normes et standards. Auparavant, ces enjeux relevaient de processus de régulation extrêmement techniques. Aujourd’hui, ils ont pris une dimension géopolitique extrêmement puissante. Dans ce domaine, les Européens ont également pris conscience de leur propre retard. La 5G a évidemment jeté une lumière assez crue sur cette réalité, notamment du côté américain, puisque nous avons compris que les Américains ne maîtrisaient pas tout le spectre de la technologie 5G. En Europe, la situation est quelque peu différente, avec des acteurs comme Nokia ou Ericsson disposant de leurs propres savoir-faire.

Quoi qu’il en soit, des niches d’excellence sont nécessairement à prendre du côté européen. Dans certains domaines comme la cybersécurité, l’identité numérique ou l’algorithmie, l’Europe dispose de savoir-faire de pointe et de pépites, avec des expertises personnelles et collectives – centres de recherche, laboratoires, start-up – extrêmement pointues. De fait, pour répondre indirectement à votre question, l’Europe pourrait se montrer plus proactive en assurant la défense et la protection de tels acteurs face à des stratégies prédatrices extrêmement classiques. Nous devons investir des niches d’excellence susceptibles de réduire notre dépendance à d’autres acteurs extra-européens, tout en nous donnant la capacité de protéger nos propres acteurs. Comme l’actualité l’a récemment montré, certains acteurs majeurs de la cybersécurité ont été rachetés par des concurrents étrangers. Différentes pistes doivent donc être explorées dans ce domaine.

M. Philippe Latombe, rapporteur. Peut-on superposer, sur les plaques du numérique, des plaques liées à la défense physique ? Obtient-on des développements numériques et de l’expertise numérique grâce aux besoins de l’industrie militaire et de défense ? Nous savons que les Chinois investissent massivement dans le naval afin de rattraper leur retard sur les Américains. En ont-ils profité pour catalyser sur le numérique et acquérir des avantages dans ce domaine ? Dans le même esprit, le réinvestissement de l’Espace par les Américains a-t-il permis l’émergence de filières numériques plus fortes ? Les deux sujets sont-ils nécessairement liés ou sont-ils décorrélés ?

M. Julien Nocetti. Les deux sujets ne sont absolument pas décorrélés. L’histoire récente des États-Unis témoigne d’ailleurs des liens étroits tissés entre l’écosystème numérique national et le complexe militaro-industriel. C’est notamment pour cette raison que l’on fait de plus en plus souvent référence, aux États-Unis, au complexe militaro-numérique. Cette expression ne relève aucunement du fantasme et a été employée à maintes reprises par quantité d’auteurs.

En Chine, une stratégie de mimétisme a été initiée à partir du début des années 2010, avant de monter en puissance à partir de 2015 avec les différentes ambitions nationales édictées en matière de cybersécurité, d’intelligence artificielle, d’autonomisation technologique, etc. On observe d’ailleurs, davantage du côté chinois que du côté américain, avec les différences de régime que l’on connaît, le caractère totalement assumé des collaborations entre le parti-État, les structures de l’Armée populaire de libération et les différents acteurs de l’économique numérique nationale. Ces différents acteurs numériques sont ainsi très fortement incités à collaborer avec les structures militaires. Une expression chinoise consacrée parle même de « fusion civilo-militaire », traduisant l’idée que toute avancée dans le domaine civil commercial en matière de numérique doit aussi bénéficier à l’armée, aux structures militaires et aux services de renseignement.

L’imbrication entre les deux dimensions est donc extrêmement forte du côté chinois. C’est d’ailleurs l’un des éléments qui peut nous faire réagir si l’on considère l’exportation plus soutenue de ces acteurs chinois en Europe, en Afrique ou ailleurs, et qui explique en partie les très vives réactions des différentes administrations américaines.

M. Philippe Latombe, rapporteur. Quelle est la position de la France au sein de l’Europe ? Quel est notre rôle ? Sommes-nous suffisamment ou insuffisamment moteurs en la matière ? Disposons-nous d’une vision trop franco-française des enjeux ? Comprenons-nous bien les contraintes et les volontés de nos voisins ? Comment sommes-nous perçus par nos partenaires européens ?

M. Julien Nocetti. La question est évidemment très vaste. J’évoquais précédemment le concept d’autonomie stratégique et sa réappropriation partielle par la « bulle bruxelloise », par le biais de certaines initiatives technologiques et numériques. Or ce concept est bien issu du contexte stratégique français. De fait, cette idée d’autonomie stratégique numérique a pu être perçue, par certains États européens à Bruxelles, comme une volonté française d’être, sinon hégémonique, du moins beaucoup plus présent dans le débat, quitte à essayer d’en imposer les termes. Certains de nos partenaires européens le ressentent ainsi.

Par ailleurs, nos partenaires observent également que la France mène, surtout depuis 2017, une diplomatie de la conférence très soutenue en matière de numérique, avec la succession – presque chaque année – d’évènements internationaux. Je pense ici aux évènements TechForGood et VivaTech, ainsi qu’aux réceptions d’acteurs de la Tech et de patrons américains à Versailles ou à Paris. Scénarisés en grande pompe, ces évènements sont parfois observés avec une forme d’amusement chez certains de nos voisins, qui y voient surtout une volonté de la France de se mettre en avant, au détriment d’une approche plus collective et plus européenne. Je ne fais ici que retranscrire une partie du regard de certains partenaires, qui est assez présente en Allemagne et en Italie, où cette mise en avant de la France suscite parfois quelques critiques.

N’oublions pas, cependant, que la France a été motrice vis-à-vis de certains processus, notamment dans l’Appel de Christchurch. Formulées dans la foulée de l’attentat de 2019, les propositions de la Première ministre néozélandaise sur la nécessité de lutter contre les discours de haine en ligne avaient été relayées par la présidence française, avec une dimension européenne, ce qui avait été positivement perçu par nos partenaires.

Un autre élément m’amènerait peut-être à réagir de manière plus nuancée. Je pense ici à la diplomatie de la cybersécurité, avec l’Appel de Paris, qui associe différents partenaires étatiques, privés et associatifs, et qui est sans doute l’élément majeur de cette diplomatie numérique à la française. In fine, cet Appel de Paris de novembre 2018 a bénéficié d’un insuffisant service après-vente, si je puis parler crûment. Cet effort pourrait pourtant être soutenu. D’ailleurs, différentes commissions et différents groupes de travail s’efforcent aujourd’hui de prolonger les propositions de l’Appel de Paris. Néanmoins, en échangeant avec des officiels et des experts extra-européens, on comprend que les propositions françaises formulées dans l’Appel de Paris demeurent peu connues et qu’elles n’ont guère été relayées après l’évènement de novembre 2018.

De fait, la diplomatie de la conférence conduite par la France traduit aussi une stratégie d’affichage qui n’est pas toujours suivie d’effets. Cet aspect de notre politique pourrait donc être plus soutenu et plus efficient, sachant que la diversité des enjeux traités dans ces multiples initiatives et évènements requiert des moyens qui, parfois, font aussi défaut à l’ensemble de l’appareil diplomatique français.

M. Philippe Latombe, rapporteur. Le RGPD est une création européenne, dont l’impact fut assez fort au sein de l’Union européenne – pour les entreprises, les collectivités, etc. – comme à l’extérieur de l’espace communautaire. Est-ce un outil dont nous devons tirer des leçons pour étendre notre diplomatie et notre influence ? S’agit-il d’un bon exemple, ou considérez-vous que ce qui a fonctionné pour le RGPD ne fonctionnera pas pour d’autres sujets ?

M. Julien Nocetti. Le RGPD constitue à la fois un bon et un mauvais exemple de cette affirmation de l’Union européenne en matière numérique. Il est un bon exemple dans le sens où il entre dans le champ classique des politiques extérieures de l’Union européenne, qui souhaite s’affirmer en tant que puissance par la norme et par le droit. Je fais ici référence à un ouvrage de Zaiki Laïdi, qui présentait l’Union européenne comme puissance normative par excellence. En l’occurrence, on s’est rendu compte que ce RGPD avait « parlé » bien au-delà de nos propres frontières et que certains acteurs – y compris certains États américains – l’avaient lu avec un très grand intérêt, au point d’être allègrement discuté en Chine.

Néanmoins, nous ne devons pas nous reposer sur nos lauriers européens et sur cette mise en avant de nos propres valeurs en matière de données personnelles et de fonctionnement de l’économie numérique en général. En effet, dès l’origine, le RGPD a été amplement contourné par certaines dispositions, notamment par le fameux Cloud Act américain, que votre mission d’information n’a certainement pas manqué de questionner durant ses auditions. Cette affirmation européenne est évidemment très positive en ce sens qu’elle participe d’un soft power et d’un rayonnement évidemment bienvenus, qui nous font dire que l’Europe compte aussi dans la diplomatie numérique, mais elle est loin d’être suffisante. J’en reviens à l’une de mes précédentes réponses, à savoir que nous devrions chercher à peser de manière plus classique en mesurant bien les rapports de force régissant le champ numérique.

M. Philippe Latombe, rapporteur. Devrions-nous assurer l’extraterritorialité partielle de notre droit, à l’instar des Américains ?

M. Julien Nocetti. Il s’agit également d’une question aux enjeux multiples. Dans la mesure où les Américains utilisent sans fard leur droit à des fins de politique étrangère et à des fins stratégiques, il paraîtrait naturel que l’Europe puisse aussi se doter de moyens juridiques à la hauteur des ambitions qu’elle formule pour son propre avenir numérique, telles qu’elles sont précisées dans le document Boussole numérique 2030. De même, dans la mesure où les sanctions internationales constituent désormais l’un des outils privilégiés de la géopolitique, il paraîtrait nécessaire de pouvoir se doter d’instruments d’extraterritorialité.

M. Philippe Latombe, rapporteur. Historiquement, l’extraterritorialité américaine a notamment débuté avec le dollar, qui a permis d’imposer des sanctions à des pays comme l’Iran. Elle a ensuite été étendue au champ économique via des possibilités de sanctions contre des banques européennes. Cette extraterritorialité, qui s’est matérialisée dans le conflit économique avec les Chinois, notamment pour les systèmes d’exploitation des smartphones et les semi-conducteurs, pourrait-elle nous impacter à terme ? Pourrions-nous également en être victimes à court terme ? Malgré cette notion d’alliance avec les États-Unis, seraient-ils capables de nous l’imposer de la même manière ? Les sentez-vous en capacité d’agir ? Existe-t-il un véritable risque dans ce domaine ?

M. Julien Nocetti. Le risque est toujours présent. Néanmoins, ma réponse comporte une part de spéculation. Il est toujours extrêmement délicat de se positionner. Lors de la dernière décennie, et notamment sous la présidence de Barack Obama, l’alliance avec les partenaires traditionnels des États-Unis était de rigueur. Pourtant, c’est bien à ce moment qu’ont été votées des sanctions ciblant notamment certaines banques françaises ou certains acteurs de l’énergie, non pas en rapport avec la Chine, mais en rapport avec l’Iran. In fine, peu importe le camp politique de l’actuel président américain, puisque ce sont d’abord et avant tout les intérêts nationaux américains – tels qu’édictés par la Maison-Blanche – qui primeront. Le risque politique de sanctions demeure donc très fort et pourrait bien viser les Européens dans certains secteurs critiques. Sous la présidence de Donald Trump, différentes manœuvres et menaces de sanctions ont été brandies à l’encontre de certains acteurs européens. Ericsson a par exemple subi des sanctions en raison de liens supposés avec l’Iran, dans un contexte où les tensions avec Huawei étaient au plus fort, et où le conseil d’administration de Nokia était en plein renouvellement. Ces manœuvres géoéconomiques témoignent donc d’une utilisation sans fard et sans complexe de tous ces outils de politique étrangère. Sanctions et mesures extraterritoriales font partie de l’arsenal américain, dans une logique totalement assumée, indépendamment du parti politique dont est issu le locataire de la Maison-Blanche.

M. Philippe Latombe, rapporteur. France Digitale a attaqué Apple en justice pour des pratiques anti-concurrentielles, arguant du fait qu’il est impossible d’échapper à son monopole, étant entendu qu’Apple est propriétaire à la fois du système d’exploitation et de la plateforme d’achat des applications. Parallèlement, des questions sur la taille des GAFAM commencent à émerger aux États-Unis. S’agit-il d’une question qui se pose réellement ? S’agit-il simplement d’une menace de circonstance ou s’agit-il d’une voie dans laquelle même les Américains devront rentrer ?

M. Julien Nocetti. La question de la régulation des GAFAM est aussi très sensible aux États-Unis. Je suppose que vous avez en tête le rapport de David Cicilline rendu public à l’automne dernier, du nom de ce député américain porteur de ce rapport très conséquent sur le démantèlement – c’était l’une des conclusions phares du rapport – des géants du numérique, qui fait suite à un travail parlementaire très fouillé sur les pratiques des Big Tech. On se rend bien compte que les différentes menaces pesant sur les GAFAM sont évoquées avec plus de bruit qu’en Europe ou dans d’autres régions du monde. Peut-être est-ce en interne et par le pays dont sont originaires ces acteurs que pourraient venir les menaces les plus sérieuses. De même, nous avons tous ici en tête les différentes auditions du patron de Facebook, Mark Zuckerberg, par le Congrès américain. Nous l’avons vu répondre, penaud et parfois livide, aux différentes accusations parfois véhémentes des parlementaires américains.

Cette tendance n’est pas à sous-estimer, car elle ne relève pas seulement d’une scénarisation. Sans nier l’existence d’une part d’affichage politique en interne, il existe indéniablement une insatisfaction par rapport à ce que ces géants du numérique sont devenus. Cette insatisfaction n’est pas nécessairement partagée par toutes les tendances politiques, mais l’aile la plus à gauche du parti démocrate soutient des positions extrêmement virulentes vis-à-vis de ces acteurs, comme en témoignent notamment les propositions de démantèlement soutenues par Elisabeth Warren. La plupart de ces propositions n’ont que très peu de chances d’aboutir, en l’absence de consensus bipartisan sur la majorité des thématiques numériques.

Cela dit, l’enjeu le plus saillant sur lequel ces acteurs pourraient être attaqués est celui du respect de la concurrence, que le législateur américain a toujours à cœur, suite à des décennies de pratiques déjà éprouvées dans ce domaine. Il ne serait pas surprenant qu’un acteur comme Facebook, aussi majeur soit-il, finisse par être scindé, pour des raisons concurrentielles, mais aussi politiques, en plusieurs entités, sachant que ce sujet fait l’objet de discussions répétées au sein même des États-Unis. En tout état de cause, cette possibilité ne relève pas du simple fantasme.

Il conviendra donc de scruter, avec l’installation progressive de la nouvelle administration, l’expression de différentes tendances en son sein. La vice-présidente Kamala Harris ne disposera-t-elle pas d’une voix politique plus importante d’ici un ou deux ans ? Personne ne le sait à l’heure actuelle, mais qui nous dit que son propre regard sur les GAFAM ne va pas l’emporter ? Nous savons qu’elle nourrit plutôt, de par son expérience d’élue californienne, une forme de proximité avec la défense des intérêts de ce secteur, qui est au demeurant tout à fait classique. Quoi qu’il en soit, nous sommes à un moment charnière. L’administration Biden va désormais se concentrer sur des questions de politique intérieure, et il est vrai que cette insatisfaction et ce poids politique démesuré acquis par les GAFAM ne laisseront pas d’autres choix au législateur américain que d’agir dans les quatre ans à venir.

M. Philippe Latombe, rapporteur. Ne sont-ils pas en train de recréer d’autres formes de conglomérats aussi puissants, par exemple en confiant à Elon Musk l’activité spatiale, la reconquête industrielle automobile américaine et la distribution de réseaux Internet par satellites ? In fine, n’est-ce pas l’histoire sans fin des États-Unis que de détruire d’importants conglomérats – de type Standard Oil – pour en créer d’autres en parallèle ? Devons-nous nous y habituer ? Avec les Chinois qui construisent eux-mêmes leurs propres conglomérats, nous nous retrouvons aujourd’hui avec les GAFAM d’un côté et les BATX de l’autre, mais nous pourrions tout aussi bien, à l’avenir, retrouver de grands complexes industriels et numériques américains à la Elon Musk et leurs équivalents chinois.

M. Julien Nocetti. La question est éminemment complexe et politique. D’ailleurs, parmi les nombreux exemples américains, vous avez omis de mentionner Amazon.

M. Philippe Latombe, rapporteur. Bien sûr, j’aurais pu citer Amazon.

M. Julien Nocetti. Cette omission est très intéressante. Bien souvent, lorsque l’on évoque ces grands acteurs du numérique, il existe – j’ignore pourquoi – une forme d’impensé vis-à-vis d’Amazon, alors que c’est peut-être l’acteur sinon le plus menaçant, du moins le plus tentaculaire de ces GAFAM. Amazon est devenu la place de marché par excellence et fait peser des risques très concrets au plan macroéconomique et microéconomique, impactant les questions d’équilibre des territoires au sein de ses différents pays d’implantation.

Comme vous l’avez justement décrit, nous faisons face à un mouvement de reconstitution d’acteurs monopolistiques. L’exemple d’Elon Musk avec Tesla et SpaceX est très clair. Nous pourrions aussi parler de Facebook et de ses ambitions – qui ont été discrètement annoncées – de production de semi-conducteurs. De même, Google et Facebook sont très présents, depuis quelques années, dans le tirage de câbles sous-marins. Nous avons donc affaire à des acteurs qui ne se contentent plus du tout d’être la grille de lecture sur le monde de la jeunesse connectée – pour Facebook – ou le moteur de recherche incontournable sur le web – pour Google, puisque ces acteurs entendent également maîtriser l’infrastructure. Cette quête passe par différentes ambitions dans divers secteurs. À ce titre, le spatial est sans doute le secteur qui nous révèle le côté le plus ambitieux – voire mégalomane – de leurs aspirations. Pour sa part, l’Europe dispose d’assez peu de moyens pour répondre à cet enjeu.

M. Philippe Latombe, rapporteur. Devons-nous chercher à agréger des acteurs pour leur permettre d’atteindre une taille critique ? Dans la compétition de demain, pourrons-nous survivre avec des entreprises de taille intermédiaire (ETI) face aux grands groupes construits par nos concurrents – j’emploie à dessein le terme « concurrents », et non le terme « adversaires » ? Je précise que ma question couvre aussi bien le volet économique que la logique de stratégie d’influence.

M. Julien Nocetti. Dans la mesure où les équivalents de Facebook, Google et consorts n’existent pas en Europe, et dans la mesure où il serait inutile de les imiter, nous devrions plutôt privilégier des logiques d’intégration au sein de grands groupes déjà présents dans les différents secteurs industriels : défense, aéronautique, ferroviaire, etc. C’est plutôt à partir de ces grands groupes que nous devrions penser l’intégration de différentes capacités numériques au sens large. Du moins, c’est par ce type d’acteurs – je ne mentionnerai aucun nom aujourd’hui – que les Européens pourront peser à l’international. Ce n’est pas par le biais d’un éventuel Google européen – toutes les tentatives en la matière ont échoué – que l’Europe pourra essayer de défendre ses positions, mais par l’adaptation des grands acteurs industriels traditionnels. En tout cas, c’est ainsi que je vois les ambitions européennes se matérialiser.

M. Philippe Latombe, rapporteur. Dans une vision prospective, à quoi ressemblera le numérique d’ici cinq ou dix ans ? Aurons-nous franchi de tels paliers technologiques que ce que nous connaissons aujourd’hui ne sera plus du tout d’actualité à moyen terme ? Ou serons-nous dans la continuité de ce qui existe aujourd’hui ? In fine, à quoi devons-nous nous préparer, et quelle étape suivante devrions-nous d’ores et déjà commencer à intégrer ?

M. Julien Nocetti. Comme je l’évoquais dans mon propos liminaire, nous devons bien mesurer l’accélération phénoménale à laquelle nous avons été confrontés depuis à peine dix ans. En l’espace de quelques années, la décennie 2010 a été marquée par le franchissement de certaines étapes vertigineuses en matière de numérique et de technologies. Ce rythme effréné va-t-il se poursuivre à horizon de cinq ou dix ans ? De la réponse à cette question dépendront un certain nombre de paramètres.

Je pense d’abord à un paramètre souvent négligé, qui a pu être rappelé par les patrons de Google ou Microsoft, à savoir nos capacités d’adaptation à nous, citoyens du monde entier, à la magnitude et à la vélocité de ce changement technologique numérique. Il ne s’agit pas de paroles en l’air, mais d’un sujet extrêmement concret. En Europe, et surtout aux États-Unis, où les fractures au sein de la société sont plus nettes et plus mesurables, une partie des insatisfactions prend forme dans les conséquences des changements technologiques. Les principaux thèmes des campagnes présidentielles américaines de 2016 et de 2020 – migrations, travail, rapport à la mondialisation, etc. – étaient très étroitement liés aux conséquences de la numérisation des sociétés, de l’évolution des modes de travail et de tous ces bouleversements technologiques à l’œuvre dans nos sociétés globalisées.

Bien que nous ayons tendance à occulter ce paramètre socio-économique, nous devrons le suivre de manière très stratégique et très politique dans les cinq à dix années à venir, sachant que ces changements technologiques suivent un rythme très véloce, qui plus est avec une extension du champ numérique. Je mentionnais précédemment l’ampleur prise par les questions et les enjeux de l’intelligence artificielle, des réseaux 5G déployés à grande échelle, qui impliqueront des enjeux de libertés fondamentales à l’ère numérique, des enjeux de surveillance – que nous avons malheureusement pu mesurer depuis la crise sanitaire – et des enjeux stratégiques, au sens où les grands acteurs de cette planète technologique n’auront aucune pudeur à s’affranchir des règles de bon comportement et défendront leur propre pré carré et leur propre stratégie. Je ne le dis pas pour m’inscrire dans une posture pseudo-réaliste, mais pour tenter de dessiner une lecture qui se distancie d’une certaine forme d’ingénuité par rapport à ces enjeux. Nous sommes bien dans une logique de rapports assez bruts, et tous les phénomènes que nous pouvons observer depuis quelques années seront nécessairement amplifiés dans les années à venir. Il s’agit donc d’acquérir une compréhension extrêmement fine de ces enjeux, en particulier – c’est l’objet de votre commission et de vos travaux – de ces enjeux de souveraineté extrêmement puissants.

M. Philippe Latombe, rapporteur. Vous considérez que le numérique modèle la société, mais pas nécessairement au même rythme pour tout le monde, ce qui peut générer, au-delà de la fracture numérique en tant que telle, une fracture sociale ou sociétale liée au numérique. L’opposition manifestée en France à l’encontre de la 5G et du développement de cette nouvelle technologie en est-elle un exemple ou relève-t-elle simplement de l’épiphénomène ? Pensez-vous qu’une partie des sociétés s’opposeront à ce rythme de transformation ? Quelles en seraient les conséquences géopolitiques et géostratégiques, notamment du côté chinois ou américain ? Aux États-Unis, la dernière élection présidentielle nous permet de mesurer globalement l’étendue du rapport de force. Du côté chinois, hormis quelques révoltes à Hong Kong, le phénomène est difficile à mesurer. S’agit-il également d’une menace pour Pékin ? Comment le pouvoir chinois perçoit-il cet enjeu ? Va-t-il ralentir le rythme de transformation de la société chinoise, ou au contraire l’accélérer pour obliger tout le monde à suivre ?

M. Julien Nocetti. Je répondrai en deux temps, en tenant compte des deux dimensions que vous avez évoquées. Je mets de côté la Chine, sur laquelle je reviendrai dans quelques instants, pour commencer par ce premier enjeu plus sociétal. In fine, un développeur de San Francisco partage davantage de points communs avec un fondateur de start-up de Bangalore, un capital-risqueur de Londres ou un hacker de Saint-Pétersbourg qu’avec ses propres concitoyens du Midwest américain. Bien entendu, il s’agit de l’exemple américain, qui est très particulier. Néanmoins, les mêmes fractures territoriales, urbaines et géographiques sont à l’œuvre en France, ainsi qu’au Royaume-Uni, où les fractures sont encore plus marquées qu’en France. Ces fractures sont profondément travaillées par le numérique, par notre dépendance au numérique et par l’emprise de certains acteurs, à commencer par Amazon. C’est un paramètre sur lequel je souhaite mettre l’accent.

Pour ce qui est de la Chine, nous exerçons, depuis notre continent européen, un regard très distancé et sans doute très monolithique et très vertical sur cette Chine numérique. Deux paramètres sont à prendre en compte.

D’abord, les plans quinquennaux et les grandes ambitions et stratégies chinoises en matière d’intelligence artificielle, de numérique ou de semi-conducteurs ne sont pas tous couronnés de succès. Pékin recourt aussi à une stratégie déclaratoire très visible, à laquelle nous donnons beaucoup d’échos, et qui est relayée par les États-Unis, qui en développent une forme d’anxiété. Malgré tout, certains grands plans chinois – notamment dans l’industrie automobile – ont échoué, témoignant ainsi de l’absence de certitudes quant à la réussite de ces grandes ambitions chinoises, qui se heurtent parfois à l’absence de capital humain et d’expertise dans certains domaines de pointe. J’en reviens ici à cette dimension humaine que nous avons longtemps occultée sur les enjeux de numérique, notamment dans le domaine de la cybersécurité.

En outre, la Chine est épisodiquement marquée par l’émergence de contestations. Il est difficile d’y voir parfaitement clair, mais le pouvoir chinois fait parfois face à des foyers de contestation liés à une crise écologique, un accident ferroviaire, sans compter les évènements très particuliers de Hong Kong, dont l’impact fut retentissant. En tout état de cause, le numérique sert aussi aux citoyens chinois, qui ont développé une forme d’ingéniosité en tentant de contourner les mots et termes censurés, et qui emploient tout un vocable dédié afin de contourner cette grande muraille et ce pare-feu à la chinoise, dont le caractère monolithique est effectivement indéniable. Ne sous-estimons donc pas les réponses et les capacités de mobilisation des populations chinoises face aux initiatives très verticales de Pékin.

M. Philippe Latombe, rapporteur. Nous consacrerons une partie de nos auditions à l’éducation et à la formation, de même qu’au sujet plus global du capital humain. Nous avons bien compris le point que vous avez soulevé, notamment en matière de cybersécurité, et nous dédierons une partie de nos auditions à cette thématique de formation, un élément clé du numérique consistant à disposer d’acteurs et d’experts en capacité de produire du numérique.

Audition, ouverte à la presse, de MM. Julien Groues, directeur général, et Stéphan Hadinger, directeur technique, d’Amazon Web services (AwS) (18 mars 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le Président Jean-Luc Warsmann. Nous recevons ce matin les représentants d’Amazon web services (AWS) France : M. Julien Groues, directeur général, M. Stephan Hadinger, directeur technique, M. Laurent Tari, directeur juridique, M. Lionel Benatia, directeur des affaires publiques et Mme Charlotte Baylac, chargée des affaires publiques.

AWS est une filiale d’Amazon née en 2006 et spécialisée dans les services de cloud computing, dont elle était, fin 2019, le premier fournisseur français avec 39 % des parts de marché. Vous nous indiquerez l’évolution de ce chiffre depuis. À l’époque, le cloud Microsoft détenait 19 % de parts de marché et Google cloud, 9 %.

Nous avons à vous poser de nombreuses questions sur la protection des données face au Cloud Act, les tendances du marché actuelles et la numérisation des entreprises françaises, dont beaucoup font appel à vos services.

M. Philippe Latombe, rapporteur. En introduction, j’évoquerai trois sujets sur lesquels nous souhaiterions vous entendre.

D’abord, que recouvre pour vous la notion de souveraineté numérique ? Les pouvoirs publics y consacrent une attention croissante depuis la crise sanitaire. Nous avons entendu, lors de nos auditions, plusieurs définitions de cette notion, que certains rapprochent d’une forme d’autonomie stratégique ou décisionnelle. Je suis curieux du regard qui est le vôtre en tant qu’entreprise américaine implantée en Europe.

Ensuite, comment voyez-vous le marché actuel du cloud ? Comment anticipez-vous son évolution, ces prochaines années ? Votre regard sur les pratiques des entreprises privées et des acteurs publics clients de vos solutions nous intéresse également. Quels sont leurs besoins et leurs attentes ? Ceux-ci ont-ils évolué depuis la crise sanitaire ? Pourriez-vous aussi nous parler de l’initiative GAIA-X, dont vous êtes membre, visant à garantir le mutlicloud, la sécurité des données et l’interopérabilité des services ?

Enfin, nous aimerions échanger avec vous sur les différentes initiatives européennes de régulation du numérique, comme le Digital Services Act (DSA), le Digital Markets Act (DMA) ou le Data Governance Act (DGA). Comment vous positionnez-vous par rapport à ces différents projets de régulation ?

Que pouvez-nous nous dire de l’enjeu que constitue la protection des données, dans un contexte où l’extraterritorialité du droit américain risque de mettre à mal le respect des garanties offertes par le droit européen ? Comment interprétez-vous le Cloud Act dans le cas d’une demande de transmission de données par les autorités américaines ? Qu’est-ce qu’a changé l’arrêt Schrems II dans les relations avec l’Europe ?

M. Julien Groues, directeur général d’AWS France. C’est un honneur pour nous de prendre la parole devant vous aujourd’hui. Je propose qu’une fois rappelé brièvement qui nous sommes et ce que nous faisons en France et en Europe, nous évoquions la manière dont AWS joue son rôle dans le renforcement du leadership numérique de l’Union européenne.

Nous nourrissons la conviction que les entreprises françaises doivent avoir la liberté de choisir où elles stockent leurs données, d’en contrôler le contenu et de changer de fournisseur si elles le souhaitent, en optant pour celui qui met à leur disposition la meilleure technologie, dans un cadre compétitif. Cette liberté de choix nous apparaît comme un besoin fondamental de nos clients. Nous ne devons pas la limiter sous peine de freiner ainsi leur innovation.

Je suis convaincu que le cloud AWS rend plus souveraines les organisations françaises et européennes, c’est-à-dire plus autonomes, plus compétitives, plus innovantes et mieux sécurisées.

Après plus d’une décennie à développer une application web évolutive, Amazon.com, en tant que détaillant, a pris conscience de sa compétence acquise dans l’exploitation d’infrastructures technologiques et de grands centres de données. L’entreprise s’est alors lancée dans une mission plus vaste : servir de nouveaux clients (développeurs et entreprises) en leur fournissant des services web pour créer des applications sophistiquées et évolutives. Par coïncidence, nous fêtons cette semaine le quinzième anniversaire d’AWS.

Le terme de cloud computing désigne la fourniture à la demande de ressources informatiques facturées à l’usage. Au lieu d’acquérir puis d’entretenir leur propre centre de données ou leurs serveurs, des organisations utilisent, en fonction de leurs besoins, des technologies et des services informatiques. On peut comparer le cloud computing à la fourniture d’électricité, dans la mesure où les entreprises clientes pressent en quelque sorte un interrupteur pour accéder à des services qu’elles peuvent cesser d’utiliser à tout moment, d’un simple clic de leur part.

AWS assure la gestion et le maintien, dans un environnement sécurisé, d’une infrastructure technologique, à laquelle accèdent les entreprises pour développer rapidement leurs propres applications, celles-ci ne payant que pour la partie de l’infrastructure qui leur est utile.

Nous fournissons, partout dans le monde, à la demande, plus de deux cents services liés à la puissance de calcul, au stockage, aux bases de données, à l’Intelligence artificielle, à l’Internet des objets, aux solutions hybrides, etc.

Au cours du dernier trimestre 2020, AWS a réalisé un chiffre d’affaires de 12,7 milliards de dollars, en hausse de 28 % par rapport à l’année précédente, ce qui porte le chiffre d’affaires annualisé à 51 milliards de dollars.

Depuis dix ans, nous accélérons nos investissements en France pour accompagner nos clients locaux. Nous avons ainsi ouvert, en 2017, en France, une région de data centres : à savoir, plusieurs ensembles de centres de données, disponibles pour tous nos clients souhaitant stocker leurs données sur le territoire français ou bénéficier d’une faible latence pour leurs applications.

En France, les équipes d’AWS aident ces clients et partenaires de toute taille (dont les intégrateurs de systèmes et les éditeurs de logiciels indépendants) à passer au cloud afin de bénéficier de ces avantages. Nous comptons en France des dizaines de milliers de clients actifs. Nous travaillons avec les deux tiers des entreprises du Next40 et avec plus de 80 % de celles du CAC40. Le recours au cloud s’est désormais imposé comme norme permettant aux entreprises de se concentrer sur leur cœur de métier et de réduire leur dette technique.

Il présente cinq avantages principaux :

– l’agilité (la capacité d’allouer rapidement d’importantes ressources en cas de besoin en activant des milliers de serveurs en quelques minutes) ;

– la réduction des coûts (Veolia évalue l’économie liée à la migration de ses bases de données vers le cloud à 40 % de ses coûts d’exploitation ERP) ;

– l’élasticité (au lieu de fonctionner presque constamment en surcapacité pour faire face aux pics d’activité, nos clients ne payent que pour ce qu’ils consomment réellement) ;

– la capacité d’innovation (qui augmente à proportion de la baisse du coût de l’échec) ;

– la faculté de déployer instantanément des solutions partout dans le monde.

Deux autres raisons poussent un nombre croissant de nos clients à se tourner vers le cloud AWS :

– la réduction de l’impact écologique ;

– la sécurité des données et des applications.

En 2020, le cloud computing s’est avéré plus important que jamais : il a permis aux entreprises françaises de s’adapter et de limiter les dommages économiques d’une crise sanitaire inattendue. AWS a accompagné ses clients dans la continuité de leurs opérations, la réduction de leurs coûts informatiques, l’invention de nouveaux business models, ou encore la croissance de leur activité.

La question de la souveraineté numérique réside au cœur de notre mission d’entreprise. Au-delà de la capacité à réguler le cyberespace et la sphère numérique, la souveraineté numérique suppose d’atteindre une autonomie stratégique dans la sphère numérique, conjuguée à une compétitivité technologique renforcée.

Selon nous, être souverain en matière numérique, c’est avant tout maîtriser les outils qui permettent des choix technologiques autonomes, le développement et le déploiement des capacités et des infrastructures numériques stratégiques, comme l’a expliqué la commissaire européenne Margrethe Vestager.

Notre action en ce sens s’articule autour de trois axes :

– garantir le plus haut niveau de sécurité et de protection des données ;

– respecter la souveraineté de ces données ;

– fournir un accès aux technologies les plus avancées.

M. Stéphan Hadinger, directeur technique d’AWS France. La sécurité et la protection des données sont des piliers de la numérisation de l’économie française et européenne. Rien ne compte plus pour AWS que de protéger les données de ses clients. Nous avons travaillé dur, année après année, pour nous conformer aux normes internationales reconnues.

Nous avons ainsi été le premier fournisseur de cloud en 2016 à recevoir la certification C5 en Allemagne. Nous pouvons aussi nous targuer d’une certification « hébergement de données de santé » (HDS) en France et « Esquema nacional de seguridad » (ENS) en Espagne. AWS adhère au code de conduite du Cloud Infrastructure Services Providers in Europe (CISPE), une association professionnelle de fournisseurs de cloud en Europe, permettant à leurs clients d’évaluer la conformité de leur fournisseur de cloud au Réglement général sur la protection des données (RGPD). Nous participons, qui plus est, dans chaque pays européen, à des travaux visant à améliorer la sécurité de nos clients.

Nos nombreuses certifications internationales couvrent l’intégralité de nos clients. Indépendamment de leur taille et de leur secteur d’activité, ils bénéficient de l’ensemble des contrôles requis pour toutes les données personnelles, bancaires ou de santé, même s’ils n’opèrent pas dans ces domaines. En somme, AWS démocratise les technologies de sécurité les plus avancées.

Dans un centre de données classique, un tel niveau de sécurité nécessite un investissement tant financier qu’humain difficile à maintenir dans le temps. Nous l’avons vu avec les affaires récentes de rançongiciels contre les hôpitaux. Ces programmes malveillants s’attaquent d’abord aux organisations dotées des moyens sécuritaires les plus faibles. Le cloud d’AWS met à portée de ses clients la meilleure protection contre les dénis de service, l’accès à des systèmes de détection d’intrusion basés sur l’intelligence artificielle et la possibilité de chiffrer les données qu’ils stockent, sans que cela impacte leur performance. Aujourd’hui, certaines entreprises craignent que le chiffrement massif de leurs données ne s’avère difficile ou coûteux. Ce n’est pourtant pas le cas sur le cloud AWS où, à titre d’exemple, Engie chiffre plus de 90 % de ses données.

Vous nous avez demandé dans votre questionnaire comment nous anticipons les risques d’incendie. Je suppose que la question est liée aux récents événements de Strasbourg. Nous avons une pensée pour les équipes de cette entreprise qui reste mobilisée pour ses clients, et ne cachons pas notre admiration pour les pompiers intervenus sur le terrain.

Tous les centres de données AWS sont équipés de systèmes de détection (de fumée notamment) et d’extinction des incendies (par l’eau ou par le gaz), placés dans les salles serveurs ainsi que les zones techniques avoisinantes. Dans le cas (rarissime) d’un incendie, les données des clients AWS resteraient accessibles, du fait de l’architecture des régions d’AWS. Celles-ci sont composées d’au moins trois zones de disponibilité, c’est-à-dire trois centres de données. En France, nos trois zones de disponibilité (toutes trois en Île-de-France) sont physiquement séparées les unes des autres et se trouvent dans des zones de risques (quand c’est le cas) différents. Chacune d’elles est conçue pour fonctionner avec un haut degré de fiabilité, indépendamment des autres. Leur interconnexion permet aux clients d’architecturer leurs applications de manière à ce que celles-ci basculent automatiquement d’une zone à l’autre sans solution de continuité.

Un exemple concret illustre cette résilience de nos services. Nous avons lancé, voici quinze ans, un service de stockage en ligne : Amazon S3. Les données y sont répliquées automatiquement dans l’ensemble des zones de disponibilité. Six copies sont ainsi effectuées dans trois centres physiquement séparés.

Au-delà de ces aspects techniques, nous proposons une approche complète en termes de sécurité et de protection des données. Nous respectons la souveraineté des données européennes et comprenons que la liberté de choix soit un besoin fondamental de nos clients. Cette liberté revêt plusieurs formes :

– d’abord celle d’une liberté de mouvement. Ce sont les clients AWS, propriétaires de leurs données, qui décident de leur lieu de stockage et de qui sera autorisé ou non à y accéder. Ils gardent aussi la possibilité de les chiffrer, de les déplacer ou de les supprimer ;

– la réversibilité se réfère à la liberté de changer de fournisseur. Elle implique un compromis entre le coût initial de création d’un système et son coût futur de transfert vers un autre acteur. Nous avons contribué à de nombreuses initiatives, telles que le code de conduite sur le portage des données et le changement de fournisseur de cloud (Switching Cloud Providers and Porting Data SWIPO), facilité par la Commission européenne dans le Règlement sur la libre circulation des données non personnelles. Techniquement, AWS propose de nombreuses solutions basées sur des logiciels libres (en open source), de telle sorte qu’il est peu complexe pour nos clients de transférer ou de répliquer leurs données hors du cloud AWS. Nous les y aidons d’ailleurs, car tous les services de synchronisation que nous proposons permettent l’exportation des données ;

– nos clients sont libres de travailler avec des acteurs locaux. Au-delà des services natifs d’AWS, notre cloud permet la mise en place de solutions de type OpenStack, reconnues par le gouvernement français. Nos clients peuvent aussi faire appel à des partenaires français ou européens (Atos ou Devoteam) jouant le rôle de tiers de confiance. Ces sociétés proposent des mesures de sécurité spécifiques au cloud AWS, incluant un second niveau de chiffrement des données avec une gestion des clés externalisée. Elles utilisent des boîtiers cryptographiques exploités en dehors des centres de données AWS.

La possibilité pour les clients d’AWS de changer de fournisseur quand ils le souhaitent nous force quotidiennement à toujours leur proposer les meilleurs services en répondant au mieux à leurs besoins.

Nos clients demandent surtout qu’AWS se conforme à la réglementation européenne et au RGPD, ce qui est le cas depuis que ce Règlement a été mis en place. Bien sûr, nous nous adaptons aux évolutions de la réglementation : nous avons récemment renforcé nos engagements contractuels suite à l’arrêt Schrems II, en allant au-delà de ce qu’il imposait. Nos nouveaux engagements s’appliquent automatiquement à l’ensemble de nos clients soumis au RGPD, que leurs données soient stockées ou non dans l’Espace économique européen, par le biais d’un addendum consultable en ligne dans nos conditions de service. Nous nous engageons concrètement à :

– notifier à nos clients les demandes d’accès émanant d’entités gouvernementales, européennes ou non ;

– contester ces demandes dès qu’elles entrent en conflit avec la législation européenne ou celle d’un État membre de l’Union européenne, ou qu’un motif de contestation légitime apparaît ;

– au cas où nous serions malgré tout contraints de divulguer ces données, n’en révéler qu’une quantité minimale.

Vous nous avez demandé si notre statut de filiale française ou européenne d’une entreprise américaine nous plaçait hors du champ d’application du Cloud Act. Selon notre analyse, le Cloud Act s’applique à tous les fournisseurs de services de communication électronique et d’informatique à distance soumis à la juridiction des États-Unis, y compris les filiales européennes de sociétés américaines telles qu’AWS et AWS EMEA SARL.

La plupart des sociétés étrangères opérant aux États-Unis (parce qu’elles y ont une filiale, une succursale, des salariés, ou simplement des clients) sont elles aussi soumises à la juridiction des États-Unis. Soulignons que le Cloud Act ne donne pas au gouvernement américain un accès illimité aux données détenues par les fournisseurs de cloud.

Habituellement, AWS utilise les outils à sa disposition pour contester les demandes émanant des États-Unis, portant sur une société domiciliée hors de leur territoire. Nous publions d’ailleurs des rapports dressant la liste de telles demandes. Au second semestre 2020, nous n’avons pas livré au gouvernement américain une seule donnée détenue par une société implantée hors des États-Unis.

L’adaptation constante à la réglementation s’inscrit dans l’ADN d’AWS, et c’est dans cet esprit que nous envisageons les législations européennes (DMA, DSA, DGA) qui devraient être bientôt promulguées.

Pour renforcer sa souveraineté numérique, l’Union européenne a besoin de règles cohérentes et applicables tenant compte des spécificités des services de cloud. Ces règles doivent éviter d’entraver l’innovation et laisser le choix aux clients. Nous partageons l’objectif de la Commission européenne de faire de l’Europe une économie ouverte et numérisée.

M. Julien Groues. La meilleure façon de garantir le succès des entreprises européennes et donc, leur souveraineté, consiste à leur donner accès à la technologie la plus avancée. Les clients ayant migré vers AWS disposent d’à peu près trois fois plus de fonctionnalités, qu’ils fournissent 42 % plus rapidement à leurs propres clients. L’accélération de notre rythme d’innovation permet, in fine, à nos clients d’augmenter leur marge de manœuvre financière ou humaine.

Les services cloud d’AWS proposent aux organisations publiques et privées une large gamme de services d’intelligence artificielle et d’apprentissage automatique. AWS met ces techniques entre les mains de développeurs, experts ou non en Intelligence artificielle, pour qu’ils créent grâce à elles des robots de conversation, des solutions de recherche automatisée d’enfants disparus dans des bases de données d’images, des méthodes d’analyse et de prévision des besoins de maintenance, de détection de défaillances potentielles dans des chaînes de fabrication ou encore de détection de fraudes dans les transactions financières.

La souveraineté passe aussi par les compétences. Voilà pourquoi AWS soutient de nombreux programmes éducatifs dans les universités françaises. Nous faisons en outre bénéficier des start-up de crédits et d’un soutien technologique. Nous soutenons jusqu’aux personnes éloignées de l’emploi. AWS re/Start utilise ainsi le cloud comme un levier de réinsertion et de reconversion professionnelle. Nous travaillons avec des associations locales, des centres de formation et des entreprises partenaires, accueillant les bénéficiaires du dispositif.

Choisir le cloud, c’est en outre, à nos yeux, saisir une opportunité responsable et durable de lutter contre le changement climatique. Nous nous engageons à exploiter nos infrastructures le plus durablement possible. Nous avons cofondé en 2019 The Climate Pledge, nous engageant à être net zéro carbone dans toute l’entreprise d’ici 2040. Nous sommes en voie d’alimenter notre infrastructure cloud mondiale avec 100 % d’énergie renouvelable d’ici à 2025, soit cinq ans plus tôt que l’objectif initialement fixé.

Nous avons économisé plus de 300 000 tonnes d’émission de CO2 par an, ce qui équivaut à planter 400 millions d’arbres, soit 5,7 arbres par Français. Une étude récente a montré que le passage au cloud AWS permet de réduire l’empreinte carbone jusqu’à 88 % ; notre infrastructure étant trois à quatre fois plus efficace sur le plan énergétique que le centre de données médian.

En conclusion, j’insisterai sur la nécessité de ne pas juger une entreprise sur le lieu d’implantation de son siège social mais sur les garanties qu’elle offre aux citoyens et aux organisations françaises.

Ces derniers mois, et cela m’inquiète, nous avons vu des entreprises ralentir leur mouvement vers l’innovation à cause d’une mauvaise compréhension des réglementations numériques. Il ne faudrait pas que s’ouvre une nouvelle fracture numérique. La sécurité et la protection des données sont la base de la numérisation de l’économie. Nous sommes prêts à la soutenir. C’est là notre rôle.

M. Philippe Latombe, rapporteur. Nous avons reçu la semaine dernière IBM France qui nous a déclaré, en tant que société de droit français, ne pas être soumise au Cloud Act. Les divergences d’interprétation sur ce point des grands fournisseurs de services informatiques, de droit américain à l’origine, interpellent forcément nos concitoyens.

Qu’en est-il du Foreign Intelligence Surveillance Act (FISA) ? Comment pouvez-vous aujourd’hui matériellement garantir, au-delà d’une pétition de principe, à des sociétés ou des administrations européennes que le gouvernement fédéral américain n’accédera à aucune de leurs données et que ces données sont stockées en permanence sur le sol européen sans que, pour des motifs de sauvegarde, de vérification ou d’entretien des serveurs, elles migrent en tout ou partie vers le sol américain ?

M. Julien Groues. Selon notre interprétation juridique du Cloud Act, et bien que nous manquions d’expérience, au vu des rares demandes reçues dans ce cadre, celui-ci s’applique à tous les fournisseurs de services de communication et de services informatiques à distance, y compris les entreprises américaines disposant de filiales à l’étranger. Nous estimons qu’il s’applique, de même, aux filiales des sociétés étrangères opérant aux États-Unis.

Pour autant, ce Cloud Act ne donne pas au gouvernement américain un accès illimité aux données. Des contrôles sont mis en place. Nous accordons la priorité à la confidentialité et à la protection des données de nos clients via, notamment, leur chiffrement. Seuls nos clients possèdent aujourd’hui les clés de chiffrement de leurs données, sans lesquelles celles-ci sont inexploitables.

M. Stephan Hadinger. Quand l’un de nos clients choisit de stocker ses données dans une région, à savoir une zone métropolitaine, nous nous engageons à ne pas les déplacer. Il est le seul à pouvoir en prendre la décision. Notre certification allemande C5 résulte d’un contrôle précis de ce point. Les données, même répliquées ou sauvegardées, ne migrent pas vers l’étranger.

Nous proposons à nos clients des briques technologiques en self-service. Ce sont donc eux qui contrôlent la localisation de leurs données en décidant, ou non, de les répliquer d’un pays à l’autre.

Le chiffre que j’ai avancé tout à l’heure de zéro donnée transmise au gouvernement américain me semble éloquent. Il atteste l’efficacité de nos mesures de protection (de chiffrement, notamment) face aux demandes. La possibilité pour nos clients de recourir à des mesures de protection additionnelles auprès d’autres fournisseurs (Atos ou Devoteam) leur assure un niveau de contrôle supplémentaire de leurs données.

M. Philippe Latombe, rapporteur. Vous ne répondez pas tout à fait à ma question sur le FISA, mais nous y reviendrons. J’aimerais vous entendre à propos de deux affaires à l’origine d’une polémique en France. D’abord, celle des données de Doctolib, apparaissant en clair à un moment de la chaîne. Que pensez-vous des inquiétudes qui ont pu en résulter ?

Votre partenariat avec Bpifrance a suscité beaucoup de critiques. Les comprenez-vous ? Comment en tenez-vous compte ? Par quels arguments factuels les contrez-vous ? Comment percevez-vous, à la lumière de ces deux exemples, l’attitude générale vis-à-vis des clouds américains, dont vous faites partie ?

M. Julien Groues. Nous devons aujourd’hui continuer d’informer sur le fonctionnement du cloud AWS, sa sécurité, la mise en place de clés de chiffrement et la création d’infrastructures et d’applications extrêmement sécurisées. Les formations et l’apprentissage de ces technologies revêtent une importance cruciale, puisque c’est grâce à eux que le fonctionnement de nos services devient intelligible. Nous passons beaucoup de temps à expliquer à nos clients comment se doter des meilleurs moyens de sécuriser leurs données et, lorsqu’ils le demandent, nous les aidons à architecturer leurs applications en ce sens.

Nous offrons à nos clients (dont Doctolib et Bpifrance) la possibilité d’utiliser les meilleures technologies au meilleur prix tout en protégeant leurs propres clients. Le 17 février, nous avons ajouté un addendum à nos accords de data processing, renforçant nos engagements sur le traitement des demandes d’accès aux données. Dans sa décision du 12 mars, le Conseil d’État a examiné ce qu’impliquait, notamment par rapport au RGPD, notre statut de filiale d’un groupe américain, soumise à des lois américaines. Le Conseil d’État a estimé de son devoir de vérifier le niveau de protection des données personnelles en tenant compte de nos garanties juridiques et techniques. Selon lui, nos engagements contractuels contribuent à une protection suffisante des données face à des demandes émanant du gouvernement américain, en plus des mesures de chiffrement prises par nos clients.

Nous devons continuer en ce sens. Il ne faudrait pas que certaines situations freinent aujourd’hui l’innovation. Nous sommes persuadés que, techniquement et juridiquement, nos clients disposent grâce à nous de solutions sécurisées.

Le choix d’AWS par Bpifrance a fait du bruit. Le projet portait sur la mise en place des prêts garantis par l’État. Nous y avons vu une excellente nouvelle pour les dizaines de milliers d’entreprises ainsi soutenues pendant la crise. Quelques inexactitudes ont été énoncées quant au fonctionnement et à la sécurisation de l’application. Bpifrance conserve aujourd’hui la propriété et le contrôle intégraux de ses données. C’est elle qui décide où et comment celles-ci sont stockées et qui y a accès. Par souci accru de sécurité, Bpifrance chiffre en outre ses données, en mouvement et au repos, et conserve le contrôle absolu des clés de chiffrement, sans lesquelles ses données sont inexploitables.

M. Philippe Latombe, rapporteur. Doctolib vous a choisi parce que vous étiez hébergeur de données de santé

M. Julien Groues. Il faudrait leur poser la question, mais je pense que cela faisait partie de leurs critères de sélection.

M. Philippe Latombe, rapporteur. Étonnamment, le Conseil d’État a considéré les données de Doctolib comme des données personnelles mais non à caractère sensible car elles n’étaient pas, selon lui, des données de santé. Nous interrogerons la CNIL sur son interprétation de ces données ; les différentes catégories de données ne bénéficiant pas du même niveau de protection.

Au-delà des prêts garantis par l’État, il a été question d’un partenariat entre AWS et Bpifrance. Comment percevez-vous le retournement de l’opinion vis-à-vis des géants du numérique américains ? Cette sorte de défiance généralisée vous semble-t-elle totalement infondée ? Viendrait-elle de votre taille ?

M. Julien Groues. Il convient de distinguer la réalité de sa perception. Nos clients se disent ravis de travailler avec nous. Les développeurs adorent utiliser nos technologies pour développer mondialement des solutions innovantes.

Malgré la tendance, en France, à les regrouper, ces sociétés de technologie sont très différentes les unes des autres. Il faut se méfier des simplifications : certaines s’occupent de réseaux sociaux, d’autres, de publicité via la recherche, d’autres encore, de création de téléphones et d’applications. Opérant sur des marchés différents, elles apportent des contributions différentes à la valeur.

Le cœur de métier d’AWS reste la fourniture de services cloud. Nous investissons énormément en France. Depuis quelques années, nous avons ouvert des bureaux à Paris, Lyon, Toulouse, Nantes, Lille. Nous recrutons chaque année un grand nombre de personnes et servons des dizaines de milliers de clients.

Nous allons poursuivre nos efforts pour accompagner nos clients et les former à l’utilisation des technologies du cloud. Celles-ci ont permis aux entreprises françaises de passer au télétravail très rapidement sans solution de continuité. Certains de nos clients ont migré vers le cloud en quelques jours sans que leur activité en soit impactée. Ils ont réduit leurs coûts ; leurs techniciens restant dès lors libres de travailler au développement de nouvelles applications. Nous avons répondu aux besoins en puissance de calcul ou en espace de stockage de fournisseurs de cours en ligne, par exemple.

Selon moi, il faut continuer ce processus de formation et d’accompagnement. Les polémiques s’éteindront alors rapidement.

M. Philippe Latombe, rapporteur. On reproche, à AWS, mais non à elle seule, ses méthodes commerciales : vous fournissez facilement des vouchers et, bien que la réversibilité ne pose techniquement pas de problème, du fait de vos conditions tarifaires, il est moins cher de déposer des données chez AWS que de les récupérer.

D’autres critiques vous reprochent un lobbying actif, voire agressif. Le revendiquez-vous ? L’assumez-vous ? Estimez-vous nécessaire de modifier votre fonctionnement pour remédier à une telle perception ? GAIA-X visait à l’origine la création d’un cloud souverain européen. Votre appartenance à une telle initiative soulève des questions.

M. Julien Groues. Je reviendrai d’abord sur la partie commerciale de votre question. Aujourd’hui, nous comptons en France des dizaines de milliers de clients. Ils utilisent nos services à la demande et reçoivent une facture mensuelle de ce qu’ils ont consommé, ni plus ni moins, en fonction d’une liste de tarifs publiée sur Internet. Ce sont eux qui choisissent les services qu’ils utilisent et la quantité de données qu’ils stockent. Aucun contrat d’engagement ne les lie à nous. En termes de réversibilité, on ne peut pas faire mieux.

Aucun contrat (de licence ou autre) ne bloque nos clients dans nos infrastructures. Nous appartenons d’ailleurs à des groupes, évoqués par M. Stephan Hadinger, facilitant les transferts. La plupart de nos technologies sont basées sur de l’open source, ce qui facilite le basculement vers d’autres clouds.

Nos clients souhaitent surtout rapidement innover et donc bénéficier dans les meilleurs délais des technologies les plus récentes. On constate, en France et dans le reste du monde, un basculement massif des entreprises de systèmes propriétaires avec licences vers de l’open source. Elles réalisent ainsi des économies tout en renforçant la sécurité de leurs infrastructures, dès lors plus puissantes.

Nos pratiques commerciales bénéficient à nos clients. Loin de les retenir prisonniers de contrats, nous travaillons quotidiennement pour leur donner envie de nous rester fidèles.

L’initiative GAIA-X permet à nos yeux d’associer les entreprises, le monde de la science et de la politique à la définition des standards des nouvelles générations d’infrastructures de données, à la fois ouvertes, transparentes et sécurisées. Nous souhaitons créer ensemble un écosystème numérique ouvert et compétitif de données. Nous avons rejoint GAIA-X pour aider nos clients à continuer d’accélérer l’innovation autour de la donnée. Comme nombre de nos clients y participaient déjà, il nous a semblé logique de les accompagner. Nous œuvrons dans quatre groupes de travail sur :

– les besoins en architecture et en software ;

– les infrastructures opérationnelles ;

– le stockage et le calcul dans le cloud ;

– les réseaux et les transferts.

Nous nous concentrons aussi sur les certifications.

M. Philippe Latombe, rapporteur. Vous avez fait part de votre crainte qu’une fracture numérique se creuse, à cause des réticences de certaines entreprises à faire appel à vos services, parce que vous ne seriez pas souverains. Avez-vous conscience que votre taille effraie ? Vous et vos collègues d’origine américaine faites figure d’« ogres ». Cette peur que vous suscitez vient-elle selon vous de votre chiffre d’affaires colossal, propre à donner l’impression que vous tuez la concurrence en vous assurant un monopole ?

M. Julien Groues. Gartner estime entre 5 et 7 % la part de l’informatique dans le cloud en France. Toujours selon Gartner, AWS détiendrait 45 % à 47 % de parts de marché dans le cloud, un secteur où œuvrent énormément d’acteurs. Les clients peuvent, soit choisir leur cloud provider, soit continuer à construire leurs propres centres de données avec des fournisseurs de hardware ou de software. Nos partenaires souhaitent accéder aux meilleures technologies pour en tirer profit. Depuis le lancement d’AWS, voici plus de quinze ans, plus de 80 baisses de prix de nos services ont été constatées, or nous n’en avons interrompu aucun.

M. Philippe Latombe, rapporteur. Je me livre à un rapide calcul : AWS représente 51 milliards de dollars de chiffre d’affaires annuel. Votre objectif consiste-t-il à garder votre part (45 % à 47 %) de ce marché en pleine croissance ?

M. Julien Groues. Notre objectif est de continuer à écouter nos clients et leur fournir le meilleur de la technologie pour qu’ils continuent d’inventer de nouveaux modèles d’affaires. Les start-up comme les grandes entreprises mènent à bien, rapidement, des innovations qui transforment positivement notre manière de travailler autant que notre mode de vie. Notre culture d’entreprise consiste à les accompagner en ce sens.

M. Philippe Latombe, rapporteur. Comprenez-vous que cela fait peur ? En cas de triplement des entreprises dans le cloud, votre chiffre d’affaires exploserait, dépassant éventuellement le budget d’un certain nombre d’États.

M. Julien Groues. Je ne sais pas si cela fait peur. Tant que nous resterons complètement transparents sur nos activités, nous pourrons continuer d’accompagner tout l’écosystème du cloud dans sa transformation.

M. Philippe Latombe, rapporteur. Pourriez-vous nous en dire plus sur la partie formation ?

M. Julien Groues. Nous ambitionnons de former tous ceux qui le souhaitent aux technologies du cloud. Certaines de nos formations visent les entreprises, véritables viviers de talents en France. Nous aidons leurs employés à s’approprier les technologies du cloud pour mieux innover. Nous touchons aussi les intégrateurs, entreprises de services du numérique (ESN), à qui nous transmettons les compétences en matière de bonnes pratiques et de sécurité nécessaires à l’accompagnement de leurs propres clients. Nous formons aussi les étudiants en informatique de manière à ce qu’ils arrivent sur le marché de l’emploi, prêts à contribuer à la transformation des entreprises françaises. Enfin, le cloud offre une fantastique opportunité aux personnes éloignées de l’emploi d’apprendre un métier. Nous avons créé voici dix-huit mois le programme re/Start en France. Nous assurons, par cohortes, des formations certifiantes de trois mois, avec Simplon, aux technologies du cloud et aux soft-skills qui débouchent, grâce à nos partenaires, sur des embauches.

M. Philippe Latombe, rapporteur. Intervenez-vous, dans ce type de formation, sous la marque AWS ? Le nom de votre entreprise y apparaît-il ?

M. Julien Groues. Oui. Nous assurons auprès des enseignants, dans les universités, des formations validées par des certifications, professionnelles ou non, allant de la compréhension du fonctionnement du cloud aux meilleures pratiques de sécurité. Dans ce cadre, nous intervenons sous notre nom ou via des partenaires certifiés se revendiquant comme des formateurs AWS.

La souveraineté, pour les entreprises et les organisations que nous accompagnons, c’est la possibilité d’explorer de nouveaux marchés et de gagner en compétitivité en bénéficiant du meilleur de la technologie afin de se réinventer en servant au mieux leurs clients.

M. Philippe Latombe, rapporteur. J’apprécierais que vous m’apportiez par écrit une réponse, que j’annexerai au rapport, sur le FISA.

Audition, ouverte à la presse, de MM. Olivier Esper, chargé des relations institutionnelles, et Fenitra Ravelomanantsoa, responsable des affaires publiques, de Google France (18 mars 2021)

Présidence de M. Philippe Latombe, rapporteur.

M. Philippe Latombe, président et rapporteur. Nous recevons les représentants de Google France : M. Olivier Esper, chargé des relations institutionnelles, et M. Fenitra Ravelomanantsoa responsable des affaires publiques.

Google est une entreprise américaine de services technologiques, fondée en 1998 par Larry Page et Sergueï Brin. Filiale de la société Alphabet depuis 2015, elle est présente sur le marché des moteurs de recherche, des applications (avec Android) et du cloud, par l’intermédiaire de Google cloud.

Son positionnement avantageux sur ces segments se situe au cœur de notre réflexion, en lien avec notre préoccupation légitime de protection de la souveraineté numérique nationale et européenne.

Pourriez-vous nous indiquer ce que recouvre pour vous la notion de souveraineté numérique ? Les pouvoirs publics y portent une attention croissante depuis la crise sanitaire. Certains l’apparentent à une forme d’autonomie stratégique ou décisionnelle. Quel regard portez-vous, en tant qu’important acteur américain des marchés des moteurs de recherche, des systèmes d’exploitation et du cloud, sur les diverses définitions qui lui ont été données ? Comment voyez-vous aujourd’hui le marché du cloud ? Comment anticipez-vous son évolution au cours des prochaines années ? Quel regard portez-vous sur les pratiques des entreprises privées et des acteurs publics clients de vos solutions ? Quels sont leurs besoins et attentes ? Ont-ils évolué avec la crise sanitaire ?

J’aimerais aussi vous entendre sur l’initiative GAIA-X, dont vous êtes membre, qui vise à garantir le multicloud, la sécurité des données et l’interopérabilité des services.

Comment, en outre, vous positionnez-vous par rapport aux initiatives européennes de régulation du numérique (Digital Services Act, Digital Markets Act et Data Governance Act) ?

J’aimerais enfin vous entendre à propos des enjeux liés à la protection des données, dans un contexte où l’extraterritorialité du droit américain pourrait menacer les garanties offertes par le droit européen. Qu’impliquent selon vous le Cloud Act et l’invalidation du Privacy Shield par l’arrêt Schrems II de la Cour de justice de l’Union européenne (CJUE), notamment en cas de demande de transmission de données par les autorités américaines ?

M. Olivier Esper, chargé des relations institutionnelles Google France. Je commencerai par vous présenter rapidement les activités de Google en France avant que mon collègue ne vous parle du cloud, qui vous intéresse plus particulièrement.

Google emploie en France un peu moins de 1 500 personnes basées pour la plupart à Paris. Ce chiffre a doublé depuis trois ans. L’entreprise, en phase d’investissement, a ouvert, en septembre 2018, en plus de son centre de recherche et développement employant déjà des ingénieurs, un centre de recherche en intelligence artificielle. Sa création a été annoncée par le PDG de Google au côté du Président de la République en janvier 2018 à l’occasion du premier sommet Choose France destiné aux investisseurs étrangers.

Ce nouveau centre regroupant une centaine d’ingénieurs a noué des liens avec l’écosystème de la recherche en France par le financement d’une chaire à l’école polytechnique ainsi que par un partenariat avec le PaRis Artificial Intelligence Research InstitutE (PRAIRIE) et l’Institut national de recherche en informatique et en automatique (INRIA).

L’activité de Google en France s’axe, en second lieu, autour de la numérisation des entreprises. Nous contribuons à leur présence en ligne par un programme de sensibilisation et de formation baptisé « atelier numérique de Google ». Il cible en priorité les petites entreprises, puisque c’est souvent là que le bât blesse dans la transformation numérique de l’économie. Il vise aussi les étudiants et les chercheurs d’emploi. Lancé en 2012 avec les chambres de commerce et d’industrie, les universités, Pôle emploi et les missions locales, il a déjà formé plus de 500 000 personnes. Il a notamment aidé de nombreux commerces à s’adapter aux confinements lors de la crise sanitaire en passant au « click and collect ».

Un partenariat s’est noué dans ce cadre, l’an dernier, avec la Fédération française des associations de commerçants. Exclusivement nomade jusqu’en 2019 (des équipes de Google sillonnaient alors la France), notre programme se déploie désormais aussi depuis quatre ateliers numériques physiquement implantés à Rennes, Saint-Etienne, Montpellier et Nancy.

Une formation à la cybersécurité est venue le compléter l’an dernier, là encore à destination des petites entreprises, en partenariat avec le groupement d’intérêt public cybermalveillance.gouv.fr, que nous avons rejoint, et la fédération de l’e-commerce et de la vente à distance (Fevad). Nous comptons développer dans le même esprit un massive open online course (MOOC) en ligne pour toucher encore davantage d’entrepreneurs.

M. Fenitra Ravelomanantsoa, responsable des affaires publiques Google France. Après une présentation de Google cloud, j’aborderai les tendances dans l’utilisation du cloud computing sur lequel nous souhaitons mettre l’accent, avant de passer à l’approche, par Google cloud, de la souveraineté numérique.

Département de la société Google, Google cloud n’opère que sur le marché B to B, au service, donc, de la compétitivité des entreprises françaises. Nous soutenons l’innovation des petites et moyennes entreprises (PME), des très petites entreprises (TPE) et du tissu associatif. Notre modèle économique, différent de celui de Google, repose sur une souscription payante et implique des engagements spécifiques aux contrats interentreprises.

Google cloud compte plus de 300 collaborateurs à Paris. Le 28 mai 2020 a été annoncée la création de trois centres de données composant une région France pour mieux accompagner le recours croissant des entreprises françaises et européennes au cloud computing. Nous avons récemment noué plusieurs partenariats stratégiques contribuant à la transformation numérique d’entreprises comme Renault ou Orange.

La transformation numérique, dont la crise sanitaire a accéléré le besoin, correspond à un enjeu fondamental pour la compétitivité de nos entreprises. Le recours au cloud en constitue un pilier : c’est pour optimiser leur compétitivité dans les secteurs, respectivement, de la grande distribution et de l’industrie automobile, que Carrefour ou Renault ont fait appel à Google cloud.

Je soulignerai trois tendances actuelles du cloud computing :

–lLe modèle de cloud ouvert qui nous tient à cœur distingue Google cloud de ses concurrents. Nous promouvons entre autres des logiciels open source et des application programming interfaces (API) ouvertes pour que nos clients restent libres de leurs choix en se réservant la possibilité de recourir à plusieurs fournisseurs en même temps, d’opter pour un modèle hybride ou de transporter leurs données de notre infrastructure vers une autre ;

– nous facilitons et démocratisons l’accès des entreprises et des organisations à des technologies de pointe (analyse de données ou encore Intelligence artificielle) ;

– nous travaillons à réduire le plus possible notre empreinte environnementale. Nous sommes neutres en carbone depuis 2007. Depuis 2017, nous nous approvisionnons en électricité à l’aide d’énergies renouvelables à 100 %. Nous comptons ne plus recourir qu’aux seules énergies sans carbone à partir de 2030.

Notre philosophie d’entreprise envisage la souveraineté numérique comme la garantie à nos clients qu’ils contrôlent l’accès à leurs données et restent autonomes par rapport aux fournisseurs de cloud. Notre positionnement spécifique en faveur des technologies ouvertes facilite l’interopérabilité des systèmes comme des données ainsi que leur récupération à l’issue d’incidents. Le contrôle des données apparaît évidemment comme un enjeu fondamental de la souveraineté numérique. Des réunions avec des décideurs politiques, ces derniers mois, nous ont informés de ce que nos clients attendent d’un fournisseur comme nous en matière de souveraineté numérique. Trois éléments sont ressortis :

– le besoin de décider qui aura accès ou non aux données dans notre cloud ;

– la possibilité d’inspecter en toute indépendance ce que font les administrateurs Google des données qui leur sont confiées ;

– la garantie de la survie de celles-ci au cas où nous ne serions plus en mesure d’assurer la continuité de nos services.

En réponse à ces inquiétudes, nous avons défini trois niveaux de souveraineté :

– la souveraineté de la donnée : notre client demeure l’ultime arbitre de l’accès à ses données, grâce au recours à des technologies de chiffrement dont la clé est hébergée hors de notre infrastructure. Nous devons en outre justifier auprès de nos clients nos moindres demandes d’accès à leurs données, qu’ils pourront toujours refuser. Ces technologies s’ajoutent à nos précédentes innovations en matière de sécurité, comme le confidential computing permettant de chiffrer les données, non seulement en déplacement et au repos, mais aussi en cours d’utilisation, donc à chaque étape de leur traitement ;

– la souveraineté opérationnelle permet au client de définir des critères de contrôle de la gestion par Google cloud de ses données, imposant par exemple de ne confier celles-ci qu’à des agents de nationalité européenne ;

– la souveraineté logicielle garantit enfin au client la possibilité d’exécuter son environnement cloud à court ou moyen terme, même en cas de rupture de service de Google cloud, pour des raisons techniques ou de guerre économique. Cela suppose la mise à disposition de nos clients d’un outil d’orchestration comme Anthos.

Notre approche se concrétisera par le partenariat annoncé en novembre dernier avec OVH cloud, qui pourra dorénavant héberger des produits Google cloud. L’utilisation des technologies de pointe de Google dans l’environnement de confiance d’un acteur français du cloud réunira ainsi le meilleur des deux mondes.

M. Philippe Latombe, rapporteur. À quoi le Cloud Act vous oblige-t-il, selon vous, en cas de demande du gouvernement américain d’accéder à des données de sociétés ou d’administrations françaises hébergées sur votre cloud ? Quelles sont les conséquences juridiques, techniques ou commerciales entraînées, de votre point de vue, par l’invalidation du Privacy Shield par l’arrêt Schrems II ? Les demandes de vos clients ont-elles changé depuis ?

M. Fenitra Ravelomanantsoa. La localisation d’une donnée ne constitue pas, selon nous, un critère de sa sécurité. Une donnée n’est sécurisée que par les mesures prises en ce sens lors de son hébergement et de son traitement.

Le sujet de la souveraineté numérique n’est pas propre à la France ou à l’Europe. Nous en discutons avec tous nos clients, y compris hors de l’Union européenne.

Quand des autorités adressent à Google cloud une demande d’accès aux données d’un tiers, notre politique est de la soumettre à une équipe de juristes chargés d’en vérifier la validité (sa conformité à la loi, le statut de l’émetteur et l’ampleur raisonnable des données sur lesquelles elle porte). Quand l’un au moins de ces points ne donne pas satisfaction, nous opposons un refus. Nous nous considérons comme des processeurs sous-traitant des données et non comme leur propriétaire. Nous invitons les autorités qui souhaitent y accéder à en formuler la demande directement au client à qui elles appartiennent.

Quand une demande nous semble recevable, nous notifions son exécution à l’entreprise concernée. Dans le cas contraire, nous nous tenons prêts à la contester devant la justice.

Par souci de transparence, nous publions un rapport semestriel des demandes qui nous parviennent. Celles qui visent les entreprises n’en représentent qu’une très petite part et, parmi elles, les demandes suivies d’effet forment une infime minorité. Google cloud n’a communiqué aucune donnée des entreprises de sa clientèle suite à une demande gouvernementale. Nous n’avons en outre identifié aucune demande d’un gouvernement national en vue d’obtenir des informations sur un autre gouvernement national.

Nous sensibilisons la nouvelle administration américaine aux préoccupations de nos clients européens au sujet des lois de surveillance américaines, de manière à trouver une solution constructive au problème posé par les demandes d’accès aux données stockées dans le cloud.

M. Philippe Latombe, rapporteur. Je puis admettre que la localisation des données n’entre pas, selon vous, parmi les critères de sécurité. L’invalidation résultant de l’arrêt Schrems, les avis rendus par le Conseil d’État et l’affaire Doctolib n’en ont pas moins montré son importance. Pouvez-vous garantir à vos clients le stockage de leurs données dans un pays européen soumis au Réglement général sur la protection des données (RGPD) sans que, pour des raisons de maintenance, de redondance ou de vérification technique, elles soient transférées à l’étranger ?

M. Fenitra Ravelomanantsoa. Nous souhaitons adopter sur ce point la même approche que le RGPD, qui n’a pas interdit mais encadré le transfert de données hors de l’Union européenne. Les travaux résultant de l’arrêt Schrems II ont réclamé, au Comité européen de la protection, des recommandations pour que les fournisseurs de cloud puissent continuer à transférer des données, dans le respect de normes techniques précises. Leur première version correspond à la manière dont nous sécurisons depuis longtemps le transfert de données et les flux internationaux. Nous attendons leur version définitive pour adapter, si besoin, nos pratiques et nos mesures de sécurité.

M. Philippe Latombe, rapporteur. Êtes-vous en mesure de garantir à une entreprise traitant des données sensibles à caractère personnel que celles-ci seront stockées sur des serveurs européens dont elles ne migreront pas ?

M. Fenitra Ravelomanantsoa. La majorité de nos produits permet à nos clients de choisir le lieu de stockage de leurs données. Sans compter que les mesures techniques que nous mettons à leur disposition leur assurent un niveau de sécurité supplémentaire par rapport à la transmission de leurs données à une autorité étrangère.

Concrètement, nous proposons à nos clients de chiffrer leurs données et justifions auprès d’eux nos moindres demandes d’accès, qu’ils gardent la possibilité de refuser.

Les lois extraterritoriales (notamment américaines) s’appuient sur trois critères pour contraindre un fournisseur de cloud à livrer l’accès aux données de ses clients : il faut que le fournisseur de cloud contrôle, conserve et possède la donnée. Comme, techniquement, nous n’avons pas connaissance de la clé de chiffrement utilisée par nos clients, ce critère tombe de lui-même.

M. Philippe Latombe, rapporteur. Je ne dis pas cela contre vous, ou pas seulement, mais comprenez-vous que les citoyens, les entreprises et les États s’interrogent sur le traitement des données par les fournisseurs de cloud ? Avez-vous d’ailleurs conscience de leurs inquiétudes ?

Un certain nombre de procédures ont été engagées contre vous (par la CNIL, notamment, au sujet des cookies). Votre utilisation des données soulève des questions. Le licenciement par Google de spécialistes de l’Intelligence artificielle a fait grand bruit. Comment l’expliquez-vous ? Par l’incompréhension des citoyens ?

M. Fenitra Ravelomanantsoa. En tant que société américaine opérant en France, nous comprenons évidemment les préoccupations au sujet de la souveraineté numérique et de l’utilisation des données. Nous en discutons régulièrement avec nos clients.

C’est d’ailleurs parce que nous les comprenons que nous mettons sur le marché des technologies innovantes de contrôle garantissant une meilleure protection des données. Notre philosophie d’entreprise nous pousse en outre à travailler en partenariat avec des acteurs locaux pour gagner la confiance de nos clients, libres d’utiliser des produits Google hors d’une infrastructure Google. Nous souhaitons avant tout promouvoir et faciliter la transformation numérique des entreprises françaises en couvrant le plus possible de cas d’usage et en offrant un maximum de fonctionnalités.

M. Olivier Esper. Nous comprenons tout à fait que le succès de nos services implique une surveillance étroite de la part des autorités. Nous nous efforçons de répondre aux préoccupations de manière pragmatique, par des solutions concrètes techniquement innovantes. Nous assurons à nos utilisateurs (le grand public ou les entreprises pour ce qui concerne Google cloud) une parfaite transparence : ce sont eux qui contrôlent leurs données.

M. Philippe Latombe, rapporteur. Le développement de la société Google dans nombre de secteurs, en plus du cloud, en amène beaucoup à la juger hégémonique. Il ne s’agit pas là d’une critique. Quel est son objectif de croissance ? Ambitionne-t-elle de multiplier ses secteurs d’intervention dans le champ du numérique ou de se focaliser sur l’un d’eux, comme le cloud ou l’Intelligence artificielle ? La question du démantèlement de Google ressurgit régulièrement. Dans quels secteurs continuerez-vous d’investir en France et en Europe ?

M. Olivier Esper. Google a pour objectif de fournir les services les plus utiles et les plus innovants à ses utilisateurs. L’Intelligence artificielle n’est pas une fin en soi mais un outil de développement de fonctionnalités nouvelles. Google s’en tient à une approche responsable de ces innovations.

Google dresse des bilans réguliers de l’application de ses principes éthiques, d’ailleurs rendus publics, et qui tournent autour de la fairness (la non-discrimination) de manière à éviter tout biais. L’un de ces principes, valable dans tous les domaines d’intervention de Google, touche à la protection de la vie privée. Des équipes de recherche au sein de la société travaillent à son amélioration par des solutions fondamentales telles que la confidentialité différentielle, l’apprentissage fédéré ou l’apprentissage automatique, sans que les données utilisées quittent à aucun moment le terminal.

M. Philippe Latombe, rapporteur. Vous rendez-vous compte que les citoyens n’en ont pas conscience ? La navigation incognito soulève beaucoup de questions.

Quant à votre éthique, de nombreux entrepreneurs estiment que la même fiscalité devrait s’appliquer à tous. Les Google, Apple, Facebook, Amazon et Microsoft (GAFAM) ne paient pas aujourd’hui leur juste part d’impôts. Vous atteignez un tel degré d’hégémonie que vous tuez l’innovation en l’attirant à vous au lieu de la laisser se développer indépendamment. Je ne vous dresse pas un procès d’intention. Je me contente de vous livrer un ressenti général. Votre discours n’est pas de nature à rassurer.

Comment comptez-vous faire passer votre message auprès des citoyens, des États et des entrepreneurs du numérique ? On vous a reproché vos pratiques commerciales. Le coût pour sortir des données de votre cloud s’avère exorbitant rapporté au prix de leur hébergement. Vous distribuez en outre des vouchers aux start-up afin de les capturer parmi votre clientèle. L’intense lobbying des GAFAM, en Europe comme ailleurs, vous a enfin permis de vous introduire dans des projets en principe purement européens comme GAIA-X. Comment répondez-vous à ces critiques ? Quelle preuve avancez-vous que ce que l’on vous reproche ne correspond pas à votre éthique ?

M. Fenitra Ravelomanantsoa. Nous souhaitons mettre en place des partenariats en Europe, conformément aux objectifs de GAIA-X, pour promouvoir l’écosystème du cloud et de l’utilisation de la donnée, mais aussi transférer nos connaissances vers des acteurs locaux avec lesquels nous travaillerons. J’ai cité comme exemple notre ambitieux partenariat avec OVH cloud, permettant d’utiliser des produits Google sur un cloud français. Nous œuvrons aussi avec Thalès à la mise au point de clés de chiffrement extérieures à notre infrastructure.

Nous avons rejoint l’initiative GAIA-X car nous voulons, nous aussi, que l’Europe dispose d’un service cloud de qualité. Nous investissons dans l’Union européenne par la création de quatre nouvelles régions de centres de données, s’ajoutant aux six dont nous disposons déjà. Sur invitation du ministère allemand des affaires économiques et de l’énergie, nous contribuons activement aux groupes de travail techniques de GAIA-X, depuis plus d’un an, leur apportant notre expertise en matière de normes de sécurité et de confidentialité des données.

Notre recours aux technologies ouvertes devrait rassurer quant à notre position hégémonique. Nous nous réjouissons que GAIA-X les promeuve. Nous y voyons un moyen de libérer les clients de leur dépendance par rapport à un fournisseur de cloud donné.

M. Philippe Latombe, rapporteur. Sans méchanceté, je vous signale que Google a une très mauvaise réputation en matière de protection des données. Comment pouvez-vous garantir l’absence de fuite ou de perte des données stockées sur votre cloud et votre opposition aux demandes de communication des autorités américaines ?

Vous l’avez dit : le recours au cloud pose, par principe, une question de confiance. Comment peut-on vous faire confiance alors que des affaires juridiques médiatisées ont mis en lumière vos défaillances en matière de respect de la confidentialité ? Je songe au procès qui vous a été intenté en Californie à propos du mode de navigation incognito. Le partenariat entre OVH, perçu comme le cloud français souverain par excellence, et Google a donné matière à bien des débats dans l’écosystème numérique français. Comment comptez-vous rétablir la confiance ?

M. Fenitra Ravelomanantsoa. Il existe une confusion entre Google et Google cloud, due à la ressemblance entre bon nombre de leurs produits comme Google Drive ou Gmail. Alors que Google s’adresse à des consommateurs, Google cloud se positionne sur un marché B to B. Nous veillons à informer nos clients des moyens de contrôle mis à leur disposition, tels qu’une console administrateur, de manière à les rassurer.

Les sanctions prises par la CNIL ne portaient pas sur des produits de Google cloud mais sur d’autres, à destination des consommateurs.

Nous travaillons en toute transparence, par des audits réguliers notamment, à gagner la confiance de nos clients. Nous disposons des certifications les plus strictes en matière de confidentialité, de sécurité et de protection de données.

M. Philippe Latombe, rapporteur. On vous reproche beaucoup une forme d’évasion fiscale vous assurant un avantage sur vos concurrents. Le recours des GAFAM à des montages fiscaux ressurgit systématiquement dans les discussions autour de la confiance. L’écosystème numérique européen estime ne pas lutter sur le marché à armes égales. Certains réclament dès lors, soit d’abaisser la fiscalité européenne, soit de vous y soumettre.

M. Olivier Esper. Rappelons les faits et les chiffres : Google paie la majorité de ses impôts aux États-Unis puisque c’est là qu’elle est domiciliée. Ces dix dernières années, son taux d’imposition global tournait autour de 20 %, ce qui correspond à la moyenne constatée dans les pays de l’OCDE en matière d’impôt des sociétés. Nous entendons parfaitement les critiques visant les règles de fiscalité appliquées aux multinationales. À peu près depuis que l’OCDE a commencé à se pencher sur le sujet, nous soutenons l’idée de réformer le système de fiscalité actuel.

Pour revenir sur les formations que nous organisons, gratuites et agnostiques (c’est-à-dire ne mettant pas en avant de services ni de produits Google), compte tenu de la situation présente, nous y mettons surtout l’accent sur les commerces et la cybersécurité.

M. Philippe Latombe, rapporteur. Vous vous différenciez en cela de vos collègues d’AWS qui, eux, estampillent les leurs.

Audition ouverte à la presse, de M. Bruno Sportisse, président-directeur général de l’institut national de recherche en sciences et technologie du numérique (Inria) (18 mars 2021)

Présidence de M. Philippe Latombe, rapporteur.

M. Philippe Latombe, président et rapporteur. Nous recevons M. Bruno Sportisse, président-directeur général de l’Institut national de recherche en sciences et technologies du numérique (Inria).

Établissement public à caractère scientifique et technologique (EPST), l’Inria soutient la recherche et l’innovation numérique en France et en Europe depuis cinquante ans. Il rassemble une large communauté scientifique (près de 200 équipes-projets réunissant 3 500 scientifiques). Sans entrer dans le détail de ses différentes actions, je signalerai son rôle central dans la stratégie française en matière d’Intelligence artificielle, son soutien au développement de l’écosystème technologique et enfin son engagement en vue du partage des connaissances et des compétences numériques, via le Class’Code notamment.

Je vous poserai d’abord la question rituelle qui ouvre chacune de nos auditions : que recouvre selon vous la notion, assez vaste, de souveraineté numérique ? Les pouvoirs publics y portent une attention croissante depuis la crise sanitaire. Nous en avons entendu de multiples définitions. Certains la rapprochent d’une forme d’autonomie stratégique ou décisionnelle. Comment l’appréhendez-vous personnellement ? Comment l’action de l’Inria contribue-t-elle à la promotion de notre souveraineté numérique nationale ou européenne ?

Je vous interrogerai en second lieu sur les forces et les faiblesses de la France et de l’Europe dans votre domaine de compétence, c’est-à-dire les technologies numériques (cloud, Intelligence artificielle, etc.). Votre positionnement d’acteur de la recherche soutenant par ailleurs le développement de start-up technologiques me semble conférer une pertinence particulière à votre point de vue. L’écosystème numérique français rencontre-t-il selon vous des difficultés que nous pourrions contribuer à lever, le cas échéant ?

Nous souhaiterions aussi un point d’étape sur la stratégie nationale en matière d’Intelligence artificielle, où l’Inria joue un rôle clé. Nous n’ignorons pas que les instituts 3IA ont dû faire face à la crise sanitaire dès le lendemain de leur implantation.

Enfin, j’aimerais que nous échangions sur l’une de vos thématiques de recherche : la cybersécurité. L’actualité est régulièrement marquée par la révélation de cyberattaques de plus en plus sophistiquées. La crise sanitaire a donné une visibilité nouvelle aux menaces qu’elles font peser sur la France. Quelles réflexions vous inspirent-elles, tant du point de vue de la formation, de l’acculturation des acteurs privés et publics, qu’en termes de doctrine stratégique, de capacité d’action et de réaction ? Nous aborderons, à partir de là, plus généralement, la transmission des savoirs et des compétences numériques, qui doit constituer une priorité pour notre pays.

M. Bruno Sportisse, président-directeur général de l’Inria. L’Institut national de recherche en sciences et technologies du numérique occupe, du fait de certaines de ses spécificités, une place unique dans le paysage français et européen de la recherche, où il n’existe pas d’autre organisme national de recherche entièrement dédié au numérique. Placé sous la double tutelle des ministères de la recherche et de l’industrie, il porte, de longue date, une attention soutenue à sa mission en matière de souveraineté. Il repose sur un modèle organisationnel unique d’une extrême fécondité dans le champ du numérique.

L’unité de base n’en est autre que l’équipe-projet. Cette structure de petite taille, groupant quinze à vingt personnes, se concentre sur un projet de recherche et d’innovation, explicité par une feuille de route, pendant une période de quatre ans, à l’issue de laquelle ses travaux sont évalués. Son agilité permet à l’équipe-projet d’avancer sur un sujet précis en produisant des résultats. Elle se prête en outre aux partenariats aussi bien académiques qu’industriels. L’Inria compte 220 de ces équipes-projets, dont 90 % communes aux grandes universités de recherche françaises. Elles emploient près de 3 500 chercheurs, enseignants-chercheurs, ingénieurs, doctorants et post-doctorants, répartis sur neuf centres de recherche dans tout le territoire.

En plus de ces équipes-projets, l’INRIA porte des dispositifs destinés :

– à exercer un impact, notamment économique, sur l’ensemble de la recherche publique, dont nos partenaires ;

– à la production de contenu en ligne massif de type massive online open course (MOOC) au travers de l’Inria Learning Lab ;

– au développement de plateformes technologiques (InriaSoft) ;

– à la formation continue au logiciel à destination du tissu industriel avec Inria Academy ;

– et, enfin, à l’accompagnement à la création de start-up technologiques par le biais d’Inria Startup Studio.

L’actualité de l’Inria est marquée par deux dynamiques cohérentes.

La première n’est autre que la signature, le 18 février 2020, par Mme Frédérique Vidal, ministre de l’enseignement supérieur, de la recherche et de l’innovation, et M. Cédric O, secrétaire d’État en charge du numérique, d’un nouveau plan stratégique de l’Inria, sous la forme d’un contrat d’objectifs et de performance couvrant la période de 2019 à 2023.

L’Inria y est présenté comme le bras armé de l’État pour construire, par la recherche, la souveraineté numérique de la nation, comme l’indique le préambule : « l’ambition stratégique de l’Inria est d’accélérer la construction d’un leadership scientifique, technologique et industriel, dans et par le numérique, de la France engagée dans la dynamique européenne. L’Inria doit ainsi assumer qu’il est un outil de la souveraineté et de l’autonomie stratégique numérique de la nation. ». Ce positionnement n’est pas anodin dans le contexte académique aussi bien national qu’international. Quatre axes structurent ce plan stratégique :

– La cristallisation de moyens, en fonction de choix scientifiques, sur des thèmes stratégiques à la composante technologique pleinement assumée : la cybersécurité, une Intelligence artificielle de confiance au bénéfice de notre industrie et l’informatique quantique. À ces thèmes d’actualité dans le plan de relance, s’en ajoutent d’autres, d’application du numérique à la santé et aux objectifs de développement durable. Ceci pose d’ailleurs le problème de la frugalité du numérique et de son empreinte énergétique sur l’environnement ;

– L’Inria doit accorder la priorité à son impact économique sur le tissu industriel français au travers de ses partenariats bilatéraux, de ses équipes-projets communes avec des industriels français, de la formation continue par le transfert de compétences et, enfin, de son ambition entrepreneuriale renouvelée. L’Inria compte en effet accompagner 100 projets de start-up de logiciels par an à partir de 2023 ;

– L’appui aux politiques publiques passe par le développement d’infrastructures logicielles critiques grâce à des unités conjointes avec des départements ministériels en pleine transformation numérique. Un bon exemple en est le projet pilote Regalia, en appui de la direction générale des entreprises, en vue de la régulation des plateformes numériques. L’Inria assume en outre un rôle d’assistance à maîtrise d’ouvrage auprès de l’administration et notamment auprès de la direction générale de la santé dans sa gestion numérique de la crise à travers le projet TousAntiCovid, piloté par un consortium public/privé inédit. Les opérations menées par le LabIA conjointement avec la direction interministérielle du numérique ont apporté une expertise scientifique et technologique à des projets portés par des départements ministériels et tournant autour de l’Intelligence artificielle. La mission Inria Défense incarne notre volonté de nouer un partenariat ambitieux répondant aux besoins numériques, et plus largement scientifiques et technologiques liés au numérique, du ministère des armées, en accord avec l’Agence de l’innovation de défense et la toute nouvelle Agence du numérique de défense. Ces exemples montrent qu’il n’existe pas de recette unique en matière de numérique pour soutenir les politiques publiques et qu’on ne saurait se passer d’une pluralité d’approches largement expérimentales ;

– L’axe territorial, d’une importance considérable, place l’Inria au service du développement des grandes universités de recherche sur chacun des sites d’implantation de l’institut. Avant l’été, nos centres de recherche deviendront des centres Inria des universités qui les hébergent, ce qui souligne l’intense participation de notre organisme national de recherche à la dynamique universitaire, en matière, notamment, de formation. Celle-ci constitue l’une des clés de construction de la souveraineté technologique.

La seconde dynamique à se manifester dans l’actualité de l’Inria est bien sûr liée à la forte implication de notre institut dans le plan de relance. L’Inria pilote la partie recherche de la stratégie nationale sur l’Intelligence artificielle, tout en s’engageant pleinement dans les stratégies nationales d’accélération où le numérique joue un rôle clé. À ce titre, l’Inria copilote avec d’autres acteurs, comme le Commissariat à l’énergie atomique et aux énergies alternatives (CEA) ou le Centre national de la recherche scientifique (CNRS), les programmes prioritaires de recherche associés aux stratégies nationales d’accélération en matière de cybersécurité ou encore d’informatique quantique. L’Inria copilote également avec le CNRS et l’université d’Aix-Marseille un programme prioritaire de recherche dédié à la transformation numérique de l’enseignement. L’implication structurante de l’Inria dans les réflexions au long cours sur les stratégies d’accélération (et les programmes de recherche associés en cours d’élaboration) en matière de santé numérique, de cloud et de mobilité intelligente est parfaitement cohérente avec les perspectives stratégiques ouvertes par notre nouveau contrat d’objectifs et de performance.

En somme, notre actualité entre tout à fait en résonance avec les questions qui agitent la mission parlementaire sur la souveraineté technologique et numérique.

M. Philippe Latombe, rapporteur. Revenons justement sur ce terme de souveraineté numérique (française ou européenne). Quelle définition en proposez-vous ?

M. Bruno Sportisse. Vous avez évoqué la notion d’autonomie stratégique, d’ailleurs inscrite en tête de notre contrat d’objectifs et de performance. J’assimile pour ma part la souveraineté numérique à la capacité de maîtriser le cadre de développement de la société numérique, les valeurs qui la fondent et les normes technologiques qui la régissent. Je l’illustrerai par quelques exemples, sachant qu’une telle capacité s’étend à tous les domaines.

Dans la sphère privée, où le numérique apparaît fortement lié à la question des données personnelles, la souveraineté numérique implique de savoir qui maîtrise ces données. Elle revient à les encadrer au niveau juridique et législatif. Je songe au Règlement général sur la protection des données (RGPD). L’existence d’un tel cadre, en tant que telle, ne suffit pas. Encore faut-il s’assurer de son application, ce qui ne va pas sans implications technologiques. C’est le sens de notre partenariat avec la Commission nationale de l’informatique et des libertés (CNIL).

Il en est de même dans la sphère de l’éducation, où l’enjeu consiste à déterminer qui accédera aux contenus et aux plateformes. En matière de santé où le numérique joue un rôle croissant dans l’aide à la décision et au diagnostic, la souveraineté implique de décider qui définit les algorithmes utilisés et à partir de quand ces algorithmes d’aide au médecin se substituent à lui dans une partie de son métier. Il s’agit là d’une question éminemment politique, qu’il conviendra de trancher à l’issue d’un débat. Il est en tout cas impératif de maîtriser les technologies en jeu pour apporter une réponse adéquate. Il faut en outre impliquer des acteurs industriels français et européens si l’on ne veut pas se contenter de postures incantatoires. La remarque s’applique à l’ensemble des politiques publiques où le numérique joue un rôle clé en lien avec des données ou l’aide à la décision. Quels sont les outils mobilisés ? Selon quels algorithmes les politiques publiques s’orientent-elles dans telle direction plutôt que telle autre ?

La souveraineté numérique nécessite, selon moi, d’agir dans deux directions.

La première, de laquelle dépend tout le reste, vise à s’assurer un vivier de talents et de compétences. La transformation numérique ne se réussira pas autrement. Du fait que le numérique évolue en permanence, il est nécessaire de se former à ces changements tout au long de la vie. Si j’aborde en premier lieu l’enjeu de la formation initiale et continue, c’est parce qu’il constitue d’après moi la clé de voûte de toute politique à mener dans ce domaine.

Il faut s’attaquer au problème par la base en attirant plus de jeunes vers les filières scientifiques et technologiques, puis en poussant une part significative d’entre eux vers le numérique. Il faut ensuite mettre à profit leur expertise de haut niveau, sanctionnée par des diplômes de master et au-delà, pour construire les prochaines révolutions numériques en évitant la captation des compétences par les Google, Apple, Facebook, Amazon et Microsoft (GAFAM) et les Baidu, Alibaba, Tencent et Xiaomi (BATX). Sans combattants, nous ne mènerons pas la bataille pour la souveraineté numérique.

Nous devons en second lieu diriger notre action sur les infrastructures critiques, dont un certain nombre sont bien connues. On met généralement en avant les moyens de calculs en tant qu’exemple d’infrastructure numérique clé, ce à quoi je souscris entièrement. S’y ajoutent, de mon point de vue, les infrastructures logicielles, moins palpables et moins aisément visualisables que celles que nous avons l’habitude de considérer comme critiques (routes, télescopes, etc.). Concrètement, il s’agit de systèmes d’exploitation, c’est-à-dire de ce qui rend intelligents les terminaux et les smartphones. Nous avons largement abandonné ce terrain au fil du temps, si bien que quelques acteurs dominants du numérique, tels que Google ou Apple, contrôlent aujourd’hui en grande partie les terminaux et leurs fonctionnalités, à travers Android et iOS. Il faudra absolument réinvestir dans ce domaine.

Les boîtes à outils permettant d’œuvrer dans le domaine de l’Intelligence artificielle fournissent un autre exemple d’infrastructure critique. Pour manipuler des données ou utiliser des algorithmes qui leur apportent de la valeur, il faut des plateformes logicielles. Quelques-unes sont disponibles en open source au niveau mondial. Autour d’elles se constituent des écosystèmes de développeurs de logiciels, de formations et d’entreprises créatrices de valeur.

Bien que ces boîtes à outils soient en open source, celui qui les maîtrise maîtrisera du même coup l’écosystème entier, qu’il pourra orienter dans telle direction plutôt que telle autre, en ayant accès au vivier de compétences. PyTorch fait partie de tels écosystèmes. Facebook y assume un rôle clé. TensorFlow en est un autre et, là, c’est Google qui y joue un rôle majeur. La France a la chance de disposer d’une telle boîte à outils avec Scikit-learn, développée par l’Inria. Il apparaît capital de continuer à soutenir son développement pour rester dans la course. Sinon, demain, ces écosystèmes de compétences en entreprise et de nouvelles perspectives technologiques offertes par l’Intelligence artificielle, passeront entièrement sous le contrôle d’autres acteurs.

Je donnerai un autre exemple d’infrastructure logicielle critique : le futur du web, qui repose sur des technologies logicielles que l’on désigne en général par le vocable de standards ouverts du web. Ces technologies, déterminantes du point de vue de l’interopérabilité, assurent la capacité de naviguer sur la toile. Un certain nombre de standards fixe ainsi un niveau minimal de sécurité des transactions en ligne.

C’est l’organisme de standardisation W3C Europe (World Wide Web Consortium) créé voici une trentaine d’années, et dont je suis moi-même le président, qui les définit en s’appuyant sur trois piliers technologiques : un au Japon, un aux États-Unis bâti autour du Massachusetts Institute of Technology (MIT), et un en Europe qui regroupe des acteurs de la recherche autour de l’Inria.

L’un des enjeux qui se posent actuellement consiste à garantir dans la durée qu’un consortium chargé d’imprimer une direction à l’avenir du web, et donc de décider des valeurs qui le sous-tendront, demeurera dans un cadre multilatéral ouvert, sans passer sous le contrôle d’une poignée d’entreprises. W3C est appelé à déterminer le niveau d’interopérabilité du web et à y imposer des normes en matière de sécurité ou de respect de la vie privée.

De la capacité à mener une politique d’infrastructures logicielles critiques dépend tout le reste. C’est elle qui drainera en effet les talents et les entreprises. Le numérique et sa valeur se construisent autour du logiciel. Pour citer l’un des grands investisseurs de la Silicon Valley, Marc Andreessen : « le logiciel dévore le monde ».

En résumé, celui qui maîtrise les infrastructures logicielles critiques maîtrise l’ensemble de la chaîne de valeur. Le problème vient ici en partie de ce qu’en Europe, l’importance du logiciel n’a, historiquement, pas toujours été clairement perçue.

M. Philippe Latombe, rapporteur. Plusieurs de nos auditions ont porté sur les données de santé. Vous avez vous-même évoqué les algorithmes utilisés dans le domaine de la santé. Faudrait-il nous doter d’un système de validation de tels algorithmes, sur le modèle de ce qui existe déjà pour les médicaments ? Est-il nécessaire de s’en préoccuper dès aujourd’hui ? A-t-on besoin d’une loi pour encadrer ces algorithmes de santé ?

Ces questions valent pour la santé, mais elles pourraient très bien s’appliquer, à terme, à l’Intelligence artificielle. J’ai conscience que ma question porte sur un point très précis mais je profite de nos récentes auditions sur ce thème pour vous la soumettre, puisque vous l’avez mentionné.

M. Bruno Sportisse. Votre question dépasse à mon sens le cadre strict de la santé. Elle revient à s’interroger sur ce que recouvre la notion d’IA de confiance : des algorithmes certifiés, prouvés, validés, s’insérant dans des chaînes de traitement de la donnée. Il faut garder en tête le continuum entre les données disponibles et les algorithmes qui évoluent, justement, en fonction de ces données disponibles et apprennent grâce à elles. C’est l’ensemble de cette chaîne de traitement continue, où l’on assiste à des allers-retours, des échanges et des adaptations entre algorithmes et données, qu’il convient de certifier.

La notion d’IA de confiance s’étend à tout un outillage et à la possibilité de s’appuyer sur des tiers de confiance pour garantir les résultats. Elle englobe aussi des normes et un cadre mis en place par le législateur. Ceci dit, il faut prendre garde, vu la plasticité du numérique et sa rapide évolution, à ne pas lui imposer de règles trop rigides au risque d’empêcher la naissance de l’innovation. C’est là toute la difficulté que pose le numérique : il faut à la fois l’encadrer par souci de transparence, sans pour autant étouffer l’innovation, puisque c’est sur elle qu’il repose, autant que sur la confiance.

Ma réponse s’est éloignée du cadre strict de la santé, dans la mesure où votre question allait elle-même bien au-delà.

M. Philippe Latombe, rapporteur. Pour en revenir aux talents et aux compétences, où doit commencer notre effort ? Les initiatives prises à l’école, au collège, au lycée vous paraissent-elles suffisantes ? Où s’enracine le problème ? Comment amorcer un cercle vertueux qui nous permettrait de disposer des talents et des compétences nécessaires ? Vous paraît-il urgent d’intervenir dès maintenant dans certains domaines ? Quelles actions faudrait-il selon vous mettre en place à moyen et à long terme ?

M. Bruno Sportisse. La question porte sur le flux de compétences qui alimentera l’enseignement supérieur, organisé sous la forme d’une pyramide, dont le sommet correspond aux diplômes les plus élevés.

Elle se pose dans un premier temps pour la base de cette pyramide, qui correspond à ce que les Anglo-saxons appellent Science, technology, engineering, and mathematics (STEM) et que nous désignons par le vocable de « sciences dures ». Tout part du nombre de jeunes de l’enseignement secondaire intéressés par les sciences et technologies, où le numérique fait figure de thématique interdisciplinaire liée à nombre d’autres domaines. C’est la désaffection durable des jeunes pour les sciences et technologies qui doit nous interpeller.

L’Inria s’est engagé voici un an et demi auprès du ministère de l’éducation nationale, de la jeunesse et des sports, par un protocole d’accord que j’ai moi-même signé, dans un programme intitulé « Un scientifique - une classe : chiche ! ». L’Inria le pilote avec d’autres partenaires (universités et acteurs de la recherche). Son objectif est que, d’ici trois ou quatre ans, l’ensemble d’une classe d’âge parvenue en seconde ait eu l’occasion d’échanger avec un ou une scientifique (éventuellement ingénieur) du numérique afin de donner le goût des sciences et technologies par le biais, et dans l’intérêt du numérique.

Le programme vise notamment les jeunes filles. Des statistiques montrent qu’elles pratiquent une forme d’autocensure ou, du moins, témoignent d’une désaffection plus marquée pour ces disciplines scientifiques.

On pourrait penser a priori que l’Inria s’éloigne avec ce programme de sa zone de légitimité. Je ne le crois pas, puisque la priorité doit aller à l’élargissement de la base de cette pyramide de compétences. Ce programme est le premier du genre mis en place depuis ma prise de fonction. Nous avons identifié son objectif de sensibilisation en milieu scolaire comme une préoccupation fondamentale, dont découlera le reste.

Il reste des actions à mener à d’autres niveaux de la pyramide, par exemple, celui des masters dans les domaines touchant aux mathématiques appliquées et à l’informatique. Les entreprises engagées dans la transformation numérique ont, bien entendu, un énorme besoin de talents. Prenons pour hypothèse que, la base de la pyramide une fois élargie, les jeunes poursuivront, en plus grand nombre, un master. Si on ne peut pas garantir qu’une partie de ces diplômés s’engageront dans des travaux de recherche parce que les entreprises, ne pouvant se passer d’eux pour mener à bien leur transformation numérique, les attireront tous à elles, alors nous ne parviendrons jamais à préparer les prochaines révolutions du numérique.

Ce segment du marché du travail connaît une très forte tension. Je ne dis surtout pas qu’il faudrait dissuader des jeunes de rejoindre le monde de l’entreprise. J’ai moi-même été directeur général délégué d’une entreprise de taille intermédiaire du secteur médical en pleine transformation numérique. L’arrivée de talents dans le tissu industriel français relève d’une nécessité vitale. Voilà d’ailleurs pourquoi il faut que tant d’étudiants intègrent des masters. Seulement, si certains d’entre eux ne poursuivent pas une carrière dans la recherche, nous ne serons jamais prêts pour les prochaines évolutions du numérique, qui se renouvelle en permanence.

Si, à un niveau supérieur encore de la pyramide, tous les chercheurs sont happés par les grands acteurs internationaux des nouvelles technologies disposant d’une force de frappe académique comparable, si ce n’est supérieure, à celle de nombreux pays et du secteur public de la recherche, nous ne pourrons pas, là non plus, rester dans la course. Il faut prendre d’autres mesures encore pour que le monde de la recherche continue d’attirer durablement à lui des talents.

Voilà pourquoi je recours à l’image de la pyramide : si la base n’en est pas assez large, des difficultés s’ensuivront à tous les niveaux. Voilà pourquoi aussi il faut mener des politiques dans la durée. Gravir tous les échelons de cette pyramide prend une dizaine d’années. Il s’agit en somme de mener un combat sur le long terme impliquant quantité de parties prenantes : l’enseignement secondaire et supérieur mais aussi les entreprises nationales convaincues de l’importance de disposer d’un vivier de talents et d’être accompagnées par des forces académiques. Des alignements collectifs seront nécessaires.

Venons-en maintenant à la formation continue. Beaucoup d’entreprises du secteur des nouvelles technologies sont déjà parfaitement capables de sélectionner des personnes dotées d’un bagage scientifique (pas nécessairement numérique) pour les former à l’ingénierie du numérique. Nous devons de notre côté mettre en place des programmes similaires, sans parler de la formation continue de ceux qui travaillent déjà dans le numérique, un domaine en constante et rapide évolution, où il faut donc s’adapter en permanence. On le voit : la formation continue apparaît comme un domaine clé.

Ces enjeux de formation sont inscrits dans notre contrat d’objectifs et de performance. L’Inria s’intègre complètement aux dynamiques des universités qui, outre leur rôle de premier plan en matière de recherche, ont une totale légitimité à intervenir dans ces domaines. Les standards internationaux constituent en effet un lien entre recherche et formation de ce point de vue.

M. Philippe Latombe, rapporteur. J’entends bien qu’alimenter la base de la pyramide prendra du temps. Pour autant, voyez-vous, dans l’immédiat, des lacunes à combler parmi les compétences et les talents sur lesquels nous devons nous appuyer ? La mise en place de la politique que vous appelez de vos vœux prendra entre une dizaine et une quinzaine d’années. Repérez-vous dès aujourd’hui des compétences qui nous manqueraient et justifieraient que l’on organise des formations accélérées au cours des deux ou trois années à venir, voire que l’on fasse venir en France des talents à même de nous aider à franchir un cap difficile ?

M. Bruno Sportisse. Je ne pense pas qu’il nous manque des compétences spécifiques dans tel ou tel domaine. Nous devons mener une politique d’attractivité du territoire. Nous y œuvrons notamment dans la première version du plan Intelligence artificielle, au travers d’une action portée par l’Inria et qui s’intitule « Choose France ». Elle consiste en pratique, et nous l’assumons, à cibler les talents que nous attirons en France.

Il ne me semble pas pertinent de chiffrer précisément des besoins en cybersécurité, en Intelligence artificielle, en cloud ou encore en robotique, car le numérique touche à de multiples domaines. On note parfois une tendance à le segmenter alors qu’il s’intègre à d’autres champs de compétences. Les grands acteurs des nouvelles technologies américaines ont, eux, bien en tête les implications, en termes de commerce et d’affaires, des dynamiques scientifiques et technologiques du numérique. Je n’ai donc pas envie de cibler telle ou telle sous-partie du numérique, de telles découpes m’apparaissant le plus souvent artificielles.

En résumé, il convient de mener dès aujourd’hui, ce que nous faisons d’ailleurs, des actions inscrites dans une dynamique internationale en vue de l’implantation en France de talents et de compétences. Des actions de formation continue, souvent perçue comme le parent pauvre de l’enseignement en France, sont également en cours. J’ai déjà évoqué l’initiative de l’Inria en la matière. Il faut savoir inventer, avec des entreprises, des actions pour que des compétences scientifiques puissent évoluer vers des compétences numériques. Je suis extrêmement impressionné par les programmes mis en place dans cet esprit par certains grands éditeurs de logiciels, qui transforment des physiciens, des chimistes ou encore des mécaniciens désireux de changer de branche en développeurs et en ingénieurs du numérique.

Il me paraît par ailleurs important de ne pas s’en tenir à l’idée d’un mur à construire. C’est à mes yeux le flux qui compte. J’ai conscience que tout le monde ne partage pas ma position, mais je ne m’inquiète pas particulièrement d’une fuite des cerveaux, de la recherche publique, vers d’autres acteurs. Il me semble surtout crucial de veiller au maintien constant d’un flux entrant. Il est normal qu’il existe en contrepartie un flux sortant et aussi un flux de mobilité au bénéfice d’un tissu industriel, que j’espère en premier lieu français puis européen. Ce n’est pas en élevant des cloisons que nous résoudrons le problème mais en augmentant les flux, qui devront atteindre un équilibre entre les entreprises et la recherche publique. Les positions que celles-ci partagent apparaissent, dans ce contexte, déterminantes. Plusieurs dispositions récentes, telles que la loi relative à la croissance et à la transformation des entreprises (loi PACTE), facilitent heureusement leur entente.

M. Philippe Latombe, rapporteur. Au sujet de la formation continue, vous avez rappelé que des éditeurs de logiciels sélectionnent des scientifiques aux profils divers pour en faire des développeurs. Vaut-il mieux les laisser agir indépendamment les uns des autres ou vous paraît-il préférable de structurer leurs initiatives ?

M. Bruno Sportisse. Il faut selon moi structurer la filière. Des programmes comme ceux que vous évoquez me semblent une bonne chose. Il ne m’en paraît pas moins bon de les organiser plus systématiquement.

Le sens de ma remarque était que, puisque de grands éditeurs de logiciels parviennent à mener à bien des actions de formation continue, alors il doit être possible de généraliser leurs efforts.

M. Philippe Latombe, rapporteur. La population dispose-t-elle aujourd’hui, selon vous, d’un niveau de connaissances suffisant sur le numérique ? Le terme de fracture numérique a d’abord une acception territoriale, mais n’observe-t-on pas aussi une fracture au niveau des usages et de la compréhension du numérique ?

M. Bruno Sportisse. Je suis entièrement d’accord avec vous. Une politique de souveraineté repose à mon avis sur une dynamique d’innovation, qui repose elle-même sur des viviers de compétences et sur la capacité à comprendre ce que sont les infrastructures technologiques critiques. Il faut aussi s’appuyer sur un consensus politique et citoyen à ce sujet.

C’est en tout cas ce qu’a montré l’année qui vient de s’écouler dans le contexte très particulier de la crise sanitaire. J’ai déjà eu l’occasion de m’exprimer, lors d’auditions devant le Parlement, sur les outils numériques mis en place à cette occasion. Je songe au projet TousAntiCovid que l’Inria a eu l’honneur de piloter auprès de la direction générale de la santé. Il a été mis en œuvre dans un contexte de souveraineté de la politique sanitaire. Il faut être capable de déterminer dans quelles conditions on déploie un tel outil et selon quels paramètres, en s’appuyant sur l’expérience tirée de la gestion de la crise par la France. L’adoption de ces outils par la population s’avère évidemment décisive. On ne peut construire de la souveraineté technologique que sur la base d’un consensus politique et citoyen, c’est-à-dire, qu’à condition que les enjeux du numérique soient bien perçus.

Il faut comprendre ce qu’est le web et ce qui se joue derrière, qui le contrôle et ce qui se passe dans un smartphone. Il faut aussi mesurer l’enjeu du respect de la vie privée et ce qui se cache derrière les mots pompeux de gouvernance algorithmique. Le numérique est présent dans de multiples domaines de la vie quotidienne. Nous avons parlé du rôle des algorithmes dans la santé. Il est capital de savoir qui les détermine. En somme, il faut communiquer sur les enjeux du numérique et les arracher à la sphère de ceux qui détiennent le savoir, à la sphère technologique. Le numérique s’immisce aujourd’hui dans les moindres aspects de notre vie. Qu’est-ce qui se joue à travers le choix d’un outil de visioconférence ? Qu’est-ce qu’implique le recours à Zoom ? Le partage des enjeux du numérique, qui fait désormais partie du quotidien des entreprises et intervient jusque dans les politiques publiques, doit déboucher sur leur compréhension pour que la notion de souveraineté numérique ne s’apparente pas à un bombage de torse ou un concept creux. Elle recouvre en réalité des éléments très concrets.

C’est d’ailleurs la raison pour laquelle, au titre de mes fonctions à l’Inria, suite à un retour d’expérience sur le projet TousAntiCovid, j’ai pris la décision de faire de l’année 2021 celle du dialogue entre les sciences et technologies, et la société, autour du numérique. Je n’aime pas ce terme de dialogue, car les sciences et technologies ne se situent pas hors de, mais bien dans la société. Ceci dit, je n’en dispose pas de meilleur. Voilà en tout cas l’autre pilier de la construction d’une souveraineté technologique, en plus d’une politique d’innovation menée en cohérence avec des acteurs industriels et l’État.

Il reviendra ensuite à la société d’opérer des arbitrages, selon l’importance qu’elle attachera à l’autonomie stratégique et aux enjeux associés. Quoi qu’il en soit, le partage des enjeux du numérique et la compréhension de ce qu’il signifie ne me semblent pas complètement étrangers à la question de la sensibilisation en milieu scolaire évoquée tout à l’heure. Il faut sortir ces problématiques d’un cercle de spécialistes et des milieux d’affaires et dissiper les écrans de fumée dont les entourent certains acteurs du numérique.

La société m’y paraît aujourd’hui préparée. Voici dix ans, dans d’autres fonctions, j’ai été frappé par l’idée fort répandue, jusque dans les états-majors, que le numérique se résumait à une affaire de tuyaux. Le milieu entrepreneurial n’était pas forcément conscient alors qu’avec le numérique se jouaient la maîtrise de la chaîne de valeur, les modèles économiques des entreprises, la relation au client, les cycles d’innovation et de conception des produits et des services, et jusqu’aux politiques en matière de ressources humaines. Voici dix ans, soulever la question du numérique renvoyait encore à une simple consultation avec la direction des services informatiques.

Nous sommes évidemment sortis de cette situation. Il faut étendre une telle évolution au reste de la société, faute de quoi nous ne parviendrons jamais à un consensus sur le sens à donner à la notion de souveraineté numérique. Ce terme pour l’heure encore assez vague n’est pas exempt de connotations péjoratives, à en juger par les dernières tentatives de l’affirmer, pas vraiment couronnées de succès.

Il me paraît fondamental de lui donner une signification, dans la vie quotidienne, qui permette d’en mesurer les enjeux.

M. Philippe Latombe, rapporteur. La France a fait avec TousAntiCovid (à l’origine StopCovid) un choix singulier, la distinguant de certains de ses voisins européens. Existe-t-il des divergences en Europe, aussi bien dans la définition de la souveraineté que dans une forme de soumission (ou de refus de soumission) ou encore dans le développement de solutions ? La France a choisi de se passer des briques iOS et Android, contrairement à d’autres pays. Un tel choix vous semble-t-il révélateur et, si oui, de quoi ? Faut-il en déduire que nous peinerons en Europe à nous accorder sur une vision commune de ce type de sujets ?

M. Bruno Sportisse. La problématique de la souveraineté touche à la volonté politique et la capacité aussi bien de parvenir à un consensus citoyen et politique sur l’ensemble des enjeux que de se donner les moyens de ses ambitions. TousAntiCovid l’illustre parfaitement. Des acteurs industriels et des instituts de recherche s’y sont impliqués ensemble. Ils disposaient des moyens de réaliser leurs ambitions. Celles-ci étaient certes limitées car, dans le cas contraire, nous ne débattrions pas de souveraineté numérique. Cela étant, sans recherche, notamment sur les protocoles ayant permis la création de StopCovid, aucune application mobile n’aurait vu le jour.

La souveraineté numérique suppose donc d’avoir investi dans une politique de recherche et d’innovation. Je répondrai donc à votre question en vous confiant mon sentiment qu’une telle ambition existe bel et bien au niveau européen.

En vertu d’un hasard du calendrier, ce matin a été officiellement lancé le Conseil européen de l’innovation (European Innovation Council, EIC), qui existait en réalité depuis déjà deux ans à l’état de prototype. J’ai l’honneur de siéger à son conseil consultatif et il se trouve que j’ai pris part à sa conception, voici deux ans et demi, dans une mission que m’avaient confiée les ministres Frédérique Vidal, Bruno Le Maire, Mounir Mahjoubi et Florence Parly, à la suite du discours du Président de la République, dit de la Sorbonne, où il appelait de ses vœux la création d’une agence européenne de l’innovation.

Ce Conseil européen de l’innovation assume parfaitement son positionnement d’outil de la souveraineté technologique européenne, selon une ambition d’ailleurs rappelée par les commissaires ou la présidente de la Commission européenne. Le Président de la République, dans son allocution, ce matin, a lui aussi parlé de souveraineté technologique au travers de la planification technologique.

La volonté d’une souveraineté numérique existe selon moi. Seulement, elle doit s’incarner dans des projets concrets. Une période de crise sanitaire ne fournit pas le contexte le plus favorable pour la traduire sereinement dans la réalité et dans la durée. Ceci passera par des actions très concrètes. Nous avons évoqué le plan de relance et l’informatique quantique. Qu’adviendrait-il, en termes de cybersécurité, au cas où un ordinateur quantique verrait le jour ? Il n’est pas envisageable que la France ou l’Europe quittent la course engagée pour garder la maîtrise d’outils de cybersécurité. Il faut s’attaquer à un tel enjeu au niveau français, en coordination avec des partenaires européens.

J’ai évoqué un peu plus tôt les infrastructures logicielles de l’IA. Elles aussi doivent figurer sur des feuilles de route technologiques conçues avec des partenaires européens. Le lancement d’un Conseil européen de l’innovation apporte déjà, en soi, un élément de réponse. En assumant sans ambiguïté l’importance des technologies et des feuilles de route technologiques, il prouve notre capacité à avancer sur de vrais projets.

M. Philippe Latombe, rapporteur. Vous ne souhaitez peut-être pas répondre à ma question, mais, selon vous, pourquoi la France n’a-t-elle pas réussi à entraîner avec elle dans les projets StopCovid ou TousAntiCovid au moins quelques-uns des pays qui l’entourent ? Cet échec s’explique-t-il par l’urgence générée par la crise sanitaire ? Le temps nous aurait-il manqué de soulever toutes les questions voulues et de bâtir ensemble un projet convaincant ? Ou, au contraire, une volonté existait-elle, chez les Allemands notamment, d’opter pour des solutions différentes ?

M. Bruno Sportisse. Je rappellerai d’abord que StopCovid et TousAntiCovid reposent sur des technologies franco-allemandes issues d’un important projet mené au titre d’un programme européen, monté en quelques jours, avec l’ensemble des acteurs européens, autour d’une collaboration de l’Inria avec l’institut Fraunhofer-Gesellschaft. Les protocoles qui en ont résulté sont donc issus de travaux de scientifiques français et allemands.

Par la suite, plusieurs gouvernements souverains ont résolu de privilégier d’autres solutions. Une multiplicité de facteurs sont entrés en jeu. Le contexte d’une crise sanitaire, contraignant à prendre, en l’espace de quelques jours ou semaines, des décisions de poids, ne prédisposait pas à un tel exercice. Par ailleurs, il ne m’appartient pas de commenter les décisions prises par chaque pays. Il me paraît plus intéressant de poser la question à froid, ce pourquoi j’ai rebondi sur le terme de planification technologique employé par le Président de la République dans son discours en honneur du lancement de l’EIC.

Il faut que de grandes feuilles de route technologiques prennent en compte les enjeux que nous devrons affronter au cours des années qui viennent. Celui de l’informatique quantique prendra sa pleine mesure d’ici cinq à dix ans. Quand on parle d’IA de confiance sans se contenter d’effets d’annonce un peu creux, il faut bien songer que se tiennent derrière des socles technologiques et des chaînes de traitement des données couplées à des algorithmes maîtrisés de bout en bout. Des normes et des standards devront encadrer ces technologies. N’oublions pas non plus que les systèmes de détection en cybersécurité, dont nous devrons nous équiper avec nos partenaires, reposent sur des infrastructures logicielles.

La nécessité d’établir des feuilles de route communes sur ces sujets a, selon moi, bien été perçue. Des partenariats se mettront en place, car la volonté d’y parvenir est présente. Les acteurs à mobiliser sont déjà là. Il est enfin admis que parler de souveraineté technologique et de technologie, et des modes d’intervention requis pour la garantir ne revient pas qu’à se gorger de grands mots.

Envoyer une fusée sur la lune ou construire une bombe nucléaire résulte de démarches que nos pays ont été capables de mener à bien lors des cinquante dernières années, et qui se prêtent parfaitement à la planification telle qu’on se la représente d’ordinaire. Le numérique n’obéit pas aux mêmes dynamiques. La planification technologique du numérique s’inscrit dans des logiques d’écosystème où les démarches spontanées, entrepreneuriales et les écosystèmes ouverts jouent un rôle clé.

Il n’en convient pas moins de l’organiser, même si on ne recourra pas pour cela aux mêmes outils que pour envoyer une navette dans l’espace ou mettre au point un dispositif d’armement. Il est d’autant plus impératif d’ordonner la planification technologique qu’elle mobilise une pléthore d’acteurs (de la recherche, de la formation, des start-up, des entreprises, sans compter les usagers) mal coordonnés.

Les feuilles de route bilatérales et multilatérales relatives à des objets technologiques clairement identifiés prennent dès lors une extrême importance. Vous avez évoqué tout à l’heure la stratégie européenne en matière d’Intelligence artificielle. Nous avons fait le choix à l’Inria d’un partenariat stratégique avec un acteur allemand, le DFKI (Deutsches Forschungszentrum für Künstliche Intelligenz GmbH - Centre de recherche allemand sur l’Intelligence artificielle). Nous recourons dans ce cadre à tous les types d’action à notre portée en vue du développement de ces feuilles de route conjointes. Il faut à mon avis aller jusqu’à s’accorder sur une feuille de route technologique autour des infrastructures logicielles critiques que j’ai évoquées plus tôt.

M. Philippe Latombe, rapporteur. On nous informe, ces derniers temps, d’un nombre accru de cyberattaques et surtout de leur niveau technologique de plus en plus avancé. A-t-on suffisamment pris en compte, dans l’espace économique français et européen, la menace qu’elles représentent ? Vous semble-t-il que les entreprises ont intégré ces possibilités de cyberattaques à leur plan de risque, de manière à investir en conséquence ? Ou estimez-vous qu’il reste encore des progrès à accomplir dans ce domaine ?

M. Bruno Sportisse. Je sortirais de ma zone de légitimité en émettant un avis définitif sur ce sujet. L’Inria est engagé dans un partenariat étroit avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI). La cybersécurité a été le premier des axes stratégiques de développement de l’institut identifié. Nous avons annoncé, M. Guillaume Poupard, le directeur général de l’ANSSI et moi-même, à l’occasion du dixième anniversaire de l’agence, le lancement d’équipes-projets conjointes, ce qui prouve l’intensité de notre collaboration.

Un plan cybersécurité, incarnant une stratégie d’accélération de la cybersécurité, a été annoncé voici quelques semaines. Il repose sur diverses actions portées par l’ANSSI, dont la constitution d’un campus cybersécurité, à l’issue de la mission de M. Michel Van Den Berghe, le dirigeant d’Orange Cyberdefense. Une perspective d’écosystème le sous-tend. Un plan de recherche est en cours d’élaboration. Son pilotage a été confié à l’Inria, au CEA et au CNRS. Il mobilise en tout cas beaucoup d’acteurs, ce qui prouve l’existence d’un mouvement en ce sens.

Quant à savoir si, au cours des cinq ou dix dernières années, la menace des cyberattaques a suffisamment été prise en compte, je ne suis pas habilité à en juger. Je constate en revanche une dynamique extrêmement forte, incluant aussi bien les acteurs de la recherche que les entreprises de toutes tailles, ce qui nous ramène à la question du vivier de compétences.

Il faut pouvoir compter sur des personnes formées à la cybersécurité pour diffuser les technologies et les savoir-faire associés dans toutes les organisations concernées.

M. Philippe Latombe, rapporteur. Comment voyez-vous le rôle d’innovation des GAFAM et leur volonté de promouvoir le développement des nouvelles technologies du numérique, aussi bien en interne que par le biais d’acquisitions ? Faut-il y voir une réelle menace ? Par quel moyen, si ce n’est contrôler ces GAFAM, en tout cas parvenir à un équilibre ?

M. Bruno Sportisse. Vous soulevez la question des écosystèmes. L’emporte dans le numérique, celui qui parvient à construire un écosystème alimenté par des flux : de compétences, comme je l’évoquais tout à l’heure, et de start-up, dans la mesure où une start-up constitue un excellent vecteur technique d’innovation.

Très souvent, un tel écosystème se structure autour d’infrastructures logicielles. Les GAFAM, qui maîtrisent parfaitement ces dynamiques, disposent de leurs propres écosystèmes et y piochent les outils, les talents et les start-up nécessaires au développement de nouveaux produits ou services à commercialiser.

Voilà ce que nous devons à notre tour maîtriser : les ingrédients, les mécanismes de l’innovation dans le numérique – d’où l’importance du renouvellement de nos pratiques dans la durée – et des politiques publiques en faveur de l’innovation. C’est d’ailleurs en vue de la construction d’un écosystème qu’a été lancée la French Tech ou encore qu’a été créé l’EIC, afin de partager le risque au niveau européen. Les stratégies d’accélération du plan de relance vont dans le même sens. Nous devons éviter toute solution de continuité et tout cloisonnement, si nous voulons disposer de véritables écosystèmes technologiques. Par ailleurs, il ne faudrait pas qu’ils soient rythmés par des appels à projets au financement public. Un écosystème doit suivre sa propre dynamique, sur laquelle s’accordent l’ensemble de ses acteurs.

On ne construit pas la souveraineté numérique à coups d’appels à projets, mais grâce à des écosystèmes opérationnels non cloisonnés. Les outils d’intervention de l’État revêtent une importance capitale. Bpifrance a de ce point de vue assumé un rôle majeur ces dernières années par le financement d’écosystèmes où les start-up jouent un rôle clé et dont les acteurs doivent comprendre la nécessité d’une proximité avec les acteurs de la recherche et les universités, de même que celle d’identifier les nouveaux concepts et les équipes dotées de fortes compétences autour de start-up.

Ceux qui ne comprendront pas cette mécanique éprouveront des difficultés à avancer dans le numérique.

Je trouve personnellement que les outils d’intervention français et européens ont très bien évolué dans la durée. Mon propos ne se veut pas lénifiant. Je souhaite seulement faire observer que la dynamique a bel et bien été enclenchée. Reste à voir comment les politiques initiées évolueront au fil du temps. C’est une question de constance. Nous n’en disposons pas moins de tous les ingrédients nécessaires.

M. Jean-Michel Mis. Ma question s’apparente à un constat. Depuis le discours de la Sorbonne, nous voyons qu’une dynamique s’est bel et bien amorcée, comme l’illustrent les annonces de ce matin à propos de l’Agence européenne de l’innovation.

J’aimerais que l’on revienne sur vos propos concernant les acteurs systémiques (GAFAM et BATX) et la possibilité, grâce à l’important fonds de l’agence européenne, de toucher plutôt les start-up ou scale-up à l’origine d’une technologie de rupture susceptible, par un effet d’entraînement, de changer la situation actuelle.

Quel regard portez-vous de ce point de vue sur la feuille de route française ? Nous assumerons la présidence de l’Union européenne au 1er janvier prochain. Est-il encore possible de franchir un palier, au-delà de l’agence, en vue d’une synergie entre souverainetés française et européenne ? Nous comptons en revendiquer notre part en proportion de ce que représentent nos écosystèmes. Comment voyez-vous cette volonté de financer en priorité les deep tech porteuses d’innovations de rupture, dans l’espoir, si ce n’est de combler notre retard, de trouver de nouveaux relais de croissance basés sur des modèles économiques nouveaux ? Estimez-vous la France capable d’incarner une doctrine relative aux enjeux de la souveraineté ?

M. Bruno Sportisse. Il existe une profonde cohérence entre tous ces éléments, d’où mon emploi du terme de planification technologique, utilisé ce matin par le président Emmanuel Macron. Les start-up sont des vecteurs. Ce qui compte, c’est la feuille de route globale qui porte sur quelques grandes technologies. Un travail colossal a été réalisé autour de DigitalEurope au niveau européen. Au niveau français, d’importants efforts ont été consentis au travers du plan de relance. Il en va de même dans d’autres pays. Il faudra bien sûr articuler un effort tel que notre plan de relance avec la feuille de route DigitalEurope et ses instruments comme l’EIC. Tout ceci se joue dès aujourd’hui.

Pour prendre l’exemple de l’Intellligence artificielle, nous avons avancé sur la version 1 de la stratégie nationale en la matière. Une version 2 est en cours d’élaboration. L’un des enjeux n’en est autre que la création de liens avec des partenaires européens. Il faut s’engager à suivre des feuilles de route technologiques conjointes, c’est-à-dire à livrer des résultats concrets dans un horizon de quelques années.

Il ne faut pas se contenter, je m’excuse de revenir encore là-dessus, de réagir à des appels à projets communautaires, mais pouvoir s’appuyer sur tout un écosystème.

Soucieux d’inscrire son action dans le long terme, l’Inria multiplie actuellement les partenariats avec d’autres organismes européens. Se contenter des interventions publiques comporte le risque de l’opportunisme. Les sommes débloquées pour le numérique sont colossales. Un décideur politique doit être en mesure de distinguer ce qui relève de stratégies opportunistes d’accès au financement (dont tous les chercheurs ont besoin), de l’engagement, selon des feuilles de route, d’acteurs coordonnés en faveur de la souveraineté.

Vous avez raison, M. le député, de soulever ce point : nous vivons une année difficile néanmoins intéressante à plus d’un titre. Elle apparaît comme une année charnière, à l’issue de laquelle la présidence de l’Union européenne reviendra à la France au premier semestre 2022, ce qui nous ouvre bien des perspectives. Il faudra d’autant mieux s’y préparer que le rôle moteur de la France dans le domaine numérique est bien connu.

M. Jean-Michel Mis. Vous parliez également de coopération et des implantations régionales de l’Inria. Pourrait-on, selon vous, imaginer, dans les thématiques que nous évoquons, des coopérations interrégionales, ou estimez-vous absurde de réfléchir à l’échelle de bassins géographiques, sachant que nous devons veiller à l’intégrité de nos territoires et ne pas nous contenter, pour cette raison, de quelques « silos » implantés en région parisienne ?

Comment envisager des coopérations de haut niveau qui ne soient pas uniquement politiques, c’est-à-dire qui ne suscitent pas seulement de l’intérêt pour l’innovation ou les ambitions que nous nous fixons en termes de souveraineté ? Peut-on envisager des collaborations réellement pertinentes en Europe en matière de recherche et d’innovation, permettant le maintien, sur l’ensemble des territoires, de ces enjeux technologiques ?

M. Bruno Sportisse. Les cadres de coopération possibles sont multiples. Des enjeux se mélangent, liés à la formation, à la mobilité des talents, aux programmes de recherche, sans parler des enjeux industriels relatifs aux plateformes technologiques. Même si tous sont liés, ils obéissent à des dynamiques subtilement différentes.

La dynamique qui porte l’informatique quantique peut-elle s’épanouir autrement que dans un cadre planifié ? Je ne crois pas trop à la pertinence de la notion de territoire par rapport à cette dynamique précise.

Cela étant, la notion de souveraineté numérique recouvre un tel nombre d’enjeux que les outils de coopération incluent de fait ceux que vous évoquez, dont certains sont d’ailleurs déjà en place. Ainsi, en matière de coopération transfrontalière, le centre Inria de Nancy a noué des partenariats avec d’autres acteurs de la recherche en Sarre, autour de la cybersécurité notamment.

Quoi qu’il en soit, il n’existe pas de recette unique concernant le numérique, où prévaut simplement un plan général supposant le recours à différents vecteurs d’action.

M. Philippe Latombe, rapporteur. Vous viendrait-il à l’esprit d’autres sujets que nous devrions aborder dans notre mission d’information ?

M. Bruno Sportisse. Il me semble que nous avons fait le tour des thématiques auxquelles touchaient vos questions. Je vous enverrai par écrit mes réponses à la partie de votre questionnaire que nous n’avons pas abordée, à propos du rôle de l’Inria et du numérique dans la réponse à la crise sanitaire, au-delà du projet TousAntiCovid. Nous avions mis en place des modes de fonctionnement intéressants en matière de souveraineté.

Audition, ouverte à la presse, de MM. Jean-Claude Laroche, vice-président, et Henri d’Agrain, délégué général, du Club informatique des grandes entreprises françaises (Cigref) (18 mars 2021)

Présidence de M. Philippe Latombe, rapporteur.

M. Philippe Latombe, président et rapporteur. Nous auditionnons M. Jean-Claude Laroche, vice-président du Club informatique des grandes entreprises françaises (Cigref) et président du cercle cybersécurité de ce dernier, ainsi que directeur des systèmes d’information (DSI) du groupe Enedis. M. Henri d’Agrain, délégué général du Cigref, appartient en outre à la Commission supérieure du numérique et des postes (CSNP), à titre de personnalité qualifiée.

Le Cigref est une association fondée en 1970 par Pierre Lhermitte, dans le but de promouvoir les échanges entre les grandes entreprises et les administrations publiques sur les enjeux du numérique. Il regroupe 150 membres, privés et publics. Il porte, avec d’autres acteurs, le French GAIA-X Hub, dont la première réunion plénière s’est déroulée le 22 janvier dernier.

Je souhaite vous poser trois questions et, pour commencer, une question rituelle de la mission : que recouvre la notion de souveraineté numérique ? Depuis la crise sanitaire, ce sujet fait l’objet d’une attention croissante de la part des pouvoirs publics. Je souhaiterais donc savoir comment le Cigref aborde cette question.

Vous êtes particulièrement mobilisés pour que la France, et surtout l’Europe, sortent de l’« excès d’angélisme » dont elles ont pu faire preuve par le passé, pour citer votre président, M. Bernard Duverneuil. Je suis intéressé par les priorités du Cigref et votre analyse des différentes initiatives européennes dans ce domaine.

Dans un deuxième temps, je souhaite échanger avec vous sur la numérisation des entreprises. Sous l’angle de la demande, quelles sont les attentes et les difficultés des entreprises françaises, mais aussi européennes ? L’offre est-elle en adéquation ? Nous parlerons notamment du cloud et de l’initiative GAIA-X. Nous sommes ouverts à toute proposition permettant d’encourager le recours à des solutions et à des matériels souverains.

Enfin, j’aimerais aborder l’enjeu de la cybersécurité sur lequel le Cigref est en veille constante. L’actualité est marquée par la révélation régulière de cyberattaques et la crise sanitaire a donné une visibilité nouvelle à cette menace qui devient de plus en plus sophistiquée. Je voudrais connaître vos attentes vis-à-vis des fournisseurs de service, mais aussi des pouvoirs publics. Nous avons pleinement conscience que la question cyber est un enjeu de confiance, de sécurité et de coût pour les entreprises, en particulier lorsqu’elles sont victimes d’attaques.

Je souhaite également vous entendre sur le volet formation aux savoirs et aux compétences numériques que nous mettons au cœur de nos travaux, avec des cycles d’auditions qui commenceront dans les jours qui viennent.

M. Jean-Claude Laroche, vice-président du Club informatique des grandes entreprises (Cigref). La souveraineté numérique est, depuis plusieurs années, un sujet d’intérêt pour le Cigref. C’est une question qui fait débat au sein même du Cigref, entre ses différents membres, puisque les grandes entreprises adhérentes ont souvent une activité à l’échelle de la planète, partout dans le monde. La question de la souveraineté ne se pose donc pas de la même manière selon que nous regardons uniquement le périmètre du territoire national ou plus largement l’ensemble de la planète où nous pouvons exercer nos activités.

Pour les entreprises, être souverain signifie réussir à maîtriser ses choix et son avenir dans le domaine numérique. Cela suppose de disposer de composants numériques qui soient auditables et maîtrisés :

– auditables. Cela signifie, lorsque nous avons une relation contractuelle avec des fournisseurs de solutions, de services ou de systèmes numériques, que nous avons besoin de savoir si ces produits ou systèmes répondent à un certain niveau de sécurisation, ce qu’ils font, mais aussi parfois comment ils sont fabriqués par nos fournisseurs ou prestataires.

– maîtrisés. Cela signifie, lorsque nous faisons appel à une solution, que nous sommes très attentifs à ce que celle-ci fasse ce que nous souhaitons et ne fasse pas ce que nous ne souhaitons pas qu’elle fasse, et ce dans la durée.

Voilà comment nous définissons notre capacité à maîtriser les solutions numériques que nous utilisons.

Du point de vue des grandes entreprises et des administrations adhérentes du Cigref, la situation est aujourd’hui une situation d’extraordinaire dépendance. Nous sommes dépendants de toutes sortes d’acteurs et de solutions qui, très souvent, ne sont pas européennes. C’est vrai dans le domaine des logiciels. Typiquement, nous utilisons des systèmes d’exploitation tels que Windows, de Microsoft, et des suites bureautiques de Google ou de Microsoft comme Microsoft Office, Word, Excel, etc. Ces solutions sont américaines. Le moteur de recherche très souvent utilisé est Google. Il en va de même pour les outils de communication, comme vous le voyez bien vous-même, puisque vous utilisez pour la mission sur la souveraineté le produit Zoom. Nous disposons aussi de solutions comme Teams, BlueJeans, Verizon ou Skype, qui sont américaines. Notre dépendance est presque totale.

En ce qui concerne les matériels, la situation n’est guère plus brillante dans la mesure où, par exemple, nos data centers sont très souvent constitués de composants américains. Les routeurs dont sont munis les data centers de nombre de nos adhérents sont souvent de marque Cisco. C’est également vrai pour le matériel qui équipe les bureaux. Les ordinateurs personnels sont souvent fabriqués en Chine, avec des composants américains conçus et parfois développés en Israël.

Est-ce un problème pour notre capacité à maîtriser nos systèmes numériques ? Oui, c’est un problème notamment sur deux volets.

Le premier volet est une certaine fragilité dans la protection de nos informations. Plus nous faisons appel à des solutions tierces, notamment à des solutions développées dans des pays extra-européens et qui sont soumis à des juridictions extra-européennes, plus la protection des informations qui circulent dans ces composants techniques ou dans ces solutions représente un problème pour nous.

Le second volet concerne la supply chain. Au moment de la pandémie, par exemple, un certain nombre de nos adhérents se sont demandé s’ils réussiraient à s’approvisionner en masse en ordinateurs portables pour assurer le passage en télétravail massif des salariés de leurs organisations.

La fragilité de la supply chain et celle de la protection de l’information constituent donc deux questions majeures pour les adhérents du Cigref.

Vous pouvez me dire que ces questions concernent les entreprises, mais qu’elles ne sont pas vraiment des questions de souveraineté. Comment abordons-nous, au Cigref, la question de la souveraineté ? Pour nous, la souveraineté est avant tout un attribut des États, plus que des entreprises. La souveraineté est a priori la capacité des États à exercer leur pouvoir sur une zone géographique donnée et une population donnée mais, évidemment, l’espace numérique est un espace particulier. En effet, la notion de territorialité dans l’espace numérique est différente de celle de l’espace physique. Les notions de frontière n’existent pas, ou pas de la même manière, et je ne parle même pas des questions d’identité. La question de l’identité numérique est une question en tant que telle.

Nous nous sommes donc interrogés pour savoir ce que nous pouvions entendre par souveraineté numérique. Pour nous, la base de l’exercice de la souveraineté dans l’espace numérique est la capacité à assurer la sécurité des biens et des personnes qui fréquentent l’espace numérique, la capacité à assurer la sécurité des activités légales des entreprises et des administrations publiques. Nos adhérents, clairement, ont besoin d’être en sécurité lorsqu’ils utilisent le cyberespace. Ils ont besoin que les autorités nous assurent que nous exerçons nos activités en sécurité, c’est-à-dire que les autorités garantissent l’ordre public dans cet espace. Au fond, les grandes entreprises et les administrations adhérentes du Cigref ont besoin que le cyberespace soit un espace de droit, dans lequel on fasse respecter le droit.

De notre point de vue, il existe un déficit dans la capacité des États – de l’État en France, mais pas seulement – à assurer cette sécurité dans le cyberespace. La capacité des États à assurer une forme de souveraineté sur l’espace de leurs propres ressortissants utilisant le cyberespace est clairement en retard par rapport à la rapidité du développement des usages du numérique et l’augmentation du niveau de dépendance de nos entreprises et de nos économies à l’égard du numérique. Nous avons besoin que les pouvoirs publics développent les outils de la puissance publique pour garantir cette base qu’est la sécurité de l’exercice de nos activités dans l’espace numérique. Cela suppose évidemment une volonté politique.

Dans quelle mesure la crise sanitaire a-t-elle modifié la perception que nous avons de la notion de souveraineté et de nos besoins dans ce domaine ? La crise sanitaire a un peu bouleversé la donne sur deux sujets et d’abord celui des usages. Elle a provoqué une explosion des usages du numérique dans tous les domaines. Cette tendance concerne aussi bien les étudiants qui suivent leurs cours au moyen des outils numériques que les personnes qui ont besoin d’un ordinateur pour accéder aux services de l’administration et parfois même tout simplement pour faire des courses et se faire livrer. Nous avons aussi constaté une explosion du télétravail et il faut des outils numériques pour télétravailler. Nous avons donc besoin de faire transiter de l’information, parfois sensible, à travers des réseaux et des systèmes qui nous permettent de travailler à distance.

Sur le plan des technologies, cette évolution a mis en évidence la centralité du cloud, de l’informatique en nuage, pour pouvoir exercer son activité depuis n’importe quel terminal, depuis n’importe quel lieu, à n’importe quel moment. C’est le cloud qui le permet en termes d’infrastructures. Il s’ensuit le besoin urgent d’un cloud de confiance pour les grandes entreprises et les administrations françaises, de sorte que nous puissions travailler à distance, sur la base d’infrastructures partagées dans le cloud et en toute sécurité.

Que signifie un cloud de confiance ? Volontairement, nous ne parlons pas de cloud souverain, puisque toutes sortes de technologies peuvent se trouver dans un cloud, y compris des technologies américaines, israéliennes… Nous avons essayé de définir un cloud de confiance, d’abord comme un cloud immune au droit extra-européen. Typiquement, il ne faut pas qu’un juge d’un pays extra-européen puisse s’appuyer sur la législation de son État pour aller regarder les données hébergées dans le cloud d’une entreprise qui serait considérée comme extra-européenne et appartenant à cet État.

Deuxièmement, un tel cloud doit être sécurisé avec tout ce que cela suppose en matière de cybersécurisation.

Troisièmement, un tel cloud doit permettre d’entretenir une relation de confiance avec le prestataire du cloud, c’est-à-dire répondre à des besoins de réversibilité – la capacité à récupérer ses données et à les porter ailleurs, dans un autre cloud, pour faire jouer la concurrence – ainsi qu’offrir une véritable portabilité des données et une auditabilité de la solution.

Un tel cloud de confiance permettrait d’héberger également des solutions collaboratives de grands hyperscaleurs américains. Pour nous, le fait que le cloud ait ces caractéristiques ne signifie pas qu’il n’héberge pas de solution extra-européenne ; il pourrait héberger n’importe quel type de solution, mais en les protégeant suffisamment pour que nous soyons assurés, en utilisant ce cloud, de la relative immunité des données qui s’y trouvent.

Nous exprimons également des besoins dans d’autres domaines pour accroître une certaine forme de souveraineté, c’est-à-dire de maîtrise de l’espace numérique. L’État en France pourrait être beaucoup plus volontariste dans la promotion de l’open source. Il offre des solutions parfois tout à fait compétitives comparées aux solutions des grands éditeurs de logiciels, y compris dans le domaine des suites bureautiques. Ces solutions sont utilisées par l’administration, mais il faut en faire une véritable promotion pour que les acteurs autres que les acteurs publics s’en emparent, les utilisent, les apprécient, aident à les améliorer, y compris dans les communautés de développeurs. La promotion de l’open source constitue une des voies qui nous permettrait de limiter notre dépendance à l’égard des grands acteurs extra-européens en matière de solutions logicielles.

Je prends un exemple : nous sommes sur Zoom aujourd’hui. Comment imaginer que, avec de très grandes entreprises de services numériques comme nous en avons sur le territoire national, nous ne soyons pas capables, au niveau national ou européen, de développer une grande solution de visioconférence qui soit largement partagée et utilisée ? Cela nous interroge.

Pour les grands acteurs, la visioconférence est un outil de pénétration auprès de l’ensemble de la population. Tout le monde a besoin d’une visioconférence aujourd’hui. Pour un acteur tel que Microsoft ou Verizon, s’imposer comme ayant la solution la plus facile à utiliser, la meilleure est un vecteur de pénétration extraordinaire et, pour nous, c’est un vecteur de dépendance extraordinaire. Au même titre que l’État a fait un gros effort pour TousAntiCovid, pourquoi ne pas avoir fait l’équivalent pour la visioconférence ?

D’autres aspects nous permettraient d’améliorer notre souveraineté, comme la protection de nos pépites. Nous avons quelques entreprises qui sont de véritables pépites et qui, malheureusement, se vendent au plus offrant pour se développer. Elles se vendent souvent à des acteurs extra-européens.

Je prends deux exemples récents. J’ai été personnellement frappé de voir le rachat de l’entreprise Sentryo par Cisco. Sentryo était spécialisée dans la cybersécurisation des systèmes d’information industriels. Cisco a proposé à Sentryo en la rachetant un financement lui permettant de développer ses activités, mais celles-ci ne sont plus françaises ou européennes. Plus récemment, Alsid qui est également une vraie pépite spécialisée dans la sécurisation des annuaires, des composants sensibles de nos systèmes d’information, a été rachetée par Tenable, une société américaine. La question de la protection et du financement de nos start-up offrant des solutions innovantes touche donc pour nous à la souveraineté.

Enfin, pour reprendre un peu de maîtrise des questions matérielles dans le domaine du numérique, il faut pour nous repartir de la base : l’industrie du microprocesseur. Il faut savoir si, au niveau européen, il y a aujourd’hui matière à relancer une industrie du microprocesseur pour ne pas laisser l’exclusivité de ces domaines à Israël, aux États-Unis et à la Chine.

Si nous voulons partir à la reconquête d’une certaine forme de souveraineté dans le domaine du numérique, nous pensons qu’il nous faut un véhicule pour ce faire. Nous l’avons fait à la Libération dans le domaine du nucléaire avec le Commissariat à l’énergie atomique. Pourquoi ne pas créer un organisme porteur des enjeux de recherche et développement dans le domaine du numérique ? Il nous permettrait de déterminer dans quels domaines nous voulons investir fortement, de tirer l’ensemble de l’écosystème numérique français et européen autour d’un certain nombre de choix d’investissements lourds. Notamment, si nous voulons redevenir présents dans le domaine des microprocesseurs, cela nécessiterait un véhicule pour y réfléchir et agir.

En introduction, vous avez parlé de la cybersécurité. La sécurisation du cyberespace repose pour nous sur quatre piliers :

– la cybersécurité elle-même, pour laquelle le plan d’accélération cyber de l’État va dans la bonne direction ;

– des questions de police et de justice pour appréhender les cybercriminels, et il nous semble que les moyens de la police et de la justice dans ce domaine ne sont pas à la hauteur du niveau des attaques et des menaces ;

– la question de la lutte informatique offensive et de son articulation avec la cybersécurité, de façon à neutraliser les cybercriminels et avoir la capacité d’aller les chercher pour détruire leur activité. C’est pour nous une prérogative des États, donc un volet de la souveraineté ;

– la sécurité des produits et services commercialisés partout, alors qu’ils ne disposent parfois d’aucun label permettant de s’assurer que ces produits et systèmes ne sont pas vulnérables ou potentiellement utilisables dans le cas d’attaques cyber.

Des textes européens ont été publiés récemment, notamment le Digital Markets Act (DMA) et le Digital Services Act (DSA). Le Cigref n’a pas vraiment étudié le DSA, qui n’est pas directement dans ses préoccupations. Nous avons davantage travaillé sur le DMA.

Enfin, les besoins de formation sont criants en nombre. Pour former beaucoup plus, il faut intéresser les jeunes gens et les jeunes filles au numérique, y compris très tôt dans les écoles. Les promotions actuellement formées dans ce domaine sont extraordinairement déséquilibrées, essentiellement masculines.

M. Philippe Latombe, rapporteur. Vous avez dit que la souveraineté est l’apanage des États et non des entreprises. En revanche, n’est-ce pas tout de même celui des entreprises, dès lors qu’elles doivent travailler avec des données à caractère personnel, notamment à la lecture des arrêts de la Cour de justice de l’Union et du Règlement généralsur la protection des données (RGPD) ? Cette souveraineté ne devient-elle pas une obligation pour les entreprises dès qu’il s’agit des données personnelles ?

M. Henri d’Agrain, délégué général du Cigref. Il ne s’agit pas de séparer les responsabilités des entreprises de la responsabilité des États en matière de souveraineté. Pour le Cigref, lorsqu’une entreprise se pose la question de sa propre souveraineté, le premier point concerne la maîtrise de ses dépendances et le deuxième l’utilisation de solutions maîtrisables et auditées. C’est le cœur de la souveraineté vue d’une entreprise.

En revanche, lorsque les entreprises disent que la souveraineté est d’abord un attribut des États, elles pensent à celui qui dispose de la compétence de régulateur et doit assumer ses responsabilités. Il s’ensuit, bien entendu, pour les entreprises, des obligations réglementaires, légales. Il ne s’agit pas de contester leur responsabilité pour traduire dans leur fonctionnement les obligations réglementaires qui s’imposent à elles, notamment dans le domaine des données personnelles.

M. Jean-Claude Laroche. S’agissant du RGPD, nous appliquons un texte qui s’impose à nous, mais dont nous ne sommes pas les initiateurs. Discuter, voter, promulguer et faire appliquer un texte de cette nature est de la responsabilité des États et du législateur, non des entreprises. En revanche, les entreprises ont la responsabilité de se mettre en conformité avec le texte, et c’est ce que nous essayons de faire.

M. Philippe Latombe, rapporteur. L’invalidation du Privacy Shield par la Cour de justice de l’Union nécessite-t-elle une clarification sur un certain nombre de sujets ?

M. Jean-Claude Laroche. Nous sommes dans une zone d’incertitude extrêmement préjudiciable à nos activités. Typiquement, un DSI comme moi devant héberger des données personnelles et voulant faire appel à une solution américaine aurait, depuis l’invalidation du Privacy Shield, de démontrer que la protection des données par l’entreprise extra-européenne choisie est au moins du même niveau que celle imposée sur le territoire européen par le RGPD. Toutefois, la relation contractuelle que peut avoir un adhérent du Cigref avec un hyperscaleur comme Amazon Web Services, Microsoft ou Google est une relation du faible au fort. Il est évident que, même avec le maximum de « blindage juridique », il est extrêmement difficile de démontrer que Google exercera sa propre activité, dans ses propres data centers, sur un territoire extra-européen, dans des conditions me permettant, à moi DSI d’une entreprise française, de garantir que le niveau de protection des données est équivalent à celui du RGPD.

Cette invalidation transfère aux responsables des entreprises françaises une responsabilité qu’ils ne sont pas capables d’assumer et pour laquelle ils ne disposent pas des outils juridiques qui leur permettraient d’être sereins.

Les entreprises qui avaient déjà hébergé des données à caractère personnel dans des clouds américains se trouvent dans une espèce de vide juridique avec des risques pour elles. De notre point de vue, cette situation mérite une clarification et plonge dans l’insécurité les entreprises potentiellement utilisatrices de solutions dans des clouds extra-européens.

M. Henri d’Agrain. L’invalidation du Privacy Shield a plongé l’ensemble de nos adhérents, qu’il s’agisse des entreprises publiques ou privées, dans une situation de grave insécurité juridique. Nous avons posé plusieurs fois la question aux autorités publiques, tant françaises qu’européennes, pour demander une analyse de risque de la situation et l’élaboration de recommandations pour les entreprises. Les quelques recommandations que nous avons pu obtenir, notamment de la part de la Commission nationale informatique et libertés (CNIL), ne sont pas rassurantes sur la capacité des entreprises à les mettre en œuvre.

M. Philippe Latombe, rapporteur. Au niveau européen, des recommandations sur la protection des données ont été émises récemment. Ne vous suffisent-elles pas aujourd’hui ? Avez-vous besoin de clarifications supplémentaires ?

M. Henri d’Agrain. Absolument.

M. Jean-Claude Laroche. C’est l’une des raisons pour lesquelles le Cigref met autant d’énergie à animer les réflexions liées à GAIA-X, d’une part, et, d’autre part, à promouvoir l’idée qu’il faut aller rapidement vers un cloud de confiance. Nous ne pouvons pas rester durablement dans cette situation. Le cloud est l’instrument du numérique d’aujourd’hui et de demain. Il faut pouvoir l’utiliser de manière sereine, en se disant que les données mises dans le cloud sont suffisamment protégées. Nous avons besoin d’une offre industrielle qui permette d’assurer un niveau de confiance suffisant dans le cloud. Ce niveau de confiance n’existe pas aujourd’hui et le niveau d’insécurité a augmenté avec l’invalidation du Privacy Shield.

M. Philippe Latombe, rapporteur. Nous avons auditionné deux des trois plus grands clouders américains, Amazon Web Services (AWS) et Google. Les deux ont tenu des propos extraordinairement rassurants, expliquant à quel point ils étaient intégralement en conformité avec la réglementation et ne comprenant pas pourquoi nous nous posions encore des questions.

Nous avons même eu la semaine dernière une interprétation d’IBM nous disant : « Nous ne sommes pas américains, nous sommes français puisqu’IBM France est une société de droit français. »

AWS et Google nous ont confirmé que, pour eux, toute filiale européenne des groupes américains était soumise au Cloud Act comme tout le monde. Cette analyse générale, était la nôtre. En revanche, ils nous ont dit et redit ne pas comprendre pourquoi nous posions la question de zones d’incertitude.

M. Henri d’Agrain. Le 16 juillet dernier, la Cour de justice de l’Union européenne n’a pas invalidé le Privacy Shield au titre du Cloud Act, mais au titre de l’article 702 du Foreign Intelligence Surveillance Act (FISA).

Cela n’a rien à voir avec le Cloud Act Lorsque des entreprises comme IBM vous disent être immunes face au Cloud Act, ce n’est pas vraiment le problème, notamment pour des entreprises globales. Les entreprises globales qui ont des activités aux États-Unis sont de toute façon américaines aux États-Unis et donc soumises directement à la réglementation américaine. Le principal problème pour les entreprises provient de réglementations très intrusives comme l’article 702 du FISA, ainsi que l’a très justement reconnu la Cour de justice de l’Union européenne.

M. Jean-Claude Laroche. D’autres législations américaines sont susceptibles de poser de graves problèmes à nos adhérents. Le Foreign Corrupt Practices Act (FCPA) permet à un juge américain de rechercher des échanges de mails entre personnes d’une même entreprise pour, par exemple, convaincre de corruption quelqu’un qui, arrivant sur le territoire américain, se ferait arrêter sans même comprendre pourquoi. Ce type de pratique plonge les dirigeants de nos entreprises dans une insécurité majeure.

M. Henri d’Agrain. C’est à ce titre que les adhérents du Cigref estiment qu’une partie significative de leurs données nécessitent des outils de confiance pour être hébergées et traitées dans le cloud. Ce ne sont pas uniquement des données personnelles, mais des données de toutes natures, stratégiques, financières, commerciales, contractuelles ou relevant de la propriété intellectuelle, de la recherche et développement.

Ces offres d’hébergement ne sont malheureusement aujourd’hui pas disponibles sur le marché. C’est pourquoi nous faisons la promotion du cloud de confiance auprès des pouvoirs publics, de nos partenaires européens et de l’Union européenne, dans le cadre de GAIA-X. Nous avons la conviction que le cloud ne constitue plus une technologie parmi d’autres, mais la technologie qui commande toutes les autres.

Les autres technologies, qu’il s’agisse du edge computing dont la Commission européenne parle beaucoup, de la 5G, de la 6G, de l’intelligence artificielle ou le quantum computing, se développeront de toute façon sur le cloud et ce dernier les commande.

Si la France et l’Europe veulent restaurer une forme de souveraineté, il faut commencer par se doter des fondements de ce qu’est le numérique : des processeurs souverains et un cloud souverain.

M. Philippe Latombe, rapporteur. Où en sommes-nous aujourd’hui de la numérisation des entreprises, en France et en Europe ? Sommes-nous au bon niveau d’offre ?

M. Jean-Claude Laroche. La numérisation des entreprises s’est considérablement accélérée ces dernières années. Il est difficile de dire, dans l’absolu, si nous sommes au même niveau que d’autres. Dans certains domaines, je pense que nous sommes plus avancés que d’autres et, dans d’autres domaines, cela dépend des entreprises. Certaines ont pris du retard mais, de façon générale, la numérisation des entreprises progresse. D’ailleurs, le Cigref accompagne ses adhérents, depuis plusieurs années, dans une numérisation rapide de leur activité.

La numérisation des activités tertiaires est très avancée chez les adhérents du Cigref. Nous nous situons maintenant dans une vague de rapprochement entre les technologies de l’information et l’informatique industrielle, qui était auparavant plutôt réservée à des systèmes propriétaires, à des systèmes dédiés. Nous assistons à une convergence et à une numérisation des activités industrielles sensibles.

Cette numérisation de tous les secteurs d’activité de nos entreprises et de nos administrations, y compris les activités sensibles, pose la question de la cybersécurisation de ces activités et de la résilience de nos économies.

Nous ne sommes pas en retard, loin s’en faut. Par exemple, en matière de déploiement des comptages communicants, nous sommes plutôt en avance.

M. Philippe Latombe, rapporteur. Quand une entreprise – petite et moyenne (PME), très petite (TPE) ou de taille intermédiaire (ETI) – veut se numériser, dispose-t-elle du bon niveau d’offres ? Trouve-t-elle des solutions qui lui permettent d’avoir une réflexion complète sur sa numérisation, en intégrant la question de la cyber ?

M. Henri d’Agrain. Le Cigref s’exprime pour ses 150 adhérents, qui sont essentiellement de grandes entreprises françaises du CAC 40 et du SBF 120, ainsi que de très grandes administrations publiques françaises. Il réserve ses activités à des acteurs qui ont des effets d’échelle et d’importance particulièrement élevés. Nous avons peu de visibilité sur les produits qui existent pour les PME, TPE et ETI.

M. Jean-Claude Laroche. La réponse que je vous ai donnée sur le niveau de numérisation des entreprises portait sur nos adhérents.

M. Philippe Latombe, rapporteur. Je vous pose la question, car un certain nombre de PME ou d’ETI sont des sous-traitants ou des fournisseurs importants de vos entreprises. Cette numérisation, qui peut leur être imposée, ou être rendue nécessaire par vos relations commerciales avec ces sous-traitants, n’ouvre-t-elle pas des brèches, en termes de sécurité, chez vos adhérents également ? Cette descente de la numérisation chez vos fournisseurs, qui n’est pas forcément accompagnée de la réflexion globale nécessaire, peut-elle créer des brèches dans la cybersécurité ?

M. Jean-Claude Laroche. Il est certain qu’un des éléments de fragilité de nos adhérents provient de leurs relations avec l’ensemble des acteurs qui les entourent, notamment leurs prestataires ou fournisseurs qui n’ont pas forcément le même niveau de sécurisation. C’est une évidence.

Au Cigref, nous considérons que nous avons une responsabilité, y compris dans les clauses contractuelles que nous mettons en place dans nos conditions générales d’achat, pour aider à hausser le niveau de sécurisation de l’ensemble du paysage autour de nous.

Les adhérents du Cigref commencent malgré tout par essayer de se soigner eux-mêmes : l’effort consenti ces dernières années, notamment en matière budgétaire, a été essentiellement concentré sur les systèmes d’information internes. Maintenant, petit à petit, nous étendons le champ des prérogatives, en particulier au travers de nos relations contractuelles.

Pour autant, vous avez raison. Le fait que la sécurisation de l’ensemble de l’écosystème soit liée à la sécurisation des maillons les plus faibles constitue l’un des facteurs de risques majeurs en matière de cybersécurité.

M. Philippe Latombe, rapporteur. Disposez-vous de suffisamment de personnes de talent pour répondre à l’ensemble de vos besoins ? Sinon, comment les trouvez-vous aujourd’hui ?

M. Jean-Claude Laroche. Avons-nous des personnes de talent ? La réponse est oui. En avons-nous assez ? La réponse est non. Le marché des personnes ayant un haut niveau de qualification dans le domaine de la cybersécurité est extrêmement tendu et, pour certains types de compétences, les éléments de rémunération ont tendance à augmenter fortement, ce qui n’est qu’une traduction de la rareté de ces compétences.

Pour arriver à la hauteur de ce qui serait nécessaire, des efforts multiples s’imposent, depuis la création d’écoles cyber internes à nos adhérents jusqu’au travail effectué avec l’ensemble des acteurs de la formation pour qu’apparaissent les formations dont nous avons besoin et, surtout, qu’elles soient suivies par un nombre de personnes suffisant pour alimenter ensuite nos besoins.

Nos besoins sont déjà importants en situation courante mais, si une attaque systémique atteignait une vingtaine de grands acteurs français et qu’il fallait reconstruire des systèmes d’information, chez ces vingt acteurs majeurs, simultanément, la France serait en difficulté pour trouver les compétences nécessaires.

M. Henri d’Agrain. Les propos de M. Jean-Claude Laroche sur les compétences dans le domaine de la cybersécurité traduisent un déficit beaucoup plus large des compétences dans les métiers du numérique.

Nous sommes présents au niveau européen dans des groupes de travail sur les compétences digitales. Il ressort des différentes informations dont nous disposons que la Commission européenne estime qu’il manquera à l’horizon 2025 entre 500 000 et 700 000 praticiens du numérique à différents niveaux de formation.

Dans les métiers du numérique, nos adhérents constatent une difficulté croissante à accéder aux meilleurs talents sur un marché mondialisé où ces derniers peuvent arbitrer, et non nécessairement en faveur du pays qui les a formés. Nous constatons une fuite des talents de haut niveau hors de France et d’Europe.

Les entreprises sont par ailleurs assez attentives à la baisse progressive du niveau de formation, en tout cas des exigences académiques pour des ingénieurs à bac+5 en sciences dures – mathématiques, physique – et il faudrait que la France soit attentive à ne pas baisser le niveau d’exigence de la formation des ingénieurs, notamment ceux orientés vers les métiers du numérique. Cela concerne toute la chaîne et il faut également « embarquer » des enfants. Par exemple, le nombre d’élèves qui choisissent, en fin de seconde, la spécialité « Numérique et sciences informatiques (NSI) » est assez faible et très peu de filles figurent parmi eux. De plus, l’une des trois spécialités de première est abandonnée en terminale et, en fin de première, cette spécialité NSI ne se trouve pas en bonne position. Or ce sont ces étudiants qui, à travers Parcoursup, choisiront ensuite les voies de formation des métiers du numérique dans l’enseignement supérieur.

Toute la chaîne n’est pas suffisamment performante au profit de l’ensemble de ces métiers qui représentent les métiers de demain. Le nombre de filles est catastrophique et la tendance se dégrade même encore. Nous avons actuellement 15 % de femmes dans les métiers du numérique au sens large et, dans l’enseignement supérieur, elles sont à peine 10 ou 12 %. La mixité des métiers du numérique se dégradera donc mécaniquement. Il faut vraiment faire des efforts.

Soyons bien clairs : nous n’atteindrons pas la souveraineté numérique sans compétences pour porter tous ces enjeux. La formation est un enjeu majeur pour restaurer en France et en Europe une certaine souveraineté numérique.

M. Philippe Latombe, rapporteur. Nous sommes déjà en retard dans certains domaines du numérique. Pensez-vous que, pour certaines technologies d’avenir, dans lesquelles nous sommes peu ou pas présents, en termes de recherche ou de développement, nous devrions investir assez vite ? Les entreprises en auront besoin. Si nous prenons du retard, nous nous retrouverons demain dans la même situation que celle que nous connaissons aujourd’hui dans le cloud, avec des acteurs étrangers.

M. Henri d’Agrain. En matière de recherche, la France n’est en général pas en retard. En revanche, elle prend du retard, d’abord, dans sa capacité à peser sur les organismes de normalisation où la France et l’Europe sont trop peu présentes au regard de la présence de la Chine par exemple. L’entrisme dont Huawei a fait preuve au sein des organismes de normalisation de la 5G est absolument extraordinaire. La France n’est pas suffisamment présente dans ces organismes, par exemple pour l’intelligence artificielle.

Le second point concerne la capacité à développer les résultats de la recherche et développement en investissant, d’où cette idée d’un équivalent du commissariat à l’énergie atomique, capable d’articuler la recherche pour préparer l’avenir et les investissements pour mettre en œuvre ces technologies d’avenir, avec des pendants civils et un pendant sécuritaire autour de la cybersécurité. Ce serait un instrument pour renforcer la capacité de la France à être présente sur l’ensemble du spectre des technologies nécessaires pour assurer cette souveraineté.

M. Philippe Latombe, rapporteur. Vous avez évoqué les exemples de Sentryo et Alsid. Ce savoir-faire existait et, immédiatement, il est capté ou racheté par Cisco ou par un autre opérateur, plutôt américain. Cela signifie-t-il que, en France et en Europe, nous ne sommes pas capables d’empêcher ces pépites de partir et ces acquisitions au sein de la zone France ou Europe ?

M. Jean-Claude Laroche. Nous avons effectivement des personnes extrêmement créatives en France, capables d’apporter des activités nouvelles, de créer des pépites. C’est incontestable. Souvent, ces personnes arrivent à démarrer une activité, y compris à faire financer un premier stade de croissance de leur activité mais, dès qu’elles atteignent une certaine taille, elles n’arrivent plus à trouver matière à se développer suffisamment. Elles se heurtent à quantité d’obstacles.

Très franchement, le code des marchés publics ou la directive 2014-25 relative à la passation des marchés par des entités opérant dans les secteurs de l’eau, de l’énergie, des transports et services postaux induisent des manières d’acheter qui passent par des procédures longues, souvent pas très cohérentes avec la durée de vie de ces entreprises et la nécessité de trouver des marchés assez rapidement. Lorsqu’un marché est passé, ces entreprises deviennent extrêmement dépendantes d’un client, avec parfois des marchés trop gros pour elles. Cette mécanique est peu adaptée en matière d’achats, pour les aider à grandir à un rythme qui leur convienne, avec des niveaux de marché qui leur conviennent.

Elles ont donc du mal à placer leur offre et, de plus, lorsqu’elles veulent se développer et rechercher des marchés à l’international, elles ont beaucoup de mal, au-dessus d’une certaine taille, à lever ces capitaux à cet effet. C’est la raison pour laquelle elles recherchent des financeurs. Il existe dans le monde des entreprises qui « scannent » partout les personnes créant des activités innovantes et elles viennent les racheter ou leur proposer de les racheter.

C’est une difficulté pour nous, si nous nourrissons nos pépites pour qu’elles partent trop rapidement, sans que nous ayons le retour sur investissement pour la collectivité.

Certains pays ont une stratégie consistant à faire grossir les start-up pour qu’elles se revendent, y compris aux Américains ou autres. C’est le cas d’Israël. Toutefois, ils ne le font que lorsque les entreprises ont atteint une taille suffisante, sont au moins des licornes, de sorte que leur valorisation soit suffisante pour rapporter à l’économie du pays qui les a soutenues pendant la phase de croissance. Ils font en sorte que ces entreprises puissent grossir jusqu’au stade de la licorne. Nous avons visiblement un problème de ce côté.

Nous voyons des gens brillants, qui travaillent parfois à l’Agence nationale de sécurité des systèmes d’information (ANSSI) ou chez nous, dans nos propres entreprises, aller créer des spin-off de leur activité, créer une activité utile pour tout le monde. Ils arrivent à la faire grossir un peu et sont rachetés par d’autres. C’est un problème majeur si nous voulons donner à notre pays, et plus généralement à l’Europe, plus de force dans le monde du numérique.

C’est notre analyse en tant que clients. Ce n’est pas le résultat d’un rapport.

M. Philippe Latombe, rapporteur. Qu’attendez-vous aujourd’hui de l’État pour lever ces difficultés ? Quelles sont les mesures urgentes qu’il faudrait prendre ?

M. Jean-Claude Laroche. Nous avons besoin d’un dispositif permettant de mutualiser les besoins en cloud de confiance de la part des administrations et des grandes entreprises, de façon à ce qu’une offre industrielle puisse ensuite se construire. Cette offre industrielle exige, de la part de ceux qui l’apporteront, un engagement de capitaux donc une prise de risques qui n’est possible que s’ils ont un marché.

Nous avons donc besoin d’une mutualisation des besoins en cloud de confiance et d’une promotion de l’open source. Il faut aussi que les entreprises sur lesquelles nous nous appuyons, notamment pour les systèmes d’information essentiels ou les systèmes d’information d’importance vitale, qui sont des pépites nationales, disposent d’une relative protection juridique et ne puissent pas être préemptées trop rapidement par des acteurs américains par exemple. Nous aurions besoin que, dans le code des marchés publics, pour des besoins spécifiques, tels que ceux liés à la cybersécurité, quelques dispositions dérogatoires ou complémentaires au droit de la concurrence nous aident à flécher nos achats et nos investissements vers ces entreprises.

M. Henri d’Agrain. Je crois essentiel que l’État et l’Europe se mettent en mouvement pour réguler la sécurité dans l’espace numérique. Le premier pilier de la cybersécurité a fait l’objet d’un plan d’accélération qui est bienvenu. Il est particulièrement bien adapté me semble-t-il mais il reste trois autres piliers sur lesquels il faut également accroître la capacité de l’État et de l’Europe à réguler :

– la coopération policière et judiciaire pour appréhender, lorsque c’est possible, les cybercriminels ;

– la capacité de l’État à assurer la cyberdéfense en profondeur pour aller neutraliser les cyberattaquants là où ils sont lorsque nous ne pouvons pas les saisir. Si ce n’est pas l’État qui le fait, ce seront des milices privées avec le développement de stratégies de hackback qui ne correspondent pas à ce que les entreprises membres du Cigref peuvent attendre ;

– enfin, il faut développer la régulation de la sécurité des produits et services numériques. À cet égard, j’attire votre attention sur un rapport tout à fait intéressant de l’Organisation de la coopération et de développement économiques (OCDE) sur le renforcement de la sécurité des produits. Ce rapport contient une liste de recommandations pour les politiques publiques.

Assurer la sécurité dans l’espace numérique constitue la première responsabilité en matière de souveraineté des États, au même titre que dans l’espace physique. C’est en assurant ces quatre piliers que l’État en France, les États européens et l’Europe pourront garantir une certaine forme de souveraineté.

M. Jean-Claude Laroche. Nous aimerions que l’État rassemble les grandes entreprises de services numériques pour disposer d’une solution de visioconférence française ou européenne.

M. Philippe Latombe, rapporteur. L’État est parfaitement au courant. Nous avions des systèmes de discussion et d’échange en visioconférence qui n’étaient pas au niveau, mais nous ferons ce qu’il faut.

M. Henri d’Agrain. Vous aviez abordé la question du DMA sur lequel le Cigref est particulièrement engagé. Du point de vue de nos adhérents, c’est une opportunité absolument indispensable pour l’économie européenne. Nous ne travaillons pas seulement pour nos adhérents mais nous pensons que faire en sorte que le DMA permette de maîtriser la dépendance de l’économie européenne par rapport à des offres extra-européennes, aujourd’hui et encore plus demain, est vraiment d’une mission d’intérêt général. Il ne s’agit pas d’évincer les offres extra-européennes mais de maîtriser les taux de dépendance, la façon dont l’économie européenne sera complètement enfermée par ce type de solution. Si ces solutions ne sont pas européennes, je pense que nous aurons demain de grosses difficultés économiques.

Il faut se projeter à un horizon de dix ans, voir quelles sont les courbes de croissance du recours au cloud et à ces solutions pour soutenir l’ensemble des processus de l’économie, que ce soit pour les grandes, petites ou moyennes entreprises, pour les administrations publiques, locales ou pour l’ensemble de la vie de nos concitoyens sur le territoire de l’Union européenne.

Si nous ne parvenons pas à faire du DMA un instrument de régulation et de maîtrise de ces dépendances, nous serons passés à côté d’un enjeu majeur pour restaurer une forme de souveraineté numérique en Europe.

Audition, ouverte à la presse, de M. Gwendal Le Grand, secrétaire général adjoint de la Commission nationale de l’informatique et des libertés (CNIL) (25 mars 2021)

Présidence de M. Philippe Latombe, rapporteur.

M. Philippe Latombe, président et rapporteur. Nous accueillons aujourd’hui M. Gwendal Le Grand, secrétaire général adjoint de la Commission nationale de l’informatique et des libertés (CNIL), accompagné de Mme Manon de Fallois, juriste au service de la santé et de M. Etienne Maury, juriste au service des affaires européennes et internationales.

La CNIL est une autorité administrative indépendante, créée par la loi Informatique et Libertés du 6 janvier 1978. Elle compte deux cent quinze agents et son collège est composé de dix-huit membres parmi lesquels quatre parlementaires.

La CNIL a pour mission de veiller à la protection des données personnelles contenues dans les fichiers informatiques ou papier, aussi bien publics que privés. Elle rend, en conséquence, un certain nombre d’avis et peut prendre des décisions de sanction en cas de non-respect du cadre juridique. Elle se situe donc au cœur des enjeux de notre mission d’information.

Nous souhaitons avant tout vous entendre sur trois sujets.

En prmier lieu, comment la CNIL se positionne-t-elle vis-à-vis de la souveraineté numérique ? Ce concept comprend de nombreuses définitions et déclinaisons, qui renvoient essentiellement, d’un point de vue juridique, à la capacité des pouvoirs publics à imposer le respect du cadre de régulation existant dans la sphère numérique, afin de protéger les droits et les libertés des citoyens.

Comment envisagez-vous votre action, dans un contexte marqué par le caractère évolutif des technologies numériques et un cadre juridique en mouvement, comme le montrent les différentes initiatives de régulation engagées au niveau européen ?

Nous souhaitons également échanger sur la façon dont les CNIL européennes coopèrent face aux pratiques de certains acteurs comme les GAFAM, qui déjouent largement les frontières nationales.

Notre deuxième questionnement porte sur les conséquences des récentes décisions de la Cour de justice de l’Union européenne (CJUE) sur la protection des données.

Notre mission d’information s’intéresse aux données de santé, dont l’exploitation est à la fois pleine de promesses, en termes d’innovation, et pleine de risques, raison pour laquelle elle est strictement encadrée en droit.

Nous aimerions savoir comment la CNIL se positionne sur ce sujet, notamment vis-à-vis des plateformes de données de santé et de la situation plus spécifique du Health Data Hub.

Nous nous interrogeons également sur les conséquences de la décision Schrems II, qui a invalidé le Privacy Shield, car il crérait une situation juridique insécure pour les entreprises, qui pouvaient transférer leurs données vers des pays tiers, en particulier les États-Unis.

Nous souhaiterions savoir quel regard vous portez à ce sujet et vous entendre sur les enjeux d’extra-territorialité du droit américain, le Cloud Act ou le Foreign Intelligence Surveillance Act (FISA).

Enfin, nous aimerions échanger sur les évolutions souhaitables ou nécessaires pour la CNIL dans ce contexte mouvant. Nous savons qu’elle souhaite intégrer davantage les problématiques de cybersécurité, qui est l’une de ses priorités en matière de contrôle en 2021. Le projet de loi 4D pourrait aussi renforcer l’effectivité du pouvoir de sanction de l’autorité en proposant une procédure simplifiée dans ce domaine.

Identifiez-vous d’autres évolutions souhaitables pour renforcer votre capacité d’agir en faveur de la protection des données, des droits et des libertés des citoyens dans le domaine du numérique ?

M. Gwendal Le Grand, secrétaire général adjoint de la Commission nationale de l’informatique et des libertés (CNIL). Mmes et MM. les députés, Mmes et MM, je suis très honoré d’avoir l’occasion de m’exprimer devant votre mission d’information et je vous remercie, au nom de la CNIL, pour votre invitation.

Je suis accompagné de M. Etienne Maury, qui travaille au service des affaires internationales et européennes, et de Mme Manon de Fallois, qui travaille au service de la santé.

La souveraineté numérique est devenue, en quelques années, un sujet politique majeur et décisif. Depuis sa création, il y a plus de quarante ans, la CNIL a observé comment les innovations technologiques ont progressivement envahi les espaces de la vie privée et de la vie en collectivité, au travail comme dans les entreprises ou les services publics. Le numérique a même modifié la perception de nos frontières, des valeurs de nos sociétés et de notre équilibre économique.

Cette difficulté nécessite de repenser le concept de souveraineté nationale et européenne pour faire face à deux principaux enjeux.

Le premier enjeu est lié à la capacité des États à appliquer leurs normes. En effet, rien de ce qui définit la puissance publique (un territoire, des frontières, des règles) ne fonctionnent en ligne, car Internet n’est pas un lieu, mais un lien dans lequel s’effectue d’innombrables traitements et transferts internationaux de données. La singularité de la révolution numérique tient d’ailleurs au fait que les gisements de données ne se tarissent pas avec le temps. L’usage de données génère de la valeur par leur recoupement, leur agrégation et leur mise en relation.

Le deuxième enjeu est celui de l’éthique. Le « solutionisme technologique » proposé par de multiples acteurs, qui se confrontent sur des marchés, est une tendance forte, qui pourrait nous conduire à subir des choix d’organisation de la vie en société. Le risque réside dans le fait que ces choix soient in fine opérés à notre insu, en dehors des circuits démocratiques traditionnels, et que les nations n’aient plus la capacité d’opérer des choix collectifs.

L’État est mis au défi dans toutes ses facettes d’expert, de stratège, de législateur, de régulateur et de pouvoir exécutif. Face à ce défi, l’intervention de la puissance doit se recomposer autour de leviers robustes, que je vous propose d’explorer au travers du prisme de la CNIL.

Je reviendrai rapidement sur la genèse du Règlement général sur la protection des données (RGPD) et la structuration de la souveraineté numérique, avant de présenter un bilan européen de la protection des données. Je terminerai sur les axes prioritaires à renforcer pour que la CNIL soit à la hauteur des enjeux dans un monde post-Covid. Mon propos répondra ainsi à la plupart de vos questions.

S’il existait un ADN du numérique à l’échelle française ou européenne, il s’agirait de placer la personne humaine au centre de la régulation. Celle-ci a évolué afin de répondre à des défis politiques, économiques et géopolitiques.

S’agissant des défis politiques, l’article premier de la loi Informatique et Libertés de 1978, qui a donné naissance à la CNIL, pose le principe selon lequel l’informatique doit être au service de chaque citoyen et ne porter atteinte ni à une entité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles et publiques. Quarante ans plus tard, cet article premier constitue toujours une boussole.

La loi Informatique et Libertés a également imposé quatre types de nouveaux droits citoyens : les droits d’information, d’opposition, d’accès et de rectification.

À partir des années 1990, des défis économiques surviennent. Avec l’explosion d’Internet, l’Europe se dote d’une directive en 1995, qui reprend les principes de la loi Informatique et Libertés. En 2002, une directive dite « on Privacy » (Vie privée et communication électronique) reconnaît la spécificité du secteur des communications électroniques. Depuis, le contexte économique a beaucoup évolué, avec les GAFAM qui sont devenues hégémoniques et de nombreuses avancées technologiques, comme les objets connectés, les techniques de profilage, de surveillance, les outils de contrôle, les algorithmes et le développement des cyberattaques, qui nourrissent la conscience collective de devoir revoir à la hausse le niveau de protection des données personnelles. Les révélations d’Edward Snowden aux débuts des années 2010 en sont le symbole.

Dans ce contexte, la directive a évolué le 25 mai 2018 en Règlement général sur la protection des données (RGPD), qui s’articule autour de cinq axes majeurs.

Le premier axe est le renforcement quantitatif et qualitatif du droit des personnes, une meilleure explication de la loi Informatique et Libertés, l’apparition de nouveaux droits, comme le droit à l’oubli, le droit à la portabilité et la possibilité de mener des actions de groupe.

Le deuxième axe est la responsabilisation de l’ensemble des acteurs de traitement de données, publiques et privées, sur la base de principes de minimisation de la collecte, de limitation de la durée de conservation et d’obligation de sécurité pour garantir à tout moment le respect du Règlement.

Le RGPD est d’ailleurs fondé sur la notion de risques présentés par les traitements, tant en volume qu’en sensibilité des données. En clair, plus l’acteur est important dans l’écosystème numérique, plus ses obligations et ses responsabilités sont nombreuses

Le troisième axe s’inscrit en contrepartie du précédent, par le renforcement du pouvoir de sanction administrative des différentes CNIL au niveau européen. Les sanctions peuvent aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial d’une entreprise, l’option majeure étant appliquée. La gamme des sanctions est également élargie.

Le quatrième axe est la mise en place d’un nouveau modèle de gouvernance de la régulation, inédit au niveau européen, au travers d’un guichet unique pour les entreprises et d’un guichet unique pour les citoyens. Si l’entreprise n’a qu’un seul interlocuteur, les décisions qui la concernent sont prises selon des principes de consensus et de coopération entre les différentes autorités nationales, afin de prononcer une décision applicable harmonisée à l’échelle européenne. En cas de désaccord entre les autorités, le nouveau Comité européen de la protection des données (CEPD), c’est-à-dire le groupe des CNIL européennes, arbitrera et prendra une décision contraignante vis-à-vis de l’autorité de l’établissement principal.

Le cinquième axe est le RGPD, qui a constitué une première étape décisive dans la souveraineté numérique, grâce à son principe de libre circulation des données sur l’ensemble du territoire de l’Union et son principe inédit d’extra-territorialité, selon lequel il s’applique à tous les acteurs dès lors qu’un organisme cible des citoyens européens. Il ne s’agit pas, pour l’Europe, de se livrer à du protectionnisme, mais d’affirmer un modèle de régulation fondé sur la défense du droit des personnes, héritée de la philosophie humaniste des droits de l’Homme, en vue de générer la confiance indispensable à la réussite de cette politique publique.

En outre, toutes les études récentes montrent une profonde aspiration de maîtrise des personnes sur leurs données. Ainsi, 87 % des Français se déclarent sensibles à la protection des données.

S’agissant des défis d’ordre stratégique, plusieurs modèles de régulation fondamentalement différents s’affrontent à l’échelle mondiale. Le RGPD est devenu un instrument de soft power de diplomatie. Nous constatons un avant et un après 25 mai 2018 au niveau mondial. Des pays ont procédé à la mise à jour de leur cadre national en matière de protection des données, afin de continuer à commercer avec l’Europe. Tel est le cas de la Suisse, du Japon, de la Corée du Sud, du Bénin ou de l’Australie. Des processus législatifs sont en cours dans d’autres pays comme la Tunisie ou le Burkina Faso. Des États ont, pour la première fois, adopté un cadre juridique général de protection des données personnelles comparable au RGPD dans ses principales dispositions. Tel est le cas de la Californie avec le California Consumer Privacy Act (CCPA) adopté en octobre 2018 et entré en application le 1er janvier 2020. Le Brésil a adopté son règlement en 2019. En Inde, la Cour suprême a consacré, en 2017, le droit à la protection de la vie privée comme un droit fondamental. Un projet de loi est en discussion au parlement.

En tout état de cause, le RGPD est un des rares textes dont nous parlons encore trois ans après son adoption, ce qui démontre que les échanges de données personnelles sont au cœur de toutes les discussions politiques au niveau international, au même titre que les règles en matière de concurrence ou de commerce.

Trois ans après la mise en œuvre du RGPD, quel bilan l’Europe peut-elle tirer ?

À l’échelle de la France, la CNIL en a véritablement constaté l’effet. Les citoyens se saisissent de leurs droits lorsque ceux-ci leur sont mieux expliqués. En 2019 et en 2020, nous avons reçu environ 14 000 plaintes, ce qui représente une augmentation de 27 % par rapport à 2018, qui était déjà une année record.

En 2020, la crise sanitaire a fait émerger de nombreux enjeux. Les visites sur le site de la CNIL ont augmenté de 18 % en un an, ce qui témoigne de l’intérêt des citoyens pour ces questions au regard de l’actualité récente. Nous comptons aujourd’hui plus de 24 000 délégués à la protection des données, qui représentent plus de 72 000 organismes. Nous avons reçu près de 6 500 notifications de violation de données personnelles depuis 2018 et près de 1 200 dossiers en 2018, 2 300 en 2019 et plus de 3 000 dossiers en 2020. Ces dossiers permettent à la CNIL d’orienter son action de conseil et de répression et de mieux jouer son rôle dans l’écosystème de la cybersécurité.

En ce qui concerne la répression, la CNIL conduit environ 300 contrôles formels chaque année. Le nombre de mesures correctrices est en constante hausse. Après une période d’actions pédagogiques en 2018, la CNIL a prononcé une quinzaine de sanctions en 2020 (contre huit sanctions en 2019) pour un montant cumulé d’environ 139 millions d’euros.

À l’échelle européenne, la mise en œuvre de nouveaux modèles est clairement enclenchée, avec plus de 1 500 cas transfrontaliers identifiés, 550 procédures de guichet unique lancées avec nos homologues et plus de 190 décisions finales adoptées en application du mécanisme de coopération et de cohérence.

Fin 2020, une première décision contraignante a arbitré un différend entre l’autorité irlandaise et les autorités européennes concernant Twitter. Le CEPD a également ajouté une vingtaine de lignes directrices précisant le RGPD sur des notions essentielles, comme son champ d’application territorial, le ciblage des utilisations sur les réseaux sociaux ou le privacy by design – la protection des données dès la conception – contribuant ainsi à une véritable doctrine européenne en la matière.

À ce jour, la CNIL a prononcé plus de 550 sanctions représentant plus de 300 millions d’euros d’amendes.

Le RGPD a passé le test de la crise sanitaire, en évitant le détournement d’usage des données sensibles tout en se montrant suffisamment souple pour permettre aux États membres de traiter et de partager ce type d’informations dans un contexte exceptionnel.

Ces fondements posés, quels sont les axes prioritaires des années à venir pour renforcer la souveraineté numérique ? Ces axes relèvent de trois domaines : la cybersécurité, la politique industrielle et le cadre législatif européen.

Concernant la cybersécurité, il ne se passe pas un jour sans que ne nous soit signalée une attaque ciblant les réseaux de grands organismes publics ou privés, y compris ceux ayant des moyens financiers importants ou menant des activités particulièrement critiques.

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a traité plus de 200 attaques en 2020 contre 50 en 2019. La plupart du temps, ces attaques prennent la forme de rançongiciels, qui paralysent le système d’information et demandent le paiement d’une rançon pour récupérer l’accès aux données. Ces attaques sont la première cause de recherche et d’assistance auprès du site cybermalveillance.gouv.fr.

La CNIL reçoit des notifications de violation de données. Elle vérifie la sécurité et accompagne les personnes et les PME, tandis que l’ANSSI traite plutôt de grandes failles ou d’actions particulièrement malveillantes.

Le deuxième levier d’action consiste à déployer une politique volontariste pour faire émerger les champions européens du numérique. Le respect de la vie privée et l’intégration du principe de privacy by design sont de véritables avantages concurrentiels pour les acteurs européens qui sauront s’en saisir, car ils répondent aux aspirations actuelles des consommateurs. La sécurité du cloud en est un bon exemple. En dépit de l’échec des premiers clouds souverains, la France défend une solution nationale ou européenne pour abriter les données sensibles et favoriser l’émergence d’un marché de confiance, en ajustant des offres déjà matures pour les mettre en conformité avec les standards de protection des données et de transparence des contrats. La CNIL entend suivre et accompagner ces initiatives, qui offrent une alternative viable aux géants du cloud, tant pour le fournisseur que pour le client.

Un exemple stratégique est l’hébergement des données de santé, qui doit être transféré sous deux ans vers une solution française ou européenne relevant exclusivement de la juridiction de l’Union européenne. Pour la CNIL, ce délai garantit un juste équilibre entre la préservation du droit à la protection des données personnelles et l’objectif de favoriser la recherche et l’innovation dans le domaine de la santé.

Le troisième levier d’action est la préservation de notre ordre juridique européen. La question du transfert des données est devenue prégnante en 2020 et plusieurs décisions législatives d’envergure ont été prises.

L’arrêt Schrems II, rendu le 16 juillet 2020 par la Cour de justice de l’Union européenne, a tout d’abord invalidé le bouclier de protection de données, le Privacy Shield, qui permettrait le transfert de données vers les États-Unis sans formalité supplémentaire. Le CEPD, le groupe des CNIL européennes, et la CNIL se sont emparés de cette décision, afin d’en tirer toutes les conséquences.

La Commission européenne a annoncé, fin 2020, sa stratégie de régulation de l’écosystème numérique européen. Le Digital Market Act (DMA) pose le principe de régulation économique en présentant un certain nombre d’adhérences avec le RGPD en matière d’obligations, d’interopérabilité des données, de transparence des traitements et de consentement explicite des consommateurs pour la mutualisation des données.

Le Digital Services Act (DSA) concerne la responsabilité des plateformes face à la souveraineté de l’État.

Le Data Governance Act (DGA) vise, quant à lui, à définir un cadre européen pour la réutilisation et le partage des données, qu’elles soient personnelles ou non. Ce texte ambitieux constitue le socle d’une future économie européenne de la donnée.

Pour conclure, le contexte actuel offre un alignement assez inédit des intérêts entre notre modèle de gouvernance de la donnée et notre politique industrielle. Il est essentiel que nous parvenions collectivement à nous en saisir pour mener une politique ambitieuse de souveraineté numérique européenne. Le RGPD est un facteur clé de cette ambition.

Je me tiens maintenant à votre disposition pour répondre à vos questions.

M. Philippe Latombe, rapporteur. Nos questions sont nombreuses.

Dans les récents arrêts Schrems de la Cour de justice européenne et la jurisprudence Tele2 Sverige et Prokuratuur, il y a quelques semaines, qu’est-il autorisé et interdit aujourd’hui ? Les addendas ou les spécificités techniques sont-ils suffisants pour assurer la protection des données lorsque nous utilisons les clouds étrangers des GAFAM ? Quelle est la portée de l’extra-territorialité américaine réelle sur les filiales de ces grands groupes en Europe ?

Nous avons interrogé IBM, qui nous a répondu que les jurisprudences Schrems ne lui sont pas applicables en raison de ses filiales en France relevant du droit français. À la même question, Google et Amazon nous ont répondu, la semaine passée, que ces jurisprudences leur étaient évidemment applicables, malgré leurs filiales irlandaises.

Quelle est la position de la CNIL sur les données personnelles classiques et les données personnelles sensibles ? Cette demande émane aussi des entreprises, qui ne savent plus où elles en sont.

M. Gwendal Le Grand. Un avis sur la mise en œuvre de l’arrêt Schrems a été publié assez rapidement par le Comité des CNIL européennes pour consultation publique. Nous travaillons aujourd’hui sur sa version définitive. La CNIL et le CEPD ont également rédigé des questions fréquentes pour répondre aux entreprises.

Cette décision Schrems est cruciale sur trois plans. La Cour a reconnu la validité des clauses contractuelles-types de la Commission européenne comme outil de transfert. Elle a toutefois précisé que pour recourir à cet outil, il appartient à l’exportateur des données de vérifier que la législation applicable à ce transfert dans le pays tiers de destination n’aboutit pas à affaiblir le niveau de protection des données. À défaut, des mesures supplémentaires doivent être prises pour protéger les données. Enfin, la Cour a invalidé la décision concernant le bouclier de protection des données.

Le CEPD a publié des recommandations. Une consultation publique a été ouverte jusqu’en début d’année. Leur mise à jour est en cours pour tenir compte des nombreux commentaires reçus.

Concernant la question de l’accès aux données par les autorités américaines, l’une des premières questions à se poser pour déterminer si l’entité est sujette à l’extra-territorialité du droit américain est de savoir si la garde, la possession ou le contrôle des données concernées relèvent d’une société soumise au droit américain. Selon le Cloud Act, un responsable de traitement ou un fournisseur de communications électroniques ou de services informatiques distants, dont les traitements sont soumis au RGPD, pourrait devoir répondre à un mandat des autorités américaines en vertu du Cloud Act. Un sous-traitant de responsable de traitement américain, établi dans l’Union européenne, peut être destinataire d’un mandat des autorités américaines pour les données qu’il sous-traite.

La section 702 du FISA n’apporte pas de précision sur la portée extraterritoriale des ordres à produire, mais elle ne restreint pas ces demandes aux seules données stockées sur le territoire américain, ce qui implique un possible accès à des informations en dehors du territoire américain. Il n’y a donc pas de doute sur le caractère extraterritorial des acquisitions et des interceptions fondées sur l’Executive Order 12333.

L’utilisation des logiciels et de solutions techniques brevetés par des sociétés américaines n’est pas déterminante de la possibilité pour les autorités américaines de contraindre des sociétés à divulguer des données, dès lors que ces solutions sont utilisées par des responsables de traitements qui ne sont pas soumis à la juridiction américaine. Il suffit de s’assurer que ces solutions techniques ne permettent pas un accès aux données par le biais de portes dérobées, intégrées par des développeurs à la demande des autorités américaines, notamment en application de la section 702 du FISA.

M. Philippe Latombe, rapporteur. Concrètement, Watson, un logiciel d’intelligence artificielle d’aide aux commerciaux, qui a accès aux bases de données pour préparer les réponses aux consultations des clients, est breveté par IBM Corp aux États-Unis et mis à la disposition de l’ensemble de ses filiales dans le monde. Watson constitue-t-il une porte d’extra-territorialité en Europe pour les États-Unis ? Watson est-il soumis au Cloud Act et éventuellement à la section 702 du FISA ?

M. Gwendal Le Grand. Pour répondre précisément, nous devrions observer la mise en œuvre de ce logiciel. D’une manière générale, si Watson est une solution logicielle mise en œuvre par un responsable de traitement européen non soumis à la législation américaine, la réponse est négative.

En revanche, si Watson traite de données par lui-même, la réponse est affirmative. Il convient de définir précisément la nature du logiciel et s’il est mis en œuvre, sans transfert de données, dans des systèmes informatiques d’une société européenne ou si des données sont adressées à l’intelligence artificielle de serveurs pouvant se situer aux États-Unis.

M. Philippe Latombe, rapporteur. Quelles sont les conséquences de l’arrêt Schrems appliqué aux données de santé ? Sur une sollicitation du Conseil d’État, vous avez émis un avis en faveur de migrations vers un cloud souverain, alors même que le Health Data Hub (HDH) applique les clauses contractuelles-types et des addenda signés avec Microsoft, sous couvert d’une localisation en Europe et d’une clé de chiffrement à laquelle Microsoft n’a pas accès.

M. Gwendal Le Grand. L’avis du Conseil d’État sur ce cas est très intéressant et il confirme l’analyse de la CNIL. Il convient de distinguer la question des transferts et le traitement des données par une société susceptible de recevoir des requêtes de la part des autorités américaines. Le Conseil d’État estime qu’il existe un risque d’accès par les autorités américaines, y compris en l’absence de transfert de données, du fait de la loi d’extra-territorialité américaine. De nombreux échanges ont ainsi porté sur la nécessité d’assurer un hébergement des données de santé, qui sont particulièrement sensibles, afin de garantir l’absence de risque d’accès par les autorités américaines.

M. Philippe Latombe, rapporteur. J’en déduis que cette décision serait applicable à d’autres données et d’autres systèmes utilisés par l’État et la sphère publique. Nous pouvons citer les smart cities, dans lesquelles une municipalité placerait les données des citoyens pour calculer le coût de la cantine ou de l’EHPAD.

M. Gwendal Le Grand. Le HDH concerne normalement un large volume de données particulièrement sensibles. Le raisonnement sur les possibilités d’accès par les autorités américaines du fait que le HDH est hébergé par un prestataire américain peut effectivement être appliqué à d’autres systèmes d’information.

M. Philippe Latombe, rapporteur. Le Conseil d’État a été saisi à propos de Doctolib. Considérez-vous également que les données de prise de rendez-vous pour la vaccination contre la Covid ne sont pas des données de santé ?

M. Gwendal Le Grand. Le Conseil d’État estime que la gestion des prises de rendez-vous, assurée par trois sociétés, dont Doctolib, et le fait d’être prioritaire pour la vaccination ne sont pas des données de santé. AWS et Doctolib ont conclu un addendum définissant une procédure précise en cas de demande d’accès aux données par une autorité publique. Cette procédure prévoit notamment la contestation de toute demande générale ou ne respectant pas la réglementation européenne. Ces sociétés ont, par ailleurs, mis en place un certain nombre de mesures techniques, dont un système de chiffrement fondé sur un tiers de confiance basé en France.

Le Conseil d’État a conclu que le niveau de protection des données ne pouvait pas être considéré comme manifestement insuffisant au regard du risque de violation du RGPD.

M. Philippe Latombe, rapporteur. Ma question était de savoir ce que le Conseil d’État considère comme une donnée de santé.

M. Gwendal Le Grand. Le Conseil d’État n’a pas expressément indiqué que les données relatives aux prises de rendez-vous ne sont pas des données de santé. Le communiqué de presse précise que le juge des référés du Conseil d’État relève que les données transmises à Doctolib dans la campagne de vaccination ne comprennent pas de motifs médicaux d’éligibilité à la vaccination, mais portent uniquement sur l’identité des personnes et la prise de rendez-vous. La définition d’une donnée de santé est donnée par l’article 4 du RGPD.

M. Philippe Latombe, rapporteur. Certains juristes considèrent que la décision du Conseil d’État n’est pas cohérente avec cette définition.

Vous avez récemment utilisé un procédé particulier pour sanctionner Google à propos des cookies au moyen d’un texte ancien, qui présente l’intérêt de ne pas entrer dans le champ de la régulation des CNIL européennes, dont le chef de file aurait été la CNIL irlandaise. Selon vous, celle-ci est-elle mal à l’aise vis-à-vis de grands groupes, qui se sont installés sur son territoire pour des raisons fiscales ? N’est-elle pas soumise à un conflit d’intérêts, qui l’empêche de sanctionner les GAFAM ?

M. Gwendal Le Grand. Fin décembre 2020, la formation restreinte de la CNIL a prononcé une sanction de 100 millions d’euros à l’encontre de Google LLC, Google Irlande et Amazon pour l’utilisation de cookies sur la base d’une législation largement appliquée. Cette directive de 2002 avait été révisée en 2009, puis en 2018 sous l’effet de la mise en application du RGPD. Cette législation n’est donc pas ancienne. Un accord a même été conclu récemment au Conseil pour qu’elle devienne un Règlement européen.

Cette directive traite notamment du stockage de cookies sur le terminal d’un utilisateur. Ce stockage doit faire l’objet d’une information et d’un consentement préalable. Cette directive est transposée en droit national dans tous les états membres. En France, la CNIL est chargée de contrôler l’application de cette règle et de sanctionner les éventuels manquements. Beaucoup d’actions ont d’ailleurs été engagées par la CNIL pour clarifier les règles en matière de dépôt de cookies. Des lignes directrices, qui ont d’ailleurs été attaquées devant le Conseil d’État, et une recommandation ont été édictées. Les entreprises ont jusqu’à la fin du mois de mars 2021 pour se mettre en conformité.

La décision a été attaquée en référé par Google devant le Conseil d’État. Dans l’ordonnance du 4 mars 2021, le juge a rejeté la demande de suspension de l’exécution formulée par les sociétés Google LLC et Google Irlande d’une injonction prononcée par la formation restreinte des CNIL dans sa décision de décembre 2020.

Dans sa décision de référé, le Conseil d’Etat a confirmé que le mécanisme du guichet unique, institué par le RGPD, n’est pas applicable en matière de dépôt de cookies, dans la mesure où les règles qui le régissent sont prévues par la directive ePrivacy. L’autorité de protection des données nationales n’est, en effet, pas toujours compétente pour faire appliquer l’ePrivacy. L’autorité compétente peut être l’équivalent de l’ARCEP dans les autres pays européens. Il n’existe pas de coordination européenne dans les textes actuels. Seule une autorité nationale est compétente pour vérifier le respect de cette directive.

S’agissant de l’Irlande, l’organisme de régulation est face à un enjeu de crédibilité du modèle. Un certain nombre de décisions a déjà été pris pour activer tous les échelons du RGPD. Certains observateurs estiment que nous n’aboutissons pas suffisamment rapidement sur des projets de décisions irlandaises portant sur les acteurs majeurs de l’écosystème numérique. Certains estiment qu’il convient de changer les règles de gouvernance du RGPD.

Quant à elles, les autorités européennes pensent que le RGPD est un texte solide, qui mérite d’être conservé et accompagné dans son application, en renforçant la coopération entre les autorités et en leur donnant davantage de moyens. Si certains droits nationaux rendent difficile l’aboutissement à des décisions nationales, il appartient à la Commission européenne d’intervenir.

En tout état de cause, la CNIL souhaite renforcer l’efficacité de la coopération européenne en continuant à s’appuyer sur le RGPD, qui constitue une force de l’Europe dans toutes les négociations au niveau international. La CNIL contribue au renforcement de la coopération en utilisant tous les outils à sa disposition, comme les lignes directrices du CEPD sur la coopération européenne, qui clarifient les procédures, le RGPD ou les demandes d’assistance. En dernier recours, elle a la possibilité d’adopter des mesures d’urgence en cas d’atteinte grave au droit des personnes.

M. Philippe Latombe, rapporteur. De nombreux observateurs craignent l’existence d’un problème par rapport à la CNIL irlandaise et aux GAFAM, du fait de leur proximité et de l’intérêt économique que ces dernières représentent pour l’Irlande.

Les GAFAM ont l’habitude de faire de l’entrisme ou du lobbying. Le ressentez-vous à la CNIL ? D’autres CNIL européennes l’ont-elles évoqué ?

M. Gwendal Le Grand. Ces sociétés pratiquent évidemment du lobbying sur notre doctrine. Elles cherchent à participer aux consultations publiques, lors de la publication de lignes directrices par exemple, pour faire valoir leurs positions, mais les autorités de protection sont indépendantes dans la prise de leurs décisions. Les montants des sanctions sont d’ailleurs nettement plus élevés qu’avant 2018, puisque le plafond est passé de 150 000 euros à 3 millions d’euros, voire 4 % du chiffre d’affaires mondial d’une entreprise.

Il est essentiel d’assurer la solidité de nos décisions devant les juridictions, y compris pour l’Irlande. J’en veux pour preuve que nos décisions sont de plus en plus attaquées devant le Conseil d’État, voire la Cour de justice de l’Union européenne. Chacun respecte sa procédure nationale et peut être contraint par ses propres difficultés. La Commission européenne a aussi son rôle à jouer si des procédures nationales font obstacle à l’application du droit de l’Union européenne.

M. Philippe Latombe, rapporteur. Une suite d’arrêts de la Cour de justice de l’Union européenne, Tele2 Sverige et Prokuratuur, est actuellement devant le Conseil d’État. Même si elle concerne essentiellement l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (ARCEP), quelles conséquences en tirez-vous à la CNIL ?

M. Gwendal Le Grand. La CNIL se charge de faire appliquer les décisions de la Cour, qui relèvent de son champ de compétences. Une décision a, par exemple, été prise sur le droit à l’oubli par la Cour de justice de l’Union européenne. La CNIL applique la jurisprudence de la Cour. Elle n’a pas de position à émettre sur les décisions de la Cour de justice de l’Union européenne. Elle n’a d’ailleurs pas produit d’écritures en observations.

Concernant les cas de conservation des données de connexion, nous pouvons relever la constance des arrêts de la Cour, qui s’est prononcée de façon cohérente à plusieurs reprises, à plusieurs années d’intervalle, sur des sujets similaires.

M. Philippe Latombe, rapporteur. Si le Conseil d’État confirme la décision de la Cour de justice de l’Union européenne, vous serez in fine chargé de vérifier l’application de l’arrêt.

M. Gwendal Le Grand. Bien sûr, nous sommes dans un État de droit, dans lequel le législateur détermine des règles, qui peuvent être attaquées de différentes manières. La CNIL est chargée de faire appliquer la législation, parfois éclairée par des décisions de la Cour de justice de l’Union européenne.

M. Philippe Latombe, rapporteur. Compte tenu du volume, ne craignez-vous pas une rapide augmentation de la charge de travail ? Si le Conseil d’État confirme la décision de la Cour de justice de l’Union européenne, un certain nombre de procédures judiciaires s’en trouveront affectées. Les personnes mises en cause dans ces procédures pourraient saisir la CNIL pour demander l’application de l’arrêt du Conseil d’État.

M. Gwendal Le Grand. Je ne peux pas anticiper cette situation, qui est conditionnée par de nombreuses questions.

D’une manière générale, la CNIL continue de demander des moyens supplémentaires pour exercer convenablement ses missions. Nous sommes aujourd’hui 225 agents. À la fin de l’année 2021, nous serons 245, alors que les Anglais comptent entre 600 et 700 agents. Selon la Commission européenne, la France présente le troisième plus mauvais ratio pour son nombre d’agents de la CNIL rapporté au nombre d’habitants. Nos missions sont extrêmement larges, car la problématique des données personnelles est commune à toute l’économie numérique. Il est donc essentiel que l’autorité soit suffisamment dotée pour protéger les droits fondamentaux des citoyens.

M. Philippe Latombe, rapporteur. Comment entrevoyez-vous la suite avec vos homologues anglais après le mois de juin 2021 ? Le RGPD continue à s’appliquer jusqu’à cette date, mais la Grande-Bretagne pourra ensuite modifier son système de protection des données, en se rapprochant, par exemple, du modèle américain.

M. Gwendal Le Grand. Un projet de décision d’adéquation est en cours de discussion entre l’Europe et le Royaume-Uni pour pouvoir continuer à transférer des données sans formalité. Le CEPD a été saisi du sujet et doit se prononcer prochainement.

À ce jour, les données peuvent continuer à transiter, même si le Royaume-Uni ne fait plus partie du CEPD et ne relève plus du guichet unique. Une période de transition a été aménagée dans l’attente de la mise en œuvre de cette décision d’adéquation.

M. Philippe Latombe, rapporteur. En France, la carte nationale d’identité électronique et l’identité numérique sont largement évoquées. La CNIL est évidemment à la pointe sur cette question. Elle a rendu des avis sur la carte nationale d’identité et le système des titres électroniques sécurisés (TES) il y a quelques jours. Comment jugez-vous l’état d’avancement de la France dans ce domaine par rapport aux autres pays européens ?

M. Gwendal Le Grand. L’identité électronique recouvre plusieurs sujets. Un Règlement européen impose aux États membres de déployer une carte d’identité électronique avant août 2021. Dans ce contexte, le décret TES a été modifié pour permettre à l’État de créer de nouvelles cartes d’identité intégrant un composant électronique, dans lequel se trouvent des données biométriques en application d’un Règlement européen.

La question de l’identité numérique est plus large. Le gouvernement a porté plusieurs initiatives telles que FranceConnect et Alicem, sur lesquelles la CNIL a été amenée à se prononcer. Des textes ont ensuite été publiés pour contrôler leur application.

Un certain nombre de critères sont importants par rapport à l’identité numérique. Premièrement, une personne n’a pas besoin d’avoir une identité unique en ligne. Dans le monde réel, elle peut interagir avec un certain nombre de personnes, qui n’ont pas besoin de connaître l’ensemble des données de son état civil pour lui faire confiance et réaliser des transactions avec elle.

Deuxièmement, il existe un certain nombre de principes en termes de protection des données. Il s’agit tout d’abord de se demander qui peut voir les transactions que la personne réalise avec un acteur du privé et quelle est la nature des données présentées lors d’une authentification. Par exemple, pour s’inscrire à la bibliothèque, une personne doit seulement prouver qu’elle habite la commune sans forcément donner l’ensemble des attributs de son identité. De la même manière, pour accéder à certains services, elle aura besoin de fournir une preuve d’âge sans pour autant décliner son identité complète.

Ces principes doivent être portés par les solutions d’identité électronique. La CNIL n’est bien sûr pas opposée à un renforcement de la sécurité en ligne, qui est essentielle pour protéger les données personnelles et prévenir les risques d’usurpation d’identité, mais les solutions d’identité électronique ne doivent pas aboutir à une identité numérique unique, quel que soit le service auquel la personne souhaite accéder. Le respect des règles du RGPD et de la Loi Informatique et Libertés est indispensable.

M. Philippe Latombe, rapporteur. Pensez-vous que l’État à une bonne connaissance et un respect correct du niveau de protection des données ?

M. Gwendal Le Grand. Cette question est extrêmement large. Dans un État de droit, les textes sont appliqués, après avis du Conseil d’État et de la CNIL. En outre, des autorités contrôlent les fichiers mis en place par l’État.

Pendant la crise sanitaire, la CNIL a mené un travail spécifique pour accompagner à la fois les acteurs privés et les pouvoirs publics, en se prononçant sur SI-DEP, Contact Covid, le système d’information Vaccin Covid et à plusieurs reprises sur TousAntiCovid.

Courant 2020, la CNIL a ensuite réalisé une trentaine de contrôles sur les systèmes d’information mis en place par l’État dans la crise sanitaire. Elle doit donc avoir suffisamment de moyens pour être en mesure de répondre rapidement aux demandes, dans sa mission de conseil. Cet impératif s’est illustré pendant la crise sanitaire, période pendant laquelle elle a été extrêmement sollicitée pour se prononcer sur le recours au télétravail, les caméras de comptabilisation des masques, les drones, etc.

La CNIL fait face à des attentes fortes de la part des pouvoirs publics, du secteur privé et des parlementaires, qui ont besoin de connaître rapidement l’avis de la CNIL pour prendre position sur des questions souvent inédites.

La CNIL est une autorité dont l’indépendance est garantie par les textes et la constitution de la CNIL. Il lui arrive également de prendre des sanctions, y compris vis-à-vis d’acteurs du secteur public. Si ses moyens sont renforcés, elle pourra encore mieux exercer ses missions.

M. Philippe Latomb, rapporteur e. Votre pouvoir de sanction vis-à-vis de l’État est-il suffisant ? Je prends l’exemple des drones, sur lesquels vous avez eu une position très ferme vis-à-vis du ministère de l’Intérieur. Celui-ci continue toutefois à les utiliser, en vous renvoyant à votre simple pouvoir d’injonction. Vos pouvoirs de sanction ou d’interdiction doivent-ils être renforcés vis-à-vis de l’État ?

M. Gwendal Le Grand. Nous avons déjà d’importants pouvoirs de sanction. Notre priorité est de disposer de procédures de sanction simplifiées, notamment pour doter le président de la formation restreinte de la CNIL de nouvelles attributions dont l’exercice ne nécessite pas nécessairement l’intervention de l’ensemble du collège des sanctions. Cette configuration serait applicable aux seules affaires simples et de faible gravité et le montant des sanctions financières serait limité.

Aujourd’hui, toutes les affaires sont traitées avec le même niveau d’assurance juridique par la formation restreinte au complet.

Nous avons aussi, au-delà du pouvoir d’injonction, un poids sur le débat public. Les positions de la CNIL sont entendues et relayées. Ses positions peuvent d’ailleurs appuyer des recours devant les juridictions.

M. Philippe Latombe, rapporteur. Quelles sont, selon vous, les principales atteintes aux données ? Quelles sont les évolutions technologiques dont les atteintes en résultant pourraient vous donner le sentiment d’être désarmés ? Quelles évolutions législatives et réglementaires devraient être adoptées en urgence pour que vous puissiez continuer à exercer votre activité ? Je pense, par exemple, à l’intelligence artificielle.

M. Gwendal Le Grand. Nous avons identifié trois priorités en matière de contrôles en 2021 par rapport aux enjeux de protection des données : les cookies, la sécurité des données de santé et la cybersécurité.

Les cookies entrent dans le champ des lignes directrices, de la recommandation et des sanctions déjà évoquées. À compter de la publication des lignes directrices et de la recommandation en octobre 2020, nous avons donné aux entreprises un délai de six mois pour se mettre en conformité avec les nouvelles règles. Ce délai expire donc fin mars 2021. Dès lors, nous contrôlerons le respect de ces textes en matière de cookies.

Concernant la sécurité des données de santé, nous constatons le développement de systèmes d’information dans le domaine de la santé. Ils figuraient déjà dans notre programme de contrôle l’an dernier, mais ce dernier s’est décalé du fait de la crise sanitaire. Nous les avons donc à nouveau inscrits dans notre programme de contrôle. En pratique, nous menons des investigations sur les violations de données signalées à la CNIL et sur l’évaluation de la sécurité des établissements de santé et des laboratoires.

Enfin, s’agissant de la cybersécurité, nous nous attachons en particulier aux sites web, qui touchent le quotidien numérique des Français. L’objectif de nos contrôles est de monter le niveau de sécurité des sites web français les plus utilisés dans différents secteurs et relevant d’organismes de toutes tailles, publics comme privés. Nous portons une attention particulière aux formulaires de recueil de données à caractère personnel, à l’utilisation de la technologie « https » et au recours à des mots de passe suffisamment robustes.

Face à l’intelligence artificielle, nous ne sommes pas désarmés, mais cette technologie nécessite une meilleure interrégulation. En 2017, nous avons publié un rapport sur la façon de permettre à l’Homme de garder la main face aux algorithmes et à l’intelligence artificielle. Il est consultable sur le site de la CNIL. Il a fait suite à une série de débats engagés en 2017 et permet de dégager les principes applicables à l’intelligence artificielle, qui ont d’ailleurs été repris par divers forums de discussion au niveau européen et international.

Sur la reconnaissance faciale, la CNIL avait publié un rapport fin 2019, car cette technologie peut faire appel à l’intelligence artificielle.

L’une des spécificités de la CNIL est de posséder une expertise technique très pointue, qui lui permet de comprendre comment fonctionnent ces systèmes, afin d’être en mesure de les réguler correctement en appliquant, avec l’aide de ses juristes, des principes technologiquement neutres inscrits dans le RGPD.

M. Philippe Latombe, rapporteur. Le CSA a émis un avis indiquant que l’accès aux sites pour adultes, à caractère pornographique, ne peut pas être rendu uniquement possible en cochant une case pour certifier de sa majorité. Elle demande que soit trouvé un système robuste pour contrôler la majorité des personnes souhaitant y accéder.

Le CSA préconise un système de paiement avec une carte bancaire, même si en posséder une n’est pas forcément une preuve de la majorité. Les sites concernés ont lancé une grande consultation pour savoir ce que leurs utilisateurs accepteraient pour prouver leur majorité, depuis la photographie de la carte d’identité au moyen de la webcam jusqu’à l’obtention d’un numéro dans une institution publique. Toutes ces pistes portent atteinte à la protection des données personnelles. Avez-vous échangé avec le CSA ? Plus généralement, quels sont vos rapports avec les autres autorités administratives, comme l’ARCEP, qui peuvent impacter les données ?

M. Gwendal Le Grand. Nous échangeons régulièrement avec les autres autorités administratives indépendantes. La CNIL est également saisie par l’autorité de la concurrence. L’interrégulation est primordiale, car les données personnelles sont utilisées dans tous les secteurs. L’interrégulation prend d’ailleurs corps dans les projets de texte au niveau européen.

Pour répondre à la question de la vérification de l’âge, le micropaiement n’est pas forcément efficace. En outre, le principe du RGPD de minimisation des données doit être respecté. Ainsi, les traitements nécessaires à la vérification de l’âge doivent être proportionnés aux risques pour les personnes concernées, en l’occurrence, les enfants.

Pour avoir vu le questionnaire de ces sites, j’ai pu constater que certaines méthodes proposées peuvent effectivement paraître très intrusives à leurs utilisateurs.

M. Philippe Latombe, rapporteur. À partir de ces exemples, pourriez-vous émettre spontanément des recommandations sur la méthode à employer auprès du CSA ?

M. Gwendal Le Grand. La question de la méthode de vérification de l’âge est actuellement étudiée par un groupe de travail, car elle se pose également pour l’accès des mineurs à des sites de réseau social.

Ce sujet est également européen. Une mesure d’urgence a été prise par notre homologue italien envers Tik Tok en ce qui concerne la vérification de l’âge. Il a été demandé à Tik Tok de modifier un certain nombre de paramètres par défaut pour vérifier que les utilisateurs ont l’âge requis pour s’inscrire à ce réseau social.

Cette question est techniquement difficile et la réponse dépend du contexte. En outre, ce sujet est de niveau européen.

M. Philippe Latombe, rapporteur. Vous avez été saisi par France Digitale d’une demande concernant Apple. Nous avons le sentiment que les « vilaines » GAFAM sont porteuses de tous les maux et que la souveraineté numérique serait de s’en affranchir. Capitalisent-elles vraiment le plus de risques et le plus de conflits ou s’agit-il d’un effet de loupe ? Est-il si difficile de leur faire comprendre la protection des données à l’européenne ? Sommes-nous si irréprochables vis-à-vis de nos entreprises ?

Nous entendons parler des Chinois uniquement par rapport à Huawei, mais peu par rapport à leurs applications de places de marché et de réseau social, alors qu’elles sont similaires à celles des GAFAM.

M. Gwendal Le Grand. En tant que régulateur, nous adoptons une approche indifférenciée vis-à-vis des acteurs. Les GAFAM sont majoritaires, tant en volume de données traitées qu’en nombre de plaintes qui nous sont adressées, leurs services étant massivement utilisés par les citoyens français. Nous traitons également les problématiques d’acteurs non américains. Tik Tok, par exemple, intéresse également les autorités nationales et européennes.

Encore une fois, des moyens dont nous disposons dépend le champ que nous sommes capables de couvrir au niveau européen. Vos exemples montrent la diversité des sujets auxquels nous sommes confrontés au quotidien, alors que nous ne sommes que 225 agents.

M. Philippe Latombe, rapporteur. Y a-t-il une question que nous n’avons pas abordée ?

M. Gwendal Le Grand. Non, je pense avoir couvert les principaux points.

Nous avons parlé du HDH, du développement d’un cloud souverain. La période nous offre une opportunité assez unique d’alignement des intérêts de politique industrielle et de protection des données. Ces problématiques se rejoignent, car le développement d’un cloud souverain nous permettra de conserver la maîtrise de nos données, de relever le niveau d’indépendance au niveau européen et de renforcer le niveau de cybersécurité des entreprises. Il servira ainsi nos droits fondamentaux et la protection des données. Toutes les déclarations des décideurs politiques sur la politique industrielle, la protection des données et le plan de relance vont dans le sens d’un meilleur contrôle, par la France et par l’Europe, des données traitées dans les infrastructures informatiques.

Nous devons profiter de cet alignement d’intérêts pour collectivement nous atteler au développement de solutions nous permettant d’être plus efficaces et plus agiles dans un environnement cyber plus sécure.

M. Philippe Latombe, rapporteur. Merci pour le temps que vous nous avez consacré et pour vos réponses. Nous sommes preneurs de vos futures contributions si vous avancez sur la protection des données de santé et d’autres sujets d’actualité.

M. Gwendal Le Grand. Nous nous tenons à votre disposition pour vous fournir des informations complémentaires sur les décisions de la CNIL. Nous vous adresserons les réponses au questionnaire dans les prochains jours.

M. Philippe Latombe, rapporteur. Lors des auditions avec les chercheurs en santé, ils ont formulé un souhait d’une plus grande rapidité et d’une meilleure fluidité dans le traitement de leurs demandes d’accès au SNDS. Il serait intéressant de leur transmettre un mode d’emploi simplifié.

M. Gwendal Le Grand. Dans le domaine de la recherche en santé, de nombreuses procédures simplifiées existent. Dans la plupart des cas, il n’est pas nécessaire d’obtenir une autorisation de la CNIL, tant que la demande est déclarée conforme à la méthodologie de référence. Des instruments génériques fluidifient effectivement les traitements.

Dans le cas de la crise Covid, nous avons mis en place une procédure spécifique pour autoriser les recherches le plus rapidement possible. Plus de 90 % des recherches impliquant la personne humaine ont pu être mises en œuvre, sans avoir à constituer un dossier auprès de la CNIL, sous couvert de leur conformité à une méthodologie de référence. Par ailleurs, sur près de 50 % des dossiers, l’autorisation a été délivrée en moins de deux jours.

Je rappelle à ceux qui estiment que la CNIL se montre un peu trop tatillonne vis-à-vis des données de santé que les fuites de données ont des conséquences lourdes. Un fichier contenant les données de 500 000 patients de laboratoires a récemment été découvert libre d’accès sur Internet. Or le domaine de la santé est particulièrement sensible.

M. Philippe Latombe, rapporteur. Mon propos visait simplement à vous engager à rappeler les bonnes pratiques, pour que les chercheurs n’aient pas ce sentiment.

Audition de M. Guillaume Poupard, directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) (25 mars 2021)

Présidence de M. Philippe Latombe, rapporteur.

(Les propos tenus au cours de l’audition à huis clos n’ont pas fait l’objet d’un compte rendu.)

Audition, ouverte à la presse, de M. Fabrice Brégier, président de Palantir France, de MM. Olivier Tesquet, journaliste spécialisé dans les questions numériques à Télérama, et d’Olivier Laurelli, cofondateur de Reflets.info (25 mars 2021)

Présidence de M. Philippe Latombe, rapporteur.

M. Philippe Latombe, président et rapporteur. Nous auditionnons cet après-midi M. Fabrice Brégier, président de Palantir France et ancien directeur général d’Airbus. Notre mission d’information a répondu favorablement à la demande de Palantir d’échanger avec nous et de participer à nos travaux. Nous accueillons également deux spécialistes des questions numériques, M. Olivier Tesquet, journaliste à Télérama et auteur d’un ouvrage récent, « État d’urgence technologique : comment l’économie de la surveillance tire parti de la pandémie », et M. Olivier Laurelli, journaliste hacker et cofondateur du site Reflets.info.

J’aimerais évoquer trois sujets principaux.

Je voudrais d’abord savoir ce que recouvre, selon vous, la notion de souveraineté numérique. Cette question rituelle de la mission est importante. Le sujet fait l’objet d’une attention croissante des pouvoirs publics depuis la crise sanitaire. Lors des auditions passées, nous avons eu l’occasion d’entendre plusieurs définitions de cette notion très large, que certains rapprochent parfois d’une forme d’autonomie stratégique ou décisionnelle. J’aimerais comprendre comment, en tant qu’acteur privé américain spécialiste du big data, vous appréhendez cette notion.

Je souhaiterais également vous interroger sur les solutions technologiques que vous proposez, que vous nous les présentiez succinctement, nous fournissant à grands traits leur fonctionnement. J’aimerais aussi savoir ce qui fait leur spécificité par rapport à l’offre de vos concurrents. Alors que certains pays, dont la France, entreprennent de se doter d’outils souverains, je me demande comment vous analysez cette dynamique européenne et mondiale.

Enfin, je voudrais que nous revenions sur les critiques qui vous ont été adressées, concernant la protection des données et votre proximité avec certains acteurs étrangers. Je souhaiterais ainsi savoir quelles sont les garanties proposées à vos clients, notamment publics, pour éviter que des données sensibles ne fassent l’objet de captations indues. Ce point fait également le lien avec les enjeux d’extraterritorialité du droit américain, le Cloud Act, le Foreign Intelligence Service Act (FISA), sur lesquels nous travaillons. J’aimerais savoir s’il existe des finalités pour lesquelles vous auriez déjà refusé ou vous pourriez refuser l’utilisation de vos solutions technologiques.

M. Fabrice Brégier, président de Palantir France. Vos travaux sont essentiels et portent sur un thème majeur. Palantir est un acteur important du big data dont beaucoup parlent alors que peu le connaissent. Ce n’est pas nécessairement de leur faute. Jusqu’à récemment, Palantir n’était pas une entreprise qui communiquait systématiquement sur ses produits et ses clients. Les règles ont changé dès lors que Palantir s’est introduite en bourse, en octobre dernier. Elle est désormais régie par une transparence très forte sur ses clients et ses produits, qui permettra de démystifier l’entreprise.

Le thème de la souveraineté est pour moi fondamental. J’ai travaillé dans l’industrie aéronautique pendant vingt-cinq ans. J’ai été à la tête d’entreprises souveraines de la défense ou de l’aéronautique, dans des secteurs clés pour notre industrie, en concurrence notamment avec de grands groupes américains, des sociétés très fortes dans le domaine.

En matière de numérique, la question de la légitimité ne se pose pas. Nous nous cachons quelque peu derrière l’Europe pour parler de la France. Le numérique est un domaine qui devient prépondérant. Il l’est déjà dans nos vies personnelles et Palantir est un acteur B to B très spécifique. Il le devient dans la vie publique, les modes de travail, les modes de vie, les modes de société. Il est normal qu’il y ait des débats sur la façon de réguler ce développement du numérique, sur les règles qui doivent être établies au plan national et sur la confiance que l’on place dans les acteurs.

Le numérique devient un différenciant majeur. On l’a vu pendant la crise du Covid. Pris de court, nous avons du mal à coordonner les services, à gérer la pénurie, à préparer la logistique pour la vaccination. Des solutions existent et sont mises en œuvre pour permettre ce genre d’actions au niveau des États, pour la lutte contre la grande criminalité, la fraude, le terrorisme, la protection des personnes, avec des débats politiques sur l’utilisation de telles technologies sans lesquelles nos populations sont moins protégées. C’est le soutien à nos forces. Je crois que la ministre des Armées l’a rappelé, le numérique devient aussi important qu’un avion de chasse ou un missile dans un certain nombre de missions. C’est aussi le cas pour le compte des entreprises, qui n’ont pas d’autre choix que de protéger leurs données et de les valoriser.

Palantir reste une petite société. Vous n’êtes pas face au représentant d’Oracle, d’Amazon, de Google ou de Microsoft. C’est une entreprise qui a un peu plus de 2 500 employés. Elle a été créée en 2004 dans la Silicon Valley, à la suite des attentats de septembre 2001, avec la conviction des trois fondateurs, qui sont restés actionnaires, dont l’un est président du conseil d’administration et un autre directeur général, que les nouvelles technologies permettraient de prévenir de tels attentats en regroupant l’ensemble des informations, qui étaient très dispersées, mais qui existaient, afin de les mettre à disposition des services d’enquête pour éviter ces attentats. Il s’agissait du fondement même de la création de cette société. Depuis, elle s’est développée sur ce créneau sécuritaire, aux États-Unis, mais aussi dans de nombreux pays d’Europe. La France a choisi cette solution pour son efficacité, en 2016. À partir de 2013-2014, les technologies ont été développées pour permettre aux entreprises commerciales de disposer d’outils qui favorisent l’intégration et la valorisation de leurs données.

Malgré sa faible taille, environ 1,1 milliard de dollars, mais en très forte croissance, Palantir est l’un des acteurs reconnus comme majeurs dans le big data. Elle a développé des technologies qui sont en pointe et qui n’ont pas d’égal, dès lors que l’on gère une grande complexité de données. La communauté de la tech la reconnaît comme telle.

Palantir travaille à la fois pour des gouvernements, le gouvernement américain notamment, mais aussi les démocraties occidentales, les pays européens, le Japon et la Corée du Sud. Elle ne travaille pas avec l’ensemble des pays. Elle ne travaille pas en Chine, en Russie et dans des pays dans lesquels l’utilisation de tels logiciels pourrait ne pas respecter certaines règles d’éthique du point de vue des fondateurs de l’entreprise.

Les missions gouvernementales sont variées. Elles ne sont pas limitées aux domaines que j’ai mentionnés. Elles peuvent aller de la lutte contre la fraude et la criminalité à des missions de préparation de plans d’investissement pour la transition énergétique ou la préparation des transports de demain. Elles peuvent concerner le soutien à une politique de santé dynamique, à grande échelle. Les applications sont devenues nombreuses. Des missions sont également menées pour certains ministères de la Défense, comme la maintenance du matériel, le regroupement des informations des capteurs du champ de bataille qui permettent aux troupes d’être davantage protégées.

Concernant l’entreprise, la plateforme Foundry – qui n’est pas spécifique, car nous ne sommes pas des experts d’un domaine particulier, nous sommes des experts de la donnée – valorise à très grande échelle les données fournies par le client lui-même, à partir d’un déploiement très simple, sur l’architecture qu’il a choisie. Cette plateforme couvre pratiquement tous les modules importants de la chaîne du big data. Elle se connecte aux données que le client souhaite intégrer. Elle en facilite la préparation, le nettoyage, la mise à jour. Elle donne ensuite la main aux opérationnels qui, par l’intermédiaire de modules, peuvent visualiser la donnée, faire du reporting, de l’analyse ou développer de l’algorithmie d’intelligence artificielle.

Nous ne sommes pas présents dans deux domaines. Le premier est l’algorithmie, qui doit être, selon nous, largement maîtrisée par le client et les entreprises avec lesquelles celui-ci souhaite travailler. Nous avons la chance d’avoir un grand nombre de start-up françaises extrêmement performantes et dynamiques. Le second domaine est celui de l’hébergement des données. Les solutions de Palantir fonctionnent avec de nombreuses solutions d’hébergement, des clouds, et, pour des usages stratégiques, gouvernementaux ou bancaires, des serveurs internes, ce que l’on appelle on premise. Ces derniers sont conservés et pilotés par le client. Les données ne sont pas diffusées à un tiers partenaire de cloud.

En d’autres termes, la spécificité de Palantir est d’avoir su intégrer dans une plateforme logicielle d’une grande simplicité d’utilisation, mais d’une grande complexité technologique, la continuité numérique, depuis la donnée source jusqu’à la mise à disposition de cette donnée aux opérationnels, y compris aux data scientists.

Les points forts sont cette capacité à se connecter à n’importe quelle source de données, de n’importe quel volume et n’importe quel niveau de complexité. Ce point a été démontré à de très nombreuses reprises.

Un autre avantage est la sécurité de la plateforme. Elle est essentielle dès lors que l’on regroupe des informations. Cela suppose qu’à travers cette plateforme, le client puisse établir une gouvernance de la donnée qui lui permette de vérifier les accès qu’il donne, pour quelle raison telle personne de l’organisation a accès à telle donnée. La plateforme permet aussi de tracer les logs, c’est-à-dire retrace qui utilise la plateforme et pour quel usage, de voir les modifications opérées par le client sur les données sources, avec une grande transparence sur les évolutions algorithmiques et logicielles mises en œuvre. L’objectif est de garantir une sécurité, une segmentation essentielle dès lors que l’on regroupe beaucoup de données.